Termos & Políticas · Política de Conhecimento do Parceiro (KYP)

Política de Conhecimento do Parceiro (KYP)

Documento oficial da Marcha, operada por MARCHA HUB DE SOLUCOES LTDA. Versão integral disponível diretamente nesta página.

Sumário

  • Objetivo e Escopo
  • Base Legal e Regulatória
  • Definições
  • Estrutura de Governança
  • Classificação de Parceiros
  • Procedimentos de Identificação
  • Documentação Exigida
  • Verificação e Validação
  • Monitoramento Contínuo
  • Parceiros Estratégicos e Correspondentes
  • Controles Especiais
  • Sistema de Informações
  • Treinamento e Capacitação
  • Auditoria e Controles Internos
  • Disposições Finais

1.Objetivo e Escopo

  • Objetivo Esta Política de Conhecimento do Parceiro (KYP) estabelece os procedimentos, controles e responsabilidades para identificação, verificação e monitoramento de parceiros comerciais e estratégicos da MARCHA HUB DE SOLUCOES LTDA. O objetivo é blindar a Marcha contra riscos operacionais, reputacionais e de compliance (PLD/FT e Segurança Cibernética) inerentes ao compartilhamento de tecnologia e de dados sensíveis.
  • EscopoTodos os parceiros comerciais da Marcha, incluindo Parceiros White Label (Licenciados da Tecnologia), Integradores Tecnológicos (com acesso a APIs críticas), Fornecedores de Infraestrutura Crítica (Cloud) e Parceiros Estratégicos (Instituições de Pagamento/Adquirentes).
  • Todos os responsáveis pelos processos de parcerias, desde a prospecção até a gestão do relacionamento e offboarding.
  • FinalidadesPrevenir o relacionamento com parceiros envolvidos em atividades ilícitas, reforçando as Políticas de PLD/FT.
  • Mitigar o risco operacional e a exposição da Propriedade Intelectual (PI) da Marcha.
  • Assegurar a conformidade regulatória e a transferência de responsabilidade contratual nos acordos de licenciamento (White Label).
  • Proteger a reputação e integridade da instituição, garantindo o alinhamento de compliance e cultural.

2.Base Legal e Regulatória

Consolida-se o arcabouço jurídico-regulatório aplicável, cujo cumprimento é imperativo para a legitimidade dos procedimentos KYP.

  • Legislação AplicávelLei nº 9.613/1998: Lei de Lavagem de Dinheiro (fundamenta a diligência PLD/FT).
  • Lei nº 12.865/2013: Lei dos Arranjos de Pagamento (regula o setor de atuação).
  • Lei nº 13.709/2018 (LGPD): Regula o compartilhamento e a proteção de dados pessoais (aplicável à transferência de dados de KYC).
  • Lei nº 12.846/2013: Lei Anticorrupção (fundamenta a verificação de integridade).
  • Circular BACEN nº 3.978/2020: Política de Conformidade (base para a gestão de riscos e compliance do parceiro).
  • Resolução BCB nº 119/2021: Política de Gerenciamento de Riscos.
  • Regulamentações do Banco Central (Referencial)Resolução nº 4.893/2021: Política de Segurança Cibernética (base para a avaliação de segurança tecnológica dos parceiros).
  • Resolução BCB nº 80/2021: Arranjos de Pagamento.
  • Órgãos ReguladoresBanco Central do Brasil (BCB): Supervisor principal (indiretamente, via parceiros IPs).
  • Conselho de Controle de Atividades Financeiras (COAF): Unidade de Inteligência Financeira (foco na PLD/FT do parceiro).
  • Autoridade Nacional de Proteção de Dados (ANPD): Proteção de dados pessoais (foco na adequação do parceiro à LGPD).

3.Definições

  • Termos GeraisParceiro: Pessoa jurídica que mantém relacionamento comercial ou tecnológico relevante com a Marcha.
  • KYP (Know Your Partner): Conjunto de procedimentos para identificação, verificação e conhecimento dos parceiros.
  • Due Diligence: Processo de investigação e verificação detalhada das informações do parceiro.
  • Integrador Tecnológico: Empresa que desenvolve soluções utilizando APIs críticas e o Gateway da Marcha.
  • White Label: Parceiro que licencia a tecnologia da Marcha para operar com sua própria marca.
  • Classificação de Risco (Risco de Contágio)Risco Baixo: Parceiros com integração limitada (APIs públicas) e baixo impacto operacional.
  • Risco Médio: Parceiros com relacionamento relevante e impacto moderado nas operações, sem acesso direto a sistemas críticos.
  • Risco Alto: Parceiros estratégicos, Parceiros White Label, com alto impacto operacional e acesso a dados sensíveis ou código-fonte.
  • Tipos de Parceiro (Relevância para a Marcha)Parceiro Tecnológico Crítico: Empresas com integração ampla à PI (APIs, ambientes de staging ou cloud).
  • White Label (Licenciado): Parceiro que assume a responsabilidade regulatória perante o cliente final.
  • Parceiro Estratégico: Instituições de Pagamento (IPs), Adquirentes ou Bureaus de Risco (Celcoin, Serasa).

4.Estrutura de Governança

Dispõe-se sobre a arquitetura de governança corporativa em matéria de KYP, assegurando independência funcional e fluxo de reporte tempestivo.

  • Responsabilidades da DiretoriaAprovar e revisar periodicamente esta política.
  • Assegurar recursos adequados para implementação dos sistemas de diligência tecnológica.
  • Definir a estratégia de risco em relação ao compartilhamento da PI.
  • Aprovar formalmente relacionamentos com Parceiros de Risco Alto.
  • Comitê de Parcerias (Compliance e Risco)Composição: Diretor de Compliance, Diretor Comercial, Responsável pela Área de Risco e Jurídico, e Gerente de Tecnologia/Segurança.
  • Atribuições: Monitorar a implementação desta política; Analisar casos de risco elevado (PLD/FT, sanções); Aprovar Parceiros de Risco Alto e Parceiros com Integração Ampla.
  • Área de ComplianceResponsabilidades: Implementar e manter os procedimentos KYP; Realizar as verificações de integridade (screening); Monitorar a conformidade regulatória dos parceiros críticos (LGPD, PLD).
  • Área de Parcerias e CanaisResponsabilidades: Coletar a documentação do parceiro; Aplicar o Questionário de Conhecimento (KYP); Conduzir processos de seleção; Gerenciar o relacionamento e a performance comercial.

5.Classificação de Parceiros

Fixa-se a metodologia de avaliação baseada em risco que segmenta parceiros por fatores críticos.

  • Matriz de Risco (Fatores-Chave)Fatores de Risco por Tipo de Parceria (Foco na PI e Risco Regulatório) • Risco Baixo: Fornecedores de soluções complementares ou softwares não essenciais. • Risco Médio: Integradores com APIs amplas que acessam dados de clientes, mas não o código-fonte. • Risco Alto: Parceiros White Label (assunção de risco regulatório/cliente final) e Integradores com acesso crítico (sistemas de liquidação ou deploy).
  • Fatores de Integração • Integração Limitada (Risco Baixo): Uso de APIs públicas básicas, sem acesso a dados sensíveis. • Integração Ampla (Risco Alto): Acesso a sistemas críticos, compartilhamento de bases de dados ou integração operacional profunda com risco de downtime sistêmico.
  • Impacto EstratégicoAlto Impacto (Risco Alto): Relacionamento crítico para a continuidade da operação do Gateway (Ex: Provedor Cloud ou parceiro de liquidação).

6.Procedimentos de Identificação

Normatizam-se as etapas de seleção e contratação para diferentes tipos de parceiros.

  • Processo de Seleção Disciplina-se o fluxo de coleta de informações, verificação documental e validação de capacidade técnica e de compliance antes do início do relacionamento.Informações Básicas • Dados da Empresa: Razão social, CNPJ, Website e Atividade Principal. • Informações dos Sócios: Identificação completa dos sócios, participação societária e Verificação de PEPs (Pessoas Politicamente Expostas).
  • Informações Complementares • Capacidade Comercial/Técnica: Experiência no mercado de pagamentos, Certificações e Estrutura da equipe técnica. • Situação Financeira: Faturamento anual, Demonstrações financeiras (para capacidade de investimento) e Histórico de inadimplência.
  • Questionário de Conhecimento (KYP) Impõe-se a aplicação de questionários detalhados.Conformidade e Governança (Foco no Risco Contratual)
  • Possui políticas de compliance implementadas (PLD/FT e LGPD)?
  • Possui Certificações de Segurança (ISO 27001, PCI-DSS)?
  • Já foi objeto de investigações ou sanções (CADE, BACEN)?
  • Validação de Informações Define-se o rol de consultas obrigatórias a bases oficiais, bureaus de crédito e listas restritivas.Consultas Obrigatórias: CNPJ na Receita Federal, Consulta ao SERASA/SPC (para sócios e empresa), Certidões negativas trabalhistas, Verificação em Listas de Sanções Internacionais (OFAC/ONU) e Consulta ao CEIS (Cadastro de Empresas Inidôneas).

7.Documentação Exigida

Estabelecem-se os requisitos documentais mínimos e complementares.

  • Documentos ObrigatóriosDocumentação Societária: Contrato social consolidado, Cartão CNPJ atualizado.
  • Documentação Fiscal e Trabalhista: Certidões negativas de débitos federais, estaduais e trabalhistas.
  • Documentos Complementares (conforme risco)Risco Médio/Alto (Tecnológico/Regulatório). Due Diligence Reforçada: • Relatórios de Auditoria Independente (demonstrando a segurança de dados). • Políticas de compliance e Código de Ética do parceiro. • Apólices de seguro (responsabilidade civil, E&O) compatíveis com o risco da parceria.
  • Parceiros Estratégicos (Foco na PI): • Política de Segurança da Informação detalhada (para acesso à PI). • Certificações de segurança (ISO 27001, PCI-DSS, se aplicável). • Planos de Continuidade de Negócios (PCN) e DRP (Disaster Recovery Plan).

8.Verificação e Validação

Regulamenta-se o processo de verificação e os critérios de aprovação.

  • Processo de VerificaçãoVerificação Automática: Aplicada a Risco Baixo (Validação de CNPJ e Ausência em listas restritivas).
  • Verificação Manual: Exigida para Risco Médio/Alto e Parceiros Estratégicos. Procedimentos: Pesquisa em fontes abertas, contato com referências, Parecer fundamentado do Compliance.
  • Níveis de Due DiligenceDue Diligence Simplificada (Risco Baixo): Verificação básica de documentação.
  • Due Diligence Padrão (Risco Médio): Verificação completa e consulta a bureaus de crédito.
  • Due Diligence Reforçada (Risco Alto): Verificação detalhada de antecedentes, Visita técnica às instalações (para Parceiros Críticos/Cloud) e Aprovação obrigatória pelo Comitê.
  • Critérios de AprovaçãoAprovação Automática: Risco Baixo e documentos válidos.
  • Aprovação com Restrições: Risco Médio, com imposição de controles adicionais (Ex: Limites de acesso à API reduzidos e SLAs mais rigorosos).
  • Aprovação pelo Comitê: Obrigatória para Risco Alto, Parceiros Estratégicos e casos com histórico de restrições superadas.

9.Monitoramento Contínuo

Institui-se a obrigação de monitoramento de performance e conformidade contínuo.

  • Atualização CadastralPeriodicidade: Risco Baixo: Anual; Risco Médio: Semestral; Risco Alto/Estratégicos: Trimestral.
  • Gatilhos para Atualização: Mudança na estrutura societária, vencimento de certificações de segurança (ISO/PCI), surgimento de restrições financeiras ou Incidentes de Segurança/Conformidade.
  • Monitoramento de Performance (Indicadores Críticos)Indicadores de Risco: Envolvimento em processos judiciais, problemas de Segurança da Informação (ex: vulnerabilidades não corrigidas), e descumprimento de obrigações contratuais.

10.Parceiros Estratégicos e Correspondentes

Dispõem-se procedimentos específicos para parceiros de maior risco.

  • Definição e CategoriasParceiros Tecnológicos Críticos: Integradores com acesso amplo a APIs, Desenvolvedores de soluções White Label e Provedores de infraestrutura crítica.
  • Procedimentos EspecíficosDue Diligence Reforçada: Exigência de Demonstrações financeiras auditadas, Certificações de segurança (ISO 27001, PCI-DSS) e Planos de Continuidade de Negócios (PCN).
  • Aprovação: Aprovação obrigatória do Comitê, Parecer técnico e jurídico fundamentado e estabelecimento de SLAs rigorosos (para downtime).

11.Controles Especiais

Determina-se salvaguardas adicionais para parceiros com acesso a informações críticas.

  • Controles de Acesso (Segurança Cibernética)Princípios: Menor privilégio necessário, Segregação de ambientes (Produção/Desenvolvimento) e Autenticação Multifator obrigatória.
  • Monitoramento de SistemasControles Técnicos: Monitoramento de acessos em tempo real (Logs) e Análise de comportamento de usuário (para detectar anomalias no acesso a APIs).
  • Controles Contratuais (Transferência de Risco)Cláusulas Obrigatórias: Conformidade com regulamentações (LGPD, PLD), Direito de auditoria pela Marcha sobre os sistemas do parceiro e Responsabilidade por danos e incidentes (indenização Hold Harmless).
  • Gestão de Parceiros Estratégicos (Risco de Saída)Planos de Transição e Saída: Deve ser estabelecido um plano de contingência para o encerramento da parceria, garantindo a migração segura dos dados e a continuidade da operação.

12.Sistema de Informações

  • Gestão de DocumentosSegurança: Criptografia de dados, Controle de acesso e Retenção de documentos pelo prazo legal (mínimo de 5 anos após o término da parceria).
  • Relatórios GerenciaisRelatórios de Risco: Distribuição por classificação, Alertas gerados e Incidentes de conformidade (PLD/LGPD) para a Alta Administração.

13.Treinamento e Capacitação

Impõe-se programa anual de formação contínua.

  • Programa de TreinamentoPúblico-Alvo: Equipe de Parcerias e Canais, Área de Compliance e Equipe de TI (para Integrações).
  • Conteúdo EspecíficoCompliance: Análise avançada de riscos (identificação de red flags PLD/FT).
  • Parcerias e Canais: Aspectos legais contratuais e Procedimentos de seleção.

14.Auditoria e Controles Internos

Prevê-se a realização de auditorias internas periódicas.

  • Auditoria InternaEscopo: Efetividade dos controles KYP, Qualidade da documentação e Adequação da classificação de risco.
  • Periodicidade: Auditoria completa anual e revisões por amostragem trimestrais.
  • Controles de Segunda LinhaCompliance: Monitoramento independente, Testes de efetividade e Análise de indicadores de risco.

15.Disposições Finais

  • Vigência e Revisão Esta política entra em vigor na data de sua aprovação pela Diretoria e sua revisão ordinária é obrigatória em periodicidade mínima anual.
  • Responsabilidades e SançõesDiretoria: Responder pela efetividade da política.
  • Parceiros: O descumprimento pode resultar em Suspensão temporária da parceria e Rescisão contratual, além de Aplicação de penalidades contratuais (multas por descumprimento de SLA/Segurança).
  • Documentos RelacionadosPolítica de Prevenção à Lavagem de Dinheiro (PLD).
  • Política de Segurança da Informação e Cibernética.
  • Política de Privacidade e Proteção de Dados Pessoais.
  • Código de Ética e Conduta.