Segurança
Seus dados,seu controle. Sempre.
A conexão com seus dados bancários acontece via Open Finance — o sistema regulado pelo Banco Central — com escopo restrito, prazo definido por você e revogação a qualquer momento.
Abaixo, como tudo isso é feito tecnicamente. Sem letra miúda.
Open Finance
O que é. E o que não é.
Open Finance é palavra nova pra muita gente. Clareza primeiro.
Um sistema regulado pelo Banco Central que permite compartilhar dados bancários entre instituições, somente com sua autorização explícita, pelo escopo e prazo que você definir.
A conexão acontece em uma tela do seu próprio banco. Você seleciona o que vai compartilhar, confirma, e o banco devolve um token de acesso temporário pra Portabiliza ler, pelo prazo combinado.
Resolução Conjunta CMN/BCB nº 1/2020 e atualizações posteriores instituem o Open Finance Brasil.
- ×Não é acesso livre aos seus dados. Sem sua autorização, ninguém vê nada.
- ×Não é permissão pro banco mexer na sua conta. O escopo é leitura, no que você marcou.
- ×Não é coleta automática nem contínua. Você define o prazo. Quando vence ou você revoga, acaba.
- ×Não envolve senha bancária. Você nunca digita senha aqui: autoriza dentro do app/site do seu banco.
Escopo do consentimento
O que sai do seu banco — e o que fica.
Granular. Você seleciona dentro do seu banco. Aqui não tem caixinha invisível.
Apenas o estritamente necessário pra simular e comparar propostas de portabilidade:
- ✓Contratos de crédito ativos — modalidade (consignado, pessoal, veículo), taxa, prazo restante, saldo devedor, parcela.
- ✓Identificação básica — nome completo e CPF, pra a instituição parceira validar elegibilidade.
A leitura é feita via Pluggy, instituição de pagamento autorizada pelo Banco Central (Resolução BCB nº 80/2021) e participante do Open Finance, onde o compartilhamento de dados segue a Resolução Conjunta nº 1/2020 (CMN e BCB).
Tudo que não tem relação direta com a portabilidade fica no seu banco:
- ×Senha bancária (não pedimos, não armazenamos, não temos)
- ×Saldo de conta corrente e poupança
- ×Extrato de movimentações (cartão, Pix, transferências)
- ×Investimentos, renda fixa, variável, previdência
- ×Histórico de compras, geolocalização, comportamento de uso
Camadas técnicas
Como protegemos.
Padrões equivalentes aos adotados por instituições financeiras. Cada item abaixo é auditável no código que está em produção.
CPF criptografado em repouso
Salvo no banco com AES-256-GCM (Authenticated Encryption with Associated Data). O algoritmo detecta adulteração: se alguém mexer no ciphertext, a leitura falha. Padrão recomendado pela NIST.
Senha em hash bcrypt
Sua senha nunca é armazenada em texto. Vai por hash bcrypt (custo 12), função unidirecional. Mesmo que alguém ganhasse acesso ao banco, não tem como reverter pro original.
HTTPS obrigatório (HSTS preload)
Todo tráfego é cifrado via TLS 1.2+. Servidor envia HSTS com prazo de 2 anos e elegível pra lista de preload dos browsers: uma vez carregado, o browser nunca aceita downgrade pra HTTP.
Cabeçalhos de segurança
X-Frame-Options DENY (anti-clickjacking), X-Content-Type-Options nosniff (anti MIME confusion), Permissions-Policy bloqueando câmera/microfone/geolocalização, Content-Security-Policy ativa.
PII fora dos logs
Monitoramento de erros (Sentry) tem scrubbing automático: cookies, headers de autorização e dados sensíveis são removidos antes do evento sair do servidor. Stack traces ficam, dados pessoais não.
Backups e retenção
Backups são criptografados em repouso. Retenção segue o mínimo legal exigido pela LGPD e legislação fiscal; depois disso, eliminação ou anonimização irreversível.
Seus direitos
O que você pode pedir — a qualquer momento.
Resumo dos direitos garantidos pela LGPD. Detalhes completos e prazos vivem em Política de Privacidade.
Confirmar tratamento
Saber se a Portabiliza trata seus dados pessoais e quais.
Acessar
Receber cópia dos dados que mantemos sobre você.
Corrigir
Atualizar dados incompletos, inexatos ou desatualizados.
Anonimizar ou bloquear
Pedir anonimização ou bloqueio de dados desnecessários.
Portabilidade
Receber seus dados em formato estruturado pra transferir a outro fornecedor.
Eliminar
Apagar dados tratados com base em consentimento, observado o mínimo legal.
Saber com quem compartilhamos
Lista de parceiros e operadores que tratam seus dados sob nossa instrução.
Revogar consentimento
Cancelar a autorização de tratamento. Pra Open Finance, vale o efeito imediato (detalhe abaixo).
Reclamar à ANPD
Levar à Agência Nacional de Proteção de Dados (ANPD) o que não foi resolvido aqui.
Revogação imediata do consentimento Open Finance
Quando você revoga uma conexão, a Portabiliza chama o endpoint de cancelamento na hora: o token de acesso é invalidado e novas leituras param de funcionar imediatamente. Sem espera, sem ticket de suporte.
Gerenciar conexõesAmparo regulatório
As regras que nos amparam.
A operação inteira está enquadrada por normas públicas — citáveis e verificáveis no site do Banco Central e no Diário Oficial.
Resolução CMN nº 4.935/2021
Correspondente bancário
A Portabiliza atua como correspondente bancário nos termos da Resolução CMN nº 4.935/2021, que reconhece explicitamente plataformas eletrônicas como modelo legal de prestação de serviços a instituições financeiras.
Resolução CMN nº 5.057/2022
Procedimento de portabilidade
O procedimento de portabilidade de crédito é disciplinado pela Resolução CMN nº 5.057/2022. Define prazos, formalidades e direito do devedor.
Resolução Conjunta CMN/BCB nº 1/2020
Open Finance
O Open Finance Brasil foi instituído pela Resolução Conjunta CMN/BCB nº 1/2020 e suas atualizações. Define padrões técnicos, escopo de dados e regras de consentimento.
Lei nº 13.709/2018 — LGPD
Proteção de dados pessoais
O tratamento de dados pessoais segue a Lei Geral de Proteção de Dados (LGPD). Encarregada de Proteção de Dados (DPO) declarada; contato pelo e-mail abaixo.
Encarregada de Proteção de Dados (DPO): dpo@portabiliza.com.br. Resposta em até 15 dias, conforme art. 19 da LGPD.
Em caso de incidente
O que fazemos se algo der errado.
Pessoa nenhuma promete que incidente não acontece. A gente promete o que faz quando acontece.
Notificação à ANPD e aos titulares
Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicamos o incidente à Agência Nacional de Proteção de Dados e aos titulares afetados nos prazos do art. 48 da LGPD. Comunicação clara, sem eufemismo.
Canal direto pra reportar suspeita
Encontrou algo estranho? Suspeita de vazamento, phishing usando nosso nome, vulnerabilidade técnica?
seguranca@portabiliza.com.brAcusamos recebimento em até 48h úteis.
Continuar
Pronto pra ver quanto sobra?
A simulação inicial não conecta sua conta: só usa os números que você digita. Você decide quando autorizar Open Finance. Sem cadastro, sem afetar seu score.