Analisamos se o seu gateway de pagamento é um prestador de serviços técnicos isento ou presta um serviço de pagamento sujeito a autorização nos termos da PSD2 e do Real Decreto-lei 19/2018: posse de fundos, enquadramento como instituição de pagamento ou PISP, atuação como agente de uma instituição autorizada, autenticação forte do cliente (SCA) e prevenção à lavagem de dinheiro.
Consulta gratuita
Respondemos em menos de 24 h
Seis blocos para determinar se o seu gateway precisa de licença e, se for o caso, de qual: da análise do perímetro regulatório até a autorização, a segurança e o compliance.
Analisamos se o seu gateway se enquadra na exclusão de prestador de serviços técnicos — suporte tecnológico sem deter os fundos em nenhum momento — ou se presta um serviço de pagamento sujeito a autorização nos termos da PSD2 e do Real Decreto-lei 19/2018.
Se houver serviço de pagamento, definimos o caminho: solicitar a licença de instituição de pagamento, registrar-se como prestador de serviços de iniciação de pagamento (PISP) ou operar como agente de uma instituição já autorizada enquanto a licença própria é processada.
O ponto-chave: se o gateway chega a deter os fundos do pagador ou os agrega antes de liquidá-los ao lojista, ele cruza o perímetro regulatório e precisa de autorização e de salvaguarda de fundos.
Revisamos a autenticação forte do cliente exigida pela PSD2, as isenções aplicáveis e o padrão de segurança de dados de cartão (PCI DSS), além do marco de resiliência operacional (DORA), quando aplicável.
Se o gateway presta um serviço de pagamento, ele é sujeito obrigado: implantamos avaliação de riscos, KYC, monitoramento, representante perante o SEPBLAC e reporting.
Organizamos os contratos com o adquirente, as bandeiras de cartão e os fornecedores técnicos, além da divisão de responsabilidades, para que o modelo funcione na prática.
Nem todos os gateways são iguais perante a norma: uma coisa é dar suporte técnico, outra é tocar nos fundos ou iniciar pagamentos. O enquadramento regulatório depende do que exatamente a sua plataforma faz.
“O gateway puramente técnico transmite dados e conecta o lojista ao adquirente sem deter os fundos em nenhum momento. Ele fica excluído da autorização, mas o limite precisa ser documentado.”
“O agregador ou facilitador de pagamentos que recebe os fundos e depois os liquida ao lojista presta um serviço de pagamento: precisa de autorização e de salvaguarda dos fundos dos clientes.”
“Se o gateway inicia pagamentos a partir da conta do cliente (open banking), trata-se de um serviço de iniciação de pagamento: é regulado mesmo que não chegue a deter os fundos.”
“Quando o modelo exige gerir fundos e prestar vários serviços de pagamento, o caminho é a licença própria de instituição de pagamento, com seu capital, sua governança e seu compliance.”
Supor que um gateway nunca precisa de licença é um erro frequente: assim que ele toca nos fundos ou inicia pagamentos, entra no perímetro da PSD2, e operar sem autorização bloqueia a atividade e expõe a sanções.
O erro mais comum: dar como certo que um gateway é “só tecnologia”. O limite está em deter ou não os fundos em algum momento; se esse limite é cruzado sem autorização, o problema aparece quando o negócio já está em funcionamento.
A iniciação de pagamento é regulada mesmo que você não toque nos fundos: confundir um gateway técnico com um PISP leva a operar sem o registro necessário perante o Banco de España.
A salvaguarda e a PLD não são opcionais: se o gateway presta um serviço de pagamento, deve salvaguardar os fundos dos clientes e cumprir as normas de prevenção à lavagem de dinheiro desde o primeiro dia.
Prestar serviços de pagamento sem a autorização prévia do Banco de España pode levar à paralisação da atividade.
O regime sancionador do RD-lei 19/2018 alcança quem presta serviços de pagamento sem autorização, com responsabilidade dos administradores.
Adquirentes, bancos e bandeiras de cartão exigem um enquadramento regulatório claro antes de integrar um gateway: sem ele, as integrações ficam bloqueadas.
Antes de lançar ou escalar, convém validar o perímetro regulatório: se o seu modelo toca nos fundos, inicia pagamentos ou faz agregação, e qual via de autorização ou de agente é a mais adequada para você.
Um gateway de pagamento (payment gateway) é a tecnologia que conecta um lojista ao ecossistema de pagamentos — adquirente, bandeiras de cartão, bancos — para autorizar e processar transações. Na sua versão mais básica, transmite e protege dados sem chegar a deter os fundos.
A pergunta-chave não é tecnológica, e sim regulatória: se em algum momento ele detém os fundos ou inicia o pagamento, deixa de ser um simples suporte técnico.
Depende. Se for um prestador de serviços técnicos que dá suporte sem deter os fundos em nenhum momento, fica excluído da autorização nos termos da PSD2 e do Real Decreto-lei 19/2018.
Se toca nos fundos, os agrega ou inicia pagamentos, presta um serviço de pagamento e precisa de autorização (instituição de pagamento) ou de registro (PISP), ou então deve operar como agente de uma instituição autorizada.
Quando sua função se limita ao suporte tecnológico — processamento e armazenamento de dados, autenticação, redes, terminais — e ele não entra na posse dos fundos a transferir. Essa exclusão está prevista na PSD2 e no RD-lei 19/2018.
Importante: a exclusão não cobre a iniciação de pagamento nem a informação sobre contas, que são reguladas mesmo que o prestador não detenha os fundos.
Eles se distinguem por tocarem ou não nos fundos e pela sua autorização:
Um PISP (prestador de serviços de iniciação de pagamento) inicia uma ordem de pagamento a partir da conta bancária do cliente no âmbito do open banking. Diferentemente de um gateway técnico, é regulado — exige registro perante o Banco de España — mesmo que não chegue a deter os fundos.
Muitos gateways modernos incorporam a iniciação de pagamento, o que os coloca dentro do perímetro regulado.
A autenticação forte do cliente (SCA) é a exigência da PSD2 de verificar o usuário com pelo menos dois fatores independentes (algo que ele sabe, possui ou é) nos pagamentos eletrônicos. Ela é desenvolvida no Regulamento Delegado (UE) 2018/389 e admite certas isenções.
O gateway deve suportar a SCA e gerir corretamente as isenções para não aumentar o atrito nem assumir responsabilidade por fraude.
Se o gateway presta um serviço de pagamento, é sujeito obrigado nos termos da Lei 10/2014: deve implantar avaliação de riscos, diligência devida (KYC) e monitoramento, designar um representante perante o SEPBLAC e comunicar operações suspeitas.
Um prestador puramente técnico, que não presta serviços de pagamento, não tem, por essa atividade, a condição de sujeito obrigado.
Sim. Uma alternativa à obtenção de licença própria é operar como agente de uma instituição de pagamento já autorizada, com inscrição no registro correspondente e sob a responsabilidade dessa instituição.
É um caminho comum para lançar mais cedo ou validar o modelo, mas exige um contrato sólido e controles que a instituição principal irá supervisionar.
PCI DSS (Payment Card Industry Data Security Standard) é o padrão de segurança de dados do setor de cartões que deve ser cumprido por quem armazena, processa ou transmite dados de cartão. Não é uma licença, e sim uma exigência contratual das bandeiras de cartão, mas é imprescindível para operar um gateway com segurança.
É o Real Decreto-lei 19/2018, de 23 de novembro, de serviços de pagamento e outras medidas urgentes em matéria financeira, que transpõe a PSD2 (Diretiva (UE) 2015/2366) na Espanha. Ele regula quem pode prestar serviços de pagamento, as instituições de pagamento, a iniciação de pagamento, a informação sobre contas e as exclusões do âmbito de aplicação.
É uma exclusão da PSD2 para instrumentos que só servem para adquirir bens ou serviços em uma rede limitada de fornecedores ou em uma gama muito específica de produtos (por exemplo, cartões-presente de uma rede de lojas). Ultrapassados certos limites, ela deve ser notificada ao Banco de España. É diferente da isenção de agente comercial.
A PSD3 e o Regulamento de Serviços de Pagamento (PSR) estão na fase final de tramitação (acordo político no fim de 2025 e texto de compromisso em 2026, com aplicação prática prevista para por volta de 2027). Eles substituirão a PSD2, unificarão instituições de pagamento e de moeda eletrônica em uma única categoria, reforçarão a SCA e a responsabilidade por fraude e ampliarão o open banking. Convém desenhar o projeto com esse horizonte em mente.
É a pergunta que define tudo. Se o dinheiro passa por contas do gateway antes de chegar ao lojista, ou se o gateway o agrega e liquida, então ele detém os fundos e presta um serviço de pagamento. Se o fluxo vai direto do pagador ao adquirente/lojista e o gateway apenas transmite dados, ele não os detém.
O supervisor dos serviços de pagamento na Espanha é o Banco de España, que autoriza e mantém o registro de instituições de pagamento, agentes e prestadores de serviços de iniciação de pagamento e de informação sobre contas. Um prestador puramente técnico não se registra por essa atividade, mas convém documentar por que ele fica fora do perímetro.
A necessidade de autorização e o capital exigido dependem de o gateway tocar ou não nos fundos e de qual serviço de pagamento ele presta. Ajudamos você a situar o seu modelo antes de começar.
Duas perguntas organizam o enquadramento: se o gateway detém os fundos em algum momento e qual serviço de pagamento ele presta exatamente.
Antes de comprometer honorários, fechamos o perímetro regulatório e a via adequada. Assim você evita pedir uma licença de que não precisa ou, pior, operar sem aquela de que precisa.
| Modelo | Gateway técnico | Agregador / facilitador | PISP | Instituição de pagamento |
|---|---|---|---|---|
| Precisa de licença? | Não (excluído) | Sim | Registro específico | Sim |
| Toca nos fundos? | Não | Sim | Não | Sim, com salvaguarda |
| Autorização | Nenhuma (documentar a exclusão) | Instituição de pagamento | Registro de PISP perante o BdE | Autorização de instituição de pagamento |
| Capital inicial (indicativo) | Não se aplica | € 125.000 | € 50.000 | De € 20.000 a € 125.000, conforme os serviços |
| Supervisor | Banco de España (perímetro) | Banco de España | Banco de España | Banco de España |
Valores indicativos para fins comparativos. O capital exato e o enquadramento regulatório dependem dos serviços de pagamento específicos que o gateway presta e de ele deter ou não os fundos; devem ser validados caso a caso nos termos do Real Decreto-lei 19/2018 e da PSD2.
O enquadramento de um gateway não é um rótulo: é o resultado da análise do fluxo de fundos, dos serviços prestados e da segurança. O segredo é decidir bem a via antes de construir o produto.
Antes de tudo, é preciso mapear se o dinheiro passa pelo gateway e qual serviço ele presta. Essa decisão determina se ele precisa de licença, de registro ou se fica excluído.
A autenticação forte, as isenções e o cumprimento do PCI DSS devem ser resolvidos cedo: afetam o atrito, a fraude e a relação com adquirentes e bandeiras.
Se há serviço de pagamento, a prevenção à lavagem de dinheiro e os contratos com o adquirente e os fornecedores devem ser desenhados desde o início, não como um apêndice.
Se você quer validar o enquadramento do seu gateway ou preparar a autorização, conheça nossos serviços de regulação fintech e de licença de instituição de pagamento.
Enquadrar um gateway não é colocar um rótulo nele: é um conjunto de decisões coerentes (fluxo de fundos, serviços de pagamento, segurança e compliance) que determinam se ele precisa de licença. Aqui está um painel para entender como isso se concretiza.
1) FluxoO objetivo não é rotular o gateway o quanto antes, e sim ver se o dinheiro passa por ele. Essa decisão condiciona todo o enquadramento.
2) ServiçoAdquirência, execução, iniciação de pagamento ou informação sobre contas. Cada serviço tem sua autorização ou registro e seu capital.
3) SegurançaAutenticação forte, isenções e PCI DSS. Quando são negligenciados, aumentam a fraude, o atrito e o risco perante as bandeiras.
4) CompliancePLD/FT, salvaguarda de fundos, se aplicável, e contratos com o adquirente e os fornecedores. É o que transforma o enquadramento em um modelo operacional e defensável.
Decisão rápidaVocê não detém fundos nem inicia pagamentos: prestador de serviços técnicos, excluído da autorização.
Você inicia pagamentos a partir da conta do cliente: registro como PISP perante o Banco de España.
Você recebe e liquida fundos: licença de instituição de pagamento ou agente de uma instituição autorizada.
Análise clara de se o gateway detém os fundos em algum momento do circuito.
Diagrama do fluxo de fundos, esquema de contas e descrição do circuito de liquidação.
Identificação dos serviços prestados (adquirência, execução, iniciação, informação).
Descrição funcional do serviço e mapeamento com os serviços de pagamento do RD-lei 19/2018.
Justificativa, se for o caso, da exclusão de prestador técnico, rede limitada ou agente comercial.
Relatório de enquadramento regulatório e, se cabível, notificação ao Banco de España.
Autenticação forte, gestão de isenções e segurança dos dados de cartão.
Política de SCA, matriz de isenções e certificação ou questionário PCI DSS.
Marco de prevenção à lavagem de dinheiro proporcional quando se presta um serviço de pagamento.
Manual de PLD, avaliação de riscos, dossiês de KYC e designação do representante perante o SEPBLAC.
Divisão clara de responsabilidades com o adquirente, as bandeiras e os fornecedores técnicos.
Contratos com o adquirente, acordos com fornecedores, SLA e marco de continuidade.
Identifique-os antes do lançamento para evitar operar fora do perímetro ou pedir uma licença desnecessária.
Se você está definindo o enquadramento de um gateway de pagamento, estes termos aparecem na análise regulatória, nos contratos e na relação com o Banco de España e as bandeiras de cartão.
Tecnologia que conecta o lojista ao adquirente e às bandeiras para autorizar e processar pagamentos. Seu enquadramento depende de ele deter os fundos ou iniciar pagamentos.
Prestador de suporte tecnológico aos serviços de pagamento que não detém os fundos em nenhum momento. Está excluído da autorização, salvo para a iniciação de pagamento e a informação sobre contas.
Instituição autorizada pelo Banco de España para prestar serviços de pagamento e gerir fundos de clientes com salvaguarda. Capital inicial entre € 20.000 e € 125.000, conforme os serviços.
Serviço que inicia uma ordem de pagamento a partir da conta bancária do cliente. É regulado — exige registro — mesmo que não chegue a deter os fundos. Capital inicial de € 50.000.
Facilitador que recebe os fundos das transações e depois os liquida ao lojista. Ao deter os fundos, presta um serviço de pagamento e precisa de autorização.
Verificação do usuário com pelo menos dois fatores independentes nos pagamentos eletrônicos, exigida pela PSD2 e desenvolvida no Regulamento Delegado (UE) 2018/389, com isenções taxativas.
Padrão do setor de cartões para quem armazena, processa ou transmite dados de cartão. Não é uma licença, e sim uma exigência contratual das bandeiras.
Norma que transpõe a PSD2 na Espanha. Regula os serviços de pagamento, as instituições de pagamento, a iniciação de pagamento e a informação sobre contas, além das exclusões do âmbito de aplicação.
Obrigação de manter segregados e protegidos os fundos de clientes recebidos para executar operações de pagamento. Aplica-se quando o gateway chega a deter os fundos.
Baixe nosso guia com o marco completo: quando um gateway fica excluído, quando precisa de licença, qual figura escolher e quais requisitos de segurança e compliance se aplicam.
Conte-nos como funciona o seu gateway e explicaremos se ele precisa de licença e qual é a via mais eficiente para o seu projeto.
O enquadramento de um gateway de pagamento é decidido a partir da Diretiva (UE) 2015/2366 (PSD2) e da sua transposição na Espanha, o Real Decreto-lei 19/2018, de 23 de novembro, de serviços de pagamento. A supervisão e a autorização cabem ao Banco de España, que avalia se a atividade constitui um serviço de pagamento e qual figura lhe corresponde.
O RD-lei 19/2018 exclui do seu âmbito os prestadores de serviços técnicos que dão suporte aos serviços de pagamento — processamento e armazenamento de dados, autenticação, redes, terminais — sem entrar em nenhum momento na posse dos fundos a transferir. Um gateway que se limita a essa função fica fora do perímetro, mas a exclusão não alcança a iniciação de pagamento nem a informação sobre contas.
Se o gateway detém ou agrega os fundos, presta um serviço de pagamento e precisa de autorização como instituição de pagamento (capital inicial de € 20.000 a € 125.000, conforme os serviços). Se inicia pagamentos a partir da conta do cliente, é um PISP (registro específico); se agrega informações de contas, um AISP. Também é possível operar como agente de uma instituição de pagamento já autorizada.
Quando há serviço de pagamento, aplicam-se a autenticação forte do cliente do Regulamento Delegado (UE) 2018/389, a salvaguarda dos fundos de clientes e as obrigações de prevenção à lavagem de dinheiro da Lei 10/2014. Soma-se a isso, no plano contratual, o padrão de segurança de dados de cartão (PCI DSS) exigido pelas bandeiras.
A PSD3 e o Regulamento de Serviços de Pagamento (PSR), em fase final de tramitação, substituirão a PSD2, unificarão as instituições de pagamento e de moeda eletrônica em uma única categoria e reforçarão a autenticação, a responsabilidade por fraude e o open banking, com aplicação prática prevista para por volta de 2027. Convém desenhar o gateway levando em conta esse horizonte.
Normas de referência, com link para o texto oficial:
Normas e links revisados em .