Etapa 3: Autenticação e Confirmação (JSR)

Autenticação e confirmação do vínculo de conta na Instituição Detentora de Conta.

Cenário: Autenticação na Detentora de Conta

1. Para o usuário se autenticar, é necessário que ele possua acesso a um canal digital da Instituição Detentora de Conta.

2. A autenticação do usuário deve ser realizada de acordo com os padrões dos canais digitais já definidos por cada instituição, conforme disposto na Resolução Conjunta nº 4.

3. No ambiente da Instituição Detentora de Conta, é necessário fazer a confirmação da solicitação da etapa de Vinculação de Conta através da identificação do usuário, que foi iniciada na Instituição Iniciadora de Transação de Pagamento. Deve-se seguir os padrões da Instituição Detentora de Conta, de forma a garantir que a autenticação e a confirmação sejam realizadas pelo mesmo usuário.

4. Em casos de primeiro acesso ou esquecimento de senha do canal, o usuário deve seguir o fluxo já definido, de acordo com cada instituição.

Cenário: Confirmação do vínculo de conta

5. Caso a escolha da origem do débito (conta) tenha sido realizada na Instituição Iniciadora de Transação de Pagamento, a Detentora de Conta deverá utilizar essa informação caso ela seja válida e seja possível através do login realizado, bem como permitir que o usuário realize a troca da conta no momento da confirmação da vinculação de conta.

6. Se o usuário cancelar a etapa de Vinculação de Conta na Detentora, ele será redirecionado para a Iniciadora de Pagamento. A Iniciadora precisa informar ao usuário que a vinculação não será feita. A Instituição Detentora de Conta deve disponibilizar a opção de interrupção da etapa de Vinculação de Conta, antes da confirmação. A opção de interrupção do fluxo não deve ser a opção proeminente, em relação ao botão “Confirmar”.

7. Na tela de confirmação da vinculação de conta, apresentar um resumo da operação, contendo os dados mínimos:

   1. De identificação do usuário: Nome e CPF ou Razão Social e CNPJ.

   2. De identificação da Iniciadora: Marca da Iniciadora de Transação de Pagamentos.

   3. De prazo da vinculação de conta: Período em que a vinculação de conta será válida. Este campo deve vir preenchido com o período de 5 anos, como padrão, e deve ser dada a possibilidade de o usuário editar, diminuir ou aumentar este prazo.

   4. De limites de transação: Limites financeiros autorizados para transações durante o período de vinculação de contas. As instituições devem se atentar aos limites estabelecidos na regulação ou previstas em contrato bilateral (quando aplicável).

      1. O usuário deve ser informado que sempre estará sujeito aos limites transacionais Pix existentes em sua conta e que eles prevalecem aos limites estabelecidos no vínculo de conta.

      2. A Instituição Detentora de Conta deve permitir que o usuário escolha e/ou edite os limites para o vínculo de conta.

         1. Estes limites devem estar submetidos aos limites já existentes em sua conta e/ou limites regulatórios e/ou estabelecidos por contratos bilaterais.

         2. A validação destes limites deve ser feita durante o pagamento, não durante a etapa de vinculação de conta.

         3. A Instituição Detentora deve permitir ao usuário a definição de um limite máximo diário personalizado. Caso não definido pelo usuário, deve-se considerar os valores dos limites do Pix da sua conta.

      3. As Instituições Detentoras de Conta devem garantir que os valores de limite máximo por transação escolhidos sejam menores ou iguais aos valores de limite máximo diário.

   5. De identificação da conta de origem: Número da conta de origem dos pagamentos.

8. A autorização e a confirmação da vinculação de conta devem ocorrer de acordo com os poderes vigentes na Instituição Detentora.

9. Para pessoas naturais, para conta conjunta, cada titular pode autorizar o seu próprio aparelho.

10. Disponibilizar um aviso de redirecionamento para dar maior visibilidade ao usuário quanto às próximas etapas.

11. A Instituição Detentora de Conta não deve disponibilizar o recurso de “Termos e Condições”, ou similar, durante a jornada de vinculação de conta. O referido recurso pode, a critério da instituição, constar no ambiente de Gestão de Consentimentos da Instituição Detentora de Conta.

12. Jornada Otimizada (saldo e limite): Quando aplicável, informar que o saldo e o limite estão sendo compartilhados.

    1. Exibir o escopo de cada dado compartilhado.

13. Omissão de informações desnecessárias: Omitir qualquer aspecto que desvie o foco do usuário em concluir o vínculo de conta, como, por exemplo link, botão, imagem, texto, entre outros.

Cenário: Confirmação do vínculo de conta

1. Caso a Instituição Iniciadora de Transação de Pagamento capture os dados de conta do usuário, recomenda-se que eles sejam utilizados para facilitar a autenticação da Instituição Detentora de Conta, caso não tenha prejuízo dos protocolos de segurança para autenticação seguidos pelas instituições.

2. Na tela de confirmação da vinculação de conta, a instituição pode disponibilizar, e permitir a edição pelo usuário, do seguinte dado adicional: Identificação do dispositivo autorizado para a vinculação de conta, Nome do dispositivo autorizado para a vinculação de conta.

3. Caso o usuário queira cancelar a Vinculação de Conta na etapa de confirmação da Detentora de Conta, ela poderá mostrar um alerta para confirmar a ação do usuário. Sugestão: “Deseja cancelar a solicitação de Vinculação de Conta?".

4. Os métodos de autenticação de transações já utilizados pelas Instituições Detentoras de Conta, como PINs e validação biométrica ou algum elemento de confirmação final são facultativas, desde que a linguagem e os elementos gráficos utilizados não gerem insegurança ou induzam o usuário a desistir da vinculação.