Como escolher fornecedor de KYC: 12 perguntas

Escolher fornecedor de KYC é verificar quatro coisas: de onde vem o dado, o que a validação cobre, o que acontece quando ela falha e o que sobra com você se o contrato acabar. As 12 perguntas abaixo cobrem essas quatro frentes.

Reunião de fornecedor tem um problema de assimetria. Do outro lado da mesa está alguém que já fez essa conversa muitas vezes e conhece cada ponto em que a demonstração impressiona. Do seu lado, um time que compra isso raramente.

Equilibrar não exige saber mais de tecnologia. Exige chegar com pergunta escrita e com o critério de resposta ruim definido antes da reunião, para que a avaliação não dependa da impressão final da apresentação.

As 12 perguntas, o motivo de cada uma e o sinal de alerta

• 1. De quais fontes vem o dado que vocês consultam e com que frequência cada uma é atualizada? Por que importa: Dado desatualizado gera aprovação indevida e recusa indevida ao mesmo tempo. Sinal de resposta ruim: Responder apenas "bases oficiais" sem nomear origem nem periodicidade.
• 2. Quais documentos brasileiros vocês leem hoje, incluindo os modelos antigos ainda em circulação? Por que importa: Cobertura documental incompleta empurra volume para análise manual. Sinal de resposta ruim: Dizer que lê "qualquer documento" sem entregar a lista por modelo e versão.
• 3. A prova de vida de vocês cobre ataque de apresentação, ataque por injeção, ou os dois, e como isso foi testado? Por que importa: São problemas distintos e exigem defesas distintas. Sinal de resposta ruim: Tratar os dois como sinônimo ou citar laboratório sem apresentar o escopo do teste.
• 4. Como funciona reverificar um usuário que já existe, sem refazer o cadastro inteiro? Por que importa: A fraude relevante aparece depois da entrada, em mudança de estado e momento de valor. Sinal de resposta ruim: Responder que basta "rodar o onboarding de novo".
• 5. Como exatamente vocês cobram: por consulta, por aprovação, por pacote, e o que acontece com consulta que falha? Por que importa: O custo real só aparece quando você entende o que é cobrado em erro e em repetição. Sinal de resposta ruim: Preço único apresentado sem detalhar tentativa, reprocesso e consulta inconclusiva.
• 6. Qual o SLA de disponibilidade e de tempo de resposta, o que acontece quando é descumprido e isso está no contrato? Por que importa: Sem penalidade escrita, SLA é expectativa, não compromisso. Sinal de resposta ruim: SLA apresentado em apresentação comercial mas ausente da minuta contratual.
• 7. Existe fila de exceção com revisão humana, quem opera, em qual prazo e como eu acompanho? Por que importa: Nenhuma regra automática cobre todo cliente legítimo fora do padrão. Sinal de resposta ruim: Afirmar que o produto é totalmente automatizado e não precisa de exceção.
• 8. Qual a base legal para tratar biometria, por quanto tempo vocês retêm e como eu solicito o descarte? Por que importa: A LGPD, Lei 13.709/2018, trata dado biométrico como dado sensível e a responsabilidade não termina no fornecedor. Sinal de resposta ruim: Retenção indefinida, ou resposta de que "o jurídico depois explica".
• 9. Quais registros e documentos exigidos pelo regulador do meu setor vocês fornecem para a contratação? Por que importa: Para instituições reguladas pelo Banco Central, a IN BCB 590/2025 disciplina o registro no Unicad da empresa contratada para compartilhamento de dados e informações sobre indícios de fraudes. Sinal de resposta ruim: Resposta vaga sobre conformidade sem comprovante que possa ser anexado ao processo.
• 10. A documentação da API é pública e qual o prazo realista até o primeiro cadastro aprovado em produção? Por que importa: Prazo de integração é custo de time e atraso de receita. Sinal de resposta ruim: Documentação só liberada após assinatura, ou prazo dado sem premissa de escopo.
• 11. Que trilha de evidência fica registrada por decisão e por quanto tempo eu consigo recuperá-la? Por que importa: Em ofício, contestação ou auditoria, o que vale é reconstruir a decisão, não lembrar dela. Sinal de resposta ruim: Guardar só o resultado final, sem contexto, sinais e versão de regra.
• 12. Se eu sair, o que levo comigo e em qual formato, e em quanto tempo? Por que importa: Sem portabilidade definida, a troca de fornecedor exige reverificar a base inteira. Sinal de resposta ruim: Não haver cláusula de saída, ou exportação apenas em relatório não estruturado.

As quatro perguntas que mais mudam a decisão

Se a reunião for curta, priorize quatro.

A pergunta 4, sobre reverificação, separa quem vende onboarding de quem entende ciclo de vida da conta. Fornecedor que só sabe validar entrada deixa você desprotegido exatamente onde a fraude madura acontece: troca de dispositivo, mudança de dado cadastral, primeiro momento de valor.

A pergunta 5, sobre cobrança, é a que mais muda o custo total. O preço de tabela raramente é o que você paga. O que define a fatura é o tratamento de tentativa repetida, de consulta inconclusiva e de reprocessamento. A composição do custo por tipo de consulta está detalhada em quanto custa um KYC no Brasil.

A pergunta 7, sobre fila de exceção, revela a maturidade operacional. Quem afirma que o produto dispensa revisão humana está descrevendo um cenário sem cliente legítimo atípico, e esse cliente existe em toda base.

A pergunta 12, sobre saída, é a que ninguém faz e a que mais dói depois. Se a evidência de verificação não sai em formato estruturado, trocar de fornecedor significa reverificar a carteira inteira, com custo de consulta e atrito com cliente bom.

Como conduzir a reunião para não comprar demonstração

Três disciplinas simples melhoram muito o resultado.

Peça o caso difícil, não o caso bonito. Leve documento antigo, foto com iluminação ruim, cadastro com divergência de grafia no nome. A demonstração padrão sempre funciona. O que você precisa saber é o que o sistema faz quando não funciona, e se ele explica o motivo da falha de forma acionável.

Separe o que é produto do que é projeto. Muita capacidade apresentada existe, mas depende de desenvolvimento sob demanda. Pergunte, item por item, se está disponível hoje em contrato padrão ou se entra em roadmap. Registre a resposta por escrito.

Trate fricção como critério, não como defeito. Um fornecedor que responde a toda pergunta com "e isso não gera atrito nenhum" está otimizando a variável errada. Verificação existe para produzir evidência. O que você quer é rigor previsível, com atrito colocado onde há valor, não um fluxo que passa todo mundo rápido.

Depois da reunião, a validação técnica precisa acontecer em ambiente controlado, com casos seus e critério de aceite definido antes. O roteiro está em como testar um fornecedor antes de assinar, e os itens que precisam estar na minuta estão em o que checar no seu fornecedor perante o regulador.

O que fazer agora

1. Leve as 12 perguntas impressas e preencha a coluna de resposta durante a reunião, não depois. Memória de reunião favorece quem apresentou melhor.
2. Peça por escrito a lista de documentos suportados por modelo e versão, e a política de retenção de dado biométrico.
3. Exija documentação pública da API antes da assinatura e rode uma prova de conceito com pelo menos 30 casos reais anonimizados, incluindo casos difíceis.
4. Confirme com o jurídico se a contratação exige registro perante o regulador do seu setor e anexe a documentação ao processo de contratação.
5. Negocie a cláusula de saída e o formato de exportação antes de discutir preço. Depois da assinatura, essa conversa perde força.

Perguntas frequentes

Qual a pergunta mais importante ao escolher fornecedor de KYC? A de reverificação. Ela mostra se o fornecedor trata identidade como evento de entrada ou como ciclo de vida da conta, que é onde aparece a fraude feita com conta já aprovada.

Como comparar preço entre fornecedores de KYC? Compare a composição, não o valor de tabela. Pergunte o que acontece com tentativa repetida, consulta inconclusiva, reprocessamento e análise manual. Dois preços por consulta iguais podem gerar faturas muito diferentes.

Preciso verificar registro do fornecedor em algum regulador? Depende do seu setor e do serviço contratado. Para instituições reguladas pelo Banco Central, a IN BCB 590/2025 exige registrar no Unicad, em até dez dias após a contratação, a empresa contratada para compartilhamento de dados e informações sobre indícios de fraudes. Confirme o enquadramento com o jurídico e anexe a documentação ao processo de contratação.

O que exigir sobre retenção de dados biométricos? Base legal declarada, prazo de retenção definido em contrato, procedimento de descarte e possibilidade de solicitar eliminação. A LGPD, Lei 13.709/2018, classifica dado biométrico como sensível, e a responsabilidade do controlador não termina no fornecedor.

Vale testar antes de assinar mesmo em contrato pequeno? Vale. Uma prova de conceito curta custa muito menos que migrar de fornecedor depois, principalmente sem cláusula de portabilidade negociada.

Para avaliar como isso se aplica à sua operação, fale com o time comercial da Shiel ID.