O que é Open Banking? PSD2, Consentimento e Dados | Cash Book
Resposta rápida
Open banking é um conjunto de regras e padrões técnicos que permitem que você autorize seu banco a compartilhar dados da conta ou iniciar um pagamento por meio de terceiros regulamentados. Na União Europeia, isso vem da segunda Diretiva de Serviços de Pagamento, a PSD2. No Reino Unido, deriva de uma ordem da Autoridade de Concorrência e Mercados que exigiu que os nove maiores bancos publicassem uma API comum. Existem duas funções regulamentadas: a de informações de conta, que lê saldos e transações, e a de iniciação de pagamento, que movimenta dinheiro. Ambas precisam de autorização de um órgão regulador e do seu consentimento explícito e com prazo determinado, podendo ser revogadas a qualquer momento.
As pessoas ouvem falar de open banking e imaginam o banco compartilhando seus dados por aí. Algo como: existe um acordo, os aplicativos estão em uma lista, as transações já estão em algum lugar. É quase o oposto. Tudo funciona com base no consentimento que você dá, para um provedor nomeado, para um escopo definido, por um tempo limitado, e que você pode retirar. Os bancos também não fizeram isso voluntariamente. Os reguladores os obrigaram a construir a porta, e ela só abre quando você permite.
Duas funções, e um regulador por trás de cada uma
Na União Europeia, a base legal é a segunda Diretiva de Serviços de Pagamento, a Diretiva (UE) 2015/2366, conhecida como PSD2. Ela criou duas funções regulamentadas, e a diferença entre elas é a diferença entre ler e escrever. Um provedor de serviço de informações de conta lê: saldos, histórico de transações, detalhes da conta. Um provedor de serviço de iniciação de pagamento escreve: ele instrui uma transferência da sua conta sem um cartão no meio do caminho. Aplicativos de orçamento querem o primeiro. Botões de checkout querem o segundo. Ambos precisam de autorização de um regulador nacional e ambos precisam do seu consentimento explícito para cada conexão. A PSD2 deve ser substituída por um pacote sucessor: uma diretiva sobre licenciamento junto com um regulamento diretamente aplicável que contém as regras de open banking e fraude. A Comissão Europeia publica o estado atual da situação.
O Reino Unido chegou lá por um caminho diferente. A Autoridade de Concorrência e Mercados (CMA) investigou o setor bancário de varejo, descobriu que os clientes raramente mudavam de banco e que novos concorrentes tinham dificuldade em competir. Sua ordem de reparação exigiu que os nove maiores provedores de contas correntes, o CMA9, construíssem um padrão de API comum e financiassem um órgão central para escrever as regras e fiscalizá-las. Esse órgão foi a Open Banking Implementation Entity. Hoje, opera como Open Banking Limited, e a Financial Conduct Authority autoriza as empresas que utilizam o padrão.
Vale a pena lembrar, pois muita gente entende errado: a conexão é com um terceiro operando sob sua própria autorização. Seu banco está fornecendo o acesso. Ele não está endossando o aplicativo.
O redirecionamento e a empresa que você não escolheu
O fluxo parece o mesmo em ambos os regimes. Você escolhe um provedor dentro de um aplicativo, é redirecionado para o seu banco, autentica-se da maneira de sempre, aprova um escopo de acesso nomeado e é enviado de volta. O aplicativo nunca recebe sua senha bancária. Essa parte é um design genuinamente bom.
O consentimento tem prazo limitado. Os padrões técnicos da PSD2 exigiam originalmente uma nova autenticação a cada 90 dias para acesso contínuo aos dados, e uma emenda posterior estendeu esse período. É por isso que as conexões bancárias dentro de aplicativos de orçamento param periodicamente de fornecer dados e pedem que você faça login novamente. Não é o aplicativo sendo difícil.
Depois, há o detalhe que quase ninguém lê com atenção. Pouquíssimos aplicativos de consumo possuem a licença; eles compram o acesso de um agregador autorizado, como Plaid, TrueLayer ou Tink, que detém as permissões e executa as conexões com milhares de instituições. Portanto, uma chave de sincronização bancária geralmente significa que seu histórico de transações passa por uma quarta empresa que você nunca escolheu, nomeada na tela de consentimento e longe da página de marketing. Revogar é um trabalho de dois lugares pelo mesmo motivo. Desative o consentimento dentro do aplicativo e, em seguida, abra o aplicativo do seu banco, que mantém a lista de terceiros conectados e um controle para revogá-los, pois excluir algo do seu telefone não avisa de forma confiável ao banco para fechar a porta atrás de você.
Um feed diz o que saiu, não para que serviu
O open banking responde bem a uma pergunta: o que saiu da conta. Ele não responde à pergunta que realmente importa para um orçamento, que é para que servia o dinheiro. E nenhuma qualidade de API corrige isso, porque um feed entrega apenas o nome do estabelecimento, um valor e uma data. Decidir que uma descrição de cartão ilegível era um almoço de trabalho em vez de compras de mercado ainda é tarefa sua. Deixe passar quatro dias e você não vai se lembrar. É por isso que rastreadores sincronizados acabam tão frequentemente com uma categoria grande e inútil de "não categorizado" no final do mês.
O tempo é o segundo limite. Transações com cartão chegam como pendentes e são liquidadas depois, às vezes com um valor diferente, o que significa que um saldo conectado não é a mesma coisa que dinheiro disponível, e o tempo do fluxo de caixa é um problema separado do número na tela. Saques em dinheiro chegam como uma única linha escondendo cinco compras. A cobertura também tem falhas: é boa para contas correntes na UE e no Reino Unido, mas mais limitada para poupanças, cartões de crédito e instituições menores.
Portanto, um feed é uma ferramenta de reconciliação decente, mas uma ferramenta de consciência financeira pobre. Ele te informa depois do fato. O momento que muda o comportamento é o momento em que você está no caixa, que é o argumento que o guia de rastreamento de despesas no iPhone defende detalhadamente.
O outro lado da moeda
O Cash Book nunca se conecta a um banco. Essa é uma escolha deliberada e tem um custo real: nada chega automaticamente, nunca. Em troca, não há tela de consentimento, nenhum agregador no meio, nenhuma reautenticação de 90 dias e nenhuma cópia do seu histórico de transações em servidores de terceiros, porque os dados vivem no iPhone e, se você ativar, na sua própria conta do iCloud, o que é abordado em sincronização e privacidade do iCloud.
A velocidade de entrada é o que substitui o feed. O registro por voz transforma uma frase falada em uma ou várias transações; o guia de digitalização de recibos cobre como fotografar uma conta em vez de digitá-la; e o registro automático do Apple Pay usa a automação de Atalhos da Apple para que um pagamento por aproximação se registre sozinho, conforme explicado no guia do Apple Pay. A Apple não fornece API para pagamentos por aproximação. O gatilho de Atalhos é a única rota que qualquer aplicativo possui.
Um aplicativo sincronizado oferece completude e pede que você categorize depois. Um aplicativo focado em entrada manual oferece atenção e pede que você registre no momento. Nenhum dos dois é gratuito, e quem vende um como se fosse está omitindo algo.
Se o objetivo é verificar os detalhes da conta de outra pessoa antes de enviar dinheiro, esse é um problema totalmente diferente, e o validador de IBAN realiza a verificação estrutural, enquanto a entrada de IBAN explica o que ele não pode te dizer. Para a autorização de um provedor específico, consulte o registro público do regulador nacional.
Baixe o Cash Book na App StoreGrátis por 7 dias. $19.99 pagamento único vitalício.
Perguntas frequentes
O open banking é seguro?
O design evita o risco principal: você se autentica no seu próprio banco e o aplicativo nunca vê sua senha bancária. O acesso é limitado, registrado e pode ser revogado pelo aplicativo do seu banco. Os riscos residuais são os riscos comuns de dados, como qual empresa mantém a cópia das suas transações e por quanto tempo. Por isso, leia a tela de consentimento antes de aprovar e verifique a autorização regulatória do provedor.
Qual a diferença entre AIS e PIS?
Um serviço de informações de conta (AIS) lê: saldos, transações e detalhes da conta. Um serviço de iniciação de pagamento (PIS) escreve: ele instrui uma transferência da sua conta sem usar um cartão. Aplicativos de orçamento e contabilidade usam o primeiro. Botões de checkout que pagam um comerciante diretamente da sua conta bancária usam o segundo. São permissões separadas sob a PSD2 e uma empresa pode deter uma sem a outra.
Por que minha conexão bancária pede para eu logar novamente?
O consentimento para acesso a informações de conta tem prazo limitado por regulamentação, não pelo aplicativo. Os padrões técnicos da PSD2 exigiam originalmente uma nova autenticação forte do cliente a cada 90 dias para acesso contínuo, e uma emenda posterior aumentou esse período. Quando expira, a conexão para de fornecer dados até que você se autentique novamente no seu banco.
O Cash Book usa open banking?
Não. O Cash Book nunca se conecta a um banco, portanto, não há consentimento a ser concedido e nada a ser reautenticado. As transações são inseridas por voz, foto do recibo, registro automático do Apple Pay via Atalhos da Apple ou pelo teclado, e permanecem no iPhone ou na sua conta pessoal do iCloud. É uma troca, não uma vantagem gratuita: nada chega automaticamente do banco.
Quem realmente detém a licença quando um app oferece sincronização bancária?
Geralmente não é o aplicativo. A maioria dos apps de consumo compra acesso de um agregador autorizado, como Plaid, TrueLayer ou Tink, que detém as permissões e mantém conexões com milhares de bancos. Isso significa que seus dados passam por uma empresa que você não escolheu. O provedor é nomeado na tela de consentimento e na política de privacidade do aplicativo.
Open banking é o mesmo que open finance?
Não. O open banking cobre contas de pagamento. O open finance é a ideia mais ampla de estender o mesmo modelo de acesso a poupanças, pensões, investimentos, hipotecas e seguros. Várias jurisdições estão consultando sobre o tema, e a União Europeia legislou uma estrutura de acesso a dados financeiros separada das regras de serviços de pagamento. O escopo que você pode compartilhar hoje ainda é majoritariamente contas de pagamento.
Posso impedir que um aplicativo veja minha conta?
Sim, de dois lugares. Revogue o consentimento dentro do aplicativo e verifique também o próprio aplicativo do seu banco, que mantém uma lista de terceiros conectados e um controle de revogação. Fazer ambos vale o minuto gasto, pois um aplicativo que para de funcionar nem sempre avisa ao banco para encerrar a conexão.
Fontes
Baixe o Cash Book na App StoreGrátis por 7 dias. $19.99 pagamento único vitalício.