Resolução BCB 587: o que muda no app da fintech

A Resolução BCB 587, de 18 de setembro de 2026, muda o regulamento do Pix em três datas. A marcação de fundada suspeita de fraude vale desde a publicação. O aviso dela ao cliente, a cobrança híbrida e novos deveres de comunicação entram em 1º de fevereiro de 2027. A conta-salário ganha Pix Automático em julho de 2027.

As notícias e os alertas jurídicos da semana da norma explicam o que mudou para o usuário e para a instituição. Este texto lê a Resolução BCB nº 587 pelo lado de quem constrói o produto: o que vira tela, o que vira rotina de back-office e o que vira regra no sistema de cobrança. É a continuação de o que o Banco Central já exige de quem constrói o app.

Em 2025, a Wama projetou e desenvolveu o aplicativo da Cappta, instituição de pagamento que oferece captura de pagamento e conta digital em white label. Em app de instituição regulada, cada ajuste no regulamento do Pix chega ao backlog com data marcada.

O que a Resolução BCB 587 muda no app da fintech?

A resolução mexe em quatro frentes principais do produto, e todas pedem uma tela, um estado no sistema ou uma rotina com prazo. Ela se soma a o mapa de limites e horários que o app já precisa exibir, que mudou em 1º de outubro.

• Marcação de fundada suspeita de fraude: bloqueio de chave e de transações desde 18/09/2026; aviso ao cliente a partir de 01/02/2027.

• Cobrança híbrida: boleto e Pix Cobrança na mesma cobrança, a partir de 01/02/2027.

• Avisos e monitoramento: incidente de dados, Mecanismo Especial de Devolução (MED) e controle do Pix Automático, a partir de 01/02/2027.

• Pix Automático na conta-salário: a partir de 01/07/2027.

O que a marcação de fraude pede da tela e do back-office?

O participante do Pix pode criar uma notificação de infração para marcar o CPF ou o CNPJ de um cliente envolvido numa transação com fundada suspeita de fraude (art. 78-HA). A marcação fica registrada no DICT, o diretório das chaves Pix, por cinco anos (art. 78-HD).

O efeito é imediato e duro. Quem criou ou aceitou a notificação rejeita todas as transações Pix do usuário e da conta envolvidos, como pagador e como recebedor, exceto devoluções (art. 89, § 2º). Também rejeita registro, portabilidade e reivindicação de chave desse usuário, e precisa comunicar o motivo da recusa do registro (arts. 56, 68 e 70).

O que o back-office precisa ter

1. Responsável pela marcação: quem cria ou aceita a notificação responde por ela e pelo cancelamento (arts. 78-HB e 78-HC).

2. Pedido de cancelamento: o cliente marcado precisa conseguir pedir a revisão.

3. Prazo de sete dias: a instituição decide entre manter e cancelar em até sete dias do pedido.

4. Registro dos fundamentos: a razão da decisão fica guardada, nos dois casos.

A partir de 1º de fevereiro de 2027, o cliente recebe aviso da marcação com, no mínimo, a data, a possibilidade de revisão e o canal para pedir esclarecimento e cancelamento. A mensagem que aparece quando o Pix é recusado é outra peça, a mensagem de recusa por suspeita de fraude da versão 7.4 do manual de experiência, que vale a partir de março de 2027.

Na Milhas Pix, marketplace de milhas com pagamento via Pix, a Wama fez da página de aquisição até as telas de gestão de ofertas e acompanhamento de transações. Em produto assim, a tela de status da transação é onde a recusa precisa fazer sentido para quem tentou pagar.

Como a cobrança híbrida muda o sistema de cobrança?

Cobrança híbrida é o Pix Cobrança com vencimento apresentado de forma que possa ser pago também por boleto (art. 11-AA). Vale para boleto de cobrança comum e para boleto dinâmico que não esteja vinculado a ativo financeiro. A oferta é facultativa para a instituição de quem recebe, e ela precisa ser a mesma que emite o boleto.

A instituição garante consistência entre os dois arranjos para evitar pagamento indevido ou em duplicidade. Pago o boleto, o Pix Cobrança correspondente é cancelado, e o Pix que chegar depois é rejeitado (art. 39, V). Os passos operacionais ficam no Manual de Fluxos do Pix, cuja versão 2.2 saiu pela Instrução Normativa BCB nº 777, de 18 de setembro de 2026, também válida a partir de 1º de fevereiro de 2027.

Se mesmo assim o Pix liquidar com a obrigação já paga por boleto, a instituição do recebedor devolve o valor inteiro ao pagador em até 24 horas, com recursos próprios (art. 41-A, § 3º). Na prática, a cobrança passa a ter um estado único que os dois canais consultam antes de aceitar dinheiro.

Para a empresa que emite boleto pelo banco, a decisão começa em o modelo de cobrança do produto: só vale oferecer a fatura híbrida se a instituição dela aderir, e a conciliação precisa reconhecer qual dos dois canais quitou a fatura.

O que muda com o Pix Automático na conta-salário?

A partir de 1º de julho de 2027, a conta-salário pode iniciar transações, mas só de Pix Automático. Ela continua proibida de receber outros Pix, salvo envios da Secretaria do Tesouro Nacional e devoluções (art. 3º, VI, f, do regulamento).

Para o app, isso é uma conta com uma porta aberta e as outras fechadas. A tela de autorização e a gestão das recorrências existem; a transferência comum e o recebimento por chave não. O artigo 11-S, § 3º, manda a instituição do pagador oferecer as jornadas de autorização a todos os pagadores, e a 587 ressalva que as das alíneas c e d não se aplicam à conta-salário.

Para quem cobra, surge uma base nova de pagadores. As regras do Pix Automático para quem cobra assinatura continuam valendo para essa base: autorização única, valor fixo ou teto definido pelo pagador e retentativa limitada.

Os avisos e o monitoramento que entram em fevereiro de 2027

O artigo 32 ganha três deveres, todos com reflexo no produto.

• Incidente de dados: comunicar ao titular pessoa natural o incidente de segurança com dados pessoais em base ligada ao Pix, mesmo quando a instituição não causou o incidente e mesmo sem risco relevante.

• Pix Automático: ter monitoramento e ação contra recebedores que enviam instruções de pagamento indevidas ou pedidos excessivos de autorização.

• MED: divulgar o Mecanismo Especial de Devolução com foco no público vulnerável, nos canais de publicidade e de atendimento, com informação clara e acessível.

O aviso de incidente pede um modelo de mensagem pronto e um canal que alcance o titular. A divulgação do MED pede texto de ajuda escrito para quem lê pouco, no mesmo lugar onde o app já explica a área de gestão de vínculos da jornada sem redirecionamento.

Calendário: o que entregar até fevereiro e julho de 2027

O back-office de revisão já devia existir, porque a marcação vale desde setembro. Fevereiro concentra quase tudo de tela e de comunicação.

Como pôr a 587 no escopo de quem constrói o app

O caminho é transformar cada artigo em item de escopo com data.

1. Listar os itens da tabela que se aplicam à sua instituição: a cobrança híbrida é facultativa, e a conta-salário só interessa a quem a oferece.

2. Separar tela, sistema e rotina: o aviso é design, a consistência boleto e Pix é engenharia, a decisão em sete dias é operação.

3. Definir quem responde quando há mais de uma empresa no arranjo. Em fintech que opera sobre BaaS, a participante do Pix responde pela marcação, e o app da tomadora ainda exibe aviso e canal.

4. Escrever tudo em o contrato com quem desenvolve, com a data de vigência ao lado de cada entrega.

Na Wama, uma pessoa só responde pelo projeto do briefing ao deploy, e o que não está escrito na proposta é escopo novo. Por isso item regulatório entra por escrito desde o início, e não como ajuste de última semana.

Erros comuns

• Esperar fevereiro para o back-office. A revisão em sete dias vale desde 18 de setembro.

• Juntar aviso e mensagem de recusa. O aviso da marcação vem da resolução; a mensagem na hora do Pix vem do manual de experiência.

• Oferecer cobrança híbrida sem estado único. Sem ele, o pagamento em dobro vira devolução com dinheiro da instituição.

Perguntas frequentes

Quando a Resolução BCB 587 entra em vigor?

Em três datas. Marcação de fraude, rejeição de chave e de transações, recurso e participação valem desde 18 de setembro de 2026. Aviso da marcação, cobrança híbrida e os deveres do artigo 32 entram em 1º de fevereiro de 2027. O Pix Automático na conta-salário, em 1º de julho de 2027.

Quanto tempo a instituição tem para revisar uma marcação de fraude?

Sete dias contados do pedido do cliente. A instituição responsável pela marcação decide entre manter e cancelar, cancela quando não restarem elementos que sustentem a suspeita e guarda os fundamentos da decisão. A marcação, se mantida, fica vinculada ao CPF ou CNPJ por cinco anos.

A cobrança híbrida é obrigatória?

Não. A oferta é facultativa para a instituição de quem recebe. Quem oferecer precisa emitir o próprio boleto, garantir consistência entre boleto e Pix, cancelar o Pix Cobrança quando o boleto for pago e devolver em até 24 horas, com recursos próprios, um pagamento em duplicidade.

A conta-salário vai poder receber Pix?

Não. A partir de 1º de julho de 2027, ela passa a iniciar transações de Pix Automático, e só delas, para pagar contas recorrentes autorizadas pelo titular. Receber Pix continua vedado, com duas exceções: envios da Secretaria do Tesouro Nacional e devoluções de transações anteriores.

O app precisa mudar algo antes de fevereiro de 2027?

Precisa ter o caminho de revisão funcionando. Desde setembro, a instituição que marca um cliente rejeita as transações dele e tem sete dias para responder ao pedido de cancelamento. Na prática, isso pede rotina de back-office e canal de atendimento já agora, mesmo antes do aviso no app.

Se a sua fintech vai encaixar a 587 no app e quer tratar tela, sistema e prazo no mesmo escopo, converse com a Wama.