RESOLUCAO CNSP n.º 415

Sociedades participantes devem prestar informações claras, objetivas e adequadas ao cliente sobre etapas, procedimentos e redirecionamentos.

Alteração de finalidade, validade, transmissora ou dados e serviços compartilhados exige novo consentimento do cliente.

É vedado obter consentimento por contrato de adesão, aceite pré-preenchido ou forma presumida, e informar finalidades à transmissora fora das exceções.

A receptora deve identificar o cliente e obter consentimento com linguagem clara, finalidade determinada, validade limitada, transmissora, objeto e identificação.

Dados podem ser agrupados ao cliente, desde que o agrupamento seja claro, permita discriminação granular e guarde relação com dados granulares.

A sociedade receptora deve assegurar que dados compartilhados sejam pertinentes às finalidades determinadas no consentimento.

No serviço de iniciação, o consentimento denota representação do cliente e a iniciadora deve solicitá-lo a cada novo serviço.

Sociedades participantes devem prestar informações mínimas ao cliente sobre consentimentos válidos nos compartilhamentos em que estejam envolvidas.

Sociedades envolvidas devem permitir revogação do consentimento a qualquer tempo, de forma segura e conveniente, com efetivação e comunicação imediatas.

A transmissora deve autenticar cliente uma vez a cada consentimento e receptora uma vez a cada chamada de interface.

Autenticação deve ser compatível com risco, tipo de dado ou serviço, canal e políticas de segurança cibernética ou gestão de riscos.

A resolução dispõe sobre a implementação do Open Insurance por seguradoras, entidades abertas de previdência complementar e sociedades de capitalização.

É admitida contratação de serviços de autenticação, preservada responsabilidade da transmissora e vedada contratação da própria receptora autenticada.

A transmissora deve solicitar confirmação simultânea à autenticação e discriminar receptora, validade do consentimento e dados objeto do compartilhamento.

Interfaces para dados abertos de seguros devem assegurar acesso gratuito ao público, com limites de chamadas apenas mediante proposta justificada e equitativa.

Sociedades participantes devem disponibilizar interfaces dedicadas padronizadas, com dados digitais, processáveis por máquina e em formato livre de restrição.

Sociedades devem fornecer às demais participantes informações claras e acessíveis sobre interfaces dedicadas, controle de versões e suporte à conexão.

A transmissora deve informar a receptora sobre efetivação ou motivos de impossibilidade do compartilhamento, documentando motivos e evidências.

A receptora deve comunicar ao cliente a efetivação da solicitação, discriminando finalidades, dados e serviços por canais eletrônicos.

É vedado criar obstáculos ao compartilhamento e restringir, limitar, impedir ou discriminar serviços de iniciação solicitados pelo cliente.

Sociedades participantes devem disponibilizar canal de suporte técnico às demais participantes e registrar a forma de acesso no diretório.

O texto define cliente, sociedades transmissora e receptora, iniciadora, consentimento, dados abertos, dados pessoais de seguros e Open Banking.

A participante responde por confiabilidade, integridade, disponibilidade, segurança e sigilo do compartilhamento em que esteja envolvida.

Sociedades participantes devem designar diretor responsável pelo compartilhamento, sem conflito de interesses se houver acúmulo de funções.

O diretor responsável deve elaborar relatório anual na data-base de 31 de dezembro e apresentá-lo à administração em até 90 dias corridos.

Sociedades supervisionadas e iniciadoras devem tratar demandas de clientes e do público e informar canais e formas de acesso para demandas de compartilhamento.

Sociedades supervisionadas e iniciadoras devem instituir mecanismos de acompanhamento e controle com processos, testes, trilhas, métricas e correção de deficiências.

Mecanismos de acompanhamento e controle devem abranger indicadores de desempenho das interfaces usadas para compartilhamento.

Ressarcimento entre participantes é admitido com tratamento equitativo e limites; é vedado para iniciação e chamadas dentro dos limites de dados pessoais.

Participantes, por meio da governança inicial, devem encaminhar à Susep propostas técnicas sobre padrões, canais, disputas, ressarcimento, diretório e interoperabilidade.

Propostas de interoperabilidade devem contemplar jornada integrada, compartilhamento com Open Banking, disputas e ressarcimento; pode ser usada infraestrutura do Open Banking.

A governança das propostas deve assegurar representatividade, acesso não discriminatório, mitigação de conflitos e padrões de interface atualizados e acessíveis.

Os objetivos incluem benefício ao cliente, compartilhamento seguro e conveniente, inovação, cidadania financeira, eficiência, concorrência e interoperabilidade.

O registro no diretório caracteriza adesão às regras, procedimentos e padrões do Open Insurance, que devem ser observados uniformemente.

A Susep estabelecerá diretrizes para a estrutura inicial responsável pela governança do processo de implementação do Open Insurance.

Propostas técnicas relacionadas ao Open Insurance devem ser submetidas à análise da Susep, respeitados os prazos regulamentados pela Autarquia.

A Susep poderá disponibilizar dados agregados ou públicos sobre sociedades supervisionadas ou iniciadoras no Open Insurance.

Políticas de gerenciamento de riscos devem tratar indisponibilidade de interfaces, prazo de reinício, incidentes de segurança e testes de continuidade.

Sociedades supervisionadas e iniciadoras devem manter à disposição da Susep, por cinco anos, consentimentos, revogações, documentação, relatório e registros de controle.

Participantes podem agregar dados compartilhados de clientes quando a atividade guardar relação com seu objeto social e for inerente aos objetivos.

A implementação em fases tinha marcos entre 15/12/2021 e 15/06/2023 para dados abertos, dados pessoais e serviços de iniciação.

A Susep poderá adotar medidas necessárias ao cumprimento da resolução e detalhar dados, serviços, parâmetros e procedimentos operacionais.

Sociedades participantes devem conduzir atividades com ética, responsabilidade e tratamento adequado do cliente, observando transparência, segurança e demais princípios.

O descumprimento das medidas sujeita responsáveis a penalidades administrativas ou suspensão ou cancelamento do credenciamento, conforme o caso.

A resolução entra em vigor em 2 de agosto de 2021.

É necessário obter consentimento do cliente para compartilhar dados pessoais de seguros, serviços de iniciação e outros dados ou serviços relacionados ao cliente.

Dados cadastrais compartilhados abrangem dados fornecidos ou consultados, excetuados dados sensíveis, escores, credenciais e informações de autenticação.

Dados pessoais de seguros compartilhados devem estar relacionados a produtos ou serviços contratados junto à sociedade transmissora.

O Open Insurance abrange, no mínimo, dados abertos de seguros, dados pessoais de seguros e serviços de iniciação de movimentação.

O compartilhamento voluntário de serviços de iniciação por supervisionadas deve observar a natureza da sociedade e o produto correspondente.

O compartilhamento dos dados do escopo do Open Insurance é obrigatório, em acesso público para dados abertos e entre participantes para dados pessoais e serviços.

A participação voluntária pressupõe cumprimento da resolução como se obrigatória fosse, inclusive interface dedicada como transmissora.

Sociedades supervisionadas sem provisões técnicas não são participantes do Open Insurance.

Participam obrigatoriamente sociedades supervisionadas S1 e S2 para dados e sociedades iniciadoras para serviços de iniciação de movimentação.

Sociedades participantes devem registrar sua participação no diretório mantido por sistema eletrônico.

Sociedades iniciadoras devem ter objeto social exclusivo de iniciação de movimentação ou ser instituição iniciadora de transação de pagamento.

Sociedades iniciadoras podem prestar outros serviços baseados em dados compartilhados quando relacionados ao objeto social e inerentes aos objetivos.

A Susep disciplinará credenciamento e funcionamento de sociedades iniciadoras, observando segurança cibernética, governança, conduta com cliente e capacidade financeira.

Solicitação de compartilhamento compreende consentimento, autenticação e confirmação, por interface dedicada, canais eletrônicos e fluxo sucessivo.