Autor: Equipe Fluid
Governança de dados em fintechs costuma falhar não porque os dados estão mal guardados, mas porque ninguém controla o que acontece com eles enquanto circulam entre sistemas. A resposta prática é tratar a camada de integração — APIs, iPaaS, gateways — como parte central da governança, e não como simples tubulação técnica.
O que é governança de dados em fintechs
Governança de dados em fintechs é o conjunto de políticas, papéis e controles técnicos que garantem que informações financeiras e pessoais sejam tratadas com qualidade, segurança e rastreabilidade, do momento em que são coletadas até o momento em que deixam de ser necessárias.
Na prática, a maior parte do esforço de governança em instituições financeiras se concentra em dois lugares: os dados parados em bancos de dados e data lakes, e os dados manipulados diretamente por usuários em telas de sistema. Esses dois pontos são importantes, mas não são onde o risco real está concentrado.
O ponto cego: por que dados em repouso não bastam
Uma transação de crédito comum passa por um motor de decisão, um bureau externo, um sistema antifraude e, cada vez mais, um modelo de inteligência artificial — antes de qualquer coisa ser gravada em um banco de dados. Enquanto o dado transita entre esses pontos, ele está fora do alcance das políticas de acesso que protegem os repositórios estáticos.
Esse é o problema dos dados em movimento: informações que trafegam entre sistemas transacionais, microsserviços, APIs de parceiros e ecossistemas como o Open Finance, sem que exista uma camada única responsável por vigiar esse trânsito.
Perda de contexto em transformações não documentadas
Um microsserviço recebe um dado de cliente, altera seu formato para atender a uma necessidade pontual, e repassa essa versão modificada adiante. Se essa transformação não fica registrada em nenhum lugar, ninguém mais na empresa sabe que ela aconteceu. Isso gera divergências cadastrais que só aparecem meses depois, em uma conciliação financeira ou em uma auditoria.
Falhas silenciosas e exposição de credenciais
Integrações construídas ponto a ponto, sem padrão, tendem a espalhar chaves de API e credenciais entre dezenas de scripts e servidores diferentes. Cada uma dessas cópias é uma porta de entrada a mais para um ataque. Falhas de conexão nessas integrações também costumam ser silenciosas — não geram alerta, apenas dados incompletos ou incorretos que se propagam sem serem notados.
Os principais desafios de governança de dados em fintechs brasileiras
Além dos dados em movimento, algumas questões estruturais aparecem com frequência em fintechs em crescimento:
- Ownership indefinido — quando um dado cadastral existe tanto no CRM quanto no core banking, ninguém sabe, na prática, qual sistema é o dono da informação.
- Ausência de contratos de dados — sem um formato acordado entre sistemas, cada integração nova exige tradução manual e regras de negócio escondidas em código.
- Parceiros como caixas-pretas — bureaus de crédito, antifraude e provedores de KYC processam dados fora do perímetro da fintech, com pouca visibilidade sobre como esse tratamento acontece.
- Falta de linhagem de dados — sem conseguir reconstruir o caminho que um dado percorreu, a fintech não consegue responder com precisão a uma auditoria ou a uma solicitação de exclusão.
Nenhum desses problemas se resolve apenas com mais controle de acesso no banco de dados. Eles exigem controle sobre o trânsito da informação.
LGPD, Banco Central e Open Finance: o que a regulação exige
O ambiente regulatório brasileiro é um dos mais exigentes do mundo para instituições financeiras, e boa parte dessas exigências recai diretamente sobre como os dados circulam entre sistemas — não apenas sobre onde ficam armazenados.
LGPD e o princípio da minimização
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) exige que apenas os dados estritamente necessários para uma finalidade específica sejam compartilhados. Um exemplo ilustrativo: se uma API de parceiro precisa apenas confirmar que o cliente é maior de idade, uma integração desenhada com esse princípio em mente evita enviar a data de nascimento completa ou o CPF junto.
Vale uma correção de precisão em relação à terminologia: a LGPD não usa o termo “direito ao esquecimento” — esse é um conceito jurídico distinto, ligado a disputas sobre remoção de conteúdo da internet, e o STF já limitou seu reconhecimento amplo no Brasil. O que a LGPD garante, no artigo 18, incisos IV e VI, é o direito à eliminação de dados pessoais: o titular pode solicitar a qualquer momento a eliminação, anonimização ou bloqueio de dados desnecessários, excessivos ou tratados em desconformidade com a lei. Na prática, isso exige que a fintech consiga rastrear por quais sistemas e parceiros um dado específico transitou, para atender a esse tipo de solicitação de forma completa.
Resoluções do Banco Central sobre segurança cibernética
A Resolução CMN nº 4.893/2021 trata da política de segurança cibernética e dos requisitos para contratação de processamento de dados e computação em nuvem para instituições financeiras autorizadas pelo Banco Central — e explicitamente não se aplica a instituições de pagamento. Para essas, a regra equivalente é a Resolução BCB nº 85/2021, com exigências semelhantes de confidencialidade, integridade e disponibilidade de dados. Ambas exigem que a política de segurança cibernética seja compatível com o porte e a complexidade da operação, e que contratações relevantes de nuvem sejam formalmente documentadas — controles que precisam existir na camada de integração, não apenas no banco de dados final. A Circular BCB nº 3.978/2020, voltada à prevenção de lavagem de dinheiro e financiamento ao terrorismo, exige avaliação interna de risco e consistência dos dados cadastrais usados nos sistemas de monitoramento transacional, com abordagem baseada em risco.
Open Finance e auditoria de consentimento
O compartilhamento de dados dentro do Open Finance Brasil passa pelo Diretório de Participantes, ambiente em que cada instituição autorizada pelo Banco Central formaliza sua participação e se submete aos padrões técnicos definidos pelos atos normativos do BCB. Qualquer compartilhamento de dados de cliente exige consentimento prévio, livre, informado e inequívoco do titular — o que significa que cada chamada de API que compartilha dados precisa ser rastreável até o consentimento específico que a autorizou.
Como a integração de sistemas se torna parte da governança
Tratar a camada de integração como parte da governança, e não como infraestrutura invisível, significa aplicar mecanismos concretos:
- Contratos de dados — esquemas rígidos (como JSON Schema) que rejeitam automaticamente cargas fora do padrão, antes que cheguem ao sistema de destino.
- Autenticação centralizada — uso de OAuth 2.0 e mTLS gerenciados de forma unificada, eliminando credenciais fixas espalhadas em código.
- Linhagem de dados ativa — mapeamento contínuo de onde um dado nasceu, por quais APIs passou e onde foi entregue.
- Observabilidade de negócio — logs unificados e trilhas de auditoria imutáveis para cada chamada de API, permitindo reconstruir quem acessou o quê e quando.
- Tratamento padronizado de falhas — políticas automáticas de nova tentativa, filas de mensagens não entregues e alertas para qualquer integração que pare de responder.
Comparando arquiteturas de integração para dados regulados
Nem toda abordagem de integração oferece o mesmo nível de governança. A tabela abaixo resume as principais opções e para qual cenário cada uma se aplica melhor.
| Abordagem | Impacto na governança | Cenário mais indicado |
| Ponto a ponto (ad-hoc) | Baixo. Sem controle central nem rastreabilidade. | Apenas provas de conceito de curtíssimo prazo. |
| API Gateway | Bom para tráfego externo, mas cobre pouco a integração interna. | Exposição de serviços a parceiros e ao Open Finance. |
| iPaaS | Alto. Centraliza transformação, logs e linhagem ponta a ponta. | Conectar sistemas corporativos, ERPs, CRMs e APIs internas/externas. |
| Arquitetura orientada a eventos | Alto, mas exige governança rígida de esquemas de mensagem. | Processamento de transações em tempo real e conciliação de alto volume. |
| Data Mesh / Data Fabric | Alto, mas exige maturidade organizacional elevada. | Organizações grandes com múltiplos times de dados autônomos. |
Não existe uma abordagem universalmente melhor. A escolha depende do volume de integrações, da maturidade da equipe e de quanto controle regulatório a operação exige.
Governança de dados para inteligência artificial
Modelos de IA usados em score de crédito, detecção de fraude ou atendimento automatizado só são tão confiáveis quanto os dados que os alimentam. Conectar um modelo diretamente a bases corporativas, sem uma camada intermediária de governança, cria três riscos concretos:
- Vazamento de dados sensíveis — um modelo mal isolado pode expor informação financeira de um cliente na resposta gerada para outro usuário.
- Decisões erradas por dados desatualizados — se a integração falhar silenciosamente, o modelo de crédito pode decidir com base em informação legada.
- Falta de explicabilidade — para responder a um regulador sobre por que um crédito foi negado, a fintech precisa reconstruir exatamente quais dados o modelo usou naquele momento. Sem uma camada de integração que registre isso, essa explicação se torna impossível.
Um framework de maturidade para avaliar sua fintech
Uma forma prática de diagnosticar onde sua fintech está é observar cinco dimensões — arquitetura, documentação, ownership, segurança e rastreabilidade — em uma escala que vai de conexões ponto a ponto sem padrão até uma arquitetura híbrida com linhagem de dados totalmente automatizada. A maioria das fintechs em fase de crescimento acelerado se encontra entre os níveis 2 e 3: já existe algum padrão de API, mas ownership e rastreabilidade continuam reativos, resolvidos apenas quando algo já deu errado.
Plano de ação em três fases
- Primeiros 30 dias — diagnóstico: inventariar todos os sistemas e APIs conectados, identificar por onde transitam os dados mais sensíveis e mapear conexões com credenciais expostas ou sem criptografia.
- De 30 a 90 dias — padronização: definir um padrão obrigatório de contrato de dados, implementar logs padronizados de acesso e migrar um fluxo crítico (como uma consulta a bureau de crédito) para uma camada gerenciada, como piloto.
- De 3 a 12 meses — centralização: consolidar os fluxos em uma plataforma de integração única, automatizar rotação de credenciais e rate limiting, e conectar a linhagem de dados às ferramentas de governança da empresa.
Perguntas frequentes
Governança de dados é a mesma coisa que segurança da informação?
Não. Segurança da informação protege contra acessos indevidos. Governança de dados define quem é responsável por cada dado, como ele deve circular e como sua qualidade e origem são garantidas — a segurança é um dos mecanismos usados para isso, não o todo.
Um API Gateway já resolve a governança de dados de uma fintech?
Resolve parcialmente. Um gateway controla bem o tráfego que entra e sai pela borda da empresa, mas normalmente não cobre transformações de dados entre sistemas internos nem fluxos assíncronos — que é onde grande parte dos problemas de governança aparece.
Por que a LGPD afeta diretamente a arquitetura de integração?
Porque o princípio da minimização de dados e o direito à eliminação de dados (art. 18 da LGPD) só são cumpríveis se a fintech souber, com precisão, quais dados trafegam por cada integração e para onde vão. Isso é uma decisão de arquitetura, não apenas uma política escrita.
Quanto tempo leva para estruturar uma governança de integrações madura?
Varia conforme a complexidade da operação. Um diagnóstico inicial pode ser feito em 30 dias; padronizações básicas costumam levar de 30 a 90 dias; a centralização completa em uma plataforma de integração, com linhagem de dados ativa, normalmente é um projeto de 3 a 12 meses.
Governança de dados em fintechs não é resolvida apenas protegendo bancos de dados e telas de sistema. O risco real está no trajeto que a informação percorre entre APIs, parceiros e modelos de IA — e é exatamente esse trajeto que uma camada de integração bem governada consegue controlar, documentar e auditar.
Se sua fintech ainda trata a integração como infraestrutura invisível, o primeiro passo é simples: mapear por onde os dados mais sensíveis realmente circulam hoje. Quer discutir como isso se aplica à arquitetura específica da sua operação? Agende uma conversa técnica com o time da Fluid.
