O documento consolida as normas técnicas e operacionais de segurança da Mastercard aplicáveis a todos os Participantes dos Arranjos Mastercard no Brasil. Ele deve ser lido em conjunto com as Regras Operacionais e o Security Rules and Procedures global, prevalecendo sobre demais manuais em caso de conflito. O descumprimento de qualquer das disposições deste Manual sujeita os Participantes à estrutura geral de tarifas e penalidades dos Arranjos Mastercard, conforme detalhado no Manual de Preços e nas Regras Operacionais.

1. Requisitos de Segurança Operacional

Este capítulo tem caráter essencialmente principiológico: as obrigações aqui descritas representam os fundamentos mínimos de segurança que todos os Participantes devem incorporar em suas estruturas operacionais, servindo de base para a aplicação dos demais requisitos do Manual.

Os Participantes devem manter controles mínimos em seis frentes:

  • Rede e conectividade — conexões restritas e exclusivas para comunicações autorizadas com a rede Mastercard.
  • Gestão de acessos — troca de senhas padrão, credenciais seguras e revisão periódica de permissões, especialmente acessos privilegiados.
  • Atualização de sistemas — aplicação regular de correções e patches de segurança.
  • Governança e auditoria — registros documentais com rastreabilidade e evidências verificáveis.
  • Segurança física — infraestruturas críticas em ambientes controlados com acesso restrito.
  • Gestão de incidentes — canais e responsáveis formalmente designados para resposta tempestiva à Mastercard.

2. Segurança Cibernética e Proteção de Dados

Os Participantes devem garantir confidencialidade, integridade e disponibilidade dos dados, com capacidade de detecção e resposta a incidentes, além de manutenção de registros auditáveis. A Mastercard pode exigir comprovação documental de conformidade a qualquer momento.

3. Padrões de Cartão e Terminais

  • Proibições expressas: armazenar dados sensíveis após autorização da transação e fracionar artificialmente valores para burlar controles de risco.
  • Terminais: devem ser protegidos contra adulteração física e lógica, com rastreabilidade e controle de vulnerabilidades em tecnologias legadas.
  • Retenção de cartões: só é permitida mediante procedimentos formais, sendo vedado o uso de força ou intimidação.
  • 4. Prevenção e Controle de Fraudes e Golpes
  • Obrigações de Reporte

O manual cria um vocabulário controlado para reporte de fraudes, com duas categorias principais:

  • Fraude Confirmada — uso não autorizado já apurado, deve ser reportado com tipo e subtipo corretos.
  • Fraude Suspeita — indícios fortes ainda pendentes, deve ser atualizado quando houver desfecho.

O descumprimento de prazos, formato ou taxonomia pode gerar Encargos por Não Conformidade.

Para Emissores

  • Política de autenticação baseada em avaliação de risco.
  • Autenticação multifator para acessos e alterações sensíveis.
  • Ferramenta de detecção integrada ao processo de autorização, capaz de bloquear transações em tempo real.
  • Monitoramento contínuo de indicadores de fraude e golpe.

Para Credenciadores

  • Verificação cadastral obrigatória antes da ativação de Estabelecimentos Comerciais.
  • Monitoramento contínuo de transações com mecanismos automatizados de alerta.
  • Capacidade de reagir a ataques coordenados com medidas emergenciais (bloqueio, ajuste de parâmetros).
  • Programa contínuo de orientação e educação dos estabelecimentos.

Para Facilitadores de Pagamento

Aplicam-se os mesmos padrões dos Credenciadores, incluindo monitoramento dos Subestabelecimentos Comerciais.

5. Programas Globais de Conformidade — Incorporação ao Manual Brasil

Nota importante: Os programas descritos neste capítulo não são novidades criadas para o Brasil. Todos já existem na estrutura regulatória global da Mastercard, com regras, métricas e penalidades integralmente definidas nos manuais globais, em especial no Security Rules and Procedures. O que este Manual faz é exclusivamente incorporar tais programas ao arcabouço regulatório local, tornando sua observância formalmente exigível no âmbito dos Arranjos Mastercard Brasil, sem qualquer alteração de conteúdo em relação às versões globais. Os Participantes que já operam segundo os padrões globais da bandeira, portanto, não enfrentam mudanças materiais em decorrência desta incorporação.

Programas voltados a Credenciadores e Facilitadores de Pagamento

ECP — Programa de Chargeback Excessivo Monitora Estabelecimentos Comerciais e Subestabelecimentos com índices de chargeback acima dos limites mensais de tolerância. Credenciadores e Facilitadores de Pagamento são responsáveis pelo acompanhamento contínuo e adoção de medidas corretivas. A persistência dos níveis elevados pode resultar em plano de ação exigido pela Mastercard.

QMAP — Auditoria de Estabelecimentos Comerciais Questionáveis Permite abertura de investigação formal quando identificados indícios relevantes de fraude, golpe, conluio ou outras irregularidades. O Credenciador ou Facilitador de Pagamento é notificado, tem prazo para manifestação e pode estar sujeito a medidas preventivas ou restritivas. Estabelecimentos confirmados como irregulares podem ser classificados como "Questionáveis" e sofrer restrições operacionais.

BRAM — Monitoramento de Atividades de Risco à Marca Identifica Estabelecimentos Comerciais envolvidos em atividades ilegais, ilícitas ou com potencial de dano reputacional à Mastercard. Credenciadores e Facilitadores de Pagamento atuam como primeira linha de defesa, devendo interromper imediatamente atividades irregulares e cooperar com investigações. O descumprimento de prazos pode ser considerado violação grave.

MMP — Monitoramento de Estabelecimentos Comerciais Estabelece monitoramento técnico e contínuo de Estabelecimentos e Subestabelecimentos, com verificação prévia ao início do processamento, acompanhamento periódico e identificação de produtos ou serviços em desacordo com as políticas da Mastercard. A participação ativa no programa pode funcionar como fator atenuante na aplicação de sanções.

SMRP — Registro de Estabelecimentos Comerciais Especiais Impõe regime obrigatório de registro prévio para categorias de maior risco, tais como conteúdo adulto não presencial, jogos de azar e apostas online, criptoativos, produtos farmacêuticos, loterias e modelos de cobrança recorrente com renovação automática, entre outros. O processamento de transações por essas categorias sem registro prévio pode gerar avaliações financeiras e demais sanções previstas nas Regras Mastercard.

MATCH Pro Sistema obrigatório para Credenciadores (e aplicável a Facilitadores de Pagamento aderentes) de registro e consulta de Estabelecimentos descontinuados por motivo de risco. A consulta deve ocorrer antes de qualquer novo credenciamento e ao longo de todo o ciclo de vida da relação comercial. A omissão de consulta ou de inclusão obrigatória pode resultar em Encargos por Não Conformidade.

Programa de Coerção Trata casos em que o portador, ou seus familiares, é forçado a realizar transações sob ameaça de dano físico ou apropriação ilícita de bens. Ao ser notificado, o Credenciador ou Facilitador de Pagamento deve interromper imediatamente a atividade do Estabelecimento e apresentar plano de resolução em até 10 dias corridos.

Programa de Performance do MCC Assegura a correta classificação da atividade econômica dos Estabelecimentos Comerciais. Em caso de classificação incorreta confirmada, podem ser aplicados ajustes de intercâmbio, Encargos por Não Conformidade e rejeição de compensação das transações indevidamente classificadas.

  • Programas voltados a Emissores
  • IMP — Monitoramento de Emissores Identifica Emissores com comportamentos atípicos de chargeback ou evasão do Fraud Notification Service (FNS). As notificações são enviadas mensalmente via Data Integrity Monitoring Program. O Emissor tem até 60 dias corridos para regularizar a operação, sendo o caso encerrado somente após 3 meses consecutivos de plena conformidade. A persistência da irregularidade sujeita o Emissor a taxas mensais progressivas.
  • Programas voltados a todos os Participantes
  • GRIP — Investigação de Não Conformidade às Regras Globais Garante a aderência operacional às normas dos Arranjos Mastercard. Investigações podem ser desencadeadas por monitoramento de rede, auditorias periódicas ou denúncias. O Participante notificado deve apresentar resposta formal com plano de ação dentro do prazo estabelecido. O descumprimento pode ser considerado violação grave.

ADC — Gestão de Incidentes de Comprometimento de Dados de Conta Disciplina o tratamento de eventos envolvendo acesso ou uso não autorizado de dados de conta. O Participante afetado deve comunicar a Mastercard tempestivamente, adotar medidas de contenção e, quando exigido, contratar investigador forense aprovado. A demonstração de controles eficazes pode funcionar como fator atenuante. Em casos de materialidade relevante, a Mastercard pode acionar mecanismos de compensação aos Emissores impactados.

FMP — Programa de Gestão de Franquias Regime de governança, avaliação e melhoria contínua estruturado em quatro modalidades: revisões de onboarding para novos Participantes; gestão de risco de provedores de serviço terceirizados; revisões de franquia periódicas ou sob demanda (presenciais ou documentais); e revisões consultivas a pedido do próprio Participante. Ao término de cada revisão, a Mastercard emite relatório com achados, recomendações e exigências mandatórias. O não atendimento gera acompanhamento reforçado e pode implicar cobrança de taxas.

Rotinas de Monitoramento de Mensageria — Data Integrity Monitora a qualidade e consistência dos dados transmitidos nas transações (campos obrigatórios, identificadores, códigos de atividade econômica, dados de autenticação). Inconsistências recorrentes caracterizam descumprimento das regras da rede e podem gerar notificações formais, exigência de plano de correção e Encargos por Não Conformidade.