Termos de API e Integração

01Definições

APIs: as interfaces de programação disponibilizadas pela Goldrex, incluindo a API de Contas e a API de QR Codes (Pix), bem como seus endpoints, contratos OpenAPI e coleções de exemplo.

Integrador: o Cliente pessoa jurídica que conecta seus sistemas às APIs para operar a própria conta de pagamento e, quando aprovado, contas vinculadas a seus usuários.

Credenciais: client ID, client secret, tokens de acesso, certificados digitais (.crt, .key, .csr e .pfx) e quaisquer outros meios de autenticação.

Ambiente de Homologação: ambiente de testes fornecido durante o credenciamento, sem movimentação de recursos reais.

Ambiente de Produção: ambiente em que as operações movimentam valores reais e são irreversíveis do ponto de vista do arranjo Pix.

Webhooks: notificações automáticas enviadas pela Plataforma a endpoints do Integrador sobre eventos ocorridos nas contas e cobranças.

02Credenciamento e habilitação

2.1 Análise prévia

O acesso às APIs depende de análise cadastral e de risco do Integrador, nos termos dos Termos de Uso e da Política de Prevenção à Lavagem de Dinheiro, podendo incluir avaliação do modelo de negócio, do público atendido e dos controles de segurança.

2.2 Escopo aprovado

A aprovação define os produtos, funcionalidades, limites e escopos de acesso liberados. A ampliação de escopo, a mudança relevante do modelo de negócio ou a oferta de contas a terceiros dependem de nova análise e aprovação prévia.

2.3 Homologação antes da produção

O Integrador deverá validar seus fluxos no Ambiente de Homologação antes de operar em produção, sendo vedado direcionar cargas de teste às URLs de produção.

03Credenciais e segurança

3.1 Guarda das credenciais

O Integrador é o único responsável pela guarda, sigilo e uso das Credenciais, que são pessoais e intransferíveis. Chaves privadas e arquivos de certificado não devem ser versionados em repositórios, expostos em logs ou compartilhados com terceiros não autorizados.

3.2 Autenticação

As APIs utilizam OAuth2 no fluxo client_credentials, com escopos que limitam as permissões de cada token, e validação mútua por certificado (mTLS) na entrega de notificações de webhook Pix, conforme o padrão do arranjo.

3.3 Comprometimento

Havendo suspeita de vazamento ou uso indevido de Credenciais, o Integrador deverá comunicar a Goldrex imediatamente pelo canal de atendimento, para revogação e reemissão. Operações realizadas com Credenciais válidas presumem-se autorizadas pelo Integrador.

04Uso adequado das APIs

O Integrador compromete-se a:

• Utilizar as APIs exclusivamente para as finalidades aprovadas no credenciamento;
• Respeitar limites de requisição, políticas de retentativa e boas práticas descritas na documentação técnica;
• Validar a autenticidade das notificações de webhook antes de processá-las;
• Manter registros das operações originadas por seus sistemas pelo prazo exigido na regulamentação;
• Não realizar engenharia reversa, testes de intrusão não autorizados ou tentativas de contornar controles de segurança.

As ordens enviadas por meio das APIs, inclusive de cash-out, são de responsabilidade exclusiva do Integrador e consideradas definitivas após sua execução, nos termos dos Termos de Uso.

05Contas vinculadas a usuários do Integrador

Quando aprovado para operar contas em nome de seus próprios usuários, o Integrador deverá:

• Coletar e repassar dados cadastrais verdadeiros, completos e atualizados, apoiando os processos de identificação (KYC/KYB) definidos pela Goldrex e pela Plataforma;
• Prestar o atendimento de primeiro nível a seus usuários e encaminhar à Goldrex as demandas que dependam de sua atuação;
• Informar de forma clara a seus usuários que as contas de pagamento são mantidas pela Plataforma;
• Monitorar o comportamento transacional de seus usuários e comunicar à Goldrex operações atípicas ou suspeitas.

É vedado ao Integrador apresentar-se como banco, instituição financeira ou instituição de pagamento autorizada pelo Banco Central do Brasil, ou prometer rendimentos, garantias do FGC ou características não oferecidas pelo serviço.

06Disponibilidade e evolução

A Goldrex e a Plataforma empregam esforços razoáveis para manter as APIs disponíveis e estáveis. Manutenções programadas serão comunicadas previamente sempre que possível. Interrupções decorrentes de terceiros, dos arranjos de pagamento, de caso fortuito ou de força maior não ensejam responsabilidade.

As APIs poderão evoluir, com inclusão, alteração ou descontinuação de endpoints. Mudanças que quebrem compatibilidade serão comunicadas com antecedência razoável, salvo quando decorrentes de exigência legal, regulatória ou de segurança.

07Suspensão e encerramento do acesso

O acesso às APIs poderá ser limitado, suspenso ou encerrado, total ou parcialmente, em caso de descumprimento destes Termos de API, indícios de fraude ou uso indevido, risco à segurança da Plataforma ou determinação de autoridade competente, sem prejuízo das demais medidas previstas nos Termos de Uso.

08Disposições gerais

Estes Termos de API são regidos pelas leis da República Federativa do Brasil. Fica eleito o foro da Comarca de São Paulo-SP para dirimir eventuais controvérsias. Dúvidas podem ser encaminhadas para contato@goldrex.com.br.