Requisitos de KYC en Brasil para empresas extranjeras

Introducción

Los requisitos de KYC (know your customer, conocer a tu cliente) en Brasil parten de tres piezas: identificar al cliente por su CPF, cumplir las reglas de prevención de lavado de dinero de tu sector y tratar los datos según la LGPD. Lo que cambia de una empresa a otra es la profundidad. Una fintech o un exchange de criptomonedas tiene obligaciones explícitas, mientras que un marketplace o una app de delivery verifica identidades sobre todo para frenar el fraude.

Si vienes de operar en México, Argentina, Colombia, Chile o España, muchas ideas te van a sonar conocidas, pero los identificadores, los reguladores y los documentos son otros. Esta guía es un panorama práctico, no asesoría legal: confirma tus obligaciones concretas con un abogado brasileño.

Las piezas de identidad en Brasil

Todo flujo de KYC en Brasil empieza por dos números:

• CPF (el número de identificación fiscal de personas físicas en Brasil): uno por persona y para toda la vida, emitido por la Receita Federal (la autoridad tributaria federal de Brasil). Une al cliente con sus cuentas bancarias, sus transferencias Pix y sus documentos. Más detalle en ¿Qué es el CPF de Brasil?
• CNPJ (el número de identificación fiscal de empresas en Brasil): el equivalente para empresas y la base del KYB.

Los documentos de identidad más comunes son el RG (la cédula de identidad emitida por cada estado, que está siendo reemplazada por la nueva cédula nacional con el CPF como número) y la CNH (la licencia de conducir, que también muestra el CPF). Los extranjeros residentes usan el RNM (la cédula del registro nacional migratorio).

A diferencia de México, donde la CURP y el RFC son claves distintas, o de Argentina, donde el DNI convive con el CUIT y el CUIL, en Brasil el CPF concentra casi toda la identificación. Eso simplifica el registro, pero también hace que el número circule mucho y valga poco por sí solo.

Las reglas que dan forma al KYC en Brasil

Ley de prevención de lavado de dinero

La ley brasileña de prevención de lavado de dinero (Ley 9.613/1998) obliga a los sectores regulados a identificar a sus clientes, guardar registros y comunicar operaciones sospechosas al COAF, la unidad de inteligencia financiera de Brasil. Cada regulador sectorial detalla lo que eso significa para su industria.

Instituciones financieras y de pago

Para las instituciones autorizadas por el Banco Central do Brasil, la Circular 3.978/2020 define la política de prevención de lavado de dinero y financiamiento del terrorismo: identificación y calificación del cliente, evaluación basada en riesgo, monitoreo y comunicación de operaciones. En la práctica, el onboarding recoge y verifica el CPF, el nombre, la fecha de nacimiento y la dirección, y suma controles para clientes de mayor riesgo, como las personas expuestas políticamente (PEP).

Exchanges de criptomonedas

El Banco Central do Brasil publicó en noviembre de 2025 el marco para proveedores de servicios de activos virtuales (Resoluciones BCB 519, 520 y 521), que somete a estas empresas a autorización y supervisión, con identificación de clientes y controles de lavado de dinero. Una plataforma extranjera que atiende a clientes brasileños debe estar autorizada o trabajar con una entidad local autorizada. Los plazos de solicitud y los períodos de transición tienen fechas propias, así que confirma el estado actual con un abogado.

Otros sectores regulados

Operadores de apuestas, aseguradoras, intermediarios de valores y profesionales inmobiliarios tienen deberes de identificación definidos por sus reguladores. Las reglas de apuestas en línea cambiaron varias veces desde 2023, así que revisa las normas vigentes antes de diseñar ese flujo.

Protección de datos: la LGPD

La LGPD (la ley brasileña de protección de datos, Ley 13.709/2018) se aplica a cualquier empresa que trate datos personales de personas en Brasil, sin importar dónde esté su sede. Para el KYC importan tres puntos:

• Base legal. El cumplimiento de una obligación legal o regulatoria y la prevención de fraude son las bases habituales para verificar identidades.
• La biometría es un dato sensible. Las selfies y la comparación facial necesitan una base legal específica, y la prevención de fraude en procesos de identificación y autenticación es una de ellas.
• Transparencia y conservación. Informa al usuario qué verificas y por qué, y guarda los datos solo el tiempo necesario.

La autoridad de control es la ANPD, la Autoridad Nacional de Protección de Datos de Brasil. Cómo trata los datos CPFHub.io está en la página de seguridad y cumplimiento.

Cómo se ve un flujo de KYC brasileño

Un onboarding típico de fintech, exchange o plataforma de alto riesgo combina cuatro capas:

Los flujos de menor riesgo (el comprador de un marketplace, el cliente de un delivery) suelen quedarse en la capa 2. La guía Cómo verificar un CPF brasileño muestra las capas 1 a 3 con código. El onboarding regulado usa las cuatro, más la revisión de PEP y listas de sanciones según tu política de riesgo.

Dónde entra CPFHub.io

CPFHub.io cubre las capas 2 a 4 con una sola clave de API:

• Consulta Simple (GET /cpf/{cpf}): nombre, género y fecha de nacimiento del titular. Un CPF no encontrado no consume créditos.
• Consulta en Tiempo Real (POST /cpf/realtime): situación de registro ante la Receita Federal, año de fallecimiento cuando lo hay y el comprobante emitido por la Receita Federal. Necesita el CPF y la fecha de nacimiento.
• Verificación de Identidad: prueba de vida, comparación facial entre selfie y documento, y lectura de RG, CNH y pasaporte.
• Consulta de CNPJ: datos de registro de empresas para el KYB.

curl --max-time 10 \
  -H "x-api-key: TU_API_KEY" \
  -H "Accept: application/json" \
  https://api.cpfhub.io/cpf/00000000000

Si tu operación es de fintech o cripto, la página de prevención de fraude en el registro muestra cómo combinar estas consultas.

Preguntas frecuentes

¿El KYC es obligatorio en Brasil?

Para los sectores regulados, sí. Instituciones financieras, empresas de pago, proveedores de activos virtuales, operadores de apuestas y otros sectores alcanzados por la Ley 9.613/1998 deben identificar a sus clientes. Otras plataformas no siempre están obligadas, pero la mayoría verifica el CPF en el registro para frenar el fraude.

¿La LGPD se aplica a una empresa con sede fuera de Brasil?

Sí, cuando trata datos personales de personas en Brasil o les ofrece servicios. La LGPD se aplica sin importar dónde esté la empresa.

¿Un exchange extranjero puede atender a clientes brasileños?

Según el marco del Banco Central do Brasil para proveedores de activos virtuales, debe estar autorizado o trabajar con una entidad local autorizada. Los plazos y las reglas de transición tienen fechas propias, así que confirma el estado actual con un abogado brasileño.

¿Necesito biometría para hacer KYC en Brasil?

No en todos los flujos. El onboarding regulado suele sumar documento y selfie a la consulta del CPF, según la política de riesgo. Bajo la LGPD, la biometría es un dato sensible y necesita una base legal específica, como la prevención de fraude.

Lee también

• ¿Qué es el CPF de Brasil? Guía para empresas extranjeras
• Cómo verificar un CPF brasileño
• API de verificación de identidad en Brasil: qué datos se obtienen con un CPF

Conclusión

El KYC en Brasil se apoya en el CPF, en las reglas sectoriales de reguladores como el Banco Central do Brasil y en la LGPD para todo lo que involucra datos personales y biométricos. Las empresas extranjeras que arman su flujo alrededor de estas piezas, con verificación del CPF en el registro y control de documentos donde el riesgo lo pide, incorporan usuarios brasileños con menos sorpresas.

Prueba la API con 50 créditos gratis y sin tarjeta en cpfhub.io.