Preferências de cookies

Escolha o que a Trio pode usar neste navegador. Você muda sua escolha quando quiser em “Preferências de cookies”, no rodapé.

Fale com a Trio

Segurança e regulação na base de cada transação

Instituição de Pagamento autorizada pelo Banco Central (IP 619), com controles de acesso, credenciais por ambiente, webhooks assinados e política pública de segurança desde a primeira integração.

Fale com a TrioPolítica de Segurança da Informação

Central de segurança para a avaliação de risco do seu time.

O que uma homologação de fornecedor verifica, com o documento ou o controle por trás de cada item.

  1. 01RegulaçãoIP 619 · Banco Central
  2. 02Política de segurançaResolução BCB nº 85/2021
  3. 03ControlesAcessos, alçadas e compliance
  4. 04Integração seguraWebhooks com HMAC-SHA-256
  5. 05Disponibilidade99,99% de uptime
  6. 06DocumentosPolíticas públicas na íntegra
  7. 07CanaisOuvidoria, denúncias e DPO

1.0 Uma instituição regulada

Uma instituição regulada
e supervisionada pelo Banco Central

A Trio Instituição de Pagamento Ltda é autorizada pelo Banco Central do Brasil para atuar com emissão de moeda eletrônica, iniciação de pagamento e credenciamento, com infraestrutura própria e conexão direta ao BACEN.

Trio IPRegistro regulatórioAutorizada pelo BACEN
Razão social
Trio Instituição de Pagamento Ltda
CNPJ
49.931.906/0001-19
Autorização
Banco Central do BrasilIP 619
ISPB
49931906
Atividades
Emissão de moeda eletrônica, iniciação de pagamento e credenciamento

2.0 Segurança da informação

Segurança da informação
como política pública

A Política de Segurança da Informação da Trio segue a Resolução BCB nº 85/2021 e define princípios, diretrizes e responsabilidades para proteger tudo o que a operação trata. É revisada ao menos uma vez por ano e complementada por políticas específicas.

Ler a política completa
  1. 01

    Confidencialidade

    Acesso às informações restrito a pessoas autorizadas.

  2. 02

    Integridade

    Informações corretas, completas e sem alteração indevida.

  3. 03

    Disponibilidade

    Informações e sistemas acessíveis sempre que a operação precisar.

  4. 04

    Autenticidade

    Comunicações, transações e sistemas com origem garantida, inclusive na gestão de certificados digitais.

Controles previstos na política

  • Criptografia em repouso e em trânsito

    Algoritmos e protocolos reconhecidos pelo mercado, com chaves de acesso restrito e ciclo de vida definido.

  • Menor privilégio

    Concessão, revisão e revogação de acessos com segregação de funções e revisões periódicas.

  • Desenvolvimento seguro

    OWASP Top 10, secure by design e secure by default, com testes de segurança nos sistemas críticos ao menos uma vez por ano.

  • Detecção de intrusão

    Monitoramento contínuo para identificar, bloquear e responder a acessos não autorizados e atividades anômalas.

  • Gestão de incidentes

    Registro, análise e resposta a incidentes, com comunicação aos reguladores e aos titulares de dados quando aplicável.

  • Continuidade de negócios

    Planos de contingência e testes de continuidade para recuperar rapidamente processos e serviços críticos.

  • Logs e auditoria

    Registros de eventos relevantes gerados, protegidos e analisados conforme a política de logs.

  • Backups criptografados

    Cópias de segurança de dados críticos, criptografadas e com períodos de retenção definidos.

  • Fornecedores avaliados

    Fornecedores de tecnologia monitorados, com cláusulas de segurança, confidencialidade e proteção de dados.

3.0 Acessos e alçadas

Acessos e alçadas
definidos antes do primeiro pagamento

Adicione usuários à conta corporativa e controle quem pode visualizar dados, operar a conta e aprovar transações. Regras por valor, área ou responsável seguram cada pagamento até a aprovação, e cada ação gera um registro rastreável.

Conheça a Conta Corporativa

Recursos

3.1 Regras de compliance

Regras de compliance
em cada conta

Bloqueios e devoluções automáticas atuam antes de o dinheiro entrar ou sair. Quando um depósito viola uma regra, a Trio o recusa de volta para a conta de quem pagou e envia um evento failed para o seu sistema tratar.

Como garantir o ciclo fechado

4.0 Integração segura

Integração segura
por padrão

Cada webhook chega assinado, cada credencial vale para um único ambiente e o uso da API fica restrito aos IPs que você cadastrar.

Autenticação de webhooks
  • 01Assinatura

    Webhooks assinados

    Todo payload é assinado com HMAC-SHA-256 no header x-webhook-signature. O segredo cadastrado no webhook chega em x-webhook-secret.

    x-webhook-signature
  • 02Ambientes

    Credenciais separadas

    Sandbox e produção são ambientes totalmente separados, cada um com credenciais, webhooks e segredos próprios.

    sandbox ≠ produção
  • 03Rede

    IPs cadastrados

    Ao criar uma credencial de API, você registra o IP do servidor que vai usá-la.

    allowlist por credencial
  • 04Front-end

    Segredo fora do navegador

    Sessões do Checkout são criadas no seu backend, para que o client_secret nunca chegue aos seus usuários.

    POST /checkout/sessions
  • 05Organizações

    Acesso conferido a cada chamada

    Ao operar outra organização com Trio-Target-Org-Id, a permissão é validada em toda requisição. Acessos somente leitura aceitam apenas GET e HEAD.

    403 sem acesso
  • 06Rotação

    Chave exposta?

    Se a chave de um webhook for exposta, o suporte faz a rotação e coordena a troca com o seu time. Use HTTPS em todo endpoint.

    suporte@trio.com.br

5.0 Disponibilidade

Disponibilidade para quem opera em escala.

Liquidação de alta disponibilidade com infraestrutura própria e conexão direta ao BACEN, Pix 24/7, planos de contingência e suporte operacional 24/7 para incidentes, verificação de transações e conciliação.

de uptime1
99,99%
Pix e suporte humanizado2
24/7
processados nos últimos 12 meses3
R$ 100 bi
de suporte a cada 100.000 transações4
1 ticket
  1. 1 Disponibilidade da plataforma.
  2. 2 Pix 24 horas por dia, 7 dias por semana, com suporte para incidentes, verificação de transações e conciliação.
  3. 3 Volume financeiro processado pela Trio nos últimos 12 meses.
  4. 4 Tickets de suporte abertos em relação às transações processadas.

6.0 Políticas públicas

Políticas públicas
para consultar quando quiser

Os documentos que orientam a segurança, a privacidade e a integridade da Trio estão disponíveis na íntegra.

Todas as políticas e termos

7.0 Canais

Canais
para falar com a Trio

Perguntas
frequentes

A Trio é regulada pelo Banco Central?

Sim. A Trio Instituição de Pagamento Ltda (619), inscrita sob o CNPJ 49.931.906/0001-19, é autorizada pelo Banco Central do Brasil para atuar com emissão de moeda eletrônica, iniciação de pagamento e credenciamento.

Como confirmo que um webhook foi enviado pela Trio?

Todo payload é assinado com HMAC-SHA-256 e a assinatura chega no header x-webhook-signature. Calcule o HMAC do corpo exato da requisição, antes de qualquer leitura do JSON, com a chave do seu webhook (notification_key), disponível na página de configurações do webhook, e compare os dois valores em tempo constante. Veja a documentação de autenticação.

As credenciais do sandbox funcionam em produção?

Não. Sandbox e produção são ambientes separados, cada um com credenciais, webhooks e segredos próprios. As credenciais de produção são criadas depois da assinatura do contrato e da validação de compliance.

Consigo definir quem aprova cada pagamento dentro da minha empresa?

Sim. As alçadas de aprovação permitem configurar regras por valor ou responsável, para que nenhum pagamento ou lote saia sem passar pelo fluxo de aprovação que você definir.

Como exerço meus direitos de titular de dados?

Entre em contato com o Encarregado de Proteção de Dados (DPO) da Trio pelo e-mail dpo@trio.com.br. Os detalhes estão na Política de Privacidade.

Onde reporto um desvio de conduta?

No Canal de Denúncias, exclusivo para reportar desvios do Código de Conduta interno. Para manifestações sobre um atendimento, use a Ouvidoria.

Controle desde o primeiro dia.
Segurança em cada transação.

Fale conosco