Quando o BACEN audita e solicita prova de que a instituição monitorou a origem geográfica das operações, a resposta típica é: "temos logs". O problema é que logs internos não têm valor probatório por si sós — podem ser editados, sobrescritos ou simplesmente não existirem para todas as sessões. Uma evidência regulatória precisa ser gerada por terceiro independente e verificável sem depender do sistema da instituição.
São perguntas rotineiras de auditoria de PLD/FT. Sem uma plataforma de evidências, cada uma pode virar semanas de trabalho — ou uma resposta que o auditor não aceita.
"Mostre todas as operações originadas de países de alto risco nos últimos 12 meses."
/reports?risk_level=high&period=12m. Resultado em segundos."Vocês conseguem provar que essa operação específica foi monitorada naquela data?"
query_id e apresentar o JSON assinado com timestamp imutável. Assinatura verificável na hora."Posso verificar a autenticidade desse laudo independentemente, sem acessar o sistema de vocês?"
Além do endpoint principal de consulta, a PrismaData oferece endpoints dedicados para recuperação retroativa, geração de laudo PDF e verificação pública de assinatura.
Cada consulta feita durante o monitoramento operacional já é automaticamente um registro auditável. Quando a auditoria chega, o dossiê já existe.
A diferença entre um log interno e um laudo assinado digitalmente não é técnica — é jurídica. Um log pode ser produzido a qualquer momento. Um JSON com assinatura Ed25519 e timestamp só pode ter sido gerado no momento da consulta, pelo detentor da chave privada.
Qualquer alteração no JSON — um caractere sequer — invalida a assinatura Ed25519. O auditor pode verificar isso em segundos, sem precisar confiar na instituição auditada.
O endpoint api.prismadata.io/v1/identity/ipinfo/verify é público e não exige autenticação. O BACEN, a Polícia Federal ou um auditor externo pode verificar a assinatura sem solicitar acesso ao sistema da instituição.
Todas as consultas são retidas pelo prazo exigido pela Lei 9.613/98. A rotação de chaves não afeta a verificabilidade histórica — cada laudo registra o key_id utilizado, e a chave pública correspondente permanece acessível.
Cada laudo gerado via /report/{query_id} é um documento formal com assinatura impressa, timestamp e QR code de verificação — pronto para ser anexado ao processo de auditoria ou enviado ao regulador.
Referências:
¹ Lei 9.613/1998, art. 10. Obrigação de manutenção de cadastro e registros por prazo mínimo de 5 anos.
² Lei 9.613/1998, art. 12. Multa de até R$ 20 milhões por infração às obrigações de PLD/FT.
³ BACEN, Circular 3.978/2020. Exige abordagem baseada em risco e monitoramento documentado de canais digitais.
⁴ BC/Decon (Gerson Romantini), Finsiders Brasil, mar. 2026. BC inspeciona todas as IPs do Brasil com foco em PLD/FT; fintechs classificadas como "risco aumentado".