Ator

PAO

Payment Account Owner

O titular da conta que será debitada em uma transação. O termo ganha todo o seu sentido quando o pagador não é o usuário direto do serviço de pagamento.

Definição

O PAO (Payment Account Owner) é o titular da conta que será debitada em uma transação.

O termo, usado em especial no padrão STET, distingue o pagador real do usuário do serviço quando são duas pessoas diferentes.

PAO vs PSU: a nuance que importa

Na maioria das vezes, PAO = PSU: a mesma pessoa possui a conta e opera o app. Mas nem sempre:

  • Caso simples — você paga on-line via um PISP: é ao mesmo tempo PAO e PSU.
  • Payment Request — um lojista solicita um pagamento ao seu cliente via um PISP: o PSU é o lojista (usuário do serviço), o PAO é o cliente cuja conta é debitada.
  • Conta conjunta ou empresarial — o PAO pode ser o titular legal (entidade, cotitular), enquanto o PSU é a pessoa que valida.

Distinguir os dois permite ao ASPSP saber quem autenticar (o PAO via SCA) e quem responde ao PISP do lado da UX (o PSU).

O que caracteriza o PAO

  • É o proprietário legal da conta no ASPSP.
  • É quem deve ser autenticado (SCA) para autorizar o débito.
  • Assume a responsabilidade pelo pagamento uma vez consentido.
  • Seu IBAN é o debtorAccount nas APIs STET / Berlin Group.

O que não o caracteriza

  • Não é necessariamente quem clica no app (esse é o PSU).
  • Não precisa de uma relação direta com o PISP: sua relação é com o seu banco (ASPSP).
  • Não recebe o dinheiro: esse é o PR (Payment Recipient).

No ecossistema PSD2

O PAO está no fim da cadeia do lado dos fundos: o débito ocorre em sua conta, mas a experiência (consentimento no app, validação) pode ser conduzida por um PSU diferente.

Exemplos concretos

  • Payment Request de lojista: um lojista usa a Fintecture para enviar um pedido de pagamento por SMS ou e-mail. O lojista é o PSU, o cliente é o PAO.
  • Cobrança B2B: o GoCardless Instant Bank Pay permite a uma empresa (PSU) solicitar uma transferência imediata a um cliente (PAO), em vez de um débito automático SEPA.
  • Conta empresarial: um contador usa o Pennylane (PSU) para iniciar uma transferência de imposto a partir da conta da sua empresa (o PAO).
  • Conta conjunta: o PAO designa o cotitular cuja autenticação é exigida — útil de modelar para os apps de gestão financeira familiar.

Fontes

Aprofundar

No blog

Leituras mais completas para ir além da definição.

24 de agosto de 2026
segurança

QWAC vs QSealC: quem faz o quê, e por que você está olhando para a camada errada — Ler o artigo

O QWAC é lido pela camada TLS, uma vez, no handshake. O QSealC é lido pela camada aplicativa, a cada requisição. Onde vive cada chave privada, o que o STET exige, e como ler um “erro de certificado”.

7 de abril de 2026
técnico

Arquitetura técnica de uma API DSP2: o que é preciso saber antes de escrever a primeira linha de código — Ler o artigo

Panorama técnico da DSP2 para CTOs, desenvolvedores e PMs técnicos: padrões de API, segurança (mTLS, certificados eIDAS), OAuth2, fluxos SCA, gestão do consentimento, armadilhas de implementação.

6 de abril de 2026
regulação

Entender a PSD2: o que ela muda para seus clientes e seu negócio — Ler o artigo

Tudo o que um dirigente, um product manager ou uma equipe de negócios precisa entender sobre a PSD2 (DSP2). Atores, consentimento, oportunidades, sem jargão técnico.