GMAP da Mastercard 2026: o programa está suspenso

O GMAP da Mastercard ainda existe?

O Global Merchant Audit Program (GMAP) existe no texto das regras, mas não está em vigor. A edição de 4 de agosto de 2026 do Security Rules and Procedures — Merchant Edition declara que o programa “has been suspended until further notice”, ou seja, suspenso até novo aviso. Portanto, não há base pública primária para apresentar um “novo GMAP” como programa vigente, com fórmula fechada, thresholds definidos ou enforcement em abril de 2027.

Fonte: Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026.

A suspensão não reduziu o controle da Mastercard sobre a cadeia de adquirência. O Excessive Chargeback Program (ECP), o Excessive Fraud Merchant (EFM) e outras obrigações continuam vigentes, e cada uma delas nomeia um ator diferente: o ECP mede o merchant, mas quem a Mastercard cobra é o adquirente; quem atua como Payment FacilitatorÉ a entidade que, sob o patrocínio de um adquirente, coloca merchants na rede Mastercard e monitora sua atividade. Neste artigo, é o papel formal que pode ser exercido pela subadquirente. (PayFac) — papel normalmente exercido por uma subadquirente — deve monitorar continuamente cada merchant que administra; e a exigência de investigar certos sinais de scam em até 72 horas recai sobre toda a cadeia de adquirência.

Este artigo separa o que a Mastercard já confirmou do que continua A CONFIRMAR. Essa divisão muda decisões em qualquer posição da cadeia: nenhum elo deveria assumir compromisso com base em uma regra que a bandeira ainda não publicou — o adquirente e a Payment Facilitator não deveriam definir reservas nem prometer um prazo de adequação, e a Payment Facilitator e o merchant não deveriam responder assim a quem os patrocina.

Prints, comunicações privadas e leituras de mercado podem orientar perguntas, mas não transformam uma hipótese em regra oficial.

O que está em vigor hoje no monitoramento de merchants da Mastercard?

A Mastercard confirma programas de chargeback, fraude e conduta de merchants, além de padrões contínuos de monitoramento. Também confirma o Fraud and Loss Database (FLD) como serviço oficial de reporte de fraude. A tabela mostra o status de cada peça sem transformar limites não publicados em regra.

Fontes: Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026; Mastercard Rules, 2 de junho de 2026; Mastercard Developers — Fraud and Loss Database.

O EFM está em vigor. Porém, continuam A CONFIRMAR em fonte pública primária atual os thresholds aplicáveis ao Brasil e à América Latina, o valor mínimo de fraude, o volume mínimo de transações e os requisitos de 3DS por região.

As obrigações escritas para uma Payment Facilitator alcançam cada Sponsored MerchantÉ o merchant que aceita Mastercard sob a gestão de uma Payment Facilitator e o patrocínio de um adquirente. O risco dele permanece sob responsabilidade da cadeia., ou seja, cada merchant vinculado a ela perante a bandeira. Elas obrigam a empresa registrada nesse papel formal, não qualquer empresa que use o rótulo comercial de “subadquirente” — e não alcançam o merchant credenciado diretamente por um adquirente, que responde ao próprio adquirente, obrigado a monitorar continuamente seus merchants. Antes de aplicar qualquer threshold, a primeira providência é confirmar com o adquirente patrocinador em que papel a empresa está registrada.

Fonte: Mastercard Rules, 2 de junho de 2026.

Como o ECP calcula os basis points de um merchant?

O ECP mede chargebacks no nível do merchant. O resultado é expresso em basis pointsUm basis point equivale a 0,01 ponto percentual. Multiplicar uma razão por 10.000 expressa a taxa nessa unidade., ou bps, pela seguinte fórmula pública:

Basis points = chargebacks recebidos pelo adquirente para um merchant em um mês calendário ÷ transações Mastercard adquiridas para o mesmo merchant no mês anterior × 10.000.

Fonte: Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026.

Considere um merchant com 50.000 transações Mastercard no mês anterior e 600 chargebacks recebidos no mês atual. O cálculo é 600 ÷ 50.000 × 10.000 = 120 bps, ou 1,20%.

O detalhe decisivo está no período do denominador. O ECP usa as transações do mês anterior, não as do mês corrente. O volume processado agora só entra como denominador no mês seguinte. Um cálculo que divide os chargebacks pelo volume do próprio mês mede outra coisa. Se o volume do mês anterior cair e os chargebacks atuais não caírem na mesma proporção, o indicador sobe.

A Mastercard usa duas classificações no programa: Excessive Chargeback Merchant (ECM) e High Excessive Chargeback Merchant (HECM). A edição pública remete os thresholds numéricos ao Data Integrity Monitoring Program manual e ao Pricing and Billing Resource Center, dentro do Mastercard Connect, de acesso restrito. Por isso, os limites de ECM e HECM continuam A CONFIRMAR em fonte pública, assim como os valores de assessmentsAssessment é uma cobrança aplicada pela Mastercard ao adquirente por descumprimento do programa. O contrato define se e como esse custo desce até a subadquirente ou o merchant. para Brasil e América Latina. Os 120 bps do exemplo são um cálculo correto, mas não autorizam classificar o merchant em uma dessas faixas.

Fonte: Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026.

O que acontece com o adquirente quando um merchant vira ECM ou HECM?

A Mastercard pode cobrar o adquirente por noncompliance no ECP relacionado a um merchant classificado como ECM ou HECM. O merchant é medido, mas o adquirente é a entidade exposta à cobrança da bandeira. Um eventual repasse — do adquirente para a subadquirente, e desta para o merchant — depende do que cada contrato prevê.

Fontes: Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026; Mastercard Rules, 2 de junho de 2026.

Após seis meses na condição de ECM ou HECM, consecutivos ou não, a Mastercard pode:

• orientar um action plan com medidas para reduzir os basis points do merchant;
• exigir um Franchise Management Program Customer Risk Review, às custas do adquirente.

Fonte: Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026.

Existe ainda um mecanismo separado de compensação aos emissores. A Mastercard prevê issuer recovery fees pagas com valores coletados do adquirente e informa um mínimo de USD 20 por pagamento a um emissor. Esse número não é multa do merchant nem assessment unitário do ECP. Os valores dos assessments do programa continuam A CONFIRMAR na fonte primária específica do Data Integrity Monitoring Program e do Pricing and Billing Resource Center.

Fonte: Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026.

A cadeia causal é esta: o merchant acumula chargebacks, o ECP mede esse merchant, a Mastercard pode cobrar ou exigir medidas do adquirente e o contrato define se alguma consequência desce até a subadquirente e o merchant. Nenhum repasse é automático só porque houve enquadramento.

O que mudou em julho de 2026 com os potential scam merchants?

Desde julho de 2026, a Mastercard exige investigação em até 72 horas quando os critérios aplicáveis de potential scam merchant são atingidos. Se a investigação confirmar a atividade, o merchant deve ser impedido de aceitar Mastercard. O prazo se aplica à investigação; o bloqueio depende da confirmação.

A regra encadeia duas etapas, não oferece duas alternativas:

1. Quando os critérios exigidos pelo standard aplicável forem atingidos, a cadeia de adquirência deve investigar o caso em até 72 horas.
2. Somente se a investigação confirmar a atividade de scam, o merchant deve ser bloqueado para aceitar Mastercard.

Fonte: revisão dos franchise standards da Mastercard divulgada em 2026, em vigor desde julho de 2026. A edição e o identificador do documento não constam das fontes consultadas.

O material público consultado não esclarece o marco inicial da contagem, nem quais critérios exatos disparam o relógio, nem se o gatilho exige todos os requisitos ou pelo menos uma condição. Esses pontos continuam A CONFIRMAR no standard aplicável e com o adquirente patrocinador. O prazo e a consequência do caso confirmado, por outro lado, são regra confirmada.

As 72 horas formam um prazo de resposta a incidente, não uma rotina mensal. Revisões semanais, dados fragmentados em planilhas ou uma fila única de analistas podem impedir que a operação detecte o sinal, reúna evidências e conclua a investigação a tempo.

Perante a Mastercard, o adquirente continua responsável pela cadeia, e a PayFac deve monitorar continuamente cada Sponsored Merchant. Na prática, o relógio de 72 horas corre dentro da operação de quem tem o contato direto com o merchant, os dados transacionais em primeira mão e o mecanismo de bloqueio: a subadquirente, quando o merchant é Sponsored Merchant dela, ou o próprio adquirente, quando o credenciamento é direto. A esse ator cabe detectar o sinal, abrir o caso, reunir evidências e concluir a investigação; o merchant investigado costuma guardar parte da evidência, e a demora dele consome o mesmo prazo. O bloqueio vem depois, se a atividade for confirmada.

Fonte: Mastercard Rules, 2 de junho de 2026.

Quem responde pelo quê segundo as Mastercard Rules?

A Mastercard distribui responsabilidades entre os atores. O adquirente não deixa de responder pelo Sponsored Merchant, e a Payment Facilitator assume deveres próprios sobre os merchants que administra. Todos os pontos abaixo coexistem:

• o Sponsored Merchant Agreement não retira do adquirente a responsabilidade por chargebacks ou compliance do Sponsored Merchant;
• a Payment Facilitator deve assegurar o compliance dos seus Sponsored Merchants;
• a Payment Facilitator deve monitorar continuamente a atividade e o uso das marcas de cada Sponsored Merchant;
• a Payment Facilitator pode manter chargeback reserves;
• Mastercard, adquirente ou PayFac podem interromper um merchant por atividade fraudulenta ou ilícita.

Fonte: Mastercard Rules, 2 de junho de 2026.

Esse desenho não deixa nenhum elo de fora. O merchant é a unidade que os programas medem. A Payment Facilitator — papel que a subadquirente exerce quando está registrada nele — monitora os Sponsored Merchants e pode manter reservas ou interromper a operação. O adquirente continua responsável perante a bandeira, inclusive pelos merchants que chegam à rede por meio de uma PayFac. Por isso, uma cobrança contratual do adquirente à subadquirente não cria uma obrigação nova; ela pode ser a forma de executar responsabilidades que já existem na cadeia.

O “novo GMAP” de abril de 2027 é regra ou boato?

O suposto “novo GMAP” continua A CONFIRMAR. Circulam no mercado uma reativação em abril de 2027, uma fórmula própria e a substituição do SAFE pelo FLD como base de fraude. Nenhuma dessas afirmações foi localizada em fonte pública primária da Mastercard.

O FLD existe e é oficial. A Mastercard Developers o descreve como serviço para reportar e gerenciar transações de fraude junto à Mastercard. O que não foi confirmado é seu uso como componente de um GMAP reativado ou como substituto formal do SAFE nesse programa.

Fonte: Mastercard Developers — Fraud and Loss Database.

Até a Mastercard publicar uma nova regra, permanecem A CONFIRMAR a reativação ou substituição do GMAP, a fórmula e seus componentes, os thresholds de merchant e de portfólio do adquirente, a troca formal de SAFE por FLD, abril de 2027, o período consultivo, o enforcement e os assessments. Tratar qualquer um desses pontos como deadline de compliance faria a operação assumir um compromisso sem regra pública que o sustente.

O caminho seguro é acompanhar novas edições do Security Rules and Procedures e das Mastercard Rules. Se o GMAP voltar, a mudança precisa aparecer em documento primário.

O que fazer agora, com ou sem novo GMAP?

O GMAP suspenso não elimina o trabalho atual. As ações abaixo têm naturezas diferentes: algumas executam uma obrigação da Mastercard, outras usam uma prerrogativa contratual e outras são recomendações operacionais. Cada item nomeia o ator que ele obriga ou orienta, porque a mesma tarefa muda de dono conforme a empresa seja adquirente, Payment Facilitator ou merchant. Essa distinção evita chamar uma decisão do adquirente de penalidade automática da bandeira.

• Como recomendação operacional para quem mede carteira — adquirente e PayFac —, calcular o ECP de cada merchant todos os meses com a fórmula oficial: chargebacks do mês corrente sobre transações Mastercard do mês anterior. O merchant pode refazer a mesma conta com os próprios números. Como os thresholds de ECM e HECM continuam A CONFIRMAR em fonte pública, o alerta interno precisa disparar bem antes de qualquer threshold aplicável.
• Para cumprir a regra de scam, que recai sobre toda a cadeia de adquirência, manter detecção e um runbook de investigação que caiba em 72 horas, do alerta à decisão. Responsáveis, evidências e autoridade de bloqueio precisam estar definidos antes do primeiro caso. Quando o merchant é Sponsored Merchant, o monitoramento contínuo que alimenta essa detecção é obrigação da Payment Facilitator.
• Como recomendação de onboarding para quem credencia — adquirente ou PayFac —, avaliar MCC, modelo de negócio, ticket, recorrência, prazo de entrega, histórico, UBO/KYB, URLs e merchants relacionados. Cada merchant deve entrar com classificação de risco, limites e plano de monitoramento.
• Como prerrogativa contratual de quem assina o contrato — o adquirente com a subadquirente, a PayFac com o Sponsored Merchant —, definir gatilhos objetivos de quarentena e reserva. Isso pode incluir limitar volume, exigir 3DS ou step-up, aumentar rolling reserve e suspender novos MIDs. A Mastercard Rules permite que a Payment Facilitator mantenha chargeback reserves; o contrato determina quando e como aplicá-las.
• Como regra de saída de quem credencia, formalizar critérios para fraude ou dispute persistente, deterioração rápida, sinais de scam e violação de standards. Quando a investigação confirmar atividade de scam, o bloqueio para aceitar Mastercard é obrigatório.
• Como recomendação de portfólio para os três atores, acompanhar as duas bandeiras em conjunto. Na Visa, fraude e disputas formam um único indicador no VAMP, cujas regras para o Brasil entram em vigor em 1º de outubro de 2026. O detalhamento está em nosso artigo sobre o VAMP no Brasil.

Fontes: Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026; Mastercard Rules, 2 de junho de 2026; Visa Business News, 21/07/2026 (ID AI16637).

A pergunta prática não é se o novo GMAP chega em abril de 2027. É quais merchants, medidos pela fórmula oficial do ECP e observados pelos critérios de scam já vigentes, podem expor o adquirente no próximo mês — e, pelo contrato, alcançar a subadquirente e o próprio merchant. A resposta depende dos dados da carteira e dos controles que já deveriam estar funcionando.

Fontes

• Mastercard Security Rules and Procedures — Merchant Edition, 4 de agosto de 2026.
• Mastercard Rules, 2 de junho de 2026.
• Mastercard Developers — Fraud and Loss Database (FLD).
• Visa Business News, 21 de julho de 2026 (ID AI16637) — datas do VAMP no Brasil.