Erro 403

O erro 403 - Forbidden é relacionado com o conteúdo do access token. Ele acontece quando você envia um token válido porém sem os escopos necessários para acessar o serviço desejado.

jwt.io

Para verificar se este é o caso, você pode pegar o Access Token gerado no fluxo e utilizar o site jwt.io para "quebra-lo", permitindo assim que você verifique quais escopos foram pedidos pelo seu sistema.

Neste exemplo, veja que no campo scope não consta o escopo empresas.btgpactual.com/transfers. Operar em qualquer endpoint de transferência nos retornaria 403 - Forbidden.

Ao conceder permissão para o escopo empresas.btgpactual.com/transfers no fluxo, seria adicionada uma claim no token com o formato "empresas.btgpactual.com/transfers":"123423412" e isso indicaria que o token está apto a operar nos enpoints de transferência.