O guia técnico de compliance para plataformas de apostas no mercado brasileiro

O mercado brasileiro de apostas esportivas deixou de ser promessa e se tornou realidade regulada. Em menos de dois anos, o país saltou para a posição de quinto maior mercado global de apostas, com faturamento estimado em US$ 4,1 bilhões (cerca de R$ 22 bilhões) segundo a consultoria Regulus Partners. A Receita Federal arrecadou R$ 5,89 bilhões com a tributação de apostas esportivas e jogos online apenas nos cinco primeiros meses de 2026, um crescimento de 85,9% em relação ao mesmo período do ano anterior.

Os números são expressivos, mas o cenário não é só de oportunidade. A Secretaria de Prêmios e Apostas (SPA) já autorizou 187 plataformas a operar legalmente no país, enquanto mais de 27.000 sites ilegais foram bloqueados pela Anatel. A mensagem é clara: compliance técnico não é diferencial competitivo; é pré-requisito para existir.

Para operadores, fintechs e empresas de tecnologia que desenvolvem ou mantêm plataformas de apostas, a pergunta não é mais se precisam estar em conformidade, mas como traduzir um arcabouço regulatório complexo em requisitos de software concretos.

Este guia reúne tudo o que CTOs, product managers e compliance officers precisam saber para construir ou adaptar uma plataforma que atenda à regulamentação brasileira.

O marco legal: as normas que toda plataforma precisa conhecer

A regulamentação das apostas no Brasil não se resume a uma única lei. Ela se estrutura em camadas: uma lei federal principal, dezenas de portarias técnicas e normas complementares que continuam sendo publicadas. Conhecer essa arquitetura regulatória é o primeiro passo para traduzir obrigações legais em requisitos de produto.

A Lei 14.790/2023 é o marco regulatório central. Sancionada em dezembro de 2023, ela define as condições para exploração de apostas de quota fixa no território nacional: autorização obrigatória junto ao Ministério da Fazenda, taxa de outorga de até R$ 30 milhões (válida por 5 anos), exigência de sócio brasileiro com participação mínima de 20% no capital social e implementação de políticas de prevenção à lavagem de dinheiro, jogo responsável e integridade esportiva. É ela que atribui à SPA a competência para fiscalizar e sancionar operadores.

A Portaria SPA/MF nº 722/2024 complementa a lei com os requisitos técnicos e de segurança dos sistemas de apostas. Entre as exigências: uso obrigatório do domínio bet.br, central de dados com certificação ISO 27001, backup de dados por cinco anos, programa de controle com autenticação de componentes críticos e certificação por laboratórios credenciados pela SPA. É a portaria que mais impacta times de engenharia.

A Portaria SPA/MF nº 1.143/2024 trata especificamente de prevenção à lavagem de dinheiro e financiamento do terrorismo (PLD/FTP), definindo procedimentos de KYC, monitoramento de transações e reporte ao COAF.

A Portaria SPA/MF nº 1.231/2024 estabelece as diretrizes de jogo responsável e limites para publicidade, incluindo a proibição de comunicações que sugiram apostas como fonte de renda.

A Lei Complementar 224/2025 trouxe dois avanços relevantes: o aumento gradual da alíquota sobre o GGR (13% em 2026, 14% em 2027, 15% em 2028) e a responsabilidade solidária para todos os agentes que facilitam apostas não licenciadas, incluindo intermediários financeiros, plataformas digitais e provedores tecnológicos.

A Portaria MESP nº 31/2025 regulamenta a fiscalização dos sites dos operadores pelo Ministério do Esporte, criando equipe técnica para análise periódica das plataformas.

No âmbito da proteção de dados, aplica-se integralmente a LGPD (Lei 13.709/2018). A Portaria 722 exige que bases de dados sejam replicadas em território brasileiro e que o regulador tenha acesso seguro e irrestrito aos sistemas. Para a tributação dos apostadores, a IN RFB 2.191/2024 define alíquota de 15% de IRPF sobre prêmios, com retenção na fonte pelas operadoras.

A tabela abaixo resume o impacto técnico de cada norma:

Os 7 pilares técnicos de compliance para plataformas de apostas

Entender a legislação é necessário, mas não suficiente. O desafio real está em traduzir cada obrigação legal em funcionalidades de software, integrações e controles automatizados. A seguir, detalhamos os sete pilares técnicos que toda plataforma precisa implementar.

1. Identificação e verificação de usuário (KYC)

O KYC (Know Your Customer) é a primeira barreira de conformidade. Desde janeiro de 2025, todas as plataformas licenciadas devem realizar verificação completa antes do primeiro depósito do apostador.

O processo envolve três camadas de validação. A primeira é a coleta de dados pessoais: nome completo, CPF, data de nascimento, e-mail e telefone celular com DDI e DDD. A plataforma precisa validar a estrutura do CPF, o formato do nome e do e-mail logo no momento do cadastro, antes de avançar para etapas mais custosas.

A segunda camada é a validação documental. Os documentos aceitos incluem RG, CNH, CIN (Carteira de Identidade Nacional) e passaporte, com envio de foto frente e verso. Algumas plataformas também podem solicitar comprovante de residência ou renda.

A terceira camada é a autenticação biométrica por reconhecimento facial em tempo real. O Brasil é um dos poucos países do mundo a exigir biometria facial obrigatória para apostadores, o que posiciona a regulamentação nacional entre as mais rigorosas globalmente.

Além dessas três camadas, o sistema precisa cruzar os dados do usuário com bases restritivas: lista de PEPs (Pessoas Politicamente Expostas), lista de exclusão da SPA (que inclui funcionários de operadores, servidores públicos da área regulatória, atletas, árbitros, treinadores e agentes esportivos) e o SIGAP (Sistema de Gestão de Apostas), que bloqueia automaticamente beneficiários do Bolsa Família e do BPC por CPF.

Do ponto de vista técnico, a plataforma também deve implementar mecanismos de human interactive proof (captcha) para impedir cadastros automatizados por bots.

2. Prevenção à lavagem de dinheiro (AML/PLD-FTP)

As obrigações de AML vão muito além do cadastro inicial. A Portaria 1.143/2024 traduz a legislação federal de combate à lavagem de dinheiro em procedimentos específicos para o setor de apostas, alinhados às diretrizes do COAF.

O operador precisa manter cadastro ativo no COAF (Conselho de Controle de Atividades Financeiras), realizar avaliações de risco anuais e operar um sistema de monitoramento contínuo de transações capaz de identificar e sinalizar automaticamente padrões atípicos. Se um apostador realiza movimentações consistentemente abaixo dos limites de reporte, por exemplo, o sistema deve ser capaz de reconhecer essa fragmentação como comportamento suspeito.

A regulamentação também restringiu drasticamente os meios de pagamento aceitos. Cartão de crédito, criptomoedas, boletos, cheques, dinheiro em espécie e pagamentos por terceiros são expressamente proibidos. O Pix se tornou o meio predominante, com exigência de processamento automatizado 24 horas por dia, 7 dias por semana, e liquidação de saques em até 120 minutos.

Qualquer indício de manipulação de eventos ou resultados deve ser comunicado imediatamente ao Ministério da Fazenda e ao Ministério Público, conforme o Artigo 35 da Lei 14.790.

3. Proteção de dados (LGPD)

Plataformas de apostas processam um volume significativo de dados pessoais sensíveis: documentos de identidade, biometria facial, dados bancários, histórico de apostas e padrões de comportamento. A LGPD se aplica integralmente, e a ANPD (Autoridade Nacional de Proteção de Dados) pode impor multas e sanções por descumprimento.

Na prática, isso se traduz em requisitos técnicos específicos. O consentimento do apostador precisa ser explícito e granular para cada finalidade de tratamento. A política de cookies é obrigatória; a Portaria 722 determina que apostas não podem ser realizadas se o usuário não aceitar a política de cookies e que nenhum cookie pode conter código malicioso.

Quanto à localização dos dados, a Portaria 722 exige que a base de dados seja replicada em território brasileiro, mantida continuamente atualizada para garantir uniformidade. O armazenamento fora do Brasil só é permitido em países que possuam Acordo de Cooperação Jurídica Internacional com o Brasil, em matéria civil e penal conjuntamente, e em conformidade com o artigo 33 da LGPD. O regulador deve ter acesso seguro e irrestrito aos sistemas, tanto de forma remota quanto presencial.

4. Infraestrutura e segurança da informação

A Portaria 722 estabelece um patamar elevado de exigências para a infraestrutura tecnológica. A central de dados utilizada pelo operador precisa possuir certificação ISO 27001, o padrão internacional de segurança da informação que cobre autenticação de sistema, criptografia de transações e proteção de dados.

Do ponto de vista de disponibilidade, o SLA mínimo aceitável é de 99,9% de uptime. Para apostas ao vivo, a latência de atualização de odds deve ficar abaixo de 500ms; acima disso, a experiência do usuário deteriora e o apostador tende a abandonar o mercado. Isso exige arquitetura com cluster de alta disponibilidade, balanceamento de carga automático e failover configurado para servidores redundantes.

O uso do domínio bet.br é obrigatório para todos os canais eletrônicos de apostas. O sistema também deve ser capaz de detectar o uso de VPN, ataques man-in-the-middle e adulteração em nível de sistema operacional. O software instalado no dispositivo do usuário não pode desabilitar programas de antivírus nem alterar regras de firewall.

A contratação de serviços de terceiros deve incluir todos os requisitos de segurança relevantes, com monitoramento e revisão anual. Direitos de acesso de terceiros devem ser removidos ao final do contrato.

5. Auditoria, registro e rastreabilidade

Rastreabilidade total é um dos princípios que permeiam toda a regulamentação. O sistema de apostas deve manter e realizar backup de todos os dados por um prazo mínimo de cinco anos. Isso inclui registros de apostas realizadas, pagamentos ao apostador, impostos recolhidos, movimentações da conta gráfica, eventos de segurança (logins errados sucessivos, indisponibilidade de sistemas) e dados do operador.

O Artigo 33 da Lei 14.790 determina que os sistemas devem ser auditáveis, com acesso irrestrito, contínuo e em tempo real disponibilizado ao Ministério da Fazenda sempre que requisitado. Na prática, isso significa que a SPA pode, a qualquer momento, consultar dados operacionais sem aviso prévio.

A Portaria 722 também exige que o operador apresente um relatório de avaliação emitido por entidade certificadora reconhecida pela SPA em até 90 dias após a publicação do ato de autorização, certificando que todos os requisitos técnicos foram atendidos. Os padrões de referência para certificação incluem GLI-33 (integridade de software de apostas) e BMM Testlabs.

6. Jogo responsável

A proteção ao apostador é uma obrigação operacional com implicações diretas no produto. A plataforma precisa implementar autolimites obrigatórios de tempo e valor apostado, definidos pelo próprio usuário no momento do cadastro.

O mecanismo de autoexclusão deve permitir que o apostador se bloqueie temporária ou permanentemente, com devolução obrigatória de saldos remanescentes. Operadores que não cumprirem as regras de bloqueio e devolução podem sofrer sanções administrativas e perda da autorização.

O sistema precisa monitorar comportamento em tempo real, detectando padrões atípicos de jogo (volumes crescentes, frequência incomum, sessões prolongadas) e aplicando medidas de contenção automáticas: alertas ao usuário, pausas forçadas e, em casos extremos, bloqueio de acesso.

Em todas as interfaces, o aviso “18+” é obrigatório. A legislação proíbe o registro de menores de idade, indivíduos diagnosticados com ludopatia, dirigentes esportivos, árbitros e atletas profissionais.

7. Programa de controle e integridade

A Portaria 722 exige que o sistema de apostas opere com um software denominado “programa de controle”, que supervisiona o cumprimento de todos os requisitos regulatórios por meio de algoritmo e funções específicas. Esse programa deve autenticar a validade de todos os componentes críticos cada vez que o software é iniciado.

Para jogos online, a certificação de geradores de números aleatórios (RNG) por laboratórios independentes é obrigatória, garantindo que os resultados sejam justos e livres de manipulação algorítmica.

No âmbito da integridade esportiva, o operador deve integrar organismos nacionais ou internacionais de monitoramento e operar sistemas capazes de identificar padrões suspeitos em tempo real. Quando há uma queda abrupta nas odds de determinado evento, por exemplo, o sistema deve ser capaz de sinalizar automaticamente o comportamento para análise.

Construir uma plataforma que atenda a todos esses pilares exige mais do que capacidade de codificação: exige squads com experiência em regulamentação setorial, segurança de dados e integrações complexas. A NextAge monta squads full-stack dedicados para projetos de software de alta complexidade, com SLA contratual, revisão de código assistida por IA e previsibilidade de escopo do início ao fim.

Checklist técnico: o que o seu software precisa ter

Antes de submeter a plataforma à certificação ou de iniciar o processo de autorização junto à SPA, vale percorrer este checklist para garantir que nenhum requisito foi negligenciado:

• Domínio registrado em bet.br
• Central de dados com certificação ISO 27001
• KYC integrado com reconhecimento facial biométrico
• Cruzamento automático com CPF, PEP, SIGAP e listas restritivas da SPA
• Sistema AML com monitoramento contínuo de transações e flagging automático
• Cadastro ativo no COAF
• Pix automatizado 24/7 para depósitos e saques (sem aprovação manual)
• Liquidação de saques em até 120 minutos
• Backup integral de dados por 5 anos mínimos
• Programa de controle com autenticação de componentes a cada inicialização
• Certificação por laboratório credenciado pela SPA (GLI, BMM ou equivalente)
• Autolimites obrigatórios de tempo e valor definidos pelo apostador
• Mecanismo de autoexclusão com devolução de saldos
• Detecção de VPN e ataques man-in-the-middle
• Política de cookies conforme LGPD (apostas bloqueadas se não aceita)
• Canal de ouvidoria e atendimento 24/7 em português
• Base de dados replicada em território brasileiro
• Relatórios de auditoria acessíveis em tempo real pela SPA
• Plano de continuidade de negócios de TI documentado

Erros comuns que comprometem a licença

Mesmo plataformas com boas intenções cometem deslizes que podem resultar em multas, suspensão ou cassação da autorização. Estes são os equívocos mais frequentes:

Terceirizar KYC sem documentação de integração. A cadeia de responsabilidade se estende até o contrato B2B. Se o fornecedor de KYC não documenta claramente como os dados são processados, armazenados e protegidos, o risco de governança recai sobre o operador.

Armazenar dados exclusivamente fora do Brasil. A Portaria 722 e a LGPD exigem que a base de dados seja replicada em território nacional. Operar com dados hospedados apenas em servidores internacionais, mesmo que em países parceiros, viola a exigência de uniformidade e acesso irrestrito do regulador.

Tratar o Pix como processo manual. A regulamentação exige processamento automatizado, 24 horas por dia, sem intervenção humana. Um operador que depende de aprovação manual em horário comercial não atende ao requisito. Se a proposta técnica do fornecedor de pagamentos não distingue Pix manual de Pix automatizado, é sinal de alerta.

Não separar gestão de risco do CRM. Plataformas maduras integram dados comportamentais de aposta (esportes preferidos, frequência, ticket médio) com segmentação de marketing. Quando os dois sistemas operam isolados, a gestão de risco se torna reativa e as campanhas de retenção perdem o timing: uma promoção enviada 12 horas depois do comportamento que a justificava já é promoção perdida.

Ignorar o plano de continuidade de negócios de TI. A Portaria 722 obriga o operador a elaborar um plano formal para lidar com vulnerabilidades e riscos em componentes críticos da infraestrutura de apostas. Não ter esse documento é infração direta.

Com mais de 19 anos de mercado e mais de 600 projetos entregues (incluindo plataformas para empresas do setor de apostas), a NextAge aplica sua metodologia NextFlow AI para blindar cada etapa do desenvolvimento com revisão de código assistida por inteligência artificial. Erros que comprometem licenças são identificados e corrigidos antes de chegarem à produção.

Tendências para 2026-2027: o que vem pela frente

O ambiente regulatório do mercado de apostas no Brasil está longe de ser estático. Quem constrói plataformas para esse setor precisa antecipar mudanças e projetar arquiteturas flexíveis.

A tributação vai aumentar gradualmente. A LC 224/2025 elevou a alíquota sobre o GGR para 13% em 2026, com previsão de 14% em 2027 e 15% em 2028. Isso exige otimização contínua dos processos financeiros e contábeis automatizados.

A publicidade de apostas pode sofrer restrições adicionais. O PL 2985/2023, aprovado pelo Senado em maio de 2025, propõe proibir que atletas em atividade e influenciadores façam propaganda de bets e restringir peças publicitárias em estádios. A matéria tramita na Câmara.

A responsabilidade solidária dos provedores tecnológicos é uma realidade. A LC 224/2025 reconhece que todos os agentes que facilitam apostas não licenciadas podem responder juridicamente, incluindo software houses, provedores de pagamento e plataformas digitais. Não basta que o operador esteja em conformidade; o ecossistema inteiro é corresponsável.

A inteligência artificial aplicada a compliance está ganhando tração. Sistemas de monitoramento preditivo identificam padrões suspeitos antes que se concretizem em fraude; ferramentas de onboarding automatizado reduzem o tempo de verificação sem sacrificar a segurança; motores de detecção de anomalias analisam volumes massivos de transações em tempo real.

A Portaria MESP 31/2025 prevê o desenvolvimento de uma plataforma de integridade das operações esportivas, com possíveis parcerias público-privadas. Operadores devem se preparar para novas integrações com APIs governamentais à medida que essa infraestrutura avance.

Perguntas frequentes

O que é compliance para plataformas de apostas no Brasil?

Compliance para plataformas de apostas é o conjunto de políticas, controles técnicos e processos operacionais que garantem a conformidade com a Lei 14.790/2023, as portarias da Secretaria de Prêmios e Apostas (SPA/MF) e a LGPD. Envolve desde a verificação de identidade dos apostadores (KYC) e prevenção à lavagem de dinheiro (AML) até requisitos de infraestrutura, proteção de dados, jogo responsável e certificações técnicas obrigatórias.

Quais são os principais requisitos técnicos da Portaria 722/2024?

A Portaria SPA/MF 722/2024 exige que os operadores utilizem domínio bet.br, mantenham central de dados com certificação ISO 27001, realizem backup integral de dados por no mínimo cinco anos, operem programa de controle com autenticação de componentes críticos a cada inicialização e obtenham certificação por laboratórios credenciados pela SPA. Também determina que bases de dados sejam replicadas em território brasileiro e que o regulador tenha acesso irrestrito e em tempo real aos sistemas.

O reconhecimento facial é obrigatório nas plataformas de apostas?

Sim. O Brasil exige verificação biométrica por reconhecimento facial em tempo real como parte do processo de KYC, antes do primeiro depósito. Essa exigência posiciona a regulamentação brasileira entre as mais rigorosas do mundo e funciona como barreira contra fraudes de identidade e acesso de menores.

Quais meios de pagamento são permitidos?

A regulamentação proíbe cartão de crédito, criptomoedas, boletos, cheques, dinheiro em espécie e pagamento por terceiros. O Pix é o meio principal e deve funcionar de forma automatizada, 24 horas por dia, com liquidação de saques em até 120 minutos. O objetivo é garantir rastreabilidade financeira e prevenir endividamento.

O que acontece se uma plataforma descumprir os requisitos de compliance?

As sanções previstas incluem multa de até 10% do faturamento mensal, suspensão temporária da licença de operação e cassação definitiva em caso de reincidência. Com a LC 224/2025, a responsabilidade se estende a intermediários financeiros, provedores tecnológicos e plataformas digitais que facilitem operações irregulares.

Quanto custa obter a licença para operar apostas no Brasil?

A taxa de outorga pode chegar a R$ 30 milhões, válida por cinco anos, com possibilidade de renovação. Além do valor da outorga, a empresa precisa ter CNPJ ativo, sócio brasileiro com mínimo de 20% do capital social e comprovar capacidade financeira e técnica para operar.

Plataformas estrangeiras precisam de certificação local?

Sim. Mesmo que o fornecedor de tecnologia seja uma empresa internacional, o software de apostas e jogos online precisa ser auditado e certificado por laboratórios independentes credenciados pela SPA para comprovar que atende aos requisitos técnicos e de segurança da legislação brasileira.

Se a sua empresa precisa desenvolver ou adaptar uma plataforma de apostas para atender à regulamentação brasileira, a NextAge é o parceiro técnico para transformar complexidade regulatória em código confiável. Squads full-stack dedicados, SLA contratual, metodologia própria com IA integrada e experiência comprovada no setor. Agende uma conversa sem compromisso.