{"id":4827,"date":"2026-07-20T01:00:10","date_gmt":"2026-07-20T04:00:10","guid":{"rendered":"https:\/\/nextage.com.br\/blog\/?p=4827"},"modified":"2026-07-03T14:50:41","modified_gmt":"2026-07-03T17:50:41","slug":"guia-tecnico-de-compliance-para-plataformas-de-apostas-no-mercado-brasileiro","status":"publish","type":"post","link":"https:\/\/nextage.com.br\/blog\/guia-tecnico-de-compliance-para-plataformas-de-apostas-no-mercado-brasileiro\/","title":{"rendered":"O guia t\u00e9cnico de compliance para plataformas de apostas no mercado brasileiro"},"content":{"rendered":"

O mercado brasileiro de apostas esportivas deixou de ser promessa e se tornou realidade regulada. Em menos de dois anos, o pa\u00eds saltou para a posi\u00e7\u00e3o de quinto maior mercado global de apostas<\/a>, com faturamento estimado em US$ 4,1 bilh\u00f5es (cerca de R$ 22 bilh\u00f5es) segundo a consultoria Regulus Partners. A Receita Federal arrecadou R$ 5,89 bilh\u00f5es com a tributa\u00e7\u00e3o de apostas esportivas e jogos online apenas nos cinco primeiros meses de 2026, um crescimento de 85,9% em rela\u00e7\u00e3o ao mesmo per\u00edodo do ano anterior.<\/p>\n

Os n\u00fameros s\u00e3o expressivos, mas o cen\u00e1rio n\u00e3o \u00e9 s\u00f3 de oportunidade. A Secretaria de Pr\u00eamios e Apostas (SPA) j\u00e1 autorizou 187 plataformas a operar legalmente<\/a> no pa\u00eds, enquanto mais de 27.000 sites ilegais foram bloqueados pela Anatel. A mensagem \u00e9 clara: compliance t\u00e9cnico n\u00e3o \u00e9 diferencial competitivo; \u00e9 pr\u00e9-requisito para existir.<\/p>\n

Para operadores, fintechs e empresas de tecnologia que desenvolvem ou mant\u00eam plataformas de apostas, a pergunta n\u00e3o \u00e9 mais se<\/em> precisam estar em conformidade, mas como<\/em> traduzir um arcabou\u00e7o regulat\u00f3rio complexo em requisitos de software concretos.<\/p>\n

Este guia re\u00fane tudo o que CTOs, product managers e compliance officers precisam saber para construir ou adaptar uma plataforma que atenda \u00e0 regulamenta\u00e7\u00e3o brasileira.<\/p>\n

\"Profissional<\/p>\n

O marco legal: as normas que toda plataforma precisa conhecer<\/h2>\n

A regulamenta\u00e7\u00e3o das apostas no Brasil n\u00e3o se resume a uma \u00fanica lei. Ela se estrutura em camadas: uma lei federal principal, dezenas de portarias t\u00e9cnicas e normas complementares que continuam sendo publicadas. Conhecer essa arquitetura regulat\u00f3ria \u00e9 o primeiro passo para traduzir obriga\u00e7\u00f5es legais em requisitos de produto.<\/p>\n

A Lei 14.790\/2023<\/strong> \u00e9 o marco regulat\u00f3rio central. Sancionada em dezembro de 2023, ela define as condi\u00e7\u00f5es para explora\u00e7\u00e3o de apostas de quota fixa<\/a> no territ\u00f3rio nacional: autoriza\u00e7\u00e3o obrigat\u00f3ria junto ao Minist\u00e9rio da Fazenda, taxa de outorga de at\u00e9 R$ 30 milh\u00f5es (v\u00e1lida por 5 anos), exig\u00eancia de s\u00f3cio brasileiro com participa\u00e7\u00e3o m\u00ednima de 20% no capital social e implementa\u00e7\u00e3o de pol\u00edticas de preven\u00e7\u00e3o \u00e0 lavagem de dinheiro, jogo respons\u00e1vel e integridade esportiva. \u00c9 ela que atribui \u00e0 SPA a compet\u00eancia para fiscalizar e sancionar operadores.<\/p>\n

A Portaria SPA\/MF n\u00ba 722\/2024<\/strong> complementa a lei com os requisitos t\u00e9cnicos e de seguran\u00e7a dos sistemas de apostas<\/a>. Entre as exig\u00eancias: uso obrigat\u00f3rio do dom\u00ednio bet.br, central de dados com certifica\u00e7\u00e3o ISO 27001, backup de dados por cinco anos, programa de controle com autentica\u00e7\u00e3o de componentes cr\u00edticos e certifica\u00e7\u00e3o por laborat\u00f3rios credenciados pela SPA. \u00c9 a portaria que mais impacta times de engenharia.<\/p>\n

A Portaria SPA\/MF n\u00ba 1.143\/2024<\/strong> trata especificamente de preven\u00e7\u00e3o \u00e0 lavagem de dinheiro e financiamento do terrorismo<\/a> (PLD\/FTP), definindo procedimentos de KYC, monitoramento de transa\u00e7\u00f5es e reporte ao COAF.<\/p>\n

A Portaria SPA\/MF n\u00ba 1.231\/2024<\/strong> estabelece as diretrizes de jogo respons\u00e1vel<\/a> e limites para publicidade, incluindo a proibi\u00e7\u00e3o de comunica\u00e7\u00f5es que sugiram apostas como fonte de renda.<\/p>\n

A Lei Complementar 224\/2025<\/strong> trouxe dois avan\u00e7os relevantes: o aumento gradual da al\u00edquota sobre o GGR<\/a> (13% em 2026, 14% em 2027, 15% em 2028) e a responsabilidade solid\u00e1ria para todos os agentes que facilitam apostas n\u00e3o licenciadas, incluindo intermedi\u00e1rios financeiros, plataformas digitais e provedores tecnol\u00f3gicos.<\/p>\n

A Portaria MESP n\u00ba 31\/2025<\/strong> regulamenta a fiscaliza\u00e7\u00e3o dos sites dos operadores<\/a> pelo Minist\u00e9rio do Esporte, criando equipe t\u00e9cnica para an\u00e1lise peri\u00f3dica das plataformas.<\/p>\n

No \u00e2mbito da prote\u00e7\u00e3o de dados, aplica-se integralmente a LGPD (Lei 13.709\/2018)<\/strong>. A Portaria 722 exige<\/a> que bases de dados sejam replicadas em territ\u00f3rio brasileiro e que o regulador tenha acesso seguro e irrestrito aos sistemas. Para a tributa\u00e7\u00e3o dos apostadores, a IN RFB 2.191\/2024<\/strong> define al\u00edquota de 15% de IRPF sobre pr\u00eamios, com reten\u00e7\u00e3o na fonte pelas operadoras.<\/p>\n

A tabela abaixo resume o impacto t\u00e9cnico de cada norma:<\/p>\n

\n\n\n\n\n\n\n\n\n\n\n
Norma<\/th>\nExig\u00eancia principal<\/th>\nImpacto no software<\/th>\n<\/tr>\n<\/thead>\n
Lei 14.790\/2023<\/td>\nAutoriza\u00e7\u00e3o, KYC, AML, jogo respons\u00e1vel<\/td>\nArquitetura de compliance end-to-end<\/td>\n<\/tr>\n
Portaria 722\/2024<\/td>\nDom\u00ednio bet.br, ISO 27001, backup 5 anos<\/td>\nInfraestrutura, seguran\u00e7a, auditoria<\/td>\n<\/tr>\n
Portaria 1.143\/2024<\/td>\nPLD\/FTP, reporte ao COAF<\/td>\nMotor de monitoramento de transa\u00e7\u00f5es<\/td>\n<\/tr>\n
Portaria 1.231\/2024<\/td>\nAutolimites, autoexclus\u00e3o<\/td>\nM\u00f3dulo de jogo respons\u00e1vel<\/td>\n<\/tr>\n
LC 224\/2025<\/td>\nResponsabilidade solid\u00e1ria<\/td>\nRastreabilidade de toda a cadeia<\/td>\n<\/tr>\n
LGPD<\/td>\nDados no Brasil, consentimento<\/td>\nGovernan\u00e7a de dados, pol\u00edtica de cookies<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

Os 7 pilares t\u00e9cnicos de compliance para plataformas de apostas<\/h2>\n

Entender a legisla\u00e7\u00e3o \u00e9 necess\u00e1rio, mas n\u00e3o suficiente. O desafio real est\u00e1 em traduzir cada obriga\u00e7\u00e3o legal em funcionalidades de software, integra\u00e7\u00f5es e controles automatizados. A seguir, detalhamos os sete pilares t\u00e9cnicos que toda plataforma precisa implementar.<\/p>\n

1. Identifica\u00e7\u00e3o e verifica\u00e7\u00e3o de usu\u00e1rio (KYC)<\/h3>\n

O KYC (Know Your Customer) \u00e9 a primeira barreira de conformidade. Desde janeiro de 2025, todas as plataformas licenciadas devem realizar verifica\u00e7\u00e3o completa antes do primeiro dep\u00f3sito do apostador.<\/p>\n

O processo envolve tr\u00eas camadas de valida\u00e7\u00e3o. A primeira \u00e9 a coleta de dados pessoais: nome completo, CPF, data de nascimento, e-mail e telefone celular com DDI e DDD. A plataforma precisa validar a estrutura do CPF, o formato do nome e do e-mail<\/a> logo no momento do cadastro, antes de avan\u00e7ar para etapas mais custosas.<\/p>\n

A segunda camada \u00e9 a valida\u00e7\u00e3o documental. Os documentos aceitos incluem RG, CNH, CIN (Carteira de Identidade Nacional) e passaporte, com envio de foto frente e verso. Algumas plataformas tamb\u00e9m podem solicitar comprovante de resid\u00eancia ou renda.<\/p>\n

A terceira camada \u00e9 a autentica\u00e7\u00e3o biom\u00e9trica por reconhecimento facial em tempo real. O Brasil \u00e9 um dos poucos pa\u00edses do mundo a exigir biometria facial obrigat\u00f3ria<\/a> para apostadores, o que posiciona a regulamenta\u00e7\u00e3o nacional entre as mais rigorosas globalmente.<\/p>\n

Al\u00e9m dessas tr\u00eas camadas, o sistema precisa cruzar os dados do usu\u00e1rio com bases restritivas: lista de PEPs (Pessoas Politicamente Expostas), lista de exclus\u00e3o da SPA (que inclui funcion\u00e1rios de operadores, servidores p\u00fablicos da \u00e1rea regulat\u00f3ria, atletas, \u00e1rbitros, treinadores e agentes esportivos) e o SIGAP (Sistema de Gest\u00e3o de Apostas), que bloqueia automaticamente benefici\u00e1rios do Bolsa Fam\u00edlia e do BPC<\/a> por CPF.<\/p>\n

Do ponto de vista t\u00e9cnico, a plataforma tamb\u00e9m deve implementar mecanismos de human interactive proof (captcha) para impedir cadastros automatizados por bots.<\/p>\n

2. Preven\u00e7\u00e3o \u00e0 lavagem de dinheiro (AML\/PLD-FTP)<\/h3>\n

As obriga\u00e7\u00f5es de AML v\u00e3o muito al\u00e9m do cadastro inicial. A Portaria 1.143\/2024 traduz a legisla\u00e7\u00e3o federal de combate \u00e0 lavagem de dinheiro<\/a> em procedimentos espec\u00edficos para o setor de apostas, alinhados \u00e0s diretrizes do COAF.<\/p>\n

O operador precisa manter cadastro ativo no COAF (Conselho de Controle de Atividades Financeiras), realizar avalia\u00e7\u00f5es de risco anuais e operar um sistema de monitoramento cont\u00ednuo de transa\u00e7\u00f5es capaz de identificar e sinalizar automaticamente padr\u00f5es at\u00edpicos. Se um apostador realiza movimenta\u00e7\u00f5es consistentemente abaixo dos limites de reporte, por exemplo, o sistema deve ser capaz de reconhecer essa fragmenta\u00e7\u00e3o como comportamento suspeito.<\/p>\n

A regulamenta\u00e7\u00e3o tamb\u00e9m restringiu drasticamente os meios de pagamento aceitos. Cart\u00e3o de cr\u00e9dito, criptomoedas, boletos, cheques, dinheiro em esp\u00e9cie e pagamentos por terceiros s\u00e3o expressamente proibidos<\/a>. O Pix se tornou o meio predominante, com exig\u00eancia de processamento automatizado 24 horas por dia, 7 dias por semana, e liquida\u00e7\u00e3o de saques em at\u00e9 120 minutos.<\/p>\n

Qualquer ind\u00edcio de manipula\u00e7\u00e3o de eventos ou resultados deve ser comunicado imediatamente ao Minist\u00e9rio da Fazenda e ao Minist\u00e9rio P\u00fablico, conforme o Artigo 35 da Lei 14.790.<\/p>\n

3. Prote\u00e7\u00e3o de dados (LGPD)<\/h3>\n

Plataformas de apostas processam um volume significativo de dados pessoais sens\u00edveis: documentos de identidade, biometria facial, dados banc\u00e1rios, hist\u00f3rico de apostas e padr\u00f5es de comportamento. A LGPD se aplica integralmente, e a ANPD (Autoridade Nacional de Prote\u00e7\u00e3o de Dados) pode impor multas e san\u00e7\u00f5es por descumprimento.<\/p>\n

Na pr\u00e1tica, isso se traduz em requisitos t\u00e9cnicos espec\u00edficos. O consentimento do apostador precisa ser expl\u00edcito e granular para cada finalidade de tratamento. A pol\u00edtica de cookies \u00e9 obrigat\u00f3ria; a Portaria 722 determina que apostas n\u00e3o podem ser realizadas se o usu\u00e1rio n\u00e3o aceitar a pol\u00edtica de cookies<\/a> e que nenhum cookie pode conter c\u00f3digo malicioso.<\/p>\n

Quanto \u00e0 localiza\u00e7\u00e3o dos dados, a Portaria 722 exige que a base de dados seja replicada em territ\u00f3rio brasileiro<\/a>, mantida continuamente atualizada para garantir uniformidade. O armazenamento fora do Brasil s\u00f3 \u00e9 permitido em pa\u00edses que possuam Acordo de Coopera\u00e7\u00e3o Jur\u00eddica Internacional com o Brasil, em mat\u00e9ria civil e penal conjuntamente, e em conformidade com o artigo 33 da LGPD. O regulador deve ter acesso seguro e irrestrito aos sistemas, tanto de forma remota quanto presencial.<\/p>\n

4. Infraestrutura e seguran\u00e7a da informa\u00e7\u00e3o<\/h3>\n

A Portaria 722 estabelece um patamar elevado de exig\u00eancias para a infraestrutura tecnol\u00f3gica. A central de dados utilizada pelo operador precisa possuir certifica\u00e7\u00e3o ISO 27001<\/a>, o padr\u00e3o internacional de seguran\u00e7a da informa\u00e7\u00e3o que cobre autentica\u00e7\u00e3o de sistema, criptografia de transa\u00e7\u00f5es e prote\u00e7\u00e3o de dados.<\/p>\n

Do ponto de vista de disponibilidade, o SLA m\u00ednimo aceit\u00e1vel \u00e9 de 99,9% de uptime<\/a>. Para apostas ao vivo, a lat\u00eancia de atualiza\u00e7\u00e3o de odds deve ficar abaixo de 500ms; acima disso, a experi\u00eancia do usu\u00e1rio deteriora e o apostador tende a abandonar o mercado. Isso exige arquitetura com cluster de alta disponibilidade, balanceamento de carga autom\u00e1tico e failover configurado para servidores redundantes.<\/p>\n

O uso do dom\u00ednio bet.br<\/strong> \u00e9 obrigat\u00f3rio para todos os canais eletr\u00f4nicos de apostas. O sistema tamb\u00e9m deve ser capaz de detectar o uso de VPN, ataques man-in-the-middle e adultera\u00e7\u00e3o em n\u00edvel de sistema operacional. O software instalado no dispositivo do usu\u00e1rio n\u00e3o pode desabilitar programas de antiv\u00edrus nem alterar regras de firewall.<\/p>\n

A contrata\u00e7\u00e3o de servi\u00e7os de terceiros deve incluir todos os requisitos de seguran\u00e7a relevantes, com monitoramento e revis\u00e3o anual. Direitos de acesso de terceiros devem ser removidos ao final do contrato.<\/p>\n

5. Auditoria, registro e rastreabilidade<\/h3>\n

Rastreabilidade total \u00e9 um dos princ\u00edpios que permeiam toda a regulamenta\u00e7\u00e3o. O sistema de apostas deve manter e realizar backup de todos os dados por um prazo m\u00ednimo de cinco anos<\/a>. Isso inclui registros de apostas realizadas, pagamentos ao apostador, impostos recolhidos, movimenta\u00e7\u00f5es da conta gr\u00e1fica, eventos de seguran\u00e7a (logins errados sucessivos, indisponibilidade de sistemas) e dados do operador.<\/p>\n

O Artigo 33 da Lei 14.790 determina que os sistemas devem ser audit\u00e1veis, com acesso irrestrito, cont\u00ednuo e em tempo real<\/a> disponibilizado ao Minist\u00e9rio da Fazenda sempre que requisitado. Na pr\u00e1tica, isso significa que a SPA pode, a qualquer momento, consultar dados operacionais sem aviso pr\u00e9vio.<\/p>\n

A Portaria 722 tamb\u00e9m exige que o operador apresente um relat\u00f3rio de avalia\u00e7\u00e3o emitido por entidade certificadora<\/a> reconhecida pela SPA em at\u00e9 90 dias ap\u00f3s a publica\u00e7\u00e3o do ato de autoriza\u00e7\u00e3o, certificando que todos os requisitos t\u00e9cnicos foram atendidos. Os padr\u00f5es de refer\u00eancia para certifica\u00e7\u00e3o incluem GLI-33 (integridade de software de apostas) e BMM Testlabs.<\/p>\n

6. Jogo respons\u00e1vel<\/h3>\n

A prote\u00e7\u00e3o ao apostador \u00e9 uma obriga\u00e7\u00e3o operacional com implica\u00e7\u00f5es diretas no produto. A plataforma precisa implementar autolimites obrigat\u00f3rios de tempo e valor<\/a> apostado, definidos pelo pr\u00f3prio usu\u00e1rio no momento do cadastro.<\/p>\n

O mecanismo de autoexclus\u00e3o deve permitir que o apostador se bloqueie tempor\u00e1ria ou permanentemente, com devolu\u00e7\u00e3o obrigat\u00f3ria de saldos remanescentes. Operadores que n\u00e3o cumprirem as regras de bloqueio e devolu\u00e7\u00e3o podem sofrer san\u00e7\u00f5es administrativas e perda da autoriza\u00e7\u00e3o.<\/p>\n

O sistema precisa monitorar comportamento em tempo real, detectando padr\u00f5es at\u00edpicos de jogo (volumes crescentes, frequ\u00eancia incomum, sess\u00f5es prolongadas) e aplicando medidas de conten\u00e7\u00e3o autom\u00e1ticas: alertas ao usu\u00e1rio, pausas for\u00e7adas e, em casos extremos, bloqueio de acesso.<\/p>\n

Em todas as interfaces, o aviso “18+” \u00e9 obrigat\u00f3rio. A legisla\u00e7\u00e3o pro\u00edbe o registro de menores de idade, indiv\u00edduos diagnosticados com ludopatia, dirigentes esportivos, \u00e1rbitros e atletas profissionais<\/a>.<\/p>\n

7. Programa de controle e integridade<\/h3>\n

A Portaria 722 exige que o sistema de apostas opere com um software denominado “programa de controle”<\/a>, que supervisiona o cumprimento de todos os requisitos regulat\u00f3rios por meio de algoritmo e fun\u00e7\u00f5es espec\u00edficas. Esse programa deve autenticar a validade de todos os componentes cr\u00edticos cada vez que o software \u00e9 iniciado.<\/p>\n

Para jogos online, a certifica\u00e7\u00e3o de geradores de n\u00fameros aleat\u00f3rios (RNG) por laborat\u00f3rios independentes<\/a> \u00e9 obrigat\u00f3ria, garantindo que os resultados sejam justos e livres de manipula\u00e7\u00e3o algor\u00edtmica.<\/p>\n

No \u00e2mbito da integridade esportiva, o operador deve integrar organismos nacionais ou internacionais de monitoramento<\/a> e operar sistemas capazes de identificar padr\u00f5es suspeitos em tempo real. Quando h\u00e1 uma queda abrupta nas odds de determinado evento, por exemplo, o sistema deve ser capaz de sinalizar automaticamente o comportamento para an\u00e1lise.<\/p>\n

\n

Construir uma plataforma que atenda a todos esses pilares exige mais do que capacidade de codifica\u00e7\u00e3o: exige squads com experi\u00eancia em regulamenta\u00e7\u00e3o setorial, seguran\u00e7a de dados e integra\u00e7\u00f5es complexas. A NextAge<\/a> monta squads full-stack dedicados para projetos de software de alta complexidade, com SLA contratual, revis\u00e3o de c\u00f3digo assistida por IA e previsibilidade de escopo do in\u00edcio ao fim.<\/p>\n<\/blockquote>\n

Checklist t\u00e9cnico: o que o seu software precisa ter<\/h2>\n

Antes de submeter a plataforma \u00e0 certifica\u00e7\u00e3o ou de iniciar o processo de autoriza\u00e7\u00e3o junto \u00e0 SPA, vale percorrer este checklist para garantir que nenhum requisito foi negligenciado:<\/p>\n