Qué se verifica y cuándo
El KYC confirma dos cosas: que el apostador es quien dice ser y que puede apostar legalmente en Brasil. En el registro, la plataforma recoge el CPF, la fecha de nacimiento y datos básicos, y la Portaria SPA/MF n.º 722/2024 —"portaria" es el acto normativo infralegal que dicta la Secretaría— exige verificación biométrica facial ya en esa etapa: según el Anexo I, ítem 10, "la verificación de identidad debe realizar el reconocimiento facial y ser realizada antes de que un apostador tenga una cuenta registrada", y la cuenta solo puede activarse cuando la verificación de edad e identidad, incluida la validez del CPF y el reconocimiento facial, se concluya con éxito. No hay flexibilización de esa exigencia en el registro. A diferencia de mercados donde la verificación completa ocurre recién cerca del primer retiro, en el Brasil regulado buena parte del KYC tiene que estar resuelta antes de que el jugador pueda apostar.
La segunda capa ocurre en el flujo financiero: antes del primer retiro, la plataforma refuerza el chequeo, validando que la cuenta bancaria o la clave PIX pertenezca al mismo titular de la cuenta verificada, para impedir que el dinero salga hacia un CPF distinto de quien apostó.
La misma Portaria trata la reautenticación en tres reglas distintas que suelen confundirse en una sola. Tras 30 minutos de inactividad en un dispositivo, el sistema debe exigir un nuevo proceso de autenticación, sin que pueda realizarse ninguna apuesta ni transacción financiera antes de eso — la norma no exige múltiple factor en ese caso (Anexo I, ítem 14). Para esa nueva autenticación en el mismo dispositivo, el sistema podrá ofrecer acceso por biometría, probado por una entidad certificadora habilitada por la SPA: es una facultad, no una obligación (ítem 15). Lo que la Portaria sí vuelve obligatorio es la autenticación multifactorial al menos una vez cada 7 días o en el primer acceso tras un período de inactividad superior a 7 días (ítem 16).
| Etapa | Cuándo ocurre | Qué se confirma |
|---|---|---|
| Registro | Antes de que la cuenta exista | CPF, mayoría de edad (18+), biometría facial (obligatoria) |
| Pre-retiro | Antes del primer retiro | Titularidad de la cuenta bancaria/PIX vs. cuenta verificada |
| Nueva autenticación | Tras 30 min de inactividad en el dispositivo | Nueva autenticación del apostador; biometría opcional (ítem 15) |
| Autenticación multifactorial | Cada 7 días o en el 1.º acceso tras 7+ días inactivo | Dos o más factores (ítem 16) |
Qué exige el Brasil regulado más allá de la identidad
La Ley 14.790/2023, art. 26, prohíbe expresamente la participación como apostador de los menores de 18 años (inciso I) y de "la persona diagnosticada con ludopatía, por informe de un profesional de salud mental habilitado" (inciso VI). Ese matiz importa: la prohibición no se activa por autodeclaración del apostador, sino por un diagnóstico formal emitido por un profesional habilitado.
La restricción a beneficiarios de programas sociales tiene hoy dos partes con estados distintos. La Portaria SPA/MF n.º 2.217/2025 incluyó entre los impedidos a las personas beneficiarias del Programa Bolsa Família y del Beneficio de Prestación Continuada (BPC), y la Instrucción Normativa SPA/MF n.º 22/2025 detalló la operativa: consulta al Módulo de Impedidos del SIGAP por CPF en la apertura del registro, en el primer inicio de sesión del día y, como mínimo, cada quince días sobre toda la base. La prohibición de nuevos registros está vigente — el registro debe denegarse cuando el SIGAP devuelva "Impedido - Programa Social". En cambio, las obligaciones de bloqueo y cierre de cuentas ya existentes fueron parcialmente suspendidas por decisión del ministro Luiz Fux, del STF (Supremo Tribunal Federal, la corte constitucional de Brasil), en la ADI 7721, el 19/12/2025, con el fondo aún pendiente de juzgamiento. Como el proceso sigue en curso, el operador debe confirmar el estado vigente con la SPA antes de activar el cierre de cuentas.
Para cumplir con este conjunto de exigencias, el flujo de KYC necesita ir más allá de aceptar un documento escaneado: exige validar el CPF contra una base oficial y consultar el Módulo de Impedidos del SIGAP — no solo una foto del documento.
El KYC lento espanta al jugador legítimo. ¿Dónde está el equilibrio?
Un registro con muchos pasos manuales hunde la conversión: cada pantalla adicional entre el clic en el anuncio y el primer depósito es un punto de abandono, y la biometría facial en el registro — obligatoria, no opcional — ya suma una fricción que debe ejecutarse bien para no costar registros. La respuesta no es saltar pasos, porque eso expone a la operación a fraude y sanción regulatoria, sino automatizar: validación de CPF contra base oficial, verificación de documento y biometría por tecnología, con revisión manual reservada a los casos que la automatización marca como dudosos.
Del otro lado, reglas de fraude demasiado rígidas generan falsos positivos — jugadores legítimos bloqueados u obligados a reenviar documentos —, lo que aumenta los tickets de soporte y es una causa común de churn en los primeros días de la cuenta. El punto de equilibrio está en medir ambas tasas — registros abandonados por fricción y fraude que pasa inadvertido — y ajustar el flujo a partir de esos dos números, no de una elección arbitraria entre rigor y conversión. Cuando el KYC funciona así, deja de ser solo costo de compliance y pasa a proteger la operación de cuentas fraudulentas o de terceros, el mismo tipo de cuenta que más tarde se convierte en un problema de AML.