O que é verificado e quando
O KYC confirma, em duas camadas, que o apostador é quem diz ser e que pode legalmente apostar no Brasil. No cadastro, a plataforma coleta CPF, data de nascimento e dados básicos, e a Portaria SPA/MF nº 722/2024 exige verificação biométrica facial já nessa etapa: pelo Anexo I, item 10, "a verificação de identidade deve realizar o reconhecimento facial e ser realizada antes que um apostador tenha uma conta cadastrada", e a conta só pode ser ativada quando a verificação de idade e identidade, incluindo a validade do CPF e o reconhecimento facial, for concluída com sucesso. Não há flexibilização dessa exigência no cadastro. Diferente de mercados em que a verificação plena só acontece perto do primeiro saque, no Brasil regulado boa parte do KYC já precisa estar resolvida antes de o jogador conseguir apostar.
A segunda camada acontece no fluxo financeiro: antes do primeiro saque, a plataforma reforça a checagem, validando que a conta bancária ou a chave PIX pertence ao mesmo titular da conta verificada, para impedir que o valor saia para um CPF diferente de quem apostou.
A mesma portaria trata a reautenticação em três regras distintas, que costumam ser confundidas em uma só. Após 30 minutos de inatividade em um dispositivo, o sistema deve exigir um novo processo de autenticação, sem que nenhuma aposta ou transação financeira possa ocorrer antes disso — a norma não exige múltiplo fator nesse caso (Anexo I, item 14). Para essa nova autenticação no mesmo dispositivo, o sistema poderá oferecer acesso por biometria, testado por entidade certificadora habilitada pela SPA — é uma faculdade, não uma obrigação (item 15). O que a portaria de fato torna obrigatório é a autenticação multifatorial ao menos uma vez a cada 7 dias ou no primeiro acesso após um período de inatividade superior a 7 dias (item 16).
| Etapa | Quando ocorre | O que é confirmado |
|---|---|---|
| Cadastro | Antes de a conta existir | CPF, maioridade (18+), biometria facial (obrigatória) |
| Pré-saque | Antes do primeiro saque | Titularidade da conta bancária/PIX vs. conta verificada |
| Nova autenticação | Após 30 min de inatividade no dispositivo | Nova autenticação do apostador; biometria é opcional (item 15) |
| Autenticação multifatorial | A cada 7 dias ou no 1º acesso após 7+ dias inativo | Dois ou mais fatores (item 16) |
O que o Brasil regulado exige além da identidade
A Lei 14.790/2023, art. 26, veda expressamente a participação como apostador de menores de 18 anos (inciso I) e de "pessoa diagnosticada com ludopatia, por laudo de profissional de saúde mental habilitado" (inciso VI). Esse recorte importa: a vedação não se aciona por autodeclaração do apostador, e sim por diagnóstico formal emitido por profissional habilitado.
A vedação a beneficiários de programas sociais tem hoje duas partes com status diferentes. A Portaria SPA/MF nº 2.217/2025 incluiu, entre os impedidos, as pessoas beneficiárias do Programa Bolsa Família e do Benefício de Prestação Continuada (BPC), e a Instrução Normativa SPA/MF nº 22/2025 detalhou a operacionalização: consulta ao Módulo de Impedidos do SIGAP por CPF na abertura de cadastro, no primeiro login do dia e, no mínimo, a cada quinze dias sobre toda a base. A vedação a novos cadastros está em vigor — o cadastro deve ser negado quando o SIGAP retornar "Impedido - Programa Social". Já as obrigações de bloqueio e encerramento de contas já existentes foram parcialmente suspensas por decisão do ministro Luiz Fux na ADI 7721, em 19/12/2025, com o mérito ainda pendente de julgamento. Como o processo segue em curso, o operador deve confirmar o status vigente junto à SPA antes de acionar o encerramento de contas.
Para cumprir esse conjunto de exigências, o fluxo de KYC precisa ir além de aceitar um documento digitalizado: exige validação de CPF em base oficial e consulta ao Módulo de Impedidos do SIGAP — não apenas uma foto de RG.
KYC lento afasta jogador legítimo. Onde fica o equilíbrio?
Um cadastro com muitas etapas manuais derruba conversão: cada tela adicional entre o clique no anúncio e o primeiro depósito é um ponto de abandono, e a biometria facial no cadastro — obrigatória, não opcional — já adiciona atrito que precisa ser bem executado para não custar cadastro. A resposta não é pular etapas, porque isso expõe a operação a fraude e a sanção regulatória, mas automatizar: validação de CPF em base oficial, checagem de documento e biometria por tecnologia, com análise manual reservada para os casos que a automação sinaliza como duvidosos.
Do outro lado, regras de fraude excessivamente rígidas geram falsos positivos — jogadores legítimos bloqueados ou obrigados a reenviar documentos —, o que aumenta chamados de suporte e é uma causa comum de churn nos primeiros dias de conta. O ponto de equilíbrio está em medir as duas taxas — cadastros abandonados por atrito e fraude que passa despercebida — e ajustar o fluxo a partir delas, não de uma escolha arbitrária entre rigor e conversão. Quando o KYC funciona assim, ele deixa de ser só custo de compliance e passa a proteger a operação de contas fraudulentas ou em nome de terceiros, o mesmo tipo de conta que mais tarde vira problema de AML.