KYB e verificações de parceiros

1) Porquê KYB

KYB (KNOW Your Business) é uma identificação e avaliação dos riscos das pessoas jurídicas e dos provedores de transações: afiliados, provedores de jogos e agregadores, PSP/bancos, orquestradores de pagamentos, provedores KYC/AML, agências de marketing, call centers, distribuidores B2B, white label e Os revendedores. O objetivo é prevenir os riscos de sanções e AML/CFT, frod com tráfego e pagamentos, violações de IP/licenças, vazamentos de dados e incidentes de reputação.

2) Princípios e modelo RBA

Risk-Based Approach: A profundidade da verificação depende do perfil de risco do contêiner (geo, papel na cadeia, acesso ao dinheiro/dados, histórico de incidentes, volume).
Proportionality: CDD para fornecedores de baixo risco, EDD para alto risco (PSP, afiliados com tráfego agressivo, cruzborder resselers).
Ongoing Monitoring: Verificação inicial sem monitoramento contínuo é inútil.
Four-Eyes & Segregation: Soluções de acesso/bloqueio - pelo menos dois funcionários.

3) Papéis e responsabilidades

Board/Exec: aprova políticas KYB, apetite de risco, matriz de escaladas.
MLRO/Compliance: proprietário do processo COVE/sanções, metodologia Adverse Media/PEP, SAR/TR, se necessário.
Risk/Analytics: classificação de risco, regras comportamentais para afiliados/PSP.
Comercial/BD: coleta de documentos, controle de contratos, KPI parceiros.
Legal: garantias contratuais, licenças IP/IP, multas, direito de cancelamento unilateral na AML/eventos de sanções.
Segurança/TI: disponibilidade, criptografia, registro de ação, avaliação de segurança.
Finance/Payments: Controle de pagamentos, registros de beneficiários, verificação de adereços.

4) Níveis KYB (exemplo)

CDD (básico): documentos de inscrição, diretores, UBO ≥25%, sanções/PEP/Adverse Media, site/contatos, número de impostos, confirmação do endereço do advogado.
ID + EDD (extenso): cadeia completa de propriedade para física, relatórios financeiros, cartas bancárias/arquivos, licenças/permissões, descrição do modelo de negócios e fontes de rendimentos, verificação de locais operacionais, verificação de domínios/canais de tráfego, auditoria de segurança.
Contínuo: revezamento de eventos (sanções, mudanças de diretor/UBO, elevações de tráfego/charjbacks), revisão anual de ficheiros.

5) Coleta de dados e documentos

• Certificado de incorporação, estatuto/contrato de instalação, registro de promoções/participações.
• Lista de diretores e UBO (com participações e cidadania).
• Endereço Yur e endereço real, número fiscal/VAT.
• Licenças/permissões (iGaming/pagamentos/publicidade), contratos de subsecretários.
• Adereços bancários (carta do banco/void cheque), comprovante de posse da conta.
• Políticas AML/KYC/KYB, screening de sanções na empresa, GDPR/Segurança, DPIA (se houver acesso a PD).
• Para a afiliada: descrição de fontes de tráfego, domínios/lendagens, contas de redes sociais/adsets, geo e formatos de publicidade, CRM/rastreadores.

• Documento de identidade + livness, endereço (≤3 m.), sanções/PEP/Adverse Media.
• Comprovação de vínculo com a empresa (nomeação do diretor, posse de participações).

6) Sanções, PEP, Adverse Media

Screening de pessoa jurídica, todos os títulos de comércio, domínios e diretores relacionados/UBO.
Pesquisa de fuzis, alíquotas e translitorações; Clérigo manual de correspondências fronteiriças.
Recriação periódica (atualizações diárias de lista) e evento para alterações no perfil do parceiro.
Adverse Media: temas - corrupção, frod, tráfico de drogas, jogo sem licença, lavagem.

7) Avaliação da maturidade técnica e regulatória

Licenças e conformidade: validade e quantidade de licenças (jogos, pagamentos, publicidade), relatórios, multas anteriores.
Segurança & Privaciy: criptografia, RBAC/ABAC, gerenciamento de chaves/segredos, registros de acesso, política de armazenamento de dados, incidente de respeito.
Operações confiáveis SLA/farmácia, bacapes, plano de continuidade, proteção DDoS.
Integrações: API seguro, registros de auditoria, versões SDK, regras PI/PCI DSS (se trabalhar com mapas).

8) Especificidades por tipo de parceiro

8. 1 Afiliados (KYA - Know Your Affiliate)

Perfil de tráfego: fontes (SEO/ASO, PPC, teasers, redes sociais, striptease), práticas brancas/cinzentas, tolerância geo e meta de idade.
Marcas de qualidade: CR→FTD, FTD→depozitor, depozit→vyvod, picos anormais, proporção de multiaccounts/bónus.
Conteúdo e marca-cofres: sem promessas falsas, conformidade com as regras locais de publicidade.
Parte financeira: acerto de adereços de pagamento, ausência de terceiros como beneficiários de pagamentos.
Monitoramento: domínios/criativos regulares «crawl», redits clandestinos/curvilíneos - fatores stop.

8. 2 Provedores de jogos/agregadores

Direito de distribuição de IP: licenças de RNG/jogos, direito de uso de marcas/música/ativos artísticos.
Jurisdições de disponibilidade: matriz de mercado (o que pode ser mostrado onde), mecanismos de geo-filtragem.
Fair play: certificação RNG, laboratórios, relatórios, histórico de incidentes (rigging/fuga).
Pagamentos: modelo de royalties (RevShare/flat), compilação de relatórios, anti-manipulação de GGR/marcas de formatação.

8. 3 PSP/bancos/orquestradores

Licenças de pagamento (EMI/PI/bancários), processos KYC/AML, limites, classes MCC.
Riscos de bloqueio: charjbacks, devoluções, blacklists; plano de contornação de incidentes (Failover).
Rastreamento de pagamentos: verificação do dono da conta, regras «same method», relatórios.

8. 4 Provedores de serviços (KYS - Know Your Suplier)

Acesso a PD/contas/base de códigos → EDD + contratos de proteção de dados, direitos de auditoria, notificação de incidentes, subprocessadores.

9) Garantias contratuais e controle

Cláusulas AML/sanções: garantia de conformidade com todos os regimes, direito de anulação imediata em caso de violação.
KYC/KYB compromissos: fornecimento de documentos sob demanda, atualização na mudança de diretor/UBO.
Padrões promocionais (para afiliados): proibição de mis-selling, discreters obrigatórios, limitações locais.
Auditoria e inspeção: direito a inspeções, acesso a logs/criativos, multas/retenção em violações graves.
SLA/OLA: Farmácia, TAT por tíquetes, prazo para responder a incidentes, multas por atraso.

IP/Conteúdo: confirmação de direitos, responsabilidade por reclamações de terceiros

Dados e segurança: DPIA/DTIA, criptografia, breach-notificação ≤72 h, proibição de transferência para jurisdições «vermelhas» sem garantias.

10) Monitoramento e revezamento (Ongoing)

• Mudança de UBO/diretores/adereços bancários.
• Evento de sanção/Adverse Media.
• Tráfego anormal/charjbacks/espólios de pagamento.
• Queixas de usuários/pedidos regulatórios.
• Mudança de modelo de negócio/geografia.

Processo: sinal de mala pedido de documentos/explicações decisão (manter/congelar/cancelar) pós-mar e atualização de regras.

11) Matriz de risco (exemplo)

12) Métricas e KPI KYB

Onboarding TAT (mediana/95).
Ficheiro Completeness Score (número de perfis completos).
Auto-clear/Manual-review rate por alertas.
Falso Positivo rate sanções/RER e tempo de compensação.
Traffic Quality (afiliados): CR, qualidade FTD, WD-ratio, chargeback-rate.
Incident Rate и Time-to-Contain.
Audit Findings Closed on Time.
Vendor SLA Compliance (farmácia/reação).

13) Arquitetura e integração

O único ficheiro do sócio é o conde de posse da UBO, documentos, estatais de sanções/RER, licenças, domínios, adereços de pagamento.
Um pneu de eventos, alterações de adereços, saltos de tráfego/charjbacks, updates de sanções → alertas para a mala.
O motor de soluções: regras + ML (compilação de afiliados, risco PSP, anomalias).
Registros e armazenamento WORM: versões imutáveis de documentos, motivações de soluções, vestígios de acesso.
Acessíveis e segredos: RBAC/ABAC, HSM/secret-vault, limitação de descarga.
Degradação: se os provedores de sanções não estiverem disponíveis - quórum/retrai, restruturação temporária de liminares.

14) Folhas de cheque

• Gravações, estatutos, endereço de registro.
• Diretor/UBO ≥25% + CUS/endereço.
• Sanções/PEP/Adverse Media (direito/rosto).
• Licenças, direito a produtos/conteúdo.
• Adereços bancários e confirmação de posse de conta.
• Políticas AML/KYC/KYB + segurança de dados.
• Para a afiliada: fontes de tráfego, domínios, criativos, geo.
• Contrato: cláusulas AML, direito de auditoria, SLA, multas.

• Novo screening de sanções.
• Comprovação do beneficiário da conta = sócio/UBO.
• Compilação de relatórios (tráfego/jogos/royalties).
• Verificação anti-frod (anomalias, cadeias multi-nível).

• Relevância de documentos/licenças/UBO.
• Resumo de incidentes/queixas/regravações.
• Alterações em geo/canais de tráfego/linha de alimentos.
• Sobrepalibro de risco e limites.

15) Riscos típicos e como fechá-los

A estrutura oculta UBO através de offshores → exigir cadeia até física, registros independentes, comprovante legal.
Tráfego sujo de afiliados → proibições contratuais, monitoramento automático de domínios, finstraf, lista de espera.
Riscos de sanção/RER → restrinagem diária, clering manual, escalação MLRO.
Substituição de adereços de pagamento (BEC-fraud) → confirmação de adereços do canal contratual, two-man rule, controle de alterações entre 24 e 48 horas de quarentina.
Acesso ao PD por terceiros → DPIA, minimização, auditoria de vestígios de acesso, barreiras técnicas e contratuais.

16) FAQ

Onde está o limite do EDD? Alto risco em geo/papel/volume, acesso a PD/dinheiro, estrutura complexa UBO, mídia negativa.
Com que frequência revê-lo? Mínimo anual; mais um evento.
É possível pagar a uma afiliada em uma conta pessoal? Não desejável: coincidência de proprietário, links UBO, verificação de destino e regras locais.
O que fazer numa discussão sobre a qualidade do tráfego? Incluir no contrato o direito de auditoria, amostra de lidas, metodologia de atribuição, retenção/correção de marceback.

17) Modelo de estrutura de políticas KYB (para wiki)

1. Área e definição

2. Papel e Responsabilidade (RACI)

3. Metodologia RBA e liminares EDD

4. Requisitos de documentos (direito/diretor/UBO)

5. Sanções/PEP/Adverse Media e frequência de ressecrining

6. Especificidades por tipo de parceiro (KYA/KYS/PSP/provedores de jogos)

7. Requisitos contratuais (AML, SLA, auditoria, IP, dados)

8. Monitoramento e rev-KYB (trigers, gerenciamento de mala)

9. Métricas e relatórios para o Board/Gestão

10. Armazenamento de dados, segurança, privacidade

11. Plano de continuidade e resposta a incidentes

12. Aplicativos: folhas de cheque, formulários, modelos de e-mails e relatórios

Resultado

Circuito KYB forte = profundidade correta de verificação de entrada, quadro de contrato rígido, monitoramento constante e métricas transparentes. Normalize o dossiê, automatize o circuito de sanções, mede a qualidade do tráfego e o cumprimento da SLA, reveja regularmente os parceiros de risco e reduza os riscos regulatórios, financeiros e de reputação sem prejudicar o ritmo do negócio.