Requisitos KYC e níveis de verificação

1) O que é KYC e o que é necessário

KYC (KNOW Your Customer) é um conjunto de procedimentos de identificação e verificação de clientes para reduzir os riscos de lavagem de fundos (AML), financiamento de terrorismo (CFT), fraude e violação de regimes de sanções. Em iGaming, o KYC é complementado por testes de idade, limitações geo, fontes de remédio e jogo responsável (limites, afordability).

• Confirmar a identidade e idade do jogador.
• Definir residência/endereço, verificar a validade geo.
• Excluir os riscos de sanções, terroristas e PEP.
• Compreenda as fontes de remédio/riqueza (SOF/SOW) em limites elevados.
• Forneça monitoramento contínuo e revalidação pontual.

2) Abordagem orientada a risco (RBA)

• Geografia: país de registro/residência, entradas de jurisdições «de alto risco».
• Pagamentos: método, canal (cartão, A2A, cripto-onrampos), pattern de depósito/conclusão.
• Comportamento: velocidade de circulação, apostas, circuitos de bónus, multiplacaunting, IP/anomalias Device.
• Estado do cliente PEP, sanções, mídia desfavorável (Adverse Media).
• Risco de alimentos: casino/taxas, limites elevados, transferências P2P.

O RBA é refletido nos níveis KYC (ver abaixo), desencadeadores de escalação e frequência de visão (CDD ↔ EDD).

3) Níveis KYC (exemplo para iGaming)

L0 - Tolerância básica (age & geo pré-check)

O objectivo é vórtice instantâneo com fricção mínima.
Dados: e-mail/telefone, FIO, data de nascimento, país, consentimento.
Verificações: idade (data-of-birth + base externa/SDK), IP/GeoIP, dispositivo, watchlist básico.
Restrições: baixos limites de depósito/conclusão, proibição de P2P, bónus limitados.
Reversão: ao atingir o limite de rotação/saída.

L1 - Identificação padrão (CDD)

Documentos: 1 documento de identidade (passaporte/ID/direito de água) + selfies-liveness; em países individuais, verificação de idade separada.
Endereço: declaração de endereço + verificação «suave» (phone match, bancos agregadores, arquivos de crédito, postal DB).
Verificações automáticas: sanções/PEP/Adverse Media, duplicações de dispositivos/pagamentos, biometria comportamental.
Limites: limites médios de depósito/conclusão; possibilidade de participar de torneios/promoções.

L2 - Verificação avançada (EDD )/Fontes de ferramentas (SOF)

Documentos: comprovantes de endereço (utility bill/extrato bancário), comprovante de rendimentos (extratos, atestados de rendimentos, paclips, contratos), SOW (venda, herança), se necessário.
Entrevista/questionário de risco: forma breve sobre fontes de fundos, emprego, circulação prevista.
Controle técnico: Acionadores de monitoramento AML reforçados, cruzamento mais frequente de sanções/RER.
Limites: altos; acesso a programas VIP/pagamentos de alto valor.

L3 - Ultra-risco/VIP High-Roller/Cross Border

Adicionalmente: relatórios auditados/confirmação de ativos, cartas bancárias, declarações.
Compasso manual + princípio de quatro olhos (4-eyes).
Frequência de monitoramento: alta, revisões de evento transações, SOW detalhado.

4) Verificações de identidade: técnicas e qualidade

Verificação doutora: OCR + MRZ + NFC (se disponível), anti-tamper, comparação de retratos.
Selfies liveness: ativa (mímica/movimento) ou passiva; anti-spufing (máscaras, ré-play).
Biometria: face-match, às vezes voice/behavioral.
Comprovação não documentada: bancos/agregadores (open-banking), agências de crédito, operadoras móveis (SIM KYC).
Qualidade: requisitos mínimos de resolução, iluminação; desvios - «folha cinzenta» + processamento manual.

5) Idade, geografia e admissibilidade

Idade: verificação automática da data de nascimento + registros externos/SDK, controle secundário em L1.
Geo: bloqueio de países/estados proibidos; controle IP, GPS/telemetria do dispositivo, BIN país do mapa, endereço do documento.
Sutilezas regionais: diferentes provas de endereço/formato de ID (latim/cirílico, translitoração de nomes, várias línguas oficiais, patrocínios).

6) Sanções, PEP e mídia desfavorável

Sanções: mapeamento por lista (UN/EU/OFAC/HMT e local), atualização automática, jogo de fuzis com limiar personalizável.
PEP: classificação (internacional/nacional/local; Indivíduos PEP).
Adverse Media: publicações negativas sobre temas-chave (fraude, corrupção).
Procedimentos: jogos positivos → validação manual, escalação, relatório de complacência.

7) Source of Funds (SOF) и Source of Wealth (SOW)

Quando necessário, excesso de liminares de depósito/conclusão, status VIP, transações raras e bandeiras de risco.

• Saques bancários de 3 a 6 mil, registos de rendimentos, declarações de impostos.
• Provas de receita única, venda de imóveis/ações, herança, dividendos, contrato de empréstimo.
• Comprovação de status (PE/empresa), contrato, carta do empregador.

8) KYB (para merchants/parceiros/afiliados)

Documentos de registro, estatutos, beneficiários (UBO), estrutura de posse.
Diretor/UBO: KYC, sanções/RER.
Provas de endereço e atividade (site, contratos, contas).
Monitoramento de pagamentos e tráfego (para afiliados): anti-frod, qualidade das lidas, geo e fonte de tráfego.

9) Desencadeadores de reexaminação (rev-KYC) e EDD de evento

Atingir limites de circulação/conclusão.
Mudança de FIO/endereço/ferramentas de pagamento, pattern suspeitos (depósitos cíclicos/conclusões rápidas).
Mídia negativa, atualizações em listas de sanções, novos dispositivos/cluster IP.
Inatividade prolongada + atividade súbita.
«Higiene» de dados: rev-KYC a cada 1-3 anos (RBA-dependente).

10) Armazenamento de dados, privacidade e segurança

Minimização e objetivo: Colecione apenas o necessário para a finalidade (onboarding, AML, idade, região).
Prazo de armazenamento: normalmente 5 anos após o encerramento da conta/última transação (especifique em direito local).
Criptografia em paz (at-rest) e transito (in-transit); segredos em HSM/vendedor-vault.
Acesso: Princípio do menor privilégio (RBAC/ABAC), auditoria, registros de acesso.
Direitos do sujeito: acesso/correção/remoção (quando aplicável), transparência de processamento.
Vendedores: DPIA/UDPA, transferências de dados interestaduais, cláusulas de contrato padrão.

11) Arquitetura e integração KYC

1. Inscrição (L0): e-mail/telefone → idade/geo pré-check → risk pré-score.

2. L1: doc-verificação + liveness → sanções/RER → endereço (macio).

3. Abertura de limites/funções → monitoramento transacional (comportamento/pagamento).

4. Escalar para L2/L3 por triger (liminares, anomalias, VIP).

5. Revo periódico + evento EDD.

• Provedores: ID-vendedor, sanções/RER, BD direcionado, device fingerprint, biometria comportamental, open-banking/PSP.
• Gateway de decisão: Rulas + ML (mapeamento de riscos, conexões gráficas, clusterização de dispositivos).
• Console de complacência: filas de mala, SLA, quatro olhos, modelos SAR/TR, exportação de relatórios.
• Logs e auditorias: armazenamento imutável (WORM), versionização de perfis, arquivamento de documentos.
• Disponibilidade/sustentabilidade: região ativo-ativo, backoff/repetições, degradação para L0/L1 somente quando os vendedores externos não estão disponíveis.

12) UX e conversão KYC

Progresso-bar e escalonabilidade (split-KYC): primeiro L0/L1, depois L2 à medida que os limites aumentam.
Localização: linguagem, formato de datas/nomes, dicas de documentos (exemplo de foto, glare-controle).
Carregar novamente: «Salvar e continuar mais tarde», lembretes, links secure.
Disponibilidade: SDK móvel, modo offline de rascunho, compressão de imagem.
Fail-safe: falha suave com explicação, canal para verificação manual, SLA por mala.

13) Métricas de qualidade KYC

Time-to-Verify (TTV): Mediana/95 Percentil.
Auto-pass rate e Auto-fail rate, parte de processamento manual.
First Pass Yield (FPY) por documentos.
Falso Positivo rate de sanções/RER, tempo médio de compensação de alertas.
Conversion uplift após iterações UX.
Costa para Verificação e KYC OPEX total.
SAR/TR ratio e desempenho das escalações.
Re-KYC completion rate.

14) Políticas e modelos (formulações de modelo)

• L0: até X €/₴/$/₹ por mês, sem saída ou com microaploração.
• L1: a Y, conclusões padrão.
• L2: altos limites + exigência de SOF.
• L3: Limites premiados + SOW e Complacência Manual.
• Desencadeadores EDD: grandes depósitos individuais, ciclos de depozit→vyvod acelerados, mudanças frequentes de meios de pagamento, VPN/proxy, discordância de países em IP/BIN/documento.
• Sanções/RER: screening para o pagamento + a cada pagamento; reviver as coincidências «fronteiriças» durante 24 horas.
• Reversão: evento + periódico (12-36 em RBA).
• Escalonamento e SAR/TR: cenários obrigatórios e prazos de entrega, proibição de notificação do cliente (tipping-off).

15) Riscos frequentes e como fechá-los

Personalidades sintéticas → multifacetado: documento + aparência + device graph + open-banking.
Multiplicaunting → biometria comportamental, cookie-less device graph, endereço/cluster de pagamento.
Bónus-abuse → limites para nível KYC, regras velocity, «bónus adiado» parcial.
Frod com documentos → leitura NFC do chip, liveness passivo, análise textual.
Arquivo fino (thin-arquivo) → fontes alternativas (telco-dados, open-banking), verificação manual.
Translitorações/alias → normalização do FIO, alfabetos locais, jogos de fuzis.

16) Folhas de cheque mini

• Idade, geo, IP/Device.
• Documento + selfie-liveness.
• Sanções/PEP/Adverse Media.
• O endereço (soft) → quando o limite é o endereço (hard).
• Regras automáticas e mapeamento ML.
• Comunicação transparente, consentimento.

• Recall de sanções/RER.
• SOF (quando ultrapassado o limite).
• Verificar a correspondência do dono da ferramenta de pagamento.
• Monitoramento comportamental e de pagamentos (anomalias).

• Abrangência dos registros e relevância dos documentos.
• Treinamento de comando e registro de auditoria.
• Planos de teste de venda (SLA, resistência a falhas).
• DPIA/segurança e acessibilidade.

17) FAQ (curta)

É possível entrar no jogo antes da L1? Sim, com L0 com limites rígidos e idade/geo-controle - mas a conclusão/limite elevado só depois de L1.
Quando exigir SOF/SOW? Em caso de excesso de liminares de circulação/saída, status VIP, patternes suspeitos ou sob exigência do regulador.
Você precisa de um screening a cada pagamento? Recomenda-se um breve recrining de sanções e monitoramento comportamental.
Como não matar a conversão? Divida o KYC em etapas, melhore o UX, aplique fontes alternativas de dados e movimento automático.

Resultado

Um KYC eficiente é um equilíbrio entre a proteção do negócio e um UX suave. Construa os níveis L0-L3 sob o seu perfil de risco, automatize o screening, implemente o SOF/SOW para high-risk, mede as métricas de qualidade e forneça uma auditoria imutável. Assim você fica na complacência sem perder a conversão e a LTV.