Arquitetura de pagamento em iGaming

Arquitetura de pagamento em iGaming

1) Rol de pagamento para P&L e Complaence

• Conversão de depósito (Auth Rate, Fricção, 3DS/SCA) e velocidade de saída (T + 0/T + 1).
• Custo: MDR/interchange, taxas PSP/bancos, FX/conversão, antifrod/charjbacks.
• Risco e regulação: KYC/AML, limites e Resource Gaming (RG), PSD2/SCA/GDPR/PCI DSS.
• Confiabilidade: resistência a falhas, failover PSP, exposição de risco e SLA estável.

2) Paisagem alvo

Canais de entrada: mapas (Visa/Mastercard/MIR/UnionPay), APM (Apple/Google Pay), open banking/time payments (SEPA Point, Faster Payments, Pix, UPI), e-carteiras, vales, terminais em dinheiro (local).
Canais de saída: SEPA/ACH/FPS, Pix/UPI, card-to-card (OCT/Original Credit Transfer), carteiras, roteiros locais; para «cash at cage» - pagamentos offline.
Camadas intermediárias: Orquestrador PSP, antifrode, portaria de compasso (KYC/AML/sanções), Ledger (jogo/dinheiro), armazenamento de tokens, reposição (Reconciliação), relatórios.

3) Domínios funcionais

3. 1 Recebimento de pagamentos (Aquiring)

Roteiro inteligente: escolha PSP por BIN/país/banco/cheque de risco/custo; Cascata (Retry → Alt-PSP) e partial approvals.
3DS/SCA: Orquestra dinâmica (frictionless vs challenge), TRE/Whitelisting, PSD2-exceções (LVA, MOTO, MIT).
Tocenização: cofres e tokens de rede (NTokens), COF/CIT/MIT quadros, vaulted cards.
UI/UX: Localização de moedas, sistema APM por GEO/UA, «1-clique» após KYC, taxas transparentes/limites.

3. 2 Pagamentos (Payouts)

As regras de prioridade são velocidade (momento/near-momento), custo, disponibilidade do canal.
Anti-arb e RG: conclusões adiadas (cool-off), verificações de fonte de fundos, limites velocity, depósito de ganhos em disputa (fraud/AML).
KYT (Know Your Transmissão): Monitoramento de patterns (mulling/obling), comunicações de dispositivos e mapas, listas de exceções.

3. 3 antifrode e risco

Sinais: fingerprint, biometria comportamental, BIN/crédito de débito, proxy/VPN, velocity, rantaim events do núcleo de jogo (win→withdraw anormalmente rápido).
Screen: híbrido ML + regras (weighted featuras, controle SHAP), A/B na política de liminares.
Estratégia 3DS: meta apenas de alto risco/cheque alto; otimizamos «challenge rate» e «frictionless share».
Charjbecky: alert precoce, Order Insight/CAA, RDR/ODR (vendedor), dados de provas (KYC, IP, login-trace, logs de jogo).

3. 4 KYC/AML/Sanções/PEP

Tiering: L0 (email/telefone) → L1 (ID/idade) → L2 (Proof of Address/SOW/SOF) → L3 (EDD).
Sanções/RER: Orquestração de provedores, fuzzy-matching, escalação automática.
Monitoramento de transações: regras + ML, cenários SAR/TR, relatórios de liminares, limites para dinheiro/cripto-pontes (se aplicável).
Frequência de atualização KYC: risco-base; events (mudança de dispositivo/canal/comportamento) desencadeiam refresh.

3. 5 Ledger, carteiras e contabilidade

Duplicidade de Jogos Ledger (saldo, taxas, ganhos, obrigações de bônus) e Dinheiro Ledger (depósitos/conclusões/comissões/impostos).
Compromissos atrasados bónus/fricções/jackpots/progressistas - como passivos.
Comprimidos: T + 0/T + 1 com PSP/bancos, discovery desconexão, ajuste automático.
Multivaluto/FX: contabilidade de conversão/conversão, guia de cursos (provedor), PnL de FX-Delta.

4) Exigências não convencionais

Disponibilidade e escala

Orquestrador ativo (multi-region), failover automático PSP, degradação mantendo o caminho de núcleo.

SLO/SLA: recepção ≥ 99. 95%, permissão média <3 s, sucesso cascata <7 s; pagamento de instantâneo ≤ 60 c (fração), near-instantâneo ≤ 15 min

Segurança e privacidade

PCI DSS: segmentação de áreas, redução do Cardholder Data Organizonment (CDE), toquenização, scan/pen testes.
GDPR/similares locais: minimização de dados, DSR/remoção, auditoria de acessibilidade.
Suply-chain security: montagens assinadas, SBOM, SAST/DAST, chaves/segredos (HSM/KMS), tamper-evident logs.

5) Orquestração PSP e roteiro

Algoritmo de roteiro (referência)

1. Pré-registro: GEO, BIN/IIN, perfil de risco, cheque.
2. Regras de custo/sucesso: histórico Auth Rate x Fee → screen PSP.
3. Saúde Técnica: latency/erros/baunsa - multa realtime.
4. Política 3DS/SCA: TRA/Exemptions → seleção de flow.
5. Cascata: PSP-A → PSP-B → APM → open banking; Mantemos a idimpotência.

Smart Retry

Distribuindo «reason codes», aplicando time-backoff, mudando a estratégia 3DS, gateway account, BIN-white/black-lists.
Armazenando «payment intent» e idempotency key para evitar carga dupla em Ledger.

6) Arquétipos regionais (receitas rápidas)

UE/Reino Unido: PSD2/SCA, SEPA Point, Faster Payments, mapas + open banking; alto peso da estratégia 3DS e dos afilados.
EUA: mapas + ACH (verificações em duas etapas), PayPal/Cash App; Retenções em pagamentos instantâneos P2P, gerenciamento de charjback é crítico.
LATAM: Pix (Brasil), SPEI (México), PSE (Colômbia), vales/dinheiro; o caminho é APM-heavy, antifrode por dispositivos e documentos.
Turquia/CA: ARM/kripto-pontes locais (se permitido), transferências bancárias; alto peso específico da AML/sanções.
Índia/Ásia: UPI, carteiras e, redes locais de cartões; limites, velocity e risco real-time.

7) Jogo responsável (RG) no circuito de pagamento

Limites: depósitos/perdas/tempo/conclusão; cool-off e auto-exclusão → bloquear todos os canais de pagamento.
Affordability: Verificação da disponibilidade de custos (open banking/indicadores de crédito) - consultas suaves.
Marketing: proibição de «sem risco»; bônus transparentes T&C; controle de afiliados/fontes de tráfego.

8) Relatórios, análises e previsões

Relatórios diários: Autorizações, Declins by reason, Chargeback rate, Refund rate, Payout time, Net Payment Margin.
Cruzamento cruzado: Ledger ↔ PSP Payouts ↔ Banco; triangulação de anomalias.
Previsões: conversibilidade sazonal, elasticidade por comissão/frod-limiar, necessidade de capital de giro para pagamentos.

9) KPI/métricas (orientações)

Auth Rate (mapas): EU 85-92%, US 80-88%, LATAM 70-85% (antes da orquestra).
Share of Point Payouts: ≥ 70% em cheques «ligeiros».
Chargeback Rate: < 0. 5% em count, 0. 9% em volume (depende do produto/região).
3DS Challenge Rate: <10-20% (segmentadamente), Frictionless ≥ 70%.
PSP Concertation: Índice Herfindahl <0. 35 (diversificação).
OPEX para pagamentos (em% do depósito): corredor de destino 1. 2–2. 0% com uma orquestra madura.

10) Incidentes e sustentabilidade

Playbooks: Declins em massa (issuer/PSP outage), 3DS ACS degradação, Pix/UPI atrasos, banco-feriado, pouso de charjbacks.
Fici de estabilidade: termo «grace balance» por um curto período (apenas para perfis seguros), auto-switch APM, «queued payouts» quando o banco falha, «circuito breaker» para anomalias.
Comunicações: status-página, modelos de notificação, compensações/vales.

11) Folhas de cheque Complaens

PCI DSS

• Segmentação CDE, torneização, PAN fora dos aplicativos.
• Avaliação anual, scans, testes de pen, registros de acesso.

GDPR/Privacy

• Data minimization, DSR/remoção, DPIA para antifrode, criptografia at-rest/in-transit.
• DPA com provedores PSP/provedores, fluxos de fronteiras.

KYC/AML

• Políticas CDD/EDD, sanções/RER, KYT, cenários TR/SAR.
• Limites e revisões; registro de soluções.

RG/Marketing

• Limites/auto-exclusão, discreteres visíveis.
• Auditoria de afiliados, proibição de youth-targeting.

12) Referência arquitetônica (camadas)

1. Checkout Layer (UI/localização/APM Divulgação).
2. Payment Orchestrator (routing, retries, rules, A/B).
3. Risk Engine (device, behavior, ML, 3DS policy).
4. Compliance Hub (KYC, sanctions, KYT, RG).
5. Wallet & Ledgers (jogo/dinheiro, bónus-passivo).
6. Reconciação & Reporting (PSP/banco/GL, impostos).
7. Observability & Security (metrics/logs/traces, PCI/GDPR).
8. Data/ML (modelos de frod, mapeamento LTV, personalização de limites).

13) Mapa de trânsito de implementação

Fase 0 (2-4 semanas): auditoria de PSP/métricas atuais, GAP por PCI/KYC/RG, produção KPI, seleção de orquestrador.
Fase 1 (6-8 semanas): multi-PSP recepção + open banking/APM, antifrode básico, política 3DS, toquenização.
Fase 2 (8-12 semanas): momento payouts, KYT, comprimidos completos T + 0/T + 1, relatórios CFO.
Fase 3 (12 + semanas): ML-frod, rotação dinâmica de custo/sucesso, afordability, real-time «circuito breaker».

14) O que é importante lembrar

A arquitetura de pagamento é uma orquestração: a combinação correta de canais, PSP e antifrode aumenta a conversão e reduz os custos.
Segurança/Complacência (PCI, GDPR, KYC/AML, RG) - fundações; sem eles, a escala é perigosa.
Comprimidos e contabilidade - suporte para CFO/auditoria: T + 0/T + 1, rastreabilidade completa, legers separados.
A regionalidade resolve: abra os trilhos locais (PIX/UPI/SEPA Point/FPS) e adapte as estratégias UX e 3DS ao banco emissor/região.