DOU 03/05/2024 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 06012024050300003 3 ISSN 1677-7042 Seção 1 - Edição Extra Nº 85-B, sexta-feira, 3 de maio de 2024 13. Caso alguma atividade suspeita seja detectada, como por exemplo múltiplas tentativas malsucedidas de acesso, o sistema de apostas deverá bloquear a respectiva conta. Nesse caso, para que a conta seja desbloqueada, deverá ser realizado um processo de autenticação multifatorial, sendo um dos fatores o reconhecimento facial. Inatividade do apostador 14. O sistema de apostas deverá exigir um novo processo de autenticação do apostador após um período de 30 minutos de inatividade em um dispositivo, não sendo permitida a realização de nenhuma aposta ou transação financeira até que o apostador seja autenticado novamente. 15. O sistema de apostas poderá oferecer, como forma de uma nova autenticação no mesmo dispositivo, acesso por biometria, que deverá ser testado pela entidade certificadora habilitada pela Secretaria de Prêmios e Apostas do Ministério da Fa z e n d a . 16. O sistema de apostas deverá exigir do apostador uma autenticação multifatorial : a) ao menos uma vez a cada 7 (sete) dias; ou b) no primeiro acesso após um período de inatividade superior a 7 (sete) dias. Limites e exclusões 17. O sistema de apostas deverá implementar corretamente quaisquer limitações e exclusões estabelecidas pelo apostador, pelo agente operador e pela Secretaria de Prêmios e Apostas do Ministério da Fazenda. 18. O sistema de apostas não deverá permitir ao apostador impor limites que sejam menos restritivos que aqueles estabelecidos pelo agente operador e pela Secretaria de Prêmios e Apostas do Ministério da Fazenda. 19. As limitações estabelecidas não devem ser afetadas por outros eventos de status internos. Gerenciamento financeiro do apostador 20. O sistema de apostas deve fornecer confirmação ou negação de todas as transações realizadas pelo apostador. 21. O sistema de apostas deve garantir que todos os aportes e retiradas de recursos financeiros pelos apostadores sejam realizados exclusivamente por meio de transferência eletrônica entre a conta bancária cadastrada do apostador e a conta transacional do agente operador, ambas mantidas em instituições autorizadas a funcionar pelo Banco Central do Brasil, nos termos do art. 22 da Lei nº 14.790, de 2023. 22. O sistema de apostas deve garantir que os valores aportados na conta gráfica pelo apostador somente estejam disponíveis para realização das apostas após a confirmação da liquidação da operação pela instituição mantenedora da conta transacional, sendo mantida em um registro específico para auditoria. 23. O sistema de apostas não permitirá a realização de transações financeiras na conta gráfica do apostador que excedam os limites estabelecidos pelo apostador, pelo agente operador ou pela Secretaria de Prêmios e Apostas do Ministério da Fazenda. 24. O sistema de apostas não permitirá a realização de transferências de recursos entre contas de apostadores. Extrato de conta 25. O sistema de apostas deverá prover um extrato dos últimos trinta e seis meses das movimentações da conta gráfica do apostador e um arquivo log com as transações efetuadas quando requerido. O extrato e o arquivo log deverão incluir informações suficientes para permitir ao apostador conciliar as informações fornecidas pelo agente operador com seus extratos bancários, devendo incluir, no mínimo, os seguintes detalhes das transações financeiras, com registro de data e hora e com um identificador único da transação: a) aportes na conta gráfica do apostador; b) retiradas da conta gráfica do apostador; c) recebimento de prêmios de apostas; d) pagamento de imposto de renda sobre prêmios; e) ajustes manuais ou modificações na conta gráfica do apostador, por exemplo, reembolso; f) créditos adicionados ou removidos da conta gráfica do apostador relacionados a apostas; g) meio de aporte e retirada: transferência eletrônica, PIX, cartão de débito, cartão pré- pago e book transfer; h) identificação do usuário ou do dispositivo de apostas que processou a transação; i) valor total das taxas pagas na transação, quando houver; j) saldo total da conta antes e depois das transações; e k) quaisquer outras movimentações realizadas na conta gráfica do apostador. Dos programas de fidelidade 26. O sistema de apostas deve registrar todas as transações envolvendo programas de fidelidade eventualmente oferecidos ao apostador, considerando as vedações impostas pelo art. 29 da Lei nº 14.790, de 2023, e observada a regulamentação específica da Secretaria de Prêmios e Apostas do Ministério da Fazenda. Dos requisitos de geolocalização Prevenção de fraudes de localização 27. O sistema de apostas deverá detectar o uso de programas que possuam a capacidade de contornar a detecção da localização do apostador, como software de área de trabalho remota, rootkits, virtualização e quaisquer outros programas, e bloquear a tentativa de fraude dos dados de localização antes da conclusão de cada aposta. 28. O sistema de apostas deverá examinar e registrar o endereço IP em cada conexão de dispositivo remoto de apostas a uma rede para garantir que uma Virtual Private Network - VPN conhecida ou serviço de proxy não estejam em uso. 29. O sistema de apostas deverá detectar e bloquear dispositivos que indiquem adulteração em nível de sistema, como rooting, jailbreak e similares. 30. O sistema de apostas deverá identificar e parar quaisquer ataques " Man- In-The-Middle" ou técnicas de hacking similares e prevenir a manipulação de código. 31. O sistema de apostas deverá monitorar e prevenir apostas realizadas por uma única conta de apostador a partir de locais geograficamente incompatíveis, como a identificação de locais nos quais foram feitas as apostas que seriam impossíveis de serem efetuadas deslocando-se em um curto intervalo de tempo. Detecção da localização para apostas na internet 32. O sistema de apostas deverá possuir meios ou sistemas de detecção de geolocalização que determinem e monitorem dinamicamente a localização de um apostador tentando realizar uma aposta, e que bloqueiem tentativas não autorizadas. 33. Cada apostador deverá passar por uma checagem de localização prévia à realização da primeira aposta após acesso ao sistema de apostas em um dispositivo. As checagens subsequentes neste dispositivo devem ocorrer a cada 30 (trinta) minutos. 34. Um método de geolocalização deverá ser utilizado para fornecer a localização física do apostador e o raio de confiança associado. A entidade certificadora habilitada pela Secretaria de Prêmios e Apostas do Ministério da Fazenda validará o método de geolocalização utilizado. 35. Fontes acuradas de dados devem ser utilizadas pelo método de geolocalização para confirmar a localização do apostador. Da manutenção dos dados 36. O sistema de apostas deverá manter e realizar o backup de todos os dados gravados pelo prazo mínimo de 5 (cinco) anos. 37. O sistema de apostas deverá possibilitar a exportação dos dados para fins de análise de dados e auditoria em formato XML, XLS e CSV, no mínimo. 38. O sistema de apostas deverá manter registro, em complemento às informações contidas no item 25 deste Anexo, das seguintes informações: a) de apostas esportivas: I. número de identificação único da aposta; II. data e hora em que a aposta foi realizada; III. identificação do endereço IP do dispositivo utilizado para a realização da aposta; IV. Estado da Federação em que a aposta foi realizada; V. status da aposta: em curso, não premiada, premiada, suspensa ou cancelada; VI. motivo da suspensão ou cancelamento da aposta; VII. montante total de recebimento de prêmios e status do prêmio: a pagar, pago ou prescrito; VIII. ganho da aposta; e IX. imposto de renda retido. b) de mercados de apostas e eventos esportivos que foram objeto de apostas: I. data e hora de início e término do período de apostas; II. data e hora de início e término do evento; III. data e hora em que os resultados foram confirmados; IV. data e hora em que a aposta vencedora foi paga ao apostador; V. quantidade de apostas e de apostadores; VI. valor total de apostas realizadas; VII. identificação do apostador, valor e data dos aportes financeiros; VIII. identificação do evento da modalidade esportiva; IX. status do evento: adiado, cancelado, suspenso, atrasado, em curso, finalizado ou não iniciado; X. quota-fixa do mercado objeto da aposta; XI. tipo do mercado apostado; XII. valor total de prêmios pagos a apostadores; XIII. identificação de cada apostador vencedor; XIV. montante total de aportes; XV. valor total de apostas suspensas e canceladas; XVI. identificadores de evento e mercado; c) do jogo on-line: I. identificador de cada sessão de jogo on-line; II. endereço IP utilizado para realizar a aposta; III. data e hora do início e do fim da sessão de jogo on-line; IV. status da sessão: premiada, não premiada, suspensa, cancelada; V. quantidade de apostas; VI. identificador da aposta no jogo on-line; VII. quota fixa da aposta; VIII. valor da aposta; IX. valor total apostado; X. ganho do apostador; XI. tipo de jogo on-line; XII. denominação do jogo on-line; e XIII. número da certificação do jogo on-line; d) de cada conta de apostador: I. identificador único do apostador; II. data e método de verificação de identidade, incluindo, quando aplicável, uma descrição do documento de identificação fornecido pelo apostador para confirmar sua identidade e a respectiva data de expiração; III. dados criptografados do apostador, incluindo nome, nacionalidade, data de nascimento e CPF ou passaporte, em caso de apostador estrangeiro; IV. data e hora de criação da conta; V. data do aceite do apostador em relação aos termos e condições e à política de privacidade do operador; VI. status do apostador: ativo, cancelado, suspenso, autoexcluído, pendente de verificação, excluído judicialmente, com cadastro pendente de atualização e validação anual, outro; VII. data e hora de início e término da sessão do apostador; VIII. motivo do encerramento da sessão do apostador: inatividade, encerramento voluntário, encerramento pelo operador ou outro motivo; IX. data e hora de alterações no status do apostador; X. período de pausa estabelecido; XI. data e hora do estabelecimento do período de pausa; XII. período de exclusão estabelecido; XIII. data e hora do estabelecimento do período de exclusão; XIV. período de exclusão judicial determinado; XV. data e hora da determinação do período de exclusão judicial; XVI. limites de aporte, gasto, tempo e perda estabelecidos; e) do operador: I. saldo das carteiras dos apostadores detido pelo operador; II. saldo das contas transacionais do operador; III. IRPF retido e recolhido; IV. detalhamento das destinações legais, conforme estabelece o §1º-A do art. 30 da Lei nº 13.756, de 2018; V. valor total do Gross Gaming Revenue - GGR. 39. Deverão ser mantidas e armazenadas no sistema de apostas as informações do meio utilizado para a realização da aposta em: a) dispositivos móveis e computadores; e b) pontos de venda física, com a identificação do terminal onde foi realizada a aposta. 40. O sistema de apostas deverá manter e armazenar informações sobre eventos diversos, incluindo: a) tentativas de login malsucedidas; b) erros do programa e incompatibilidades de autenticação; c) períodos significativos de indisponibilidade de qualquer componente crítico do sistema; d) grandes ganhos, individuais e agregados em um período, que excedam o valor definido em regulamento específico da Secretaria de Prêmios e Apostas do Ministério da Fazenda, incluindo informações de registro de apostas; e) grandes apostas, únicas e agregadas em um período, que excedam o valor definido em regulamento específico da Secretaria de Prêmios e Apostas do Ministério da Fazenda, incluindo informações de registro de apostas; f) falta de responsividade, anulações e correções do sistema; g) alterações nos arquivos de dados ativos que ocorrerem fora da execução normal do programa e do sistema operacional; h) alterações feitas na biblioteca de dados de download, incluindo a adição, a alteração ou a exclusão de software, quando suportado; i) alterações no sistema operacional, banco de dados, rede, e nas políticas e parâmetros do aplicativo; j) alterações de data e hora no servidor principal; k) alterações nos critérios previamente estabelecidos para um evento ou mercado, não incluindo alterações nas quotas fixas de mercados ativos; l) mudanças nos resultados de um evento ou mercado; m) gerenciamento de conta de apostador: I. ajustes no saldo da conta; II. alterações feitas nos dados e em informações confidenciais do apostador registradas na conta; III. desativação da conta; IV. grandes transações financeiras, individuais e agregadas em um período, que excedam o valor definido em regulamento específico da Secretaria de Prêmios e Apostas do Ministério da Fazenda, incluindo informações sobre a transação; n) perda irrecuperável de informações confidenciais; o) qualquer outra atividade que exija intervenção do usuário e ocorra fora do escopo normal de operação do sistema; e p) outros eventos significativos ou incomuns. 41. O sistema de apostas deverá manter e armazenar informações sobre cada conta de colaborador ou preposto do agente operador, incluindo: a) nome e cargo ou posto; b) identificação funcional; c) lista completa e descrição das funções que cada grupo ou conta de usuário pode executar;