Autoexclusão apostas gov.br: o ciclo que precisa ser religado

Quem, dentro da sua operação, é o dono nomeado do ciclo de autoexclusão — da ingestão da lista da Plataforma Centralizada ao bloqueio de login, à supressão de marketing, ao tratamento do saldo e ao arquivo de evidência? Se a resposta for "o compliance vê isso com o produto", o ciclo não existe: existem tarefas soltas que funcionam enquanto ninguém audita. Este texto é para o diretor de operação, o head de compliance e o gestor de CRM que precisam desenhar esse ciclo como processo com dono, frequência, SLA interno e trilha.

Por que o ciclo precisa ser reconstruído, e não apenas retomado

Com a revogação das outorgas em 25 de outubro de 2026 e nenhuma operadora autorizada em seguida, o vínculo técnico entre as casas e a base federal de autoexclusão deixou de operar. A ANJL registrou o ponto publicamente (Yogonet, 26/10/2026): a extinção da autorização desconecta a base unificada e as travas de limite operadas pelas empresas, e o Estado perde visibilidade em tempo real sobre o comportamento do usuário.

A consequência operacional é concreta: quem religar vai reconectar com uma lista que continuou crescendo durante o intervalo. Haverá CPFs que se autoexcluíram depois da última sincronização e que, na base interna, ainda constam como contas ativas, elegíveis a login e a disparo de CRM. Religar sem varredura retroativa é reabrir a porta para a pessoa que pediu para ficar de fora.

Não há dado público sobre como os prazos de exclusão são contados nesse intervalo sem operadoras autorizadas — é pergunta aberta para a SPA e deve ser tratada no plano de religamento como premissa conservadora: assumir que o prazo não foi suspenso e que a lista atual é a válida.

O tamanho do problema: a base de excluídos virou massa crítica

A Plataforma Centralizada foi lançada em dezembro de 2025. Em 1º de junho de 2026, o Ministério da Fazenda informava 603 mil pedidos. Em setembro de 2026, levantamento via LAI publicado pelo iGaming Brazil (23/09/2026) apontava cerca de 1,2 milhão de registros, aproximadamente 3% de uma base estimada em 40 milhões. Em agosto, o ministro Dario Durigan somava mais de 5 milhões de pessoas impedidas de apostar — cerca de 3 milhões por programas sociais, 1,2 milhão de autoexcluídos e 800 mil do Desenrola — número que nem inclui vedações como agentes públicos do setor, atletas, árbitros e dirigentes.

Uma ressalva honesta: o total de autoexcluídos não é proxy de prevalência de ludopatia. Parte dos cadastros pode ser de pessoas sem interesse em apostar que apenas querem parar de receber anúncio. A OMS estima dependência em jogos de azar entre 1% e 3% da população adulta — ordem de grandeza global, não medição brasileira. Para planejamento comercial, porém, o efeito é o mesmo: trata-se de base endereçável que saiu do denominador de forma majoritariamente permanente.

Os três relógios que a operação costuma tratar como um só

O erro estrutural mais comum é imaginar que a autoexclusão dispara um evento único. São três cadeias com latências diferentes, donos diferentes e modos de falha diferentes.

1. Bloqueio de acesso às contas existentes

Tem que bater no PAM e no aplicativo, não só no site. Sessão aberta precisa ser encerrada, não apenas impedida de renovar. Se o app mantém token válido por dias, o bloqueio existe no papel e não na tela do usuário. Esse é um ponto a validar no contrato de plataforma — tema vizinho ao que já tratamos em migração de PAM sem perder saldo.

2. Impedimento de novo cadastro

A consulta precisa estar antes do KYC completo e antes de qualquer primeiro depósito. Operação que só checa a lista depois do KYC já criou conta de pessoa excluída e já gerou um registro que terá de explicar. A chave é CPF: contas antigas com CPF não validado ou divergente escapam do filtro, e a duplicidade por CPF é o furo clássico.

3. Suspensão de publicidade direcionada

É o relógio mais lento e o que mais produz autuação. O CPF sai da base de jogo e continua em push, SMS, e-mail, lookalike de mídia paga e lista de afiliado. Supressão de marketing é operação separada da supressão de login, com propagação própria para cada ferramenta. É o mesmo mecanismo que descrevemos em a lista de supressão que o regulador vai pedir, aplicado aqui com origem federal.

A assimetria de saída: por que não existe win-back de autoexcluído

Os prazos oferecidos são 1, 3, 6, 9 ou 12 meses, ou tempo indeterminado. Prazo determinado não é revogável antes do fim. Para o indeterminado, o retorno exige laudo médico e análise da SPA, com tempo mínimo indicado de 30 dias — e há divergência entre fontes públicas sobre o período mínimo aplicável à modalidade indeterminada, ponto que deve ser conferido diretamente na plataforma antes de orientar atendimento.

A consequência para o CRM é direta: a lista de exclusão precisa ser filtro hard na régua, não segmento negativo editável por um analista. Qualquer gatilho de reativação, campanha de base inativa ou disparo de bônus precisa passar pelo filtro antes da montagem do público, não depois. Atendimento que promete "conseguir liberar" cria expectativa que o operador não pode cumprir — e vira reclamação documentada.

O bloqueio que não deixa rastro não defende ninguém: na disputa judicial, a pergunta não é se a política existia, é se ela rodou naquele CPF, naquele dia, naquele canal.

Nove passos para montar o ciclo

1. Nomear o dono. Um responsável pelo ciclo inteiro, normalmente compliance, com SLA contratual junto ao time de produto. Sem nome, o bloqueio cai entre áreas.
2. Mapear os pontos de consulta. Mínimo de quatro: criação de conta, login, antes de depósito e antes de qualquer disparo de marketing. Documentar cada um com o sistema que executa.
3. Definir e registrar a frequência de sincronização. Tempo real no cadastro e no login; lote para supressão de marketing e varredura da base existente. A decisão precisa estar escrita, com justificativa técnica.
4. Rodar a varredura retroativa antes de religar. Lista atual contra a base inteira de contas, incluindo inativas e duplicadas por CPF. É o passo que quase ninguém executa e o que mais machuca no religamento.
5. Separar o pipeline de marketing. Lista de supressão derivada da base de exclusão, propagada para ESP, push, mídia paga (hash de CPF e e-mail) e afiliados, com confirmação formal de recebimento por parceiro.
6. Definir o fluxo de saldo sem reabertura de sessão de jogo. Canal de atendimento, validação de identidade, prazo e comprovante. Bloquear acesso não extingue direito a saldo.
7. Tratar o retorno por regra, não por exceção. Prazo determinado: reativação só no vencimento. Indeterminado: a instância decisória é a SPA, não a casa.
8. Montar a evidência por CPF. Data e hora do pedido, data e hora do bloqueio em cada canal, canais suprimidos, tratamento de saldo, operador responsável. A retenção deve seguir o mesmo critério do dossiê de licença que a SPA/MF vai pedir.
9. Testar trimestralmente. CPF de controle excluído e verificação de que o bloqueio bate em todos os canais dentro do SLA interno. Teste sem registro não conta.

Três listas, não uma

A lista federal é o piso, não o teto. Operação madura mantém três cadastros separados e reconciliados entre si:

• Autoexcluídos federais — originados na Plataforma Centralizada, por CPF, com efeito em todas as casas autorizadas.
• Vedados por regra — beneficiários de programas sociais, agentes públicos do setor, atletas, árbitros, dirigentes e técnicos. Categoria distinta, com fonte distinta e atualização própria.
• Exclusão interna ou cooling-off — pedida diretamente à casa. Não entra automaticamente na plataforma da SPA, e é justamente a lista que gera litígio quando não tem data, origem e canal registrados.

Confundir as três é o caminho curto para dois erros simétricos: tratar pedido interno como se fosse exclusão federal (e não bloquear em lugar nenhum) ou tratar exclusão federal como se dispensasse registro interno (e não ter prova).

Erros comuns que aparecem em fiscalização e em juízo

• Tratar 72 horas como meta e não como teto — o relógio regulatório corre desde o pedido do apostador, não desde o download do arquivo.
• Bloquear login e esquecer cadastro: a pessoa abre conta nova com o mesmo CPF e o sistema aceita.
• Deixar o marketing fora do escopo: a suspensão de publicidade direcionada é efeito da autoexclusão, não cortesia comercial.
• Não notificar afiliado, que segue reativando base antiga. O vetor aqui é a base de contatos, não o criativo — complemento do que tratamos em quem responde pelo conteúdo do afiliado.
• Contas duplicadas e cadastro em nome de terceiro: se o CPF não está validado, o filtro não pega.
• Não registrar nada. Sem log, a defesa em ação por ludopatia vira palavra contra palavra.

O que medir

A base normativa — e o que ainda precisa ser lido no original

O arcabouço parte da Lei 14.790/2023, que fixa as obrigações de jogo responsável e prevenção ao transtorno de jogo. A Portaria SPA/MF nº 2.579 institui e regulamenta a autoexclusão; a Instrução Normativa SPA/MF nº 31 estabelece os procedimentos para impedir cadastro e utilização dos sistemas por pessoas registradas na Plataforma Centralizada — é o documento operacional a ser lido linha a linha pela área técnica. A Portaria SPA/MF nº 1.231/2024 trata de direitos e deveres dos apostadores e da responsabilização por publicidade abusiva, e sustenta a perna de supressão de marketing.

Duas advertências de método. Primeira: o prazo de 72 horas aqui citado vem da comunicação da SPA à imprensa; antes de transformá-lo em SLA contratual com fornecedor, convém transcrever o dispositivo da norma. Segunda: o desenho brasileiro — registro estatal central com consulta obrigatória no onboarding — é estruturalmente diferente de modelos construídos sobre esquema setorial privado, e comparações internacionais só devem entrar na política interna depois de verificadas na fonte do regulador estrangeiro.

O ponto final é de governança, não de tecnologia. A integração com a plataforma federal é a parte fácil: é API e cronjob. O difícil é ter alguém que responda pelo número quando a pergunta vier — e que consiga mostrar, para um CPF específico, em que minuto o bloqueio entrou em cada canal. Essa é a obrigação que não some com mudança de regime regulatório, e que entra junto com as demais no calendário de obrigações da SPA/MF e quem assina cada uma.