Guia operacional para obter licença de apostas esportivas e iGaming no Brasil em 2026: Lei 14.790, SPA, outorga R$30M, GLI/BMM, .bet.br, PIX, COAF, tributação e checklist de compliance.
Como Obter Licença de Bets no Brasil em 2026: Guia Operacional Completo da Lei 14.790, SPA/MF, Outorga, Certificação Técnica e Compliance
O Brasil passou, em pouco mais de doze meses, do maior mercado cinza do mundo a um dos mercados regulados mais relevantes do planeta. A Lei 14.790, sancionada em 30 de dezembro de 2023, e o pacote de Portarias da Secretaria de Prêmios e Apostas (SPA) do Ministério da Fazenda, que entraram em operação ao longo de 2024 e 2025, criaram um regime federal de apostas de quota fixa e jogos de cassino online com regras de entrada, manutenção e fiscalização que mudaram completamente a forma como um operador estrangeiro ou nacional pode atuar no país.
Em 2026 já existem 78 operadores licenciados, somando aproximadamente 138 marcas em operação no domínio .bet.br, e a SPA continua processando pedidos de novos entrantes em janelas semestrais. O custo de entrada é alto, o tempo médio de aprovação supera 120 dias, e as exigências técnicas, financeiras e de compliance são auditáveis a qualquer momento. Este guia é a referência operacional do operador: o que a Lei 14.790 efetivamente exige, como funciona o processo administrativo da SPA, quais são as armadilhas de certificação técnica via GLI ou BMM, o que muda em pagamentos com a obrigatoriedade do PIX, como o COAF trata o operador como obrigado de prevenção a lavagem de dinheiro, quais são as regras de marketing específicas do Brasil, e como estruturar uma entrada operacional com taxa de aprovação alta.
Este texto não substitui aconselhamento jurídico nem regulatório. Ele consolida o que aparece em portaria, regulamento e prática real de submissão, e o que vimos funcionar e falhar no processo concreto de licenciamento.
TL;DR
- A Lei 14.790/2023 criou o regime federal, regulamentado pela SPA do Ministério da Fazenda. A licença é nacional, com prazo de 5 anos, prorrogável.
- A outorga inicial é de R$30 milhões, paga uma única vez ao Tesouro Nacional. A taxa de fiscalização é mensal e proporcional à receita.
- O operador precisa de sede no Brasil, CNPJ ativo, pelo menos 20% de capital social detido por sócio brasileiro, e diretor estatutário brasileiro responsável legal.
- Domínio .bet.br é obrigatório. Sites em .com, .com.br ou qualquer outro TLD não são autorizados a operar no Brasil sob o regime SPA.
- Certificação técnica é obrigatória por laboratório credenciado (GLI, BMM, eCOGRA, iTech Labs e Gaming Associates lideram). Plataforma, RNG, jogos e integrações precisam estar certificados antes da auditoria SPA.
- Pagamentos: PIX é o único método obrigatório para depósitos e saques. Cartão de crédito está vedado para depósitos desde 2025; transferências bancárias tradicionais são permitidas em saques mas pouco utilizadas.
- Tributação: 18% sobre GGR (12% para o Tesouro + 6% distribuição setorial) + IRPJ/CSLL + 15% IRRF sobre prêmios pagos ao apostador acima de R$2.824.
- Marketing está fortemente regulado: mascotes proibidos, celebridades restritas, jogador profissional ativo da liga apostada vedado, faixa horária e canais com regras específicas, autorregulação CONAR sobrepondo regras SPA.
- Processo: pedido → diligência financeira/societária → auditoria técnica → publicação da autorização → início de operação. Tempo médio observado: 90 a 180 dias para casos limpos; 6 a 12 meses para casos com correções.
A Lei 14.790 e o ecossistema regulatório
A Lei 14.790/2023 é a base normativa, mas sozinha não responde a quase nenhuma pergunta operacional. O que efetivamente regula a operação é o conjunto de Portarias da SPA publicadas ao longo de 2024 (Portarias 615, 722, 827, 1.143, 1.231, entre outras), os Atos Normativos suplementares, as resoluções do COAF que tratam o operador como obrigado, as regras do Banco Central do Brasil aplicáveis aos prestadores de serviços de pagamento que processam o fluxo do operador, e as regras paralelas do CONAR sobre publicidade.
Os reguladores e órgãos envolvidos:
SPA — Secretaria de Prêmios e Apostas (Ministério da Fazenda). Concede e fiscaliza as autorizações. Publica o cadastro público de operadores autorizados e o registro de marcas e domínios. É a autoridade técnica de primeira linha.
Bacen — Banco Central do Brasil. Regula os prestadores de serviços de pagamento. Os PSPs que liquidam fluxo de bets precisam estar autorizados pelo Bacen e seguir as regras de monitoramento aplicáveis ao setor.
COAF — Conselho de Controle de Atividades Financeiras. O operador é obrigado de prevenção a lavagem de dinheiro e financiamento ao terrorismo (PLD/FT). Tem que se cadastrar no SISCOAF, manter políticas e procedimentos formais, treinar pessoal, e reportar operações suspeitas e operações em espécie.
Receita Federal do Brasil. Recolhe os tributos federais (IRPJ, CSLL, Cofins, PIS) e o IRRF sobre prêmios. Cruza dados com a SPA.
CONAR — Conselho Nacional de Autorregulamentação Publicitária. Aplica o Anexo X do Código Brasileiro de Autorregulamentação Publicitária especificamente para bets. Funciona paralelo às regras SPA mas com força prática alta porque define o padrão da indústria publicitária.
Senacon — Secretaria Nacional do Consumidor. Atua em práticas comerciais abusivas e dúvidas de relação de consumo (CDC).
Operar em compliance no Brasil significa atender simultaneamente a esses sete reguladores. Não há um ponto único de submissão; a SPA é o ponto de licenciamento, mas auditoria contínua envolve todos os outros.
A estrutura societária mínima
O operador precisa, antes mesmo de submeter o pedido de autorização, ter constituída uma estrutura societária que atenda aos requisitos da Lei 14.790 e das Portarias SPA. O esqueleto mínimo:
Sociedade limitada ou sociedade anônima brasileira, com sede e administração no território nacional, registrada na Junta Comercial do estado escolhido. CNPJ ativo e regular.
Capital social mínimo de R$30 milhões totalmente integralizado, comprovado por documentação contábil e financeira auditável. A integralização precisa estar concluída antes da submissão.
Participação societária brasileira de pelo menos 20%. Esta exigência é a que mais complica entrantes internacionais. Os operadores estrangeiros adotam um dos três caminhos: (1) parceiro local financeiro que entra com 20% do capital, (2) joint venture com grupo brasileiro do setor (mídia, esporte, varejo, entretenimento), (3) holding estruturada com sócio nominado brasileiro residente. A SPA examina a substância da participação; sócio "fantasma" é causa de rejeição.
Diretor responsável brasileiro residente, com poderes estatutários para representar o operador perante a SPA, o COAF e a Receita Federal. Não pode ser PEP (pessoa exposta politicamente) sem declaração formal.
Conselho de compliance e oficial de compliance designado. A pessoa responsável pelo programa de PLD/FT, sob nomeação formal e treinamento documentado, com canal direto à diretoria.
Programa de jogo responsável formalizado, com mecanismos de autoexclusão, limites de depósito definíveis pelo usuário, tempo de jogo, e canais de suporte ao apostador problemático.
Etapas do processo de autorização SPA
O processo de autorização, na prática, segue cinco fases distintas. Cada uma tem documentação específica, prazos e pontos de falha próprios.
Fase 1 — Preparação documental (estimada em 30 a 90 dias antes da submissão). Constituição societária finalizada, capital integralizado, contratos com PSP brasileiro celebrados, plataforma técnica integrada e estável, contratos com provedores de jogos firmados, política de PLD/FT redigida e aprovada pela diretoria, política de jogo responsável redigida, programa de cibersegurança documentado (ISO 27001 ou equivalente recomendado), programa de proteção de dados conforme LGPD com DPO nomeado e RIPD elaborado.
Fase 2 — Submissão formal à SPA. Realizada via sistema eletrônico da SPA mediante pagamento das taxas iniciais. O dossiê de submissão inclui: contrato social atualizado, comprovação de capital, organograma societário com beneficiários finais identificados, declarações de idoneidade dos administradores e sócios, certidões negativas (fiscais, trabalhistas, criminais), plano de negócios, política de PLD/FT, política de jogo responsável, política de segurança da informação, contratos com fornecedores críticos (PSP, plataforma, provedores), comprovação de domínio .bet.br registrado em nome do operador, e o certificado preliminar do laboratório técnico.
Fase 3 — Análise de mérito (estimada em 30 a 90 dias). A SPA conduz a diligência financeira (origem de capital, beneficiários finais), societária (verificação de impedimentos, antecedentes, idoneidade dos administradores), e técnica preliminar. Nesta fase a SPA solicita esclarecimentos, documentação adicional, e correções. Operadores que respondem em até 10 dias úteis mantêm o processo ativo; atrasos extensos resultam em arquivamento.
Fase 4 — Auditoria técnica final. Conduzida por laboratório credenciado (GLI, BMM, eCOGRA, iTech Labs ou Gaming Associates). Verifica o RNG, os jogos individuais, a plataforma, o sistema de KYC, o sistema de PLD/FT, a integração de pagamentos, o sistema de autoexclusão, o controle de limites, a integridade transacional e a segurança. O laboratório emite relatório técnico que vai à SPA.
Fase 5 — Pagamento da outorga e publicação da autorização. Após parecer favorável, o operador paga a outorga de R$30 milhões ao Tesouro Nacional. A autorização é publicada no Diário Oficial da União, o operador é incluído no cadastro público da SPA, e a operação pode começar.
Outorga, taxa de fiscalização e tributação
A estrutura tributária e de taxas do regime brasileiro é uma das mais pesadas do mundo regulado e precisa ser modelada no plano de negócios antes da decisão de entrada.
Outorga inicial: R$30 milhões. Pagamento único ao Tesouro Nacional. A licença concede direito à operação por 5 anos, prorrogável mediante novo procedimento administrativo.
Taxa de fiscalização mensal. Calculada sobre o GGR mensal segundo tabela escalonada publicada pela SPA. Operadores pequenos pagam menos, mas a alíquota efetiva para operadores médios fica próxima de 0,82% sobre GGR.
Tributação federal sobre GGR: 18%. Distribuídos em 12% para o Tesouro, e 6% para fundos setoriais (saúde, educação, segurança pública, esporte e turismo conforme a Lei).
IRPJ + CSLL sobre lucro tributável. Lucro real (obrigatório para operadores deste porte). Alíquota combinada efetiva próxima de 34%.
PIS/Cofins sobre receita. Regime de incidência aplicável conforme a estrutura.
IRRF sobre prêmios pagos ao apostador: 15% sobre o valor que exceder a primeira faixa da tabela do imposto de renda da pessoa física (faixa em R$2.824 para 2026). Operador é responsável pela retenção na fonte e pelo recolhimento.
A carga tributária efetiva sobre GGR, somando todos os elementos, fica na faixa de 28 a 36% para a maioria dos operadores. Esta carga determina o teto de CPA suportável e o LTV mínimo necessário para um cohort ser viável. Veja o Casino Player LTV Optimization Framework para o modelo de cohort que aplicamos.
Certificação técnica: GLI, BMM e os outros laboratórios
A certificação técnica é o ponto operacional onde mais operadores tropeçam. O laboratório credenciado precisa certificar:
RNG (Random Number Generator). Independência, distribuição estatística adequada, semente segura, ausência de bias previsível. Testes estatísticos de Chi-quadrado, Kolmogorov-Smirnov, Frequency Test, Serial Test e outros.
Jogos individuais. Cada slot, cada jogo de mesa, cada jogo ao vivo precisa estar certificado para o mercado brasileiro especificamente. Certificação prévia para Malta, Reino Unido ou outras jurisdições não é automaticamente válida; o laboratório precisa reemitir parecer para o regime SPA.
Plataforma de apostas esportivas. Engine de odds, sistema de cash-out, sistema de void/settlement, integridade transacional.
Sistema de KYC. Identificação obrigatória já no cadastro (não permitido cadastro anônimo), validação de documento, validação biométrica, prevenção de contas duplicadas.
Sistema de PLD/FT. Monitoramento transacional, alertas configurados, integração SISCOAF, retenção de dados pelo prazo legal.
Sistema de jogo responsável. Autoexclusão (mínima 30 dias, máxima permanente), limites de depósito definíveis pelo usuário, limites de tempo, indicadores de risco e gatilhos automáticos.
Integração de pagamentos. PIX certificado, integração com PSP autorizado pelo Bacen, conciliação automática.
Os laboratórios cobram entre R$250.000 e R$900.000 pelo pacote completo dependendo do escopo. GLI e BMM dominam o mercado brasileiro em volume; eCOGRA, iTech Labs e Gaming Associates aparecem em operadores específicos. O tempo de certificação é em média 60 a 120 dias e roda em paralelo à análise SPA.
Domínio .bet.br e infraestrutura
O domínio .bet.br é obrigatório. A SPA mantém o registro restrito a operadores autorizados; o domínio é registrado em nome do operador e só pode resolver para infraestrutura que sirva o mercado brasileiro sob as regras SPA. Sites em outros TLDs (.com, .com.br, .net) operando no Brasil são considerados clandestinos e são objeto de bloqueio judicial via Anatel.
A infraestrutura técnica deve atender:
- Hospedagem que permita auditoria SPA a qualquer momento (servidores em jurisdições com tratado de cooperação são preferíveis; cloud com região Brasil é o mais comum)
- Sistema de logs com retenção mínima de 5 anos
- Backup auditável
- Cibersegurança documentada (ISO 27001 ou equivalente recomendado)
- Conformidade LGPD com DPO designado e RIPD elaborado
Pagamentos: PIX, restrições de cartão e fluxo de saque
A regulamentação SPA estabeleceu o PIX como meio obrigatório para depósitos e como meio preferencial para saques. Características operacionais:
Cartão de crédito está vedado para depósitos em todas as operações reguladas no Brasil desde meados de 2025. Esta foi uma decisão de política pública relacionada a prevenção de superendividamento.
PIX para depósito com identificação obrigatória do titular. Não é permitido depósito de terceiros; CPF do titular do PIX precisa coincidir com CPF do apostador cadastrado.
PIX para saque com o mesmo titular. Vedado saque para conta de terceiro. Tempo regulatório máximo: 120 minutos para conclusão do saque após aprovação interna.
KYC vinculado ao PIX com cruzamento via Bacen e via base CPF da Receita.
PSP brasileiro autorizado é o intermediário obrigatório. Operadores estrangeiros não conseguem operar diretamente; precisam de contrato com PSP local. Pagador, Bemobi, EBANX, Nuvei e PagBrasil estão entre os PSPs ativos no setor em 2026.
PLD/FT, COAF e o operador como obrigado
Sob a Lei 9.613/1998 e as resoluções do COAF, o operador de apostas é obrigado a prevenir lavagem de dinheiro e financiamento ao terrorismo. As obrigações:
- Cadastro no SISCOAF dentro de 30 dias da autorização SPA
- Política de PLD/FT formalizada, aprovada pela diretoria, revisada anualmente
- Oficial de compliance designado com canal direto à diretoria e proteção contra retaliação
- KYC robusto: identificação, validação, classificação de risco do cliente
- Monitoramento transacional contínuo
- Comunicação de operações suspeitas (COS) ao COAF sem aviso ao cliente
- Comunicação de operações em espécie acima de R$10.000 (irrelevante na prática para bets, mas exigida)
- Retenção de registros por 5 anos
- Treinamento anual documentado de toda a equipe
A não conformidade COAF é causa autônoma de revogação da autorização SPA, além das sanções próprias do COAF (multas administrativas, inclusão em listas restritivas).
Marketing compliance específico do Brasil
As regras de marketing são paralelas às regras de licenciamento e aplicáveis a qualquer operador que faça publicidade no território brasileiro. Resumo das restrições críticas:
Mascote, personagem animado ou criança em publicidade: vedado. CONAR e SPA tratam mascotes e elementos lúdicos como apelo a menores de idade.
Atleta profissional ativo em liga apostada: restrição severa. Atleta da Série A do Campeonato Brasileiro não pode aparecer em publicidade do mercado de apostas que inclua a Série A.
Celebridades: permitidas com restrições. A pessoa não pode passar a impressão de que apostar é fonte de renda nem de que ela enriqueceu apostando. A peça precisa incluir mensagem de jogo responsável proporcional.
Faixa horária e contextual: programas voltados a público infantojuvenil não podem veicular publicidade de bets. Conteúdo programático com audiência majoritariamente menor de idade é vedado.
Linguagem: vedado "ganhe dinheiro", "renda extra", "dinheiro fácil", "saia da crise apostando" ou variantes que enquadrem aposta como atividade econômica. Aposta precisa ser enquadrada como entretenimento.
Mensagem de jogo responsável obrigatória em toda peça publicitária, em formato legível e duração mínima em vídeo.
Plataformas digitais (Meta, Google, TikTok): bloqueiam publicidade de operadores não licenciados desde 2025 e exigem certificação local. Veja o iGaming Meta Ads Compliance 2026 para o processo prático de pré-aprovação no Meta.
Causas frequentes de rejeição e como reapresentar
Padrões de rejeição que observamos em processos SPA:
Estrutura societária com participação brasileira de fachada. A SPA examina substância. Sócio brasileiro sem capital próprio, sem histórico no setor, sem efetivo poder decisório é tratado como ficção e o processo é arquivado.
Capital social não integralizado ou de origem não comprovada. A integralização precisa ter rastro auditável até a fonte original. Capital proveniente de jurisdição não cooperante é red flag.
Certificação técnica incompleta ou desatualizada. Plataforma certificada em Malta sem reemissão para o regime SPA, jogos não certificados individualmente, RNG sem teste estatístico brasileiro completo.
Política de PLD/FT genérica. Cópia de template estrangeiro sem adaptação ao COAF brasileiro, sem nomeação de oficial, sem matriz de risco específica.
Contratos com PSP em condições precárias ou PSP não autorizado pelo Bacen.
Domínio .bet.br não registrado em nome do operador autorizado ou registrado tardiamente.
Reapresentar um pedido arquivado é possível, mas exige correção formal de todos os pontos apontados pela SPA, comprovação documental da correção, e nova rodada de análise. Tempo médio para reapresentação bem-sucedida: 60 a 120 dias após o arquivamento.
Compliance checklist 2026
Antes da submissão, valide:
- CNPJ ativo, regular, sem pendências
- Capital social de R$30 milhões integralizado e auditado
- Participação brasileira mínima de 20% com substância documentada
- Diretor responsável brasileiro residente nomeado
- Oficial de compliance designado formalmente
- Domínio .bet.br registrado
- Contratos com PSP brasileiro autorizado pelo Bacen
- Contratos com provedores de jogos firmados
- Certificação técnica preliminar de laboratório credenciado
- Política de PLD/FT aprovada
- Cadastro SISCOAF agendado
- Política de jogo responsável documentada
- Política LGPD com DPO nomeado e RIPD elaborado
- ISO 27001 ou equivalente em curso ou concluído
- Plano de negócios com projeção tributária realista (carga 28 a 36% sobre GGR)
- Plano de marketing alinhado às regras SPA + CONAR
Como iniciar — playbook de entrada
Para um operador internacional avaliando entrada no Brasil em 2026, a sequência operacional recomendada:
Meses -12 a -9. Decisão estratégica de mercado. Modelo de negócio dimensionado considerando carga tributária de 28 a 36% sobre GGR e outorga de R$30M. Identificação de parceiro brasileiro (sócio 20%, joint venture, ou estrutura híbrida).
Meses -9 a -6. Constituição societária no Brasil. Capital integralizado. CNPJ ativo. Contratação de diretor brasileiro, oficial de compliance, DPO.
Meses -6 a -3. Contratos com PSP, provedores de jogos, plataforma técnica. Início da certificação de laboratório credenciado. Redação e aprovação das políticas de PLD/FT, jogo responsável, LGPD e segurança da informação.
Meses -3 a 0. Domínio .bet.br registrado. Documentação consolidada. Submissão formal à SPA.
Meses 0 a +6. Resposta a diligências SPA. Conclusão da auditoria técnica. Pagamento da outorga. Publicação da autorização.
Meses +6 a +12. Operação inicial sob fiscalização ativa. Construção do programa de marketing compliance. Início do programa de afiliados sob regras SPA.
Veja o Brazil Sports Betting Marketing 2026: Compliance Playbook para a próxima camada — como construir o programa de marketing após obter a licença.
FAQ
Posso operar no Brasil sem licença SPA?
Não. Desde 2025 a operação não licenciada é considerada clandestina, sujeita a bloqueio judicial via Anatel, a punição administrativa, e a responsabilização criminal dos administradores em determinados casos. Plataformas digitais (Meta, Google, TikTok) bloqueiam publicidade de operadores não licenciados.
Quanto tempo leva todo o processo?
Para um operador organizado, com estrutura societária pronta e certificação técnica em andamento, o tempo médio da submissão formal à autorização publicada é de 90 a 180 dias. Casos com pendências ou estrutura societária complexa podem levar de 6 a 12 meses.
O sócio brasileiro precisa ter participação real ou pode ser nominado?
Precisa ter participação real, com substância demonstrável. A SPA examina origem do capital aportado, histórico do sócio, e poder decisório efetivo. Sócio fictício é causa de arquivamento.
Posso usar a mesma plataforma já licenciada em Malta ou no Reino Unido?
A plataforma pode ser a mesma tecnologicamente, mas precisa ser certificada novamente pelo laboratório credenciado especificamente para o regime SPA brasileiro. Não há reconhecimento automático.
A licença SPA permite operar em outras jurisdições?
Não. A autorização SPA é nacional brasileira. Operar em outras jurisdições exige licenciamento separado em cada uma delas.
Posso aceitar cartão de crédito como meio de depósito?
Não. Cartão de crédito está vedado para depósitos no regime regulado brasileiro. PIX é o método obrigatório.
O que acontece se eu descumprir uma regra de marketing após estar licenciado?
A SPA pode aplicar advertência, multa, suspensão temporária da autorização, ou em casos graves a revogação definitiva. CONAR pode ordenar retirada da peça publicitária. Senacon pode aplicar sanções consumeristas.
Como funciona o IRRF sobre prêmios pagos ao apostador?
O operador retém 15% sobre o valor do prêmio que exceder a primeira faixa de isenção do IR pessoa física (R$2.824 em 2026), recolhe à Receita Federal e fornece comprovante ao apostador para sua declaração de imposto de renda.