§VISÃO EXECUTIVA

Abertura do estudo HUMAN CRM / método PRUMO. Quem ler só esta parte sai com o que decide. Todo número ou tem fonte citada, ou está rotulado como premissa ilustrativa — não há terceira categoria.

*Toda a aritmética econômica do estudo — cada variável com valor adotado, origem, sensibilidade e método de medição — está consolidada na Parte XVIII-B, o modelo econômico único (19b-modelo-economico-unico.md), que é a referência única do documento.*

§1. A LEITURA EM UMA PÁGINA

O mercado automatizou o envio e nunca precificou a conversa. Toda operação de iGaming já gasta com hora humana — atendimento, retenção, VIP, cobrança — e praticamente nenhuma sabe dizer quanto cada hora rendeu contra o que teria acontecido sem ela. É o insumo mais caro do CRM e o único que entra na conta sem cotação, e a consequência é sempre a mesma: gente cara resolvendo problema barato, enquanto problema caro morre em fila automatizada.

Isso ficou caro agora, por dois motivos que não se resolvem com esforço.

O canal comercial encolhe por fora. A Portaria SPA/MF 1.964/2026, vigente desde 17/07/2026, obriga toda peça — inclusive digital — a carregar "18+" e uma das três frases do Ministério da Fazenda em no mínimo 10% do espaço. Quatro das dezenove vedações do art. 12 da Portaria 1.231/2024 eliminam metade do repertório clássico: chamada para ação imediata, recuperação de perdas, afirmação sobre probabilidade, sugestão de habilidade. A base contatável encolheu por vedação a beneficiários de programas sociais e pela Plataforma Centralizada de Autoexclusão, em operação desde 10/12/2025. E o PL 2.470/2026, aprovado na CCT do Senado em 02/09/2026 com urgência, aponta para o fim da publicidade de bets, com 365 dias de transição.

E a diferença deixou de morar na ferramenta. O maior fornecedor de CRM do setor publica que operadores de maturidade avançada ativam 61% da base contra 14% dos de maturidade baixa — quatro vezes de diferença com a mesma ferramenta (Optimove, CRM Maturity Benchmark for iGaming, optimove.com/resources/blog/crm-maturity-edge-igaming, verificado 05/09/2026 — dado publicado pelo fornecedor sobre a própria base instalada). Quem quiser mais resultado não compra mais licença: compra capacidade de execução, que é gente, agenda e método.

O que sobra, quando a comunicação comercial encolhe, é a relação com quem já está dentro. E há um detalhe que ninguém industrializou: a norma obriga comunicação sistemática sobre jogo responsável (art. 3º, III) e manda sugerir limites, autoteste e autoexclusão independentemente de solicitação (art. 4º, VI a VIII) — canal proativo exigido por lei, que não depende de opt-in comercial e alcança 100% da base. Ao mesmo tempo, monitorar cria dever de agir: a UKGC multou a Petfre/Betfred em £900 mil em 30/06/2026 porque uma conta sinalizada só seria revista sete dias depois, intervalo em que o cliente perdeu £17.900 em 24 horas. Alerta sem desfecho registrado é a peça documental da própria omissão.

O que muda: a hora humana passa a ter preço, gate e prova. Cada contato tem permissão verificada antes, motivo registrado, desfecho em taxonomia fechada e efeito medido contra um grupo que não foi tocado — e a decisão de não falar é registrada com a mesma disciplina. O produto que sai disso não é maior que o CRM que a operação já tem: é a camada que decide quando não usá-lo, e a única cuja demanda cresce quando a publicidade encolhe.

§2. OS CINCO ACHADOS QUE MUDARAM O DESENHO

§Achado 1 — O canal quebra antes do produto: WhatsApp está fora no Brasil

A Seção 5 da WhatsApp Business Messaging Policy lista cinco países onde a Meta permite mensageria sobre jogo online: Austrália, Japão, Colômbia, México e Peru. O Brasil não está entre eles — e aparece nas listas de álcool e de medicamentos OTC do mesmo documento, o que elimina hipótese de erro de leitura. A proibição alcança atendimento, não só promoção: o texto diz "messages about Regulated Verticals". A licença da SPA/MF é expressamente irrelevante para a Meta, e não há formulário para pedir liberação de país fora da lista. A escalada da Seção 7 alcança "you and your organization": o ativo em risco é o Business Portfolio que sustenta o tráfego pago do grupo, não um número. E a camada brasileira, sozinha, já esvaziaria o formato: advertência em 10% da peça, sem urgência, atrás de gate de opt-in, autoexclusão, vedação por programa social e "Não Me Ligue" paulista.

O que mudou: o canal-âncora passou a ser inbox proprietário dentro do produto da bet — idade verificada, KYC feito, autoexcluído bloqueado, custo marginal zero e nenhuma política de terceiro capaz de desligar a operação. E-mail, SMS/RCS e push como despertadores; telefone onde couber; WhatsApp reservado a Colômbia, México e Peru e a contingência. É a escolha que iFood e Nubank Ultravioleta já fizeram no Brasil.

§Achado 2 — Existe um canal proativo exigido por lei, e ele sobrevive ao pior cenário regulatório

A obrigação de falar tem conteúdo estreito e alcance largo, e autoexclusão veda material publicitário (art. 11, VII), não atendimento. Nenhum fornecedor industrializou esse canal. E no cenário em que o PL 2.470/2026 avança como está, a comunicação comercial 1:1 perde base legal enquanto atendimento, retenção por serviço e proteção sobrevivem — porque é o que a regulação obriga a existir.

O que mudou: o posicionamento. Não é "CRM com atendente" nem programa VIP: é camada de customer interaction auditável, que cresce com a regulação em vez de encolher com ela. E a porta de entrada comercial deixou de ser tecnologia e passou a ser o módulo de registro e proteção, cuja demanda a norma cria e cujo comprador é quem assina o risco.

§Achado 3 — Detectar sem agir é o pior lugar jurídico do setor, e o score não escala sozinho

Dois fatos se cruzam. O primeiro é o precedente Betfred: a sanção não veio por não detectar, veio por detectar e deixar o caso em fila. O segundo é a aritmética do falso positivo. Um estudo com apostadores esportivos reporta sensibilidade de 66,2% e especificidade de 71,5%; aplicado a 100 mil ativos com prevalência ilustrativa de 3%, isso dá ~1.980 verdadeiros positivos contra ~27.645 falsos — valor preditivo positivo em torno de 6,7%, cerca de quinze marcados por acerto. Nenhuma marca sobrevive a abordar quatorze pessoas saudáveis para alcançar um caso.

O que mudou: a máquina de ação de proteção passou a preceder o detector, em toda fase — catálogo fechado, fila com SLA em horas, titular nominal, desfecho obrigatório inclusive quando é "nenhuma ação adicional". E entrou a distinção que governa o motor: sinal duro — evento discreto e auditável, como saque cancelado duas vezes em 72 horas — é o único gatilho legítimo de contato humano; sinal mole dispara fricção automática e nunca escala para gente.

§Achado 4 — Nove das dez peças são prateleira, e o motor tem nome científico

O levantamento comparativo foi hostil de propósito. Copiloto de atendente é commodity (Cresta, ASAPP, Observe.AI, Verint). Player 360 e CDP também (Adobe, Salesforce, Segment; no setor Optimove, Fast Track, Smartico, Symplify). A fórmula de arbitragem é pública e trivial (P × C × V × L, Pega). Memória de agente é estado da arte publicado (Letta, Mem0, Zep). Captura de preferência no ponto de observação é o Mystique do Ritz-Carlton. E a decisão "IA ou humano" tem nome na literatura — Learning to Defer, com versões sensíveis a custo e a capacidade humana (DeCCaF) e benchmark na Scientific Data/Nature em 2025. Vender qualquer uma delas como invenção é derrubável em dez minutos, e derruba junto o que é de fato original.

O que mudou: a arquitetura de marca e a lista de reivindicações. HUMAN CRM virou categoria aberta, usável até por concorrente; PRUMO virou o método e o sistema proprietários. A originalidade ficou concentrada em cinco pontos, sempre ditos com o resto cedido em voz alta: (1) o humano como ação arbitrável com preço no motor; (2) a medição causal do toque humano por holdout, em reais; (3) o "momento" como unidade de cobrança; (4) o grafo de jogador cruzado com a rede de afiliados; (5) a memória com governança demonstrável — nenhum banco vetorial comercial oferece deleção comprovável de dado em embedding, contra o art. 18 da LGPD.

§Achado 5 — A conta só fecha mirando; sobre a base inteira, ela erra por um fator de sete

É o achado do dossiê financeiro adversarial, e usa exclusivamente números do próprio estudo. Na escala de referência de 20 posições na linha — 73.600 ativos atendíveis, taxa de geração de momento de 7,5%/mês, margem de contribuição mensal por ativo de R$ 200 e a concentração de receita de Forrest & McHale (top 1% = 37,4%; top 5% = 66,9%) —, dos 5.520 momentos mensais de serviço apenas 552 caem no top 10% da base. A um incremento causal de 10%, o valor gerado fica em torno de R$ 110 mil/mês contra um preço de cerca de R$ 779 mil/mês (ilustrativos, premissas declaradas). Corolário: encher aquela escala só com momentos que se pagam exigiria uma base de aproximadamente 1,47 milhão de ativos mensais.

O que mudou: o produto ficou menor e mais defensável, e a estrutura de preço foi refeita com a aritmética visível (Parte XXII, §4). A linha econômica é dimensionada só sobre os momentos acima do limiar-sombra — na mesma escala, 276 unidades faturáveis por mês, não 5.904 —, e o serviço obrigatório à cauda existe por dever legal (art. 28 da Lei 14.790/2023), é entregue por automação e assistência e é vendido como custo evitado e SLA, jamais como incremento. Na escala de referência, o contrato passou de ~R$ 779 mil para ~R$ 267 mil/mês: piso de ~R$ 239 mil precificado contra obrigação legal e custo evitado, mais 276 momentos a R$ 103. **O variável ficou em 38,5% do incremento estimado da mesma linha — margem de segurança de 2,6× — e a unidade é anulada e não faturada se o incremento medido implicar η abaixo de 3,85% (ilustrativos, premissas na Parte XVIII-B). Entrou uma condição de saída com número: abaixo de aproximadamente 25 mil pessoas no top 5% da base, não se vende linha humana contínua. E a capacidade passou a ser dimensionada abaixo do volume elegível de propósito, pela régua conservadora de 242 momentos por agente-mês** — a régua otimista, de 400 a 525, virou cenário de ganho a validar e não entra em promessa, preço nem SLA.

§3. O QUE É O HUMAN CRM E O QUE É O PRUMO

HUMAN CRM é a categoria. Aberta, não registrada, de uso livre — inclusive por concorrente.

Human CRM é a camada do CRM que decide quando vale colocar uma pessoa na conversa — e prova, contra um grupo que não foi tocado, quanto aquela escolha valeu.

Na versão executiva: a camada que arbitra, a cada momento relevante, entre não agir, automatizar, usar IA ou acionar uma pessoa nomeada — tratando o toque humano como ação de primeira classe, com propensão, valor esperado, custo de hora e capacidade finita na mesma equação; submetendo essa arbitragem a gates de elegibilidade e proteção que rodam antes dela; e medindo o efeito causal de cada escolha contra holdout aleatorizado, em reais. Não substitui o CDP nem a ferramenta de campanha: é a camada que decide quando não usá-los.

A categoria é aberta por cálculo. Categoria que só uma empresa usa não é categoria, é nome de produto — e obriga a explicar o problema do zero em cada reunião. Categoria adotada migra a pergunta de "por que eu precisaria disso?" para "qual eu compro?". E, como nove das dez peças são prateleira, reivindicar o conjunto seria reivindicar o indefensável.

PRUMO é o método e o sistema da ZION. Quatro blocos — A Porta, A Mesa, A Prova, A Memória — e sete decisões: Permissão · Sinal · Preço · Silêncio · Prova · Separação · Memória. Três são contra-intuitivas, e é nelas que o método se distingue:

• SILÊNCIO — não falar é ação de primeira classe, com escore próprio, dono, justificativa e relógio de reavaliação. Silêncio sem dono é abandono; silêncio assinado é cuidado.
• PROVA — uma fatia da fila elegível, sorteada antes da ação, continua recebendo a melhor alternativa automatizada. É contra ela que a camada é medida.
• SEPARAÇÃO — quem serve não é quem protege: nem a mesma pessoa, nem a mesma meta, nem a mesma tabela, nem a mesma folha.

Em quatro verbos: automatizar · silenciar · chamar · provar — automatize o previsível; silencie o que não merece interrupção; chame gente onde errar é caro; prove tudo contra quem não foi tocado.

Nenhuma disponibilidade de marca é afirmada em nenhuma peça — a diligência está na Recomendação 9. Plano B: KAIROS, depois VÉSPERA.

§4. O QUE EXATAMENTE SE CONSTRÓI

Dezessete componentes em cinco camadas. A última coluna resume a política de fornecimento: compra-se transporte, modelo e ferramenta; constrói-se contexto, decisão, governança e prova.

Duas travas de arquitetura valem mais que a lista. Componente comprado de quem lucra com deflexão não fica no caminho da decisão de acionar humano — a Zendesk reestruturou o preço em maio/2026 para cobrar só pela Verified Resolution, tornando a Assisted Escalation gratuita. E o classificador de sinal verbal de crise não sai do perímetro do controlador: opera sobre texto que permite inferir condição de saúde, com regime do art. 11 da LGPD.

Na operação, três linhas verticais que só se encontram no Head: Serviço e Relação, Sistema e Proteção — esta reportando ao Compliance Officer, com titular pessoal do risco nomeado em contrato. A régua de capacidade vem de benchmark: 8 a 15 contas por gestor em high-touch, até 75 em assistido; razão acima de ~150:1 exige o copiloto que devolve o minuto administrativo, medido na própria operação e nunca aceito do fornecedor. O gargalo de dimensionamento é a linha de proteção, cuja capacidade não é fungível: não se cobre pico dela com gente de serviço, e não há certificação pronta para comprar.

E há um custo que não é do fornecedor e precisa aparecer na mesa do comprador: o inbox dentro do produto da bet custa de 8 a 16 semanas de engenharia por operador. Quem não tem verba entra por web app autenticado no domínio do operador, que satisfaz igualmente a exigência de que nenhum contato ocorra fora dos sistemas do licenciado.

§5. A ECONOMIA EM CINCO LINHAS

Estrutura do modelo. Todas as faixas do documento são ilustrativas e nulas fora das premissas declaradas nas Partes XVIII e XXII.

1. Tarifa em duas partes: piso de capacidade e governança — o bloco indivisível que não varia com volume — mais variável por ZUnit-Momento entregue com desfecho registrado. É a mesma gramática do CONTRAPROVA na camada humana: a ZUnit é a unidade de conta comum do grupo, e o preço é de cada produto.
2. A unidade tem cinco condições cumulativas: momento elegível, arbitrado acima do limiar-sombra, atendido por humano, encerrado em taxonomia fechada, e de família com contrafactual disponível. Falha uma, não é unidade e não é fatura — sem desfecho não fatura, com holdout violado não fatura, abaixo do limiar não fatura, e atendimento reativo puro não fatura porque é piso legal, não produto.
3. Momento de proteção nunca fatura, por quatro razões independentes — incentivo, método, arquitetura e norma. A linha de proteção é contratada como capacidade, ao custo carregado com margem declarada e zero componente variável; a carteira nominal de topo também. A receita variável a que se renuncia é declarada em número: R$ 18,3 mil/mês, 6,8% da receita do contrato na escala de referência — e não os 14% que a crítica adversarial desmontou como artefato de denominador.
4. Revenue share está fora, inclusive quando pedido, e o incremento medido não é base de cálculo de fatura em nenhuma competência. No lugar: piso de entrega que o fornecedor pode perder, gatilho bidirecional de renegociação amarrado ao holdout e, se o cliente exigir exposição a resultado, variável indexado a indicadores de serviço e proteção — nenhum contendo variável de aposta.
5. O dimensionamento segue a mira, não a base. Margem real vem de amortizar o bloco de governança entre operações, não dentro de uma — e a única linha de margem crescente é o índice comparativo, que se ganha por reciprocidade e não se compra.

§6. OS TRÊS RISCOS QUE IMPORTAM

Risco 1 — O incremento causal pode simplesmente não existir. Todo o desenho repousa sobre a fração da margem que o toque humano adiciona de forma causal. Ninguém publica esse número; o concorrente direto divulga apenas resultados autodeclarados sem grupo de controle; e a evidência mais robusta de serviço aponta na direção contrária — reduzir esforço prevê lealdade melhor do que superar expectativas, e interação de serviço é cerca de quatro vezes mais propensa a gerar deslealdade do que lealdade. Não há mitigante. Nenhuma cláusula produz incremento onde ele não está. O que existe é disciplina: medir cedo, com método correto, e ter escrito antes quem tem autoridade para encerrar. Se o incremento aparecer forte na correlação e sumir no holdout, a resposta certa é encerrar — não reabrir a metodologia até o número voltar.

Risco 2 — Vender uma operação dimensionada sobre a base inteira. É o Achado 5, e a data em que ele explode é a primeira reunião com um comprador numérico, que refaz a conta em quinze minutos. Mitigante existente e caro no orgulho: separar linha econômica de serviço obrigatório, publicar o corte, levar a distribuição por decil ao material invertida, como quadro de mira, e declarar a condição de saída antes de o cliente descobri-la. Dito primeiro, é honestidade que vende registro e inteligência de serviço para muitas casas; descoberto depois, é a razão pela qual nenhuma renova.

Risco 3 — Duas cláusulas que matam o contrato na mesa de assinatura. A primeira é a controladoria de dados: quem calcula o limiar-sombra a cada 5 a 15 minutos, recalibra sinais duros e é dono do registro de variáveis está definindo meios essenciais — e rótulo contratual não vincula a ANPD. Há duas saídas reais, e a terceira via não existe (Recomendação 2). A segunda é a base de cálculo do preço: cobrar sobre margem líquida retida do apostador é, em português simples, ser pago em função de quanto a pessoa perdeu a mais do que perderia sem o fornecedor — e os critérios de compensação de parceiros ficam à disposição da SPA (art. 22, parágrafo único). Os dois mitigantes são baratos e são de redação, não de engenharia.

Um quarto risco, o mais provável de todos: instalar um concierge de verdade cria uma coisa real para o golpista imitar. A defesa é a própria decisão de canal — dentro de sessão autenticada o apostador não precisa avaliar se a mensagem é autêntica, e a regra vira frase memorizável com zero exceções: conversa de verdade só acontece dentro do app.

§7. O CAMINHO

Prazos são premissas ilustrativas, contados do aceite do primeiro operador. O que não é premissa é o critério de avanço.

A leitura que interessa está na primeira linha: nos primeiros trinta dias o produto não conversa com ninguém. Quem inverte a ordem economiza um mês e compra a única classe de incidente cujo custo já está publicado.

§8. AS DEZ RECOMENDAÇÕES FINAIS

Ordenadas por consequência de não fazer, da irreversível para a corrigível.

1. Ligar o sorteio de holdout, o desfecho estruturado e o identificador estável de momento antes da primeira conversa. É a única peça do sistema que não tem versão retroativa. Painel se constrói depois, motor se calibra depois, copiloto se compra, concierge se treina em 12 a 16 semanas — mas ninguém sorteia holdout sobre conversa que já aconteceu nem rotula desfecho de caso encerrado há oito meses. Quem começa sem isso passa dois anos acumulando dado descritivo e chega ao ano três na posição competitiva do primeiro dia. Dono: Data/Decisão, com o Head como avalista. Prazo: decisão de arquitetura esta semana; em produção antes do go-live.

2. Resolver a controladoria de dados por escrito, escolhendo uma das duas saídas reais. Corresponsabilidade declarada ou operadoria pura com alçada devolvida ao operador — e a segunda enfraquece o limiar dinâmico, o que precisa estar dito. Sustentar a terceira via é vender uma garantia que não sobrevive a um pedido de exibição. Dono: Encarregado + jurídico, com anuência do titular regulatório do operador. Prazo: antes do contrato-modelo, 30 dias.

3. Retirar o incremento em reais da base de cálculo da fatura, com a frase escrita no contrato. Fatura por momento entregue com desfecho registrado, mais variável indexado a desfecho de serviço e de proteção; o incremento permanece exclusivamente como insumo de revisão do preço unitário no ciclo seguinte. Sem essa frase, a trava de revisão é lida como escada de revenue share — e o contrato é escrito, datado e exigível. Dono: Head comercial + jurídico. Prazo: 30 dias.

4. Instalar a máquina de ação de proteção antes de qualquer detector, e blindar o cargo de quem a opera. Catálogo fechado, fila com SLA em horas, titular nominal, desfecho obrigatório inclusive para "nenhuma ação adicional". Mais três cláusulas sobre o Compliance Officer: substituição só por justa causa documentada ou com anuência escrita do titular regulatório do operador; todo veto no pacote mensal de evidência com ciência assinada; entrega documentada de vetos pendentes em qualquer sucessão. Veto que pode custar o emprego de quem o exerce não é veto. Dono: Compliance Officer + Head. Prazo: 60 dias, antes da primeira conversa.

5. Reprecificar sobre a mira e publicar o corte — FEITO nesta versão (Parte XXII, §4, com a distribuição de momentos por faixa na mesma página). Separar linha econômica de serviço obrigatório à cauda, levar a distribuição de momentos por decil às duas tabelas que vão à mesa do comprador, e declarar a razão de escassez alvo — capacidade entre 70% e 80% do volume elegível, com a consequência no custo unitário mostrada na mesma página. Dono: Head + Data/Decisão. Prazo: 15 dias, antes da primeira reunião de venda.

6. Medir cinco números na primeira semana de cada Avaliação Prumo e transformá-los em condições de saída assinadas. Margem de contribuição real por decil; tamanho absoluto do top 5%; taxa de geração de momento elegível; razão entre volume reativo e proativo; taxa de sinal duro. Todos saem de uma consulta ao histórico do operador, e cada um tem valor crítico abaixo do qual não se vende linha humana contínua. Dono: Data/Decisão. Prazo: no escopo da avaliação em 30 dias.

7. Colocar a tabela de custo total do comprador no material, com coluna "quem paga". Canal-âncora, integração, horas recorrentes de jurídico e compliance, auditoria de terceiro, dono nominal do contrato — faixas ilustrativas rotuladas, mais o caminho de entrada barato. Item de maior incerteza declarado como não precificado é decisão que sai da mesa do diretor financeiro e vai para a do CTO, onde perde para o roadmap. Dono: Head + Data. Prazo: 30 dias.

8. Fechar o Catálogo de Exceções ao Gate com parecer arquivado, e redesenhar o gate de programa social. Cinco mensagens hoje atravessam o gate por interpretação; nomeadas e auditadas viram ativo de compliance, espalhadas viram cinco riscos. E o gate de vedação por programa social passa a consumir carimbo — verificação feita pelo operador, com data, origem e defasagem declarada —, nunca base de terceiro, com bloqueio de desenho cautelar: ratificação humana nominal em 4 horas úteis, fundamento e caminho de contestação no mesmo ato, reversão rápida em caso de erro. Dono: Compliance + jurídico do operador. Prazo: antes do go-live, item bloqueante do checklist.

9. Blindar a marca antes de qualquer peça pública. INPI nas classes 9, 35 e 42, busca fonética e parecer sobre alto renome diante do grupo Prumo Logística. Plano B usável sem drama: KAIROS, depois VÉSPERA. Até a arquitetura societária do selo estar resolvida, a palavra é avaliação assinada pela ZION — nunca "certificação". Dono: jurídico. Prazo: 45 dias, e antes de qualquer material externo.

10. Publicar o vocabulário na versão 1 e vedar exclusividade de categoria no contrato-modelo. Definição canônica, glossário, taxonomia de sinal, quadro de maturidade das sete decisões em quatro níveis — Declarado, Instrumentado, Arbitrado, Provado — e o protocolo de holdout: aberto, gratuito, citável, com autoria e data. Publicar o método custa nada; publicar incremento em nível de célula entrega dois anos. E a vedação de exclusividade é política comercial, não decisão caso a caso: um único contrato de exclusividade extingue o índice comparativo. Dono: Head + Marketing, com revisão do jurídico. Prazo: 60 a 90 dias.

§9. O SUMÁRIO DO DOCUMENTO

A frase que fecha, e que precisa sobreviver ao jurídico do comprador lendo o contrato três semanas depois: não é gastar mais com atendimento. É parar de gastar hora de gente sem saber quanto ela rende — e ter, no fim de cada trimestre, um documento que responde ao regulador antes de ele perguntar.

§PARTE I — O CONCEITO

Nota de leitura sobre números. Nesta parte, todo número tem uma de duas marcas: fonte citada entre parênteses, ou o rótulo premissa na mesma linha. Não há terceira categoria. Onde a fonte é secundária, autodeclarada por fornecedor ou de primária não lida, a ressalva vem junto — inclusive quando isso enfraquece o argumento. A numeração de artigos das Portarias 1.231/2024 e 2.579/2025 foi parcialmente extraída de compilação privada e precisa ser conferida no DOU antes de virar cláusula contratual.

Nota de nomenclatura. As Partes I a IX foram escritas antes de o nome estar fechado e por isso descrevem a camada sem batizá-la. A arquitetura de marca está fixada na Parte X: HUMAN CRM é a categoria — aberta, não registrada, de uso livre inclusive por concorrente — e PRUMO é o método e o sistema proprietários da ZION (quatro blocos, sete decisões). Onde estas partes dizem "a camada", "o método" ou "o motor", leia-se PRUMO; onde dizem HUMAN CRM, leia-se a categoria.

§Capítulo 1 — O concierge de iGaming

§1.1 O que é

Concierge de iGaming é um profissional com carteira nominal de apostadores, memória do relacionamento e alçada para resolver, cujo trabalho é remover atrito e prestar contas — não vender aposta. A definição precisa ser dita nessa ordem, porque cada palavra carrega uma restrição operacional.

Carteira nominal significa que existe um titular: o apostador sabe o nome de quem cuida dele e a operação sabe quem responde por aquela conta. É o mecanismo que separa o Amex Centurion do Platinum — o Centurion fala sempre com o mesmo concierge, que já conhece as preferências. É também o que a UKGC cobra quando algo dá errado: no caso 32Red/Platinum o gerente-geral levou advertência formal na Personal Management Licence dele, não só a empresa (UKGC, Kindred, £7,1 mi, 2023). Sem titular, não há produto e não há defesa.

Memória do relacionamento significa que a conversa de hoje começa onde a de três meses atrás parou, sem o apostador ter que recontar. A referência é o Mystique do Ritz-Carlton, alimentado por preference pads que qualquer funcionário usa para registrar uma observação em segundos. O ativo não é o banco de dados; é o hábito de captura no ponto de observação. Sem o hábito, o campo fica vazio.

Alçada para resolver é poder pré-aprovado, com teto e log, para destravar o que trava: correção de erro operacional, prioridade na análise de saque, retificação de cadastro, estorno de cobrança indevida. A referência de desenho é a alçada de US$ 2.000 por hóspede do Ritz-Carlton — princípio de arquitetura, não fato de mercado verificado; a vigência literal do valor é questionada. O que importa dela é eliminar a fila de aprovação, que é onde a recuperação de cliente morre. E há uma fronteira dura: alçada é para corrigir e priorizar, nunca para criar crédito promocional. Bônus, freebet ou cashback concedidos na conversa para acalmar o apostador caem na vedação de vantagem prévia (Lei 14.790/2023, art. 29, I) e, se o apostador estiver em degrau de atenção, também no dever de cuidado.

Prestar contas, não vender é a fronteira que a lei brasileira já desenhou. O concierge informa saldo, extrato, status de fidelidade, regra de rollover, prazo de saque, status de KYC e as ferramentas de proteção — quando perguntado ou quando há evento na conta que justifique o aviso —, porque é isso que o art. 28 da Lei 14.790/2023 manda existir e o que o art. 46, XIII e XV manda estar nos T&C. Ele não oferece vantagem prévia à aposta, vedada sob qualquer forma (art. 29, I), não faz chamada para ação sugerindo ato imediato (Portaria 1.231/2024, art. 12, IV) e não aborda ninguém para recuperar perdas (art. 12, XII). E há um detalhe que muda o formato da mensagem: qualquer peça que mencione recompensa ou programa de fidelidade passa a carregar "18+" e uma das três frases de advertência ocupando no mínimo 10% da peça (art. 13, redação da Portaria 1.964/2026, vigente desde 17/07/2026) — o que sozinho inviabiliza a mensagem curta e casual sobre benefício. Prestação de contas dentro do inbox do produto, em resposta a evento ou pergunta, é atendimento; a mesma informação empurrada como novidade é peça publicitária, com todos os elementos obrigatórios junto.

Três exigências operacionais completam a definição, e nenhuma é opcional: o canal é gratuito, em português, com atendente fluente (Lei 14.790/2023, art. 28 e §1º); o atendente tem treinamento documentado em dependência e jogo patológico, exigência que alcança expressamente terceirizados (Portaria 1.231/2024, art. 6º, I); e a relação com o operador está em contrato escrito em português, com conformidade publicitária, regra de subcontratação e critérios de compensação à disposição da SPA (art. 22, II e parágrafo único).

Em uma linha: o concierge de iGaming é um resolvedor de atrito com memória, dentro do sistema registrado do operador. O host de Las Vegas já era isso antes de qualquer regulação brasileira — a descrição de vaga dele é reserva de restaurante, transporte, quarto, crédito e check-out, não palpite de aposta. A aposta é consequência do vínculo, nunca a mensagem.

§1.2 Como difere dos papéis existentes

A linha de baixo é o ponto. Todos os papéis acima são governados por uma unidade que o negócio já sabe contar: protocolo, ticket, campanha, theo, renovação, lead, ligação, conversa. Nenhum deles é governado pelo momento — o ponto em que o toque humano gera incremento maior que a melhor alternativa automatizada, descontado o custo da hora. É uma unidade nova, e é por isso que o papel não é uma variação dos existentes.

§1.3 Por que o modelo gera valor numa operação de iGaming

Três características do produto tornam a economia diferente da de qualquer varejo.

Primeira: a concentração é brutal e é medida. Num estudo com 139.152 contas britânicas, o top 1% respondeu por 37,4% da receita, o top 5% por 66,9% e o top 10% por 79,0% (Forrest & McHale, Journal of Gambling Studies, 24/06/2024) — mesma ordem de grandeza do varejo de luxo (Net-a-Porter EIP ~3%/40%; Farfetch ~1%/20%, imprensa setorial, não auditado), com a diferença de que aqui o número está em estudo revisado por pares. Atenção humana é o recurso mais caro da operação; só se paga onde existe assimetria dessa magnitude.

Segunda: cada atrito é financeiro e emocional ao mesmo tempo. Um saque em análise é o dinheiro da pessoa parado dentro de uma empresa que ela não conhece, depois de ter enviado documento de identidade para um formulário. Um KYC recusado não é "cadastro pendente"; é a sensação de estar sendo acusado. Um depósito recusado no cartão não é falha técnica; é constrangimento. A carga emocional de cada evento operacional é desproporcional ao valor em disputa — e é nessa desproporção que o toque humano paga, porque a máquina resolve o valor e não resolve a carga.

Terceira: a permanência não tem contrato. Não há renovação, cancelamento nem aviso prévio; o apostador simplesmente some. Isso elimina o sinal que o Customer Success de SaaS usa e obriga o modelo a operar sobre comportamento — que é o mesmo dado que a norma já manda monitorar para proteção (Lei 14.790/2023, art. 23, §3º; Portaria 1.231/2024, art. 4º, VI a VIII). A operação já é obrigada a olhar; falta ter para onde encaminhar o que ela vê.

Uma ressalva que precisa vir junto, porque protege o desenho: alocar atenção humana por valor perdido é o desenho que a UKGC pune e que Macau desmontou. A régua de elegibilidade é multi-fator — margem esperada prospectiva, tempo de casa, complexidade da conta, densidade de eventos operacionais — com trava de risco e revisão periódica. Nunca "quem perde mais, ganha gerente". O §3.7 mostra o mecanismo de auditoria que impede a régua de escorregar de volta para lá, porque enunciar o princípio não basta.

§1.4 Em que momentos o humano supera a automação — os três eixos

A resposta corrente ("quando o problema é complexo") é fraca e está envelhecendo rápido, porque complexidade é exatamente o que os modelos de linguagem passaram a absorver. Um sistema bem instrumentado hoje resolve pergunta complexa melhor do que um atendente mediano. Se o critério for complexidade, o humano perde o argumento em dezoito meses.

A decisão "modelo ou pessoa" tem nome na literatura — Learning to Defer (Mozannar & Sontag), com versões sensíveis a custo, de múltiplos especialistas e com restrição de capacidade humana (DeCCaF), além de benchmark publicado na Scientific Data/Nature em 2025. O que segue não é uma descoberta científica: é a instrumentação de domínio dessa decisão, isto é, quais variáveis do iGaming brasileiro alimentam o custo de deferir. Vender o critério como invenção é derrubável em dez minutos; vender a instrumentação é defensável, porque ela depende de dado que só o operador tem.

São três eixos, medidos separadamente:

I — irreversibilidade da consequência. Que fração do valor em jogo não volta ao estado anterior em 30 dias se a decisão sair errada. Resposta errada sobre horário de jogo custa uma correção; resposta errada sobre por que o saque foi bloqueado custa a conta, um protocolo no Procon e possivelmente uma ação judicial — no Brasil já há condenação civil por falha no dever de cuidado diante de sinais claros, com devolução de mais de R$ 206 mil pelo TJRS (sem tese vinculante do STJ até aqui). Proxies computáveis: saldo retido em análise, restrição ativa na conta, protocolo formal aberto, menção a Procon, advogado ou ação judicial no texto de entrada, valor do saque travado. Origem do dado: sistema de pagamentos, KYC, base de protocolos. Irreversibilidade não é valor alto: é valor alto sem caminho de volta.

D — densidade de contexto necessária. Quanto de contexto disperso, não estruturado ou não registrado precisa ser reunido, reconciliado e interpretado para a resposta estar certa. Proxies computáveis: número de sistemas necessários para responder, número de contatos anteriores sobre o mesmo assunto em 30 dias, existência de promessa registrada por outro canal, divergência entre cadastro e documento. Origem do dado: log de atendimento e memória tipada. É o eixo que a IA mais rapidamente absorve — e por isso o que menos deve carregar o argumento do humano.

T — carga de confiança do momento. Quanto do desfecho depende de a pessoa acreditar em quem fala, e não de a informação estar correta. Proxies computáveis: presença de acusação implícita na mensagem de entrada (classificador de texto, com revisão amostral), dinheiro retido acima de N dias, promessa anterior não cumprida registrada em desfecho, reabertura do mesmo assunto. Origem do dado: NLP sobre inbound, histórico de desfechos. Um saque negado com explicação impecável, entregue por um bot, aumenta a raiva; o mesmo conteúdo dito por alguém com nome, que assume o caso e devolve o prazo, encerra o assunto. A informação é idêntica; o desfecho não.

Os três são escores de 0 a 1, calibrados contra desfecho observado — nunca julgamento do atendente sobre o próprio caso, porque isso reintroduz o viés comercial na porta de entrada. E não se assume independência estatística entre eles. I e T são plausivelmente correlacionados: dinheiro retido puxa os dois. A correlação é estimada e reportada a cada recalibração; se I e T se mostrarem colineares, o modelo colapsa para dois eixos e o documento é corrigido. Afirmar independência sem medir seria exatamente o tipo de precisão falsa que derruba um desenho em auditoria.

A leitura combinada é o que interessa: o prêmio do humano está migrando de D para I × T. Automação é excelente em D e cega em I e T, porque I e T não estão no conteúdo da mensagem — estão na consequência e na relação. Um momento humano legítimo é aquele em que I e T estão simultaneamente altos; D sozinho já não justifica gente.

Sobre isso monta-se a forma econômica que o Capítulo 3 detalha:

valor_do_momento = ΔP_humano(I, D, T, histórico) × V_em_risco  −  custo_hora × tempo_estimado

Duas definições precisam estar coladas na fórmula, porque sem elas ela é lida errado:

ΔP_humano é o incremento causal do toque humano sobre a melhor alternativa automatizada, medido contra holdout aleatorizado, e não a taxa de sucesso do humano isolada. É a diferença entre "quem falou com concierge converteu mais" (seleção) e "falar com concierge causou X reais a mais" (incremento). O primeiro é o número que o mercado apresenta; o segundo é o único que sustenta preço. ΔP tem sinal: um tipo de momento pode ter incremento negativo — o toque humano piora o desfecho. O desenho prevê a descoberta e a consequência: tipo de momento com ΔP negativo em dois ciclos consecutivos sai do catálogo humano.

V_em_risco é a margem bruta esperada da conta na janela de 90 dias sob o cenário de desfecho ruim, subtraída da mesma margem sob o cenário de desfecho bom — a oscilação prospectiva, não a perda acumulada do apostador. A distinção não é semântica: perda acumulada como critério de alocação é literalmente o desenho que produziu a fileira de multas britânicas. O §3.7 trata a objeção de frente, porque a definição correta no papel não impede o escorregão na operação.

Duas travas amarram a fórmula, e elas não são econômicas:

• Trava de proteção. Quando o momento envolve risco de dano ao apostador, o cálculo não decide. Só sinal duro — evento discreto e auditável — escala para gente; score probabilístico ordena fila e dispara ação barata. Com sensibilidade de 66,2% e especificidade de 71,5% (estudo com apostadores esportivos, 2025/2026) e prevalência ilustrativa de 3% — não há estatística oficial brasileira de prevalência pós-regulamentação —, o valor preditivo positivo fica em ~6,7%: cerca de 15 pessoas marcadas por acerto real. Nenhuma marca sobrevive a abordar 14 pessoas saudáveis para encontrar 1. Se a prevalência real for outra, o número muda — e é por isso que o cálculo anda sempre com a premissa visível.
• Trava de canal. Alto valor_do_momento não autoriza qualquer canal. O disparo passa pelos gates de elegibilidade antes de existir (§3.4 e §3.5).

§1.5 O que deve continuar automatizado

Tudo que é determinístico, alto volume, baixo I e baixo T. A lista é óbvia e precisa estar escrita, porque a tentação de colocar gente em cima de tudo é o que quebra a margem:

• Status de transação, extrato, saldo, histórico de apostas, comprovantes.
• Confirmações, recibos, avisos de conclusão de KYC, notificação de crédito de saque.
• Lembretes operacionais sem chamada para ação (Portaria 1.231/2024, art. 12, IV).
• Comunicação sistemática de jogo responsável de baixa intensidade — que é obrigação (art. 3º, III) e que em pop-up genérico é comprovadamente ineficaz para mudar comportamento (revisões sistemáticas de 2020 e 2024), mas é o veículo certo para o espelho: devolver o comportamento real em número, sem julgamento ("você depositou em 11 dos últimos 14 dias, contra 4 no mês anterior"). Nunca veredicto: receber classificação de risco maior que a autoimagem gerou dissonância e rejeição, não mudança, no estudo do Playscan (n=757).
• Fricção automática do degrau 1: interrupção de sessão, oferta de limite, autoteste voluntário, corte de mensagem comercial.
• FAQ, regra de promoção, explicação de rollover — com uma condição: a explicação não pode vir acompanhada de convite à ação, porque aí deixa de ser atendimento e arrasta a advertência de 10% da peça (art. 13, redação da Portaria 1.964/2026).

Vale dimensionar a expectativa: a deflexão real de IA em atendimento em 2026 fica entre 10% e 25% em levantamentos independentes, com mediana honesta em torno de 22%, contra 30–60% anunciados por fornecedores; o Gartner separa desvio (45%+) de resolução efetiva (14% em self-service) — números do Gartner citados aqui vêm de imprensa e releases, com a primária inacessível (403), e não devem ir a deck de investimento sem o relatório original. Automação resolve muito menos do que desvia, e o produto precisa contar as duas coisas separadamente para não vender número de deflexão chamando de resolução.

§1.6 Onde a IA ajuda o agente

Copiloto de atendente é commodity de funcionalidade — Cresta, ASAPP, Observe.AI, Forethought, Balto, Verint, Agentforce e Zendesk QA já entregam sugestão de resposta, resumo, sentimento, próximo passo e QA automático. Não há propriedade intelectual a construir aí, e reivindicar invenção nesse ponto derruba a credibilidade do resto. Há obrigação de fazer bem, porque é a peça que devolve tempo:

• Dossiê pré-conversa. Antes de o concierge abrir a conversa, ele recebe uma página: quem é, o que aconteceu nos últimos 30 dias, o que foi prometido antes e por quem, o que está travado agora, o que não pode ser dito neste caso e por quê.
• Redação assistida com trava de compliance. Sugestão de resposta que já nasce sem chamada para ação imediata, sem menção a recuperar perdas, sem afirmação sobre probabilidade e sem oferta a quem está em degrau de atenção.
• Captura de memória sem digitação. O equivalente digital do preference pad: a IA extrai da conversa os atributos observados e o concierge confirma em um clique. Sem isso, o campo fica vazio.
• Registro de desfecho. Toda decisão, inclusive "nenhuma ação adicional", precisa de justificativa escrita — e escrever isso à mão é o que faz o processo ser abandonado.
• Fila ordenada, não fila cheia. A IA ordena por valor esperado do momento e por vencimento de SLA; ela não decide sozinha quem entra.

O tamanho do prêmio é o ponto: em private banking, o gestor de relacionamento passa 25–30% do tempo em diálogo direto com cliente e até 60% em trabalho administrativo (Backbase — fornecedor, não auditoria independente). Se o copiloto converter parte desses 60% em conversa, a carteira cresce sem degradar. Essa é a mecânica de escala — não "o humano fica mais rápido".

§1.7 Onde precisa existir uma pessoa por obrigação

Três origens distintas, e elas não se substituem.

Por obrigação regulatória. Revisão de decisão automatizada que restringe conta é direito do titular (LGPD art. 20), e a ANPD sinalizou que revisão meramente formal é sancionável. A capacitação em jogo responsável é exigida para colaboradores "inclusive terceirizados" que interajam diretamente com apostadores (Portaria 1.231/2024, art. 6º, I) — a norma pressupõe terceirizado em contato direto, o que legitima o modelo e obriga a entregar trilha de treinamento com evidência. Somam-se a comunicação sistemática sobre jogo responsável (art. 3º, III) e a sugestão de limites, autoteste e autoexclusão independentemente de solicitação (art. 4º, VI a VIII). E um detalhe que só um humano executa bem: quando o apostador pede limite, pausa ou autoexclusão, é vedado criar atrito, demora ou "vamos conversar antes" (art. 4º, §1º) — a pessoa está lá para cumprir, não para reter.

Por confiança. Acusação implícita, dinheiro retido, promessa quebrada, suspeita de fraude, coação, luto, conta invadida — momentos em que a informação certa entregue pela entidade errada piora o resultado. O Nubank Ultravioleta mantém trilha de emergência separada para fraude e coação; o equivalente aqui é a trilha de proteção, que não passa pelo fluxo comercial.

Por complexidade irredutível. Caso multi-sistema com histórico contraditório, disputa de valor, erro da operação com efeito financeiro, retificação de cadastro que destrava saque, caso com exposição pública ou judicial.

Sobre os três incidem duas regras estruturais.

A primeira: quem serve não protege. Quem cuida do relacionamento comercial não conduz o caso de risco, não compartilha indicador com quem conduz e não tem acesso de leitura à tabela de risco. Não é exigência normativa expressa no Brasil; é decisão de arquitetura, e é a blindagem contra o conflito de interesse que produziu a fileira de multas de customer interaction no Reino Unido.

A segunda: há um titular pessoal do risco, nomeado, dentro do operador. A UKGC responsabilizou o gerente-geral na licença pessoal dele, não só a empresa. Um modelo terceirizado que não consegue apontar, em contrato, quem no operador responde pessoalmente pela conduta do concierge está transferindo trabalho sem transferir responsabilidade — o que a Portaria 1.231/2024 já diz que não funciona (art. 6º, I; arts. 21-22; art. 28, XXIV). O nome dessa pessoa entra no contrato junto com a matriz de alçada.

Uma consequência de remuneração fecha o desenho: nenhuma parte da compensação do concierge, do supervisor ou do fornecedor pode variar com depósito, perda ou GGR do apostador atendido. Remuneração atrelada a volume depositado é lida como encorajamento à prática excessiva (art. 12, III; art. 22, II, "c"), e participação na perda é o modelo que Macau extinguiu por lei. O que pode variar: incremento medido contra holdout, cumprimento de SLA, qualidade auditada da conversa e desfecho registrado por alerta de proteção.

§1.8 Como transformar atendimento em experiência

O caminho não é encantamento. A evidência mais robusta disponível diz que reduzir esforço prevê lealdade melhor do que superar expectativas, e que interações de serviço são ~4x mais propensas a gerar deslealdade do que lealdade (CEB/Gartner). O service recovery paradox tem efeito significativo sobre satisfação e não significativo sobre recompra, boca a boca e imagem (meta-análise Matos, Henrique & Rossi, 2007) — desenhar o produto assumindo que errar e consertar constrói valor é construir sobre areia.

O que transforma atendimento em experiência são cinco mecanismos operacionais:

1. Antecipação com prestação de contas. O concierge avisa que o saque foi para análise antes de o apostador perceber, com prazo e motivo. Reduz esforço a zero: a pessoa não precisa abrir chamado para descobrir o que já se sabe. Como se mede: percentual de eventos operacionais relevantes comunicados antes do primeiro contato do apostador sobre o mesmo assunto.
2. Continuidade de pessoa. O mesmo nome, sempre. É o diferencial declarado do Centurion sobre o Platinum e é uma decisão de roteamento, não de simpatia. Como se mede: percentual de conversas atendidas pelo titular da carteira.
3. Memória demonstrada. Não basta ter o histórico; é preciso que o apostador perceba que ele existe. Mecanismo: o dossiê traz um campo obrigatório de "referência de abertura" — um fato específico da relação a ser citado sem que o apostador precise repetir — e vale a regra de nunca pedir dado que já está no cadastro. Como se mede: taxa de recontagem de contexto, isto é, quantas conversas exigem que o apostador reexplique algo já registrado.
4. Alçada visível no resultado. O concierge resolve na conversa, dentro do teto, sem "vou verificar e retorno". Com uma exceção que precisa ser dita ao apostador com clareza: aumento de limite e suspensão de pausa não se resolvem na hora, porque a carência de 24 horas é obrigatória (Portaria 1.231/2024, art. 4º, §2º). Como se mede: percentual de casos encerrados sem transferência e sem segundo contato.
5. SLA que o cliente sente. Assíncrono sem SLA agressivo vira abandono. O benchmark público mais defensável fora do setor é o Four Seasons Chat: 100% humano, nove plataformas, resposta média ≤90 segundos, 3,5 milhões de mensagens em 106 hotéis (dez/2018) — referência de ordem de grandeza, de outro setor e de sete anos atrás. Os compromissos do desenho são estes, e são premissa de operação a validar no piloto, exceto onde a norma manda:

§1.9 Como evitar o cheiro de telemarketing

O risco não é estético — é jurídico e reputacional, e há duas âncoras duras.

A primeira é o "Não Me Ligue": a lei paulista 13.226/2008, alterada pela 17.334/2021, estendeu o bloqueio a chamadas, SMS e mensagens por aplicativo, com o WhatsApp expressamente incluído; passados 30 dias da inscrição, é proibido ligar ou mandar mensagem com oferta ou cobrança. O Procon-SP acumula, em todos os setores desde 2010, 852 investigações, 348 multas e cerca de R$ 260 milhões no tema — não são números de bets, e citá-los como se fossem enfraquece o argumento em vez de reforçá-lo. E vale repetir a lição estrutural: o primeiro fiscal a bater na porta é estadual e consumerista, não federal e setorial — nenhuma sanção da SPA por comunicação 1:1 abusiva foi localizada, enquanto as sanções por conteúdo comercial vieram do Procon-SP, incluindo Betano em R$ 300.752,00 (jan/2026). Leis estaduais análogas fora de SP não foram mapeadas; presumir que existem.

A segunda é a posição em que o contato humano do setor se encontra hoje no Brasil. O padrão observável em reclamações públicas é de extração — pedido insistente de avaliação positiva, promessa de bônus que não se materializa, atendimento que contesta a palavra do cliente. Daí dois efeitos simultâneos: um espaço aberto, porque a expectativa de "gerente dedicado" foi criada por página de afiliado sem capacidade instalada por trás — as descrições estão em sites-espelho, não em domínios .bet.br, e não foi confirmado em página oficial que operadores brasileiros ofereçam isso; e um teto de credibilidade, porque a primeira mensagem de um concierge desconhecido é lida contra esse histórico.

Oito regras operacionais decorrem disso:

1. O contato tem motivo declarado na primeira linha — um evento da conta da pessoa, não uma ocasião comercial. "Seu saque de ontem entrou em análise documental" é motivo; "temos novidades pra você" é telemarketing.
2. Zero urgência fabricada. Nada de "só até hoje", "aproveite agora", "começa em 10 minutos" — além de ser cheiro de telemarketing, é vedação expressa (art. 12, IV).
3. Zero isca. Nenhuma vantagem antes da aposta, sob qualquer forma (Lei 14.790/2023, art. 29, I). O concierge presta contas de saldo, extrato e status; ele não lembra ninguém de benefício.
4. Fronteira declarada entre atendimento e publicidade. Se a mensagem for comercial, ela precisa ser identificável como tal, trazer o número da portaria de autorização do operador e carregar "18+" e a frase de advertência em ≥10% da peça (art. 15 e §3º; art. 13 na redação da Portaria 1.964/2026; CDC art. 36). Não existe mensagem comercial "discreta": ou é atendimento, e não vende, ou é peça, e vem com tudo junto.
5. Frequência com teto e memória de contato, contada por pessoa e não por campanha, com decaimento após não resposta.
6. Saída em um passo, honrada em tempo real, sem retenção, sem contraoferta, sem "posso saber o motivo?".
7. Gate por CPF antes de qualquer disparo — autoexclusão específica e centralizada, opt-in vigente, limite ativo, vedação por programa social (Bolsa Família, BPC, Novo Desenrola, renegociação Fies), bloqueio de telemarketing estadual. Trava por CPF, nunca por número de telefone.
8. Nada de oferta na fila de espera sem consentimento prévio (Decreto 11.034/2022, art. 4º, §5º) — dispositivo cuja aplicabilidade formal a bets não está resolvida, e por isso mesmo o mais barato de simplesmente respeitar.

§1.10 Como o apostador percebe valor real

Percepção de valor se constrói por consistência entre o que foi dito e o que aconteceu, medida pela própria pessoa ao longo do tempo. Quatro sinais fazem esse trabalho — e cada um tem um indicador que diz se ele está chegando, porque sinal sem medida é decoração:

O quarto é o que separa este desenho de marketing com atendente. Um concierge que só conversa com apostador saudável e só entrega boa notícia é uma equipe comercial com outro nome. A disposição de cortar comunicação comercial, de sugerir limite sem que ninguém tenha pedido e de conduzir uma autoexclusão sem tentar reter é o que produz confiança — e, não por acaso, é o que a norma brasileira já exige (Portaria 1.231/2024, art. 4º, VI a VIII).

§1.11 A objeção que vem primeiro: se o concierge não vende, de onde sai o dinheiro?

É a pergunta certa, e ela precisa de resposta antes de qualquer projeção. O valor não aparece por venda; aparece por cinco caminhos, e quatro deles são mensuráveis já no piloto.

1. Conta que não fecha. Saque destravado no prazo, com aviso antes da reclamação, evita o desfecho mais caro do setor: a saída silenciosa depois de um atrito de dinheiro. O incremento é a diferença de permanência e de margem entre o braço tocado e o holdout, no mesmo tipo de momento.
2. Conta que ativa. KYC concluído com ajuda humana onde o fluxo automático emperrou é receita que já estava contratada e não entrou. É o tipo de momento mais fácil de medir, porque o desfecho é binário e próximo.
3. Protocolo que não vira processo. Erro operacional corrigido dentro da conversa não vira reclamação pública, autuação de Procon (Betano, R$ 300.752,00, jan/2026) nem ação civil (TJRS, mais de R$ 206 mil). Esse valor é evitado, não gerado — e por isso entra na conta como custo evitado, com a premissa de frequência declarada, jamais como receita.
4. Alerta fechado. Alerta de proteção com desfecho registrado é a diferença entre conformidade e passivo. A Betfred pagou £900 mil por uma janela de sete dias entre a sinalização e a revisão (UKGC, 30/06/2026). Aqui também é custo evitado, e a frequência é premissa.
5. Permanência mais longa de quem se autolimita. A hipótese é que o apostador que reduz por limite próprio e continua na casa por anos vale mais que o que some em seis meses. Isso é hipótese declarada, não medida — nenhuma métrica pública de interação humana com resultado de proteção foi localizada em nenhum mercado. É precisamente o número que o piloto existe para produzir, e é honesto dizer que ele ainda não existe em lugar nenhum.

E a contrapartida, que precisa ser dita na mesma respiração: o incremento medido pode ser menor que o custo da hora em vários tipos de momento. O desenho trata isso como resultado, não como falha — tipo de momento cujo ΔP não paga a hora volta para a automação, e a carteira encolhe para onde paga. Um produto que não consegue dizer "aqui o humano não vale a pena" também não consegue provar onde vale.

§Capítulo 2 — HUMAN CRM

§2.1 A definição

HUMAN CRM é a camada de decisão que trata o contato humano como uma ação arbitrável dentro do motor de CRM — com propensão, valor, custo, capacidade e restrição regulatória na mesma equação das ações automatizadas — e que mede o efeito causal dessa escolha em dinheiro.

Três compromissos sustentam a definição:

1. O humano entra na equação, não fora dela. Em nenhum motor de decisioning público — Pega, Adobe, SAS, Braze, Salesforce — "chamar uma pessoa" é uma alternativa com propensão, valor e custo. O humano é fallback operacional, acionado quando a automação falha. Aqui ele é uma opção com preço, disputando a mesma decisão. O problema formal tem nome e literatura: Learning to Defer sensível a custo e com restrição de capacidade (DeCCaF). O que não existe é a versão comercial dele com unidade de cobrança e medição de incremento — e é aí, não na matemática, que a reivindicação se sustenta.
2. A escolha é medida por incremento, não por atividade. O padrão da indústria é medir deflexão — quantas conversas o humano não tocou. Aqui se mede o contrário: quanto o toque humano gerou a mais do que a melhor alternativa automatizada, contra holdout aleatorizado, em R$.
3. A restrição vem antes do cálculo. Elegibilidade regulatória e trava de proteção não são penalidades dentro do escore; são filtros bloqueantes anteriores à arbitragem. É a mesma arquitetura das Engagement Policies da Pega, aplicada a um domínio onde errar custa multa de 0,1% a 20% da arrecadação, com teto de R$ 2 bilhões por infração (Lei 14.790/2023, art. 41, II), dobrada em reincidência de três anos (art. 42, §3º).

§2.2 O que não é

Não é helpdesk premium. Helpdesk é reativo e governado por tempo de resposta e volume. Aqui o sistema decide iniciar o contato, e a métrica é incremento, não fila esvaziada.

Não é VIP management com outro nome. VIP management aloca atenção por valor apostado ou perdido e remunera por isso — desenho que produziu Betway £11,6 mi (2020), Caesars £13 mi (2020, com saída de três executivos), Entain £17 mi (2022), William Hill £19,2 mi (2023), e que Macau desmontou legalmente em 2022 (de 235 promotores em 2014 para 18 em 2024). Aqui a elegibilidade é multi-fator, com trava de risco, e nenhuma parcela da remuneração acompanha depósito, perda ou GGR do apostador atendido.

Não é reativação por call center terceirizado. Esse modelo existe, é maduro e já opera no Brasil: a Enteractive, de Malta, faz agentes humanos ligarem 1:1 para inativos desde março de 2020 no país, em modelo de performance ou revenue share, com clientes como Stake.com, BetMGM e LiveScore. É o concorrente direto mais óbvio, e a diferença precisa ser dita em três pontos verificáveis, não em adjetivos. Primeiro, o incentivo: remuneração por participação na receita reativada premia o contato que faz depositar, exatamente a conduta que a Portaria 1.231/2024 trata como encorajamento à prática excessiva (art. 12, III; art. 22, II, "c"). Segundo, onde o contato roda: script e sistema do fornecedor colidem com a exigência de que nenhum contato ocorra fora das políticas, procedimentos ou sistemas do operador (UKGC SRCP 5.1.1(2)); um concierge que opera fora do sistema é uma infração ambulante, e um concierge que é o sistema registrado do operador é um produto de compliance. Terceiro, como o resultado é contado: os números públicos do modelo (350% de ROI, 25 mil reativações por mês, ~€470 mi em depósitos/ano) são autodeclarados em release, sem grupo de controle — são conversão observada, não incremento medido. O mesmo vale para os managed services de VIP (Delasport, Campeón, WA.Technology, EveryMatrix).

Não é chatbot com pessoa atrás. Nesse arranjo o humano é a exceção que aparece quando o robô falha, e o fornecedor tem incentivo para que ele não apareça: a Zendesk reestruturou o preço em maio/2026 para cobrar só pela Verified Resolution, tornando a Assisted Escalation gratuita — lucra-se quando o humano não entra. Aqui o humano é escolha deliberada, comparada e cobrada.

Não é BPO. BPO vende hora e cabeça, e a margem melhora com mais volume atendido. Aqui a margem melhora com menos contatos humanos e mais incremento por contato. Incentivos opostos, verificáveis no contrato.

Também não é CDP nem copiloto. CDP/Player 360 (Adobe RT-CDP, Salesforce Data 360, Segment; no setor, Optimove, Fast Track, Smartico, Symplify, Xtremepush) e copiloto de atendente são componentes de prateleira que o comprador provavelmente já tem. São insumos, não a categoria.

§2.3 Onde entra na arquitetura de CRM

A pilha tem quatro camadas, e o CRM tradicional preenche uma:

O CRM tradicional tem execução automatizada e uma camada de decisão que só sabe escolher entre coisas que a máquina faz. O HUMAN CRM entra em decisão — colocando contatar_humano(...) na arbitragem — e em aprendizado — instalando o holdout que transforma resultado em incremento. Não substitui o CDP nem a ferramenta de campanha: é a camada que decide quando não usá-los.

§2.4 Por que deveria existir, e que problema resolve

O problema é uma alocação sem preço. Toda operação já gasta com contato humano — atendimento, retenção, VIP, cobrança — e praticamente nenhuma sabe dizer quanto cada hora rendeu contra o que teria acontecido sem ela. A hora humana é o insumo mais caro do CRM e o único que entra na conta sem cotação. O resultado previsível é gente cara resolvendo problema barato enquanto problema caro morre em fila automatizada.

Existe também um problema de posição. A Portaria 1.231/2024 criou um canal proativo legalmente exigido — comunicação sistemática sobre jogo responsável (art. 3º, III) e sugestão de limites, autoteste e autoexclusão independentemente de solicitação (art. 4º, VI a VIII) — e ninguém industrializou esse canal. Ao mesmo tempo, o PL 2.470/2026, aprovado na CCT do Senado em 02/09/2026 com urgência, aponta para o fim da publicidade de bets, com 365 dias de transição e 24 meses para patrocínios. O que sobra quando a publicidade sai é serviço: uma camada de customer interaction auditável cresce com a regulação; comunicação comercial 1:1 perde base legal no mesmo movimento. Isso é leitura de cenário legislativo, não certeza — o PL pode mudar ou não avançar, e o desenho precisa fazer sentido nos dois mundos. Faz: no cenário sem proibição, a camada é diferencial competitivo; no cenário com proibição, é a única coisa que resta de pé.

E há o problema da prova. Detectar e não agir é hoje o pior lugar jurídico possível: a UKGC multou a Petfre (Betfred) em £900 mil em 30/06/2026 porque a conta foi sinalizada e o processo interno só a reveria sete dias depois — no intervalo, o cliente perdeu £17.900 em 24 horas. Alerta sem desfecho registrado é a prova fabricada da própria omissão; produzir alertas sem uma camada capaz de fechá-los é construir passivo.

§2.5 Como complementa a automação

A automação continua fazendo o volume; o HUMAN CRM decide o recorte. Três interfaces: a automação alimenta a detecção (mensagem entregue e não aberta, saque negado, depósito recusado, sessão interrompida são sinais de entrada); é a alternativa contra a qual o humano é medido — ΔP_humano só existe porque há um braço automatizado comparável; e executa a maior parte do que o humano decide — o concierge escolhe o desfecho, o sistema entrega confirmação, prazo, registro e follow-up.

A relação correta não é "humano onde a máquina falha". É automação por padrão, humano por decisão — com um terceiro estado que quase ninguém modela e que o Capítulo 3 trata como ação de primeira classe: não fazer nada.

§2.6 Por que a IA não elimina esta camada

Há uma assimetria que o barateamento não toca. A IA derruba o custo de produzir a resposta e não muda o custo de estar errado num momento de dinheiro e confiança. Quando a resposta errada custa uma conta encerrada, um protocolo no Procon, uma ação judicial ou um alerta de proteção não fechado, o valor esperado da decisão passa a ser dominado pelo termo de erro — o único que a redução de custo unitário não afeta. E quanto mais barata a resposta, mais respostas são produzidas, e mais frequentes ficam os momentos em que esse termo aparece.

Três reforços independentes:

A economia está virando. O Gartner projeta que até 2030 o custo por resolução de GenAI ultrapasse US$ 3, acima de muitos agentes humanos offshore; que até 2028 mudanças regulatórias que obriguem acesso ao humano gerem +30% de volume assistido; que metade das empresas que cortaram equipe por IA recontrate até 2027 — e, ao mesmo tempo, 80% de resolução autônoma até 2029. Todas essas previsões chegaram por imprensa e releases, com a primária inacessível (403), e uma delas conflita com outra citação secundária do mesmo instituto sobre custo por contato (US$ 13,50 vs. US$ 8,01): usar como direção de vento, nunca como número de deck. Juntas, descrevem o mercado disponível: automação vira commodity cara e o humano volta a ser diferencial, desde que cirúrgico.

A regra já exige rota humana. A LGPD dá direito a revisão de decisão automatizada (art. 20), e até a política de plataforma mais restritiva sobre o setor exige o mesmo: a Seção 2 da WhatsApp Business Messaging Policy requer rota de escalada para humano quando há automação, incluindo transferência dentro do chat. Quando quem proíbe a vertical faz questão do humano, o argumento institucional da categoria está pronto.

A detecção não escala sozinha. Nenhum modelo de risco de dano com VPP de ~6,7% autoriza ação sobre pessoa. Score ordena fila; humano decide caso. Limite estatístico, não preferência.

§2.7 Como a IA torna o humano mais poderoso

A IA não substitui a camada; muda a produtividade dela, e o alvo é específico. O gargalo do relacionamento de alto valor não é falar com cliente: é o overhead. Gestores de relacionamento em private banking passam 25–30% do tempo em diálogo direto e até 60% em trabalho administrativo (Backbase, fornecedor). O produto vendável, portanto, não é o concierge — é o sistema que devolve o tempo do concierge.

A consequência sobre capacidade precisa ser modelada em cenários, nunca prometida: high-touch entre 8 e 15 contas por gestor, tech-touch até 75, digital até ~1000:1 (TSIA; Customer Success Collective). Acima de ~150 clientes por humano, a promessa só existe se o ganho de banda pelo copiloto for demonstrado — e os +25% a 50% por CSM até o fim de 2026 são projeção de fornecedor, rótulo obrigatório. Daí sai a métrica de produto que separa este desenho de "contratamos mais gente": percentual do tempo do concierge em conversa real.

Vale registrar o contraexemplo, porque ele calibra a ambição: a Stitch Fix, que construiu a marca sobre estilista humano, caiu para 2,288 milhões de clientes ativos no Q2 FY2026 (~45% abaixo do pico) e eliminou todas as vagas de estilista em tempo integral em março de 2024 — enquanto a receita por cliente ativo subia para US$ 577. O humano sobreviveu como margem por cliente, não como motor de crescimento. É exatamente o que se está propondo aqui, e é bom dizer isso antes que alguém diga por nós.

§2.8 A definição do cliente, e a definição que a substitui

A formulação de partida é:

"Human CRM identifica os momentos em que uma pessoa pode gerar mais valor que uma automação…"

Ela acerta o instinto e falha em quatro pontos operacionais.

Definição proposta:

HUMAN CRM é a camada de decisão do CRM que arbitra, a cada momento relevante, entre não agir, agir por automação, agir por IA ou acionar uma pessoa nomeada — tratando o toque humano como ação de primeira classe, com propensão, valor esperado, custo de hora e capacidade finita na mesma equação; submetendo toda essa arbitragem a gates de elegibilidade e de proteção que rodam antes dela; e medindo o efeito causal de cada escolha contra holdout aleatorizado, em dinheiro.

A troca vale porque a definição nova é falseável. Ela nomeia a alternativa (inclusive a de não fazer nada), nomeia a restrição, nomeia a medida e nomeia a unidade — e cada uma dessas quatro pode ser verificada num piloto. A definição original descreve uma intuição; esta descreve um sistema que pode ser auditado, precificado e defendido.

§2.9 Fronteira de originalidade — e a objeção "isso já existe"

Um comprador técnico vai abrir o site de três fornecedores enquanto a apresentação ainda está rodando. Melhor entregar o mapa antes.

Duas consequências desconfortáveis, e ambas precisam ser ditas em voz alta.

Nenhuma das cinco é patente. Todas são copiáveis por quem aceitar mudar o próprio modelo de cobrança — e é justamente isso que segura os incumbentes. Um fornecedor de CX que instala holdout passa a medir, e a publicar, quantas conversas humanas não valeram a pena; um que precifica por resolução perde receita quando o humano entra. A vantagem aqui é de janela e de dado acumulado, estimada em 12 a 24 meses de dianteira, não perpétua. Quem promete fosso permanente está vendendo outra coisa.

A defensibilidade real é de operação e de dado, não de algoritmo. O custo da hora é dado do operador. O grafo de afiliados é dado do operador. A tabela de ΔP por tipo de momento só existe depois de rodar o holdout dentro de uma operação real. Nada disso um vendor consegue montar de fora, e é por isso que a categoria nasce ao lado do CDP, não em cima dele.

§Capítulo 3 — HUMAN-IN-THE-LOOP CRM

§3.1 O fluxo

O desenho de partida — evento → segmentação → inteligência → decisão → (automação OU concierge) → resultado → aprendizado → próxima melhor ação — acerta a intenção e afrouxa em três lugares: põe segmentação onde deveria haver resolução de identidade, trata elegibilidade como parte da decisão e oferece só duas saídas. O fluxo corrigido:

[0] EVENTO
     apostado · depositado · saque pedido/negado/cancelado · KYC · sessão
     mensagem recebida · silêncio (não-evento com prazo) · alerta de proteção

[1] RESOLUÇÃO DE IDENTIDADE E CONTEXTO
     CPF canônico → conta(s) → dispositivos → afiliado de origem → memória tipada
     ▸ P0: o registro é único e a pessoa é quem se diz? Se não, nada sai daqui.

[2] DETECÇÃO — o que o sistema percebe
     sinais moles (probabilísticos)  |  sinais duros (discretos e auditáveis)
     valor em risco · janela de hazard · densidade de contexto (D) · carga de confiança (T)
     ▸ P1: o sinal é duro ou mole? A resposta muda a porta permitida, não o escore.

┌──── GATES — bloqueantes, ANTES da arbitragem ────────────────────────┐
│ [G1] PROTEÇÃO                                                         │
│   autoexclusão específica · autoexclusão centralizada (checagem a     │
│   cada 24h, mais estrita que as 72h da norma — decisão de desenho)    │
│   degrau de risco operacional vigente · limite/pausa ativos           │
│   ▸ P2: se degrau ≥ atenção → corta marketing, libera só trilha de    │
│         proteção. O caso muda de dono e de fila.                      │
│ [G2] ELEGIBILIDADE PUBLICITÁRIA E DE CANAL                            │
│   opt-in vigente · vedação por programa social · bloqueio estadual    │
│   operador autorizado · canal permitido para a praça · janela/frequência│
│   ▸ P3: o que não passa aqui não existe como opção na arbitragem.     │
└───────────────────────────────────────────────────────────────────────┘

[3] ARBITRAGEM — o que o sistema escolhe
     conjunto de ações sobreviventes + a ação nula, todas com
     ΔP · valor em risco · custo · capacidade humana disponível agora
     ▸ P4: qual das quatro portas? (§3.4)   ▸ P5: vale mais que não fazer nada?

[4] ROTEAMENTO — quem faz
     ▸ P6: qual pessoa? titular da carteira > continuidade histórica >
           especialização (pagamentos/KYC/proteção) > carga atual
     ▸ P7: qual contexto vai junto? dossiê, alçada aplicável, vedações do caso

[5] EXECUÇÃO
     canal-âncora: inbox proprietário no produto (web/app)
     despertadores: e-mail · SMS/RCS · push · telefone onde couber
     ▸ P8: SLA por porta, com relógio visível (tabela em §1.8)
     ▸ P9: a peça é comercial? então "18+", frase de advertência em ≥10%,
           identificação como publicidade e número da portaria vão junto.
           Peça de proteção nunca durante sessão em perseguição de perda.

[6] DESFECHO REGISTRADO — obrigatório, inclusive "nenhuma ação adicional"
     o que foi feito · por quem · com que justificativa · quando reavaliar

[7] APRENDIZADO
     holdout aleatorizado permanente por tipo de momento → ΔP_humano em R$
     memória atualizada (tipada, base legal por campo, TTL)
     recalibração de detecção, arbitragem e roteamento → volta a [2]

O canal-âncora é o inbox proprietário dentro do produto da bet, e a escolha tem dois motivos que se somam — vale dizer os dois, porque apresentar só o primeiro soa a racionalização. O motivo de arquitetura: custo marginal zero por mensagem, log completo sob controle da operação, identidade já resolvida por KYC, autoexcluído bloqueado na porta e nenhum intermediário capaz de desligar a operação. É a escolha dos dois maiores operadores de relacionamento digital do país — o iFood atende só pelo chat do próprio app; o Nubank Ultravioleta usa chat no app, e-mail e telefone. O motivo de restrição: o Brasil não está entre os cinco países onde a Meta permite mensageria sobre jogo a dinheiro, a proibição alcança mensagem "about" a vertical (não só promoção), a licença da SPA é expressamente irrelevante para a Meta, não há caminho documentado para pedir liberação de país fora da lista, e a punição alcança "you and your organization" — o ativo em risco é o Business Portfolio que sustenta o tráfego pago do grupo, não um número. WhatsApp fica reservado a Colômbia, México e Peru, onde a política permite, e à contingência; mesmo lá valem as regras da Seção 3 da política: nada de pedir CPF, cartão ou documento no chat, e nada de usar dado obtido da Meta para scoring ou targeting.

§3.2 Três regimes: detecção, arbitragem, execução

O erro clássico do CRM de iGaming é fundir os três numa régua de segmento: "jogador que depositou X e ficou Y dias inativo entra na campanha Z e vai para o gerente W". Parece um fluxo e é uma regra única, com detecção, decisão econômica e alocação de pessoa colapsadas. As consequências são específicas: não dá para melhorar a detecção sem mexer na operação; não dá para medir o efeito do humano, porque ele nunca foi escolhido contra alternativa; e não dá para provar ao regulador que a atenção não foi alocada por valor perdido — porque, na prática, foi.

Separar os três regimes, cada um com entrada, saída, log e dono distintos, é o que torna o sistema auditável — e o que permite trocar o modelo de detecção sem tocar na política de arbitragem, e mudar a política sem retreinar nada.

§3.3 Não fazer nada como ação de primeira classe

A ação nula precisa estar na tabela de ações, com escore, e não ser o que sobra quando nada dispara. Benefício calculável:

• Poupa capacidade. Cada contato humano não feito devolve tempo para um momento de maior valor. Com carteira de 8 a 15 contas em high-touch, o custo de oportunidade é o maior termo da equação.
• Poupa atenção do apostador. Frequência tem retorno decrescente e depois negativo; interações de serviço são ~4x mais propensas a gerar deslealdade que lealdade (CEB/Gartner). Contato desnecessário não é neutro.
• Reduz superfície regulatória. Toda mensagem comercial é peça sujeita a advertência de 10%, a gate de opt-in e a vedação de CTA. A que não é enviada não pode ser autuada.
• Preserva sinal. Não intervir mantém o comportamento observável limpo, o que sustenta o holdout.

E custo calculável: a probabilidade do desfecho ruim que o toque teria evitado, multiplicada pelo valor em risco. Duas travas impedem a ação nula de virar omissão:

• Não fazer nada nunca é permitido diante de alerta de proteção. Ali "nenhuma ação adicional" é um desfecho registrado, com justificativa escrita e data de reavaliação em horas. A diferença entre isso e omissão custou £900 mil à Betfred por uma janela de sete dias (UKGC, 30/06/2026).
• Não fazer nada nunca é permitido diante de pedido explícito. Solicitação de limite, pausa ou autoexclusão é execução imediata, sem atrito, sem retenção (Portaria 1.231/2024, art. 4º, §1º).

Uma terceira trava vale para o braço de controle, e ela é a mesma em espírito: nunca se sorteia holdout em caso de proteção nem diante de pedido explícito. O braço de controle existe para medir escolha comercial e de serviço, não para testar se deixar de proteger alguém sai mais barato. Randomizar proteção não é rigor metodológico; é a omissão da Betfred com desenho experimental por cima.

§3.4 As quatro portas

Sobre a porta 4, uma distinção que evita contradição com o §1.6: ela recebe o mesmo dossiê factual das outras, porque negar contexto a quem atende o caso mais grave seria absurdo. O que não entra é redação sugerida ou resposta gerada. A diferença é entre a IA preparar o terreno e a IA colocar palavras na boca de quem responde num momento em que a palavra é o produto.

Os custos relativos são premissa declarada de modelagem, não medição de mercado: servem para ordenar portas. A âncora aritmética, também ilustrativa, é esta — resolução de IA na faixa de US$ 1 a US$ 2 por desfecho (padrão de fato do mercado: Intercom Fin US$ 0,99; Zendesk US$ 1,20–1,50; Agentforce US$ 2,00) contra uma hora de concierge derivada da premissa de R$ 6.500/mês CLT mais encargos, dividida por um tempo de conversa que ainda não foi medido. Os dois lados da razão têm incerteza: o numerador vem de rate card e o denominador é premissa não pesquisada. O número absoluto só existe depois que a operação medir a própria hora e o próprio tempo de atendimento por tipo de momento — e essa medição é entregável do piloto, não pressuposto dele.

Duas regras governam a passagem entre portas. Escalada é livre para cima, controlada para baixo: qualquer porta sobe por sinal duro, nenhuma desce automaticamente — rebaixar caso humano para IA exige desfecho registrado. E portas 3 e 4 nunca são alcançadas por score quando o motivo é proteção: só sinal duro, pedido explícito ou evento de conta as abrem. É a tradução operacional do limite estatístico da detecção.

§3.5 Por que os gates rodam antes da arbitragem

Se elegibilidade entrar como penalidade no escore, ela vira negociável: um valor em risco alto o bastante compra a violação. É o defeito que a arquitetura da Pega evita ao deixar as Engagement Policies fora da multiplicação P × C × V × L — só o que sobra do filtro é priorizado. No iGaming brasileiro a razão é mais dura que elegância de desenho: a ação inelegível não é subótima, é infração, com multa de 0,1% a 20% da arrecadação e teto de R$ 2 bilhões.

G1, proteção, roda primeiro e é o mais restritivo: a pessoa está autoexcluída, específica ou centralizadamente? Há degrau de risco operacional vigente? Há limite ou pausa ativa? Sobre a autoexclusão centralizada, um esclarecimento que costuma ser confundido: a norma dá 72 horas para o operador bloquear a partir da inscrição na plataforma da SPA; a checagem a cada 24 horas adotada aqui é decisão de desenho mais estrita que a norma, alinhada à cadência do GAMSTOP britânico, e existe porque a janela entre a inscrição e o bloqueio é exatamente onde nasce a mensagem indefensável.

Havendo degrau de atenção ou de ação, corta-se toda comunicação comercial e o caso muda de fila e de dono — porque quem serve não protege, e porque oferecer bônus, cashback ou torneio a apostador em degrau é o desenho que a UKGC pune. Daí uma consequência de arquitetura: a tabela de risco fica logicamente isolada da tabela de campanha, com acesso auditável e sem leitura pelo time comercial. Usar classificação de risco de dependência para calibrar abordagem comercial é desvio de finalidade sobre dado de saúde — a acusação mais fácil de formular contra um produto assim e a mais difícil de defender. E vale a fronteira clínica: o operador classifica risco operacional (verde / atenção / ação / bloqueio), nunca doença; diagnóstico de ludopatia é ato de profissional de saúde mental habilitado, e a lei trata as apostas de pessoa diagnosticada como nulas de pleno direito (Lei 14.790/2023, art. 26, VI). Rótulo clínico não entra em campo de sistema nenhum.

G2, elegibilidade publicitária e de canal, roda em seguida: opt-in vigente, vedação por programa social (Bolsa Família, BPC, Novo Desenrola, renegociação Fies), bloqueio estadual de telemarketing, autorização vigente do operador — verificação prévia na lista oficial é dever expresso —, canal permitido para a praça, teto de frequência. O que não passa não entra na lista de candidatas: não como opção cara, mas como opção inexistente.

Gates depois da arbitragem produzem um sistema que calcula o valor de coisas que não pode fazer e que, num dia de pressão comercial, faz. Gates antes produzem um sistema em que "por que essa mensagem foi enviada?" tem resposta em log.

§3.6 O pipeline de referência

def decidir(evento, agora):
    ctx = resolver_identidade(evento)                 # CPF canônico, contas, dispositivos, afiliado
    ctx.memoria = memoria.carregar(ctx.cpf)           # tipada, base legal por campo, TTL aplicado
    sinais = detectar(ctx, evento)                    # .duros (auditáveis) e .moles (probabilísticos)

    # GATES — bloqueantes, antes de qualquer cálculo de valor.
    if not gate_protecao(ctx, sinais):                # autoexclusão, degrau, limite/pausa ativos
        return trilha_protecao(ctx, sinais)           # dono e fila separados de quem serve
    if evento.tipo in PEDIDO_EXPLICITO:               # limite, pausa, autoexclusão
        return executar_sem_atrito(evento)            # art. 4º, §1º — não arbitra, não randomiza

    acoes = [a for a in catalogo(ctx, sinais) if gate_elegibilidade(a, ctx, agora)]
    acoes.append(NAO_FAZER_NADA)                      # candidata de primeira classe, com escore próprio

    for a in acoes:                                   # ΔP contra a MELHOR alternativa automatizada
        a.valor = a.delta_p(ctx) * ctx.valor_em_risco - a.custo_hora * a.tempo_estimado(ctx)

    escolhida = max(acoes, key=lambda a: a.valor)
    if escolhida.porta == HUMANO and not sinais.duros and escolhida.motivo == PROTECAO:
        escolhida = FRICCAO_AUTOMATICA                # score nunca escala para gente em risco de dano
    if escolhida.porta == HUMANO and not capacidade.disponivel(escolhida, agora):
        escolhida = fila_ou_degradar(escolhida)       # L2D com restrição de capacidade (DeCCaF)

    if holdout.elegivel(escolhida) and holdout.sorteado(ctx, escolhida.tipo_momento):
        return registrar(ctx, HOLDOUT, escolhida)     # nunca sorteia proteção nem pedido explícito

    return executar(escolhida, dossie(ctx, escolhida), sla(escolhida.porta))

Três linhas carregam o produto. A que soma NAO_FAZER_NADA ao conjunto de candidatas transforma omissão em decisão medida. A que calcula delta_p × valor_em_risco − custo_hora × tempo coloca o preço da hora humana dentro da arbitragem — o número que o mercado inteiro não calcula. E a do holdout é a que torna tudo isso verificável: sem braço de controle permanente, o sistema produz relatório de atividade; com ele, produz incremento em reais. É também a razão pela qual nenhum fornecedor de CX copia o desenho sem mudar o próprio modelo de cobrança — o incentivo deles é medir a conversa que o humano não tocou, e o desta camada é medir o quanto valeu tocá-la.

Falta a pergunta de engenharia que o pipeline sozinho não responde: de onde vem delta_p no primeiro dia? De lugar nenhum, e o desenho assume isso. O ciclo 0, de 8 a 12 semanas, roda sem modelo: dentro dos gates, a fila elegível é priorizada por regra simples (valor em risco × recência do evento) e aleatorizada em duas metades — toque humano e melhor alternativa automatizada. O que sai daí não é um modelo treinado; é a primeira tabela de ΔP por tipo de momento, com intervalo de confiança. Só no ciclo 1 entra um bandit contextual com restrição de capacidade, e ainda assim com piso permanente de exploração — porque no dia em que o holdout sair, o preço volta a ser opinião.

§3.7 As três perguntas que derrubam este capítulo se ficarem sem resposta

**1. "V_em_risco não é 'quem perde mais ganha gerente' escrito em matemática?" É a objeção mais perigosa do documento inteiro, porque em iGaming a margem esperada do operador e a perda esperada do apostador são o mesmo número visto de lados opostos. Enunciar que se usa margem prospectiva, e não perda acumulada, é necessário e não é suficiente. Quatro mecanismos fazem o trabalho que a definição não faz. Primeiro: o gate de proteção roda antes e é bloqueante — quem está em degrau sai da fila comercial independentemente de quanto vale, e nenhum escore econômico reabre essa porta. Segundo: o valor econômico é teto de orçamento de atenção, não gatilho de contato: ele define quanto tempo a operação pode gastar com aquela conta no trimestre, enquanto o motivo de cada contato tem que ser sempre um evento da conta — sem evento, não há mensagem, por mais valiosa que a conta seja. Terceiro: a régua de elegibilidade é multi-fator e o peso do componente econômico é limitado por política, revisada periodicamente. Quarto, e o único que é prova e não promessa:** um relatório trimestral de correlação mede o coeficiente entre horas humanas alocadas e (a) perda líquida realizada do apostador versus (b) densidade de eventos operacionais. Se (a) superar (b), o roteamento trava automaticamente até revisão do comitê. É um teste que pode reprovar o próprio produto — e é por isso que ele vale como defesa.

2. "Holdout em carteira de topo tem poder estatístico? Você vai medir incremento com 300 pessoas?" O holdout é sorteado por momento, não por pessoa: uma carteira de mil contas de topo gera milhares de momentos elegíveis por trimestre, e a mesma pessoa contribui com muitos. O cálculo de poder é feito antes do piloto, com premissas visíveis: para detectar +8 pontos percentuais sobre uma taxa-base de 40%, com α = 0,05 bicaudal e poder de 80%, são necessários cerca de 600 momentos por braço — algo como 1.200 momentos por tipo de momento. A consequência é uma regra dura de honestidade: tipo de momento que não gera esse volume no trimestre não recebe holdout próprio; entra num braço agregado ou em desenho sequencial (switchback), e o painel declara, naquela linha, que ainda não há medida própria. Um produto que apresenta ΔP com n = 40 e barra de erro escondida perde a discussão na primeira pergunta de um CFO — e merece perder.

3. "Quem responde pessoalmente quando der errado?" Um titular nomeado dentro do operador, escrito no contrato ao lado da matriz de alçada, do plano de treinamento com evidência (art. 6º, I) e dos critérios de compensação à disposição da SPA (art. 22, II). A UKGC advertiu formalmente a licença pessoal de um gerente-geral, não só a empresa; a Portaria 1.231/2024 diz três vezes, de três maneiras, que terceirizar não transfere responsabilidade. Um modelo de concierge que não consegue apontar o nome dessa pessoa não é um modelo terceirizado: é um passivo distribuído.

Notas de fonte desta parte. Os números do Gartner citados nos §1.5 e §2.6 vieram de imprensa e releases, com a primária inacessível, e há conflito entre citações secundárias sobre custo por contato. A prevalência de 3% usada no cálculo de VPP é premissa ilustrativa: não existe estatística oficial brasileira pós-regulamentação. As faixas de 3%/40% e 1%/20% do varejo de luxo são de imprensa setorial, não auditadas. A alçada de US$ 2.000 do Ritz-Carlton é princípio de desenho com vigência literal questionada. A aplicabilidade formal do Decreto 11.034/2022 (SAC) às bets não está resolvida por nenhum ato da SPA. Custo de R$ 6.500/mês por concierge e tempo médio de conversa são premissas declaradas, não pesquisadas. E o ponto mais desconfortável: não existe benchmark público de concierge humano com unit economics abertos em nenhum setor, nem métrica pública de interação humana com resultado de proteção — não há caso comparável de onde copiar números, o que é simultaneamente a oportunidade e o principal risco de execução deste desenho.

§PARTE II — BENCHMARKS

§A leitura de fundo

Quase todo o material publicado sobre "atendimento humano de excelência" descreve o efeito e não o mecanismo. Ritz-Carlton "encanta", Amex "cuida", Zappos "ama o cliente" — nada disso se compra, se instala ou se audita.

Descartados os adjetivos, o que sobra é o que esses modelos efetivamente fazem: como alocam gente, como remuneram, o que medem, o que registram. Cinco regularidades se repetem em setores sem nada em comum entre si — cartão de crédito, hotelaria, moda de luxo, private banking, software B2B — e, juntas, desenham quase inteiramente a arquitetura operacional deste produto.

Primeira: atenção humana é alocada por concentração de receita já demonstrada, nunca por tamanho de base. No iGaming britânico, com 139.152 contas analisadas, o top 1% responde por 37,4% da receita, o top 5% por 66,9% e o top 10% por 79,0% (Forrest & McHale, J. Gambling Studies, 24/06/2024 — F31). No varejo de luxo online a assimetria é praticamente idêntica: os EIP da Net-a-Porter são ~3% da base e ~40% das vendas; os Private Clients da Farfetch, ~1% e ~20% da receita (imprensa setorial, não auditado — F32). É a mesma distribuição de cauda pesada. Consequência dura: concierge humano só se paga onde essa assimetria existe, e ela precisa ser medida na base do cliente antes de montar o time.

Segunda: o que se vende no topo é continuidade de pessoa com memória, não volume de serviço. A diferença explícita entre o Amex Centurion (US$ 10.000 de adesão, US$ 5.000/ano) e o Platinum (US$ 895/ano) não é mais concierge — é falar sempre com o mesmo concierge, que já conhece as preferências. O Ritz-Carlton sustenta o mesmo efeito por engenharia de processo: o banco Mystique é alimentado por preference pads que qualquer funcionário usa para registrar uma observação em segundos, e a informação reaparece para quem pode agir. O ativo é a memória capturada no ponto de observação. Comprar o banco sem instalar o hábito de captura produz um CRM de campos vazios.

Terceira: o gargalo do relacionamento de alto valor não é falar com o cliente — é o overhead. Gerentes de private banking passam de 25% a 30% do tempo em diálogo direto e até 60% em trabalho administrativo (Backbase, fornecedor — F42). A régua de capacidade do Customer Success confirma pelo outro lado: 8 a 15 contas por gestor em high-touch, até 75 em tech-touch, ~1000:1 em digital (F41). Qualquer promessa de concierge dedicado acima de ~150 clientes por humano é ficção. O único caminho conhecido para esticar a régua é atacar o overhead — ou seja, o produto vendável não é o concierge, é o sistema que devolve o tempo do concierge.

Quarta: a promessa que se pode cobrar é um SLA medido, não um adjetivo. O único benchmark público de serviço humano em messaging com número aberto é o Four Seasons Chat: 9 plataformas, 100% humano, resposta média ≤90 segundos, 3,5 milhões de mensagens em 106 hotéis (dez/2018 — F44). Noventa segundos é o que impede o assíncrono de virar abandono. Do lado oposto, a Zappos rejeita o tempo médio de atendimento como meta e trata o call center como linha de marketing, com recorde público de ligação de 10h43min. As duas escolhas são defensáveis; nenhuma das duas promete serviço sem número.

Quinta: o humano gera valor quando é proativo e consultivo, e destrói valor quando é reativo e transacional. A pesquisa CEB/Gartner por trás de The Effortless Experience mostra que reduzir esforço prevê lealdade melhor do que superar expectativas, e que interações de serviço são ~4x mais propensas a gerar deslealdade do que lealdade (F45). O service recovery paradox tem efeito significativo sobre satisfação, mas não significativo sobre recompra, boca a boca e imagem (meta-análise Matos, Henrique & Rossi, 2007 — F45). Um concierge que passa o dia destravando saque e explicando rollover é um call center de telecom com nome bonito — e o Brasil registrou mais de 118 mil reclamações de telecom só em janeiro de 2026, num setor que otimiza para custo por contato e contenção.

Em vertical regulada entra uma sexta regularidade, que não é preferência de desenho e sim condição de existência: o registro é parte do serviço. A Resolução CVM 178 exige guarda de comunicações com clientes por no mínimo cinco anos e rastreabilidade das recomendações no análogo brasileiro mais próximo. A UKGC exige "a record of decisions made and all customer contacts irrespective of channel" (SRCP 5.1.1(2)). Um concierge de iGaming nasce com log íntegro e retenção longa por padrão, ou não nasce.

§1. iGaming e cassinos

§1.1 O casino host: o cargo cuja função é resolver atrito de vida

O casino host de Las Vegas é o antepassado direto de tudo que se discute aqui, e é sistematicamente mal-lido. As descrições de vaga mostram um escopo que quase não menciona aposta: relacionamento com jogadores de limite alto, reserva de spa, restaurante, room service, transporte, cabana e quarto, crédito de cassino, acompanhamento do check-out — presencialmente e por telefone, e-mail e mensagem. O host não é um vendedor de aposta. É um resolvedor de atrito. A aposta é a consequência, não a mensagem.

O custo do cargo desmonta a mitologia: executive casino host em Las Vegas ganha entre US$ 36,5 mil e US$ 63,4 mil por ano, média ~US$ 51,4 mil; Director of Player Development entre US$ 90 mil e US$ 120 mil (ZipRecruiter/PayScale/Ladders). É salário de assistente sênior. Relacionamento humano em cassino de primeira linha é função de margem, não de status — e isso define o teto de preço de qualquer serviço que se proponha a terceirizá-la.

A moeda interna é o theoretical win e sua derivada, o ADT (Average Daily Theoretical): aposta média × horas jogadas × rodadas por hora × house edge. A indústria devolve entre 25% e 40% do theo em comps, ~30% como padrão, em janelas de 30/60/90 dias. Há crítica consolidada dentro do próprio setor: por olhar valor teórico e não comportamento, o ADT super e subvaloriza jogadores e produz volatilidade de oferta.

O que interessa não é o ADT em si, é a existência dele — um número calculável e auditável que define quanto de atenção humana cada cliente merece e qual o orçamento por cliente. Um sistema de relacionamento humano sem esse equivalente é um call center caro sem controle de margem. Com uma correção obrigatória: o análogo brasileiro não pode ser valor perdido. Alocar gente por perda é o desenho que a UKGC pune e que Macau destruiu.

§1.2 O VIP manager online: como a elegibilidade virou processo regulatório

O padrão internacional é um time de CRM/VIP dentro do operador, dividido por tier e por mercado, com gerente dedicado nos tiers superiores. Provedores de managed services (Delasport, Campeón Gaming, WA.Technology, EveryMatrix) vendem esse time como módulo terceirizável, com promessa de 40% a 60% de economia sobre a estrutura interna.

O que mudou no Reino Unido depois de 2020 é a porta de entrada: elegibilidade deixou de ser decisão comercial e virou processo regulatório documentado. Antes de designar um high value customer, o operador precisa evidenciar (UKGC, guidance de HVC, SRCP 5.1.1(2)) affordability — que o gasto é sustentável como gasto de lazer —, safer gambling — avaliação de dano e vulnerabilidade — e enhanced due diligence — evidência atualizada de identidade, ocupação e origem de recursos. Com reavaliação periódica e um responsável nomeado que, salvo operador de pequeno porte, deve ser titular de Personal Management Licence.

Três frases dessa guidance deveriam abrir qualquer manual operacional do produto:

• registro de "notable events with HVCs at all stages of the customer relationship" e "a record of decisions made and all customer contacts irrespective of channel";
• incentivos "must not encourage risk behaviours such as chasing losses, excessive time or money spent gambling, or accelerating frequency", com atenção ao timing, que não pode coincidir com jogo excessivo ou perda significativa;
• "No customer contact should be conducted outside the licensee's policies, procedures or systems."

A última é, sozinha, a maior ameaça e a maior oportunidade do desenho inteiro. Um concierge que opera fora do sistema do operador é uma infração ambulante. Um concierge que é o sistema registrado do operador é um produto de compliance.

Registre-se também o que ainda não aconteceu: o piloto de Financial Risk Assessments da UKGC rodou o estágio 1 com 95% a 97% de checagens sem fricção e testou limiares de £500 e £150 em ambiente vivo, mas em 21/05/2026 o board declarou que ainda não concluiu a avaliação das evidências. Não há rollout nacional anunciado — não se deve desenhar produto assumindo affordability automatizada como fato consumado.

§1.3 O cemitério

Entre 2020 e 2026 a Gambling Commission britânica cobrou mais de £70 milhões em sanções cujo centro é sempre o mesmo objeto: como a empresa se relacionou com o cliente de alto valor, e o que ela conseguiu provar depois. Não é risco teórico; é o histórico completo do setor.

Entre maio e dezembro de 2025 a Commission agiu contra 13 operadores, incluindo suspensão de licença. Somam-se Spreadex (£2.022.000), ProgressPlay (£1 mi), Done Brothers (£825 mil) e Videoslots (£650 mil).

Destilando os casos, aparecem quatro famílias de erro, e nenhuma delas é tecnológica.

Família 1 — designar VIP por valor de gasto, sem saber de onde vem o dinheiro. Betway e Caesars. A régua de elegibilidade era comercial: o cliente entrava no programa porque gastava, e o gasto era exatamente o sintoma que deveria ter travado a entrada. A correção é um gate multi-fator com trava de risco antes da porta, e um responsável nomeado por essa decisão.

Família 2 — dar tratamento premium, atenção humana e incentivo a quem já mostrava sinal de dano. Presente em todos os casos, e perversa porque é invisível de dentro: o sistema de retenção estava funcionando como projetado, e o projeto é que estava errado. A correção é a restrição dura nº 34 deste projeto — nada de bônus, cashback, freebet ou torneio a apostador em degrau de atenção ou de ação. Se a régua de recompensa não conversa com a régua de risco, a operação está reproduzindo Betway.

Família 3 — não interagir quando o comportamento gritava. Um chat em 18 meses para um cliente de £230 mil (Entain); £23 mil em 20 minutos sem ninguém falar com o cliente (William Hill). A ausência de contato é auditável e é a infração. Isso inverte a intuição do mercado brasileiro, que trata contato proativo como custo e risco: no regime maduro, o silêncio é o passivo.

Família 4 — detectar, registrar o alerta e não fechar o ciclo. Betfred, £900 mil por uma janela de 7 dias entre o sinal e a revisão. É o mecanismo mais importante para o desenho do produto: alerta sem desfecho registrado é a prova fabricada da própria omissão (F61). Detectar e não agir é pior do que não detectar — não como retórica, como dispositivo de multa. Toda a arquitetura de degraus, SLA e trilha de decisão deste estudo existe por causa desta família.

Transversal às quatro, o que efetivamente se paga: não conseguir provar depois que agiu. A ausência de trilha é, na prática, a infração.

E a lição de governança que muda o modelo de contrato: a UKGC responsabiliza a pessoa, não só a empresa. Três executivos saíram no caso Caesars; o gerente-geral levou advertência na licença pessoal no caso 32Red/Platinum. Um modelo terceirizado precisa responder por escrito quem é o titular pessoal do risco — e a resposta não pode ser "o fornecedor". No Brasil, o art. 6º, I da Portaria 1.231/2024 obriga o operador a capacitar colaboradores "inclusive terceirizados" que interajam diretamente com apostadores: a norma pressupõe o terceirizado em contato direto, o que legitima o modelo e obriga a entregar trilha de treinamento com evidência.

§1.4 Macau: o caso-limite do intermediário humano remunerado pela perda

Macau operou por duas décadas a versão extrema do relacionamento humano em jogo. Os junkets eram promotores que traziam high rollers da China continental, ofereciam crédito, faziam a cobrança e dividiam receita com as concessionárias. Em 2014 havia 235 promotores licenciados, responsáveis por cerca de 60% do GGR da cidade (F37).

O colapso foi total. Alvin Chau, CEO do Suncity Group, foi preso no fim de 2021 e condenado em 2023 a 18 anos de prisão por mais de cem acusações de jogo ilegal e fraude, num processo que girou em torno de apostas "por baixo da mesa" de HK$ 824 bilhões em oito anos. A lei do jogo de 2022 proibiu salas VIP de junket dentro dos cassinos, baniu contratos de revenue share entre junket e concessionária, limitou as licenças a 50 e obrigou exclusividade. Suncity, Tak Chun e Hengsheng foram dissolvidos. No início de 2024 restavam 18 promotores.

De 235 para 18 em uma década. Não é caso de má execução; é estrutura de incentivo que nenhuma execução salva. Qualquer remuneração do concierge que se pareça com participação na perda de um apostador específico é radioativa — e no Brasil há um agravante que Macau não tinha: o art. 4º, XV da Portaria 1.231/2024 veda parceria ou contrato para viabilizar ou facilitar acesso a crédito ou fomento mercantil ao apostador, matando a segunda perna do modelo junket antes da primeira.

§1.5 Austrália: para onde a regulação global está indo

A Interactive Gambling Amendment (Gambling Reform) Bill 2026, aprovada em 19/08/2026 com vigência da maior parte em 01/01/2027, proíbe marketing direto de inducements nos primeiros 14 dias do cadastro, por 3 meses após saída do BetStop e indefinidamente para clientes identificados como em risco de dano (F38). Penalidades por promover jogo ilegal chegam a AU$ 2,5 milhões, e a ACMA já alertou influenciadores sobre exposição pessoal.

Três leituras de desenho. O "onboarding concierge" — o contato caloroso nos primeiros dias, roteiro mais natural de qualquer operação de retenção — morre por lei numa jurisdição madura. O contato proativo com o segmento em risco, justamente onde a atenção humana rende mais em receita, morre indefinidamente. E a que vale dinheiro: listas de silêncio precisam ser nativas do produto, não filtro adicionado depois. Quem constrói o motor já com gates bloqueantes por CPF — autoexclusão específica, autoexclusão centralizada, limite ativo, vedação por programa social, "Não Me Ligue" de SP — atravessa mudança regulatória com configuração. Quem constrói sem, reescreve o produto.

O quadro europeu confirma. A KSA holandesa multou a 711 B.V. em €886.000 e a Tulipa/ComeOn em €750.000 por falha de dever de cuidado, analisando fichas individuais de clientes — exatamente o artefato que um concierge produz — e emitiu orientação sobre entrevistas pessoais com jogadores em sinais de excesso: o regulador holandês quer conversa humana, como intervenção. Na Suécia, bônus só pode ser oferecido na primeira oportunidade de jogo, e quatro marcas do grupo ComeOn foram multadas em SEK 25, 35, 50 e 65 milhões por oferta repetida — o "mimo recorrente" do host é ilegal ali.

O padrão global é um só, e não vai voltar: contato humano proativo é aceitável quando protege; é infração quando estimula (F39).

§2. Fora do iGaming

O melhor material sobre relacionamento humano não está no jogo. Está em setores onde o modelo teve tempo de amadurecer, quebrar e ser corrigido.

O caso Stitch Fix merece a última palavra deste bloco porque é o único que está encolhendo — e portanto o único que mostra o que acontece quando a promessa não se sustenta. O humano sobreviveu como margem por cliente, não como motor de crescimento (F43). Qualquer material que venda concierge como alavanca de aquisição está contradizendo o caso mais bem documentado da categoria.

E um número que exige ressalva permanente: a Nordstrom afirma, por declaração de CEO, que clientes que usam stylist gastam cerca de 7 vezes mais. Sem metodologia divulgada e sem grupo de controle — é quase certamente seleção, porque quem já gasta muito é quem procura stylist. Usar esse número sem a ressalva é entregar a due diligence do comprador de bandeja. É exatamente por isso que a medição causal por holdout aleatorizado é uma das cinco reivindicações de originalidade deste projeto: o mercado inteiro opera com correlações desse tipo.

§3. Brasil: os dois maiores olharam para o WhatsApp e escolheram canal próprio

Esta é a evidência que sustenta a decisão de canal, e ela não é interpretação — é o comportamento observável das duas operações de consumo mais sofisticadas do país.

iFood. O suporte ao consumidor funciona exclusivamente pelo chat do próprio app: sem telefone, sem WhatsApp, sem e-mail (F40). Em julho de 2026 a empresa anunciou nova fase do Ailo, seu agente de IA generativa, permitindo jornada de compra completa dentro do WhatsApp. Ou seja: o maior app de consumo do país colocou IA no WhatsApp para transacionar e manteve humano dentro do app para resolver. A separação é deliberada e inverte a intuição do mercado.

Nubank Ultravioleta. O programa premium de maior escala do Brasil entrega equipe exclusiva 24 horas, chat no app, e-mail e telefone, com discurso explícito de atendimento humano sem resposta automática e uma trilha separada de emergência para fraude, invasão e coação. WhatsApp não é mencionado em nenhum ponto da comunicação oficial. A qualificação é por comportamento econômico verificável — gasto no cartão ou saldo investido —, não por autodeclaração.

Duas observações de desenho. A trilha separada: o Nubank não trata fraude e coação pelo mesmo fluxo do relacionamento comercial. O equivalente em iGaming é a trilha de jogo problemático, e a lição é a separação estrutural entre quem serve e quem protege — mesma arquitetura, num setor que já resolveu o problema.

E o canal. Quando as duas operações brasileiras com mais escala, mais engenharia e mais pressão de custo por atendimento olham para o WhatsApp e escolhem o canal proprietário para o contato humano, isso não é conservadorismo: é a conclusão de quem fez a conta de identidade, log, segurança e dependência de terceiro.

Para a ZION a conclusão chega mais forte ainda, porque somam-se três fatos que nem iFood nem Nubank enfrentam. O Brasil não está na lista de países onde a Meta permite mensageria sobre jogo a dinheiro — a Seção 5 da WhatsApp Business Messaging Policy lista Austrália, Japão, Colômbia, México e Peru (F19). A proibição alcança atendimento, porque o verbo da política é "messages about", não "promoting" (F20). E a licença da SPA/MF é expressamente irrelevante para a Meta (F21), com a punição alcançando "you and your organization" — o ativo em risco é o Business Portfolio inteiro do grupo, não um número (F24).

O inbox proprietário dentro do produto da bet não é plano B. É a arquitetura superior por quatro razões independentes: custo marginal zero por mensagem, contra US$ 0,0625 por template de marketing entregue no WhatsApp brasileiro; log completo e retenção sob controle da operação, contra o máximo de 30 dias da Meta (F28); identidade já resolvida por KYC, com autoexcluído e menor bloqueados na porta; e nenhum intermediário com poder de desligar a operação por mudança de política. O WhatsApp permanece no desenho para Colômbia, México e Peru — mercados de iGaming ativos e de língua próxima — e como contingência caso a política mude.

Fica o contraexemplo negativo, que delimita o piso: o contato humano que hoje existe nas bets brasileiras aparece no Reclame Aqui pelo lado errado — atendentes pedindo avaliação positiva por uma semana, SMS prometendo bônus que não se materializa, atendimento acusando o cliente de mentir. Foram 376 reclamações contra casas de apostas entre 01/01 e 28/05/2025, mais de 21% por oferta promocional não cumprida (F34). O contato humano existe e extrai em vez de servir. É lacuna de método e governança, não de tecnologia — e é a mais fácil de demonstrar numa primeira conversa comercial.

§4. O concorrente direto: Enteractive

Modelo. A Enteractive, de Malta, opera agentes humanos nativos que ligam 1:1 para jogadores inativos das bases dos operadores, apoiados por uma plataforma própria, a (Re)Activation Cloud, que integra as bases e organiza as filas. O modelo comercial é performance/revenue share: a empresa investe no contato com jogadores inativos e divide o ganho quando entrega resultado.

Canal. Telefone, de números locais, com agentes que entendem o mercado culturalmente. Não é messaging.

Presença no Brasil. Desde março de 2020, via parceria com a KTO, recrutando agentes de português brasileiro em Gzira, Malta (F30). Clientes citados publicamente: Stake.com, BetMGM, LiveScore Group, PlayStar, BVGroup, Rootz, Bethard.

Números — todos autodeclarados, nenhum auditado. Press releases da própria empresa informam, em momentos diferentes: mais de 12 milhões de jogadores engajados no último ano; mais de 350% de ROI; mais de €60 milhões em receita adicional; mais de 20.000 conversões e 25.000 reativações por mês, gerando cerca de €470 milhões em novos depósitos por ano; até 50% voltam a depositar. Uma versão anterior falava em 8,1 milhões de jogadores contatados e €59 milhões gerados a partir de €263 milhões em depósitos. Nenhuma demonstração auditada, metodologia publicada ou grupo de controle — e a variação entre as versões é, ela própria, um dado sobre a natureza da fonte.

As métricas desse mercado são: jogadores contatados → conversão e redepósito → depósitos gerados → receita incremental → ROI. Não NPS, não CSAT, e — o ponto que importa — nenhuma métrica de dever de cuidado.

Em que a ZION seria diferente. Três eixos verificáveis. Canal: o inbox proprietário tem custo marginal zero, log íntegro e opera dentro do sistema do operador, enquanto a ligação de número local é justamente o "customer contact conducted outside the licensee's systems" que a UKGC proíbe em texto. Medição: o painel da Enteractive é integralmente extrativo; a proposta aqui é medir incremento causal por holdout aleatorizado e reportar, no mesmo painel, interações de proteção, limites adotados por sugestão, autoexclusões facilitadas e tempo entre sinal e ação humana. Posicionamento: um serviço vendido como reativação de receita herda o perfil de risco de quem reativa jogador inativo num mercado onde o art. 12, XII da Portaria 1.231/2024 veda promover o produto como meio de recuperar valores perdidos — e onde a reforma australiana já proíbe contato proativo com cliente em risco, indefinidamente.

E em que seria pior, porque negar seria desonesto. Prova: a Enteractive tem seis anos de operação no Brasil, carteira de marcas globais reconhecíveis e números — ainda que autodeclarados — para colocar na mesa; a ZION entra sem histórico de caso em iGaming e com um painel que o comprador ainda não sabe ler. Simplicidade de compra: reativação por revenue share é decisão de orçamento de marketing que um head de CRM aprova sozinho, com risco financeiro próximo de zero para o operador; uma camada de customer interaction auditável exige integração ao produto, mudança de processo, cláusula de compliance e participação do jurídico — ciclo mais longo, comprador mais alto. Esse é o custo real do posicionamento, e ele só se justifica porque o eixo de reativação é o que perde base legal se o PL 2.470/2026 avançar como está (F16), enquanto atendimento, retenção por serviço e jogo responsável é o que a regulação obriga a existir.

§5. As plataformas de CRM de iGaming: competir ou plugar

A pergunta que importa não é qual delas é melhor, e sim se o Human CRM compete com elas ou se pluga nelas. A resposta tem consequência comercial direta: pluga — deliberadamente, contratualmente e desde a primeira proposta.

Três razões. A primeira é competitiva: como software de CRM, a comparação se dá em features de campanha, gamificação e journey builder, terrenos onde essas plataformas têm anos de vantagem e onde o piso de preço é ainda mais baixo — as ferramentas white-label de WhatsApp CRM (Wazzy, Easy Social, Helena, Kommo) vendem a US$ 99/mês. Entrar nessa comparação é perder em feature e em preço ao mesmo tempo.

A segunda é de instalação: o comprador provavelmente já paga por uma dessas plataformas, e o CDP/Player 360 já está classificado neste projeto como produto de prateleira. Propor substituição transforma uma venda de camada nova em projeto de migração — multiplica o ciclo, aciona o time de dados do operador e cria um inimigo interno onde deveria haver um aliado.

A terceira define o desenho técnico. Se acionar humano é uma ação arbitrável dentro do motor de decisão, e nenhum motor público hoje coloca contatar_humano(...) na mesma equação de propensão, valor e custo (F47), a posição natural do produto é dentro da arbitragem existente, como um canal com preço e capacidade declarados. O motor da bet pergunta; a camada humana responde com propensão, custo da hora e capacidade disponível; a arbitragem decide. Genesys e Afiniti respondem "qual humano"; nenhum motor responde "humano ou não, e vale quanto".

A consequência comercial deve estar na primeira página da proposta: a integração é entregável, não pré-requisito do cliente. O produto chega com conector para as plataformas dominantes, aparece na jornada como canal disponível, é ativado por regra do próprio operador e devolve ao motor existente o resultado de cada momento — desfecho, custo, incremento medido contra holdout. Vendido assim, não disputa orçamento com o CRM instalado: aumenta o retorno demonstrável do CRM instalado, o que muda o interlocutor de "avaliação de fornecedor concorrente" para "extensão do que já foi comprado". A ameaça real de médio prazo não vem da Optimove, vem da Fast Track: se ela transformar os workflows com revisão humana num módulo de intervenção auditável, ocupa o mesmo espaço com vantagem de incumbência. A janela existe e não é indefinida.

§OS 12 PRINCÍPIOS

1. Aloque humano por concentração de receita medida, nunca por tamanho de base. Evidência: top 1% = 37,4% da receita, top 5% = 66,9% em iGaming (Forrest & McHale, 2024 — F31); Net-a-Porter EIP ~3%/40%, Farfetch ~1%/20% (F32). Implicação de desenho: a curva de concentração da base do cliente é o primeiro artefato do projeto, produzida antes de qualquer dimensionamento de time. Sem ela, não há como definir elegibilidade nem orçamento de atenção.

2. Elegibilidade é gate multi-fator com trava de risco, jamais valor gasto ou perdido. Evidência: Betway £11,6 mi e Caesars £13 mi por designar VIP sem verificar origem de recursos; UKGC exige affordability + avaliação de dano + EDD antes da designação (SRCP 5.1.1(2)); Delta 360° usa critério multi-fator revisado anualmente. Implicação: a régua combina atividade, frequência, margem e comportamento de risco, tem revisão periódica e direito a rebaixamento — e o degrau de risco bloqueia a entrada, não a modula.

3. Continuidade de pessoa com memória é o produto de topo. Evidência: o diferencial declarado do Centurion sobre o Platinum é falar sempre com o mesmo concierge que conhece as preferências; o valor do Private Client da Farfetch cresce com a duração da relação. Implicação: roteamento persistente para o mesmo humano e histórico carregado antes da primeira palavra. "Profundidade de perfil" — atributos conhecidos por cliente — vira métrica de produto correlacionada com resultado.

4. Capture memória no ponto de observação, com fricção quase zero — e tipada desde o dia 1. Evidência: os preference pads que alimentam o Mystique do Ritz-Carlton. Implicação: campo de preferência preenchido em segundos dentro da conversa. E, porque o setor é regulado, cada campo nasce com base legal declarada, TTL e trilha de eliminação auditável — memória com governança demonstrável é uma das cinco reivindicações de originalidade do projeto, e é a única barreira que os fornecedores de IA não têm incentivo para construir.

5. Dê alçada pré-aprovada e elimine a fila de aprovação. Evidência: a regra dos US$ 2.000 do Ritz-Carlton, cujo efeito real é remover a aprovação e que quase nunca é usada até o teto (princípio de desenho, vigência literal questionada). Implicação: alçada com teto e log para corrigir erro operacional, priorizar saque, reembolsar. Nunca para conceder vantagem de aposta — o que no Brasil seria vedação direta do art. 29, I da Lei 14.790/2023.

6. Prometa e meça um SLA humano agressivo; sem número não há promessa. Evidência: Four Seasons Chat, 100% humano, ≤90 segundos de média, 9 canais, 3,5 milhões de mensagens (F44). Implicação: SLA por degrau, medido por concierge e reportado ao cliente. E dimensionado para a curva de demanda real da categoria — noite, fim de semana e jogo grande —, não para a média mensal.

7. Dimensione pela régua empírica; capacidade acima de ~150 por humano precisa ser provada, não assumida. Evidência: 8 a 15 contas por gestor em high-touch, até 75 em tech-touch, ~1000:1 em digital (F41). Implicação: modelo econômico sempre em três cenários — high-touch (15), assistido (75) e assistido com copiloto (premissa otimista, rotulada como premissa). Nenhum número de capacidade entra em proposta sem o cenário ao lado.

8. O produto é o sistema que devolve o tempo do humano, não o humano. Evidência: RMs de private banking passam 25–30% do tempo em diálogo direto e até 60% em trabalho administrativo (F42). Implicação: o percentual do tempo do concierge em conversa real é KPI de produto, medido e reportado. É esse número que justifica economicamente o copiloto — que é componente de prateleira e, por isso mesmo, não deve ser vendido como invenção.

9. Reduza esforço antes de tentar encantar; e proativo e consultivo vale, reativo e transacional destrói. Evidência: reduzir esforço prevê lealdade melhor do que superar expectativas, e interações de serviço são ~4x mais propensas a gerar deslealdade do que lealdade (CEB/Gartner — F45); o service recovery paradox não tem efeito significativo sobre recompra, boca a boca e imagem (Matos, Henrique & Rossi, 2007). Implicação: o momento humano é definido por incremento esperado, não por volume de tickets. Concierge remunerado por ticket vira telecom em três meses — e o Brasil tem 11,8 milhões de reclamações de telecom entre jan/2020 e mai/2026 para provar onde isso termina.

10. O silêncio é o passivo, e alerta sem desfecho registrado é a prova da omissão. Evidência: Entain, £17 mi, com uma única interação por chat em 18 meses para um cliente de £230.845; William Hill, £19,2 mi, £23 mil em 20 minutos sem contato; Betfred, £900 mil, por uma janela de 7 dias entre o sinal e a revisão, na qual o cliente perdeu £17.900 em 24 horas (F61). Implicação: toda decisão fecha ciclo, inclusive "nenhuma ação adicional", com justificativa escrita e prazo de reavaliação em horas. A fila de alertas sem desfecho é o artefato mais perigoso que a operação pode produzir.

11. Todo contato acontece dentro do sistema do operador, e o registro é parte do serviço. Evidência: "No customer contact should be conducted outside the licensee's policies, procedures or systems" (UKGC, SRCP 5.1.1(2)); exigência de registro de "all customer contacts irrespective of channel"; Resolução CVM 178 exige guarda de comunicações por no mínimo 5 anos no análogo brasileiro mais próximo; a KSA holandesa audita fichas individuais de clientes. Implicação: o canal-âncora é o inbox proprietário dentro do produto da bet, com thread persistida, retenção longa e trilha exportável — que é também o motivo pelo qual essa escolha é vantagem de arquitetura e não contingência.

12. Nenhuma estrutura de remuneração pode alinhar o intermediário humano à perda do apostador. Evidência: Macau, de 235 promotores em 2014 a 18 em 2024, com Alvin Chau condenado a 18 anos e revenue share proibido por lei em 2022 (F37); a reforma australiana de 19/08/2026 proíbe indefinidamente marketing direto de inducement a cliente em risco (F38); a UKGC responsabiliza pessoas físicas, com advertência na licença pessoal do gerente-geral no caso 32Red/Platinum (F35). Implicação: remuneração atrelada a incremento medido em serviço e a desfecho de proteção, nunca a depósito ou perda de apostador específico; separação estrutural entre quem serve e quem protege, com indicadores distintos; e um titular pessoal do risco nomeado em contrato — porque o regulador maduro já demonstrou que vai procurar por ele.

§PARTE III — A JORNADA

§Como esta parte funciona

A jornada não é um funil. Funil pressupõe que cada etapa empurra para a próxima, e metade dos momentos mais valiosos aqui faz o contrário: confirma um saque, aplica uma pausa, deixa o apostador sair sem atrito. O que segue é um mapa de eventos — cada momento observável no sistema tem porta, prazo, dono, indicador e trava.

Três regras valem para todas as etapas e não se repetem nas fichas.

O canal-âncora é o inbox proprietário dentro do produto da bet, web e app: idade verificada, KYC feito, autoexcluído bloqueado na entrada, custo marginal zero por mensagem, log íntegro sob guarda da operação, nenhuma política de terceiro capaz de desligar o canal. E-mail, SMS/RCS e push são despertadores — trazem a pessoa de volta ao inbox e não resolvem sozinhos. Telefone entra onde só a voz resolve. O WhatsApp não aparece em nenhuma ficha para o Brasil: a Meta veda mensageria sobre jogo a dinheiro fora de Austrália, Japão, Colômbia, México e Peru, a vedação alcança atendimento e não só promoção, e a punição é no portfólio inteiro da organização (WhatsApp Business Messaging Policy, Seções 5 e 7). As mesmas fichas rodam com WhatsApp nas praças permitidas trocando só a linha "canal".

O gate roda antes de qualquer envio, sempre, por CPF e nunca por telefone ou e-mail: (G1) autoexclusão centralizada da SPA, defasagem máxima de 24h; (G2) autoexclusão específica; (G3) limite prudencial ativo — corta comercial, libera proteção e conta; (G4) cadastro validado e maioridade; (G5) degrau de risco ≥ "ação" — corta 100% do conteúdo comercial. Somam-se a vedação por programa social (Bolsa Família, BPC, Novo Desenrola, Fies) e o cruzamento com o "Não Me Ligue" de SP, que inclui expressamente mensagem por aplicativo (Leis SP 13.226/2008 e 17.334/2021). Envio a autoexcluído não é erro de operação: é infração ao art. 11, VII da Portaria 1.231/2024.

Nenhum contato contém isca pré-aposta. Não se oferece, promete ou "lembra" bônus, crédito, giro grátis ou vantagem antes da aposta (Lei 14.790/2023, art. 29, I). Sobrevive prestação de contas de conta — saldo, extrato, condição de saque, status de fidelidade — quando perguntado ou diante de evento de conta, e recompensa pós-fato por atividade já ocorrida, em carteira de pontos separada (art. 43). Efeito prático da Portaria 1.964/2026: peça que mencione recompensa vira marketing e passa a exigir "18+" mais uma das três frases de advertência ocupando 10% da peça — o que sozinho inviabiliza a mensagem curta e casual sobre benefício. Por isso, nas fichas, recompensa é resposta a pergunta, nunca abordagem.

As quatro portas.

As equipes: Motor, Copiloto, Concierge (carteira nominal, serve e relaciona), Núcleo de Proteção (equipe separada, indicador próprio, sem meta comercial, nunca a mesma pessoa que atende comercialmente o mesmo apostador) e Ouvidoria (segunda instância). Separar quem serve de quem protege é decisão de arquitetura — e a blindagem mais barata contra a acusação mais previsível.

Os identificadores abaixo (kyc.rejected, withdrawal.delayed_24h) são a convenção proposta para o contrato de eventos entre a plataforma do operador e a camada de interação. Evento fora do schema não dispara contato; contato que não nasce de evento nomeado não é auditável depois.

§ATO 1 — ENTRADA

§1. Cadastro

• Objetivo: levar o cadastro iniciado a "validado" e capturar as duas preferências que governam o resto da jornada: opt-in e limites prudenciais.
• Gatilho: registration.started · registration.abandoned_15min · registration.completed
• Canal: inbox + e-mail transacional.
• Quem age: A.
• Mensagem-modelo: "Seu cadastro foi criado. Faltam dois passos: enviar o documento e confirmar seus limites de depósito e de tempo. Os dois ficam em Conta › Verificação."
• Contexto na tela: origem (canal, afiliado), campos pendentes, opt-in com carimbo de tempo, limites declarados, resultado do cruzamento com vedação por programa social.
• Permitido: explicar o processo; oferecer as ferramentas de limite; informar canais de atendimento.
• Proibido: menção a bônus de boas-vindas ou vantagem por completar cadastro (art. 29, I). Cadastrar beneficiário de Bolsa Família, BPC, Novo Desenrola ou Fies (Portaria 2.217/2025 + IN 22/2025).
• KPI: % de cadastros validados em 48h; % com limite definido no ato.
• Automatizar: sempre.
• Humano: nunca aqui — cadastro travado vira etapa 2.

§2. KYC

• Objetivo: converter recusa e pendência em conta validada no menor número de tentativas. Primeira chance de a operação parecer competente.
• Gatilho: kyc.pending_24h · kyc.rejected · kyc.rejected_2x · kyc.manual_review_48h
• Canal: inbox; e-mail e push como despertadores.
• Quem age: A na primeira recusa; HA a partir da segunda — duas recusas seguidas provam que a instrução automática não funcionou.
• Mensagem-modelo: "O documento não passou porque a foto cortou a borda inferior. Reenviando com as quatro bordas visíveis, a análise sai em até 2 horas. Se preferir, acompanho por aqui."
• Contexto na tela: motivo codificado (não o genérico), tentativas anteriores, tempo desde o cadastro, se há depósito retido.
• Permitido: explicar o motivo real, orientar, acompanhar até o desfecho, escalar para análise manual.
• Proibido: pedir documento, CPF ou dado financeiro por mensageria de terceiro (Política do WhatsApp, Seção 3 — razão adicional para o upload viver dentro do produto). Vantagem por concluir a verificação.
• KPI: aprovação na segunda tentativa; tempo mediano até validação.
• Automatizar: primeira recusa.
• Humano: segunda recusa, análise manual >48h, ou depósito retido.

§3. Primeiro depósito

• Objetivo: confirmar a entrada do dinheiro com prova e fixar de saída a expectativa de saque. Depósito confirmado sem explicação de retirada é dúvida agendada.
• Gatilho: deposit.first.succeeded · deposit.first.failed · deposit.first.failed_2x_1h
• Canal: inbox + e-mail (comprovante).
• Quem age: A no sucesso; HA em duas falhas na mesma hora.
• Mensagem-modelo: "R$ 50,00 creditados às 20h14, via PIX. Para retirar: Conta › Saque, para a mesma chave de origem; o prazo aparece na tela antes de confirmar."
• Contexto na tela: valor, método, código de retorno do adquirente, se o método é novo, limite de depósito e quanto já foi usado.
• Permitido: confirmar; explicar prazo e caminho de saque; ajudar com falha de pagamento.
• Proibido: sugerir valor maior ou associar o depósito a recompensa (art. 42, §1º, I). Sugerir método alternativo quando a recusa foi por falta de fundos — é a fronteira do fomento a crédito (art. 29, II e III).
• KPI: confirmação lida em 5 min; recuperação de depósito falho.
• Automatizar: a confirmação.
• Humano: duas falhas em uma hora, ou falha de valor atípico.

§4. Primeira utilização

• Objetivo: garantir que a pessoa consiga usar o produto. Etapa de usabilidade, não de estímulo.
• Gatilho: bet.first.placed · bet.first.settled · deposit.first.succeeded + no_bet_72h
• Canal: inbox, peso baixo. Um contato no máximo.
• Quem age: A; copiloto disponível para dúvida de uso.
• Mensagem-modelo: "Sua primeira aposta foi liquidada. O detalhe do cálculo está em Apostas › Histórico. Se algo não bater, me diga qual item e eu verifico."
• Contexto na tela: produtos acessados, tempo de sessão, erro de interface, se abriu a tela de saque e a de limites.
• Permitido: explicar funcionalidade; mostrar histórico, extrato, limites e saque; responder dúvida de regra.
• Proibido: recomendar jogo ou mercado; sugerir que habilidade influencia resultado (art. 12, XIV, "e"); chamada para ação com urgência (art. 12, IV). Saldo parado é informação de conta, não convite a usar.
• KPI: conclusão da primeira sessão sem erro; % que localiza extrato e limites sem abrir chamado.
• Automatizar: sempre.
• Humano: só se a pessoa escrever.

§5. Primeira dúvida

• Objetivo: resolver na primeira resposta, com o menor esforço de quem pergunta. Reduzir esforço prevê lealdade melhor do que superar expectativa, e interações de serviço são ~4x mais propensas a gerar deslealdade do que lealdade (CEB/Gartner): o objetivo é não estragar.
• Gatilho: inbox.thread.opened com thread.is_first = true
• Canal: inbox.
• Quem age: IA em intenção fechada de baixo dano; HA ao primeiro sinal de dinheiro, exceção ou frustração. Distinção obrigatória: deflexão é conversa que humano não tocou, resolução é problema resolvido — independentes situam a deflexão realista em 10–25%, e o Gartner separa 45%+ de desvio contra 14% resolvidos em self-service.
• Mensagem-modelo: "Explico em duas linhas e deixo a regra completa. Se não resolver, passo para uma pessoa aqui mesmo, sem você repetir nada."
• Contexto na tela: pergunta íntegra, o que a IA já respondeu, estado da conta, últimas três transações.
• Permitido: responder; escalar no mesmo thread; registrar como conhecimento reutilizável.
• Proibido: oferta durante o tempo de espera sem consentimento prévio (Decreto 11.034/2022, art. 4º, §5º — aplicabilidade às bets é zona cinzenta e é o dispositivo que o Procon cita primeiro). Fazer repetir a demanda na troca de atendente.
• KPI: resolução na primeira resposta; repetição da mesma pergunta em 7 dias; tempo até resposta humana quando escalado.
• Automatizar: intenção fechada, sem dinheiro em disputa.
• Humano: dinheiro, exceção, segunda pergunta sobre o mesmo tema, ou pedido explícito — que nunca é negado.

§ATO 2 — DINHEIRO SAINDO

§6. Primeiro saque

• Objetivo: é o momento de verdade da confiança. Antes do primeiro saque pago, a operadora é promessa; depois, é fato.
• Gatilho: withdrawal.first.requested · .processing · .paid
• Canal: inbox + e-mail com identificador da transação.
• Quem age: A nos três estados; HA em espera ativa se estourar o prazo informado.
• Mensagem-modelo: "Saque de R$ 320,00 registrado às 14h02, protocolo 4471. Prazo: até 2 horas úteis, para a mesma chave PIX do cadastro. Aviso aqui quando sair." / "Pago às 15h11, R$ 320,00 na chave terminada em 4412."
• Contexto na tela: valor, chave, se coincide com a origem do depósito, prazo prometido vs. decorrido, saldo remanescente, condição de saque pendente e qual é.
• Permitido: confirmar cada estado; explicar prazo e condição; antecipar atraso antes da pergunta.
• Proibido: condicionar saque a novo depósito (art. 42, §2º); propor nova aposta com o valor sacado; sugerir que retirar é abrir mão de algo.
• KPI: % pago no prazo prometido; % com aviso proativo antes da pergunta; chamados sobre saque (devem cair).
• Automatizar: os três estados.
• Humano: estouro de prazo, valor acima do percentil de referência, primeira retirada após ganho relevante.

§7. Saque negado ou atrasado

• Objetivo: transformar o pior evento do produto em prova de que há alguém do outro lado.
• Gatilho: withdrawal.rejected · withdrawal.delayed_24h · withdrawal.cancelled_by_user_2x_72h
• Canal: inbox, com telefone acima de patamar de valor definido em contrato.
• Quem age: HA sempre. Recusa e atraso nunca são resolvidos por resposta automática. E cancelar o próprio saque 2+ vezes em 72h é sinal duro de proteção — roteia em paralelo para o Núcleo de Proteção, não para o concierge.
• Mensagem-modelo: "Seu saque de R$ 1.200,00 não foi processado porque a chave está em nome de outro titular; só posso pagar para conta no seu CPF. Corrigindo, reprocesso hoje. Protocolo 4488, e eu acompanho até sair."
• Contexto na tela: motivo codificado, quem decidiu (regra ou pessoa), histórico de saques, tempo decorrido e — em destaque separado — se há sinal de proteção ativo no período.
• Permitido: explicar o motivo real; dar prazo novo e cumpri-lo; escalar internamente; registrar protocolo.
• Proibido: compensar atraso com bônus, cashback ou crédito de aposta (art. 29, I). Sugerir que o valor "fica rendendo". Tratar cancelamento repetido como oportunidade de retenção.
• KPI: tempo entre recusa e explicação; taxa de reprocessamento; % de cancelamentos repetidos roteados para proteção em ≤24h.
• Automatizar: só detecção e roteamento.
• Humano: sempre.

§ATO 3 — QUANDO QUEBRA

§8. Problema

• Objetivo: conter o dano e informar antes de ser perguntado. Em falha de plataforma, a maturidade se mede em minutos de silêncio.
• Gatilho: platform.incident.opened · bet.settlement_disputed · session.error_repeated · bet.voided
• Canal: inbox para os afetados + aviso no produto; e-mail se houver efeito financeiro.
• Quem age: A dispara o aviso de escopo; HA em cada caso com efeito financeiro individual.
• Mensagem-modelo: "Entre 21h05 e 21h40 uma falha nossa impediu a liquidação de apostas no evento X. Sua aposta 88213 está nesse grupo. O ajuste sai até as 23h e você recebe confirmação aqui. Não é preciso fazer nada."
• Contexto na tela: escopo, se este apostador está na lista, valor exposto, estado do ajuste, texto oficial aprovado.
• Permitido: informar; corrigir; confirmar item a item.
• Proibido: compensar com crédito de aposta ou giro grátis (art. 29, I) — reparação é em dinheiro na conta gráfica ou estorno. Atribuir o erro ao apostador.
• KPI: tempo entre abertura e primeiro aviso; % avisados antes de abrirem chamado.
• Automatizar: o aviso de escopo.
• Humano: todo caso com efeito financeiro individual.

§9. Atendimento

• Objetivo: governar a fila — quem responde o quê, em quanto tempo, e o que acontece quando o prazo estoura.
• Gatilho: thread.queued · .assigned · .sla_at_risk · .sla_breached · .reassigned
• Canal: inbox, com telefone como rota de exceção.
• Quem age: roteamento automático; IA na triagem; HA na maioria; H em contestação e proteção.
• Mensagem-modelo: "Ainda estou verificando com pagamentos e não quero te deixar sem resposta. Novo retorno até as 16h."
• Contexto na tela: ficha única — últimas 5 interações com desfecho, 10 últimas transações, KYC, limites, protocolos abertos e o degrau de risco em indicador binário (comercial bloqueado: sim/não), sem score e sem motivo detalhado visíveis.
• Permitido: reatribuir; escalar; prometer prazo novo e cumprir; encerrar com protocolo.
• Proibido: expor ao atendente comercial o detalhe da classificação de risco (LGPD arts. 6º e 11; Portaria 1.231/2024, art. 4º, VI). Fazer repetir a demanda na troca de atendente (Decreto 11.034/2022, art. 10).
• KPI: tempo até primeira resposta humana; % de threads com desfecho registrado; reabertura em 7 dias. O setor não tem prazo próprio — o art. 28 da Lei 14.790/2023 exige o canal e não fixa prazo; na dúvida o Procon aplica os 7 dias corridos do Decreto 11.034/2022, art. 13. O SLA comercial se desenha com folga contra esse teto.
• Automatizar: triagem, roteamento, aviso de prazo.
• Humano: tudo que envolve decisão.

§10. Pós-resolução

• Objetivo: confirmar que o problema ficou resolvido. É a etapa que quase ninguém executa e a mais barata: um evento agendado, uma pergunta, nenhuma oferta.
• Gatilho: case.resolved + 72h · case.resolved.financial + 24h
• Canal: inbox.
• Quem age: A dispara; HA responde se houver resposta.
• Mensagem-modelo: "Confirmando: o saque do protocolo 4488 entrou como combinado? Se ficou ponta solta, é só responder aqui."
• Contexto na tela: caso original, desfecho registrado, quem resolveu.
• Permitido: perguntar; reabrir; registrar a confirmação.
• Proibido: anexar oferta, promoção ou pedido de avaliação positiva — pedir nota alta é a prática que já contaminou a percepção de atendimento no setor. O follow-up verifica, não colhe.
• KPI: taxa de problemas que voltam; % de casos financeiros com confirmação ativa.
• Automatizar: o disparo.
• Humano: qualquer resposta que não seja "sim, resolvido".

§11. Reclamação

• Objetivo: resolver em primeira instância antes de virar canal externo, com registro capaz de sustentar defesa se virar.
• Gatilho: complaint.registered · complaint.escalated_ouvidoria · complaint.external_detected
• Canal: inbox + o canal externo onde apareceu.
• Quem age: H — Ouvidoria, instância separada de quem tratou o caso original.
• Mensagem-modelo: "Registrada sob protocolo 5102, com a ouvidoria — instância diferente de quem atendeu antes. Retorno conclusivo até [data], com a apuração, mesmo que a conclusão não seja a esperada."
• Contexto na tela: linha do tempo completa, todas as decisões e quem as tomou, política aplicável, alçada disponível, reclamação externa espelhada.
• Permitido: apurar; reverter; usar alçada pré-aprovada em dinheiro; explicar conclusão desfavorável com fundamento.
• Proibido: condicionar solução à retirada da reclamação pública; compensar em crédito de aposta; responder fora do prazo do canal externo. Referência: 376 reclamações contra bets no Reclame Aqui entre 01/01 e 28/05/2025, >21% por oferta promocional não cumprida — categoria que o desenho sem isca elimina na origem.
• KPI: % resolvido em primeira instância; tempo até resposta conclusiva; razão entre reclamações internas e externas (quanto maior, melhor).
• Automatizar: registro e alerta.
• Humano: integralmente.

§12. Recuperação de confiança

• Objetivo: reconstruir a relação sem comprar de volta. O service recovery paradox tem efeito sobre satisfação, mas efeito não significativo sobre recompra, boca a boca e imagem (meta-análise Matos, Henrique & Rossi, 2007): resolver bem evita a perda, não compensa a falha.
• Gatilho: complaint.closed + 14d · trust.recovery.window_open
• Canal: inbox. Um contato; no máximo dois em 30 dias.
• Quem age: HA — de preferência a mesma pessoa que conduziu a solução. Continuidade de pessoa é o que o topo do mercado de relacionamento vende explicitamente.
• Mensagem-modelo: "Sobre o caso 5102: mudamos o texto da tela de saque para a condição aparecer antes da confirmação. Sua reclamação foi a razão da mudança."
• Contexto na tela: caso encerrado, o que mudou no processo por causa dele, atividade desde então, degrau de proteção.
• Permitido: informar a correção estrutural; manter o canal aberto; oferecer acompanhamento nominal.
• Proibido: cortesia em crédito ou "presente de desculpas" em produto de aposta (art. 29, I); abordar quem ficou em prejuízo com convite a voltar — win-back de perdedor está fora (art. 12, XII).
• KPI: reclamação repetida do mesmo apostador; incremento medido contra holdout aleatorizado — uma das etapas em que o toque humano precisa provar valor em R$.
• Automatizar: nunca.
• Humano: sempre, e de preferência a mesma pessoa.

§ATO 4 — CONVÍVIO

§13. Relacionamento

• Objetivo: manter cadência com quem tem concierge nominal, sem que a cadência vire pretexto para vender. O gargalo não é falar: gerentes de private banking passam 25–30% do tempo em diálogo direto e até 60% em trabalho administrativo. O produto vendável é o que devolve esse tempo.
• Gatilho: relationship.cadence_due · player.milestone_reached · service.preference_captured
• Canal: inbox; e-mail para documento e extrato.
• Quem age: H, com copiloto preparando resumo, pauta e rascunho.
• Mensagem-modelo: "Revisão do seu mês: 14 apostas liquidadas, dois saques pagos no prazo, nenhum chamado aberto. Seus limites seguem como você definiu em março. Se quiser mudar algo, resolvo por aqui."
• Contexto na tela: memória tipada — preferência declarada, fato de conta, histórico de serviço — com base legal por campo, TTL por tipo e isolamento lógico entre tabela de risco e tabela de campanha. O concierge vê preferência e histórico; do risco, vê a trava, não o score.
• Permitido: prestar contas de conta; explicar regra; capturar preferência no ponto de observação com fricção quase zero — é o hábito de captura, e não o banco de dados, que sustenta a memória do Ritz-Carlton.
• Proibido: usar a classificação de risco para calibrar abordagem, escolher o momento "quente" ou priorizar fila (desvio de finalidade sobre dado sensível — LGPD arts. 5º, II, 6º e 11). Remunerar concierge por volume depositado da carteira (art. 12, III; art. 22, II, "c").
• KPI: cobertura da cadência; densidade de memória útil por conta; incremento vs. holdout.
• Automatizar: o preparo, nunca a conversa.
• Humano: sempre, dentro da carteira.

§14. Usuário recorrente

• Objetivo: servir a maior parte da base sem humano dedicado, com qualidade que não pareça abandono. A régua não dá margem: 8 a 15 contas por gestor em high-touch, até 75 em assistido, e acima de ~150 por humano é ficção, salvo prova de que o copiloto devolveu o tempo.
• Gatilho: player.tier_changed · activity.pattern_stable_90d · service.contact_absent_60d
• Canal: inbox, com automação assistida por IA.
• Quem age: A + IA; HA sob demanda.
• Mensagem-modelo: "Resumo do trimestre em Conta › Extrato: depósitos, saques, resultado consolidado e histórico dos seus limites. Dúvida em algum lançamento, eu abro linha a linha."
• Contexto na tela: o mesmo painel do concierge, em modo consulta, quando a pessoa escreve.
• Permitido: prestação de contas periódica; disponibilidade; resposta rápida.
• Proibido: simular relacionamento humano com automação assinada por nome de pessoa inexistente. Quem escreve tem nome, e o nome é de alguém.
• KPI: custo por conta servida; resolução sem escalada; satisfação medida por esforço, não por encantamento.
• Automatizar: por padrão.
• Humano: por evento, nunca por calendário.

§15. VIP — carteira nominal

• Objetivo: decidir quem entra na carteira de atenção humana e por qual critério. A concentração justifica o recorte: top 1% = 37,4% da receita, top 5% = 66,9% (Forrest & McHale, n=139.152); fora do setor, Net-a-Porter ~3% da base / ~40% das vendas (imprensa setorial, não auditado).
• Gatilho: portfolio.eligibility_review (mensal) · portfolio.entry_proposed · portfolio.exit_triggered
• Canal: interno. O apostador não recebe "convite VIP" — recebe um concierge nomeado.
• Quem age: H, com comitê de elegibilidade e revisão periódica.
• Mensagem-modelo: "A partir de hoje sou eu quem acompanha sua conta. Meu nome é [nome], estou disponível de segunda a sábado, e você fala comigo sem passar por fila."
• Contexto na tela: critério multi-fator que gerou a elegibilidade — valor teórico esperado, longevidade, diversidade de uso, ausência de degrau de risco — e o motivo de exclusão quando houver.
• Permitido: alocar atenção humana; dar alçada pré-aprovada em reparação financeira, com teto e log; nomear a pessoa.
• Proibido: alocar atenção humana por valor perdido — é o desenho que a UKGC puniu em série (Entain £17 mi, 2022; William Hill £19,2 mi, 2023) e que Macau destruiu por lei (dos 235 promotores de 2014 restavam 18 em 2024). Manter na carteira comercial quem entrou em degrau de risco: a saída é automática.
• KPI: % da carteira revisada no ciclo; % de saídas por gatilho de risco executadas sem exceção; incremento vs. holdout.
• Automatizar: o cálculo de elegibilidade.
• Humano: a decisão de entrada e, obrigatoriamente, a de saída.

§ATO 5 — PROTEÇÃO

Regra transversal: score probabilístico nunca escala sozinho para humano. Com sensibilidade de 66,2%, especificidade de 71,5% e prevalência ilustrativa de 3%, o valor preditivo positivo fica em ~6,7% — cerca de 15 marcados por acerto real. Probabilidade ordena fila e dispara fricção barata; só sinal duro escala para gente. E nada de intervenção humana durante sessão em perseguição de perda: a evidência do Playscan mostra que classificação acima da autoimagem produz dissonância e rejeição. Espelho, não veredicto.

§16. Limite atingido

• Objetivo: aplicar a trava que a própria pessoa definiu, sem atrito e sem venda.
• Gatilho: limit.deposit.reached · limit.time.reached · limit.loss.reached
• Canal: produto (bloqueio na tela) + inbox.
• Quem age: A.
• Mensagem-modelo: "Você atingiu o limite de depósito que definiu para este mês: R$ 500,00. Ele zera em 1º de outubro. Se quiser reduzi-lo, a mudança vale na hora."
• Contexto na tela: limite, período, uso, quando foi definido, histórico de alterações.
• Permitido: informar; oferecer redução imediata; oferecer pausa e autoexclusão.
• Proibido: oferecer aumento; sugerir contorno; "vamos conversar antes" (art. 4º, §1º — vedado artifício que dificulte a opção livre e informada). Escrever para quem acabou de reduzir limite oferecendo aumentá-lo é o artifício típico.
• KPI: % de limites atingidos sem chamado; redução voluntária após o aviso.
• Automatizar: sempre.
• Humano: só se a pessoa pedir ajuda.

§17. Pedido de aumento de limite — a carência de 24 horas

• Objetivo: cumprir a carência como etapa desenhada da jornada, e não como bloqueio silencioso que a pessoa descobre sozinha.
• Gatilho: limit.increase.requested → .cooling_off_started → .applied_t+24h · .cancelled_by_user
• Canal: produto + inbox.
• Quem age: A. HA se o pedido vier dentro de 24h de perda relevante — combinação que é sinal duro e vai para o Núcleo de Proteção, não para o concierge.
• Mensagem-modelo: "Registrei o aumento do limite de depósito para R$ 1.000,00. Por regra, aumentos valem 24 horas depois do pedido — o seu entra amanhã, 15h30. Se mudar de ideia, o cancelamento é imediato."
• Contexto na tela: limite atual e pedido, hora do pedido e de vigência, aumentos nos últimos 90 dias, resultado financeiro das 72h anteriores, degrau de risco.
• Permitido: registrar; informar a vigência; permitir cancelamento imediato; oferecer redução como alternativa.
• Proibido: implementar antes de 24 horas sob qualquer pretexto, inclusive "resolver na hora no chat" (art. 4º, §2º). E o inverso: criar atrito ou exigir conversa para liberar depois do prazo. Redução e pausa não têm carência — são imediatas.
• KPI: 100% de conformidade com a carência (desvio é incidente); % cancelados pela própria pessoa na janela; % com sinal duro concomitante roteados para proteção.
• Automatizar: todo o fluxo.
• Humano: só pedido de aumento somado a perda relevante nas 72h.

§18. Pedido de pausa

• Objetivo: executar sem fricção e sem tentativa de demover. É o teste mais visível de que a operação faz o que diz.
• Gatilho: timeout.requested · timeout.applied · timeout.expiring_24h
• Canal: produto + inbox + e-mail de confirmação.
• Quem age: A.
• Mensagem-modelo: "Pausa de 7 dias aplicada agora. Nesse período você não recebe comunicação comercial e não consegue apostar ou depositar. Saque segue liberado. Para estender ou tornar definitiva, o caminho é o mesmo."
• Contexto na tela: duração, início e fim, o que fica bloqueado e o que não, se é a primeira pausa.
• Permitido: aplicar na hora; explicar o alcance; oferecer autoexclusão como opção mais forte.
• Proibido: perguntar o motivo como condição; propor alternativa à pausa; suspendê-la antes de 24h do pedido de suspensão (art. 4º, §2º); qualquer conteúdo comercial durante a pausa. Contatar no fim da pausa para "avisar que já pode voltar" é convite disfarçado de serviço — a retomada é iniciativa exclusiva do apostador.
• KPI: tempo entre pedido e aplicação (meta: segundos); zero conteúdo comercial durante pausa — qualquer ocorrência é incidente reportável.
• Automatizar: sempre.
• Humano: nunca, salvo pedido de conversa.

§19. Mudança de padrão de depósito

• Objetivo: separar, com custo baixo, variação normal de sinal duro. O melhor custo-benefício está em indicadores discretos e auditáveis, não em score: saque cancelado, depósitos recusados em sequência e troca de método de pagamento.
• Gatilho (mole): deposit.frequency_shift_7d · stake.avg_increase_100pct · session.night_3x_7d · product.spread_increase
• Gatilho (duro): deposit.declined_3x_24h · payment.method_new_after_decline · withdrawal.cancelled_2x_72h
• Canal: produto (espelho) no sinal mole; inbox e telefone no sinal duro.
• Quem age: A no mole — degrau 1, fricção automática. H (Núcleo de Proteção) no duro — degrau 2, fora da sessão, no dia seguinte, em horário comercial.
• Mensagem-modelo (espelho): "Nos últimos 14 dias você depositou em 11 dias, contra 4 no período anterior. Se quiser definir um limite, leva menos de um minuto."
• Mensagem-modelo (degrau 2): "Aqui é [nome], da equipe de acompanhamento de conta. Vi que três tentativas de depósito foram recusadas ontem e que um novo cartão foi cadastrado em seguida. Não é cobrança nem restrição: queria entender se está tudo bem e mostrar três coisas que você aciona quando quiser — limite, pausa de 7 dias e autoexclusão."
• Contexto na tela: os dados brutos que dispararam o sinal, a linha de base do próprio apostador, intervenções anteriores e desfechos, recursos de encaminhamento. Nunca rótulo clínico (art. 26, VI — a empresa classifica risco operacional, jamais doença).
• Permitido: espelhar dado real; oferecer limite, pausa, autoexclusão e encaminhamento; suspender conteúdo comercial.
• Proibido: escalar para humano por score; mensagem de proteção durante perseguição de perda; veredicto ("identificamos comportamento de risco"); bônus, cashback ou torneio a quem está em degrau.
• KPI: adoção de limite após degrau 2 — referência sueca de 10% contra 5% (Svenska Spel, n=1.420 vs. 1.504); tempo mediano entre sinal e ação.
• Automatizar: todo o degrau 1.
• Humano: todo sinal duro, sem exceção.

§20. Intervenção — degrau 3

• Objetivo: agir em horas, com desfecho registrado. O risco jurídico é invertido: detectar e não agir é o pior lugar possível. A Petfre (Betfred) foi multada em £900 mil em 30/06/2026 porque a conta foi sinalizada e o processo interno só a reveria sete dias depois — no intervalo, o cliente perdeu £17.900 em 24 horas.
• Gatilho: risk.tier3.triggered · verbal.crisis_mention (dívida impagável, empréstimo para jogar, mentira à família, desespero, ideação) · loss.percentile_breach_short_window
• Canal: telefone, com inbox como registro. Nunca só mensagem.
• Quem age: H — Núcleo de Proteção. Jamais o concierge comercial do mesmo apostador.
• Mensagem-modelo: "Estou ligando para garantir que você tem à mão o que precisa. Todo material comercial da sua conta já está suspenso. Podemos definir um limite agora, aplicar uma pausa, ou fazer a autoexclusão pelo gov.br, que vale para todas as casas autorizadas. E, se em algum momento passou pela sua cabeça algo além do dinheiro, o CVV atende no 188, de graça, 24 horas."
• Contexto na tela: trio obrigatório aberto — sinal observado, ação tomada, desfecho — com carimbo de tempo e responsável; recursos de encaminhamento (Plataforma Centralizada de Autoexclusão, CVV 188, CAPS/CAPS-AD pela UBS de referência, Jogadores Anônimos); alçada para suspender a conta.
• Permitido: suspender marketing e bônus imediatamente; sugerir limite prudencial ativamente (art. 4º, VII); facilitar autoexclusão; encaminhar; suspender o uso por apostador em alto risco (art. 4º, VIII).
• Proibido: deixar alerta em fila sem desfecho — "nenhuma ação adicional" é decisão válida, mas exige justificativa escrita e reavaliação automática em 24h, não em 7 dias. Diagnosticar. Bloquear conta unicamente por decisão automatizada, sem revisão humana e caminho de contestação (LGPD art. 20).
• KPI: % de alertas com desfecho registrado em ≤24h (meta 100%); tempo entre sinal e ação; % de contatos encerrados em limite, pausa, autoexclusão ou encaminhamento — conversa sem saída concreta não conta como encerrada.
• Automatizar: o corte de marketing, que é imediato e não espera pessoa.
• Humano: integralmente.

§ATO 6 — SAÍDA E VOLTA

§21. Encerramento de conta e autoexclusão

• Objetivo: executar rápido, devolver o saldo e não tentar reter. Aqui a operação prova, ou desmente, tudo o que disse antes.
• Gatilho: account.closure_requested · selfexclusion.specific_requested · selfexclusion.central_detected · balance.refund_completed
• Canal: produto + inbox + e-mail de confirmação. Depois, silêncio.
• Quem age: A executa; H confere saldo e pendência financeira.
• Mensagem-modelo: "Sua autoexclusão foi registrada e vale a partir de agora. O saldo de R$ 212,40 vai para a chave PIX do cadastro em até 2 horas úteis. Você não recebe mais nenhuma comunicação nossa. Para bloquear todas as casas autorizadas de uma vez: gov.br/autoexclusaoapostas."
• Contexto na tela: saldo, apostas em aberto, prazo de devolução, tipo e duração da exclusão, confirmação de que os disparos foram desligados.
• Permitido: executar; devolver saldo; informar a plataforma centralizada; confirmar o desligamento.
• Proibido: qualquer contato publicitário posterior, na exclusão específica e na centralizada (art. 11, VII e parágrafo único da Portaria 2.579/2025). Pesquisa de saída com apelo comercial. Retenção. Bloqueio acima de 72 horas do registro na plataforma centralizada.
• KPI: tempo entre pedido e efetivação; tempo até devolução de saldo; zero comunicações a autoexcluído.
• Automatizar: a execução.
• Humano: só a conferência financeira.

§22. Inatividade

• Objetivo: cumprir a reconfirmação de identidade e manter a conta em ordem, sem transformar inatividade em pretexto de reativação. A norma presume desengajamento aos 90 dias (art. 36, §1º, II) e permite encerrar aos 180 (art. 37) — a janela em que o mercado reativa é a janela em que a norma diz que a pessoa saiu.
• Gatilho: activity.dormant_30d · activity.dormant_90d · activity.dormant_180d
• Canal: e-mail e inbox. Um contato por marco, três no total.
• Quem age: A; HA só com saldo relevante parado ou pendência aberta.
• Mensagem-modelo: "Sua conta está sem movimentação há 90 dias e, por exigência regulatória, precisamos reconfirmar sua identidade para mantê-la ativa. Seu saldo de R$ 84,00 pode ser sacado a qualquer momento, com ou sem essa confirmação."
• Contexto na tela: tempo de inatividade, saldo, último evento antes do silêncio (se foi problema, saque negado ou reclamação, o caso volta para a etapa 12, não para esta), opt-in, gates.
• Permitido: reconfirmar identidade; informar saldo e caminho de saque; informar encerramento próximo.
• Proibido: oferta de retorno, bônus de reativação, "sentimos sua falta" com incentivo (art. 29, I); abordar quem saiu após perda relevante (art. 12, XII). Contato sem opt-in ou com gate ativo.
• KPI: % de dormentes com identidade reconfirmada; % de saldos devolvidos antes do encerramento; descadastramento por contato (se sobe, a cadência está errada).
• Automatizar: sempre.
• Humano: saldo relevante parado ou pendência aberta.

§23. Retorno voluntário

• Objetivo: reconhecer quem voltou por conta própria, retomar o contexto sem obrigar a repetir nada e verificar se a razão da saída foi resolvida.
• Gatilho: player.returned_self_initiated · session.after_dormancy_90d · login.after_timeout_expired
• Canal: inbox.
• Quem age: A no reconhecimento; HA se havia caso aberto ou reclamação na origem da saída.
• Mensagem-modelo: "Bom te ver por aqui. Da última vez ficou pendente o ajuste do protocolo 4488 — concluído em 12/03, valor creditado. Seus limites seguem como você deixou."
• Contexto na tela: motivo provável da saída, casos abertos e encerrados, limites vigentes, se houve pausa ou autoexclusão no intervalo, tempo fora.
• Permitido: retomar contexto; confirmar pendências resolvidas; reapresentar as ferramentas de limite.
• Proibido: tratar o retorno como oportunidade de oferta; celebrá-lo com vantagem; chamada para ação com urgência (art. 12, IV). Em fim de pausa ou de autoexclusão, a iniciativa é exclusivamente do apostador — nenhum contato antecipa, avisa ou convida.
• KPI: % de retornos com contexto retomado sem repetição de demanda; segunda saída em 30 dias.
• Automatizar: o reconhecimento.
• Humano: quando a saída teve causa de serviço.

§A MATRIZ

Uma linha por evento. É este o artefato que vai para a parede da operação.

Leitura da matriz. De 29 eventos, 14 são automação pura, 2 de IA na triagem, 6 de humano assistido e 7 de humano dedicado — dos quais 4 pertencem ao Núcleo de Proteção, que não vende. É essa proporção que torna o desenho financiável: o humano aparece onde há dinheiro em disputa, frustração instalada ou dano potencial, e em nenhum outro lugar. Os quatro SLAs que valem contrato são saque negado (1h), degrau 2 (24h, fora da sessão), degrau 3 (4h úteis) e desfecho registrado (24h, meta de 100%) — os únicos em que o atraso tem preço conhecido, seja em reclamação pública, seja em precedente sancionador.

As três travas sem exceção operacional. A carência de 24 horas para aumento de limite não é interpretável e não se resolve no chat. O corte de conteúdo comercial em degrau de risco é automático e independe de aprovação. E contato com autoexcluído é zero — não é meta, é estado. Desvio em qualquer uma das três é incidente reportável, com registro, causa e correção, e é sobre elas que a auditoria trimestral da camada se desenha: são as três que um fiscal verifica sem depender de interpretação.

§PARTE IV — SEGMENTAÇÃO

Como ler os números desta seção. Todo valor aparece de uma de três formas: [fonte], com origem citada; [norma], com artigo; ou [premissa], quando é escolha de desenho ainda não calibrada com dado próprio. Não há quarta categoria. Onde há conversão: US$ 1 = R$ 5,1114 em 04/09/2026 (Frankfurter/BCE).

Numeração de artigos. As Portarias 1.231/2024 e 2.579/2025 foram parcialmente extraídas de compilação privada. Toda citação de inciso aqui é operacionalmente confiável e contratualmente pendente: conferir no DOU antes de virar cláusula. Onde a incerteza é maior, está dito na linha.

§1. O princípio de elegibilidade

§1.1 A pergunta que não se faz

A pergunta natural — "quem merece atendimento humano?" — já contém a resposta errada. Ela ordena pessoas por valor e entrega atenção humana como prêmio ao topo da lista. Isso tem nome no setor, tem histórico e tem preço: é o esquema VIP, e ele é a fonte da maior série de sanções regulatórias do jogo online. Betway £11,6 mi, Caesars £13 mi, Entain £17 mi, William Hill £19,2 mi, Kindred/32Red £7,1 mi (com advertência formal na licença pessoal do gerente-geral), Platinum Gaming £10 mi, Betfred £900 mil, Flutter £2 mi, Spreadex £2,022 mi, ProgressPlay £1 mi, Corbett £686 mil, Done Brothers £825 mil, Videoslots £650 mil — treze ações públicas da UKGC entre 2020 e 2026, todas ancoradas em falha de VIP ou de customer interaction [fonte: UKGC e imprensa setorial, 2020–2026]. Em Macau, a versão extrema do mesmo desenho — intermediário humano remunerado por participação na perda — foi desmontada por lei em 2022 [fonte: imprensa setorial; a série de promotores licenciados e a condenação de Alvin Chau não constam do briefing mestre — conferir antes de uso em peça externa].

O que esses casos têm em comum não é crueldade. É um critério de elegibilidade que roda sobre uma variável só: quanto essa pessoa deixa na casa. Quando a régua é essa, o sistema aloca a melhor gente da operação exatamente sobre quem está perdendo mais rápido — e faz isso sem intenção, por construção. A UKGC descreveu o remédio na SRCP 5.1.1(2): antes da designação, é preciso estabelecer que o gasto é sustentável como gasto de lazer, avaliar evidência de dano ou vulnerabilidade e ter evidência atualizada de identidade, ocupação e origem dos recursos, com revisão periódica, registro de todos os contatos independentemente de canal, e um titular pessoalmente responsável [fonte].

§1.2 A pergunta que se faz

A pergunta operacional é outra: em que situação o toque humano muda o desfecho o suficiente para pagar a hora que consome?

Isso desloca a unidade de análise da pessoa para o momento. Um momento é elegível para humano quando quatro condições são verdadeiras ao mesmo tempo:

1. Teste da ação. Existe ação concreta disponível agora — destravar um saque, resolver uma verificação, explicar a regra que impede o uso, corrigir erro de liquidação, executar um pedido de limite ou pausa. Sem ação, não há momento.
2. Teste do delta. O desfecho depende de quem executa. Se a automação resolve com a mesma qualidade, o humano só adiciona custo — e o mercado de IA de atendimento já precifica o desfecho automatizado entre US$ 1 e US$ 2 [fonte: rate cards Intercom Fin US$ 0,99; Zendesk US$ 1,20–1,50; Salesforce Agentforce US$ 2,00]. O nome desse delta neste produto é ΔP_humano; ele é medido, não presumido, e o formalismo por trás dele é conhecido na literatura como Learning to Defer (Mozannar & Sontag), inclusive em versão com restrição de capacidade humana (DeCCaF) e com benchmark público (OpenL2D). O que é próprio aqui é a aplicação ao domínio e a medição em reais, não o método (Parte VI).
3. Teste da janela. O momento tem começo e fim. Saque travado tem janela de horas; ticket reaberto pela terceira vez tem janela de minutos; inatividade de 90 dias tem janela de semanas. Fora da janela, a mesma ação vale menos ou vira ruído.
4. Teste do gate. Nenhuma vedação bloqueia o contato — operador sem autorização vigente da SPA, autoexclusão específica ou centralizada, ausência de opt-in, vedação por programa social, "Não Me Ligue", degrau de proteção ativo, cadastro não validado.

Falhou o teste do delta ou o da janela, o momento existe mas não justifica pessoa: vai para trilha automatizada ou assistida por IA. Falhou o teste do gate, nenhuma trilha comercial abre — sobram serviço, conta e proteção, que não dependem de opt-in. Falhou o teste da ação, não há momento. A palavra "abandono" não cabe em nenhum dos três casos: em todos eles o registro, o SLA e o desfecho continuam obrigatórios.

O que significa "momento fechado". A palavra só tem valor se tiver esquema. Um momento fecha quando existem, gravados, sete campos: identificador do evento que abriu e seu carimbo de tempo; coordenada V·E·R no instante da abertura; resultado de cada gate consultado; matrícula do responsável; ação executada; desfecho em vocabulário fechado (resolvido, resolvido parcialmente, não resolvido com motivo, encaminhado, nenhuma ação adicional com justificativa); e tempo humano consumido em minutos. Sem o sétimo campo não há custo por momento, e sem custo por momento não há ΔP_humano — só narrativa.

A diferença prática entre elegibilidade de pessoa e elegibilidade de momento aparece na auditoria. Uma pessoa elegível não tem começo, fim, dono nem desfecho — é um rótulo que envelhece sozinho no banco. Um momento tem os quatro. É a diferença entre "temos 1.200 clientes VIP" e "processamos 3.400 momentos no mês, 91% com desfecho registrado em SLA, custo médio X, incremento medido contra holdout Y". A primeira frase não se defende diante de fiscal nenhum. A segunda é o produto.

§1.3 A exceção declarada: relacionamento contínuo

Há uma exceção, e ela precisa ser dita em voz alta em vez de contrabandeada. Uma faixa pequena da base recebe relacionamento contínuo com pessoa nominal — o mesmo concierge, com memória, ao longo do tempo. A justificativa não é recompensa: é que a continuidade é, ela própria, a fonte do delta. O diferencial explícito do Amex Centurion sobre o Platinum é falar sempre com o mesmo concierge, que já conhece as preferências; o Mystique do Ritz-Carlton existe porque preferência capturada no ponto de observação vale mais do que qualquer perfil inferido [fonte: imprensa setorial e material das próprias empresas, não auditado]. Nesses casos, o toque humano não resolve um evento — mantém um estado.

Essa faixa carrega seis condições que a diferenciam de um programa VIP:

• Qualificação multifator, não monofator. Volume apostado e valor teórico (theo/ADT) definem o orçamento de atenção; perda líquida não é critério de nada. Somam-se tenure, multivertical, histórico de resolução e aceite explícito do apostador.
• Verificação de sustentabilidade antes da designação, com evidência de identidade, ocupação e origem de recursos, no padrão SRCP 5.1.1(2) [fonte].
• Revisão trimestral com poder de retirar. Carteira não é vitalícia; sair dela é evento normal, não punição.
• Titular pessoal do risco. Uma pessoa nomeada responde pela carteira. A UKGC responsabiliza indivíduo, não só empresa (Kindred, 2023) — um modelo terceirizado que não consegue dizer o nome do titular não tem como ser vendido a operador sério.
• Treinamento documentado antes do primeiro contato, com evidência arquivada. A Portaria 1.231/2024, art. 6º, I exige capacitação em dependência e jogo patológico para colaboradores "inclusive terceirizados" que interajam com apostadores [norma]. Num modelo de concierge como serviço, essa trilha de treinamento é entregável contratual, não boa prática.
• Contrato escrito em português, à disposição da SPA, com conformidade publicitária, regra de subcontratação e critérios de compensação declarados (art. 22, II e parágrafo único) [norma]. Não é formalidade de fechamento: sem ele o serviço não pode ser prestado.

Uma consequência de canal que elimina uma alternativa inteira. O art. 28 e o §1º da Lei 14.790/2023 exigem atendimento em português, por atendente fluente, sem custo para o apostador [norma]. Isso não é detalhe de SLA: inviabiliza pool offshore de baixo custo em qualquer das quatro trilhas humanas. A conta de R$ 65 por hora da §5.1 não tem versão barata em outro fuso, e quem prometer capacidade sem essa restrição embutida está orçando um serviço que não pode ser entregue.

Como essa exceção é medida. Carteira dedicada não se mede por holdout individual — não se sorteia a ausência de atendimento para quem já o tem. Mede-se por implantação escalonada: a carteira entra por lotes trimestrais, e o lote que ainda não entrou é o controle daquele trimestre [premissa metodológica]. Sem isso, a trilha 1 produz relatório de atividade e nunca incremento, e é indefensável no primeiro comitê que pedir prova.

E uma condição negativa, que vale para as quatro trilhas: quem serve não protege (D7). A pessoa e o indicador que cuidam do relacionamento não podem ser os mesmos que decidem intervenção de proteção. Não é exigência normativa expressa no Brasil — é decisão de arquitetura, e é ela que impede o conflito de interesse mais tóxico do setor de se concentrar num único canal. A implicação operacional está na §5.3, e ela custa dinheiro: são duas escalas, não uma.

§1.4 O que esta seção não inventa

Convém abrir isto antes de qualquer comprador técnico abrir. A maior parte do que vem a seguir é capacidade de prateleira, e apresentá-la como invenção derruba a conversa em dez minutos:

Duas linhas dessa tabela merecem destaque porque a versão anterior desta seção as reivindicava como originalidade e não são. Momento com dono, janela e desfecho é um case object — qualquer service desk faz isso há vinte anos. Log de gate por disparo é decision audit trail — a Pega vende isso há anos. Reivindicar as duas como invenção entrega ao CTO da sala a chance de encerrar a conversa em uma frase.

O que esta seção efetivamente reivindica são dois dos cinco pontos de originalidade do projeto (D4), e nada além deles:

1. O momento como unidade de cobrança e de medição — não como registro. O registro é commodity. O que não existe no mercado é cobrar por momento resolvido, com custo de hora descontado, e medir o incremento desse momento contra um contrafactual.
2. A medição causal do toque humano por holdout aleatorizado, em reais. A indústria mede deflexão, e deflexão é conversa que o humano não tocou, não problema resolvido. Nenhum fornecedor de CX adota isso sem mudar o próprio modelo de cobrança.

Os outros três pontos de originalidade — ΔP_humano como ação arbitrável com preço, grafo de jogador e afiliados, memória com governança demonstrável — vivem em outras partes do documento e não são reivindicados aqui.

E o que é diferencial de execução, não de invenção. O log de gate e o teste adversarial de reconstrução (§7.4) usam mecanismos de prateleira e mesmo assim quase ninguém roda — não por limitação técnica, por incentivo invertido. Isso é uma afirmação sobre prática de mercado, verificável e falseável, e é assim que deve ser apresentada. Não é propriedade intelectual. A defensibilidade está na operação e no dado, nunca na matriz. A matriz é implantável em semanas, e isso é uma vantagem, não uma fraqueza.

§2. Três eixos, não quinze personas

§2.1 Por que a lista plana quebra

A forma usual de segmentar é uma lista de rótulos: novo, ativo, recorrente, premium, VIP, inativo, com ticket aberto, com problema de pagamento, KYC pendente. Funciona no slide e quebra na primeira semana de produção, por quatro motivos:

Colisão. Um apostador real é simultaneamente "recorrente", "com ticket aberto", "KYC pendente" e "em degrau de atenção". A lista plana obriga a escolher um rótulo; a operação precisa dos quatro ao mesmo tempo, e o quarto é o que manda.

Precedência indefinida. Se "premium" diz "contate semanalmente" e "degrau de atenção" diz "corte o comercial", quem ganha? Numa lista plana, ganha a ordem em que as regras foram escritas — ou seja, o acaso. É o tipo de falha que produz contato comercial a quem já foi sinalizado, e é o tipo de falha que custou £900 mil à Betfred por uma janela de sete dias entre alerta e revisão, na qual o cliente perdeu £17.900 em 24 horas [fonte: UKGC, 30/06/2026].

Explosão combinatória. Quinze segmentos com quatro estados possíveis de restrição não são quinze regras; são sessenta caminhos, e cada campanha adiciona mais. Ninguém audita sessenta caminhos escritos à mão.

Impossibilidade de prova. A pergunta que o operador precisa responder ao fiscal é "por que essa mensagem foi para essa pessoa naquele momento?". Uma lista plana responde "porque ela estava no segmento X". Uma matriz de eixos responde com três coordenadas e o resultado de cada gate.

§2.2 Os três eixos

Os eixos são independentes, medidos por processos diferentes, com donos diferentes, e se combinam em tempo de decisão.

Eixo V — Valor e relação com a marca. Responde: quanto de atenção essa relação comporta? Medido em janela móvel de 12 meses por volume apostado e valor teórico. Não zera com inatividade e não usa perda líquida.

Regra de atribuição, escrita porque a versão anterior deixava um buraco. V2 e V4 eram definidos por percentil e V3 por tenure, o que deixava órfão quem estivesse entre p90 e p99 com menos de seis meses de casa — e num mapa de roteamento, célula órfã é mensagem sem regra. A regra fecha assim: o percentil define a faixa candidata; os requisitos qualitativos definem se a pessoa sobe ou fica na faixa imediatamente inferior. Quem está em p90–p99 sem tenure de seis meses é V2. Quem está em p≥99 sem a qualificação da §1.3 é V4 não qualificado — prioridade de fila, sem carteira. Nenhum apostador fica sem nível, e dado faltante sempre rebaixa.

Três ressalvas sobre o eixo V que precisam estar escritas, porque são as primeiras que um analista cético levanta.

Primeira: a estatística de concentração não valida o critério. O dado de referência — top 1% respondendo por 37,4% da receita, top 5% por 66,9%, top 10% por 79,0% [fonte: Forrest & McHale, Journal of Gambling Studies, 24/06/2024, n=139.152 contas] — mede concentração de gasto líquido, que é justamente a variável que este desenho recusa como critério de alocação. Ela serve para afirmar que existe concentração extrema, não para justificar rankear por perda. Volume e theo são altamente correlacionados com gasto, mas são medidas ex ante de exposição, não de resultado do jogador — e é essa diferença que a UKGC pune quando ausente.

Segunda: o dado é britânico. Base UK, com número menor de operadores e sem PIX. No Brasil, com dezenas de domínios .bet.br autorizados e transferência instantânea, a mesma pessoa se espalha entre casas com atrito quase zero. A consequência operacional é dura: o V medido por um operador enxerga apenas a fatia daquele operador. V4 não significa "topo do mercado"; significa "topo desta casa". Nenhuma leitura sobre a vida financeira da pessoa pode ser derivada desse número — é a mesma cegueira que limita toda a literatura de detecção de dano, que roda sobre dado de operador único, e que no Brasil é maior que na Europa.

Terceira: início a frio. Operação sem 12 meses de histórico não tem eixo V. A regra de partida é: até 90 dias de histórico, todo mundo é V0/V1 ou V2 por regra fixa; V3 e V4 só existem quando há janela cheia [premissa].

O termo "VIP" sai do vocabulário. Está queimado por histórico regulatório e por promessa de afiliado — as descrições brasileiras de cinco níveis, cashback de 15% e gerente dedicado vivem em sites-espelho, não em domínios .bet.br **[fonte, com a ressalva de que não foi confirmado em página oficial .bet.br que operadores ofereçam gerente VIP por WhatsApp — tratar como claim de afiliado]**. "Premium" pode permanecer como nome comercial de V4 qualificado, desde que o critério esteja escrito.

Eixo E — Estado da jornada. Responde: o que está acontecendo agora? É o eixo do momento: cada estado abre, tem janela e fecha.

E11 e E12 não estavam na lista de segmentos pedida e são os dois estados mais sensíveis do mapa. E11 é o único em que a lei nomeia o humano como direito do titular. E12 é o único em que a melhor prática de atendimento — "deixa eu entender melhor antes" — é infração: quando o apostador pede limite, pausa ou autoexclusão, o concierge executa primeiro, e só depois, se houver, conversa.

Eixo R — Risco e restrição. Responde: o que não pode acontecer com essa pessoa? É o eixo com poder de veto, alimentado pelo barramento de proteção e pelos gates de compliance — nunca pelo time comercial, que recebe dele apenas um booleano (§7.3).

Duas correções em relação à versão anterior, ambas por auditabilidade. Primeira: o nível R e o número do degrau colidiam — R2 era degrau 1, e R3 era degrau 2 ou 3. Num documento operacional isso produz erro de implementação garantido; a coluna do meio existe para acabar com a ambiguidade, e o par R3a/R3b substitui o R3 agregado. Segunda: R2 dizia "corta oferta e incentivo", enquanto a reconciliação diária da §7.4 esperava zero contato comercial para R2 — as duas coisas não podem ser verdade ao mesmo tempo. A decisão é zero M em R2, mais estrita do que a norma exige, por dois motivos: a fronteira entre "M com oferta" e "M sem oferta" é exatamente a ambiguidade que um fiscal explora, e uma regra binária é auditável enquanto uma regra graduada não é.

A regra que separa R2 de R3 é aritmética, não prudência. Com sensibilidade de 66,2% e especificidade de 71,5% [fonte: estudo com apostadores esportivos, 2025/2026] e prevalência ilustrativa de 3% [premissa — não existe estatística oficial brasileira de prevalência pós-regulamentação], uma base de 100 mil ativos produz cerca de 1.986 verdadeiros positivos contra 27.645 falsos positivos: valor preditivo positivo em torno de 6,7%, ou aproximadamente 15 pessoas marcadas por acerto. Nenhuma marca sobrevive a abordar 14 pessoas saudáveis para encontrar uma em risco. Daí a regra (D6): score dispara fricção barata e automática; só sinal duro — evento discreto e auditável — aciona pessoa. Muda a prevalência, muda o número: o cálculo vai sempre com a premissa visível.

§2.3 A regra de composição

Uma única regra, escrita uma vez, aplicada sempre:

R decide se pode. E decide se há momento. V decide a prioridade na fila e o orçamento de atenção.

V nunca abre porta que R fechou. E nunca cria momento comercial onde R ≥ 2. R2 nunca cria momento humano por si. Empate na fila desempata por janela mais curta, não por valor.

Isso resolve a precedência de uma vez e torna cada decisão explicável em três coordenadas — V3·E3·R0 é "recorrente qualificado com saque travado, sem restrição". Cada célula tem trilha, canal, teto de frequência e gatilho de revisão, e cada disparo grava as três coordenadas mais o resultado de cada gate consultado.

Dois esclarecimentos que evitam o erro mais comum de implementação: o teto de frequência e a janela do momento só se aplicam a mensagem comercial (M); mensagem transacional, de conta, de proteção e de serviço reativo nunca é suprimida por cap. E a mensagem de proteção não é bloqueada pelo eixo R — ela é o que o eixo R produz.

§2.4 O que não é eixo: preferência

Interesse em sportsbook, interesse em cassino, perfil multivertical, esporte favorito, horário habitual — nada disso é eixo de roteamento. É conteúdo. Preferência não decide se alguém fala com um humano; decide o que se diz quando a conversa já foi autorizada pelos três eixos. Tratar preferência como eixo é o erro mais comum de CRM de iGaming, e é o que produz a mensagem que a norma proíbe: a que chega porque a pessoa gosta de roleta, não porque algo aconteceu com a conta dela.

Preferência vive na memória de relacionamento, tipada, com base legal declarada por campo e TTL por tipo — preferência declarada pelo apostador com prazo mais longo, preferência inferida de comportamento com prazo curto, e eliminação auditável no vencimento [premissa: os prazos exatos por tipo são decisão de política de dados, e devem estar no registro de tratamento antes do primeiro campo gravado].

§2.5 Contrato de dados: quem é dono de cada eixo

Um eixo sem dono e sem regra de dado faltante é uma coluna que apodrece. O contrato mínimo:

§2.6 Falha fechada sem derrubar a operação

"Falha fechada" mal implementada é um ponto único de falha vestido de compliance: uma indisponibilidade de trinta minutos na API do gov.br pararia inclusive a confirmação de autoexclusão, que é justamente a mensagem que não pode parar. O desenho correto tem três camadas:

1. Espelho local da autoexclusão centralizada, sincronizado continuamente, com defasagem máxima de 24 h [premissa de desenho, mais estrita que o prazo normativo de 72 h; a referência externa é o GAMSTOP, que checa a cada 24 h]. A consulta de fila roda contra o espelho, não contra a API remota. A API remota alimenta o espelho, não a decisão.
2. A falha fechada é por tipo de mensagem, não por sistema. Espelho mais velho que 24 h → M para de sair; T, C, P e S continuam, porque nenhuma dessas depende de opt-in e duas delas são obrigação legal. Parar a mensagem de proteção por indisponibilidade de infraestrutura é trocar um risco de compliance por outro maior.
3. A degradação é visível e cronometrada. Idade do espelho é métrica de operação com alarme; toda janela em que M ficou suspenso vira registro datado, e essa é a prova de que a trava funcionou — não a ausência de incidente.

Sem isso, o item mais barato de implementar vira o mais caro de operar: uma API instável desliga a receita comercial inteira e a equipe aprende a contornar a trava. Com isso, o pior caso é um dia sem campanha, com log.

§3. Quantas pessoas sobram para falar

Esta é a pergunta que um CEO faz antes de qualquer outra, e a seção original não a respondia. Os gates acumulam, e o resultado precisa estar visível.

O ponto estrutural primeiro: os gates reduzem a base contatável por mensagem comercial (M), e não reduzem em nada a base atendível por serviço, conta e proteção. Essas três não dependem de opt-in — duas delas são obrigação.

Deliberadamente não se preenche esse funil com números inventados. Mas deixar um CEO com sete pontos de interrogação também não é resposta. O que se entrega no lugar é o instrumento e o critério de decisão:

O instrumento. Sete consultas, todas executáveis contra dado que o operador já tem hoje, produzem o funil inteiro. Dono: dados/BI, com validação de compliance. Prazo: primeira semana de implantação, antes de qualquer desenho de campanha. É a entrega zero do projeto.

O critério de decisão, escrito antes de ver o número. Chame de c a fração da base que sobra contatável por M. Construir a trilha comercial custa a integração dos gates, a esteira de conformidade da peça (G11) e o teto de frequência — custo que independe de c. A receita esperada da trilha é proporcional a c. Existe, portanto, um c mínimo abaixo do qual a trilha comercial não se paga, e ele é calculável no dia em que o funil rodar, com a margem por contato do próprio operador. A recomendação de desenho é começar por serviço, conta e proteção em qualquer cenário, porque esses três alcançam 100% da base e não dependem de c; a trilha comercial entra depois, dimensionada pelo número real. Quem inverte a ordem constrói primeiro a parte que a regulação encolhe.

E a leitura estratégica que decorre disso: o produto se apoia na parte da base que não depende de opt-in (D2). Serviço, conta e proteção alcançam 100% e crescem com a regulação. O comercial alcança uma fração e encolhe com ela.

§4. Os segmentos pedidos, encaixados

A regra de roteiro do E3, que é onde este desenho mais facilmente vira o oposto de si mesmo. Falha de pagamento é ao mesmo tempo o momento de maior valor de serviço e o território dos sinais duros: depósito recusado em sequência e troca de método após recusa são gatilhos de degrau 2 [fonte: guidance UKGC; glossário do briefing]. O roteiro natural do atendimento — "tenta outro cartão", "tenta por PIX", "posso te indicar onde antecipar" — é simultaneamente a escalada de risco e uma vedação expressa (Lei 14.790/2023, art. 29, II e III; Portaria 1.231/2024, art. 4º, XV, sobre sugerir, intermediar ou facilitar crédito). Daí três proibições de roteiro, verificáveis em AutoQA de transcrição:

• Nunca sugerir método de pagamento alternativo após recusa. Informar o motivo da recusa quando conhecido, e parar.
• Nunca mencionar crédito, empréstimo, antecipação ou "onde conseguir", nem como gentileza informal.
• Checagem de sinal duro antes de qualquer conteúdo. Presente o sinal duro, o momento muda de trilha: sai de serviço e entra em protocolo de proteção, com o roteiro correspondente.

Saque travado é o outro lado do E3 e não tem essa contaminação: é serviço puro, e é onde o delta humano é mais defensável de todo o mapa.

**Sobre V4·E9 — o inativo de alto valor. É onde mora a Enteractive, que opera agentes humanos ligando 1:1 para inativos e está no Brasil desde 2020 [fonte]. É também onde a norma brasileira aperta: o art. 12, XII veda promover o produto como meio de recuperar valores perdidos; o art. 12, IV veda chamada para ação sugerindo ato imediato; e o art. 36, §1º, II exige reconfirmação de identidade após 90 dias de inatividade. O contato viável nessa célula é de conta**, com finalidade declarada de verificação ou encerramento — status, saldo, verificação vencida, prazo de encerramento. Não é despertador, e a diferença é testável: se o resultado desejado da mensagem é o retorno ao jogo, é reativação com outro nome, independentemente da redação. A distinção não é semântica: é a diferença entre um roteiro que sobrevive à fiscalização e um que replica exatamente a prática que o art. 12, XII nomeia.

§5. As quatro trilhas de serviço

§5.1 Quanto custa cada trilha, e de onde sai o número

A primeira versão desta seção trazia um índice de custo relativo (20–40×, 8–15×, 4–8×, 1×) que não era derivável das premissas declaradas. A segunda substituiu por aritmética explícita, mas cometeu um erro de comparação: calculou as trilhas 2 e 3 pelo tempo da interação, ignorando ocupação, enquanto calculava a trilha 1 por custo fixo dividido pelo uso real. Isso favorecia artificialmente as trilhas variáveis. A tabela abaixo corrige, e o número sobe.

Premissas de custo — atualizadas para o padrão único do documento. Concierge a R$ 6.500/mês CLT, fator de encargos 1,8, totalizando R$ 11.700/mês de custo-empresa; 150 horas produtivas por mês; portanto R$ 78 por hora, ou R$ 1,30 por minuto [premissa declarada, não pesquisada — é a mesma base usada na Parte V, e trocá-la muda toda esta tabela proporcionalmente]. A versão anterior desta seção rodava com fator 1,5 (R$ 9.750, R$ 65/h, R$ 1,08/min), que é piso de CLT sem benefício; o padrão único do documento é 1,8, fixado na Parte XVIII-B, §1.1, e todas as células abaixo foram recalculadas — sobem 20%. Ocupação de fila de 70% — o resto é pausa, passagem de turno, treinamento obrigatório e tempo entre momentos [premissa]. Desfecho automatizado a R$ 5–10, ponto médio da faixa de mercado de US$ 1–2 por desfecho [fonte para a faixa].

A leitura que importa não é o múltiplo: é que o custo da trilha dedicada é fixo e o da trilha por momento é variável. A trilha 1 se paga por cobertura de carteira; a trilha 2 se paga por desfecho. São modelos econômicos diferentes dentro do mesmo produto, e misturá-los num único índice foi o que produziu o número indefensável da primeira versão.

§5.2 O dimensionamento honesto

A concentração de receita diz onde está o dinheiro; a régua de capacidade diz onde cabe o humano contínuo. São coisas diferentes, e confundi-las transforma proposta comercial em ficção.

Primeiro, a correção aritmética que a versão anterior não fazia. A premissa antiga de "18 a 25 momentos por humano por dia útil" era incompatível com a própria premissa de 20 a 35 minutos por momento. Com 150 horas produtivas por mês e 21 dias úteis, o dia tem 7,1 horas, ou 428 minutos; a 70% de ocupação, sobram 300 minutos de trabalho efetivo em momento. Dividido por 20 a 35 minutos, isso dá 8 a 15 momentos por dia útil — pouco mais da metade do número anterior. Nenhum dado novo entrou; só a conta foi feita até o fim. A consequência é direta e vai assim para qualquer proposta: a capacidade da trilha 2 é cerca de 40% menor do que a versão anterior prometia.

A fórmula de dimensionamento, portanto:

pessoas na trilha 2 = momentos por mês ÷ (11,5 momentos/dia × 21 dias úteis) = momentos por mês ÷ 242

Divergência resolvida por hierarquia — Parte XVIII-B, §1.2. A Parte XI, §3.1 e a Parte XVIII, §0(3) chegam a 20 a 25 momentos por dia útil (400 a 525/mês) partindo de um T̄ de 10,3 a 13,8 minutos, contra os 20 a 35 minutos por momento assumidos aqui. As duas réguas são premissas ilustrativas e diferem por um fator de ~2. Elas não foram fundidas: foram hierarquizadas. A régua desta parte — 242 momentos/agente-mês — é a régua conservadora, e é ela que governa preço, SLA, headcount contratado e qualquer promessa comercial. A escada de 400/460/525 permanece no documento exclusivamente como cenário de ganho a validar, sempre rotulado, nunca como base de preço. T̄ por tipo de momento é a primeira medição do piloto, ao lado da folha real, e o contrato reajusta nos dois sentidos quando ela existir — a cláusula está na Parte XXII, §4.

Processar 3.400 momentos por mês exige 14 pessoas. A R$ 11.700 cada, R$ 163,8 mil por mês. A conferência contra a §5.1: 3.400 × R$ 58,50 = R$ 198,9 mil, dos quais 3.400 × R$ 7,50 = R$ 25,5 mil são plataforma, restando R$ 173,4 mil de tempo humano — 6% acima dos R$ 163,8 mil, diferença que vem do arredondamento das faixas. As duas contas fecham porque ambas carregam a mesma ocupação; era exatamente esse fechamento que faltava antes.

Sobre uma base ilustrativa de 100.000 apostadores ativos:

• O top 1% são 1.000 pessoas. A referência de concentração é britânica e mede gasto líquido, com as ressalvas da §2.2.
• Cobrir o top 1% inteiro com carteira dedicada a 12 contas por concierge exige 84 concierges. A R$ 11.700 cada, isso é R$ 982,8 mil por mês — cerca de R$ 11,8 milhões por ano — antes de supervisão, gestão, tecnologia e cobertura de férias e afastamento. Não fecha como ponto de partida.
• Logo, a trilha 1 recebe um recorte do top 1%: 10% a 20% dele [premissa], ou 100 a 200 pessoas, o que dá 7 a 17 concierges conforme a carteira seja de 15 ou de 12 contas. O restante do top 1% entra na trilha 2 com prioridade máxima de fila. O paralelo fora do setor sustenta a ordem de grandeza: Net-a-Porter EIP ≈ 3% da base e 40% das vendas; Farfetch Private Client ≈ 1% e 20% [fonte: imprensa setorial, não auditado].
• Trilha 3, a 75:1, cobre 7.500 apostadores por 100 humanos; com copiloto operando no teto de 150, dobra. O ganho de banda projetado por IA em customer success é de +25% a 50% por gestor até o fim de 2026 [projeção de CEO de fornecedor — hipótese, não plano].
• Trilha 4 cobre o resto. E aqui a distinção obrigatória: deflexão não é resolução. Deflexão realista de IA em 2026 fica entre 10% e 25%, com mediana honesta em torno de 22% [fonte: compilações independentes]; o Gartner separa desvio de 45%+ de resolução efetiva de 14% em self-service [fonte secundária — o relatório primário não foi lido, acesso bloqueado; não usar em peça de investimento sem ele]. O plano de capacidade se faz sobre resolução; o número de deflexão serve para relatório.

Onde a régua realmente se move. Gerentes de relacionamento em private banking passam 25% a 30% do tempo em diálogo com cliente e até 60% em trabalho administrativo [fonte: Backbase — fornecedor de software para o setor, ler com o viés declarado]. Aplicado à premissa de 150 horas mensais, no ponto médio de 27,5% [ponto médio da faixa, escolha declarada]: um concierge tem cerca de 41 horas efetivas de conversa por mês. Levar isso a 35% — recuperando sete pontos e meio de overhead com registro automático de desfecho, resumo de contexto e preenchimento assistido — dá 52,5 horas, ou +27% de capacidade. Na prática: a mesma carteira de 12 vira 15, ou os mesmos 84 concierges do cenário integral viram 66 para a mesma cobertura.

É por isso que a leitura estratégica é esta: o produto vendável não é o concierge, é o sistema que devolve o tempo do concierge. Cada ponto percentual de overhead recuperado é uma linha do plano de capacidade, e o plano de capacidade é o que define quantas células deste mapa a operação consegue atender.

§5.3 O custo de "quem serve não protege"

A separação da §1.3 é decisão de arquitetura, não frase de efeito, e ela aparece na folha de pagamento. A trilha 2 recebe momentos de serviço (E3, E5, E6, E11) e momentos de proteção (R3a, R3b) — e essas duas famílias não podem ser atendidas pela mesma pessoa para o mesmo CPF. Há duas implementações possíveis, e a escolha precisa estar explícita no contrato:

• Duas escalas separadas dentro do mesmo pool: roster de serviço e roster de proteção, com treinamento, roteiro, supervisão e indicador próprios. Custo: perda de flexibilidade de fila e uma folga de capacidade em cada roster que não se compensa entre eles. É a implementação recomendada, e é a que o desenho assume.
• Pool único com trava por CPF: a mesma pessoa atende serviço para uns e proteção para outros, nunca os dois para o mesmo apostador. Custo: mais barato e mais frágil — depende de uma verificação em tempo de atribuição, e uma falha dela é justamente o conflito de interesse que a regra existe para impedir.

A verificação automática da §7.4, item 7, roda nas duas. A diferença é que na primeira ela confirma um desenho; na segunda, ela é o desenho.

§6. A lista de exclusão

Aqui está a distinção que quase todo CRM erra: silêncio comercial não é silêncio total. Confundir os dois produz dois erros opostos e igualmente caros — enviar oferta a quem está protegido, ou parar de enviar aviso obrigatório a quem tem direito a recebê-lo. A taxonomia de mensagem precisa existir antes da lista:

Silêncio comercial = M desligado. Silêncio total = só T.

§A lista

1. Autoexcluído específico (num operador). Base: Portaria 1.231/2024, art. 11, VII — "abster-se de encaminhar material publicitário a apostadores que tenham solicitado sua autoexclusão". Permitido: T apenas. Devolução de saldo, confirmação, resposta a contato dele, requisição LGPD. Proibido: M, P e C proativos. Interpretação declarada, sem precedente administrativo: a leitura de que P também não vai para autoexcluído é escolha conservadora, e ela tensiona com o art. 3º, III, que obriga comunicação sistemática sobre jogo responsável "aos apostadores cadastrados". O fundamento da escolha é que quem se autoexcluiu já executou a proteção máxima disponível, e qualquer mensagem que reabra o canal é reengajamento com outro nome. A alternativa — manter P com frequência mínima — é defensável, e o operador precisa registrar por escrito qual das duas adotou e por quê. Reversão: fim do prazo escolhido, por ação dele, no sistema.

2. Autoexclusão centralizada (todas as autorizadas). Base: parágrafo único do art. 11, VII, incluído pela Portaria 2.579/2025 — o dever "aplica-se tanto à autoexclusão específica quanto à autoexclusão centralizada". Plataforma gov.br/autoexclusaoapostas em operação desde 10/12/2025, via Serpro/SIGAP; o CPF fica indisponível para novo cadastro e para publicidade direcionada; bloqueio pelo operador em 72 h; a IN 31/2025 deu 30 dias para implementar a verificação e devolver saldo. Permitido e proibido: idêntico ao item 1. Implicação de arquitetura: isto não é uma flag no CRM. É consulta na fila de envio contra espelho local, travada por CPF — nunca por telefone, e-mail ou device id — com defasagem máxima de 24 h e degradação por tipo de mensagem (§2.6).

3. Excluído por decisão judicial. Base: art. 11, VII, mesma redação. Permitido: T estrito, no cumprimento da ordem. Nada mais. Reversão: só por decisão judicial.

4. Beneficiário de Bolsa Família, BPC, Novo Desenrola ou renegociação Fies. Base: Portaria 2.217/2025 + IN 22/2025, cumprindo cautelares nas ADIs 7721 e 7723 do STF; extensões pelas Portarias 1.237/2026, 1.638/2026 e 2.066/2026. Natureza diferente das anteriores: não é silêncio comercial, é vedação de cadastro e uso. A comunicação permitida é a que executa o encerramento — aviso, devolução de saldo, orientação. Nenhum M, nenhum reengajamento, nenhuma tentativa de reclassificar. Reversão: perda da condição, verificada na fonte oficial, nunca por autodeclaração no chat.

5. Quem pediu remoção da lista. Base: art. 11, IV — mensagem não solicitada deve ser identificável e "permitindo e respeitando as solicitações de remoção da lista de destinatários"; art. 11, VI para o opt-in de origem. Permitido: T, C, S integralmente. E P — porque comunicação sobre jogo responsável é obrigação regulatória do art. 3º, III, não peça de marketing, e opt-out comercial não revoga obrigação legal. Interpretação declarada: sem precedente administrativo; a leitura conservadora é manter P com frequência mínima, conteúdo estritamente protetivo e registro do fundamento. Proibido: M, em qualquer canal, imediatamente. Reversão: só por ato afirmativo dele no sistema.

6. Inscrito no "Não Me Ligue" de São Paulo. Base: Leis estaduais SP 13.226/2008 e 17.334/2021, que estenderam o bloqueio a chamadas, SMS e mensagens por aplicativo — WhatsApp expressamente incluído. Trinta dias após a inscrição, proibido ligar ou mandar mensagem com oferta ou cobrança. Para dimensionar o risco: o Procon-SP acumula 852 investigações, 348 multas e cerca de R$ 260 milhões em telemarketing desde 2010 [fonte — número agregado de todos os setores, não do setor de apostas]. Permitido: T, C, P, S em todos os canais, inclusive SMS, porque a lei alcança oferta e cobrança, não aviso de conta. E M dentro do inbox proprietário: a lei alcança oferta ativa por telefone, SMS e aplicativo de mensagem, não o ambiente logado do produto que a pessoa abriu por vontade própria. Interpretação declarada; na dúvida, tratar o despertador (SMS ou push com conteúdo comercial) como alcançado. Proibido: qualquer M por chamada, SMS ou aplicativo de mensagem. Implicação: a trava é por CPF na fila de envio, não por número — a pessoa troca de número e o cadastro estadual é da pessoa. E leis análogas em outros estados não foram mapeadas: presumir que existem e tratar o cadastro estadual como consulta parametrizável por UF, não como integração única.

7. Em R2 (degrau 1), R3a (degrau 2) ou R3b (degrau 3). Base: Portaria 1.231/2024, art. 4º, VI a VIII; UKGC SRCP 3.4.3 §10, que manda cortar marketing e bônus assim que possível; dever de cuidado. R2 — permitido T, C, S, P; proibido 100% de M, não apenas oferta e incentivo (§2.2). Sem contato humano proativo — R2 é território de fricção automática e espelho. R3a e R3b — permitido T, C, S, P; proibido 100% de M até o caso ser encerrado com desfecho registrado. Além disso: nenhuma mensagem de proteção durante a sessão em perseguição de perda — a intervenção é fora do calor, no dia seguinte, em horário comercial. Receber classificação de risco maior que a autoimagem gerou dissonância e rejeição no estudo Playscan (n=757); a ligação motivacional da Svenska Spel, feita fora do calor, dobrou a adesão a limites — 10% contra 5%, n=1.420 alcançados vs. 1.504 não alcançados [fonte]. Daí a regra de conteúdo: espelho, não veredicto. Reversão: encerramento formal do caso, com justificativa escrita. Alerta sem desfecho é a prova fabricada da própria omissão.

8. Menor de idade, cadastro não validado ou identidade não reconfirmada. Base: Lei 14.790/2023, art. 26 (quem está impedido de apostar) e Portaria 1.231/2024, art. 36, §1º, II (reconfirmação após 90 dias de inatividade). A numeração exata dos incisos aplicáveis a menoridade deve ser conferida no DOU antes de virar cláusula contratual. Permitido: T e o fluxo estrito de verificação ou encerramento. Proibido: todo o resto.

9. Sem opt-in no cadastro. Base: art. 11, VI. Rigorosamente, isto não é exclusão — é ausência de porta. A pessoa nunca esteve elegível a M. Consta da lista porque, na prática, é a origem mais comum de contato indevido: base importada, lista herdada de afiliado, planilha antiga. Nenhuma dessas origens produz opt-in válido, e a responsabilidade é solidária do operador pelas ações do afiliado (arts. 21 e 22). Regra de implantação, dia 1: toda base preexistente entra em quarentena de M até que o opt-in seja reconciliado registro a registro contra o cadastro. Ausência de evidência de opt-in é tratada como ausência de opt-in. É o item da lista com maior probabilidade de já estar sendo violado numa operação em curso, e o mais barato de corrigir antes de qualquer disparo.

§Ordem de consulta na fila de envio

Os gates rodam antes de qualquer decisão de conteúdo, em cascata, com log individual por gate e carimbo de tempo:

G0 operador com autorização vigente na lista oficial da SPA → G1 autoexclusão centralizada (espelho ≤24h) → G2 autoexclusão específica → G3 exclusão judicial → G4 vedação por programa social → G5 idade/cadastro validado → G6 opt-in vigente → G7 "Não Me Ligue" por CPF e UF → G8 degrau de proteção → G9 teto de frequência (só M) → G10 janela do momento (só M) → G11 conformidade da peça → G12 contexto de entrega

G0 — autorização do operador. Verificação prévia na lista oficial é dever expresso de quem veicula comunicação associada ao operador (Lei 14.790/2023, art. 39, XII, com redação da Lei 15.358/2026, e art. 40, III; Portaria Interministerial 73/2026) [norma; texto literal da Portaria 73/2026 não obtido em fonte primária — conferir no DOU]. É o único gate que não depende da pessoa e o único que derruba a operação inteira quando falha, e por isso vem antes de todos.

G11 — conformidade da peça. Nenhuma mensagem comercial sai sem "18+" e uma das três frases de advertência, na horizontal, ocupando no mínimo 10% da peça, inclusive em ambiente digital (art. 13, redação da Portaria 1.964/2026, vigente desde 17/07/2026), identificada como publicitária e com o número da portaria de autorização (art. 15 e §3º). É gate de sistema, não conferência de redator: peça sem os elementos não é enviável. Consequência de desenho que costuma passar despercebida: a advertência de 10% inviabiliza a mensagem curta e casual — não existe M de uma linha.

G12 — contexto de entrega. Vedada a veiculação de mensagem publicitária durante o tempo de espera de atendimento sem consentimento prévio (Decreto 11.034/2022, art. 4º, §5º) [aplicabilidade às bets não declarada por ato da SPA — assumida pelo lado conservador]. Na prática, isto proíbe o padrão mais comum do mercado: encher a fila de espera do chat com oferta.

Zero contatos comerciais a apostador de qualquer item de 1 a 4 e de 7 é a métrica. Qualquer número diferente de zero é incidente reportável, não desvio percentual aceitável.

§7. A trava anti-perversão

O risco central deste produto não é errar a mensagem. É acertar demais: descobrir que perda, esgotamento e desespero são os melhores preditores de resposta comercial — porque provavelmente são — e deixar o sistema aprender isso sozinho. Nenhum modelo precisa de má intenção para chegar lá; basta otimizar conversão sem restringir o espaço de features.

A trava é estrutural, não declaratória.

§7.1 Features proibidas no modelo de elegibilidade comercial

Nenhuma das variáveis abaixo entra, direta ou derivada, em qualquer modelo, regra ou fila que decida contato comercial:

• Perda líquida no período, em qualquer janela
• Saldo negativo acumulado, drawdown ou distância do pico
• Velocidade e aceleração de depósito
• Depósito recusado, tentativa de depósito com método alternativo
• Saque cancelado ou revertido
• Troca de método de pagamento
• Sessão noturna, duração de sessão, escalada de stake, variabilidade de aposta
• Qualquer saída do detector de risco — score, nível, degrau, probabilidade, percentil
• Tempo decorrido desde a última perda relevante

Note o que essa lista é: exatamente o conjunto de marcadores com melhor poder preditivo de dano — os discretos e auditáveis da guidance da UKGC (saque cancelado, depósitos recusados em sequência, troca de método) e os clássicos de Braverman & Shaffer no dado bwin. O que os torna bons para proteger é o que os torna tóxicos para vender.

A objeção óbvia, respondida aqui e não depois. O E3 abre um momento a partir de depósito recusado, que está na lista. Não há contradição, e a fronteira é a palavra "comercial": esses eventos roteiam serviço e proteção, que é a finalidade que a lei autoriza (Lei 14.790/2023, art. 23, §3º); o que a lista proíbe é que eles alimentem o motor que decide contato comercial. O motor comercial não lê o evento, não lê o score, não lê o degrau — lê um booleano (§7.3). Se um dia passar a ler, a §7.4 detecta.

Base: Lei 14.790/2023, art. 23, §3º (monitoramento tem finalidade de proteção); Portaria 1.231/2024, art. 4º, VI; art. 12, XII (vedado promover o produto como meio de recuperar valores perdidos); art. 12, III (vedado encorajar prática excessiva); LGPD art. 11 (inferência sobre saúde é dado sensível, e a base defensável é cumprimento de obrigação regulatória, art. 11, II, "a" — não consentimento, que é revogável) e art. 6º, I e III (finalidade e necessidade).

§7.2 Features permitidas — e a regra que as mantém defensáveis

Volume apostado (handle) e valor teórico (theo/ADT) em janela de 12 meses; tenure; dias de atividade por mês; verticais utilizadas; adoção de funcionalidade; tickets abertos, resolvidos e reabertos; SLA cumprido ou estourado; canal preferido; resposta a mensagem anterior; eventos de conta (verificação, primeiro saque bem-sucedido, alteração de dados); marcos de relacionamento.

Duas regras de forma tornam essa lista auditável, e são elas que respondem à objeção mais afiada contra o desenho (§8.1):

Nível, nunca derivada. O eixo comercial usa valores acumulados em janela longa. Não usa taxa, aceleração, variabilidade nem desvio contra a própria média recente da pessoa — que é a forma matemática dos marcadores de dano.

Janela mínima de 30 dias no eixo V, com referência de 12 meses. Nada no eixo comercial enxerga a última semana. É a janela curta que carrega o sinal de perseguição de perda.

A distinção que sustenta tudo: valor se mede pelo que a pessoa movimenta, não pelo que ela perde. Theo e ADT existem há décadas em cassino justamente para definir orçamento de atenção sem olhar o prejuízo do jogador. Usar perda como critério de alocação é o desenho que a UKGC pune e que Macau desmontou.

§7.3 A separação física

Duas bases, não duas colunas na mesma tabela.

• O detector de proteção escreve num barramento próprio, com credencial própria, retenção própria e log de acesso individual.
• O motor comercial não lê score, nível nem degrau. Lê um booleano: elegível ou não elegível. Não recebe o motivo. Sem o motivo, não há como aprender o motivo.
• O join entre as duas bases é bloqueado por permissão, não por convenção, e a exceção operacional — necessária em investigação — é nominal, temporária e registrada.
• Nenhum campo do sistema carrega rótulo clínico. Grava-se evento, ação e desfecho. "Ludopata", "viciado", "problem gambler" não existem como valor possível em campo nenhum (Lei 14.790/2023, art. 26, VI — o diagnóstico exige laudo de profissional habilitado; LGPD art. 11).

§7.4 Como isso é auditado

1. Diff de features com aprovação bloqueante. Toda alteração no conjunto de variáveis do modelo comercial gera pull request com revisor de compliance nomeado. Feature nova sem aprovação não sobe.
2. Teste adversarial de reconstrução, trimestral. Treina-se, de propósito, um modelo que tenta prever o degrau de risco usando apenas as features do modelo comercial. Limiar de partida: AUC ≤ 0,60 — sendo 0,50 o acaso [premissa de calibragem, a fixar por escrito e revisar anualmente]. Acima disso, existe proxy de risco embutido na base comercial, e a feature de maior importância sai — mesmo que seja lucrativa. O resultado, aprovado ou reprovado, vira registro datado. A técnica não é nova; a prática é rara, e por um motivo verificável: o teste só tem serventia para quem está disposto a remover uma feature que dá dinheiro.
3. Reconciliação de contatos contra degraus. Cruzamento diário: contatos comerciais enviados × apostadores em R2, R3a ou R3b na data do envio. Resultado esperado: zero. Qualquer ocorrência abre incidente com prazo de resposta, não relatório mensal.
4. Log de acesso ao barramento de proteção, revisado mensalmente, com alerta para consulta em volume ou por credencial de time comercial.
5. Revisão da correlação entre elegibilidade comercial e degrau. Métrica concreta: taxa de degrau novo nos 30 dias seguintes entre contatados contra não contatados comparáveis. Se os contatados apresentarem incidência sistematicamente maior, existe proxy mesmo sem feature proibida. Dono: compliance. Prazo de resposta: o ciclo seguinte, com desenho revisto por escrito.
6. Auditoria de incentivo humano. Nenhum indicador de concierge, de time ou de contrato pode ser atrelado a volume depositado, perda gerada ou receita bruta do apostador atendido (art. 12, III; art. 22, II, "c"). Remuneração atrelada a depósito é lida como encorajamento à prática excessiva — e é o exato desenho que Macau proibiu por lei em 2022.
7. Separação de papéis verificável. Nenhuma matrícula aparece simultaneamente como responsável comercial e responsável de proteção do mesmo CPF. Verificação automática em tempo de atribuição, não política escrita (§5.3).

E a regra que fecha a seção, porque ordena todas as outras: o holdout aleatorizado que mede o incremento do toque humano nunca inclui pessoa em R2, R3a, R3b ou R4. Não se sorteia proteção. Mede-se causalidade em comercial e serviço; em proteção, mede-se cobertura, tempo até a ação e desfecho.

§8. As seis perguntas que derrubam esta seção

Cada uma já foi feita em sala, ou seria na primeira reunião. Todas têm resposta, e nenhuma resposta é "confie".

§8.1 "Vocês proíbem os marcadores de risco e depois permitem dois deles"

A objeção é técnica e está correta na premissa. Frequência e intensidade são dois dos quatro marcadores clássicos de Braverman & Shaffer, e a lista de features permitidas contém dias de atividade e volume apostado. Negar a correlação seria mentir.

O que se afirma é outra coisa, em três camadas verificáveis:

Forma. O que prediz dano não é o nível, é a derivada em janela curta — aceleração de depósito, variabilidade de aposta, escalada de stake, desvio contra a própria média recente. O eixo V usa nível acumulado em 12 meses e não enxerga a última semana (§7.2). Um apostador com handle alto e estável há um ano e outro com o mesmo handle concentrado em nove dias de perseguição de perda produzem o mesmo V — e produzem R completamente diferentes.

Função. Mesmo se houvesse correlação residual, o eixo V não decide contato. Ele decide prioridade de fila e orçamento de atenção. Quem decide se pode é o eixo R, que roda depois e tem veto absoluto (§2.3). Correlação em V não vira contato indevido sem uma falha simultânea em R — e R é falha fechada para M (§2.6).

Prova. O teste adversarial trimestral com teto de AUC (§7.4, item 2) converte a afirmação em medida periódica, com resultado datado e feature removida quando reprova. Se o argumento estivesse errado, o próprio teste da casa mostraria — e é por isso que ele existe.

O que não se afirma: que a correlação é zero. Afirma-se que ela é limitada por forma, neutralizada por ordem de execução e medida por instrumento próprio.

§8.2 "Depois de todos esses gates, sobra alguém para falar?"

Sobra menos do que a operação supõe para mensagem comercial, e sobra a base inteira para serviço, conta e proteção. O funil, o instrumento que o mede na primeira semana e o critério de decisão escrito antes de ver o número estão na §3.

O que precisa ser dito além disso é uma coisa só: o encolhimento da base comercial não é escolha deste desenho, é a condição de mercado. Autoexclusão centralizada, vedação por programa social, opt-in obrigatório e advertência de 10% já estão em vigor, e o PL 2.470/2026 aponta na mesma direção. Um desenho que ignore os gates não amplia a base — amplia a exposição. Quem construir a camada de relacionamento sobre o eixo comercial constrói sobre a parte que encolhe.

§8.3 "Optimove e Fast Track já fazem segmentação, supressão e frequency cap. E Zendesk já faz caso com dono e SLA."

Fazem os dois, e a §1.4 lista item por item — inclusive as duas peças que a versão anterior deste documento reivindicava indevidamente. Cerca de 80% desta matriz é configuração, implantável em semanas, sem propriedade intelectual a construir.

O que essas ferramentas não fazem — e não é falta de capacidade técnica, é falta de incentivo — são duas coisas: precificar o momento (elas cobram por contato, por assento ou por resolução deflexionada; nenhuma cobra por momento resolvido com custo de hora descontado) e medir incremento causal do toque humano contra holdout. Um fornecedor de CX que adote o segundo item passa a cobrar menos quando o humano entra. Os controles operacionais — log de gate, teste adversarial — usam mecanismo de prateleira e continuam raros pelo mesmo motivo: são caros de rodar e o resultado favorável é a ausência de coisa nenhuma.

§8.4 "E se o PL 2.470/2026 passar?"

Aprovado na CCT do Senado em 02/09/2026 com urgência, o texto proíbe publicidade de bets em praticamente todos os meios, com 365 dias de transição, e patrocínios em 24 meses [fonte]. Se avançar como está, o efeito sobre esta seção é cirúrgico e conhecido de antemão:

A matriz perde uma coluna, não a estrutura. É a consequência prática de ter separado, desde o começo, o eixo que diz "pode" do eixo que diz "há momento". Um desenho de CRM organizado por campanha não sobrevive a esse cenário; um organizado por momento e por gate sobrevive com uma coluna a menos.

§8.5 "Falha fechada no gate de risco é um ponto único de falha. Vocês acabaram de me vender um jeito de derrubar a operação toda vez que o gov.br piscar."

É a pergunta do CTO, e ela derrubaria a versão anterior desta seção, que dizia "consulta indisponível é tratada como R4 até voltar" sem qualificar o quê.

A resposta está na §2.6, em três mecanismos. A decisão de fila roda contra um espelho local sincronizado, não contra a API remota — indisponibilidade externa não é indisponibilidade de decisão. A falha fechada é por tipo de mensagem: só M para; T, C, P e S continuam, porque parar a confirmação de autoexclusão por instabilidade de rede seria trocar um risco de compliance por outro maior. E a degradação é cronometrada e visível, com a idade do espelho como métrica alarmada e cada janela de suspensão registrada.

O pior caso, com isso, é um dia sem campanha, com log. O pior caso sem isso é uma equipe que aprende a contornar a trava — que é como as travas morrem na prática: não por decisão, por atrito.

§8.6 "Serviço, conta e proteção já são obrigação minha, e eu já tenho call center. Por que eu pagaria de novo pela mesma coisa?"

É a pergunta comercial mais dura do documento, e a resposta não é "porque o nosso é melhor".

Primeiro: a obrigação costuma estar sendo cumprida em qualidade de deflexão, não de resolução. O Gartner separa desvio de 45%+ de resolução efetiva de 14% em self-service [fonte secundária, primária não lida], e a deflexão realista de IA em 2026 fica entre 10% e 25% [fonte]. Um atendimento dimensionado por volume atendido cumpre a letra do art. 28 e não produz nenhuma das três coisas que a norma vai cobrar quando cobrar: desfecho registrado por caso, tempo até a ação e prova de que o alerta virou decisão. A Betfred pagou £900 mil por uma janela de sete dias entre alerta e revisão — não por não ter atendimento.

Segundo: o que se cobra não é a hora, é o momento resolvido com incremento medido. É a diferença de unidade, e ela muda o alinhamento de interesse. Um prestador pago por hora quer mais horas; um prestador pago por momento resolvido quer que a automação resolva o que pode resolver e reserva o humano para onde o ΔP_humano paga a hora. É o único arranjo em que o interesse de quem presta e o de quem contrata apontam para o mesmo lado.

Terceiro: a comparação certa não é contra o atendimento atual, é contra o custo esperado da falha. A multa federal vai de 0,1% a 20% da arrecadação, com teto de R$ 2 bilhões por infração e dobra em reincidência de três anos (Lei 14.790/2023, arts. 41, II e 42, §3º); a multa diária por descumprimento na SPA é de R$ 200 mil; foram 39 processos concluídos entre maio de 2025 e maio de 2026 [fonte].

O que não se afirma: que este desenho reduz multa em X. Não há precedente sancionador da SPA sobre comunicação 1:1 [aviso 7 do briefing] e, portanto, não há base para calcular redução de risco em reais — quem apresentar essa conta está inventando. O que se afirma é que o desenho produz a documentação que uma fiscalização pede, e que hoje quase ninguém tem.

§9. Tabela de roteamento

Frequência máxima é contada por CPF, somando todos os canais, e vale só para mensagem comercial (M). Mensagem transacional, de conta, de proteção e de serviço reativo não conta no teto. Os valores abaixo são premissa operacional de partida, a calibrar por taxa de resposta e por reclamação — não são benchmark.

§Três notas sobre a tabela

Sobre o canal. O inbox aparece em quase todas as linhas porque é o canal-âncora (D1): dentro do produto, com identidade resolvida, idade verificada, autoexcluído bloqueado na porta, custo marginal zero por mensagem, log completo e nenhuma política de terceiro capaz de desligar a operação — que é o que iFood e Nubank Ultravioleta escolheram para atendimento premium no Brasil [fonte]. E-mail, SMS e push são despertadores em geral: trazem a pessoa de volta ao inbox, não carregam a conversa. A exceção são as células de inatividade, onde não há despertador — só notificação de conta com finalidade de verificação ou encerramento. Telefone entra onde há contratação e onde o momento pede voz. RCS não entra enquanto a AUP vigente do Google para "regulated goods and services" no Brasil não for auditada [aviso 14 do briefing].

Sobre o WhatsApp. Não aparece na tabela porque o Brasil não está entre os cinco países em que a Meta permite mensageria sobre jogo a dinheiro (Austrália, Japão, Colômbia, México e Peru) — a proibição alcança mensagens sobre a vertical, não só promoção, e a licença da SPA é expressamente irrelevante para a política da Meta [fonte: WhatsApp Business Messaging Policy, Seções 4, 5 e 6]. O ativo em risco no enforcement é o Business Portfolio que sustenta a operação de tráfego pago do grupo, não um número. O WhatsApp Business App, o gratuito, está vedado para vertical regulada em qualquer hipótese e em qualquer país (Seção 5) — inclusive nas praças permitidas. Em Colômbia, México e Peru, a mesma tabela roda com o WhatsApp Business Platform somado ao inbox, e duas regras da própria política mudam o desenho ali: não se pede CPF, conta, cartão ou documento dentro do chat, e dado obtido da Meta não alimenta segmentação nem scoring — ou seja, nada vindo daquele canal entra no eixo V. A retenção máxima de 30 dias na Meta também obriga persistir a thread no webhook, ou não há prova de nada em 31 dias.

Sobre a revisão. Cada coordenada tem gatilho de revisão porque segmento sem prazo de validade apodrece em silêncio. Além dos gatilhos por célula, quatro revisões de calendário: semanal para a reconciliação de contatos contra degraus (§7.4, item 3) enquanto a operação estabiliza; mensal para tetos de frequência contra taxa de resposta e reclamação, e para o log de acesso ao barramento de proteção; trimestral para qualificação das carteiras dedicadas e para o teste adversarial de reconstrução; semestral para a régua de capacidade — porque cada ponto de overhead administrativo devolvido ao concierge muda o desenho inteiro, e é essa recuperação de tempo, não o carisma do atendente, que o produto vende.

§10. Ordem de implantação

A matriz é implantável em semanas, e a ordem importa mais que a velocidade. Nada aqui depende de tecnologia que não exista.

Dia 1 — antes de qualquer disparo. Quarentena de M sobre toda base preexistente até reconciliação de opt-in registro a registro (§6, item 9). Verificação de autorização vigente do operador (G0). Contrato do art. 22 assinado, em português, à disposição da SPA.

Semana 1 — o funil. As sete consultas da §3, rodadas por dados/BI com validação de compliance. Produto: a fração c da base contatável por M, e a decisão binária sobre dimensionar ou adiar a trilha comercial. É a entrega zero, e precede o desenho de campanha.

Semanas 2 a 6 — os gates e o log. Cascata G0 a G12 na fila de envio, com log individual por gate e carimbo de tempo. Espelho local da autoexclusão centralizada com alarme de idade (§2.6). Falha fechada por tipo de mensagem. Reconciliação diária contra degraus. Nesta fase o sistema pode ainda não decidir nada de novo — ele já produz a prova.

Semanas 4 a 10 — os eixos. V com janela de 12 meses e regra de rebaixamento; E no barramento de eventos, começando por E3, E6, E11 e E12, que são os de latência crítica; R como booleano lido pelo motor comercial, com as duas bases fisicamente separadas (§7.3).

Trimestre 1 — a medição. Primeiro lote da carteira dedicada com implantação escalonada e lote de controle (§1.3). Primeiro holdout aleatorizado em comercial e serviço, nunca em proteção. Primeiro teste adversarial de reconstrução, com resultado datado e arquivado, aprovado ou reprovado.

O que não entra no trimestre 1: qualquer promessa de resultado financeiro. O trimestre 1 produz o instrumento de medição. O número vem do trimestre 2, e vem com contrafactual.

§PARTE V — NEXT BEST SERVICE

§1. O conceito

O motor de decisão que o mercado de CRM vende há mais de uma década responde a uma pergunta só: qual oferta apresentar agora. A Pega formalizou isso numa multiplicação de quatro fatores — Prioridade = P × C × V × L, propensão vezes peso de contexto vezes valor da ação vezes alavanca de negócio (Pega Academy, Action arbitration) — e Adobe, SAS, Braze e Salesforce arbitram variações da mesma coisa. A equação é pública, é trivial e é reproduzível num sprint. Não há propriedade intelectual nela, e qualquer material que a apresente como invenção é desmontado na primeira reunião técnica. Este documento a publica de propósito.

O problema é anterior à equação. Num setor onde a ação mais valiosa costuma ser resolver, explicar, aguardar ou não fazer nada, um motor que só sabe escolher oferta está otimizando o conjunto errado. O apostador brasileiro que abre o produto às 21h de uma terça não está esperando uma sugestão de mercado — está esperando entender por que o saque de R$ 380 pedido ontem ainda consta como "em análise". A melhor ação disponível naquele instante não tem preço de tabela, não entra em campanha e não aparece em nenhum relatório de conversão. Ela tem, no entanto, efeito regulatório imediato, porque explicar condição de saque é literalmente o serviço que o art. 28 da Lei 14.790/2023 manda existir.

Sobre o efeito econômico dessa ação, este documento não afirma nada — ele monta o instrumento que mede. A hipótese de trabalho é que resolver vale mais, em margem preservada, do que a oferta que o motor tradicional colocaria no lugar. É uma hipótese testável por holdout (§6), e a seção inteira existe para transformá-la em número em vez de em retórica. Nenhum número de resultado aparece aqui como fato.

Some-se o cerco normativo. Vedada a vantagem prévia (Lei 14.790/2023, art. 29, I). Vedada a chamada para ação que sugira ato imediato (Portaria 1.231/2024, art. 12, IV). Vedada a abordagem para recuperar perdas (art. 12, XII). Obrigatória a advertência ocupando 10% da peça em qualquer comunicação de marketing, inclusive digital (Portaria 1.964/2026, vigente desde 17/07/2026). E, se o PL 2.470/2026 — aprovado na CCT em 02/09/2026 — avançar como está, a publicidade de bet deixa de existir como categoria. Num ambiente assim, o catálogo de ações comerciais encolhe até virar resíduo e o catálogo de ações de serviço passa a ser o único conjunto grande o bastante para arbitrar. Next Best Offer não é errado; é pequeno demais para o mercado que está se formando.

A pergunta central do motor, então, é outra:

Qual é a coisa mais útil que podemos fazer por esse apostador agora — e vale a pena fazê-la com gente?

"Útil" não é uma palavra de brochura. Precisa virar função. E precisa ter dois termos, não um.

Termo 1 — utilidade para o apostador. O que aquela ação resolve, esclarece, antecipa ou evita na vida da pessoa. Mensurável por proxies duros: fechamento de caso sem reabertura, redução de contatos subsequentes sobre o mesmo tema, adoção de uma ferramenta que a pessoa procurava, tempo até a dúvida deixar de existir. Não é satisfação declarada — a evidência mais robusta disponível diz que reduzir esforço prevê lealdade melhor do que superar expectativa, e que interações de serviço são cerca de quatro vezes mais propensas a gerar deslealdade do que lealdade (CEB/Gartner). Utilidade aqui é remoção de atrito, não encantamento.

A monetização de Uj não pode ser deixada em aberto, porque é o ponto onde um documento assim costuma virar poesia. A conversão é declarada, versionada e aprovada pelo comitê, com três parcelas somadas: (a) contatos futuros evitados × custo médio de contato assistido da operação; (b) risco de escalada consumerista evitado × custo médio de um caso de Procon/ouvidoria daquele operador; (c) margem preservada por continuidade, e só essa terceira parcela vem de modelo. As duas primeiras vêm da contabilidade do próprio operador, o que significa que Uj é auditável linha a linha antes de qualquer modelo entrar em campo.

Termo 2 — valor para a operação. A margem esperada que aquela ação preserva ou destrava num horizonte declarado. Ancorada em valor esperado futuro, estimado por modelo de sobrevivência, nunca em valor perdido pelo apostador. Essa distinção não é estética: alocar atenção humana por perda acumulada é exatamente o desenho que a UKGC puniu treze vezes desde 2020 (Betway £11,6 mi, 2020; Entain £17 mi, 2022; William Hill £19,2 mi, 2023) e que a lei de Macau de 2022 destruiu ao proibir revenue share com concessionária — dos 235 promotores de 2014 restavam 18 em 2024.

A restrição dura — o que é permitido. Elegibilidade não é um termo da soma nem um peso: é um filtro que roda antes da pontuação e derruba a candidata da lista. Na notação abaixo ela aparece como multiplicador binário E, por conveniência de escrita; na implementação, a candidata bloqueada nunca chega a ser pontuada, e o motor falha fechado — na dúvida, ou com dado de gate vencido, não envia. Bloqueiam: autoexclusão específica ou centralizada (Portaria 1.231/2024, art. 11, VII e parágrafo único da Portaria 2.579/2025), ausência de opt-in (art. 11, VI), vedação por programa social (Portaria 2.217/2025 e IN 22/2025), inscrição no "Não Me Ligue" paulista para canais telefônicos e de aplicativo (Leis SP 13.226/2008 e 17.334/2021), degrau de risco ativo cortando conteúdo comercial. Se o gate diz não, o melhor score do mundo vale zero. A Pega chega à mesma conclusão por outro caminho — as Engagement Policies filtram antes da arbitragem. Aqui isso deixa de ser conveniência de engenharia e vira exigência de prova: o gate registra o que bloqueou, porque o registro do bloqueio é o documento que se mostra ao fiscal.

Um último ponto de desenho, e é o que separa este motor de um decisioning comum: a urgência é do motor, nunca do texto. O termo de decaimento temporal existe para ordenar a fila interna. Ele jamais se transforma em "aproveite agora" na tela do apostador — isso é o art. 12, IV, e é multa.

§2. O catálogo de serviços

O motor só escolhe dentro de um catálogo fechado, versionado e aprovado. Ação que não está no catálogo não existe, não é executada e não é sugerida por LLM. Essa é a diferença entre um sistema auditável e um agente autônomo conversando com apostador — que, no Brasil de hoje, é passivo, não produto.

Cada ação carrega seis atributos obrigatórios: pré-condição (o que precisa ser verdade), canal, executor (automação determinística, IA, ou concierge humano), custo estimado, desfecho medido (um indicador nomeado, com janela, que decide se a ação fica no catálogo) e base normativa (o artigo que a autoriza ou a limita, registrado na ficha da ação e omitido das tabelas abaixo por espaço).

§2.1 Base de custo — premissas declaradas, ilustrativas

Nenhum número abaixo é resultado observado. São premissas de modelagem, explicitadas para que o leitor possa trocá-las.

Toda célula da coluna "Custo est." nas tabelas seguintes é derivada desta base, e não observada: minutos estimados de concierge × R$ 1,30, arredondado, mais o valor eventualmente restituído. A faixa expressa o intervalo entre a variante simples e a variante com exceção. Troque a hora de R$ 78 e todas as faixas se movem proporcionalmente. As faixas foram recalculadas na troca do fator de encargos de 1,5 para 1,8: cada uma subiu 20% sobre a versão anterior deste capítulo.

A escolha do inbox proprietário como canal-âncora tem consequência direta na arbitragem: quando a mensagem custa zero, o custo relevante passa a ser a paciência do apostador, e não a tarifa do canal. Registre-se que essa escolha não é preferência estética — WhatsApp está fora do Brasil para esta vertical por política da Meta, que alcança inclusive atendimento e independe da licença da SPA. A comparação abaixo é contrafactual, e serve para mostrar o que se ganha ao sair de lá: num desenho ancorado em WhatsApp, o modelo econômico seria dominado pela tarifa de template (US$ 0,0625 por mensagem de marketing entregue no Brasil, sem desconto por volume, rate card citado como vigente desde 01/07/2026 — número convergente entre duas fontes secundárias, rate card oficial ainda não baixada) e pelo teto adaptativo de templates, agregado entre todas as empresas que escrevem para aquela pessoa. Num inbox próprio, esses dois limitadores somem — e sobra o limitador que sempre importou.

§2.2 Família RESOLVER — o problema existe e tem solução no sistema

§2.3 Família EXPLICAR — a informação existe e não chegou

§2.4 Família ANTECIPAR — o problema ainda não aconteceu

§2.5 Família ACOMPANHAR — já existe um caso vivo

§2.6 Família CONFIRMAR — algo mudou e precisa de validação

§2.7 Família ORIENTAR — a funcionalidade existe e a pessoa não sabe

§2.8 Família ENCAMINHAR — a resposta está fora daqui

§2.9 Família PROTEGER — arbitragem econômica não se aplica

Os SLAs de 24h e 4h úteis são política interna, não prazo legal. A Lei 14.790/2023, art. 28 não fixa prazo de resposta; o Decreto 11.034/2022 (SAC), se aplicável às bets — ponto ainda não pacificado, nenhum ato da SPA o disciplina —, daria 7 dias corridos. O desenho adota prazos mais curtos por decisão de arquitetura e porque o precedente Betfred pune a janela larga, não porque a norma os exija.

Sobre o "Não Me Ligue" e a ligação de proteção. As Leis SP 13.226/2008 e 17.334/2021 proíbem chamada ou mensagem com oferta ou cobrança. O contato de proteção de P3 não é oferta nem cobrança, é cumprimento do art. 4º, VI a VIII — mas a distinção precisa estar escrita, aprovada pelo jurídico do operador e registrada na ficha da ação, e o contato não pode carregar nenhum conteúdo comercial acoplado. Na dúvida operacional, o canal cai para o inbox, que não está no escopo da lei estadual.

§2.10 Família RECONHECER — prestação de contas, não isca

§2.11 A ação nula — e ela ganha com frequência

Vinte e nove ações e três saídas nulas — 32 entradas de catálogo. Nenhuma delas é uma oferta. A ação nula é uma saída de primeira classe, com registro obrigatório, e não um estado default silencioso — porque "nenhuma ação adicional" sem justificativa escrita é exatamente a peça que custou £900 mil à Betfred, quando o processo interno sinalizou a conta e só a reveria sete dias depois, intervalo em que o cliente perdeu £17.900 em 24 horas (UKGC, 30/06/2026).

§3. A arbitragem

§3.1 O score de serviço

Para cada ação candidata a, apostador i, instante t:

S(a, i, t) = E(a, i, t) × [ ( wj · Uj(a, i) + wo · Vo(a, i) ) × D(a, t) ] − Cexec(a, i) − Pcontato(a, i, t)

Executa-se argmax S. Se o máximo for negativo, executa-se Z1 — silêncio deliberado. Essa é a diferença de comportamento mais visível entre este motor e um decisioning de campanha: o default é não falar.

Dois pesos precisam de nota. wj e wo são parâmetros de política, não de otimização — não se aprendem por gradiente contra receita, porque um motor que aprende wj sozinho converge para zero. São aprovados pelo comitê de catálogo (§6), publicados no contrato com o operador e auditáveis. É a diferença entre um sistema com valores declarados e um sistema com valores emergentes.

§3.2 ΔP_humano — o número que ninguém calcula

Toda ação do catálogo tem, no mínimo, uma variante automatizada. Muitas têm também uma variante executada por concierge. A pergunta que nenhum motor comercial responde não é "qual humano" — é "humano ou não, e vale quanto". Genesys, com predictive routing, ranqueia agentes do pool para prever quem lida melhor com a interação. Afiniti, com behavioral pairing, casa cliente e agente por padrão histórico. Ambos pressupõem que o humano já entrou. A decisão de entrar não é arbitrada por ninguém.

Define-se:

ΔP_humano(a, i) = ganho incremental na probabilidade do desfecho-alvo quando a ação a é executada por concierge, em vez de pela melhor variante automatizada disponível, para o apostador i no contexto atual.

É uplift, não propensão. Não é "qual a chance de resolver" — é "quanto a mais resolve por ter sido gente". A distinção é a mesma que separa uplift modeling de propensity modeling em marketing (Zhao & Harinen, Uplift Modeling for Multiple Treatments with Cost Optimization). Não localizamos aplicação publicada dessa metodologia ao canal humano como tratamento — o que é ausência de evidência, não evidência de ausência, e assim deve ser dito a um comprador técnico.

O valor incremental do toque humano é:

ΔV(a, i) = ΔP_humano(a, i) × Vdesfecho(a, i)

E o retorno por hora de agente:

R(a, i) = ΔV(a, i) / Tesperado(a, i)          [R$ por hora de concierge]

Com isso, a decisão "humano ou não" deixa de ser uma regra de negócio escrita à mão — "todo cliente do tier ouro fala com gente" — e vira uma comparação econômica. Um caso de saque travado num apostador de valor médio pode ter retorno por hora maior do que uma conversa consultiva com um apostador de topo — e o motor vai preferir o primeiro. Essa inversão é o comportamento mais contraintuitivo e mais correto do sistema, e é o que substitui a heurística de concentração ("o top 1% é 37,4% da receita, logo o top 1% fala com gente") por uma alocação que olha o caso, não o rótulo.

Uma unificação que precisa estar escrita, porque a versão anterior deste desenho tinha duas réguas. Não existem dois critérios — um argmax S para escolher a ação e outro R > λ para escolher o executor. Existe um só: o custo de execução da variante humana em S é o custo de oportunidade da hora, Cexec = λ · T, e não o custo folha. Substituindo, a variante humana só vence a automatizada quando ΔV > λ · T, isto é, quando R > λ. O argmax S já implementa a regra de piso; R e λ são a leitura humana da mesma desigualdade, e é por isso que a fila do concierge e a fila do motor nunca divergem.

Vale a honestidade técnica que sustenta o argumento: o construto formal existe na academia sob o nome Learning to Defer (Mozannar & Sontag), com versões sensíveis a custo, com múltiplos especialistas e — o caso operacional real — com restrição de capacidade humana (DeCCaF), além de benchmark publicado na Scientific Data/Nature em 2025 com o gerador OpenL2D. Reivindicar invenção científica aqui é derrubável em dez minutos. O que não existe é a embalagem: L2D com função de custo de iGaming brasileiro, catálogo de serviço calibrado, gate normativo como restrição dura e método de medição em produção. Isso ninguém montou.

§3.3 A restrição de capacidade

O motor não arbitra no vácuo. Arbitra contra uma agenda finita de horas de concierge, e a régua de capacidade não é generosa: 8 a 15 contas por gestor em high-touch, até 75 em assistido (TSIA; Customer Success Collective). Acima de ~150 por humano, a promessa é ficção — a não ser que o copiloto devolva o tempo administrativo, e o gargalo do relacionamento de alto valor é justamente esse: gerentes de private banking passam 25–30% do tempo em diálogo direto e até 60% em trabalho administrativo (Backbase — fonte de fornecedor, tratar como ordem de grandeza).

A formulação é de alocação com orçamento. Em cada ciclo de agendamento (a granularidade prática é o turno), com H horas disponíveis no pool:

maximizar   Σ  x(a,i) · ΔV(a,i)
sujeito a   Σ  x(a,i) · Tesperado(a,i)  ≤  H
            x(a,i) ∈ {0,1}
            Σa x(a,i) ≤ 1   (um item por apostador por janela)

Precisão que um CTO vai cobrar: com a última restrição, isto não é uma mochila simples, é uma mochila de múltipla escolha (MCKP), e a solução gulosa por densidade ΔV / T — que é exatamente R(a,i) — deixa de ser ótima na relaxação. O procedimento correto e ainda barato é o clássico: para cada apostador, manter apenas as variantes na envoltória convexa de (T, ΔV), ordenar por densidade incremental e alocar até estourar H. A relaxação linear continua fornecendo o multiplicador que faz o sistema funcionar sem regra escrita à mão:

λ = valor marginal da última hora alocada — o preço-sombra da hora de concierge.

λ é o piso automático, e por construção λ ≥ R$ 78/h: nunca se aloca uma hora por menos do que ela custa em folha. Quando a fila esquenta, λ sobe e o motor fica mais seletivo sozinho. Quando a fila esvazia, λ cai até o piso de custo direto e ações de retorno menor entram. Ninguém escreve "só clientes acima de X"; o limiar emerge da escassez. E quando os concierges são diferenciados — carteira nominal, especialidade, histórico com aquele apostador —, o problema vira designação (assignment), e é aí, e só aí, que o pareamento estilo Genesys/Afiniti entra: como subproblema, depois que a decisão econômica já foi tomada.

Duas agendas, não uma. Antes de qualquer arbitragem econômica, um bloco de horas é retirado do pool e reservado para as ações da família PROTEGER. Esse bloco não compete com receita, não é liberado quando a fila comercial está cheia e é operado por gente que não atende a mesma carteira comercial — separação estrutural entre quem serve e quem protege, com indicadores distintos. Um degrau 2 com SLA de 24h e um degrau 3 com SLA de 4h úteis não podem depender de λ, porque o preço-sombra de uma hora não tem nada a dizer sobre um dever legal. Proteção é obrigação (art. 3º, III e art. 4º, VI a VIII), e obrigação não se arbitra. O dimensionamento do bloco é decisão do comitê, revisto a cada ciclo contra a demanda observada de sinais duros, e o estouro do bloco é incidente registrado — não fila de espera silenciosa.

§3.4 A penalidade de contato

Atenção é estoque, não fluxo. Cada apostador tem um orçamento de toques não solicitados por janela — parâmetro de política, diferenciado por família de ação (uma confirmação de segurança não gasta o mesmo que uma prestação de contas). O valor de partida sugerido, ilustrativo e a ser calibrado, é de dois toques não solicitados por 7 dias para as famílias informativas, com CONFIRMAR e PROTEGER fora do orçamento. Pcontato é o preço-sombra desse orçamento: cresce à medida que a janela se consome e explode quando ela acaba.

O efeito prático é que o motor compete consigo mesmo pelo direito de falar. Uma ação medíocre hoje bloqueia uma ação excelente amanhã, e o score já sabe disso. Ações puxadas — respostas a pergunta, status de caso aberto pelo próprio apostador — não consomem orçamento. É a mesma economia que, no WhatsApp, faz a janela de 24h aberta por resposta do usuário ser gratuita enquanto o template fora dela é cobrado e sujeito a teto: quem faz a pessoa responder ganha espaço. No inbox proprietário a tarifa é zero, mas a escassez de atenção continua exatamente igual.

§3.5 Como ΔP_humano é estimado sem enganar a si mesmo

Este é o ponto onde um desenho ingênuo se auto-sabota, e ele merece parágrafo próprio: o grupo tratado é selecionado pelo mesmo score que decide o tratamento. Se o humano só atende quem tem R alto, comparar atendidos com não atendidos mede seleção, não efeito. Três medidas resolvem, e nenhuma delas é cara:

(1) Randomização na banda, não na base. O sorteio acontece apenas entre as candidatas que ficaram numa faixa em torno de λ — as que o motor considera quase indiferentes. Ali a atribuição é genuinamente aleatória, ninguém deixa de ser servido (a variante automatizada roda nos dois braços) e o estimador é local à fronteira, que é exatamente onde a decisão importa. O desenho é o mesmo de uma descontinuidade de regressão com faixa de aleatorização.

(2) Holdout permanente por família. Fora da banda, uma fatia declarada por família de ação — 5% a 10%, parâmetro de política, não benchmark — recebe a variante automatizada mesmo quando o humano venceria. Isso ancora a estimativa longe da fronteira. Nunca em PROTEGER (§6).

(3) Orçamento de exploração como linha de custo. Casos de alta incerteza recebem humano mesmo abaixo de λ, com uma fatia de horas reservada, contabilizada como custo de aprendizado e reportada separadamente da operação. Sem isso o motor nunca descobre valor na cauda longa, porque nunca a trata.

Os três mecanismos juntos produzem um estimador com intervalo de confiança declarado por família, e o intervalo — não o ponto — é o que entra na decisão: quando ele cruza λ, a política é explorar, não decidir.

§4. As perguntas que derrubam esta seção — e as respostas

Quatro objeções previsíveis, respondidas antes de serem feitas.

**"O motor depende de ΔP_humano, que só existe depois de meses de holdout. O que eu compro no mês 1?"** No mês 1 não se vende o uplift, vende-se o resto: o gate determinístico com registro de bloqueio, o catálogo aprovado, o log de decisão que inclui a não-ação e a separação de agendas. Isso já é o entregável de compliance, e vale sozinho — é a prova documental que hoje não existe. ΔP_humano entra com prior conservador (zero, ou o efeito médio da família estimado na sombra), o que significa que no mês 1 o motor manda quase tudo para automação e o humano roda por regra de exceção declarada, exatamente como já roda hoje na operação. A cada ciclo de holdout o prior é substituído por medição. O preço acompanha essa curva: fase 1 cobra pelo controle instalado, fase 2 cobra pelo incremento medido. Vender incremento no mês 1 seria vender o número que ainda não existe.

"Isso não é usar dado de comportamento de jogo para decidir quem recebe atenção comercial?" É a acusação mais fácil de formular e a mais difícil de defender por retórica, então ela é respondida por arquitetura. A classificação de risco vive em tabela separada da tabela de campanha, com acesso auditado e chaves distintas, e entra no motor por um único caminho: como bloqueio. Nenhuma feature derivada da tabela de risco alimenta Uj, Vo, ΔP_humano ou a fila do concierge — a lista de features de cada modelo é versionada e conferida no comitê. Um degrau ativo pode tirar ações comerciais do conjunto; nunca pode priorizar ninguém. Base legal do processamento de risco é cumprimento de obrigação regulatória (LGPD art. 11, II, "a"), não consentimento, porque consentimento é revogável e a revogação derrubaria uma obrigação que a lei impõe. E o inverso também é regra: nada da tabela de campanha é usado para atenuar um degrau de risco.

"Se vocês ranqueiam a fila do concierge por retorno em reais, o atendente não passa a ser cobrado por receita?" Não, e a separação é contratual. R e λ são parâmetros de alocação do motor, não de avaliação de pessoas. A remuneração do concierge não pode ter componente variável atrelado a depósito, GGR ou volume apostado — isso é lido como encorajamento à prática excessiva (art. 12, III; art. 22, II, "c") e é justamente o desenho que a UKGC pune e que Macau destruiu. Os indicadores individuais do concierge são de execução e de qualidade: promessa cumprida, caso fechado sem reabertura, desfecho registrado, aderência ao script aprovado. Quem opera a agenda de proteção não tem nenhum indicador de receita, de nenhum tipo.

"Por que o operador não constrói isso internamente num trimestre?" A equação, ele constrói numa semana — e este documento a entrega pronta. O que não se constrói num trimestre é o catálogo com 32 pré-condições conferidas artigo por artigo, os desfechos nomeados e instrumentados, o holdout rodando há tempo suficiente para produzir intervalo de confiança, e a disciplina de manter a agenda de proteção fora da conta de receita quando o trimestre aperta. A barreira é operacional e temporal, não algorítmica — e é honesto dizer isso em vez de fingir que existe segredo matemático.

§5. Dados necessários

Honestidade sobre a linha de base: uma bet brasileira tem plataforma, PSP e ferramenta de ticket, quase sempre de fornecedores diferentes, com o dado de conversa fora do alcance analítico. O motor precisa ser projetado para funcionar com a camada 1 e melhorar com as outras — não para exigir a camada 3 no dia 1.

§Camada 1 — indispensável para a v1

Sobre o espelho de autoexclusão: a norma dá ao operador 72 horas para bloquear. O desenho aperta para 24h por decisão de arquitetura, e o comportamento na falha é explícito: se o espelho estiver mais velho que a defasagem declarada, todas as ações comerciais são suprimidas até a sincronização voltar. Fail-closed é regra, não exceção — e a supressão por dado vencido é registrada como Z3, com o motivo, porque um período sem envio precisa ser distinguível de um período sem controle.

Isolamento entre risco e campanha. As tabelas que guardam degrau de risco, sinais duros e desfechos de proteção ficam em esquema separado, com controle de acesso próprio e trilha de leitura auditável. A tabela de campanha não tem permissão de leitura sobre elas; recebe apenas um booleano de supressão, sem motivo e sem grau. Essa é a diferença entre um produto que resiste a uma inspeção da ANPD e um que depende de acreditarem na boa intenção.

§Camada 2 — melhora materialmente

Conteúdo das conversas tipado por tema e desfecho, alimentando Uj com o que de fato encerra um assunto. Memória de relacionamento tipada, com base legal por campo e TTL — capturada no ponto de observação, com fricção quase zero, no modelo dos preference pads que alimentam o Mystique do Ritz-Carlton; sem hábito de captura, o campo fica vazio e o CRM vira teatro. Latência bancária observada por método e horário, que transforma A3 de aviso genérico em previsão. Grafo de dispositivo, IP, coabitação e origem de afiliado. E o evento "autoteste realizado: sim/não" — o resultado do PGSI não entra no motor, é visível apenas ao apostador; o que o motor sabe é que a ferramenta foi usada.

§Camada 3 — sonho, e alguns são sonhos proibidos

Visão cross-operador do comportamento de jogo é o dado que resolveria a maior cegueira do sistema — a literatura de detecção inteira vem de operador único, e no Brasil, com dezenas de .bet.br e PIX instantâneo, essa cegueira é maior que na Europa. Não existe e não é proposta por via privada: agregar comportamento de apostador entre operadores concorrentes é problema de base legal antes de ser problema de engenharia. Capacidade financeira verificada dependeria de open finance e de base legal que hoje não está posta. Estado emocional real é ficção. E diagnóstico é vedado: a Lei 14.790/2023, art. 26, VI reserva o reconhecimento de ludopatia a laudo de profissional de saúde mental habilitado. O operador classifica risco operacional — verde, atenção, ação, bloqueio — e nunca doença, em nenhum campo de nenhum sistema.

§6. Regras, modelo e LLM — onde fica cada um

Duas fronteiras são invioláveis.

Compliance nunca é modelo. Um classificador de elegibilidade com 99% de acurácia erra uma decisão em cada cem — e basta que uma dessas seja um autoexcluído para haver infração. O art. 11, VII não admite intervalo de confiança. Além disso, um modelo não é auditável no formato que a fiscalização pede: não se entrega um vetor de pesos ao Procon-SP, entrega-se a regra que rodou, com o carimbo de tempo e o motivo. Todo gate é código determinístico, versionado, com teste de regressão, e falha fechado.

Score probabilístico não escala para humano em risco de dano. A aritmética é implacável: com sensibilidade de 66,2% e especificidade de 71,5% (J. Behavioral Addictions, 2025/2026) sobre uma base de 100 mil ativos e prevalência ilustrativa de 3% — não há estatística oficial brasileira de prevalência —, saem ~1.980 verdadeiros positivos contra ~27.645 falsos positivos: VPP ≈ 6,7%, cerca de 15 marcados por acerto. Nenhuma operação contata 29 mil pessoas por ciclo, e nenhuma marca sobrevive a abordar quatorze saudáveis para acertar um. Por isso o sinal mole dispara apenas fricção barata e automática (P1), e só o sinal duro — evento discreto e auditável — escala para gente (P2, P3). O score ordena fila; não convoca ninguém.

§7. Governança

Quem aprova uma ação nova no catálogo. Comitê de quatro assentos: produto (propõe), operação (dimensiona), jurídico/compliance (verifica contra a lista de restrições duras) e o responsável por jogo responsável — este último com veto isolado, sem recurso ao comitê. Nenhuma ação entra sem: texto-base aprovado, gate declarado, executor definido, desfecho medido nomeado com janela, custo estimado com a premissa de hora visível, base normativa citada, lista de features dos modelos envolvidos, e a resposta escrita a uma pergunta — o que acontece se esta ação for executada mil vezes contra a pessoa errada?

Quem pode executar. Nenhum concierge — próprio ou terceirizado — entra em contato sem trilha de treinamento documentada em dependência e jogo patológico, com evidência arquivada e revalidação periódica. O art. 6º, I alcança expressamente o terceirizado, e o operador continua solidariamente responsável (arts. 21-22). O treinamento é pré-condição de acesso ao sistema, verificada por credencial, não item de onboarding informal: quem não tem trilha válida não recebe caso na fila.

Como se testa. Quatro estágios, e nenhum é pulável. (1) Sombra: o motor pontua e registra a ação recomendada sem executar, por no mínimo duas semanas; compara-se com o que a operação humana faria — é também aqui que se estima o prior de ΔP_humano por família. (2) Holdout: liberação com grupo de controle aleatorizado permanente, na banda e fora dela, conforme §3.5. (3) Rollout limitado por volume diário e por segmento, com kill switch de um clique. (4) Revisão aos 30 e 90 dias, com desligamento automático de qualquer ação cujo desfecho medido não bata a hipótese aprovada.

Uma exceção ética que precisa estar escrita antes de alguém perguntar: não se randomiza holdout em ação de proteção. Não se deixa de proteger para medir. Onde é indispensável comparar, compara-se apenas o modo de execução dentro da população integralmente protegida — automação versus humano, ambos executando —, com piso de proteção garantido nos dois braços e revisão do comitê a cada ciclo.

O registro de decisão. Toda decisão do motor — inclusive a de não agir — produz uma linha imutável:

timestamp · apostador (pseudonimizado) · candidatas avaliadas · score de cada
gates aplicados e resultado · ação escolhida · executor · λ do ciclo
versão do catálogo e dos modelos · justificativa em uma frase
desfecho observado · revisão humana (se houve)

A exigência de uma frase não é estilo: é o teste de que o sistema é explicável. "Nenhuma ação: os três candidatos ficaram abaixo da penalidade de contato, e a pessoa recebeu dois toques nos últimos sete dias." "Contato humano: saque parado há 31h em conta com histórico de reabertura; retorno estimado por hora acima do piso do turno." Se a decisão não cabe numa frase, o motor está complexo demais para ser defendido.

Papéis de tratamento de dados. O operador é controlador; a camada de decisão opera como operadora, sob contrato com finalidade declarada, vedação de uso secundário e obrigação de devolver ou eliminar ao término. Isso precisa estar no contrato antes da primeira integração, não depois, porque define quem responde ao titular e quem responde à ANPD.

Direito à revisão humana. LGPD art. 20 dá ao titular o direito de solicitar revisão de decisão automatizada, e a ANPD já sinalizou que revisão meramente formal é sancionável. Toda ação com efeito restritivo — supressão de comunicação, limitação de exposição, encaminhamento de degrau — traz caminho de contestação visível, prazo declarado e revisor humano que não é quem executou. Nenhuma conta é bloqueada, limitada ou restringida unicamente por decisão automatizada.

O log como prova regulatória. Aqui a linha entre custo e ativo se inverte. O SRCP 5.1.1(2) da UKGC exige "a record of decisions made and all customer contacts irrespective of channel", e a mesma guidance registra que "no customer contact should be conducted outside the licensee's policies, procedures or systems". Um concierge que opera fora do sistema do operador é uma infração ambulante; um concierge que é o sistema registrado do operador é um produto de compliance. No Brasil, a retenção de dois anos por analogia ao Decreto 11.034/2022, art. 12 é a referência conservadora — e o primeiro fiscal a bater na porta será estadual e consumerista antes de ser federal e setorial: a sanção por conteúdo comercial que já existe veio do Procon-SP (Betano, R$ 300.752,00, jan/2026), não da SPA.

§8. Cinco casos trabalhados

Todos os números abaixo são ilustrativos. Servem para mostrar o mecanismo de escolha, não para prever resultado. Vdesfecho é margem esperada no horizonte, nunca valor perdido. λ ilustrativo do turno: R$ 340/h.

§Caso 1 — Saque travado, alto valor: humano ganha

Apostador com 14 meses de conta, saque de R$ 2.400 parado há 31 horas contra SLA declarado de 24h, dois casos reabertos nos últimos 90 dias. Gate: verde.

R de R$ 1.210 supera λ com folga. Vai para humano. Motivo: histórico de reabertura indica que a variante automatizada já falhou com esta pessoa — é exatamente isso que ΔP_humano captura e que uma regra de tier não capturaria.

§Caso 2 — Mesma dor, valor médio: automação ganha, e a ação não muda

Apostador de 3 meses, saque de R$ 180 parado há 26 horas, sem histórico de reabertura.

R = R$ 30, abaixo de λ = R$ 340 e abaixo até do custo direto da hora (R$ 78). Automação. O ponto que este caso existe para fazer: o motor não decidiu se resolve — decidiu quem executa. O saque é destravado nos dois casos, com o mesmo SLA. A arbitragem é sobre o custo da atenção humana, jamais sobre o direito ao serviço. Um motor que negasse resolução por baixo valor seria, além de indefensável, uma máquina de reclamação no Procon.

§Caso 3 — Sinal duro de risco: humano entra, e a receita esperada é negativa

Dois saques cancelados em 62 horas e três depósitos recusados em 24 horas, seguidos de troca de método de pagamento. Sinal duro, degrau 2.

O que acontece: P4 dispara primeiro e suprime toda comunicação comercial. P2 é agendado para o dia seguinte em horário comercial, fora da sessão, com SLA de 24h — porque mensagem de proteção durante a perseguição de perda produz rejeição, não mudança. O concierge de proteção abre com espelho, não com veredicto: "você depositou em 11 dos últimos 14 dias, contra 4 no mês anterior", e fecha com três saídas concretas — limite, pausa de 7 dias, autoexclusão — mais o link de ajuda.

Esta ação nunca ganharia uma arbitragem por retorno. É por isso que ela não participa de uma. E é por isso que a separação entre quem serve e quem protege precisa estar na estrutura, não no discurso: o que separa este produto de "CRM com atendente" é a disposição de cortar receita do apostador em risco — e isso precisa estar no contrato, com métrica, antes da primeira venda.

§Caso 4 — Janela "quente" de alto valor: a resposta certa é não fazer nada

Apostador do topo da base, sequência de resultados positivos, sessão longa em curso, nenhum caso aberto, nenhuma pergunta feita. É o momento em que todo CRM de iGaming manda alguma coisa.

Por que todos negativos: não há necessidade aberta (Uj ≈ 0), a pessoa recebeu dois toques não solicitados nos últimos sete dias (Pcontato no teto do orçamento), e o único candidato com Vo relevante seria conteúdo comercial em janela de sessão — o que colide com o art. 12, IV se trouxer qualquer convite à ação e, mesmo sem convite, entra na conta como desgaste. Some-se a evidência de que interações de serviço são cerca de 4x mais propensas a gerar deslealdade do que lealdade (CEB/Gartner): falar sem motivo tem expectativa negativa, não neutra.

Registre-se o que o motor não olhou para chegar aqui: a sequência de resultados positivos e a duração da sessão não entraram em Vo nem em Uj. Detectar "momento quente" e usá-lo para falar é precisamente o desvio de finalidade que a arquitetura de §5 impede.

Ação executada: Z1. Registro: "Nenhuma ação: sem necessidade aberta, orçamento de atenção consumido em 7 dias, nenhum candidato acima do piso." A linha existe, tem carimbo de tempo e é auditável — a diferença entre um sistema que decidiu ficar quieto e um sistema que esqueceu da pessoa.

§Caso 5 — Reativação com gate: o score alto que vale zero

Inativo há 47 dias, alto valor histórico. O modelo de sobrevivência aponta hazard subindo, Vo estimado em R$ 780, e a ação candidata de reativação assistida sairia com o maior score do turno — território clássico do serviço de reativação por telefone que já opera no Brasil desde março de 2020.

O gate roda antes:

E = 0. Todas as ações comerciais zeram simultaneamente. Nada é enviado, por nenhum canal, em nenhum tom, inclusive as que o próprio operador consideraria "só um aviso de conta". Executa-se Z3, com registro: "Supressão por gate: autoexclusão centralizada positiva em consulta de 6h atrás; 4 candidatas bloqueadas."

Esse registro é o entregável. Ele é a prova, oponível em fiscalização, de que a operação verificou e se absteve — e é literalmente o oposto do risco que o setor corre hoje, em que a ausência de contato é indistinguível da ausência de controle.

§9. Limites

Onde o motor erra. Erra em cauda longa: casos raros com pouco histórico produzem ΔP_humano com intervalo largo, e o sistema tende a subestimar o valor do humano exatamente onde ele mais serve — daí o orçamento de exploração de §3.5, que é custo declarado, não sobra de capacidade. Erra também em regime de mudança: uma alteração de política de pagamento invalida Vdesfecho de uma família inteira de ações da noite para o dia, e o modelo só descobre pelo desfecho, semanas depois. Por isso a revisão de 30 dias é obrigatória e não cerimonial, e por isso mudanças conhecidas de plataforma ou de PSP disparam reset manual do prior da família afetada.

O que o motor não decide. Não decide se alguém tem problema com jogo — classifica risco operacional em quatro faixas e nada mais. Não decide bloqueio, limitação ou restrição de conta sem revisão humana (LGPD art. 20). Não decide política: wj, wo, o orçamento de atenção, o tamanho da agenda reservada de proteção e a composição do catálogo são decisões de gente, aprovadas e versionadas. Não decide o texto de uma peça de marketing — decide se cabe uma ação, e o texto vem de biblioteca aprovada com a advertência exigida. E não decide contra o gate: nenhum score, nenhuma exceção, nenhuma alçada.

Quando não tem dado. O default é Z2 — aguardar, com reavaliação agendada — e nunca o default do mercado, que é mandar alguma coisa. Ausência de sinal não é sinal de nada. A única exceção é a ação obrigatória por norma, que roda independentemente de score, de dado e de estimativa: a comunicação sistemática sobre jogo responsável do art. 3º, III não espera modelo.

Três riscos estruturais, ditos em voz alta. Primeiro: se o motor disparar humano demais, o produto vira BPO de atendimento com margem de BPO — a disciplina de λ é o que separa uma coisa da outra, e ela precisa de governança, não de boa intenção. Segundo: o mercado foi educado a ver humano como custo — a Zendesk reestruturou em maio/2026 para cobrar só pela Verified Resolution e tornou a Assisted Escalation gratuita; vender o oposto exige prova de incremento, não retórica. Terceiro: sem holdout não há prova, e sem prova o preço não se sustenta — o que torna a disciplina de medição uma condição de existência comercial, não um refinamento analítico.

§10. O que esta seção reivindica como propriedade intelectual

Das cinco reivindicações de originalidade do projeto, esta seção sustenta duas: o humano como ação arbitrável com preço, e a medição causal do toque humano. A unidade de cobrança, o grafo de jogador e afiliados e a memória com governança demonstrável pertencem a outras seções e não são reclamados aqui. Isso importa porque uma lista de diferenciais que cresce a cada capítulo é uma lista em que ninguém acredita.

A parte fácil de copiar é a fórmula. Ela cabe num guardanapo, e este documento a publica de propósito: um comprador técnico que a veja escrita com honestidade confia mais no resto. O que não cabe num guardanapo é o que a faz funcionar.

**O dataset de ΔP_humano. É o único número que o mercado inteiro não calcula, e ele só existe depois de meses de holdout aleatorizado rodando em produção. Não se compra, não se licencia e não se sintetiza. Sobre acumulação entre clientes, é preciso ser exato para não prometer o que a lei não permite: o que pode ser agrupado entre operadores é o parâmetro agregado por família de ação — o efeito médio e seu intervalo —, jamais dado de apostador, e apenas com previsão contratual expressa.** Isso é distinto, e deliberadamente menos ambicioso, do que a visão cross-operador de comportamento de jogo descartada em §5: um é coeficiente de tratamento, o outro é perfil de pessoa. É também a resposta à objeção mais previsível da categoria: quando o comprador disser que já paga um CRM de iGaming, a diferença defensável não é "temos um motor", é "sabemos, em R$ e com grupo de controle, quanto o toque humano vale na sua base — e o seu fornecedor atual mede deflexão".

O método de medição. Randomização na banda em torno de λ, holdout permanente por família fora dela, a exceção ética que proíbe randomizar proteção, o registro de decisão em uma frase, o log de arbitragem com retenção de dois anos. A indústria de CX inteira mede custo evitado; medir incremento causal do canal humano muda a conversa de "custo de atendimento" para "canal de receita" — e nenhum concorrente copia isso sem reformar o próprio modelo de cobrança, o que é exatamente o tipo de barreira que dura.

Duas coisas que não são reivindicação de invenção, e sim de execução. O catálogo de 32 entradas conferidas artigo por artigo é barreira de tempo e de trabalho, não de propriedade intelectual — qualquer concorrente pode montar o seu, e vai levar trimestres. E o enquadramento — tratar proteger como ação de primeira classe, registrar a não-ação, separar por estrutura quem serve de quem protege, produzir prova em vez de relatório — é a única versão deste produto que cresce com a regulação em vez de encolher com ela. Se o PL 2.470/2026 passar como está, a camada comercial some e esta permanece, porque é a que a norma obriga a existir. Nenhum benchmark foi localizado vendendo isso hoje, no Brasil ou fora dele — ausência de benchmark localizado, não prova de inexistência.

A honestidade sobre o que é prateleira é parte do argumento, não uma concessão: copiloto de atendente é commodity, CDP é commodity, mineração de conversa é commodity, e a equação de arbitragem é pública desde sempre. Reivindicar invenção em qualquer um desses pontos custaria a credibilidade dos pontos que se sustentam. O que a ZION reivindica aqui é um: o humano como ação arbitrável, com preço, dentro do motor — e a máquina de prova que diz quanto ele valeu.

§PARTE VI — HUMAN MOMENT SCORE

§1. O que o indicador é, e o que ele não é

O Human Moment Score não é um ranking de importância de cliente. É um preço: quanto vale, em reais por hora de agente, colocar uma pessoa dentro de uma interação específica, agora, em vez de deixar a melhor alternativa automatizada resolvê-la.

Convém abrir pela parte desconfortável, porque é ela que dá crédito ao resto.

§1.1 O que é emprestado, e de quem

Quase toda peça matemática deste capítulo tem nome, autor e implementação de prateleira. Registrar isso não enfraquece a proposta — é o que impede a conversa de desabar quando o comprador técnico faz a busca que qualquer um faria.

§1.2 A reivindicação, no tamanho que ela tem

Três linhas dessa tabela estão vazias, e elas são exatamente três das cinco reivindicações de originalidade do projeto (D4): humano como ação arbitrável com preço, medição causal do toque humano, e o momento como unidade de cobrança. As outras duas — grafo de jogador e afiliados, memória com governança demonstrável — não são assunto deste capítulo.

O que o HMS acrescenta ao formalismo emprestado é o que nenhum paper entrega: portão de compliance de um setor regulado rodando antes do cálculo, fatores no vocabulário do domínio, unidade de cobrança amarrada à decisão e método de prova de incremento em reais. Fundamento citado, construção no lugar certo.

Uma nota de método que vale para o capítulo inteiro: se a honestidade sobre L2D fosse seletiva — citar o que é fácil de achar e vender como invenção o que exige um pouco mais de busca —, ela não valeria nada. Quem encontra Learning to Defer em dez minutos encontra preço sombra em cinco.

§2. A pergunta que o indicador responde

A formulação exata importa, porque cada palavra dela exclui um erro comum de desenho:

Quanto valor incremental uma intervenção humana gera NESTE momento, comparada à melhor alternativa automatizada disponível, considerando o custo da hora e a fila?

Três coisas que a pergunta deliberadamente não pergunta: se o cliente é valioso, se está insatisfeito, se está em risco. A primeira é elegibilidade de programa, resolvida antes. A segunda é um insumo, não a pergunta. A terceira não pertence a este indicador em hipótese alguma — é o assunto da seção 6, e a separação é estrutural (D7).

§3. Por que as faixas fixas não sobrevivem

A proposta inicial organiza a decisão em quatro faixas de um score único: 0–30 automação, 31–60 IA assistida, 61–80 concierge, 81–100 prioritário. É uma boa forma de comunicar a ideia e uma má forma de operá-la. Quatro objeções, todas com consequência prática.

(a) Faixa fixa assume que o custo do humano é constante. Ele não é. O custo relevante de acionar um concierge não é o salário dividido pelas horas — é o custo de oportunidade da hora: o valor do melhor caso que deixa de ser atendido porque aquela hora foi consumida. Numa terça de manhã com fila vazia, esse custo é praticamente o piso de relevância. Numa noite de rodada dupla, com backlog de saque, o mesmo caso disputa a hora com outro que vale três vezes mais — e o custo verdadeiro de atendê-lo é o outro caso perdido. Um corte em 61 aplica o mesmo preço a duas situações que diferem por uma ordem de grandeza. O efeito é conhecido: em dia calmo sobra capacidade acima da linha e ninguém desce dela; em dia cheio a fila estoura e a priorização real passa a ser feita por quem grita mais alto.

(b) Um score único colapsa duas grandezas que precisam de eixos separados. "Vale muito" e "vale agora" são coisas diferentes. Um erro de liquidação com R$ 3 mil em disputa vale muito e decai devagar: resolvido em 8 horas ou em 30, o desfecho é quase o mesmo. Um saque travado numa madrugada de sábado vale menos em valor bruto e decai rápido: cada hora de espera aumenta a chance de reclamação pública, chargeback e encerramento. Colapsar as duas dimensões obriga o modelo a escolher entre errar a ordem da fila e errar o corte de elegibilidade — e ele erra os dois. A teoria de filas resolveu isso com índices do tipo cμ.

(c) Limiar absoluto ignora capacidade — e capacidade é a única restrição que a operação realmente tem. A régua de mercado é dura: 8 a 15 contas por gestor em high-touch, até 75 em assistido (F41), e gerentes de relacionamento de alto valor passam 25% a 30% do tempo em diálogo com cliente e até 60% em trabalho administrativo (F42). O recurso escasso é hora efetiva de conversa, e ela varia hora a hora com escala, absenteísmo, duração média e pós-atendimento. Um limiar constante numa restrição variável é erro de formulação, não de calibragem: qualquer valor escolhido está certo em um ponto da distribuição de demanda e errado em todos os outros. É o problema que a linha DeCCaF ataca — deferir sob restrição de carga, não deferir e torcer.

(d) Score contínuo na decisão de acionar gente para risco é inviável por aritmética. Com sensibilidade de 66,2% e especificidade de 71,5% (F56) e prevalência ilustrativa de 3% numa base de 100 mil ativos, o modelo marca ~1.980 verdadeiros positivos e ~27.645 falsos positivos: VPP ≈ 6,7%, cerca de 15 marcados por acerto (F57). Faixas dão a impressão de que basta subir o corte. Não basta: subir o corte melhora a precisão marginalmente, derruba a sensibilidade rápido, e a faixa alta segue majoritariamente povoada por gente saudável. Nenhuma marca sobrevive a abordar 14 pessoas saudáveis para acertar uma.

Atenção ao escopo desta objeção, porque ela é frequentemente lida como maior do que é: ela mata o score como porta de contato humano em risco, onde o falso positivo custa uma abordagem indevida sobre a saúde de alguém. Ela não mata o score em serviço e relação, onde o falso positivo custa uma hora de agente mal gasta. A seção 6 devolve o score ao lugar em que ele é útil.

Há ainda uma objeção não técnica que merece registro: faixa nomeada vira rótulo, e rótulo vira cultura. "Cliente faixa 80" começa como notação e termina como casta interna. O indicador precisa nascer sem vocabulário de classificação de pessoa.

§4. Metodologia: um portão, dois eixos, um preço

                    ┌──────────────────────────────┐
   momento  ──────► │  PORTÃO DE ELEGIBILIDADE     │ ── reprovado ──► não existe momento
                    │  binário, fail-closed        │
                    └──────────────┬───────────────┘
                                   │ apto
                    ┌──────────────▼───────────────┐   prazo normativo
                    │  EIXO 1 — GANHO   ΔP × V     │──────────────────► trilha de prazo
                    │  EIXO 2 — URGÊNCIA  D(τ)     │   (não passa pelo preço)
                    └──────────────┬───────────────┘
                                   │ índice I, em R$/hora de agente
                    ┌──────────────▼───────────────┐
                    │  LIMIAR SOMBRA λ(t)          │  preço da última hora disponível
                    └──────────────┬───────────────┘
                              I ≥ λ ? servir : automatizar

§4.1 O portão de elegibilidade

Roda antes e é binário. Segue o desenho da própria Pega, cuja fórmula P × C × V × L não inclui elegibilidade na multiplicação — ela filtra antes (F46). No contexto brasileiro, o portão não é otimização, é conformidade, e uma reprovação não reduz o score: elimina o momento.

A trava é por CPF, nunca por número de telefone ou identificador de canal.

Fail-closed, e o que isso significa quando a fonte cai. "Indisponibilidade equivale a reprovação" é fácil de escrever e perigoso de aplicar sem qualificar: aplicado literalmente a tudo, um incidente na consulta de autoexclusão derruba também o atendimento reativo, e negar atendimento é o oposto do que o art. 28 da Lei 14.790/2023 obriga. A regra precisa estar escrita antes do incidente, não durante:

• Contato proativo e qualquer conteúdo comercial: fail-closed sem exceção. Cache expirado além das 24h admitidas para a autoexclusão centralizada = nada sai.
• Atendimento reativo, iniciado pela pessoa: continua, restrito a serviço, sem nenhum conteúdo comercial, com marcação explícita no log de que o portão rodou em modo degradado. O que se suspende é a oferta, não o atendimento.
• Trilha de proteção: continua sempre. Nenhuma indisponibilidade de sistema suspende degrau 2 ou 3.

Prazo normativo não é preço. Casos com prazo definido em norma não entram pela trilha do índice: SAC, 7 dias corridos (Decreto 11.034/2022, art. 13 — cuja aplicabilidade formal a bets não está pacificada, briefing §7.2, e que por isso adotamos como regra interna e não como aposta interpretativa); pedido de limite, pausa ou autoexclusão, fluxo próprio sem fricção; degrau 2, 24h; degrau 3, 4h úteis. A regra é se prazo_restante < T_esperado × margem, prioridade = prazo, independente de I e de λ. O índice ordena o excedente; ele nunca arbitra um prazo.

§4.2 Eixo 1 — Ganho: o Delta-P-humano

O termo central é o ΔP-humano: o incremento de probabilidade do desfecho desejado atribuível ao toque humano, medido contra a melhor alternativa automatizada disponível naquele momento. É uplift, não propensão. Multiplicado pelo valor econômico do desfecho, vira reais.

A coluna Entra em existe para impedir a leitura errada mais comum desta tabela — a de que o v0 calcula onze fatores. Ele calcula dois.

A definição de V é onde este desenho pode se corromper sem ninguém perceber, e por isso ela é explícita e tem duas parcelas, ambas com teto:

• (a) Valor em disputa no caso — montante do saque travado, da aposta contestada, do erro de liquidação. É a parcela principal e é um campo transacional, não uma inferência.
• (b) Margem prospectiva — calculada como theo esperado na janela seguinte, a partir de volume apostado e margem teórica do produto, ex ante. Nunca a partir de perda líquida realizada. A distinção não é semântica: theo independe de a pessoa ter ganhado ou perdido; perda realizada é o insumo que a UKGC pune e que Macau destruiu (F37). A parcela (b) é limitada a uma fração fixa da parcela (a) — o que impede, por construção, que valor do cliente domine valor do caso.

Duas disciplinas fecham a definição: a regra de atribuição é declarada por escrito antes de rodar (janela, evento contado, tratamento de recompra), e o valor é winsorizado num percentil fixado de antemão. Sem isso, meia dúzia de casos extremos passa a governar toda a alocação da operação. O canário de integração contínua descrito em §4.5 testa exatamente a fronteira entre (a) e (b).

§4.3 Eixo 2 — Urgência como decaimento, não como etiqueta

Urgência aqui não é rótulo ("alta/média/baixa"); é uma taxa de perda de valor por hora de espera. Cada classe de momento recebe uma meia-vida τ½ — o tempo em que o ganho esperado cai pela metade se ninguém agir:

D(τ) = 2^( −τ / τ½ )

Valores de partida (premissas ilustrativas, a calibrar com dado do próprio operador): saque travado com valor relevante, τ½ de 4 a 8 horas; contestação de liquidação, 24 a 48 horas; dúvida de onboarding, 24 horas; dúvida de produto sem pendência financeira, 5 a 7 dias. O decaimento ordena e desqualifica ao mesmo tempo: um caso valioso que esperou 40 horas pode legitimamente cair abaixo de um caso menor recém-chegado, porque a maior parte do seu valor já se perdeu — e é exatamente por isso que a trilha de prazo do §4.1 existe em separado, para que decaimento nunca engula uma obrigação normativa.

§4.4 O índice e o limiar sombra

                ΔP_humano × V_desfecho × D(τ)
        I  =  ─────────────────────────────────        [ R$ por hora de agente ]
                        T_esperado

        Servir agora   ⇔   Portão = APTO   e   I ≥ λ(t)

• ΔP_humano — incremento de probabilidade do desfecho atribuível ao humano, contra a melhor alternativa automatizada. Uplift, não propensão.
• V_desfecho — valor econômico do desfecho em R$, nas duas parcelas de §4.2, com teto.
• D(τ) — fator de decaimento; τ são as horas desde que o momento ficou elegível.
• T_esperado — horas de agente consumidas: conversa + pós-atendimento + retorno previsto. É o denominador que impede o índice de premiar caso grande e lento.
• λ(t) — preço sombra da hora de agente no instante t, em R$/hora.

Dois momentos, calculados até o fim. Premissas ilustrativas de v0, para mostrar a aritmética — nenhum número abaixo é resultado observado.

O mesmo par com λ em R$ 130 — noite de pico — devolve automação nos dois. Nenhum parâmetro foi tocado: só o preço da hora mudou.

O corte, portanto, não é 61. É λ. Formalmente, a variável dual da restrição de capacidade — o mesmo objeto que a linha DeCCaF trata como restrição de carga e que o mercado de mídia usa há anos para pacing de orçamento (§1.1). Operacionalmente, é um leilão interno por hora de agente:

1. A cada ciclo — 5 a 15 minutos, parâmetro de desenho, não achado de pesquisa — o motor projeta a oferta de horas efetivas da janela seguinte: agentes logados × ocupação-alvo × produtividade histórica da faixa horária.
2. Projeta a demanda: momentos elegíveis na fila e chegada esperada, com seus I e T_esperado.
3. Ajusta λ por bisseção até que o consumo esperado de horas pelos momentos com I ≥ λ iguale a oferta.
4. Publica λ. Motor, fila e painel passam a usar o mesmo número.

Três consequências que valem o mecanismo inteiro:

A variação de demanda se resolve sozinha. Fila cheia empurra λ para cima e o corte sobe sem ninguém tocar em parâmetro; fila vazia empurra λ para baixo até o piso. Nenhum comitê semanal de recalibragem.

λ vira o sinal de dimensionamento. Se λ fica persistentemente acima do custo totalmente carregado da hora, há caso de valor sobrando sem quem atenda — a leitura é contratar ou ampliar cobertura de horário, e o próprio λ diz de quanto e em qual faixa. Se λ vive colado no piso, há capacidade ociosa. Nesse caso "ampliar escopo" significa admitir classes novas cujo incremento já foi medido como positivo — nunca baixar o piso, nunca inventar contato.

O piso não é contábil, é de relevância. No curto prazo o salário do concierge é custo fixo, a hora ociosa custa quase nada e a tentação é encher a fila para "aproveitar". É erro: interações de serviço são cerca de 4x mais propensas a gerar deslealdade do que lealdade, e reduzir esforço prevê lealdade melhor do que superar expectativas (CEB/Gartner, F45). Contato sem valor incremental gasta paciência. Por isso λ tem um piso de relevância abaixo do qual não se serve nem com o time parado — hora ociosa vai para memória, follow-up e treinamento, não para contato inventado.

§Governança de λ — quem calcula o preço, e por que isso não é um conflito de interesse

Esta é a pergunta que decide a venda, e ela precisa estar respondida no contrato, não numa conversa: se o fornecedor calcula λ e é pago por momento entregue acima de λ, o fornecedor tem incentivo direto para baixar λ. Reconhecer isso é obrigatório; o que resolve são quatro travas verificáveis:

1. Insumos verificáveis pelo operador. λ é função de escala publicada, logs de ocupação e T observado — todos dados do operador, todos gravados. A rotina é determinística e versionada: o operador recomputa λ a partir do próprio log e qualquer divergência é achado de auditoria, não discussão.
2. Piso contratual e teto de volume. O piso de relevância e o teto mensal de momentos faturáveis são fixados antes do período, por escrito. Abaixo do piso não se serve nem se cobra; acima do teto, entrega sem cobrança.
3. Controle manual do operador. O operador pode elevar λ ou congelá-lo a qualquer momento. O motor obedece e registra. Um mecanismo de preço que o comprador não consegue desligar não é mecanismo, é dependência.
4. O preço unitário é reajustado pelo incremento medido, não pelo volume. Volume alto com incremento baixo derruba o preço por momento na revisão trimestral. É a trava que inverte o incentivo: inflar volume passa a machucar o fornecedor no ciclo seguinte.

§O que isso é, tecnicamente

A pergunta seguinte de qualquer CTO é onde isso roda e em quanto tempo. O v0 é uma consulta de tabela mais quatro multiplicações; o cálculo nunca é o gargalo.

• Caminho crítico da mensagem: portão + índice, com orçamento de decisão abaixo de 150 ms. O custo real está no portão, que faz chamadas externas — por isso ele opera com cache de validade declarada (≤24h para a autoexclusão centralizada) e revalidação assíncrona.
• Fora do caminho crítico: o job de λ a cada 5–15 minutos, publicando num registro que o motor lê. λ nunca é calculado dentro de uma conversa.
• O que precisa existir: um serviço de pontuação sem estado, uma fila persistente que grava o instantâneo assinado de cada decisão, o job de λ e o registro de variáveis de §4.5. Nenhuma plataforma nova, nenhum treinamento de modelo no dia 1.

§4.5 O que é proibido entrar no score

Nenhuma das variáveis abaixo entra no HMS comercial ou de serviço, em nenhum peso, nem como derivada, nem como proxy.

Promessa não basta. O mecanismo que sustenta a proibição tem cinco peças, todas verificáveis por terceiro — e nenhuma delas é invenção: são práticas correntes de auditoria de modelo, aplicadas a um alvo em que ninguém as aplicou.

1. Registro de variáveis versionado. Cada feature tem identificador, dono, fonte, base legal declarada, TTL e classificação (permitida / restrita com teto / proibida). O motor se recusa a executar com feature fora do registro.
2. Isolamento lógico com credencial distinta. Tabela de risco em esquema separado, sem chave estrangeira direta para a tabela de campanha. A única ponte autorizada é o portão, que devolve um booleano — apto ou não apto — e jamais um valor, um grau ou uma ordenação.
3. Teste adversarial de vazamento, mensal. Treina-se um classificador para prever o degrau de proteção usando apenas o vetor de features do HMS. Se a AUC ultrapassar um limiar declarado — 0,65 como premissa inicial, a calibrar — existe proxy: alguma variável está reconstruindo o risco por caminho indireto. Ação obrigatória: identificar por importância, remover ou ortogonalizar, registrar o incidente. É a peça que transforma "nós não usamos risco" em afirmação testável.
4. Auditoria de gradiente de alocação. Correlaciona-se o HMS com perda líquida acumulada e com valor em disputa, por decil. Se a correlação com perda superar a correlação com valor em disputa, a alocação está seguindo perda na prática, quaisquer que sejam as intenções do desenho. Incidente reportável.
5. Canários em integração contínua. Casos sintéticos com perda altíssima e valor em disputa zero entram na esteira a cada release. O HMS tem que devolver valor baixo. Se subir, o build quebra. É o teste específico da fronteira entre as parcelas (a) e (b) de V.

Cada decisão grava um instantâneo assinado: vetor de features, versão do modelo, λ vigente, decisão, executor, desfecho. Retenção mínima de dois anos, por analogia ao art. 12, §5º do Decreto 11.034/2022 — com a ressalva de que a aplicabilidade formal do decreto a bets não está pacificada (briefing §7.2), o que faz da retenção uma decisão de arquitetura, não uma obrigação líquida. Some-se a exigência da UKGC de manter "a record of decisions made and all customer contacts irrespective of channel" (SRCP 5.1.1(2)) — que não vincula no Brasil, mas define o padrão que um comprador internacional vai cobrar.

§4.6 A versão v0: como calcular no primeiro dia

No dia 1 não existe estimativa de ΔP porque não existe contrafactual. A resposta não é adiar o indicador até haver dado; é rodar o indicador com estimativas declaradas e começar a produzir o dado no mesmo dia.

O v0 é uma regra de negócio explícita, não um modelo — auditável linha a linha, discutível numa reunião, corrigível em minutos. E, principalmente, já é uma política de alocação: gera pares (momento, decisão, desfecho) com uma fatia aleatorizada que produz o contrafactual. O holdout entra ligado no dia 1. Ele não é a validação do modelo pronto; é o gerador do dado de treino.

Pular de v0 para v2 é o erro mais previsível do projeto. Sem aleatorização não há contrafactual; sem contrafactual, o v2 aprende propensão disfarçada de uplift e recomenda humano justamente para quem resolveria sozinho — o modo de falha mais caro e mais difícil de perceber, porque os números de desfecho ficam ótimos.

§5. Calibração e prova

A indústria mede deflexão — conversa que o humano não tocou. Ninguém mede incremento causal do toque humano (F54). É aqui que a diferença entre "CRM com atendente" e o produto descrito neste documento vira número.

§5.1 O experimento mínimo

Unidade de aleatorização: o momento elegível. Entre os momentos que passam o portão e ficam acima de λ — os que o motor decidiu servir — uma fração é desviada para o braço de controle e recebe a melhor alternativa automatizada disponível. Sortear abaixo de λ não informa nada: são casos que não seriam servidos de qualquer forma.

Fração: 10% a 20% no lançamento (parâmetro de desenho), com regra de redução conforme a precisão do estimador melhora.

O custo de aprender é menor do que a intuição diz, e é preciso mostrar por quê. Com capacidade restritiva — λ acima do piso — a hora liberada por um momento sorteado para controle não evapora: vai para o próximo caso da fila, que estava logo abaixo do corte. A perda não é o incremento do caso sorteado; é a diferença entre ele e o caso que entrou no lugar dele, e perto do corte essa diferença é pequena por construção. Quando λ está no piso — capacidade ociosa — não há substituto, e aí o custo é o incremento inteiro. Daí uma regra de desenho que economiza dinheiro real: concentrar o sorteio em janelas de fila cheia, onde aprender é quase de graça, e reduzir a fração em janelas ociosas.

Válvula de escape no controle. Quem está no braço de controle e pede humano explicitamente recebe humano. Isso é crossover, não contaminação — é por isso que o estimador principal é intenção de tratar. E a taxa de crossover é ela própria um sinal: crossover alto numa classe significa que a alternativa automatizada não é alternativa nenhuma ali, e a classe sai do sorteio.

Desfechos, em três níveis:

Estimadores: intenção de tratar (ITT) no nível do momento, que é a métrica operacional, e efeito no nível da pessoa com erro-padrão agrupado por CPF, que é a métrica comercial. A distinção precisa aparecer: uma pessoa gera vários momentos, e tratá-los como independentes infla a significância. Redução de variância por CUPED com o período anterior, winsorização em percentil fixado antes de olhar o resultado, e protocolo de análise congelado antes do início.

§5.2 Tamanho de amostra e tempo até a prova

Aproximação padrão para dois braços, 80% de poder e 5% bilateral: n ≈ 15,7 × (σ/δ)² por braço.

Tempo até o primeiro número, com a premissa à vista. Com m momentos servidos por dia na faixa elegível e holdout de fração h, o controle acumula m × h por dia, e o desfecho de serviço fecha em 1.300 / (m × h) dias de coleta mais a janela de 30 dias de reabertura. Em 300 momentos/dia — premissa ilustrativa, substituível pelo volume real do operador em uma linha de conta — com holdout de 15%: 29 dias de coleta + 30 de janela ≈ 9 semanas até a prova de serviço. O desfecho econômico, no mesmo volume, pede algo entre 2 e 10 meses conforme a cauda.

A leitura prática é uma só: o desfecho de serviço fecha em semanas; o monetário fecha em meses. O erro comercial a evitar é prometer prova de receita incremental no primeiro trimestre. O que se promete no primeiro trimestre é a prova de serviço e a curva de ordenação; a prova em reais vem depois, e é ela que renegocia o preço.

Para a curva de ganho por decil — o gráfico que responde "o indicador ordena?" — a exigência é estabilidade, não significância global: da ordem de 200 a 500 momentos por decil por braço (regra prática, não resultado), o que empurra o mínimo para alguns milhares por braço só para a curva ter forma legível. Curva plana significa que a fila por ordem de chegada teria dado o mesmo resultado; curva monotonicamente decrescente do primeiro ao último decil é a prova de que o indicador tem conteúdo — e é o único gráfico que precisa existir na revisão trimestral com o operador.

§5.3 O cuidado ético do holdout

Nunca se sorteia holdout em caso de proteção. A regra não admite exceção experimental: sortear quem recebe cuidado quando há sinal duro é negar cuidado deliberadamente a um grupo, com registro escrito da decisão. É o cenário exato do precedente Betfred — conta sinalizada, processo interno que só a reveria sete dias depois, £17.900 perdidos em 24 horas, £900 mil de multa em 30/06/2026 (F61). Um log de aleatorização em trilha de proteção é a prova fabricada da própria omissão.

Onde é legítimo aleatorizar: momentos comerciais e de serviço, com o controle recebendo a melhor alternativa automatizada — nunca o abandono. Três travas: parada por dano em análise interina; teto de exposição por pessoa (ninguém cai no controle duas vezes seguidas no mesmo assunto); e saída imediata — qualquer momento de controle que cruze um sinal duro deixa o experimento e entra na trilha de proteção. O experimento nunca ganha do cuidado.

§6. Um indicador é um erro: os três HMS

O erro de desenho mais provável do projeto é construir um número só. "Resolver um problema", "construir um relacionamento" e "proteger uma pessoa" são decisões com objetivos, unidades, prazos, donos e regimes jurídicos diferentes. Somá-las num escalar faz uma dominar as outras — e, pelo tamanho relativo dos valores em jogo, a que domina é sempre a comercial.

§6.1 Por que o score não abre a porta humana em proteção

Com sensibilidade 66% e especificidade 71,5% sobre 100 mil ativos e prevalência ilustrativa de 3%, chega-se aos ~1.980 verdadeiros positivos, ~27.645 falsos positivos e VPP de 6,7% (F57). Ordenar esses 29 mil por score não resolve: reordenar não cria precisão, só muda quem está no topo de uma lista majoritariamente errada.

O que cria precisão é conjunção de eventos discretos, porque especificidades se multiplicam. Exercício ilustrativo, com premissas declaradas — dois sinais duros, cada um com sensibilidade 0,40 e especificidade 0,95, exigidos em coocorrência, admitindo independência aproximada:

A precisão sobe de um marcado em quinze para dois em três e o volume cai para algo que uma equipe pequena atende com SLA. O preço é a sensibilidade: 84% dos casos de alto risco não aparecem nessa porta.

A independência é a premissa frágil do cálculo, e ela tem tratamento de desenho. Sinais correlacionados derrubam o ganho de especificidade e puxam o VPP para baixo. Por isso o par exigido deve vir deliberadamente de origens diferentes — um de pagamento, um de comportamento de conta —, e a correlação empírica entre os sinais escolhidos precisa ser medida antes de fixar a regra, não depois.

E é aqui que o score volta, no lugar certo. Os que a conjunção não pega não são abandonados: recebem degrau 1 — fricção automática, barata e sem julgamento: espelho com o dado real da própria pessoa ("você depositou em 11 dos últimos 14 dias, contra 4 no mês anterior") e botão de definir limite. Sem rótulo, sem veredicto — a evidência do Playscan (n=757) mostra que classificação de risco acima da autoimagem gera dissonância e rejeição, não mudança (F60).

A arquitetura inteira cabe numa linha: score para ação de baixo custo em escala; conjunção de sinais duros para ação humana cara. É a tradução operacional de D6.

Os sinais duros são discretos, auditáveis e baratos: saque cancelado 2 ou mais vezes em 72 horas, 3 ou mais depósitos recusados em 24 horas, novo método de pagamento após recusa, tentativa de aumento de limite dentro de 24 horas de perda relevante, e menção verbal a dívida ou desespero. São os indicadores de melhor custo-benefício reconhecidos na guidance (F59) e não dependem de modelo nenhum para funcionar no primeiro dia — com uma ressalva que o desenho não pode esconder: menção verbal não é evento de sistema. Um classificador pode sinalizar o trecho, mas ele só vira sinal duro depois de leitura humana registrada da passagem. Sem isso, é um sinal probabilístico com outro nome, e o cálculo acima deixa de valer.

Três regras de execução fecham o desenho: contato de proteção é fora do calor — no dia seguinte, em horário comercial, nunca durante sessão de perseguição de perda; toda interação de degrau 2 ou 3 termina com saída concreta (limite, pausa, autoexclusão ou encaminhamento), não com conversa; e nenhum alerta fica em fila sem desfecho registrado — inclusive "nenhuma ação adicional" exige justificativa escrita, porque foi precisamente a janela sem desfecho que a UKGC puniu na Betfred.

§7. Operação do indicador

Onde aparece. Numa fila única e ordenada, não num painel de números. O concierge vê o próximo caso e, ao lado, uma linha de "por que agora": os três fatores de maior contribuição, o relógio de decaimento e o cartão de memória da pessoa. O número é secundário para quem executa — o que muda comportamento é a razão, não o dígito.

O que acontece com quem fica abaixo de λ. Ninguém fica sem resposta. Recebe a melhor alternativa automatizada, com saída explícita e visível para fila humana a pedido — e essa saída não passa pelo índice (§8, trava 1). Durante a espera, nenhum conteúdo comercial: é a vedação do art. 4º, §5º do Decreto 11.034/2022, cuja aplicabilidade a bets não está pacificada e que por isso tratamos como regra interna, não como aposta interpretativa.

Estabilidade da fila. Um preço que muda a cada dez minutos assusta operação com razão. Duas garantias: um caso que começou a ser atendido nunca é rebaixado — o compromisso vale até o desfecho —; e λ tem movimento máximo por ciclo, com suavização, além de um caminho de exceção explícito e registrado para choque de demanda (incidente de pagamento, indisponibilidade de produto).

Quem vê o quê.

Frequência de recálculo. Dirigido a evento — qualquer mudança de estado (nova mensagem, alteração de conta, tentativa de saque) recalcula o momento na hora — mais um tique de relógio a cada 5 a 15 minutos para aplicar o decaimento.

Como o agente discorda. Duas ações explícitas: puxar um caso para cima e adiar um caso, ambas com motivo codificado de uma lista curta mais campo livre, e ambas com teto por turno para que a discordância não dissolva a ordenação.

A discordância é dado de treino, não insubordinação, por três razões. Primeira: o agente enxerga o que o vetor não codifica — tom, contexto de conversa anterior, detalhe que nenhuma feature captura ainda; cada override é uma amostra rotulada por especialista, a fonte de aprendizado ativo mais barata que existe. Segunda: a taxa de override é diagnóstico do modelo, não do time — classe com override sistematicamente alto tem fator quebrado, e a correção é no fator. Terceira, menos óbvia: agente que nunca discorda também é alerta. Complacência com automação é modo de falha documentado, e override perto de zero significa time que virou executor de fila — o que destrói justamente o insumo humano que justifica o produto. A faixa saudável de override tem piso e teto.

§8. Riscos do indicador

Gaming interno. Todo indicador que entra em meta é otimizado, e não necessariamente pelo caminho pretendido. A defesa não é vigilância, é desenho: os insumos do Ganho vêm de eventos de sistema — logs de pagamento, estado de conta, contagem de turnos —, não de campos preenchidos por quem é avaliado. Campo digitado por agente entra como sinalização para revisão, jamais com peso na fórmula.

E há uma correção obrigatória sobre remuneração, porque a formulação intuitiva viola norma expressa. O que remunera o concierge é desfecho de serviço (resolução sem reabertura em 30 dias), aderência à fila e conformidade de proteção. O incremento econômico não entra em remuneração individual — não por prudência, por norma: bônus de atendente atrelado a margem retida é remuneração atrelada a volume apostado, lida como encorajamento de prática excessiva (Portaria 1.231/2024, art. 12, III e art. 22, II, "c"; restrição 7 do briefing). O incremento em reais é métrica de produto: precifica o contrato, nunca a pessoa. Na trilha de proteção, nenhum indicador econômico entra em nível nenhum (D7). E vale a regra geral: um indicador que ordena trabalho e um indicador que remunera pessoa nunca devem ser o mesmo número.

Deriva. O produto muda, a regulação muda, e o comportamento sazonal de um campeonato não se parece com o de uma semana comum. Monitorar distribuição de features é necessário e insuficiente. A defesa real é manter o holdout permanentemente ligado, numa fração pequena, mesmo depois de provado o efeito: assim a deriva aparece como queda do incremento medido — o número que interessa — e não como alarme estatístico que ninguém sabe interpretar. Some-se validação temporal em janela móvel e revalidação obrigatória a cada mudança relevante de produto ou norma. Há uma mudança relevante já na fila: se o PL 2.470/2026 avançar como aprovado na CCT em 02/09/2026, o repertório comercial encolhe e o peso relativo dos três HMS se desloca para serviço e proteção. O indicador precisa suportar essa realocação sem ser reconstruído — e suporta, porque o que muda é a composição das classes elegíveis, não a fórmula.

Risco reputacional — um score que decide quem merece gente. É o risco mais sério, e o único que não se resolve com engenharia. Cinco travas, todas verificáveis:

1. Piso de serviço universal — contratual, não legal. O art. 28 da Lei 14.790/2023 obriga atendimento gratuito, em português, prestado por pessoas fluentes; ele não fixa prazo (F9), e não há precedente sancionador da SPA sobre comunicação 1:1 (F15). Ler o dispositivo como direito a falar com um humano é interpretação, não texto. Por isso o piso não se apoia na lei: apoia-se em cláusula. Existe uma via de acesso a atendimento humano a pedido explícito, com SLA declarado, que não passa por score nenhum. O HMS aloca o excedente escasso acima desse piso; ele não distribui o piso. Escrever isso no contrato antes da primeira venda.
2. Insumos proibidos, com prova. Perda, vulnerabilidade e risco fora da fórmula, e o teste adversarial de vazamento rodando mensalmente para demonstrar que continuam fora.
3. Auditoria de equidade. Distribuição de momentos servidos por região, ticket de depósito, tempo de casa e canal de origem, publicada no relatório trimestral. Concentração que não se explique por valor em disputa é achado, não estatística.
4. Nenhuma consequência restritiva — e uma via de revisão que existe de fato. O HMS abre acesso; nunca fecha. Ele não nega saque, não atrasa pagamento, não piora condição comercial. Ainda assim, um DPO pode sustentar que decidir quem fala com gente afeta interesses do titular (LGPD art. 20) — e a resposta não pode ser retórica. É mecanismo: (i) o piso da trava 1; (ii) pedido explícito de humano entra pela trilha do piso, sem passar pelo índice; (iii) toda decisão de não servir grava o instantâneo assinado e é revisável por pessoa mediante pedido; (iv) o índice nunca é insumo de decisão de conta — saque, limite, KYC e encerramento correm em outro sistema, e o registro de variáveis proíbe a ponte.
5. Doutrina escrita e circulável. O documento que descreve o que entra, o que não entra e por quê precisa existir em versão que possa ser mostrada a um regulador sem edição. Um indicador que só se sustenta enquanto ninguém pergunta como funciona não é ativo — é passivo com prazo.

§9. Sala de reunião: as cinco perguntas que derrubam esta seção

Nenhuma delas se responde com convicção. Todas se respondem com mecanismo, e o mecanismo já está no texto — este bloco existe para que ninguém precise procurar.

"Learning to Defer, regra cμ, preço sombra, uplift modeling: o que exatamente vocês inventaram?" Nada do formalismo. §1.1 lista peça por peça o que é emprestado e de quem. O que é novo são três coisas, todas verificáveis por busca: nenhum motor de decisioning trata contatar_humano(...) como ação arbitrável com preço (F47); ninguém mede o incremento causal do toque humano — a indústria mede deflexão (F54); e ninguém cobra pelo momento (F49, F50). Se qualquer uma dessas três cair numa busca, ela sai do material.

"Vocês calculam λ e me cobram por momento acima de λ. Quem impede vocês de baixar λ?" Quatro travas contratuais em §4.4: λ é determinístico sobre insumos do operador e recomputável a partir do log; piso e teto mensal fixados antes do período; o operador pode elevar ou congelar λ a qualquer momento; e o preço unitário é reajustado pelo incremento medido, não pelo volume — de modo que inflar volume derruba o próprio preço no ciclo seguinte.

"Vocês querem sortear 15% dos casos que o próprio modelo diz que precisam de gente. Por que eu compraria um produto que começa negando atendimento?" Porque o controle recebe a melhor alternativa automatizada, não o abandono; porque quem pede humano recebe humano, e o crossover é tratado no estimador; e porque, com fila cheia, a hora liberada vai para o caso imediatamente abaixo do corte — a perda é a diferença entre dois casos vizinhos, não o incremento inteiro (§5.1). O sorteio se concentra justamente nas janelas em que essa diferença é pequena. Sem esse sorteio, o preço do contrato é opinião.

"Um algoritmo decidindo quem fala com gente é decisão automatizada sobre o titular. Como isso passa no art. 20 da LGPD?" Pela combinação de piso contratual de acesso humano a pedido, entrada direta nessa trilha sem passar pelo índice, instantâneo assinado de toda decisão de não servir com revisão humana mediante pedido, e isolamento total do índice em relação a qualquer decisão de conta (§8, trava 4). O HMS abre acesso e nunca fecha nada.

"Se o portão é fail-closed e a consulta de autoexclusão cai, sua operação inteira para?" Não, e a regra é escrita antes do incidente (§4.1): fail-closed sem exceção para contato proativo e conteúdo comercial; atendimento reativo continua, restrito a serviço e sem oferta, com marcação de modo degradado no log; trilha de proteção nunca para. Suspende-se a oferta, não o atendimento — inverter isso seria negar o que o art. 28 obriga a existir.

§10. Síntese

O HMS responde a uma pergunta que o mercado de decisioning não formula: quanto vale, em reais por hora, colocar gente dentro desta interação, agora, contra a melhor alternativa automatizada, dada a fila. O formalismo por trás dela é conhecido, citado e emprestado inteiro — Learning to Defer, regra cμ, preço sombra da capacidade, uplift modeling.

A construção reivindicável é outra: portão de compliance rodando antes de qualquer cálculo, com regra de degradação escrita; dois eixos separados, ganho e decaimento, com uma trilha de prazo normativo que o preço não arbitra; corte por preço sombra da hora, com governança que resolve o conflito de interesse entre quem calcula o preço e quem fatura por ele; lista fechada de insumos proibidos com auditoria que a torna testável; separação em três indicadores, com o de proteção abrindo porta humana só por conjunção de sinais duros; e holdout aleatorizado desde o primeiro dia, que converte o indicador de opinião em número.

E há a consequência comercial que amarra o capítulo ao modelo de negócio: o HMS é o medidor do momento. Um momento cobrável é uma decisão acima de λ, entregue dentro do SLA da sua classe, com desfecho registrado. Abaixo de λ, não se serve e não se cobra. Sem desfecho registrado, não se cobra. Acima do teto contratado, entrega-se sem cobrar. É o que separa um indicador interessante de um indicador que sustenta uma fatura — e é, também, o incentivo alinhado que falta no mercado, onde o fornecedor de IA de atendimento lucra justamente quando o humano não entra (F50).

§PARTE VII — CONTEXTO E VISÃO DO JOGADOR

Duas camadas costumam ser vendidas como uma só e são coisas diferentes. O Player Context Engine é o que transforma dado disperso em leitura utilizável — a máquina que responde, num tempo curto, "o que precisa ser verdade na cabeça de quem vai falar com essa pessoa". O Player 360 View é a superfície onde essa leitura encontra o operador humano: uma tela, com zonas, hierarquia e — a parte que ninguém trata como produto — uma política sobre o que não aparece nela.

§O que aqui é prateleira

Convém dizer com todas as letras, antes de qualquer reivindicação. Plataforma de dados de cliente e visão unificada são categoria madura: Adobe Real-Time CDP, Salesforce Data 360 (renomeado de Data Cloud em 14/10/2025), Segment, Tealium, mParticle; dentro de iGaming, Optimove, Fast Track, Smartico, Symplify, Xtremepush, Solitics. Resolução de identidade, unificação de perfil, timeline cross-canal e ativação de audiência existem, funcionam, e o comprador provavelmente já paga por um.

A tela também é prateleira. Desktop unificado de atendimento com painel de contexto é Salesforce Service Cloud, Zendesk Agent Workspace, Genesys. Sugestão em tempo real ao agente é agent assist — Cresta, ASAPP, Observe.AI, Forethought, Balto —, categoria em que a latência sub-200 ms já é linha de base comercial. Mascaramento de campo, quebra-de-vidro, log de acesso individual e revisão amostral são funcionalidades de suíte corporativa (Salesforce Shield e equivalentes), não invenção.

Nada nesta parte se apresenta como componente inédito. O que ela descreve é a configuração — e, num produto que se posiciona como camada de interação auditável (D2), a configuração é o produto. Duas coisas, estreitas de propósito, e ambas presas às reivindicações já travadas em D4:

A curadoria com vocabulário do setor. Não é o acervo, é o recorte. Que campos aparecem, em que ordem, com que grau de agregação, e quais deliberadamente não aparecem. Um CDP entrega perfil; falta a leitura. Nenhum fornecedor genérico faz esse recorte porque ele exige saber o que é rollover, saque em análise, carteira de pontos do art. 43 e degrau de proteção. Isso é vantagem de implementação, não propriedade intelectual — é copiável por qualquer concorrente que contrate quem conhece o setor, e o documento não a defende como fosso. O valor está no vocabulário, não no NLP.

A governança por classe de dado, aplicada ao caso de uso. Cada campo carrega faixa de acesso, base legal, quem vê, em que forma vê e se a consulta é registrada. O mecanismo é de prateleira; a classificação específica — em especial a faixa 5, o dado que a operação possui, que seria trivial exibir, e cuja exibição corrompe o incentivo — é o desdobramento operacional da reivindicação 5 de D4, memória com governança demonstrável. É requisito de arquitetura, não de inteligência artificial, e é por isso que fornecedor de IA não vai construí-lo: não é o que ele vende, e complica o que ele vende.

Há ainda uma contribuição indireta e é a mais importante. O congelamento do snapshot no instante da decisão (§1.6) é o que torna auditável a reivindicação 2 de D4 — medição causal do toque humano por holdout. Sem registro do que o agente viu no momento em que decidiu, o braço de controle não é comparável ao braço tratado, e o incremento vira correlação. A tela é a instrumentação do experimento, não só a interface do atendimento.

§"Por que não configurar o que já tenho?" — a objeção que vem primeiro

Ela é legítima e a resposta honesta é parcialmente afirmativa. Boa parte desta parte é configuração de ferramenta existente, e um operador com Service Cloud maduro deve fazer assim. O que não sai de configuração, e é onde o trabalho está:

A leitura para dentro é desconfortável e precisa ser dita: quatro linhas de uma tabela de sete não são um produto de software, são um caderno de requisitos. O que se vende é a operação que os cumpre, com prova; o valor de licença nesta parte é baixo, e quem tentar precificá-la como plataforma vai perder para o CDP que o cliente já tem.

§CAPÍTULO 1 — PLAYER CONTEXT ENGINE

§1.1 O problema real não é falta de dado

Uma operação de bet brasileira gera mais evento por apostador do que qualquer time consegue ler. Plataforma registra aposta, sessão, login, alteração de limite. PSP registra depósito, recusa, estorno, latência bancária. Ferramenta de ticket registra contato, tema, reabertura. O inbox registra mensagem. Existe dado sobrando; o que não existe é hierarquia.

O sintoma é conhecido: o agente abre três abas, lê quarenta campos, e a primeira frase que escreve ainda é "pode me informar o que aconteceu?". O apostador já explicou — na tela anterior, no ticket de ontem, no formulário de abertura. Repetir a pergunta é o atrito mais barato de eliminar e o mais caro de manter. O Decreto 11.034/2022 (SAC), art. 10, veda exigir que o consumidor repita a demanda — e a aplicabilidade formal do decreto às bets não está resolvida: nenhum ato da SPA/MF a declara, e na dúvida o Procon aplica. Trata-se, portanto, de parâmetro consumerista de referência, não de dispositivo setorial pacificado. A evidência de fundo, essa sim, é dura: reduzir esforço prevê lealdade melhor do que superar expectativa, e interações de serviço são cerca de quatro vezes mais propensas a gerar deslealdade do que lealdade (CEB/Gartner).

Some-se o dado de capacidade: o gargalo do relacionamento de alto valor não é falar com cliente, é o overhead — gerentes de private banking passam 25% a 30% do tempo em diálogo direto e até 60% em trabalho administrativo (Backbase; fonte de fornecedor, usar como ordem de grandeza). Cada minuto de leitura de tela é minuto retirado da conversa, e a régua da Parte IV — 8 a 15 contas em carteira dedicada, até 75 em assistido, teto de 150 só com ganho comprovado de copiloto (D5) — se move com esse número.

Daí o princípio de desenho do motor:

O agente não precisa de um data warehouse na tela. Precisa de uma leitura: seis blocos, ordem fixa, cada linha com origem e carimbo de tempo, e nada que não mude a ação disponível agora.

§1.2 A arquitetura

Seis camadas, cada uma com uma função só. A separação importa porque cada camada tem exigência de latência, de auditoria e de base legal diferente — e misturá-las é o que produz o sistema que ninguém consegue explicar ao fiscal dois anos depois.

Camada 1 — fontes. Plataforma de apostas (conta, cadastro, sessão, aposta, limite, autoexclusão específica), PSP e conciliação (depósito, saque, recusa, estorno, método, latência), ferramenta de atendimento (ticket, tema, canal, tempo, reabertura, desfecho), inbox proprietário, espelho da autoexclusão centralizada via SIGAP, cadastro de vedação por programa social, base do "Não Me Ligue" paulista, grafo de dispositivo/IP/origem de afiliado e a memória de relacionamento tipada. Um item quase nunca existe pronto e é o mais importante para o motor: o log próprio de tudo que já foi enviado àquela pessoa, unificado por CPF e por canal. Sem ele não há penalidade de contato, não há prova de abstenção e não há defesa.

Camada 2 — resolução de identidade. Aqui o desenho se afasta do padrão de mercado por exigência normativa. CDPs resolvem identidade por combinação probabilística de e-mail, device id e cookie — e a crítica de que o fazem dentro de caixas-pretas, ainda que venha de parte interessada (Hightouch, concorrente da categoria), descreve corretamente o comportamento padrão. No setor regulado brasileiro a chave é o CPF, e o casamento é determinístico. A razão é operacional antes de ser filosófica: a autoexclusão centralizada trava por CPF, a vedação por programa social é por CPF, o "Não Me Ligue" é da pessoa e não do número, e a pessoa troca de telefone. Um perfil montado por device id que erre a fusão em 1% dos casos produz, nesse 1%, contato comercial a autoexcluído — e o art. 11, VII não admite intervalo de confiança. Identificadores fracos entram como atributos do perfil, nunca como chave de fusão. Quando dois registros conflitam, o motor não escolhe: marca conflito, bloqueia envio proativo e devolve o caso para revisão humana.

Camada 3 — fatos. Log append-only, imutável, com carimbo de tempo e origem por evento. É a única camada em que se confia para prova. Não guarda interpretação — guarda que o saque de R$ 380 foi solicitado às 21h14 de 02/09 e permanecia em análise às 04h30 de 04/09. Retenção mínima de dois anos, por analogia ao art. 12, §5º do Decreto 11.034/2022. A Portaria 1.231/2024 exige registro equivalente em outros pontos (histórico cadastral com IP de cada alteração; registro apartado e redundante dos processos de apuração) — a numeração exata desses dispositivos veio de compilação privada e precisa ser conferida no DOU antes de virar cláusula contratual.

Camada 4 — derivados. Onde os fatos viram grandezas: contagens em janela (depósitos recusados em 24h, saques cancelados em 72h), tempo decorrido contra SLA, tenure, coordenada V·E·R da Parte IV, sinais duros e moles, e as features que alimentam o Next Best Service e o Human Moment Score. Duas travas se aplicam desde aqui, e não só na tela: toda feature vive num registro versionado com dono, fonte, base legal, TTL e classificação (permitida / restrita com teto / proibida), e o motor se recusa a executar com feature fora do registro. A tabela de risco fica em esquema separado, com credencial distinta, sem chave estrangeira direta para a tabela de campanha; a única ponte autorizada devolve um booleano — apto ou não apto —, jamais um grau ou uma ordenação.

Camada 5 — síntese. A curadoria. Recebe fatos e derivados e produz o snapshot: seis blocos, teto de linhas por bloco, cada linha com origem e carimbo. É a camada em que um LLM trabalha — resumindo, redigindo, classificando tema de texto livre, extraindo "promessa feita com prazo" de uma conversa — e é a camada em que ele nunca escolhe ação. A fronteira é a mesma da Parte V: linguagem é dele, decisão não.

Como o snapshot vira prova (§1.6), a fronteira precisa de mecanismo, não de intenção. Três travas, verificáveis em teste:

1. O modelo não emite valor, data nem identificador. Todo número, data, nome próprio e status na tela é cópia literal de um campo da camada 3 ou 4, inserido por template. O modelo escolhe quais linhas entram e escreve o texto de ligação; não digita o R$ 2.400.
2. Validador determinístico antes da renderização. Cada token numérico e cada data do snapshot são casados com o registro de origem. Sem casamento, a linha não renderiza e o bloco cai para o formato bruto da camada 3, com aviso.
3. O que é redação do modelo aparece marcado no registro de prova. No congelamento, o texto gerado é gravado junto com a versão do modelo, o prompt e os fatos de entrada. Auditoria que pergunte "de onde saiu essa frase" tem resposta reproduzível.

Camada 6 — entrega. Três consumidores com contratos diferentes: o painel do concierge (Capítulo 2), o motor de decisão (que consome o vetor de features, não o texto) e o registro de prova (que congela o que o agente viu). O snapshot que aparece na tela e o vetor que entra no motor saem da mesma camada e são versionados juntos — se divergirem, a auditoria não consegue reconstruir por que a decisão foi tomada, e o log perde valor probatório.

§Onde isso roda e de quem é o dado

Pergunta de CTO e de jurídico, e ela precede qualquer discussão de tela. O operador é o controlador; a operação de concierge é operadora, nos termos do art. 39 da LGPD, com contrato escrito em português, hipóteses de tratamento declaradas por campo e critérios de subcontratação à disposição da SPA (Portaria 1.231/2024, art. 22, II e parágrafo único). Três consequências de arquitetura:

• A ordem de preferência de implantação é: dentro do ambiente do operador; em ambiente dedicado por operador sob contrato; nunca em base compartilhada. A guidance da UKGC é explícita — "no customer contact should be conducted outside the licensee's policies, procedures or systems" (SRCP 5.1.1(2)) —, e um painel que viva fora do sistema registrado do operador transforma cada atendimento em contato não registrado.
• Isolamento por operador é físico, não lógico por filtro. Se a operação atende mais de uma bet, o mesmo CPF existe duas vezes e não é unificado em hipótese nenhuma: não há grafo de identidade cross-operador, não há feature aprendida em A aplicada a B, não há lista que atravesse. O que pode circular entre contratos é benchmark agregado e anonimizado, com k mínimo declarado — e essa restrição entra no contrato, porque é exatamente a pergunta que o segundo cliente faz sobre o primeiro.
• O log de acesso é do operador, exportável por ele a qualquer momento, sem intermediação. Controle que o controlador não consegue ler sozinho não é controle.

§O que é tempo real e o que não é

A pergunta certa não é "quanto dá para acelerar", é "o que quebra se estiver defasado". Quase tudo tolera minutos. Quatro coisas não toleram.

O resto — tenure, coordenada de valor, preferências, NPS, resumo de histórico, saldo de pontos, notas de relacionamento — pode ser recalculado em lote a cada poucos minutos, ou a cada hora, sem consequência prática. Perseguir tempo real onde ele não muda decisão é gastar orçamento de engenharia comprando latência que ninguém percebe — e, pior, tirando esse orçamento das quatro linhas acima, onde o atraso custa dinheiro ou multa.

§O corte mínimo: o que precisa existir na primeira versão

Um desenho de seis camadas atrasa a primeira entrega em meses e é o jeito mais comum de matar o projeto por dentro. A versão que já muda o atendimento é curta, e a régua é a mesma do teste de admissão: só entra o que muda a ação disponível agora.

Blocos 5 e 6 do snapshot — hipótese de intenção e ação recomendada — não entram na primeira versão. Eles dependem do motor da Parte V e do índice da Parte VI, e uma tela que sugere ação antes de o motor estar calibrado ensina o time a desconfiar da tela. É mais barato entregar quatro blocos que funcionam do que seis que precisam de ressalva verbal.

§1.3 O snapshot

O formato é fixo. Fixo não é rigidez decorativa: é o que permite ao agente ler pelo lugar, e não pelo conteúdo — depois de cem atendimentos, o olho vai direto ao terceiro bloco sem processar os dois primeiros. Formato variável destrói esse ganho.

Estrutura obrigatória

A ordem é a ordem de leitura de quem tem poucos segundos, e cada posição é uma decisão. O orçamento de leitura adotado no desenho — oito segundos até a primeira ação útil — é premissa de projeto, não achado de pesquisa. Ela não precisa ser acreditada: vira medida no piloto, cronometrando tempo entre abrir o atendimento e a primeira frase enviada, com e sem snapshot. Se o número real for vinte segundos, o layout muda; o que não muda é a ordem, e a ordem é o que segue.

Identidade vem primeiro porque tratar a pessoa pelo nome errado ou pela relação errada — falar com um recorrente qualificado como se fosse cadastro novo — inutiliza tudo o que vem depois. O fato recente vem em segundo porque a esmagadora maioria dos contatos em bet é sobre algo que acabou de acontecer com dinheiro: o evento explica o contato mais do que qualquer modelo. O pendente vem em terceiro porque é a dívida da operação, e porque um agente que promete de novo o que já foi prometido produz a segunda reclamação, mais cara que a primeira.

A posição do quarto bloco é a escolha menos óbvia e a mais importante. A cerca vem antes do palpite, deliberadamente. Se a hipótese de intenção aparecesse primeiro, o agente formaria a resposta na cabeça e só depois leria o que não pode dizer — e a correção posterior é sempre pior que a formulação já correta. Lendo a restrição antes, ele constrói a resposta dentro dela. O quinto bloco é sugestão, o sexto é recomendação; os quatro primeiros são fato e regra. Um snapshot que inverte essa ordem funciona igual em demonstração e falha diferente em produção.

§Exemplo preenchido

Caso realista, bet brasileira autorizada, atendimento no inbox proprietário (D1). Todos os valores são ilustrativos.

╔══════════════════════════════════════════════════════════════════════════════╗
║  SNAPSHOT · gerado 04/09/2026 09:12:04 · v3.2.1 · cache 40s · modo PLENO     ║
╠══════════════════════════════════════════════════════════════════════════════╣
║ 1 · QUEM É                                                                   ║
║   Marcelo (tratar por Marcelo — preferência declarada 12/03/2026)            ║
║   Conta há 14 meses · faixa de serviço V3·E3 (eixo R não exibido)            ║
║   Trilha: concierge por momento · sem carteira nominal                       ║
║   Atendimentos nos últimos 90 dias: 3 · reaberturas: 2                       ║
╠══════════════════════════════════════════════════════════════════════════════╣
║ 2 · O QUE ACONTECEU                                        origem · carimbo  ║
║   Saque R$ 2.400 solicitado, status "em análise"           PSP · 02/09 21h14 ║
║   SLA declarado de 24h vencido há 12h06                    regra · 04/09 09h ║
║   Depósito R$ 300 aprovado                                 PSP · 03/09 19h40 ║
║   Login em dispositivo já conhecido                        plat. · 04/09 08h ║
║   Mensagem no inbox, ainda sem resposta nossa              inbox · 04/09 09h ║
╠══════════════════════════════════════════════════════════════════════════════╣
║ 3 · O QUE ESTÁ PENDENTE                                                      ║
║   ▸ Ticket #48213 aberto 03/09 08h22 — tema: saque em análise                ║
║   ▸ PROMESSA REGISTRADA: "retorno em até 24h" — feita por Ana C. 03/09 10h05 ║
║     → vencida há 23h07. Cumprir antes de qualquer outro assunto              ║
║   ▸ Nenhum pedido em carência                                                ║
╠══════════════════════════════════════════════════════════════════════════════╣
║ 4 · O QUE NÃO PODE                                                           ║
║   ✕ Nenhum conteúdo comercial nesta conversa — opt-out de marketing          ║
║     registrado em 21/07/2026 (art. 11, IV)                                   ║
║   ✕ Não prometer data de crédito sem confirmação da conciliação              ║
║   ✕ Não oferecer recompensa, cortesia ou bônus como compensação              ║
║     → se houver erro operacional reconhecido: RESTITUIÇÃO, dentro da alçada  ║
║   ✓ Alçada deste agente: R$ 500 · acima disso, aprovação de supervisão       ║
║   ✓ Canais liberados: inbox e e-mail · telefone não autorizado por este CPF  ║
╠══════════════════════════════════════════════════════════════════════════════╣
║ 5 · O QUE PROVAVELMENTE QUER                        [hipótese — confirmar]   ║
║   1ª  Saber por que o saque não saiu          confiança alta                 ║
║       evidência: ticket sobre o tema + SLA vencido + mensagem agora          ║
║   2ª  Confirmar se a conta está com problema  confiança baixa                ║
║       evidência: depósito novo após saque travado                            ║
║   ⚠ Não abrir a conversa com a hipótese. Ler a mensagem dele primeiro.       ║
╠══════════════════════════════════════════════════════════════════════════════╣
║ 6 · O QUE FAZER AGORA                                                        ║
║   ▶ R1 · destravar saque parado além do prazo — executor: humano             ║
║     motivo: dois casos reabertos em 90 dias indicam que a variante           ║
║     automatizada já falhou com esta pessoa · R estimado R$ 1.210/h > λ 340   ║
║   ▷ alternativa: E5 · explicar por que a análise ainda corre, com prazo novo ║
║   ⟳ pós-atendimento obrigatório: C2 em 72h (confirmar que resolveu)          ║
╚══════════════════════════════════════════════════════════════════════════════╝

Três detalhes fazem esse bloco funcionar e são fáceis de perder na implementação.

Nenhuma linha sem origem e carimbo. Não é excesso de zelo de auditoria — é o que permite ao agente saber se pode afirmar. "Saque em análise desde 02/09 21h14, fonte PSP" é frase que ele pode dizer ao apostador. "Saque pendente" não é.

A promessa vencida aparece acima de tudo no bloco 3, com o nome de quem prometeu. O padrão que domina a reclamação do setor é promessa não cumprida; um snapshot que trate promessa como mais um item de lista reproduz o padrão.

O bloco 4 fala em ação, não em rótulo. Não aparece "R1" nem "opt-out flag = true"; aparece "nenhum conteúdo comercial nesta conversa" e o dispositivo que sustenta. O agente não precisa aprender a taxonomia interna para obedecê-la — e, quando o Procon perguntar por que aquela conversa não teve oferta, a resposta já está escrita em português na tela que o agente viu.

§1.4 Motivo provável do contato

Este é o campo mais útil do snapshot e o mais fácil de estragar. Ele existe porque acertar a intenção economiza dois turnos de conversa; e ele é perigoso porque um copiloto que afirma a intenção errada com confiança piora o atendimento em vez de melhorá-lo — o agente ancora na hipótese, conduz a conversa para ela, e a pessoa passa três mensagens tentando corrigir o rumo. O erro fica caro justamente nos casos em que o modelo erra com convicção, que são os casos atípicos, que são os casos que precisavam de gente.

Como se infere. Quatro fontes, com pesos muito diferentes:

Como se exibe. Cinco regras, e são o que separa um campo útil de um campo nocivo:

1. Sempre rotulado como hipótese, com a palavra visível na moldura do bloco. Nunca redigido como fato ("ele quer saber do saque").
2. Sempre com a evidência que a gerou, na mesma linha. O agente precisa poder discordar da inferência olhando o motivo dela. Hipótese sem evidência é palpite com autoridade de sistema.
3. No máximo duas hipóteses, com confiança em três níveis — alta, média, baixa. Nada de percentual: percentual convida a confiar no número, e a calibração raramente sustenta a precisão implícita de dois dígitos.
4. Abaixo de um limiar declarado, o campo exibe "não inferido" e não sugere nada. Um bloco vazio é informação honesta; um bloco preenchido com ruído é dano.
5. Instrução operacional junto da hipótese, quando o contato é entrante: ler a mensagem antes de responder. O copiloto não redige a abertura de uma conversa entrante a partir da hipótese — só depois de o texto da pessoa entrar.

Há uma assimetria que vale explicitar. Em contato entrante, a hipótese é auxiliar de leitura: a pessoa vai dizer o que quer em poucos segundos, e o custo de errar é baixo desde que o agente não fale primeiro. Em contato proativo, não existe hipótese de intenção — existe motivo do contato, que é a ação escolhida pelo motor, com pré-condição verificável e registro. A diferença não é semântica: um contato proativo justificado por "provavelmente ele quer" é exatamente o tipo de mensagem que a norma brasileira não sustenta, porque não há evento de conta nem pedido do apostador por trás dela.

§1.5 Latência e degradação

Um snapshot que não carrega não pode travar o atendimento. Isso é obrigação antes de ser boa prática: a Lei 14.790/2023, art. 28, impõe atendimento gratuito para receber e resolver dúvidas e solicitações — a lei não fixa prazo de resposta —, e o parâmetro consumerista de referência, se o Decreto 11.034/2022 for aplicado às bets, é de 7 dias corridos. Nenhuma indisponibilidade interna suspende esse dever.

Orçamento de latência — premissas de partida, a calibrar no piloto e a fixar em contrato antes do go-live: blocos 1 a 4 renderizados em até 300 ms no p95; blocos 5 e 6 assíncronos, até 800 ms, entrando na tela sem reflow; cache de 40 segundos com invalidação imediata por evento de pagamento, caso ou degrau de proteção. A tela mostra a idade do snapshot em segundos. Se o cache está velho, o agente sabe.

Uma ressalva de engenharia que o número esconde: 300 ms no p95 não é promessa sobre a resposta de um PSP. É promessa sobre a leitura do modelo materializado da camada 4, que é local, indexado por CPF e escrito de forma assíncrona pelos consumidores de evento. Se um PSP responde em quatro segundos, o snapshot renderiza sem ele, marca a fonte como defasada com o horário do último dado bom, e atualiza a linha quando o evento chega. Nenhuma chamada síncrona a sistema de terceiro entra no caminho de renderização — com uma exceção deliberada, o gate, que não está no caminho da tela e sim no caminho do envio, onde bloquear é o comportamento correto.

Três modos, e a regra que os governa é assimétrica.

A assimetria é o ponto: falha degrada o serviço reativo e fecha o proativo. Servir alguém que procurou a operação com informação parcial é aceitável e documentável; mandar mensagem a alguém sem conseguir verificar autoexclusão, opt-in ou degrau não é. O gate é fail-closed; a tela é fail-open com aviso.

Três travas complementares. Nenhum modo degradado esconde o bloco 4 — se as restrições não puderem ser carregadas com confiança, o sistema entra em modo mínimo e trata como "não pode" tudo o que não conseguiu verificar. O modo em vigor entra no log, porque a pergunta de auditoria seis meses depois não é só "o que foi decidido", é "com o que na tela". E nenhum modo degradado bloqueia o caminho do apostador para pedir limite, pausa ou autoexclusão: esse fluxo não depende do snapshot, não passa por confirmação de agente e não tem tela intermediária (art. 4º, §1º da Portaria 1.231/2024, que veda artifício que dificulte a opção livre e informada).

§1.6 Como o snapshot alimenta o motor — e vira prova

O snapshot tem dois consumidores além do olho humano.

O Next Best Service consome o vetor de features derivado das mesmas camadas 3 e 4, com uma exigência: feature que o motor usa e feature que a tela mostra saem da mesma versão do mesmo cálculo. Quando divergem — e divergem sempre que o painel é construído por um time e o motor por outro —, a operação passa a ter duas verdades sobre a mesma pessoa, e nenhuma auditoria consegue reconstruir por que a decisão foi tomada. O contrato entre as camadas é versionado, e o número da versão aparece no rodapé do snapshot.

O Human Moment Score consome os fatores de ganho e o tempo esperado. O limite fixado na Parte VI tem consequência direta sobre esta tela: o índice ordena fila; não convoca ninguém para caso de risco de dano (D6). Com sensibilidade de 66,2% e especificidade de 71,5% (J. Behavioral Addictions, 2025/2026) sobre prevalência ilustrativa de 3% — não há estatística oficial brasileira de prevalência pós-regulamentação —, o valor preditivo positivo fica em torno de 6,7%: cerca de quinze marcados por acerto. Número assim não vai para a tela de ninguém como leitura sobre uma pessoa.

E o snapshot é prova. No momento em que uma decisão é tomada — contato humano, silêncio deliberado, supressão por gate, execução de ação —, o sistema congela o que o agente viu: os seis blocos renderizados, a versão do cálculo, os gates consultados com resultado e carimbo, o modo em vigor, o λ do ciclo, a ação escolhida e, quando houver texto de modelo, a versão e as entradas que o produziram. Grava com hash encadeado, retenção mínima de dois anos. O SRCP 5.1.1(2) da UKGC exige "a record of decisions made and all customer contacts irrespective of channel". Um concierge que opera fora do sistema do operador é uma infração ambulante; um concierge que é o sistema registrado do operador é um produto de compliance (D2).

§Prova de dois anos versus direito de eliminação

A objeção existe e não tem resposta vaga. Se o registro é imutável por dois anos, como se atende a um pedido de eliminação (LGPD, art. 18, VI)?

O eixo é a finalidade. O registro de prova é conservado para cumprimento de obrigação legal e regulatória e para exercício regular de direito — hipóteses em que a própria LGPD admite a conservação após o término do tratamento (art. 16, I e III). O que se elimina, no mesmo pedido, é tudo o que serve à finalidade comercial: perfil ativo, features de campanha, memória de relacionamento, listas, derivados de marketing. Três consequências de desenho, todas implementáveis no dia 1 e caríssimas de retrofitar:

• Segregação física entre o registro de prova e o modelo de leitura do produto. São bancos diferentes, credenciais diferentes, e o registro de prova não é consultável pelo painel nem pelo motor. Ele responde a auditoria e a pedido de titular, por processo, nunca por consulta de operação.
• Minimização no congelamento. O que se congela é o que foi exibido, e o que foi exibido já está mascarado por padrão (§2.5). O registro de prova não guarda documento, imagem de KYC nem chave PIX; guarda que o campo foi acessado, por quem e com qual justificativa.
• A resposta ao titular declara o que restou e por quê. "Seus dados de relacionamento e marketing foram eliminados; permanece, por obrigação legal, o registro de atendimentos e decisões, acessível apenas para auditoria, com eliminação prevista em [data]." Resposta assim encerra o pedido; "não conseguimos apagar" abre um processo.

Fica um ponto aberto e ele é do estado da arte, não deste desenho: nenhum banco vetorial comercial oferece deleção comprovável de dado pessoal embutido em embeddings. A consequência prática, tratada na Parte VIII, é que dado pessoal identificável não entra em embedding — o índice semântico trabalha sobre texto pseudonimizado, com o vínculo ao CPF fora do vetor, em tabela relacional de onde a linha some.

§CAPÍTULO 2 — PLAYER 360 VIEW

§2.1 O princípio da tela

Uma tela de atendimento é um documento de política disfarçado de interface. O que ela mostra em destaque é o que a operação está pedindo ao agente para otimizar — independentemente do que diga o manual, o treinamento ou o contrato. Se o saldo disponível fica no cabeçalho, todo atendimento passa a acontecer na presença desse número; se a perda acumulada aparece ao lado do nome, ela vira contexto de cada frase. Ninguém precisa instruir nada: a informação em destaque é a instrução.

Daí a regra de ouro deste capítulo, e ela é a coluna dorsal do desenho inteiro:

O concierge vê o suficiente para servir, e não o suficiente para vender contra o interesse da pessoa.

Isso não é postura moral pendurada num produto comercial: é blindagem contra o risco mais provável do modelo. A tentação, num sistema que junta comportamento de jogo com atenção humana, é descobrir que perda, esgotamento e desespero são bons preditores de resposta comercial — provavelmente são — e deixar a operação convergir para lá sem que ninguém tenha decidido isso. Nenhum agente precisa de má intenção; basta ver o número certo na hora errada. A UKGC aplicou treze multas por VIP e customer interaction entre 2020 e 2026 (Betway £11,6 mi, 2020; Entain £17 mi, 2022; William Hill £19,2 mi, 2023, entre outras), e a lei de Macau de 2022 destruiu o modelo ao proibir revenue share com concessionária — dos 235 promotores de 2014, restavam 18 em 2024.

O teste de admissão de cada campo é uma pergunta só: esta informação muda a ação legítima disponível agora? Se muda, entra, na forma mínima que baste. Se não muda, não entra.

§2.2 O desenho da tela

Cinco zonas. A descrição abaixo é suficiente para um designer construir sem reabrir a discussão de conteúdo.

Hierarquia visual. Uma coluna principal domina — leitura e ação ocupam a maior parte do espaço, porque são o que se usa na esmagadora maioria dos atendimentos. A profundidade vive em abas laterais recolhidas. Não existe painel de números no cabeçalho: nenhum medidor, nenhum termômetro, nenhum selo de valor. A escala tipográfica carrega a hierarquia, não a cor; a cor fica reservada a dois usos — restrição e prazo vencido. Cor para "cliente valioso" é exatamente o que esta tela não faz.

O que é permanente e o que é sob demanda. Permanente: identidade, fatos recentes, pendências, restrições, ação recomendada. Sob demanda: histórico, detalhe e dado de terceiro sistema. O critério é o mesmo teste de admissão — o que muda a próxima frase fica na tela; o que responde a uma pergunta específica espera a pergunta.

A fricção deliberada, e onde ela é proibida. Alguns dados exigem um clique a mais, e o clique é o controle, não um defeito de usabilidade. CPF completo, documento do KYC, chave PIX, transcrição integral de atendimento anterior: cada um exige abrir a aba, escolher uma justificativa numa lista fechada e confirmar. A lista fechada em vez de campo livre é intencional — texto livre não é auditável em escala, e "verificação de dados" digitado quinhentas vezes não diz nada. A justificativa tipada (confirmar identidade em pedido de saque, instruir requisição LGPD, apurar contestação de liquidação) cruza com o caso aberto e produz relatório.

A fricção incide sobre o acesso do agente ao dado. Nunca sobre o pedido do apostador. A distinção é normativa, não estética: o art. 4º, §1º da Portaria 1.231/2024 proíbe artifício que dificulte a opção livre e informada, e "vamos conversar antes" diante de um pedido de limite, pausa ou autoexclusão é exatamente o artifício descrito. Por isso a Zona C carrega um atalho de proteção que registra o pedido em um clique, sem passar por supervisão, sem tela de confirmação com contra-argumento, sem oferta no caminho. Duas consequências de fluxo: redução de limite, pausa e autoexclusão são imediatas; aumento de limite e suspensão de pausa entram com carência de 24 horas (art. 4º, §2º) — e o snapshot mostra a carência correndo no bloco 3, para que o agente não prometa "resolver agora".

Onde a tela também é o caminho da revisão humana. Decisão automatizada que limite, bloqueie ou restrinja conta não sobrevive sem revisão humana acessível e caminho de contestação (LGPD, art. 20; a ANPD já sinalizou que revisão meramente formal é sancionável). A tela é onde isso acontece: quando o estado da conta veio de decisão automatizada, o bloco 3 mostra a pendência de revisão com prazo, e a Zona C abre o registro de contestação — com o motivo em linguagem de pessoa, o nome de quem revisou e o desfecho. Revisão que o log não distingue de um clique automático não é revisão.

Uma consequência de desenho que costuma surpreender: a tela fica menor, não maior, à medida que o produto amadurece. Cada campo que sai é um campo cuja ausência não impediu nenhum atendimento em três meses — e a revisão trimestral com esse critério é parte da governança.

§2.3 A cobertura do que foi pedido

Cada item solicitado tem lugar. A coluna da forma é o que interessa.

§2.4 A classificação de dados em cinco faixas

O coração do capítulo. Cada campo do produto recebe exatamente uma faixa, e a faixa determina quem vê, em que forma e com que registro.

Faixa 1 — NECESSÁRIO. Sem ele não se atende. Visível por padrão, sem clique, sem registro individual de acesso além do log de sessão. Faixa 2 — ÚTIL. Melhora a qualidade da conversa, não bloqueia nada. Sob demanda, um clique, sem justificativa. Faixa 3 — SENSÍVEL. Acesso registrado e justificado, com justificativa tipada e revisão amostral. Faixa 4 — NÃO MOSTRAR. Existe no sistema, não existe nesta tela. Não há porta, não há quebra-de-vidro: é ausência de campo, não campo protegido. Faixa 5 — USO INADEQUADO. A categoria que define o produto. São dados que a operação possui, que seriam tecnicamente triviais de exibir, e cuja exibição ao concierge corrompe o incentivo mesmo quando todos os envolvidos têm boa intenção.

§2.4.0 Como a faixa 5 se sustenta tecnicamente

Uma faixa que depende de permissão configurada é uma faixa que alguém concede numa sexta-feira. A separação precisa ser estrutural, e é verificável por terceiro:

• Os campos de faixa 5 não existem no modelo de leitura que serve o painel. Não é coluna com máscara nem view com filtro por papel: é esquema separado, com credencial que o serviço do painel não possui. Uma consulta ao campo não retorna vazio — retorna erro de objeto inexistente.
• Teste de esteira que quebra o build. Uma lista declarada de campos proibidos é confrontada com o esquema exposto ao painel, com a resposta da API e com as colunas de todo relatório exportável. Campo novo cujo nome ou cuja origem caia na lista derruba a integração antes do deploy.
• A superfície inclui exportação, busca e API. Faixa 5 sem caminho na tela mas com caminho no CSV de relatório é faixa 5 no papel. O teste cobre os quatro: interface, busca, exportação e API do painel.
• Reconstrução por soma também é acesso. O detalhe de aposta por evento está em faixa 5 justamente porque a perda líquida se reconstrói somando-o (§2.4.4). Todo campo novo passa pela pergunta: dá para derivar um campo de faixa 5 a partir deste?

§2.4.1 Perda líquida acumulada

É o campo mais tentador da categoria e o único de exclusão absoluta. A tentação é legítima na aparência: saber quanto alguém já perdeu parece contexto humano — ajudaria a "ter cuidado", a "não pisar na ferida". Na prática produz o contrário, por dois caminhos que não dependem de má-fé.

O primeiro é de incentivo. Perda acumulada é o melhor proxy disponível de disposição a gastar. Um agente que a vê passa, sem decidir nada, a modular esforço por ela — mais atenção, mais paciência, mais alçada para quem perdeu mais. É precisamente o desenho que a guidance de High Value Customers da UKGC ataca ao exigir que incentivos "must not encourage risk behaviours such as chasing losses" (SRCP 5.1.1(2)), e que a Portaria 1.231/2024 alcança pelo art. 12, XII, que veda promover o produto como meio de recuperar valores perdidos.

O segundo é de conversa. Perda visível vaza no tom. Muda a escolha das palavras, a ordem das ofertas de solução, a disposição de encerrar o contato. E é um número que a pessoa não pediu para discutir.

Onde a informação legitimamente vive: o orçamento de atenção, quando existir, se ancora em theo — valor teórico esperado —, calculado longe da tela e convertido em posição de fila, nunca em número exibido. E a exposição em dinheiro que a função de proteção precisa manejar é outra coisa, com outra base legal, outro dono e outra pessoa executando (D7).

§2.4.2 Saldo disponível na conta

Aqui a resposta certa não é proibição, é exibição contextual — e a distinção é o que separa uma regra utilizável de uma regra que a operação vai furar na primeira semana.

Quando o objeto do atendimento é o saldo — saque em análise, depósito não creditado, contestação de liquidação —, o agente precisa do número, e ele aparece: o valor daquele caso, dentro daquele caso, com carimbo. Não é discutível: sem isso não se atende.

O que não existe é o saldo como campo permanente de cabeçalho. A diferença é enorme na prática. Saldo no cabeçalho transforma toda conversa — inclusive as que tratam de KYC, de senha, de dúvida de regra — num ambiente em que o agente sabe, o tempo inteiro, quanto ainda dá para apostar. Isso muda a leitura de um pedido de saque total, muda o desfecho de uma conversa sobre pausa, e cria uma assimetria de informação que a pessoa não autorizou.

Regra: saldo é atributo de caso, não atributo de pessoa. Fora de um caso cujo objeto é o saldo, não aparece.

§2.4.3 Score e degrau de risco de dano

O concierge comercial vê um efeito, nunca um grau. Na tela dele existe "conteúdo comercial suprimido nesta conversa" e nada mais — sem número, sem faixa, sem palavra que descreva a pessoa. Três razões independentes, cada uma suficiente sozinha.

Jurídica. Inferir risco de dano é tratar dado de saúde: dado sensível pela LGPD, art. 5º, II, com o regime do art. 11 herdado pela inferência a partir de dado comum. A base legal defensável é cumprimento de obrigação regulatória (art. 11, II, "a") — e ela cobre proteger, não cobre servir melhor, vender melhor ou calibrar tom comercial. Exibir o grau ao time comercial é desvio de finalidade documentado na própria interface, e é a acusação mais fácil de formular contra um produto assim.

Estatística. Com VPP em torno de 6,7% sobre a premissa ilustrativa de prevalência de 3%, cerca de quatorze em cada quinze pessoas marcadas não têm o problema que o rótulo sugere. Um número desses, na tela, é lido como leitura sobre a pessoa e não como posição de fila — e o agente passa a tratar quatorze pessoas saudáveis a partir de uma premissa errada. A Parte VI resolve isso no motor; a tela não pode reabrir o buraco.

Comportamental. Mesmo sem exibir o número ao apostador, o grau contamina o atendimento — e o efeito documentado é rejeição, não mudança: no estudo Playscan (n=757), receber classificação de risco maior que a autoimagem gerou dissonância. Espelho, não veredicto vale para o roteiro e vale para a tela que o produz.

A nuance de desenho: o eixo R da Parte IV não aparece na tela comercial, em nenhuma forma — nem como nível, nem como sigla, nem dentro da coordenada de serviço. Ele se colapsa em frases de restrição no bloco 4. A trilha de proteção, operada por outra equipe com outro indicador (D7), vê o que precisa ver — inclusive os marcadores de frequência, intensidade, variabilidade e escalada que se sustentam desde Braverman & Shaffer (bwin, n=4.056) — porque sem isso não há como executar o espelho nem registrar desfecho. Duas telas, dois perfis de acesso, dois conjuntos de indicadores. Detectar e não agir é o pior lugar para estar; a resposta não é dar o dado a todo mundo, é garantir que a pessoa certa o tenha com prazo curto e desfecho registrado.

§2.4.4 Histórico de aposta detalhado por evento

Agregado, sim. Evento a evento, não — exceto dentro do caso que o exige.

O agregado que serve ao atendimento é curto: número de dias ativos no período, modalidades utilizadas, data da última atividade. Resolve praticamente toda dúvida legítima de serviço.

O detalhe evento a evento — cada aposta, cada mercado, cada horário — tem três problemas. É o insumo de onde a perda líquida se reconstrói por soma, o que faria a exclusão da §2.4.1 virar teatro. É a matéria-prima do palpite: um agente que vê o padrão de apostas encontra, sem esforço, oportunidade de comentar sobre a próxima — e comentário sobre resultado provável colide com o art. 12, X e com o art. 12, XIV, "e" da Portaria 1.231/2024, além do art. 17, II da Lei 14.790/2023. E é um nível de vigilância que nenhuma pessoa consentiu ao abrir conta: a diferença entre "a operação tem meus dados" e "um atendente está olhando minhas apostas de ontem à noite" é a diferença entre tratamento e devassa.

Regra: o detalhe abre dentro de um caso de contestação, escopo limitado ao evento em disputa mais uma janela declarada, com registro individual de acesso vinculado ao número do caso, e fecha quando o caso fecha.

§2.4.5 A faixa de serviço na tela: por que V fica e R sai

A pergunta é justa e a resposta precisa ser dita antes que alguém a faça em reunião: se o produto proíbe theo, decil e perda porque valor na tela vira instrução, por que a banda de valor V aparece no cabeçalho?

Quatro travas, e elas valem juntas ou a banda sai:

1. V não é dinheiro. É banda grosseira, sem valor em reais, sem ordenação visível dentro da banda e sem variação no dia a dia. Não dá para comparar dois apostadores da mesma banda pela tela.
2. V é dever, não prêmio. Ela existe porque determina o que a operação deve — SLA, alçada, trilha, se há carteira nominal. O agente não a lê como "quanto essa pessoa vale", e sim como "o que eu tenho autorização para resolver aqui".
3. A banda não muda o conteúdo da resposta, só o compromisso. É teste, não promessa: numa amostra mensal de atendimentos pareados por tema, a redação, a solução oferecida e a alçada efetivamente usada não podem variar por banda além do previsto na régua de serviço. Variou, a banda vira restrição de sistema e sai do cabeçalho.
4. A banda não é derivada de perda. Se a fórmula de V incorporar perda líquida, ela vira o campo proibido da §2.4.1 com outro nome — e a auditoria da fórmula é semestral, com a definição versionada.

O eixo R sai por razão diferente e mais simples: ele é o dado sensível da §2.4.3 e não tem uso legítimo na trilha comercial. Nem como número, nem como letra, nem como cor.

§2.5 Mascaramento, quebra-de-vidro e consulta anômala

Mascaramento por padrão. Todo identificador forte chega mascarado: CPF em três dígitos, telefone parcial, chave PIX parcial, cartão por bandeira e últimos dígitos. Desmascarar é ato, com justificativa, e o valor volta a ficar mascarado quando a sessão do caso encerra. O mascaramento é do lado do servidor — campo mascarado que chega inteiro ao navegador e é escondido por CSS não é controle, é fantasia.

Quebra-de-vidro. Aplica-se à faixa 3 apenas. Faixa 4 e faixa 5 não têm porta: não estão na superfície, e não há botão que as traga. O procedimento:

1. Justificativa escolhida em lista fechada, vinculada a um caso aberto sempre que existir um.
2. Sessão de acesso com prazo curto — 15 minutos como premissa de partida, a calibrar — e reautenticação para renovar.
3. Registro individual: agente, campo, carimbo, justificativa, caso vinculado, e se houve conversa ativa no momento.
4. Notificação ao encarregado de dados nos casos de documento e requisição LGPD.
5. Revisão amostral semanal pela supervisão, mais revisão integral de qualquer acesso sem caso vinculado.

O quinto item é o que faz o mecanismo valer alguma coisa. Quebra-de-vidro sem revisão é um botão que todo mundo aperta.

Alerta de consulta anômala. O risco que nenhum controle de campo cobre é o do agente que abre muitos perfis sem conversa associada — garimpo. Cinco indicadores, com limiares declarados como premissa e calibrados por operação:

Escalonamento em três degraus: aviso na tela (o mais eficaz e o mais barato), conversa com supervisão registrada, suspensão de acesso com apuração. A supervisão está sujeita à mesma régua, com revisão cruzada pelo encarregado — controle que isenta quem revisa é controle com porta dos fundos. E o rodapé permanente da Zona E cumpre a função preventiva que nenhum relatório cumpre: saber que a consulta está registrada muda o comportamento antes de qualquer sanção existir.

Trava de origem por canal. Nas praças onde o WhatsApp é canal permitido pela Meta — Colômbia, México e Peru, entre os cinco da lista —, soma-se uma restrição: dado obtido da Meta sobre a pessoa, fora o conteúdo das threads, não pode ser usado para nada além de sustentar a mensageria com ela (Seção 3 da política). Na prática, esse dado não alimenta perfil, não vira campo de tela e não entra no motor. E, no mesmo canal, a quebra-de-vidro de CPF, documento ou dado bancário não habilita pedir esses dados no chat — a mesma Seção 3 veda expressamente solicitar cartão, conta financeira ou documento de identidade por WhatsApp. Pedido assim migra para o inbox proprietário ou para fluxo autenticado no produto. No Brasil a questão não se coloca por outro motivo, anterior: o canal-âncora não é WhatsApp (D1).

§2.6 A regra de ouro, desenvolvida

"Ver o suficiente para servir e não o suficiente para vender contra o interesse da pessoa" resolve casos concretos, e é nos casos concretos que ela se prova.

Serve saber que existe um saque de R$ 2.400 parado há 36 horas. Não serve saber que a pessoa perdeu R$ 40 mil no trimestre. Serve saber que a última conversa terminou com promessa de retorno em 24h feita por outra pessoa. Não serve saber que ela depositou R$ 900 nas 48 horas seguintes ao último contato humano. Serve saber que o conteúdo comercial está suprimido nesta conversa. Não serve saber por qual grau de risco. Serve saber que há saldo de pontos com regra de saque publicada, quando a pessoa pergunta. Não serve um campo que sugira mencionar isso quando ela não perguntou — e nem existe recompensa antes da aposta a mencionar, porque o art. 29, I da Lei 14.790/2023 veda vantagem prévia sob qualquer forma (D3).

A objeção previsível é que informação a mais nunca prejudica quem tem boa intenção. Prejudica, por um mecanismo banal: informação em destaque é instrução implícita, e nenhuma equipe sustenta por trinta meses uma disciplina que a interface contradiz todos os dias. Regra que depende da virtude individual do agente não é controle — é esperança com nome de política. A tela é onde a política vira arquitetura.

A contrapartida precisa estar dita com a mesma clareza, porque sem ela a regra vira desculpa para não ver nada: tudo o que se esconde do concierge comercial está visível para alguém. A trilha de proteção enxerga exposição, escalada e variabilidade, com base legal declarada, prazo curto e desfecho obrigatório. O compliance enxerga o log de gates. O encarregado enxerga o acesso a dado sensível. A ciência de dados enxerga as features, pseudonimizadas, em ambiente analítico. O que não existe em lugar nenhum é o rótulo clínico: a Lei 14.790/2023, art. 26, VI reserva o reconhecimento de ludopatia a laudo de profissional de saúde mental habilitado, e o sistema grava evento + ação + desfecho, nunca condição.

§2.7 As cinco perguntas que derrubam esta seção

Nenhuma delas tem resposta boa em PDF de política. Todas têm resposta verificável.

"Meu CDP já faz isso, e meu fornecedor entrega esse painel no próximo trimestre." Faz mesmo, na maior parte. O que ele não faz, e não vai fazer, está na tabela da abertura: gate de legalidade como pré-condição bloqueante com espelho datado, identidade que para em vez de degradar, ausência física de campo em vez de permissão, e congelamento do que a tela mostrava no instante da decisão. Fornecedor de CDP vende ativação — quanto mais campo disponível, melhor o produto dele. Faixa 5 é a negação comercial do que ele vende. A pergunta seguinte, essa sim desconfortável: se ele decidir construir, quanto tempo o desenho aguenta? Aguenta o tempo de o operador precisar da prova, não da tela — e a prova é operação, não licença. Por isso esta parte não é vendida como plataforma.

"Você congela texto gerado por modelo e chama isso de prova. Um advogado destrói." Destruiria, se o modelo escrevesse fatos. Ele não escreve: número, data, nome e status são cópia literal de campo, inseridos por template, e um validador determinístico casa cada token com o registro de origem antes de renderizar (§1.2, camada 5). O que o modelo produz é ordenação e texto de ligação, gravado separadamente com versão e entradas. O que se leva ao Procon é o fato com origem e carimbo; a redação é contexto, e está marcada como tal.

"300 ms sobre seis sistemas, incluindo PSP, é promessa de vendedor." Seria, se a renderização chamasse o PSP. Não chama: lê modelo materializado local, indexado por CPF, alimentado de forma assíncrona. Fonte lenta aparece marcada como defasada com o horário do último dado bom. Os 300 ms são premissa de partida a medir no piloto e fixar em contrato — e o número que importa mais, e que também será medido, é tempo até a primeira ação útil, com e sem snapshot.

"Vocês veem o CPF do meu apostador. De quem é esse dado, e o que acontece se atenderem meu concorrente?" O operador é controlador; a operação é operadora, com contrato do art. 39 da LGPD e critérios à disposição da SPA. Implantação preferencial dentro do ambiente do operador, ou em ambiente dedicado. Não existe unificação de identidade entre operadores, não existe feature aprendida em um cliente e aplicada a outro, não existe lista que atravesse contrato — só benchmark agregado com k mínimo declarado. É cláusula, não boa vontade, e o log de acesso é exportável pelo operador sem intermediação.

"Se detectar risco é obrigatório e vocês escondem o grau do atendente, vocês não estão descumprindo o dever de cuidado?" O dever é agir, não exibir. Esconder o grau do time comercial e entregá-lo à trilha de proteção com SLA e desfecho obrigatório é o oposto de omitir — omissão é o que custou £900 mil à Betfred, e ela não foi por falta de tela, foi por sete dias sem desfecho. O que a tela comercial recebe é o efeito da decisão: supressão de conteúdo comercial, restrição de canal, bloqueio de oferta. Detectar e não agir é o pior lugar para estar; agir sem contaminar a conversa comercial é o desenho que a régua da UKGC descreve.

§2.8 Checklist de aceitação

Quatorze itens verificáveis por terceiro. Um desenho que falhe em qualquer um deles não está pronto para produção.

1. Os blocos 1 a 4 renderizam dentro do alvo de latência fixado em contrato (premissa de partida: 300 ms no p95), sem nenhuma chamada síncrona a sistema de terceiro no caminho, e a tela mostra a própria idade em segundos.
2. Nenhuma linha do snapshot aparece sem origem e carimbo de tempo.
3. Nenhum número, data ou identificador no snapshot foi redigido por modelo: todos passam pelo validador de casamento com o registro de origem, e linha sem casamento não renderiza.
4. O bloco 4 aparece antes do bloco 5 em toda resolução de tela, inclusive quando a coluna quebra em telas estreitas.
5. Existe modo reduzido e modo mínimo, testados por injeção de falha, e o modo em vigor entra no log da decisão.
6. Falha de verificação de gate bloqueia envio proativo e não bloqueia atendimento reativo.
7. Nenhum modo degradado, e nenhuma tela de espera, interpõe conteúdo comercial ou etapa adicional entre o apostador e o pedido de limite, pausa ou autoexclusão; redução é imediata, aumento respeita a carência de 24h e ela aparece no bloco 3.
8. Nenhum campo da faixa 5 tem caminho de acesso na interface do concierge — nem por busca, nem por exportação, nem por relatório, nem por API do painel — e existe teste de esteira que derruba o build quando um campo novo cai na lista ou permite derivá-la.
9. O eixo R não aparece em nenhuma superfície comercial, em nenhuma forma; a banda V passa na auditoria de equivalência de atendimento entre bandas e não é derivada de perda líquida.
10. Todo acesso à faixa 3 gera linha individual com justificativa tipada e caso vinculado, e a revisão amostral semanal está agendada com dono nomeado — inclusive sobre a própria supervisão.
11. Existe relatório de consulta anômala rodando, com limiares declarados, e pelo menos um caminho de resposta automática.
12. Decisão automatizada que restrinja conta gera pendência de revisão humana visível na tela, com registro de quem revisou, o motivo em linguagem de pessoa e o caminho de contestação aberto.
13. Não existe unificação de identidade entre operadores; o teste tenta resolver o mesmo CPF em dois contratos e falha por desenho.
14. O snapshot exibido no momento de cada decisão é congelado com hash encadeado, versão de cálculo e resultado de cada gate, com retenção mínima de dois anos, em base segregada que o painel não consulta — e existe procedimento documentado de resposta a pedido de eliminação que distingue o que sai do que fica, com a justificativa legal escrita.

O décimo quarto é o que transforma esta camada de custo em ativo. A pergunta que o Procon-SP faz — e ele é o primeiro a bater na porta, não a SPA — é por que aquela mensagem foi para aquela pessoa naquele momento. A resposta que encerra a conversa não é uma política em PDF. É a tela reconstruída, com o que o agente viu, os gates que rodaram, a ação escolhida e o motivo em uma frase.

§PARTE VIII — MEMÓRIA E GRAFO DE RELACIONAMENTO

As duas peças desta parte são as que mais parecem inteligência artificial e menos são.

Memória de agente é tecnologia madura e comprável: Letta (ex-MemGPT), Mem0 e Zep/Graphiti resolvem retenção episódica, semântica e procedural (F55). A captura de preferência no ponto de observação é processo anterior à IA — o Mystique do Ritz-Carlton, alimentado por preference pads, faz isso há décadas. Grafo de cliente também é prateleira: Neo4j e TigerGraph vendem Graph Data Science para Customer 360, e previsão de churn por grafo de chamadas é literatura consolidada em telecom. Nada disso se reivindica aqui, e reivindicar seria derrubável numa busca de dez minutos.

O que não se compra pronto é a parte chata, e ela tem três camadas que precisam ser enunciadas com precisão diferente:

Camada 1 — fato verificado. Nenhum banco vetorial comercial oferece deleção comprovável de dado pessoal embutido em embedding (F55), contra um direito de eliminação que no Brasil é expresso (LGPD, art. 18, VI).

Camada 2 — afirmação a verificar antes de virar claim externo. Fornecedores de memória de agente já entregam pedaços da governança: Zep/Graphiti faz invalidação temporal de arestas, Mem0 expõe política de retenção. O que não foi localizado em nenhum deles é a combinação — base legal declarada por campo, TTL derivado da finalidade, e certificado de eliminação verificável pelo controlador. Essa é uma afirmação de ausência de evidência, e ausência de evidência não é evidência de ausência: antes de a frase ir para material externo, verifica-se fornecedor por fornecedor.

Camada 3 — vantagem de posição, não de software. O CRM de iGaming de prateleira ingere o que o operador manda, inclusive atribuição de afiliado; a escassez não é de produto. É de posição: são poucos os agentes que estão simultaneamente dentro do CRM do operador e dentro da rede que originou a conta, com granularidade de ticket, KYC e proteção sobre o que aconteceu depois do FTD. Não foi localizada evidência de que Optimove, Fast Track ou Symplify explorem esse cruzamento (§4 do briefing) — mesma ressalva da camada 2.

O diferencial das duas peças, portanto, é de arquitetura e governança, não de modelo. É a razão pela qual os fornecedores de IA não vão construir isso: não dá demonstração bonita e exige advogado na sala de arquitetura. E é a razão pela qual, uma vez construído, é caro de alcançar — não por segredo técnico, mas por um fato mecânico: não se atribui base legal retroativamente a três anos de nota em texto livre. Quem começou com campo aberto tem duas saídas, apagar a base e recomeçar a captura, ou conviver com um passivo que só cresce. Nenhuma das duas cabe num sprint.

Duas regras atravessam os dois capítulos e valem enunciar antes:

1. O canônico é relacional; tudo o que é índice, projeção ou derivação é reconstruível. Se o derivado sumir, nada de substantivo se perde. Se a linha canônica sumir, o derivado é reconstruído sem ela. É essa inversão que torna a eliminação demonstrável.
2. Nenhum registro entra sem tipo, base legal, TTL e origem. Campo de texto livre é passivo jurídico com autocomplete.

§Quem é controlador, e por que isso decide o resto

Antes de qualquer desenho: o operador autorizado pela SPA é o controlador dos dados do apostador; a operação de concierge é operadora, tratando em nome dele (LGPD, art. 5º, VI e VII). Três consequências práticas atravessam esta parte inteira:

• O certificado de eliminação é entregue ao controlador, não guardado como troféu do fornecedor. Quem responde ao titular é a bet; o produto existe para dar a ela o documento com que responder.
• Controlador e operador respondem solidariamente por dano decorrente do tratamento (LGPD, arts. 42 e 44), o que faz do contrato de tratamento (DPA) um anexo obrigatório do contrato comercial, com escopo, instruções, subcontratação e cláusula de reversão.
• Cada controlador é um perímetro. Memória e grafo de uma bet não convivem, não se cruzam e não compartilham índice com os de outra. Isso não é preferência de arquitetura, é a única leitura defensável do art. 6º, I (finalidade) — e é detalhado em 11.5 e respondido de novo no bloco de objeções, porque é a primeira pergunta que um CEO de operador faz.

§Capítulo 11 — RELATIONSHIP MEMORY

§11.1 O que a memória resolve, e para quem o custo cai hoje

A diferença entre atendimento e relacionamento não é tom de voz, é onde repousa o custo de recontextualização. No atendimento sem memória, esse custo recai inteiramente sobre o apostador: ele reconta o problema do saque, reexplica qual método de pagamento falhou, reinforma que já tentou o suporte na semana passada, reapresenta o print. Cada contato começa do zero porque a empresa não carrega nada entre um contato e o outro. No relacionamento com memória, o custo é absorvido pelo sistema antes de a conversa começar.

Isso importa mais do que a intuição do encantamento sugere. A evidência mais robusta disponível diz que reduzir esforço prevê lealdade melhor do que superar expectativas, e que interações de serviço são cerca de quatro vezes mais propensas a gerar deslealdade do que lealdade (CEB/Gartner, F45). Pedir que alguém se repita é a forma mais pura e mais frequente de esforço imposto. Memória, nesse enquadramento, não é recurso de encantamento — é a infraestrutura que impede a interação de destruir valor.

O benchmark de topo aponta na mesma direção por outro caminho: o diferencial explícito do Amex Centurion sobre o Platinum não é volume de mimos, é falar sempre com o mesmo concierge, que já conhece as preferências (imprensa setorial, não auditada — usar como direção, não como número). O Ritz-Carlton industrializou o mesmo princípio com o Mystique, alimentado por preference pads que qualquer funcionário usa com fricção quase zero: captura no ponto de observação, por quem viu, distribuída para quem pode agir.

Só que continuidade de pessoa não escala. A régua de capacidade é 8 a 15 clientes por humano em high-touch e até 75 em assistido (F41, D5); acima de ~150 por humano, só com justificativa explícita. Numa operação com dezenas de milhares de contas ativas, prometer "sempre o mesmo concierge" para a base é ficção — e prometer sem entregar é exposição consumerista, não licença poética (Restrição 35).

A memória é o que permite entregar continuidade de tratamento quando não há continuidade de pessoa. Essa é a formulação que sustenta o produto: o próximo atendente não é o mesmo humano, mas chega sabendo o que o anterior sabia, com o mesmo contexto na tela e a mesma promessa no relógio. Para o apostador, a experiência é de continuidade; para a operação, é de arquitetura.

§11.2 A tipologia de memória

Nada aqui se resolve com "salvar o que for útil". Memória aberta é o desenho que cria simultaneamente o passivo jurídico (nota que não se sabe apagar, sobre finalidade que não se sabe declarar) e a inutilidade operacional (texto livre que ninguém lê, que contradiz outro texto livre, que não filtra e não expira). O desenho é o oposto: seis tipos fechados, esquema validado, base legal por campo, TTL por tipo, visibilidade declarada. O que não couber em um dos seis não é gravado.

Os TTL abaixo são parâmetros de desenho propostos, não prazos extraídos de norma — exceto onde a coluna aponta a âncora regulatória. Cada um é ratificado pelo encarregado de dados do operador antes da implantação, e o valor efetivo vira cláusula do DPA.

Quatro observações que decidem implementação:

O tipo 1 é ao mesmo tempo o mais seguro e o mais valioso. Seguro porque a pessoa pode ver, corrigir e apagar sem prejuízo para ninguém; valioso porque age exatamente sobre a variável que prediz lealdade — esforço (F45). Uma operação que só implementasse o tipo 1 já teria a maior parte do retorno da memória com quase nenhum risco. É por isso que ele é a v1 inteira em 11.7.

O tipo 2 não é cópia, é ponteiro. Fato de conta já existe no sistema transacional; a memória não o duplica em campo editável, ela referencia o registro autoritativo e guarda a leitura interpretada, com o id de origem. Isso evita a pior falha de CRM: a versão do fato no CRM divergir da versão do fato no sistema, e o atendente ler a errada.

O tipo 3 exige origem declarada porque a alternativa é a acusação mais fácil de formular contra o produto. Inferir interesse a partir de comportamento de aposta — "joga muito basquete americano, ofereça basquete americano" — arrasta o produto para o terreno em que usar comportamento de jogo para calibrar abordagem comercial vira desvio de finalidade sobre dado que pode ser lido como sensível (LGPD, arts. 5º, II e 11; F64; Restrição 18). Interesse só existe na memória se a pessoa disse, com a frase dela guardada como âncora.

O tipo 5 tem regra de visibilidade invertida, e esse detalhe é a separação estrutural. A equipe comercial não vê motivo, não vê sinal, não vê histórico de proteção — e não vê sequer a cor do degrau. Ela vê um campo binário: gate comercial liberado ou bloqueado. Nada mais. Se o comercial souber o porquê, a separação virou declaração de intenção; enquanto o comercial só enxerga a trava, ela é estrutura (D7, Restrição 22). O registro em si segue o padrão que a UKGC cobra — "a record of decisions made and all customer contacts irrespective of channel" (SRCP 5.1.1(2), F36) — e nunca contém rótulo clínico, porque a empresa classifica risco operacional e não diagnostica (Lei 14.790/2023, art. 26, VI, F63; Restrição 20).

§A lista fechada do que nunca entra

Não é orientação, é validação automática de esquema. O sistema recusa a gravação:

• Inferência sobre saúde, física ou mental — inclusive "parece estar bebendo", "parece deprimido", "acho que tem problema com jogo". Risco operacional é evento registrado, não impressão.
• Situação financeira inferida — "parece endividado", "deve estar apertado", "gasta mais do que ganha". Fato de pagamento é tipo 2; leitura de solvência não é fato.
• Família, filhos, estado civil, coabitação.
• Religião, opinião política, filiação sindical, origem racial ou étnica, orientação sexual — categorias do art. 5º, II da LGPD, que só existem no cadastro por acidente de conversa e nunca por necessidade de serviço.
• Julgamento do agente sobre a pessoa — "chato", "difícil", "reclamão", "mentiroso", "problemático". O que existe é fato de interação ("pediu escalonamento duas vezes"), nunca adjetivo sobre a pessoa.
• Dado de terceiro — a esposa que atendeu o telefone, o amigo mencionado, o número que não é do titular.
• Dado obtido da Meta que não seja conteúdo da própria thread — vedação expressa da política de plataforma para qualquer uso de scoring, lookalike ou targeting (Restrição 30). Vale nas praças em que o WhatsApp é permitido; no Brasil o canal não existe (D1), mas a regra é do esquema, não do canal.
• Qualquer nota que a pessoa ficaria constrangida de ler.

§11.3 O teste do espelho

O último item da lista é o teste que governa todos os outros, e ele tem base normativa direta: o titular pode pedir para ver (LGPD, art. 18, II), e o canal de atendimento é, na prática, porta de entrada de requisição LGPD, com dever de encaminhamento ao encarregado (art. 41). A pergunta operacional é:

Se essa pessoa pedisse amanhã para ver tudo o que está gravado sobre ela — e ela pode — esta frase constrangeria alguém?

Se a resposta for sim, a nota não entra. Não se reescreve com eufemismo: não entra.

Quatro checagens automáticas antes de a nota ser oferecida ao agente: (a) a nota cai numa categoria proibida? (b) há adjetivo avaliativo cujo sujeito é a pessoa? (c) existe evidência-âncora — id de interação, trecho literal, id de transação? (d) o trecho apontado pela âncora contém de fato o que a nota afirma? A quarta checagem é a que impede a falha mais provável do copiloto: proposta plausível com âncora que não sustenta a afirmação. Falhou em qualquer uma, não é proposta.

O teste do espelho tem um efeito colateral desejável: notas que passam nele são, quase sempre, notas úteis. Adjetivo sobre pessoa não aciona nada; fato com data e evidência aciona.

§11.4 Captura: proposta e confirmação, nunca campo em branco

O Ritz resolveu a captura com fricção quase zero no ponto de observação. Numa operação de concierge de iGaming, fricção zero não basta — a captura compete com o tempo do humano, e o tempo do humano é o insumo escasso. O gargalo do relacionamento de alto valor não é falar com cliente, é o overhead: em private banking, os gerentes passam 25% a 30% do tempo em diálogo direto e até 60% em trabalho administrativo (F42 — fonte é fornecedor, Backbase; usar como ordem de grandeza). Qualquer desenho que peça ao concierge para "preencher o CRM depois" produz duas coisas: campo vazio ou lixo.

O desenho é proposta e confirmação:

1. Ao fim da conversa, o copiloto lê a transcrição e propõe de zero a três notas já tipadas e já preenchidas no esquema, cada uma com evidência-âncora apontando para o trecho de origem.
2. O agente confirma, corrige ou descarta em um clique por nota. Não existe campo de texto livre no fluxo padrão.
3. A confirmação é ato humano e fica logada. Quem confirmou é o responsável pela nota. Isso não é exigência normativa sobre o atendente — é decisão de arquitetura, inspirada no precedente em que a UKGC advertiu formalmente a licença pessoal do gerente-geral, e não só a empresa (Kindred/32Red, 2023, F35). Responsabilidade nominal por registro é o que torna a trilha utilizável meses depois.
4. Nota sem evidência-âncora não é proposta. Nota que falha nas quatro checagens do espelho não é proposta.
5. O tipo 5 não passa por este fluxo. Sinal de proteção não vira nota confirmada por atendente comercial: gera evento na fila de proteção, com dono nomeado, SLA do degrau correspondente — 24h no degrau 2, 4h úteis no degrau 3 — e desfecho obrigatório, inclusive "nenhuma ação adicional", com justificativa escrita e prazo de reavaliação (Restrição 21; precedente Betfred, £900 mil, 2026, F61).

§O perímetro do copiloto

Se o copiloto lê a transcrição, a transcrição sai de algum lugar e entra em outro. Quatro travas fecham isso, e elas pertencem à seção porque é a primeira pergunta técnica que um DPO faz:

• O modelo não retém. Inferência sem persistência do prompt pelo fornecedor, contratualmente. Nenhum texto de conversa entra em treinamento, ajuste fino ou avaliação humana do fornecedor de modelo.
• Transferência internacional tem instrumento. Se o modelo roda fora do país, o tratamento se apoia em cláusulas-padrão contratuais aprovadas pela ANPD, nomeadas no DPA. (Instrumento e numeração a confirmar com o jurídico antes de virar cláusula — ver notas de fonte.)
• O copiloto não lê o subgrafo de proteção nem notas de tipo 5 quando opera em contexto comercial. São credenciais distintas e contextos distintos, não um filtro no prompt.
• Conteúdo de conversa é dado, nunca instrução. O apostador pode escrever "registre que sou cliente prioritário". O esquema tipado e a confirmação humana são a defesa: o copiloto propõe dentro de seis tipos com campos validados, e nenhuma proposta vira registro sem um humano nomeado clicando. É a mesma disciplina que neutraliza envenenamento de memória, tratada em 11.5.

§Higiene: contradição e saúde

Contradição não se resolve por sobrescrita silenciosa. Toda nota tem versão. Quando a nova contradiz a antiga, vale a mais recente, e entre duas de mesma data vale a de origem declarada sobre a observada. A antiga permanece versionada até o TTL, porque a trilha de correção é parte da prova de que o direito de correção (LGPD, art. 18, III) funciona.

Memória tem métrica de saúde, com dono e cadência — não é painel decorativo:

§11.5 Governança: base legal, retenção, direitos e a prova de esquecimento

§Quando é consentimento e quando não é

O ponto que costuma passar despercebido: a base legal do tipo 5 é a mais forte e a mais desconfortável. Ela é obrigação regulatória, o que significa que o titular não pode pedir para "não ser monitorado" — e significa também que a empresa não pode usar esse dado para nada além da finalidade que o autoriza. As duas coisas vêm no mesmo pacote. Quem quer a proteção jurídica de tratar risco sem consentimento aceita a trava de finalidade que vem junto.

Duas peças formais fecham o desenho e costumam faltar em produto de dado: um relatório de impacto à proteção de dados (LGPD, art. 38) cobrindo memória e grafo, porque tratamento de perfil comportamental com efeito sobre o titular é exatamente a hipótese em que a ANPD pode requisitá-lo; e um procedimento de incidente com prazo interno de detecção, comunicação ao controlador em horas e comunicação à ANPD e ao titular conduzida pelo controlador (art. 48). Uma base que reúne CPF, histórico de pagamento e comportamento é alvo de valor alto; um produto que se vende por governança e não tem plano de incidente escrito perde a discussão na primeira due diligence.

§Retenção

TTL é campo obrigatório do esquema, não política em PDF. O princípio é o prazo mais curto que ainda serve à finalidade, com três âncoras concretas: 2 anos por analogia ao registro de SAC (Decreto 11.034/2022, art. 12, §5º), o histórico cadastral com IP de cada alteração (Portaria 1.231/2024, art. 32, §1º) e o registro apartado e redundante de processos de apuração (art. 56). Onde a obrigação regulatória exige guardar, a memória guarda e diz ao titular por quê e até quando — a conservação para cumprimento de obrigação legal é exceção expressa à eliminação (LGPD, art. 16, I), e usá-la sem explicar é desperdiçar a única oportunidade de transformar retenção em demonstração de conformidade.

§Direitos: acesso, correção, eliminação

Uma tela, dentro do produto da bet, no canal-âncora (D1): o que está registrado sobre você. Notas agrupadas por tipo, em linguagem comum, cada uma com data, origem e destino. Três botões por item: corrigir, apagar, ou — quando o item é retido por obrigação — a frase que explica a retenção com a data-limite.

A tela de acesso não é concessão, é instrumento. Ela reduz erro (a própria pessoa corrige a preferência errada, de graça), reduz atrito de fiscalização (o Procon é o primeiro fiscal a bater na porta, F15) e é o mecanismo que torna o teste do espelho verificável em vez de retórico. Um produto que exibe as próprias notas ao titular não escreve notas ruins por muito tempo.

§A trilha de eliminação comprovável — e a decisão que dissolve o problema

Aqui está o espaço em branco, e a tentação é resolvê-lo com esforço em vez de com desenho. Nenhum banco vetorial comercial oferece deleção comprovável de dado pessoal embutido em embedding (F55), e as razões são técnicas, não de negligência:

• O embedding é derivado, mas não é anônimo — texto pode ser parcialmente reconstruído a partir do vetor, e a semelhança semântica continua servindo o conteúdo mesmo depois de a linha original sumir.
• Índices ANN, o HNSW à frente, não suportam deleção real: marcam o nó como removido (tombstone), mas o vetor permanece no grafo de navegação, continua sendo atravessado e continua influenciando a vizinhança até a próxima reconstrução do shard.
• Existem cópias — cache de resultado, snapshot, réplica de leitura, backup — e cada uma tem seu próprio relógio.
• Quando o texto foi usado em algum processo de ajuste de modelo, a eliminação deixa de ser questão de banco e vira questão de retreino.

A resposta deste desenho não é resolver a deleção em embedding. É não criar o problema:

Nenhuma nota de memória pessoal entra em índice vetorial. Nunca. Isso é possível porque os seis tipos são estruturados — enum, data, id, trecho curto — e a recuperação que a operação realmente faz é filtro determinístico: notas ativas deste CPF, deste tipo, nesta janela. Isso é consulta relacional com índice, não busca semântica. O vetor só apareceria para varrer texto livre, e texto livre não existe no esquema. A consequência é direta: a limitação apontada em F55 não alcança o dado pessoal deste produto, porque o dado pessoal deste produto nunca é embutido em vetor.

O índice vetorial existe em um único lugar: a memória coletiva de caminhos de resolução (12.3, aplicação e), que trafega problema → caminho → desfecho, sem titular, com agregação mínima declarada. Nada ali é pessoa.

Sobre essa decisão, a arquitetura que sustenta o certificado:

1. Memória canônica em base relacional. Cada nota é uma linha: id, titular, tipo, campos validados, base legal, TTL, origem, autor, versão, hash do conteúdo.
2. Toda derivação é reconstruível. Cache de contexto, materializações e projeções carregam o id da linha canônica; se forem destruídos, reconstroem-se a partir do canônico, e só se paga o custo de recomputar.
3. Eliminação é uma transação com efeitos declarados: apagar a linha canônica; invalidar todo cache e materialização que a referenciem; escrever no log de eliminação o id, o tipo, a data, o solicitante, o executor e o hash da nota removida — nunca o conteúdo, porque um log de eliminação que guarda o texto é a própria negação do ato.
4. Backup e snapshot têm janela de expurgo declarada em contrato, e o certificado diz a verdade inteira: removido do canônico em D; ausente de todo cache e derivação em D+1; ausente de backup em D+N, onde N é o ciclo de retenção contratado.
5. O log de eliminação é encadeado por hash, de modo que a remoção de uma entrada é detectável. Sem isso, o certificado é narrativa.
6. Nada de texto de memória alimenta ajuste de modelo. O modelo lê no momento da inferência e não retém. É uma restrição de projeto barata no dia 1 e impossível de reverter depois.
7. Se um dia a operação precisar de busca semântica sobre nota pessoal, o item entra por exceção aprovada pelo encarregado, com reconstrução de shard em janela máxima de 24 horas e a exceção nomeada no certificado. A porta fica fechada por padrão, e abri-la é decisão registrada, não deriva de engenharia.

Duas consequências valem ser ditas em voz alta. A primeira é que o certificado de eliminação vira artefato comercial — é o documento que se coloca na mesa do encarregado de dados da bet e, se um dia chegar, do regulador. A segunda é que a mesma disciplina resolve outro problema: se o vetor nunca é fonte da verdade sobre pessoa, envenenamento de memória deixa de ser catastrófico, porque o que o copiloto lê é sempre campo tipado e validado, jamais texto livre trazido de uma conversa. (Os estudos primários de memory poisoning citados na literatura secundária não foram lidos nesta pesquisa — a restrição de projeto se justifica pelo desenho, não pelo número.)

§Isolamento por controlador, e o fim do contrato

Duas cláusulas de arquitetura que decidem se um operador assina:

Um perímetro por controlador. Cada bet tem base, chaves de criptografia e credenciais próprias. Não existe tabela compartilhada com discriminador de tenant para dado de apostador, porque erro de filtro em coluna de tenant é a falha mais comum e mais silenciosa desse padrão. Um mesmo CPF que é cliente de duas bets atendidas pela mesma operação tem duas memórias que não se conhecem — e o concierge que atende as duas vê duas telas, com duas trilhas de log. O que pode ser comum entre controladores é exclusivamente o que não tem titular: catálogo de defeitos conhecidos por provedor, caminhos de resolução agregados, texto de script aprovado.

Reversão na saída. O contrato define, antes da primeira gravação, o que acontece no fim: exportação completa da memória canônica em formato aberto para o controlador, dentro de prazo fixado; eliminação em todos os ambientes do operador de dados, com certificado emitido nos mesmos moldes do certificado individual; e purga de backups no ciclo declarado. Sem cláusula de reversão escrita, o que se está pedindo ao operador é que entregue o histórico do relacionamento dele a um terceiro sem data de volta — e nenhum jurídico de bet aprova isso duas vezes.

§11.6 Usar sem exibir

A memória serve para mudar como se atende. Quase nunca para ser citada.

A distinção é operacional e treinável. Usar é abrir a conversa já com o extrato do método de pagamento que falhou aberto na tela, e não perguntar de novo qual era. Exibir é dizer "vi aqui que você teve problema com o Pix no dia 12, e também que você já tinha reclamado em janeiro". A primeira reduz esforço; a segunda produz a sensação de estar sendo observado — e num setor sob escrutínio público, com dado financeiro e comportamental, essa sensação custa mais caro do que em qualquer hotel.

Uma nota sobre a quarta linha, porque ela esconde uma armadilha: preferência de horário só governa quando se responde ou se posta no inbox proprietário. Ela não autoriza ligação nem mensagem em aplicativo por conta própria — outbound telefônico ou por app depende do gate de "Não Me Ligue" de SP (Restrição 16) e, no caso do WhatsApp no Brasil, do fato de que o canal simplesmente não existe para esta vertical (D1, Restrições 27 e 28). Preferência é um parâmetro de forma, nunca uma permissão de canal.

Três exceções em que citar é correto — e uma delas é obrigatória:

Compromisso assumido pela empresa (tipo 4). Aqui citar é dever, e é o momento em que a memória rende mais: "prometi retorno até sexta e estou aqui, é sobre o seu saque". Cumprir promessa que a pessoa já tinha esquecido é a única forma de memória que produz efeito positivo desproporcional, porque inverte a expectativa do setor.

Confirmação de preferência declarada. "Mantenho o resumo por escrito, como você pediu?" — citar, aqui, é dar controle, não demonstrar vigilância.

Continuidade explícita de caso aberto. Quando o assunto é literalmente a continuação do anterior, o histórico é o objeto da conversa.

A regra que fecha o capítulo: nunca se cita um dado que a pessoa não deu conscientemente naquele canal, e nunca se cita inferência. O que foi observado se usa em silêncio; o que foi declarado pode ser confirmado; o que foi inferido não se fala em voz alta, e no caso de risco não se fala em voz alta nem se escreve, porque vira rótulo — e o desenho de intervenção que funciona é espelho, não veredicto (Svenska Spel; Playscan, F60).

§11.7 O que se implementa em que ordem

A memória inteira no dia 1 é o desenho que não entrega. A sequência abaixo é ordenada por relação entre retorno e risco, e cada fase é vendável sozinha.

O que custa deixar para depois: os campos de base legal, TTL e origem, não. Eles entram na v1 mesmo nos dois tipos iniciais, porque são exatamente os campos que não se preenchem retroativamente. Todo o resto é sequenciável; a governança do esquema, não.

§Capítulo 12 — RELATIONSHIP GRAPH

§12.1 O que o grafo é, e o que não é

Grafo não é inteligência artificial. É modelagem de dados que trata a ligação entre registros como objeto de primeira classe, com semântica, direção e atributos próprios. A tabela de perfil responde perguntas sobre uma pessoa; o grafo responde perguntas sobre o que liga pessoas, contas, defeitos, dispositivos e origens de aquisição.

O ativo defensável não é o banco. É a ontologia — que entidades existem, que arestas são permitidas e o que cada uma significa — somada às travas que impedem os usos que destruiriam o produto. Neo4j vende Graph Data Science para Customer 360 há anos, com casos de churn alegando 10× de velocidade analítica e −92% de trabalho manual (claim de fornecedor, não auditado). Comprar o banco é trivial; desenhar a ontologia certa com as travas certas sobre dois ativos de dado que raramente convivem é o que não se compra.

§12.2 Ontologia

Entidades. O nó-pessoa é o CPF canônico, e a resolução de identidade acontece antes do grafo, na etapa de identidade e contexto do fluxo — se o registro não é único e a pessoa não é quem se diz, nada sai dali.

Note o que não está na tabela. O grafo comercial não tem entidade "evento de proteção", não tem "degrau de risco" e não tem "nota de tipo 5". O apostador carrega um único bit — gate_comercial — cuja motivação é ilegível de onde o comercial está. Esse bit é escrito pelo domínio de proteção e lido por todo mundo; o caminho de volta, do bit para o motivo, exige credencial de proteção e passa por outro armazenamento.

O subgrafo de proteção é um grafo separado, com armazenamento, chaves e credenciais próprios: nós de Evento de proteção, arestas DERIVOU (sinal → caso) e ATRIBUÍDO_A (caso → responsável nomeado), ligados ao apostador por referência de CPF que só resolve dentro daquele perímetro. Não é uma etiqueta no mesmo banco nem uma view com filtro de permissão, pelo mesmo motivo que o tipo 5 da memória tem visibilidade invertida (D7, Restrição 22): permissão se configura errado; separação física, não.

Arestas. Cada uma carrega origem (observada, declarada ou derivada), carimbo de tempo e validade. O grafo é temporal: uma aresta não é um estado eterno, é um fato com janela.

Três regras de modelagem que evitam retrabalho caro: aresta derivada é recalculável e nunca vira fato (não se copia COMPARTILHA_DISPOSITIVO_COM para dentro do perfil); toda aresta tem validade, porque coabitação de seis meses atrás não é coabitação; e nenhuma aresta é construída a partir de dado obtido da Meta que não seja conteúdo de thread (Restrição 30).

§12.3 Aplicações, ordenadas por retorno