Finanças digitais e segurança

🧔 Adulto A lei (PSD2, artigo 4.º) define dois serviços prestados por prestadores terceiros ✔: um serviço de iniciação de pagamento — "um serviço que inicia uma ordem de pagamento a pedido do utilizador de serviços de pagamento relativamente a uma conta de pagamento detida noutro prestador de serviços de pagamento" (ponto 15), e um serviço de informação sobre contas — "um serviço em linha que presta informações consolidadas sobre uma ou mais contas de pagamento" detidas em outros prestadores (ponto 16). Antes de confiar neles, confira se o prestador é autorizado ou registrado (competências 406, 409). Em todos os países da UE, o supervisor nacional mantém um registro público, e a Autoridade Bancária Europeia (EBA) mantém um registro central, nos termos do artigo 15.º da PSD2, de acesso livre ✔ (eba.europa.eu). O quadro também espera que você saiba que alguns produtos digitais são mais arriscados por serem menos regulados (370) ✔.

Exemplo: Bulgária — O BNB mantém registros públicos de instituições de pagamento, instituições de moeda eletrônica e prestadores de serviços de informação sobre contas, nos termos do artigo 19 da Lei dos Serviços de Pagamento e dos Sistemas de Pagamento ✔ (bnb.bg, "Registros nos termos da Lei dos Serviços de Pagamento e dos Sistemas de Pagamento", aberto em 21.10.2026).

Confira no seu país — Qual autoridade mantém o registro das instituições de pagamento e de moeda eletrônica (em geral o banco central ou o supervisor financeiro)? Pesquise nele, ou no registro central da EBA, o nome do prestador antes de conectar um aplicativo à sua conta.

Mito → verdade

• Mito: "O digital é menos seguro que uma bolsa."
• Verdade: é diferente. Você percebe na hora que roubaram a bolsa; uma senha roubada, não. Por isso o dinheiro digital precisa de hábitos (Capítulo 9) e tem proteções extras.

Quem ganha com isso? Quem sabe onde estão as suas chaves.

→ Continue na fonte

• Diretiva (UE) 2015/2366: http://data.europa.eu/eli/dir/2015/2366/oj ✔
• BNB — Registros nos termos da Lei dos Serviços de Pagamento e dos Sistemas de Pagamento: https://www.bnb.bg/RegistersAndServices/RSPIPublicRegisters/index.htm ✔ (aberto em 21.10.2026)

🧔 Adulto Os três tipos de prova nos quais se apoia toda a segurança digital: conhecimento (senha, PIN), posse (celular, cartão, chave física), inerência (impressão digital, rosto). Pontos fracos:

• Um código por SMS é a "posse" do número, não do celular — o número pode ser transferido (SIM swap, Capítulo 5). A ENISA aconselha: se você puder escolher, use uma passkey, uma chave física ou um aplicativo autenticador — em princípio são mais seguros que um código por SMS ✔ (ENISA, "Cyber Hygiene", aberto em 21.10.2026).
• Biometria não é secreta e não pode ser trocada como uma senha; ela desbloqueia o aparelho, e o PIN continua como acesso de reserva.
• Códigos de recuperação ficam guardados no papel — são "a chave da chave".

🏗 Empresa/Organização Uma senha compartilhada não deixa rastro e não pode ser retirada quando uma pessoa sai. Acesso pessoal, papéis definidos e um segundo fator para todos que podem acessar a conta bancária da empresa.

Mito → verdade

• Mito: "Não sou importante — ninguém vai invadir a minha conta."
• Verdade: programas automáticos testam milhões de senhas vazadas. O que deixa você vulnerável não é a sua importância, e sim uma senha reutilizada.

Quem ganha com isso? Quem tem pelo menos duas trancas diferentes.

→ Continue na fonte

• ENISA — Cyber Hygiene (senhas longas e únicas, gerenciador de senhas, passkeys, aplicativo autenticador): https://www.enisa.europa.eu/topics/cyber-hygiene ✔ (aberto em 21.10.2026)

🧔 Adulto Definição (PSD2, artigo 4.º, ponto 30) ✔: "autenticação forte do cliente" é "uma autenticação baseada na utilização de dois ou mais elementos pertencentes às categorias conhecimento (algo que só o utilizador conhece), posse (algo que só o utilizador possui) e inerência (algo que o utilizador é), que são independentes, na medida em que a violação de um deles não compromete a fiabilidade dos outros, e que foi concebida de modo a proteger a confidencialidade dos dados de autenticação".

Quando é exigida (artigo 97.º, n.º 1) ✔: quando o ordenante "a) aceder em linha à sua conta de pagamento; b) iniciar uma operação de pagamento eletrónico; c) realizar uma ação, através de um canal remoto, que possa envolver um risco de fraude no pagamento ou outros abusos". Nos pagamentos remotos, a autenticação inclui elementos que "associem dinamicamente a operação a um montante e a um beneficiário específicos" (artigo 97.º, n.º 2) ✔. Por isso o código vale só para este pagamento — leia o valor e o beneficiário antes de confirmar.

Exemplo: Bulgária — A Lei dos Serviços de Pagamento e dos Sistemas de Pagamento, artigo 100(1), obriga os prestadores a aplicar a autenticação forte do ordenante nos mesmos três casos ✔ (texto atual no lex.bg, aberto em 21.10.2026).

Confira no seu país — A PSD2 foi transposta para uma lei nacional de serviços de pagamento em todos os países da UE; a regra é a mesma. Os termos de uso do seu banco explicam quais métodos (aplicativo, leitor de cartão, SMS) ele aceita.

Requisitos técnicos (Regulamento Delegado (UE) 2018/389) ✔: o código é aceito uma única vez (artigo 4.º, n.º 1); nenhum outro elemento pode ser derivado dele (artigo 4.º, n.º 2). O banco pode (não é obrigado a) usar isenções: pagamentos por aproximação de até 50 € por operação e até 150 € acumulados ou até cinco pagamentos consecutivos (artigo 11.º); consulta de saldo ou das operações dos últimos 90 dias (artigo 10.º); "beneficiários de confiança", cuja lista é criada com autenticação forte (artigo 13.º). (✔ conferido no texto consolidado de 25.07.2023: artigo 11.º — 50 €, 150 €, cinco pagamentos; artigo 10.º — 90 dias e nova autenticação após 180 dias; alterações posteriores não foram pesquisadas.)

O que isso significa para você: se o banco não exigir a autenticação forte onde a lei a exige, o ordenante não suporta perdas, salvo se agiu de forma fraudulenta (PSD2, artigo 74.º, n.º 2) ✔.

Mito → verdade

• Mito: "O segundo passo é um incômodo inútil."
• Verdade: o incômodo é o preço para garantir que um único segredo roubado não basta. O código é o seu "sim" a um pagamento específico — nunca o compartilhe.

Quem ganha com isso? Você — quando só uma senha roubada não consegue tirar o dinheiro.

→ Continue na fonte

• PSD2: http://data.europa.eu/eli/dir/2015/2366/oj ✔ · Regulamento 2018/389: http://data.europa.eu/eli/reg_del/2018/389/oj ✔ · Lei búlgara dos Serviços de Pagamento e dos Sistemas de Pagamento: https://lex.bg/laws/ldoc/2137182267 ✔ (aberto em 21.10.2026; em búlgaro)

🧔 Adulto O Regulamento (UE) 2024/886 altera o Regulamento (UE) n.º 260/2012 e insere os novos artigos 5.º-A, 5.º-B, 5.º-C e 5.º-D ✔.

• Definição (artigo 2.º, ponto 1-A): uma transferência a crédito instantânea é "uma transferência a crédito executada imediatamente, 24 horas por dia e em qualquer dia do calendário".
• Oferta (artigo 5.º-A, n.º 1): os prestadores que oferecem transferências a crédito devem oferecer a todos os seus usuários tanto o envio quanto o recebimento de transferências a crédito instantâneas.
• 10 segundos (artigo 5.º-A, n.º 4, alínea c), e n.º 5): o valor deve estar disponível ao beneficiário em 10 segundos; se não chegar confirmação, o prestador do ordenante restabelece imediatamente a conta.
• Um limite à sua escolha (artigo 5.º-A, n.º 6): a pedido, o banco deve oferecer um valor máximo para transferências instantâneas — por dia ou por operação; uma ordem acima dele não é executada. É uma proteção eficaz contra o esvaziamento rápido de uma conta.
• Preço (artigo 5.º-B): as tarifas de uma transferência instantânea não podem ser maiores que as de uma transferência comum; a Verificação do Beneficiário é gratuita.
• Verificação do Beneficiário (artigo 5.º-C, n.º 1, alínea a): o serviço é realizado "imediatamente depois de o ordenante fornecer as informações relevantes sobre o beneficiário e antes de lhe ser oferecida a possibilidade de autorizar essa transferência a crédito". Se não houver correspondência, o banco informa o ordenante de que autorizar "pode levar à transferência dos fundos para uma conta de pagamento que não é detida pelo beneficiário indicado pelo ordenante"; se houver quase correspondência, mostra o nome associado ao IBAN. Para empresas, também é possível a verificação por número fiscal, identificador europeu único ou LEI (alínea b).
• Consequências (n.os 7–8): o banco informa você das consequências de ignorar o aviso. Se ele não realizou a verificação e a transferência foi para a conta errada, o ordenante recebe o valor de volta sem demora; se realizou e você confirmou apesar do aviso, o banco não é responsável pela transferência ao beneficiário errado.

A partir de quando: para prestadores em países da área do euro — recebimento de transferências instantâneas a partir de 9.01.2025, envio e Verificação do Beneficiário a partir de 9.10.2025; para países fora da área do euro — 9.01.2027 (recebimento) e 9.07.2027 (envio, verificação); instituições de pagamento e instituições de moeda eletrônica na área do euro — 9.04.2027 ✔ (artigos 5.º-A, 5.º-B, 5.º-C do Regulamento 260/2012 alterado). Para um país que adere ao euro depois, aplica-se o novo artigo 16.º, n.º 9, do Regulamento 260/2012 (acrescentado pelo 2024/886, artigo 1.º, ponto 5): os prestadores desse país cumprem os artigos 5.º-A a 5.º-C "no prazo de um ano" após a adoção do euro, mas não depois das datas dos países fora da área do euro e não antes das datas da área do euro. Muitos bancos podem ter introduzido os serviços antes; confirme com o seu.

Exemplo: Bulgária — A Bulgária está na área do euro desde 01.01.2026, isto é, depois das datas da área do euro, então se aplica o artigo 16.º, n.º 9. O BNB confirma que os prestadores de serviços de pagamento na Bulgária devem oferecer envio e recebimento de transferências instantâneas em euro e a Verificação do Beneficiário a partir de 1.º de janeiro de 2027 ✔ (BNB, "Área Única de Pagamentos em Euros (SEPA)" — perguntas frequentes, aberto em 21.10.2026).

Confira no seu país — Seu país está na área do euro e desde quando? A página da SEPA do seu banco central informa as datas. Pergunte ao seu banco em que parte do aplicativo você pode definir o limite das transferências instantâneas.

🏗 Empresa/Organização A "troca de IBAN" por e-mail (uma carta "de um fornecedor" com uma conta nova) é um golpe dirigido a quem faz os pagamentos. A Verificação do Beneficiário e um retorno de chamada para um número conhecido a cada mudança de conta são a proteção mais barata. As empresas podem dispensar a verificação em pagamentos em lote (artigo 5.º-C, n.º 6) ✔ — por decisão clara, não por padrão.

Mito → verdade

• Mito: "Se o banco não me avisou, o beneficiário é honesto."
• Verdade: a verificação compara um nome e um IBAN, não intenções. Confira para quem e por que você está pagando (Módulo 17).

Quem ganha com isso? Quem faz uma pausa de um segundo diante do aviso.

→ Continue na fonte

• Regulamento (UE) 2024/886: http://data.europa.eu/eli/reg/2024/886/oj ✔
• BNB — perguntas e respostas sobre a SEPA: https://www.bnb.bg/aboutus/aufaq/CONTR_SEPA_FAQ ✔ (aberto em 21.10.2026)

🧔 Adulto O Módulo 17 descreve os golpes como histórias; aqui estão os seus pontos técnicos de entrada:

A fórmula do quadro ✔: fale só com representantes verificados da instituição (519), examine a mensagem (518), tenha confiança para questioná-la (520).

O que os dados mostram ✔: ENISA, relatório sobre o setor financeiro (janeiro de 2023 – junho de 2024) — nos ataques de engenharia social (phishing, smishing, vishing), os alvos mais frequentes são pessoas físicas (38 % dos casos), e os golpistas mais frequentemente se passam por bancos (36 %); entre as novas ameaças, o relatório também lista malware que cria vídeos deepfake a partir de dados de reconhecimento facial roubados (ENISA, "Threat Landscape: Finance Sector", aberto em 21.10.2026). Europol, IOCTA 2025 ("Steal, deal and repeat", 12.06.2025) — registra o uso crescente de IA generativa, incluindo grandes modelos de linguagem, para reforçar os ataques de engenharia social (Europol, relatório anual consolidado de atividades 2025, aberto em 21.10.2026).

Mito → verdade

• Mito: "Dá para reconhecer um golpe pelos erros de português."
• Verdade: hoje as mensagens podem ser impecáveis. O sinal é a pressão — pressa, sigilo, dinheiro, um código.

Quem ganha com isso? Quem confere por um canal independente.

→ Continue na fonte

• ENISA, Threat Landscape: Finance Sector (janeiro de 2023 – junho de 2024): https://www.enisa.europa.eu/sites/default/files/2025-02/Finance%20TL%202024_Final.pdf ✔ (lido em 21.10.2026)
• Europol — IOCTA 2025: https://www.europol.europa.eu/publication-events/main-reports/steal-deal-and-repeat-how-cybercriminals-trade-and-exploit-your-data ✔ (a página do relatório; o resumo foi conferido com o relatório anual da Europol de 2025)

🧔 Adulto Sua obrigação (PSD2, artigo 69.º) ✔: notificar o prestador "sem atraso injustificado" ao tomar conhecimento da perda, do roubo, da apropriação indevida ou da utilização não autorizada do instrumento de pagamento, e "tomar todas as medidas razoáveis para preservar a segurança das suas credenciais de segurança personalizadas".

As obrigações do banco (artigo 70.º, n.º 1) ✔: fornecer um meio de notificação a qualquer momento, gratuito, e impedir toda utilização do instrumento depois de notificado. Se não fornecer esse meio, o ordenante não suporta perdas, salvo em caso de fraude (artigo 74.º, n.º 3); depois da notificação, o ordenante não suporta as consequências de uso posterior, a menos que tenha agido de forma fraudulenta.

Prazo para notificar (PSD2, artigo 71.º, n.º 1) ✔: você só obtém a retificação de uma operação não autorizada ou incorretamente executada se notificar "sem atraso injustificado" e no máximo 13 meses após a data do débito.

Recuperar o seu dinheiro (PSD2, artigo 73.º, n.º 1) ✔: numa operação não autorizada, o banco reembolsa o valor "imediatamente e, em todo o caso, o mais tardar até ao final do dia útil seguinte, depois de ter tomado conhecimento da operação ou de ter sido dela notificado" — a menos que tenha motivos razoáveis para suspeitar de fraude e comunique esses motivos à autoridade nacional competente.

Quanto você pode ter de suportar (PSD2, artigo 74.º, n.º 1) ✔: em caso de instrumento perdido, roubado ou apropriado indevidamente — no máximo 50 €. O limite não se aplica se o ordenante agiu de forma fraudulenta ou não cumpriu as suas obrigações com dolo ou negligência grosseira — então ele suporta toda a perda. O ônus da prova é do banco: o registro da utilização do instrumento "não é necessariamente, por si só, suficiente" para provar a autorização ou a negligência grosseira (PSD2, artigo 72.º, n.º 2) ✔.

O limite dessas regras: elas tratam de operações não autorizadas. Se foi você mesmo, convencido por um golpista, quem confirmou a transferência, se ela é "não autorizada" é discutível e depende das circunstâncias. Por isso: aja na hora, peça uma posição por escrito, apresente uma reclamação, colabore com as autoridades. As regras estão mudando — o Regulamento dos Serviços de Pagamento (PSR) e a Diretiva PSD3 foram acordados politicamente entre o Parlamento e o Conselho em 27.11.2025; segundo o acordo, se um golpista se passar por funcionário do prestador e induzir você a aprovar um pagamento, o prestador deve reembolsar o valor integral, desde que você tenha denunciado à polícia e informado o prestador. O texto ainda precisa ser formalmente adotado pelo Parlamento e pelo Conselho antes de entrar em vigor ✔ (Parlamento Europeu, comunicado de imprensa de 27.11.2025 e "Legislative Train", atualização de 20.09.2026, aberto em 21.10.2026). Até entrar em vigor, essa regra não se aplica.

Onde recorrer (complementa o Módulo 17, Capítulo 8): primeiro o banco; em caso de crime — um boletim de ocorrência na polícia; em caso de disputa com o prestador — uma reclamação ao prestador e depois a um órgão extrajudicial de disputas de pagamento; a reclamação também pode ser dirigida ao supervisor dos prestadores de serviços de pagamento; para dados pessoais — a autoridade de proteção de dados (Capítulo 7). Denuncie mesmo quando você não for a vítima (535).

Exemplo: Bulgária — A Lei dos Serviços de Pagamento e dos Sistemas de Pagamento repete essas regras ✔ (lex.bg, aberto em 21.10.2026): notificação sem atraso injustificado — artigo 75; 13 meses — artigo 77(1); reembolso até o fim do dia útil seguinte — artigo 79(1); máximo de 50 € — artigo 80(1) (em euro desde 01.01.2026). A quem recorrer: o cibercrime é da competência da Direção-Geral de Combate ao Crime Organizado, departamento de cibercrime (https://www.cybercrime.bg ✔, site aberto em 21.10.2026); a Comissão de Conciliação para Disputas de Pagamento, junto à Comissão de Defesa do Consumidor (CPC), é gratuita, escrita e não vinculativa, e exige uma tentativa prévia de acordo com o prestador ✔ (Comissão Europeia, consumer-redress.ec.europa.eu); o BNB supervisiona os prestadores de serviços de pagamento e toma medidas "por iniciativa própria ou com base em reclamação ou denúncia de um usuário" ✔ (artigo 167(1)–(2)); dados pessoais — a CPDP.

Confira no seu país — Procure: a unidade de cibercrime da polícia do seu país; o órgão extrajudicial de disputas de pagamento (as páginas de reparação do consumidor da Comissão Europeia os listam por país); o supervisor dos prestadores de serviços de pagamento (em geral o banco central ou o supervisor financeiro); e a sua autoridade de proteção de dados.

Mito → verdade

• Mito: "Fui eu que confirmei — não há nada que eu possa fazer."
• Verdade: por isso o tempo e os documentos importam; às vezes o dinheiro é bloqueado no destino e o golpe é interrompido.

Quem ganha com isso? Quem age na primeira hora.

→ Continue na fonte

• Lei búlgara dos Serviços de Pagamento e dos Sistemas de Pagamento: https://lex.bg/laws/ldoc/2137182267 ✔ (aberto em 21.10.2026; em búlgaro) · CPC: https://kzp.bg ✔ (Módulo 17)

🧔 Adulto Regulamento (UE) 2016/679 (RGPD) ✔:

• Artigo 4.º, ponto 1: dados pessoais são "informação relativa a uma pessoa singular identificada ou identificável", incluindo "um identificador em linha".
• Artigo 5.º, n.º 1, alínea c) — minimização dos dados: os dados são "adequados, pertinentes e limitados ao que é necessário" para as finalidades.
• Artigo 15.º — acesso: o direito de obter a confirmação de que os dados sobre você são tratados e de acessá-los.
• Artigo 17.º — apagamento: "sem demora injustificada", quando os dados deixam de ser necessários para as finalidades para as quais foram recolhidos, e pelos outros fundamentos.
• Artigo 20.º — portabilidade: os dados que você forneceu, "num formato estruturado, de uso corrente e de leitura automática", e o direito de transmiti-los a outro responsável pelo tratamento.
• Artigo 21.º — oposição: por motivos relacionados com a sua situação particular; contra o marketing direto — a qualquer momento.
• Artigo 7.º, n.º 3 — retirada do consentimento: "a qualquer momento"; "o consentimento deve ser tão fácil de retirar quanto de dar".
• Artigo 12.º, n.º 3 — prazo: uma resposta "sem demora injustificada e no prazo de um mês" (prorrogável por mais dois meses em caso de complexidade).
• Artigo 77.º, n.º 1 — reclamação: "todos os titulares de dados têm direito a apresentar reclamação a uma autoridade de controlo"; artigo 82.º — o direito a indenização por danos.
• Artigos 33.º–34.º — violação de dados pessoais: o responsável pelo tratamento notifica a autoridade de controlo "sem demora injustificada e, sempre que possível, até 72 horas", e o titular dos dados — quando o risco é elevado.

Exemplo: Bulgária — A autoridade de controlo é a Comissão de Proteção de Dados Pessoais (CPDP), Sófia 1592, bulevar Prof. Tsvetan Lazarov, 2; reclamações e denúncias — https://cpdp.bg ✔.

Confira no seu país — Todo país da UE tem uma autoridade de proteção de dados; o Comitê Europeu para a Proteção de Dados (edpb.europa.eu) lista todas. Também é possível apresentar a reclamação no país onde você mora ou trabalha.

Open banking e consentimentos (PSD2, artigos 66.º–67.º) ✔: um prestador de serviços de informação sobre contas deve "prestar serviços apenas com base no consentimento explícito do utilizador de serviços de pagamento" (artigo 67.º, n.º 2, alínea a); na iniciação de pagamento, o ordenante dá o consentimento explícito (artigo 66.º, n.º 2). Na prática: (1) saiba quais aplicativos têm acesso; (2) retire as permissões que você não usa (430); (3) nunca dê a sua senha bancária a um aplicativo de terceiros — o acesso passa pelos canais do próprio banco. Onde ver e retirar as permissões — pergunte ao seu banco; o método varia de banco para banco. O quadro acrescenta: os prestadores podem manter um perfil para personalizar ofertas (424), e guardar documentos financeiros on-line tem implicações de segurança (423) ✔.

Mito → verdade

• Mito: "Consentimento é um botão que ninguém lê."
• Verdade: é um contrato sobre os seus dados. Você pode retirá-lo, e isso deve ser tão fácil quanto foi dá-lo.

Quem ganha com isso? Quem sabe quais portas abriu — e fecha as que não usa.

→ Continue na fonte

• CPDP: https://cpdp.bg ✔ · RGPD: http://data.europa.eu/eli/reg/2016/679/oj ✔

🧔 Adulto

🧔 Adulto — lista de verificação Todos os dias: não digito dados a partir de um link · não compartilho códigos · leio o valor e o beneficiário antes de confirmar (Cap. 3) · um aviso de "o nome não confere" interrompe a transferência (Cap. 4). Todos os meses: reviso as minhas operações; qualquer coisa desconhecida → o banco no mesmo dia · atualizo o meu celular · reviso quais aplicativos têm acesso aos meus dados (Cap. 7) · confiro os limites do meu cartão e das transferências instantâneas. Todos os anos: troco a senha da minha conta bancária e do meu e-mail · os códigos de recuperação estão no papel, em um lugar seguro · o telefone de contato no banco está atualizado · apago contas que não uso · tenho um backup dos documentos importantes. Se algo acontecer: Pare · Bloqueie · Conte · Guarde (Cap. 6).

🏗 Empresa/Organização Acesso pessoal e papéis definidos · um segundo fator para todos · duas assinaturas acima de um limite definido · retorno de chamada quando uma conta muda · treinamento anual · um plano escrito de "o que fazemos em um incidente".

Mito → verdade

• Mito: "Segurança é trabalho do banco."
• Verdade: o banco tem grandes obrigações (Cap. 3, 6), mas a chave está com você. A parte mais barata da segurança é a sua.

Quem ganha com isso? Quem faz a pequena conferência todo mês em vez do grande conserto uma vez.

→ Continue na fonte

• ENISA — Cyber Hygiene: https://www.enisa.europa.eu/topics/cyber-hygiene ✔ · BCE — o euro digital: https://www.ecb.europa.eu/euro/digital_euro/html/index.en.html ✔ (aberto em 21.10.2026)

🧔 Adulto O que a lei diz (em resumo):

• É proibido apelar diretamente às crianças. Diretiva 2005/29/CE relativa às práticas comerciais desleais, anexo I, ponto 28 — é sempre desleal "incluir num anúncio uma exortação direta às crianças para comprarem ou convencerem os pais ou outros adultos a comprar-lhes os produtos anunciados" ✔. Um botão "Compre agora!" dirigido a uma criança em um jogo se enquadra nessa lógica.
• Padrões enganosos (dark patterns). O Regulamento dos Serviços Digitais (Regulamento (UE) 2022/2065, artigo 25.º) proíbe as plataformas em linha de conceber as suas interfaces de modo que enganem ou manipulem os usuários; os exemplos incluem pedir repetidamente uma escolha já feita e tornar o cancelamento de um serviço mais difícil que a contratação ✔.
• Moedas virtuais dentro dos jogos. A rede das autoridades nacionais de defesa do consumidor da UE (a rede CPC) adotou os "Princípios-chave sobre moedas virtuais em jogos" em março de 2025. A Comissão Europeia os resume assim: preços claros e informação pré-contratual; nenhuma prática que esconda o custo do conteúdo; nenhuma pressão para o consumidor comprar moeda virtual; respeito ao direito de arrependimento; consideração das vulnerabilidades dos consumidores, especialmente as das crianças ✔ (página da Comissão Europeia, 3.06.2025, reaberta em 21.10.2026). Os princípios não são uma lei nova: a rede CPC os descreve como princípios não exaustivos para que os comerciantes cumpram a legislação de consumo da UE já existente — a base jurídica que ela cita é a Diretiva relativa às práticas comerciais desleais e a Diretiva sobre os direitos dos consumidores ✔. O princípio 1 exige que o preço da moeda virtual e do conteúdo comprado com ela seja mostrado com clareza também em dinheiro real ✔ (CPC, "Key Principles on In-game Virtual Currencies", 21.03.2025, aberto em 21.10.2026).
• Jogos de azar são para adultos. Em toda a UE, os jogos de azar são regulados nacionalmente, e o acesso de menores é restrito.

Exemplo: Bulgária — A Agência Nacional de Receitas (NRA) tem uma página de "Controle parental" para manter as crianças longe dos jogos de azar ✔ (nra.bg). A lei não admite pessoas com menos de 18 anos em casas de jogos e cassinos e proíbe a venda de bilhetes de loteria a menores de 18 anos ✔ (Lei dos Jogos de Azar, artigo 45(2) e artigo 9(11), lex.bg, aberto em 21.10.2026).

Confira no seu país — Qual autoridade regula os jogos de azar (muitas vezes uma comissão de jogos ou a autoridade tributária), e o que ela diz sobre menores e controle parental?

As caixas de recompensa pagas — você paga sem saber o que vai receber — se baseiam no mesmo acaso; em casa, a regra mais simples é: não com o dinheiro da criança.

Como resolver isso em casa, sem guerra:

1. Desative o cartão salvo no aparelho e no jogo. Uma compra que exige confirmação é o freio mais simples.
2. Use um valor pré-pago — um vale, uma conta infantil ou um cartão pré-pago com limite (Módulo 26, Módulo 21 Capítulo 8). Quando acaba, acabou.
3. Revise o extrato — as compras dentro do jogo são pequenas e muitas; juntas, elas formam o mês.
4. Converse sobre a sensação, não só sobre o valor: "O que você queria conseguir com isso? Conseguiu?"

Se uma criança comprou algo sem permissão: mantenha a calma. Reúna as datas e os valores, procure o fornecedor do jogo ou a loja de aplicativos e peça o reembolso; se foi pago com cartão — o banco também (Módulo 21 Capítulo 5). Numa disputa com um comerciante — a autoridade de defesa do consumidor (na Bulgária, a CPC: kzp.bg). O reembolso não é garantido e depende dos termos do fornecedor.

Mito → verdade

• Mito: "Um jogo grátis é grátis."
• Verdade: você paga com tempo, com atenção e, às vezes, com muitas compras pequenas. É grátis quando você decide quanto dá.
• Mito: "Vou conseguir nesta caixa — já estou perto."
• Verdade: cada sorteio é novo. Os anteriores não deixam você "mais perto", a menos que as regras digam isso expressamente.

Quem ganha com isso? O fabricante — com o seu tempo, a sua atenção e as muitas compras pequenas. Você — quando sabe de antemão quanto tempo e quantos euros dá ao jogo, e aproveita cada minuto.

Exemplo (fictício): Mira, 12 anos, quer uma roupa para a sua personagem. Ela custa 450 fichas, e o menor pacote tem 500 fichas por 4,99 €. Com os "óculos de euro" ela vê: a roupa custa 4,99 €, e sobram 50 fichas que sozinhas não dão para nada. Ela decide comprar com a mesada em uma semana — se ainda quiser. Ela não quer mais.

Seu passo no Pecuvo: na carteira, crie uma cesta "Jogos e aplicativos" com um limite mensal (pode ser 0 €). Toda compra vai para lá. Uma vez por mês — cinco minutos juntos: o que compramos e se ainda gostamos.

→ Continue na fonte

• Diretiva 2005/29/CE (práticas comerciais desleais), anexo I: http://data.europa.eu/eli/dir/2005/29/oj ✔
• Regulamento (UE) 2022/2065 (serviços digitais), artigos 25.º e 28.º: http://data.europa.eu/eli/reg/2022/2065/oj ✔
• Comissão Europeia — os princípios-chave da rede CPC sobre moedas virtuais em jogos: https://commission.europa.eu/news-and-media/news/european-commission-hosts-stakeholders-talks-application-cpc-networks-key-principles-games-virtual-2025-06-03_en ✔
• NRA — "Controle parental": https://nra.bg/wps/portal/nra/gambling/responsible.gambling/Roditelski-kontrol ✔ (a página foi encontrada por busca; o texto não foi lido por inteiro; em búlgaro)

Quadro da UE/OCDE-INFE para crianças e jovens (2023): competências n.º 62 · 63 · 115 · 117 · 225 · 228 · 232