Avatares, identidade e progressão em produtos infantis sob privacidade estrita

Descobertas

1. Identidade sem dados pessoais: o padrão da indústria

Todo grande produto infantil/familiar converge para a mesma solução de duas partes: um identificador gerado ou curado em vez de um nome real digitado, e um avatar construído a partir de um conjunto fechado de partes em vez de uma fotografia. O Mii da Nintendo é o caso mais claro: os personagens são construídos selecionando recursos faciais, penteados, acessórios e tipos de corpo pré-projetados; até o modo opcional de criação baseado em foto apenas semeia a seleção de recursos e nunca armazena ou exibe a foto original, preservando “auto-representação enquanto mantém a privacidade” [11]. Duolingo permite que os usuários criem um avatar a partir de um guarda-roupa fixo de peças cosméticas sazonais em vez de uma imagem enviada [12]. A forma de engenharia comum é: identidade = escolha entre um conjunto limitado e pré-validado, nunca entrada livre — exatamente o que o projeto já definiu em D-003 (aliases gerados, sem foto, sem cidade, quadros segmentados por nível) [19].

2. O efeito Proteus: por que o avatar não é apenas decoração

A pesquisa de Yee e Bailenson (2007, Stanford) cunhou o “efeito Proteus”: pessoas em ambientes virtuais comportam-se de forma consistente com os traços implícitos de seus avatares, impulsionadas pela autopercepção e confirmação comportamental, e não pelo que os outros realmente fazem [2][3]. Uma meta-análise de 46 estudos experimentais encontrou o efeito confiável em um tamanho “pequeno-mas-aproximando-de-médio” (0,22–0,26) em diferentes contextos — avatares mais atraentes geraram comportamento mais confiante, avatares atléticos aumentaram a prática de exercícios, avatares heroicos aumentaram comportamento pró-social offline [2]. Trabalhos mais recentes complicam a exigência de incorporação: participantes formaram apego a avatares mesmo sem imersão forte, sugerindo que o efeito não é puramente um fenômeno de RV/incorporação [2]. Leitura prática para Math Challenge: um cosmético que sinaliza visualmente “matemático cuidadoso e orientado à maestria” (um chapéu de estudioso, um distintivo de explorador) não é apenas uma recompensa — pode incentivar o comportamento rumo ao traço que representa, defendendo categorias cosméticas ligadas a comportamentos reais de aprendizagem (persistência, precisão, curiosidade) em vez de skins arbitrárias.

3. Geração segura de nomes multilíngues e o problema Scunthorpe

O “problema Scunthorpe” recebeu esse nome por um incidente de 1996 em que o filtro da AOL bloqueou a cidade inglesa de Scunthorpe porque seu nome continha uma substring ofensiva; a mesma falha atingiu o sobrenome de Craig Cockburn, “shitake mushrooms”, resultados do Google SafeSearch para a cidade e — crucial para um produto de cinco idiomas — palavras compostas alemãs que legitimamente formam uma substring ofensiva em uma letra de ligação, além de nomes de lugares chineses sinalizados por homonímia de caracteres [1]. O mecanismo é estrutural: filtros ingênuos de substrings “não têm compreensão contextual” [10], e a falha fica pior quanto mais idiomas um único filtro cobre, porque uma palavra limpa em um idioma pode ser uma substring insegura em outro — o próprio ecossistema de moderação da China demonstra o ponto final, sem uma lista única e autoritária de palavras proibidas nem mesmo dentro de um idioma, de modo que cada plataforma mantém sua própria lista de casos-limite indefinidamente [10]. A solução comprovada em produção não é um algoritmo mais rígido — é uma lista branca mantida e registrada de strings confirmadamente seguras que um filtro ingênuo rejeitaria, construída a partir de logs reais de rejeição ao longo do tempo [1][10]. A implicação direta para a construção de listas de palavras: listas EN/ES/FR/PT/DE devem ser elaboradas por revisores fluentes em cada idioma, não traduzidas por máquina, porque a tradução é exatamente a operação que transforma uma palavra segura em uma substring insegura em outro lugar (reflete a constatação D-005 de que o vocabulário de matemática não pode ser traduzido palavra-por-palavra entre esses cinco idiomas [19]).

4. Moderação de conteúdo gerado por usuários — as crianças devem ter texto livre?

Roblox é o estudo de caso de maior investimento disponível: verificação obrigatória de idade desde janeiro de 2026, chat restrito a grupos por faixa etária, ainda 1.600+ moderadores mais filtragem impulsionada por IA, e uma investigação de 2020 descreveu os esforços de remoção como “whack-a-mole” com conteúdo sexual reaparecendo; um relatório de 2024 vinculou incidentes reais de predadores a “moderação insuficiente”, e pelo menos seis prisões seguiram por exploração infantil via a plataforma desde janeiro de 2025 [13]. Não se trata de uma empresa que subinvestiu — é evidência de que texto livre em escala, de crianças, não pode ser totalmente moderado mesmo com um orçamento de confiança e segurança de nove dígitos. A conclusão honesta para um produto na escala do Math Challenge: nenhuma superfície de texto livre para crianças em v1. Seleção de alias, montagem de avatar e qualquer interação social devem ser de vocabulário fechado (toque em uma frase ou emoji pré-definido), nunca uma caixa de texto — mais rigoroso que a maioria dos concorrentes, mas a única postura que não herda a dívida de moderação do Roblox.

5. Progressão cosmética vs. jogo de azar: a linha regulatória

A Comissão de Jogos da Bélgica decidiu em 2018 que loot boxes em FIFA 18, Overwatch e CS:GO eram jogos de azar sob a lei de apostas, independentemente de conter apenas cosméticos — a impossibilidade de comprar o item específico diretamente as torna baseadas em chance — e o ministro da justiça enquadrou a preocupação explicitamente em torno de crianças [4]. A autoridade de jogos dos Países-Baixos chegou a uma conclusão semelhante no mesmo ano para vários (não todos) títulos estudados, citando design que fomenta vício mesmo abaixo do limiar de aplicação legal [4]. O Reino Unido adotou a posição mais restrita de que itens apenas cosméticos, não negociáveis e não convertíveis em dinheiro ficam fora de jogos de azar licenciáveis, mas sua própria revisão do DCMS de 2022 ainda encontrou danos elevados “de jogo de azar, saúde mental, financeiros e relacionados a problemas de jogo” entre jogadores de loot boxes e incentivou autorregulação em vez de mudança legislativa [4]. Lendo tudo junto, o centro de gravidade regulatório é: randomização mais pagamento é o gatilho, não a distinção cosmética/jogabilidade — uma compra determinística (comprar este chapéu específico) é segura em todos os locais onde essas decisões se aplicam; uma caixa aleatória paga é contestada mesmo quando puramente cosmética. Para um produto infantil isso defende ir além da decisão mais rígida atual: nenhuma recompensa aleatória de qualquer tipo, paga ou gratuita, já que o mecanismo que os reguladores temem (reforço de razão variável) não precisa de dinheiro para funcionar em uma criança.

6. Loops de cuidado de companheiro/animal de estimação: poder de retenção e a mecânica de culpa

Tamagotchi (1996) é o caso de referência: três medidores (fome, felicidade, treinamento) que decaem sem atenção, com morte real como estado de falha [5]. Produziu engajamento extraordinário — 40 milhões de unidades em dois anos — precisamente porque o descaso tinha uma consequência real e perturbadora: crianças levavam os dispositivos para a escola para impedir a morte durante a aula, as escolas os proibiam por causar interrupções, e a imprensa da época reportou luto genuíno, incluindo funerais simulados para “animais de estimação mortos” [5]. O mecanismo de retenção e o padrão escuro são o mesmo mecanismo — o dispositivo não funciona como companheiro sem uma ameaça, e a ameaça gerou tanto o engajamento quanto a reação negativa. Uma funcionalidade de companheiro pode emprestar o loop de cuidado (alimentar, vestir, interagir) sem o loop de perda: estágios de crescimento e desbloqueios cosméticos vinculados à prática de matemática da criança, sem estado de decaimento, sem morte, sem notificação enquadrada em torno do sofrimento do companheiro — mantendo a mecânica de construção de afeto enquanto descarta a mecânica de culpa que tornou o original tanto amado quanto controverso.

7. Pesquisa sobre agentes pedagógicos — por que o formato do Larry importa, não apenas sua existência

A pesquisa de Mayer sobre aprendizagem multimídia com agentes pedagógicos encontra suporte real, porém modesto: agentes ajudam principalmente como “apresentadores de pistas sociais”, e uma meta-análise recente encontrou apenas “melhoria insignificante” com a mera presença do agente — os ganhos vêm do que o agente faz (realçar, personalizar, voz humanizada), não de ter um personagem per se [9]. Agentes em papel de tutor não mostram vantagem clara sobre lições sem agente; agentes enquadrados como co-aprendizes aumentam a autoeficácia de forma mais confiável; a representação estática versus animada permanece uma questão aberta e contraditória [9]. Isso converge com a própria história de pesquisa da Sesame Street: estudos da ETS de 1970-71 descobriram que espectadores mais intensos aprendiam mais independentemente de desvantagens, e uma análise econômica de 2019 (Kearney & Levine) a chamou de “talvez a maior, porém menos custosa, intervenção precoce na infância” [6]. Por baixo disso está a pesquisa de vínculo parasocial: a equipe de Calvert encontrou que bebês de 21 meses aprenderam melhor uma tarefa de sequenciamento de um personagem familiar (Elmo) do que de um desconhecido, e que dar à criança um brinquedo do personagem desconhecido primeiro — tornando-o familiar — fechou a lacuna; personagens personalizados aprofundaram ainda mais o engajamento, já que “semelhanças percebidas aumentam o interesse e o investimento das crianças” [7][8]. Isso favorece Larry, já decidido em D-004: ele não é um novo personagem, mas o rinoceronte laranja existente da Ignia, de modo que a familiaridade que a pesquisa de Calvert indica como impulsionadora da aprendizagem já está garantida, não precisando ser construída do zero [18][19]. A corolária: as regras canônicas de Larry (nunca zombar da criança, “¡Ya vas!” apenas na aceitação da tarefa) importam mais que seu design visual — o retorno está no comportamento de pistas sociais, não no modelo do personagem [9][18].

8. Visualizando o progresso para crianças — mapas, árvores e o efeito gradiente de meta

O efeito gradiente de meta — o esforço acelera à medida que a distância percebida até um objetivo diminui — está bem estabelecido na literatura de economia comportamental/marketing (a “ressurreição” de Hull por Kivetz, Urminsky & Zheng, em contextos de programas de fidelidade) [14]. Revisões de aprendizagem gamificada observam que aprendizes visuais especificamente “se beneficiam de… barras de progresso, mapas de jogo e recursos visuais coloridos” para motivação, ao mesmo tempo que alertam que pontos/badges/placares usados isoladamente não são efetivos de forma confiável — funcionam quando vinculados a sinais reais de competência, não como decoração [15]. Isso corresponde à própria pesquisa PRIMARY-band do projeto: um estudo do “efeito guarda-roupa” constatou que crianças constroem vários avatares, mas convergem para usar um só, significando que o processo de personalização carrega valor motivacional mesmo quando o artefato final é restrito [16]; pesquisas KINDER-band mostraram que crianças pequenas “esperam feedback a cada ação” e respondem a animações consistentes da mascote de forma que adultos explicitamente não fazem [17]. A própria história do Duolingo é um ponto de dados cauteloso sobre qual metáfora de progresso escolher: substituiu seu mapa de habilidades em forma de árvore por um caminho linear em agosto de 2022, gerando backlash visível e sustentado dos usuários [12] — evidência de que a metáfora árvore/mapa por si só carregava valor motivacional que uma linha reta não substituiu.

Implicações de design

1. O gerador de apelidos é criado por idioma, não traduzido. Construa cinco listas independentes de palavras (EN/ES/FR/PT/DE) com um revisor fluente por idioma, combinando uma palavra de categoria + uma palavra de traço + um número de dois dígitos aleatório (não sequencial). Nunca derive a lista de um idioma traduzindo a de outro — essa é a operação exata que gera falhas ao estilo Scunthorpe [1][10].
2. A seleção de apelido é apenas por toque para idades 3-11 (KINDER + PRIMARY). A criança escolhe entre 3-5 opções geradas; não há campo de texto para digitar, o que elimina a superfície de injeção para as faixas etárias menos capazes de se autorregular. TEEN (12-17) recebe um reroll limitado, mas ainda nunca digita.
3. Valide a string renderizada combinada, não cada palavra isoladamente, e registre cada rejeição/regeneração (palavras, idioma, localidade, motivo). Duas palavras “limpas” podem combinar-se em uma insegura atravessando a fronteira de idioma; uma whitelist registrada de strings confirmadas-seguras, construída a partir desses logs, é a correção de produção real para o problema Scunthorpe, não um filtro mais rígido [1]. Limite a taxa de regeneração (ex.: um pequeno número de rerolls/dia) para que a criança não possa forçar combinações além do filtro.
4. Nenhum campo de texto livre onde uma criança menor de 13 possa chegar — nada de bio, chat ou rótulo customizado. Qualquer interação criança-para-criança (reações, congratulações) é um conjunto fechado de frases pré-definidas/emoji, conforme a leitura honesta do histórico de moderação do Roblox mesmo em escala [13].
5. Avatar = apenas partes pré-feitas, estilo Mii. Sem upload de foto, sem acesso à câmera, jamais. As partes são organizadas em categorias (cabelo, expressão, acessório) desbloqueadas como cosméticos, não digitadas ou desenhadas.
6. Cosméticos são desbloqueados em uma tabela determinística, publicada vinculada a marcos de maestria, sequências ou colocação em liga — por exemplo, concluir uma unidade de tópico desbloqueia um item nomeado específico. Sem caixa, baú, pacote ou recompensa “mistério” de qualquer tipo, grátis ou paga — mais rigoroso que a exceção de cosméticos do Reino Unido e totalmente fora da linha Bélgica/Países-Baixos [4]. Se a monetização tocar cosméticos, será compra direta de um item nomeado e pré-visualizado, nunca uma compra aleatória.
7. Um recurso de companheiro/pet (se construído) não tem decaimento, fome ou estado de morte, e não envia notificação enquadrada em torno da tristeza ou negligência do companheiro — mantenha o ciclo de construção de afeto, descarte o ciclo de culpa do Tamagotchi [5]. Da mesma forma, a perda de sequência nunca apaga ou regredia visualmente o mapa de progresso — um dia perdido não deve desfazer retroativamente o progresso ganho, evitando um segundo mecanismo de culpa empilhado ao primeiro.
8. A visualização do progresso é segmentada por idade, não um visual único para todas as idades: KINDER — um caminho de jornada física com a mascote caminhando para frente, sem números; PRIMARY — uma árvore de habilidades/mapa de maestria por tópico nomeado (não uma linha reta — a mudança do Duolingo em 2022 afastando-se da árvore gerou backlash visível [12][15]); TEEN — um painel de estatísticas com liga opcional; ADULT — métricas numéricas simples de maestria, skin gamificada opcional e desativada por padrão (conforme achados de adulto/experto de mc-23).
9. A presença de Larry é segmentada por idade, conforme a arquitetura de prompts existente em mc-37: KINDER — animado, voz-primeiro, reage a cada tentativa; PRIMARY — mesmo personagem, explica a concepção errônea segundo as regras rígidas já definidas em D-004; TEEN — mesmo rinoceronte, tom muda para “professor paciente”, menos animações, opção de desativar disponível; ADULT — Larry disponível sob demanda, mas em segundo plano atrás de UI de feedback mais densa [9][18].
10. Larry nunca comenta sobre o apelido ou a escolha de avatar da criança. Sua voz canônica permanece focada em matemática, nunca em aparência ou identidade — estende a regra D-004 de “nunca envergonhar uma criança” a um ponto onde a vergonha poderia surgir de outra forma (um bot “elogiando” um nome implicitamente também pode julgá-lo) [18][19].
11. Categorias de cosméticos sinalizam traços de aprendizagem que a pesquisa do efeito Proteus indica poder influenciar comportamento (persistência, curiosidade, cuidado) — por exemplo, uma linha de badge “explorador” para quem tenta problemas difíceis — ao invés de decoração arbitrária, já que o avatar tem um pequeno, porém real, eco comportamental no usuário [2][3].
12. A identidade de apelido/avatar nunca pode ser derivada da conta dos pais, e-mail ou nome real da criança na UI — um sufixo numérico deve ser aleatório, não sequencial, caso contrário “Bunny07” implica ordem de inscrição.

Perguntas abertas para o dono do projeto

1. O conjunto de reações de vocabulário fechado (emoji/frases pré-definidas) deve existir já na v1, ou “nenhuma interação criança-para-criança de qualquer tipo” é a opção mais segura até que haja orçamento de moderação para suportar mesmo um conjunto fechado?
2. Um companheiro no estilo Tamagotchi está dentro do escopo deste produto, ou o risco de ciclo de culpa (§6) justifica pular a funcionalidade completamente ao invés de tentar construir uma versão “segura” dela?
3. Para a árvore de habilidades PRIMARY-band: a ordem dos tópicos deve ser estritamente linear (corresponde ao sequenciamento curricular atual) ou permitir exploração ramificada (corresponde à descoberta do “efeito guarda-roupa” de que crianças valorizam escolha mesmo convergindo para um único caminho)?
4. As tabelas de desbloqueio de cosméticos devem ser visíveis à criança antecipadamente (transparência total: “complete frações para desbloquear este chapéu”) ou reveladas apenas no desbloqueio (surpresa, mas mais alinhado ao espírito que reguladores examinam mesmo sem aleatoriedade)?
5. Aliases TEEN-band recebem um grau extra de liberdade (ex.: número auto-escolhido, ainda validado) versus o conjunto totalmente gerado de PRIMARY/KINDER, ou o mesmo mecanismo apenas-toque se mantém até os 17 anos?
6. As listas de palavras de apelido devem ser construídas internamente por idioma, ou há orçamento/apetite para licenciar um dataset multilíngue de profanidade/palavras-seguras já mantido, ao invés de criar cinco listas do zero?