Avatares, identidade e progressão em produtos para crianças sob privacidade estrita

Constatações

1. Identidade sem dados pessoais: o padrão da indústria

Cada produto principal para crianças/família converge para a mesma solução de duas partes: um identificador gerado ou curado em vez de um nome real digitado, e um avatar construído a partir de um conjunto fechado de partes em vez de uma fotografia. O Mii da Nintendo é o caso mais claro: os personagens são construídos ao selecionar entre características faciais, penteados, acessórios e tipos de corpo pré‑desenhados; mesmo o modo opcional de criação baseado em fotografia apenas sementeia a seleção de características e nunca armazena nem exibe a foto original, preservando a “auto‑representação ao mesmo tempo que mantém a privacidade” [11]. O Duolingo permite que os utilizadores construam um avatar a partir de um guarda‑roupa fixo de peças cosméticas sazonais em vez de uma imagem carregada [12]. A forma de engenharia comum é: identidade = escolha entre um conjunto limitado e pré‑validado, nunca entrada livre — exatamente o que o projeto já definiu em D-003 (aliases gerados, sem foto, sem cidade, quadros segmentados por nível) [19].

2. O efeito Proteus: por que o avatar não é apenas decoração

O estudo de Yee e Bailenson de 2007 na Stanford cunhou o “efeito Proteus”: as pessoas em ambientes virtuais comportam‑se de forma consistente com as características implícitas do seu avatar, impulsionadas pela auto‑perceção e pela confirmação comportamental em vez do que os outros realmente fazem [2][3]. Uma meta‑análise de 46 estudos experimentais encontrou o efeito fiável num tamanho “pequeno‑mas‑aproximando‑de‑médio” (0,22–0,26) em diferentes contextos — avatares mais atraentes produziram comportamentos mais confiantes, avatares atléticos aumentaram a prática de exercício, avatares heroicos aumentaram o comportamento prosocial offline [2]. Trabalhos mais recentes complicam a exigência de embodiment: os participantes criaram apego aos avatares mesmo sem imersão forte, sugerindo que o efeito não é puramente um fenómeno de RV/embodiment [2]. Leitura prática para o Math Challenge: um cosmético que sinaliza visualmente “matemático cuidadoso e orientado para a mestria” (um boné de estudioso, um distintivo de explorador) não é apenas uma recompensa — pode influenciar o comportamento para a característica que representa, defendendo categorias cosméticas ligadas a comportamentos reais de aprendizagem (persistência, precisão, curiosidade) em vez de skins arbitrárias.

3. Geração segura de nomes multilingues e o problema de Scunthorpe

O “problema de Scunthorpe” recebeu esse nome de um incidente de 1996 em que o filtro da AOL bloqueou a cidade inglesa de Scunthorpe porque o seu nome continha uma sub‑cadeia ofensiva; o mesmo modo de falha atingiu o sobrenome de Craig Cockburn, “shitake mushrooms”, resultados do Google SafeSearch para a cidade e — de forma crítica para um produto em cinco línguas — palavras compostas alemãs que legitimamente formam uma sub‑cadeia ofensiva numa letra de ligação, e nomes de lugares chineses sinalizados por homónimos de caracteres [1]. O mecanismo é estrutural: filtros de sub‑cadeia ingénuos “não têm compreensão contextual” [10], e a falha torna‑se pior quanto mais línguas um único filtro cobre, porque uma palavra limpa numa língua pode ser uma sub‑cadeia insegura noutro — o próprio ecossistema de moderação da China demonstra o ponto final, sem uma lista única e autoritária de palavras proibidas mesmo dentro de uma única língua, pelo que cada plataforma mantém a sua própria lista de casos‑limite indefinidamente [10]. A solução comprovada em produção não é um algoritmo mais restritivo — é uma lista branca mantida e registada de cadeias confirmadas como seguras que um filtro ingénuo rejeitaria, construída a partir de registos reais de rejeição ao longo do tempo [1][10]. A implicação direta para a construção de listas de palavras: as listas EN/ES/FR/PT/DE devem ser elaboradas por idioma por um revisor fluente, não traduzidas por máquina, porque a tradução é exatamente a operação que transforma uma palavra segura numa sub‑cadeia insegura noutro lado (reflete a descoberta D-005 de que o vocabulário de matemática não pode ser traduzido palavra‑por‑palavra entre estas cinco línguas [19]).

4. Moderação de conteúdo gerado pelos utilizadores — deve permitir texto livre às crianças?

O Roblox é o estudo de caso de maior investimento disponível: verificação de idade obrigatória desde janeiro de 2026, chat restrito a grupos por faixas etárias, ainda com “1.600+ moderadores” mais filtragem impulsionada por IA, e uma investigação de 2020 descreveu os esforços de remoção como um jogo de “whack‑a‑mole” com conteúdo sexual a reaparecer; um relatório de 2024 vinculou incidentes reais de predatória a “moderação insuficiente”, e pelo menos seis detenções seguiram‑se por exploração infantil através da plataforma desde janeiro de 2025 [13]. Não se trata de uma empresa que sub‑investiu — é prova de que texto livre em escala, de crianças, não pode ser totalmente moderado mesmo com um orçamento de confiança e segurança de nove dígitos. A conclusão honesta para um produto à escala do Math Challenge: nenhum texto livre para crianças em absoluto na v1. A seleção de alias, a montagem de avatar e qualquer interação social devem ser de vocabulário fechado (tocar numa frase pré‑definida ou emoji), nunca uma caixa de texto — mais restritivo que a maioria dos concorrentes, mas a única postura que não herda a dívida de moderação do Roblox.

5. Progressão cosmética vs. jogo de azar: a linha regulatória

A Comissão de Jogos da Bélgica decidiu em 2018 que as loot‑boxes no FIFA 18, Overwatch e CS:GO eram jogos de azar ao abrigo da lei de jogos de fortuna e azar independentemente de conterem apenas itens cosméticos — a impossibilidade de comprar o item específico diretamente torna‑lo baseado em sorte — e o ministro da justiça enquadrou a preocupação explicitamente em torno das crianças [4]. A autoridade de jogos dos Países Baixos chegou a uma conclusão semelhante no mesmo ano para vários (não todos) títulos estudados, citando um design que fomenta a dependência mesmo abaixo do limiar de aplicação legal [4]. O Reino Unido adotou a posição mais restrita de que itens apenas cosméticos, não negociáveis e não convertíveis em dinheiro ficam fora do jogo de azar licenciado, mas a sua própria revisão do DCMS de 2022 ainda encontrou danos elevados “relacionados com jogos de azar, saúde mental, finanças e problemas de jogo” entre jogadores de loot‑boxes e promoveu a autorregulação em vez de uma mudança legislativa [4]. Lidas em conjunto, o centro de gravidade regulatório é: a randomização mais o pagamento são o gatilho, não a distinção entre cosmético e jogabilidade — uma compra determinista (comprar este chapéu específico) é segura em todos os locais onde estas decisões se aplicam; uma caixa aleatória paga é contestada mesmo quando puramente cosmética. Para um produto infantil isso defende ir além da decisão mais rigorosa atualmente: nenhuma recompensa aleatória de qualquer tipo, paga ou gratuita, uma vez que o mecanismo que os reguladores temem (reforço de razão variável) não necessita de dinheiro para funcionar numa criança.

6. Ciclos de cuidado de companheiro/animal de estimação: poder de retenção e o mecanismo de culpa

O Tamagotchi (1996) é o caso de referência: três medidores (fome, felicidade, treino) que decaem sem atenção, com a morte real como estado de falha [5]. Produziu um envolvimento extraordinário — 40 milhões de unidades em dois anos — precisamente porque a negligência tinha uma consequência real e perturbadora: as crianças levavam os dispositivos para a escola para evitar a morte a meio da aula, as escolas proibiram‑os por perturbação, e a imprensa da época reportou um luto genuíno, incluindo funerais simulados para os “animais de estimação mortos” [5]. O mecanismo de retenção e o padrão escuro são o mesmo mecanismo — o dispositivo não funciona como companheiro sem uma ameaça, e a ameaça produziu tanto o envolvimento como a reação adversa. Uma funcionalidade de companheiro pode emprestar o ciclo de cuidado (alimentar, vestir, interagir) sem o ciclo de perda: estágios de crescimento e desbloqueios cosméticos ligados à prática de matemática da própria criança, sem estado de decaimento, sem morte, sem notificação enquadrada em torno do sofrimento do companheiro — mantendo o mecanismo de construção de afeição enquanto se descarta o mecanismo de culpa que tornou o original tanto amado como controverso.

7. Investigação sobre agentes pedagógicos — por que o formato do Larry importa, não apenas a sua existência

A investigação de Mayer sobre aprendizagem multimédia com agentes pedagógicos encontra apoio real, mas modesto: os agentes ajudam principalmente como “apresentadores de pistas sociais”, e uma meta‑análise recente encontrou apenas “melhoria negligível” a partir da mera presença do agente — os ganhos provêm do que o agente faz (realçar, personalizar, voz semelhante a humana), não de ter um personagem de todo [9]. Agentes em papel de tutor não mostram vantagem clara sobre lições sem agente; agentes enquadrados como co‑aprendizes aumentam a auto‑eficácia de forma mais fiável; a representação estática versus animada continua uma questão aberta e contraditória [9]. Isto converge com a própria história de investigação da Sesame Street: os estudos da ETS de 1970‑71 descobriram que os espetadores mais intensos aprendiam mais independentemente da desvantagem, e uma análise económica de 2019 (Kearney & Levine) descreveu‑a como “talvez a maior, mas menos dispendiosa, intervenção na primeira infância” [6]. Por baixo disso está a investigação sobre laços parasociais: a equipa de Calvert descobriu que crianças de 21 meses aprendiam melhor uma tarefa de sequenciação a partir de um personagem familiar (Elmo) do que de um desconhecido, e que dar às crianças um brinquedo do personagem desconhecido primeiro — tornando‑o familiar — fechou a lacuna; personagens personalizados aprofundaram ainda mais o envolvimento, uma vez que “as semelhanças percebidas aumentam o interesse e o investimento das crianças” [7][8]. Isto favorece o Larry, já decidido em D‑004: ele não é um novo personagem mas o rinoceronte laranja existente da Ignia, pelo que a familiaridade que a pesquisa de Calvert indica como impulsionadora da aprendizagem já está assegurada, não precisando ser construída a partir do zero [18][19]. A corolário: as regras canónicas do Larry (nunca zombar da criança, “¡Ya vas!” apenas na aceitação da tarefa) importam mais do que o seu design visual — o retorno está no comportamento de pistas sociais, não no modelo do personagem [9][18].

8. Visualizando o progresso para crianças — mapas, árvores e o efeito gradiente de meta

O efeito gradiente de meta — o esforço acelera à medida que a distância percebida até uma meta diminui — está bem estabelecido na literatura de economia comportamental/marketing (a “ressurreição” de Hull por Kivetz, Urminsky & Zheng, em contextos de programas de fidelidade) [14]. Revisões sobre gamificação da aprendizagem observam que aprendizes visuais beneficiam‑se especificamente de… barras de progresso, mapas de jogo e visualizações coloridas para motivação, ao mesmo tempo que alertam que pontos, distintivos e quadros de líderes usados isoladamente não são eficazes de forma fiável — funcionam quando ligados a sinais reais de competência, não como decoração [15]. Isto corresponde à própria investigação PRIMARY‑band do projeto: um estudo do “efeito guarda‑roupa” constatou que as crianças criam vários avatares mas convergem para usar apenas um, o que significa que o processo de personalização traz valor motivacional mesmo quando o artefacto final é limitado [16]; a investigação KINDER‑band revelou que crianças pequenas “esperam feedback em cada ação” e reagem a animações consistentes da mascote de forma que adultos explicitamente não o fazem [17]. A própria história da Duolingo é um ponto de dados cauteloso sobre qual metáfora de progresso escolher: substituiu o seu mapa de competências em forma de árvore por um caminho linear em agosto de 2022, provocando uma reação visível e sustentada dos utilizadores [12] — evidência de que a metáfora de árvore/mapa carregava valor motivacional que uma linha reta não substituiu.

Implicações de design

1. O gerador de pseudónimos é criado por idioma, não traduzido. Construa cinco listas de palavras independentes (EN/ES/FR/PT/DE) com um revisor fluente por idioma, combinando uma palavra de categoria + uma palavra de traço + um número de dois dígitos aleatório (não sequencial). Nunca derive a lista de um idioma traduzindo a de outro — essa é a operação exata que gera falhas ao estilo Scunthorpe [1][10].
2. A seleção de pseudónimo é apenas por toque para idades 3‑11 (KINDER + PRIMARY). A criança escolhe entre 3‑5 opções geradas; não há campo de texto para digitar, o que elimina a superfície de injeção para as faixas etárias menos capazes de auto‑moderar. TEEN (12‑17) obtém uma reposição limitada, mas ainda nunca digita.
3. Valide a cadeia renderizada combinada, não cada palavra isoladamente, e registe cada rejeição/regeneração (palavras, idioma, local, razão). Duas palavras “limpas” podem combinar‑se em uma insegura ao atravessar a fronteira linguística; uma lista branca registada de cadeias confirmadas‑seguras, construída a partir desses registos, é a solução real para o problema Scunthorpe, não um filtro mais restrito [1]. Limite a taxa de regeneração (por exemplo, um pequeno número de repetições/dia) para que a criança não possa forçar uma combinação além do filtro.
4. Nenhum campo de texto livre onde uma criança menor de 13 anos possa aceder — sem biografia, sem chat, sem rótulo personalizado. Qualquer interação criança‑para‑criança (reações, felicitações) é um conjunto fechado de frases pré‑definidas/emoji, conforme a leitura honesta do registo de moderação da Roblox, mesmo em escala [13].
5. Avatar = apenas peças pré‑fabricadas, estilo Mii. Sem upload de foto, sem acesso à câmara, nunca. As peças são organizadas em categorias (cabelo, expressão, acessório) desbloqueadas como cosméticos, não digitadas ou desenhadas.
6. Cosméticos desbloqueiam‑se numa tabela determinística, publicada, vinculada a marcos de mestria, rachas ou colocação em liga — por exemplo, concluir uma unidade temática desbloqueia um item nomeado específico. Sem caixa, baú, pacote ou recompensa “mistério” de qualquer tipo, gratuita ou paga — mais restritivo que a exceção cosmética do Reino Unido e totalmente fora da linha Bélgica/Países Baixos [4]. Se a monetização algum dia tocar nos cosméticos, será apenas compra direta de um item nomeado e pré‑visualizado, nunca uma compra aleatória.
7. Uma funcionalidade de companheiro/animal de estimação (se construída) não tem decaimento, fome ou estado de morte, e não envia notificações enquadradas na tristeza ou negligência do companheiro — mantém o ciclo de construção de afeição, descartando o ciclo de culpa do Tamagotchi [5]. Da mesma forma, a perda de racha nunca apaga ou regrediu visualmente o mapa de progresso — um dia perdido não deve desfazer retroactivamente o progresso ganho, evitando um segundo mecanismo de culpa empilhado ao primeiro.
8. A visualização do progresso é segmentada por idade, não um único visual para todas as idades:
   KINDER — um caminho de jornada física com a mascote a avançar, sem números;
   PRIMARY — uma árvore de competências/mapa de mestria por tópico nomeado (não uma linha reta — a mudança da Duolingo em 2022 afastou‑se de uma árvore e gerou forte reação [12][15]);
   TEEN — um painel de estatísticas com liga opcional;
   ADULT — métricas numéricas simples de mestria, skin gamificado opcional e desativado por defeito (conforme as descobertas adultas/experts de mc‑23).
9. A presença de Larry é segmentada por idade, conforme a arquitetura de prompts existente em mc‑37:
   KINDER — animado, voz‑primeiro, reage a cada tentativa;
   PRIMARY — mesmo personagem, explica a conceção errada segundo as regras rígidas já definidas em D‑004;
   TEEN — mesmo rinoceronte, tom muda para “professor paciente”, menos animações, opção de desativação disponível;
   ADULT — Larry disponível mediante pedido, mas em segundo plano atrás de uma UI de feedback mais densa [9][18].
10. Larry nunca comenta sobre o pseudónimo ou a escolha de avatar da criança. A sua voz canónica permanece focada em matemática, nunca em aparência ou identidade — estende a regra de D‑004 “nunca envergonha uma criança” para um local onde a vergonha poderia infiltrar‑se (um bot “elogiando” um nome implicitamente também pode julgá‑lo) [18][19].
11. As categorias cosméticas sinalizam traços de aprendizagem que a pesquisa do efeito Proteus indica poder influenciar o comportamento (persistência, curiosidade, cuidado) — por exemplo, uma linha de distintivo “explorador” para quem tenta problemas difíceis — em vez de decoração arbitrária, pois o avatar tem um pequeno mas real eco comportamental no utilizador [2][3].
12. A identidade de pseudónimo/avatar nunca pode ser derivada da conta dos pais, e‑mail ou nome real da criança na UI — um sufixo numérico deve ser aleatório, não sequencial, caso contrário “Bunny07” implica ordem de registo.

Questões abertas para o proprietário do projeto

1. Deve o conjunto de reações de vocabulário fechado (emoji/frases pré‑definidas) existir já na v1, ou “nenhuma interação criança‑para‑criança de qualquer tipo” é a opção mais segura até haver orçamento de moderação para suportar mesmo um conjunto fechado?
2. Um companheiro ao estilo Tamagotchi está dentro do âmbito deste produto, ou o risco do ciclo de culpa (§6) justifica a eliminação completa da funcionalidade em vez de tentar construir uma versão “segura”?
3. Para a árvore de competências PRIMARY‑band: a ordem dos tópicos deve ser estritamente linear (corresponde à sequenciação curricular atual) ou permitir exploração ramificada (corresponde à descoberta do “efeito guarda‑roupa” de que as crianças valorizam a escolha mesmo convergindo para um único caminho)?
4. As tabelas de desbloqueio de cosméticos devem ser visíveis à criança com antecedência (transparência total: “termina frações para desbloquear este chapéu”) ou reveladas apenas no desbloqueio (surpresa, mas mais próximo do espírito que os reguladores de mecânicas examinam mesmo sem aleatoriedade)?
5. Os pseudónimos TEEN‑band recebem um grau extra de liberdade (por exemplo, um número auto‑escolhido, ainda validado) em comparação com o conjunto totalmente gerado de PRIMARY/KINDER, ou o mesmo mecanismo apenas‑toque é mantido até aos 17 anos?
6. As listas de palavras de pseudónimo devem ser criadas internamente por idioma, ou há orçamento/apetite para licenciar um conjunto de dados multilingue de profanidade/palavras‑seguras já mantido, em vez de autorar cinco listas do zero?