Onboarding neuer Partner

1) Onboarding-Ziele und Haftungsgrenzen

• Geschwindigkeit und Vorhersagbarkeit: Von der Anfrage bis zu den „ersten Ereignissen“ für ein konsistentes Fenster (SLA).
• Einheitliche Standards: Ontologie, Datenverträge, Kanonik der Metriken.
• Sicherheit/Datenschutz: Zero Trust, PII-Minimierung, RG-guardrails.
• Wirtschaft: Transparente Auszahlungsmodelle (CPA/RevShare/Hybrid), Rechnungsstellung und Reconciliation.

2) Ontologie und Onboarding-Artefakte

Сущности: `partnerId`, `role` (operator/studio/affiliate/psp/kyc), `jurisdiction`, `trustTier`, `contractId`, `apiKeyId`, `webhookId`, `traceId`.

• Datenverträge (Ereignisdiagramme, Fenster, Besitzer);
• Protokoll-Paket (API/Webhooks/EDA + Sicherheitsprofil);
• Compliance Pack (KYP/KYB, DPIA/DPA, RG-Richtlinien);
• Go-Live Checklist (technische/rechtliche/finanzielle Konturen);
• Scorecard (SLO/Qualität/Reputation).

3) Rechts- und Compliance-Paket (KYP/KYB)

Registrierungsunterlagen, Steuerstatus, Begünstigte.
Traffic Source Policy (für Affiliates): Verbot von Brand-Bidding, Incent-Modellen, Cookie-Stuffing.
Jurisdiktionen und Brand Hyde: Zulässigkeit von Inhalten/Werbung, Sprachformeln, Disclaimer.
DPIA/DPA: Zwecke der PD-Verarbeitung, Aufbewahrungsfristen, grenzüberschreitende Datenflüsse, Datenlokalisierung.
RG-Pflichten: Grenzen, Warnungen, Selbstausschluss, Altersfilter.

4) Technische Gliederung: API, Webhooks, EDA und Tracing

API (REST/gRPC): Versionen von '/vN', Cursor-Paginierung, 'Idempotency-Key', maschinenlesbare Fehler und 'correlationId'.
Webhooks: JWS/HMAC-Signatur, 'kid/timestamp', Deduplizierungsfenster ± 5 Minuten, exponentieller Backoff mit Jitter, Replay-Registry.
EDA (Event Bus): Partitionierung nach 'partnerId/traceId', Garantie „genau einmal“ nach geschäftlicher Bedeutung (Idempotenz).
Traceparent: W3C „traceparent“; Ende-zu-Ende-Korrelation von Klick zu FTD/Einzahlung/Wette/Auszahlung.
SmartLink/Deep Link: Parametersignatur, TTL, Geo/Jurisdiction/Device-Routing und SLO-Zahlungen.

5) Der Kanon der Ereignisse und die Zuschreibung

Минимальный набор: `click`, `session_start`, `registration`, `kyc_status`, `deposit`, `ftd`, `bet/spin`, `reward_granted`, `postback_received`, `fraud_signal`.
Attributionsregel: last eligible touch mit Fenstern nach Jurisdiktionen/Kanälen; Cross-Device-Stitching - nur über Token (keine rohen PDs).
Deduplizierung: eindeutige „eventId“, Signatur des Körpers, Hashspeicherung, Fenster ± 5 Minuten.
Historie: Cursor-Uploads für Reconciliation, Verbot von Offset-Pagination unter Last.

6) Sicherheit und Privatsphäre (Zero Trust)

S2S-Sicherheit: mTLS, kurzlebige Token, egress-allow-list, Schlüsselrotation/JWKS.
PII-Minimierung: Tokenisierung „playerId “/„ visitId“; Entgiftung nur in den Tresorbereichen.
RBAC/ABAC/ReBAC: Zugang „sehe nur das Eigene und das Vereinbarte“; SoD (wer sieht ≠ wer die Regeln ändert ≠ wer die Schlüssel verwaltet).
WORM-Audit: Unveränderliche Protokolle von Regel-, Schlüssel- und Berechnungsformeländerungen.
Vendor-Risk: Überprüfung der Build-Pipeline, Abhängigkeiten und Schwachstellen des Partners.

7) Zahlungen und KYC: Profile und SLO

APM-Matrix: PSP-Priorität nach 'geo × device × scheme'; Auto-Cut-Over beim Abbau von CR/p95.
Float-Puffer und Netting (für sofortige Auszahlungen) - mit Limits und Treasury-Rechten.
KYC/AML Ebenen: L0/L1/L2; Fast-Track für Low-Risk; manuelle Überprüfung der strittigen; SLA Stufen.
Chargeback-Verfahren: Evidenzbasis, Fenster, Verknüpfung mit Attributions-/Betrugssignalen.

8) SLI/SLO und Reputation (Trust Tiers)

• Postbacks ≥ 99. 9%, p95 ≤ 1-2 s; API p95 ≤ 150-300 ms Bus-Lag ≤ 200-500 ms.
• KYC Pass-Rate und die durchschnittliche Zeit der Stufen - nach den Profilen der Jurisdiktionen.
• Vitrinen/Dashboards: Frische ≤ 1-5 s; p95 des Renders ≤ 1. 5–2. 0 s; Aptime ≥ 99. 9%.

Trust Tiers (T1-T4): werden automatisch auf Composite Score (SLO/ATTR/RG/SEC) zugewiesen und beeinflussen Limits, RevShare-Raten und den Zugang zu Piloten.

9) Wirtschaft und Kalkulation

Auszahlungsmodelle: CPA/RevShare/Hybrid/CPL; Bedingungen der NET7/14/30; Mindestzahlungen; Holds und Klau-Backs.

• `NetRev = GGR − BonusCost − Jackpot/PoolShare − PaymentFees − Chargebacks − Tax/Levy − FraudLosses`.
• Credits/Strafen: Auto-Bonus/Malus für SLO-Ablehnung, RG/Sanktionen → Pause und Neuberechnung.
• Reconciliation: signierte Zusammenfassungen/Orakel, Cursor-Uploads, Unstimmigkeiten, Rechnungsstatus im Portal.

10) Sandbox und Konformitätstests

Sandbox-Keys und Test-Webhooks; Signatur-/Idempotenz-Validatoren; Retrae-Szenarien mit Jitter.
Belastungstests: Ziel-RPS, Simulation von PSP/KYC/Busspitzen und Degradationen.
Compliance-Tests: RG-Gardrails, Lokalisierung von Texten/Disclaimer, Jurisdiktionsfilter.
Go/No-Go: Checklisten und Kriegsraum für Startfenster, Kanarienverkehr (1%→5%→25%→100%) und Auto-Rollback.

11) Dashboards und Scorecards

Partner-Panel: Klicks/Reg/FTD/Einlagen/CR/ARPU/LTV, Post-Backs-Status, SLO-Transport, strittige/Hold-Fälle, Auszahlungsprognose.
Ökosystem-Panel: Beitrag des Partners zu NetRev, Reputation/Tier, „Zeit pro Trace-Paket“, RG-Fouls, SLO-Vorfälle, Grenzprognose.
Metrikkatalog: Einheitliche GGR/NetRev/CR-Formeln, Besitzer und Fenster - „zwei Wahrheiten“ sind verboten.

12) Operative Prozesse und RACI

12. 1 RACI (Beispiel)

12. 2 Kriegsraum und Zwischenfälle

Matrix P1/P2, Stop-Buttons (Verkehr/Offer/Routen/Auszahlungen), SLA pro Trace-Paket 60-90 s, RCA „ohne Suche nach Schuldigen“.

13) Anti-Muster

„Zoo der Postbacks“: verschiedene Schemata/Signaturen/Fenster → Takes/Holes und Sporen.
Offset-Paginierung der Geschichte an der Spitze → Verlust/Duplikate (verwenden Sie Cursor).
Retrays ohne Jitter/Limits → Sturm und doppelte Gebühren.
„Viele Wahrheiten“ nach den Formeln GGR/NetRev/FTD/CR.
PII in BI-Vitrinen/Exporten und Cross-Border ohne DPIA/DPA.
SPOF-Gateway für Weiterleitungen/Assets/Rechnungen ohne N + 1/DR.
Experimente ohne Guardrails (SLO/RG) und ohne Auto-Rollback.
Ausnahmen ohne TTL/Audit sind „klebrige“ Override-s.

14) Checklisten

14. 1 Vor-Onboarding

• KYP/KYB und Karte der Gerichtsbarkeiten; Brand Hyde und Quellpolitik.
• DPIA/DPA, RG-Politik; Besitzer von Metriken/Formeln zugewiesen.
• Hauptangebot/Zusatzvereinbarungen unterzeichnet (Auszahlungen, NET, Holds).

14. 2 Integration

• API/Webhooks/EDA: Schlüssel, Signaturen, Idempotenz, Cursor.
• SmartLink/Deep Link: Signaturen, TTL, Routing.
• Attribution: last eligible touch, windows, dedup, cursor history.
• Sicherheit: mTLS/JWKS, Tokenisierung, SoD, egress-control.

14. 3 Sandkasten/Go-Live

• Last-/Compliance-Tests; RG-Gardrails; PoC Zahlungen/KUS.
• Dashboards und Alerts; SLO-Schwellenwerte und Auto-Malus/Bonus.
• Kanarienverkehr, Auto-Rollback, Kriegsraum.

14. 4 Betrieb

• Wöchentliche Reconciliation und Unstimmigkeiten.
• Scorecards und Überprüfung der Tier-Limits/Wetten.
• Rotation der Schlüssel/Zertifikate; DR/xaoc-Gateway-Übungen.

15) Reifegradfahrplan

v1 (Foundation): Basic KYP/KYB, Protocol Pack, Sandbox, bilaterale Auszahlungsmodelle, manuelle Rückgewinnung.
v2 (Integration): Auto-Konformität, kanarische Releases, Scorecards und Auto-Malus/SLO-Bonus, SmartLink-Routing.
v3 (Automation): Vorausschauende Cut-over-Zahlungen/CUS, ML-Bewertung der Verkehrsqualität, Dynamik der Limits/Gebote nach Trust Tier.
v4 (Networked Governance): föderiertes Onboarding zwischen Ketten, gemeinsame Pools/Kampagnen, DAO-Regeln für Metriken/Wetten.

16) Onboarding Erfolgsmetriken

Geschwindigkeit: TTM von der Anwendung bis zu den ersten gültigen Ereignissen; die durchschnittliche Dauer des Sandkastens; Anteil von Onboarding am Ziel-SLA.
Qualität/Risiko: Genauigkeit/Aktualität der Postbacks, Reifenlag, Anteil strittiger <X%, MTTR-Vorfälle.
Compliance/RG: 0 PD-Lecks, Einhaltung der Lokalisierung, RG-Trigger/1k aktiv.
Wirtschaft: uplift CR/FTD/ARPU/LTV, Cost-to-Serve per rps/txn/event, Vorhersagbarkeit des Caches,% auto-reconciliation.
Partnerschaft: „Zeit für ein Trace-Paket“, Verteilung nach Trust Tiers (T3/T4 ↑).

Kurze Zusammenfassung

Das Onboarding neuer Partner ist ein Ritual der Standardisierung: einheitliche Datenverträge und Transportprotokolle, Zero Trust und Tokenisierung, Canonica of Attribution und Postbacks, vorhersehbare SLO/SLAs und Reputation sowie eine transparente Wirtschaft und Disziplin von Vorfällen/Rechnungen. Nach dem beschriebenen Kanon verbindet das Ökosystem die Partner schnell, sicher und nachweisbar und skaliert das Netzwerk, ohne dass Betriebsrisiken und Kontroversen zunehmen.