Άδεια της Ρουμανίας

1) Επισκόπηση και προσδιορισμός θέσης

ONJN - Oficiul Național pentru Jocuri de Noroc είναι η εθνική ρυθμιστική αρχή τυχερών παιχνιδιών της Ρουμανίας. Η λειτουργία θεωρείται αυστηρή και πρακτική: η υψηλή γραμμή των υπεύθυνων παιχνιδιών, οι σαφείς κανόνες διαφήμισης/πριμοδότησης, οι ώριμες απαιτήσεις για την AML/KYC, οι τεχνικοί έλεγχοι και η υποβολή εκθέσεων. Η άδεια αξιολογείται από τράπεζες/παρόχους υπηρεσιών πληρωμών και μεγάλους πωλητές περιεχομένου, κατάλληλους για μακροπρόθεσμη παρουσία στην ΕΕ και στρατηγικές πολλαπλών σημάτων.

• Οι φορείς εκμετάλλευσης B2C επικεντρώθηκαν στη βιώσιμη ανάπτυξη και στις προβλέψιμες κανονιστικές πρακτικές.
• Β2Β πλατφόρμες/συγκεντρωτές/στούντιο που εργάζονται με ευρωπαϊκά χαρτοφυλάκια και απαιτούν αναγνωρισμένο καθεστώς.

2) Τύποι αδειών και περίμετρος

B2C (άδεια εκμετάλλευσης): καζίνο/χρονοθυρίδες, στοιχήματα, πόκερ, μπίνγκο κ.λπ. Περίμετρος: Ταμείο/πληρωμή, KYC/AML, RG, διαφημίσεις/θυγατρικές, υποστήριξη, κανονιστικές και δημοσιονομικές εκθέσεις.
B2B (κατηγορία II - πάροχοι): πλατφόρμα, περιεχόμενο/συγκέντρωση, φιλοξενία, ζωντανά στούντιο, πύλες PSP, πάροχοι KYC/AML· απαιτήσεις συμβατότητας, πιστοποίησης και εξαγωγής τηλεμετρίας.
Βασικοί ρόλοι: MLRO/AMLO, DPO, επικεφαλής RG, επικεφαλής (συμμόρφωση/πλατφόρμα/SRE/ασφάλεια/πληρωμές).

3) Υπεύθυνο παιχνίδι (πυρήνας τρόπου λειτουργίας)

Αυτοαποκλεισμός (εθνικό μητρώο): ο φορέας εκμετάλλευσης υποχρεούται να ελέγχει την κατάσταση κάθε παίκτη επιγραμμικά· η πρόσβαση εμποδίζεται όταν η εγγραφή είναι ενεργή.
Εργαλεία αναπαραγωγής: κατάθεση/απώλεια/χρονικά όρια, χρονοδιαγράμματα, ψύξη, έλεγχοι πραγματικότητας, ιστορικό δραστηριότητας.
Ανάλυση συμπεριφοράς: πρώιμα σημάδια προβληματικού παιχνιδιού, πίνακας ήπιων/σκληρών παρεμβάσεων, καταγραφή επαφών και αποτελεσμάτων, κλιμάκωση στην ομάδα RG.
Επικοινωνία: απαγόρευση της χειραγώγησης της γλώσσας, προστασία των ανηλίκων και των ευάλωτων ομάδων, διαφανής T&C.

4) AML/KYC και κυρώσεις

KYC: εθνικό έγγραφο/απόδειξη ταυτότητας/ηλικίας διαβατηρίου· επαλήθευση της διεύθυνσης/κατοικίας με έγκυρες πηγές· ενεργοποίηση και περιοδική επαναπροώθηση KYC.
AML/CTF με βάση τον κίνδυνο: πελάτης/μέθοδος/γεωγραφικά προφίλ, κατάλογος PEP/κυρώσεων, ενεργοποιήσεις EDD, διαδικασίες STR/SAR, ημερολόγιο αποφάσεων και διαδρομή ελέγχου.
Παρακολούθηση συναλλαγών: ταχύτητα/ανωμαλίες, πηγές κεφαλαίων για υπόνοιες, διαχείριση υποθέσεων και ρετρό έλεγχοι.
Crypto/on-chain (κατά περίπτωση): πολιτική πορτοφολιού, πάροχοι υπηρεσιών ανάλυσης, όρια, χειροκίνητοι έλεγχοι, ιχνηλασιμότητα.

5) Διαφήμιση, θυγατρικές και επικοινωνίες

Εμπόδια/πλατφόρμες ηλικίας: αυστηρές απαιτήσεις για στοχοθέτηση και μορφότυπους· απαγόρευση παραπλανητικών υποσχέσεων και «εύκολων κερδών».
Πολιτική πριμοδότησης: περιορισμένη και ρυθμιζόμενη· T&C - σαφής, χωρίς κρυφούς περιορισμούς· απαγορεύεται το επιθετικό retarget.
Θυγατρικές: συμβατική ευθύνη για την RG/AML/δεδομένα· δίαυλοι λευκής λίστας, δημιουργικός έλεγχος, διαδικασίες στάσης, ιχνηλασιμότητα της κυκλοφορίας.
Επηρεαστές/ροές: επισήμανση, έλεγχος ακροατηρίου/περιεχομένου, τεκμηρίωση τοποθεσιών.

6) Δεδομένα και προστασία της ιδιωτικής ζωής (GDPR/DPA)

Νομιμότητα και ελαχιστοποίηση: DPIA για διαδικασίες υψηλού κινδύνου. περιορισμός αποθήκευσης PII/PAN· διαφοροποίηση πρόσβασης και υλοτομία.
Δικαιώματα του υποκειμένου: πρόσβαση/διόρθωση/αφαίρεση/φορητότητα σύμφωνα με τις προθεσμίες. πρότυπα απόκρισης και διαδικασία κλιμάκωσης.
Περιστατικά/παραβίαση: σχέδια κοινοποίησης ρυθμιστικής αρχής/οντότητας, αρχείο καταγραφής ερευνών, μέτρα αποκατάστασης.
Διασυνοριακές ροές: ΑΠΔ με επεξεργαστές, ελεγχόμενες μεταδόσεις και κατοικία κρίσιμων συνόλων δεδομένων.

7) Τεχνικές απαιτήσεις: SDLC/παρατηρησιμότητα/ασφάλεια/DR

SDLC και απελευθερώσεις: αγωγοί στάθμευσης, έλεγχος αλλαγής, τεχνουργήματα και υπογραφές SBOM, πολιτική ανατροπής, «κανένας άνθρωπος σε prod», αποδεδειγμένο ημερολόγιο απελευθέρωσης.
Παρατηρησιμότητα: δομημένα αρχεία καταγραφής (χωρίς PAN/επιπλέον PII), μετρήσεις και ίχνη (OTel), SLO/SLI (καθυστέρηση p95/p99, ποσοστό σφάλματος), συνθετική κατάθεση/ACC/έλεγχος εξόδου, ελεγχόμενη κατακράτηση.
Ασφάλεια: κατάτμηση, mTLS, διαχείριση WAF/bot, SSO/MFA/PAM, SAST/SCA/DAST σε CI/CD, τακτική πεντέστερη και χωρίς λήξη κρίσιμη/υψηλή.
DR/BCP: τακτικές δοκιμές αποκατάστασης που επιβεβαιώνονται από RTO/RPO, πράξεις άσκησης· σενάρια χαριτωμένης υποβάθμισης.
Καταπολέμηση της κατάχρησης: προστασία από κατάχρηση μπόνους και απάτη, σήματα συσκευών, κανόνες ταχύτητας, βαθμολόγηση συμπεριφοράς.

8) Πληρωμές και «δρόμος προς το πορτοφόλι»

Μέθοδοι: τραπεζικές κάρτες (3D Secure), A2A/open τραπεζικές υπηρεσίες (PSD2), τοπικές άμεσες λύσεις και τραπεζικές μεταφορές. παραλαβή και απόσυρση στα τραπεζικά στοιχεία.
Ενσωμάτωση: idempotence, HMAC υπογραφές webhooks, DLQ/replay event, Time-to-Wallet παρακολούθηση, εγκρίσεις και ποσοστά επιτυχίας, λεπτομερής αναφορά των επιστροφών/χρέωσης.
Κυρώσεις/PEP και ταχύτητα: εισερχόμενος/εξερχόμενος έλεγχος ροής, όρια και χειροκίνητοι έλεγχοι ενεργοποίησης.

9) Υποβολή εκθέσεων, φόροι και ανανέωση (υψηλού επιπέδου)

Υποβολή ρυθμιστικών εκθέσεων: χρηματοδότηση και GGR από κάθετα, μετρήσεις RG, καταγγελίες/περιστατικά, αλλαγές δομής/βασικά πρόσωπα, παραβιάσεις και μέτρα διαφήμισης.
Φορολογικό μέρος: υπολογισμοί με βάση τα έσοδα από τα παιχνίδια, λαμβάνοντας υπόψη τις προσαρμογές (πριμοδοτήσεις/τζάκποτ)· συμφωνίες με αρχεία καταγραφής παιχνιδιών/πληρωμών και δεδομένα PSP/τράπεζας.
Ανανέωση/λογιστικός έλεγχος: περιοδικοί έλεγχοι των πολιτικών, τεχνικοί έλεγχοι, RG/AML και διαφήμιση. πακέτα «πρώτης απόδειξης» (εκδόσεις/SBOM, τρωτά σημεία, πράξεις DR, τηλεμετρία RG).

10) Διαδικασία αδειοδότησης: φάσεις και χρονοδιαγράμματα

1. Προ-fit & Gap (1-8 εβδομάδες): κάθετα/κανάλια, χάρτης παρόχου (περιεχόμενο/PSP/KYC), έλεγχος ετοιμότητας πληροφορικής, σχέδιο αποκατάστασης.
2. Δέσμη εγγράφων (4-12 εβδομάδες): εταιρική/χρηματοοικονομική/SoF/SoW, βασικά πρόσωπα, πολιτικές AML/RG/διαφήμιση/δεδομένα/περιστατικά/DR, συμβάσεις, αρχιτεκτονική πληροφορικής.
3. Τεχνικός έλεγχος (4-16 εβδομάδες): SDLC/παρατηρησιμότητα/ασφάλεια/DR, τρωτά σημεία/δοκιμές διείσδυσης, δοκιμές αποκατάστασης, απαιτήσεις ενσωμάτωσης/εργαστηρίου (κατά περίπτωση).
4. Αναθεώρηση και Q&A: Ερωτήσεις δικαιούχου/πολιτικής/ΤΠ/δεδομένων/διαφήμισης. Συνέντευξη βασικών προσώπων· επίδειξη κορμοτεμαχίων/ταμπλό και διαδικασιών RG.
5. Έξοδος/εισροή (2-6 εβδομάδες): υποβολή εκθέσεων, επιβίβαση σε ΠΥΠ/περιεχόμενο, ξηρή λειτουργία σεναρίων RG/AML/πληρωμής.
6. Μετά τα καθήκοντα: περιοδικές εκθέσεις/λογιστικοί έλεγχοι, ανανεώσεις, παραλλαγές (δικαιούχοι/κάθετα/τοποθεσίες).

Κρίσιμη διαδρομή: Βασικά πρόσωπα → ζωντανοί πολιτικοί → SDLC/παρατηρησιμότητα/DR (αποδεικτικά στοιχεία) → Q & A/demo.

11) Τα υπέρ και τα κατά του ONJN

Πλάκες-διαφράγ

Υψηλός δικηγόρος τραπεζών/PSP/μέσων μαζικής ενημέρωσης ισχυρή φήμη στην ΕΕ.
Σαφή πρότυπα RG/διαφήμισης και ώριμες πρακτικές AML/KYC.
Συν κεφαλαιοποίηση εμπορικών σημάτων και δυνατότητες B2B.

Cons

Υψηλή συμμόρφωση με τον OPEX και αυστηρή αποδεδειγμένη διεργασία.
Αυστηρός έλεγχος των διαφημιστικών δραστηριοτήτων και των θυγατρικών.
Χαμηλή ανοχή για «γκρίζες ζώνες» και «χάρτινους» πολιτικούς.

12) Κατάλογοι ελέγχου ετοιμότητας

12. 1 Ορισμός του έτοιμου

• Καθορισμός περιμέτρου (κάθετα/κανάλια/μέθοδοι πληρωμής)· επιβεβαίωση της πραγματικότητας των πληρωμών (ΠΥΠ/τράπεζες/τοπικές ράγες).
• MLRO/AMLO, DPO, RG-Lead, επικεφαλής (συμμόρφωση/πλατφόρμα/SRE/ασφάλεια/πληρωμές), συλλέχθηκε SoF/SoW και αναφορές.
• Εγκρίθηκαν πολιτικές AML/RG/διαφήμισης/δεδομένων/περιστατικών/DR. υπάρχουν κατάρτιση και περιοδικό λογιστικών ελέγχων.
• SDLC: Υπογραφές τεχνουργημάτων + SBOM, απελευθέρωση του ιστορικού, «κανένας άνθρωπος σε prod», πολιτική ανατροπής.
• Παρατηρησιμότητα: SLO/SLI-ταμπλό, συνθετικοί έλεγχοι «κατάθεση/CCL/έξοδος», καταγραφές κατακράτησης.
• Ασφάλεια: πέντεστ/σαρώσεις κλειστές. δεν έληξε καμία κρίσιμη/υψηλή εξαίρεση.
• Content/PSP/KYC/Lab/Hosting Contracts; Η SLA/OLA συμφώνησε.
• Διαφήμιση/θυγατρικές: λευκά κανάλια, δημιουργικός έλεγχος, διαδικασίες στάσης.
• Ενσωμάτωση στο εθνικό κύκλωμα αυτοαποκλεισμού - ο σχεδιασμός και τα τεχνουργήματα είναι έτοιμα.

12. 2 Ορισμός του πραγματοποιηθέντος

• Περιλαμβάνονται οι κανονιστικές/δημοσιονομικές εκθέσεις· Οι ιδιοκτήτες του KPI έχουν εκχωρηθεί.
• περιεκτικότητα σε PSP/onboarden· εγγεγραμμένοι webhooks (HMAC), idempotency και εργασίες DLQ.
• Τα εργαλεία RG είναι ενεργά. διατηρούνται η τηλεμετρία παρέμβασης και το αρχείο καταγραφής αποφάσεων· έλεγχοι αυτοαποκλεισμού - στην «επιγραμμική ροή».
• DR/BCP: πραγματοποιήθηκαν δοκιμές αποκατάστασης και εκδόθηκαν πιστοποιητικά· Επιτεύχθηκε RTO/RPO.
• Διαφήμιση/θυγατρικές: whitelisting, δημιουργικός λογιστικός έλεγχος, παραβίαση και καταγραφή ενεργειών.

13) RACI (παράδειγμα)

14) Κίνδυνοι και μετριασμός

15) Οδικός χάρτης 90-180 ημερών (παράδειγμα)

Μήνας 1-2: ανάλυση κενών, ανάθεση βασικών προσώπων, SDLC/παρατηρησιμότητα/αποκατάσταση ασφάλειας, εργαστηριακές κρατήσεις.
Μήνας 2-3: συλλογή εταιρικών πακέτων/πολιτικών, πεντέστερ/σαρώσεις, πράξεις DR, συμβάσεις με PSP/KYC/περιεχόμενο, έργο ενσωμάτωσης με μητρώο αυτοαποκλεισμού.
Μήνας 3-4: υποβολή, προετοιμασία για Q & A/συνεντεύξεις, στεγνές διαδηλώσεις (ταμπλό, περιοδικά, RG/AML/διαφημιστικά σενάρια).
Μήνας 4-6: Q & A/παραλλαγές, οριστικοποίηση, πληρωμές/περιεχόμενο κατά την επιβίβαση, συμπερίληψη της υποβολής εκθέσεων.

Περίληψη

Η ρουμανική άδεια ONJN είναι ένα αυστηρό αλλά προβλέψιμο καθεστώς με επίκεντρο το υπεύθυνο παιχνίδι, την πειθαρχία διαφήμισης/μπόνους, την ώριμη AML/KYC και τους αποδεδειγμένους ελέγχους ΤΠ. Δημιουργία μιας πρώτης κουλτούρας τεκμηρίωσης (SDLC/παρατηρησιμότητα/ασφάλεια/DR, τηλεμετρία RG, διαφανής υποβολή εκθέσεων), διατήρηση των θυγατρικών σε έλεγχο και εκ των προτέρων προγραμματισμός ενοτήτων και δοκιμών. Η προσέγγιση αυτή ανοίγει την πρόσβαση σε ένα οικοσύστημα πληρωμών υψηλής εμπιστοσύνης και ενισχύει την κεφαλαιοποίηση των εμπορικών σημάτων στην ΕΕ.