Contratos y obligaciones jurídicas

1) Mapa de contratos en iGaming

B2C: Acuerdo de usuario, Política de privacidad, Reglas de bonificación, Política de pago/CUS, Política de RG.
B2B: Acuerdos de licencia con los estudios de juegos, proveedores de PSP/KYC, servicios antifraude, hosters de datos.
White-label/Co-brand: distribución de IP/datos, marca, derechos de contenido y marketing.
Afiliados/medios: estándares de publicidad (18 +/RG/short terms), pre-clearance, informes y pagos.
API/SDK: Termins of Use, rate limits, version/deprecation, derechos de datos derivados.
Asociaciones/patrocinio: IP/derechos de imagen, «morals clause», zoning 18 +, make-good.
Infraestructura/externalización: SLA en aptime/support, seguridad (ISO/SOC), auditoría.

2) Secciones obligatorias de cualquier contrato profesional

1. Tema y alcance: descripción clara de servicios/licencias, geo y canales.
2. Plazos y etapas: fases, puntos de control, criterios de aceptación, transición al acompañamiento.
3. Responsabilidades de las partes: deliverables, roles responsables, plazos de reacción.
4. Pago: modelo (fix/rev-share/CPA/CPI), calendario, retenciones, derecho de compensación.
5. SLA: aptime, RTO/RPO, P1-P3, ventanas de servicio, informes.
6. Propiedad intelectual: a quién pertenecen los resultados, licencias, restricciones (white-label/OSS).
7. Datos y privacidad: roles (controlador/procesador), DPA/DSA, seguridad, transferencias transfronterizas, derechos de las entidades.
8. Publicidad/RG-requisitos: 18 +/21 +, short terms, prohibiciones mislead, pre-clearance.
9. Cumplimiento/sanciones/exportación: detección de contrapartes, prohibición de uso en jurisdicciones restringidas.
10. Garantías/Garantías e Indemnes: ninguna violación de la PI/sanciones, correcciones y cobertura de daños.
11. Límite de responsabilidad: cap (por ejemplo, 12 × promedio. pago), carve-outs (intención, PI, privacidad).
12. Auditoría y supervisión: derecho de verificación, formato de registro/prueba, plazos de retención.
13. Subcontratación/cesión: obligaciones flow-down, prohibición de transferencias sin consentimiento.
14. Exclusividad/restricciones competitivas (si corresponde).
15. Cambios/Cambio Control: procedimiento, Orden SOW/Cambio, Price.
16. Fuerza mayor y eventos regulatorios: pausa/adaptación cuando se cambia la ley.
17. Terminación: por/sin causa, cure period, responsabilidades transitorias.
18. Solución de controversias: reclamación → ADR/Ombudsman/mediación → arbitraje/tribunal; la ley aplicable.
19. Privacidad y NDA: término de «supervivencia», devolución/destrucción.
20. Condiciones de seguridad: cifrado, gestión secreta, vulnerabilidades (parches SLA), incidente-reporting.

3) Especificidad por tipo de contrato

3. 1 White-label / Co-brand

Delimitar: marca/TM, tema de UI, contenido, código, datos.
Prohibición de inscribir a un asociado en el registro de empresas similares; negociación de dominios/handles.
RG/disclamers en diseños de plantillas, pre-clearance.

3. 2 Afiliados

Short terms junto a CTA, 18 +/RG, lista de sitios/temas prohibidos, palabras stop.
Atribución, transparencia de fuentes, prohibición de subscripciones sin consentimiento.
Sanciones con gradación (S0-S4), retención de pagos por infracciones.

3. 3 API/SDK

Autenticación (OAuth2/HMAC/mTLS), rate limits, cuotas.
Versioning (SemVer), ventana EOL ≥ 9-12 meses, hyde de migración.
Derechos de Service-Generated y Derived Data, TTL de caché.
Prohibición del desarrollo inverso/benchmarking sin consentimiento.

3. 4 Pagos/datos/CCA

Cumplimiento de AML/sanciones, derecho a detener transacciones sospechosas.
DPA/DSA, DPIA para alto riesgo, almacenamiento y pseudonimización de datos.
Incidente de reportaje ≤ 72 h, auditorías y certificaciones (ISO/SOC).

4) Garantías, garantías e indemnes

Garantías: autoridad para firmar, cumplimiento de las leyes, ausencia de violaciones de PI, ausencia de sanciones.
Garantías: exactitud de la información (finanzas, licencias, derechos IP).
Indemnes: cobertura de reclamaciones de PI/confidencialidad/sanciones, procedimiento de protección (control de defensa), excepciones en caso de infracción de la otra parte.

5) Límites, multas y KPI

Límite de responsabilidad (cap): diferenciado (por tipo de daño) con carve-outs.
Créditos de servicio: por falta de disponibilidad de SLA (aptime/MTTR).
KPI: aptime, Time-to-Wallet, incidentes de RG, parte de creativos/socios compliant, tiempo de pre-clearance, Time-to-Takedown.

6) Auditoría, prueba y almacenamiento

Derecho de auditoría por notificación (por ejemplo, 10-15 días hábiles).
Base de pruebas: registros API, capturas de pantalla creativas, registros de consentimiento CMP, versiones offer, informes SLA.
Períodos de retención: bajo ley/contrato (por ejemplo, 2-7 años), protección y disponibilidad bajo petición.

7) Derechos, sanciones, exportaciones y restricciones geográficas

Cláusulas de cribado sancionador y prohibición de trabajar con subprocuradores/geo.
Controles de exportación (criptografía/tecnodanos).
Geo-restricciones de la exhibición/del servicio, hojas de flujo de los países/de las regiones.

8) Procedimiento de cambio (Change Control)

1. El iniciador crea Change Request con una descripción del efecto costo/tiempo/SLA.
2. Las Partes convendrán en Cambiar Orden (actualizado SOW/Anexo).
3. Se actualizan la hoja de ruta, los planes de prueba y los criterios de aceptación.

9) Terminación y salida

Por causa: infracción sustancial, RG/sanciones irrecuperables, inconsistencia de seguridad.
Por convención: con notificación (por ejemplo, 30-90 días).
Período de transición: exportación de datos, ayuda a la migración, informes finales, cálculos.

10) Matriz de riesgo (RAG)

11) Hojas de cheques

Antes de firmar

• Objeto/volumen/geo/canales acordados.
• Definidos los derechos IP (assignment/licencia), la marca y las restricciones.
• DPA/DSA, funciones de datos, transferencias transfronterizas.
• Se incluyen los requisitos de RG/publicidad (18 +, short terms, pre-clearance).
• Se agregaron sanciones/exportación y derecho de auditoría.
• SLA, préstamos de servicio, procedimientos de incidente.
• Se ha establecido un límite de responsabilidad y carve-outs.
• Change Control y procedimiento de terminación.

En

• Informes regulares de SLA/KPI.
• Actualización de registros (versiones offers, registros, CMP, creativos).
• Plan de Gestión de Vulnerabilidades (SLA de parches).

Cuando

• Exportación/eliminación de datos, revocación de accesos.
• Acta de aceptación, fin. cálculo, archivo de pruebas.
• Análisis de riesgos post-post y actualización de plantillas.

12) Plantillas de cláusulas contractuales (fragmentos)

A. IP y resultados

B. Datos y privacidad (enlace DPA)

C. RG/requisitos de publicidad

D. Sanciones y exportaciones

E. SLA y préstamos de servicios

F. Límite de responsabilidad y carve-outs

G. Auditoría y pruebas

H. Terminación y período de transición

13) Registros recomendados (YAML)

13. 1 Registro de contratos

yaml contract_id: "CTR-2025-072"
counterparty: "GameProviderX Ltd"
type: "SDK/License"
geo: ["UA","MT","CA-ON"]
term: "2025-11-01 — 2027-10-31"
sla:
uptime: "99. 9%"
p1_response_min: 15 mttr_p1_hours: 2 ip:
ownership: "license"
oss_policy: "permissive_only"
privacy:
dpa_signed: true roles: "processor"
retention_days: 365 compliance:
rg_required: true sanctions_screening: "quarterly"
change_control: true audit_rights: true owner: "Legal/Ops"
status: "active"

13. 2 Registro de versiones de Offer/Creative

yaml offer_id: "OFF-2025-118"
version: "v2. 1"
short_terms: "18+      WR 30x      MaxBet 5      7d      slots 100%, jackpots 0%"
preclearance_ticket: "#PL-4412"
evidence:
screenshots: ["off_118_v21_mobile. png","off_118_v21_tvframe. png"]
cmp_consent_log: "link:consentlog/2025-11"

14) Playbucks (scripts operativos)

P-CON-01: Incumplimiento de SLA (aptime)

Monitoreo → notificación de contraparte → cálculo de crédito de servicio → plan de remediación → control de cierre → informe.

P-CON-02: Violación de RG/publicidad por parte del afiliado

Escriba/confirme → retire → retenga de inmediato los pagos → ajuste/aprendizaje → inscripción en el Registro →, en caso de repetición, rescisión.

P-CON-03: Incidente de datos

Aislamiento/preemergencia → notificaciones ≤ 72 h → parche/parche → actualización de DPA/políticas → post-mar.

P-CON-04: Bandera de sanciones

Autoblock → Rescribido → Evaluación Jure → Suspensión/Terminación → Documentación para el Regulador.

P-CON-05: Disputa de PI

Cease & Desist → negociación/co-existencia → si es necesario - arbitraje/corte → actualización de los procesos de Hyde/IP.

15) KPI e informes

SLA Compliance%, Créditos de servicio (equivalente en efectivo/mes).
Time-to-Takedown por publicidad/afiliados.
DPA Coverage%, incidentes de datos/trimestre.
Sanctions Screening Coverage %.
Proporción de contratos con aplicaciones actualizadas (marca, estándares RG).
Tiempo promedio de cambio de orden desde la solicitud hasta la firma.

16) Mini preguntas frecuentes

¿Necesita un DPA separado? Sí, si se procesan datos personales.
¿Es posible limitar la responsabilidad a «cero»? En B2B rara vez es aceptable; normalmente un cap razonable con carve-outs.
¿Cuánto puede guardar la ventana de depreciación de la API? Recomendado 9-12 meses.
¿Quién es dueño de Derived Data? Por contrato: más a menudo el propietario de la plataforma cuando se despersonaliza.

17) Conclusión

El contrato es un «sistema operativo» de cooperación. Fijar claramente el tema, los roles según los datos, IP, RG/publicidad, sanciones y SLA; mantener registros, registros y pruebas; use playbucks estandarizados. Así que reducirá los riesgos legales, acelerará el onboarding de los socios y asegurará la previsibilidad de la ejecución.