Licencia de Italia

1) Revisión y posicionamiento

ADM — Agenzia delle Dogane e dei Monopoli (бывш. AAMS) regula el juego a distancia (GAD - Gioco a Distancia). El modelo es una concesión con altos requisitos de due diligence, RG/AML, protección de datos e integración técnica estricta con el sistema central. El mercado es maduro, el ecosistema de pago está desarrollado, pero existe una estricta prohibición de publicidad pública y patrocinios - el operador depende de la materia orgánica, SEO, canales propios y estricto cumplimiento de CRM.

• Las marcas que se dirigen a la EU-footprint sostenible, están preparadas para la disciplina de «evidence-first» y trabajan sin la comercialización perf clásica.
• Plataformas/B2B que construyen una cartera de integraciones con licenciatarios italianos y que están listos para ser certificados según los requisitos de ADM.

2) Tipos de permisos y perímetros

B2C GAD-concesión (operador): frente/back-office, caja registradora/pagos, KYC/AML, RG, soporte, reporting, integración con el sistema central ADM. Verticales: casino/tragamonedas, apuestas, poker, bingo, etc.
B2V/proveedores (plataformas, contenido, estudios en vivo): certificación de software/integraciones, SLA/OLA contractuales con licenciatarios, exportación de telemetría.
Roles personales: MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments).

3) Responsible Gaming

RUA - Registro Único delle Autoesclusioni: verificación en línea obligatoria de autoexclusión antes de permitir el acceso al juego.
Herramientas del jugador: límites de depósitos/pérdidas/tiempo, tiempos de espera, auto-exclusión, reality-checks, historial de actividad.
Señales de comportamiento e intervenciones: detección temprana del riesgo, protocolos de intervenciones blandas/duras, registro de contactos y resultados.
Comunicación: escenarios cuidadosos, prohibición de incentivar a usuarios y menores vulnerables.

4) AML/KYC (risk-based)

KYC: confirmación de identidad/edad por documento y Codice Fiscale; dirección/residencia - por fuentes secundarias. Hasta que se complete KYC, el acceso está restringido.
AML/CTF: perfiles de clientes/métodos, RR/sanciones, desencadenantes EDD, procedimientos NAT/SAR, registro de decisiones y escaladas.
Monitoreo transaccional: velocity/anomalías, fuente de fondos en caso de sospecha, gestión de casos.
Crypto/on-chain (si corresponde): política de billetera, trazabilidad, límites/hojas de flujo de proveedores.

5) Publicidad, afiliados y CRM

Decreto Dignità: prohíbe de hecho la publicidad pública y el patrocinio de juegos de azar. Cualquier comunicación - bajo el microscopio.
Afiliados: el trabajo sólo es posible dentro de un estricto marco de información (sin presiones promocionales); obligaciones contractuales de RG/AML/datos, listas blancas de canales, auditoría de materiales, procedimientos de detención.
CRM/cartas/SMS/push: se permiten comunicaciones de servicios de información y escenarios estrictamente cumplidos; retarget agresivo/spam de bonificación - no es aceptable.
UX y escaparates: T&C transparentes, falta de «promesas de ganar fácil», protección de menores.

6) Datos y privacidad

Privacidad GDPR y Garante: legalidad y minimización, DPIA para operaciones de alto riesgo, control de acceso y registro.
Procedimientos DSR: Acceso/corrección/eliminación/portabilidad - dentro del plazo reglamentario.
Ubicación/flujos de datos: transmisiones transfronterizas controladas, DPA con procesadores, Retenching por clase de datos.

7) Normas técnicas e integraciones

Sistema central ADM: el operador está obligado a transmitir datos/informes transaccionales a través de interfaces certificadas; continuidad y precisión - crítico.
SDLC/lanzamientos: staging-pipelines, control de cambios, firmas de artefactos y SBOM, política de reversión, "no humans in prod', registro probado de lanzamientos.
Observabilidad: registros (sin PAN/PII superfluo), métricas y rastreo (por ejemplo, OTel), SLO/SLI (latency p95/p99, error-rate), comprobaciones sintéticas de «depósito/CUS/retiro» administrado retiro de registros.
Seguridad: mTLS/segmentación, WAF/bot management, SSO/MFA/PAM, vulnerabilidad (SAST/SCA/DAST) en CI/CD, pentesto regular, sin caducidad critical/high.
DR/BCP: pruebas de restore regulares confirmadas por RTO/RPO, actos de ejercicio; scripts graceful-degradation.
Anti-abuse: protección contra bonus abius y frod, señales de dispositivo, reglas de velocidad, puntuación de comportamiento.

8) Pagos y «camino a la cartera»

Métodos: tarjetas, bonifico (transferencia bancaria), PostePay, A2A/Open Banking (PSD2), carriles/monederos instantáneos locales, pagos de datos bancarios.
Integraciones: idempotencia, firmas HMAC de webhooks, DLQ/réplica de eventos, monitoreo de Time-to-Wallet y cuota de autorización/éxito, informes de devoluciones/chargeback.
Sanciones/RR y velocity: control de flujos entrantes/salientes, límites, controles manuales por desencadenantes.

9) Informes, impuestos y prórrogas (nivel alto)

Informes regulatorios: GGR verticales, métricas RG, quejas/incidentes, cambios en la estructura/Personas Keu, informes de interfaces del sistema central.
Parte fiscal: se construye en torno a los ingresos del juego con ajustes (bonificaciones/botes); son obligatorias las conciliaciones con los registros de juegos/pagos y los datos PSP/bancos.
Renovación/auditoría: revisiones periódicas de políticas, controles técnicos, RG/AML y cumplimiento de restricciones publicitarias; «evidence-first» paquetes (lanzamientos/SBOM, vulnerabilidades, actos DR, telemetría RG).

10) Proceso de concesión de licencias: fases y plazos de referencia

1. Pre-fit & Gap (1-8 semanas): verticales/canales, mapa de proveedores (contenido/PSP/KYC), auditoría de preparación de TI, plan de remediaciones, diseño de comunicaciones CRM, teniendo en cuenta la prohibición de publicidad.
2. Paquete de documentos (4-12 semanas): corporativo/finanzas/SoF/SoW, personas clave, políticas AML/RG/datos/incidentes/DR, contratos, arquitectura de TI e integraciones con el sistema central.
3. Technologies/certificaciones (4-16 semanas): SDLC/vigilancia/seguridad/DR, vulnerabilidades/pentest, actos de prueba restore, requisitos de interfaces ADM.
4. El examen y Q&A: las preguntas por benefitsiaram/politikam/it/dannym/reklame; entrevista con Key Persons; demostración de registros/dashboards y scripts RG/AML/pagos.
5. Emisión/entrada (2-6 semanas): inclusión de informes, PSP/contenido on-boarding, prueba con sistema central, dry-run RG/AML/pagos.
6. Post-responsabilidades: informes/auditorías periódicas, prórrogas, variaciones (beneficiarios/verticales/localizaciones).

Vía crítica: Key Persons → políticas «en vivo» → SDLC/observación/DR (evidence) → interfaces del sistema central → Q & A/demo.

11) Pros y contras de ADM

Ventajas

Alta confianza de bancos/PSP y socios de contenido.
Un techmodel predecible con un sistema central y estándares maduros.
Además de la capitalización y la sostenibilidad de la cartera en la UE.

Contras

Prohibición total de la publicidad pública: el papel de la materia orgánica, el producto y el cumplimiento CRM está creciendo.
Alto cumplimiento OPEX y durabilidad de los procesos.
Integración y presentación de informes exigentes en el sistema central.

12) Listas de verificación de preparación

12. 1 Definición de lectura (antes de la presentación)

• Se ha determinado el perímetro (verticales/canales/métodos de pago); la realidad de pago está confirmada.
• Назначены MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments); se recopilan SoF/SoW y ayuda.
• Se aprueban las políticas AML/RG/datos/incidentes/DR; hay capacitaciones y un registro de revisiones.
• SDLC: firmas + SBOM, revista de lanzamientos, "no humans in prod', política de reversión.
• Observabilidad: SLO/SLI-dashboards, comprobaciones sintéticas de «depósito/CUS/retiro», retinga de registros.
• Seguridad: pentesto/escáneres sin critical/high caducados; un plan de remediaciones.
• Acuerdos de contenido/PSP/KYC/laboratorio/alojamiento; requisitos acordados en las interfaces ADM.
• Modelo sin publicidad pública: listas blancas de canales, plantillas de comunicación informativa, procedimientos de parada.

12. 2 Definición de Don (después de la emisión)

• Se incluyen los informes regulatorios/fiscales; Propietarios de KPI asignados.
• Las interfaces del sistema central funcionan de manera estable; monitoreo de SLA.
• PSP/contenido onborden; webhooks con HMAC, idempotencia y DLQ en venta.
• Las herramientas RG están activas; la telemetría de intervenciones/autoexclusiones (RUA) se mantiene.
• DR/BCP: pruebas de restauración realizadas y actos formalizados; Se ha logrado el RTO/RPO.
• CRM/afiliados: sólo canales de información permitidos; auditoría de materiales; Registro de infracciones y medidas.

13) RACI (ejemplo)

14) Riesgos y mitigación

15) Hoja de ruta 90-180 días (ejemplo)

Mes 1-2: análisis gap, asignación de personas clave, plan de remediación SDLC/observación/seguridad, negociación de interfaces ADM.
Mes 2-3: recopilación de paquetes/políticas corporativas, pentests/escaneos, actos de DR, acuerdos con PSP/KYC/contenido.
Mes 3-4: presentación, preparación para Q & A/entrevistas, dry-run demostraciones (dashboards, revistas, RG/AML/pagos/interfaces ADM).
Mes 4-6: Q & A/variaciones, revisiones finales, pagos/contenido on-boarding, inclusión de informes e integración estable con el sistema central.

Salida breve

La licencia ADM italiana es un régimen estricto pero predecible con un conjunto único: concesión + prohibición de publicidad pública + sistema central de información. El éxito aquí se basa en la cultura de la evidence-first (SDLC/observabilidad/seguridad/DR), la disciplina de RG/AML/RUA, un KYC competente en Codice Fiscale y un trabajo ordenado sin marketing agresivo. Con este enfoque, Italia se convierte en un pilar sostenible de la cartera europea e impulsa la capitalización de la marca.