Licencia de Rumania

1) Revisión y posicionamiento

ONJN - Oficiul Nasional pentru Jocuri de Noroc es el regulador nacional de juegos de azar de Rumania. El régimen se considera estricto y práctico: barra alta de Juego Responsable, reglas claras de publicidad/bonificaciones, requisitos maduros para AML/KYC, controles técnicos e informes. La licencia es valorada por bancos/PSP y grandes vendedores de contenidos, apta para una presencia a largo plazo en la UE y estrategias multimarca.

• Operadores B2C enfocados en el crecimiento sostenible y prácticas regulatorias predecibles.
• Plataformas B2B/agregadores/estudios que trabajan con carteras europeas y requieren un estatus reconocido.

2) Tipos de licencias y perímetros

B2C (licencia de operador): casino/tragamonedas, apuestas, poker, bingo, etc. Perímetro: caja registradora/pagos, KYC/AML, RG, publicidad/afiliados, soporte, informes regulatorios y fiscales.
B2B (clase II - proveedores): plataforma, contenido/agregación, alojamiento, estudios en vivo, pasarelas PSP, proveedores KYC/AML; requisitos de compatibilidad, certificación y exportación de telemetría.
Funciones clave: MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments).

3) Juego responsable (modo núcleo)

Autoexclusión (registro nacional): el operador está obligado a verificar en línea el estado de cada jugador; el acceso se bloquea cuando el registro está activo.
Herramientas del jugador: límites de depósitos/pérdidas/tiempo, tiempos de espera, cooling-off, reality-checks, historial de actividad.
Análisis de comportamiento: primeros signos de juego problemático, matriz de intervenciones blandas/duras, registro de contactos y resultados, escaladas en el equipo RG.

Comunicación: prohibición del lenguaje manipulador, protección de menores y grupos vulnerables, T & C. transparentes

4) AML/KYC y sanciones

KYC: prueba de identidad/edad en el documento/pasaporte nacional; Verificación de la dirección/residencia por fuentes válidas; desencadenante y recurrente re-KYC.
Risk-based AML/CTF: perfiles de clientes/métodos/geo, RR/listas de sanciones, desencadenantes EDD, procedimientos NAT/SAR, registro de decisiones y rastro de auditoría.
Monitoreo transaccional: velocity/anomalías, fuentes de fondos en caso de sospecha, gestión de casos y revisiones retro.
Crypto/on-chain (si corresponde): política de billeteras, proveedores de análisis, límites, comprobaciones manuales, rastreabilidad.

5) Publicidad, afiliados y comunicaciones

Barreras de edad/sitios: requisitos estrictos de orientación y formatos; prohibición de promesas engañosas y «ganancias fáciles».
Política de bonificación: limitada y regulada; T&C - claro, sin restricciones ocultas; el retarget agresivo está prohibido.
Afiliados: responsabilidad contractual por RG/AML/datos; canales de lista blanca, auditoría creativa, procedimientos de parada, trazabilidad del tráfico.
Influencers/streams: etiquetado, control de audiencia/contenido, documentación de alojamientos.

6) Datos y privacidad (GDPR/DPA)

Legalidad y minimización: DPIA para procesos de alto riesgo; Limitación del almacenamiento PII/PAN; Delimitación de accesos y registro.
Derechos del sujeto: acceso/rectificación/eliminación/portabilidad respetando los plazos; plantillas de respuesta y proceso de escalamiento.
Incidentes/Brich: planes de notificación del regulador/sujetos, registro de investigaciones, medidas de remediación.
Flujos transfronterizos: DPA con procesadores, transmisiones controladas y residencia de datasets críticos.

7) Tecnificación: SDLC/observabilidad/seguridad/DR

SDLC y lanzamientos: staging-pipelines, control de cambios, firmas de artefactos y SBOM, política de reversión, "no humans in prod', revista de lanzamientos probada.
Observabilidad: registros estructurados (sin PAN/PII extra), métricas y rastreo (OTel), SLO/SLI (latency p95/p99, error-rate), comprobaciones sintéticas «depósito/CUS/retiro», administrado Retiro.
Seguridad: segmentación, mTLS, WAF/bot management, SSO/MFA/PAM, SAST/SCA/DAST en CI/CD, pentesto regular y ausencia de critical/CD caducado high.
DR/BCP: pruebas de restore regulares confirmadas por RTO/RPO, actos de ejercicio; scripts graceful-degradation.
Anti-abuse: protección contra bonus abius y frod, señales de dispositivo, reglas de velocidad, puntuación de comportamiento.

8) Pagos y «camino a la cartera»

Métodos: tarjetas bancarias (3-D Secure), A2A/banca abierta (PSD2), soluciones instant locales y transferencias bancarias; recepción y retirada de datos bancarios.
Integraciones: idempotencia, firmas HMAC webhooks, DLQ/réplica de eventos, monitoreo de Time-to-Wallet, autorizaciones y cuotas de éxito, informes detallados de devoluciones/chargeback.
Sanciones/RR y velocity: control de flujos entrantes/salientes, límites y controles manuales por desencadenantes.

9) Informes, impuestos y prórrogas (nivel alto)

Informes regulatorios: finanzas y GGR por verticales, métricas RG, quejas/incidentes, cambios de estructura/Personas Keu, infracciones publicitarias y medidas.
Parte fiscal: cálculos basados en los ingresos del juego para tener en cuenta los ajustes (bonificaciones/botes); conciliaciones con registros de juegos/pagos y datos PSP/bancos.
Renovación/auditoría: revisiones periódicas de políticas, controles técnicos, RG/AML y publicidad; «evidence-first» paquetes (lanzamientos/SBOM, vulnerabilidades, actos DR, telemetría RG).

10) Proceso de concesión de licencias: fases y plazos de referencia

1. Pre-fit & Gap (1-8 semanas): verticales/canales, mapa de proveedores (contenido/PSP/KYC), auditoría de preparación de TI, plan de remediaciones.
2. Paquete de documentos (4-12 semanas): corporativo/finanzas/SoF/SoW, personas clave, políticas AML/RG/publicidad/datos/incidentes/DR, contratos, arquitectura de TI.
3. Technologies (4-16 semanas): SDLC/vigilancia/seguridad/DR, vulnerabilidades/pentest, actas de prueba restore, requisitos de integración/laboratorio (cuando corresponda).
4. El examen y Q&A: las preguntas por benefitsiaram/politikam/it/dannym/reklame; entrevista con Key Persons; demostraciones de registros/dashboards y procesos RG.
5. Emisión/entrada (2-6 semanas): activación de informes, PSP/contenido on-boarding, scripts de RG/AML/pagos dry-run.
6. Post-responsabilidades: informes/auditorías periódicas, prórrogas, variaciones (beneficiarios/verticales/localizaciones).

Vía crítica: Key Persons → políticas «en vivo» → SDLC/observación/DR (evidence) → Q & A/demo.

11) Pros y contras ONJN

Ventajas

Alta autoridad de los bancos/PSP/medios de comunicación; una reputación sólida en la UE.
Estándares claros de RG/publicidad y prácticas maduras de AML/KYC.
Además de capitalizar la marca y las capacidades B2B.

Contras

Alto cumplimiento OPEX y rigurosa probabilidad de los procesos.
Control estricto de las actividades publicitarias y afiliados.
Baja tolerancia hacia las «zonas grises» y los políticos de «papel».

12) Listas de verificación de preparación

12. 1 Definición de lectura (antes de la presentación)

• Se ha determinado el perímetro (verticales/canales/métodos de pago); realidad de pago confirmada (PSP/bancos/rieles locales).
• Назначены MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments); se recopilan SoF/SoW y ayuda.
• Se aprueban las políticas AML/RG/publicidad/datos/incidentes/DR; hay capacitaciones y un registro de revisiones.
• SDLC: firmas de artefactos + SBOM, revista de lanzamientos, "no humans in prod', política de reversión.
• Observabilidad: SLO/SLI-dashboards, comprobaciones sintéticas de «depósito/CUS/retiro», retinga de registros.
• Seguridad: el pentesto/escáneres están cerrados; no hay excepciones críticas/altas vencidas.
• Acuerdos de contenido/PSP/KYC/laboratorio/alojamiento; Los SLA/OLA están de acuerdo.
• Publicidad/afiliados: canales de lista blanca, auditoría de creativos, procedimientos de parada.
• Integración con el circuito nacional de autoexclusión: diseño y artefactos listos.

12. 2 Definición de Don (después de la emisión)

• Se incluyen los informes regulatorios/fiscales; Propietarios de KPI asignados.
• PSP/contenido onborden; webhooks firmados (HMAC), idempotencia y DLQ funcionan.
• Las herramientas RG están activas; la telemetría de las intervenciones y el registro de decisiones se llevan a cabo; verificaciones de autoexclusión - en el «flujo en línea».
• DR/BCP: pruebas de restauración realizadas y actos formalizados; Se ha logrado el RTO/RPO.
• Publicidad/afiliados: listas blancas, auditoría creativa, registro de infracciones y medidas.

13) RACI (ejemplo)

14) Riesgos y mitigación

15) Hoja de ruta 90-180 días (ejemplo)

Mes 1-2: análisis gap, asignación de personas clave, remediaciones SDLC/vigilancia/seguridad, blindaje de laboratorios.
Mes 2-3: recopilación de paquetes/políticas corporativas, pentesto/escaneos, actas de DR, contratos con PSP/KYC/contenido, proyecto de integración con el registro de autoexclusión.
Mes 3-4: presentación, preparación para Q & A/entrevistas, dry-run demostraciones (dashboards, revistas, RG/AML/scripts publicitarios).
Mes 4-6: Q & A/variaciones, revisiones finales, pagos/contenido on-boarding, inclusión de informes.

Salida rápida

La licencia rumana ONJN es un régimen estricto pero predecible, con énfasis en el Juego Responsable, la disciplina de publicidad/bonificaciones, AML/KYC maduro y controles de TI probados. Construya una cultura «evidence-first» (SDLC/vigilancia/seguridad/DR, telemetría RG, informes transparentes), mantenga a los afiliados bajo control y planifique integraciones y pruebas con antelación. Este enfoque abre el acceso a un ecosistema de pagos de alta confianza y refuerza la capitalización de la marca en la UE.