KYC: documentos, verificación, SLA

1) Por qué iGaming KYC y cómo afecta a la monetización

• reduce el riesgo de bloqueo por parte de los socios de pago y los bancos,
• reduce el «fraud friendly» y la tasa de charjbacks,
• acelera los resultados (menos comprobaciones manuales) y aumenta el LTV,
• cumple con los requisitos de los reguladores y proveedores de servicios de pago.

Principio: risk-based approach: cuanto mayor es el riesgo de un perfil de cliente/operación, más profunda es la verificación y más corta es la ventana de tolerancia a las anomalías.

2) Niveles (tiers) y desencadenantes de la profundización

Tier 0 - Fácil registro (pre-KYC)

Recogida: e-mail/teléfono, país, fecha de nacimiento.
Límites de umbral: depósitos/tipos mínimos, sin retiros.
Detección automática de sanciones por datos básicos (filtrado en bruto).

Tier 1 - Identificación básica

Documentos: un documento con la foto (pasaporte/ID/conduce. identificación).
Controles: liiveness + face-match, verificación de MRZ/hologramas (si es compatible con el proveedor).
Los límites se han elevado, pero la retirada es limitada (por ejemplo, hasta X por día/semana).

Tier 2 - Dirección/edad y mercados de riesgo

Documentos: Proof of Address (PoA) - Factura de servicios públicos/extracto bancario ≤ 3 meses, o eIDAS/BankID, donde está disponible.
Opcional: fuente de fondos (SoF) para grandes depósitos/altas revoluciones.
Acceso a límites elevados, salidas rápidas.

Tier 3 - Avanzado (Due Diligence Enhanced, EDD)

Documentos: SoF/SoW (extractos, documentos de nómina/impuestos, contratos), dop. biometría/videollamada.
Casos: coincidencias PEP, sumas altas, geo/comportamiento atípico, patrones de depozit→vyvod complejos.
Aprobación manual con doble control.

Los desencadenantes de la actualización son: el importe del depósito/retiro, el volumen de negocios total en 30/90 días, la coincidencia en las sanciones/RER/medios de acceso, geo/entrada en las zonas «grises», anomalías velocity, solicitud de retiro importante, historia de chargeback.

3) Lista de documentos y requisitos de calidad

• Pasaporte, natz. ID, conductor (dependiendo del país).
• Foto/escaneo claro, todo el documento en su totalidad, sin atisbos.
• Comprobaciones: validez del número, fecha de caducidad, MRZ/barcodes, control de manipulación (cropping/Photoshop).

• Cuenta de servicios públicos, extracto bancario, carta de impuestos, registro de residencia.
• Debe contener FIO, dirección, fecha (≤ 90 días), fuente.

• Extractos de cuenta/nómina, contratos, documentos de venta de activos, dividendos.
• Partido FIO/dirección con la cuenta; un conjunto lógico de sumas con el comportamiento en el producto.

• Chequeo activo/pasivo, comparación con el documento (face-match).
• Protección contra «replay/print/3D máscaras».

4) Sanciones, PEP, medios de comunicación

Listas de sanciones: OFAC/EU/UK/UN + local; actualización diaria/por hora.
PEP: Personas que ocupan/ocupan cargos públicos significativos, sus parientes/personas relacionadas.
Adverse Media: publicaciones negativas (fraude, blanqueo, corrupción).
Algoritmo: fuzzy-matching con umbrales, verificación manual de coincidencias, documentación de soluciones.
Política: sanciones - stop, PEP - EDD + límites, adverse media - caso de buy-in (EDD).

5) Orquestador KYC: cómo vincular proveedores y procesos

• gestiona los proveedores (doc-scan/biometry/sanctions/PEP/AML),
• almacena el estado de la solicitud (máquina de estado),
• activación de las actualizaciones/reverificaciones por eventos (sumas, geo, riesgo),
• proporciona idempotencia y auditoría (quién verificó qué y cuándo),
• agrega la solución: Approve/Reject/EDD/Manual Review.

• 2 + proveedores a los mercados clave (control cruzado/failover).
• Local eID/BankID donde está disponible (NordX, Báltico, etc.).
• Segmentación de datos: los documentos se almacenan en un almacenamiento cifrado con KMS/HSM.

6) SLA: tiempos y prioridades objetivo

• Tier 1 (auto): ≤ 90 segundos p95.
• Tier 2 (auto PoA): ≤ 5 min p95.
• Tier 2 (manual PoA): ≤ 2 horas p95 (horas de trabajo).
• Tier 3/EDD (manual): ≤ de 24 a 48 horas (con priorización de high-rollers/pines).

• Pago automático después del éxito Tier 1/2: ≤ 15 min p95.
• Si se requiere reverificación/EDD: pausa ≤ 24 horas con comunicación transparente.

• Después de la expiración de los documentos/cambio de FIO/dirección/geo o alcanzar el umbral - ≤ 24 horas.

• Regularmente (todos los días) + en cada pago/retiro importante - a demanda ≤ 60 segundos.

7) Soluciones y condiciones (decisioning matrix)

8) UX y transparencia (sin romper la conversión)

Muestre la lista de comprobación de documentos y el estado de los pasos.
Soporte de carga móvil, auto-recorte/detección de deslumbramiento.
Localización de sugerencias, formatos PoA válidos por país.
Plazos transparentes: temporizador SLA y «qué sigue».
Canales alternativos: videovigilancia en fallos repetidos de aguaceros.

9) Reverificación y ciclo de vida

Fechas de vencimiento de documentos: recordatorios T-30/T-7.
Cambio de riesgo (geo/comportamiento) → reverificación «puntual» de los campos.
Mover/cambiar el nombre de → PoA/ID update.
Cuentas de Dormant → re-KYC antes de una actividad importante.

10) Datos, almacenamiento y privacidad

Minimización: almacene sólo los campos necesarios; documentos en un repositorio de blob cifrado.
Acceso: RBAC, mTLS, tokens temporales, auditoría de llamadas.
Retention: almacenamiento según la regulación (a menudo 5 años después de la última transacción), luego eliminación/anonimización.
GDPR/DSR: procesos de acceso/corrección/eliminación; los registros de decisiones son impersonales.

11) Monitoreo y métricas

Calidad/Velocidad

KYC pass rate (Tier1/Tier2/Tier3), una fracción de auto-appruve.
Tiempo de onboarding p50/p95, share casos manuales.
Drop-off en los pasos (ID, duchas, PoA, SoF).

Riesgo/cumplimiento

Porcentaje de superposiciones de sanciones/RR, casos EDD.
Chargeback rate antes/después de KYC, incidentes de Frod por segmentos.
Errores/false matches en sanciones/RER.

las Operaciones

SLA hit rate (por onboarding/pines/EDD).
Solicitudes de documentos repetidas (%), causas de rechazo.
El costo de KYC por usuario (incluyendo mano de obra).

12) Integración con pagos y antifraude

Señales KYC → puntuación de transacciones (aumento/descenso del umbral 3DS/TRA).
En velocity/frod flags, el desencadenante es EDD/SoF antes de la salida.
Políticas BIN/GEO: para los emisores «pesados» - requerir Tier 2 antes.

13) Selección de proveedores y doble sorcing

Criterios: recubrimiento de documentos, precisión de duchas/biometría, velocidad, calidad SDK, precio, privacidad, «privacidad por diseño».
Fallar en el segundo proveedor en la degradación/fallas regionales.
SLA contractual y AoC (attestation of compliance), DPIA/procesamiento de datos.

14) Anti-patrones

Un KYC «rígido» universal para todos los países/riesgos → una caída en la conversión.
Comprobación manual donde el 95% de los casos de auto son gargantas estrechas.
Falta de reversión/caducidad de documentos - Aumento del riesgo en los hallazgos.
El almacenamiento de PII adicionales sin propósito y políticas de retén son riesgos del RGPD.
Ignorar el SoF para los altos rollers es un riesgo de AML/sanciones.

15) Lista de verificación de implementación (corta)

• Se han definido los márgenes, los límites y los desencadenantes de la actualización.
• Conectado por KYC Orchestrator, 2 + proveedor en los mercados clave.
• Chubascos/face-match, MRZ/anti-tamper incluidos.
• Sanciones/PEP/adverse media - re-screen + on-demand diario.
• SLA por onboarding/conclusiones/EDD, alertas T-3/T-1.
• Procedimientos SoF/SoW para grandes cantidades y EDD.
• Cifrado, RBAC, retransmisión, framework DPIA/GDPR.
• Un asistente de UX con sugerencias y requisitos PoA locales.
• Métricas y dashboards (tasa de paso, SLA, drop-off, costo/KYC).
• Playbucks de escaladas y fallos (plantillas de correo electrónico, lógica de soluciones).

16) Resumen

El KYC efectivo en iGaming es la orquestación de los proveedores, los niveles risk-based, el rápido auto-approw de casos simples y el EDD estricto donde hay riesgo. Los SLA claros, el UX transparente, la minimización y protección de datos, el re-screening regular y la integración con antifraude hacen que las conclusiones sean rápidas, que el cumplimiento sea sostenible y que la monetización sea predecible.