Licence de l'Italie

1) Aperçu et positionnement

ADM — Agenzia delle Dogane e dei Monopoli (бывш. AAMS) régit le jeu à distance (GAD - Gioco a Distanza). Le modèle est une concession avec des exigences élevées en matière de diligence raisonnable, de RG/AML, de protection des données et d'intégration technique stricte avec le système central. Le marché est mature, l'écosystème des paiements est développé, mais il existe une interdiction stricte de la publicité publique et des sponsors - l'opérateur s'appuie sur l'organique, le SEO, ses propres canaux et la stricte conformité CRM.

• Des marques qui visent un EU-footprint durable, prêt pour la discipline « evidence-first » et un travail sans marketing perf classique.
• Plates-formes/B2B construisant un portefeuille d'intégrations avec des licenciés italiens et prêts à être certifiés selon les exigences d'ADM.

2) Types de permis et périmètre

B2C GAD-concession (opérateur) : front/back office, caisse/paiement, KYC/AML, RG, support, reporting, intégration avec le système central ADM. Verticales : casino/slots, paris, poker, bingo, etc.
B2V/fournisseurs (plateformes, contenus, studios live) : certification des logiciels/intégrations, contrats SLA/OLA avec les licenciés, exportation de télémétrie.
Rôles personnels : MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments).

3) Responsible Gaming

RUA - Registro Unico delle Autoesclusioni : vérification obligatoire en ligne de l'auto-exclusion avant d'accorder l'accès au jeu.
Outils du joueur : limites de dépôt/perte/temps, temporisation, auto-exclusion, reality-checks, historique d'activité.
Signaux comportementaux et interventions : détection précoce des risques, protocoles d'interventions souples/rigides, journal des contacts et des résultats.
Communication : scénarios prudents, interdiction d'encourager les utilisateurs vulnérables et les mineurs.

4) AML/KYC (risk-based)

KYC : preuve d'identité/âge par document et Codice Fiscale ; adresse/résidence - selon les sources secondaires. Jusqu'à la fin de KYC, l'accès est limité.
AML/CTF : profils clients/méthodes, RER/sanctions, déclencheurs EDD, procédures STR/SAR, journal des décisions et des escalades.
Surveillance transactionnelle : velocity/anomalies, source de fonds en cas de suspicion, gestion de cas.
Crypto/on-chain (le cas échéant) : politique de portefeuille, traçabilité, limites/blocs-feuilles des fournisseurs.

5) Publicité, affiliations et CRM

Decreto Dignità : interdit en fait la publicité publique et le parrainage de jeux d'argent. Toute communication est au microscope.
Affiliation : le travail n'est possible que dans un cadre strict d'information (sans pression promotionnelle) ; obligations contractuelles en matière de RG/AML/données, listes blanches des canaux, audit des matériaux, procédures d'arrêt.
CRM/lettres/SMS/push : les communications de service d'information et les scénarios strictement compliants sont autorisés ; Retarget agressif/Bonus Spam - inacceptable.
UX et vitrines : T&C transparent, pas de « promesses de gains faciles », protection des mineurs.

6) Données et vie privée

GDPR et Garante Privacy : légalité et minimisation, DPIA pour les opérations à haut risque, contrôle d'accès et journalisation.
Procédures DSR : accès/rectification/suppression/portabilité - dans les délais réglementaires.
Localisation/flux de données : transferts transfrontaliers contrôlés, DPA avec processeurs, rétentions par classe de données.

7) Normes techniques et intégration

Système central de SMA : l'opérateur est tenu de transmettre les données/rapports transactionnels par le biais d'interfaces certifiées ; la continuité et la précision sont critiques.
SDLC/releases : staging-piplines, contrôle des modifications, signatures d'artefacts et SBOM, politique de retrait, "no humans in prod', journal de releases prouvable.
Observability : logs (sans PAN/PII superflu), métriques et traçabilité (par exemple, OTel), SLO/SLI (latinite p95/p99, error-rate), contrôles synthétiques « dépôt/KUS/sortie », contrôlés par les loges restenches.
Sécurité : mTLS/segmentation, WAF/bot management, SSO/MFA/PAM, vulnérabilités (SAST/SCA/DAST) dans CI/CD, pentest régulier, absence de critical/high expiré.
DR/BCP : tests de restauration réguliers confirmés par RTO/RPO, actes d'exercice ; scénarios de graceful-degradation.
Anti-abuse : protection contre les bonus-abysses et les frondes, les device-signals, les velocity-regles, le scoring comportemental.

8) Paiements et « retour au portefeuille »

Méthodes : cartes, bonifico (virement bancaire), PostePay, A2A/Open bancaire (PSD2), rails instantanés locaux/portefeuilles, paiements sur les coordonnées bancaires.
Intégrations : idempotentialité, signatures HMAC webhooks, DLQ/relais d'événements, suivi Time-to-Wallet et part d'autorisation/succès, rapports de retour/charge.
Sanctions/RER et velocity : contrôle des flux entrants/sortants, limites, contrôles manuels par déclenchement.

9) Déclaration, taxes et renouvellement (haut niveau)

Rapports réglementaires : RGG sur les verticaux, métriques RG, plaintes/incidents, changements de structure/Keu Persons, rapports sur les interfaces du système central.
Partie fiscale : se construit autour des revenus du jeu avec des ajustements (bonus/jackpots) ; les rapprochements avec les journaux de jeu/paiement et les données PSP/banques sont obligatoires.
Renouvellement/vérification : vérifications périodiques des politiques, des contrôles techniques, des RG/AML et du respect des restrictions publicitaires ; les paquets « evidence-first » (sorties/SBOM, vulnérabilités, actes DR, télémétrie RG).

10) Processus de délivrance de licences : Phases et échéances

1. Pré-fit & Gap (1 à 8 semaines) : verticales/canaux, carte des fournisseurs (contenu/PSP/KYC), audit de la préparation informatique, plan de remédiations, conception des communications CRM en tenant compte de l'interdiction de la publicité.
2. Ensemble de documents (4 à 12 semaines) : Corporate/Finance/SoF/SoW, Key Persons, AML/RG/données/incidents/DR, contrats, architecture informatique et intégrations avec le système central.
3. Contrôle technique/certification (4 à 16 semaines) : SDLC/observation/sécurité/DR, vulnérabilités/pentest, actes de restore-test, exigences d'interface ADM.
4. La considération et Q&A : les questions selon бенефициарам/политикам/ИТ/данным/рекламе; interview de Key Persons ; démonstration des journaux/dashboards et des scénarios RG/AML/paiements.
5. Émission/entrée (2 à 6 semaines) : inclusion de rapports, PSP/contenu, test avec système central, dry-run RG/AML/paiements.
6. Responsabilités : rapports périodiques/audits, prolongations, variations (bénéficiaires/verticaux/emplacements).

Chemin critique : Key Persons → politiques « en direct » → SDLC/observation/DR (evidence) → interfaces du système central de → Q & A/démo.

11) Avantages et inconvénients du SMA

Plus

Confiance élevée des banques/PSP et des partenaires de contenu.
Modèle technique prévisible avec système central et normes matures.
En plus de la capitalisation et de la durabilité du portefeuille dans l'UE.

Les inconvénients

Interdiction totale de la publicité publique : le rôle de l'bio, du produit et de la complication CRM est de plus en plus important.
Haute complication OPEX et rigidité des processus.
Intégration exigeante et établissement de rapports dans le système central.

12) Chèques-feuilles de préparation

12. 1 Définition de la lecture (avant le dépôt)

• Le périmètre (vertical/canal/mode de paiement) est défini ; la réalité du paiement est confirmée.
• Назначены MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments); les SoF/SoW et les références sont rassemblées.
• Les politiques AML/RG/données/incidents/DR ont été approuvées ; les formations et le journal des révisions sont là.
• SDLC : signatures + SBOM, journal de sortie, "no humans in prod', politique de retour en arrière.
• Observability : SLO/SLI-dashboards, contrôles synthétiques « dépôt/CUS/retrait », retentissement des loges.
• Security : pentest/scan sans arriéré critical/high ; plan de remédiations.
• Contrats de contenu/PSP/KYC/laboratoires/hébergement ; les exigences relatives aux interfaces SMA sont harmonisées.
• Modèle sans publicité publique : listes de chaînes blanches, modèles de communications informatisées, procédures d'arrêt.

12. 2 Définition de Done (après délivrance)

• Les rapports réglementaires/fiscaux sont inclus ; Les propriétaires KPI sont désignés.
• Les interfaces du système central fonctionnent de manière stable ; surveillance des SLA.
• Les PSP/contenus sont onbordés ; webhooks avec HMAC, idempotence et DLQ en vente.
• Les outils RG sont actifs ; la télémétrie des interventions/auto-exclusions (RUA) est en cours.
• DR/BCP : des tests de restauration ont été effectués et des actes ont été rédigés ; RTO/RPO atteint.
• CRM/affiliations : uniquement les canaux d'information admissibles ; vérification des matériaux ; Journal des infractions et des mesures.

13) RACI (exemple)

14) Risques et atténuation

15) Feuille de route 90-180 jours (exemple)

Mois 1-2 : analyse gap, attribution de Key Persons, plan de remédiations SDLC/observation/sécurité, harmonisation des interfaces ADM.
Mois 2-3 : collecte du paquet/des politiques d'entreprise, pentest/scan, actes de DR, contrats avec PSP/KYC/contenu.
Mois 3-4 : Présentation, préparation pour Q & A/interviews, dry-run démonstrations (dashboards, revues, RG/AML/paiements/interfaces SMA).
Mois 4-6 : Q & A/variations, finalisation finale, paiements/contenu en direct, inclusion de rapports et intégration stable avec le système central.

Conclusion brève

La licence italienne d'ADM est un régime strict mais prévisible avec un lien unique : concession + interdiction de la publicité publique + système central de déclaration. Le succès repose ici sur la culture evidence-first (SDLC/observation/sécurité/DR), la discipline RG/AML/RUA, KYC compétent sur Codice Fiscale et un travail soigné sans marketing agressif. Avec cette approche, l'Italie devient un pilier durable du portefeuille européen et renforce la capitalisation de la marque.