Licence de la Roumanie

1) Aperçu et positionnement

ONJN - Oficiul Naentional pentru Jocuri de Noroc est le régulateur national des jeux de hasard en Roumanie. Le mode est considéré comme rigoureux et pratique : haut de gamme Responsible Gaming, règles claires de publicité/bonus, exigences mûres pour AML/KYC, contrôles techniques et rapports. La licence est appréciée par les banques/PSP et les grands fournisseurs de contenu, adaptée pour une présence à long terme dans l'UE et des stratégies multimarques.

• Des opérateurs B2C orientés vers une croissance durable et des pratiques réglementaires prévisibles.
• B2B plates-formes/agrégateurs/studios travaillant avec des portefeuilles européens et exigeant un statut reconnu.

2) Types de licences et périmètre

B2C (licence d'opérateur) : casinos/slots, paris, poker, bingo, etc. Périmètre : caisse/paiements, KYC/AML, RG, publicité/affiliation, soutien, rapports réglementaires et fiscaux.
B2B (classe II - fournisseurs) : plate-forme, contenu/agrégation, hébergement, studios en direct, passerelles PSP, fournisseurs KYC/AML ; exigences d'interopérabilité, de certification et d'exportation de télémétrie.
Rôles clés : MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments).

3) Responsible Gaming (noyau du mode)

Auto-exclusion (registre national) : l'opérateur est tenu de vérifier en ligne le statut de chaque joueur ; l'accès est bloqué lorsque l'enregistrement est actif.
Outils du joueur : limites de dépôt/perte/temps, temporisation, cooling-off, reality-checks, historique d'activité.
Analyse comportementale : premiers signes d'un jeu problématique, matrice d'interventions douces/dures, journal des contacts et des résultats, escalade dans l'équipe RG.

Communication : interdiction des formulations manipulatrices, protection des mineurs et des groupes vulnérables, T&C transparent

4) AML/KYC et sanctions

KYC : preuve d'identité/âge par document/passeport national ; vérification de l'adresse/résidence par des sources admissibles ; déclencheur et périodique re-KYC.
AML/FCT : profils clients/méthodes/géo, RRE/listes de sanctions, déclencheurs EDD, procédures STR/SAR, journal des décisions et piste d'audit.
Surveillance transactionnelle : velocity/anomalies, sources de fonds en cas de suspicion, gestion de cas et vérifications rétro.
Crypto/on-chain (le cas échéant) : politique de portefeuille, fournisseurs d'analyse, limites, contrôles manuels, tracabilité.

5) Publicité, affiliations et communications

Barrières d'âge/sites : exigences strictes en matière de ciblage et de formats ; l'interdiction des promesses trompeuses et des « gains faciles ».
Politique de bonus : limitée et réglementée ; T&C est clair, sans limites cachées ; le retarguet agressif est interdit.
Affiliation : responsabilité contractuelle pour RG/AML/données ; chaînes white-list, audit créatif, procédures stop, traçabilité du trafic.
Influenceurs/strim : étiquetage, contrôle du public/contenu, documentation des placements.

6) Données et vie privée (RGPD/DPA)

Légalité et minimisation : DPIA pour les processus à haut risque ; limiter le stockage des PII/PAN ; délimitation des accès et journalisation.
Droits du sujet : accès/rectification/suppression/portabilité dans le respect des délais ; modèles de réponse et processus d'escalade.
Incidents/Brich : plans de notification du régulateur/des sujets, journal des enquêtes, mesures de remédiation.
Flux transfrontaliers : DPA avec processeurs, transferts contrôlés et résidence de datacets critiques.

7) Techniques : SDLC/observation/sécurité/DR

SDLC et les versions : staging-piplines, contrôle des modifications, signatures d'artefacts et SBOM, politique de retrait, "no humans in prod', journal de sortie prouvable.
Observability : logs structurés (pas de PAN/PII superflus), métriques et traçabilité (OTel), SLO/SLI (latence p95/p99, error-rate), contrôles synthétiques « dépôt/KUS/retrait », restenschn géré.
Sécurité : segmentation, mTLS, WAF/bot management, SSO/MFA/PAM, SAST/SCA/DAST dans CI/CD, pentest régulier et pas de retard critique/haut de gamme.
DR/BCP : tests de restauration réguliers confirmés par RTO/RPO, actes d'exercice ; scénarios de graceful-degradation.
Anti-abuse : protection contre les bonus-abysses et les frondes, les device-signals, les velocity-regles, le scoring comportemental.

8) Paiements et « retour au portefeuille »

Méthodes : cartes bancaires (3-D Secure), A2A/Open Banking (PSD2), solutions instantanées locales et virements bancaires ; acceptation et retrait sur les coordonnées bancaires.
Intégrations : idempotence, signatures HMAC webhooks, DLQ/relais d'événements, suivi Time-to-Wallet, autorisations et taux de réussite, rapports détaillés sur les retours/chargeback.
Sanctions/RER et velocity : contrôle des flux entrants/sortants, limites et contrôles manuels par déclenchement.

9) Déclaration, taxes et renouvellement (haut niveau)

Rapports réglementaires : Finances et RGG sur les verticaux, les mesures RG, les plaintes/incidents, les changements de structure/Keu Persons, les irrégularités publicitaires et les mesures.
Partie fiscale : calculs basés sur le revenu du jeu, compte tenu des ajustements (bonus/jackpots) ; les rapprochements avec les journaux de jeu/paiement et les données PSP/banques.
Renouvellement/vérification : contrôles périodiques des politiques, contrôles techniques, RG/AML et publicité ; les paquets « evidence-first » (sorties/SBOM, vulnérabilités, actes DR, télémétrie RG).

10) Processus de délivrance de licences : Phases et échéances

1. Pré-fit & Gap (1 à 8 semaines) : verticales/canaux, carte des fournisseurs (contenu/PSP/KYC), audit de la préparation informatique, plan de remédiations.
2. Dossier (4-12 semaines) : Corporate/Finance/SoF/SoW, Key Persons, politiques AML/RG/publicité/données/incidents/DR, contrats, architecture informatique.
3. Contrôle technique (4 à 16 semaines) : SDLC/observation/sécurité/DR, vulnérabilités/pentest, actes de restore-test, exigences d'intégration/laboratoire (le cas échéant).
4. La considération et Q&A : les questions selon бенефициарам/политикам/ИТ/данным/рекламе; interview de Key Persons ; démonstrations de revues/dashboards et processus RG.
5. Émission/entrée (2 à 6 semaines) : inclusion de rapports, mise en place de PSP/contenu, exécution de scénarios RG/AML/paiements.
6. Responsabilités : rapports périodiques/audits, prolongations, variations (bénéficiaires/verticaux/emplacements).

Chemin critique : Key Persons → politiques « en direct » → SDLC/observabilité/DR (evidence) → Q & A/démo.

11) Avantages et inconvénients de l'ONJN

Plus

Confiance élevée des banques/PSP/médias ; une réputation solide dans l'UE.
Normes RG/publicité claires et pratiques mature AML/KYC.
Plus à la capitalisation de la marque et des capacités B2B.

Inconvénients

Haute complication OPEX et probabilité rigoureuse des processus.
Contrôle strict des activités publicitaires et des affiliations.
Faible tolérance pour les « zones grises » et les politiciens « papier ».

12) Chèques-feuilles de préparation

12. 1 Définition de la lecture (avant le dépôt)

• Le périmètre (vertical/canal/mode de paiement) est défini ; la réalité du paiement est confirmée (PSP/banques/rails locaux).
• Назначены MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments); les SoF/SoW et les références sont rassemblées.
• Les politiques AML/RG/publicité/données/incidents/DR ont été approuvées ; les formations et le journal des révisions sont là.
• SDLC : signatures d'artefacts + SBOM, journal de sortie, "no humans in prod', politique de retrait.
• Observability : SLO/SLI-dashboards, contrôles synthétiques « dépôt/CUS/retrait », retentissement des loges.
• Sécurité : pentest/scan fermé ; aucune exception critical/high expiré.
• Contrats de contenu/PSP/KYC/laboratoires/hébergement ; Les SLA/OLA sont harmonisés.
• Publicité/affiliations : chaînes white-list, audit créatif, procédures stop.
• Intégration avec le circuit national de l'auto-exclusion - conception et artefacts sont prêts.

12. 2 Définition de Done (après délivrance)

• Les rapports réglementaires/fiscaux sont inclus ; Les propriétaires KPI sont désignés.
• Les PSP/contenus sont onbordés ; webhooks signés (HMAC), idempotence et DLQ fonctionnent.
• Les outils RG sont actifs ; la télémétrie des interventions et le journal des décisions sont en cours ; les contrôles d'auto-exclusion sont dans le « flux en ligne ».
• DR/BCP : des tests de restauration ont été effectués et des actes ont été rédigés ; RTO/RPO atteint.
• Publicité/affiliations : listes blanches, audit créatif, journal des infractions et des mesures.

13) RACI (exemple)

14) Risques et atténuation

15) Feuille de route 90-180 jours (exemple)

Mois 1-2 : analyse gap, attribution de Key Persons, remediation SDLC/observation/sécurité, réservation de laboratoire.
Mois 2-3 : collecte du paquet/des politiques de l'entreprise, pentest/scan, actes de RD, contrats avec PSP/KYC/contenu, projet d'intégration avec un registre d'auto-exclusion.
Mois 3-4 : Présentation, préparation pour Q & A/interviews, dry-run démonstrations (dashboards, magazines, RG/AML/scripts publicitaires).
Mois 4-6 : Q & A/variations, finalisation, paiements/contenu en direct, inclusion des rapports.

Conclusion courte

La licence roumaine ONJN est un mode strict mais prévisible mettant l'accent sur le jeu responsable, la discipline de la publicité/bonus, le mature AML/KYC et les contrôles informatiques prouvables. Construire une culture « evidence-first » (SDLC/observation/sécurité/DR, RG-télémétrie, reporting transparent), garder les affiliations sous contrôle et planifier les intégrations et les tests à l'avance. Cette approche ouvre l'accès à un écosystème de paiement de haute confiance et renforce la capitalisation de la marque dans l'UE.