ルーマニアのライセンス

1）概要と位置付け

ONJN-Oficiul Nazional pentru Jocuri de Norocはルーマニアの国家賭博規制機関です。モードは厳密かつ実用的と見なされます：責任あるゲームの高いバー、明確な広告/ボーナスルール、AML/KYCの成熟した要件、技術的なコントロールとレポート。このライセンスは、銀行/PSPおよび大規模コンテンツベンダーによって評価されており、EUおよびマルチブランド戦略における長期的なプレゼンスに適しています。

• B2C事業者は、持続可能な成長と予測可能な規制慣行に焦点を当てています。
• B2Bプラットフォーム/アグリゲーター/スタジオは、ヨーロッパのポートフォリオと連携し、認識されたステータスを必要とします。

2）ライセンスと境界の種類

B2C（オペレータライセンス）：カジノ/スロット、賭け、ポーカー、ビンゴなど。周辺：キャッシャー/ペイアウト、KYC/AML、 RG、広告/関連会社、サポート、規制および財政報告。
B2B （クラスII-プロバイダ）：プラットフォーム、コンテンツ/集計、ホスティング、ライブスタジオ、PSPゲートウェイ、KYC/AMLプロバイダ；テレメトリー互換性、認証、および輸出要件。
主な役割：MLRO/AMLO、 DPO、 RGリード、ヘッド（コンプライアンス/プラットフォーム/SRE/セキュリティ/支払い）。

3）責任あるゲーム（モードコア）

自己排除（国民登録）：オペレータは、オンラインで各プレーヤーのステータスを確認する必要があります。録画がアクティブなときにアクセスがブロックされます。
プレーヤーツール：入金/損失/時間制限、タイムアウト、クーリングオフ、リアリティチェック、アクティビティ履歴。
行動分析：問題の早期兆候、ソフト/ハード介入の行列、連絡先と結果のログ、RGチームへのエスカレーション。
コミュニケーション：操作言語の禁止、未成年者や脆弱なグループの保護、透明なT&C。

4） AML/KYCおよび制裁

KYC：身分証明書/パスポート証明書/年齢；有効な情報源による住所/居住地の確認。トリガーおよび周期的なre-KYC。
リスクベースのAML/CTF：顧客/メソッド/ジオプロファイル、PEP/制裁リスト、EDDトリガー、STR/SARプロシージャ、意思決定ログ、監査証跡。
トランザクション監視：速度/異常、疑わしい資金源、ケース管理およびレトロチェック。
暗号/オンチェーン（該当する場合）：ウォレットポリシー、分析プロバイダ、制限、手動チェック、トレーサビリティ。

5）広告、関連会社、コミュニケーション

年齢の障壁/プラットフォーム：ターゲティングとフォーマットのための厳格な要件。誤解を招く約束と「簡単な勝利」を禁止します。
ボーナスポリシー：制限と規制；T&C-明確で、隠された制限なし。攻撃的なリターゲットは禁止されています。
関連会社：RG/AML/データの契約上の責任。ホワイトリストチャネル、クリエイティブ監査、停止手順、トラフィックトレーサビリティ。
インフルエンサー/ストリーム：ラベル付け、オーディエンス/コンテンツコントロール、配置の文書化。

6）データとプライバシー（GDPR/DPA）

合法性と最小化：高リスクのプロセスのためのDPIA；PII/PANストレージの制限；差別化とログへのアクセス。
件名の権利：期限に準拠したアクセス/修正/削除/移植性。レスポンステンプレートとエスカレーションプロセス。
インシデント/違反：レギュレータ/エンティティ通知計画、調査ログ、修正措置。
クロスボーダーフロー：プロセッサを備えたDPA、制御されたトランスミッション、重要なデータセットの常駐。

7）技術的な条件： SDLC/observability/safety/DR

SDLCおよびリリース：ステージングパイプライン、変更制御、アーティファクトおよびSBOMシグネチャ、ロールバックポリシー、「prodの人間なし」、実証可能なリリースログ。
観測性：構造化ログ（PAN/extra PIIなし）、メトリックとトレース（OTel）、 SLO/SLI（レイテンシp95/p99、エラーレート）、合成沈殿物/ACC/出力チェック、制御保持。
セキュリティ：セグメンテーション、mTLS、 WAF/ボット管理、SSO/MFA/PAM、 CI/CDのSAST/SCA/DAST、通常のペンテスト、期限切れのクリティカル/ハイなし。
DR/BCP： RTO/RPOによって確認された定期的な復元テスト、演習行為；graceful-degradationスクリプト。
反乱用：ボーナスの乱用や詐欺、デバイス信号、速度ルール、行動スコアリングに対する保護。

8）支払いと「財布への道」

方法：銀行カード（3Dセキュア）、A2A/open銀行（PSD2）、ローカルのインスタントソリューションと銀行振込；銀行詳細への領収書と出金。
統合：idempotence、 HMAC署名webhook、 DLQ/イベントリプレイ、 Time-to-Wallet監視、承認と成功率、リターン/チャージバックに関する詳細なレポート。
制裁/PEPと速度：着信/発信フロー制御、制限、手動トリガーチェック。

9）報告、税金、更新（高レベル）

規制報告：財務およびGGR、 RG指標、苦情/インシデント、構造変更/主要人物、広告違反および対策。
財政部分：ゲーム収入に基づいて計算、考慮に調整を取ります（ボーナス/ジャックポット）；ゲーム/ペイアウトログとPSP/銀行データとの和解。
更新/監査：ポリシー、テクニカルコントロール、RG/AMLおよび広告の定期的なチェック。「evidence-first」パッケージ（リリース/SBOM、脆弱性、DR行為、RGテレメトリー）。

10）ライセンスプロセス： フェーズとタイムライン

1.プリフィット&ギャップ（1-8週間）：垂直/チャンネル、プロバイダーマップ（コンテンツ/PSP/KYC）、 IT準備監査、修復計画。
2.文書のパッケージ（4-12週間）：企業/金融/SoF/SoW、キーパーソン、AML/RG ポリシー/広告/データ/インシデント/DR、契約、ITアーキテクチャ。
3.技術的な制御（4-16週）：SDLC/観測可能性/安全性/DR、脆弱性/浸透テスト、復元テストの行為、統合/実験室要件（該当する場合）。
4.レビューとQ&A：受益者/ポリシー/IT/データ/広告の質問；主要な人のインタビュー；ログ/ダッシュボードおよびRGプロセスのデモ。
5.出力/入力（2-6週間）：レポート、PSP/コンテンツのオンボーディング、RG/AML/支払いシナリオのドライラン。
6.関税：定期的なレポート/監査、更新、バリエーション（受益者/垂直/場所）。

クリティカルパス：Key Persons→live政治家→SDLC/observability/DR（証拠）→Q&A/デモ。

11） ONJNの長所と短所

Pluses（プラス）

銀行/PSP/メディアのための高い委任状；EUの強い評判。
明確なRG/広告の標準および成熟したAML/KYCの練習。
ブランドキャピタリゼーションとB2B機能を備えています。

短所

高いコンプライアンスのOPEXと厳格なプロセスの実証性。
広告活動および関連会社の厳格な管理。
「グレーゾーン」と「紙」政治家のための低耐性。

12）準備チェックリスト

12.1 Readyの定義

• 境界（垂直/チャネル/支払い方法）が定義されています。支払の現実は確認しました（PSP/銀行/ローカル・レール）。
• MLRO/AMLO、 DPO、 RGリード、ヘッド（コンプライアンス/プラットフォーム/SRE/セキュリティ/支払い）；SoF/SoWと参照を収集しました。
• AML/RG/広告/データ/インシデント/DRポリシーが承認されました。研修と監査の日記があります。
• SDLC： artifact signatures+SBOM、リリース履歴、「prodに人間がいない」、ロールバックポリシー。
• Observability： SLO/SLIダッシュボード、合成チェック「deposit/CCL/output」、保持ログ。
• セキュリティ：pentest/scans closed；重大な/高い例外は期限切れになりません。
• コンテンツ/PSP/KYC/ラボ/ホスティング契約；SLA/OLAが合意した。
• 広告/関連会社：ホワイトリストチャネル、クリエイティブ監査、停止手順。
• 自己排除の全国回路との統合-設計とアーティファクトの準備ができています。

12.2 Doneの定義

• 規制/財政報告が含まれています。KPI所有者が割り当てられます。
• PSP/onboardenコンテンツ；webhooks subscribed （HMAC）、 idempotencyおよびDLQの仕事。
• RGツールがアクティブです。介入テレメトリーと意思決定ログが維持されます。自己除外チェック-「オンラインストリーム」で。
• DR/BCP：復元テストが実施され、証明書が発行されました。RTO/RPOを実現。
• 広告/アフィリエイト：ホワイトリスト、クリエイティブ監査、違反、アクションログ。

13） RACI（例）

14）リスクと緩和

15）90-180日ロードマップ（例）

月1-2：ギャップ分析、キーパーソン割り当て、SDLC/オブザビリティ/安全性修復、ラボ予約。
月2-3：企業パッケージ/ポリシーの収集、ペンテスト/スキャン、DR行為、PSP/KYC/コンテンツとの契約、自己排除レジストリとの統合プロジェクト。
月3-4：提出、Q&A/インタビューの準備、ドライランのデモンストレーション（ダッシュボード、雑誌、RG/AML/広告スクリプト）。
月4-6： Q&A/バリエーション、ファイナライゼーション、オンボーディング支払い/コンテンツ、レポートの含める。

概要

ルーマニアのONJNライセンスは、責任あるゲーム、広告/ボーナス規律、成熟したAML/KYC、および実証可能なITコントロールに焦点を当てた厳格で予測可能な体制です。エビデンス・ファースト・カルチャー（SDLC/Observability/Security/DR、 RGテレメトリー、透明レポート）を構築し、アフィリエイトをチェックし、事前に統合とテストを計画します。このアプローチにより、信頼性の高い決済エコシステムへのアクセスが可能になり、EUのブランド資本化が強化されます。