რუმინეთის ლიცენზია

1) მიმოხილვა და პოზიციონირება

ONJN - Oficiul Nasional pentru Jocuri de Noroc - რუმინეთის აზარტული თამაშების ეროვნული რეგულატორი. რეჟიმი განიხილება მკაცრი და პრაქტიკული: Responsible Gaming- ის მაღალი ბარი, რეკლამირების/პრემიების მკაფიო წესები, AML/KYC- ის სექსუალური მოთხოვნები, ტექნიკური კონტროლისა და ანგარიშგების მოთხოვნები. ლიცენზია დაფასებულია ბანკებით/PSP და დიდი შინაარსის გამყიდველებით, შესაფერისია ევროკავშირში გრძელვადიანი ყოფნისა და მრავალ ბრენდის სტრატეგიებისთვის.

• B2C ოპერატორები, რომლებიც ორიენტირებულია სტაბილურ ზრდაზე და პროგნოზირებად მარეგულირებელ პრაქტიკებზე.
• B2B პლატფორმები/აგრეგატორები/სტუდიები, რომლებიც მუშაობენ ევროპულ პორტფელებთან და მოითხოვენ აღიარებულ სტატუსს.

2) ლიცენზიების ტიპები და პერიმეტრი

B2C (კამერის ლიცენზია): კაზინო/სლოტები, ფსონები, პოკერი, ბინგო და ა.შ. პერიმეტრი: სალარო/გადახდა, KYC/AML, RG, რეკლამა/აფილატები, მხარდაჭერა, მარეგულირებელი და ფისკალური ანგარიშგებები.
B2B (კლასი II - მომწოდებლები): პლატფორმა, შინაარსი/აგრეგაცია, ჰოსტინგი, ცოცხალი სტუდიები, PSP კარიბჭეები, KYC/AML პროვაიდერები; ტელემეტრიის თავსებადობის, სერტიფიკაციისა და ექსპორტის მოთხოვნები.
საკვანძო როლები: MLRO/AMLO, DPO, RG-Lead, Heads (კომპლექტი/პლატფორმა/SRE/Security/Payments).

3) Responsible Gaming (რეჟიმის ბირთვი)

თვითკმაყოფილება (ეროვნული რეესტრი): ოპერატორი ვალდებულია შეამოწმოს თითოეული მოთამაშის სტატუსი ონლაინ; წვდომა იბლოკება აქტიური ჩაწერით.
მოთამაშის ინსტრუმენტები: დეპოზიტების/დანაკარგების/დროის ლიმიტები, დროის განაწილება, კოლინგ-ოფი, რეალობის შემოწმება, საქმიანობის ისტორია.
ქცევითი ანალიტიკა: პრობლემური თამაშის ადრეული ნიშნები, რბილი/მკაცრი ჩარევის მატრიცა, კონტაქტებისა და შედეგების ჟურნალი, RG გუნდში ესკალაცია.
კომუნიკაცია: მანიპულირების ფორმულირების აკრძალვა, არასრულწლოვნებისა და დაუცველი ჯგუფების დაცვა, გამჭვირვალე T & C.

4) AML/KYC და სანქციები

KYC: იდენტურობის/ასაკის დადასტურება ეროვნული დოკუმენტის/პასპორტის მიხედვით; მისამართის/რეზიდენციის გადამოწმება დასაშვები წყაროებით; გამომწვევი და პერიოდული re-KYC.
Risk-based AML/CTF: მომხმარებლის პროფილები/მეთოდები/გეო, REP/სანქციების სიები, EDD გამომწვევები, STR/SAR პროცედურები, გადაწყვეტილებების ჟურნალი და აუდიტის ნიშანი.
გარიგების მონიტორინგი: velocity/ანომალიები, ეჭვის ქვეშ მყოფი სახსრების წყაროები, კასეტის მენეჯმენტი და რეტრო შემოწმება.
Crypto/on-chein (თუ გამოიყენება): საფულეების პოლიტიკა, ანალიტიკური პროვაიდერები, ლიმიტები, სახელმძღვანელო შემოწმებები, ტრეკირება.

5) რეკლამა, აფილიატები და კომუნიკაციები

ასაკობრივი ბარიერები/პლატფორმები: მკაცრი მოთხოვნები მიზნობრივი და ფორმატებისთვის; შეცდომაში შეყვანილი დაპირებების აკრძალვა და „მსუბუქი მოგება“.
ბონუსის პოლიტიკა: შეზღუდულია და რეგულირდება; T&C - მკაფიო, ფარული შეზღუდვების გარეშე; აკრძალულია აგრესიული რეტარგეტი.
აფილატები: სახელშეკრულებო პასუხისმგებლობა RG/AML/მონაცემებზე; თეთრი სიის არხები, კრეატიული აუდიტი, გაჩერების პროცედურები, ტრეფიკის სიჩქარე.
გავლენის/ნაკადის: ეტიკეტირება, აუდიტორიის/შინაარსის კონტროლი, განთავსების დოკუმენტაცია.

6) მონაცემები და კონფიდენციალურობა (GDPR/DPA)

კანონიერება და მინიმიზაცია: DPIA მაღალი რისკის პროცესებისთვის; შენახვის შეზღუდვა PII/PAN; წვდომის განაწილება და ჟურნალისტიკა.
საგნის უფლებები: წვდომა/კორექტირება/მოცილება/ტრაფიკი ვადების დაცვით; პასუხების შაბლონები და ესკალაციის პროცესი.
ინციდენტები/ხრიკი: რეგულატორის/სუბიექტების შეტყობინებების გეგმები, გამოძიების ჟურნალი, რემედიაციის ზომები.
ტრანსსასაზღვრო ნაკადები: DPA პროცესორებით, კონტროლირებადი გადაცემები და კრიტიკული Datasets- ის რეზიდენცია.

7) ტექნოლოგია: SDLC/დაკვირვება/უსაფრთხოება/DR

SDLC და გამოშვებები: staging payplines, ცვლილებების კონტროლი, არტეფაქტების ხელმოწერები და SBOM, გამოტოვების პოლიტიკა, „არა humans in Video“, დადასტურებული გამოცემების ჟურნალი.
Observability: სტრუქტურირებული ლოგოები (PAN/დამატებითი PII- ის გარეშე), მეტრიკა და ტრეკები (OTel), SLO/SLI (latence p95/p99, error-rate), სინთეზური შემოწმება „ანაბარი/CUS S S S S A/დასკვნა“, კონტროლირებული.
უსაფრთხოება: სეგმენტი, mTLS, WAF/ბოტი მენეჯმენტი, SSO/MFA/PAM, SAST/SCA/DAST CI/CD, რეგულარული პენტესტი და ვადაგადაცილებული კრიტიკული/მაღალი არარსებობა.
DR/BCP: რეგულარული restore ტესტები, რომლებიც დადასტურებულია RTO/RPO, სავარჯიშოების აქტები; greful-degradation სცენარები.
Anti-abuse: დაცვა ბონუს აბუსისა და ფროიდისგან, მოწყობილობები-სიგნალები, velocity წესები, ქცევითი სკრიპტი.

8) გადახდა და „საფულისკენ მიმავალი გზა“

მეთოდები: საბანკო ბარათები (3-D Secure), A2A/ღია ბანკინგი (PSD2), ადგილობრივი ინსტანციის გადაწყვეტილებები და საბანკო გადარიცხვები; მიღება და საბანკო დეტალების მიღება.
ინტეგრაცია: idempotence, HMAC ხელმოწერები webhooks, DLQ/მოვლენების რეპლიკები, Time-to-Wallet- ის მონიტორინგი, ავტორიზაციები და წარმატების წილი, დეტალური დაბრუნების ანგარიში/chargeback.
სანქციები/REP და velocity: შემომავალი/გამავალი ნაკადების კონტროლი, ლიმიტები და ტრიგერების სახელმძღვანელო შემოწმება.

9) ანგარიშები, გადასახადები და გახანგრძლივება (მაღალი დონის)

მარეგულირებელი ანგარიშები: ფინანსები და GGR ვერტიკალურად, RG მეტრიკა, საჩივრები/ინციდენტები, სტრუქტურის ცვლილებები/Keu Persons, სარეკლამო დარღვევები და ზომები.
ფისკალური ნაწილი: გამოთვლები სათამაშო შემოსავლის საფუძველზე, კორექტირების გათვალისწინებით (პრემიები/ჯეკპოტები); თამაშის/გადახდის ჟურნალების შერიგება და PSP/ბანკების მონაცემები.
გაფართოება/აუდიტი: პოლიტიკოსის პერიოდული შემოწმება, ტექნიკური კონტროლი, RG/AML და რეკლამა; „evidence-first“ პაკეტები (გამოშვებები/SBOM, დაუცველობა, DR აქტები, RG ტელემეტრია).

10) ლიცენზირების პროცესი: ფაზები და ვადები

1. Pre-fit & Gap (1-8 კვირა): ვერტიკალური/არხები, პროვაიდერების რუკა (შინაარსი/PSP/KYC), IT მზადყოფნის აუდიტი, რემედიაციის გეგმა.
2. დოკუმენტების პაკეტი (4-12 კვირა): კორპორატიული/ფინანსები/SoF/SoW, Key Persons, AML/RG პოლიტიკოსები/რეკლამები/მონაცემები/ინციდენტები/DR, ხელშეკრულებები, IT არქიტექტურა.
3. ტექნიკური კონტროლი (4-16 კვირა): SDLC/დაკვირვება/უსაფრთხოება/DR, დაუცველობა/პენტესტე, რესტრუქტურიზაციის ტესტები, ინტეგრაცია/ლაბორატორიული მოთხოვნები (სადაც გამოიყენება).
4. განხილვა და Q&A: კითხვები ბენეფიციარების/პოლიტიკოსების/IT/მონაცემების/რეკლამირების შესახებ; ინტერვიუ Key Persons- თან; ჟურნალების/დაშბორდების და RG პროცესების დემონსტრაციები.
5. გაცემა/შეყვანა (2-6 კვირა): ანგარიშგების ჩართვა, on-boarding PSP/შინაარსი, dry-run სცენარები RG/AML/გადახდები.
6. პოსტ-მოვალეობები: პერიოდული მოხსენებები/აუდიტები, გახანგრძლივება, ვარიაციები (ბენეფიციარები/ვერტიკალები/ადგილები).

კრიტიკული გზა: Key Persons - „ცოცხალი“ პოლიტიკოსები - SDLC/დაკვირვება/DR (evidence), Q & A/demo.

11) დადებითი და უარყოფითი მხარეები ONJN

დადებითი

მაღალი ნდობა ბანკებში/PSP/მედია; ძლიერი რეპუტაცია ევროკავშირში.
RG/რეკლამის მკაფიო სტანდარტები და AML/KYC სექსუალური პრაქტიკა.
გარდა ამისა, ბრენდის კაპიტალიზაცია და B2B შესაძლებლობები.

მინუსები

მაღალი OPEX შესაბამისობა და პროცესების მკაცრი დადასტურება.
სარეკლამო აქტივობებისა და აფილატების მკაცრი კონტროლი.
დაბალი ტოლერანტობა „ნაცრისფერი ზონებისა“ და „ქაღალდის“ პოლიტიკოსების მიმართ.

12) მზადყოფნის სიები

12. 1 Ready Definition (წარდგენამდე)

განსაზღვრულია პერიმეტრი (ვერტიკალური/არხები/გადახდის მეთოდები); დადასტურებულია გადახდის რეალობა (PSP/ბანკები/ადგილობრივი რელსები).

• Назначены MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments); შეგროვებულია SoF/SoW და სერთიფიკატები.
• პოლიტიკოსები AML/RG/რეკლამა/მონაცემები/ინციდენტები/DR დამტკიცებულია; არის ტრენინგი და აუდიტის ჟურნალი.
• SDLC: საარტილერიო ხელმოწერები + SBOM, გამოცემის ჟურნალი, „არა ჰუმანური“, გამოტოვების პოლიტიკა.
• Observability: SLO/SLI დაშბორდები, სინთეზური შემოწმებები „ანაბრები/CUS/დასკვნა“, ლოგოების გადაკეთება.
• უსაფრთხოება: პენტესტი/სკანერები დახურულია; არ არის ვადაგადაცილებული კრიტიკული/მაღალი გამონაკლისი.
• კონტრაქტები შინაარსით/PSP/KYC/ლაბორატორიები/ჰოსტინგი; SLA/OLA შეთანხმებულია.
• რეკლამა/აფილატები: თეთრი სია, კრეატიული აუდიტი, გაჩერების პროცედურები.
• ინტეგრაცია ეროვნული თვითგამორკვევის კონტურთან - დიზაინი და არტეფაქტები მზად არის.

12. 2 Done Definition (გაცემის შემდეგ)

• მარეგულირებელი/ფისკალური ანგარიშგებები შედის; KPI მფლობელები დანიშნულია.
• PSP/ონბორდენის შინაარსი; Webhooks გაფორმებულია (HMAC), idempotence და DLQ მუშაობს.
• RG ინსტრუმენტები აქტიურია; მიმდინარეობს ინტერვენციების ტელემეტრია და გადაწყვეტილებების ჟურნალი; თვითგამორკვევის შემოწმება - „ონლაინ ნაკადში“.
• DR/BCP: ჩატარდა restore ტესტები და შედგენილია აქტები; RTO/RPO მიღწეულია.
• რეკლამა/აფილატები: თეთრი სიები, კრეატიული აუდიტი, დარღვევებისა და ზომების ჟურნალი.

13) RACI (მაგალითი)

14) რისკები და შემსუბუქება

15) გზის რუკა 90-180 დღე (მაგალითი)

თვე 1-2: gap ანალიზი, Key Persons- ის დანიშვნა, remediation SDLC/დაკვირვება/უსაფრთხოება, ლაბორატორიების დაჯავშნა.
თვე 2-3: კორპორატიული პაკეტის/პოლიტიკის, პენტესტის/სკანირების შეგროვება, DR აქტები, PSP/KYC/შინაარსთან კონტრაქტები, თვითკონტროლის რეესტრთან ინტეგრაციის პროექტი.
თვე 3-4: პრეზენტაცია, მზადება Q & A/ინტერვიუებისთვის, დემონსტრაციების დასტური (დაშბორდები, ჟურნალები, RG/AML/სარეკლამო სცენარები).
თვე 4-6: Q & A/ვარიაციები, საბოლოო დახვეწა, გადახდების/შინაარსის გადახდა, ანგარიშგების ჩართვა.

მოკლე დასკვნა

რუმინეთის ONJN ლიცენზია არის მკაცრი, მაგრამ პროგნოზირებადი რეჟიმი, რომელიც აქცენტს აკეთებს Responsible Gaming- ზე, რეკლამირების/ბონუსის დისციპლინაზე, სექსუალურ AML/KYC- ზე და დადასტურებულია IT კონტროლირებადი. ააშენეთ „evidence-first“ კულტურა (SDLC/დაკვირვება/უსაფრთხოება/DR, RG ტელემეტრია, გამჭვირვალე მოხსენებები), შეინარჩუნეთ აფილიტები კონტროლის ქვეშ და წინასწარ დაგეგმეთ ინტეგრაცია და ტესტები. ეს მიდგომა ხსნის მაღალი ნდობის გადახდის ეკოსისტემას და აძლიერებს ევროკავშირში ბრენდის კაპიტალიზაციას.