ესპანეთის ლიცენზია

1) მიმოხილვა და პოზიციონირება

DGOJ (Dirección General de Ordenación del Juego) არის ევროკავშირის ერთ-ერთი ყველაზე მოთხოვნადი რეგულატორი. რეჟიმი ორიენტირებულია მომხმარებელთა მაღალ დაცვაზე: Responsible Gaming- ის მკაცრი წესები, რეკლამისა და პრემიების მკაფიო შეზღუდვები, KYC/AML- ის სექსუალური მოთხოვნები და დადასტურებული IT კონტროლი. ლიცენზია ფასდება ბანკებით/PSP და დიდი შინაარსის მოვაჭრეებით, მაგრამ მოითხოვს დისციპლინას „evidence-first“.

• ოპერატორები, რომლებიც აშენებენ გრძელვადიან ბრენდს ევროკავშირში, შესაბამისობასა და რეპუტაციაზე ორიენტირებით.
• B2B პლატფორმები/აგრეგატორები/სტუდიები, რომლებიც მუშაობენ ოპერატორების ევროპულ ტყვიასთან.

2) ლიცენზიების ტიპები და პერიმეტრი

B2C (კამერის): კაზინო/სლოტები, ფსონები, პოკერი, ბინგო და ა.შ. ესპანეთში მოთამაშეებისთვის. სრული პერიმეტრი: სალარო/გადახდა, KYC/AML, RG, რეკლამა/აფილიატები, მხარდაჭერა, მარეგულირებელი და ფისკალური ანგარიშგებები.
B2B/მომწოდებლები: მოთხოვნები დამოკიდებულია როლზე (პლატფორმა, შინაარსი, ჰოსტინგი); სავალდებულო თავსებადობა, ინტეგრაციის აქტები და ტელემეტრიის ექსპორტი ლიცენზიებისთვის.
პერსონალური როლები: MLRO/AMLO, DPO, RG-Lead, Heads (კომპლექტი/პლატფორმა/SRE/Security/Payments).

3) Responsible Gaming (რეჟიმის ბირთვი)

RGIAJ - ეროვნული თვითგამორკვევის სისტემა: ოპერატორი ვალდებულია შეამოწმოს თითოეული მოთამაშე; წვდომა იბლოკება აქტიური ჩაწერით.
მოთამაშის ინსტრუმენტები: დეპოზიტების/დანაკარგების/დროის ლიმიტები, ჩეკების რეალობა, დრო/გაგრილება, საქმიანობის ისტორია, ღამის საქმიანობის შეზღუდვები (შიდა პოლიტიკოსებისა და მოთხოვნების შესაბამისად).
ქცევითი მონიტორინგი: პრობლემური თამაშის ადრეული ნიშნები, რბილი/მკაცრი ჩარევის ოქმები, კონტაქტებისა და შედეგების ჟურნალი, RG სამსახურში ესკალაცია.
პრემია და პრომო: მკაცრად რეგულირდება; შეცდომაში შეყვანის მექანიკის აკრძალვა, გამჭვირვალე T&C, აგრესიული რეტარგეტის შეზღუდვები.

4) KYC/AML და სანქციები

KYC: DNI- ს მიხედვით მოქალაქეების პიროვნების/ასაკის გადამოწმება, NIE/პასპორტის უცხოელები; მისამართი/რეზიდენცია - დოკუმენტების/წყაროების მიხედვით.
Risk-based AML/CTF: მოთამაშეთა პროფილები/გეო/გადახდის მეთოდები, REP/სანქციების სიები, EDD გამომწვევები, გადაწყვეტილებების ჟურნალი, STR/SAR პროცედურები.
გარიგების მონიტორინგი: velocity/ანომალიები, ეჭვის ქვეშ მყოფი სახსრების წყაროების კონტროლი, ლიმიტების წესები და ქცევითი მოდელები.
Crypto/on-chein (თუ გამოიყენება): საფულეების პოლიტიკა, ანალიტიკური პროვაიდერები, დასკვნების კონტროლი.

5) რეკლამა, აფილიატები და კომუნიკაციები

ასაკობრივი ბარიერები და ადგილები: მკაცრი მიზნობრივი კონტროლი; აკრძალვები შეცდომაში შეყვანილი დაპირებების შესახებ, ეტიკეტირების მოთხოვნები.
დროებითი ფანჯრები და შინაარსი: მაუწყებლობის/რეკლამირების ფორმატის შეზღუდვა; გაზრდილი ყურადღება არასრულწლოვანთა და დაუცველი ჯგუფების დაცვაზე.
აფილატები: სახელშეკრულებო პასუხისმგებლობა RG/AML/მონაცემებზე; თეთრი სიის არხები, კრეატიული აუდიტი, გაჩერების პროცედურები და ტრეფიკის სიჩქარე.
გავლენიანი/ნაკადი: აუდიტორიის დამატებითი მოთხოვნები, განლაგების გამჭვირვალობა და T & C.

6) მონაცემები და კონფიდენციალურობა (GDPR/AEPD)

კანონიერება და მინიმიზაცია: DPIA მაღალი რისკის პროცესებისთვის; PII/PAN- ის შენახვა მინიმალურია სამიზნეებისთვის; წვდომის კონტროლი და ჟურნალისტიკა.
საგნის უფლებები: დაშვება/კორექტირება/მოცილება/ტრანსპორტირება რეგულირების ვადებში; დამხმარე პროცედურული ჰაიდები.
ინციდენტები/ხრიკი: რეგულატორის/სუბიექტების შეტყობინებების გეგმები, გამოძიებისა და რემედიაციის ჟურნალი.
ტრანსსასაზღვრო ნაკადები: DPA პროცესორებით, კონტროლირებადი გადაცემები და კრიტიკული მონაცემთა ნაკრების რეზიდენცია.

7) ტექნიკური სტანდარტები: SDLC/დაკვირვება/უსაფრთხოება/DR

SDLC და გამოშვებები: staging payplines, ცვლილებების კონტროლი, არტეფაქტების ხელმოწერები და SBOM, გამოტოვების პოლიტიკა, „არა humans in Video“, დადასტურებული გამოცემების ჟურნალი.
Observability: სტრუქტურირებული ლოგოები (PAN და დამატებითი PII), მეტრიკა და ტრეკები (OTel), SLO/SLI, სინთეზური შემოწმებები „ანაბარი/KUS/დასკვნა“, კონტროლირებადი რეტინული.
უსაფრთხოება: სეგმენტი, mTLS, WAF/ბოტი მენეჯმენტი, SSO/MFA/PAM, SAST/SCA/DAST CI/CD, რეგულარული პენტესტი და ვადაგადაცილებული კრიტიკული/მაღალი არარსებობა.
DR/BCP: რეგულარული restore ტესტები, რომლებიც დადასტურებულია RTO/RPO, სავარჯიშოების აქტები და დეგრადაციის სკრიპტები (graceful).
Anti-abuse: დაცვა ბონუს აბუსისგან, ქცევითი ესკალაციისგან, მოწყობილობებისგან-სიგნალებისგან, ველური წესებისგან, საჩივრების მონიტორინგისგან.

8) გადახდა და „საფულისკენ მიმავალი გზა“

მეთოდები: ბარათები, A2A/ღია ბანკინგი (PSD2), ადგილობრივი მყისიერი რელსები (ესპანეთში პოპულარული გადაწყვეტილებების ჩათვლით), საბანკო გადარიცხვები.
ინტეგრაციის მოთხოვნები: idempotence, HMAC ხელმოწერები webhooks, DLQ/მოვლენების რეპლიკები, Time-to-Wallet- ის მონიტორინგი და ავტორიზაციის/წარმატების წილი.
სანქციები/REP და velocity: შემომავალი/გამავალი ნაკადების კონტროლი, სპეციალური დაბრუნების პროცედურები/chargeback.

9) ანგარიშები, გადასახადები და გახანგრძლივება (მაღალი დონის)

მარეგულირებელი ანგარიშგებები: ფინანსური ინდიკატორები და GGR ვერტიკალურად, RG მეტრიკა, საჩივრები/ინციდენტები, სტრუქტურის ცვლილებები/Keu Persons, სარეკლამო დარღვევები და ზომები.
ფისკალური ნაწილი: მშენებლობა სათამაშო შემოსავლის საფუძველზე; თამაშის/გადახდის ჟურნალების შერიგება და PSP/ბანკების მონაცემები.
გაფართოება/აუდიტი: პოლიტიკოსის პერიოდული შემოწმება, ტექნიკური კონტროლი, RG/AML და რეკლამა; „evidence-first“ პაკეტები (გამოშვებები/SBOM, დაუცველობა, DR აქტები, RG ტელემეტრია).

10) ლიცენზირების პროცესი: ფაზები და ვადები

1. Pre-fit & Gap (1-8 კვირა): სამიზნე ვერტიკალური/არხები, პროვაიდერების რუკა (შინაარსი/PSP/KYC), IT მზადყოფნის აუდიტი, რემედიაციის გეგმა.
2. დოკუმენტების პაკეტი (4-12 კვირა): კორპორატიული/ფინანსები/SoF/SoW, Key Persons, AML/RG პოლიტიკოსები/რეკლამები/მონაცემები/ინციდენტები/DR, ხელშეკრულებები, IT არქიტექტურა.
3. ტექნიკური კონტროლი (4-16 კვირა): SDLC/დაკვირვება/უსაფრთხოება/DR, დაუცველობა/პენტესტე, რესტრუქტურიზაციის ტესტები, ინტეგრაცია/ლაბორატორიული მოთხოვნები (სადაც გამოიყენება).
4. განხილვა და Q&A: კითხვები ბენეფიციარების/პოლიტიკოსების/IT/მონაცემების/რეკლამირების შესახებ; ინტერვიუ Key Persons- თან; ჟურნალების/დაშბორდების და RG პროცესების დემონსტრაციები.
5. გაცემა/შეყვანა (2-6 კვირა): ანგარიშგების ჩართვა, on-boarding PSP/შინაარსი, dry-run სცენარები RG/AML/გადახდები.
6. პოსტ-მოვალეობები: პერიოდული მოხსენებები/აუდიტები, გახანგრძლივება, ვარიაციები (ბენეფიციარები/ვერტიკალები/ადგილები).

კრიტიკული გზა: Key Persons - „ცოცხალი“ პოლიტიკოსები - SDLC/დაკვირვება/DR (evidence), Q & A/demo.

11) დადებითი და დადებითი DGOJ

დადებითი

მაღალი სამომხმარებლო ნდობა და აღიარება ბანკებში/PSP/მედია.
RG/რეკლამის მკაფიო სტანდარტები; ძლიერი ხარისხი KYC (DNI/NIE).
გარდა ამისა, ბრენდის კაპიტალიზაცია და პარტნიორობის შესაძლებლობები ევროკავშირში.

მინუსები

მკაცრი ბონუსი/სარეკლამო შეზღუდვები და მაღალი OPEX შესაბამისობა.
პროცესების მკაცრი დადასტურება (პოლიტიკოსები არ მუშაობენ არტეფაქტების გარეშე).
დაბალი ტოლერანტობა „ნაცრისფერი ზონებისა“ და აგრესიული მარკეტინგის მიმართ.

12) მზადყოფნის სიები

12. 1 Ready Definition (წარდგენამდე)

განსაზღვრულია პერიმეტრი (ვერტიკალური/არხები/გადახდის მეთოდები); დადასტურებულია გადახდის რეალობა (PSP/ბანკები/ადგილობრივი რელსები).

• Назначены MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments); შეგროვებულია SoF/SoW და სერთიფიკატები.
• პოლიტიკოსები AML/RG/რეკლამა/მონაცემები/ინციდენტები/DR დამტკიცებულია; ჩატარდა ტრენინგი, არის აუდიტის ჟურნალი.
• SDLC: არტეფაქტებისა და SBOM- ის ხელმოწერები, გამოცემების ჟურნალი, „არა ჰუმანური“, გამოტოვების პოლიტიკა.
• Observability: SLO/SLI დაშბორდები, სინთეზური შემოწმებები „ანაბრები/CUS/დასკვნა“, ლოგოების გადაკეთება.
• უსაფრთხოება: პენტესტი/სკანერები დახურულია; კრიტიკული/მაღალი ვადაგადაცილებული გამონაკლისების გარეშე.
• კონტრაქტები შინაარსით/PSP/KYC/ლაბორატორიები/ჰოსტინგი; SLA/OLA შეთანხმებულია.
• სარეკლამო მოდელი: თეთრი სია, კრეატიული აუდიტი, გაჩერების პროცედურები.
• ინტეგრაცია RGIAJ- სთან - ტექნიკური და პროცესის ნივთები მზად არის.

12. 2 Done Definition (გაცემის შემდეგ)

• მარეგულირებელი/ფისკალური ანგარიშგებები შედის; KPI- ს მფლობელები დანიშნულია.
• PSP/ონბორდენის შინაარსი; Webhooks გაფორმებულია (HMAC), idempotence და DLQ მუშაობს.
• RG ინსტრუმენტები აქტიურია; მიმდინარეობს ინტერვენციების ტელემეტრია და გადაწყვეტილებების ჟურნალი; მოთხოვნები RGIAJ- ში - ნაკადში.
• DR/BCP: ჩატარდა restore ტესტები და შედგენილია აქტები; RTO/RPO ნორმალურია.
• რეკლამა/აფილატები: თეთრი სიები, კრეატიული აუდიტი, დარღვევებისა და ზომების ჟურნალი.

13) RACI (მაგალითი)

14) რისკები და შემსუბუქება

15) გზის რუკა 90-180 დღე (მაგალითი)

თვე 1-2: gap ანალიზი, Key Persons- ის დანიშვნა, remediation SDLC/დაკვირვება/უსაფრთხოება, ლაბორატორიების დაჯავშნა.
თვე 2-3: კორპორატიული პაკეტის/პოლიტიკის, პენტესტის/სკანირების შეგროვება, DR აქტები, ხელშეკრულებები PSP/KYC/შინაარსთან, ინტეგრაცია RGIAJ- სთან.
თვე 3-4: განაცხადის წარდგენა, მზადება Q & A/ინტერვიუებისთვის, დემონსტრაციების დასტური (დაშბორდები, ჟურნალები, RG/AML/სარეკლამო სცენარები).
თვე 4-6: Q & A/ვარიაციები, საბოლოო დახვეწა, გადახდების/შინაარსის გადახდა, ანგარიშგების ჩართვა.

მოკლე დასკვნა

ესპანეთის DGOJ ლიცენზია არის მკაცრი, მაგრამ პროგნოზირებადი რეჟიმი, რომლის აქცენტია Responsible Gaming (RGIAJ), სარეკლამო/ბონუსის დისციპლინა, სექსუალურ KYC/AML და დამტკიცებულია IT კონტროლირებადი. თუ მზად ხართ „evidence-first“ კულტურისთვის (SDLC/დაკვირვება/უსაფრთხოება/DR, RG ტელემეტრია, გამჭვირვალე მოხსენებები) და პატივს სცემთ ადგილობრივ მარკეტინგის წესებს, ესპანეთი იძლევა მაღალი ნდობის გადახდის ეკოსისტემას და აძლიერებს ბრენდის კაპიტალიზაციას ევროკავშირში.