Испаниянын лицензиясы

1) карап чыгуу жана жайгаштыруу

DGOJ (Dirección General de Ordenación del Juego) - ЕБнин эң талап кылынган жөнгө салуучу органдарынын бири. режим жогорку керектөө коргоо багытталган: катуу эрежелер жооп оюн, ачык-айкын жарнама чектөөлөрдү жана бонустарды, жетилген KYC/AML талаптар жана далилденген IT контролдоо. Лицензия банктар/PSP жана ири контент сатуучулар тарабынан бааланат, бирок "evidence-first" дисциплинасын талап кылат.

• ЕБде узак мөөнөттүү брендди түзүүчү операторлор комплаенс жана репутацияга басым жасашат.
• B2B-платформалар/агрегаторлор/европалык операторлордун бассейни менен иштеген студиялар.

2) Лицензиялардын түрлөрү жана периметри

B2C (оператордук): Casino/Slots, коюмдар, Poker, Bingo ж.б. Испанияда жайгашкан оюнчулар үчүн. Толук периметри: касса/төлөмдөр, KYC/AML, RG, жарнама/аффилиаттар, колдоо, жөнгө салуучу жана фискалдык отчеттуулук.
B2B/жөнөтүүчүлөр: талаптар ролуна көз каранды (платформа, мазмун, хостинг); милдеттүү шайкештиги, интеграциялык актылары жана лицензиаттар үчүн телеметрияны экспорттоо.
Жеке ролдору: MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments).

3) Responsible Gaming (негизги режими)

RGIAJ - улуттук өзүн-өзү жоюу системасы: оператор ар бир оюнчуну текшерүүгө милдеттүү; кирүү активдүү жазууда бөгөттөлөт.
Оюнчунун инструменттери: депозиттердин/жоготуулардын/убакыттын лимиттери, реалдуулук-чектер, тайм-ауттар/муздатуу, активдүүлүктүн тарыхы, түнкү активдүүлүктү чектөө (ички саясаттар жана талаптар боюнча).
Жүрүм-турум мониторинги: көйгөйлүү оюндун алгачкы белгилери, жумшак/катаал интервенция протоколдору, байланыштар жана жыйынтыктар журналы, RG кызматына эскалация.
Бонустар жана промо: катуу жөнгө салынат; адаштыруучу механик тыюу, тунук T&C, агрессивдүү retarget чектөө.

4) KYC/AML жана чаралар

KYC: DNI боюнча жарандардын инсандыгын/жашын, NIE/паспорт боюнча чет элдиктерди текшерүү; дареги/резиденциясы - документтер/булактар боюнча.
Risk-based AML/CTF: оюнчулардын профилдери/гео/төлөм ыкмалары, RER/санкция тизмелери, EDD триггерлери, чечимдер журналы, STR/SAR процедуралары.
Транзакциялык мониторинг: velocity/аномалиялар, шектүү учурда акча булактарын көзөмөлдөө, лимиттер боюнча эрежелер жана жүрүм-турум моделдери.
Crypto/on-чейн (эгер колдонулса): капчык саясаты, аналитика провайдерлери, корутундуларды көзөмөлдөө.

5) Жарнама, аффилиаттар жана коммуникациялар

Курактык тоскоолдуктар жана аянтчалар: максаттуу катуу контролдоо; адаштыруучу убадаларга тыюу салуу, маркировкалоо талаптары.
Убактылуу терезелер жана мазмун: берүү убактысын/жарнама форматтарын чектөө; жашы жете электерди жана аялуу топторду коргоого көңүл буруу.
Аффилиаттар: RG/AML/маалыматтар үчүн келишимдик жоопкерчилик; white-list каналдар, креативдик аудит, токтоо жол-жоболору жана жол-жоболоштуруу.
Influencers/агымдар: аудиторияга кошумча талаптар, жайгаштыруу ачык-айкындуулук жана T&C.

6) Маалыматтар жана купуялык (GDPR/AEPD)

Мыйзамдуулук жана минималдаштыруу: DPIA жогорку тобокелдик жараяндар үчүн; PII/PAN минималдуу жана максаттары боюнча сактоо; жеткиликтүүлүктү көзөмөлдөө жана журналдаштыруу.
Субъекттин укуктары: ченемдик мөөнөттө жеткиликтүүлүк/оңдоо/алып салуу/чыдамдуулук; колдоо үчүн процедуралык гайддар.
Инциденттер/brich: жөнгө салуучу/субъекттерге кабарлоо пландары, иликтөө жана ремедиация журналы.
Трансчегаралык агымдар: DPA менен иштетүү, контролдонуучу берүү жана маанилүү маалымат топтомдорунун жашоосу.

7) Техникалык стандарттар: SDLC/байкоо/коопсуздук/DR

SDLC жана релиздер: staging-payplayns, өзгөрүүлөрдү көзөмөлдөө, кол артефакттары жана SBOM, кайтаруу саясаты, "no humans in prod", далилденген релиздер журналы.
Observability: структураланган Логи (PAN жана ашыкча PII жок), метрика жана Tracking (OTel), SLO/SLI, синтетикалык текшерүү "депозиттик/KUS/чыгаруу", башкарылуучу retenshn.
Security: сегментация, mTLS, WAF/бот башкаруу, SSO/MFA/PAM, SAST/SCA/CI/CD DAST, үзгүлтүксүз пентест жана мөөнөтү өтүп кеткен critical/high жок.
DR/BCP: RTO/RPO тарабынан тастыкталган үзгүлтүксүз калыбына келтирүү тесттери, машыгуу актылары жана деградация сценарийлери (graceful).
Анти-abuse: бонустук кыянаттык коргоо, жүрүм-турум эсеби, device-сигналдар, velocity-эрежелер, даттануулар мониторинг.

8) Төлөмдөр жана "капчыкка жол"

Ыкмалар: карталар, A2A/ачык банкинг (PSD2), жергиликтүү тез рельстер (анын ичинде Испанияда популярдуу чечимдер), банктык которуулар.
Интеграциялоо талаптары: демпотенттик, HMAC кол тамгалары webhooks, DLQ/реплика окуялары, Time-to-Wallet мониторинг жана авторизациялардын/ийгиликтин үлүштөрү.
Санкциялар/RER жана velocity: кирүүчү/чыгуучу агымдарды көзөмөлдөө, атайын процедуралар/chargeback.

9) Отчеттуулук, салыктар жана узартуу (high-level)

Жөнгө салуучу отчеттуулук: каржылык көрсөткүчтөр жана вертикалдуу GGR, RG-метрика, даттануулар/окуялар, түзүмүн өзгөртүү/КЕУ кызматкерлери, жарнама бузуулар жана чаралар.
Фискалдык бөлүгү: оюн кирешесинин негизинде куруу; оюндардын/төлөмдөрдүн журналдары жана PSP/банктардын маалыматтары менен салыштыруу.
Узартуу/аудит: саясаттарды, техникалык көзөмөлдү, RG/AML жана жарнаманы мезгил-мезгили менен текшерүү; "evidence-first" топтомдору (релиздер/SBOM, аялуу, DR-актылар, телеметрия RG).

10) Лицензиялоо процесси: мөөнөттөрдүн фазалары жана багыттары

1. Pre-fit & Gap (1-8 жума): максаттуу вертикалдар/каналдар, провайдерлердин картасы (мазмун/PSP/KYC), IT даярдыгын текшерүү, ремедиация планы.
2. Документтердин пакети (4-12 жума): корпоративдик/каржы/SoF/SoW, Key Persons, AML/RG саясаты/жарнама/маалыматтар/окуялар/DR, келишимдер, IT архитектурасы.
3. Technical Control (4-16 жума): SDLC/байкоо/коопсуздук/DR, алсыздык/пентест, калыбына келтирүү тестирлөө актылары, интеграциялык/лабораториялык талаптар (кайда колдонулат).
4. Кароо жана Q&A: бенефициарлар/саясатчылар/IT/маалыматтар/жарнама маселелери; Key Persons менен маек; журналдарды/дашборддорду жана RG процесстерин көрсөтүү.
5. Берүү/киргизүү (2-6 жума): отчет, on-boarding PSP/мазмун, RG/AML/төлөмдөрдүн сценарийлерин dry-run.
6. Пост-милдеттери: мезгилдүү отчеттор/аудиттер, узартуу, вариациялар (бенефициарлар/вертикалдар/жайгашкан жерлер).

Критикалык жол: Негизги адамдар → "жандуу" саясат → SDLC/байкоо/DR (evidence) → Q & A/демо.

11) Жакшы жана жаман жактары DGOJ

Плюс

Жогорку керектөө ишеним жана банктардын таануу/PSP/медиа.
RG/жарнама так стандарттары; күчтүү сапаты KYC (DNI/NIE).
Плюс бренд капиталдаштыруу жана ЕБ өнөктөштүк мүмкүнчүлүктөрү.

Кемчиликтери

Катуу бонустук/жарнамалык чектөөлөр жана жогорку OPEX комплаенс.
Процесстердин катуу далилдүүлүгү (артефактсыз саясатчылар иштебейт).
"Боз зоналарга" жана агрессивдүү маркетингге төмөн толеранттуулук.

12) Даярдык чек-барактары

12. 1 Definition of Ready (берүүгө чейин)

• Периметри (тик/каналдар/төлөө ыкмалары) аныкталган; төлөм чындыгы тастыкталган (PSP/банктар/жергиликтүү рельстер).
• Назначены MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments); чогултулган SoF/SoW жана маалымдама.
• AML/RG/жарнама/маалыматтар/окуялар/DR саясаты бекитилген; тренингдер өткөрүлдү, текшерүү журналы бар.
• SDLC: кол артефакттары жана SBOM, релиздер журналы, "no humans in prod", кайтаруу саясаты.
• Observability: SLO/SLI-dashboard, синтетикалык текшерүү "депозиттик/KUS/чыгаруу", retenshn Логин.
• Коопсуздук: пентест/сканерлер жабык; критикалык/мөөнөтү өтүп кеткен өзгөчөлүктөрү жок жогорку.
• Мазмун/PSP/KYC/лабораториялар/хостинг менен келишимдер; SLA/OLA макулдашылган.
• Жарнамалык модели: каналдардын ак тизмеси, чыгармачыл аудит, токтоо жол-жоболору.
• RGIAJ менен интеграция - техникалык жана процесстик экспонаттар даяр.

12. 2 Definition of Done (чыгарылгандан кийин)

• Регулятивдик/фискалдык отчеттуулук камтылган; KPI ээлери дайындалды.
• PSP/мазмуну онлайн; webhooks кол коюлган (HMAC), боштук жана DLQ иштейт.
• RG инструменттери активдүү; интервенциялардын телеметриясы жана чечимдердин журналы жүргүзүлөт; RGIAJга суроо-талаптар - агымда.
• DR/BCP: реставрациялык тесттер жана актылар өткөрүлдү; RTO/RPO нормалдуу.
• Жарнама/аффилиаттар: ак тизмелер, чыгармачылыктын аудити, мыйзам бузуулар жана чаралар журналы.

13) RACI (мисал)

14) Тобокелдиктер жана жеңилдетүү

15) Жол картасы 90-180 күн (мисал)

Ай 1-2: gap-талдоо, дайындоо Key Persons, SDLC/байкоо/коопсуздук, лабораторияларды брондоо.
2-3 ай: корпоративдик топтомун чогултуу/саясат, пентест/сканерлер, DR актылары, PSP/KYC/мазмун менен келишимдер, RGIAJ менен интеграция.
3-4-ай: арыз берүү, Q & A/маек даярдоо, dry-run демонстрациялары (дашборддор, журналдар, RG/AML/жарнама сценарийлери).
Ай 4-6: Q & A/өзгөрүүлөр, акыркы тактоо, on-boarding төлөмдөр/мазмун, отчет киргизүү.

Кыскача корутунду

Испаниялык DGOJ лицензиясы - катуу, бирок алдын ала айтууга боло турган режим, Responsible Gaming (RGIAJ), жарнама/бонустардын тартиби, жетилген KYC/AML жана далилденүүчү IT көзөмөлү. Эгер "evidence-биринчи" маданиятка даяр болсо (SDLC/байкоо/коопсуздук/DR, RG-телеметрия, ачык-айкын отчеттуулук) жана жергиликтүү маркетинг эрежелерин урматтоо, Испания жогорку ишеним төлөм экосистемасына мүмкүнчүлүк берет жана ЕБ бренддин капиталдаштырууну бекемдейт.