Юр. төлем әдістерін шектеу

TL; DR

Құқықтық шеңберлер юрисдикцияға, мерчанттың (MoR/агент) рөліне, әдіске (cards/A2A/RTP/wallet/voucher/crypto) және ойыншы мен сіздің заңды тұлғаның қайда орналасқанына байланысты. Базалық тәсіл: рұқсаттар матрицасын (country × method × use-case), кассада және қорытындыларда мәжбүрлі бақылауды, орталықтандырылған санкциялық скринингті және қайтару/қаражат көзі саясатын сақтаймыз. Кез келген «сұр» айналымдар (кросс-бордер рұқсатсыз, прокси-провайдерлер) тәуекелдерді тудырады: провайдерлер блоктары, айыппұлдар, лицензияны қайтарып алу, frozen funds.

1) Шектеулердің таксономиясы

1. Лицензиялық: нақты әдіс бойынша қабылдау/төлеу үшін жергілікті MoR/ойын лицензиясы қажет пе.
2. Ерекше әдістер: желілер/схемалар ережелері (карталар, RTP, e-wallet, ваучерлер, крипто).
3. Ойыншы бойынша реттегіштер: жасы, резиденттігі, GEO тыйым салынған, өзін-өзі жабуы/эксклюжн-парақтары.
4. Санкциялық/AML: РЕР/санкциялар, SoF/SoW, лимиттер және репортинг триггерлері.
5. Тұтынушыны қорғау: қайтару, chargeback/диспут тәртібі, cooling-off, авто жазылу.
6. Жекелік/деректер: күні-резиденттік, ПД экспорты, сақтау мерзімі.
7. Салықтар/валюта: ҚҚС/VAT/GST, валюталық бақылау, FX/репатриация бойынша шектеулер.
8. Терминдер мен жарнама: оферта, жауапты ойын, әдістер бойынша маркетингтік тыйым салулар.

2) Карталар (Visa/Mastercard/жергілікті схемалар)

MoR және MCC: ойын қызметі жиі жергілікті MoR және рұқсат етілген MCC талап етеді, әйтпесе acquiring бас тартуы мүмкін.
CCA/3DS: EEA/UK үшін - міндетті SCA-талаптар (PSD2). Тәуекелі жоғары сегменттер үшін жүйелі түрде challenge-ді айналып өтуге болмайды.
Chargeback/диспуттар: дәлелдемелерді сақтау міндеті; материалдарды ұсыну бойынша нақты SLA.
Гео және жасы: тыйым салынған елдер/аумақтар бойынша блок; кейбір елдерде iGaming үшін карталар шектеулі немесе қосымша рұқсаттарды талап етеді.
Рекуррентті есептен шығару: айқын opt-in, түсінікті дескриптор, ескертулер; «тыныш» ұзарту - реттеушілік айыппұл тәуекелі.
Жауапты төлемдер: карталар бойынша қатаң түрде «көздерге» (refund-to-source) қайтару, «бөтен картаға шығаруға» тыйым салу.

• Гео-чекаут ≠ GEO-IP (тек қана) - АКҚ/мекенжай талап етіледі.
• Тыйым салынған BIN/эмитенттердің карталарының авто-блогы; анық descriptor preview.
• 3DS-лесенка: low-risk → frictionless, high-risk → challenge.

3) A2A/Open Banking/жергілікті pull/push-схемалар

Жергілікті рұқсаттар: көптеген A2A-әдістер жергілікті мерчантты/шотты және кросс-бордерді қабылдауға тыйым салуды талап етеді.
Consent & SCA: ойыншының айқын келісімі/бастамашылығы, соманың/алушының өзгермеуі.
Қайтарымдар: схема бойынша ерекшеленеді; кейде симметриялық «refund» жоқ, кері төлем қажет (тиісті офертамен).
Chargeback-баламасы: жекелеген схемаларда - банк арқылы қате/алаяқтық бойынша қайтару; мерзімдері мен негіздері белгіленген.
Marketing/UX: егер схема instant кепілдік бермесе, ойыншыны «сәттілікпен» жаңылыстыруға тыйым салу.

• Заңды тұлға мен банктің әдіс үшін рұқсат етілген елде екенін тексеру.
• Офертадағы қаражатты қайтарудың жеке саясаты (reverse payment).
• Сомалар мен жиіліктердің лимиттері, аномальды көлемдерге SoF-бақылау.

4) RTP/Instant (SCT Inst, Faster Payments, RTP US и др.)

Use-case: көбінесе төлемдерге (payouts) жол беріледі, «кассаға» қабылдау шектелген.
KYC/SoF: ірі немесе жиі төлемдер кезінде қаражат көзін күшейтілген тексеру.
Cut-off және терезе шектеулері: қабылдау мерзімі туралы адастыруға болмайды.
Recall/returns: қате деректемелер/муле бойынша талдау процесі міндетті.

• Төлемдер - тек ойыншының атына верификацияланған шоттарға (name match).
• Prefund және әмияндарға/мерчанттың шоттарына лимиттер; жіберуді/кредитті растау журналы.

5) Әмияндар/супер-қосымшалар (e-wallets)

Мерчантты және MoR жергілікті тіркеу жиі міндетті; gambling үшін жеке санаттар.
Лимиттер: күндізгі/айлық, пайдаланушының KYC деңгейлері; P2P-тексеріп шығуға тыйым салу.
Chargeback-механика: әмиянның ішкі диспут жүйесі; коммуникация арнасы міндетті.
Жарнама/бонустар: кейбір әмияндар әмиян жарнамасында депозиттерді бонустармен ынталандыруға тыйым салады.

• matching owner (ойыншының KYC әмияны).
• Офертада - есептен шығару/қайтару мерзімдері, әмиян комиссиясы (егер ойыншыға аударылса).

6) Ваучерлер/қолма-қол ақша → сан

Ритейл-шектеулер: номиналдар лимиттері, жасы, кросс-бордерге тыйым салу redeem.
AML/Velocity: синдикаттардың/қашырлардың жоғары тәуекелі; ваучер арқылы тікелей «қорытындыларға» жиі тыйым салу.
Refund: әдетте ваучерге симметриялық қайтару жоқ; өтемақы саясаты талап етіледі.

• Ваучерді redeem, cooldown және turnover-шығару шарттары кезінде құрылғыға/аккаунтқа байланыстыру.
• Айқаспалы геоларға тыйым салу (сатып алынған елде А, redeem В - егер тыйым салынса).

7) Крипто on/off-ramp

Лицензиялар: бірқатар елдерде крипто-кастоди/биржалар арқылы қабылдау/төлеу үшін тіркеу/хабарлама талап етіледі.
AML/санкциялар: мекенжайлардың/биржалардың санкциялық скринингі, он-чейнді талдау (risk score), SoF/SoW.
Volatility/FX: бағамды бекіту, офертада ашу, «табыстылыққа уәде беруге» тыйым салу.
Қорытынды: Payout - тек ойыншыға тексерілген мекенжайларға; миксерлерге/TOR тыйым салу.

• Биржалардың/кастодиандардың лимиттері мен ақ тізімдері, KYC-байланыстырмай self-custody-ге тыйым салу.
• Disclosure: бағамды белгілеу сәті, желі комиссиялары, блоктау тәуекелдері.

8) Санкциялар, AML/KYC/KYB, SoF/SoW

Депозиттер мен қорытындыларға орталықтандырылған санкциялық және PEP-скрининг міндетті.
KYC деңгейлері: әдістер бойынша лимиттер верификация деңгейіне байланысты.
SoF/SoW: high-risk үшін шектер мен тексерулер: ірі депозиттер, жиі қорытындылар, RTP/crypto.
Транзакциялар мониторингі: velocity сценарийлері, гео-аномалиялар, аккаунттар тізбегі.

• Тізімдерге/аномальды паттерндерге түскен кездегі MLRO эскалациясы.
• Скрининг дәлелдемелерін және аудит үшін шешімдерді сақтау.

9) Резиденттік-күні және жекешелігі

ПД/қаржылық деректерді сақтау нақты елде/өңірде талап етілуі мүмкін.
Деректер экспорты - SCC/ұқсас тетіктер; DPIA high-risk өңдеулері үшін.
PCI DSS: PAN-safe, токенизация, сезімтал деректерді логикалауға тыйым салу.
Сақтау мерзімі: КЕК/транзакциялар/пікірталастар үшін бөлек.

• Data map: ПД қайда жатыр және кімнің рұқсаты бар; есептер/логтарда бүркемелеу.
• Регламенттік мерзімдерде DSAR және breach-нотификация рәсімдері.

10) Салықтар, валюталық бақылау, репатриация

VAT/GST ойыншының қызметіне (егер қолданылса), тұтыну орны бойынша тіркеу.
LocalCo-сыз белсенді жергілікті қызмет кезінде корпоративтік салықтар және Permanent Establishment тәуекелі.
Репатриация: қаражатты елден шығаруға шектеулер, FX хабарламалар/лицензиялар.
HQ мен LocalCo арасындағы роялти/қызметке ұстап қалу (withholding) - DTT-ны тексеру.

11) Шақтамалар матрицасы (құрылым мысалы)

country, method_group (card/a2a/rtp/wallet/voucher/crypto),
merchant_role (MoR/agent/xb),
allowed (Y/N/Restricted),
local_entity_required (Y/N),
local_account_required (Y/N),
user_age_min,
user_residency_required (Y/N),
SCA_required (Y/N/partial),
refund_rules (to_source/credit_note/manual_return),
chargeback_model (card-like/local/arbitration/none),
sanctions_lists (local+global),
data_residency (Y/N/special),
notes (citations to internal policy)

Бұл матрица - касса/қорытынды оркестрі үшін және комплаенс үшін ақиқат көзі.

12) Өнімдегі бақылау саясаты

Кассадағы Gate: 'country × method' матрица бойынша тексеру; егер Restricted болса - баламаларды көрсетеміз.
Әдепкі refund-to-source (карталар/көптеген әмияндар үшін).
Шықпалардағы Name match (RTP/SEPA/ACH/crypto).
Age/Geo: кәмелетке толмағандарды/тыйым салынған GEO (KYC> IP) қатаң бұғаттау.
Descriptor preview және жазылым саясаты (ескертулер/cancel-flow).
FX/instant-уәделер/желілік комиссиялар бойынша Disclosure.

13) Провайдердің/банктің онбордингі: чек-парақ

• KYB пакеті: жарғы/UBO/мекен-жайы/субстанция, AML/KYC/санкциялар саясаты.
• Use-case letter: ойын қызметінің сипаттамасы, МСС/әдістер, гео.
• Нысаналы нарықтар бойынша лицензиялар/хабарламалар.
• Data & Security: PCI/SOC/ISO, data-map, DPA.
• Refund/Chargeback процедуралары және байланыс матрицасы.
• SLA: SCA/Webhook/Settlement/Reports, кредиттер.
• Testing/UAT: теріс сценарийлер, idempotency, polling-backup.

14) Операциялық плейбуктер

Реттегіштің сұрауы: тәуекел әдістеріне freeze, рұқсат матрицасын түсіру, скрининг логтары, оферта/UX-скриншоттар.
Санкциялық hit: блок, MLRO эскалациясы, есеп, дәлелдемелерді сақтау.
Disallowed method use: auto-refand/бас тарту, балама хат, тізілімге инцидент.
Data residency breach: көзді оқшаулау, хабарламалар, сақтау орны көшуі.

15) Төлем контурындағы комплаенс KPI

Кассадағы Share of compliant methods (елдер бойынша).
Blocked attempts (policy )/айналым - келісілген дәлізден жоғары емес (UX/локализацияға сигнал).
Refund-to-source% (міндетті жерде 100% нысаналы ~).
Disallowed payout attempts (name mismatch/geo) - 0-ге ұмтылады.
Sanctions false positives - рұқсат етілген дәлізде; time-to-clear.
Regulatory incidents/quarter және айыппұлдар = 0.

16) Деректер және тексеру моделі (ең аз)

tx_id, user_id, user_country, kyc_level, method_group, provider,
is_mor_local, is_local_account, allowed_flag,
sca_applied, refund_policy, chargeback_model,
sanctions_check_id, sanctions_result, pep_flag,
payout_name_match, data_residency_zone, storage_location,
created_ts, action (attempt/blocked/approved/refunded/paid_out)

SQL: бұғаттау және бұзушылықтар мониторы

sql
SELECT
DATE_TRUNC('day', created_ts) d, user_country, method_group,
COUNT() FILTER (WHERE action='attempt' AND allowed_flag=false) AS blocked_attempts,
COUNT() FILTER (WHERE action='approved' AND payout_name_match=false) AS name_mismatch_approved -- должно быть 0
FROM compliance_payments_audit
GROUP BY 1,2,3
ORDER BY d DESC;

17) Governance және саясатты жаңарту

Бірыңғай иесі: Head of Compliance (Payments-пен бірге).
Матрицаның нұсқасы: әрбiр түзету - тикет, негiздеме, кiру күнi.
Change-notice: контрагенттерге/өнімге жаңартулар, UX көші-қоны.
Quarterly review: елдердің/әдістердің іріктемелі аудиттері, инциденттердің дрилі.

18) Жиі қателер

Қажет болғанда әдісті жергілікті MoR/шотсыз ашу.
Әдіс заңды түрде T + N немесе терезелері бар жерде «instant» уәде ету.
refund-to-source дегенді елемеу және қайтару «кросс-әдісін» жасау.
Тыйым салынған GEO-дан прокси/әмиян арқылы депозиттер қабылдау.
ПД-ны рұқсат етілген аймақтан тыс сақтау, PAN/email-ге бүркемелеусіз логин жасау.
Ірі төлемдер үшін name match және SoF/SoW «каскадтар» саясаты жоқ.

Түйіндеме

Төлем әдістерінің заңдық шектеулері - бұл опция емес, ойын ережелері. Рұқсат матрицасын жасаңыз, оны касса/шығарылым оркестріне тігіңіз, санкциялық/AML-контурды, refund-to-source, SCA/жасы/гео-бақылау және data-governance қамтамасыз етіңіз. Сонда әдістер қоржыны заңды түрде кеңейеді, монетизация өлшемдері өседі, ал бұғаттау, айыппұлдар мен frozen funds тәуекелі барынша аз болып қалады.