Licencja Rumunii

1) Przegląd i pozycjonowanie

ONJN - Oficiul Național pentru Jocuri de Noroc jest krajowym regulatorem hazardu w Rumunii. Tryb jest uważany za rygorystyczny i praktyczny: wysoki poprzeczka Responsible Gaming, jasne zasady reklamy/premii, dojrzałe wymagania dla AML/KYC, kontroli technicznych i raportowania. Licencja jest wyceniana przez banki/dostawców usług płatniczych i dużych dostawców treści, nadających się do długoterminowej obecności w UE i strategiach wielopoziomowych.

• Operatorzy B2C koncentrowali się na zrównoważonym wzroście i przewidywalnych praktykach regulacyjnych.
• Platformy/agregatory/studia B2B współpracujące z portfelami europejskimi i wymagające uznanego statusu.

2) Rodzaje licencji i obwodu

B2C (licencja operatora): kasyno/automaty, zakłady, poker, bingo itp. Obwód: kasjer/wypłata, KYC/AML, RG, reklama/podmioty powiązane, wsparcie, sprawozdawczość regulacyjna i fiskalna.
B2B (klasa II - dostawcy): platforma, zawartość/agregacja, hosting, studia na żywo, bramki PSP, dostawcy KYC/AML; wymagania dotyczące kompatybilności telemetrycznej, certyfikacji i eksportu.
Role kluczowe: MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments).

3) Odpowiedzialna gra (rdzeń trybu)

Self-exclusion (krajowy rejestr): operator jest zobowiązany do sprawdzenia statusu każdego gracza online; dostęp jest zablokowany, gdy nagrywanie jest aktywne.
Narzędzia gracza: depozyt/strata/terminy, timeouts, cooling-off, reality-checks, historia aktywności.
Analityka behawioralna: wczesne oznaki gry problemowej, matryca interwencji miękkich/twardych, dziennik kontaktów i wyników, eskalacja do zespołu RG.
Komunikacja: zakaz używania języka manipulacyjnego, ochrona małoletnich i słabszych grup, przejrzystość T & C.

4) AML/KYC i sankcje

KYC: krajowy dokument/paszport potwierdzający tożsamość/wiek; weryfikacja adresu/miejsca zamieszkania przez ważne źródła; spust i okresowe ponowne KYC.
AML/CTF oparte na ryzyku: profile klienta/metody/geo, listy PEP/sankcji, wyzwalacze EDD, procedury STR/SAR, dziennik decyzji i ścieżka audytu.
Monitorowanie transakcji: prędkość/anomalie, źródła środków na podejrzenia, zarządzanie sprawami i kontrole retro.
Crypto/on-chain (w stosownych przypadkach): polityka portfela, dostawcy analityki, limity, kontrole ręczne, identyfikowalność.

5) Reklama, podmioty powiązane i komunikacja

Bariery/platformy wiekowe: ścisłe wymagania dotyczące ukierunkowania i formatów; zakazanie wprowadzających w błąd obietnic i „łatwych wygranych”.
Polityka premiowa: ograniczona i regulowana; T&C - jasne, bez ukrytych ograniczeń; agresywny retarget jest zabroniony.
Podmioty powiązane: odpowiedzialność umowna za RG/AML/dane; biała lista kanałów, kreatywny audyt, procedury zatrzymania, identyfikowalność ruchu.
Influencery/strumienie: etykietowanie, kontrola odbiorców/treści, dokumentowanie staży.

6) Dane i prywatność (RODO/DPA)

Legalność i minimalizacja: DPIA dla procesów wysokiego ryzyka; ograniczenie przechowywania PII/PAN; różnicowanie dostępu i rejestrowanie.
Prawa podmiotu: dostęp/korekta/usunięcie/przenoszenie zgodnie z terminami; szablony odpowiedzi i proces eskalacji.
Incydenty/naruszenia: plany powiadamiania organu regulacyjnego/podmiotu, dziennik dochodzeń, środki zaradcze.
Przepływy transgraniczne: DPA z procesorami, kontrolowane transmisje i rezydencja krytycznych zbiorów danych.

7) Wymagania techniczne: SDLC/obserwowalność/bezpieczeństwo/DR

SDLC i wydania: rurociągi postojowe, kontrola zmian, artefakt i podpisy SBOM, polityka rollback, "no people in prod', udowodniony dziennik wydania.
Obserwowalność: rejestry strukturalne (bez PAN/extra PII), mierniki i ślady (OTel), SLO/SLI (latency p95/p99, błąd), syntetyczne kontrole depozytów/ACC/wyjściowych, kontrolowane zatrzymywanie.
Bezpieczeństwo: segmentacja, mTLS, WAF/bot management, SSO/MFA/PAM, SAST/SCA/DAST w CI/CD, regularny pentest i brak wygasłego krytycznego/wysokiego.
DR/BCP: regularne testy przywracania potwierdzone przez RTO/RPO, czynności fizyczne; skrypty wdzięku-degradacji.
Przeciwdziałanie nadużyciom: ochrona przed nadużyciami bonusowymi i oszustwami, sygnały urządzenia, zasady prędkości, punktacja behawioralna.

8) Płatności i „droga do portfela”

Metody: karty bankowe (3-D Secure), bankowość A2A/open (PSD2), lokalne rozwiązania błyskawiczne i przelewy bankowe; paragon i wypłata na dane bankowe.
Integracje: idempotencja, podpisy HMAC webhooks, DLQ/event replay, monitorowanie czasu do portfela, autoryzacje i wskaźniki sukcesu, szczegółowe raportowanie o zwrotach/obciążeniu zwrotnym.
Sankcje/PEP i prędkość: przychodząca/wychodząca kontrola przepływu, limity i ręczne kontrole wyzwalania.

9) Sprawozdawczość, podatki i odnowienie (wysoki poziom)

Sprawozdawczość regulacyjna: finanse i GGR według pionów, wskaźniki RG, skargi/incydenty, zmiany struktury/Kluczowe osoby, naruszenia reklamy i środki.
Część fiskalna: obliczenia oparte na dochodach z gier, z uwzględnieniem korekt (premie/jackpoty); uzgodnienia z dziennikami gier/wypłat oraz danymi PSP/bankowymi.
odnowienie/audyt: okresowe kontrole polityk, kontrole techniczne, RG/AML i reklama; pakiety „evidence-first” (wydania/SBOM, luki, akty DR, telemetria RG).

10) Proces licencjonowania: fazy i linie czasowe

1. Pre-fit & Gap (1-8 tygodni): piony/kanały, mapa dostawcy (zawartość/PSP/KYC), audyt gotowości IT, plan rekultywacji.
2. Pakiet dokumentów (4-12 tygodni): corporate/finance/SoF/SoW, Key Persons, AML/RG policies/advertising/data/incidents/DR, contracts, IT architecture.
3. Kontrola techniczna (4-16 tygodni): SDLC/obserwowalność/bezpieczeństwo/DR, podatność/badania penetracyjne, akty badań przywracających, integracja/wymagania laboratoryjne (w stosownych przypadkach).
4. Przegląd i pytania i odpowiedzi: Beneficjent/Polityka/IT/Dane/Pytania reklamowe; Wywiad z kluczowymi osobami; demonstracja kłód/desek rozdzielczych i procesów RG.
5. Wyjście/wejście (2-6 tygodni): raportowanie, PSP/zawartość na pokładzie, suchy przebieg scenariuszy RG/AML/płatności.
6. Obowiązki: sprawozdania okresowe/audyty, wznowienia, zmiany (beneficjenci/pionowcy/lokalizacje).

Ścieżka krytyczna: Kluczowe osoby → żywi politycy → SDLC/obserwability/DR (dowody) → Q & A/demo.

11) Zalety i wady ONJN

Plusy

Wysoka pełnomocnictwo dla banków/PSP/mediów; silna reputacja w UE.
Wyczyść standardy RG/reklamy i dojrzałe praktyki AML/KYC.
Plus kapitalizacja marki i możliwości B2B.

Minusy

Wysoka zgodność OPEX i rygorystyczna wydajność procesu.
Ścisła kontrola działalności reklamowej i podmiotów powiązanych.
Niska tolerancja dla „szarych stref” i „papierowych” polityków.

12) Listy kontrolne gotowości

12. 1 Definicja gotowości

• Obwód (pionowe/kanały/metody płatności) zdefiniowany; potwierdzona rzeczywistość płatności (PSP/banki/lokalne szyny).
• Наднавена MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments); zebrane SoF/SoW i odniesienia.
• Zatwierdzona polityka AML/RG/reklama/dane/incydenty/DR; są szkolenia i dziennik audytów.
• SDLC: podpisy artefaktowe + SBOM, historia wydania, "brak ludzi w prod', polityka rollback.
• Obserwowalność: tablice kontrolne SLO/SLI, kontrole syntetyczne „deposit/CCL/output”, dzienniki retencji.
• Bezpieczeństwo: pentest/skany zamknięte; nie wygasły żadne wyjątki krytyczne/wysokie.
• Treści/PSP/KYC/Lab/Umowy hostingowe; SLA/OLA uzgodnione.
• Reklama/podmioty powiązane: kanały białej listy, kreatywny audyt, procedury stop.
• Integracja z krajowym układem samobójstwa - projekt i artefakty są gotowe.

12. 2 Definicja wykonana

• W tym sprawozdawczość regulacyjna/fiskalna; Właściciele KPI są przypisani.
• Zawartość PSP/onboarden; webhooks subskrybowane (HMAC), idempotencji i pracy DLQ.
• Narzędzia RG są aktywne; utrzymywana jest telemetria interwencyjna i dziennik decyzji; kontrole samodzielnego wykluczenia - w „strumieniu online”.
• DR/BCP: przeprowadzono testy przywracania i wydano certyfikaty; RTO/RPO osiągnięte.
• Reklama/podmioty powiązane: whitelisting, kreatywny audyt, naruszenie i dziennik działania.

13) RACI (przykład)

14) Ryzyko i łagodzenie

15) 90-180 Day Roadmap (przykład)

Miesiąc 1-2: analiza luk, przydział kluczowych osób, SDLC/obserwowalność/naprawa bezpieczeństwa, rezerwacje laboratoryjne.
Miesiąc 2-3: zbiór pakietów/polityk korporacyjnych, pentest/skany, akty DR, umowy z PSP/KYC/treści, projekt integracji z rejestrem samodzielnego wykluczenia.
Miesiąc 3-4: zgłoszenie, przygotowanie do pytań i wywiadów, demonstracje na sucho (deski rozdzielcze, czasopisma, RG/AML/skrypty reklamowe).
Miesiąc 4-6: Q & A/zmiany, finalizacja, płatności/zawartość na pokładzie, włączenie raportu.

Podsumowanie

Rumuńska licencja ONJN jest surowym, ale przewidywalnym reżimem z naciskiem na Responsible Gaming, dyscyplinę reklamową/bonusową, dojrzałe AML/KYC i sprawdzalne kontrole IT. Zbuduj pierwszą kulturę dowodową (SDLC/observability/security/DR, RG telemetria, przejrzyste raportowanie), utrzymuj powiązane podmioty w ryzach oraz planuj integracje i testy z wyprzedzeniem. Podejście to otwiera dostęp do ekosystemu płatniczego o dużym zaufaniu i wzmacnia kapitalizację marki w UE.