Licenţa României

1) Prezentare generală și poziționare

ONJN - Oficiul Național pentru Jocuri de Noroc este autoritatea națională de reglementare a jocurilor de noroc din România. Modul este considerat strict și practic: bara înaltă de joc responsabil, reguli clare de publicitate/bonus, cerințe mature pentru AML/KYC, controale tehnice și raportare. Licența este evaluată de bănci/PSP și de mari furnizori de conținut, potrivite pentru prezența pe termen lung în UE și strategii multi-brand.

• Operatorii B2C s-au concentrat asupra creșterii durabile și practicilor de reglementare previzibile.
• Platforme/agregatoare/studiouri B2B care lucrează cu portofolii europene și necesită un statut recunoscut.

2) Tipuri de licențe și perimetru

B2C (licență operator): cazinou/sloturi, pariuri, poker, bingo, etc. Perimetru: casier/plată, KYC/AML, RG, publicitate/afiliați, suport, raportare de reglementare și fiscală.
B2B (clasa II - furnizori): platformă, conținut/agregare, găzduire, studiouri live, gateway-uri PSP, furnizori KYC/AML; compatibilitate telemetrie, certificare, și cerințele de export.
Roluri cheie: MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments).

3) Joc responsabil (modul de bază)

Auto-excludere (registru național): operatorul este obligat să verifice statutul fiecărui jucător online; accesul este blocat atunci când înregistrarea este activă.
Instrumente pentru jucători: depozit/pierdere/limite de timp, timeout-uri, răcire, reality-check-uri, istoric de activitate.
Analiza comportamentală: semne timpurii ale jocului problemelor, matrice de intervenții moi/dure, jurnal de contacte și rezultate, escaladarea echipei RG.

Comunicare: interzicerea limbajului manipulator, protejarea minorilor și a grupurilor vulnerabile, T & C. transparent

4) AML/KYC și sancțiuni

KYC: document național/pașaport dovada identității/vârstei; verificarea adresei/reședinței pe surse valabile; declanșator și periodic re-KYC.
AML/CTF bazate pe risc: profiluri client/metodă/geo, liste PEP/sancțiuni, declanșatoare EDD, proceduri STR/SAR, jurnal de decizii și pistă de audit.
Monitorizare tranzactionala: viteza/anomalii, surse de fonduri privind suspiciunea, managementul cazurilor si verificari retro.
Cripto/on-chain (dacă este cazul): politica portofel, furnizori de analiză, limite, verificări manuale, trasabilitate.

5) Publicitate, afiliați și comunicații

Bariere/platforme de vârstă: cerințe stricte pentru direcționare și formate; interzicerea promisiunilor înșelătoare și „câștiguri ușoare”.
Politica de bonus: restricționată și reglementată; T&C - clar, fără restricții ascunse; retargetul agresiv este interzis.
Afiliați: responsabilitate contractuală pentru RG/AML/date; canale de listă albă, audit creativ, proceduri de oprire, trasabilitatea traficului.
Influenceri/fluxuri: etichetare, control audiență/conținut, documentare plasări.

6) Date și confidențialitate (GDPR/DPA)

Legalitate și minimizare: DPIA pentru procese cu risc ridicat; Restricție de stocare PII/PAN; diferențierea accesului și exploatarea forestieră.
Drepturile subiectului: acces/corecție/eliminare/portabilitate în conformitate cu termenele limită; șabloane de răspuns și procesul de escaladare.
Incidente/încălcare: planuri de notificare a autorității de reglementare/entității, jurnal de investigații, măsuri de remediere.
Fluxuri transfrontaliere: APD cu procesoare, transmisii controlate și rezidența seturilor de date critice.

7) Cerințe tehnice: SDLC/observabilitate/siguranță/DR

SDLC și eliberează: conducte de stadializare, controlul schimbării, semnături artefact și SBOM, politica de rollback, "fără oameni în prod', jurnal de lansare dovedabil.
Observabilitate: busteni structurati (fara PAN/PII suplimentar), metrici si urme (OTel), SLO/SLI (latenta p95/p99, rata de eroare), verificari sintetice de depozit/ACC/iesire, retentie controlata.
Securitate: segmentare, mTLS, WAF/bot management, SSO/MFA/PAM, SAST/SCA/DAST în CI/CD, pentest regulat și fără critică/înaltă expirată.
DR/BCP: teste regulate de restaurare confirmate de RTO/RPO, acte de exercițiu; scripturi de degradare grațioasă.
Anti-abuz: protecție împotriva abuzului și fraudei bonus, dispozitiv-semnale, reguli de viteză, notare comportamentală.

8) Plățile și „drumul spre portofel”

Metode: carduri bancare (3-D Secure), A2A/open banking (PSD2), soluţii instant locale şi transferuri bancare; primirea și retragerea la detaliile bancare.
Integrări: idempotence, HMAC semnături webhooks, DLQ/eveniment reluare, monitorizare Time-to-Wallet, autorizații și rate de succes, raportare detaliată pe retururi/chargeback.
Sancțiuni/PEP și viteză: controlul fluxului de intrare/ieșire, limite și verificări manuale ale declanșatorului.

9) Raportarea, impozitele și reînnoirea (la nivel înalt)

Raportare de reglementare: finanțe și RGG pe verticale, valori RG, reclamații/incidente, modificări de structură/persoane cheie, încălcări și măsuri publicitare.
Partea fiscală: calcule bazate pe venitul din joc, luând în considerare ajustările (bonusuri/jackpot-uri); reconcilieri cu jurnalele de joc/plată și datele PSP/bancare.
Reînnoire/audit: verificări periodice ale politicilor, controale tehnice, RG/AML și publicitate; pachete "dovezi-first' (versiuni/SBOM, vulnerabilități, acte DR, telemetrie RG).

10) Procesul de licențiere: faze și termene

1. Pre-fit & Gap (1-8 săptămâni): verticale/canale, harta furnizorului (conținut/PSP/KYC), audit de pregătire IT, plan de remediere.
2. Pachetul de documente (4-12 săptămâni): corporate/finance/SoF/SoW, persoane cheie, politici AML/RG/publicitate/date/incidente/DR, contracte, arhitectură IT.
3. Control tehnic (4-16 săptămâni): SDLC/observabilitate/siguranță/DR, vulnerabilități/teste de penetrare, acte de încercări de restaurare, cerințe de integrare/laborator (după caz).
4. Revizuire și Întrebări și Întrebări: Beneficiar/Politică/IT/Date/Publicitate; Interviu Persoane cheie; demonstrarea jurnalelor/tablourilor de bord și a proceselor RG.
5. Ieșire/intrare (2-6 săptămâni): raportare, PSP/conținut la îmbarcare, rularea în stare uscată a scenariilor de RG/AML/plată.
6. Post-taxe: rapoarte periodice/audituri, reînnoiri, variații (beneficiari/verticale/locații).

Calea critică: Persoane cheie → politicieni vii → SDLC/observability/DR (dovezi) → Q & A/demo.

11) Argumentele pro și contra ale ONJN

Plusuri

Procură mare pentru bănci/PSP/mass-media; o reputație puternică în UE.
Standarde RG/publicitate clare și practici AML/KYC mature.
Plus capitalizarea mărcii și capacitățile B2B.

Contra

OPEX de înaltă conformitate și dovabilitate riguroasă a procesului.
Controlul strict al activităților de publicitate și al afiliaților.
Toleranță scăzută pentru „zonele gri” și „hârtie” politicieni.

12) Lista de verificare a gradului de pregătire

12. 1 Definiția lui Ready

• Perimetru (verticale/canale/metode de plată) definite; realitatea plăților confirmată (PSP/bănci/șine locale).
• Назначены MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments); colectate SoF/SoW și referințe.
• Politicile AML/RG/Publicitate/Date/Incidente/DR aprobate; există traininguri și o revistă de audituri.
• SDLC: semnături artefact + SBOM, istorie de presă, "nici un om în prod', politica de rollback.
• Observabilitate: SLO/SLI-tablouri de bord, verificări sintetice „depozit/CCL/ieșire”, jurnale de retenție.
• Securitate: pentest/scanări închise; nu au expirat excepțiile critice/ridicate.
• Conținut/PSP/KYC/Lab/Contracte de găzduire; SLA/OLA a fost de acord.
• Publicitate/afiliați: canale de listă albă, audit creativ, proceduri de oprire.
• Integrarea cu circuitul național de auto-excludere - proiectarea și artefactele sunt gata.

12. 2 Definiția Done

• Raportarea reglementară/fiscală inclusă; Proprietarii KPI sunt repartizaţi.
• conținut PSP/onboarden; carti web abonate (HMAC), idempotenta si munca DLQ.
• Instrumentele RG sunt active; telemetria de intervenție și un jurnal decizional sunt menținute; verificări de autoexcludere - în „fluxul online”.
• DR/BCP: au fost efectuate teste de restaurare și au fost emise certificate; RTO/RPO realizat.
• Publicitate/afiliate: whitelisting, audit creativ, încălcare și jurnal de acțiune.

13) RACI (exemplu)

14) Riscuri și atenuare

15) Foaie de parcurs pentru 90-180 de zile (exemplu)

Luna 1-2: analiza decalajului, atribuirea persoanelor cheie, SDLC/observabilitate/remediere a siguranței, rezervări de laborator.
Luna 2-3: colectarea de pachete/politici corporative, pentest/scanări, acte DR, contracte cu PSP/KYC/conținut, proiect de integrare cu registru de auto-excludere.
Luna 3-4: depunerea, pregătirea pentru Q & A/interviuri, demonstrații uscate (tablouri de bord, reviste, scripturi RG/AML/publicitare).
Luna 4-6: Q & A/variații, finalizare, plăți/conținut la îmbarcare, includerea raportării.

Rezumat

Licența ONJN din România este un regim strict, dar previzibil, cu accent pe Jocul Responsabil, disciplina publicitate/bonus, AML/KYC matur și controale IT dovedibile. Construiți o primă cultură a dovezilor (SDLC/observabilitate/securitate/DR, telemetrie RG, raportare transparentă), țineți afiliații sub control și planificați integrările și testele în avans. Această abordare deschide accesul la un ecosistem de plată de înaltă încredere și consolidează capitalizarea mărcilor în UE.