Лицензия Румынии

1) Обзор и позиционирование

ONJN — Oficiul Național pentru Jocuri de Noroc — национальный регулятор азартных игр Румынии. Режим считается строгим и практичным: высокая планка Responsible Gaming, четкие правила рекламы/бонусов, зрелые требования к AML/KYC, техническим контролям и отчетности. Лицензия ценится банками/PSP и крупными контент-вендорами, подходит для долгосрочного присутствия в ЕС и мультибренд-стратегий.

• B2C-операторам, ориентированным на устойчивый рост и предсказуемые регуляторные практики.
• B2B-платформам/агрегаторам/студиям, работающим с европейскими портфелями и требующим признанного статуса.

2) Типы лицензий и периметр

B2C (операторская лицензия): казино/слоты, ставки, покер, бинго и др. Периметр: касса/выплаты, KYC/AML, RG, реклама/аффилиаты, поддержка, регуляторная и фискальная отчетность.
B2B (класс II — поставщики): платформа, контент/агрегация, хостинг, live-студии, PSP-шлюзы, KYC/AML-провайдеры; требования к совместимости, сертификации и экспорту телеметрии.
Ключевые роли: MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments).

3) Responsible Gaming (ядро режима)

Самоисключение (национальный реестр): оператор обязан онлайн-проверять статус каждого игрока; доступ блокируется при активной записи.
Инструменты игрока: лимиты депозитов/потерь/времени, тайм-ауты, cooling-off, reality-checks, история активности.
Поведенческая аналитика: ранние признаки проблемной игры, матрица мягких/жестких интервенций, журнал контактов и исходов, эскалации в RG-команду.
Коммуникация: запрет манипулятивных формулировок, защита несовершеннолетних и уязвимых групп, прозрачные T&C.

4) AML/KYC и санкции

KYC: подтверждение личности/возраста по национальному документу/паспорту; верификация адреса/резиденции допустимыми источниками; триггерный и периодический re-KYC.
Risk-based AML/CTF: профили клиентов/методов/гео, PEP/санкционные списки, EDD-триггеры, STR/SAR-процедуры, журнал решений и аудиторский след.
Транзакционный мониторинг: velocity/аномалии, источники средств при подозрениях, case-менеджмент и ретро-проверки.
Crypto/он-чейн (если применимо): политика кошельков, провайдеры аналитики, лимиты, ручные проверки, трассируемость.

5) Реклама, аффилиаты и коммуникации

Возрастные барьеры/площадки: строгие требования к таргетингу и форматам; запрет вводящих в заблуждение обещаний и «легких выигрышей».
Бонусная политика: ограничена и регулируется; T&C — ясные, без скрытых ограничений; запрещен агрессивный ретаргет.
Аффилиаты: договорная ответственность за RG/AML/данные; white-list каналов, аудит креативов, стоп-процедуры, трассируемость трафика.
Инфлюенсеры/стримы: маркировка, контроль аудитории/контента, документирование размещений.

6) Данные и приватность (GDPR/DPA)

Законность и минимизация: DPIA для высокорисковых процессов; ограничение хранения PII/PAN; разграничение доступов и журналирование.
Права субъекта: доступ/исправление/удаление/переносимость с соблюдением сроков; шаблоны ответов и процесс эскалаций.
Инциденты/брич: планы уведомления регулятора/субъектов, журнал расследований, меры ремедиации.
Трансграничные потоки: DPA с процессорами, контролируемые передачи и резидентность критичных датасетов.

7) Техтребования: SDLC/наблюдаемость/безопасность/DR

SDLC и релизы: staging-пайплайны, контроль изменений, подписи артефактов и SBOM, политика отката, «no humans in prod», доказуемый журнал релизов.
Observability: структурированные логи (без PAN/лишних PII), метрики и трассировки (OTel), SLO/SLI (latency p95/p99, error-rate), синтетические проверки «депозит/KYC/вывод», управляемый ретеншн.
Security: сегментация, mTLS, WAF/бот-менеджмент, SSO/MFA/PAM, SAST/SCA/DAST в CI/CD, регулярный пентест и отсутствие просроченных critical/high.
DR/BCP: регулярные restore-тесты, подтвержденные RTO/RPO, акты учений; сценарии graceful-degradation.
Anti-abuse: защита от бонус-абьюза и фрода, device-signals, velocity-правила, поведенческий скоринг.

8) Платежи и «путь в кошелек»

Методы: банковские карты (3-D Secure), A2A/открытый банкинг (PSD2), локальные instant-решения и банковские переводы; прием и вывод на банковские реквизиты.
Интеграции: идемпотентность, HMAC-подписи webhooks, DLQ/реплей событий, мониторинг Time-to-Wallet, авторизаций и долей успеха, детальная отчетность по возвратам/chargeback.
Санкции/PEP и velocity: контроль входящих/исходящих потоков, лимиты и ручные проверки по триггерам.

9) Отчетность, налоги и продление (high-level)

Регуляторная отчетность: финансы и GGR по вертикалям, RG-метрики, жалобы/инциденты, изменения структуры/Key Persons, рекламные нарушения и меры.
Фискальная часть: расчеты на базе игрового дохода с учетом корректировок (бонусы/джекпоты); сверки с журналами игр/выплат и данными PSP/банков.
Продление/аудит: периодические проверки политик, техконтролей, RG/AML и рекламы; «evidence-first» пакеты (релизы/SBOM, уязвимости, DR-акты, RG-телеметрия).

10) Процесс лицензирования: фазы и ориентиры сроков

1. Pre-fit & Gap (1–8 недель): вертикали/каналы, карта провайдеров (контент/PSP/KYC), аудит ИТ-готовности, план ремедиаций.
2. Пакет документов (4–12 недель): корпоративные/финансы/SoF/SoW, Key Persons, политики AML/RG/реклама/данные/инциденты/DR, договоры, архитектура ИТ.
3. Техконтроли (4–16 недель): SDLC/наблюдаемость/безопасность/DR, уязвимости/пентест, акты restore-тестов, интеграционные/лабораторные требования (где применимо).
4. Рассмотрение и Q&A: вопросы по бенефициарам/политикам/ИТ/данным/рекламе; интервью Key Persons; демонстрации журналов/дашбордов и RG-процессов.
5. Выдача/ввод (2–6 недель): включение отчетности, on-boarding PSP/контента, dry-run сценариев RG/AML/платежей.
6. Пост-обязанности: периодические отчеты/аудиты, продление, вариации (бенефициары/вертикали/локации).

Критический путь: Key Persons → «живые» политики → SDLC/наблюдаемость/DR (evidence) → Q&A/демо.

11) Плюсы и минусы ONJN

Плюсы

Высокая доверенность у банков/PSP/медиа; прочная репутация в ЕС.
Четкие стандарты RG/рекламы и зрелые практики AML/KYC.
Плюс к капитализации бренда и B2B-возможностям.

Минусы

Высокий OPEX комплаенса и строгая доказуемость процессов.
Жесткий контроль рекламных активностей и аффилиатов.
Низкая толерантность к «серым зонам» и «бумажным» политикам.

12) Чек-листы готовности

12.1 Definition of Ready (до подачи)

• Периметр (вертикали/каналы/методы оплаты) определен; платежная реальность подтверждена (PSP/банки/локальные рельсы).
• Назначены MLRO/AMLO, DPO, RG-Lead, Heads (Compliance/Platform/SRE/Security/Payments); собраны SoF/SoW и справки.
• Политики AML/RG/реклама/данные/инциденты/DR утверждены; тренинги и журнал ревизий есть.
• SDLC: подписи артефактов + SBOM, журнал релизов, «no humans in prod», политика отката.
• Observability: SLO/SLI-дашборды, синтетические проверки «депозит/KYC/вывод», ретеншн логов.
• Security: пентест/сканы закрыты; нет просроченных critical/high исключений.
• Договоры с контентом/PSP/KYC/лабораториями/хостингом; SLA/OLA согласованы.
• Реклама/аффилиаты: white-list каналов, аудит креативов, стоп-процедуры.
• Интеграция с национальным контуром самоисключения — дизайн и артефакты готовы.

12.2 Definition of Done (после выдачи)

• Регуляторная/фискальная отчетность включена; KPI-владельцы назначены.
• PSP/контент онбордены; webhooks подписаны (HMAC), идемпотентность и DLQ работают.
• RG-инструменты активны; телеметрия интервенций и журнал решений ведутся; проверки самоисключения — в «онлайн-потоке».
• DR/BCP: проведены restore-тесты и оформлены акты; RTO/RPO достигнуты.
• Реклама/аффилиаты: белые списки, аудит креативов, журнал нарушений и мер.

13) RACI (пример)

14) Риски и смягчение

15) Дорожная карта 90–180 дней (пример)

Месяц 1–2: gap-анализ, назначение Key Persons, ремедиации SDLC/наблюдаемости/безопасности, бронь лабораторий.
Месяц 2–3: сбор корпоративного пакета/политик, пентест/сканы, акты DR, договоры с PSP/KYC/контентом, проект интеграции с реестром самоисключения.
Месяц 3–4: подача, подготовка к Q&A/интервью, dry-run демонстраций (дашборды, журналы, RG/AML/реклама-сценарии).
Месяц 4–6: Q&A/вариации, финальные доработки, on-boarding платежей/контента, включение отчетности.

Краткий вывод

Румынская лицензия ONJN — строгий, но предсказуемый режим с акцентом на Responsible Gaming, дисциплину рекламы/бонусов, зрелый AML/KYC и доказуемые ИТ-контроли. Постройте «evidence-first» культуру (SDLC/наблюдаемость/безопасность/DR, RG-телеметрия, прозрачная отчетность), держите аффилиатов под контролем и заранее планируйте интеграции и тесты. Такой подход открывает доступ к платежной экосистеме высокого доверия и укрепляет капитализацию бренда в ЕС.