Проверка возраста и возрастные фильтры

1) Цель и область

Исключить доступ несовершеннолетних к продуктам, коммуникациям и промо, обеспечить соответствие требованиям лицензий и законов рекламы/защиты потребителей. Охват: регистрация/логин, кошелек/платежи, CRM/маркетинг, аффилиаты, партнеры игр, саппорт (CS), Risk/KYC, Legal/DPO, отчетность.

2) Принципы

Zero Access для несовершеннолетних. Никакой игры, депозитов, бонусов и маркетинга.
Verify-before-Use. Полный доступ только после успешной проверки возраста/личности.
Наименьшие данные. Собираем только необходимое, используем надежные источники.
Нейтральные коммуникации. Без стигматизации, без раскрытия алгоритмов антифрода.
Доказуемость. Артефакты и журналы пригодны для аудита и инспекций.

3) Роли и RACI

KYC Lead / Head of Compliance — политика, вендоры, исключения. (A)

Risk/KYC Analysts — верификация, эскалации, решения и ретенция. (R)

CS/Trust & Safety — коммуникации с игроками, обработка апелляций. (R)

Marketing/CRМ/Affiliates — возрастные фильтры и исключения из кампаний. (R)

Product/UX/Engineering — потоки регистрации, блокирующие контуры, API к вендорам. (R)

Legal/DPO — локальные нормы, приватность/PII, DPIA. (C)

Internal Audit — независимые проверки и CAPA. (C)

Exec Sponsor (COO/CEO) — ресурсы, «tone from the top». (I/A)

4) Методы проверки возраста (ступенчато)

• Матч ФИО+ДР+адрес по гос/кредитным/телко-реестрам (where allowed).
• Банковская верификация (open-banking/карта с KYC-банка → возраст ≥ порога).
• Моб. оператор (KYC-SIM, дата рождения в профиле).

• Паспорт/ID/вод. удостоверение/загран + OCR/фейс-матч, проверка живости (liveness).
• Верификация MRZ/баркодов, база утерянных/украденных документов.
• Сопоставление селфи с фото документа.

• Нотариальные/гос-подтверждения, справки из госреестров (если разрешено).
• Альтернативы для бездок-клиентов (банковские письма, ID-карта резидента и пр.) — только при доп. рисках и разрешениях.

Решение: доступ «полный/ограниченный/отказ» + причина и срок пересмотра.

5) Возрастные пороги и региональные профили

Игровой доступ: 18+, либо 21+ (отдельные рынки/вертикали).
Маркетинг: сегментация с гарантированным 18+/21+ таргетингом.
Аффилиаты: должностная ответственность за фильтры и доказательства.
Профили рынков ведутся в каталоге «Age Profiles»: пороги, допустимые источники, SLA и отчетные форматы.

6) UX-потоки и копирайт

• «Мы обязаны подтвердить ваш возраст для безопасного доступа. Это займет пару минут.»
• Пояснение, какие данные требуются и зачем; ссылка на политику приватности.

• «Возраст подтвержден. Полный доступ активирован.»

• «Система не смогла автоматично подтвердить возраст. Загрузите документ (ID/паспорт/права). Ненужные поля можно скрыть/замазать согласно инструкции.»

• «Мы не можем предоставить доступ: возраст ниже установленного законом порога. Аккаунт будет закрыт, данные — удалены по политике.»

• «Если вы считаете, что произошла ошибка, подайте апелляцию с документами по ссылке. Мы ответим в течение X дней.»

7) Возрастные фильтры в маркетинге/аффилиатах

CRM: глобальные suppression-флаги 18-/21-, «unknown age» = исключить из всех промо.
Платная реклама: обязательные возрастные таргеты/интересы 18+/21+; аудит площадок; запрет look-alike на «молодежные» сегменты.
Креативы: без подростковой стилистики/языка/образов; дисклеймеры «18+/21+».
Аффилиаты: договорные обязательства: возрастные фильтры, запрет молодежных площадок, передача хитов маркетинга для выборочных ревью; право аудита и clawback.

8) Данные, приватность и ретенция

9) Пограничные и особые кейсы

17 лет 11 месяцев: автоматический отказ и мягкая коммуникация; блокировка повторной регистрации до даты 18/21+.
Возраст «неопределен»: запрет доступа, повторный запрос источников/доков.
Разные даты в доках/реестрах: эскалация на ручной обзор.
Подозрение на подмену/чужой документ: отказ + внутренний фрод-флаг, при необходимости уведомление регулятора.
«Семейная» карта/телефон: не принимается как доказательство возраста.

10) Контрольные процедуры

Pre-use gate: блок игр/депозитов до верификации возраста.
Dual-control: ручные одобрения на спорных кейсах (два аналитика).
Document Forensics: ливнес-тесты, анти-скрин, EXIF-анализ, проверка шрифтов/полей.
Spend-gate: при смене статуса «unknown age» → «pass» обновлять CRM/PSP/агрегаторы.
Monitoring: алерты на повторные регистрации/совпадения устройств/адресов.
Vendor QA: регулярные тесты вендоров (precision/recall, SLA).

11) KPI/KRI и дашборд

Age Pass Rate (авто / доки / ручной).
Time-to-Verify (медиана/95-й перцентиль).
False Accept/Reject (по выборкам).
Unknown-to-Pass Time (рег → полный доступ).
Promo Suppression Integrity (% несовершеннолетних/unknown в промо = 0).
Auditability (% кейсов с полным пакетом артефактов).
Vendor SLA (доля ответов ≤ X сек/мин).

12) Чек-листы

Перед запуском

• Порог возраста по рынкам, источники и SLA согласованы с Legal/DPO.
• Потоки регистрации/логина блокируют доступ до PASS.
• CRM/Ads/Affiliates подключены к suppression-флагам.
• Вендор(ы) настроены, тест-кейсы (позитив/негатив/edge) пройдены.
• Политика ретенции и инструкция по маскированию доков опубликованы.

В операциях

• Ежедневная проверка Unknown→Pass, гашение подвисших кейсов.
• Выборочные ревью ручных решений (≥ 10%/квартал).
• Разбор жалоб и апелляций SLA ≤ X дней.
• Синхронизация статусов с провайдерами игр/PSP.

Аудит/улучшение

• Квартальные A/B-тесты копирайта и шагов регистрации (без компромисса безопасности).
• Сверка журналов с отчетами регуляторам.
• CAPA по повторам инцидентов/замечаний.

13) Скрипты и шаблоны

D) Ответ на вопрос «почему нельзя играть сразу?»

14) Технический скелет

• `age_check_started`, `age_check_auto_pass/fail`, `docs_requested`, `docs_received`, `manual_review_pass/fail`, `age_pass_synced_to_crm/psp/games`, `marketing_suppressed`.

• `POST /kyc/age-check`, `POST /kyc/docs`, `GET /kyc/status`, `POST /kyc/decision`, `POST /crm/suppress-age`, `POST /affiliates/age-policy-ack`.

• Шифрование at-rest; EXIF-стриппинг; контрольные суммы артефактов; WORM-журналы.

• `age.gate.required`, `age.docs.level2`, `ads.suppress.unknown`, `affiliates.enforce_age_filters`.

15) Частые ошибки и профилактика

Доступ до подтверждения. → Жесткий pre-use gate.
«Unknown age» попадает в промо. → По умолчанию suppress.
Слабые проверки документов. → Liveness, фейс-матч, форензика.
Избыточный сбор данных. → Минимизировать поля, маскировать ненужное.
Долгая ручная проверка. → SLA, очереди, автоприоритеты, воркфлоу-бот.
Несогласованные аффилиаты. → Договорные клаузы, пост-бек-контроль, право аудита.

16) Региональные карточки (шаблон)

Рынок: ______
Возрастной порог: 18+ / 21+
Допустимые источники: госреестр / банк / телко / документы
SLA: ack ≤ __ ч, решение ≤ __ дн
Отчетность: формат/частота
Особые требования: хранение локально, запрет биометрии и т.п.

17) 30-дневный план внедрения

Неделя 1

1. Утвердить пороги и источники по рынкам; DPIA.
2. Специфицировать потоки регистрации/блокировок и модель данных/журналов.
3. Выбрать/законтрактовать вендора(ов) (реестры/доки/телко/банк).

Неделя 2

4) Реализовать pre-use gate и интеграции API; настроить CRM/Ads suppression.
5) Подготовить копирайт/локали, инструкцию по маскированию.
6) Обучить CS/KYC; выпустить скрипты/FAQ.

Неделя 3

7) Пилот (5–10%): метрики Pass Rate/TTVerify/False Reject.
8) Тюнинг порогов/таймаутов/UX.
9) Проверка аффилиатов и рекламных кабинетов на фильтры.

Неделя 4

10) Полный релиз; дашборд KPI; ежедневный мониторинг инцидентов.
11) Отчет руководству; CAPA по замечаниям.
12) План v1.1: доп. источники (open-banking/телко), auto-prioritization ручных кейсов.

• KYC-процедуры и уровни проверки
• AML-политика и контроль транзакций
• Осведомленность персонала о комплаенсе / Кодекс этики
• Ответственная игра и лимиты
• Самоисключение и блокировки аккаунтов
• Reality Checks и игровые напоминания
• Регуляторные отчеты и форматы данных
• Внутренний и внешний аудит / Аудиторские чек-листы