Юр. ограничения платежных методов

TL;DR

Правовые рамки зависят от юрисдикции, роли мерчанта (MoR/агент), метода (cards/A2A/RTP/wallet/voucher/crypto) и от того, где расположен игрок и ваше юрлицо. Базовый подход: держим матрицу допусков (country×method×use-case), принудительные контроли в кассе и на выводах, централизованный санкционный скрининг, и политику возвратов/источника средств. Любые «серые» обходы (кросс-бордер без допуска, прокси-провайдеры) создают риски: блоки провайдеров, штрафы, отзыв лицензии, frozen funds.

1) Таксономия ограничений

1. Лицензионные: нужен ли локальный MoR/игорная лицензия для приема/выплат по конкретному методу.
2. Метод-специфичные: правила сетей/схем (карты, RTP, e-wallet, ваучеры, крипто).
3. Регуляторные по игроку: возраст, резидентство, запрещенные GEO, самозапрет/эксклюжн-листы.
4. Санкционные/AML: PEP/санкции, SoF/SoW, лимиты и триггеры репортинга.
5. Защита потребителя: возвраты, chargeback/диспут-порядок, cooling-off, авто-подписки.
6. Приватность/данные: дата-резидентность, экспорт ПД, сроки хранения.
7. Налоги/валюта: НДС/VAT/GST, валютный контроль, ограничения по FX/репатриации.
8. Термины и реклама: оферта, ответственная игра, маркетинговые запреты по методам.

2) Карты (Visa/Mastercard/локальные схемы)

MoR и MCC: игорная деятельность часто требует локального MoR и допустимого MCC, иначе acquiring может отказать.
СCA/3DS: для EEA/UK — обязательные SCA-требования (PSD2). Нельзя системно обходить challenge для высокорисковых сегментов.
Chargeback/диспуты: обязанность хранить доказательства; четкие SLA по представлению материалов.
Гео и возраст: блок по запрещенным странам/территориям; в некоторых странах карты для iGaming ограничены или требуют доп. разрешений.
Рекуррентные списания: явный opt-in, понятный дескриптор, напоминания; «тихие» продления — риск регуляторного штрафа.
Ответственные выплаты: возвраты по картам строго «на источник» (refund-to-source), запрет на «вывод на чужую карту».

• Гео-чекаут ≠ GEO-IP (только) — требуются KYC/адрес.
• Авто-блок карт из запрещенных BIN/эмитентов; четкий descriptor preview.
• 3DS-лесенка: low-risk → frictionless, high-risk → challenge.

3) A2A / Open Banking / локальные pull/push-схемы

Локальные допуски: многие A2A-методы требуют локального мерчанта/счета и запрета кросс-бордер приема.
Consent & SCA: явное согласие/инициация игроком, неизменяемость суммы/получателя.
Возвраты: различаются по схеме; иногда нет симметричного «refund», нужен обратный платеж (с соответствующей офертой).
Chargeback-аналог: в отдельных схемах — возврат по ошибке/мошенничеству через банк; сроки и основания фиксированы.
Marketing/UX: запрет вводить в заблуждение игрока «моментальностью», если схема не гарантирует instant.

• Проверка, что юридическое лицо и банк находятся в разрешенной стране для метода.
• Отдельная политика возврата средств (reverse payment) в оферте.
• Лимиты сумм и частоты, SoF-контроли на аномальные объемы.

4) RTP/Instant (SCT Inst, Faster Payments, RTP US и др.)

Use-case: чаще допускаются выплаты (payouts), прием «в кассу» ограничен.
KYC/SoF: усиленные проверки источника средств при крупных или частых выплатах.
Cut-off и оконные ограничения: нельзя вводить в заблуждение о сроках зачисления.
Recall/returns: обязателен процесс разборов по ошибочным реквизитам/муле.

• Выплаты — только на верифицированные счета на имя игрока (name match).
• Prefund и лимиты на кошельки/счета мерчанта; журнал подтверждений отправки/кредита.

5) Кошельки/супер-приложения (e-wallets)

Локальная регистрация мерчанта и MoR часто обязательны; отдельные категории для gambling.
Лимиты: дневные/месячные, уровни KYC пользователя; запреты на P2P-обходы.
Chargeback-механика: внутренняя диспут-система кошелька; обязателен канал коммуникаций.
Реклама/бонсы: некоторые кошельки запрещают стимулировать депозиты бонусами в рекламе кошелька.

• Проверка matching owner (кошелек ↔ KYC игрока).
• В оферте — сроки списаний/возвратов, комиссии кошелька (если переложены на игрока).

6) Ваучеры/наличные→цифра

Ритейл-ограничения: лимиты номиналов, возраст, запрет на кросс-бордер redeem.
AML/Velocity: высокие риски синдикатов/мулов; часты запреты на прямые «выводы» через ваучер.
Refund: как правило, нет симметричного возврата на ваучер; требуется политика компенсаций.

• Привязка ваучера к устройству/аккаунту при redeem, cooldown и turnover-условия на вывод.
• Запрет перекрестных гео (куплен в стране A, redeem в B — если запрещено).

7) Крипто on/off-ramp

Лицензии: в ряде стран для приема/выплат через крипто-кастоди/биржи требуются регистрации/уведомления.
AML/санкции: санкционный скрининг адресов/бирж, анализ он-чейн (risk score), SoF/SoW.
Volatility/FX: фиксация курса, раскрытия в оферте, запреты на «обещание доходности».
Вывод: Payout — только на адреса, верифицированные за игроком; запрет миксеров/TOR.

• Лимиты и белые списки бирж/кастоди, запрет self-custody без KYC-привязки.
• Disclosure: момент фиксации курса, комиссии сети, риски блокировок.

8) Санкции, AML/KYC/KYB, SoF/SoW

Обязателен централизованный санкционный и PEP-скрининг на депозиты и выводы.
KYC уровни: лимиты по методам завязаны на уровень верификации.
SoF/SoW: пороги и проверки для high-risk: крупные депозиты, частые выводы, RTP/crypto.
Мониторинг транзакций: сценарии velocity, гео-аномалии, цепочки аккаунтов.

• Эскалация на MLRO при попадании в списки/аномальных паттернах.
• Хранение доказательств скрининга и решений для аудита.

9) Дата-резидентность и приватность

Хранение ПД/финансовых данных может требоваться в конкретной стране/регионе.
Экспорт данных — SCC/аналогичные механизмы; DPIA для high-risk обработок.
PCI DSS: PAN-safe, токенизация, запрет логирования чувствительных данных.
Сроки хранения: отдельные для KYC/транзакций/диспутов.

• Data map: где лежат ПД и кто имеет доступ; маскирование в отчетах/логах.
• Процедуры DSAR и breach-нотификации в регламентные сроки.

10) Налоги, валютный контроль, репатриация

VAT/GST на услуги игроку (если применимо), регистрация по месту потребления.
Корпоративные налоги и риск Permanent Establishment при активной локальной деятельности без LocalCo.
Репатриация: ограничения на вывод средств из страны, уведомления/лицензии на FX.
Удержания (withholding) на роялти/услуги между HQ и LocalCo — проверять DTT.

11) Матрица допусков (пример структуры)

country, method_group (card/a2a/rtp/wallet/voucher/crypto),
merchant_role (MoR/agent/xb),
allowed (Y/N/Restricted),
local_entity_required (Y/N),
local_account_required (Y/N),
user_age_min,
user_residency_required (Y/N),
SCA_required (Y/N/partial),
refund_rules (to_source/credit_note/manual_return),
chargeback_model (card-like/local/arbitration/none),
sanctions_lists (local+global),
data_residency (Y/N/special),
notes (citations to internal policy)

Эта матрица — источник истины для оркестратора кассы/выводов и для комплаенса.

12) Контрольные политики в продукте

Gate в кассе: `country×method` проверка по матрице; если Restricted — показываем альтернативы.
Refund-to-source по умолчанию (для карт/многих кошельков).
Name match на выводах (RTP/SEPA/ACH/crypto).
Age/Geo: жесткая блокировка несовершеннолетних/запрещенных GEO (KYC>IP).
Descriptor preview и политика подписок (напоминания/cancel-flow).
Disclosure по FX/instant-обещаниям/сетевым комиссиям.

13) Онбординг провайдера/банка: чек-лист

• KYB пакет: устав/UBO/адрес/substance, политики AML/KYC/санкции.
• Use-case letter: описание игорной услуги, MCC/методы, гео.
• Лицензии/уведомления по целевым рынкам.
• Data & Security: PCI/SOC/ISO, data-map, DPA.
• Refund/Chargeback процедуры и контактная матрица.
• SLA: SCA/Webhook/Settlement/Reports, кредиты.
• Testing/UAT: негативные сценарии, idempotency, polling-бэкап.

14) Операционные плейбуки

Запрос регулятора: freeze на риск-методы, выгрузка матрицы допусков, логи скрининга, оферта/UX-скриншоты.
Санкционный hit: блок, эскалация MLRO, отчет, сохранение доказательств.
Disallowed method use: авто-рефанд/отказ, письмо с альтернативами, инцидент в реестр.
Data residency breach: изоляция источника, уведомления, миграция хранилища.

15) KPI комплаенса в платежном контуре

Share of compliant methods в кассе (по странам).
Blocked attempts (policy) / оборот — не выше оговоренного коридора (сигнал на UX/локализацию).
Refund-to-source % (целевой ~100% там, где обязан).
Disallowed payout attempts (name mismatch/geo) — стремится к 0.
Sanctions false positives — в допустимом коридоре; time-to-clear.
Regulatory incidents/quarter и штрафы = 0.

16) Модель данных и проверки (минимум)

tx_id, user_id, user_country, kyc_level, method_group, provider,
is_mor_local, is_local_account, allowed_flag,
sca_applied, refund_policy, chargeback_model,
sanctions_check_id, sanctions_result, pep_flag,
payout_name_match, data_residency_zone, storage_location,
created_ts, action (attempt/blocked/approved/refunded/paid_out)

SQL: монитор блокировок и нарушений

sql
SELECT
DATE_TRUNC('day', created_ts) d, user_country, method_group,
COUNT() FILTER (WHERE action='attempt' AND allowed_flag=false) AS blocked_attempts,
COUNT() FILTER (WHERE action='approved' AND payout_name_match=false) AS name_mismatch_approved -- должно быть 0
FROM compliance_payments_audit
GROUP BY 1,2,3
ORDER BY d DESC;

17) Governance и обновления политики

Единый владелец: Head of Compliance (вместе с Payments).
Версионирование матрицы: каждая правка — тикет, обоснование, дата вступления.
Change-notice: обновления контрагентам/продукту, миграция UX.
Quarterly review: выборочные аудиты стран/методов, дрилл инцидентов.

18) Частые ошибки

Открывать метод без локального MoR/счета, когда он обязателен.
Обещать «instant» там, где метод юридически T+N или с окнами.
Игнорировать refund-to-source и делать «кросс-метод» возвраты.
Принимать депозиты с запрещенных GEO через прокси/кошельки.
Хранить ПД вне разрешенной зоны, логировать PAN/email без маскирования.
Не иметь политики name match и «каскадов» SoF/SoW для крупных выплат.

Резюме

Юридические ограничения платежных методов — это правила игры, а не опция. Постройте матрицу допусков, вшейте ее в оркестратор кассы/выводов, обеспечьте санкционный/AML-контур, refund-to-source, SCA/возраст/гео-контроли и data-governance. Тогда портфель методов будет расширяться легально, метрики монетизации расти, а риск блокировок, штрафов и frozen funds — оставаться минимальным.