Yazılım ve API lisanslama

1) iGaming için neden önemli?

Platform, özel kodlara, üçüncü taraf kütüphanelerine, oyun/ödeme sağlayıcısı SDK'larına ve genel/özel API'lere dayanır. Lisans hataları taleplere, entegrasyon bloklarına, IP sızıntılarına ve düzenleyici risklere (gizlilik/yaptırımlar/kripto ihracatı) yol açar. Amaç, hakların şeffaf bir taslağını oluşturmaktır: yayınlayabileceğiniz, entegre edebileceğiniz, ortaklara aktarabileceğiniz ve kendi API'lerinizi nasıl koruyacağınız.

2) Yazılım lisanslama modelleri (genel bakış)

Tescilli (kapalı lisans): Satıcıdan münhasır haklar; B2B için (operatörler, stüdyolar, PSP).

• İzin: MIT, BSD, Apache-2. 0 (patent hibesi).
• Copyleft: GPL/LGPL/AGPL - "enfekte edici" uyumluluk; Kapalı modüllerde dikkatlice.
• Çift/Çoklu lisans: Ücretsiz OSS şubesi + genişletilmiş haklar/destek ile ticari lisans.
• SaaS lisansı: bir hizmet olarak erişim; kod iletilmez, haklar - kullanım için.

Seçim kuralları: kritik hizmetler (oyun motoru, anti-dolandırıcılık, hesaplamalar) - copyleft kaçının; UI kütüphaneleri - izin verici; Dahili araçlar - GPL izolasyon sırasında mümkündür.

3) Haklar ve kısıtlamalar: lisanslarda görülmesi gerekenler

Kapsam: bölgeler, tarihler, kullanıcılar/kurulumlar, ortamlar (prod/stage/dev).
Modifikasyonlar ve türevler: çatal yapmak, değiştirmek, dağıtmak mümkün mü?
Alt lisans/transfer: bağlı kuruluşlar/beyaz etiket için izin verilir mi.
Patent hibesi ve savunma amaçlı fesih (Apache-2. 0, MPL): patent riskleri ve çapraz lisanslar.
Denetim ve raporlama: Satıcının lisans denetimi yapma hakkı.
Güvenlik/ihracat: kriptografi kısıtlamaları, ülkeler/yaptırımlar.
Tazminat ve sorumluluk: IP taleplerini/zararlarını kim karşılar.

4) Açık Kaynak: Politika ve Kontrol

Beyaz liste: MIT/BSD/Apache-2. 0, MPL-2. 0.
Sarı: LGPL-3. 0 (dinamik bağlantı ve koşullar karşılanırsa).
Kırmızı: AGPL/GPL-3. Tecrit yoksa kapalı servislerde 0 (hizmet sınırları, ağ copyleft).
Software Bill of Materials (SBOM) - Sürümleri/lisansları olan bağımlılıkların yeniden kazanılmış listesi.
OSS prosedürü: talep, yasal/teknik uyumluluk değerlendirmesi, kayıt defterine kayıt, periyodik denetim.
OSS'ye Katkı (upstream): CLA/DCO, IP açıklama incelemesi, Legal ile uyum.

5) SDK ve sağlayıcı lisansları (oyunlar, ödemeler, KYC)

Tipik gereksinimler: tersine mühendislik yasağı, koşulların dışında önbelleğe alma yasağı, logoların/markalamanın kontrolü, minimum sürümler, denetim hakkı.
Veri: "operatör verilerini", metriklere ve Türetilmiş Verilere sahip olan "sağlayıcı verilerini" sınırlar.
İhracat/yaptırım kısıtlamaları: Coğrafi engeller, PEP/yaptırım listeleri - ToS/lisanslarda zorunlu doğrulama.
Destek/güncellemeler: Yamalar, kırılma değişiklikleri, geçiş son tarihleri için SLA.

6) API: yasal erişim şartları (partners/affiliates/B2B için)

• Erişim ve kimlik doğrulama: OAuth2/HMAC/mutual-TLS; Anahtarların üçüncü şahıslara aktarılmasını yasaklamak.
• Hız limitleri ve kotalar: RPS/dakika/gün; "adil kullanım"; patlama politikası.
• SLA ve destek: kullanılabilirlik (örn. 99. 9 %), bakım pencereleri, olay/iletişim planı.
• Sürüm/tükenme: SemVer, EOL tarihleri (örneğin, 9-12 ay ≥), bildirim gönderme.

• Hizmet Tarafından Oluşturulan Veriler (günlükler, metrikler) - API'nin sahibi;
• Müşteri/Oyuncu Verileri - müşteri/operatörde;
• Türetilmiş Veriler - sözleşme ile (izin verilen/sınırlı, anonimleştirme).
• Önbellek ve depolama: ne ve nasıl önbelleğe alınabilir (TTL, kişisel/hassas alanların depolanması yasağı).
• Gizlilik/AML/KYC: roller (denetleyici/işlemci), DPA/DSA, sınır ötesi yayınlar, yüksek riskli senaryolar için DPIA.
• Güvenlik: Transit/at-rest şifreleme, gizli yönetim, SOC2/ISO gereksinimleri 27001 (varsa).
• Yasaklar: tersine mühendislik, kazıma, izinsiz ölçüm/kıyaslama, API yanıtlarının değiştirilmesi.
• Denetim ve günlükler: kontrol hakkı, talep günlükleri için gereksinimler.
• Yaptırımlar ve ihracat: Ülkelerde/listelerden kullanıcılarla kullanım yasağı, tarama.
• Garantilerin hariç tutulması ve sorumluluk sınırı: üst sınır (örneğin, 12 × ortalama ağırlık. Ödeme).
• Erişimin sona ermesi: güvenlik tehdidi/yasa durumunda derhal; çıktı planı.

7) Sürüm oluşturma ve uyumluluk politikası

SemVer: MAJOR (kırma), MINOR (özellikler), PATCH (düzeltme).
Şema sözleşmeleri: JSON Schema/OpenAPI; Müşteriler için sözleşme testleri.
Sapma yordamı: Anons - uyumluluk süresi (≥ 6 ay) - EOL - kaldırma; Göç kılavuzu.
Özellik bayrakları: "yumuşak" yuvarlanma için.

8) İhracat kontrolü, yaptırımlar, kriptografi

Kriptografi dışa aktarma: yerel kuralları kontrol etme; bildirimler/ECC kodu/bit uzunlukları.
Yaptırımlar: Alt yaptırım yargı bölgelerinin/kişilerin sakinlerine hizmet etme/erişim sağlama yasağı; Periyodik kurtarma.
Mevzuatın esnekliği: düzenleyici risk altında hizmetin askıya alınmasına ilişkin maddeler.

9) Risk Matrisi (RAG)

10) Yayın öncesi/entegrasyon kontrol listesi

• SBOM toplandı; Lisanslar kontrol edildi (uyumsuz değil).
• Satıcı/SDK lisansları imzalanmıştır; Veri ve marka hakları.
• DPA/DSA yayınlanan; Süpervizör/işlemci rolleri tanımlanmıştır.
• Şartlar/EULA API'leri güncellendi; Hız limitleri/SLA/tükenmesi öngörülmüştür.
• Süreçlerde yaptırım/ihracat taraması.
• Güvenlik: anahtarlar, rotasyon, şifreleme, kayıt.
• Olay Planı ve Erişim Geri Çağırma (killswitch) hazır.

11) Kayıtlar ve eserler (önerilen formatlar)

11. 1 SBOM/Lisans Kaydı

yaml component: "payment-gateway-sdk"
version: "4. 2. 1"
license: "Apache-2. 0"
source: "maven"
usage: "runtime"
notes: "requires notice file"
dependencies:
- name: "okhttp"
version: "4. 12. 0"
license: "Apache-2. 0"
- name: "commons-io"
version: "2. 16. 1"
license: "Apache-2. 0"
owner: "Engineering"

11. 2 API İstemci Kaydı

yaml client_id: "aff-778"
app_name: "AffTrack"
scopes: ["reports:read","players:read_limited"]
rate_limit_rps: 5 quota_daily: 50_000 dpa_signed: true sanctions_screened_at: "2025-11-05"
status: "active"
owner: "API Ops"

11. 3 Kayıt Defteri SDK/Satıcıları

yaml vendor: "GameProviderX"
agreement: "SDK-License-2025-10"
audit_rights: true brand_rules: true data_rights:
provider_metrics: "vendor"
operator_metrics: "shared"
derived_data: "anonymized_allowed"
sla:
incidents: "P1:2h,P2:8h"
updates: "quarterly"

12) Şablonlar (parçalar)

12. 1 EULA (dahili parça)

Lisans Sahibi, son kullanıcılara hizmet sunmak amacıyla Ürünü Bölge ve Dönem içinde kullanmak için münhasır olmayan, devredilemez bir lisans alır. Yasak: (I) tersine mühendislik, ayrıştırma; (ii) teknik önlemlerin aşılması; (iii) Hakların yazılı izin olmaksızın üçüncü kişilere devredilmesi. Ürün "olduğu gibi" sağlanır; Lisans verenin yükümlülüğü, etkinlikten önceki 12 aya ait ödeme miktarı ile sınırlıdır.

12. 2 API Şartları (dahili parça)

12. 3 Örnek Kod/Dock Lisansı

13) Gizlilik ve Veri (API/SDK)

Küçültme: ekstra alanlar (PII) vermeyin, "yarı saydam" tanımlayıcıları kullanın.
Önbellek TTL: kesinlikle sabit; Tam çöplüklerin yerel kopyalanmasını yasaklayın.
Veri konularının hakları: operatör üzerinden yönlendirme istekleri (erişim/silme); Ağaç kesimi.
Takma ad/anonimleştirme: analitik/Türetilmiş Veriler için - yayınlanmadan önce.

14) Oyun kitapları

P-LIC-01: Copyleft üretim hizmetinde tespit edildi

SBOM denetimi, göç/izolasyon seçeneği, JUR, sürüm planı, retrospektif.

P-API-02: API Anahtar Sızıntısı

Anahtar iptali - istemci bildirimi - adli tıp - gizli rotasyon - politika güncellemesi.

P-SDK-03: Satıcı uyumluluğu bozar

Geçiş bağdaştırıcısı - geçici API şubesi - pencereyi genişletmek için görüşmeler - müşterilere dağıtım.

P-XPORT-04: Yaptırım bayrağı

Autoblock erişimi - eşleşme onayı - yasal değerlendirme - düzenleyici için belgeler.

15) KPI/Metrikler

SBOM Kapsamı % ve onaylanan bileşenlerin yüzdesi.
Lisans olayının kapanış saati (copyleft/uyumsuzluk).
Reddetme Uyumluluğu % (mevcut sürümdeki istemciler).
Time-to-Revoke, API olayları için anahtar ve MTTR'yi sızdırdı.
İmzalı DPA/DSA ve kızak taramasına sahip müşterilerin oranı geçti.

16) Mini-SSS

LGPL'yi gömebilir miyim? Evet, dinamik bir bağlantı ve koşullara uygunluk ile SBOM'da düzeltiyoruz.
API Analytics'in sahibi kim? Varsayılan olarak - API'nin sahibi (Service-Generated), istemci - sınırlı bir lisans.
ML'yi API verileri üzerinde eğitebilir miyim? Sadece anonimleştirilmiş/toplanmış ve ToS/DPA tarafından izin verilirse.
EOL tutmak için ne kadar? Göç rehberi ile tavsiye edilen 9-12 ay.

17) Sonuç

Yazılım ve API lisanslaması'tek seferlik imzalanmış'değil, sabit bir döngüdür: uyumlu lisansların seçimi, SBOM bakımı, açık API Şartları (veri/kotalar/SLA/tükenme), DPA/yaptırımlar ve operasyonel oyun kitapları. Kadroları ve şablonları standartlaştırın - yasal riskleri azaltın, entegrasyonları basitleştirin ve oyuncuların kendi IP ve verilerini koruyun.