Ліцензування в Канаді

1) Картина цілком: федерація, провінції та винятки

Канадська модель азартних ігор будується навколо Criminal Code, який забороняє азартні ігри, крім випадків, коли вони проводяться і управляються (conducted & managed) провінціями/територіями або уповноваженими ними організаціями.

1. Провінційна юрисдикція: кожна провінція вирішує, як саме організувати ринок (держпідприємства, монополії, концесії, відкриті реєстри тощо).

2. Онтаріо як «відкритий ринок»: з 2022 року провінція дозволяє приватним операторам працювати в зв'язці з AGCO (регулятор) і iGaming Ontario - iGO (держпровайдер, через якого ринок «conducted & managed»).

3. Kahnawà:ke Gaming Commission (KGC): регулятор Мохокської Території Кахнаваке. Його ліцензування історично значуще для міжнародного хостингу і B2B/B2C-портфелів, проте для легальної роботи з гравцями Онтаріо потрібен окремий режим AGCO/iGO; для інших провінцій - власні моделі цих провінцій.

2) Основні моделі

2. 1 Онтаріо: AGCO + iGaming Ontario (iGO)

Регулятор: AGCO встановлює Registrar's Standards for Internet Gaming (RG/AML/реклама/техконтролі).
Операторська модель: приватний оператор укладає Operating Agreement з iGO, отримує registration у AGCO і технічно підключається до реєстру/вимог iGO. Формально ігри «проводяться і управляються» iGO, а оператор - «постачальник послуг».
Вертикалі: казино/слоти, ставки, покер/бінго і т.п.
Ключові особливості: суворі стандарти Responsible Gambling, маркетингу, техконтролів; звітність і ревеню-шер з iGO (по суті функціональний аналог GGR-оподаткування).

2. 2 Kahnawà:ke: KGC

Регулятор: Kahnawà:ke Gaming Commission.
Периметр ліцензій: клієнтська ліцензія оператора (Client Provider Authorization), постачальники/платформи (Interactive Gaming Licence через Key Person/Key Equipment Providers) і хостинг в дата-центрі Mohawk Internet Technologies (традиційно).

• Для Онтаріо - недостатньо для легального доступу до гравців; потрібно AGCO/iGO.
• Для міжнародних ринків - часто використовується як шанований режим хостингу/операторської ліцензії в мульти-юрисдикційних портфелях.
• Практика: сильний упор на due diligence, операційні процеси, безпеку і стійкість інфраструктури.

3) RG/AML/реклама/приватність - загальна логіка

3. 1 Responsible Gambling (RG)

Інструменти гравця: ліміти депозитів/втрат/часу, тайм-аути, самовиключення, reality-checks, історія активності.
Провінційні реєстри самовиключення: в Онтаріо - провінційний контур (в синхронізації з iGO); оператор зобов'язаний онлайн-перевіряти статуси.
Поведінковий моніторинг: детектування «ранніх ознак» проблемної гри, ескалації, телеметрія інтервенцій.

3. 2 AML/CTF и FINTRAC

PCMLTFA/FINTRAC: казино та оператори онлайн-ігор в Канаді підпадають під вимоги AML-нагляду FINTRAC (Customer Due Diligence, EDD, великі/підозрілі транзакції, журнали, навчання).
KYC: посвідчення особи/віку та адреси (в Онтаріо допускаються eKYC-провайдери, банківські перевірки/дводжерельні моделі, документи/селфі).
Моніторинг транзакцій: velocity/аномалії, джерела коштів, санкції/РЕР-скринінг, журнал рішень і STR/SAR-процедури.

3. 3 Реклама та афіліати

Онтаріо (AGCO): детальні стандарти з реклами/бонусів: заборона обіцянок, що вводять в оману, обмеження на креативи і мову, захист неповнолітніх/вразливих груп, обмеження «агресивної» промокомунікації та інфлюенсерів (вимоги до аудиторії, маркування).
Афіліати: договірна відповідальність за дотримання RG/AML/даних, whitelisting майданчиків, аудит матеріалів, стоп-процедури.

3. 4 Приватність і дані

PIPEDA (федеральний закон про захист особистих даних в комерційному секторі) + провінційні акти (у ряді провінцій - власні privacy-закони); в Онтаріо потрібно дотримання privacy-стандартів AGCO/iGO.
DPIA/DSR: оцінка ризиків обробки, терміни відповідей на запити суб'єктів (доступ/виправлення/видалення/переносимість), мінімізація PII і контроль потоку даних (включаючи транскордонні передачі).

4) Техтребування: SDLC/спостережуваність/безпека/DR

SDLC/релізи: контроль змін, staging-пайплайни, підписи артефактів і SBOM, «no humans in prod», журнали релізів і відкати.
Observability: структуровані логи (без PAN/зайвих PII), метрики, трасування (OTel), SLO/SLI (latency p95/p99, error-rate), синтетичні перевірки «депозит/КУС/вивід», ретеншн для аудиту.
Security: сегментація, mTLS, WAF/бот-менеджмент, SSO/MFA/PAM, SAST/SCA/DAST в CI/CD, регулярний пентест і відсутність прострочених critical/high.
DR/BCP: регулярні restore-тести, підтверджені RTO/RPO, плани деградації (graceful).
Anti-abuse: поведінковий скоринг, device-signals, velocity-правила, анти-бонусний фреймворк.

5) Платежі: Interac-країна

Методи: Interac e-Transfer/Online, карти (з 3-D Secure), A2A/Open Banking, банківські перекази, локальні гаманці.
Вимоги до інтеграцій: ідемпотентність, HMAC-підписи webhooks, DLQ/реплей подій, моніторинг Time-to-Wallet і часткою успіху/авторизацій, звірки зі звітністю iGO/провайдерами.
AML/санкції/velocity: фільтри на вхідних/вихідних потоках, ліміти, ручна перевірка кейсів.

6) Онтаріо на практиці (AGCO/iGO): що готувати

• Політики RG/AML/реклама/дані/інциденти/DR та їх доказова реалізація (дашборди, журнали, звіти).
• Архітектура ІТ/даних, модель зберігання, плани DR/BCP, вразливості/пентест-звіти.
• Інтеграції з платіжними та KYC-провайдерами, анти-фрод та моніторинг.
• Процедури FINTRAC (навчання, кейс-менеджмент, SAR/STR, регістри великих/підозрілих транзакцій).
• Рекламна модель: white-list каналів, шаблони креативів, договори з афіліатами, контроль інфлюенсерів.
• Операційна звітність в iGO (фінанси/GGR, RG-метрики, скарги/інциденти, зміни Key Persons).

7) KGC на практиці: Коли і як

Для Онтаріо: KGC-ліцензії недостатньо; потрібно AGCO/iGO для доступу до гравців провінції.
Для міжнародних ринків: KGC залишається поважним режимом, особливо при хостингу/В2В-портфелях і мульти-юрисдикційних стратегіях.
Підготовка: політики RG/AML/дані/інциденти/DR, due diligence бенефіціарів/Кеу Persons, архітектура і аудит ІТ, пентест/скани, договори з провайдерами (контент/платежі/КУС), хостинг і SLA.

8) Податки та звітність (high-level)

Онтаріо: економічна модель близька до GGR-ревеню-шеру з iGO плюс регуляторні збори; оператор веде детальну звітність (вертикалі, бонуси/коригування, RG/скарги/інциденти) і звірки з PSP/банками і журналами ігор/виплат.
KGC/міжнародно: фіскальні та регуляторні зобов'язання залежать від фактичних ринків обслуговування та договорів; при крос-бордер-моделі враховуйте локальні податки/ПДВ-аналітику/РЕ-ризики.

9) Плюси і мінуси моделей

Онтаріо (AGCO/iGO) - плюси

Висока довіра банків/PSP/медіа, прозорі стандарти.
Чіткі правила RG/реклами, зрозумілі техспоживання.
Великий, зростаючий і легальний ринок з публічною статистикою.

Онтаріо - мінуси

Істотний OPEX комплаєнсу і щільна звітність.
Суворі обмеження маркетингу/інфлюенсерів.
Вимогливі техконтролі і FINTRAC-процеси.

KGC - плюси

Шановний режим для міжнародного хостингу/В2В/операторів.
Сильна операційна і технічна дисципліна.
Гнучкість портфельної стратегії за межами Онтаріо.

KGC - мінуси

Не дає права обслуговувати гравців Онтаріо (без окремого AGCO/iGO).
Будуть потрібні додаткові ліцензії/реєстрації для окремих ринків.
Все одно високий стандарт due diligence та ІТ-контролів.

10) Чек-листи готовності

10. 1 Definition of Ready (до подачі)

• Визначено периметр: Онтаріо (AGCO/iGO) і/або міжнародний блок (KGC).
• Назначены Key Persons (MLRO/AMLO, DPO, RG-Lead, Heads Compliance/Platform/SRE/Security/Payments); зібрані SoF/SoW.
• Політики AML/RG/реклама/дані/інциденти/DR затверджені; проведено тренінги; є журнали виконання.
• SDLC: підписи артефактів + SBOM, «no humans in prod», журнал релізів і відкатів.
• Observability: SLO/SLI-дашборди, синтетичні перевірки «депозит/КУС/вивід», ретеншн логів.
• Security: пентест/скани закриті; немає прострочених critical/high.
• FINTRAC: політика, навчання, кейс-менеджмент, регістри звітності.
• Реклама/афіліати: white-list каналів і креативів, договори/стоп-процедури.
• Платежі/КУС: договори з провайдерами, HMAC-webhooks, ідемпотентність, DLQ/реплей.
• Для Онтаріо: пакет AGCO registration + iGO Operating Agreement та інтеграційні артефакти.

10. 2 Definition of Done (після видачі/реєстрації)

• Регуляторна/фіскальна/FINTRAC-звітність включена; власники KPI призначені.
• Стабільні інтеграції: PSP/KYC/анти-фрод, моніторинг Time-to-Wallet і авторизацій.
• RG-інструменти активні; телеметрія інтервенцій і самовиключень; онлайн-перевірки.
• DR/BCP: проведені restore-тести, підтверджені RTO/RPO, оформлені акти.
• Маркетинг/афіліати: аудит матеріалів, журнал порушень і заходів, коректне маркування.

11) Процес (орієнтири термінів)

Критичний шлях: Key Persons → «живі» політики → SDLC/спостережуваність/DR (evidence) → FINTRAC-контур → договір/реєстрація (iGO/AGCO або KGC) → введення.

12) RACI (приклад для програми «Онтаріо + KGC»)

13) Типові ризики та пом'якшення

14) Дорожня карта 90-180 днів (приклад)

Місяць 1-2: gap-аналіз, призначення Key Persons, запуск ремедіацій SDLC/спостережуваності/безпеки, налаштування FINTRAC-контурів.
Місяць 2-3: збір пакету (AGCO-registration + iGO OA/KGC), пентест/скани, акти DR, договори з PSP/KYC/контентом.
Місяць 3-4: подача/узгодження, dry-run демонстрацій (дашборди, журнали, RG/AML/платежі/маркетинг), фіналізація інтеграцій.
Місяць 4-6: Q & A/варіації, фінальні доопрацювання, онбординг платежів/контенту, включення звітності та контроль KPI.

Короткий висновок

Канада - це провінційна модель з федеральною AML-надбудовою. Для Онтаріо потрібна зв'язка AGCO + iGO, де приватний оператор - партнер державному iGO і живе за суворими стандартами RG/AML/реклами/техконтролів. KGC залишається важливим гравцем для міжнародного хостингу та портфельних стратегій, але не замінює AGCO/iGO для Онтаріо. Побудувавши evidence-first культуру (SDLC/спостережуваність/безпека/DR, FINTRAC-процедури, RG-телеметрія, керований маркетинг і афіліати), ви отримаєте стійкий доступ до платіжної екосистеми і партнерів на одному з найбільш прозорих ринків Північної Америки.