Юр. обмеження платіжних методів

TL; DR

Правові рамки залежать від юрисдикції, ролі мерчанта (MoR/агент), методу (cards/A2A/RTP/wallet/voucher/crypto) і від того, де розташований гравець і ваша юрособа. Базовий підхід: тримаємо матрицю допусків (country × method × use-case), примусові контролі в касі і на висновках, централізований санкційний скринінг, і політику повернень/джерела коштів. Будь-які «сірі» обходи (крос-бордер без допуску, проксі-провайдери) створюють ризики: блоки провайдерів, штрафи, відкликання ліцензії, frozen funds.

1) Таксономія обмежень

1. Ліцензійні: чи потрібен локальний MoR/гральна ліцензія для прийому/виплат за конкретним методом.
2. Метод-специфічні: правила мереж/схем (карти, RTP, e-wallet, ваучери, крипто).
3. Регуляторні по гравцеві: вік, резидентство, заборонені GEO, самозапрет/ексклюжн-листи.
4. Санкційні/AML: РЕР/санкції, SoF/SoW, ліміти і тригери репортингу.
5. Захист споживача: повернення, chargeback/диспут-порядок, cooling-off, авто-підписки.
6. Приватність/дані: дата-резидентність, експорт ПД, терміни зберігання.
7. Податки/валюта: ПДВ/VAT/GST, валютний контроль, обмеження по FX/репатріації.
8. Терміни та реклама: оферта, відповідальна гра, маркетингові заборони за методами.

2) Карти (Visa/Mastercard/локальні схеми)

MoR и MCC: гральна діяльність часто вимагає локального MoR і допустимого MCC, інакше acquiring може відмовити.
CCA/3DS: для EEA/UK - обов'язкові SCA-вимоги (PSD2). Не можна системно обходити challenge для високоризикових сегментів.
Chargeback/диспути: обов'язок зберігати докази; чіткі SLA за поданням матеріалів.
Гео і вік: блок по заборонених країнах/територіях; у деяких країнах карти для iGaming обмежені або вимагають додаткових дозволів.
Рекурентні списання: явний opt-in, зрозумілий дескриптор, нагадування; «тихі» продовження - ризик регуляторного штрафу.
Відповідальні виплати: повернення по картках строго «на джерело» (refund-to-source), заборона на «виведення на чужу карту».

• Гео-чекаут ≠ GEO-IP (тільки) - потрібні КУС/адреса.
• Авто-блок карт із заборонених BIN/емітентів; чіткий descriptor preview.
• 3DS-драбинка: low-risk → frictionless, high-risk → challenge.

3) A2A/Open Banking/локальні pull/push-схеми

Локальні допуски: багато A2A-методи вимагають локального мерчанта/рахунку і заборони крос-бордер прийому.
Consent & SCA: явна згода/ініціація гравцем, незмінюваність суми/одержувача.
Повернення: розрізняються за схемою; іноді немає симетричного «refund», потрібен зворотний платіж (з відповідною офертою).
Chargeback-аналог: в окремих схемах - повернення помилково/шахрайству через банк; терміни і підстави фіксовані.
Marketing/UX: заборона вводити в оману гравця «моментальністю», якщо схема не гарантує instant.

• Перевірка, що юридична особа і банк знаходяться в дозволеній країні для методу.
• Окрема політика повернення коштів (reverse payment) в оферті.
• Ліміти сум і частоти, SoF-контролі на аномальні обсяги.

4) RTP/Instant (SCT Inst, Faster Payments, RTP US и др.)

Use-case: частіше допускаються виплати (payouts), прийом «в касу» обмежений.
KYC/SoF: посилені перевірки джерела коштів при великих або частих виплатах.
Cut-off і віконні обмеження: не можна вводити в оману про терміни зарахування.
Recall/returns: обов'язковий процес розборів за помилковими реквізитами/мулі.

• Виплати - тільки на верифіковані рахунки на ім'я гравця (name match).
• Prefund і ліміти на гаманці/рахунки мерчанта; журнал підтверджень відправки/кредиту.

5) Гаманці/супер-додатки (e-wallets)

Локальна реєстрація мерчанта і MoR часто обов'язкові; окремі категорії для gambling.
Ліміти: денні/місячні, рівні KYC користувача; заборони на P2P-обходи.
Chargeback-механіка: внутрішня диспут-система гаманця; обов'язковий канал комунікацій.
Реклама/бонси: деякі гаманці забороняють стимулювати депозити бонусами в рекламі гаманця.

• Перевірка matching owner (гаманець ↔ KYC гравця).
• В оферті - терміни списань/повернень, комісії гаманця (якщо перекладені на гравця).

6) Vauchery/nalichnyye→tsifra

Рітейл-обмеження: ліміти номіналів, вік, заборона на крос-бордер redeem.
AML/Velocity: високі ризики синдикатів/мулів; часті заборони на прямі «висновки» через ваучер.
Refund: як правило, немає симетричного повернення на ваучер; потрібна політика компенсацій.

• Прив'язка ваучера до пристрою/аккаунту при redeem, cooldown і turnover-умови на вивід.
• Заборона перехресних гео (куплений в країні A, redeem в B - якщо заборонено).

7) Крипто on/off-ramp

Ліцензії: у ряді країн для прийому/виплат через крипто-кастоді/біржі потрібні реєстрації/повідомлення.
AML/санкції: санкційний скринінг адрес/бірж, аналіз он-чейн (risk score), SoF/SoW.
Volatility/FX: фіксація курсу, розкриття в оферті, заборони на «обіцянку прибутковості».
Висновок: Payout - тільки на адреси, верифіковані за гравцем; заборона міксерів/TOR.

• Ліміти і білі списки бірж/кастоді, заборона self-custody без KYC-прив'язки.
• Disclosure: момент фіксації курсу, комісії мережі, ризики блокувань.

8) Санкції, AML/KYC/KYB, SoF/SoW

Обов'язковий централізований санкційний і PEP-скринінг на депозити і висновки.
KYC рівні: ліміти за методами зав'язані на рівень верифікації.
SoF/SoW: пороги та перевірки для high-risk: великі депозити, часті висновки, RTP/crypto.
Моніторинг транзакцій: сценарії velocity, гео-аномалії, ланцюжки акаунтів.

• Ескалація на MLRO при попаданні в списки/аномальних патернах.
• Зберігання доказів скринінгу та рішень для аудиту.

9) Дата-резидентність і приватність

Зберігання ПД/фінансових даних може вимагатися в конкретній країні/регіоні.
Експорт даних - SCC/аналогічні механізми; DPIA для high-risk обробок.
PCI DSS: PAN-safe, токенізація, заборона логування чутливих даних.
Терміни зберігання: окремі для КУС/транзакцій/диспутів.

• Data map: де лежать ПД і хто має доступ; маскування у звітах/логах.
• Процедури DSAR і breach-нотифікації в регламентні терміни.

10) Податки, валютний контроль, репатріація

VAT/GST на послуги гравцеві (якщо застосовується), реєстрація за місцем споживання.
Корпоративні податки і ризик Permanent Establishment при активній локальній діяльності без LocalCo.
Репатріація: обмеження на виведення коштів з країни, повідомлення/ліцензії на FX.
Утримання (withholding) на роялті/послуги між HQ і LocalCo - перевіряти DTT.

11) Матриця допусків (приклад структури)

country, method_group (card/a2a/rtp/wallet/voucher/crypto),
merchant_role (MoR/agent/xb),
allowed (Y/N/Restricted),
local_entity_required (Y/N),
local_account_required (Y/N),
user_age_min,
user_residency_required (Y/N),
SCA_required (Y/N/partial),
refund_rules (to_source/credit_note/manual_return),
chargeback_model (card-like/local/arbitration/none),
sanctions_lists (local+global),
data_residency (Y/N/special),
notes (citations to internal policy)

Ця матриця - джерело істини для оркестратора каси/висновків і для комплаєнсу.

12) Контрольні політики в продукті

Gate в касі: 'country × method'перевірка по матриці; якщо Restricted - показуємо альтернативи.
Refund-to-source за замовчуванням (для карт/багатьох гаманців).
Name match на висновках (RTP/SEPA/ACH/crypto).
Age/Geo: жорстке блокування неповнолітніх/заборонених GEO (KYC> IP).
Descriptor preview і політика підписок (нагадування/cancel-flow).
Disclosure по FX/instant-обіцянкам/мережевим комісіям.

13) Онбординг провайдера/банку: чек-лист

• KYB пакет: статут/UBO/адреса/substance, політики AML/KYC/санкції.
• Use-case letter: опис гральної послуги, МСС/методи, гео.
• Ліцензії/повідомлення по цільових ринках.
• Data & Security: PCI/SOC/ISO, data-map, DPA.
• Refund/Chargeback процедури і контактна матриця.
• SLA: SCA/Webhook/Settlement/Reports, кредити.
• Testing/UAT: негативні сценарії, idempotency, polling-бекап.

14) Операційні плейбуки

Запит регулятора: freeze на ризик-методи, вивантаження матриці допусків, логи скринінгу, оферта/UX-скріншоти.
Санкційний hit: блок, ескалація MLRO, звіт, збереження доказів.
Disallowed method use: авто-рефанд/відмова, лист з альтернативами, інцидент до реєстру.
Data residency breach: ізоляція джерела, повідомлення, міграція сховища.

15) KPI комплаєнсу в платіжному контурі

Share of compliant methods в касі (по країнах).
Blocked attempts (policy )/оборот - не вище обумовленого коридору (сигнал на UX/локалізацію).
Refund-to-source% (цільовий ~ 100% там, де зобов'язаний).
Disallowed payout attempts (name mismatch/geo) - прагне до 0.
Sanctions false positives - у допустимому коридорі; time-to-clear.
Regulatory incidents/quarter і штрафи = 0.

16) Модель даних і перевірки (мінімум)

tx_id, user_id, user_country, kyc_level, method_group, provider,
is_mor_local, is_local_account, allowed_flag,
sca_applied, refund_policy, chargeback_model,
sanctions_check_id, sanctions_result, pep_flag,
payout_name_match, data_residency_zone, storage_location,
created_ts, action (attempt/blocked/approved/refunded/paid_out)

SQL: монітор блокувань і порушень

sql
SELECT
DATE_TRUNC('day', created_ts) d, user_country, method_group,
COUNT() FILTER (WHERE action='attempt' AND allowed_flag=false) AS blocked_attempts,
COUNT() FILTER (WHERE action='approved' AND payout_name_match=false) AS name_mismatch_approved -- должно быть 0
FROM compliance_payments_audit
GROUP BY 1,2,3
ORDER BY d DESC;

17) Governance і оновлення політики

Єдиний власник: Head of Compliance (разом з Payments).
Версіонування матриці: кожна правка - тікет, обґрунтування, дата вступу.
Change-notice: оновлення контрагентам/продукту, міграція UX.
Quarterly review: вибіркові аудити країн/методів, дрил інцидентів.

18) Часті помилки

Відкривати метод без локального MoR/рахунку, коли він обов'язковий.
Обіцяти «instant» там, де метод юридично T + N або з вікнами.
Ігнорувати refund-to-source і робити «крос-метод» повернення.
Приймати депозити з заборонених GEO через проксі/гаманці.
Зберігати ПД поза дозволеною зоною, логувати PAN/email без маскування.
Не мати політики name match і «каскадів» SoF/SoW для великих виплат.

Резюме

Юридичні обмеження платіжних методів - це правила гри, а не опція. Побудуйте матрицю допусків, вшийте її в оркестратор каси/висновків, забезпечте санкційний/AML-контур, refund-to-source, SCA/вік/гео-контролі і data-governance. Тоді портфель методів буде розширюватися легально, метрики монетизації рости, а ризик блокувань, штрафів і frozen funds - залишатися мінімальним.