Guía para la homologación de los Sistemas de apuestas en base al Reglamento de apuestas de la Comunidad Valenciana y al Marco Técnico de Referencia

Transcripción

1 Guía para la homologación de lo Sitema de apueta en bae al Reglamento de apueta de la Comunidad Valenciana y al Marco Técnico de Referencia verión 2.0

2 TABLA DE CONTENIDOS OBJETO DEL DOCUMENTO... 3 ALCANCE DE LA HOMOLOGACIÓN... 4 CONTROL DE IDENTIDAD DE LOS APOSTANTES. LIMITACIONES... 6 REQUISITOS DEL RESGUARDO... 7 REQUISITOS DE INFORMACIÓN A LOS APOSTANTES... 9 MODELO DE COBRO Y PAGO DE APUESTAS SEGURIDAD LOGICA SEGURIDAD FISICA CUMPLIMIENTO DE LA LEGISLACIÓN VIGENTE OTRAS VERIFICACIONES

3 OBJETO DEL DOCUMENTO El propóito de eta guía e ervir de ayuda y de orientación a lo laboratorio de enayo para lo proceo de homologación de itema de apueta, mediante la propoición de un conjunto de controle. Lo controle propueto en eta guía e han obtenido en bae al análii de lo requerimiento etablecido en el Reglamento de Apueta. Son controle orientativo, y no único de forma que podrían exitir controle utitutivo, complementario, y diferente a lo incluido en ete documento que podrían garantizar de la mima forma el cumplimiento de lo etablecido en el Reglamento de Apueta de la Comunidad Valenciana. Aí mimo exite la poibilidad que dependiendo del alcance de la homologación y de la tipología de itema a homologar exitan controle propueto en eta guía que no reulten de aplicación. Al informe reultante e deben adjuntar referencia externa que den oporte uficiente y complementen la prueba efectuada. 3

4 ALCANCE DE LA HOMOLOGACIÓN Identificación P01 Artículo NA Identificación inequívoca del itema enayado Se debe identificar de manera inequívoca todo lo elemento que componen el itema enayado, en particular lo elemento oportado por SW. La identificación debe permitir a la adminitración verificar en cualquier momento que el SW en uo coincide con el homologado. (dependiendo de la caracterítica del SW e deberá tomar una imagen completa del mimo, junto con u CRC) Identificación inequívoca del HW de la UCA y de u réplica. Indicación de lo tipo de HW, la funcione, el fabricante, modelo y número de referencia de lo ditinto componente HW: componente de red, componente de almacenamiento, componente de eguridad, componente de copia de eguridad, ervidore, etc. Litado de todo lo elemento SW y HW que componen el itema de apueta con la información indicada en apartado anteriore. Ubicación de lo equipo de producción. Imagen del SW con u CRC. Comprobación de que el CRC entregado correponde con el código fuente homologado por el laboratorio. Identificación P02 Artículo NA Organización del equipo de trabajo detinado a labore de explotación de la UCA Entre otro procedimiento organizativo interno deben definire formalmente la funcione y reponabilidade de lo integrante del Departamento de IT encargado de realizar labore de explotación de la UCA. Se debe garantizar la coherencia con la funcione aignada a la perona del Dto. IT y la dependencia, tanto dentro del departamento de IT, como de éte en la organización. 4

5 Etructura del Departamento de Explotación y Sitema con la funcione y reponabilidade aignada de forma coherente. 5

6 CONTROL DE IDENTIDAD DE LOS APOSTANTES. LIMITACIONES Identificación P03 Artículo Artículo 7; Artículo 21; Artículo 33; Artículo 38; Artículo 43 Limitación de acceo a menore y a perona incluida en el Regitro de Prohibido El itema de apueta debe garantizar mediante alguno de lo mecanimo etablecido en el Marco de Referencia que lo menore y que la perona incluida en el Litado de Prohibido no puede realizar apueta. Se debe garantizar eta limitación en lo locale / zona de apueta con ervicio de admiión, y en lo medio electrónico, telemático o de comunicación a. Lo mecanimo etablecido no permite el acceo a la realización de apueta a menore ni a perona incluida en el Litado de Prohibido. 6

7 REQUISITOS DEL RESGUARDO Identificación P04 Artículo Artículo 5; Artículo 24 Contenido de lo boleto de apueta emitido por Terminale de Expedición y Maquina auxiliare Se debe verificar de la información que contienen y concordancia con lo dato reale. Al meno debe contener la iguiente información: - Número de identificación fical y número de incripción en el Regitro de Entidade Operadora de Apueta de la Comunidad Valenciana. - Acontecimiento obre el que e apueta y fecha del mimo. - Modalidad e importe de la apueta realizada. - Coeficiente de la apueta, en u cao. - Pronótico realizado. - Hora, día, me y año de formalización de la apueta. - Número o combinación alfanumérica que permita identificarlo con carácter excluivo y único. - Identificación del medio de formalización de la apueta utilizado. Ademá e deben analizar lo mecanimo de eguridad incorporado al boleto para dificultar u falificación. Lo boleto o reguardo emitido por lo Terminale de Expedición o la Maquina Auxiliare tra la realización de la apueta contienen toda la información exigida. Detallar lo mecanimo utilizado para evitar u falificación y garantizar u integridad. 7

8 Identificación P05 Artículo Artículo 44 Contenido de lo boleto electrónico emitido por lo itema interactivo de apueta o de comunicación a ditancia. Se debe verificar de la información que contienen y concordancia con lo dato reale. Al meno debe contener la iguiente información: - Número de identificación fical y número de incripción en el Regitro de Entidade Operadora de Apueta de la Comunidad Valenciana. - Acontecimiento obre el que e apueta y fecha del mimo. - Modalidad e importe de la apueta realizada. - Coeficiente de la apueta, en u cao. - Pronótico realizado. - Hora, día, me y año de formalización de la apueta. - Número o combinación alfanumérica que permita identificarlo con carácter excluivo y único. - Identificación del medio de formalización de la apueta utilizado. Ademá e deben analizar lo mecanimo de eguridad incorporado para garantizar u integridad y evitar u falificación. Lo boleto o reguardo electrónico enviado a lo uuario tra la realización de la apueta contienen toda la información exigida. Detallar lo mecanimo utilizado para evitar u falificación y garantizar u integridad. 8

9 REQUISITOS DE INFORMACIÓN A LOS APOSTANTES Identificación P06 Artículo Artículo 46; Artículo 47 Información dada a lo uuario Se debe proporcionar a lo uuario la iguiente información: Acontecimiento objeto de apueta; prohibición de la participación de lo menore edad; mención a que la práctica abuiva de juego y apueta puede producir ludopatía; lo acontecimiento objeto de la apueta; la norma de funcionamiento y organización de la apueta; la cuantía mínima y máxima de la apueta; lo horario y límite de admiión de pronótico; demá condicione a que e ujete la formalización de la apueta y el reparto y abono de premio; dar publicidad a lo reultado valido; procedimiento para formular reclamacione. Se debe verificar que dicha información e facilitada a lo uuario en lo locale y zona de apueta. En el cao concreto de la Maquina Auxiliare ubicada en lo locale epecificado en el artículo 38 la información indicada debe er tranmitida mediante la propia maquina, pueto que no etá permitida la utilización de indicacione, cartele, etc en el interior del local para facilitar cualquier tipo de información obre la práctica de apueta. En el cao concreto de lo itema de comunicación a ditancia la pagina principal debe motrar la iguiente información: El nombre regitrado de la entidad titular de la autorización; el domicilio ocial; el número y fecha de la autorización; enlace a página web epecializada en la ayuda de lo problema relacionado con el juego; enlace a la regla del juego, la apueta ofrecida y lo procedimiento adoptado por el titular de la autorización para el regitro de lo uuario. Ademá ya ea en la página principal o mediante un enlace acceible dede eta, e debe indicar al uuario: Nombre del juego; retriccione del juego; intruccione del juego, incluyendo una tabla con lo premio y la caracterítica epeciale del mimo y el balance de la cuenta del jugador. En la zona/locale de apueta e tramite dicha información mediante mecanimo divero (pantalla, panele, cartele, folleto, etc). En el cao de la maquina auxiliare ubicada en lo etablecimiento indicado en el artículo 38, la información e facilitada a travé de lo monitore de la propia maquina auxiliar. En el cao de itema de comunicación a ditancia e comunica correctamente la información requerida por el Reglamento. 9

10 MODELO DE COBRO Y PAGO DE APUESTAS Identificación P07 Artículo Artículo 29 Medio de cobro y pago Se deben tener identificado lo medio de cobro y pago etablecido, y verificar que eto coinciden con lo permitido por el Reglamento para cada canal de formalización de apueta: - Apueta formalizada en maquina de apueta (Maquina auxiliare y terminale de expedición): el pago para la formalización de la apueta deberá realizare en moneda o papel moneda. El abono de lo premio no podrá realizare en la propia maquina de apueta en moneda o papel moneda, iendo válido cualquier otro medio de pago valido en derecho. Se debe garantizar que la apueta formalizada en lo etablecimiento determinado en el artículo 38 del Reglamento y en lo alone de juego in ervicio de admiión la apueta máxima erán de 20 euro. - Apueta formalizada por medio electrónico, telemático o de comunicación a ditancia: El cobro /pago podrá er realizado mediante cualquier medio legal admitido por la emprea de apueta. Se debe garantizar que no upone un cote para el uuario y que no incentive a la práctica del juego de apueta. Se prohíbe la realización de lo pago adelantado o a cuenta. Lo método de cobro y pago on lo etablecido por el Reglamento, deben er eguro y, al meno uno, no uponer un cote para el uuario. Se debería decribir lo itema de pago propueto por la emprea operadora de apueta y lo etablecimiento en lo que el apotante podrá percibir el pago del premio. 10

11 Identificación P08 Artículo N/A Tratamiento y almacenamiento de número de tarjeta de crédito. En el cao de que e permitan tranaccione mediante tarjeta de crédito, y iempre que e almacene, procee o tranmita la información de la tarjeta, e deberá cumplir con lo etándare de eguridad Payment Card Data Security Standard (PCI DSS). En el cao de cobro / pago mediante tarjeta de crédito e cumple con el etándar de eguridad PCI DSS, realizándoe al meno un tet de penetración anualmente y una reviión trimetral de la red inalámbrica y de la regla etablecida en lo cortafuego y router. 11

12 SEGURIDAD LOGICA Identificación P09 Artículo Artículo 19; Artículo 20; Artículo 44; Artículo 45 Perfile de acceo al itema de apueta Deben etar definido en el itema informático de apueta diferente perfile de acceo al mimo en bae a la funcione a deempeñar por cada uuario (adminitradore, operadore, uuario finale de la aplicacione, etc) Deben formalizare procedimiento y controle para garantizar que lo perfile on correctamente aignado y reviado. Se han definido perfile de acceo en lo diferente entorno que componen el itema de apueta, lo cuale han ido aignado en bae a la funcione deempeñada por el uuario. Exiten procedimiento de getión de uuario y e han definido procedimiento periódico de reviión de perfile aignado. Identificación P10 Artículo Artículo 19; Artículo 20; Artículo 44; Artículo 45 Autenticación fuerte La autenticación fuerte requiere el uo de do factore de entre lo iguiente: Algo que e tiene (Certificado digital, tarjeta criptográfica, tarjeta de coordenada, DNIe, Token, llave, ). Algo que e abe (uuario y contraeña, pin, egunda contraeña, ). Algo que e e (factore biométrico como la huella dactilar, la retina, el iri, la voz, ). En todo lo entorno de lo itema de apueta e deben etablecer mecanimo de acceo mediante autenticación fuerte para garantizar la integridad de la información y evitar acceo no autorizado. 12

13 Todo lo uuario de lo itema de apueta, a excepción de lo uuario cliente/apotante, tienen un mecanimo de autenticación fuerte en el acceo al itema. Si la autenticación e mediante certificado digital, detallar: la Autoridad de certificación, el tipo de certificado, política del certificado y i etá incluido Identificación P11 Artículo Artículo 19; Artículo 20; Artículo 44; Artículo 45 Getión de contraeña En el cao de que e utilicen itema baado en uuario y contraeña en la autenticación de lo divero perfile de uuario del itema (incluyendo lo uuario cliente / apotante), éta deben reunir caracterítica que la hagan uficientemente robuta. La contraeña utilizada en el control de acceo a lo itema de apueta, incluyendo el acceo por parte de lo uuario/cliente, on robuta, teniendo la iguiente caracterítica: - Longitud mínima: 8 caractere - Como mínimo compueta por do de lo iguiente conjunto de caractere: o o Letra Mayúcula (A-Z) Letra Minúcula (a-z) o Número (0-9) o Signo de puntuación (.,_-&%$) - No poible repetir la última cuatro contraeña. Lo apotante no tendrán hitórico. - No poible utilizar dato del nombre y apellido. - Caducidad (máximo 45 día) exceptuando a lo apotante, a quiene no le caducará. - Limitar el número de reintento fallido a tre. - En cao de contraeña generada por el itema, exigir que éta e cambie 13

14 en el primer acceo al itema. Identificación P12 Artículo Artículo 19; Artículo 20; Artículo 44; Artículo 45 Seguridad de la comunicacione entre la UCA y el apotante. Garantía de la confidencialidad e integridad de la comunicacione. E neceario contemplar vario tramo: Comunicación Operador Terminal de Expedición. La eguridad viene garantizada por el uo de autenticación fuerte. Comunicación Maquina Auxiliar / Terminal de Expedición UCA. Ver control P33. La conexión entre lo itema de comunicación a ditancia deben utilizar protocolo de comunicacione eguro que garanticen la integridad y la confidencialidad de la comunicación. La comunicacione realizada entre la UCA y el apotante utilizan protocolo de comunicacione eguro que cifran la información garantizando la integridad y confidencialidad de eta. Identificación P13 Artículo Artículo 19; Artículo 20; Artículo 44; Artículo 45 Seguridad de la comunicacione entre lo componente del itema técnico. Para garantizar la integridad y confidencialidad entre lo ditinto elemento del itema pueden uare ditinto método en función de i e tiene un control total 14

15 obre el entorno de la comunicacione. Si no e tiene dicho control, e decir, cuando la comunicacione alen fuera de la intalacione donde e ubica la UCA, la comunicacione deberán ir cifrada, mientra que i e tiene el entorno controlado, dentro de la intalacione donde e ubica la UCA, otra medida fíica erán uficiente. La conexione que etán bajo el control de la emprea titular de la autorización (por ejemplo Comunicacione en el interior de lo locale o zona de apueta, Comunicacione en el interior de la UCA, etc) diponen de mecanimo de eguridad fíico y otro que garantizan u integridad y confidencialidad. La comunicacione que etán fuera del control de la emprea (por ejemplo Comunicacione Apotante UCA, Comunicacione UCA Principal UCA de Repaldo, Comunicacione UCA Oficina centrale de la emprea, Comunicacione UCA Locale/Zona de apueta, etc) e realizan mediante protocolo de comunicación eguro que garantizan la integridad y confidencialidad de la información tranmitida. Identificación P14 Artículo Artículo 19; Artículo 20; Artículo 44; Artículo 45; Articulo 50 Exitencia de una conexión egura, confidencial e integra compatible con lo itema de la Generalitat Valenciana que permita conocer en tiempo real el etado de la apueta realizada y anulada, cantidade apotada y premio otorgado. El Reglamento indica que debe exitir un Regitro acumulado de la operacione de apueta que contenga al meno la iguiente información: Apueta realizada Apueta anulada Cantidade apotada Cantidade totale devuelta Cantidade totale pagada Ete regitro debe er actualizado, entre otro: o o o Cuando e alcanzan regitro Trancurrido 5 minuto dede la generación anterior Cuando e produzca un pao de un día a otro, egún hora epañola. 15

16 Se debe proporcionar un modo de acceder en tiempo real a la información indicada dede la ede del organimo competente de la Generalitat Valenciana. El itema de acceo debe garantizar que e oberva el etado del itema real (conexión egura), in poibilidad de que tercero puedan acceder a la información, y in poibilidad de que e tranmita o e valide información errónea (integridad). Se dipone de un Regitro con la información exigida que puede er facilitado / accedido en todo momento por lo órgano competente en materia de juego de la Generalitat Valenciana. Dicho acceo o tranmiión de información e realizado mediante protocolo de comunicacione eguro que garantizan la integridad y diponibilidad de la información. Para la elaboración del Regitro, e podrá tomar como referencia el documento: Modelo de dato de monitorización de operadore del juego en Epaña que publica la Dirección General de Ordenación del Juego en u web. Identificación P15 Artículo Artículo 19; Artículo 20; Artículo 44.8 Capacidad de auditoría de operacione obre apueta. Seguridad de lo regitro ante manipulación. Se debe poder recontruir en cualquier momento la tranaccione (apueta y reultado en particular) realizado contra la UCA. Para ello e debe de proceder al regitro de la iguiente operacione y diponer de procedimiento/mecanimo de recontrucción de la tranaccione: Apueta aceptada/confirmada con confirmación entregada al apotante. Apueta anulada/cancelada por la emprea. Apueta denegada Pago/reembolo de apueta por la emprea. Ademá de otra información indicada en el Marco de Referencia, e debe incluir en cada tranacción la fecha y la hora, procedente de una fuente no manipulable. Deben exitir medida de eguridad para evitar la manipulación del regitro de tranaccione. 16

17 Lo itema de apueta diponen de regitro de la operacione de apueta y de lo reultado de eta. Concretamente e regitra la iguiente operacione: Apueta aceptada/confirmada con confirmación entregada al apotante; Apueta anulada/cancelada por la emprea; Apueta denegada; Pago/reembolo de apueta por la emprea. De dicha operacione e guarda información que permite garantizar u aociación temporal a fuente de tiempo fiable, y que permita recontruir completamente la operación. Se dipone de procedimiento de recontrucción de tranaccione. Se han etablecido medida de eguridad que garantizan la integridad de dicho regitro. Para la elaboración de lo regitro, e podrá tomar como referencia el documento: Modelo de dato de monitorización de operadore del juego en Epaña que publica la Dirección General de Ordenación del Juego en u web. Identificación P16 Artículo Artículo 19; Artículo 20 Capacidad de auditoría obre evento de apueta. Seguridad de lo regitro ante manipulación. Se debe poder recontruir en cualquier momento la tranaccione (evento de apueta) realizado en la UCA. Para ello e debe de proceder al regitro de la iguiente operacione y diponer de procedimiento/mecanimo de recontrucción de la tranaccione: Alta del evento obre el que e apueta. Modificación de parámetro del evento obre el que e apueta. Evento cancelado/anulado por parte de la emprea. del evento obre el que e apueta. Ademá de otra información indicada en el Marco de Referencia, e debe incluir en cada tranacción la fecha y la hora, procedente de una fuente no manipulable. Deben exitir medida de eguridad para evitar la manipulación del regitro de tranaccione. 17

18 Lo itema de apueta diponen de regitro de la operacione obre evento de apueta. De dicha operacione e guarda información que permite garantizar u aociación temporal a fuente de tiempo fiable, y que permita recontruir completamente la operación. Se han etablecido medida de eguridad que garantizan la integridad de dicho regitro. Para la elaboración de lo regitro, e podrá tomar como referencia el documento: Modelo de dato de monitorización de operadore del juego en Epaña que publica la Dirección General de Ordenación del Juego en u web. Identificación P17 Artículo Artículo 19; Artículo 20 Capacidad de auditoría obre operacione de reparto de premio. Seguridad de lo regitro ante manipulación. Se debe poder recontruir en cualquier momento la tranaccione de reparto de premio realizada en la UCA. Ademá de otra información indicada en el Marco de Referencia, e debe incluir en cada tranacción la fecha y la hora, procedente de una fuente no manipulable. Deben exitir medida de eguridad para evitar la manipulación del regitro de tranaccione. Lo itema de apueta diponen de regitro de la operacione obre la operacione de reparto de premio. De dicha operacione e guarda información que permite garantizar u aociación temporal a fuente de tiempo fiable, y que permita recontruir completamente la operación. Se han etablecido medida de eguridad que garantizan la integridad de dicho regitro. Para la elaboración de lo regitro, e podrá tomar como referencia el documento: Modelo de dato de monitorización de operadore del juego en Epaña que publica la Dirección General de Ordenación del Juego en u web. 18

19 Identificación P18 Artículo Artículo 19; Artículo 20 Regitro de operacione obre la UCA La UCA debe diponer de un regitro de toda la accione u operacione realizada en ella. Deben exitir medida de eguridad para evitar la manipulación del regitro de operacione. El itema de apueta dipone de un regitro de toda la accione u operacione realizada en el entorno de producción de la UCA. Dicho regitro contempla la iguiente operacione: Acceo autorizado incluyendo: - El identificador del uuario. - Terminal o dipoitivo dede el que e realiza el acceo. - La fecha y hora del acceo. - Tipo de evento. - Fichero accedido. - Programa o aplicacione uada. Intento de acceo no autorizado: - El identificador del uuario. - Terminal o dipoitivo dede el que e realiza el acceo. - La fecha y hora del acceo. - Accione del uuario rechazada. - Violacione de política de acceo. Operacione con privilegio realizada: - Uo de cuenta con privilegio. Ademá e han etablecido mecanimo de eguridad que garantizan la integridad de eto regitro. Para la elaboración de lo Regitro, e podrá tomar como referencia el documento: Modelo de dato de monitorización de operadore del juego en Epaña que publica la Dirección General de Ordenación del Juego en u web. 19

20 Identificación P19 Artículo Artículo 19; Artículo 20 Tiempo de almacenamiento de lo Regitro de operacione obre apueta, evento y reparto de premio. Según lo etablecido en el artículo 30 del código de comercio, lo regitro relativo a la actividad del negocio, deben er conervado durante un plazo mínimo de 6 año: - Regitro de operacione obre apueta - Regitro de operacione obre evento - Regitro de reparto de premio - Regitro acumulado de operacione de apueta (detinado a la Generalitat Valenciana) Lo regitro de la ditinta operacione de apueta, evento y reparto de premio, aí como el regitro acumulado on almacenado durante un periodo mínimo de 6 año. Identificación P20 Artículo Artículo 19 Realización periódica de intruión. La emprea debe realizar con una periodicidad mínima anual imulacione de ataque externo a lo itema de apueta con el objeto de detectar poible 20

21 vulnerabilidade de eguridad y tomar accione correctora para ubanarla. Verificar la exitencia de una planificación de eguridad de la información que contemple la realización periódica de intruión. Ademá de detallarán la prueba que e van a realizar. Identificación P21 Artículo Artículo 19 Plan de contingencia tecnológico Se debe diponer de un Plan de contingencia Tecnológica preparado para la indiponibilidad de la UCA principal y la máquina de apueta. Debe exitir una planificación periódica a realizar. La unidad central debe etar repaldada por al meno otra equivalente, capaz de tomar el control en cao de fallo de la principal. Se garantizar que el tiempo en el que la réplica aume el control eta dentro de lo límite etablecido. Lo dato de la apueta debe er enviado de forma imultánea tanto a la UCA principal como a la réplica, e decir, que lo dato deben etar on-line en la do UCA. Se dipone de un Plan de Contingencia formalizado, preparado para la indiponibilidad de la UCA principal y la máquina de apueta, aí como una planificación periódica a realizar. El Plan de Contingencia contemplará la media técnica, humana y organizativa necearia para garantizar la continuidad del ervicio. Ante diferente incidencia que dejan inoperativa la UCA principal, la UCA réplica toma el control y etá completamente operativa en un tiempo inferior a 45 minuto. Por otro lado, lo dato de la apueta on copiado imultáneamente en la UCA principal y en la réplica, diponiendo de la información replicada en tiempo real, garantizando que, en ningún cao e pierdan dato o tranaccione que afecten a lo derecho de lo participante. Se detallarán todo lo upueto en lo que e coniderará que la UCA etá indiponible. del comportamiento de la UCA cuando e ha reproducido cada una de lo 21

22 upueto. Método de detección de indiponibilidad de la UCA y procedimiento de actuación en cada cao. También e detallará lo upueto, el reultado del comportamiento y lo método de detección ante indiponibilidad de la máquina de apueta o de componente de la máquina de apueta. Identificación P22 Artículo Artículo 19, Artículo 20 Exitencia de política y procedimiento de Backup y de recuperación de dato. Para evitar poible contingencia, e deben realizar copia de eguridad periódica de lo itema de apueta (incluyendo información del itema, bae de dato, regitro, etc). Se debe diponer de procedimiento documentado de copia de eguridad y de recuperación de dato, aí como procedimiento y plane para verificar el correcto funcionamiento de eto. Se realizan copia de eguridad de lo dato de lo itema de apueta de forma periódica. La exitencia y decripción detallada de lo procedimiento operativo de realización de copia de eguridad aí como de procedimiento de recuperación de dato. La exitencia y decripción detallada de una planificación periódica de recuperación de dato para verificar que e puede retaurar correctamente la información Identificación P23 Artículo Artículo 19, Artículo 20 22

23 Exitencia de mecanimo de Seguridad perimetral Se debe diponer de olucione de eguridad perimetral (por ejemplo Firewall o Sitema de Detección de Intruo) con el objeto de proteger la rede de la emprea ante poible intruione. La política definida en dicha olucione deben garantizar que e regitran y detectan correctamente lo intento de acceo a lo itema de juego. Dicho regitro deben er reviado periódicamente. Se diponen de Firewall e IDS correctamente configurado para proteger la rede de la emprea frente a ataque externo. Lo intento de acceo on monitorizado y regitrado. Equema de la arquitectura de red y decripción de lo filtro configurado para la protección de lo ataque externo e interno. para inpeccionar, por parte de la conelleria, de lo intento de acceo. Identificación P24 Artículo Artículo 19, Artículo 20 Exitencia de mecanimo de control frente al Software malicioo Se debe diponer de antiviru actualizado para la protección de lo ervidore, ordenadore, y otro elemento que componen el itema de juego frente a oftware malicioo. Se dipone de Software antiviru actualizado en todo lo ervidore y equipo que componen el itema de apueta. 23

24 Identificación P25 Artículo Artículo 19, Artículo 20 Separación de entorno entre dearrollo y producción Con el fin de evitar errore accidentale o acceo no autorizado a dato, debe exitir una adecuada eparación entre lo entorno de dearrollo, prueba y producción, debiéndoe garantizar que lo dearrolladore no tienen acceo al entorno productivo. Lo uuario dearrolladore no tienen acceo al entorno de producción. El pao de un nuevo dearrollo / funcionalidad e trapaado al entorno de producción por peronal de explotación tra habere realizado la prueba correpondiente. Equema de la arquitectura de red donde aparezcan la ubicación y conexión de lo equipo de dearrollo. Identificación P26 Artículo Artículo 19, Artículo 20 Medida de eguridad contra peligro del entorno (inundacione, exploione, incendio, etc) La intalacione donde e ubiquen la UCA principal y u réplica deben cumplir una erie de requerimiento de de eguridad ambiental para minimizar el impacto de amenaza y peligro del entorno: - Techo / Suelo técnico - Sitema automático de extinción y detección de incendio - UPS o SAI - Detectore de humedad - Ubicación no eñalizada y in ventana. - Monitorización de la condicione ambientale de la UCA - Etc. 24

25 La ala donde e ubica la UCA principal y la ala donde e ubica la UCA réplica, dipone de adecuada medida de eguridad ambiental. Se dipone de una planificación a realizar para verificar el correcto funcionamiento de lo mecanimo de control ambiental. Identificación P27 Artículo Artículo 20 Ubicación de la UCA, y u réplica. La unidad central y u réplica deben etar ituada en el ámbito territorial de la Comunidad Valenciana, bajo el control y la vigilancia de la emprea titular, y a una ditancia razonable para minimizar el riego de que una amenaza afecte a amba. LA UCA y u réplica etán ituada dentro de la Comunidad Valenciana a una ditancia uficiente para reducir el impacto de una amenaza que pueda afectar a amba. 25

26 SEGURIDAD FISICA Identificación P28 Artículo Artículo 20 Control de Acceo (tanto a la UCA principal como a u Réplica) El acceo a la unidad central debe er retringido mediante un mecanimo que ofrezca uficiente garantía de eguridad. Ademá deben exitir procedimiento de autorización de acceo que definan quien puede y quien no puede acceder a la UCA. Exitencia y decripción detallada del mecanimo robuto de control de acceo fíico a la intalacione donde e ubica la UCA (y u réplica). Lo acceo a la intalacione on debidamente autorizado y regitrado. Identificación P29 Artículo Artículo 20 Ubicación de la UCA en un tercero En el cao de que la UCA e encuentre ubicada en la dependencia de un tercero, el contrato entre la emprea titular y la emprea que realiza el hoting contendrá lo clauulado y lo acuerdo neceario que permitan garantizar la medida de eguridad fíica y ambiente definida en el Marco de Referencia. Si e ubcontratan ervicio de alojamiento, operación, mantenimiento tanto en equipo, oftware o comunicacione con tercero, confirmar que exite un contrato (incluir la cláuula que recogen la medida de eguridad) con la emprea que alberga la UCA, donde e garantizan la medida de eguridad mínima requerida. 26

27 Identificación P30 Artículo Artículo 19, Artículo 20 Seguridad fíica de la maquina de apueta La maquina auxiliare / terminale de expedición deberán diponer de mecanimo fíico que impidan el acceo a lo dato y itema que alojan. La maquina auxiliare etán convenientemente protegida mediante mecanimo fíico (etructura hermética, cerradura epeciale, ubicación controlada, etc) para evitar el acceo a lo dato y itema que alojan. Lo terminale de expedición etán adecuadamente protegido mediante mecanimo fíico (mampara de protección, ubicación controlada, etc) para evitar lo acceo no autorizado. 27

28 CUMPLIMIENTO DE LA LEGISLACIÓN VIGENTE Identificación P31 Artículo Artículo 17; Artículo 44 Garantizar el cumplimiento de la legilación y normativa de aplicación La emprea titulare de la autorización debido a la actividad que deempeñan, lo dato que tratan y lo canale de comunicación que utilizan etán ujeto a diferente normativa de obligado cumplimiento. Se debe verificar el grado de cumplimiento de la diferente normativa que reulten de aplicación, en epecial la relativa a la protección de dato de carácter peronal (Ley 15/1999 y RD 1720/2007). La emprea titular eta adecuada a la LOPD: ha declarado u fichero a la AEPD, e dipone de Documento de Seguridad y e ha realizado la auditoría LOPD bi-anual obligatoria. 28

29 OTRAS VERIFICACIONES Identificación P32 Artículo Artículo 20 Capacidad de Getionar todo lo equipo y uuario La Unidad Central debe etar preparada para getionar un número definido de equipo y uuario (totale y imultáneo) garantizando el correcto funcionamiento de la apueta. Se debe conocer el comportamiento del itema en cao de que e upere dicho máximo mediante intento de aturación. La UCA oporta de forma adecuada el número de equipo y uuario para lo que etá definida, garantizando el correcto funcionamiento de la apueta para todo lo uuario para lo que e ha olicitado autorización. Identificación P33 Artículo Artículo 22; Artículo 23 Funcionalidade y dependencia de la Unidad Central Lo terminale de apueta y la maquina auxiliare deben permitir la realización de apueta y la emiión del boleto. Su funcionamiento debe quedar condicionado por u conexión con la UCA. Lo Terminale de apueta y maquina auxiliare permiten fundamentalmente la definición de apueta, la petición de aceptación y expedición de boleto y la verificación de i un boleto incluye una apueta ganadora. Lo Terminale de expedición y maquina auxiliare funcionan iempre mediante conexión con al UCA, no permitiendo la emiión de apueta i la conexión no etá activa. 29

30 Identificación P34 Artículo Artículo 22; Artículo 23;Artículo 44 Funcionalidade y dependencia de la Unidad Central (medio electrónico, telemático o de comunicación a ditancia) Lo medio electrónico, telemático o de comunicación a ditancia deben permitir la realización de apueta y la emiión del boleto. Su funcionamiento debe quedar condicionado por u conexión con la UCA. Lo medio electrónico, telemático o de comunicación a ditancia permiten fundamentalmente la definición de apueta, la petición de aceptación y expedición de boleto y la verificación de i un boleto incluye una apueta ganadora. Se etudiarán la alternativa que ofrece el operador para que el apotante pueda guardar el boleto en u ordenador peronal, en un fichero PDF o algún otro formato que garantice la integridad del contenido. No e permite la emiión de apueta i la conexión no etá activa. Identificación P35 Artículo Artículo 21 Poibilidad de incorporan marca de fabrica Lo terminale y maquina de apueta deben permitir la incorporación de marca de fabrica. Eta pueden er mediante impreión mecánica o informática, pero en cualquier cao deben er inviolable y permitir u fácil lectura directa por parte de lo órgano competente de la Adminitración. 30

31 Lo terminale de expedición y maquina auxiliare diponen del epacio neceario para incorporar en u exterior una pegatina o chapa identificativa. Identificación P36 Artículo Artículo 21 Advertencia en maquina auxiliare de la prohibición a menore de edad. En la maquina auxiliare e debe hacer contar con claridad y de forma viible la prohibición de la participación en la apueta de menore. La maquina auxiliare diponen de pegatina/cartele/chapa/otro advirtiendo la prohibición a menore. También e incluye eta advertencia en el monitor de la máquina de la auxiliar. Identificación P37 Artículo Artículo 22; Artículo 23; Artículo 44 Formalización y Validación de la apueta La validación de la apueta debe ir pareja a la emiión del boleto o documento electrónico equivalente. Si no e acepta la apueta, no e debe emitir boleto. 31

32 Se produce la correcta emiión del boleto una vez e ha aceptado la apueta por la maquina auxiliar / terminal de expedición. Si e producen incidencia durante el proceo (fallo en la impreión, error de conexión, etc) en el terminal o maquina auxiliar o en el equipo de comunicación a ditancia y no e acepta la apueta por la UCA, no e imprime/envía el boleto y la apueta no queda regitrada en la BD de la UCA. Identificación P38 Artículo Artículo 23 Aplazamiento o anulación de evento La emprea debe tener etablecida una procedimiento que regule la operación del itema en cao de aplazamiento de apueta o anulación de un evento que forme parte de una apueta múltiple. Exite una normativa que regula la operación del itema en cao de aplazamiento o anulación de apueta. Identificación P39 Artículo Artículo 23 Devolución del importe en cao de anulación de la apueta En cao de que la apueta e anule por cualquier caua e debe devolver el importe integro de la mima mediante lo mecanimo de pago etablecido en el Reglamento. 32

33 Se devuelve el importe integro por mecanimo de pago permitido por el Reglamento tra la anulación de una apueta. Identificación P40 Artículo Artículo 23 Inalterabilidad del coeficiente de la apueta en la apueta de contrapartida La apueta de contrapartida deben mantener invariable el coeficiente una vez formalizada y validada la apueta. El coeficiente no puede er manipulado ni modificado, ademá ete coincide con el impreo en el boleto. Identificación P41 Artículo Artículo 23; Artículo 29 Validez del boleto como documento acreditar de la apueta El boleto o reguardo (ya ea fíico o electrónico) debe permitir acreditar la apueta, para ello debe incluir un código identificativo (código de barra, numérico, etc) que pueda er reconocido por el itema para identificar la apueta. El boleto incluye un código identificativo que permite er reconocido por la UCA para identificar la apueta. 33

34 Identificación P42 Artículo Artículo 23 Poibilidad de formalizar apueta mientra e encuentre operativo lo terminale o maquina auxiliare. La apueta formalizada obre el Terminal o maquina auxiliar deben er valida i ete la admite, aun no etando operativo algún otro elemento del itema. El Terminal o maquina debe de quedar No operativo i por algún motivo no pueden formalizare apueta El terminal de expedición / maquina auxiliar queda no operativo i no pueden formalizare apueta. Identificación P43 Artículo Artículo 23 Bloqueo automático e independiente de cada una de la apueta en el momento del cierre (tipo mutuo, compartida y cruzada). Garantía de que e ante del comienzo de lo evento objeto de apueta en el cao de tipo mutuo; y ante del fin de lo evento en el cao de la de tipo contrapartida y cruzada. El cierre de la apueta debe originar el bloqueo automático e intantáneo de dicha apueta en lo terminale y máquina auxiliare. En la apueta mutua e debe garantizar que el cierre de la apueta e anterior al comienzo de lo evento. En el cao de la pueta de contrapartida y cruzada e debe garantizar que el cierre de la apueta e anterior al fin de lo evento. 34

35 Se produce el bloqueo automático e intantáneo de la apueta cerrada en lo terminale y maquina auxiliare. Identificación P44 Artículo Artículo 26 Información de lo reultado Lo reultado deben dare a conocer tanto en lo locale y zona de apueta como en lo itema de comunicación a ditancia. Se debe garantizar la correcta y imultanea difuión de lo reultado en todo lo medio y canale coniderado. Lo reultado de la apueta on difundido de forma intantánea por lo diferente medio técnico etablecido. Identificación P45 Artículo Artículo 28 Premio en la apueta mutua De lo ingreo por venta e deberá retraer la cantidade detinada a impueto. El fondo detinado a premio no erá inferior al 70 por 100 del fondo repartible. El dividendo por unidad de apueta erá la cantidad reultante de dividir el fondo detinado a premio entre la unidade de apueta acertada. Lo reultado para el premio por unidad de apueta deben er redondeado a céntimo de EURO. En cao de no acertante el fondo de premio e acumulará a la iguiente apueta mutua obre acontecimiento imilar a fijar por la emprea. No obtante, e ofrecerá iempre al apotante la opción de recuperar íntegramente el importe de u apueta. 35

36 La cantidade calculada por el itema y el porcentaje para el cálculo de lo premio deben diponer de medida de eguridad para impedir u manipulación. El cálculo del premio en la apueta mutua e realiza egún el método etablecido en el Reglamento. Exitencia y decripción del mecanimo utilizado por la emprea para garantizar el artículo 28.4 (ofrecerá iempre al apotante la opción de recuperar íntegramente el importe de u apueta). Identificación P46 Artículo Artículo 28 Premio en la apueta de contrapartida En la apueta de contrapartida, el premio por apueta unitaria e obtendrá multiplicando el coeficiente validado previamente por la emprea autorizada por cada unidad de apueta acertada. El cálculo del premio en la apueta de contrapartida e realiza egún el método etablecido en el Reglamento. Identificación P47 Artículo Artículo 28 Premio en la apueta cruzada 36

37 El premio por apueta erá la cantidad apotada por el jugador meno la comiión de emprea organizadora ( máximo 10% de la cantidade apotada a apueta ganadora) El cálculo del premio en la apueta cruzada e realiza egún el método etablecido en el Reglamento. Identificación P48 Artículo Artículo 29 Abono de premio en Terminale y maquina auxiliare El cálculo de la cantidade implicada en el reparto de premio no excederá de la 24 hora dede la validez del reultado del evento, realizándoe por cualquier medio legal de pago (excepto en metálico) y in cote para el uuario. Se debe garantizar el correcto funcionamiento del itema en cao de incidencia (falta de fluido eléctrico, fallo en la comunicacione, etc) Se diponen de lo medio técnico neceario para admitir el cobro de la apueta en un tiempo inferior a 24 hora. Exitencia y decripción detallada de lo mecanimo para garantizar el pago en cao de incidencia. Identificación P49 Artículo Artículo 29 Plazo de reparto de premio en apueta realizada por itema de comunicación a ditancia 37

38 El reparto de premio erá de manera automática en el intante de terminar el cálculo de la operacione de reparto mediante lo medio de pago permitido por el Reglamento. Se diponen de lo medio técnico neceario para admitir el cobro de la apueta en un tiempo inferior a 24 hora. Aí mimo e diponen de mecanimo para garantizar el pago en cao de incidencia. Identificación P50 Artículo Artículo 30 Caducidad del derecho al cobro El itema de apueta debe garantizar que el derecho al cobro caducará ante de lo 3 mee de la fecha de pueta a dipoición. El itema dipondrá de adecuada medida de eguridad para garantizar la no manipulación de lo tiempo de caducidad de la apueta realizada y no realizada. El itema calcula correctamente el tiempo de caducidad del cobro de la apueta. Exiten medida para evitar la manipulación de ete cálculo. Identificación P51 Artículo Artículo 29 Getión de premio de cuantía uperior a 3005,06 euro Lo premio de cuantía uperior a 3005,06 euro deben er comunicado al organimo competente en materia de tributación del juego de la Generalitat Valenciana. 38

39 El itema, en el cao de premio con cuantía uperior a 3005,06 informa al afectado de que u dato peronale (nombre, apellido, y NIF) erán enviado a la Generalitat Valenciana. Identificación P52 Artículo Artículo 29 Abono de premio y la getión de premio de cuantía uperior a 3005,06 euro en maquina auxiliare. El abono de la apueta acertada no podrá realizare por la propia terminal o máquina auxiliar de apueta en moneda metálica o papel moneda. Cuando e obtenga un premio de cuantía uperior a 3005,06 euro debe er identificado el apotante. En ningún cao lo premio e podrán abonar en la propia terminal o máquina auxiliar de apueta en moneda metálica o papel moneda. Detallar el mecanimo por el que e informa al afectado indicándole lo locale a lo que puede acudir con el boleto para proceder a u cobro. Eo locale deberán diponer de peronal para poder identificar a la perona que cobra el premio. Detallar el contenido y lo mecanimo por lo que e realizará la comunicación trimetral de lo premio abonado cuya cuantía ea uperior a 3.005,06 Euro. Identificación P53 Artículo NA El itema deberá etar dotado de mecanimo que permitan garantizar que el ámbito de dearrollo, celebración o comercialización de la apueta no exceda del territorio de la Comunidad Valenciana cuando eta e formalicen por 39

40 medio electrónico, telemático o de comunicación a ditancia. El itema deberá etar dotado de mecanimo que permitan etablecer el ámbito de dearrollo, celebración o comercialización de la apueta cuando eta e lleven a cabo mediante medio electrónico, telemático o de comunicación a ditancia, ea cual ea ete (Internet, teléfono, TDT, etc). Exitencia y decripción detallada de lo mecanimo etablecido que permitan garantizar que el apotante e encuentra dentro del ámbito territorial de la Comunidad Valenciana. 40