Agencia Estatal Boletín Oficial del Estado
La Ley 13/2011, de 27 de mayo, de regulación del juego, establece el marco regulatorio de la actividad de juego, en sus distintas modalidades, que se desarrolle con ámbito estatal, con el fin de garantizar la protección del orden público, luchar contra el fraude, prevenir las conductas adictivas, proteger los derechos de los menores y salvaguardar los derechos de los participantes en los juegos.
El establecimiento de los requisitos técnicos de la referida Ley 13/2011 ha sido objeto del Real Decreto 1613/2011, de 14 de noviembre, que atribuye en la Disposición final primera a la Comisión Nacional del Juego el desarrollo de determinados aspectos técnicos propios de la comercialización de las actividades de juego objeto de la citada Ley.
Toda vez que la Comisión Nacional del Juego no ha sido efectivamente constituida y en aplicación de la disposición transitoria primera de la Ley 13/2011, de 27 de mayo, de regulación del juego, corresponde a esta Dirección General de Ordenación del Juego del Ministerio de Economía y Hacienda el desarrollo y concreción de los requisitos de carácter técnico establecidos en la citada Ley 13/2011 y en el Real Decreto 1613/2011, de 14 de noviembre, que la desarrolla.
En su virtud, y previo informe favorable de la Abogacía del Estado en la Secretaría de Estado de Hacienda y Presupuestos del Ministerio de Economía y Hacienda, acuerda:
Aprobar la Disposición por la que se desarrollan las especificaciones técnicas que deben cumplir los sistemas técnicos de juego habilitados en España y sus mecanismos de control que se acompaña como Anexo I a esta Resolución.
A las actividades de juego realizadas a través de mensajería de texto, a través de servicios telefónicos fijos o móviles o de medios de comunicación audiovisual, no les serán aplicables las especificaciones técnicas previstas en esta disposición incompatible con la naturaleza y características del canal de participación del juego.
Las referencias que en la Disposición que aprueba esta Resolución se hacen a la Comisión Nacional del Juego se entenderán hechas a la Dirección General de Ordenación del Juego del Ministerio de Economía y Hacienda o centro directivo al que se atribuyan legalmente sus competencias hasta la efectiva constitución del citado Organismo regulador. Las referencias al Presidente de la Comisión Nacional del Juego se entenderán hechas al Director General de Ordenación del Juego.
La presente Resolución entrará en vigor el día siguiente al de su publicación en el «Boletín Oficial del Estado».
Madrid, 16 de noviembre de 2011.–La Directora General de Ordenación del Juego, Inmaculada Vela Sastre.
Índice
1. Disposiciones generales.
1.1 Objeto.
1.2 Definiciones.
2. Registro de usuario, cuenta de juego, medios de pago.
2.1 Registro de usuario y limitación en la participación.
2.2 Depósitos de los participantes.
2.3 Medios de pago y cobro.
2.4 Protección de datos personales.
3. Juego.
3.1 Reglamentación básica del juego.
3.2 Redirección al dominio «.es».
3.3 Porcentaje de retorno al participante.
3.4 Tablas de premios.
3.5 Generador de números aleatorios (GNA).
3.6 Lógica del juego.
3.7 Terminales de usuario.
3.8 Sesión de juego.
3.9 Interfaz gráfica.
3.10 Integración en redes de juego con otros operadores.
3.11 Deshabilitación de un juego o de una sesión de juego.
3.12 Juego incompleto.
3.13 Juego automático.
3.14 Repetición de la jugada.
3.15 Jugadores virtuales.
3.16 Juegos metamórficos
3.17 Participante en estado «ausente».
3.18 Juegos multiparticipante con anfitrión.
3.19 Juego «en vivo».
3.20 Botes, botes progresivos, y premios adicionales.
4. Seguridad de los Sistemas de Información.
4.1 Componentes críticos.
4.2 Gestión de la seguridad del sistema técnico de juego.
4.3 Gestión de riesgos.
4.4 Política de Seguridad.
4.5 Organización de la Seguridad de la Información.
4.6 Seguridad en la comunicación con los participantes.
4.7 Seguridad de recursos humanos y terceros.
4.8 Seguridad física y medioambiental.
4.9 Gestión de Comunicaciones y Operaciones.
4.10 Control de Acceso.
4.11 Compra, desarrollo y mantenimiento de los sistemas.
4.12 Gestión de incidentes de seguridad.
4.13 Gestión de cambios.
4.14 Gestión de la disponibilidad del servicio.
4.15 Plan de prevención de pérdida de información.
4.16 Gestión de la continuidad de negocio.
4.17 Test de penetración y análisis de vulnerabilidades.
5. Sistema de Control Interno e inspección.
5.1 Sistema de Control Interno.
6. Registros y logs del Sistema Técnico de Juego.
6.1 Registro y trazabilidad.
6.2 Registro en función del canal de comercialización.
1. Disposiciones generales
1.1 Objeto.
Esta Disposición tiene por objeto el desarrollo de las especificaciones técnicas que deben cumplir los sistemas técnicos de juego de los operadores con licencia otorgada al amparo de la Ley 13/2011, de 27 de mayo, de regulación del juego y los mecanismos de control de los mismos.
La infraestructura técnica de los operadores garantizará la supervisión por parte de la Comisión Nacional del Juego de las operaciones de juego realizadas, la obtención de los registros generados durante su desarrollo y la generación y puesta a disposición de la Comisión Nacional del Juego de cualquier otra información que sea considerada relevante.
A estos efectos se establecen las especificaciones para el almacenamiento de los registros de operaciones de juego y su trazabilidad, en el formato y de conformidad con el procedimiento establecido por la Comisión Nacional del Juego y se detallan los requerimientos de seguridad de los sistemas de información utilizados para el juego, tanto física como lógica, así como los de organización y gestión de los mismos.
1.2 Definiciones.
A los efectos de esta Disposición, los términos que en ella se emplean tendrán el sentido que se establece en el presente apartado.
1. Sistema Técnico de Juego: Se entiende por sistema técnico de juego al conjunto de equipos, sistemas, terminales, instrumentos y material software empleado por el operador para la organización, explotación y desarrollo de la actividad de juego. El sistema técnico de juego soporta todas las operaciones necesarias para la organización, explotación y desarrollo de la actividad de juego, así como la detección y el registro de las transacciones correspondientes entre los participantes y el operador.
Los elementos básicos del sistema técnico de juego son la Unidad Central de Juegos y el sistema de control interno. El sistema técnico de juego facilitará la información necesaria para su control en castellano. En caso de no estar disponible en castellano, la Comisión Nacional del Juego podrá requerir su traducción, con carácter permanente o puntual.
2. Unidad Central de Juegos: La Unidad Central de Juegos es el conjunto de elementos técnicos necesarios para procesar y gestionar las operaciones realizadas por los participantes en los juegos.
Forman parte de la Unidad Central de Juegos, la Plataforma de Juegos y el Software de Juegos.
3. Plataforma de Juego: La plataforma de juego es la infraestructura de software y hardware que constituye la interfaz principal entre el participante y el operador de juego y que ofrece al participante las herramientas necesarias para abrir y cerrar su cuenta, grabar y editar la información de su perfil, depositar o retirar fondos de su cuenta de juego, visualizar el detalle de los movimientos en su cuenta o un resumen de los mismos.
La plataforma de juego incluye cualquier sitio web que muestre información relevante al participante sobre los juegos ofrecidos por el operador, así como cualquier software cliente que el participante tenga que descargarse para poder interactuar con la plataforma.
La plataforma de juego permite al operador gestionar las cuentas de juego de los participantes, así como las transacciones financieras de juego, informar sobre los resultados de los juegos, habilitar o deshabilitar registros y cuentas y establecer todos los parámetros configurables.
Forman parte de la plataforma de juego los siguientes componentes:
● Las bases de datos que recogen los datos de carácter personal de los participantes en los juegos, los relativos a la totalidad de las transacciones realizadas por los participantes y la información relativa a resultados de eventos o acontecimientos deportivos, coeficientes, etc.
● Las pasarelas de pagos que permiten realizar las transacciones económicas entre el participante y el operador de juego y que contienen la lógica necesaria para transferir fondos desde el medio de pago empleado por el participante al operador y desde éste al participante.
La plataforma de juego deberá cumplir con los requisitos técnicos que se establecen en esta Disposición.
4. Software de juego: Se entiende por software de juego cada uno de los módulos o componentes software que permiten gestionar cada uno de los juegos, autorizar e implementar las reglas de cada uno de ellos y a los que se accede desde la plataforma de juego.
5. Generador de Números Aleatorios: El generador de números aleatorios, también conocido por sus siglas GNA, es el componente software o hardware que, mediante procedimientos que garantizan su aleatoriedad, generan los resultados numéricos que son empleados por el operador para la determinación de los resultados de cada uno de los juegos en los que se utiliza.
Mediante un proceso denominado escalamiento, se convertirá el resultado bruto obtenido por el generador de números aleatorios en un valor dentro del rango de valores que admita cada juego (52 valores de cartas, n números de bingo). Estos números, mediante el proceso de traslación o mapeado, se convierten a los símbolos que utiliza el juego (naipes, bolas, etc.).
6. Sistema de Control Interno: El Sistema de Control Interno o SCI, es el conjunto de componentes destinados a registrar las transacciones realizadas en el desarrollo de los juegos al objeto de garantizar a la Comisión Nacional del Juego la posibilidad de mantener un control permanente sobre las actividades de juego del operador.
El Sistema de Control Interno estará formado por el capturador y la base de datos segura o almacén de operaciones de juego.
7. Capturador: El capturador es el componente del sistema de control interno del operador destinado a la captura y registro de los datos de monitorización y control establecidos por la Comisión Nacional del Juego, su traducción y su almacenamiento en el dispositivo denominado almacén de operaciones de juego.
8. La base de datos segura o almacén de operaciones de juego: La base de datos segura o almacén de operaciones de juego (en adelante, almacén) es el dispositivo ubicado en España que contiene los datos de monitorización y control introducidos por el capturador y al que en todo momento puede acceder la Comisión Nacional del Juego. La información extraída del sistema de juego por el capturador deberá almacenarse, con el formato y estructura establecido por la Comisión Nacional del Juego.
9. Registro de usuario: Se entiende por registro de usuario al registro único que permite al participante acceder a las actividades de juego de un determinado operador y en la que se recogen, entre otros, los datos que permiten la identificación del participante y los que posibilitan la realización de transacciones económicas entre éste y el operador de juego.
10. Cuenta de juego: Se entiende por cuenta de juego a la cuenta abierta por el participante, de forma vinculada a su registro de usuario, en la que se cargan los ingresos de las cantidades económicas destinadas por éste al pago de la participación en las actividades de juego y se abonan los importes de los premios obtenidos por la participación. La cuenta de juego no puede, en ningún caso, presentar saldo acreedor.
2. Registro de usuario, cuenta de juego y medios de pago
2.1 Registro de usuario y limitación en la participación.
2.1.1 Identificación de los participantes.
La identificación de los participantes se realizará a través de un registro de usuario que deberá contener, al menos, los siguientes datos:
● Datos de identificación:
○ Para residentes, número de identificación fiscal (NIF) o número de identificación de extranjeros (NIE).
○ Para no residentes, un documento equivalente: documento de identidad, tarjeta de la seguridad social, pasaporte, permiso de conducir.
○ Nombre y apellidos.
● Datos personales:
○ Fecha de nacimiento.
○ Sexo.
○ Domicilio.
○ Para los no residentes, país de residencia.
○ Nacionalidad.
○ Email.
○ Teléfono.
● Datos de residencia fiscal:
○ Código de residencia fiscal del participante, de acuerdo con lo dispuesto en el modelo 763 de autoliquidación del Impuesto sobre actividades de juego, aprobado en Orden EHA/1881/2011, de 5 de julio.
○ Para no residentes será necesario que el participante aporte una copia del documento utilizado para su identificación.
2.1.2 Conservación de copia de los documentos aportados.
El operador establecerá los procedimientos técnicos necesarios para la conservación de la copia digital de los documentos aportados por los participantes.
2.1.3 Contrato de juego.
El operador conservará el registro de la aceptación del contrato de juego y de sus eventuales modificaciones.
2.1.4 Servicios de verificación ofrecidos por la Comisión Nacional del Juego.
La Comisión Nacional del Juego proporciona a los operadores un servicio online de verificación de los datos de identidad y fecha de nacimiento para participantes residentes en España: el servicio de verificación se basa en el NIF/NIE del participante.
La Comisión Nacional del Juego proporciona a los operadores dos servicios online de verificación para la inscripción de los participantes en el Registro General de Interdicciones de Acceso al Juego:
● Un servicio de verificación de la inscripción de un participante en el Registro General de Interdicciones de Acceso al Juego para participantes residentes en España a partir de NIF/NIE. Los operadores deberán utilizar este servicio para comprobar la inscripción en el proceso de registro de usuario.
● Un servicio de consulta de las variaciones (altas/bajas) en la inscripción en el Registro General de Interdicciones de Acceso al Juego, correspondientes a los participantes que previamente hubiera verificado el operador. Los operadores deberán utilizar este servicio cada hora para verificar las variaciones en la inscripción en el Registro General de Interdicciones de Acceso al Juego de sus participantes.
2.1.5 Revisión periódica de los registros de usuario.
El operador establecerá los procedimientos técnicos necesarios que permitan la revisión periódica de los registros de usuario en los términos establecidos en el artículo 26.3 del Real Decreto 1613/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, de regulación del juego, en lo relativo a los requisitos técnicos de las actividades de juego.
2.1.6 Cancelación del registro de usuario.
El operador conservará los datos de los registros de usuario cancelados. En el registro se detallará el momento de cancelación y el motivo.
2.1.7 Activación del registro de usuario y limitación en la participación.
El operador dispondrá de un procedimiento documentado de registro y activación de usuario que recogerá los requisitos identificación y limitación de la participación establecidos en los artículos 26 y 27 del Real Decreto 1613/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, de regulación del juego, en lo relativo a los requisitos técnicos de las actividades de juego.
El operador deberá contar con un servicio de verificación de los datos de identidad y fecha de nacimiento suficiente para determinar la veracidad del registro. Este servicio podrá ser prestado por terceros que presten servicios profesionales de verificación de identidad.
2.1.8 Suspensión por inactividad.
El operador mantendrá un registro de los registros de usuario suspendidos por inactividad en el que se incluirá la fecha de suspensión.
2.1.9 Suspensión cautelar del registro de usuario.
El operador mantendrá un padrón de los registros de usuario suspendidos por los motivos establecidos en el artículo 33.2 del Real Decreto 1614/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, de regulación del juego, en lo relativo a licencias, autorizaciones y registros del juego. El padrón incluirá la fecha y el motivo de la suspensión.
2.1.10 Registro de usuario activo único.
El operador establecerá los procedimientos y mecanismos necesarios para garantizar el requisito de registro de usuario activo único por participante del artículo 26.2 del Real Decreto 1613/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, de regulación del juego, en lo relativo a los requisitos técnicos de las actividades de juego.
2.1.11 Identificación para el acceso.
Una vez se haya completado el proceso de registro se asignará al participante un identificador único de usuario. Los accesos al registro de usuario y a la cuenta de juego deben estar reservados en exclusiva al participante titular del registro.
2.1.12 Autenticación del usuario y política de contraseñas.
El acceso al registro de usuario deberá contar con mecanismos de seguridad para autenticar al usuario en la plataforma.
La autenticación del usuario podrá realizarse mediante la utilización de contraseñas. La política de contraseñas deberá contemplar, al menos, los siguientes requisitos mínimos:
● Deberá establecerse, por defecto o por el participante, una contraseña inicial de usuario.
● Durante el proceso de definición de la contraseña de usuario, el participante deberá ser informado sobre buenas prácticas en la elección de contraseñas seguras.
● La longitud mínima de la contraseña será de 4 caracteres o dígitos.
● Si la contraseña es establecida por el usuario y su longitud es inferior a 6 caracteres, de los cuáles al menos uno será letra y al menos uno será un dígito, el usuario recibirá un mensaje recomendando de buenas prácticas en la elección de contraseñas seguras. El usuario deberá volver a validar su decisión.
● La contraseña no podrá contener ninguno de los siguientes datos: el nombre de usuario, el seudónimo, el nombre o apellidos o la fecha de nacimiento del participante.
● Deberá ofrecerse al usuario un recordatorio de cambio de contraseña con una frecuencia mínima anual, aunque no es obligatorio que el usuario realice el cambio.
● El mecanismo de identificación mediante usuario y contraseña deberá bloquearse si se producen en un mismo día más de 5 intentos de acceso erróneos. El operador podrá establecer un límite inferior a este requisito.
El operador podrá proporcionar otros métodos de autenticación del usuario siempre que ofrezcan un nivel de seguridad mayor que el de la contraseña.
El sistema conservará registro de todos los intentos de acceso, ya sean con o sin éxito, para su posterior auditoría.
El operador dispondrá de un procedimiento documentado de seguridad de acceso del usuario en el que se describirá:
▪ El modo en que se protege el registro de usuario de accesos no autorizados.
▪ La existencia o no de un medio indirecto, o asistido por personal del operador, de acceder al registro de usuario, previa superación de preguntas antes de conceder el acceso o renovarlo.
▪ El tratamiento de identificadores de usuario o contraseñas perdidos.
2.2 Depósitos de los participantes.
2.2.1 Procedimiento de control de la cuenta de depósitos.
Las obligaciones del operador en relación con los fondos de los participantes son las establecidas en el artículo 39 del Real Decreto 1614/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, de regulación del juego, en lo relativo a licencias, autorizaciones y registros del juego.
2.2.2 Cuenta de juego. Asociación al registro de usuario.
Cada registro de usuario tendrá vinculada una o varias cuentas de juego. De las cuentas vinculadas al mismo registro de usuario, al menos una permitirá el depósito y la retirada de fondos. La transferencia de fondos entre las diferentes cuentas de juego vinculadas al mismo registro de usuario será inmediata y gratuita para el participante. Cada cuenta de juego permitirá abonar la participación en uno, varios o todos los juegos ofrecidos en la plataforma.
2.2.3 Historial.
El participante podrá consultar en tiempo real el saldo de la cuenta de juego y el registro, al menos, de todas las participaciones o jugadas efectuadas en los últimos treinta días.
2.2.4 Unidades de la cuenta de juego.
De conformidad con lo dispuesto en el artículo 35.2 del Real Decreto 1614/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, de regulación del juego, en lo relativo a licencias, autorizaciones y registros del juego, la unidad monetaria de la cuenta de juego es el euro.
El operador puede emplear otras unidades como puntos de bonificación («bonus»), puntos para pagar entrada en torneos u otros. La plataforma registrará el saldo y los movimientos expresados en cada una de las unidades.
2.2.5 Prohibición de transferencias entre participantes.
El operador establecerá los procedimientos técnicos necesarios que impidan las transferencias entre cuentas de juego asociadas a diferentes registros de usuario.
2.2.6 Ofertas promocionales.
Si las condiciones de las ofertas promocionales establecieran una cantidad a acumular, por ejemplo de puntos, el participante deberá poder consultar los puntos que ha acumulado o los que le restan para cumplir las condiciones.
2.2.7 Cuentas asociadas a registros de usuario en estado diferente a activo.
Los registros de usuario en estado diferente a activo tienen restringida en todo o en parte su operativa en la plataforma. El operador deberá disponer de un procedimiento documentado de controles técnicos y revisiones para garantizar que las cuentas de juego asociadas a registros de usuario en estado diferente a activo no realizan movimientos indebidos.
2.2.8 Saldo acreedor.
Ninguna cuenta de juego puede presentar saldo acreedor. Si no existe suficiente saldo disponible en la cuenta de juego, las participaciones en el juego deben ser rechazadas y las retiradas de fondos no permitidas.
Sin perjuicio de lo establecido en el párrafo anterior, el operador dispondrá de un procedimiento documentado para corregir posibles errores que puedan producir temporalmente saldos acreedores como consecuencia de errores del operador. Este procedimiento incluirá un registro de las mismas identificando la causa y su rectificación.
2.3 Medios de pago y cobro.
2.3.1 Retirada de fondos.
El operador establecerá un procedimiento para ordenar al medio de pago que corresponda la transferencia de fondos en un plazo máximo de 24 horas. Este procedimiento deberá prever que en caso excepcional de no de no cumplirse el plazo referido deberá ser previamente notificado a la Comisión Nacional del Juego.
2.3.2 Límites de depósito.
El operador mantendrá un registro con las modificaciones en los límites de depósito detallada por registro de usuario. El registro incluirá la fecha y el motivo de la modificación.
2.4 Protección de datos personales.
2.4.1 Protección de Datos.
Los operadores establecerán los procedimientos técnicos adecuados para mantener la privacidad de los datos de los participantes de conformidad con la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su normativa complementaria.
Los operadores deberán asimismo implantar sobre los ficheros y tratamientos las medidas de seguridad establecidas en la normativa vigente en materia de protección de datos y dar cumplimiento al deber de secreto impuesto por dicha normativa.
2.4.2 Política de privacidad.
El operador publicará en la plataforma de juego su política de privacidad.
Para completar el proceso de registro de usuario, el participante deberá dar su consentimiento a la política del operador. La plataforma registrará la aceptación del participante y el contenido de la política de privacidad o un enlace al texto de la misma. Cualquier modificación posterior de la política de privacidad requerirá su comunicación al usuario y su aceptación.
El operador dispondrá de un plan técnico y operativo para asegurar la privacidad de los datos de los usuarios.
3. Juego
3.1 Reglamentación básica del juego.
Los operadores deberán implantar en su sistema de juego los procedimientos necesarios para cumplir los requisitos establecidos en la reglamentación básica de cada juego y que se establece en la correspondiente Orden Ministerial y, en particular, los requisitos establecidos respecto de:
● Reglas particulares del juego.
● Reclamaciones de los participantes.
● Obligaciones de información a los participantes.
● Promoción de los juegos.
● Canales y medios de participación.
● Objetivo del juego.
● Participación en el juego y límites a la participación.
● Desarrollo del juego, determinación y asignación de los premios.
● Formalización de apuestas o jugadas y supuestos de anulación y aplazamiento.
● Pago de premios.
3.2 Redirección al dominio «.es».
El operador establecerá los procedimientos y mecanismos necesarios para garantizar que todas las conexiones realizadas desde España o con un registro de usuario español se dirijan a un sitio Web con nombre de dominio bajo «.es».
3.3 Porcentaje de retorno al participante.
En aquellos juegos donde sea posible, los operadores determinarán el porcentaje teórico de retorno al participante. Los porcentajes teóricos de retorno al participante serán públicos y accesibles para los participantes, y figurarán, al menos, en las reglas particulares del juego.
En el caso del porcentaje teórico de retorno al participante se debe informar siempre del mínimo o del rango esperado, así como una explicación de su significado para cada juego o familia de juegos. Un participante que siga una estrategia de juego óptima debe obtener un porcentaje de retorno al participante superior al informado al participante. El operador deberá garantizar que también obtiene un porcentaje de retorno al participante igual o superior un participante que siga una estrategia de juego media.
El operador deberá acreditar a la Comisión Nacional del Juego el porcentaje de retorno al participante de cada juego.
El operador conservará registro de los cambios en el porcentaje de retorno al participante de cada juego, a efectos de su revisión.
El porcentaje de retorno al participante no podrá ser modificado durante el transcurso del juego, excepto en aquellos casos en que este hecho esté previsto en las reglas particulares y el participante sea adecuadamente informado.
3.4 Tablas de premios.
Las tablas de premios, en aquellos juegos en que existan, serán públicas y accesibles para los participantes e incluirán todas las combinaciones ganadoras posibles y una descripción del premio correspondiente a cada combinación.
La información del programa de premios deberá indicar claramente si los premios están cuantificados en unidades de cuenta, unidad monetaria o en alguna otra unidad establecida.
La información del programa de premios reflejará cualquier cambio en el valor del premio que pueda producirse en el transcurso del juego. A estos efectos, será suficiente que el operador disponga y muestre un recuadro en un lugar destacado en la interfaz gráfica del juego en el que aparezcan los referidos cambios en el valor de los premios.
Cuando existan botes o multiplicadores de los premios que se muestren en las pantallas, deberá quedar especificado si el bote o el multiplicador afecta al programa de premios o no.
El operador conservará registro de las tablas de premios de cada juego, de manera que estos cambios podrán ser auditados.
Las tablas de premios no podrán ser cambiadas durante el juego, excepto en aquellos casos en que este hecho esté previsto en las reglas particulares y el participante sea adecuadamente informado.
3.5 Generador de números aleatorios (GNA).
3.5.1 Funcionamiento del GNA.
El Generador de Números Aleatorios deberá cumplir, como mínimo, los siguientes requisitos:
● Los datos aleatorios generados deben ser estadísticamente independientes.
● Los datos aleatorios deben estar uniformemente distribuidos dentro del rango establecido.
● Los datos aleatorios deben permanecer dentro del rango establecido.
● Los datos aleatorios generados deben ser impredecibles (su predicción debe ser irrealizable por computación sin conocer el algoritmo y la semilla).
● Las series de datos generados no deben ser reproducibles.
● Instancias diferentes de un GNA no deben sincronizarse entre sí de manera que los resultados de unos permitieran predecir los de otro.
● Las técnicas de semillado/resemillado no deben permitir la realización de predicciones sobre los resultados.
● Los mecanismos de generación deben haber superado con éxito distintas pruebas estadísticas que demuestren su carácter aleatorio.
El sistema técnico puede compartir un GNA o una instancia del mismo para uno o varios juegos si esto no afecta al comportamiento aleatorio del sistema.
3.5.2 Métodos de escalado.
Los métodos de escalado deben cumplir los requerimientos exigidos a los GNAs.
Los métodos de escalado deben ser lineales y no deben introducir ningún sesgo, patrón o predictibilidad y deben poder someterse a pruebas estadísticas reconocidas.
3.5.3 GNA Hardware.
En el caso de utilizarse un GNA hardware deberá cumplir los mismos requisitos, adaptados a las características técnicas del hardware y, de existir, acreditar que el personal que lo opera no puede influir en los resultados. En los supuestos de utilización de un GNA hardware operado por personal, el operador deberá disponer de un procedimiento para minimizar los hipotéticos riesgos que pudieran llegar a afectar a la generación de resultados.
3.5.4 Fallos en el GNA.
El operador deberá implementar un sistema de monitorización del GNA que le permita detectar sus fallos, así como los mecanismos que deshabiliten el juego cuando se produzca un fallo en el GNA.
3.5.5 Resemillado del GNA.
El operador deberá disponer de un procedimiento de resemillado del GNA.
3.6 Lógica del juego.
3.6.1 Lógica independiente del terminal de usuario.
Todas las funciones y la lógica que resulten críticas para la implementación de las reglas del juego y la determinación del resultado deben ser generadas por la Unidad Central de Juegos, de manera independiente al terminal de usuario.
3.6.2 Aplicación del GNA en los juegos.
El rango de valores del GNA debe ser preciso y no distorsionar el porcentaje de retorno al participante.
El método de traslación de los símbolos o resultados del juego no debe estar sometido a la influencia o controlado por otro factor que no sean los valores numéricos derivados del GNA.
Los eventos de azar deben estar regidos exclusivamente por el generador de números aleatorios y no debe existir ninguna correlación entre unas jugadas y otras.
El juego no debe descartar ningún evento de azar, excepto en aquellos casos en que esta circunstancia esté contemplada en las reglas del juego.
El juego no debe manipular los eventos de azar, ni manual, ni automáticamente, ni para mantener un porcentaje de retorno mínimo al participante.
Cuando las reglas del juego requieran que se sortee una secuencia de eventos de azar (por ejemplo, las cartas de un mazo), los eventos de azar no serán resecuenciados durante el transcurso del juego, excepto en aquellos casos en que esta circunstancia esté contemplada en las reglas del juego.
3.6.3 Controles de la lógica del juego.
El juego debe estar diseñado para minimizar el riesgo de manipulación. Se adoptarán las medidas técnicas, organizativas y procedimentales que impidan comportamientos que supongan desviaciones de las reglas del juego.
El operador dispondrá de un procedimiento documentado que describa las medidas que aplica en su sistema para garantizar que:
● El juego se desarrolla de acuerdo con las reglas del juego.
● Los datos de juego se graban en el sistema.
● Los resguardos o documentos identificativos de una apuesta o participación se protegen frente a su posible manipulación.
● El sistema controla el tiempo de comercialización de apuestas o la participación. El momento en que se cierre la comercialización debe ser aquel que esté establecido en las normas que regulan el juego y en todo caso será anterior al final del evento que desencadena el resultado del juego.
● El sistema controla el fondo de premios constituido.
● El procedimiento de determinación de ganadores funciona correctamente, y no permite introducir ganadores que no cumplan las condiciones para ser premiados o dar por no ganadores a aquellos que sí las cumplen.
● El sistema concederá los premios a los participantes que figuren en la lista de ganadores de forma efectiva.
Cualquier modificación, alteración o borrado de los datos debe dejar traza de auditoría, especialmente cuando exista intervención manual.
3.7 Terminales de usuario.
3.7.1 Identificación de terminales.
La plataforma deberá ser capaz de identificar los diferentes tipos y versiones de terminales de usuario, y se conservará registro de los mismos.
Si el terminal está instalado en salas de juego físicas, casino u otros establecimientos donde estén autorizados, la plataforma deberá identificar el establecimiento. Salvo razones técnicas debidamente justificadas, la plataforma deberá registrar si el participante está utilizando una solución específica proporcionada para dispositivos móviles.
3.7.2 Instalación de componentes en el equipo del participante.
Si el uso del sistema de juego exige la instalación de cualquier componente en el equipo del participante, se deberá requerir el consentimiento expreso del participante previo a la instalación.
3.7.3 Desventaja por la calidad de la conexión.
El operador está obligado a introducir en sus sistemas técnicos todos los medios posibles para tratar de reducir el riesgo de que ciertos clientes estén en desventaja frente a otros por factores técnicos que pueden afectar a la velocidad de la conexión.
El participante debe ser informado en aquellos casos en que el tiempo de respuesta pueda tener un impacto significativo sobre la probabilidad de ganar.
3.7.4 Información sobre la calidad de la conexión.
El sistema informará al participante acerca de la no disponibilidad de comunicación con el sistema de juego tan pronto como lo detecte.
El software de juego no debe verse afectado por el mal funcionamiento de los dispositivos de los participantes finales, a excepción de la puesta en funcionamiento de los procedimientos previstos para finalizar las partidas o juegos incompletos.
3.7.5 Funcionalidad reducida para ciertos terminales.
Los terminales que disponen de una interfaz gráfica más reducida que otros, (como por ejemplo los dispositivos móviles frente a los ordenadores personales) podrán ofrecer algunos contenidos que no puedan visualizarse completamente como en los otros terminales. La plataforma podrá ofrecer, por razones estrictamente técnicas derivadas de la características del terminal, distinta funcionalidad en los diferentes tipos de terminales.
El participante debe ser informado de las limitaciones de información o funcionalidad del terminal y aplicación cliente que está utilizando, y aceptarlo de modo expreso.
El operador mitigará los riesgos derivados de la falta de información o de funcionalidad en un determinado terminal ofreciendo la misma información por otros medios.
Salvo impedimentos técnicos debidamente justificados, todas las informaciones que deben aparecer en la interfaz deben aparecer también en la de un terminal. Cuando no sea posible incluir todas las informaciones o enlaces en la interfaz del juego, se ofrecerán desde un enlace, desde un menú o desde otra aplicación del mismo terminal.
3.7.6 Recursos mínimos del terminal.
La plataforma no procesará los juegos del terminal si no dispone de todos los recursos mínimos para permitir jugar sin problemas técnicos y sin desventajas.
3.8 Sesión de juego.
3.8.1 Desconexión por inactividad.
El tiempo de desconexión por inactividad del usuario será como máximo de 20 minutos; transcurrido este tiempo, la plataforma debe desconectar al usuario.
Cuando el operador realice comunicaciones de carácter básicamente unidireccional donde el comportamiento esperado del usuario sea pasivo, como por ejemplo en la retransmisión de un evento deportivo en directo, podrá entenderse que el usuario sigue activo aunque no realice ninguna acción.
Si técnicamente es posible, se informará al participante de que la sesión ha terminado.
3.8.2 Registro de las sesiones de juego.
La plataforma conservará registro de las sesiones de usuario, con detalle de los tiempos de inicio y fin de sesión, del mecanismo de autenticación utilizado por el usuario, y la causa de desconexión o inactividad.
En el caso de que el terminal pertenezca al usuario, la plataforma permitirá identificar, si técnicamente es posible, el tipo de dispositivo (ordenador, smartphone u otros), la aplicación/versión utilizada (navegador o aplicación concreta), y en su caso la dirección IP.
En el caso de que el terminal pertenezca a un operador, permitirá identificar el tipo y versión del terminal, así como, si técnicamente es posible, el terminal concreto.
3.9 Interfaz gráfica.
3.9.1 Datos del juego.
El nombre del juego que el participante está jugando debe ser claramente visible en todas las pantallas asociadas.
Las instrucciones del juego deben ser fácilmente accesibles. La interfaz gráfica debe incluir toda la información necesaria para el desarrollo del juego. La función de todos los botones de acción representados en la pantalla debe ser clara.
El resultado de cada jugada deberá mostrarse, si técnicamente es posible, de forma instantánea al participante y mantenerse durante un lapso de tiempo razonable.
3.9.2 Datos del participante.
La pantalla debe mostrar el saldo actual del participante al menos en euros y las apuestas realizadas, unitarias y totales.
3.9.3 Premios.
La interfaz deberá indicar claramente si los premios se muestran en euros o en créditos. No deberán alternarse diferentes representaciones que puedan confundir al participante.
Si se ofrecen premios aleatorios asociados a una jugada o apuesta, el participante debe conocer el importe máximo que puede obtener a partir de la apuesta o jugada que va a realizar.
El participante debe ser informado cuando el importe del premio aleatorio se determine en función del importe de la jugada o apuesta. Cuando el texto o los elementos gráficos anuncien un premio máximo, este premio debe poder ser conseguido mediante un único juego.
3.9.4 Juegos de cartas.
Los juegos de cartas deben cumplir que:
● Las caras de las cartas deben mostrar claramente el valor de las mismas.
● Las caras de las cartas deben mostrar claramente el palo/color de las mismas.
● Los jokers o comodines deben distinguirse del resto de cartas.
● La utilización de más de una baraja en el juego debe mostrarse claramente.
● Si las cartas son barajadas durante el juego, debe informarse claramente sobre la frecuencia con que se realiza y mostrarse el momento en que se realiza.
3.9.5 Simulación de elementos de la vida real.
Los juegos que simulan elementos de la vida real (ruletas, bombos u otros), deben comportarse de la forma más parecida posible al comportamiento de dichos elementos físicos. La probabilidad de que ocurra algún acontecimiento en la simulación que afecte el resultado del juego debe ser equivalente a la del dispositivo físico en la vida real.
3.9.6 Interfaz gráfica de terceros.
Se considerará que una interfaz gráfica es de terceros cuando el operador no la ofrezca como parte de su plataforma o cuando el operador incluya un enlace a su descarga y junto al enlace esté claramente especificado que el operador no es responsable del mismo.
El operador deberá informar a los participantes que decidan utilizar una interfaz de usuario de terceros en relación con que la funcionalidad y la información que reciban pueden no ser completas.
3.10 Integración en redes de juego con otros operadores.
El operador deberá garantizar que cualquier integración con los sistemas de otro operador se realiza de tal forma que cumpla las especificaciones establecidas en esta Disposición.
3.11 Deshabilitación de un juego o de una sesión de juego.
La plataforma debe permitir que, en circunstancias excepcionales, sea posible inhabilitar un juego completo, o sesiones de usuarios concretas, dejando registro de las actuaciones y el motivo que las originó para una posterior revisión.
3.12 Juego incompleto.
Un juego incompleto es aquel cuyo resultado todavía no se ha producido o, si se ha producido, el participante no ha podido ser informado de este hecho.
Ante un juego incompleto, las reglas particulares del juego determinarán la actuación de la si la plataforma, que podrá esperar al participante, anular el juego o seguir en el mismo hasta que sea completado.
● Si el juego incompleto se debe a una pérdida de conexión del terminal del usuario, la plataforma mostrará el juego incompleto cuando el participante vuelva a conectarse.
● El operador deberá disponer de un procedimiento documentado de gestión de las incidencias de indisponibilidad de uno, varios o todos los componentes, que incluya las medidas técnicas asociadas. Los componentes deben realizar un autodiagnóstico, un chequeo de los archivos críticos y un chequeo de las comunicaciones entre los distintos componentes.
● Tras la recuperación, el sistema técnico de juego debe proceder a tratar los juegos en curso afectados por la interrupción.
El sistema técnico guardará registro de las interrupciones de servicio, con su inicio, duración, y servicios afectados para posterior revisión.
3.13 Juego automático.
Si el sistema ofrece consejos sobre estrategia de juego o funcionalidades de juego automático, tales recomendaciones o funcionalidades deben ser veraces y asegurar que se alcance el porcentaje de retorno obligatorio.
Se garantizará que el participante mantiene el control del juego cuando se proporciona la funcionalidad de juego automático. El participante podrá controlar el importe máximo del juego automático o de la apuesta máxima y el número de apuestas automáticas. El participante podrá desactivar en cualquier momento la funcionalidad de juego automático.
Cuando se use la funcionalidad de juego automático, las informaciones mostradas en pantalla (duración, elementos gráficos u otras) serán las mismas y presentarán las mismas características que cuando el juego no es automático. La interfaz mostrará adicionalmente el número de jugadas automáticas transcurridas o restantes.
La funcionalidad de reproducción automática no podrá poner en desventaja a un participante, y ni la secuencia de las partidas automáticas, ni cualquier estrategia que sea aconsejada al participante deberá resultar engañosa.
En el caso de los juegos en que intervenga simultáneamente más de un participante, todos los participantes deben ser informados y aceptar un participante que ha establecido la funcionalidad de juego automático.
3.14 Repetición de la jugada.
La plataforma debe proporcionar al participante la opción de repetición de la jugada, mostrándolo como una reconstrucción gráfica o una descripción inteligible que deberá reproducir todos los lances del juego que puedan tener repercusión sobre su desarrollo. La opción de repetición deberá suministrar toda la información necesaria para reconstruir las últimas diez partidas de la sesión en curso.
3.15 Jugadores virtuales.
3.15.1 Jugadores virtuales proporcionados por el operador.
El operador puede utilizar inteligencia artificial mediante jugadores virtuales, también denominados robots, si así lo permitiera expresamente la regulación del juego correspondiente.
En el caso de los juegos en que intervenga simultáneamente más de un participante, todos los participantes deben ser informados y aceptar la presencia de un jugador virtual.
Los jugadores virtuales o automáticos deberán estar identificados claramente en la interfaz.
El jugador virtual no debe tener ninguna ventaja técnica sobre los participantes, y no tendrá acceso a información que no esté al alcance de éstos.
3.15.2 Jugadores virtuales utilizados por participantes.
El operador puede facilitar a los participantes inteligencia artificial mediante la utilización de jugadores virtuales o robots, si así lo permite la regulación del juego correspondiente.
El operador informará sobre si permite o no el uso de jugadores virtuales o robots por parte de los participantes. En los supuestos en los que los permita e intervengan simultáneamente más de un participante, el operador debe asegurarse de que el resto de participantes conozcan quién es un jugador virtual o robot. En los casos en los que no los permita e intervengan simultáneamente más de un participante, deberá tratar de evitar que los participantes hagan uso de jugadores virtuales y tan pronto detecte su uso deberá comunicar esta circunstancia a los participantes. Los participantes deberán disponer de un mecanismo para denunciar la existencia de un posible jugador virtual.
El operador dispondrá de procedimientos para detectar si un participante está utilizando técnicas de inteligencia artificial.
3.16 Juegos metamórficos.
Los juegos metamórficos o de evolución, deben:
● Informar de las reglas aplicables en cada momento o fase de juego.
● Mostrar al participante la suficiente información para indicar la cercanía de la siguiente metamorfosis. Por ejemplo, si el participante va recogiendo elementos, la interfaz debe mostrar el número de elementos que el participante ha recogido, los que son necesarios para la metamorfosis o los que le faltan para conseguirlo.
● La probabilidad de una metamorfosis no debe ser variada en función de los premios obtenidos por el participante en previas partidas. Cualquier excepción debe ser previamente autorizada por la Comisión Nacional del Juego.
● Las informaciones y el juego no deben ser engañosos o ambiguos.
3.17 Participante en estado «ausente».
Durante un juego en que intervenga simultáneamente más de un participante, la plataforma debe permitir al usuario establecer un estado de «ausente» o «pausa» que puede ser utilizado si el participante necesita dejar de jugar durante un periodo breve que nunca será superior a veinte minutos. En estado «ausente» el participante no realiza nuevas jugadas. Si realizara alguna jugada su estado dejar de ser «ausente» automáticamente. Si las acciones no afectan al juego (p. ej. consulta de la ayuda) se mantendrá el estado de «ausente».
3.18 Juegos multiparticipante con anfitrión.
En los juegos donde un participante es el anfitrión, éste podrá decidir si acepta a cualquier participante o si sólo lo acepta a través de una invitación. El anfitrión no podrá excluir participantes de la mesa una vez han sido previamente aceptados a la misma.
3.19 Juego «en vivo».
Deberán existir procedimientos de actuación para la resolución de las incidencias que puedan suceder durante las operaciones de juego en vivo.
Los dispositivos automáticos de reconocimiento y registro utilizados deben estar equipados con una modalidad de funcionamiento manual que permita la corrección de un resultado erróneo. El participante debe ser informado de que la modalidad manual se encuentra activa. Cada vez que se active la modalidad de funcionamiento manual se debe dejar la traza que permita su posterior revisión.
Deberán existir procedimientos para tratar interrupciones en el juego provocadas por la discontinuidad en el flujo de datos, video y voz.
3.20 Botes, botes progresivos, y premios adicionales.
Siempre que la reglamentación básica de los juegos correspondientes lo permita, el operador podrá crear botes, botes acumulados, botes progresivos o premios adicionales.
La plataforma informará al participante de forma clara cuando esté aportando fondos a botes y la manera en que un participante puede optar a los mismos. Todos los participantes que contribuyen al bote deben poder optar a ganarlo a lo largo del desarrollo del juego. La descripción de las condiciones del bote y los requisitos para ganarlo deben ser comunicados al participante.
Las condiciones del bote deben contemplar cualquier conclusión o interrupción, prevista o imprevista, del juego, así como interrupciones técnicas del sistema.
El operador deberá disponer de un procedimiento que permita el control de los botes, garantizando que:
● El bote se crea, gestiona, y concede de manera acorde con las reglas del juego.
● Una vez constituido y abierto el bote, las condiciones no cambian hasta que éste haya sido ganado por uno o varios participantes y su importe hecho efectivo.
● El procedimiento de determinación de ganadores funciona correctamente. El procedimiento no debe permitir introducir ganadores que no cumplan las condiciones para ser premiados, ni tampoco no dar por ganadores a aquellos que sí las cumplan.
● El sistema concede los premios a los participantes que figuran en la lista de ganadores.
● Si existen, se prestará especial atención a los sistemas de redirección del bote en los que parte del bote acumulado es redirigido a otro fondo, donde puede ser ganado posteriormente. El sistema de redirección de bote no puede utilizarse con la finalidad de posponer la concesión de un premio indefinidamente.
Los procedimientos involucrados en la determinación de ganadores deben dejar trazas que permitan la posterior revisión de todo el proceso de decisiones tomadas.
La cantidad del bote deberá aparecer actualizada en todos los terminales de los participantes que participan en él.
La inoperatividad del bote deberá ser comunicada a los participantes mediante la visualización en su terminal de mensajes como «bote cerrado» o similares. No será posible ganar un bote acumulado que se encuentre previamente cerrado.
4. Seguridad de los Sistemas de Información
Los requisitos de seguridad del sistema técnico de juego que se establecen tienen como objetivo proteger los registros de usuario de los usuarios y sus cuentas de juego asociadas, así como garantizar que el juego se desarrolla de manera correcta.
4.1 Componentes críticos.
Los componentes críticos son los elementos cuya seguridad debe ser reforzada, ya que su impacto en el desarrollo del juego es importante.
Son componentes críticos:
● En el registro de usuario, cuenta de juego y procesamiento de los medios de pago: los componentes del sistema técnico de juego que almacenan, manipulan o transmiten información sensible de los clientes como datos personales, de autenticación, o económicos y los que almacenan el estado puntual de los juegos, apuestas y su resultado.
● En el generador de números aleatorios: los componentes del sistema técnico de juego que transmiten o procesan números aleatorios que serán objeto del resultado de los juegos y la integración de los resultados del generador de números aleatorios en la lógica del juego.
● Las conexiones con la Comisión Nacional del Juego.
● El sistema de control interno: el capturador y el almacén.
● Los puntos de acceso y las comunicaciones de y hacia los componentes críticos anteriores.
● Las redes de comunicación que transmiten información sensible de participantes.
4.2 Gestión de la seguridad del sistema técnico de juego.
El operador deberá implementar un sistema de gestión de la seguridad, que protegerá especialmente los componentes críticos referidos en el número anterior.
Los procedimientos de seguridad deberán estar dirigidos a implementar medidas concretas de seguridad, partiendo de una evaluación de los riesgos. El operador deberá planificar las revisiones periódicas y realizar las revisiones derivadas de los cambios significativos.
4.3 Gestión de riesgos.
La gestión de riesgos identificará los elementos a proteger, para después llevar a cabo una identificación, cuantificación y priorización periódica de los riesgos a los que está sometido el sistema técnico de juego. La gestión de riesgos deberá plasmarse en un plan de medidas.
4.4 Política de Seguridad.
Los operadores deberán contar con unos procedimientos de seguridad que serán comunicados a la totalidad de sus empleados y, en su caso, a las entidades colaboradoras externas.
4.5 Organización de la Seguridad de la Información.
Los operadores deberán establecer un marco de gestión para la seguridad de la información indicando las funciones y responsabilidades de su personal.
4.6 Seguridad en la comunicación con los participantes.
Deben adoptarse mecanismos de autenticación que permitan al sistema de juego identificar al participante, y que, a su vez, permitan al participante identificar al sistema de juego.
Las comunicaciones serán cifradas en los casos de transmisión de datos personales (registro de usuario) o económicos (cuenta de juego).
En relación con las comunicaciones, el operador adoptará las medidas que resulten necesarias para garantizar la integridad y el no repudio en los casos de transmisión de datos personales o económicos, y en las transacciones de participación en el juego.
4.7 Seguridad de recursos humanos y terceros.
El plan de seguridad del personal del operador incluirá acciones formativas, gestión de la contratación, cambios y finalización de la contratación, prestando especial atención a los permisos de acceso a información y componentes críticos.
Cuando el operador necesite de los servicios de terceros que supongan acceso, procesamiento, comunicación o tratamiento de la información, o bien el acceso a instalaciones, productos o servicios relacionados con el juego, éstos terceros deberán cumplir la totalidad de los requisitos de seguridad exigibles al resto del personal.
4.8 Seguridad física y medioambiental.
Los planes de seguridad de los operadores deberán incluir, en relación con la seguridad física de los componentes del sistema técnico de juego y de su réplica, lo siguiente:
● Seguridad perimetral para las áreas que contienen componentes críticos e información sensible: paredes, tarjetas de acceso, etc.
● Control de acceso físico a las instalaciones en las cuales se encuentren los equipos, tanto para empleados como para personal externo, que incluya elementos físicos, procedimientos de autorización, registros de acceso y servicios de vigilancia.
● Protección de los equipos críticos frente a riesgos ambientales: agua, fuego, provocados por personas, etc.
● Protección de los equipos críticos frente a cortes del suministro eléctrico y otras interrupciones causadas por fallos en instalaciones de soporte. El cableado de suministro eléctrico debe ser protegido de daños.
● Control de acceso al cableado de comunicaciones si transporta información crítica sin cifrar.
● Mantenimiento de las instalaciones y equipos.
● Los dispositivos que contienen información deben ser borrados de manera segura o destruidos antes de ser reutilizados o retirados.
● Los equipos que contienen información no pueden ser trasladados fuera de las instalaciones seguras sin la correspondiente autorización.
4.9 Gestión de Comunicaciones y Operaciones.
Se debe garantizar la segura y correcta operación del sistema técnico de juego, así como las comunicaciones:
● Los componentes críticos deberán ser monitorizados para evitar que puedan utilizarse versiones diferentes de la homologada.
● La comunicación entre los componentes de los sistemas técnicos de juego garantizarán la integridad y la confidencialidad.
● Las tareas se segregarán entre las diferentes áreas de responsabilidad, para minimizar la posibilidad de acceso no autorizado y potenciales daños.
● Se separarán las tareas de desarrollo, pruebas y producción.
● Los servicios proporcionados por terceras partes deben incluir controles y métricas de seguridad en los contratos, y deben ser periódicamente auditados y monitorizados.
● Se adoptarán medidas de protección contra código malicioso.
● Deben hacerse regularmente copias de seguridad con la frecuencia adecuada y conservarse custodiadas según quede recogido en el plan de copias de seguridad.
● Se adoptarán medidas de seguridad en la red de comunicaciones.
● Se adoptarán medidas de seguridad en la manipulación de soportes portátiles así como de borrado seguro o de destrucción de los mismos, que se plasmarán en un procedimiento documentado.
● Los relojes de todos los componentes, especialmente los críticos, deberán estar sincronizados con una fuente de tiempo fiable. La fuente de tiempo fiable puede no ser la misma para cada componente. El operador establecerá medidas y controles para evitar la manipulación de las marcas de tiempo o su alteración posterior, especialmente en los registros de auditoría.
● Deberán generarse y guardarse registro de auditoría de actividades de todos los usuarios, excepciones y eventos de seguridad de la información durante un periodo mínimo de 2 años.
○ Los registros de auditoría estarán protegidos frente a la alteración y el acceso indebido.
○ Las actividades del Administrador del Sistema y del operador del Sistema deberán quedar registradas.
○ Se realizará un análisis periódico de los registros de auditoría. Se tomarán acciones en función de las incidencias detectadas.
4.10 Control de Acceso.
Los accesos del personal del operador y de los participantes deben cumplir los siguientes requisitos:
● Debe existir una política de acceso a información documentada, que será revisada periódicamente.
● Se debe asegurar el acceso autorizado e impedir el no autorizado mediante controles en el alta de usuarios, gestión de privilegios de acceso, revisión periódica de los privilegios de acceso y política de gestión de las contraseñas.
● Los usuarios deben seguir buenas prácticas en el uso de contraseñas y proteger adecuadamente la documentación y soportes en su puesto de trabajo.
● Los usuarios únicamente tendrán acceso a los servicios que han sido autorizados a usar.
● No existirán usuarios genéricos y todos los usuarios accederán con su usuario propio único.
● El sistema debe autenticar todos los accesos, ya sea personal propio, de mantenimiento u otros, ya sea de otros sistemas y componentes (por ejemplo la pasarela de pagos). También debe ser autenticado el personal de inspección de la Comisión Nacional del Juego u otro personal que actúe en su nombre.
● Las redes se segregarán en función del área y responsabilidad de la tarea o función.
● El acceso a los sistemas operativos requerirá un mecanismo de autenticación seguro.
● Se restringirá y se controlará el uso de programas que permitan evitar los controles de acceso y de seguridad.
● Las sesiones tendrán un tiempo máximo de duración de la conexión y un tiempo de desconexión por inactividad.
● El personal de soporte informático tendrá restringido el acceso a los datos reales de las aplicaciones. Los datos reales sensibles estarán ubicados en entornos aislados.
● Se gestionarán los riesgos asociados a dispositivos móviles.
● Si existe el teletrabajo, se comprobará que el riesgo asociado está gestionado en el marco del plan de seguridad.
4.11 Compra, desarrollo y mantenimiento de los sistemas.
Se deberá analizar el impacto en la seguridad en la toma de decisiones de compra, desarrollo y mantenimiento de los sistemas de información.
4.12 Gestión de incidentes de seguridad.
El operador deberá disponer de un procedimiento documentado de gestión de incidentes de seguridad.
Todos los incidentes de seguridad deberán ser registrados y se documentarán de forma clara y concisa los hechos, los impactos y las medidas adoptadas.
4.13 Gestión de cambios.
De conformidad con lo dispuesto en el artículo 8.5 del Real Decreto 1613/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, de regulación del juego en lo relativo a los requisitos técnicos de las actividades de juego. Los informes de homologación y certificación incluirán una relación de los componentes críticos. La puesta en producción de cualquier modificación sustancial que afecte a un componente crítico necesitará la previa autorización de la Comisión Nacional del Juego tras la presentación del correspondiente informe de homologación. La Comisión Nacional del Juego podrá calificar como críticos otros componentes adicionales.
El operador deberá disponer de un procedimiento de gestión de cambios documentado, que controle los cambios de los equipos y componentes del sistema técnico de juego en el entorno de producción.
El operador seguirá un proceso formal de aprobación interna de todos los cambios, que debe implicar la petición de cambio y su aprobación por los responsables correspondientes. Las peticiones de cambio y las decisiones tomadas se registrarán y podrán ser objeto de posterior auditoría.
Los cambios sustanciales de componentes críticos deberán ser previamente autorizados por la Comisión Nacional del Juego. Las solicitudes de cambios deberán ir acompañadas de la correspondiente solicitud de homologación de los nuevos componentes. Ante situaciones de emergencia extraordinaria, debidamente acreditadas y comunicadas a la Comisión Nacional del Juego, que afecten a la seguridad, el operador podrá introducir cambios sustanciales en los componentes críticos y posteriormente solicitar su autorización. Para la obtención de la homologación el operador presentará a la Comisión Nacional del Juego, junto al informe de certificación, un informe en el que acredite las circunstancias excepcionales.
4.14 Gestión de la disponibilidad del servicio.
El operador deberá disponer de un plan de gestión de la disponibilidad del servicio.
El operador deberá considerar dentro del plan cada uno de los siguientes servicios:
● Registro de participante, cuentas de juego, incluyendo la posibilidad de realizar depósitos y retirar fondos.
● Servicios de juego.
El plan indicará el tiempo máximo de indisponibilidad acumulada mensual, así como el tiempo máximo de recuperación para cada servicio. El operador adaptará su infraestructura y procesos, e implantará las medidas necesarias para cumplir los objetivos fijados en su plan de gestión de la disponibilidad.
4.15 Plan de prevención de pérdida de información.
El operador debe disponer de un plan que garantice que no se pierdan datos o transacciones que afecten o puedan llegar a afectar al desarrollo de los juegos, a los derechos de los participantes o al interés público e indique el riesgo asumido por el operador.
El operador adaptará su infraestructura y procesos, e implantará las medidas necesarias para cumplir los objetivos fijados en su plan, estableciéndose los siguientes mínimos:
● Se conservarán copias de la información en un lugar alejado convenientemente de los datos que pretende salvaguardar.
● La copia de la información se protegerá de accesos no autorizados mediante medidas de seguridad equivalentes a las de la información a salvaguardar.
El operador deberá disponer de un procedimiento documentado de actuación en caso de pérdida de información que incluirá los mecanismos para atender las reclamaciones de usuarios, la continuación de los juegos o apuestas interrumpidas, y cualesquiera otras situaciones que pudieran derivarse.
En caso de producirse una pérdida de datos, el operador deberá informar a la Comisión Nacional del Juego, con carácter inmediato, indicando las acciones tomadas y una estimación de la repercusión de la pérdida.
4.16 Gestión de la continuidad de negocio.
El operador debe disponer de un plan de continuidad de negocio para el mantenimiento de la operativa de juego ante desastres, que incluya las medidas técnicas, humanas y organizativas necesarias para garantizar la continuidad del servicio y de una réplica de la Unidad Central de Juegos que permita el normal desarrollo de la actividad.
El plan de continuidad de negocio determinará uno o varios escenarios de recuperación indicando para cada uno de ellos los servicios recuperados y el tiempo máximo en el que estarían operativos. El operador deberá considerar dentro del plan los siguientes escenarios:
● Acceso de los participantes a sus registros de usuario y cuentas de juego, con posibilidad de consultar el saldo y los movimientos de sus cuentas de juego asociadas. El tiempo máximo para prestar de nuevo estos servicios será de una semana.
● Posibilidad de los participantes de retirar sus fondos. El tiempo máximo para prestar de nuevo estos servicios será de una semana.
● Continuación de los juegos incompletos o las apuestas pendientes, y pago de los premios válidamente conseguidos. El tiempo máximo para prestar de nuevo estos servicios será de un mes.
● Reestablecimiento completo de todos los servicios.
El operador adaptará su infraestructura y procesos, e implantará las medidas necesarias, para hacer realizables los objetivos fijados en su plan de continuidad de negocio.
En caso de desastre, el operador deberá informar a la Comisión Nacional del Juego con carácter inmediato, realizando una estimación del impacto y del tiempo estimado de recuperación.
4.17 Test de penetración y análisis de vulnerabilidades.
El sistema de juego deberá pasar un test de penetración y un análisis de vulnerabilidades, al menos con periodicidad bianual. El test de penetración consistirá en un método de evaluación de la seguridad de una red o un sistema, mediante la simulación de un ataque realizado por un tercero. El proceso incluye un análisis activo del sistema buscando debilidades, fallos técnicos, o vulnerabilidades. El test incluirá todas las interfaces públicas que custodien, procesen o transmitan datos personales, económicos o de juego.
El análisis de vulnerabilidades consistirá en la identificación y cuantificación pasiva de los riesgos potenciales del sistema. El análisis incluirá todas las interfaces públicas que custodien, procesen o transmitan datos personales, económicos o de juego.
Los resultados de los test y de los análisis deberán conservarse junto con las medidas correctivas aplicadas o planeadas, para su posterior revisión o inspección.
5. Sistema de Control Interno e inspección
5.1 Sistema de Control Interno.
5.1.1 Descripción.
La monitorización y la supervisión de las actividades de juego realizadas por el operador se efectuará a través del sistema de control interno (en adelante, SCI), que los operadores deben implantar. El SCI debe incluir todos los participantes ubicados en España o con registro de usuario español, cualquiera que sea el medio de participación. El operador ha de establecer y mantener una línea de comunicación segura para el acceso de la Comisión Nacional del Juego, así como un servicio de consulta y descarga de datos disponible permanentemente para la Comisión Nacional del Juego.
El SCI se compone de capturador y del almacén de operaciones de juego (almacén).
5.1.2 Acceso de la Comisión Nacional del Juego al almacén.
El almacén mantendrá los siguientes accesos permanentemente abiertos para el acceso de la Comisión Nacional del Juego:
● Un acceso mediante el protocolo SFTP para la descarga de la información.
● Un acceso mediante SSH con atributos de solo-lectura y permisos suficientes para listar y visualizar el contenido de todo el almacén.
El operador proporcionará los siguientes métodos de autenticación a la Comisión Nacional del Juego:
● Para el acceso manual, usuario y contraseña.
Para la descarga automatizada, el operador configurará el intercambio de pares de claves (SSH keyswap) para el mismo usuario descrito en el acceso manual.
El operador puede utilizar varios almacenes. Los datos deben comunicarse una sola vez, evitando que los diferentes almacenes contengan información redundante.
5.1.3 Modelo de datos del SCI.
El modelo de datos del SCI contiene el alcance de los datos que deban ser registrados, el período de actualización de los mismos y los requerimientos técnicos de disponibilidad y de acceso, en los términos establecidos en el artículo 24 del Real Decreto 1613/2011 de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, de regulación del juego, en lo relativo a los requisitos técnicos de las actividades de juego.
Los datos se almacenarán en una estructura de ficheros, en un formato estructurado en XML, según la definición del esquema de datos de monitorización (XSD-XML Schema Definition).
5.1.4 Fuente de tiempo del SCI.
Todos los elementos del sistema técnico de juego, incluyendo el capturador y el almacén, estarán sincronizados con una fuente de tiempo fiable.
5.1.5 Firma, compresión y cifrado de los datos del SCI.
Los datos que vayan a ser registrados en el almacén se agruparán en lotes. Cada lote debe ser firmado, comprimido y cifrado por el operador, utilizando el formato y procedimiento descritos en el Modelo de datos de monitorización.
El operador deberá proporcionar a la Comisión Nacional del Juego, la parte pública del certificado electrónico que utilizará para realizar la firma de los lotes. El operador deberá informar a la Comisión Nacional del Juego si se produce una revocación del certificado utilizado. El operador podrá utilizar un certificado de su propiedad o encargar a un tercero que en su nombre firme los lotes.
5.1.6 Rendimiento del capturador y del almacén.
El capturador debe tener capacidad para procesar y registrar la información de las transacciones.
Salvo situaciones excepcionales debidamente justificadas, el capturador debe estar diseñado para que la información quede procesada, formateada y registrada en el almacén en un tiempo máximo de dos veces el tiempo definido para tiempo real en el Modelo de datos de monitorización.
El almacén tendrá una capacidad o caudal de comunicaciones mínimo en Internet, suficiente para que la Comisión Nacional del Juego pueda acceder al mismo:
● Para la descarga de datos, deberá disponer de un caudal mínimo asegurado que permita la descarga de la información máxima a generar en un día, en cuatro horas, mediante el protocolo definido SFTP.
● Para la subida de datos, se requiere un mínimo de 64 kbps.
El almacén como sistema deberá tener un rendimiento igual o superior al necesario para garantizar los caudales de comunicaciones descritos, independientemente de otras operaciones que deba realizar.
5.1.7 Seguridad del SCI.
El SCI en su conjunto, tanto el capturador como el almacén de operaciones de juego, son considerados componentes críticos. Los requisitos de seguridad establecidos en el apartado 4 resultan de aplicación al SCI.
Si bien el modelo de datos requiere que la información en el almacén se registre finalmente cifrada no se exige que esté cifrada en todo momento. La cadena de custodia de la clave de cifrado se debe incluir en el diseño de la seguridad del SCI.
El capturador debe poder registrar las transacciones en todo momento y de manera permanente. El operador debe diseñar la disponibilidad, el plan de prevención de pérdida de información, el tiempo de recuperación ante desastres y la continuidad de negocio cumplimentando este requisito.
5.1.8 Indisponibilidad del SCI y suspensión de la oferta de juego.
El operador debe suspender la oferta de juego en los supuestos de indisponibilidad del sistema de control interno. Capturador almacén capturador. Ante una indisponibilidad del almacén inferior a 24 horas, el operador podrá continuar su oferta de juego si el capturador sigue disponible, siempre que sea capaz de continuar registrando las transacciones a la espera de que vuelva a estar disponible el almacén. El operador suspenderá la oferta de juego ante una indisponibilidad del almacén superior a 24 horas.
5.1.9 Disponibilidad del SCI.
El capturador debe poder registrar las transacciones en todo momento y de manera permanente. El almacén no podrá tener un tiempo de caída acumulado mensual superior a 48 horas.
5.1.10 Plan de prevención de la pérdida de información en el SCI.
El SCI es un componente crítico. Los operadores de juegos deben implementar un procedimiento que minimice el riesgo de pérdida de información a un máximo de 24 horas.
En caso de pérdida de información en el SCI, el operador deberá disponer de un procedimiento de nueva extracción de la información perdida que permita subsanar la pérdida en el plazo máximo de una semana.
Cualquier pérdida de información que afecte al SCI debe comunicarse a la Comisión Nacional del Juego con carácter inmediato, indicando una evaluación de la pérdida así como el plan de medidas a aplicar.
El operador deberá disponer de un procedimiento documentado de control de la calidad de los datos del SCI y deberá estar preparado para, mediante nuevas extracciones, rectificar los datos incorrectos en el plazo máximo de una semana.
5.1.11 Continuidad de negocio en el SCI.
Dado que la indisponibilidad del SCI conlleva la suspensión de la oferta de juego, el operador deberá disponer de un procedimiento de continuidad de negocio que ante un eventual desastre permita tener el SCI operativo en un tiempo inferior a un mes.
Cualquier desastre que afecte al SCI debe comunicarse a la Comisión Nacional del Juego con carácter inmediato, indicando una evaluación de la pérdida así como el plan de medidas a aplicar.
5.1.12 Conservación de la información del SCI.
El almacén debe conservar sus datos por un periodo mínimo de seis años.
Los operadores de juego tendrán la obligación de facilitar y permitir a la Comisión Nacional del Juego el acceso online a la información correspondiente a los 12 últimos meses de actividad registrada en el almacén.
Los operadores deberán tener previsto un procedimiento de recuperación de la información correspondiente a un periodo mínimo de seis años.
5.1.13 Ubicación del almacén en España.
El almacén o almacenes del SCI deberán estar ubicados en España, con la finalidad de realizar las operaciones de verificación y control de la información. La ubicación y cualquier modificación de la misma deberán ser comunicada a la Comisión Nacional del Juego.
5.2 Inspección presencial y telemática.
La Comisión Nacional del Juego deberá tener la posibilidad de monitorizar y supervisar cualquiera de los elementos de las plataformas técnicas de juego de los operadores.
Para ello, el operador deberá articular los mecanismos necesarios de comunicación segura a sus sistemas técnicos, así como permitir y facilitar en todo momento el acceso a los mismos por parte de la Comisión Nacional del Juego, independientemente de su ubicación.
La Comisión Nacional del Juego comunicará al operador su intención de realizar una conexión al sistema técnico de juego proporcionando una descripción de las funcionalidades a las que se pretende acceder y el tiempo y duración previstos para el acceso.
El operador proporcionará a la Comisión Nacional del Juego los medios para realizar un acceso seguro al sistema. El personal designado por el operador colaborará con la Comisión Nacional del Juego para el adecuado acceso y consulta de otros sistemas y aplicaciones. La Comisión Nacional del Juego podrá realizar grabaciones de la sesión y cuantas constataciones de hecho sean necesarios para el ejercicio de sus funciones.
Si no se requiere lo contrario, deberá entenderse que el acceso proporcionado a la Comisión Nacional del Juego es de sólo lectura y que cuenta con el nivel de autorización para acceder a todos los sistemas y aplicaciones del sistema técnico de juego sin ningún filtro en los datos a que puede acceder.
Finalizado el acceso el operador deberá cerrar el acceso seguro.
6. Registros y logs del Sistema Técnico de Juego
6.1 Registro y trazabilidad.
El operador conservará registros y logs de todas las decisiones del participante, del propio operador, de su personal o de sus sistemas, que tengan repercusión en el desarrollo del juego, en el registro de usuario, en las cuentas de juego o en los medios de pago.
En relación con los datos de desarrollo del juego, los datos deberá poder reconstruir todos los lances del juego que pudieran tener repercusión sobre su desarrollo El Sistema Técnico de Juego también debe conservar registros y logs en materia de seguridad de los sistemas de información. Todos los referidos registros y logs deberán ser accesibles online para la Comisión Nacional del Juego durante un tiempo no inferior a 12 meses. Sin perjuicio de lo anterior, los registros y logs deben ser conservados en almacenamiento durante al menos 6 años.
Los operadores deberán tener previsto un procedimiento de recuperación de esta información.
6.2 Registro en función del canal de comercialización.
Determinados terminales y procedimientos de participación tienen requisitos específicos de registro para las operaciones de juego. Estos requisitos no afectarán a otras comunicaciones entre el operador y el participante diferentes a las propias del desarrollo del juego.
Estos terminales y procedimientos específicos se aplicarán al registro de los mensajes enviados y recibidos para las actividades de juego realizadas a través de mensajería de texto, a través de servicios telefónicos fijos o móviles o de medios de comunicación audiovisual.
Agencia Estatal Boletín Oficial del Estado
Avda. de Manoteras, 54 - 28050 Madrid
