Beleid ter bestrijding van witwassen en terrorismefinanciering

Laatst bijgewerkt: 27 oktober 2025

Dit AML/CFT-beleid beschrijft hoe Golden Panda voorkomt dat haar producten en diensten worden gebruikt voor witwassen, terrorismefinanciering of andere financiële criminaliteit. Het is van toepassing op iedereen die het platform ontwerpt, bouwt, exploiteert of gebruikt: werknemers, contractanten, partners en spelers. Het beleid is opgesteld voor een risicogebaseerd programma dat is afgestemd op de EU-normen, de Nederlandse Wwft (Wet ter voorkoming van witwassen en financieren van terrorisme), de Nederlandse Sanctiewet 1977 , relevante EU-sanctieregelgeving en FATF-aanbevelingen. Het dient te worden gelezen in combinatie met ons KYC-beleid, ons Betalingsbeleid, ons Privacybeleid (AVG) en onze Algemene Voorwaarden.

1) Doel en leidende principes

Wij hanteren een AML-programma dat veiligheid voorop stelt en dat is gebaseerd op vijf pijlers:

duidelijk bestuur en verantwoording;
een gedocumenteerde risicobeoordeling die controles aanstuurt;
evenredige Customer Due Diligence (CDD/KYC);
realtime en retrospectieve monitoring met snelle escalatie; en
training, testen en continue verbetering.

We accepteren geen anoniem spel, financiering door derden of pogingen om de herkomst van fondsen te verhullen. Bij juridische of ethische twijfels wijzen we de relatie af of beëindigen we deze.

2) Wettelijk kader en definities

Wwft & Sanctiewet. Wij passen CDD, monitoring, registratie, sanctiescreening en melding van verdachte activiteiten toe conform de Nederlandse en EU-regels.
FATF. We koppelen onze controleset aan de 40 aanbevelingen van de FATF en relevante sectorale richtlijnen voor kansspelen op afstand.
Persoonsgegevens. Voor de verwerking van persoonsgegevens maken we gebruik van de AVG-grondslagen: wettelijke verplichting en gerechtvaardigde belangen . Zie ons Privacybeleid voor meer informatie.
als witwassen en terrorismefinanciering volgen de definities van de Wwft/AMLD. “Virtuele activa” omvatten cryptovaluta zoals BTC, ETH, USDT, enz.

3) Bestuur, rollen en verantwoording

Verantwoording van de raad van bestuur. De raad van bestuur keurt dit beleid goed, stelt de risicobereidheid vast en ontvangt kwartaalrapportages over AML/CFT.
MLRO. Het raamwerk is in handen van een Money Laundering Reporting Officer en een plaatsvervanger. Zij keuren onboarding van hoog-risico-gevallen goed, bepalen de resultaten van interne cases en sturen rapporten naar de juiste FIU. De MLRO werkt zelfstandig en heeft volledige toegang tot alle gegevens, systemen en medewerkers.
Eerste lijn (Operations/Betalingen/Ondersteuning). Voert controles uit bij onboarding, tijdens het spel en bij uitbetaling. Signaleert direct rode vlaggen.
Tweede lijn (Compliance). Ontwerpt beleid, stelt controledrempels vast, voert kwaliteitsborging en thematische reviews uit.
Derde lijn (interne audit/onafhankelijke tests). Voert periodiek end-to-end effectiviteitsbeoordelingen uit.

Wij hanteren een register voor belangenconflicten en maken een scheiding tussen commerciële prikkels en AML-beslissingen.

4) Risicogebaseerde benadering (RBA)

We documenteren en evalueren ten minste jaarlijks en na grote veranderingen een bedrijfsbrede AML-risicobeoordeling. Deze omvat:

Klantrisico: woonplaats, beroep/inkomstenbron, eerder rekeninggedrag, blootstelling aan PEP.
Productrisico: gokkasten, live casino, functies met hoge snelheid, jackpots, bonussen en alle functies die kunnen worden gebruikt voor waardeoverdracht.
Kanaalrisico’s: onboarding op afstand, apparaattypen, VPN-/proxysignalen.
Geografisch risico: gesanctioneerde of hoog-risico rechtsgebieden, conflictgebieden.
Betalingsrisico: kaarten, e-wallets, bankoverschrijvingen en virtuele activa; aanwezigheid van mixers, riskante exchanges of cross-chain bridges.

Risico’s bepalen de CDD-tiering , monitoringregels en escalatiepaden.

5) Klantacceptatie en CDD-niveaus

We accepteren spelers alleen na het behalen van de CDD. De niveaus weerspiegelen het risico:

Vereenvoudigde CDD. Niet gebruikt voor gamen op afstand.
Enhanced Due Diligence (EDD). Verplicht wanneer een hoger risico wordt geïdentificeerd, waaronder: PEP-hits, negatieve berichtgeving, ongebruikelijke rijkdom in vergelijking met het profiel, risico op crypto-adressen, blootstelling aan landen met een hoog risico, frequente terugboekingen of complexe betalingspatronen.

Drempelrichtlijnen (illustratief, niet uitputtend):

Bij stortingen of opnames van in totaal ≥ € 2.000 binnen 24 uur of ≥ € 10.000 binnen 30 dagen vindt er een EDD/SoF-beoordeling (Source of Funds) plaats.
Bij elke crypto-uitbetaling van € 1.000 of meer wordt, indien van toepassing, een informatie-uitwisseling in de stijl van Travel-Rule geactiveerd, evenals geavanceerde blockchain-analyses.
Meerdere accounts, financiering door derden of herhaaldelijk gebruik van VPN/proxy zorgen ervoor dat de relatie in afwachting van een oplossing een hoog risico loopt.

Wij verifiëren de uiteindelijk belanghebbenden en de autoriteit wanneer de rekening een rechtspersoon betreft (indien ondersteund), inclusief identificatie van de UBO en de zeggenschapsstructuur.

6) Identificatie en verificatie (KYC)

Identiteitsbewijs. Een door de overheid uitgegeven identiteitsbewijs met foto (paspoort, identiteitskaart, verblijfsvergunning), plus een controle op identiteit/biometrische gegevens. Adresbewijs via een bank-/elektronisch geldafschrift of een (recent uitgegeven) energierekening.
Naamsmatching en -botsing. We vergelijken de identiteit met de eigenaar van het betaalinstrument. Bij een mismatch is herstel of afwijzing vereist.
PEP- en sanctiescreening. Uitgevoerd tijdens de onboarding en continu daarna, met behulp van EU-/VN-lijsten en betrouwbare PEP-/adverse media-datasets, afgestemd op de Sanctions Act.
Doorlopende KYC. We vernieuwen KYC op basis van risicofactoren, materiële profielwijzigingen of op basis van een tijdscyclus voor spelers met een hoger risico.

Als de verificatie mislukt of de speler weigert mee te werken, bevriezen we de opnames en kunnen we het account opschorten of sluiten.

7) SoF/SoW (Bron van Fondsen/Rijkdom)

Indien EDD vereist is, kunnen wij het volgende verzoeken:

recente loonstrookjes of werkgeversbevestiging;
bank-/elektronische geldafschriften die een consistent inkomen aantonen;
verkoop van activa-contracten;
bewijsstukken van bedrijfsinkomsten (bijv. belastingaangiften);
voor crypto: ontvangstbewijzen van beursopnames, geschiedenis van de wallet, bewijs van eigendom.

We beoordelen de aannemelijkheid: het niveau en het spelpatroon moeten passen bij de omstandigheden van de speler. Zo niet, dan beperken of beëindigen we de relatie.

8) Betalingen, methoden en cryptocontroles

Geen betalingen door derden. Financiering en uitbetalingsmethoden moeten op naam van de speler zelf staan.
Kaart/e-wallet/bank. We vereisen SCA/3-D Secure waar van toepassing en hanteren snelheids-/risicoregels voor elke aanbieder.
Crypto (“virtuele activa”).
- Accepteer alleen ondersteunde netwerken. Onbekende contracten of niet-ondersteunde ketens worden afgewezen.
- Pas blockchain-analyses toe op inkomende/uitgaande adressen (sanctieblootstelling, darknetdiensten, mixers, oplichting, gestolen fondsen, risicovolle VASP-links).
- Verbied stortingen van of opnames naar mixers, tumblers, privacypools, gok-naar-gok-hops die bedoeld zijn om te verduisteren, of adressen die verband houden met sancties/illegale activiteiten.
- Wanneer verplichtingen in de stijl van Travel-Rule van toepassing zijn, wisselt u de vereiste informatie over de opdrachtgever/begunstigde uit met de wederpartij VASP.
- Vereist één duidelijke opnameroute die aantoonbaar door de speler wordt beheerd.

9) Geolocatie, VPN’s en verboden rechtsgebieden

We achterhalen waar je bent door te kijken naar je apparaat en netwerksignalen. Als we een locatie vinden die niet is toegestaan, of wel is toegestaan maar niet is toegestaan, of als VPN- of proxygebruik de werkelijke locatie verbergt, blokkeren we functies voor echt geld totdat we het hebben onderzocht. We staan gamers uit landen met strenge beperkingen of waar gamen op afstand tegen de wet is, niet toe zich aan te melden.

10) Realtime- en post-event monitoring

Wij combineren regels, typologieën en datawetenschap om ongebruikelijk gedrag te detecteren:

snelle cycli van storting – minimale speeltijd – opname;
meerdere accounts of meerdere financieringsbronnen gekoppeld aan dezelfde identiteit, hetzelfde apparaat of IP;
structurering (veel kleine transacties onder de drempels);
misbruik van bonussen/waardeoverdrachten;
plotselinge verhogingen van de inzet en hoge volatiliteit die niet in overeenstemming zijn met het bekende profiel;
opeenvolgende overdrachten tussen fiat en crypto om de bron te verduisteren;
tegenpartijen met een hoog risico (PSP’s of VASP’s) en patronen in verschillende jurisdicties.

Meldingen worden beoordeeld door getrainde analisten met behulp van een casemanagementsysteem met volledige audittrails. De uitkomsten kunnen zijn: geen probleem, contact met de speler, limietverlaging, verplichte afkoelingsperiode, SoF/SoW-verzoek, accountbeperking of sluiting. Bij verdenking escaleren we naar de MLRO.

11) Verdachte activiteiten, bevriezing en rapportage

Interne escalatie. Analisten escaleren direct naar de MLRO wanneer feiten wijzen op kennis, vermoeden of gegronde redenen om witwassen/terrorismefinanciering of sanctieontduiking te vermoeden.
Externe rapportage. De MLRO bepaalt of er een melding moet worden gedaan bij de bevoegde Financial Intelligence Unit (FIU) op grond van de nationale wetgeving. Wij geven de speler geen “tip”.
Acties met betrekking tot de rekening. De MLRO kan de relatie onderhouden, beperken of beëindigen en tegoeden bevriezen waar dit wettelijk is toegestaan.
Vastlegging van de beslissing. Elke SAR/STR-beslissing bevat een duidelijke onderbouwing en ondersteunend bewijs.

12) Sanctiescreening en embargo’s

We screenen spelers en wederpartijen bij de onboarding en continu aan de hand van de sanctielijsten van de EU/VN en andere wettelijk verplichte nationale lijsten. Wedstrijden worden afgehandeld volgens een gedocumenteerd draaiboek. We blokkeren transacties waarbij het sanctierisico niet kan worden afgehandeld.

13) Administratie

Wij bewaren CDD-, transactie-, monitoring- en rapportagegegevens gedurende de wettelijk vereiste minimumperiodes (doorgaans vijf jaar onder de Wwft voor AML-gegevens; langer indien fiscale regels of rechtszaken van toepassing zijn).

14) Training en bewustwording

Introductietraining voor alle medewerkers voordat ze toegang krijgen tot het systeem.
Jaarlijkse opfriscursus afgestemd op de rol (Support, Betalingen, Risico, Techniek, Marketing).
Gerichte workshops over nieuwe typologieën (bijvoorbeeld cryptomixers, cross-chain bridges, AI-gestuurde fraude).
Effectiviteitscontroles: quizzen, kwaliteitsborging van casusnotities en scenario-oefeningen.

Niemand mag een uitbetaling, CDD-uitzondering of sanctiemaatregel afhandelen zonder de juiste training.

15) Afhankelijkheid, outsourcing en derden

We kunnen externe leveranciers inschakelen (KYC-leveranciers, PSP’s, VASP’s, analytics), maar behouden de verantwoordelijkheid. Elke leverancier is onderworpen aan due diligence, contractuele voorwaarden voor gegevensverwerking, prestatie-SLA’s en periodieke evaluaties. De afhankelijkheid van derden voor CDD is gedocumenteerd en voldoet, indien gebruikt, aan wettelijke criteria (bijv. tijdige toegang tot gegevens, geen uitbesteding van verantwoordelijkheid).

16) Onafhankelijke tests en kwaliteitsborging

Compliance voert tweedelijns kwaliteitsborging uit voor een aantal onboarding-bestanden, waarschuwingen en afsluitingen. Minstens eenmaal per jaar controleert een onafhankelijke test (een interne audit of een gecertificeerde externe partij) het ontwerp en de werking om te zien hoe goed ze werken. De resultaten worden samen met plannen voor het oplossen van de problemen en deadlines naar de Raad van Bestuur en MLRO gestuurd.

17) Gegevensbescherming en vertrouwelijkheid

AML-gegevens zijn gevoelig. Toegang is rolgebaseerd en wordt geregistreerd. We gebruiken encryptie tijdens verzending en opslag, event monitoring, secret management en veilige ontwikkelingspraktijken. AML-verwerking volgt de principes van doelbinding, dataminimalisatie en opslagbeperking. Raadpleeg het privacybeleid voor uw AVG-rechten en hoe u deze kunt uitoefenen.

18) Inbreuken, incidenten en klokkenluiden

U moet direct iemand binnen het bedrijf waarschuwen als u denkt dat er problemen zijn met gegevens, beveiliging of controle. We bekijken problemen snel, beheersen ze, lossen ze op en rapporteren ze indien nodig aan de juiste mensen. We schrijven ook op wat we hebben geleerd. Er is geen manier om iemand te straffen die te goeder trouw klokkenluidersgedrag vertoont.

19) Verboden gedragingen (niet-uitputtend)

het gebruiken van kaarten van derden of bedrijven zonder dat de eigenaar ervan duidelijk is;
storten vanaf gestolen of gecompromitteerde betaalinstrumenten;
gebruik van mixers/tumblers, privacypools of goedgekeurde diensten;
waardeoverdracht via gameplay met minimaal risico;
structureren om CDD-drempels te vermijden;
accountdeling, multi-accounting of identiteitsverhuur;
het verstrekken van vervalste of gewijzigde documenten.

Overtredingen kunnen leiden tot sluiting van uw account, inbeslagname in overeenstemming met de wet en onze Voorwaarden, en aangifte bij de autoriteiten.

20) Typologieën van rode vlaggen (illustratief)

Regelmatige stortingen gevolgd door onmiddellijke opnames met minimale speeltijd (‘churn’).
Talrijke mislukte verificatiepogingen of inconsistente identiteitsgegevens.
Financieringspatronen die niet overeenkomen met het opgegeven beroep/inkomen.
Gebruik van veel verschillende kaarten en wallets kort na onboarding.
Crypto-stortingen van diensten met een hoog risico of gesanctioneerde clusters; opnames worden snel doorgestuurd naar mixers of cross-chain bridges.
Plotselinge verplaatsingssignalen of aanhoudende VPN-/proxymaskering.
Snel en gecoördineerd spelen op meerdere accounts/apparaten.

Analisten moeten de context vastleggen, waar nodig om verduidelijking vragen en direct actie ondernemen als er nog steeds een vermoeden bestaat.

21) Beleidsbeheer

Dit beleid wordt ten minste jaarlijks herzien , en eerder wanneer wetten, richtlijnen, risico’s, producten of technologie wezenlijk veranderen. De MLRO stelt updates voor; de Raad van Bestuur keurt deze goed. De meest recente versie wordt beschikbaar gesteld aan medewerkers en partners.

Samenvatting in begrijpelijk Engels

Wij maken gebruik van een gedocumenteerd, op risico’s gebaseerd AML-programma met sterke CDD, voortdurende monitoring en snelle MLRO-beslissingen.
Wij screenen voortdurend op sancties en PEP’s en houden grondige gegevens bij gedurende de wettelijk vereiste perioden.
We staan geen financiering door derden, mixdiensten of verborgen locaties toe. Cryptostromen worden geanalyseerd met blockchaintools en waar van toepassing onderworpen aan maatregelen in de stijl van Travel-Rule.
Als activiteit niet past bij het profiel van een speler – of als er een rode vlag verschijnt – vertragen we, vragen we om bewijs, beperken we het spel of verlaten we het spel. Wanneer er een vermoeden ontstaat, melden we dit zoals de wet vereist.
Training, testen en duidelijke verantwoording zorgen ervoor dat het raamwerk effectief blijft.

Dit document beschrijft hoe Golden Panda voldoet aan zijn AML/CFT-verplichtingen. Het vervangt geen toepasselijke wet- of regelgeving. Waar dit beleid en de lokale wetgeving verschillen, geldt de strengste vereiste.