Guia de compliment AMLR: APIs del Reglament UE 2024/1624

El Reglament europeu contra el blanqueig de capitals (AMLR), Reglament (UE) 2024/1624, unifica les regles de diligència deguda del client (CDD) en un únic text d’aplicació directa. Vincula entitats de crèdit i financeres, inclosos els proveïdors de serveis de criptoactius (CASP), els proveïdors de serveis de jocs d’atzar i la resta d’entitats obligades enumerades a l’article 3. Va entrar en vigor el 9 de juliol de 2024 i s’aplicarà a partir del 10 de juliol de 2027. Fins aleshores, continuen vigents les lleis estatals que transposen la directiva actual. Aquesta pàgina s’adreça als desenvolupadors i enginyers de compliment normatiu que l’han d’implementar. Cada secció detalla què exigeix el reglament, cita l’article i mostra el pas del flux de treball, endpoint de l’API o webhook de Didit que pots utilitzar per a aquesta part. Per a una visió general del negoci, consulta la pàgina de la solució AMLR. Darrera revisió: 2 d’octubre de 2026.

Didit proporciona les comprovacions i les evidències. Tu continues sent l’entitat obligada. Tu decideixes el perfil de risc del client, decideixes si dones l’alta i mantens la responsabilitat plena de qualsevol tasca que externalitzis (article 18). L’ús de Didit no fa, per si sol, que la teva empresa compleixi l’AMLR. Aquesta pàgina no constitueix assessorament legal: confirma com s’aplica cada regla al teu negoci amb la teva assessoria jurídica i el teu supervisor.

Què exigeix l’AMLR d’un cop d’ull

Obligació	Article	On es troba a Didit
Saber quan s’activa la diligència deguda	Art. 19	La teva pròpia lògica d’encaminament i, després, una sessió per activador. Consulta Quan s’aplica la diligència deguda
Identificar el client i verificar la seva identitat	Art. 20(1)(a), art. 22	Verificació d’identitat amb carteres d’identitat digital o captura de documents. Consulta Identificar i verificar persones
Identificar els titulars reals i entendre l’estructura de propietat	Art. 20(1)(b), arts. 51 a 53	Flux de treball de Verificació d’empreses. Consulta Verificar empreses i titulars reals
Comprovar sancions i persones políticament exposades	Art. 20(1)(d) i (g), art. 42	Cribratge AML. Consulta Cribratge de sancions i PEP
Monitorar la relació i mantenir actualitzades les dades dels clients	Art. 26	Monitoratge AML continu i caducitat de documents. Consulta Monitorar de manera contínua i actualitzar
Entendre el propòsit de la relació i, si escau, l’origen dels fons	Art. 25	Qüestionaris. Consulta Propòsit i origen dels fons
Monitorar transaccions i notificar operacions sospitoses	Art. 26(1), art. 69	Monitoratge de transaccions i gestió de casos. Consulta Monitorar transaccions i notificar
Conservar els registres durant 5 anys i, després, suprimir les dades personals	Art. 77	Configuració de conservació, exportacions i supressió a petició. Consulta Conservar registres i després suprimir
Incorporar la intervenció humana en les decisions automatitzades	Art. 76(5)	Revisió manual i actualitzacions d’estat. Consulta Revisió humana de decisions automatitzades
Gestionar allò que externalitzes	Art. 18	El teu registre d’externalització. Consulta Externalització

Flux d’extrem a extrem

El teu backend crea una sessió, l’usuari completa el flux de treball, Didit et notifica i tu recuperes la decisió completa. La decisió de donar l’alta continua sent del teu equip. El monitoratge continua després de l’alta.

Quan s’aplica la diligència deguda

L’article 19 estableix quan has d’aplicar la diligència deguda amb el client: quan estableixes una relació de negocis; per a una transacció ocasional d’almenys 10.000 EUR, en una sola operació o en transaccions vinculades; quan hi ha sospita de blanqueig de capitals o de finançament del terrorisme, independentment de l’import; i quan tens dubtes sobre les dades d’identificació de les quals ja disposes. S’apliquen llindars inferiors en alguns sectors: 1.000 EUR per a transferències ocasionals de fons i per als CASP, 3.000 EUR per a transaccions ocasionals en efectiu (com a mínim identificació i verificació) i 2.000 EUR en els jocs d’atzar. Un CASP ha d’identificar i verificar com a mínim el client per a una transacció ocasional inferior a 1.000 EUR. Didit no decideix si s’aplica un activador. Encamines segons el tipus de transacció i l’import en el teu propi codi i, després, inicies el flux de treball que correspongui.

Requisit	Funcionalitat de Didit	Endpoint o configuració
Iniciar la diligència deguda per a una nova relació de negocis (art. 19(1)(a))	Sessió de verificació en el teu flux de treball d’alta	`POST /v3/session/`
Iniciar la diligència deguda quan una transacció ocasional supera el teu llindar (art. 19(1)(b), 19(2) a 19(5))	Sessió de verificació en el flux de treball que triïs per a aquest activador	`POST /v3/session/` amb el `workflow_id` corresponent
Detectar transaccions vinculades que superen un llindar de manera conjunta	Regles de velocitat a Monitoratge de transaccions	`POST /v3/transactions/`, regles
Demanar la verificació al client abans de liquidar una transacció marcada	Una acció de regla passa la transacció a `AWAITING_USER` i es crea una sessió de verificació vinculada	Estats de les transaccions

Un esquema mínim d’encaminament per al teu backend. No cobreix tots els activadors de l’article 19 (per exemple, participar en la constitució d’una persona jurídica), i les regles sectorials que se t’apliquen poden ser diferents:

# Illustrative only. The figures are the Article 19 thresholds in EUR.
def due_diligence_for(event) -> str:
    """Return "full_cdd", "identify_and_verify" or "none"."""
    if event.new_business_relationship or event.suspicion or event.doubts_about_identity_data:
        return "full_cdd"

    amount = event.linked_total_eur  # one operation, or linked transactions added together

    if event.sector == "casp":
        return "full_cdd" if amount >= 1_000 else "identify_and_verify"
    if event.is_transfer_of_funds and amount >= 1_000:
        return "full_cdd"
    if event.sector == "gambling" and amount >= 2_000:
        return "full_cdd"
    if amount >= 10_000:
        return "full_cdd"
    if event.is_cash and amount >= 3_000:
        return "identify_and_verify"
    return "none"


WORKFLOWS = {
    "full_cdd": "YOUR_FULL_CDD_WORKFLOW_ID",
    "identify_and_verify": "YOUR_ID_ONLY_WORKFLOW_ID",
}

Identificar i verificar persones

L’article 22(1) enumera les dades que has de conservar d’una persona física: tots els noms i cognoms, el lloc i la data de naixement completa, les nacionalitats, el número d’identificació nacional si escau, el lloc de residència habitual i, si es troba disponible, el número d’identificació fiscal. L’article 22(6) estableix a continuació dos mitjans per verificar la identitat: un document d’identitat, passaport o equivalent, o identificació electrònica (eID) que compleixi els nivells de garantia «substancial» o «alt» d’eIDAS, juntament amb serveis de confiança qualificats pertinents.

Punts de dades respecte a la decisió

La decisió retornada per GET /v3/session/{sessionId}/decision/ inclou una entrada per comprovació d’identitat a id_verifications[].

Punt de dades de l’article 22(1)(a)	Camp a `id_verifications[]`	Notes
Tots els noms i cognoms	`first_name`, `last_name`, `full_name`	Tal com apareixen al document o tal com els retorna la cartera
Lloc i data de naixement completa	`place_of_birth`, `date_of_birth`	El lloc de naixement està present si el document l’inclou
Nacionalitats	`nationality`	Registra al teu propi sistema les nacionalitats addicionals que declari el client
Número d’identificació nacional, si escau	`personal_number`	El contingut d’aquest camp depèn del document. Consulta l’informe de Verificació d’identitat
Lloc de residència habitual	`address`, `formatted_address`, `parsed_address`	Els passaports rarament inclouen una adreça. Afegeix Comprovant de domicili o una validació en bases de dades si el document no la conté
Número d’identificació fiscal, si es troba disponible	`extra_fields.tax_number`	Només si el document l’inclou. En cas contrari, sol·licita’l amb Qüestionaris

Les dues vies

Requisit	Funcionalitat de Didit	Endpoint o configuració
Verificar amb identificació electrònica (art. 22(6)(b))	Carteres d’identitat digital. Disponible a producció: MitID (Dinamarca), BankID Suècia, Finnish Trust Network (Finlàndia), Smart-ID (Estònia, Letònia, Lituània, Bèlgica) i Mobile-ID (Estònia, Lituània). Cartera europea d’identitat digital (EUDI): Properament	Configura els mètodes per país al pas de Verificació d’identitat. El resultat informa de `verification_method` i `wallet_provider`
Verificar amb un document d’identitat (art. 22(6)(a))	Captura de documents amb comprovacions d’autenticitat i lectura de xip NFC per a passaports electrònics i e-ID. Per a ús remot, consulta les normes en fase d’esborrany a continuació	Passos de Verificació d’identitat i NFC al flux de treball
Comprovar que la persona que presenta el document n’és la titular	Prova de vida i Coincidència facial respecte al retrat del document	Passos de Prova de vida i Coincidència facial. Resultats a `liveness_checks[]` i `face_matches[]`
Conservar proves que puguis revisar més endavant	Registre de la sessió amb imatges, dades extretes i marques de temps	`GET /v3/session/{sessionId}/generate-pdf/`, exportacions

El nivell de garantia que informa cada cartera s’indica a la pàgina de Carteres d’identitat digital. Avaluar si un determinat esquema compleix l’article 22(6)(b) per al teu cas d’ús depèn de la teva valoració. Didit és la integració que permet al teu client utilitzar la cartera; no és en si mateix un prestador de serveis de confiança qualificat ni un esquema d’eID.

Què diuen les normes tècniques en fase d’esborrany sobre la verificació remota

Les normes tècniques de regulació (RTS) sobre diligència deguda del client segons l’article 28(1) les redacta l’Autoritat de Lluita contra el Blanqueig de Capitals (AMLA). L’informe final d’AMLA està datat el 30 de setembre de 2026 i es va anunciar l’1 d’octubre de 2026. És un esborrany final presentat a la Comissió Europea. No s’ha adoptat i no és llei. La Comissió encara el pot modificar, i l’esborrany proposa aplicar-se sis mesos després de la seva entrada en vigor. Aquest esborrany tracta els dos mitjans de l’article 22(6) com a opció per defecte. La verificació remota amb un document és una solució alternativa per a quan no es pot esperar raonablement que la persona presenti el document presencialment i no té accés a una eID que compleixi els requisits (esborrany de l’article 7(1)). Si utilitzes aquesta alternativa, l’esborrany et demana que puguis justificar per què i demostrar al teu supervisor que la solució disposa de garanties (esborrany dels articles 7(2) i 7(3)). L’esborrany és neutre pel que fa a la tecnologia: no menciona cap tècnica específica. Com s’alineen les garanties de l’esborrany amb el que registra una sessió de Didit:

Garantia a l’esborrany (article 7(2))	Què pots utilitzar a Didit
Controls que acreditin que la persona que presenta el document n’és la titular	Resultats de Prova de vida i Coincidència facial a la sessió
Imatges, vídeo i dades de qualitat suficient per identificar la persona	Comprovacions de qualitat de la captura durant el flux, amb advertències a l’informe
Aturar el procés quan hi hagi dubtes sobre la identitat o la integritat del procés	Advertències i un estat de sessió de `"Declined"` o `"In Review"`
Còpies conservades, amb marca de temps i disponibles per a una verificació posterior	Registre de la sessió, informe en PDF i la teva configuració de conservació

El motiu pel qual un client ha seguit la via del document en lloc d’eID és responsabilitat teva registrar-lo. Guarda’l al teu propi sistema o adjunta’l a la sessió amb metadata quan la creïs.

Verificar empreses i titulars reals

En el cas d’una persona jurídica, l’article 22(1)(b) exigeix la forma jurídica i la raó social, l’adreça de la seu social, els representants legals i, quan estiguin disponibles, el número de registre, el número d’identificació fiscal i l’identificador d’entitat jurídica (LEI). També has d’identificar els titulars reals i prendre mesures raonables per verificar-los, de manera que comprenguis l’estructura de titularitat i control (article 20(1)(b)). Un titular real és una persona física amb una titularitat directa o indirecta del «25 % o més» de les accions, drets de vot o una altra participació en la titularitat (article 52(1)), o que controla l’entitat mitjançant la titularitat o altres mitjans (articles 51 i 53). El control s’avalua en paral·lel a la titularitat.

Requisit	Funcionalitat de Didit	Endpoint o configuració
Identificar la persona jurídica i contrastar-la amb un registre	Verificació d’empreses (coneix la teva empresa, KYB) amb una consulta al registre mercantil en el nivell Lite, Shareholders o UBOs. La disponibilitat dels nivells varia segons el país	`POST /v3/session/` amb un `workflow_id` de KYB. Consulta els països admesos
Identificar els titulars reals finals (UBO) amb el 25 % o més	Titularitat procedent del registre quan estigui disponible, confirmada i ampliada pel representant de l’empresa	Llindar d’UBO a Fluxos de treball, en el flux de treball de KYB. Resultats a `key_people_checks[]`
Verificar la identitat de propietaris, administradors i representants	Verificacions d’identitat vinculades: cada persona clau rep una sessió de verificació filla en el flux de treball que triïs per rol	Configuració per rol a Persones clau en el flux de treball de KYB
Comparar el que consta al registre amb el que declara el client (art. 22(7), art. 24)	Les parts del registre i les presentades es mostren una al costat de l’altra	`key_people_checks[].registry` i `key_people_checks[].submitted` a la decisió
Fer el cribratge de l’empresa, els seus propietaris i els qui en tenen el control	Cribratge AML d’empreses i persones	Pas d’AML en el flux de treball de KYB

Quatre aspectes a tenir en compte en el disseny:

Tu estableixes el llindar. La xifra de l’AMLR és «25 % o més», no «més del 25 %». El llindar d’UBO en el flux de treball és configurable, així que defineix-lo perquè coincideixi i revisa’l si la teva política és més estricta.
Un registre no és suficient per si sol. L’article 22(7) exigeix consultar els registres centrals a més de verificar els titulars reals. Notificar una discrepància al registre en un termini de 14 dies naturals (article 24) és un pas que et correspon a tu.
Un resultat buit del registre no és una prova que una empresa no tingui propietaris. És possible que un registre no contingui registres de titularitat per a una empresa o un país. Si no identifiques cap titular real, l’article 22(2) exigeix que ho registris i que, en el seu lloc, identifiquis i verifiquis els alts directius.
El monitoratge del registre estarà disponible aviat. El monitoratge continu dels canvis al registre encara no està disponible. Fins que ho estigui, torna a executar la Verificació d’empreses segons el teu calendari d’actualització.

Cribratge de sancions i PEP

Has de verificar si el client o els seus titulars reals estan subjectes a sancions financeres dirigides, i si persones sancionades controlen un client que sigui persona jurídica o en posseeixen més del 50 % (article 20(1)(d)). A l’AMLR, les sancions financeres dirigides fan referència a les sancions de la UE. També has de determinar si el client o un titular real és una persona políticament exposada (PEP), un familiar o un associat proper (article 20(1)(g)). En el cas de les PEP, l’article 42 afegeix l’aprovació de l’alta direcció, mesures per determinar l’origen del patrimoni i l’origen dels fons, i un monitoratge continu reforçat.

Requisit	Funcionalitat de Didit	Endpoint o configuració
Fer el cribratge en l’alta	Pas de Cribratge AML en el flux de treball, contra sancions, PEP i llistes de vigilància	Pas d’AML i els seus llindars en el flux de treball. Resultats a `aml_screenings[]`
Fer el cribratge sense un flux allotjat	Cribratge independent d’una persona o una empresa	`POST /v3/aml/`
Saber quines llistes estan cobertes	Base de dades de llistes de vigilància, que inclou la llista consolidada de sancions financeres de la UE	Pàgina de referència
Registrar una decisió per a cada coincidència	Revisió de coincidències amb un `review_status` per coincidència	`PATCH /v3/session/{sessionId}/update-aml-hit-status/`
Enviar coincidències de PEP i sancions a una persona	Llindars que canvien la sessió a `"In Review"`	Llindars d’AML en el flux de treball, després revisió manual

curl -X POST 'https://verification.didit.me/v3/aml/' \
  -H "x-api-key: $DIDIT_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "full_name": "Javier Ejemplo Modelo",
    "entity_type": "person",
    "date_of_birth": "1974-01-01",
    "nationality": "ES",
    "vendor_data": "user-1234"
  }'

Registrar una coincidència com a Confirmed Match o False Positive activa un webhook de data.updated i no canvia la decisió de la sessió per si mateix. L’aprovació de l’alta direcció per a una relació amb una PEP és responsabilitat teva: encamina la sessió a revisió i registra qui la va aprovar.

Monitoratge continu i actualització

L’article 26 exigeix el monitoratge continu de la relació de negoci i la informació actualitzada dels clients. El període entre actualitzacions no ha de superar 1 any per als clients de risc més alt i 5 anys per a la resta de clients (article 26(2)), i també s’ha d’actualitzar quan les circumstàncies del client canviïn o s’arribi a conèixer un fet rellevant (article 26(3)). Les comprovacions de sancions s’han de repetir periòdicament, i en el cas d’entitats de crèdit i financeres davant de qualsevol nova designació (article 26(4)).

Requisit	Funcionalitat de Didit	Endpoint o configuració
Tornar a cribrar clients contra llistes de sancions i PEP	Monitoratge AML continu amb recribratge diari	Activa’l al pas d’AML, o per perfil amb `POST /v3/users/aml-monitoring/`
Tornar a cribrar empreses	Monitoratge AML continu per a perfils d’empresa	`POST /v3/businesses/aml-monitoring/`
Rebre avisos quan un recribratge canvia el resultat	Webhooks a la sessió	`status.updated` quan l’estat canvia, per exemple a `"In Review"`, i `data.updated`. El payload inclou `trigger: "ongoing_monitoring"`
Demostrar que el monitoratge es va executar quan res no va canviar	Data de l’últim cribratge i historial de cribratge	`last_ongoing_screening_at` a l’informe d’AML, i l’exportació de l’historial de cribratge
Detectar documents d’identitat caducats	Monitoratge de documents	La sessió passa d’`"Approved"` a `"Kyc Expired"` i es dispara un webhook `status.updated`

curl -X POST https://verification.didit.me/v3/users/aml-monitoring/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"is_enabled": true, "vendor_data_list": ["user-123", "user-456"]}'

Activar o desactivar el monitoratge no emet cap webhook per si mateix. Un cop activat el monitoratge, els recribratges disparen els esdeveniments habituals status.updated i data.updated.

Programa les actualitzacions d’1 any i de 5 anys al teu propi sistema

El rellotge d’actualització depèn de la classe de risc que assignis, i aquesta decisió no es pot externalitzar. Didit no emmagatzema la teva classe de risc i no programa l’actualització periòdica per tu.

Emmagatzema la classe de risc i la data de l'última actualització

Guarda-les al teu registre de client, al costat de les vendor_data que envies a Didit.

Executa una tasca programada

Selecciona els clients l’última actualització dels quals sigui anterior al teu interval: com a màxim 1 any per al risc més alt i com a màxim 5 anys per a la resta. Aquests són períodes màxims, de manera que triar un interval més curt és la teva decisió.

Crea una nova sessió

Crida POST /v3/session/ amb les mateixes vendor_data i el teu flux de treball d’actualització, i després envia la url al client.

Reacciona també als esdeveniments

Tracta "Kyc Expired", un webhook de monitoratge que canvia una sessió a "In Review", i qualsevol canvi comunicat pel client com a activadors per a una actualització anticipada.

Propòsit i origen dels fons

Abans d’establir una relació de negoci o dur a terme una transacció ocasional, l’article 25 demana comprendre’n el propòsit i la naturalesa prevista. Quan sigui necessari, s’obté informació sobre el propòsit i la justificació econòmica, el volum estimat d’activitat, l’origen dels fons, la destinació dels fons i l’activitat empresarial o ocupació del client. «Quan sigui necessari» vol dir que l’abast es basa en el risc. La diligència deguda reforçada pot afegir l’origen del patrimoni (article 34(4)).

Requisit	Funcionalitat de Didit	Endpoint o configuració
Recollir propòsit i activitat prevista	Qüestionaris amb la plantilla Purpose of Account	Pas de qüestionari al flux de treball
Recollir l’origen dels fons amb documents justificatius	Plantilla Source of Funds amb càrrega de fitxers	Pas de qüestionari al flux de treball
Recollir ocupació i ocupador	Plantilla Employment Details	Pas de qüestionari al flux de treball
Fer que una persona llegeixi cada resposta	Qüestionari configurat perquè el resultat sigui sempre `"In Review"`	Configuració de revisió manual al qüestionari

Les plantilles són un punt de partida. Edita les preguntes perquè s’adaptin a la teva avaluació de riscos i conserva les respostes amb la sessió perquè quedin al mateix registre que la comprovació d’identitat.

Monitorar transaccions i informar

El monitoratge continu cobreix les transaccions dutes a terme durant la relació, de manera que es mantinguin coherents amb el que se sap sobre el client (article 26(1)). Quan sàpigues, sospitis o tinguis motius raonables per sospitar que els fons són producte d’activitats delictives o estan relacionats amb el finançament del terrorisme, informa la teva Unitat d’Intel·ligència Financera (UIF) d’acord amb l’article 69.

Requisit	Funcionalitat de Didit	Endpoint o configuració
Enviar cada transacció per a avaluació	Monitoratge de transaccions per a fiat i criptomonedes	`POST /v3/transactions/`
Aplicar criteris de detecció que hagis aprovat	Paquets de regles predefinides i regles personalitzades, cadascuna amb un mode sota el teu control	Regles a la consola o l’API de regles
Rebre la notificació del veredicte	Webhooks	`transaction.created` i `transaction.status.updated`
Investigar	Alertes i casos amb una cronologia de cada acció	Gestió de casos a la consola
Preparar l’informe	Preparació d’informes UIF a partir de dades del cas	Pestanya Informes UIF en un cas

curl -X POST https://verification.didit.me/v3/transactions/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "transaction_id": "finance0001",
    "transaction_category": "finance",
    "transaction_details": {
      "direction": "outbound",
      "amount": "1200.00",
      "currency": "EUR"
    },
    "subject": { "entity_type": "person", "vendor_data": "user-123", "full_name": "John Doe" },
    "counterparty": { "entity_type": "person", "full_name": "Jane Doe" }
  }'

Dos límits a tenir en compte:

Tu aproves els criteris de detecció. Aprovar els criteris per detectar transaccions sospitoses o inusuals no es pot externalitzar (article 18(3)(f)). Revisa cada regla que instal·lis i deixa constància d’aquesta aprovació a les teves pròpies polítiques.
Tu presentes l’informe. Didit prepara els fitxers d’informe a partir del cas. No envia res a cap UIF. La presentació la fa el teu responsable de compliment a través del canal de la teva UIF.

Conservar registres i després eliminar-los

L’article 77 estableix la teva obligació de conservació de registres. Has de conservar els documents i la informació obtinguts per a la diligència deguda amb el client, els registres de les teves avaluacions de sospita i els registres de transaccions durant 5 anys. El període comença quan finalitza la relació de negoci, quan es duu a terme la transacció ocasional o quan et negues a establir la relació (article 77(3)). Quan expiren els 5 anys, elimines les dades personals, tret que s’apliqui una altra llei o que una autoritat et demani conservar registres específics durant més temps. El comptador comença a partir d’un esdeveniment al teu sistema: el final de la relació. Didit no coneix aquesta data, de manera que la conservació que configuris i les eliminacions que sol·licitis són decisions teves.

Requisit	Funcionalitat de Didit	Endpoint o configuració
Conservar els registres de la sessió mentre duri la teva obligació	Configuració de conservació: una finestra des d’1 mes fins a 10 anys, o il·limitada	Business Console → App Settings → Data retention
Eliminar quan acabi el període de 5 anys	Eliminació sota demanda d’una sessió	`DELETE /v3/session/{sessionId}/delete/`
Lliurar un expedient a un supervisor o a un auditor	Informe en PDF per sessió i per usuari, exportació massiva en CSV	`GET /v3/session/{sessionId}/generate-pdf/`, exportacions
Conservar les proves de cribratge	Exportació de l’historial de cribratge per sessió	Proves de monitoratge continu

Tria una finestra de conservació que no pugui finalitzar abans d'hora

Una sessió arriba al final de la finestra i s’elimina. Tria una finestra que cobreixi la durada de les relacions amb els teus clients més 5 anys, o deixa-la com a il·limitada i elimina sota demanda.

Registra el final de la relació

Emmagatzema la data de finalització, de transacció o de rebuig al teu propi sistema. Aquesta data inicia els teus 5 anys.

Elimina quan expiri el període

Crida a DELETE /v3/session/{sessionId}/delete/ per a cada sessió d’aquest client. L’eliminació és irreversible i les URL dels continguts multimèdia deixen de funcionar.

Els registres d’auditoria i l’historial de cribratge no cobreixen l’obligació de 5 anys per si mateixos. Els registres d’auditoria estan disponibles de 30 dies a 3 anys segons el teu pla, i les execucions de l’historial de cribratge estan disponibles durant dos anys per defecte. Si la teva política de registres depèn d’ells, exporta’ls als teus propis registres abans que acabin aquests períodes. Els registres de la sessió subjectes a la teva configuració de conservació són els que corresponen a l’article 77.

Revisió humana de decisions automatitzades

L’article 76(5) et permet adoptar decisions derivades de processos automatitzats, inclosos la creació de perfils i els sistemes d’IA, sota tres condicions. Les dades es limiten a les dades obtingudes en el marc de la diligència deguda. Qualsevol decisió d’establir o rebutjar una relació de negoci, o de mantenir-la, de dur a terme o rebutjar una transacció ocasional, o de modificar l’abast de la diligència deguda està subjecta a una intervenció humana significativa. I el client pot obtenir una explicació de la decisió i impugnar-la.

Requisit	Funcionalitat de Didit	Endpoint o configuració
Enviar casos a una persona	Llindars i branques del flux de treball que acaben en `"In Review"`	Fluxos de treball
Revisar les proves i decidir	Revisió manual amb un motiu de rebuig i notes de revisió	Consola, o `PATCH /v3/session/{sessionId}/update-status/`
Exigir un segon revisor	Revisió per quatre ulls en una plantilla de cas: un responsable diferent aprova o rebutja la resolució	Gestió de casos a la consola
Explicar el resultat	Resultats per comprovació, advertències i comentaris del revisor a la sessió	`GET /v3/session/{sessionId}/decision/`

curl -X PATCH https://verification.didit.me/v3/session/4c5c7f3a-.../update-status/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "new_status": "Approved",
    "comment": "Cleared after manual review by compliance team"
  }'

Un estat de sessió de "Approved" o "Declined" és el resultat de les comprovacions que has configurat. És una dada d’entrada per a la teva decisió de donar d’alta l’usuari, decisió que l’article 18(3) et reserva a tu. Decideix amb el teu assessor legal on ha d’intervenir una persona, i després incorpora aquest pas al flux de treball i al teu propi sistema intern.

Externalització

L’article 18 et permet externalitzar tasques derivades de l’AMLR a un proveïdor de serveis. Estableix condicions: has de notificar-ho al teu supervisor abans que el proveïdor comenci (article 18(1)), continues sent plenament responsable de les tasques externalitzades (article 18(2)), i has d’establir les condicions en un acord per escrit i dur a terme controls periòdics sobre el proveïdor (article 18(4)). El reglament també indica que l’ús de programari de tercers, o l’accés a bases de dades o serveis de cribratge, quan ets tu qui compleix el requisit directament, no es considera externalització (considerant 47). Que l’ús que fas de Didit sigui externalització o no depèn de com l’utilitzis. Les directrius de l’AMLA sobre externalització s’han d’emetre com a màxim el 10 de juliol de 2027. Sis tasques no es poden externalitzar sota cap circumstància (article 18(3)). Romanen sota la teva responsabilitat:

La proposta i l’aprovació de l’avaluació del risc a escala de tota l’empresa.
L’aprovació de les teves polítiques, procediments i controls interns.
La decisió sobre el perfil de risc que s’ha d’atribuir al client.
La decisió d’establir una relació de negoci o dur a terme una transacció ocasional.
La comunicació d’activitats sospitoses i els informes basats en llindars a la UIF.
L’aprovació dels criteris per detectar transaccions i activitats sospitoses o inusuals.

Les tasques relacionades amb aquestes es poden delegar: recopilar dades d’identitat, executar la verificació de documents o eID, obtenir dades de titularitat real i consultes en registres, fer cribratge en llistes de sancions i PEP, executar el monitoratge de transaccions segons els criteris que hagis aprovat, i preparar alertes i proves. Què has d’incloure al teu registre d’externalització sobre Didit:

Element	Què cal registrar	On trobar-ho
Acord per escrit (art. 18(4))	El teu contracte amb Didit i l’acord de tractament de dades	Demana al teu representant de Didit el DPA i les mesures tècniques i organitzatives
Tasques delegades	Les comprovacions de cada flux de treball que executes, per versió del flux de treball	Fluxos de treball. Les sessions i els webhooks inclouen `workflow_id` i `workflow_version`
Tasques que conserves	Les sis tasques anteriors, amb el responsable a la teva organització	Les teves pròpies polítiques
Qualificació del proveïdor (art. 18(4))	Certificacions i atestacions	Certificacions
Ubicació de les dades	Les dades es processen i s’emmagatzemen a la UE per defecte. El processament dins del país està disponible a Enterprise	Conservació de dades
Controls periòdics (art. 18(4))	El teu mostreig de sessions, exportacions i traces de revisió, amb una freqüència proporcional a la criticitat de la tasca	Exportacions, registres d’auditoria
Notificació al supervisor (art. 18(1))	La data en què vas notificar el supervisor, abans de la posada en marxa	El teu pas. La notificació no implica que el supervisor accepti l’acord

Flux de treball de referència

Un punt de partida per a un flux de treball d’alta de persones físiques. Adapta’l a la teva avaluació del risc.

Crea el flux de treball

A la Business Console, obre Fluxos de treball i crea un flux de treball de coneix el teu client (KYC). Utilitza el constructor visual si necessites branques per país o per resultat.

Tria els mètodes d'identificació per país

Al pas Verificació d’identitat, activa les carteres d’identitat digital disponibles per als països on operes, i la captura de documents com a via per a la resta. Consulta Mètodes de verificació d’identitat.

Vincula el document a la persona

Per a la via del document, afegeix Prova de vida i Coincidència facial, així com NFC quan el document tingui xip.

Cobreix l'adreça

Afegeix Comprovant de domicili per als clients el document dels quals no en contingui cap.

Analitza i monitora

Afegeix Cribratge AML, defineix els llindars que enviïn una coincidència a revisió i activa el monitoratge continu.

Sol·licita el propòsit i l'origen dels fons

Afegeix un Qüestionari a partir de les plantilles Purpose of Account i Source of Funds.

Subscriu-te als webhooks

Crea una destinació del webhook subscrita a status.updated i data.updated. Consulta Webhooks.

Publica i copia l'ID del flux de treball

Publica el flux de treball i utilitza el seu workflow_id quan creïs sessions.

Crea una sessió:

curl -X POST https://verification.didit.me/v3/session/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "workflow_id": "YOUR_KYC_WORKFLOW_ID",
    "vendor_data": "user-42",
    "callback": "https://yourapp.com/callback"
  }'

Resposta (201 Created):

{
  "session_id": "4c5c7f3a-1f82-4f3b-8d8e-1a8d2d2f9b7a",
  "session_kind": "user",
  "session_number": 1024,
  "session_token": "...",
  "url": "https://verify.didit.me/session/...",
  "status": "Not Started",
  "workflow_id": "YOUR_KYC_WORKFLOW_ID",
  "vendor_data": "user-42"
}

Redirigeix el client a url. Quan la sessió arriba a una decisió, Didit envia un webhook status.updated. Un extracte:

{
  "event_id": "9c0c8b8a-1111-4222-9333-444444444444",
  "webhook_type": "status.updated",
  "timestamp": 1774970000,
  "created_at": 1774969994,
  "application_id": "11111111-2222-3333-4444-555555555555",
  "environment": "live",
  "session_id": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
  "status": "In Review",
  "workflow_id": "66666666-7777-8888-9999-000000000000",
  "workflow_version": 4,
  "vendor_data": "user_42",
  "decision": { "...": "see /sessions-api/retrieve-session" }
}

Verifica la signatura, fes que la idempotència es basi en event_id, i compara status com una cadena exacta que distingeix entre majúscules i minúscules. Els valors s’enumeren a Estats de verificació. Després llegeix la decisió completa amb GET /v3/session/{sessionId}/decision/ i lliura-la a la persona o al procés que prengui la decisió d’alta.

Cronologia

Data	Què passa
19 de juny de 2024	L’AMLR, Reglament (UE) 2024/1624, es publica al Diari Oficial
9 de juliol de 2024	L’AMLR entra en vigor
30 de setembre de 2026	L’AMLA fixa la data del seu informe final sobre l’esborrany de normes de diligència deguda del client (anunciat l’1 d’octubre de 2026). Presentat a la Comissió, no adoptat
10 de juliol de 2027	S’aplica l’AMLR. Data límit perquè els estats membres transposin la sisena Directiva contra el blanqueig de capitals, Directiva (UE) 2024/1640. Data límit per a les directrius de l’AMLA sobre externalització
2028	L’AMLA inicia la supervisió directa de determinades entitats financeres seleccionades. La primera ronda està limitada a un màxim de 40
10 de juliol de 2029	L’AMLR s’aplica als agents de futbol i als clubs de futbol professionals

FAQ

Quan s'aplica l'AMLR?

L’AMLR va entrar en vigor el 9 de juliol de 2024 i s’aplicarà a partir del 10 de juliol de 2027. Per als agents de futbol i els clubs de futbol professionals s’aplicarà a partir del 10 de juliol de 2029. Fins al 10 de juliol de 2027, s’apliquen les lleis nacionals que transposen la directiva vigent.

Quina diferència hi ha entre l'AMLR, l'AMLD6 i l'AMLA?

L’AMLR és el Reglament (UE) 2024/1624. Conté les normes per a les entitats obligades i s’aplica directament, sense transposició nacional. L’AMLD6 és la Directiva (UE) 2024/1640. S’adreça als estats membres i regula supervisors, registres i sancions, amb transposició prevista com a màxim el 10 de juliol de 2027. L’AMLA és l’Autoritat de Lluita contra el Blanqueig de Capitals, creada pel Reglament (UE) 2024/1620 i amb seu a Frankfurt. Redacta les normes tècniques i directrius i supervisarà directament un grup seleccionat d’entitats financeres a partir del 2028.

Encara es permet la verificació a distància amb un document d'identitat?

Sí, amb condicions. L’article 22(6) cita dos mitjans: un document d’identitat, o eID amb un nivell de garantia substancial o alt. L’esborrany final de normes de l’AMLA del 30 de setembre de 2026 manté la verificació a distància amb un document com una alternativa per quan no es pugui esperar raonablement que la persona presenti el document presencialment i no tingui accés a un eID apte. Has de poder justificar-ne l’ús i demostrar les garanties. L’esborrany no especifica cap tècnica, i encara no és llei.

Són definitives les normes tècniques?

No. L’AMLA va finalitzar el seu esborrany el 30 de setembre de 2026 i el va enviar a la Comissió Europea. Només serà vinculant quan la Comissió l’adopti i es publiqui al Diari Oficial, i la Comissió pot introduir-hi modificacions. L’esborrany proposa que s’apliqui sis mesos després de la seva entrada en vigor, de manera que encara no hi ha una data concreta.

He d'acceptar l'EUDI Wallet, i Didit hi dona suport?

L’AMLR en si enumera l’eID com un dels dos mitjans de verificació. No obliga totes les entitats obligades a acceptar l’EUDI Wallet. El deure d’acceptació es troba en el reglament eIDAS: les parts usuàries privades que han d’utilitzar autenticació forta d’usuaris per a la identificació en línia accepten la cartera a petició de l’usuari, com a màxim 36 mesos després de l’entrada en vigor dels actes d’execució, i les microempreses i petites empreses n’estan exemptes. Si això s’aplica a la teva alta és una qüestió per al teu assessor jurídic. A Didit, l’EUDI Wallet està Properament. Les carteres disponibles actualment a producció són MitID, BankID Sweden, Finnish Trust Network, Smart-ID i Mobile-ID.

El llindar de titularitat real és del 25% o del 15%?

És del “25% o més” de les accions, drets de vot o altres interessos de titularitat (article 52(1)), i el control s’avalua en paral·lel. L’article 52(2) permet a la Comissió establir un llindar inferior, d’un màxim del 15%, per a categories d’entitats de més risc mitjançant un acte delegat. Aquest acte delegat no existeix. A Didit, el llindar d’UBO és una opció de configuració del teu flux de treball de KYB.

Com implemento les actualitzacions anuals i quinquennals?

Emmagatzema la classe de risc del client i la data de l’última actualització al teu propi sistema, executa una tasca programada que seleccioni els clients que hagin superat el teu interval i crea una nova sessió amb POST /v3/session/ i el mateix vendor_data. Afegeix activadors per esdeveniments: un estat "Kyc Expired", un webhook de monitoratge o un canvi que el client notifiqui. Les xifres d’1 any i de 5 anys de l’article 26(2) són terminis màxims.

Què puc externalitzar?

Tasques com la recollida de dades d’identitat, l’execució de la verificació, les consultes als registres, el cribratge i l’execució del monitoratge de transaccions segons criteris aprovats per tu. Sis tasques no es poden externalitzar: aprovar l’avaluació de riscos de tota l’empresa, aprovar polítiques internes, determinar el perfil de risc del client, prendre la decisió de donar-lo d’alta, notificar a la UIF i aprovar els criteris de detecció. Continues sent plenament responsable d’allò que externalitzis (article 18(2)).

Com configuro la conservació per a la regla dels 5 anys?

Els 5 anys comencen quan finalitza la relació, no quan es va verificar el client. A Business Console → App Settings → Data retention, tria un període prou llarg per cobrir la relació més 5 anys, o deixa’l il·limitat. Fes el seguiment de la data de finalització al teu propi sistema i crida DELETE /v3/session/{sessionId}/delete/ quan el teu període hagi finalitzat. Exporta els registres d’auditoria i l’historial de cribratge si la teva política de registre documental s’hi basa.

L'ús de Didit fa que compleixi amb l'AMLR?

No. El compliment és una propietat del teu programa: la teva avaluació de riscos, les teves polítiques, les teves decisions i els teus controls. Didit et proporciona les comprovacions, el monitoratge i les evidències que demostren que aquestes parts del programa funcionen. No existeix cap certificació o aprovació en matèria d’AMLR per a proveïdors o eines.

Recursos relacionats

Visió general de la solució AMLR

La perspectiva empresarial: a qui obliga l’AMLR i on encaixa Didit.

Mètodes de verificació d'identitat

Captura de documents, consultes sense document i carteres d’identitat digital.

Carteres d'identitat digital

Disponibilitat i nivell de garantia per cartera.

Verificació d'empreses

Consultes als registres, titularitat i persones clau.

Cribratge AML

Cribratge de sancions, PEP i llistes de vigilància amb monitoratge continu.

Monitoratge de transaccions

Regles, alertes, casos i preparació d’informes per a la UIF.

Qüestionaris

Plantilles per a la finalitat de la relació i l’origen dels fons.

Conservació de dades

Períodes de conservació i supressió sota demanda.

Webhooks

Tipus d’esdeveniments, payloads i verificació de la signatura.

Preus

Paga per comprovació. Consulta el preu actual de cada funcionalitat.

Visió general

Preus

Fluxos de treball i verificació

Revisió i operacions

Entitats (usuaris i empreses)

Configuració i personalització

Seguretat i compliment

Didit Academy

Recursos

Guia de compliment AMLR: APIs del Reglament UE 2024/1624

Què exigeix l’AMLR d’un cop d’ull

Flux d’extrem a extrem

Quan s’aplica la diligència deguda

Identificar i verificar persones

Punts de dades respecte a la decisió

Les dues vies

Què diuen les normes tècniques en fase d’esborrany sobre la verificació remota

Verificar empreses i titulars reals

Cribratge de sancions i PEP

Monitoratge continu i actualització

Programa les actualitzacions d’1 any i de 5 anys al teu propi sistema

Propòsit i origen dels fons

Monitorar transaccions i informar

Conservar registres i després eliminar-los

Revisió humana de decisions automatitzades

Externalització

Flux de treball de referència

Cronologia

FAQ

Recursos relacionats

Visió general de la solució AMLR

Mètodes de verificació d'identitat

Carteres d'identitat digital

Verificació d'empreses

Cribratge AML

Monitoratge de transaccions

Qüestionaris

Conservació de dades

Webhooks

Preus

​Què exigeix l’AMLR d’un cop d’ull

​Flux d’extrem a extrem

​Quan s’aplica la diligència deguda

​Identificar i verificar persones

​Punts de dades respecte a la decisió

​Les dues vies

​Què diuen les normes tècniques en fase d’esborrany sobre la verificació remota

​Verificar empreses i titulars reals

​Cribratge de sancions i PEP

​Monitoratge continu i actualització

​Programa les actualitzacions d’1 any i de 5 anys al teu propi sistema

​Propòsit i origen dels fons

​Monitorar transaccions i informar

​Conservar registres i després eliminar-los

​Revisió humana de decisions automatitzades

​Externalització

​Flux de treball de referència

​Cronologia

​FAQ

​Recursos relacionats

Visió general de la solució AMLR

Mètodes de verificació d'identitat

Carteres d'identitat digital

Verificació d'empreses

Cribratge AML

Monitoratge de transaccions

Qüestionaris

Conservació de dades

Webhooks

Preus

Què exigeix l’AMLR d’un cop d’ull

Flux d’extrem a extrem

Quan s’aplica la diligència deguda

Identificar i verificar persones

Punts de dades respecte a la decisió

Les dues vies

Què diuen les normes tècniques en fase d’esborrany sobre la verificació remota

Verificar empreses i titulars reals

Cribratge de sancions i PEP

Monitoratge continu i actualització

Programa les actualitzacions d’1 any i de 5 anys al teu propi sistema

Propòsit i origen dels fons

Monitorar transaccions i informar

Conservar registres i després eliminar-los

Revisió humana de decisions automatitzades

Externalització

Flux de treball de referència

Cronologia

FAQ

Recursos relacionats