> ## Documentation Index
> Fetch the complete documentation index at: https://docs.didit.me/llms.txt
> Use this file to discover all available pages before exploring further.

# Guia de compliment AMLR: APIs del Reglament UE 2024/1624

> Compleix el Reglament AML de la UE (AMLR) amb els fluxos de treball, endpoints d'API i webhooks de Didit per a cada requisit.

El Reglament europeu contra el blanqueig de capitals (AMLR), Reglament (UE) 2024/1624, unifica les regles de diligència deguda del client (CDD) en un únic text d'aplicació directa. Vincula entitats de crèdit i financeres, inclosos els proveïdors de serveis de criptoactius (CASP), els proveïdors de serveis de jocs d'atzar i la resta d'entitats obligades enumerades a l'article 3. Va entrar en vigor el 9 de juliol de 2024 i s'aplicarà a partir del 10 de juliol de 2027. Fins aleshores, continuen vigents les lleis estatals que transposen la directiva actual.

Aquesta pàgina s'adreça als desenvolupadors i enginyers de compliment normatiu que l'han d'implementar. Cada secció detalla què exigeix el reglament, cita l'article i mostra el pas del flux de treball, endpoint de l'API o webhook de Didit que pots utilitzar per a aquesta part. Per a una visió general del negoci, consulta la [pàgina de la solució AMLR](https://didit.me/solutions/amlr).

Darrera revisió: 2 d'octubre de 2026.

> [!WARNING]
>
> **Didit proporciona les comprovacions i les evidències. Tu continues sent l'entitat obligada.** Tu decideixes el perfil de risc del client, decideixes si dones l'alta i mantens la responsabilitat plena de qualsevol tasca que externalitzis (article 18). L'ús de Didit no fa, per si sol, que la teva empresa compleixi l'AMLR. Aquesta pàgina no constitueix assessorament legal: confirma com s'aplica cada regla al teu negoci amb la teva assessoria jurídica i el teu supervisor.

## Què exigeix l'AMLR d'un cop d'ull

| Obligació | Article | On es troba a Didit |
| - | - | - |
| Saber quan s'activa la diligència deguda | Art. 19 | La teva pròpia lògica d'encaminament i, després, una sessió per activador. Consulta [Quan s'aplica la diligència deguda](#quan-s’aplica-la-diligència-deguda) |
| Identificar el client i verificar la seva identitat | Art. 20(1)(a), art. 22 | Verificació d'identitat amb carteres d'identitat digital o captura de documents. Consulta [Identificar i verificar persones](#identificar-i-verificar-persones) |
| Identificar els titulars reals i entendre l'estructura de propietat | Art. 20(1)(b), arts. 51 a 53 | Flux de treball de Verificació d'empreses. Consulta [Verificar empreses i titulars reals](#verificar-empreses-i-titulars-reals) |
| Comprovar sancions i persones políticament exposades | Art. 20(1)(d) i (g), art. 42 | Cribratge AML. Consulta [Cribratge de sancions i PEP](#cribratge-de-sancions-i-pep) |
| Monitorar la relació i mantenir actualitzades les dades dels clients | Art. 26 | Monitoratge AML continu i caducitat de documents. Consulta [Monitorar de manera contínua i actualitzar](#monitoratge-continu-i-actualització) |
| Entendre el propòsit de la relació i, si escau, l'origen dels fons | Art. 25 | Qüestionaris. Consulta [Propòsit i origen dels fons](#propòsit-i-origen-dels-fons) |
| Monitorar transaccions i notificar operacions sospitoses | Art. 26(1), art. 69 | Monitoratge de transaccions i gestió de casos. Consulta [Monitorar transaccions i notificar](#monitorar-transaccions-i-informar) |
| Conservar els registres durant 5 anys i, després, suprimir les dades personals | Art. 77 | Configuració de conservació, exportacions i supressió a petició. Consulta [Conservar registres i després suprimir](#conservar-registres-i-després-eliminar-los) |
| Incorporar la intervenció humana en les decisions automatitzades | Art. 76(5) | Revisió manual i actualitzacions d'estat. Consulta [Revisió humana de decisions automatitzades](#revisió-humana-de-decisions-automatitzades) |
| Gestionar allò que externalitzes | Art. 18 | El teu registre d'externalització. Consulta [Externalització](#externalització) |

## Flux d'extrem a extrem

El teu backend crea una sessió, l'usuari completa el flux de treball, Didit et notifica i tu recuperes la decisió completa. La decisió de donar l'alta continua sent del teu equip. El monitoratge continua després de l'alta.

```mermaid theme={null}
sequenceDiagram
    autonumber
    participant User as Your customer
    participant You as Your backend
    participant Didit as Didit API
    participant Team as Your compliance team

    You->>Didit: POST /v3/session/ (workflow_id, vendor_data)
    Didit-->>You: session_id and url
    You->>User: Redirect to url
    User->>Didit: Completes the workflow
    Didit--)You: status.updated webhook
    You->>Didit: GET /v3/session/{sessionId}/decision/
    Didit-->>You: Decision with the result of every check
    You->>Team: Queue the case for a decision
    Note over You,Team: Risk profile and onboarding decision are yours (Article 18)
    Team->>Didit: PATCH /v3/session/{sessionId}/update-status/
    You->>Didit: POST /v3/users/aml-monitoring/
    Didit--)You: status.updated and data.updated on each change
```

## Quan s'aplica la diligència deguda

L'article 19 estableix quan has d'aplicar la diligència deguda amb el client: quan estableixes una relació de negocis; per a una transacció ocasional d'almenys 10.000 EUR, en una sola operació o en transaccions vinculades; quan hi ha sospita de blanqueig de capitals o de finançament del terrorisme, independentment de l'import; i quan tens dubtes sobre les dades d'identificació de les quals ja disposes. S'apliquen llindars inferiors en alguns sectors: 1.000 EUR per a transferències ocasionals de fons i per als CASP, 3.000 EUR per a transaccions ocasionals en efectiu (com a mínim identificació i verificació) i 2.000 EUR en els jocs d'atzar. Un CASP ha d'identificar i verificar com a mínim el client per a una transacció ocasional inferior a 1.000 EUR.

Didit no decideix si s'aplica un activador. Encamines segons el tipus de transacció i l'import en el teu propi codi i, després, inicies el flux de treball que correspongui.

| Requisit | Funcionalitat de Didit | Endpoint o configuració |
| - | - | - |
| Iniciar la diligència deguda per a una nova relació de negocis (art. 19(1)(a)) | Sessió de verificació en el teu flux de treball d'alta | [`POST /v3/session/`](https://docs.didit.me/ca/sessions-api/create-session) |
| Iniciar la diligència deguda quan una transacció ocasional supera el teu llindar (art. 19(1)(b), 19(2) a 19(5)) | Sessió de verificació en el flux de treball que triïs per a aquest activador | [`POST /v3/session/`](https://docs.didit.me/ca/sessions-api/create-session) amb el `workflow_id` corresponent |
| Detectar transaccions vinculades que superen un llindar de manera conjunta | Regles de velocitat a Monitoratge de transaccions | [`POST /v3/transactions/`](https://docs.didit.me/ca/transaction-monitoring/transactions), [regles](https://docs.didit.me/ca/transaction-monitoring/rules.md) |
| Demanar la verificació al client abans de liquidar una transacció marcada | Una acció de regla passa la transacció a `AWAITING_USER` i es crea una sessió de verificació vinculada | [Estats de les transaccions](https://docs.didit.me/ca/transaction-monitoring/statuses.md) |

Un esquema mínim d'encaminament per al teu backend. No cobreix tots els activadors de l'article 19 (per exemple, participar en la constitució d'una persona jurídica), i les regles sectorials que se t'apliquen poden ser diferents:

```python theme={null}
# Illustrative only. The figures are the Article 19 thresholds in EUR.
def due_diligence_for(event) -> str:
    """Return "full_cdd", "identify_and_verify" or "none"."""
    if event.new_business_relationship or event.suspicion or event.doubts_about_identity_data:
        return "full_cdd"

    amount = event.linked_total_eur  # one operation, or linked transactions added together

    if event.sector == "casp":
        return "full_cdd" if amount >= 1_000 else "identify_and_verify"
    if event.is_transfer_of_funds and amount >= 1_000:
        return "full_cdd"
    if event.sector == "gambling" and amount >= 2_000:
        return "full_cdd"
    if amount >= 10_000:
        return "full_cdd"
    if event.is_cash and amount >= 3_000:
        return "identify_and_verify"
    return "none"


WORKFLOWS = {
    "full_cdd": "YOUR_FULL_CDD_WORKFLOW_ID",
    "identify_and_verify": "YOUR_ID_ONLY_WORKFLOW_ID",
}
```

## Identificar i verificar persones

L'article 22(1) enumera les dades que has de conservar d'una persona física: tots els noms i cognoms, el lloc i la data de naixement completa, les nacionalitats, el número d'identificació nacional si escau, el lloc de residència habitual i, si es troba disponible, el número d'identificació fiscal. L'article 22(6) estableix a continuació dos mitjans per verificar la identitat: un document d'identitat, passaport o equivalent, o identificació electrònica (eID) que compleixi els nivells de garantia «substancial» o «alt» d'eIDAS, juntament amb serveis de confiança qualificats pertinents.

### Punts de dades respecte a la decisió

La decisió retornada per [`GET /v3/session/{sessionId}/decision/`](https://docs.didit.me/ca/sessions-api/retrieve-session) inclou una entrada per comprovació d'identitat a `id_verifications[]`.

| Punt de dades de l'article 22(1)(a) | Camp a `id_verifications[]` | Notes |
| - | - | - |
| Tots els noms i cognoms | `first_name`, `last_name`, `full_name` | Tal com apareixen al document o tal com els retorna la cartera |
| Lloc i data de naixement completa | `place_of_birth`, `date_of_birth` | El lloc de naixement està present si el document l'inclou |
| Nacionalitats | `nationality` | Registra al teu propi sistema les nacionalitats addicionals que declari el client |
| Número d'identificació nacional, si escau | `personal_number` | El contingut d'aquest camp depèn del document. Consulta l'[informe de Verificació d'identitat](https://docs.didit.me/ca/core-technology/id-verification/report-id-verification.md) |
| Lloc de residència habitual | `address`, `formatted_address`, `parsed_address` | Els passaports rarament inclouen una adreça. Afegeix [Comprovant de domicili](https://docs.didit.me/ca/core-technology/proof-of-address/overview.md) o una [validació en bases de dades](https://docs.didit.me/ca/core-technology/database-validation/overview.md) si el document no la conté |
| Número d'identificació fiscal, si es troba disponible | `extra_fields.tax_number` | Només si el document l'inclou. En cas contrari, sol·licita'l amb [Qüestionaris](https://docs.didit.me/ca/core-technology/questionnaires/overview.md) |

### Les dues vies

| Requisit | Funcionalitat de Didit | Endpoint o configuració |
| - | - | - |
| Verificar amb identificació electrònica (art. 22(6)(b)) | [Carteres d'identitat digital](https://docs.didit.me/ca/core-technology/id-verification/digital-id-wallets.md). Disponible a producció: MitID (Dinamarca), BankID Suècia, Finnish Trust Network (Finlàndia), Smart-ID (Estònia, Letònia, Lituània, Bèlgica) i Mobile-ID (Estònia, Lituània). Cartera europea d'identitat digital (EUDI): **Properament** | Configura els mètodes per país al [pas de Verificació d'identitat](https://docs.didit.me/ca/console/id-verification-methods.md). El resultat informa de `verification_method` i `wallet_provider` |
| Verificar amb un document d'identitat (art. 22(6)(a)) | [Captura de documents](https://docs.didit.me/ca/core-technology/id-verification/overview.md) amb comprovacions d'autenticitat i [lectura de xip NFC](https://docs.didit.me/ca/core-technology/nfc-verification/overview.md) per a passaports electrònics i e-ID. Per a ús remot, consulta les normes en fase d'esborrany a continuació | Passos de Verificació d'identitat i NFC al flux de treball |
| Comprovar que la persona que presenta el document n'és la titular | [Prova de vida](https://docs.didit.me/ca/core-technology/liveness/overview.md) i [Coincidència facial](https://docs.didit.me/ca/core-technology/face-match/overview.md) respecte al retrat del document | Passos de Prova de vida i Coincidència facial. Resultats a `liveness_checks[]` i `face_matches[]` |
| Conservar proves que puguis revisar més endavant | Registre de la sessió amb imatges, dades extretes i marques de temps | [`GET /v3/session/{sessionId}/generate-pdf/`](https://docs.didit.me/ca/sessions-api/generate-pdf), [exportacions](https://docs.didit.me/ca/console/export-pdf-csv.md) |

El nivell de garantia que informa cada cartera s'indica a la pàgina de [Carteres d'identitat digital](https://docs.didit.me/ca/core-technology/id-verification/digital-id-wallets.md). Avaluar si un determinat esquema compleix l'article 22(6)(b) per al teu cas d'ús depèn de la teva valoració. Didit és la integració que permet al teu client utilitzar la cartera; no és en si mateix un prestador de serveis de confiança qualificat ni un esquema d'eID.

### Què diuen les normes tècniques en fase d'esborrany sobre la verificació remota

Les normes tècniques de regulació (RTS) sobre diligència deguda del client segons l'article 28(1) les redacta l'Autoritat de Lluita contra el Blanqueig de Capitals (AMLA). L'informe final d'AMLA està datat el 30 de setembre de 2026 i es va anunciar l'1 d'octubre de 2026. **És un esborrany final presentat a la Comissió Europea. No s'ha adoptat i no és llei.** La Comissió encara el pot modificar, i l'esborrany proposa aplicar-se sis mesos després de la seva entrada en vigor.

Aquest esborrany tracta els dos mitjans de l'article 22(6) com a opció per defecte. La verificació remota amb un document és una solució alternativa per a quan no es pot esperar raonablement que la persona presenti el document presencialment i no té accés a una eID que compleixi els requisits (esborrany de l'article 7(1)). Si utilitzes aquesta alternativa, l'esborrany et demana que puguis justificar per què i demostrar al teu supervisor que la solució disposa de garanties (esborrany dels articles 7(2) i 7(3)). L'esborrany és neutre pel que fa a la tecnologia: no menciona cap tècnica específica.

Com s'alineen les garanties de l'esborrany amb el que registra una sessió de Didit:

| Garantia a l'esborrany (article 7(2)) | Què pots utilitzar a Didit |
| - | - |
| Controls que acreditin que la persona que presenta el document n'és la titular | Resultats de Prova de vida i Coincidència facial a la sessió |
| Imatges, vídeo i dades de qualitat suficient per identificar la persona | Comprovacions de qualitat de la captura durant el flux, amb advertències a l'informe |
| Aturar el procés quan hi hagi dubtes sobre la identitat o la integritat del procés | Advertències i un estat de sessió de `"Declined"` o `"In Review"` |
| Còpies conservades, amb marca de temps i disponibles per a una verificació posterior | Registre de la sessió, informe en PDF i la teva [configuració de conservació](#conservar-registres-i-després-eliminar-los) |

El motiu pel qual un client ha seguit la via del document en lloc d'eID és responsabilitat teva registrar-lo. Guarda'l al teu propi sistema o adjunta'l a la sessió amb `metadata` quan la creïs.

## Verificar empreses i titulars reals

En el cas d'una persona jurídica, l'article 22(1)(b) exigeix la forma jurídica i la raó social, l'adreça de la seu social, els representants legals i, quan estiguin disponibles, el número de registre, el número d'identificació fiscal i l'identificador d'entitat jurídica (LEI). També has d'identificar els titulars reals i prendre mesures raonables per verificar-los, de manera que comprenguis l'estructura de titularitat i control (article 20(1)(b)). Un titular real és una persona física amb una titularitat directa o indirecta del «25 % o més» de les accions, drets de vot o una altra participació en la titularitat (article 52(1)), o que controla l'entitat mitjançant la titularitat o altres mitjans (articles 51 i 53). El control s'avalua en paral·lel a la titularitat.

| Requisit | Funcionalitat de Didit | Endpoint o configuració |
| - | - | - |
| Identificar la persona jurídica i contrastar-la amb un registre | [Verificació d'empreses](https://docs.didit.me/ca/business-verification/overview.md) (coneix la teva empresa, KYB) amb una consulta al registre mercantil en el nivell Lite, Shareholders o UBOs. La disponibilitat dels nivells varia segons el país | [`POST /v3/session/`](https://docs.didit.me/ca/sessions-api/create-session) amb un `workflow_id` de KYB. Consulta els [països admesos](https://docs.didit.me/ca/business-verification/supported-countries.md) |
| Identificar els titulars reals finals (UBO) amb el 25 % o més | [Titularitat](https://docs.didit.me/ca/business-verification/ownership.md) procedent del registre quan estigui disponible, confirmada i ampliada pel representant de l'empresa | Llindar d'UBO a **Fluxos de treball**, en el flux de treball de KYB. Resultats a `key_people_checks[]` |
| Verificar la identitat de propietaris, administradors i representants | Verificacions d'identitat vinculades: cada [persona clau](https://docs.didit.me/ca/business-verification/key-people.md) rep una sessió de verificació filla en el flux de treball que triïs per rol | Configuració per rol a **Persones clau** en el flux de treball de KYB |
| Comparar el que consta al registre amb el que declara el client (art. 22(7), art. 24) | Les parts del registre i les presentades es mostren una al costat de l'altra | `key_people_checks[].registry` i `key_people_checks[].submitted` a la decisió |
| Fer el cribratge de l'empresa, els seus propietaris i els qui en tenen el control | [Cribratge AML](https://docs.didit.me/ca/business-verification/aml.md) d'empreses i persones | Pas d'AML en el flux de treball de KYB |

Quatre aspectes a tenir en compte en el disseny:

* **Tu estableixes el llindar.** La xifra de l'AMLR és «25 % o més», no «més del 25 %». El llindar d'UBO en el flux de treball és configurable, així que defineix-lo perquè coincideixi i revisa'l si la teva política és més estricta.
* **Un registre no és suficient per si sol.** L'article 22(7) exigeix consultar els registres centrals a més de verificar els titulars reals. Notificar una discrepància al registre en un termini de 14 dies naturals (article 24) és un pas que et correspon a tu.
* **Un resultat buit del registre no és una prova que una empresa no tingui propietaris.** És possible que un registre no contingui registres de titularitat per a una empresa o un país. Si no identifiques cap titular real, l'article 22(2) exigeix que ho registris i que, en el seu lloc, identifiquis i verifiquis els alts directius.
* **El monitoratge del registre estarà disponible aviat.** El monitoratge continu dels canvis al registre encara no està disponible. Fins que ho estigui, torna a executar la Verificació d'empreses segons el teu calendari d'actualització.

## Cribratge de sancions i PEP

Has de verificar si el client o els seus titulars reals estan subjectes a sancions financeres dirigides, i si persones sancionades controlen un client que sigui persona jurídica o en posseeixen més del 50 % (article 20(1)(d)). A l'AMLR, les sancions financeres dirigides fan referència a les sancions de la UE. També has de determinar si el client o un titular real és una persona políticament exposada (PEP), un familiar o un associat proper (article 20(1)(g)). En el cas de les PEP, l'article 42 afegeix l'aprovació de l'alta direcció, mesures per determinar l'origen del patrimoni i l'origen dels fons, i un monitoratge continu reforçat.

| Requisit | Funcionalitat de Didit | Endpoint o configuració |
| - | - | - |
| Fer el cribratge en l'alta | Pas de [Cribratge AML](https://docs.didit.me/ca/core-technology/aml-screening/overview.md) en el flux de treball, contra sancions, PEP i llistes de vigilància | Pas d'AML i els seus llindars en el flux de treball. Resultats a `aml_screenings[]` |
| Fer el cribratge sense un flux allotjat | Cribratge independent d'una persona o una empresa | [`POST /v3/aml/`](https://docs.didit.me/ca/standalone-apis/aml-screening) |
| Saber quines llistes estan cobertes | [Base de dades de llistes de vigilància](https://docs.didit.me/ca/core-technology/aml-screening/watchlist-database-aml-screening.md), que inclou la llista consolidada de sancions financeres de la UE | Pàgina de referència |
| Registrar una decisió per a cada coincidència | Revisió de coincidències amb un `review_status` per coincidència | [`PATCH /v3/session/{sessionId}/update-aml-hit-status/`](https://docs.didit.me/ca/sessions-api/update-aml-hit-status) |
| Enviar coincidències de PEP i sancions a una persona | Llindars que canvien la sessió a `"In Review"` | Llindars d'AML en el flux de treball, després [revisió manual](https://docs.didit.me/ca/console/manual-review.md) |

```bash theme={null}
curl -X POST 'https://verification.didit.me/v3/aml/' \
  -H "x-api-key: $DIDIT_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "full_name": "Javier Ejemplo Modelo",
    "entity_type": "person",
    "date_of_birth": "1974-01-01",
    "nationality": "ES",
    "vendor_data": "user-1234"
  }'
```

Registrar una coincidència com a `Confirmed Match` o `False Positive` activa un webhook de `data.updated` i no canvia la decisió de la sessió per si mateix. L'aprovació de l'alta direcció per a una relació amb una PEP és responsabilitat teva: encamina la sessió a revisió i registra qui la va aprovar.

## Monitoratge continu i actualització

L'article 26 exigeix el monitoratge continu de la relació de negoci i la informació actualitzada dels clients. El període entre actualitzacions no ha de superar 1 any per als clients de risc més alt i 5 anys per a la resta de clients (article 26(2)), i també s'ha d'actualitzar quan les circumstàncies del client canviïn o s'arribi a conèixer un fet rellevant (article 26(3)). Les comprovacions de sancions s'han de repetir periòdicament, i en el cas d'entitats de crèdit i financeres davant de qualsevol nova designació (article 26(4)).

| Requisit | Funcionalitat de Didit | Endpoint o configuració |
| - | - | - |
| Tornar a cribrar clients contra llistes de sancions i PEP | [Monitoratge AML continu](https://docs.didit.me/ca/core-technology/aml-screening/continuous-monitoring-aml-screening.md) amb recribratge diari | Activa'l al pas d'AML, o per perfil amb [`POST /v3/users/aml-monitoring/`](https://docs.didit.me/ca/management-api/aml-monitoring/toggle-users) |
| Tornar a cribrar empreses | Monitoratge AML continu per a perfils d'empresa | [`POST /v3/businesses/aml-monitoring/`](https://docs.didit.me/ca/management-api/aml-monitoring/toggle-businesses) |
| Rebre avisos quan un recribratge canvia el resultat | Webhooks a la sessió | `status.updated` quan l'estat canvia, per exemple a `"In Review"`, i `data.updated`. El payload inclou `trigger: "ongoing_monitoring"` |
| Demostrar que el monitoratge es va executar quan res no va canviar | Data de l'últim cribratge i historial de cribratge | `last_ongoing_screening_at` a l'informe d'AML, i l'exportació de l'historial de cribratge |
| Detectar documents d'identitat caducats | [Monitoratge de documents](https://docs.didit.me/ca/core-technology/id-verification/document-monitoring-id-verification.md) | La sessió passa d'`"Approved"` a `"Kyc Expired"` i es dispara un webhook `status.updated` |

```bash theme={null}
curl -X POST https://verification.didit.me/v3/users/aml-monitoring/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"is_enabled": true, "vendor_data_list": ["user-123", "user-456"]}'
```

Activar o desactivar el monitoratge no emet cap webhook per si mateix. Un cop activat el monitoratge, els recribratges disparen els esdeveniments habituals `status.updated` i `data.updated`.

### Programa les actualitzacions d'1 any i de 5 anys al teu propi sistema

El rellotge d'actualització depèn de la classe de risc que assignis, i aquesta decisió no es pot externalitzar. Didit no emmagatzema la teva classe de risc i no programa l'actualització periòdica per tu.

**1. Emmagatzema la classe de risc i la data de l'última actualització**

Guarda-les al teu registre de client, al costat de les `vendor_data` que envies a Didit.

**2. Executa una tasca programada**

Selecciona els clients l'última actualització dels quals sigui anterior al teu interval: com a màxim 1 any per al risc més alt i com a màxim 5 anys per a la resta. Aquests són períodes màxims, de manera que triar un interval més curt és la teva decisió.

**3. Crea una nova sessió**

Crida [`POST /v3/session/`](https://docs.didit.me/ca/sessions-api/create-session) amb les mateixes `vendor_data` i el teu flux de treball d'actualització, i després envia la `url` al client.

**4. Reacciona també als esdeveniments**

Tracta `"Kyc Expired"`, un webhook de monitoratge que canvia una sessió a `"In Review"`, i qualsevol canvi comunicat pel client com a activadors per a una actualització anticipada.

## Propòsit i origen dels fons

Abans d'establir una relació de negoci o dur a terme una transacció ocasional, l'article 25 demana comprendre'n el propòsit i la naturalesa prevista. Quan sigui necessari, s'obté informació sobre el propòsit i la justificació econòmica, el volum estimat d'activitat, l'origen dels fons, la destinació dels fons i l'activitat empresarial o ocupació del client. «Quan sigui necessari» vol dir que l'abast es basa en el risc. La diligència deguda reforçada pot afegir l'origen del patrimoni (article 34(4)).

| Requisit | Funcionalitat de Didit | Endpoint o configuració |
| - | - | - |
| Recollir propòsit i activitat prevista | [Qüestionaris](https://docs.didit.me/ca/core-technology/questionnaires/overview.md) amb la plantilla Purpose of Account | Pas de qüestionari al flux de treball |
| Recollir l'origen dels fons amb documents justificatius | Plantilla Source of Funds amb càrrega de fitxers | Pas de qüestionari al flux de treball |
| Recollir ocupació i ocupador | Plantilla Employment Details | Pas de qüestionari al flux de treball |
| Fer que una persona llegeixi cada resposta | Qüestionari configurat perquè el resultat sigui sempre `"In Review"` | Configuració de revisió manual al qüestionari |

Les plantilles són un punt de partida. Edita les preguntes perquè s'adaptin a la teva avaluació de riscos i conserva les respostes amb la sessió perquè quedin al mateix registre que la comprovació d'identitat.

## Monitorar transaccions i informar

El monitoratge continu cobreix les transaccions dutes a terme durant la relació, de manera que es mantinguin coherents amb el que se sap sobre el client (article 26(1)). Quan sàpigues, sospitis o tinguis motius raonables per sospitar que els fons són producte d'activitats delictives o estan relacionats amb el finançament del terrorisme, informa la teva Unitat d'Intel·ligència Financera (UIF) d'acord amb l'article 69.

| Requisit | Funcionalitat de Didit | Endpoint o configuració |
| - | - | - |
| Enviar cada transacció per a avaluació | [Monitoratge de transaccions](https://docs.didit.me/ca/transaction-monitoring/overview.md) per a fiat i criptomonedes | [`POST /v3/transactions/`](https://docs.didit.me/ca/transaction-monitoring/transactions) |
| Aplicar criteris de detecció que hagis aprovat | Paquets de regles predefinides i [regles](https://docs.didit.me/ca/transaction-monitoring/rules.md) personalitzades, cadascuna amb un mode sota el teu control | Regles a la consola o l'API de regles |
| Rebre la notificació del veredicte | Webhooks | `transaction.created` i `transaction.status.updated` |
| Investigar | [Alertes](https://docs.didit.me/ca/transaction-monitoring/alerts.md) i [casos](https://docs.didit.me/ca/transaction-monitoring/cases.md) amb una cronologia de cada acció | Gestió de casos a la consola |
| Preparar l'informe | [Preparació d'informes UIF](https://docs.didit.me/ca/console/case-management/fiu-reports.md) a partir de dades del cas | Pestanya **Informes UIF** en un cas |

```bash theme={null}
curl -X POST https://verification.didit.me/v3/transactions/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "transaction_id": "finance0001",
    "transaction_category": "finance",
    "transaction_details": {
      "direction": "outbound",
      "amount": "1200.00",
      "currency": "EUR"
    },
    "subject": { "entity_type": "person", "vendor_data": "user-123", "full_name": "John Doe" },
    "counterparty": { "entity_type": "person", "full_name": "Jane Doe" }
  }'
```

Dos límits a tenir en compte:

* **Tu aproves els criteris de detecció.** Aprovar els criteris per detectar transaccions sospitoses o inusuals no es pot externalitzar (article 18(3)(f)). Revisa cada regla que instal·lis i deixa constància d'aquesta aprovació a les teves pròpies polítiques.
* **Tu presentes l'informe.** Didit prepara els fitxers d'informe a partir del cas. No envia res a cap UIF. La presentació la fa el teu responsable de compliment a través del canal de la teva UIF.

## Conservar registres i després eliminar-los

L'article 77 estableix la teva obligació de conservació de registres. Has de conservar els documents i la informació obtinguts per a la diligència deguda amb el client, els registres de les teves avaluacions de sospita i els registres de transaccions durant 5 anys. El període comença quan finalitza la relació de negoci, quan es duu a terme la transacció ocasional o quan et negues a establir la relació (article 77(3)). Quan expiren els 5 anys, elimines les dades personals, tret que s'apliqui una altra llei o que una autoritat et demani conservar registres específics durant més temps.

El comptador comença a partir d'un esdeveniment al teu sistema: el final de la relació. Didit no coneix aquesta data, de manera que la conservació que configuris i les eliminacions que sol·licitis són decisions teves.

| Requisit | Funcionalitat de Didit | Endpoint o configuració |
| - | - | - |
| Conservar els registres de la sessió mentre duri la teva obligació | [Configuració de conservació](https://docs.didit.me/ca/console/data-retention.md): una finestra des d'1 mes fins a 10 anys, o il·limitada | **Business Console → App Settings → Data retention** |
| Eliminar quan acabi el període de 5 anys | Eliminació sota demanda d'una sessió | [`DELETE /v3/session/{sessionId}/delete/`](https://docs.didit.me/ca/sessions-api/delete-session) |
| Lliurar un expedient a un supervisor o a un auditor | Informe en PDF per sessió i per usuari, exportació massiva en CSV | [`GET /v3/session/{sessionId}/generate-pdf/`](https://docs.didit.me/ca/sessions-api/generate-pdf), [exportacions](https://docs.didit.me/ca/console/export-pdf-csv.md) |
| Conservar les proves de cribratge | Exportació de l'historial de cribratge per sessió | [Proves de monitoratge continu](https://docs.didit.me/ca/core-technology/aml-screening/continuous-monitoring-aml-screening.md#demostrar-que-el-monitoratge-s’ha-executat) |

**1. Tria una finestra de conservació que no pugui finalitzar abans d'hora**

Una sessió arriba al final de la finestra i s'elimina. Tria una finestra que cobreixi la durada de les relacions amb els teus clients més 5 anys, o deixa-la com a il·limitada i elimina sota demanda.

**2. Registra el final de la relació**

Emmagatzema la data de finalització, de transacció o de rebuig al teu propi sistema. Aquesta data inicia els teus 5 anys.

**3. Elimina quan expiri el període**

Crida a `DELETE /v3/session/{sessionId}/delete/` per a cada sessió d'aquest client. L'eliminació és irreversible i les URL dels continguts multimèdia deixen de funcionar.

> [!WARNING]
>
> **Els registres d'auditoria i l'historial de cribratge no cobreixen l'obligació de 5 anys per si mateixos.** Els registres d'auditoria estan disponibles de 30 dies a 3 anys segons el teu [pla](https://docs.didit.me/ca/console/audit-logs.md#conservació-de-dades), i les execucions de l'historial de cribratge estan disponibles durant dos anys per defecte. Si la teva política de registres depèn d'ells, exporta'ls als teus propis registres abans que acabin aquests períodes. Els registres de la sessió subjectes a la teva configuració de conservació són els que corresponen a l'article 77.

## Revisió humana de decisions automatitzades

L'article 76(5) et permet adoptar decisions derivades de processos automatitzats, inclosos la creació de perfils i els sistemes d'IA, sota tres condicions. Les dades es limiten a les dades obtingudes en el marc de la diligència deguda. Qualsevol decisió d'establir o rebutjar una relació de negoci, o de mantenir-la, de dur a terme o rebutjar una transacció ocasional, o de modificar l'abast de la diligència deguda està subjecta a una intervenció humana significativa. I el client pot obtenir una explicació de la decisió i impugnar-la.

| Requisit | Funcionalitat de Didit | Endpoint o configuració |
| - | - | - |
| Enviar casos a una persona | Llindars i branques del flux de treball que acaben en `"In Review"` | [Fluxos de treball](https://docs.didit.me/ca/console/workflows.md) |
| Revisar les proves i decidir | [Revisió manual](https://docs.didit.me/ca/console/manual-review.md) amb un motiu de rebuig i notes de revisió | Consola, o [`PATCH /v3/session/{sessionId}/update-status/`](https://docs.didit.me/ca/sessions-api/update-status) |
| Exigir un segon revisor | [Revisió per quatre ulls](https://docs.didit.me/ca/console/case-management/four-eyes.md) en una plantilla de cas: un responsable diferent aprova o rebutja la resolució | Gestió de casos a la consola |
| Explicar el resultat | Resultats per comprovació, advertències i comentaris del revisor a la sessió | [`GET /v3/session/{sessionId}/decision/`](https://docs.didit.me/ca/sessions-api/retrieve-session) |

```bash theme={null}
curl -X PATCH https://verification.didit.me/v3/session/4c5c7f3a-.../update-status/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "new_status": "Approved",
    "comment": "Cleared after manual review by compliance team"
  }'
```

Un estat de sessió de `"Approved"` o `"Declined"` és el resultat de les comprovacions que has configurat. És una dada d'entrada per a la teva decisió de donar d'alta l'usuari, decisió que l'article 18(3) et reserva a tu. Decideix amb el teu assessor legal on ha d'intervenir una persona, i després incorpora aquest pas al flux de treball i al teu propi sistema intern.

## Externalització

L'article 18 et permet externalitzar tasques derivades de l'AMLR a un proveïdor de serveis. Estableix condicions: has de notificar-ho al teu supervisor abans que el proveïdor comenci (article 18(1)), continues sent plenament responsable de les tasques externalitzades (article 18(2)), i has d'establir les condicions en un acord per escrit i dur a terme controls periòdics sobre el proveïdor (article 18(4)). El reglament també indica que l'ús de programari de tercers, o l'accés a bases de dades o serveis de cribratge, quan ets tu qui compleix el requisit directament, no es considera externalització (considerant 47). Que l'ús que fas de Didit sigui externalització o no depèn de com l'utilitzis. Les directrius de l'AMLA sobre externalització s'han d'emetre com a màxim el 10 de juliol de 2027.

Sis tasques no es poden externalitzar sota cap circumstància (article 18(3)). Romanen sota la teva responsabilitat:

1. La proposta i l'aprovació de l'avaluació del risc a escala de tota l'empresa.
2. L'aprovació de les teves polítiques, procediments i controls interns.
3. La decisió sobre el perfil de risc que s'ha d'atribuir al client.
4. La decisió d'establir una relació de negoci o dur a terme una transacció ocasional.
5. La comunicació d'activitats sospitoses i els informes basats en llindars a la UIF.
6. L'aprovació dels criteris per detectar transaccions i activitats sospitoses o inusuals.

Les tasques relacionades amb aquestes es poden delegar: recopilar dades d'identitat, executar la verificació de documents o eID, obtenir dades de titularitat real i consultes en registres, fer cribratge en llistes de sancions i PEP, executar el monitoratge de transaccions segons els criteris que hagis aprovat, i preparar alertes i proves.

Què has d'incloure al teu registre d'externalització sobre Didit:

| Element | Què cal registrar | On trobar-ho |
| - | - | - |
| Acord per escrit (art. 18(4)) | El teu contracte amb Didit i l'acord de tractament de dades | Demana al teu representant de Didit el DPA i les mesures tècniques i organitzatives |
| Tasques delegades | Les comprovacions de cada flux de treball que executes, per versió del flux de treball | [Fluxos de treball](https://docs.didit.me/ca/console/workflows.md). Les sessions i els webhooks inclouen `workflow_id` i `workflow_version` |
| Tasques que conserves | Les sis tasques anteriors, amb el responsable a la teva organització | Les teves pròpies polítiques |
| Qualificació del proveïdor (art. 18(4)) | Certificacions i atestacions | [Certificacions](https://docs.didit.me/ca/getting-started/certifications.md) |
| Ubicació de les dades | Les dades es processen i s'emmagatzemen a la UE per defecte. El processament dins del país està disponible a Enterprise | [Conservació de dades](https://docs.didit.me/ca/console/data-retention.md#rol-i-ubicació-del-tractament) |
| Controls periòdics (art. 18(4)) | El teu mostreig de sessions, exportacions i traces de revisió, amb una freqüència proporcional a la criticitat de la tasca | [Exportacions](https://docs.didit.me/ca/console/export-pdf-csv.md), [registres d'auditoria](https://docs.didit.me/ca/console/audit-logs.md) |
| Notificació al supervisor (art. 18(1)) | La data en què vas notificar el supervisor, abans de la posada en marxa | El teu pas. La notificació no implica que el supervisor accepti l'acord |

## Flux de treball de referència

Un punt de partida per a un flux de treball d'alta de persones físiques. Adapta'l a la teva avaluació del risc.

**1. Crea el flux de treball**

A la Business Console, obre **Fluxos de treball** i crea un flux de treball de coneix el teu client (KYC). Utilitza el constructor visual si necessites branques per país o per resultat.

**2. Tria els mètodes d'identificació per país**

Al pas **Verificació d'identitat**, activa les carteres d'identitat digital disponibles per als països on operes, i la captura de documents com a via per a la resta. Consulta [Mètodes de verificació d'identitat](https://docs.didit.me/ca/console/id-verification-methods.md).

**3. Vincula el document a la persona**

Per a la via del document, afegeix **Prova de vida** i **Coincidència facial**, així com **NFC** quan el document tingui xip.

**4. Cobreix l'adreça**

Afegeix **Comprovant de domicili** per als clients el document dels quals no en contingui cap.

**5. Analitza i monitora**

Afegeix **Cribratge AML**, defineix els llindars que enviïn una coincidència a revisió i activa el monitoratge continu.

**6. Sol·licita el propòsit i l'origen dels fons**

Afegeix un **Qüestionari** a partir de les plantilles Purpose of Account i Source of Funds.

**7. Subscriu-te als webhooks**

Crea una destinació del webhook subscrita a `status.updated` i `data.updated`. Consulta [Webhooks](https://docs.didit.me/ca/integration/webhooks.md).

**8. Publica i copia l'ID del flux de treball**

Publica el flux de treball i utilitza el seu `workflow_id` quan creïs sessions.

Crea una sessió:

```bash theme={null}
curl -X POST https://verification.didit.me/v3/session/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "workflow_id": "YOUR_KYC_WORKFLOW_ID",
    "vendor_data": "user-42",
    "callback": "https://yourapp.com/callback"
  }'
```

Resposta (`201 Created`):

```json theme={null}
{
  "session_id": "4c5c7f3a-1f82-4f3b-8d8e-1a8d2d2f9b7a",
  "session_kind": "user",
  "session_number": 1024,
  "session_token": "...",
  "url": "https://verify.didit.me/session/...",
  "status": "Not Started",
  "workflow_id": "YOUR_KYC_WORKFLOW_ID",
  "vendor_data": "user-42"
}
```

Redirigeix el client a `url`. Quan la sessió arriba a una decisió, Didit envia un webhook `status.updated`. Un extracte:

```json theme={null}
{
  "event_id": "9c0c8b8a-1111-4222-9333-444444444444",
  "webhook_type": "status.updated",
  "timestamp": 1774970000,
  "created_at": 1774969994,
  "application_id": "11111111-2222-3333-4444-555555555555",
  "environment": "live",
  "session_id": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
  "status": "In Review",
  "workflow_id": "66666666-7777-8888-9999-000000000000",
  "workflow_version": 4,
  "vendor_data": "user_42",
  "decision": { "...": "see /sessions-api/retrieve-session" }
}
```

Verifica la signatura, fes que la idempotència es basi en `event_id`, i compara `status` com una cadena exacta que distingeix entre majúscules i minúscules. Els valors s'enumeren a [Estats de verificació](https://docs.didit.me/ca/integration/verification-statuses.md). Després llegeix la decisió completa amb `GET /v3/session/{sessionId}/decision/` i lliura-la a la persona o al procés que prengui la decisió d'alta.

## Cronologia

| Data | Què passa |
| - | - |
| 19 de juny de 2024 | L'AMLR, Reglament (UE) 2024/1624, es publica al Diari Oficial |
| 9 de juliol de 2024 | L'AMLR entra en vigor |
| 30 de setembre de 2026 | L'AMLA fixa la data del seu informe final sobre l'esborrany de normes de diligència deguda del client (anunciat l'1 d'octubre de 2026). Presentat a la Comissió, no adoptat |
| 10 de juliol de 2027 | S'aplica l'AMLR. Data límit perquè els estats membres transposin la sisena Directiva contra el blanqueig de capitals, Directiva (UE) 2024/1640. Data límit per a les directrius de l'AMLA sobre externalització |
| 2028 | L'AMLA inicia la supervisió directa de determinades entitats financeres seleccionades. La primera ronda està limitada a un màxim de 40 |
| 10 de juliol de 2029 | L'AMLR s'aplica als agents de futbol i als clubs de futbol professionals |

## FAQ

> [accordion] Quan s'aplica l'AMLR?
>
> L'AMLR va entrar en vigor el 9 de juliol de 2024 i s'aplicarà a partir del 10 de juliol de 2027. Per als agents de futbol i els clubs de futbol professionals s'aplicarà a partir del 10 de juliol de 2029. Fins al 10 de juliol de 2027, s'apliquen les lleis nacionals que transposen la directiva vigent.

> [accordion] Quina diferència hi ha entre l'AMLR, l'AMLD6 i l'AMLA?
>
> L'AMLR és el Reglament (UE) 2024/1624. Conté les normes per a les entitats obligades i s'aplica directament, sense transposició nacional. L'AMLD6 és la Directiva (UE) 2024/1640. S'adreça als estats membres i regula supervisors, registres i sancions, amb transposició prevista com a màxim el 10 de juliol de 2027. L'AMLA és l'Autoritat de Lluita contra el Blanqueig de Capitals, creada pel Reglament (UE) 2024/1620 i amb seu a Frankfurt. Redacta les normes tècniques i directrius i supervisarà directament un grup seleccionat d'entitats financeres a partir del 2028.

> [accordion] Encara es permet la verificació a distància amb un document d'identitat?
>
> Sí, amb condicions. L'article 22(6) cita dos mitjans: un document d'identitat, o eID amb un nivell de garantia substancial o alt. L'esborrany final de normes de l'AMLA del 30 de setembre de 2026 manté la verificació a distància amb un document com una alternativa per quan no es pugui esperar raonablement que la persona presenti el document presencialment i no tingui accés a un eID apte. Has de poder justificar-ne l'ús i demostrar les garanties. L'esborrany no especifica cap tècnica, i encara no és llei.

> [accordion] Són definitives les normes tècniques?
>
> No. L'AMLA va finalitzar el seu esborrany el 30 de setembre de 2026 i el va enviar a la Comissió Europea. Només serà vinculant quan la Comissió l'adopti i es publiqui al Diari Oficial, i la Comissió pot introduir-hi modificacions. L'esborrany proposa que s'apliqui sis mesos després de la seva entrada en vigor, de manera que encara no hi ha una data concreta.

> [accordion] He d'acceptar l'EUDI Wallet, i Didit hi dona suport?
>
> L'AMLR en si enumera l'eID com un dels dos mitjans de verificació. No obliga totes les entitats obligades a acceptar l'EUDI Wallet. El deure d'acceptació es troba en el reglament eIDAS: les parts usuàries privades que han d'utilitzar autenticació forta d'usuaris per a la identificació en línia accepten la cartera a petició de l'usuari, com a màxim 36 mesos després de l'entrada en vigor dels actes d'execució, i les microempreses i petites empreses n'estan exemptes. Si això s'aplica a la teva alta és una qüestió per al teu assessor jurídic. A Didit, l'EUDI Wallet està **Properament**. Les carteres disponibles actualment a producció són MitID, BankID Sweden, Finnish Trust Network, Smart-ID i Mobile-ID.

> [accordion] El llindar de titularitat real és del 25% o del 15%?
>
> És del "25% o més" de les accions, drets de vot o altres interessos de titularitat (article 52(1)), i el control s'avalua en paral·lel. L'article 52(2) permet a la Comissió establir un llindar inferior, d'un màxim del 15%, per a categories d'entitats de més risc mitjançant un acte delegat. Aquest acte delegat no existeix. A Didit, el llindar d'UBO és una opció de configuració del teu flux de treball de KYB.

> [accordion] Com implemento les actualitzacions anuals i quinquennals?
>
> Emmagatzema la classe de risc del client i la data de l'última actualització al teu propi sistema, executa una tasca programada que seleccioni els clients que hagin superat el teu interval i crea una nova sessió amb `POST /v3/session/` i el mateix `vendor_data`. Afegeix activadors per esdeveniments: un estat `"Kyc Expired"`, un webhook de monitoratge o un canvi que el client notifiqui. Les xifres d'1 any i de 5 anys de l'article 26(2) són terminis màxims.

> [accordion] Què puc externalitzar?
>
> Tasques com la recollida de dades d'identitat, l'execució de la verificació, les consultes als registres, el cribratge i l'execució del monitoratge de transaccions segons criteris aprovats per tu. Sis tasques no es poden externalitzar: aprovar l'avaluació de riscos de tota l'empresa, aprovar polítiques internes, determinar el perfil de risc del client, prendre la decisió de donar-lo d'alta, notificar a la UIF i aprovar els criteris de detecció. Continues sent plenament responsable d'allò que externalitzis (article 18(2)).

> [accordion] Com configuro la conservació per a la regla dels 5 anys?
>
> Els 5 anys comencen quan finalitza la relació, no quan es va verificar el client. A **Business Console → App Settings → Data retention**, tria un període prou llarg per cobrir la relació més 5 anys, o deixa'l il·limitat. Fes el seguiment de la data de finalització al teu propi sistema i crida `DELETE /v3/session/{sessionId}/delete/` quan el teu període hagi finalitzat. Exporta els registres d'auditoria i l'historial de cribratge si la teva política de registre documental s'hi basa.

> [accordion] L'ús de Didit fa que compleixi amb l'AMLR?
>
> No. El compliment és una propietat del teu programa: la teva avaluació de riscos, les teves polítiques, les teves decisions i els teus controls. Didit et proporciona les comprovacions, el monitoratge i les evidències que demostren que aquestes parts del programa funcionen. No existeix cap certificació o aprovació en matèria d'AMLR per a proveïdors o eines.

## Recursos relacionats

> [card] [Visió general de la solució AMLR](https://didit.me/solutions/amlr)
>
> La perspectiva empresarial: a qui obliga l'AMLR i on encaixa Didit.

> [card] [Mètodes de verificació d'identitat](https://docs.didit.me/ca/core-technology/id-verification/verification-methods.md)
>
> Captura de documents, consultes sense document i carteres d'identitat digital.

> [card] [Carteres d'identitat digital](https://docs.didit.me/ca/core-technology/id-verification/digital-id-wallets.md)
>
> Disponibilitat i nivell de garantia per cartera.

> [card] [Verificació d'empreses](https://docs.didit.me/ca/business-verification/overview.md)
>
> Consultes als registres, titularitat i persones clau.

> [card] [Cribratge AML](https://docs.didit.me/ca/core-technology/aml-screening/overview.md)
>
> Cribratge de sancions, PEP i llistes de vigilància amb monitoratge continu.

> [card] [Monitoratge de transaccions](https://docs.didit.me/ca/transaction-monitoring/overview.md)
>
> Regles, alertes, casos i preparació d'informes per a la UIF.

> [card] [Qüestionaris](https://docs.didit.me/ca/core-technology/questionnaires/overview.md)
>
> Plantilles per a la finalitat de la relació i l'origen dels fons.

> [card] [Conservació de dades](https://docs.didit.me/ca/console/data-retention.md)
>
> Períodes de conservació i supressió sota demanda.

> [card] [Webhooks](https://docs.didit.me/ca/integration/webhooks.md)
>
> Tipus d'esdeveniments, payloads i verificació de la signatura.

> [card] [Preus](https://docs.didit.me/ca/getting-started/pricing.md)
>
> Paga per comprovació. Consulta el preu actual de cada funcionalitat.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.