O que o AMLR exige em resumo
Fluxo de ponta a ponta
O seu backend cria uma sessão, o utilizador conclui o fluxo, a Didit notifica-o e você obtém a decisão completa. A decisão de onboarding permanece a cargo da sua equipa. A monitorização continua após o onboarding.Quando a diligência devida se aplica
O Artigo 19.º define quando deve aplicar a diligência devida relativa à clientela: ao estabelecer uma relação de negócio; para uma transação ocasional de montante igual ou superior a 10.000 EUR, numa única operação ou em transações ligadas entre si; quando houver suspeita de branqueamento de capitais ou de financiamento do terrorismo, independentemente do montante; e quando houver dúvidas sobre os dados de identificação que já possui. Aplicam-se limiares mais baixos em determinados setores: 1.000 EUR para transferências ocasionais de fundos e para CASPs, 3.000 EUR para transações ocasionais em numerário (pelo menos a identificação e a verificação) e 2.000 EUR em jogos de fortuna ou azar. Um CASP deve, no mínimo, identificar e verificar o cliente para qualquer transação ocasional abaixo de 1.000 EUR. A Didit não decide se um acionador se aplica. Você encaminha por tipo de transação e montante no seu próprio código e, em seguida, inicia o fluxo correspondente.Identificar e verificar pessoas
O Artigo 22(1) enumera os dados que deve deter sobre uma pessoa singular: todos os nomes e apelidos, local de nascimento e data completa de nascimento, nacionalidades, o número de identificação nacional quando aplicável, o local de residência habitual e, quando disponível, o número de identificação fiscal. O Artigo 22(6) indica de seguida dois meios de verificação da identidade: um documento de identificação, passaporte ou equivalente, ou identificação eletrónica (eID) que cumpra os níveis de garantia “substancial” ou “elevado” do eIDAS, juntamente com os serviços de confiança qualificados relevantes.Pontos de dados em relação à decisão
A decisão devolvida porGET /v3/session/{sessionId}/decision/ contém uma entrada por verificação de identidade em id_verifications[].
As duas vias
O que o projeto de normas técnicas diz sobre a verificação remota
As normas técnicas de regulamentação (RTS) relativas à diligência devida quanto à clientela ao abrigo do Artigo 28(1) são elaboradas pela Autoridade de Combate ao Branqueamento de Capitais (AMLA). O relatório final da AMLA data de 30 de setembro de 2026 e foi anunciado a 1 de outubro de 2026. Trata-se de uma versão final do projeto submetida à Comissão Europeia. Não foi adotada e não é lei. A Comissão pode ainda alterá-la, e o projeto propõe que seja aplicável seis meses após a sua entrada em vigor. Esse projeto considera os dois meios do Artigo 22(6) como o padrão. A verificação remota com um documento é uma solução alternativa para quando não se pode razoavelmente esperar que a pessoa apresente o documento presencialmente e esta não tenha acesso a um eID que cumpra os requisitos (projeto do Artigo 7(1)). Se utilizar a alternativa, o projeto pede-lhe que consiga justificar o motivo e demonstrar à autoridade de supervisão que a solução dispõe de salvaguardas (projeto do Artigo 7(2) e 7(3)). O projeto é tecnologicamente neutro: não especifica qualquer técnica. Como as salvaguardas do projeto se articulam com o que uma sessão Didit regista:metadata aquando da sua criação.
Verificar empresas e beneficiários efetivos
Para uma entidade jurídica, o Artigo 22(1)(b) exige a forma jurídica e a denominação, o endereço da sede social, os representantes legais e, quando disponíveis, o número de registo, o número de identificação fiscal e o Identificador de Entidade Jurídica (LEI). Deve também identificar os beneficiários efetivos e adotar medidas razoáveis para os verificar, de modo a compreender a estrutura de propriedade e controlo (Artigo 20(1)(b)). Um beneficiário efetivo é uma pessoa singular que detém direta ou indiretamente “25 % ou mais” das ações, direitos de voto ou outra participação no capital (Artigo 52(1)), ou que controla a entidade através de propriedade ou outros meios (Artigos 51 e 53). O controlo é avaliado em paralelo com a propriedade.- A definição do limiar cabe-lhe a si. O valor previsto no AMLR é “25 % ou mais”, e não “mais de 25 %”. O limiar de UBO no fluxo é configurável, pelo que deve defini-lo em conformidade e revê-lo se a sua política for mais rigorosa.
- Um registo não é suficiente por si só. O Artigo 22(7) exige que consulte os registos centrais além de verificar os beneficiários efetivos. Comunicar uma discrepância ao registo no prazo de 14 dias de calendário (Artigo 24) é uma etapa da sua responsabilidade.
- Um resultado vazio do registo não é prova de que uma empresa não tem proprietários. Um registo pode não conter qualquer registo de propriedade para uma empresa ou país. Se não identificar nenhum beneficiário efetivo, o Artigo 22(2) exige que registe esse facto e identifique e verifique, em alternativa, os membros da direção de topo.
- A monitorização de registos estará disponível em breve. A monitorização contínua de alterações nos registos ainda não está disponível. Até que esteja, volte a executar a Verificação de empresas de acordo com o seu calendário de atualização.
Fazer triagem de sanções e PEPs
Deve verificar se o cliente ou os seus beneficiários efetivos estão sujeitos a sanções financeiras específicas, e se pessoas sancionadas controlam um cliente que seja entidade jurídica ou detêm mais de 50 % da entidade (Artigo 20(1)(d)). No AMLR, sanções financeiras específicas significam sanções da UE. Deve também determinar se o cliente ou um beneficiário efetivo é uma pessoa politicamente exposta (PEP), um membro da família ou um associado próximo (Artigo 20(1)(g)). Para as PEPs, o Artigo 42 acrescenta a aprovação da direção de topo, medidas para determinar a origem da riqueza e a origem dos fundos, e uma monitorização contínua reforçada.Confirmed Match ou False Positive aciona um webhook data.updated e não altera a decisão da sessão por si só. A aprovação da direção de topo para uma relação com uma PEP é da sua responsabilidade: encaminhe a sessão para revisão e registe quem a aprovou.
Monitorizar de forma contínua e atualizar
O Artigo 26 exige a monitorização contínua da relação de negócio e informações atualizadas sobre o cliente. O período entre atualizações não deve exceder 1 ano para clientes de maior risco e 5 anos para todos os restantes clientes (Artigo 26(2)), devendo também atualizar quando as circunstâncias do cliente mudarem ou quando tomar conhecimento de um facto relevante (Artigo 26(3)). As verificações de sanções têm de ser repetidas regularmente e, no caso de instituições de crédito e financeiras, perante qualquer nova designação (Artigo 26(4)).status.updated e data.updated.
Agendar a atualização de 1 e 5 anos no seu próprio sistema
O prazo de atualização depende da classe de risco que atribuir, e essa decisão não pode ser externalizada. A Didit não guarda a sua classe de risco e não agenda a atualização periódica por si.Armazenar a classe de risco e a data da última atualização
vendor_data que envia para a Didit.Executar uma tarefa agendada
Criar uma nova sessão
POST /v3/session/ com o mesmo vendor_data e o seu fluxo de atualização, e depois envie o url ao cliente.Reagir também a eventos
"Kyc Expired", um webhook de monitorização que mude uma sessão para "In Review", e uma alteração comunicada pelo cliente como acionadores para uma atualização antecipada.Finalidade e origem dos fundos
Antes de estabelecer uma relação de negócio ou realizar uma transação ocasional, o Artigo 25 exige que compreenda a sua finalidade e a natureza pretendida. Quando necessário, obtém informações sobre a finalidade e a justificação económica, o volume estimado de atividade, a origem dos fundos, o destino dos fundos e a atividade comercial ou profissão do cliente. “Quando necessário” significa que a extensão se baseia no risco. A diligência reforçada pode acrescentar a origem da riqueza (Artigo 34(4)).Monitorizar transações e comunicar
A monitorização contínua abrange as transações realizadas durante a relação, para que permaneçam coerentes com o que sabe sobre o cliente (Artigo 26(1)). Quando souber, suspeitar ou tiver motivos razoáveis para suspeitar de que os fundos provêm de atividades criminosas ou estão relacionados com o financiamento do terrorismo, deve comunicar à sua Unidade de Informação Financeira (UIF) ao abrigo do Artigo 69.- Aprove os critérios de deteção. A aprovação dos critérios para detetar transações suspeitas ou invulgares não pode ser externalizada (Artigo 18(3)(f)). Reveja cada regra que instalar e registe essa aprovação nas suas próprias políticas.
- Submeta o relatório. A Didit prepara os ficheiros de relatório a partir do caso. Não submete nada a uma UIF. A submissão é efetuada pelo seu responsável pela conformidade através do canal da sua UIF.
Conservar registos e depois eliminar
O Artigo 77.º estabelece o seu dever de conservação de registos. Deve conservar os documentos e as informações obtidas para a devida diligência quanto à clientela, os registos das suas avaliações de suspeitas e os registos de transações durante 5 anos. O período tem início quando a relação de negócio termina, quando a transação ocasional é realizada ou quando recusa estabelecer a relação (Artigo 77.º, n.º 3). Quando os 5 anos terminam, elimina os dados pessoais, a menos que outra lei se aplique ou que uma autoridade lhe solicite a conservação de registos específicos por mais tempo. A contagem começa a partir de um evento no seu sistema: o fim da relação. A Didit não conhece essa data, pelo que a retenção que configurar e as eliminações que solicitar são decisões suas.Escolha uma janela de retenção que não possa terminar antes do tempo
Registe o fim da relação
Elimine quando o período expirar
DELETE /v3/session/{sessionId}/delete/ para cada sessão desse cliente. A eliminação é irreversível e os URLs de ficheiros multimédia deixam de funcionar.Revisão humana de decisões automatizadas
O Artigo 76.º, n.º 5, permite-lhe adotar decisões que resultem de processos automatizados, incluindo a criação de perfis e sistemas de IA, sob três condições. Os dados limitam-se a dados relativos à devida diligência. Qualquer decisão de estabelecer, recusar ou manter uma relação de negócio, de realizar ou recusar uma transação ocasional, ou de alterar a extensão da devida diligência está sujeita a uma intervenção humana significativa. E o cliente pode obter uma justificação da decisão e contestá-la."Approved" ou "Declined" é o resultado das verificações que configurou. Trata-se de um elemento que alimenta a sua decisão de onboarding, a qual o Artigo 18.º, n.º 3, mantém sob a sua responsabilidade. Decida com a sua assessoria jurídica onde uma pessoa tem de intervir e, em seguida, incorpore esse passo no fluxo e no seu próprio sistema interno.
Subcontratação
O Artigo 18.º permite-lhe subcontratar a um prestador de serviços tarefas resultantes do AMLR. Estabelece condições: notificar a sua autoridade de supervisão antes de o prestador iniciar funções (Artigo 18.º, n.º 1), permanecer plenamente responsável pelas tarefas subcontratadas (Artigo 18.º, n.º 2), estipular as condições num contrato por escrito e realizar controlos regulares ao prestador (Artigo 18.º, n.º 4). O regulamento também estabelece que a utilização de software de terceiros, ou o acesso a bases de dados ou a serviços de triagem, em que o próprio sujeito obrigado executa a obrigação, não constitui subcontratação (considerando 47). A forma como a sua utilização da Didit se enquadra depende da forma como a utiliza. Está prevista a publicação das orientações da AMLA sobre subcontratação até 10 de julho de 2027. Seis tarefas não podem ser subcontratadas em circunstância alguma (Artigo 18.º, n.º 3). Permanecem consigo:- A proposta e aprovação da sua avaliação de risco a nível de toda a empresa.
- A aprovação das suas políticas, procedimentos e controlos internos.
- A decisão sobre o perfil de risco a atribuir ao cliente.
- A decisão de estabelecer uma relação de negócio ou realizar uma transação ocasional.
- A comunicação de atividades suspeitas e comunicações baseadas em limiares à UIF.
- A aprovação dos critérios para deteção de transações e atividades suspeitas ou invulgares.
Fluxo de referência
Um ponto de partida para um fluxo de onboarding de pessoas singulares. Adapte-o à sua avaliação de risco.Criar o fluxo
Escolher os métodos de identidade por país
Vincular o documento à pessoa
Tratar da morada
Fazer a triagem e monitorizar
Solicitar a finalidade e a origem dos fundos
Subscrever webhooks
status.updated e data.updated. Consulte Webhooks.Publicar e copiar o ID do fluxo
workflow_id ao criar sessões.201 Created):
url. Quando for tomada uma decisão para a sessão, a Didit envia um webhook status.updated. Um excerto:
event_id como chave de idempotência e compare o campo status como uma string exata e sensível a maiúsculas e minúsculas. Os valores encontram-se listados em Estados de verificação. Em seguida, leia a decisão completa através de GET /v3/session/{sessionId}/decision/ e transmita-a à pessoa ou ao processo responsável por tomar a decisão de onboarding.
Cronograma
FAQ
Quando é que o AMLR se aplica?
Quando é que o AMLR se aplica?
Qual é a diferença entre o AMLR, a AMLD6 e a AMLA?
Qual é a diferença entre o AMLR, a AMLD6 e a AMLA?
A verificação remota com documento de identificação ainda é permitida?
A verificação remota com documento de identificação ainda é permitida?
As normas técnicas são definitivas?
As normas técnicas são definitivas?
Tenho de aceitar a EUDI Wallet e o Didit suporta-a?
Tenho de aceitar a EUDI Wallet e o Didit suporta-a?
O limiar de beneficiário efetivo é de 25% ou de 15%?
O limiar de beneficiário efetivo é de 25% ou de 15%?
Como implemento a atualização de 1 ano e de 5 anos?
Como implemento a atualização de 1 ano e de 5 anos?
POST /v3/session/ e o mesmo vendor_data. Adicione acionadores de eventos: um estado "Kyc Expired", um webhook de monitorização ou uma alteração comunicada pelo cliente. Os valores de 1 ano e 5 anos no Artigo 26(2) são períodos máximos.O que posso subcontratar?
O que posso subcontratar?
Como defino a conservação para a regra dos 5 anos?
Como defino a conservação para a regra dos 5 anos?
DELETE /v3/session/{sessionId}/delete/ quando o seu período expirar. Exporte registos de auditoria e o histórico de triagem se a sua política de conservação de registos depender deles.O uso do Didit garante a conformidade com o AMLR?
O uso do Didit garante a conformidade com o AMLR?