Integração da EUDI Wallet: como escolher a sua via (guia 2026)
Integração da carteira europeia de identidade digital (EUDI Wallet): quatro vias, o que um intermediário pode ou não fazer segundo o Art. 5b(10), o modelo de certificados desde 2026/1730, perguntas ao fornecedor e o que lhe cabe.
Em resumo
A integração da carteira europeia de identidade digital (EUDI Wallet) é uma decisão antes de ser um projeto técnico: quem se apresenta perante a carteira como parte utilizadora, a sua empresa ou um intermediário que atua em seu nome.[1][6]
- Regista-se sempre no seu próprio Estado-Membro e nunca pode pedir mais do que registou.[1]
- Um intermediário é considerado parte utilizadora e não pode armazenar dados sobre o conteúdo da transação. Isso limita o que um fornecedor nessa função pode guardar por si.[1]
- As empresas privadas sujeitas a uma obrigação de autenticação forte aceitam a carteira até 24 de dezembro de 2027 (segundo a nossa contagem). As micro e pequenas empresas estão isentas.[1]
A carteira europeia de identidade digital (EUDI Wallet) chega a um prazo real neste inverno: cada Estado-Membro tem de disponibilizar uma até 24 de dezembro de 2026, e as regras de registo para as empresas que a aceitam aplicam-se no mesmo dia.[1][2] Para a maioria das equipas, a pergunta passou de «o que é» para «como nos ligamos a ela».
Este guia compara as quatro vias de integração da EUDI Wallet, separa o que pode delegar do que continua a ser seu e associa cada capacidade à regra que lhe dá origem. Baseia-se na legislação em vigor e na versão 3.0.0 do Architecture and Reference Framework (ARF), o modelo técnico de referência, incluindo as alterações de julho de 2026 sobre intermediários.[3][6]
Se precisar primeiro das noções básicas, leia EUDI Wallet e partes utilizadoras: registo, certificados e obrigações e o guia do verificador OpenID4VP. Para a legislação, veja eIDAS 2 explicado.
Continue a verificar utilizadores enquanto decide
A Didit já executa eIDs nacionais e verificações de documentos num único fluxo, e a aceitação da EUDI Wallet chega em breve. Comece grátis ou fale connosco sobre a sua base de utilizadores europeia.
O que uma integração da EUDI Wallet tem realmente de fazer
Há cinco tarefas. Alguém regista o serviço. Alguém detém as chaves que provam quem está a pedir. Alguém envia o pedido assinado. Alguém verifica o que é devolvido. Alguém guarda o registo. Cada via reparte-as de forma diferente.
O ARF chama Relying Party Instance (instância da parte utilizadora) ao sistema que comunica com as carteiras. No ARF, esta autentica-se com um certificado de acesso cuja chave privada «está armazenada de forma segura no hardware da instância da parte utilizadora».[6] Um segundo objeto, o certificado de registo, indica uma utilização prevista e os atributos registados para ela.[1][6] Uma parte utilizadora inclui um destes certificados em cada pedido de apresentação, por valor.[7]
Onde se situa uma parte utilizadora no ecossistema. Fonte: EUDI Wallet Architecture and Reference Framework, Comissão Europeia, CC BY 4.0.
Duas alterações de 2026 mudam a decisão de compra. O Regulamento de Execução (UE) 2026/1730, de 15 de julho de 2026, alterou as regras de registo. Os Estados-Membros têm agora de autorizar pelo menos uma autoridade de certificação a emitir certificados de registo, e a emissão tem de ser automatizada.[3] Acrescentou também o ponto 16 do anexo I, a ligação à parte utilizadora que um intermediário serve, que o certificado de acesso tem de conter nos termos do anexo II.[3]
As datas que definem o seu plano
- 11 de agosto de 2026Regras alteradas2026/1730 em vigor, segundo a nossa contagem: 20 dias após a publicação de 22 de julho.
- 24 de dezembro de 2026Prazo das carteirasAplicam-se as regras de registo do 2025/848.
- 10 de julho de 2027Aplicação do AMLRAs regras de externalização e de conservação de registos aplicam-se à maioria das entidades obrigadas.
- 24 de dezembro de 2027AceitaçãoArt. 5.º-F, n.º 2, partes utilizadoras privadas (segundo a nossa contagem).
- 11 de agosto de 2028Verificação de certificadosAs carteiras têm de autenticar e validar os certificados de registo.
Datas do Regulamento (UE) n.º 910/2014, 2025/848, 2026/1730, 2026/1731 e do AMLR. 24 de dezembro de 2027 é a nossa contagem: 36 meses após a entrada em vigor dos atos de execução (publicados a 4 de dezembro de 2024, em vigor 20 dias depois).[1][2][3][4][5][9]
O fundamento jurídico está no artigo 5.º-F, n.º 2. Abrange as partes utilizadoras privadas que a lei ou um contrato obriga a usar autenticação forte do utilizador para a identificação em linha, em setores que incluem a banca, a energia e a saúde, e aplica-se «apenas a pedido voluntário do utilizador».[1] As plataformas em linha de muito grande dimensão têm uma obrigação própria nos termos do artigo 5.º-F, n.º 3, sem data própria no texto.[1] Para o calendário completo, veja todos os prazos da EUDI Wallet.
As quatro vias de integração da EUDI Wallet
A tabela ordena as vias por quem comunica com a carteira e em que função jurídica. O esforço e o controlo são a nossa avaliação, não um critério jurídico.
| Via | Quem se apresenta perante a carteira | Certificados | Controlo | Esforço | Adequado normalmente para |
|---|---|---|---|---|---|
| Construir o seu próprio verificador | Você, enquanto parte utilizadora | Detém os certificados de acesso e de registo | Máximo | Máximo: chaves, listas de confiança, testes com a carteira | Bancos e grandes plataformas com engenharia de segurança |
| Intermediário de partes utilizadoras | O intermediário, em seu nome | Detém os certificados de acesso; os certificados de registo são seus | Médio: definido por contrato | Baixo no protocolo, nova supervisão de fornecedor | Empresas que querem apenas a carteira |
| Plataforma de identidade ou de orquestração | Depende do produto: pergunte que função se aplica | Normalmente como para um intermediário na vertente da carteira | Médio, em vários métodos | O mais baixo para lançar, a dependência mais profunda | Empresas que precisam de carteira, eID e vias documentais num único fluxo |
| Ferramentas para fornecedores de carteiras ou serviços de confiança | Depende: as ferramentas são um produto, não uma função | Variável | Varia consoante a utilização | Depende do caso de utilização | Assinaturas, emissão de atestações, uma necessidade paralela à verificação |
Via 1: construir o seu próprio verificador
Opera a Relying Party Instance. A Comissão Europeia publica uma implementação de referência com guias para construir um verificador remoto e um verificador de proximidade, e o respetivo endpoint de verificador está licenciado ao abrigo da Apache 2.0.[14][15] Continua a ser responsável pelas chaves guardadas em hardware, por um certificado para cada instância e serviço, pela descarga das listas de confiança e pelas atualizações quando as especificações mudam.[6][7]
Adequa-se a grandes volumes de carteira ou a uma equipa de risco que não permite que um terceiro veja os atributos apresentados.
Via 2: um intermediário de partes utilizadoras
O Artigo 5.º-B, n.º 10, dá a este modelo a sua forma jurídica; o ARF detalha o resto: um intermediário é uma «classe especial de parte utilizadora» que executa as tarefas da parte utilizadora em seu nome, e o cliente «não precisará de um certificado de acesso».[6] Continua a ter de se registar, porque o intermediário tem de garantir que cada cliente está registado no Estado-Membro onde esse cliente está estabelecido.[7]
Via 3: uma plataforma de identidade ou de orquestração
"Plataforma" é uma palavra comercial, ausente do Artigo 5.º-B, n.º 10. Na vertente da carteira, uma plataforma é ou um intermediário, com todos os limites que isso implica, ou um alojamento da sua própria instância. O seu valor está em encaminhar vários métodos através de uma única integração. O risco é presumir que o que uma plataforma faz para documentos, como armazenar provas durante anos, se aplica também às carteiras. Pode não se aplicar.
Uma questão em aberto
Um fornecedor que apenas aloja a sua instância, ao abrigo do seu próprio certificado de acesso, é um intermediário? A definição do ARF, uma pessoa "que interage com unidades de carteira em seu nome", tem uma leitura ampla, e não encontrámos nenhum texto que resolva a questão.[6] Coloque a questão ao seu consultor jurídico e à entidade de registo antes de assinar.
Via 4: ferramentas de fornecedores de carteiras ou de serviços de confiança
Os fornecedores de carteiras e os prestadores de serviços de confiança também vendem software, útil quando precisa de assinaturas qualificadas ou quer emitir declarações de atributos. As regras de registo enumeram essas atividades como direitos distintos, como QEAA_Provider e QCert_for_ESig_Provider, ao lado de Service_Provider para uma empresa comum.[2] Se a ferramenta comunica com carteiras em seu nome, avalie-a à luz das regras aplicáveis aos intermediários.
O que fica consigo e o que pode delegar
Artigo 5.º-B, n.º 10Regulamento (UE) n.º 910/2014
«Os intermediários que atuem em nome de partes utilizadoras são considerados partes utilizadoras e não podem armazenar dados sobre o conteúdo da transação.»
Fonte: EUR-Lex, texto consolidado[1]
Ser "considerado" parte utilizadora não faz desaparecer os seus próprios deveres. O artigo 5.º-B, n.º 9, torna as partes utilizadoras responsáveis por executar o procedimento de autenticação e validação dos dados de identificação pessoal e das declarações de atributos que solicitam.[1] O ARF deixa a repartição para o contrato: "o intermediário e qualquer parte utilizadora que recorra aos seus serviços têm de acordar quais as verificações que o intermediário irá realizar".[6] A entidade de registo pode pedir prova da relação, como um contrato assinado ou um mandato.[6]
| Tarefa | Um fornecedor pode fazê-la | Regra |
|---|---|---|
| Decidir a utilização prevista e os dados | Não: a decisão é sua | Art. 5b(2)(c), 5b(3)[1] |
| Estar registado no seu Estado-Membro | A papelada sim, se a entidade de registo o permitir; o registo continua a ser seu | Artigo 5.º-B, n.º 1[1], RPI_03[7] |
| Manter o registo exato | Pode ajudar; o dever continua a ser seu | Artigo 5.º-B, n.º 6[1] |
| Deter certificados de acesso e enviar pedidos | Sim, como intermediário | ARF §6.6.5[6] |
| Verificar autenticidade, revogação, vinculação ao dispositivo e ao utilizador | Sim, se acordado | RPI_09[7] |
| Escolher o certificado de registo para cada pedido | Indica-o você | RPI_05[7] |
| Responder aos pedidos de apagamento dos utilizadores | Apenas apoio; o seu contacto consta do seu certificado de registo e as carteiras enviam-lhe os pedidos de apagamento | RPRC_11[7], 2024/2982 Art. 6[4] |
| Decidir o perfil de risco e a relação de negócio | Não, para as entidades obrigadas pelo AMLR, salvo uma derrogação para fundos | AMLR Art. 18(3), 18(7)[9] |
As entidades reguladas têm mais três camadas. O Regulamento relativo à prevenção do branqueamento de capitais (AMLR) permite às entidades obrigadas externalizar tarefas, mas têm de notificar previamente a autoridade de supervisão e continuam "plenamente responsáveis".[9] O Regulamento relativo à resiliência operacional digital mantém as entidades financeiras "plenamente responsáveis" ao abrigo dos contratos de TIC.[11] O Regulamento Geral sobre a Proteção de Dados (RGPD) exige subcontratantes que apresentem garantias suficientes.[10] Nenhum dos textos que lemos diz se um intermediário é subcontratante ou responsável pelo tratamento, por isso registe a sua análise no contrato.
Como funciona um intermediário e porque é que o número de certificados importa
Compara os dois identificadores
Mostra o seu nome ao utilizador
Executa as verificações acordadas
Apaga a apresentação
Uma apresentação intermediada, simplificada a partir do ARF §6.6.5 e do Topic 52.[6][7]
Primeiro, o utilizador vê a sua designação comercial e não a do fornecedor, embora a carteira registe o intermediário, para que o utilizador o possa encontrar mais tarde.[6] Segundo, a carteira compara os identificadores do certificado de registo com os do certificado de acesso, e o tratamento de uma divergência pode interromper a transação.[6] Terceiro, a interface entre si e o intermediário está fora do âmbito do ARF, e o ARF não exige a cifragem de ponta a ponta dos atributos, pelo que o fornecedor pode muito bem ver todos os atributos.[6]
A aritmética do ARF é o que importa. O Regulamento de Execução 2026/1730 acrescenta aos dados de registo a ligação à parte utilizadora servida e, no ARF v3.0.0, é o certificado de acesso que contém essa associação à parte utilizadora servida, pelo que um intermediário "recebe um conjunto separado de certificados de acesso para cada uma das partes utilizadoras que intermedeia".[3][6] Um fornecedor que tenha descrito um modelo de certificado partilhado antes de julho de 2026 tem de lhe mostrar o seu novo desenho. A escala concentra o risco: se a Access Certificate Authority do seu intermediário for suspensa, os certificados dela são revogados e não pode pedir atributos "apesar de o seu registo continuar válido".[7] Teria de mudar para outro intermediário ou esperar, por isso um plano de saída é um controlo operacional.
Autenticação da parte utilizadora, o passo que todas as vias têm de executar. Fonte: EUDI Wallet Architecture and Reference Framework, Comissão Europeia, CC BY 4.0.
O problema da prova: apagar ou conservar
Regras que mandam apagar
Intermediário e verificador
- Nenhum dado armazenado sobre o conteúdo da transação (Artigo 5.º-B, n.º 10)
- Apagar "completa e imediatamente" após o reencaminhamento (RPI_10)
- Descartar valores de assinatura, salts, hashes e carimbos temporais quando deixarem de ser necessários (OIA_16)
Regulamento e Anexo 2 do ARF[1][7]
Regras que mandam conservar
Entidade obrigada
- Conservar as informações obtidas através de meios de identificação eletrónica (Artigo 77.º, n.º 1, alínea a))
- Conservá-las durante 5 anos
- Demonstrar ao supervisor que o trabalho externalizado mitiga os seus riscos (Artigo 18.º, n.º 2)
AMLR, a partir de 10 de julho de 2027[9]
O OIA_16 determina que uma Relying Party Instance descarte todos os elementos únicos, uma lista que inclui a assinatura do prestador do atestado, e que não os comunique "à Relying Party nem a qualquer outra parte".[7] Assim, a promessa de conservar a resposta assinada da carteira como registo de auditoria tem de ser testada, seja qual for o fornecedor que a faça. O ARF é um quadro de referência, não um ato jurídico, e não define "deixarem de ser necessários" face a um dever de conservação de cinco anos. Consulte o seu advogado e, se for uma entidade regulada, o seu supervisor.
Segue-se a nossa proposta de desenho, a validar, e não uma regra.
| Registo | Detido por | Fundamento |
|---|---|---|
| Atributos necessários para a diligência devida | A sua entidade, no seu sistema | AMLR Artigo 77[9] |
| Registo da verificação: hora, método, verificações efetuadas, resultado, certificado utilizado | A sua entidade, sem elementos únicos | AMLR Artigo 18.º, n.º 2, a nossa sugestão[9] |
| Retrato, se de todo for pedido | Não conservado, salvo se necessário ou previsto por lei | Anexo 2 do ARF[7] |
| Assinatura, salts, hashes | A sua questão jurídica em aberto | OIA_16[7] |
| Conteúdo da transação no intermediário | Ninguém: apagado de imediato | Artigo 5.º-B, n.º 10[1], RPI_10[7] |
As capacidades que um fornecedor tem de demonstrar e a regra por detrás de cada uma
Utilize esta tabela como anexo técnico de um pedido de proposta ou para o seu próprio desenvolvimento.
| Fase | Capacidade | Regra ou norma |
|---|---|---|
| Configuração | Dados de registo, incluindo a ligação ao intermediário | 2025/848 Anexo I, pontos 14 a 16[2][3]; TS5 usesIntermediaries[8] |
| Configuração | Certificados de acesso por instância, serviço e cliente, com chaves guardadas em hardware | ARF §3.11.3[6]; ETSI TS 119 411-8 através do 2026/1730[3] |
| Configuração | Âncoras de confiança provenientes das Trusted Lists e das Lists of Trusted Entities, atualizadas | OIA_12, OIA_15a[7] |
| Pedido | Bloqueio absoluto de qualquer atributo fora da utilização registada | Artigo 5.º-B, n.º 3[1]; 2025/848 Artigo 9.º, n.º 2, alínea c)[2] |
| Pedido | O certificado de registo da utilização em causa, por valor, em cada pedido | RPRC_19[7] |
| Pedido | Recomendado: ambos os perfis de protocolo, OpenID4VC-HAIP e ISO/IEC mdoc | 2026/1731, anexo ao 2024/2982[5] |
| Verificação | Assinatura do emitente, por tipo de atestado | OIA_12 a OIA_15[7] |
| Verificação | Verificação da revogação, mais uma política escrita para quando o estado é desconhecido | VCR_13, VCR_14[7] |
| Verificação | Vinculação ao dispositivo e o método de vinculação ao utilizador escolhido | OIA_17, ARF §6.6.3.9[6][7] |
| Depois | Eliminação dos elementos únicos | OIA_16[7] |
| Depois | Pedidos de apagamento e contacto da sua autoridade de proteção de dados | RPRC_11, RPRC_12[7]; 2024/2982 Artigos 6, 7[4] |
| Garantir | Resultados de testes publicados | Autocertificação da OpenID Foundation[12] |
A OpenID Foundation abriu os testes de conformidade de OpenID for Verifiable Presentations (OpenID4VP) para autocertificação em 7 de agosto de 2026, e os verificadores podem executá-los gratuitamente. A publicação de uma autocertificação tem um custo.[12] O Functional Conformance Assessment Framework da Comissão ainda está "em desenvolvimento ativo", e o seu sistema inicial em teste é a solução de carteira, pelo que não deve esperar dele, para já, um selo para a parte utilizadora.[13] Quanto aos formatos, uma credencial de dados de identificação pessoal (PID) tem de ser emitida tanto em mdoc como em SD-JWT VC, mas verifique os outros atestados um a um. A nossa comparação de formatos explica a diferença.[7]
Ecrãs ilustrativos de um guia de design, não de uma carteira nacional: o que o utilizador revê antes de partilhar. Adaptado (recortado) de EUDI Wallet Architecture and Reference Framework, Annex 5, Comissão Europeia, CC BY 4.0.[16]
Encaminhamento com e sem carteira
O Artigo 5.º-A, n.º 15, determina que a utilização da carteira "é voluntária" e que "continua a ser possível aceder a serviços públicos e privados através de outros meios de identificação e autenticação existentes".[1] Assim, a carteira nunca pode ser a sua única porta de entrada. Do mesmo modo, o Artigo 22.º, n.º 6, do AMLR admite documentos de identificação ou identificação eletrónica de nível de garantia substancial ou elevado.[9]
1Disponibilize os métodos para este país
O utilizador escolhe. Um pedido à carteira só começa a pedido do utilizador.
A apresentação pela carteira é bem-sucedida e passa nos seus controlos
Continuar
Acrescente o que a carteira não lhe dá.
Aplique a sua política
A análise de risco escrita decide se aceita ou recusa.
Encaminhar
eID nacional e, depois, documento com deteção de vivacidade.
2Fazer a triagem, avaliar o risco, decidir
O mesmo registo, seja qual for o método utilizado.
Um desenho de encaminhamento que mantém todas as portas abertas. O VCR_14 rege o percurso de estado desconhecido.[1][7]
O retrato só pode passar a ser um dado obrigatório dos PID a partir de 11 de agosto de 2028, e os Estados-Membros podem permitir que os utilizadores o recusem, pelo que um desenho que dependa da correspondência facial com a carteira nem sempre funcionará.[5] O nosso artigo sobre holder binding explica quando basta a carteira e quando acrescentar a deteção de vivacidade. As diferenças nacionais nos campos e identificadores estão em aceitar mais de 27 carteiras nacionais, e o estado da implementação está no acompanhamento por país. Para o onboarding regulado, leia AMLR e a EUDI Wallet.
Desenhe o encaminhamento antes de a carteira chegar
Pode construir este percurso já, com os métodos que existem. A verificação de identidade com a Didit cobre a captura de documentos, a leitura do chip NFC, a deteção de vivacidade e a correspondência facial, com ramificações por país e por resultado.[18][19]
Escolher um percurso por tipo de empresa
Artigo 5.º-F, n.º 2: tem de utilizar autenticação forte do utilizador e não é uma micro ou pequena empresa
Dever de aceitação
Planeie estar operacional até 24 de dezembro de 2027.
Facultativo
Salvo se o artigo 5.º-F, n.º 3, se aplicar a si enquanto plataforma em linha de muito grande dimensão. O registo aplica-se se aceitar.
Consegue gerir internamente a custódia de chaves, as listas de confiança e os testes de carteiras
Construir
Ou mantenha a construção própria como saída em relação a um fornecedor.
Recorrer a um fornecedor
Só um intermediário, ou uma plataforma quando também precisa de outros métodos.
Um ponto de partida: quem decide são os seus assessores jurídicos e os seus volumes.[1]
| É | Percurso inicial | A vigiar |
|---|---|---|
| Banco ou instituição de pagamento | Construir, ou intermediário com opção de construção própria | Artigo 18.º do AMLR e o Regulamento relativo à resiliência operacional digital[9][11] |
| Fintech ou empresa de criptoativos | Plataforma ou intermediário | Verificar se o artigo 5.º-F, n.º 2, se aplica; conservação[1][9] |
| Plataforma em linha de muito grande dimensão | Construir ou intermediário | Art. 5.º-F, n.º 3, dados mínimos[1] |
| Serviço com restrição de idade ou pequena empresa | Fornecedor, se optar por aceitar | Pedir apenas o necessário; não recusar pseudónimos quando a identificação não é exigida[1] |
| Grupo em vários Estados-Membros | Um único desenho, vários registos | Cada entidade regista-se onde está estabelecida[1] |
| Empresa sem estabelecimento na UE | Obtenha aconselhamento primeiro | Os textos que lemos não descrevem nenhuma via; o Artigo 5.º-B, n.º 1, depende do estabelecimento[1] |
O que pedir por escrito a um fornecedor
As regras do registo aplicam-se a partir de 24 de dezembro de 2026, por isso peça a inscrição no registo que sustenta qualquer alegação de serviço registado.[2]
| Tema | Obter por escrito | Sinal de alerta |
|---|---|---|
| Papel jurídico | O seu papel na componente da carteira, junto de que entidade de registo se regista e quando | "Somos uma plataforma, isso não se aplica" |
| O seu registo | Quem faz o registo, com que mandato, e quem o atualiza | A inscrição ficaria em nome do fornecedor |
| Certificados | O modelo por cliente desde 2026/1730 | Um único certificado partilhado por todos os clientes |
| Autoridade de certificação | Que autoridades utiliza, e o plano caso uma seja suspensa | Sem segunda fonte, sem saída |
| Verificações realizadas | Uma lista: autenticidade, revogação, vinculação ao dispositivo e ao utilizador | "Verificamos a carteira" |
| Visibilidade dos dados | Se vê os atributos em claro | Sem resposta |
| Eliminação | Como é feita e demonstrada a eliminação após o reencaminhamento | Apresentações guardadas para "a sua auditoria" |
| Os seus registos | O que chega ao seu sistema, e em que forma | Provas apenas dentro do seu portal |
| Limites de âmbito | Um bloqueio técnico de atributos não registados | Uma promessa de configurar com cuidado |
| Testes | Resultados publicados, e carteiras testadas por nome e versão | "Funciona com todas as carteiras" |
| Saída | Passar para outro intermediário sem novo impacto para o utilizador | Registo associado ao fornecedor |
O que fazer este mês
- Confirme por escrito se o Artigo 5.º-F, n.º 2, ou o Artigo 5.º-F, n.º 3, se aplica a cada pessoa coletiva.[1]
- Liste cada caso de utilização com o mínimo de atributos de que precisa.
- Identifique a sua entidade de registo e a respetiva política nacional de registo.[2]
- Consulte o seu jurista sobre o OIA_16 face aos seus deveres de conservação.[7][9]
- Redija a política para um estado de revogação desconhecido.[7]
- Prepare a notificação ao supervisor se uma entidade obrigada vier a externalizar.[9]
- Construa o percurso alternativo com os métodos de que dispõe hoje.
O nosso artigo complementar sobre políticas e controlos da EUDI Wallet transforma estes passos numa matriz de controlos com responsáveis e provas.
Como a Didit ajuda na integração da carteira europeia de identidade digital (EUDI Wallet)
A aceitação da EUDI Wallet está para breve, ainda sem data nem preço.[17] Veja a nossa abordagem na página da solução EUDI Wallet, cujo texto é "Integrate today, and keep it when the wallet arrives".
O que existe hoje é o resto do fluxo descrito neste guia. A Didit opera MitID, BankID Sweden, Finnish Trust Network, Smart-ID e Mobile-ID a par da captura de documentos, com uma alternativa documental configurada.[18] Veja verificação eID. Os fluxos de trabalho ramificam-se por país e por resultado, os webhooks são assinados e a conservação é configurável de 1 mês a 10 anos.[19][20][21] A Didit atua como subcontratante e o cliente continua a ser o responsável pelo tratamento.[22] A Didit dispõe de relatórios SOC 2 Type 1 e Type 2, da certificação ISO/IEC 27001:2022 e de testes iBeta Level 1 de deteção de ataques de apresentação.[23] Para preços, consulte a página de preços.
O que a Didit fornece
- eID nacionais e verificação de documentos num único fluxo
- Ramos de encaminhamento e alternativa por documento
- Webhooks assinados e conservação configurável
O que fica do seu lado
- O seu registo como parte utilizadora e as utilizações previstas
- A avaliação de risco, as políticas e a decisão sobre o cliente
- As suas decisões de conservação e a análise jurídica
Construa o seu encaminhamento antes de a carteira chegar
Comece com eID nacionais e documentos num único fluxo.
Pontos-chave
- A verdadeira escolha é quem se apresenta à carteira como parte utilizadora: a sua empresa ou um intermediário.
- Nos termos do Artigo 5.º-B, n.º 10, um intermediário é considerado parte utilizadora e não pode armazenar dados sobre o conteúdo da transação.
- O 2026/1730 inclui o cliente servido no certificado de acesso. O ARF v3.0.0 dá a um intermediário um conjunto separado para cada cliente.
- As regras de eliminação e os deveres de conservação colidem: resolva o OIA_16 e o Art. 77 do AMLR com o seu advogado.
- O Artigo 5.º-A, n.º 15, mantém abertos outros meios, por isso desenhe primeiro o encaminhamento.
Perguntas frequentes
O que é uma plataforma de integração da EUDI Wallet?
É um serviço que liga a sua aplicação às EUDI Wallets, muitas vezes ao lado de outros métodos de identificação. O termo não tem significado jurídico. Na vertente da carteira, o fornecedor é um intermediário ou aloja a sua própria instância, por isso pergunte qual dos papéis se aplica.[1][6]
Como integro a EUDI Wallet no meu serviço?
Registe-se no seu Estado-Membro, defina cada utilização prevista e os respetivos atributos e escolha depois uma via: o seu próprio verificador, um intermediário, uma plataforma ou ferramentas especializadas. Os pedidos são assinados com um certificado de acesso e levam um certificado de registo.[2][7]
O que é um intermediário de partes utilizadoras?
É uma pessoa ou empresa que interage com carteiras em nome de partes utilizadoras. O artigo 5.º-B, n.º 10, considera-o parte utilizadora e proíbe-o de armazenar dados sobre o conteúdo da transação.[1][6]
Continuo a ter de me registar se usar um intermediário?
Sim. O ARF exige que o intermediário garanta que cada cliente está registado no Estado-Membro onde esse cliente está estabelecido. A entidade de registo decide como, e pode deixar o intermediário tratar do pedido mediante prova da relação.[6][7]
O meu fornecedor pode guardar a resposta assinada da carteira como prova?
Trate isto como uma questão em aberto. Um intermediário não pode armazenar o conteúdo da transação, e o requisito OIA_16 do ARF manda os verificadores descartar os valores de assinatura quando deixam de ser necessários. As empresas reguladas devem resolver isto face ao Artigo 77 do AMLR com o seu advogado.[1][7][9]
Quando têm as empresas privadas de aceitar a EUDI Wallet?
Até 24 de dezembro de 2027, pela nossa contagem dos 36 meses, se a lei ou um contrato as obrigar a usar autenticação forte do utilizador para a identificação em linha. As micro e pequenas empresas estão isentas, e a aceitação aplica-se apenas a pedido voluntário do utilizador.[1]
A EUDI Wallet pode substituir a verificação de documentos?
Para um cliente, uma carteira que cumpra os requisitos pode substituir a verificação do documento, mas não como a sua única via: a utilização da carteira é voluntária e outros meios têm de continuar disponíveis nos termos do artigo 5.º-A, n.º 15. O AMLR admite documentos de identificação a par da identificação eletrónica, por isso planeie as duas vias.[1][9]
A Didit já aceita EUDI Wallets?
Não. A aceitação da EUDI Wallet está para breve, ainda sem data nem preço. Hoje, a Didit executa eIDs nacionais e verificações de documentos num único fluxo de trabalho.[17][18]
Fontes
- Regulamento (UE) n.º 910/2014, texto consolidado de 18 de outubro de 2024, EUR-Lex.
- Regulamento de Execução (UE) 2025/848 da Comissão, registo das partes utilizadoras de carteiras, EUR-Lex.
- Regulamento de Execução (UE) 2026/1730 da Comissão, de 15 de julho de 2026, EUR-Lex.
- Regulamento de Execução (UE) 2024/2982 da Comissão, protocolos e interfaces, EUR-Lex.
- Regulamento de Execução (UE) 2026/1731 da Comissão, de 15 de julho de 2026, EUR-Lex.
- Architecture and Reference Framework v3.0.0, Comissão Europeia, julho de 2026.
- ARF v3.0.0, Anexo 2, requisitos de alto nível por tema, Comissão Europeia.
- Technical Specification 5, formatos e API de registo das partes utilizadoras, Comissão Europeia.
- Regulamento (UE) 2024/1624 (AMLR), EUR-Lex.
- Regulamento (UE) 2016/679 (GDPR), EUR-Lex.
- Regulamento (UE) 2022/2554 (Regulamento relativo à resiliência operacional digital), EUR-Lex.
- Os testes de conformidade OpenID4VP e OpenID4VCI estão concluídos e abertos à autocertificação, OpenID Foundation, 7 de agosto de 2026.
- Functional Conformance Assessment Framework, projeto EUDI Wallet.
- Documentação da implementação de referência da EUDI Wallet, Comissão Europeia.
- Repositório do endpoint verificador EUDI, Apache License 2.0.
- ARF v3.0.0, Anexo 5, guia de design para cenários de partilha de dados, Comissão Europeia.
- EUDI Wallet, página de solução da Didit.
- Carteiras de identidade digital, documentação da Didit.
- Construtor de fluxos de trabalho, documentação da Didit.
- Webhooks, documentação da Didit.
- Conservação de dados, documentação da Didit.
- Segurança e conformidade, documentação da Didit.
- Certificações, documentação da Didit.
A via que escolher hoje deve resistir a uma mudança de fornecedor, a uma carteira nacional que chegue tarde e a uma auditoria à conservação de dados. Acompanhe a implementação e a forma como a Didit aborda a aceitação na página da solução EUDI Wallet.
Prepare o seu fluxo de identidade para todas as vias
Verifique utilizadores com eIDs nacionais e documentos já hoje, num único fluxo de trabalho.
Artigos relacionados
- Aceitar a EUDI Wallet além-fronteiras: uma integração para toda a UE
- EUDI Wallet: preparação, políticas e controlos para entidades reguladas
- Vinculação ao titular na EUDI Wallet: o que uma apresentação prova realmente
- Integração da EUDI Wallet: como escolher a sua via (guia 2026)
- Verificação de identidade FINTRAC em 2026: métodos, regras e C-12
- Lei 25 do Quebeque e biometria: guia de verificação de identidade (2026)