Perguntas de compliance — Q&A aprofundado para compradores em Portugal
Tudo compliance: e-faturação Portal das Finanças (AT), IVA 23%, reporting CSRD, RGPD, ISO 9001/14001, anti-suborno — e como a Corp-Merch passa a sua auditoria.
Portal das Finanças (AT) em Portugal
Todas as faturas para contas domésticas em Portugal vão via Portal das Finanças (AT) no formato XML obrigatório (SAF-T PT). Somos participantes registados com certificados válidos; XML assinado (QES segundo eIDAS Reg 910/2014); arquivado 10 anos. Audit pulls: GET /v1/invoices/{id}/xml devolve o XML assinado original mais o recibo de acknowledgement do Portal das Finanças (AT). Passamos a validação Portal das Finanças (AT) a 99.97% à primeira na nossa base portuguesa.
ESG e CSRD
Para clientes CSRD-bound (1000+ funcionários), fornecemos: emissões Scope 3 cradle-to-gate por SKU (kg CO2e), scorecards ESG de fornecedores (GOTS / OEKO-TEX / Fair Wear), claims de conteúdo reciclado com documentação de suporte. Todos os claims alinhados com a Diretiva UE Green Claims. O nosso relatório anual de sustentabilidade está livremente disponível e cobre a nossa base de fornecedores em Portugal.
RGPD, ISO, anti-suborno
RGPD: ROPA disponível; template DPA assinado antes de qualquer projeto. ISO 9001:2015 + ISO 14001:2015 + ISO 27001:2022 (corporate); ISO 45001 (saúde e segurança) a chegar 2026. Anti-suborno: política alinhada com ISO 37001; nenhuma denúncia anónima ignorada. Screening de sanções em cada fornecedor e cliente (Refinitiv World-Check, refresh mensal). SOC 2 Type II auditado anualmente.
FAQ
Conseguem preencher o nosso questionário de compliance?
Sim — em 5 dias úteis para SIG Lite ou CAIQ. Questionários mais longos (CSRD ESRS, BSI) em 10 dias. Completámos 800+ nos últimos 24 meses.
Onde estão armazenadas as faturas?
Arquivo residente em Portugal (cifrado em repouso, AES-256). Disponível via API por 10 anos; conforme com a Diretiva CE 2001/115/CE.
Fazem screening de sanções a fornecedores?
Sim — todos os fornecedores passam por Refinitiv (OFAC, UE, ONU, UK sanções, PEP). Refresh mensal; suspensão imediata em hit. Audit trail na API: GET /v1/suppliers/{id}/screening_history.
E a diretiva NIS2?
No âmbito — temos um Information Security Officer, plano de resposta a incidentes testado 2x/ano, e fluxo de reporting para o CSIRT-Portugal. Notificação de incidente para o cliente em 24h após violação material confirmada.
Verificações anti-suborno em gifts?
Cada encomenda gift é cruzada com a sua política AML/anti-suborno se fornecida. Limite default EUR 100 por destinatário; override com workflow de aprovação.