Resumé
Et digitalt produktpas (DPP) i henhold til EU’s økodesignforordning (ESPR) eller batteriforordningen skal angive, hvad et produkt indeholder. Hvordan det fremstilles, og hvor producenten indkøber sine råvarer, behøver producenten som regel ikke at oplyse. Formler, procesparametre og indkøbskilder er forretningshemmeligheder i henhold til EU-direktiv 2016/943. De er dog kun beskyttet, hvis virksomheden træffer passende foranstaltninger til at sikre deres fortrolighed, og det omfatter valget af DPP-platform.
Den schweiziske DPP-platform Transpareo beskytter denne viden på seks måder:
- Den forespørger ikke kildesystemer som ERP eller PLM.
- Den opbevarer hver kunde i en separat database.
- Leverandører forespørger deres underleverandører anonymt.
- Hvert datafelt er individuelt signeret og har sit eget adgangsniveau (W3C ecdsa-sd-2023).
- AI-forespørgsler sendes direkte fra browseren til den valgte udbyder.
- Alle data kan eksporteres fuldt ud uden lock-in.
Et produktpas skal vise, hvad der er i et produkt, ikke hvordan man fremstiller det, eller hvor man køber det. Her forklares det på seks punkter, hvor Transpareo trækker grænsen.
Et eksempel fra praksis
En mellemstor producent fremstiller batterisystemer til gaffeltrucks. Fra februar 2027 skal hvert system, som virksomheden lancerer på markedet, have et produktpas. Dataene hertil har længe været tilgængelige i ERP-systemet, i PLM-systemet og i produktionskontrolprotokollerne.
Alligevel tøver direktøren. En leverandør ønsker læseadgang til ERP-systemet. En anden beder i leverandørformularen om navn og adresse på celleproducenten. Og katodematerialet køber han fra en enkelt virksomhed, som ingen konkurrenter hidtil kender til.
Hans bekymring er berettiget. Den, der giver adgang til kildesystemerne, afslører mere end blot passet. Den, der indtaster leverandørkilder i en platform, gør sig selv udskiftelig. Og den, der samler data hos en leverandør, er nødt til at stole på denne leverandør.
Hvad passet kræver, og hvad det ikke kræver
Et produktpas viser ikke det samme for alle. Batteriforordningen skelner mellem tre grupper: offentligheden, personer med en berettiget interesse, såsom reparationsvirksomheder eller genvindingsvirksomheder, samt myndigheder og bemyndigede organer. Økodesignforordningen lader ligeledes reglerne for de øvrige produktgrupper fastlægge, hvem der må se hvilke oplysninger.
Meget af det, som en producent ønsker at beskytte, kræver passet slet ikke: procesparametre, betingelser, navnene på underleverandører, så længe retsakten ikke udtrykkeligt kræver det. Det, som passet kræver, ses ofte kun af en myndighed eller en berettiget virksomhed.
Loven er på din side. Det europæiske direktiv om beskyttelse af forretningshemmeligheder nævner udtrykkeligt oplysninger om kunder og leverandører. I Schweiz beskyttes disse oplysninger af den føderale lov mod illoyal konkurrence og straffeloven produktions- og forretningshemmeligheder.
Der er dog én ting, der ofte overses: Ifølge direktivet er en hemmelighed kun beskyttet, hvis De træffer passende foranstaltninger til at sikre dens fortrolighed. Valget af Deres DPP-platform er derfor i sig selv en sådan foranstaltning.
Seks områder, hvor Transpareo beskytter Deres viden
1. Deres kildesystemer forbliver lukkede
Transpareo forespørger aldrig dit ERP-, MES-, PIM- eller PLM-system og modtager ingen adgangsdata hertil. Dit system indsender en godkendt datapakke, og der returneres kun kvitteringer: passets URL, versions-ID, publikationsstatus og valideringsmeddelelser. Dit sikkerhedskoncept forbliver dermed enkelt, fordi dataene kun strømmer i én retning ind i passet.
2. Dine data opbevares adskilt, og enhver adgang er begrænset
Hver kunde har sin egen database, og fortrolige oplysninger såsom API-nøgler krypteres med en egen nøgle for hvert arbejdsområde. Hver API-bruger modtager sine egne adgangsoplysninger, og alt, hvad De ikke udtrykkeligt tillader, er spærret. De kan begrænse adgangen til bestemte produkter, løbetid og IP-adresser og til enhver tid tilbagekalde den. Medarbejdere hos Transpareo åbner kun Deres arbejdsområde via en login-procedure, der er angivet i Deres sikkerhedsprotokol.
3. Indkøbskilder forbliver hos leverandøren
Din leverandør videresender dine forespørgsler til sine egne leverandører, gennem et vilkårligt antal led og efter ønske uden angivelse af dit mærke og dit produkt. Du kan ikke se, hvem der er blevet spurgt, men kun hvor mange forespørgsler der er blevet videresendt. Hver forespørgsel er beskyttet med en PIN-kode, og hvert svar kommer som et forslag og ændrer først din datapost, når du overfører det felt for felt. Hvorfor netop dette giver bedre data, kan du læse i vores artikel om dine leverandørers indkøbskilder.
4. Hver bruger ser kun sine egne felter og kan kontrollere dem
Offentligheden ser det offentlige pas, et værksted ser et par felter mere, en myndighed ser det hele. Felter, som en læser ikke har adgang til, mangler helt i vedkommendes visning. Da vi signerer hvert felt enkeltvis (W3C ecdsa-sd-2023), kontrolleres selv et yderligere offentliggjort felt offline mod din nøgle. Med »Bring Your Own Key« underskriver du via din egen signaturtjeneste, den private nøgle forbliver hos dig, og vi kan ikke opfinde et felt efterfølgende.
5. AI-assistenten arbejder udelukkende for dig
Du vælger AI-udbyderen; europæiske udbydere er i forgrunden i udvalget, og det er også muligt at bruge en model udviklet internt. Assistentens forespørgsler i applikationsmanageren sendes direkte fra din browser til udbyderen, og dine samtaler når aldrig vores servere. Assistenten har aldrig flere rettigheder end den person, der bruger den, og offentliggørelse afventer din godkendelse.
6. Du kan til enhver tid opsige abonnementet
Dit abonnement kan opsiges månedligt. Du kan eksportere alle data som CSV, XLSX, JSON-LD eller SQL eller hente dem via REST-API til en anden DPP-applikation eller til indkøb, produktion og udvikling. Passet vises under dit domæne uden Transpareo-branding, og visningsappen Transpareo Time Machine er open source.
| Område | Hvad der forbliver beskyttet |
|---|---|
| Import | Adgang til ERP, MES, PIM og PLM |
| Datahåndtering | Dine data i forhold til andre kunder og i forhold til os |
| Forsyningskæde | Dine leverandørers indkøbskilder og deres underleverandører |
| Offentliggørelse | Felter, som en læsergruppe ikke har adgang til |
| AI-assistent | Dine samtaler og dit valg af udbyder |
| Udtræden | Din uafhængighed af Transpareo |
Hvad vi bevidst ikke ser, og hvad det koster
Nogle af disse begrænsninger gælder også for os. Vi har ingen adgang til dine kildesystemer. Vi læser ikke dine samtaler med AI-assistenten, fordi de aldrig når vores servere. Vi kan ikke se, hvem dine leverandører har spurgt. Og med din egen nøgle kan vi ikke underskrive nogen værdi på dine vegne.
Det har sin pris, og vi angiver den åbent. Du mister overblikket over, hvem i din forsyningskæde der har besvaret hvilke spørgsmål. Historikken over dine samtaler med assistenten findes kun i den browser, hvor du har ført dem. Vi anser begge dele for at være den rette pris.
Det, som en platform ikke ser, kan den hverken miste, udnytte eller videregive.
Dette er også fastlagt kontraktmæssigt. Transpareo behandler personoplysninger i henhold til en databehandleraftale baseret på EU’s standardkontraktbestemmelser, udelukkende efter Deres anvisninger, og Deres produktdata i henhold til vores generelle forretningsbetingelser, som De fastlægger på platformen, på servere i Tyskland. Hvis De efter opsigelsen anmoder om sletning, vil nøglen til Deres arbejdsområde blive destrueret, og af Deres database vil der kun forblive det, der er nødvendigt for at holde Deres offentliggjorte pas tilgængelige, som loven kræver. Så snart dine pas er registreret i EU-registret, opbevares deres versioner desuden i det foreskrevne arkiv, som regel i ti år fra registreringen.
Hvad du kan gøre nu
Fastlæg for hver oplysning i dit fremtidige pas, hvem der må se den: offentligheden, berettigede virksomheder eller kun myndigheder. Det, som lovgivningen ikke kræver, hører ikke hjemme i passet. Spørg derefter hver DPP-udbyder, du overvejer, om de seks punkter ovenfor. Vores tjekliste til valg af en DPP-udbyder hjælper dig med dette.
Hvis du selv vil se det, kan du åbne vores demo uden registrering: en åben applikationsmanager og eksempelpas.
Spørgsmål til dette indlæg
Har Transpareo brug for adgang til mit ERP-system?
Nej. Deres system sender en godkendt datapakke via vores grænseflade, eller De importerer en tabel. Vi modtager aldrig adgangsoplysninger til Deres kildesystemer.
Kan Transpareo se mine data?
Medarbejdere hos Transpareo åbner kun et arbejdsområde via en login i dit navn, som registreres i din sikkerhedsprotokol. Dine samtaler med AI-assistenten når aldrig frem til vores servere.
Er min leverandør forpligtet til at oplyse mig om sine underleverandører?
Nej. Han videregiver dine spørgsmål uden at nævne navne. Hvis retsakten kræver angivelse af en produktionsvirksomhed, nævner han den i sit svar, og virksomheden fremgår af paset.
Hvad ser myndighederne, og hvad ser offentligheden?
Det fastlægger De for hvert felt inden for rammerne af, hvad retsakten foreskriver. Hver læsergruppe kan kun se sine egne felter, og hvert af disse er signeret separat.
Hvad sker der med mine data, når jeg opsiger mit abonnement?
De eksporterer dem fuldstændigt. Arbejdsområdet forbliver spærret, indtil De anmoder om sletning. Deres offentliggjorte pas forbliver tilgængelige, som loven foreskriver, og så snart de er registreret i EU-registret, opbevares deres versioner desuden i det foreskrevne arkiv, som regel i ti år fra registreringen.
