Resumen
Un pasaporte digital del producto (DPP), conforme al Reglamento de la UE sobre diseño ecológico (ESPR) o al Reglamento sobre baterías, debe indicar la composición de un producto. Por regla general, no es necesario que el fabricante revele cómo se fabrica ni a quién se abastece. Las fórmulas, los parámetros de proceso y las fuentes de suministro constituyen secretos comerciales en el sentido de la Directiva de la UE 2016/943. No obstante, solo están protegidos si la empresa adopta medidas adecuadas para garantizar su confidencialidad, lo que incluye la elección de la plataforma de DPP.
La plataforma suiza DPP Transpareo protege esta información en seis aspectos:
- No consulta sistemas fuente como ERP o PLM.
- Mantiene a cada cliente en su propia base de datos.
- Los proveedores consultan a sus proveedores anteriores de forma anónima.
- Cada campo de datos está firmado individualmente y cuenta con su propio nivel de acceso (W3C ecdsa-sd-2023).
- Las consultas de IA se envían directamente desde el navegador al proveedor seleccionado.
- Todos los datos pueden exportarse íntegramente, sin dependencia del proveedor.
Un pasaporte de producto debe mostrar qué contiene un producto, no cómo se fabrica ni a quién se le compra. A continuación se explican, en seis puntos, dónde traza Transpareo esa línea divisoria.
Un caso práctico
Un fabricante de tamaño medio fabrica sistemas de baterías para carretillas elevadoras. A partir de febrero de 2027, cada sistema nuevo que lance al mercado deberá contar con un pasaporte de producto. Los datos necesarios para ello ya están disponibles desde hace tiempo en el ERP, en el PLM y en los protocolos de prueba de la fabricación.
Aun así, el director general se muestra reticente. Un proveedor solicita acceso de lectura al sistema ERP. Otro pide, en el formulario de proveedores, el nombre y la dirección del fabricante de celdas. Y el material de cátodo lo adquiere de una única empresa, que hasta ahora ningún competidor conoce.
Su preocupación está justificada. Quien concede acceso a los sistemas de origen, revela más información que el propio pasaporte. Quien introduce las fuentes de suministro en una plataforma, se vuelve sustituible. Y quien agrupa datos en un único proveedor, debe confiar en dicho proveedor.
Lo que exige el pasaporte y lo que no
Un pasaporte de producto no muestra lo mismo a todo el mundo. El Reglamento sobre baterías distingue tres grupos: el público en general, las personas con interés legítimo, como los talleres de reparación o las empresas de reciclaje, así como las autoridades y los organismos notificados. El Reglamento sobre diseño ecológico permite, asimismo, que las normas de los demás grupos de productos establezcan quién puede acceder a qué información.
Gran parte de lo que un fabricante desea proteger ni siquiera se exige en el pasaporte: parámetros de proceso, condiciones o los nombres de los proveedores anteriores, siempre que el acto jurídico no los exija expresamente. Lo que sí se exige, a menudo solo lo ve una autoridad o una empresa autorizada.
La ley está de su parte en este sentido. La Directiva europea sobre la protección de los secretos comerciales menciona expresamente la información relativa a clientes y proveedores. En Suiza, la Ley federal contra la competencia desleal y el Código Penal protegen los secretos de fabricación y los secretos comerciales.
Sin embargo, hay un aspecto que a menudo se pasa por alto: según la Directiva, un secreto solo está protegido si se adoptan medidas adecuadas para garantizar su confidencialidad. Por lo tanto, la elección de su plataforma DPP constituye en sí misma una de esas medidas.
Seis aspectos en los que Transpareo protege sus conocimientos
1. Sus sistemas de origen permanecen
Transpareo nunca consulta su ERP, MES, PIM o PLM ni obtiene datos de acceso a los mismos. Su sistema envía un paquete de datos autorizado y, a cambio, solo recibe confirmaciones: la URL del «pasaporte», el ID de versión, el estado de publicación y los mensajes de validación. De este modo, su estrategia de seguridad se simplifica, ya que los datos fluyen en una sola dirección hacia el «Pass».
2. Sus datos se almacenan de forma aislada y cada acceso está restringido
Cada cliente dispone de su propia base de datos; la información confidencial, como las claves API, se cifra con una clave específica para cada área de trabajo. Cada usuario de la API recibe sus propios datos de acceso, y queda bloqueado todo aquello que usted no autorice expresamente. Puede limitar el acceso a determinados productos, a un periodo de vigencia y a direcciones IP concretas, y revocarlo en cualquier momento. Los empleados de Transpareo solo pueden acceder a su área de trabajo mediante un inicio de sesión que figura en su protocolo de seguridad.
3. Las fuentes de suministro permanecen en manos del proveedor
Su proveedor remite sus consultas a sus propios proveedores, a través de tantos niveles como sea necesario y, si así lo desea, sin mencionar su marca ni su producto. Usted no verá a quién se ha consultado, sino únicamente cuántas consultas se han remitido. Cada consulta está protegida con un PIN, y cada respuesta se presenta como una sugerencia y solo modifica su registro de datos cuando usted la acepta campo por campo. El motivo por el que esto proporciona datos de mayor calidad se explica en nuestro artículo sobre las fuentes de suministro de sus proveedores.
4. Cada usuario solo ve sus propios campos y puede comprobarlos
El público en general ve el pasaporte público; un taller de reparación, unos cuantos campos más; una autoridad, toda la información. Los campos a los que un lector no tiene acceso no aparecen en absoluto en su vista. Dado que firmamos cada campo por separado (W3C ecdsa-sd-2023), incluso un campo adicionalmente divulgado se verifica sin conexión con su clave. Con «Bring Your Own Key», usted firma a través de su propio servicio de firma; la clave privada permanece en su poder y nosotros no podemos inventarnos ningún campo a posteriori.
5. El asistente de IA trabaja exclusivamente para usted
Usted elige el proveedor de IA; los proveedores europeos ocupan los primeros puestos en la selección, aunque también es posible utilizar un modelo propio. Las solicitudes del asistente en el gestor de aplicaciones se envían directamente desde su navegador al proveedor, y sus comunicaciones nunca llegan a nuestros servidores. El asistente nunca tiene más derechos que la persona que lo utiliza, y la publicación queda pendiente de su autorización.
6. Puede darse de baja en cualquier momento
Su plan es cancelable mensualmente. Puede exportar todos los datos en formato CSV, XLSX, JSON-LD o SQL, o recuperarlos mediante la API REST, ya sea para otra aplicación DPP o para las áreas de compras, fabricación y desarrollo. El pase aparecerá bajo su dominio, sin la marca de Transpareo, y la aplicación de visualización Transpareo Time Machine es de código abierto.
| Ámbito | Lo que permanece protegido |
|---|---|
| Importación | Acceso a ERP, MES, PIM y PLM |
| Almacenamiento de datos | Sus datos frente a otros clientes y frente a nosotros |
| Cadena de suministro | Fuentes de abastecimiento de sus proveedores y de sus subproveedores |
| Divulgación | Campos a los que un grupo de lectores no tiene derecho |
| Asistente de IA | Sus conversaciones y su elección de proveedor |
| Baja | Su independencia respecto a Transpareo |
Lo que deliberadamente no vemos y lo que ello supone
Algunas de estas limitaciones también se aplican a nosotros. No disponemos de datos de acceso a sus sistemas de origen. No leemos sus conversaciones con el asistente de IA, ya que estas nunca llegan a nuestros servidores. No vemos a quién han consultado sus proveedores. Y con su propia clave no podemos firmar ningún valor en su nombre.
Esto tiene su precio, y lo indicamos abiertamente. Usted pierde la visión general de quién ha respondido a qué pregunta en su cadena de suministro. El historial de sus conversaciones con el asistente solo se encuentra en el navegador en el que las ha mantenido. Consideramos que ambos son el precio adecuado.
Lo que una plataforma no ve, no puede perderlo, ni explotarlo, ni revelarlo.
Esto también queda recogido contractualmente. Transpareo trata los datos personales en virtud de un contrato de tratamiento de datos basado en las cláusulas contractuales tipo de la UE, únicamente siguiendo sus instrucciones, y sus datos de productos, de acuerdo con nuestras condiciones generales de contratación y tal y como usted lo establezca en la plataforma, en servidores ubicados en Alemania. Si, tras la rescisión, solicita la supresión, se destruirá la clave de su área de trabajo y, de su base de datos, solo se conservará lo necesario para mantener accesibles sus pases publicados, tal y como exige la ley. Una vez que sus certificados se hayan inscrito en el registro de la UE, sus versiones se conservarán además en el archivo prescrito, por lo general durante diez años a partir de la inscripción.
Qué puede hacer a continuación
Especifique, para cada dato de su futuro pasaporte, quién puede verlo: el público en general, las empresas autorizadas o únicamente las autoridades. Lo que no exija la normativa no debe figurar en el pasaporte. A continuación, pregunte a cada proveedor de DPP que esté evaluando sobre los seis puntos mencionados anteriormente. Nuestra lista de verificación para la elección de un proveedor de DPP le servirá de ayuda.
Si desea verlo por sí mismo, abra nuestra demostración sin necesidad de registrarse: un gestor de aplicaciones abierto y pasaportes de ejemplo.
Preguntas sobre esta publicación
¿Necesita Transpareo acceso a mi ERP?
No. Su sistema envía un paquete de datos autorizado a través de nuestra interfaz, o bien usted importa una tabla. Nunca recibimos los datos de acceso a sus sistemas de origen.
¿Puede Transpareo ver mis datos?
Los empleados de Transpareo solo pueden acceder a un espacio de trabajo tras iniciar sesión en su nombre, lo cual queda registrado en su registro de seguridad. Sus conversaciones con el asistente de IA nunca llegan a nuestros servidores.
¿Está obligado mi proveedor a indicarme quiénes son sus proveedores?
No. Él transmite sus preguntas sin mencionar nombres. Si el acto jurídico exige una empresa de producción, la menciona en su respuesta, y dicha empresa figura en el pasaporte.
¿Qué ve una autoridad y qué ve la ciudadanía?
Esto lo establece usted para cada campo, dentro de los límites que establece la norma jurídica. Cada grupo de lectores solo ve sus propios campos, y cada uno de ellos está firmado por separado.
¿Qué ocurre con mis datos si rescindo el contrato?
Los exportará en su totalidad. El espacio de trabajo permanecerá bloqueado hasta que solicite su eliminación. Sus pasaportes publicados seguirán estando disponibles, tal y como exige la ley, y, una vez inscritos en el registro de la UE, sus versiones se conservarán además en el archivo prescrito, por lo general durante diez años a partir de la inscripción.
