Sintesi
Un passaporto digitale del prodotto (DPP), ai sensi del regolamento UE sulla progettazione ecocompatibile (ESPR) o del regolamento sulle batterie, deve indicare la composizione di un prodotto. Di norma, il produttore non è tenuto a rivelare le modalità di fabbricazione né i propri fornitori. Le formulazioni, i parametri di processo e le fonti di approvvigionamento costituiscono segreti commerciali ai sensi della direttiva UE 2016/943. Tuttavia, essi sono tutelati solo se l’azienda adotta misure adeguate per garantirne la riservatezza, e tra queste rientra la scelta della piattaforma DPP.
La piattaforma DPP svizzera Transpareo tutela queste informazioni in sei modi:
- Non effettua interrogazioni su sistemi sorgente quali ERP o PLM.
- Gestisce ogni cliente in un database dedicato.
- I fornitori interpellano i propri fornitori a monte in forma anonima.
- Ogni campo dati è firmato singolarmente e dispone di un proprio livello di accesso (W3C ecdsa-sd-2023).
- Le richieste di IA vengono inviate direttamente dal browser al fornitore selezionato.
- Tutti i dati possono essere esportati integralmente, senza vincoli di lock-in.
Un passaporto di prodotto deve mostrare cosa contiene un prodotto, non come lo si produce né da chi lo si acquista. In sei punti vi spieghiamo dove Transpareo traccia questo confine.
Un caso pratico
Un’azienda manifatturiera di medie dimensioni produce sistemi di batterie per carrelli elevatori. A partire da febbraio 2027, ogni sistema che immetterà sul mercato dovrà essere accompagnato da un passaporto del prodotto. I dati necessari sono già disponibili da tempo nell’ERP, nel PLM e nei protocolli di collaudo della produzione.
Ciononostante, l’amministratore delegato esita. Un fornitore richiede un accesso in lettura al sistema ERP. Un altro chiede, nel modulo fornitori, il nome e l’indirizzo del produttore delle celle. Inoltre, egli si rifornisce del materiale catodico da un’unica azienda, di cui finora nessun concorrente è a conoscenza.
La sua preoccupazione è giustificata. Chi concede l’accesso ai sistemi di origine rivela molto più del semplice passaporto. Chi inserisce le fonti di approvvigionamento in una piattaforma si rende sostituibile. E chi concentra i dati presso un unico fornitore deve fidarsi di tale fornitore.
Cosa richiede il passaporto e cosa no
Un passaporto di prodotto non mostra a tutti le stesse informazioni. Il regolamento sulle batterie distingue tre gruppi: il pubblico, le persone con un interesse legittimo, quali le officine di riparazione o le imprese di riciclaggio, nonché le autorità e gli organismi notificati. Anche il Regolamento sulla progettazione ecocompatibile consente ai regolamenti relativi agli altri gruppi di prodotti di stabilire chi possa prendere visione di quali informazioni.
Molte delle informazioni che un produttore intende proteggere non sono affatto richieste dal passaporto: parametri di processo, condizioni, nomi dei fornitori a monte, purché l’atto giuridico non li richieda espressamente. Ciò che viene richiesto è spesso visibile solo a un’autorità o a un’azienda autorizzata.
La legge è dalla Sua parte. La direttiva europea sulla protezione dei segreti commerciali menziona espressamente le informazioni relative a clienti e fornitori. In Svizzera, la Legge federale contro la concorrenza sleale e il Codice penale tutelano i segreti di fabbricazione e d’affari.
Un aspetto viene spesso trascurato: secondo la direttiva, un segreto è protetto solo se si adottano misure adeguate per garantirne la riservatezza. La scelta della vostra piattaforma DPP costituisce quindi di per sé una di tali misure.
Sei punti in cui Transpareo protegge le vostre conoscenze
1. I vostri sistemi di origine rimangono
Transpareo non interroga mai il Suo ERP, MES, PIM o PLM e non riceve alcuna credenziale di accesso a tali sistemi. Il Suo sistema invia un pacchetto di dati autorizzato e riceve in risposta solo conferme: l’URL del Pass, l’ID di versione, lo stato di pubblicazione e i messaggi di convalida. Il Suo sistema di sicurezza rimane quindi snello, poiché i dati fluiscono nel Pass solo in una direzione.
2. I Suoi dati sono isolati, ogni accesso è limitato
Ogni cliente dispone di un proprio database; le informazioni riservate, come le chiavi API, sono crittografate con una chiave specifica per ogni area di lavoro. Ogni utente dell’API riceve le proprie credenziali di accesso e tutto ciò che non autorizza espressamente è bloccato. Potete limitare l’accesso a determinati prodotti, periodi di validità e indirizzi IP e revocarlo in qualsiasi momento. I collaboratori di Transpareo accedono al Suo ambiente di lavoro solo tramite un’autorizzazione specificata nel Suo protocollo di sicurezza.
3. Le fonti di approvvigionamento rimangono di competenza del fornitore
Il Suo fornitore inoltra le Sue richieste ai propri fornitori, attraverso un numero illimitato di livelli e, su richiesta, senza menzionare il Suo marchio e il Suo prodotto. Non potrà vedere a chi sono state rivolte le richieste, ma solo quante richieste sono state inoltrate. Ogni richiesta è protetta da un PIN e ogni risposta viene fornita come proposta, modificando il Suo record di dati solo quando la conferma campo per campo. Il motivo per cui ciò garantisce dati di qualità superiore è spiegato nel nostro articolo sulle fonti di approvvigionamento dei Suoi fornitori.
4. Ciascuno vede solo i propri campi e può verificarli
Il pubblico vede il pass pubblico, un’officina di riparazione vede qualche campo in più, un ente pubblico vede tutto. I campi a cui un lettore non ha diritto mancano completamente nella sua visualizzazione. Poiché firmiamo ogni campo singolarmente (W3C ecdsa-sd-2023), anche un campo aggiuntivo reso pubblico viene verificato offline rispetto alla Sua chiave. Con «Bring Your Own Key» firmate tramite un vostro servizio di firma; la chiave privata rimane in vostro possesso e noi non possiamo aggiungere alcun campo a posteriori.
5. L’assistente IA lavora esclusivamente per Lei
Siete voi a scegliere il fornitore di IA; i fornitori europei sono in primo piano nella selezione, ma è possibile anche un modello sviluppato internamente. Le richieste dell’assistente nell’Application Manager vengono inviate direttamente dal Suo browser al fornitore, e le Sue comunicazioni non raggiungono mai i nostri server. L’assistente non ha mai più diritti di chi lo utilizza, e la pubblicazione è soggetta alla Sua approvazione.
6. Può recedere in qualsiasi momento
Il Suo abbonamento è disdicibile mensilmente. Potete esportare tutti i dati in formato CSV, XLSX, JSON-LD o SQL oppure recuperarli tramite API REST, per un’altra applicazione DPP o per gli acquisti, la produzione e lo sviluppo. Il Pass appare sotto il vostro dominio, senza il marchio Transpareo, e l’app di visualizzazione Transpareo Time Machine è open source.
| Voce | Cosa rimane protetto |
|---|---|
| Importazione | Accesso a ERP, MES, PIM e PLM |
| Conservazione dei dati | I Suoi dati rispetto ad altri clienti e rispetto a noi |
| Catena di fornitura | Fonti di approvvigionamento dei Suoi fornitori e dei loro subfornitori |
| Divulgazione | Campi a cui un gruppo di lettori non ha diritto |
| Assistente IA | Le Sue conversazioni e la Sua scelta del fornitore |
| Recesso | La Sua indipendenza da Transpareo |
Ciò che non vediamo intenzionalmente e quanto ciò comporta
Alcuni di questi limiti valgono anche per noi. Non disponiamo di credenziali di accesso ai Suoi sistemi di origine. Non leggiamo le Sue conversazioni con l’assistente IA, poiché queste non raggiungono mai i nostri server. Non vediamo a chi i Suoi fornitori abbiano rivolto richieste. E con la Sua chiave non possiamo firmare alcun valore a Suo nome.
Ciò ha un costo, e lo indichiamo apertamente. Perdete la visione d’insieme su chi, nella vostra catena di fornitura, abbia risposto a quale domanda. La cronologia delle vostre conversazioni con l’assistente è conservata esclusivamente nel browser in cui le avete condotte. Riteniamo che entrambi questi aspetti rappresentino il giusto prezzo da pagare.
Ciò che una piattaforma non vede, non può né perderlo, né sfruttarlo, né divulgarlo.
Ciò è sancito anche contrattualmente. Transpareo tratta i dati personali in base a un contratto di trattamento dei dati che si avvale delle clausole contrattuali standard dell’UE, esclusivamente su Sua istruzione, mentre i dati relativi ai Suoi prodotti vengono trattati secondo le nostre Condizioni Generali di Contratto, così come da Lei specificato nella piattaforma, su server situati in Germania. Se, a seguito della disdetta, richiedete la cancellazione, la chiave del vostro spazio di lavoro verrà distrutta e del vostro database rimarrà solo ciò che rende accessibili i vostri pass pubblicati, come previsto dalla legge. Non appena i Suoi passaporti saranno registrati nel registro dell’UE, le relative versioni saranno inoltre conservate nell’archivio prescritto, di norma per dieci anni a partire dalla registrazione.
Cosa può fare ora
Stabilisca, per ogni dato del Suo futuro passaporto, chi è autorizzato a visualizzarlo: il pubblico, le aziende autorizzate o solo le autorità. Ciò che la normativa non richiede non deve essere inserito nel passaporto. Chieda quindi a ogni fornitore di DPP che sta valutando di illustrarle i sei punti sopra indicati. La nostra lista di controllo per la scelta di un fornitore di DPP Le sarà di aiuto.
Chi desidera verificarlo personalmente può aprire la nostra demo senza registrazione: un gestore di applicazioni aperto e pass di esempio.
Domande relative a questo articolo
Transpareo necessita di accesso al mio sistema ERP?
No. Il vostro sistema invia un pacchetto di dati autorizzato tramite la nostra interfaccia, oppure importate una tabella. Non riceviamo mai le credenziali di accesso ai vostri sistemi di origine.
Transpareo può visualizzare i miei dati?
I collaboratori di Transpareo accedono a un’area di lavoro solo tramite un accesso effettuato a vostro nome, che viene registrato nel vostro registro di sicurezza. Le vostre conversazioni con l’assistente IA non raggiungono mai i nostri server.
Il mio fornitore è tenuto a comunicarmi i nomi dei suoi fornitori a monte?
No. Egli inoltra le vostre domande senza citare nomi. Se l’atto giuridico richiede l’indicazione di un’azienda di produzione, egli la menziona nella sua risposta e tale azienda viene riportata nel passaporto.
Cosa vede un’autorità e cosa vede l’opinione pubblica?
Lo si definisce per ciascun campo, nel rispetto di quanto previsto dalla normativa. Ogni gruppo di lettori vede solo i propri campi, e ciascuno di essi è firmato separatamente.
Cosa succede ai miei dati se recedo dal contratto?
Li esporta integralmente. L’area di lavoro rimane bloccata fino a quando non ne richiede la cancellazione. I Suoi passaporti pubblicati rimangono consultabili, come previsto dalla legge, e non appena vengono registrati nel registro dell’UE, le relative versioni vengono inoltre conservate nell’archivio prescritto, di norma per dieci anni a partire dalla registrazione.
