要約
EUのエコデザイン規則（ESPR）または電池規則に基づくデジタル製品パスポート（DPP）には、製品に何が含まれているかを明示する必要があります。一方、製品の製造方法や、製造業者がどこから調達しているかについては、原則として開示する必要はありません。 配合、プロセスパラメータ、および調達先は、EU指令2016/943における営業秘密に該当します。ただし、これらが保護されるのは、企業がその秘密保持のために適切な措置を講じている場合に限られ、その措置にはDPPプラットフォームの選定も含まれます。
スイスのDPPプラットフォーム「Transpareo」は、以下の6つの点でこの情報を保護しています：
- ERPやPLMなどの基幹システムからデータを取得しません。
- 顧客ごとに個別のデータベースを管理しています。
- サプライヤーは、上流のサプライヤーに対して匿名で照会を行います。
- 各データフィールドは個別に署名され、独自のアクセスレベルが設定されています（W3C ecdsa-sd-2023）。
- AIによる照会は、ブラウザから選択されたプロバイダーへ直接送信されます。
- すべてのデータをロックインされることなく完全にエクスポートできます。
製品パスポートは、製品に何が含まれているかを示すものであり、その製造方法や調達先を示すものではありません。Transpareoがこの境界線をどこに引いているのか、6つのポイントでご説明します。
実例
ある中堅メーカーは、フォークリフト用のバッテリーシステムを製造しています。2027年2月以降、同社が新たに市場に投入するすべてのシステムには、製品パスが必要となります。そのためのデータは、ERPやPLM、製造の検査記録などに、すでに長らく保存されています。
それでも、代表取締役は躊躇しています。あるベンダーはERPへの読み取りアクセス権を求めており、別のベンダーはサプライヤー登録フォームでセルメーカーの名称と住所を尋ねてきます。さらに、正極材は、これまで競合他社に知られていない単一の企業から調達しています。
彼の懸念は当然のものです。 ソースシステムへのアクセス権を許可することは、パスそのもの以上の情報を開示することになります。調達先をプラットフォームに入力することは、自社が代替可能になることを意味します。そして ## 、データを特定のベンダーに一元化する場合、そのベンダーを信頼しなければなりません。
パスで求められるものと、求められないもの
製品パスが示す ## 内容は、すべての人にとって同じというわけではありません。 バッテリー規則では、一般市民、修理業者やリサイクル業者などの正当な利害関係を有する者、そして行政機関および認定機関の3つのグループに区分しています。 エコデザイン規則 においても、その他の製品グループの規則と同様に、誰がどの情報を閲覧できるかが定められています。
製造業者が保護したいと考えている情報の多くは、このパスポートではそもそも要求されていません。プロセスパラメータ、条件、下流サプライヤーの名称などは、法令で明示的に求められていない限り、記載する必要はありません。パスポートで要求されている情報は、多くの場合、行政機関または権限のある事業者だけが閲覧できます。
この点において、法は皆様の味方です。 欧州の営業秘密の保護に関する指令では、顧客やサプライヤーに関する情報が明示的に挙げられています。 スイスでは、[不正競争防止法](https://www.fedlex.admin.ch/eli/cc/1988/223_223_223/de#art_6）および刑法により、製造秘密および営業秘密が保護されています。
その際、見落とされがちな点が一つあります。それは 、この指令に基づき、秘密が保護されるのは、その秘密保持のために適切な措置を講じている場合に限られるということです。したがって、DPPプラットフォームの選択そのものが、そのような措置の一つとなります。
Transpareoがお客様の知見を保護する6つのポイント
### 1. お客様の基幹システムへのアクセスは
Transpareoは、お客様のERP、MES、PIM、またはPLMに照会を行うことは一切なく、それらのアクセス情報も取得いたしません。お客様のシステムは承認済みのデータパッケージを送信するだけで、返ってくるのは受領確認のみです。具体的には、パス（Pass）のURL、バージョンID、公開ステータス、および検証メッセージです。データはパスへ一方向のみに流れるため、お客様のセキュリティ対策は簡潔に済みます。
2. データは分離され、アクセスはすべて制限されています
お客様ごとに専用のデータベースが用意されており、APIキーなどの機密情報は、ワークスペースごとに独自の鍵で暗号化されています。 各APIユーザーには独自のアクセス情報が提供され、お客様が明示的に許可していないものはすべてアクセスが制限されます 。アクセス権は製品、有効期間、IPアドレスごとに制限でき、いつでも取り消すことが可能です。Transpareoの従業員は、お客様のセキュリティプロトコルに記載されたログイン手順を経由してのみ、お客様のワークスペースにアクセスします。
3. 調達先情報はサプライヤーが管理します
お客様のサプライヤーは、お客様の質問を自社のサプライヤーに転送します。この際、何段階を経ても構いませんし、ご希望に応じて、お客様のブランド名や製品名を伏せた状態で転送することも可能です。誰に問い合わせたかは表示されず、転送された問い合わせ件数のみが確認できます。 各問い合わせはPINで保護されており、回答は提案として届き、お客様が項目ごとに反映させるまで、データレコードは変更されません。なぜこの仕組みがより良いデータをもたらすのかについては、サプライヤーの調達先に関する当社の記事をご覧ください。
4. 各ユーザーは自身のフィールドのみを確認・検証できます
一般ユーザーには公開パスポート ### が表示され、修理業者にはさらにいくつかのフィールドが表示され、行政機関にはすべての情報が表示されます。 閲覧権限のないフィールドは、そのユーザーの画面には一切表示されません。各フィールドを個別に署名しているため（W3C ecdsa-sd-2023）、追加で公開されたフィールドであっても、オフラインでお客様の鍵に対して検証が行われます。 「Bring Your Own Key」をご利用いただくと、お客様ご自身の署名サービスを通じて署名を行うため、秘密鍵はお客様の手元に残り、当社が後からフィールドを勝手に追加することはできません。
5. AIアシスタントはお客様のためだけに動作します
AIプロバイダーはお客様ご自身で選択いただけます。欧州のプロバイダーが選択肢の上位に挙がっていますが、自社開発のモデルを利用することも可能です。アプリケーションマネージャーにおけるアシスタントからのリクエストは、お客様のブラウザからプロバイダーへ直接送信され、お客様のやり取りが当社のサーバーに届くことはありません。アシスタントの権限は、それを利用するユーザー以上のものには決してならず、公開にはお客様の承認が必要です。
6. いつでも解約可能です
ご契約プランは毎月解約可能です。 すべてのデータは、CSV、XLSX、JSON-LD、またはSQL形式でエクスポートできるほか、REST-APIを介して取得することも可能です。これらは、他のDPPアプリケーションや、購買、製造、開発の各部門での活用に役立ちます。「Pass」は、Transpareoのブランド表示なしに、お客様のドメイン下に表示されます。また、表示用アプリ「Transpareo Time Machine」はオープンソースです。
| 項目 | 保護される内容 |
|---|---|
| インポート | ERP、MES、PIM、PLMへのアクセス |
| データ管理 | 他のお客様および弊社に対するお客様のデータ |
| サプライチェーン | お客様のサプライヤーおよびその上流サプライヤーの調達先 |
| 開示 | 特定の閲覧者グループには開示されないフィールド |
| AIアシスタント | お客様の会話内容およびプロバイダーの選択 |
| 解約 | Transpareoからの独立性 |
当社が意図的に確認しない事項、およびそれにかかるコスト
これらの制限の一部は、当社にも適用されます。 弊社は、お客様のソースシステムへのアクセス権限を一切持っておりません。AIアシスタントとの会話内容は、弊社のサーバーを経由しないため、閲覧することはできません。また、お客様のサプライヤーが誰に問い合わせたかについても把握しておりません。さらに、お客様の鍵を使用しても、お客様に代わってデータに署名することはできません。
これには代償が伴いますが、弊社はその点を率直にお伝えいたします。 お客様は、サプライチェーン内の誰がどの質問に回答したのかという全体像を把握できなくなります。アシスタントとの会話履歴は、その会話が行われたブラウザ内にのみ保存されます。私たちは、これら両方が妥当な代償であると考えています。
プラットフォームが見えないものは、失うことも、活用することも、開示することもできません。
これは契約上も明記されています。Transpareoは、EU標準契約条項に基づく委託処理契約に従い、お客様の指示のみに基づいて個人データを処理し、お客様の製品データについては、当社の利用規約に基づき、お客様がプラットフォーム上で指定した通りに、ドイツ国内のサーバー上で処理いたします。 解約後に削除をご請求いただいた場合、お客様のワークスペースのアクセスキーは破棄され、データベースには、法律で義務付けられている通り、公開済みのパスポートにアクセスできる状態を維持するために必要なデータのみが残ります。 お客様のパスポートがEU登録簿に登録されると、その各バージョンは、規定のアーカイブにも保存され、通常、登録から10年間保管されます。
次にできること
将来のパスポートに記載する各情報について、閲覧を許可する対象（一般公開、権限のある事業者、または当局のみ）を指定してください。法令で義務付けられていない情報は、パスポートに記載しないでください。その後、検討中の各DPPプロバイダーに対し、上記の6つの項目について確認してください。DPPプロバイダー選定のためのチェックリストが、そのお役に立ちます。
ご自身で確認されたい方は、登録不要で当社のデモをご利用ください。オープンなアプリケーションマネージャーとパスポートのサンプルをご覧いただけます。
この記事に関するご質問
Transpareoは私のERPへのアクセス権が必要ですか？
いいえ。お客様のシステムは、当社のインターフェースを介して承認済みのデータパッケージを送信するか、テーブルをインポートします。お客様のソースシステムへのアクセス情報は、当社には一切提供されません。
Transpareoは私のデータを見ることができますか？
Transpareoの従業員は、お客様の名前でログインした場合にのみワークスペースを開きます。このログイン情報は、お客様のセキュリティログに記録されます。AIアシスタントとの会話内容は、当社のサーバーには一切送信されません。
仕入先には、その上流の仕入先を私に開示する義務がありますか？
いいえ。彼は、お名前を明かすことなく、ご質問を転送いたします。法令により製造事業者の記載が義務付けられている場合、彼は回答の中でその事業者を明記し、その事業者はパスポートに記載されます。
行政当局には何が映り、一般市民には何が映るのでしょうか？
これは、法令で定められた範囲内で、フィールドごとに設定していただきます。各閲覧者グループには、そのグループ専用のフィールドのみが表示され、それぞれのフィールドは個別に署名されています。
解約した場合、私のデータはどうなりますか？
それらを完全にエクスポートします。削除を依頼するまで、作業領域はロックされたままとなります。公開されたパスポートは、法律で定められている通り引き続き閲覧可能です。また、EU登録簿に登録されると、そのバージョンは規定のアーカイブにも保存され、通常は登録から10年間保管されます。
