Sammendrag
Et digitalt produktpass (DPP) i henhold til EUs økodesignforordning (ESPR) eller batteriforordningen må vise hva et produkt inneholder. Hvordan det produseres og hvem produsenten kjøper inn fra, trenger han som regel ikke å oppgi. Formler, prosessparametere og innkjøpskilder er forretningshemmeligheter i henhold til EU-direktiv 2016/943. De er imidlertid kun beskyttet dersom bedriften iverksetter passende tiltak for å sikre konfidensialiteten, og dette inkluderer valg av DPP-plattform.
Den sveitsiske DPP-plattformen Transpareo beskytter denne kunnskapen på seks måter:
- Den henter ikke informasjon fra kildesystemer som ERP eller PLM.
- Den oppbevarer hver kunde i en egen database.
- Leverandører forespør sine underleverandører anonymt.
- Hvert datafelt er signert individuelt og har sitt eget tilgangsnivå (W3C ecdsa-sd-2023).
- AI-forespørsler går direkte fra nettleseren til den valgte leverandøren.
- Alle data kan eksporteres i sin helhet, uten lock-in.
Et produktpass skal vise hva et produkt inneholder, ikke hvordan du produserer det eller hvem du kjøper det fra. Her forklarer Transpareo på seks punkter hvor denne grensen går.
Et eksempel fra praksis
En mellomstor produsent bygger batterisystemer for gaffeltrucker. Fra februar 2027 må hvert system han lanserer på markedet ha et produktpass. Dataene til dette finnes allerede i ERP-systemet, i PLM-systemet og i produksjonens testprotokoller.
Likevel nøler daglig lederen. En leverandør ønsker lesetilgang til ERP-systemet. En annen ber i leverandørskjemaet om navn og adresse på celleprodusenten. Og katodematerialet henter han fra én enkelt bedrift, som ingen konkurrenter kjenner til så langt.
Hans bekymring er berettiget. Den som gir tilgang til kildesystemene, gir fra seg mer enn bare passet. Den som legger inn leverandørkilder i en plattform, gjør seg selv erstattbar. Og den som samler data hos én leverandør, må stole på denne leverandøren.
Hva passet krever, og hva det ikke krever
Et produktpass viser ikke det samme for alle. Batteriforordningen skiller mellom tre grupper: allmennheten, personer med berettiget interesse, som reparasjonsverksteder eller gjenvinningsbedrifter, samt myndigheter og notifiserte organer. Økodesignforordningen lar reglene for de øvrige produktgruppene også fastsette hvem som har tilgang til hvilke opplysninger.
Mye av det en produsent ønsker å beskytte, krever passet slett ikke: prosessparametere, betingelser, navnene på underleverandører, så lenge lovgivningen ikke uttrykkelig krever det. Det passet krever, er ofte kun synlig for en myndighet eller en berettiget virksomhet.
Loven er på din side i denne sammenhengen. Den europeiske direktivet om beskyttelse av forretningshemmeligheter nevner uttrykkelig informasjon om kunder og leverandører. I Sveits beskyttes slik informasjon av den føderale loven mot urettferdig konkurranse og straffeloven produksjons- og forretningshemmeligheter.
Det er imidlertid én ting som ofte overses: I henhold til direktivet er en hemmelighet kun beskyttet dersom du iverksetter rimelige tiltak for å holde den hemmelig. Valget av DPP-plattform er derfor i seg selv et slikt tiltak.
Seks områder der Transpareo beskytter din kunnskap
1. Kildesystemene dine forblir
Transpareo forespørrer aldri ERP-, MES-, PIM- eller PLM-systemene dine og får ikke tilgang til dem. Systemet ditt sender inn en godkjent datapakke, og det eneste du får tilbake er bekreftelser: passets URL, versjons-ID, publiseringsstatus og valideringsmeldinger. Sikkerhetskonseptet ditt forblir dermed enkelt, fordi dataene kun flyter i én retning inn i passet.
2. Dataene dine lagres separat, og all tilgang er begrenset
Hver kunde har sin egen database, og hemmeligheter som API-nøkler krypteres med en egen nøkkel for hvert arbeidsområde. Hver API-bruker får egne påloggingsopplysninger, og alt du ikke uttrykkelig tillater, er sperret. Du kan begrense tilgangen til bestemte produkter, tidsperioder og IP-adresser, og du kan tilbakekalle den når som helst. Ansatte hos Transpareo får kun tilgang til arbeidsområdet ditt via en pålogging som er angitt i sikkerhetsprotokollen din.
3. Innkjøpskilder forblir hos leverandøren
Leverandøren din videresender spørsmålene dine til sine egne leverandører, gjennom så mange ledd som ønskelig og, hvis du ønsker det, uten å oppgi merkevaren eller produktet ditt. Du ser ikke hvem som er blitt spurt, bare hvor mange forespørsler som er videresendt. Hver forespørsel er beskyttet med en PIN-kode, og hvert svar kommer som et forslag og endrer ikke oppføringen din før du overfører det felt for felt. Hvorfor nettopp dette gir bedre data, kan du lese i vår artikkel om leverandørenes innkjøpskilder.
4. Alle ser bare sine egne felt og kan kontrollere dem
Allmennheten ser det offentlige passet, et reparasjonsverksted ser noen få felt til, mens en myndighet ser alt. Felter som en leser ikke har tilgang til, mangler helt i vedkommendes visning. Fordi vi signerer hvert felt enkeltvis (W3C ecdsa-sd-2023), blir også et ekstra offentliggjort felt sjekket offline mot nøkkelen din. Med «Bring Your Own Key» signerer du via din egen signaturtjeneste, den private nøkkelen forblir hos deg, og vi kan ikke oppfinne et felt i etterkant.
5. AI-assistenten jobber utelukkende for deg
Du velger AI-leverandøren; europeiske leverandører står øverst på listen, og det er også mulig å bruke en egenutviklet modell. Forespørslene fra assistenten i applikasjonsbehandleren går direkte fra nettleseren din til leverandøren, og samtalene dine når aldri serverne våre. Assistenten har aldri flere rettigheter enn personen som bruker den, og publisering avhenger av din godkjenning.
6. Du kan si opp når som helst
Abonnementet ditt kan sies opp hver måned. Du kan eksportere alle dataene som CSV, XLSX, JSON-LD eller SQL, eller hente dem via REST-API, enten til en annen DPP-applikasjon eller til innkjøp, produksjon og utvikling. Passet vises under ditt domene, uten Transpareo-merkevare, og visningsappen Transpareo Time Machine er åpen kildekode.
| Område | Hva forblir beskyttet |
|---|---|
| Import | Tilgang til ERP, MES, PIM og PLM |
| Datahåndtering | Dine data i forhold til andre kunder og i forhold til oss |
| Forsyningskjede | Innkjøpskilder til dine leverandører og deres underleverandører |
| Offentliggjøring | Felter som en lesergruppe ikke har rett til å se |
| AI-assistent | Samtalene dine og valg av leverandør |
| Utreden | Din uavhengighet fra Transpareo |
Hva vi bevisst ikke ser, og hva det koster
Noen av disse begrensningene gjelder også for oss. Vi har ikke tilgang til kildesystemene dine. Vi leser ikke samtalene dine med AI-assistenten, fordi de aldri når serverne våre. Vi ser ikke hvem leverandørene dine har henvendt seg til. Og med din egen nøkkel kan vi ikke signere noen verdier på dine vegne.
Dette har sin pris, og vi oppgir den åpent. Du mister oversikten over hvem i leverandørkjeden din som har svart på hvilke spørsmål. Historikken over samtalene dine med assistenten finnes kun i nettleseren der du har ført dem. Vi anser begge deler som en rimelig pris.
Det en plattform ikke ser, kan den verken miste, utnytte eller videreformidle.
Dette er også fastsatt i avtalen. Transpareo behandler personopplysninger i henhold til en databehandleravtale basert på EUs standardavtaleklausuler, kun etter dine instruksjoner, og produktdataene dine i henhold til våre generelle forretningsvilkår, slik du angir det i plattformen, på servere i Tyskland. Dersom du etter oppsigelsen ber om sletting, vil nøkkelen til arbeidsområdet ditt bli ødelagt, og av databasen din vil det kun gjenstå det som er nødvendig for å holde dine publiserte pass tilgjengelige, slik loven krever. Så snart passene dine er registrert i EU-registeret, lagres versjonene av dem i tillegg i det foreskrevne arkivet, vanligvis i ti år fra registreringstidspunktet.
Hva du kan gjøre videre
Angi for hver opplysning i ditt fremtidige pass hvem som skal ha tilgang til den: allmennheten, autoriserte virksomheter eller kun myndigheter. Det som ikke kreves i lovverket, hører ikke hjemme i passet. Spør deretter hver DPP-leverandør du vurderer om de seks punktene ovenfor. Vår sjekkliste for valg av DPP-leverandør hjelper deg med dette.
Hvis du vil se det selv, kan du åpne vår demo uten registrering: en åpen applikasjonsmanager og eksempelpass.
Spørsmål om dette innlegget
Trenger Transpareo tilgang til ERP-systemet mitt?
Nei. Systemet deres sender inn en godkjent datapakke via grensesnittet vårt, eller så importerer dere en tabell. Vi får aldri tilgang til påloggingsopplysningene til kildesystemene deres.
Kan Transpareo se opplysningene mine?
Ansatte hos Transpareo åpner et arbeidsområde kun ved å logge seg på i ditt navn, noe som registreres i sikkerhetsloggen din. Samtalene dine med AI-assistenten når aldri serverne våre.
Må leverandøren min oppgi navnene på sine underleverandører?
Nei. Han videreformidler spørsmålene dine uten å oppgi navn. Hvis lovverket krever opplysning om en produksjonsbedrift, nevner han den i svaret sitt, og bedriften blir oppført i passet.
Hva ser myndighetene, og hva ser allmennheten?
Dette angir du for hvert felt, innenfor rammen av det som lovverket foreskriver. Hver lesergruppe ser bare sine egne felt, og hvert av disse er signert for seg.
Hva skjer med opplysningene mine hvis jeg sier opp abonnementet?
Du eksporterer dem i sin helhet. Arbeidsområdet forblir sperret inntil du ber om sletting. Dine publiserte pass forblir tilgjengelige, slik loven krever, og så snart de er registrert i EU-registeret, blir versjonene av dem i tillegg lagret i det foreskrevne arkivet, vanligvis i ti år fra registreringstidspunktet.
