Samenvatting
Een digitaal productpaspoort (DPP) overeenkomstig de EU-verordening inzake ecologisch ontwerp (ESPR) of de batterijverordening moet aangeven wat er in een product zit. Hoe het wordt vervaardigd en bij wie de fabrikant zijn grondstoffen inkoopt, hoeft hij in de regel niet openbaar te maken. Formules, procesparameters en leveranciers zijn bedrijfsgeheimen in de zin van EU-richtlijn 2016/943. Deze zijn echter alleen beschermd als de onderneming passende maatregelen neemt om de geheimhouding ervan te waarborgen, en daar hoort de keuze van het DPP-platform bij.
Het Zwitserse DPP-platform Transpareo beschermt deze kennis op zes punten:
- Het raadpleegt geen bronsystemen zoals ERP of PLM.
- Het bewaart elke klant in een eigen database.
- Leveranciers raadplegen hun toeleveranciers anoniem.
- Elk gegevensveld is afzonderlijk ondertekend en heeft een eigen toegangsniveau (W3C ecdsa-sd-2023).
- AI-verzoeken gaan rechtstreeks vanuit de browser naar de gekozen aanbieder.
- Alle gegevens kunnen volledig worden geëxporteerd, zonder lock-in.
Een productpas moet laten zien wat er in een product zit, niet hoe u het produceert en bij wie u inkoopt. Waar Transpareo deze grens trekt, wordt op zes punten toegelicht.
Een praktijkvoorbeeld
Een middelgrote fabrikant bouwt accusystemen voor vorkheftrucks. Vanaf februari 2027 heeft elk systeem dat hij nieuw op de markt brengt een productpas nodig. De gegevens hiervoor zijn al lang beschikbaar, in het ERP-systeem, in het PLM-systeem en in de testrapporten van de productie.
Toch aarzelt de directeur. Een leverancier wil leestoegang tot het ERP-systeem. Een andere vraagt in het leveranciersformulier om de naam en het adres van de celproducent. En het kathodemateriaal betrekt hij van één enkel bedrijf, dat tot nu toe bij geen enkele concurrent bekend is.
Zijn bezorgdheid is terecht. Wie toegang verleent tot de bronsystemen, geeft meer prijs dan alleen het paspoort. Wie leveranciersbronnen in een platform invoert, maakt zichzelf vervangbaar. En wie gegevens bij één leverancier bundelt, moet die leverancier vertrouwen.
Wat het paspoort vereist, en wat niet
Een productpaspoort toont niet aan iedereen hetzelfde. De batterijverordening onderscheidt drie groepen: het publiek, personen met een gerechtvaardigd belang, zoals reparatiebedrijven of recyclers, en overheidsinstanties en aangemelde instanties. De verordening inzake ecologisch ontwerp bepaalt eveneens voor de overige productgroepen wie welke gegevens mag inzien.
Veel van wat een fabrikant wil beschermen, wordt door het paspoort helemaal niet geëist: procesparameters, voorwaarden, de namen van toeleveranciers, zolang de wetgeving dit niet uitdrukkelijk voorschrijft. Wat wel wordt geëist, is vaak alleen zichtbaar voor een overheidsinstantie of een bevoegd bedrijf.
De wet staat daarbij aan uw kant. De Europese richtlijn inzake de bescherming van bedrijfsgeheimen noemt informatie over klanten en leveranciers uitdrukkelijk. In Zwitserland biedt de federale wet tegen oneerlijke concurrentie en het Wetboek van Strafrecht fabrieks- en bedrijfsgeheimen.
Eén aspect wordt daarbij vaak over het hoofd gezien: een geheim is volgens de richtlijn alleen beschermd als u passende maatregelen neemt om het geheim te houden. De keuze voor uw DPP-platform is daarom op zich al een dergelijke maatregel.
Zes punten waarop Transpareo uw kennis beschermt
1. Uw bronsystemen blijven
Transpareo vraagt nooit gegevens op uit uw ERP-, MES-, PIM- of PLM-systeem en krijgt geen toegangsgegevens daarvoor. Uw systeem verstuurt een vrijgegeven gegevenspakket en ontvangt alleen bevestigingen terug: de URL van de pas, de versie-ID, de publicatiestatus en validatiemeldingen. Uw beveiligingsconcept blijft daardoor eenvoudig, omdat de gegevens slechts in één richting naar de Pass stromen.
2. Uw gegevens worden gescheiden opgeslagen; elke toegang is beperkt
Elke klant beschikt over een eigen database; vertrouwelijke gegevens zoals API-sleutels worden per werkruimte met een eigen sleutel versleuteld. Elke API-gebruiker ontvangt eigen inloggegevens, en alles wat u niet uitdrukkelijk toestaat, is geblokkeerd. U kunt de toegang beperken tot producten, looptijd en IP-adressen en deze te allen tijde intrekken. Medewerkers van Transpareo openen uw werkruimte uitsluitend via een aanmelding die in uw beveiligingsprotocol is vastgelegd.
3. Leveranciers blijven de bronnen van uw inkoop
Uw leverancier geeft uw vragen door aan zijn eigen leveranciers, via een willekeurig aantal tussenstappen en desgewenst zonder vermelding van uw merk en uw product. U ziet niet aan wie de vraag is gesteld, maar alleen hoeveel aanvragen zijn doorgegeven. Elke aanvraag is beveiligd met een pincode, en elk antwoord wordt als voorstel aangeboden en wijzigt uw gegevens pas wanneer u het veld voor veld overneemt. Waarom juist dit tot betere gegevens leidt, leest u in ons artikel over de leveranciersbronnen van uw leveranciers.
4. Iedereen ziet alleen zijn eigen velden en kan deze controleren
Het grote publiek ziet het openbare dossier, een reparatiebedrijf ziet enkele velden meer, een overheidsinstantie ziet alles. Velden waarop een lezer geen recht heeft, ontbreken volledig in zijn weergave. Omdat wij elk veld afzonderlijk ondertekenen (W3C ecdsa-sd-2023), wordt ook een extra openbaar gemaakt veld offline gecontroleerd aan de hand van uw sleutel. Met „Bring Your Own Key“ ondertekent u via een eigen ondertekeningsdienst; de privésleutel blijft bij u en wij kunnen achteraf geen veld verzinnen.
5. De AI-assistent werkt uitsluitend voor u
U kiest de AI-aanbieder; Europese aanbieders staan bovenaan de lijst, maar ook een eigen model is mogelijk. De verzoeken van de assistent in de applicatiemanager gaan vanuit uw browser rechtstreeks naar de aanbieder, en uw communicatie komt nooit op onze servers terecht. De assistent heeft nooit meer rechten dan de persoon die hem gebruikt, en publicatie wacht op uw goedkeuring.
6. U kunt op elk moment opzeggen
Uw abonnement is maandelijks opzegbaar. U kunt alle gegevens exporteren als CSV, XLSX, JSON-LD of SQL, of deze ophalen via de REST-API, voor een andere DPP-toepassing of voor inkoop, productie en ontwikkeling. De Pass verschijnt onder uw domein, zonder Transpareo-branding, en de weergave-app Transpareo Time Machine is open source.
| Onderdeel | Wat beschermd blijft |
|---|---|
| Import | Toegang tot ERP, MES, PIM en PLM |
| Gegevensbeheer | Uw gegevens ten opzichte van andere klanten en ten opzichte van ons |
| Toeleveringsketen | Inkoopbronnen van uw leveranciers en hun toeleveranciers |
| Openbaarmaking | Velden waartoe een lezersgroep geen toegang heeft |
| AI-assistent | Uw gesprekken en uw keuze van de aanbieder |
| Beëindiging | Uw onafhankelijkheid van Transpareo |
Wat wij bewust niet zien, en wat dat kost
Sommige van deze beperkingen gelden ook voor ons. Wij beschikken niet over toegangsgegevens tot uw bronsystemen. Wij lezen uw gesprekken met de AI-assistent niet, omdat deze nooit onze servers bereiken. Wij zien niet aan wie uw leveranciers een verzoek hebben gericht. En met uw eigen sleutel kunnen wij geen waarde namens u ondertekenen.
Dat heeft zijn prijs, en wij benoemen die openlijk. U verliest het overzicht over wie in uw toeleveringsketen welke vraag heeft beantwoord. De geschiedenis van uw gesprekken met de assistent bevindt zich uitsluitend in de browser waarin u deze hebt gevoerd. Wij beschouwen beide als de juiste prijs.
Wat een platform niet ziet, kan het noch verliezen, noch exploiteren, noch vrijgeven.
Dit is ook contractueel vastgelegd. Transpareo verwerkt persoonsgegevens op basis van een verwerkersovereenkomst volgens de EU-standaardcontractbepalingen, uitsluitend op uw instructie, en uw productgegevens volgens onze Algemene Voorwaarden, zoals u dat op het platform vastlegt, op servers in Duitsland. Indien u na de opzegging om verwijdering verzoekt, wordt de sleutel van uw werkruimte vernietigd en blijft van uw database alleen datgene over wat uw gepubliceerde paspoorten toegankelijk houdt, zoals de wet voorschrijft. Zodra uw paspoorten bij het EU-register zijn geregistreerd, worden de versies ervan bovendien bewaard in het voorgeschreven archief, doorgaans gedurende tien jaar vanaf de registratie.
Wat u vervolgens kunt doen
Bepaal voor elk gegeven van uw toekomstige pas wie dit mag inzien: het publiek, bevoegde bedrijven of uitsluitend overheidsinstanties. Wat de wet niet voorschrijft, hoort niet in de pas thuis. Vraag vervolgens aan elke DPP-aanbieder die u in overweging neemt naar de zes bovenstaande punten. Onze checklist voor het kiezen van een DPP-aanbieder helpt u daarbij.
Wie het zelf wil bekijken, opent onze demo zonder registratie: een open applicatiemanager en voorbeeldpaspoorten.
Vragen over dit artikel
Heeft Transpareo toegang tot mijn ERP-systeem nodig?
Nee. Uw systeem verstuurt een vrijgegeven gegevenspakket via onze interface, of u importeert een tabel. Wij ontvangen nooit toegangsgegevens tot uw bronsystemen.
Kan Transpareo mijn gegevens inzien?
Medewerkers van Transpareo openen een werkruimte uitsluitend via een aanmelding op uw naam, die in uw beveiligingslogboek wordt vastgelegd. Uw gesprekken met de AI-assistent komen nooit op onze servers terecht.
Moet mijn leverancier mij zijn toeleveranciers bekendmaken?
Nee. Hij geeft uw vragen door zonder namen te noemen. Indien de wet een productiebedrijf vereist, vermeldt hij dit in zijn antwoord, en het bedrijf wordt in het paspoort vermeld.
Wat ziet een overheidsinstantie, en wat ziet het publiek?
Dat bepaalt u per veld, binnen de grenzen van wat de wet voorschrijft. Elke lezersgroep ziet alleen haar eigen velden, en elk daarvan is afzonderlijk ondertekend.
Wat gebeurt er met mijn gegevens als ik opzeg?
U exporteert ze volledig. De werkruimte blijft geblokkeerd totdat u om verwijdering verzoekt. Uw gepubliceerde paspoorten blijven toegankelijk, zoals de wet voorschrijft, en zodra ze bij het EU-register zijn geregistreerd, worden de versies ervan bovendien in het voorgeschreven archief bewaard, doorgaans tien jaar vanaf de registratie.
