Państwa karta produktu, Państwa tajemnice

Podsumowanie

Cyfrowy paszport produktu (DPP) sporządzony zgodnie z rozporządzeniem UE w sprawie ekoprojektu (ESPR) lub rozporządzeniem w sprawie baterii musi zawierać informacje o składzie produktu. Zasadniczo producent nie ma obowiązku ujawniania sposobu wytwarzania produktu ani dostawców, od których dokonuje zakupów. Receptury, parametry procesowe i źródła zaopatrzenia stanowią tajemnice handlowe w rozumieniu dyrektywy UE 2016/943. Są one jednak chronione tylko wtedy, gdy przedsiębiorstwo podejmuje odpowiednie środki w celu zapewnienia ich poufności, a jednym z nich jest wybór platformy DPP.

Szwajcarska platforma DPP Transpareo chroni tę wiedzę na sześciu płaszczyznach:

1. Nie wysyła zapytań do systemów źródłowych, takich jak ERP czy PLM.
2. Każdy klient jest przechowywany w oddzielnej bazie danych.
3. Dostawcy wysyłają anonimowe zapytania do swoich poddostawców.
4. Każde pole danych jest indywidualnie podpisane i posiada własny poziom dostępu (W3C ecdsa-sd-2023).
5. Zapytania generowane przez sztuczną inteligencję są kierowane bezpośrednio z przeglądarki do wybranego dostawcy.
6. Wszystkie dane można w całości wyeksportować bez ryzyka uzależnienia od jednego dostawcy.

Paszport produktu ma na celu pokazanie, co znajduje się w produkcie, a nie tego, w jaki sposób go Państwo wytwarzają ani od kogo Państwo dokonują zakupów. W sześciu punktach wyjaśniamy, gdzie firma Transpareo wyznacza tę granicę.

Przykład z praktyki

Średniej wielkości producent zajmuje się produkcją systemów akumulatorowych do wózków widłowych. Od lutego 2027 r. każdy nowy system wprowadzany przez niego na rynek będzie wymagał paszportu produktu. Dane niezbędne do jego sporządzenia są już od dawna dostępne - w systemie ERP, PLM oraz w protokołach kontroli z procesu produkcji.

Mimo to dyrektor generalny ma wątpliwości. Jeden z dostawców domaga się uprawnień do odczytu danych w systemie ERP. Inny prosi w formularzu dostawcy o podanie nazwy i adresu producenta ogniw. A materiał katodowy pozyskuje on od jednej firmy, o której dotychczas żaden konkurent nie wie.

Jego obawy są uzasadnione. Kto udziela dostępu do systemów źródłowych, ujawnia więcej niż sam paszport. Kto wprowadza źródła zaopatrzenia do platformy, naraża się na ryzyko zastąpienia. A kto skupia dane u jednego dostawcy, musi mu zaufać.

Czego wymaga paszport, a czego nie

Paszport produktu nie pokazuje wszystkim tego samego. Rozporządzenie w sprawie baterii wyróżnia trzy grupy: ogół społeczeństwa, osoby o uzasadnionym interesie, takie jak warsztaty naprawcze lub podmioty zajmujące się recyklingiem, a także organy administracji i jednostki notyfikowane. Rozporządzenie w sprawie ekoprojektu pozwala również określić, kto może uzyskać dostęp do poszczególnych informacji w odniesieniu do pozostałych grup produktów.

Wiele informacji, które producent pragnie chronić, nie jest w ogóle wymaganych w paszporcie: parametry procesowe, warunki, nazwy dostawców, o ile akt prawny nie wymaga ich wyraźnie. To, co jest wymagane, często widzi jedynie organ administracji lub uprawniony podmiot.

Prawo jest w tej kwestii po Państwa stronie. Europejska dyrektywa w sprawie ochrony tajemnic handlowych wyraźnie wymienia informacje dotyczące klientów i dostawców. W Szwajcarii ochronę zapewniają federalna ustawa o zwalczaniu nieuczciwej konkurencji oraz Kodeks karny tajemnice produkcyjne i handlowe.

Często pomija się przy tym jedną kwestię: zgodnie z dyrektywą tajemnica jest chroniona tylko wtedy, gdy podejmą Państwo odpowiednie środki w celu jej zachowania. Wybór platformy DPP jest zatem sam w sobie takim środkiem.

Sześć obszarów, w których Transpareo chroni Państwa wiedzę

1. Państwa systemy źródłowe pozostają

Transpareo nigdy nie wysyła zapytań do Państwa systemów ERP, MES, PIM lub PLM i nie otrzymuje danych dostępowych do nich. Państwa system przesyła zatwierdzony pakiet danych, a w odpowiedzi otrzymuje jedynie potwierdzenia: adres URL paszportu, identyfikator wersji, status publikacji oraz komunikaty dotyczące walidacji. Dzięki temu Państwa koncepcja bezpieczeństwa pozostaje prosta, ponieważ dane przepływają do Passu wyłącznie w jednym kierunku.

2. Państwa dane są przechowywane oddzielnie, a każdy dostęp jest ograniczony

Każdy klient posiada własną bazę danych, a poufne informacje, takie jak klucze API, są szyfrowane za pomocą unikalnego klucza dla każdego obszaru roboczego. Każdy użytkownik API otrzymuje własne dane dostępowe, a dostęp do wszystkiego, na co nie wyrazi Pan wyraźnej zgody, jest zablokowany. Dostęp można ograniczyć do określonych produktów, okresu obowiązywania oraz adresów IP, a także cofnąć go w dowolnym momencie. Pracownicy firmy Transpareo uzyskują dostęp do Państwa obszaru roboczego wyłącznie poprzez logowanie zgodne z Pańskim protokołem bezpieczeństwa.

3. Źródła zaopatrzenia pozostają w gestii dostawcy

Państwa dostawca przekazuje Państwa zapytania swoim własnym dostawcom, na dowolnej liczbie poziomów i, na Państwa życzenie, bez podawania Państwa marki ani produktu. Nie widzą Państwo, do kogo skierowano zapytanie, a jedynie liczbę przekazanych zapytań. Każde zapytanie jest chronione kodem PIN, a każda odpowiedź pojawia się jako propozycja i zmienia Państwa rekord danych dopiero wtedy, gdy przejmą Państwo ją pole po polu. Dlaczego właśnie to zapewnia lepsze dane, wyjaśniono w naszym artykule na temat źródeł zaopatrzenia Państwa dostawców.

4. Każdy widzi tylko swoje pola i może je sprawdzić

Ogół społeczeństwa widzi paszport publiczny, warsztat naprawczy - kilka dodatkowych pól, a organ administracji - wszystkie dane. Pola, do których czytelnik nie ma uprawnień, są w ogóle niedostępne w jego widoku. Ponieważ każde pole podpisujemy osobno (W3C ecdsa-sd-2023), nawet dodatkowo ujawnione pole jest weryfikowane w trybie offline przy użyciu Państwa klucza. Dzięki opcji „Bring Your Own Key” podpisują Państwo za pośrednictwem własnej usługi podpisywania, klucz prywatny pozostaje w Państwa posiadaniu, a my nie możemy dodawać żadnych pól po fakcie.

5. Asystent oparty na sztucznej inteligencji pracuje wyłącznie dla Państwa

To Państwo wybierają dostawcę rozwiązań opartych na sztucznej inteligencji; w ofercie na pierwszym miejscu znajdują się dostawcy europejscy, możliwe jest również wykorzystanie własnego modelu. Zapytania asystenta w menedżerze aplikacji są przesyłane bezpośrednio z Państwa przeglądarki do dostawcy, a Państwa rozmowy nigdy nie trafiają na nasze serwery. Asystent nigdy nie ma większych uprawnień niż osoba, która z niego korzysta, a publikacja wymaga Państwa zgody.

6. W każdej chwili mogą Państwo zrezygnować

Państwa abonament można wypowiedzieć z miesięcznym wyprzedzeniem. Wszystkie dane mogą Państwo wyeksportować w formacie CSV, XLSX, JSON-LD lub SQL albo pobrać za pośrednictwem REST-API - na potrzeby innej aplikacji DPP lub do celów zakupów, produkcji i rozwoju. Aplikacja Pass pojawia się pod Państwa domeną, bez oznaczeń marki Transpareo, a aplikacja wyświetlająca Transpareo Time Machine jest oprogramowaniem typu open source.

Obszar	Co pozostaje chronione
Import	Dostęp do systemów ERP, MES, PIM i PLM
Przechowywanie danych	Państwa dane w stosunku do innych klientów oraz w stosunku do nas
Łańcuch dostaw	Źródła zaopatrzenia Państwa dostawców oraz ich poddostawców
Ujawnianie	Pola, do których dana grupa odbiorców nie ma uprawnień
Asystent AI	Państwa rozmowy oraz wybór dostawcy
Rezygnacja	Państwa niezależność od Transpareo

Czego świadomie nie widzimy i ile to kosztuje

Niektóre z tych ograniczeń dotyczą również nas. Nie posiadamy danych dostępowych do Państwa systemów źródłowych. Nie czytamy Państwa rozmów z asystentem AI, ponieważ nigdy nie trafiają one na nasze serwery. Nie widzimy, do kogo zwrócili się Państwa dostawcy. Nie możemy też podpisać żadnej wartości w Państwa imieniu przy użyciu Państwa klucza.

Ma to swoją cenę, którą otwarcie podajemy. Traci Pan/Pani orientację w tym, kto w Państwa łańcuchu dostaw udzielił odpowiedzi na dane pytanie. Historia Państwa rozmów z asystentem znajduje się wyłącznie w przeglądarce, w której je Państwo prowadzili. Uważamy, że obie te rzeczy stanowią słuszną cenę.

Tego, czego platforma nie widzi, nie może ani utracić, ani wykorzystać, ani ujawnić.

Zostało to również zapisane w umowie. Dane osobowe są przetwarzane przez Transpareo na podstawie umowy o przetwarzaniu danych zgodnie ze standardowymi klauzulami umownymi UE, wyłącznie zgodnie z Państwa instrukcjami, a dane dotyczące Państwa produktów - zgodnie z naszymi Ogólnymi Warunkami Handlowymi, tak jak określili Państwo to na platformie - na serwerach w Niemczech. Jeśli po wypowiedzeniu umowy zażądają Państwo usunięcia danych, klucz do Państwa obszaru roboczego zostanie zniszczony, a z Państwa bazy danych pozostaną jedynie te elementy, które zapewniają dostęp do opublikowanych przez Państwa paszportów, zgodnie z wymogami prawa. Gdy tylko Państwa certyfikaty zostaną zarejestrowane w rejestrze UE, ich wersje będą dodatkowo przechowywane w wymaganym archiwum, zazwyczaj przez dziesięć lat od daty rejestracji.

Co mogą Państwo zrobić dalej

Dla każdej informacji zawartej w Państwa przyszłym paszporcie proszę określić, kto może ją przeglądać: opinia publiczna, uprawnione przedsiębiorstwa lub wyłącznie organy władzy. To, czego nie wymaga akt prawny, nie powinno znaleźć się w paszporcie. Następnie proszę zapytać każdego dostawcę DPP, którego Państwo rozważają, o sześć punktów wymienionych powyżej. Pomocna w tym będzie nasza lista kontrolna dotycząca wyboru dostawcy DPP.

Osoby, które chcą zapoznać się z tym samodzielnie, mogą otworzyć naszą wersję demonstracyjną bez konieczności rejestracji: otwarty menedżer aplikacji oraz przykładowe paszporty.