Resumo
Um Passaporte Digital do Produto (DPP), nos termos do Regulamento da UE relativo à conceção ecológica (ESPR) ou do Regulamento relativo às baterias, deve indicar a composição de um produto. Regra geral, o fabricante não é obrigado a divulgar como o produto é fabricado nem de quem adquire os materiais. As fórmulas, os parâmetros de processo e as fontes de abastecimento constituem segredos comerciais na aceção da Diretiva da UE 2016/943. No entanto, só estão protegidos se a empresa tomar medidas adequadas para garantir a sua confidencialidade, o que inclui a escolha da plataforma de DPP.
A plataforma DPP suíça Transpareo protege este conhecimento em seis aspetos:
- Não consulta sistemas de origem, como ERP ou PLM.
- Mantém cada cliente numa base de dados própria.
- Os fornecedores consultam os seus fornecedores anteriores de forma anónima.
- Cada campo de dados é assinado individualmente e possui o seu próprio nível de acesso (W3C ecdsa-sd-2023).
- As consultas de IA são enviadas diretamente do navegador para o fornecedor selecionado.
- Todos os dados podem ser exportados na íntegra, sem qualquer dependência do fornecedor.
Um passaporte do produto deve indicar o que um produto contém, não como o fabrica nem a quem o adquire. Onde a Transpareo traça esta fronteira, explicado em seis pontos.
Um caso prático
Um fabricante de média dimensão produz sistemas de baterias para empilhadores. A partir de fevereiro de 2027, cada sistema que lançar no mercado terá de possuir um passaporte do produto. Os dados necessários já se encontram disponíveis há muito tempo, no ERP, no PLM e nos protocolos de inspeção da produção.
No entanto, o diretor executivo hesita. Um fornecedor pretende acesso de leitura ao ERP. Outro solicita, no formulário de fornecedores, o nome e a morada do fabricante das células. E o material do cátodo é adquirido a uma única empresa, que até agora nenhum concorrente conhece.
A sua preocupação é justificada. Quem concede acesso aos sistemas de origem revela mais do que apenas o passaporte. Quem introduz fontes de abastecimento numa plataforma torna-se substituível. E quem agrupa dados junto de um fornecedor tem de confiar nesse fornecedor.
O que o passaporte exige e o que não exige
Um passaporte de produto não revela o mesmo a todos. O Regulamento relativo às baterias distingue três grupos: o público em geral, pessoas com interesse legítimo, como oficinas de reparação ou empresas de reciclagem, bem como autoridades e organismos notificados. O Regulamento relativo à conceção ecológica permite igualmente que as regras aplicáveis aos restantes grupos de produtos definam quem pode aceder a quais informações.
Muito do que um fabricante pretende proteger nem sequer é exigido pelo passaporte: parâmetros de processo, condições, nomes dos fornecedores a montante, desde que o ato jurídico não os exija expressamente. O que é exigido é, muitas vezes, visível apenas por uma autoridade ou por uma empresa autorizada.
A lei está do seu lado. A Diretiva relativa à proteção dos segredos comerciais menciona expressamente as informações sobre clientes e fornecedores. Na Suíça, a Lei Federal contra a Concorrência Desleal e o Código Penal protegem os segredos de fabrico e comerciais.
Há um aspeto que é frequentemente ignorado: um segredo só está protegido ao abrigo da diretiva se tomar medidas adequadas para garantir a sua confidencialidade. A escolha da sua plataforma DPP constitui, por isso, uma dessas medidas.
Seis pontos em que a Transpareo protege o seu conhecimento
1. Os seus sistemas de origem permanecem
A Transpareo nunca consulta o seu ERP, MES, PIM ou PLM e não recebe quaisquer dados de acesso aos mesmos. O seu sistema envia um pacote de dados autorizado e, em resposta, recebe apenas confirmações: o URL do «Pass», o ID da versão, o estado de publicação e mensagens de validação. O seu conceito de segurança mantém-se, assim, simples, uma vez que os dados fluem apenas num sentido para o Pass.
2. Os seus dados estão isolados, cada acesso é limitado
Cada cliente dispõe de uma base de dados própria; informações confidenciais, como as chaves API, são encriptadas com uma chave específica para cada área de trabalho. Cada utilizador da API recebe os seus próprios dados de acesso, e tudo o que não autorizar expressamente fica bloqueado. Pode limitar o acesso a produtos, períodos de vigência e endereços IP, e revogá-lo a qualquer momento. Os colaboradores da Transpareo só acedem à sua área de trabalho através de um login que consta no seu protocolo de segurança.
3. As fontes de abastecimento permanecem com o fornecedor
O seu fornecedor encaminha as suas questões aos seus próprios fornecedores, através de quantos níveis forem necessários e, se assim o desejar, sem mencionar a sua marca nem o seu produto. Não verá a quem foram dirigidas as questões, apenas o número de pedidos de informação encaminhados. Cada pedido de informação está protegido por um PIN, e cada resposta é apresentada como uma sugestão, só alterando o seu registo de dados quando a aceitar campo a campo. A razão pela qual isto proporciona dados de melhor qualidade está explicada no nosso artigo sobre as fontes de abastecimento dos seus fornecedores.
4. Cada um vê apenas os seus campos e pode verificá-los
O público em geral vê o registo público, uma oficina de reparação vê mais alguns campos e uma entidade administrativa vê tudo. Os campos aos quais um leitor não tem acesso estão completamente ausentes na sua visualização. Como assinamos cada campo individualmente (W3C ecdsa-sd-2023), mesmo um campo adicionalmente divulgado é verificado offline com base na sua chave. Com o «Bring Your Own Key», assina através de um serviço de assinatura próprio, a chave privada permanece consigo e não podemos inventar nenhum campo posteriormente.
5. O assistente de IA trabalha exclusivamente para si
É o senhor/a senhora que escolhe o fornecedor de IA; os fornecedores europeus estão em destaque na seleção, sendo também possível utilizar um modelo desenvolvido internamente. As solicitações do assistente no Gestor de Aplicações são enviadas diretamente do seu navegador para o fornecedor, e as suas conversas nunca chegam aos nossos servidores. O assistente nunca tem mais direitos do que a pessoa que o utiliza, e a publicação aguarda a sua autorização.
6. Pode cancelar a qualquer momento
O seu plano é rescindível mensalmente. Pode exportar todos os dados em formato CSV, XLSX, JSON-LD ou SQL, ou obtê-los através da API REST, para outra aplicação DPP ou para as áreas de compras, produção e desenvolvimento. O Pass aparece no seu domínio, sem a marca Transpareo, e a aplicação de visualização Transpareo Time Machine é de código aberto.
| Área | O que permanece protegido |
|---|---|
| Importação | Acesso a ERP, MES, PIM e PLM |
| Armazenamento de dados | Os seus dados em relação a outros clientes e em relação a nós |
| Cadeia de abastecimento | Fontes de abastecimento dos seus fornecedores e dos seus subfornecedores |
| Divulgação | Campos aos quais um grupo de leitores não tem acesso |
| Assistente de IA | As suas conversas e a sua escolha do fornecedor |
| Rescisão | A sua independência em relação à Transpareo |
O que deliberadamente não vemos e o que isso implica
Algumas destas restrições aplicam-se também a nós. Não dispomos de dados de acesso aos seus sistemas de origem. Não lemos as suas conversas com o assistente de IA, porque estas nunca chegam aos nossos servidores. Não vemos a quem os seus fornecedores solicitaram informações. E, com a sua própria chave, não podemos assinar nenhum valor em seu nome.
Isto tem o seu preço, e nós indicamo-lo abertamente. Perde a visão global sobre quem, na sua cadeia de abastecimento, respondeu a cada pergunta. O histórico das suas conversas com o assistente fica apenas no navegador em que as realizou. Consideramos que ambos são o preço justo.
O que uma plataforma não vê, não pode perder, nem explorar, nem divulgar.
Isto também está estipulado contratualmente. A Transpareo trata os dados pessoais ao abrigo de um contrato de subcontratação, com base nas cláusulas contratuais-tipo da UE, apenas sob as suas instruções, e os seus dados de produto, de acordo com os nossos Termos e Condições Gerais, tal como os definir na plataforma, em servidores localizados na Alemanha. Caso solicite a eliminação após a rescisão, a chave da sua área de trabalho será destruída e, da sua base de dados, permanecerá apenas o necessário para manter acessíveis os seus passaportes publicados, tal como exigido pela lei. Assim que os seus passaportes estiverem registados no Registo da UE, as respetivas versões serão adicionalmente arquivadas no arquivo prescrito, normalmente durante dez anos a contar do registo.
O que pode fazer a seguir
Defina, para cada dado do seu futuro passaporte, quem pode aceder ao mesmo: o público em geral, empresas autorizadas ou apenas as autoridades. O que a legislação não exigir não deve constar no passaporte. Em seguida, questione cada fornecedor de DPP que estiver a avaliar sobre os seis pontos acima referidos. A nossa lista de verificação para a escolha de um fornecedor de DPP ajuda-o nesse processo.
Quem quiser ver por si próprio, pode aceder à nossa demonstração sem necessidade de registo: um gestor de aplicações aberto e passaportes de exemplo.
Perguntas sobre este artigo
A Transpareo necessita de acesso ao meu ERP?
Não. O seu sistema envia um pacote de dados autorizado através da nossa interface, ou importa uma tabela. Nunca recebemos os dados de acesso aos seus sistemas de origem.
A Transpareo pode aceder aos meus dados?
Os colaboradores da Transpareo só acedem a um espaço de trabalho através de um início de sessão em seu nome, que fica registado no seu registo de segurança. As suas conversas com o assistente de IA nunca chegam aos nossos servidores.
O meu fornecedor é obrigado a indicar-me os seus fornecedores anteriores?
Não. Ele transmite as suas perguntas sem mencionar nomes. Se o ato jurídico exigir a indicação de uma unidade de produção, ele menciona-a na sua resposta, e essa unidade consta do passaporte.
O que vê uma autoridade e o que vê o público?
Deve definir isso campo a campo, dentro dos limites estabelecidos pelo ato jurídico. Cada grupo de leitores vê apenas os seus campos, e cada um deles é assinado individualmente.
O que acontece aos meus dados se eu rescindir o contrato?
Irá exportá-los na íntegra. A área de trabalho permanecerá bloqueada até que solicite a eliminação. Os seus passaportes publicados permanecerão acessíveis, tal como exigido por lei, e, assim que forem registados no registo da UE, as respetivas versões ficarão também arquivadas no arquivo previsto, normalmente durante dez anos a contar do registo.
