DPP Series | Part 2: Kupasan Mendalam DPP: Cara Syarikat Menggunakannya, Merancang Penggunaan dan Mengintegrasikannya

Pasport Produk Digital (DPP) sering diperkenalkan sebagai keperluan maklumat produk. Bagi syarikat yang bersedia untuk menjual produk terkawal di Kesatuan Eropah, huraian itu tidak lengkap. Program DPP yang boleh dilaksanakan mesti menghubungkan data produk yang ditadbir dengan pengecam produk, organisasi yang bertanggungjawab, kawalan akses, penyerahan yang boleh disahkan dan sistem yang mengekalkan rekod dari semasa ke semasa.

Artikel kedua dalam siri DPP eSign.AI ini beralih daripada kesedaran kawal selia kepada reka bentuk operasi. Ia menerangkan di mana syarikat boleh menggunakan DPP, cara menentukan pasukan dan sistem yang harus memiliki setiap kewajipan, serta di mana tandatangan elektronik, meterai elektronik dan penyimpanan bukti boleh menyokong proses yang boleh dipercayai.

Mulakan dengan peristiwa perniagaan, bukan kod QR

Kod QR atau pembawa data lain ialah titik masuk yang kelihatan kepada pasport, tetapi ia bukan model operasi pasport. Soalan reka bentuk pertama ialah apakah peristiwa perniagaan yang mencipta atau mengubah rekod produk. Bergantung pada produk dan perundangan yang terpakai, peristiwa itu boleh berupa meletakkan produk di pasaran EU, mendaftarkan pengendali ekonomi, mengeluarkan dokumen pematuhan, mengemas kini maklumat pembaikan atau merekodkan peristiwa kitar hayat.

Setiap peristiwa memerlukan pemilik yang bertanggungjawab. Pasukan produk boleh memiliki atribut teknikal, pasukan pematuhan boleh meluluskan pernyataan terkawal, pasukan operasi boleh mengurus pengecam, dan pasukan IT boleh menghubungkan sistem sumber. Apabila tiada sesiapa memiliki peristiwa tersebut, pasport boleh menjadi latihan penerbitan statik dan bukannya rekod pematuhan yang diselenggara.

Pelan kerja ESPR Suruhanjaya Eropah membantu syarikat mengenal pasti kumpulan produk keutamaan, tetapi akta delegasi khusus produk akan menentukan data, masa dan kewajipan operasi yang terperinci.

Petakan empat lapisan kesiapsiagaan DPP

Syarikat boleh menyusun persediaan berdasarkan empat lapisan yang saling berkaitan:

1. Data produk: kenal pasti atribut yang diperlukan, sumber, pemilik data, peraturan kemas kini dan kawalan kualiti.
2. Identiti produk: tentukan pengecam produk, kelompok atau item yang unik dan hubungkannya kepada pembawa data fizikal yang betul.
3. Organisasi dan pihak berkuasa: tetapkan entiti undang-undang mana yang menyerahkan maklumat, orang atau sistem mana yang boleh bertindak bagi pihaknya, dan bagaimana hak tersebut disahkan.
4. Kepercayaan dan kesinambungan: pelihara bukti tentang siapa yang meluluskan atau menyerahkan maklumat, lindungi integriti, kawal akses dan pastikan rekod tersedia untuk tempoh yang diperlukan.

Model ini mengelakkan kesilapan perancangan yang lazim: membeli alat pasport bahagian hadapan sebelum mengesahkan sama ada syarikat boleh menghasilkan, meluluskan dan mengekalkan maklumat asas dengan boleh dipercayai.

Senario 1: penyertaan pengendali ekonomi

Sebelum sesebuah organisasi boleh menyerahkan data terkawal, sistem yang berkaitan mungkin perlu menetapkan identiti undang-undangnya dan kuasa orang atau sistem yang bertindak bagi pihaknya. Laluan yang tepat bergantung pada perundangan yang mengawal dan reka bentuk platform. Ia mungkin melibatkan kaedah pengenalan elektronik, perakuan elektronik, bukti dokumentari atau meterai elektronik berkelayakan yang disokong oleh sijil berkelayakan.

Perbezaan penting ialah antara identiti dan kebenaran. Membuktikan bahawa sesebuah syarikat wujud tidak secara automatik membuktikan bahawa pekerja tertentu, akaun perkhidmatan atau wakil luar boleh menyerahkan data bagi syarikat tersebut. Proses penyertaan yang kukuh merekodkan kedua-dua identiti organisasi dan delegasi atau peranan yang membenarkan sesuatu tindakan.

Commission Implementing Regulation (EU) 2026/1778 menyediakan contoh konkrit untuk pendaftaran DPP EU. Ia menetapkan aturan identiti dan akses untuk pengendali ekonomi dan pelaku lain, termasuk laluan jaminan tinggi untuk orang asli serta meterai elektronik berkelayakan atau perakuan elektronik untuk orang undang-undang. Pengendali ekonomi yang disahkan kekal bertanggungjawab terhadap data yang diserahkannya.

Senario 2: meluluskan dan menyerahkan maklumat DPP

Maklumat produk biasanya berasal daripada beberapa sistem: pengurusan kitar hayat produk, perancangan sumber perusahaan, pelaksanaan pembuatan, pengurusan kualiti, portal pembekal dan repositori dokumen. Aliran kerja DPP tidak seharusnya meminta pengguna mencipta semula maklumat tersebut secara manual dalam antara muka lain jika sumber berwibawa sudah wujud.

Sebaliknya, reka bentuk operasi boleh menghimpunkan set data yang diperlukan, mengesahkan medan wajib, menghalakan pengecualian kepada pemilik yang betul dan menangkap kelulusan sebelum penyerahan. Apabila tandatangan atau meterai diperlukan, aliran kerja harus memanggil perkhidmatan amanah yang sesuai tanpa mengelirukan kelulusan perniagaan dengan tandatangan atau meterai yang berkelayakan secara undang-undang.

eSign.AI boleh menyokong lapisan aliran kerja dengan menghubungkan sistem sumber, menghalakan tugasan kelulusan, menggunakan laluan tandatangan atau pemeteraian yang diperlukan, dan merekodkan bukti transaksi yang terhasil. Melalui perkhidmatan Registration Authority dan integrasinya dengan ANF AC, eSign.AI boleh menyediakan laluan permohonan dan penerbitan QSeal sebagai sebahagian daripada penyelesaian pelanggan, dan bukannya membiarkan pelanggan menyelaraskan penyedia luar negara secara berasingan.

Senario 3: memelihara kebolehsemakan dari semasa ke semasa

Kewajipan DPP tidak terhad kepada saat penerbitan. Maklumat produk mungkin perlu kekal tersedia, boleh difahami dan boleh dipercayai sepanjang kitar hayat produk yang panjang, perubahan pemilikan dan migrasi sistem. Oleh itu, syarikat harus merancang bukti yang tahan lama dan bukannya menganggap respons API yang berjaya sebagai penghujung proses.

Reka bentuk bukti boleh merangkumi set data yang diserahkan atau perwakilan kanoniknya, cap masa, bahan pengesahan tandatangan atau meterai, konteks penandatangan atau pengendali, rekod kebenaran, resit penghantaran, sejarah versi dan log sistem. Tempoh penyimpanan dan kaedah pengesahan mesti dipadankan dengan peraturan produk yang terpakai dan dasar rekod.

Rangka kerja EU memberikan meterai elektronik berkelayakan anggapan undang-undang tentang integriti data dan ketepatan asal, manakala cap masa berkelayakan boleh menyokong bukti bahawa data wujud pada masa tertentu. Hanya perkhidmatan yang disenaraikan sebagai berkelayakan dalam senarai dipercayai nasional EU mempunyai status berkelayakan.

Nota perancangan: ilustrasi sumber Word ini mempersembahkan peta jalan sektor dan masa untuk perbincangan. Ia bukan jadual undang-undang untuk setiap produk yang digambarkan. Skop yang mengikat, laluan identiti, format bukti, keperluan data dan tarikh permohonan ditetapkan oleh perundangan produk EU yang berkaitan, akta delegasi khusus produk dan reka bentuk sistem akhir.

Lima soalan perancangan untuk setiap barisan produk

1. Adakah produk dalam skop?

Bina daftar produk-kepada-peraturan yang mengenal pasti perundangan EU yang berkaitan, status semasa, akta delegasi yang dijangka dan entiti undang-undang yang bertanggungjawab. Jangan anggap bahawa program DPP peringkat korporat bermakna setiap produk mengikut jadual masa yang sama.

2. Siapa memiliki setiap elemen data yang diperlukan?

Tetapkan sistem sumber dan pemilik perniagaan untuk setiap atribut wajib. Jika sesuatu nilai datang daripada pembekal, tentukan peraturan pengesahan, eskalasi dan kawalan perubahan dan bukannya menerima fail yang tidak disahkan melalui e-mel.

3. Bagaimanakah produk dikenal pasti secara unik?

Tentukan sama ada peraturan beroperasi pada tahap model, kelompok atau item. Sahkan bagaimana pengecam dijana, bagaimana pendua dicegah, dan bagaimana pembawa data fizikal kekal terhubung kepada rekod digital yang betul.

4. Siapa yang boleh meluluskan dan menyerahkan?

Dokumentasikan entiti undang-undang, peranan bertanggungjawab, model delegasi dan kelayakan mesin yang terlibat. Asingkan kelulusan dalaman daripada penyerahan luaran dan daripada mana-mana perkhidmatan amanah berkelayakan yang diperlukan oleh undang-undang.

5. Apakah bukti yang mesti bertahan selepas perubahan sistem?

Tentukan pakej bukti sebelum pelaksanaan. Jawapan ini menentukan seni bina storan, format eksport, kebergantungan pengesahan dan kawalan migrasi.

Rangka tindakan integrasi untuk pelaksanaan praktikal

Seni bina praktikal biasanya bermula dengan sistem sumber dan bukannya pangkalan data kendiri baharu. Perkhidmatan data mendapatkan atribut produk yang diluluskan, perkhidmatan aliran kerja mengesahkan kelengkapan dan menghalakan pengecualian, lapisan identiti dan kebenaran mengesahkan pelaku, dan lapisan API menyerahkan payload yang betul kepada pendaftaran atau perkhidmatan pasport yang berkaitan.

Lapisan bukti harus menangkap setiap peristiwa material tanpa menyimpan data peribadi yang tidak perlu. Ia juga harus menyokong perolehan semula mengikut produk, transaksi, entiti undang-undang dan tempoh masa supaya pasukan pematuhan boleh menjawab audit atau pertikaian dengan cekap.

Pelaksanaan biasanya lebih selamat secara berfasa. Pilih satu keluarga produk, petakan data dan keperluan undang-undangnya, uji aliran kerja lengkap dengan pengguna wakil, kemudian kembangkan. Ini mewujudkan kawalan yang boleh digunakan semula sambil membolehkan perbezaan khusus produk kekal kelihatan.

Dua laluan tandatangan dalam penyelesaian DPP eSign.AI

Laluan pertama ialah pengesahan pengendali ekonomi. eSign.AI menyokong permohonan QSeal, penyelarasan pengesahan identiti dan pemadanan data organisasi melalui keupayaan Registration Authority serta integrasi ANF AC. Ini amat relevan kepada pengilang bukan EU yang memerlukan meterai elektronik berkelayakan dalam senarai dipercayai EU untuk proses identiti yang berhadapan dengan pendaftaran.

Laluan kedua ialah aliran kerja data produk berulang. eSign.AI menyokong PAdES untuk dokumen PDF dan profil tandatangan jangka panjang XAdES atau JAdES untuk rekod XML dan JSON, termasuk cap masa berkelayakan dan penyimpanan bukti. Format dan tahap jaminan yang tepat harus mengikut peraturan khusus produk, antara muka pendaftaran dan penilaian undang-undang pelanggan; bukan setiap peristiwa DPP menggunakan tandatangan yang sama.

Untuk volum yang lebih tinggi, pelanggan boleh bersambung melalui SDK atau API dan bukannya menandatangani setiap rekod secara manual. Apabila proses penerimaan menyokong penyerahan kelompok, satu operasi boleh memaketkan beberapa rekod DPP sambil mengekalkan pengecam dan bukti pada tahap rekod. eSign.AI juga menyokong aliran kerja SaaS untuk pasukan yang memerlukan antara muka operasi sebelum integrasi sistem disiapkan.

Di mana eSign.AI sesuai

eSign.AI menyokong aliran kerja tandatangan elektronik dan tandatangan digital, orkestrasi kelulusan, integrasi API dan penyimpanan bukti. Untuk program DPP, keupayaan ini boleh membantu menghubungkan sistem perniagaan kepada langkah tandatangan atau pemeteraian, menangkap peristiwa pengendali dan memelihara rekod aliran kerja yang boleh dijejak.

Skop penyampaian eSign.AI boleh merangkumi sokongan permohonan dan penerbitan QSeal, panduan penyertaan pendaftaran, penandatanganan PAdES/XAdES/JAdES, cap masa berkelayakan, integrasi SaaS dan API, serta bukti jangka panjang. Tadbir urus data produk kekal sebagai tanggungjawab pelanggan, manakala eSign.AI menyediakan lapisan amanah dan pelaksanaan yang diperlukan untuk menggerakkan data yang betul melalui laluan tandatangan yang betul dan menyimpan bukti untuk pengesahan kemudian.

Teruskan siri DPP

Baca Bahagian 1: Mengapa Pengeksport China Perlu Bersedia untuk Pasport Produk Digital EU untuk konteks kawal selia dan sektor.

Bahagian 2: Kupasan Mendalam DPP: Cara Syarikat Menggunakannya, Merancang Penggunaan dan Mengintegrasikannya (artikel ini)

Teruskan ke Bahagian 3: Daripada eCoC kepada QSeal: Cara eSign.AI Menyokong Kesiapsiagaan DPP untuk tinjauan lebih dekat tentang aliran kerja dipercayai, integrasi QSeal dan peranan eSign.AI.