Доверие и сигурност — какво използваме и къде

TracePass е дружество, регистрирано в България, което изгражда платформа за Цифров продуктов паспорт за съответствие в ЕС. Приложението и базата данни работят върху инфраструктура в ЕС, а подизпълнителите ни са документирани по-долу. Клиентът е администратор на данните; TracePass е обработващ.

Тази страница е единствената справка за обществени поръчки относно нашия път на данните, контролите за сигурност, условията за отговорност и съответствието за оперативна съвместимост. Актуализира се при всяка значима промяна; вижте датата в долната част.

Приложението, неговата база данни и маркетинговият сайт се хостват в ЕС, в Германия; качените файлове, генерираните PDF файлове и резервните копия се съхраняват в Cloudflare R2 в неговата юрисдикция ЕС, а логата и продуктовите изображения, които публикуваните паспорти показват публично, се съхраняват там без ограничение до ЕС.

AI обработката (извличане на данни от документи и изображения на клиента и преводи) се извършва само върху данни, които подавате (когато качите документ, поискате проучване или публикувате паспорт, който след това се превежда), никога по собствена инициатива, и е уредена с изричен DPA с Anthropic. Никакви лични данни на клиентите не се споделят с трети страни извън документирания списък с подизпълнители. Услугите, които получават само продуктови данни и никога лични данни, не са подизпълнители.

• Приложение и данни на клиентитеНалично

  ЕС (Германия)

• Маркетингов фронтендНалично

  Hetzner (Германия), до приложението

• Файлово хранилищеНалично

  Cloudflare R2

Всяка структура, която обработва лични данни на клиентите от наше име, е изброена по-долу; услугите, които не получават лични данни, не са подизпълнители и не са изброени. Добавянията към този списък задействат предварително уведомление по член 28 от GDPR с разумен срок за възражение. Премахванията (когато подизпълнител прекратява услугата) се документират ретроспективно тук и чрез имейл до клиентите.

Стандартен DPA за обработващ е достъпен при поискване преди клиентските данни да започнат да текат. SLA за уведомяване при нарушение: 72 часа от потвърден инцидент.

Сигурно по подразбиране изпълнение на инфраструктурата плюс контроли на ниво приложение. Съхранените файлове, базата данни на приложението и нейните резервни копия са криптирани в покой; TLS 1.2 или по-висок е задължителен за целия клиентски трафик. Паролите се съхраняват като хешове със сол, а сесиите използват краткотрайни токени с еднократна ротация на refresh токените; контролите за достъп са по роли (owner, admin, editor, viewer), с rate limiting при влизане, регистрация, заявки за възстановяване на парола и проверка на втория фактор.

• Криптиране в покойНалично

  Съхранените файлове, базата данни на приложението и нейните резервни копия са криптирани в покой с AES-256.

• Криптиране при преносНалично

  TLS 1.2+

• УдостоверяванеНалично

  Краткотрайни подписани сесийни токени с еднократна ротация на refresh токените; повторната употреба на refresh токен прекратява всички сесии

• Многофакторно удостоверяванеНалично

  TOTP (RFC 6238, 6 цифри, 30 сек), по избор за всеки потребител. Компанията може да го изиска за всички — нерегистриран член преминава през настройката при следващото влизане, така че включването не блокира никого. Десет еднократни кода за възстановяване; собственик или администратор може да нулира фактора на член.

• Контрол на достъпа по ролиНалично

  owner > admin > editor > viewer; прилагане на ниво маршрут

• Rate limitingНалично

  Влизане (по IP, с блокиране на акаунта), проверка на втория фактор (по IP, с временно блокиране след повтарящи се грешни кодове), регистрация, възстановяване на парола, качване на файлове (по компания) и v1 API (по план, вижте документацията на API)

• Резервни копия на базата данниНалично

  Автоматични ежедневни резервни копия, криптирани в покой, съхранявани отделно от базата данни на приложението и пазени 7 дни. Пълно възстановяване от резервно копие се тества всяко тримесечие. Няма автоматично превключване при отказ: прекъсване на базата данни продължава, докато базата данни бъде рестартирана или възстановена, а възстановяването от резервно копие може да загуби до един ден промени.

• Одитни логовеНалично

  Всяка промяна на паспорта се записва с времеви отпечатък, извършител и diff на ниво поле; показва се в таймлайна на таблото за управление. Всяка промяна на публикуван, спрян, изтекъл или архивиран паспорт се архивира и като пълна моментна снимка, запечатана със SHA-256 хеш на съдържанието и с отбелязан извършител; всяка предишна версия може да бъде извлечена по дата (EN 18221:2026, т. 4.2). Публичният изглед на всяка публикувана версия се подписва и като W3C verifiable credential (издател did:web:www.tracepass.eu), който адресът на паспорта връща при Accept: application/vc+jwt.

• Проверка на качените файловеНалично

  Всеки качен файл — документи на клиента, доказателства от доставчици, продуктови изображения, лога — се проверява преди съхранение: съдържанието му трябва да съответства на декларирания тип файл (преименуван изпълним файл се отхвърля, както и Office файлове с макроси) и се сканира за зловреден софтуер преди съхранение. Файловете никога не се изпращат на трета страна за сканиране. Ако скенерът е недостъпен, качването се отказва, вместо файлът да бъде съхранен непроверен

• Заглавия за сигурностНалично

  Content-Security-Policy (наложена, базирана на nonce в приложението; само за докладване на маркетинговия сайт), HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy

• Независим тест за проникванеИзчаква

  Все още не е извършван, така че няма доклад, който да споделим. Сигурността се преглежда вътрешно и всяка констатация се проследява, докато бъде отстранена. Ще възложим независим тест, когато договор с клиент го изисква, и няма да твърдим, че имаме такъв, преди да съществува доклад.

• Сертификация по ISO 27001Изчаква

  Все още не е получена. Контролите по-горе (криптиране, контрол на достъпа, резервни копия, одитно логване) са същността, която ISO 27001 ISMS формализира, но не е издаден сертификат и не тече одит. Ще се стремим към сертификация, когато търсенето от enterprise клиенти оправдае разходите за одита; няма да я твърдим, преди да съществува сертификат. Междувременно поискайте от нас текущата документация за контролите.

• Доклад SOC 2Изчаква

  Все още не е получен, не е насрочен прозорец за одит. SOC 2 (особено Type II) изисква период на наблюдение, който компания на нашата възраст и етап все още не е провела. Същото правило за честност като при ISO 27001: няма да представяме доклад SOC 2, докато одитор не издаде такъв. Клиентите от ЕС обикновено се обслужват първо от нашето приложение и база данни, хоствани в ЕС, + условията за обработващ по GDPR, документирани по-горе и в DPA.

Отговорността и обезщетението са уредени в Условията за ползване на услугата.

Застраховка Errors & Omissions (E&O) все още няма.

• Условия за отговорностНалично

  Съгласно Условията за ползване на услугата

• Застраховка E&O

  Все още няма; лимитът на покритие ще бъде публикуван тук, след като бъде сключена полица

• Условия за ползванеНалично

  Същинските клаузи са в публичните Общи условия (§10 прекратяване, такса за предсрочно прекратяване + 30-дневен гратисен период на resolver, §10а смяна на доставчика и напускане по Акта за данните на ЕС, включително безплатно пренасочване на паспортите, докато законът изисква паспортът да остане достъпен, §11 разделен SLA, §12 клиентът-като-администратор, §13 source code escrow при Enterprise, §13а поне 90 дни предизвестие с безплатен експорт и пренасочване, ако Услугата някога бъде прекратена). Корпоративните клиенти могат да договорят анекси (персонализиран SLA, анекс за отговорност, тригери за escrow) върху стандартните Условия.

Съгласно Акта за данните на ЕС (Регламент (ЕС) 2023/2854) всеки клиент на TracePass, при всеки план, включително Free, може да премине към друг доставчик или да напусне с предизвестие не по-дълго от един месец. Договорните условия са в раздел 10а от Условията за ползване; този раздел обобщава процедурата, данните и техните формати, мястото, където се съхраняват данните, и таксите.

Ако имате паспорти при друг DPP доставчик, можете да ги импортирате в TracePass от таблото: поставете до 100 URL адреса на паспорти или качете файловете (JSON / JSON-LD), и TracePass създава чернови за преглед; всяка импортирана стойност изчаква одобрение, преди да бъде публикувана. Файл от "Export everything" на TracePass може да бъде импортиран обратно по същия начин, например в нов акаунт; паспортите, които вече съществуват в акаунта, не се дублират. Обхватът зависи от това, което публикува изходният доставчик.

• Процедура за смяна на доставчика

  Прекратете абонамента в раздела за таксуване на приложението TracePass. Планът приключва в края на текущия месец на таксуване (датата на прекратяване). При поискване услугата продължава през преходен период до 30 дни по стандартните такси на плана, пропорционално, с разумно съдействие. Експортирайте всичко от Settings → Data export в таблото, при всеки план и след прекратяване, или го четете чрез REST API. Те остават достъпни за извличане най-малко 30 дни след датата на прекратяване или след края на преходния период. 12 месеца след това TracePass ви уведомява по имейл за датата на изтриване, 90 дни по-късно; данните се изтриват от тази дата, освен ако не оттеглите искането или не се абонирате отново. По всяко време можете да поискате по-ранно изтриване от Settings → Data export.

• Пренасочване към новия ви доставчик

  Когато преминавате към друг доставчик на паспорти, собственик или администратор на акаунта може да пренасочи паспортите ви от Settings → Data export: посочете адреса на новия доставчик и, по избор, отделен адрес за отделни паспорти. TracePass първо проверява всеки нов адрес: той трябва да е защитен (https) адрес извън TracePass, който отговаря и показва същия паспорт. Пренасочват се само паспортите, преминали проверката, и виждате кои са пренасочени и защо останалите не са. След това сканиранията на отпечатаните кодове отиват директно при новия доставчик чрез временно пренасочване (HTTP 307), както на споделения адрес на resolver-а на TracePass, така и на собствения ви домейн, докато той все още сочи към TracePass; машинните заявки (JSON-LD, linkset) също се пренасочват. Пренасочването е безплатно, при всеки план, докато паспортът трябва да остане достъпен, и най-малко 10 години; паспортът на батерията се пренасочва, докато батерията бъде рециклирана. TracePass редовно проверява всяко пренасочване отново и ви изпраща e-mail, ако новият адрес спре да отговаря. Пренасочването никога не се изключва автоматично и можете да го промените или спрете по всяко време. Органите за надзор на пазара с токен за достъп от ниво „authority“ продължават да могат да четат копието на TracePass. Записите си в регистрите на ЕС актуализирате сами: регистрацията не може да бъде възложена на друг, а e-mail съобщението за потвърждение ви напомня за това. Пренасочен идентификатор не може да бъде използван повторно за нов паспорт в TracePass. Паспортите, които не пренасочите, спират да бъдат публично достъпни 30 дни след края на плана.

• Данни, които могат да бъдат експортирани

  Продукти и паспорти с всички стойности на полетата, преводите, одитната следа и произхода; EPCIS събития; качени документи като оригиналните файлове, с индекс; заявки към доставчици с отговорите; историята на версиите на паспортите с подписаните удостоверения, като всяка версия посочва модела на данните, спрямо който е проверена, заедно със самите модели; измервания на батерии; дневна статистика на сканиранията за всеки паспорт по държава и тип устройство (без лични данни). Всичко е в един ZIP от „Export everything“ в Settings → Data export, при всеки план, включително Free, независимо от статуса на плащанията и след прекратяване. На същата страница има бързи изтегляния в JSON-LD и EPCIS, а REST API чете продукти, паспорти, версии, измервания и събитията на всеки паспорт. Не се експортират, като търговски тайни: инструкциите (промптовете) и моделите на AI, обобщените от всички клиенти данни за обучение и журналите за сигурност.

• Формати и структури на данните

  JSON-LD за продукти и паспорти; EPCIS 2.0 JSON-LD за събития; оригиналните файлове за документи, с индекс в JSON; JSON за заявки към доставчици, версии на паспортите и измервания на батерии; CSV за статистиката на сканиранията; JSON чрез REST API, описан в публичната спецификация OpenAPI. Дефинициите на полетата на всеки шаблон за категория са публични в пакета @tracepass/dpp-schemas.

• Известни ограничения

  Изтеглянето на ZIP файла е валидно 7 дни; след това създайте нов експорт. Изтеглянето в EPCIS и EPCIS файлът в ZIP обхващат публикуваните паспорти; събитията на останалите паспорти се четат за всеки паспорт поотделно чрез REST API.

• Къде се съхраняват данните

  Приложението и неговата база данни се хостват в ЕС (Германия). Качените файлове, генерираните PDF файлове и резервните копия на базата данни се съхраняват в ЕС, в хранилище с юрисдикция ЕС; само публичните изображения, които публикуваният паспорт показва, се съхраняват без ограничение до ЕС. AI обработката, която се извършва само върху данни, които подавате, се осъществява в Съединените щати. Търсенията в интернет по време на AI проучването съдържат само продуктова информация и се обработват извън ЕС. Всеки доставчик, който получава лични данни, и неговото местоположение са посочени в раздел „Подизпълнители“.

• Защита срещу неправомерен достъп

  Технически: криптиране в покой и при пренос, контрол на достъпа по роли и одитни журнали (вижте раздел „Сигурност“ по-горе). Организационни: разкриваме данни на клиенти на публичен орган само когато това се изисква от правно обвързваща заповед; проверяваме заповедта спрямо правото на ЕС и на държавите членки, разкриваме само изискваното от нея и уведомяваме засегнатия клиент, освен ако законът го забранява. Договорни: доставчиците, които обработват лични данни на клиенти извън ЕС, правят това съгласно Рамката за защита на данните между ЕС и САЩ или Стандартните договорни клаузи на ЕС.

• Такси при напускане

  Без такса за смяна на доставчика, за експорт или за съдействието при прехода. Стандартните такси са цените на плановете на страницата с цените. Такса за предсрочно прекратяване се дължи само ако на датата на прекратяване тече ангажимент (минимален срок при месечен Scale, Pro или Enterprise или предплатена година): оставащите след датата на прекратяване месеци от ангажимента, но не повече от 3, умножени по месечната такса (месечната цена или годишната цена ÷ 12). Пример: Pro при €2 000 на месец, прекратен през месец 1 от 6-месечния срок, оставя 5 месеца, така че таксата е ограничена до 3 × €2 000 = €6 000. При годишно таксуване таксата се приспада от възстановяването за неизползваните цели месеци.

• Условия за ползване, раздел 10а

  Договорните условия: предизвестие, преходен период, изчерпателен списък на данните, които могат да бъдат експортирани, извличане, изтриване и такси.

Съответствие спрямо публикувани стандарти за оперативна съвместимост — какво е тествано, какво е документирано, какво още изчаква. „Следваме спецификацията" не е твърдение за съответствие; публикувани резултати от тестове и документирано съответствие на ниво поле са.

• Съответствие по GS1 Digital LinkНалично

  Поведението на резолвера е самотестирано спрямо спецификацията GS1 Digital Link v2.0 — endpoint за описание на услугата, разрешаване на GTIN/сериен номер, договаряне на съдържание JSON-LD, изход linkset+json, заглавия Vary, 404 при неизвестни URL. Възпроизводим скрипт е публикуван на tools/gs1-conformance-check.ts в публичното хранилище tracepass-open; клиенти и одитори могат да го пуснат срещу всеки резолвер, публикуван от TracePass, а текущото одобрено изпълнение срещу id.tracepass.eu е публикувано заедно с тази страница (9 от 9 успешни проверки). Все още не е тестван спрямо тестовия пакет на GS1 за резолвери.

• Schema.org JSON-LDНалично

  Излъчва се на всяка публична страница (начало, категории, ресурси, регулаторни матрици, ръководство за купувача). Валидирано спрямо Google Rich Results Test.

• Маркиране на стойностите, генерирани от AI (Акт за изкуствения интелект на ЕС, член 50, параграф 2)Налично

  Стойност, която AI е намерил и написал или е превел, е маркирана като генерирана от AI във всеки публичен изход на паспорта: страницата за преглед, нейния JSON-LD, подписаното удостоверение и PDF файла. Маркировката остава и след като човек одобри стойността. Стойностите, извлечени от вашите собствени документи, не се маркират.

• Content negotiation на URL на паспорта (HTML, JSON-LD, JSON)Налично

  Публичните URL на паспортите връщат HTML на браузърите, application/ld+json, когато заглавието Accept го предпочита, и обикновен application/json, когато се поиска — EN 18216 прави JSON задължителния машинночетим формат. Машинночетимото съдържание включва заглавието на паспорта по EN 18223 (digitalProductPassportId, uniqueProductIdentifier, granularity, dppSchemaVersion, dppStatus, lastUpdated, economicOperatorId) като полета от най-горно ниво, всяко само когато данните съществуват. За акумулаторните батерии за електрически превозни средства, батериите за леки транспортни средства и индустриалните батерии над 2 kWh обикновеният JSON вместо това връща публичната част на паспорта в модела на данни за батерии на Европейската комисия — формата, който чете регистърът на ЕС за цифрови продуктови паспорти; application/ld+json запазва изгледа като свързани данни. Човешкочетимият паспорт се обслужва през HTTP/2 или по-нова версия с TLS 1.2+, както изисква EN 18216; машинните клиенти, които не искат HTML, като проверката на връзката от регистъра на ЕС за цифрови продуктови паспорти, получават отговор и през HTTP/1.1. Един URL за всеки формат — няма отделна крайна точка за откриване.

• Носители на данни: QR код и Data Matrix (EN 18220)Налично

  Носителят на данни на паспорта може да бъде генериран като QR код (ISO/IEC 18004) или Data Matrix (ISO/IEC 16022) — двете 2D символики, които EN 18220 допуска — с един и същ GS1 Digital Link URL, във формат SVG или PNG, от таблото за управление, API, MCP сървъра и n8n community node. Data Matrix е подходящ за малки части и директно маркиране. Паспортите за батерии остават с QR, както предвижда Регламентът за батериите.

• Достъпен публичен преглед (EN 301 549 / WCAG 2.1 AA)Налично

  EN 18216 изисква четимият от човек паспорт да отговаря на EN 301 549. Публичният преглед преминава автоматизиран одит по WCAG 2.1 AA (axe: 0 нарушения), както и проверки с клавиатура, мащабиране и разстояние между текста: езикът на страницата следва езика на паспорта, съдържанието е в ориентири (landmarks), сгъваемите раздели обявяват състоянието си и скритото съдържание е извън реда на табулиране, а контрастът на текста е поне 4.5:1 дори с цветовете на марката на клиента. Все още не е преглеждан от външен одитор по достъпност.

• Частично изградено: пътищата на API по EN 18222 и репликацията към резервен доставчик по EN 18221В процес

  Пътищата на REST API по EN 18222 (v1/dpps/…) са изградени и преминават тестове за съответствие; все още не са достъпни за клиенти. Дотогава API v1 на TracePass покрива същите операции в собствена форма, включително извличане на версия по дата. Репликацията към резервен доставчик (EN 18221, т. 4.3 и 4.5) е налична за паспортите на батерии: компания, която посочи резервен доставчик, му изпраща текущата версия на всеки паспорт на батерия при всяка промяна. По-ранните архивирани версии остават при TracePass. Репликацията за паспортите на други продукти зависи от делегирания акт по ESPR за доставчиците на услуги, който определя кой може да бъде резервен доставчик.

• Съответствие с онтологиите на CIRPASS-2 — батерии, гуми, текстилНалично

  Всяко поле на шаблоните за батерии, гуми и текстил е посочено със съответния термин от CIRPASS-2 или е отбелязано, че такъв няма, в таблици, публикувани в отвореното хранилище със схемите. Съответствието е точно, когато CIRPASS-2 има свойство за същия елемент от данните, и структурирано, когато го моделира като възел, например запис от речник. Всеки термин е проверен спрямо файловете на онтологиите на CIRPASS-2 във фиксирана версия, а публичната проверка на паспорти използва същите таблици за категориите, които покрива. Онтологиите на CIRPASS-2 са изследователски проект, а не официален модел на данни на Комисията, и за останалите ни категории няма секторна онтология.

• Структурна поддръжка на GS1 GLN — икономически оператори с множество ролиНалично

  Всеки паспорт носи структурен блок parties, ключиран по роля на икономическия оператор (производител / вносител / упълномощен представител / дистрибутор / рециклатор / организация за отговорност на производителя). GLN са валидирани 13-цифрови GS1 идентификатори (mod-10 контролна цифра) и се излъчват и в gs1:partyGLN (GS1 Web Vocabulary), и в schema:identifier propertyID GS1:GLN (schema.org огледало). Изискваните роли се определят за всяка категория в платформата въз основа на задълженията на операторите във всеки закон: за батериите се изискват производител, рециклатор и организация за отговорност на производителя, а вносител, упълномощен представител и дистрибутор не са задължителни (Регламент за батериите 2023/1542 чл. 38 за производителите, чл. 56–57 за разширената отговорност на производителя и PRO); за опаковките и FMCG се изискват производител и PRO (PPWR 2025/40 чл. 45 и 47); за играчките — производител и вносител (Директива за безопасност на играчките чл. 4 и 6). Изискването за рециклатор и PRO е избор на платформата, а не изискване на правото на ЕС: производителите могат да изпълняват разширената отговорност на производителя индивидуално или чрез PRO (Регламент за батериите чл. 57, параграф 1; PPWR чл. 47, параграф 1), макар че държава членка може да направи PRO задължителна за батериите. Липсваща задължителна роля се отбелязва, но никога не спира публикуването. Доставчици без GLN могат да запишат legacyOperatorId (VAT / EORI / национален данъчен идентификатор) вместо това — всяка страна остава проследима. Достъпно през редактора в таблото, v1 API (PATCH /api/v1/passports/:id/parties/:role) и CSV масово импортиране (колони с точкови ключове).

• Публична OpenAPI 3.1 спецификацияНалично

  Ръчно написана OpenAPI 3.1 спецификация, покриваща всеки v1 REST endpoint (паспорти, продукти, експорти, EPCIS, шаблони, обхват, регулаторни данни и OAuth). Публикувана на /openapi.yaml с JSON огледало на /openapi.json — без NDA, без signup стена. Импортира се директно в Postman / Insomnia / Bruno или произволен openapi-generator клиент. Работещи примери в curl / TypeScript / Python живеят до всеки endpoint в /docs. API-ът покрива целия DPP работен процес — паспорти, продукти, експорти и EPCIS събития; управлението на акаунти и таксуването са само в таблото.

• GS1 EPCIS 2.0 — експорт, заснемане и заявки на събития във веригата на доставкиНалично

  GS1 EPCIS 2.0 експорт и заснемане, плюс интерфейс за заявки EPCIS, който поддържа част от стандартните параметри (тип събитие, бизнес стъпка, разпореждане, EPC, местоположение, време на събитието; до 1000 събития на заявка), включени във всеки план, включително Free. Събитията във веригата на доставки, сервизните и собственическите събития на всеки паспорт се сериализират като валиден по стандарта EPCIS 2.0 JSON-LD документ, обявен на GS1 Digital Link резолвера като linkType gs1:traceability, така че система с поддръжка на EPCIS, която сканира QR кода, открива историята на събитията без предварително знание за URL. Производствени стъпки, които GS1 Core Business Vocabulary не дефинира (топене, валцуване, довършителна обработка), използват собствени на TracePass речникови URL под tracepass.eu/voc/cbv/bizstep/ — санкционираният от GS1 модел за индустриално разширение — всяка от които се разрешава до собствена публикувана дефиниция. Заснемането приема събития, изпратени от доставчици и ERP системи, а AI изготвя събития от технически спецификации за човешки преглед; заявките се обслужват от интерфейс за заявки по EPCIS 2.0, който поддържаме в ЕС. Метърът за обем се мащабира по план (1 000 събития/мес. при Basic до 10 000 000 при Pro, неограничено при Enterprise; Free получава 10 като ограничител за оценка). Резултатите от самотеста за съответствие са достъпни при поискване.

Членства и присъединявания към екосистеми, които позиционират TracePass в инфраструктурата на ЕС за Цифрови продуктови паспорти. Към днешна дата не съществува официален регистър на ЕС за „одобрени доставчици на DPP" — регистърът на ЕС за DPP вече приема записване на оператори, но в него се регистрират оператори и продуктови идентификатори — той не одобрява доставчици. Легитимните сигнали са: GS1 (органът за разпределение на идентификатори), CIRPASS / CIRPASS-2 (финансираното от ЕС координационно действие, което подготвя регистъра) и BatteryPass-Ready — наследникът на проекта Battery Pass (приключил през март 2025 г.), който поддържа модела на данни за паспорта на батериите и доброволна тестова среда.

Изброяваме всяко присъединяване честно: налично означава, че членството / участието е активно и проверимо; в процес — че сме кандидатствали и чакаме потвърждение; изчаква — че планираме да кандидатстваме, но още не сме започнали. Купувачите от обществени поръчки трябва да третират „изчаква" по същия начин, по който третират всяко твърдение от пътната карта — заявено намерение, а не доставен резултат.

• CIRPASS-2 Stakeholder Community — абонатНалично

  CIRPASS-2 е координационно действие, финансирано от Horizon на ЕС, което подготвя техническата инфраструктура, рамката за управление и пилотните внедрявания за екосистемата на ЕС за DPP (Grant Agreement 101158775, май 2024 → април 2027). Нивото Stakeholder Community обхваща бюлетина, събитията и публичните консултации. TracePass се присъедини на 16.05.2026. Меморандумът за разбирателство на CIRPASS-2 е част от заявлението за Community of Practice по-долу, а не от това ниво.

• CIRPASS-2 Community of Practice (CoP) — кандидатВ процес

  Community of Practice е нивото на активно участие в CIRPASS-2, запазено за доставчици на DPP услуги и доставчици на PLM/ERP/PIM/MES софтуер. Членството в CoP изисква ~5-10 човекодни годишно, подписан MoU с координатора на проекта (CEA) и принос към дейностите на Форума за обмен между заинтересованите страни за DPP. Регистрацията в CoP е лична, затова MoU е подписан от основателя Малин Иванов като индивидуален експерт (с TracePass, посочена като негова организация) на 16.05.2026 и е подаден със заявлението. TracePass кандидатства на 16.05.2026 за членство в CoP; предмет на процедурата за оценка на CIRPASS-2.

• Каталог OpenDPP на CIRPASS-2 — два включени компонентаНалично

  Два компонента на TracePass с отворен код са включени в каталога OpenDPP на CIRPASS-2 за отворени компоненти за DPP: TracePass DPP Schemas (публичните спецификации на полетата зад шаблоните, като всяко поле е свързано с правото на ЕС, което го изисква) и TracePass DPP-VC Profile (профилът за разширение за проверими удостоверения). Включването в каталога удостоверява, че компонентът е публикуван и отворен; то не е сертифициране.

• Форум за обмен между заинтересованите страни за DPP към CIRPASS-2 — circular-data.orgНалично

  circular-data.org е Форумът за обмен между заинтересованите страни за DPP към CIRPASS-2 — платформата за свързване и обмен на знания (хоствана от Ekodenge на Clusterly), която свързва доставчици на DPP решения, производители и органи по стандартизация в целия ЕС. TracePass регистрира организационния си профил през май 2026 г. като МСП доставчик на DPP-as-a-Service; профилът беше прегледан, одобрен и е публично включен. Това е отделна регистрация от членството в Stakeholder Community и Community of Practice на CIRPASS-2, които се оценяват поотделно.

• BatteryPass-Ready — наследник на проекта Battery Pass

  Проектът Battery Pass, германски консорциум, финансиран от BMWK, публикува насоки за съдържание и референтен модел на данни за паспорта на батериите в ЕС (задължителен от 18 февруари 2027 г. съгласно Регламент (ЕС) 2023/1542) и приключи през март 2025 г. Неговият наследник BatteryPass-Ready (воден от Fraunhofer IPK заедно с acatech, GEFEG и TU Berlin) поддържа JSON схемите за паспорта на батериите и доброволна тестова среда; тя не е официална проверка за съответствие на ЕС и не издава сертификат. Съпоставяме паспортите за батерии на TracePass със схемите на BatteryPass-Ready и ги проверяваме вътрешно с неговия валидатор; клиентите все още не могат да пуснат тази проверка от таблото за управление. TracePass не е Supporting Partner на BatteryPass-Ready.

• Регистър на ЕС за DPP: верифициран икономически операторНалично

  Регистърът на ЕС за DPP — създаден съгласно член 13 от ESPR (Регламент (ЕС) 2024/1781), с правила, определени в Регламент за изпълнение (ЕС) 2026/1778 — вече работи. TracePass LTD е записан и верифициран като икономически оператор в продукционната среда на регистъра. Регистрирането на паспорт все още не е възможно за нито една продуктова група. За батериите, единствената група, която регистърът предлага, Комисията публикува спецификацията на API за регистрация и модела на данни за батерии, спрямо който се проверяват подаванията, но проверката на регистъра спрямо този модел все още не е включена. Комисията заяви, че регистрацията ще бъде достъпна за икономическите оператори от февруари 2027 г. Качването на идентификаторите остава задължение на икономическия оператор, който пуска продукта на пазара; Комисията заяви, че то не може да се делегира на доставчик на услуги, затова не го предлагаме. Подготвяме файла за качване и проверката за готовност, която вече проверява паспортите за батерии спрямо публикувания модел на данни, и предоставяме паспорта в този формат, когато регистърът прочете линка му. Регистърът съхранява идентификатори, а не данните от паспорта — самият паспорт остава хостван от оператора.