Fiducia e sicurezza — cosa eseguiamo e dove lo eseguiamo

TracePass è una società registrata in Bulgaria che sviluppa una piattaforma di passaporto digitale di prodotto per la conformità UE. L'applicazione e il database girano su infrastruttura UE; i nostri sub-responsabili del trattamento sono documentati di seguito. Il cliente è il titolare del trattamento; TracePass è il responsabile del trattamento.

Questa pagina è l'unico riferimento procurement per il nostro percorso dei dati, i controlli di sicurezza, le condizioni di responsabilità e la conformità di interoperabilità. Aggiornata a ogni modifica significativa; vedere la data in calce.

L'applicazione, il suo database e il sito marketing sono ospitati nell'UE, in Germania; i file caricati, i PDF generati e i backup sono archiviati su Cloudflare R2 nella sua giurisdizione UE, mentre loghi e immagini di prodotto che i passaporti pubblicati mostrano pubblicamente vi sono archiviati senza limitazione all'UE.

L'elaborazione IA (estrazione di dati da documenti e immagini del cliente e traduzioni) avviene solo sui dati che inviate (quando caricate un documento, chiedete una ricerca o pubblicate un passaporto che viene poi tradotto), mai di propria iniziativa, ed è regolata da un esplicito DPA con Anthropic. Nessun dato personale dei clienti è condiviso con terze parti al di fuori dell'elenco documentato dei sub-responsabili del trattamento. I servizi che ricevono solo dati di prodotto, mai dati personali, non sono sub-responsabili del trattamento.

• Applicazione e dati dei clientiAttivo

  UE (Germania)

• Front-end marketingAttivo

  Hetzner (Germania), accanto all'applicazione

• Archiviazione dei fileAttivo

  Cloudflare R2

Ogni soggetto che tratta dati personali dei clienti per nostro conto è elencato di seguito; i servizi che non ricevono dati personali non sono sub-responsabili del trattamento e non sono elencati. Le aggiunte a questo elenco attivano una notifica preventiva ai sensi dell'articolo 28 del GDPR con una finestra ragionevole per l'opposizione. Le rimozioni (la dismissione di un sub-responsabile del trattamento) sono documentate retrospettivamente qui e tramite e-mail ai clienti.

DPA standard del responsabile del trattamento disponibile su richiesta prima che i dati del cliente fluiscano. SLA di notifica delle violazioni: 72 ore dall'incidente confermato.

Scelte infrastrutturali sicure per impostazione predefinita più controlli a livello applicativo. I file archiviati, il database dell'applicazione e i suoi backup sono cifrati a riposo; TLS 1.2 o superiore è imposto per tutto il traffico dei clienti. Le password sono conservate come hash con salt e le sessioni usano token di breve durata con rotazione monouso dei refresh token; i controlli di accesso sono basati sui ruoli (owner, admin, editor, viewer), con rate limiting su accesso, registrazione, richieste di reimpostazione della password e verifica del secondo fattore.

• Cifratura a riposoAttivo

  I file archiviati, il database dell'applicazione e i suoi backup sono cifrati a riposo con AES-256.

• Cifratura in transitoAttivo

  TLS 1.2+

• AutenticazioneAttivo

  Token di sessione firmati di breve durata con rotazione monouso dei refresh token; il riutilizzo di un refresh token revoca tutte le sessioni

• Autenticazione a più fattoriAttivo

  TOTP (RFC 6238, 6 cifre, 30 s), facoltativo per utente. Un'azienda può renderlo obbligatorio per tutti — chi non lo ha ancora configurato viene guidato durante il successivo accesso, quindi non resta escluso nessuno. Dieci codici di recupero monouso; un proprietario o amministratore può reimpostare il fattore di un membro.

• Controllo degli accessi basato sui ruoliAttivo

  owner > admin > editor > viewer; applicazione per route

• Rate limitingAttivo

  Accesso (per IP, con blocco dell'account), verifica del secondo fattore (per IP, con blocco temporaneo dopo codici errati ripetuti), registrazione, reimpostazione della password, caricamento file (per azienda) e API v1 (per piano, vedi la documentazione API)

• Backup del databaseAttivo

  Backup automatici giornalieri, cifrati a riposo, conservati separatamente dal database dell'applicazione per 7 giorni. Un ripristino completo da backup viene testato ogni trimestre. Non c'è failover automatico: un'interruzione del database dura finché il database non viene riavviato o ripristinato, e un ripristino da backup può perdere fino a un giorno di modifiche.

• Log di controlloAttivo

  Ogni modifica del passaporto è registrata con marca temporale, autore e diff a livello di campo; visibile nella cronologia della dashboard. Ogni modifica di un passaporto pubblicato, sospeso, scaduto o archiviato è inoltre archiviata come istantanea completa, sigillata con un hash SHA-256 del contenuto e con l'autore della modifica; qualsiasi versione precedente è recuperabile per data (EN 18221:2026, punto 4.2). La vista pubblica di ogni versione pubblicata è inoltre firmata come verifiable credential W3C (emittente did:web:www.tracepass.eu), restituita all'URL del passaporto con Accept: application/vc+jwt.

• Controllo dei file caricatiAttivo

  Ogni file caricato — documenti del cliente, evidenze dei fornitori, immagini di prodotto, loghi — viene controllato prima dell'archiviazione: il contenuto deve corrispondere al tipo di file dichiarato (un eseguibile rinominato viene rifiutato, così come i file Office con macro) e viene analizzato alla ricerca di malware prima dell'archiviazione. I file non vengono mai inviati a terzi per l'analisi. Se lo scanner non è disponibile, il caricamento viene rifiutato anziché archiviare il file senza controllo

• Header di sicurezzaAttivo

  Content-Security-Policy (applicata e basata su nonce nell'app; solo in modalità report sul sito di marketing), HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy

• Penetration test indipendenteIn attesa

  Non ancora eseguito, quindi non c'è un rapporto da condividere. La sicurezza viene verificata internamente e ogni rilievo viene seguito fino alla correzione. Commissioneremo un test indipendente quando un contratto con un cliente lo richiederà, e non lo dichiareremo prima che esista un rapporto.

• Certificazione ISO 27001In attesa

  Non ancora ottenuta. I controlli sopra (cifratura, controllo degli accessi, backup, audit logging) sono la sostanza che un ISMS ISO 27001 formalizza, ma nessun certificato è stato emesso e nessun audit è in corso. Perseguiremo la certificazione quando la domanda dei clienti enterprise giustificherà il costo dell'audit; non la dichiareremo prima che esista un certificato. Nel frattempo, richiedeteci la documentazione attuale dei controlli.

• Rapporto SOC 2In attesa

  Non ancora ottenuto, nessuna finestra di audit pianificata. SOC 2 (in particolare Type II) richiede un periodo di osservazione che un'azienda della nostra età e fase non ha ancora svolto. Stessa regola di onestà dell'ISO 27001: non rappresenteremo un rapporto SOC 2 finché un auditor non ne avrà emesso uno. I clienti UE sono in genere serviti per primi dalla nostra applicazione e dal nostro database ospitati nell'UE + i termini di responsabile del trattamento GDPR, documentati sopra e nel DPA.

Responsabilità e manleva sono disciplinate dai Termini di servizio.

L'assicurazione Errors & Omissions (E&O) non è ancora in essere.

• Condizioni di responsabilitàAttivo

  Come stabilito nei Termini di servizio

• Assicurazione E&O

  Non ancora in essere; il massimale sarà pubblicato qui una volta stipulata una polizza

• Termini di servizioAttivo

  Le clausole sostanziali si trovano nei nostri Termini di servizio pubblici (§10 disdetta, commissione di uscita anticipata + 30 giorni di proroga del resolver, §10a passaggio ad altro fornitore e uscita ai sensi del regolamento UE sui dati, incluso il reindirizzamento gratuito dei passaporti finché la legge ne richiede la disponibilità, §11 SLA suddiviso, §12 cliente-come-titolare, §13 deposito del codice sorgente su Enterprise, §13a almeno 90 giorni di preavviso, con esportazione e reindirizzamento gratuiti, se il Servizio dovesse cessare). I clienti Enterprise possono negoziare addenda (SLA personalizzato, estensione di responsabilità, trigger di deposito) in aggiunta ai Termini di servizio standard.

Ai sensi del regolamento UE sui dati (Regolamento (UE) 2023/2854), ogni cliente TracePass, su ogni piano incluso Free, può passare a un altro fornitore o lasciare il servizio con un preavviso non superiore a un mese. Le condizioni contrattuali sono nella sezione 10a dei Termini di servizio; questa sezione riassume la procedura, i dati e i loro formati, il luogo in cui sono conservati i dati e i costi.

Se detenete passaporti presso un altro fornitore DPP, potete importarli in TracePass dalla dashboard: incollate fino a 100 URL di passaporti o caricate i file (JSON / JSON-LD), e TracePass crea bozze per la revisione; ogni valore importato è in attesa di approvazione prima della pubblicazione. Un file «Export everything» di TracePass può essere reimportato nello stesso modo, ad esempio in un nuovo account; i passaporti già presenti nell'account non vengono duplicati. La copertura dipende da ciò che pubblica il fornitore di origine.

• Procedura di passaggio

  Disdici nella sezione di fatturazione dell'applicazione TracePass. Il piano termina alla fine del mese di fatturazione in corso (la data di cessazione). Su richiesta, il servizio prosegue per un periodo transitorio fino a 30 giorni alle spese standard di servizio del piano, pro rata, con un'assistenza ragionevole. Esporta tutto da Settings → Data export nella dashboard, su ogni piano e anche dopo la disdetta, oppure leggilo tramite l'API REST. Restano recuperabili per almeno 30 giorni dopo la data di cessazione o la fine del periodo transitorio. 12 mesi dopo TracePass ti comunica via e-mail la data di cancellazione, 90 giorni più tardi; i dati vengono cancellati da quella data, salvo che tu revochi la richiesta o sottoscriva di nuovo un piano. Puoi richiedere una cancellazione anticipata in qualsiasi momento tramite Settings → Data export.

• Reindirizzamento al tuo nuovo fornitore

  Quando passi a un altro fornitore di passaporti, un proprietario o un amministratore dell'account può reindirizzare i tuoi passaporti da Settings → Data export: indica l'indirizzo del nuovo fornitore e, facoltativamente, un indirizzo distinto per singoli passaporti. TracePass verifica prima ogni nuovo indirizzo: deve essere un indirizzo sicuro (https) esterno a TracePass, che risponde e mostra lo stesso passaporto. Vengono reindirizzati solo i passaporti che superano la verifica, e vedi quali sono stati reindirizzati e perché gli altri no. Le scansioni dei codici stampati vanno poi direttamente al nuovo fornitore, con un reindirizzamento temporaneo (HTTP 307), sull'indirizzo condiviso del resolver di TracePass e sul tuo dominio finché punta ancora a TracePass; anche le richieste delle macchine (JSON-LD, linkset) vengono reindirizzate. Il reindirizzamento è gratuito, su ogni piano, per tutto il tempo in cui il passaporto deve restare disponibile, e per almeno 10 anni; il passaporto della batteria è reindirizzato fino al riciclaggio della batteria. TracePass ricontrolla regolarmente ogni reindirizzamento e ti invia un'e-mail se il nuovo indirizzo smette di rispondere. Un reindirizzamento non viene mai disattivato automaticamente, e puoi modificarlo o interromperlo in qualsiasi momento. Le autorità di vigilanza del mercato con un token di accesso di livello «authority» possono continuare a leggere la copia TracePass. Le tue voci nei registri UE le aggiorni tu: la registrazione non può essere delegata, e l'e-mail di conferma te lo ricorda. Un identificatore reindirizzato non può essere riutilizzato per un nuovo passaporto su TracePass. I passaporti che non reindirizzi smettono di risolversi pubblicamente 30 giorni dopo la fine del piano.

• Dati esportabili

  Prodotti e passaporti con tutti i valori dei campi, le traduzioni, la traccia di controllo e la provenienza; eventi EPCIS; documenti caricati come file originali, con un indice; richieste ai fornitori con le risposte; la cronologia delle versioni dei passaporti con le credenziali firmate, in cui ogni versione indica il modello di dati rispetto al quale è stata verificata, insieme ai modelli stessi; misurazioni delle batterie; statistiche giornaliere delle scansioni per passaporto per paese e tipo di dispositivo (nessun dato personale). Tutto arriva in un unico ZIP da «Export everything» in Settings → Data export, su ogni piano incluso Free, qualunque sia lo stato dei pagamenti e anche dopo la disdetta. La stessa pagina offre i download rapidi JSON-LD ed EPCIS, e l'API REST legge prodotti, passaporti, versioni, misurazioni e gli eventi di ciascun passaporto. Non esportabili, in quanto segreti commerciali: i prompt e i modelli di IA, i dati di apprendimento aggregati tra tutti i clienti e i log di sicurezza.

• Formati e strutture dei dati

  JSON-LD per prodotti e passaporti; EPCIS 2.0 JSON-LD per gli eventi; i file originali per i documenti, con un indice in JSON; JSON per le richieste ai fornitori, le versioni dei passaporti e le misurazioni delle batterie; CSV per le statistiche delle scansioni; JSON tramite l'API REST, descritta dalla specifica OpenAPI pubblica. Le definizioni dei campi di ogni modello di categoria sono pubbliche nel pacchetto @tracepass/dpp-schemas.

• Limiti noti

  Il download dello ZIP resta valido per 7 giorni; dopo, crea una nuova esportazione. Il download EPCIS e il file EPCIS nello ZIP coprono i passaporti pubblicati; gli eventi degli altri passaporti si leggono per singolo passaporto tramite l'API REST.

• Dove sono conservati i dati

  L'applicazione e il suo database sono ospitati nell'UE (Germania). I file caricati, i PDF generati e i backup del database sono archiviati nell'UE, in uno spazio con giurisdizione UE; solo le immagini pubbliche che un passaporto pubblicato mostra sono archiviate senza limitazione all'UE. L'elaborazione IA, eseguita solo sui dati che inviate, avviene negli Stati Uniti. Le ricerche web effettuate durante la ricerca IA contengono solo informazioni di prodotto e sono elaborate fuori dall'UE. Ogni fornitore che riceve dati personali, e la sua localizzazione, sono elencati in «Sub-responsabili del trattamento».

• Protezione dall'accesso illecito

  Tecniche: cifratura a riposo e in transito, controllo degli accessi basato sui ruoli e log di audit (vedere «Postura di sicurezza» sopra). Organizzative: comunichiamo i dati dei clienti a un'autorità pubblica solo quando lo impone un ordine giuridicamente vincolante; verifichiamo l'ordine rispetto al diritto dell'UE e degli Stati membri, comunichiamo solo quanto richiesto e informiamo il cliente interessato, salvo che la legge lo vieti. Contrattuali: i fornitori che trattano dati personali dei clienti fuori dall'UE lo fanno nell'ambito dell'EU-US Data Privacy Framework o delle clausole contrattuali tipo dell'UE.

• Costi in caso di uscita

  Nessun costo per il passaggio, l'esportazione o l'assistenza nella transizione. Le spese standard di servizio sono i prezzi dei piani nella pagina dei prezzi. Una commissione di uscita anticipata si applica solo se alla data di cessazione è in corso un vincolo (una durata minima su Scale, Pro o Enterprise mensili, oppure un anno prepagato): i mesi del vincolo rimanenti dopo la data di cessazione, fino a 3, moltiplicati per il canone mensile (il prezzo mensile, o il prezzo annuale ÷ 12). Esempio: Pro a €2.000 al mese, disdetto nel mese 1 della durata minima di 6 mesi, lascia 5 mesi, quindi la commissione è limitata a 3 × €2.000 = €6.000. Con fatturazione annuale la commissione viene detratta dal rimborso dei mesi interi non utilizzati.

• Termini di servizio, sezione 10a

  Le condizioni contrattuali: preavviso, periodo transitorio, elenco esaustivo dei dati esportabili, recupero, cancellazione e costi.

Conformità rispetto agli standard di interoperabilità pubblicati — cosa è testato, cosa è documentato, cosa è ancora in attesa. "Seguiamo la specifica" non è una dichiarazione di conformità; i risultati dei test pubblicati e l'allineamento documentato a livello di campo lo sono.

• Conformità GS1 Digital LinkAttivo

  Comportamento funzionale del resolver auto-testato rispetto alla specifica GS1 Digital Link v2.0 — endpoint di descrizione del servizio, risoluzione del percorso GTIN/seriale, content negotiation JSON-LD, output linkset+json, header Vary, 404 su URL sconosciute. Lo script riproducibile è disponibile in tools/gs1-conformance-check.ts nel repository pubblico tracepass-open; clienti e auditor possono eseguirlo contro qualsiasi resolver pubblicato da TracePass, e l'esecuzione approvata corrente contro id.tracepass.eu è pubblicata insieme a questa pagina (9 controlli superati su 9). Non ancora testato con la suite di test dei resolver di GS1.

• Schema.org JSON-LDAttivo

  Emesso su ogni pagina pubblica (home, categoria, risorse, matrici normative, guida all'acquisto). Validato rispetto al Google Rich Results Test.

• Valori generati dall'IA contrassegnati (regolamento UE sull'IA, articolo 50, paragrafo 2)Attivo

  Un valore che l'IA ha trovato e scritto, o tradotto, è contrassegnato come generato dall'IA in ogni output pubblico del passaporto: la pagina di visualizzazione, il suo JSON-LD, la credenziale firmata e il PDF. Il contrassegno resta anche dopo che una persona ha approvato il valore. I valori letti dai tuoi documenti non sono contrassegnati.

• Content negotiation sulle URL dei passaporti (HTML, JSON-LD, JSON)Attivo

  Le URL pubbliche dei passaporti restituiscono HTML ai browser, application/ld+json quando l'header Accept lo preferisce e application/json semplice quando viene richiesto — la EN 18216 rende JSON il formato leggibile da macchina obbligatorio. Il contenuto leggibile da macchina riporta l'intestazione del passaporto della EN 18223 (digitalProductPassportId, uniqueProductIdentifier, granularity, dppSchemaVersion, dppStatus, lastUpdated, economicOperatorId) come campi di primo livello, ciascuno solo quando il dato esiste. Per le batterie per veicoli elettrici, le batterie per mezzi di trasporto leggeri e le batterie industriali oltre 2 kWh, il JSON semplice restituisce invece la parte pubblica del passaporto nel modello di dati per le batterie della Commissione europea, il formato che legge il registro UE dei DPP; application/ld+json mantiene la vista linked data. Il passaporto leggibile dall'uomo è servito su HTTP/2 o successivo con TLS 1.2+, come richiede la EN 18216; i client automatici che non chiedono HTML, come il controllo del link del registro UE dei DPP, ricevono risposta anche su HTTP/1.1. Una sola URL per ogni formato — nessun endpoint separato da scoprire.

• Supporti di dati: QR Code e Data Matrix (EN 18220)Attivo

  Il supporto di dati del passaporto può essere generato come QR Code (ISO/IEC 18004) o Data Matrix (ISO/IEC 16022) — le due simbologie 2D ammesse dalla EN 18220 — con lo stesso URL GS1 Digital Link, in SVG o PNG, dalla dashboard, dall'API, dal server MCP e dal nodo n8n community node. Il Data Matrix è adatto a parti piccole e alla marcatura diretta. I passaporti delle batterie restano sul QR Code, previsto dal regolamento sulle batterie.

• Visualizzatore pubblico accessibile (EN 301 549 / WCAG 2.1 AA)Attivo

  La EN 18216 richiede che il passaporto leggibile dall'uomo rispetti la EN 301 549. Il visualizzatore pubblico supera un audit automatizzato WCAG 2.1 AA (axe: 0 violazioni) e verifiche con tastiera, zoom e spaziatura del testo: la lingua della pagina segue quella del passaporto, i contenuti stanno in landmark, le sezioni comprimibili dichiarano il proprio stato e tengono i contenuti nascosti fuori dall'ordine di tabulazione, e il contrasto del testo raggiunge 4,5:1 anche con i colori del marchio del cliente. Non ancora esaminato da un revisore di accessibilità esterno.

• Parzialmente realizzato: percorsi API della EN 18222 e replica verso un fornitore di riserva della EN 18221In corso

  I percorsi REST della EN 18222 (v1/dpps/…) sono realizzati e in fase di test di conformità; non sono ancora disponibili per i clienti. Fino ad allora l'API v1 di TracePass copre le stesse operazioni in una forma propria, inclusa la lettura di una versione per data. La replica verso un fornitore di riserva (EN 18221, punti 4.3 e 4.5) è disponibile per i passaporti delle batterie: un'azienda che indica un fornitore di riserva gli fa inviare la versione corrente di ogni passaporto di batteria a ogni modifica. Le versioni archiviate precedenti restano presso TracePass. La replica per i passaporti di altri prodotti dipende dall'atto delegato ESPR sui fornitori di servizi, che stabilisce chi può fungere da fornitore di riserva.

• Allineamento alle ontologie CIRPASS-2 — batterie, pneumatici, tessiliAttivo

  Ogni campo dei modelli per batterie, pneumatici e tessili è elencato con il termine CIRPASS-2 corrispondente, o indicato come privo di corrispondenza, in tabelle pubblicate nel repository aperto degli schemi. La corrispondenza è esatta quando CIRPASS-2 ha una proprietà per lo stesso dato, e strutturata quando modella il dato come nodo, ad esempio una voce di vocabolario. Ogni termine è verificato rispetto ai file delle ontologie CIRPASS-2 in una versione fissata, e la verifica pubblica dei passaporti usa le stesse tabelle per le categorie che copre. Le ontologie CIRPASS-2 sono una bozza di ricerca, non un modello di dati ufficiale della Commissione, e per le altre nostre categorie non esiste un'ontologia settoriale.

• Supporto strutturale GS1 GLN — operatori economici con ruoli multipliAttivo

  Ogni passaporto contiene un blocco strutturale parties indicizzato per ruolo di operatore economico (fabbricante / importatore / mandatario / distributore / riciclatore / organizzazione di responsabilità del produttore). I GLN sono identificatori GS1 validati a 13 cifre (cifra di controllo mod-10) ed emessi sia in gs1:partyGLN (GS1 Web Vocabulary) sia in schema:identifier propertyID GS1:GLN (mirror schema.org). I ruoli richiesti sono stabiliti per ciascuna categoria nella piattaforma, ricavati dagli obblighi degli operatori in ciascuna norma: per le batterie sono richiesti fabbricante, riciclatore e organizzazione di responsabilità del produttore, mentre importatore, mandatario e distributore sono facoltativi (Regolamento batterie 2023/1542 art. 38 per i fabbricanti, artt. 56–57 per la responsabilità estesa del produttore e le PRO); per imballaggi e FMCG sono richiesti fabbricante e PRO (PPWR 2025/40 artt. 45 e 47); per i giocattoli fabbricante e importatore (Direttiva sulla sicurezza dei giocattoli artt. 4 e 6). Richiedere un riciclatore e una PRO è una scelta della piattaforma, non un obbligo del diritto UE: i produttori possono adempiere la responsabilità estesa del produttore individualmente o tramite una PRO (Regolamento batterie art. 57(1), PPWR art. 47(1)), anche se uno Stato membro può rendere obbligatoria una PRO per le batterie. Un ruolo richiesto mancante viene segnalato ma non blocca mai la pubblicazione. I fornitori senza GLN possono invece registrare un legacyOperatorId (partita IVA / EORI / codice fiscale nazionale) — ogni parte resta tracciabile. Disponibile tramite l'editor della dashboard, l'API v1 (PATCH /api/v1/passports/:id/parties/:role) e l'importazione massiva CSV (colonne a chiave puntata).

• Specifica pubblica OpenAPI 3.1Attivo

  Specifica OpenAPI 3.1 scritta a mano che copre ogni endpoint REST v1 (passaporti, prodotti, esportazioni, EPCIS, modelli, ambito, dati normativi e OAuth). Pubblicata su /openapi.yaml con un mirror JSON su /openapi.json — nessun NDA, nessun muro di registrazione. Si importa direttamente in Postman / Insomnia / Bruno o in qualsiasi client target openapi-generator. Esempi pratici in curl / TypeScript / Python si trovano accanto a ogni endpoint su /docs. L'API copre l'intero flusso di lavoro DPP — passaporti, prodotti, esportazioni ed eventi EPCIS; la gestione dell'account e la fatturazione sono disponibili solo nella dashboard.

• GS1 EPCIS 2.0 — esportazione, acquisizione e interrogazione di eventi della catena di approvvigionamentoAttivo

  Esportazione e acquisizione GS1 EPCIS 2.0, più un'interfaccia di interrogazione EPCIS che copre una parte dei parametri standard (tipo di evento, fase di business, disposizione, EPC, luogo, ora dell'evento; fino a 1.000 eventi per interrogazione), inclusi in ogni piano, Free compreso. Gli eventi della catena di approvvigionamento, di assistenza e di proprietà di qualsiasi passaporto vengono serializzati come documento JSON-LD valido secondo lo standard EPCIS 2.0, pubblicizzato sul resolver GS1 Digital Link come linkType gs1:traceability, così un sistema compatibile con EPCIS che scansiona il QR scopre la cronologia degli eventi senza conoscere in anticipo l'URL. Le fasi di produzione che il Core Business Vocabulary di GS1 non definisce (fusione, laminazione, finitura) usano URL di vocabolario di proprietà di TracePass sotto tracepass.eu/voc/cbv/bizstep/ — il modello di estensione industriale sancito da GS1 — ciascuna delle quali si risolve nella propria definizione pubblicata. L'acquisizione accetta eventi inviati da fornitori e sistemi ERP, e l'IA redige eventi dalle schede tecniche per la revisione umana; l'interrogazione è servita da un'interfaccia di query EPCIS 2.0 che gestiamo nell'UE. Il misuratore di volume scala per piano (1.000 eventi/mese su Basic fino a 10.000.000 su Pro, illimitato su Enterprise; Free riceve 10 come barriera di valutazione). I risultati del self-test di conformità sono disponibili su richiesta.

Adesioni e affiliazioni a ecosistemi che collocano TracePass nell'infrastruttura UE per i passaporti digitali di prodotto. Oggi non esiste un registro ufficiale UE dei "fornitori DPP approvati" — il registro UE dei DPP è operativo per la registrazione degli operatori, ma registra operatori e identificativi di prodotto, non approva fornitori. I segnali legittimi sono: GS1 (l'autorità di assegnazione degli identificatori), CIRPASS / CIRPASS-2 (l'azione di coordinamento finanziata dall'UE che prepara il registro) e BatteryPass-Ready, il successore del progetto Battery Pass (concluso a marzo 2025), che mantiene il modello di dati del passaporto della batteria e un ambiente di test volontario.

Elenchiamo ogni affiliazione in modo onesto: attivo significa che l'adesione / partecipazione è attiva e verificabile; in corso significa che abbiamo presentato richiesta e stiamo attendendo conferma; in attesa significa che intendiamo presentare richiesta ma non abbiamo ancora iniziato. Gli acquirenti procurement dovrebbero trattare "in attesa" allo stesso modo di qualsiasi altra dichiarazione di roadmap — un'intenzione dichiarata, non un risultato consegnato.

• CIRPASS-2 Stakeholder Community — iscrittoAttivo

  CIRPASS-2 è l'azione di coordinamento finanziata dal programma Horizon UE che prepara l'infrastruttura tecnica, il quadro di governance e le implementazioni pilota per l'ecosistema UE dei DPP (Grant Agreement 101158775, maggio 2024 → aprile 2027). Il livello Stakeholder Community comprende newsletter, eventi e consultazioni pubbliche. TracePass vi ha aderito il 16/05/2026. Il Memorandum d'Intesa CIRPASS-2 fa parte della candidatura alla Community of Practice riportata di seguito, non di questo livello.

• CIRPASS-2 Community of Practice (CoP) — candidatoIn corso

  La Community of Practice è il livello di partecipazione attiva di CIRPASS-2, riservato ai fornitori di servizi DPP e ai vendor software PLM/ERP/PIM/MES. L'adesione alla CoP richiede ~5-10 giornate-persona/anno, un MoU firmato con il coordinatore del progetto (CEA) e contributi alle attività del Forum di scambio tra portatori d'interesse DPP. La registrazione alla CoP è personale: il MoU è stato quindi firmato dal fondatore Malin Ivanov come esperto individuale (con TracePass indicata come sua organizzazione) il 16/05/2026 e presentato con la candidatura. TracePass ha presentato richiesta di adesione alla CoP il 16/05/2026; soggetto alla procedura di valutazione CIRPASS-2.

• Catalogo OpenDPP di CIRPASS-2 — due componenti elencatiAttivo

  Due componenti open source di TracePass sono elencati nel Catalogo OpenDPP di CIRPASS-2 dei componenti DPP aperti: TracePass DPP Schemas (le specifiche pubbliche dei campi alla base dei modelli, ogni campo ricondotto al diritto UE che lo impone) e il TracePass DPP-VC Profile (il profilo di estensione per le credenziali verificabili). Un inserimento attesta che un componente è pubblicato e aperto; non è una certificazione.

• Forum di scambio tra portatori d'interesse DPP di CIRPASS-2 — circular-data.orgAttivo

  circular-data.org è il Forum di scambio tra portatori d'interesse DPP di CIRPASS-2 — la piattaforma di matchmaking e scambio di conoscenze (ospitata da Ekodenge su Clusterly) che collega fornitori di soluzioni DPP, fabbricanti ed enti di normazione in tutta l'UE. TracePass ha registrato il proprio profilo organizzativo a maggio 2026 come fornitore PMI di DPP-as-a-Service; il profilo è stato esaminato, approvato ed è pubblicamente elencato. Si tratta di una registrazione distinta dall'adesione alla Stakeholder Community e alla Community of Practice di CIRPASS-2, valutate separatamente.

• BatteryPass-Ready — successore del progetto Battery Pass

  Il progetto Battery Pass, un consorzio tedesco finanziato dal BMWK, ha pubblicato linee guida sui contenuti e un modello di dati di riferimento per il passaporto della batteria UE (obbligatorio dal 18 febbraio 2027 ai sensi del Regolamento (UE) 2023/1542) e si è concluso a marzo 2025. Il suo successore, BatteryPass-Ready (guidato da Fraunhofer IPK con acatech, GEFEG e TU Berlin), mantiene gli schemi JSON del passaporto della batteria e gestisce un ambiente di test volontario; non è una verifica ufficiale di conformità UE e non rilascia certificati. Mappiamo i passaporti delle batterie di TracePass sugli schemi BatteryPass-Ready e li verifichiamo internamente con il suo validatore; i clienti non possono ancora eseguire questa verifica dalla dashboard. TracePass non è Supporting Partner di BatteryPass-Ready.

• Registro UE dei DPP: operatore economico verificatoAttivo

  Il registro UE dei DPP — istituito dall'articolo 13 dell'ESPR (Regolamento (UE) 2024/1781), con le modalità di attuazione stabilite dal Regolamento di esecuzione (UE) 2026/1778 — è operativo. TracePass LTD è registrata e verificata come operatore economico nell'ambiente di produzione del registro. Registrare un passaporto non è ancora possibile per nessun gruppo di prodotti. Per le batterie, l'unico gruppo che il registro offre, la Commissione ha pubblicato la specifica dell'API di registrazione e il modello di dati per le batterie rispetto al quale vengono verificate le trasmissioni, ma la verifica del registro rispetto a quel modello non è ancora attivata. La Commissione ha dichiarato che la registrazione sarà disponibile per gli operatori economici da febbraio 2027. Il caricamento degli identificativi resta un obbligo dell'operatore economico che immette il prodotto sul mercato; la Commissione ha chiarito che non può essere delegato a un fornitore di servizi, quindi non lo offriamo. Prepariamo il file di caricamento e la verifica di prontezza, che già verifica i passaporti delle batterie rispetto al modello di dati pubblicato, e serviamo il passaporto in quel formato quando il registro ne legge il link. Il registro conserva identificativi, non i dati del passaporto — il passaporto resta ospitato dall'operatore.