Fiducia e sicurezza — cosa eseguiamo e dove lo eseguiamo

TracePass è una società registrata in Bulgaria che sviluppa una piattaforma di passaporto digitale di prodotto per la conformità UE. L'applicazione e il database girano su infrastruttura UE; i nostri sub-responsabili del trattamento sono documentati di seguito. Il cliente è il titolare del trattamento; TracePass è il responsabile del trattamento.

Questa pagina è l'unico riferimento procurement per il nostro percorso dei dati, i controlli di sicurezza, le condizioni di responsabilità e la conformità di interoperabilità. Aggiornata a ogni modifica significativa; vedere la data in calce.

Il back-end dell'applicazione e il database primario girano su Hetzner a Norimberga, Germania; il front-end marketing gira su Vercel, con le funzioni server a Francoforte; l'archiviazione dei file e i backup del database usano Cloudflare R2.

L'elaborazione IA (estrazione di dati da documenti e immagini, OCR incluso; l'agente IA; traduzioni) viene invocata solo su richiesta del cliente ed è regolata da un esplicito DPA con Anthropic. Nessun dato personale dei clienti è condiviso con terze parti al di fuori dell'elenco documentato dei sub-responsabili del trattamento. I servizi usati per le ricerche sui prodotti, come la ricerca web e i registri pubblici, ricevono interrogazioni sui prodotti, non dati personali.

• Back-end dell'applicazioneAttivo

  Hetzner, Norimberga, Germania

• Front-end marketingAttivo

  Vercel (funzioni server a Francoforte)

• Database primarioAttivo

  MongoDB, Hetzner a Norimberga, Germania

• Archiviazione dei fileAttivo

  Cloudflare R2

Ogni soggetto che tratta dati personali dei clienti per nostro conto è elencato di seguito; i servizi che ricevono solo interrogazioni sui prodotti, come la ricerca web e i registri pubblici, non sono sub-responsabili del trattamento. Le aggiunte a questo elenco attivano una notifica preventiva ai sensi dell'articolo 28 del GDPR con una finestra ragionevole per l'opposizione. Le rimozioni (la dismissione di un sub-responsabile del trattamento) sono documentate retrospettivamente qui e tramite e-mail ai clienti.

DPA standard del responsabile del trattamento disponibile su richiesta prima che i dati del cliente fluiscano. SLA di notifica delle violazioni: 72 ore dall'incidente confermato.

Scelte infrastrutturali sicure per impostazione predefinita più controlli a livello applicativo. La cifratura a riposo è fornita da ogni sub-responsabile del trattamento di archiviazione; TLS 1.2 o superiore è imposto per tutto il traffico dei clienti. L'identità è JWT personalizzato + bcrypt + rotazione monouso dei refresh token; i controlli di accesso sono basati sui ruoli (owner, admin, editor, viewer), con rate limiting su accesso, registrazione, richieste di reimpostazione della password e verifica del secondo fattore.

• Cifratura a riposoAttivo

  Archiviazione file (Cloudflare R2) — AES-256. Database dell'applicazione — il volume del database è cifrato a riposo con LUKS2 (AES-XTS, chiave a 512 bit). I backup logici giornalieri sono conservati in Cloudflare R2, cifrati a riposo.

• Cifratura in transitoAttivo

  TLS 1.2+

• AutenticazioneAttivo

  JWT (HS256, 15 min) + rotazione dei refresh token (30 g, monouso, max 5 per utente; il riutilizzo revoca tutte le sessioni)

• Autenticazione a più fattoriAttivo

  TOTP (RFC 6238, 6 cifre, 30 s), facoltativo per utente. Un'azienda può renderlo obbligatorio per tutti — chi non lo ha ancora configurato viene guidato durante il successivo accesso, quindi non resta escluso nessuno. Dieci codici di recupero monouso; un proprietario o amministratore può reimpostare il fattore di un membro.

• Controllo degli accessi basato sui ruoliAttivo

  owner > admin > editor > viewer; applicazione per route

• Rate limitingAttivo

  Login (20/min/IP + blocco account), caricamento file (60/min/azienda), API v1 (per piano)

• Backup del databaseAttivo

  Backup logico automatizzato giornaliero su Cloudflare R2 (cifrato a riposo), conservazione di 7 giorni, archiviato fuori dal server del database

• Log di controlloAttivo

  Ogni modifica del passaporto è registrata con marca temporale, autore e diff a livello di campo; visibile nella cronologia della dashboard. Ogni modifica di un passaporto pubblicato, sospeso, scaduto o archiviato è inoltre archiviata come istantanea completa, sigillata con un hash SHA-256 del contenuto e con l'autore della modifica; qualsiasi versione precedente è recuperabile per data (EN 18221:2026, punto 4.2). La vista pubblica di ogni versione pubblicata è inoltre firmata come verifiable credential W3C (emittente did:web:www.tracepass.eu), restituita all'URL del passaporto con Accept: application/vc+jwt.

• Controllo dei file caricatiAttivo

  Ogni file caricato — documenti del cliente, evidenze dei fornitori, immagini di prodotto, loghi — viene controllato prima dell'archiviazione: il contenuto deve corrispondere al tipo di file dichiarato (un eseguibile rinominato viene rifiutato, così come i file Office con macro) e viene analizzato alla ricerca di malware prima dell'archiviazione. I file non vengono mai inviati a terzi per l'analisi. Se lo scanner non è disponibile, il caricamento viene rifiutato anziché archiviare il file senza controllo

• Header di sicurezzaAttivo

  Content-Security-Policy (applicata e basata su nonce nell'app; solo in modalità report sul sito di marketing), HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy

• Certificazione ISO 27001In attesa

  Non ancora ottenuta. I controlli sopra (cifratura, controllo degli accessi, backup, audit logging) sono la sostanza che un ISMS ISO 27001 formalizza, ma nessun certificato è stato emesso e nessun audit è in corso. Perseguiremo la certificazione quando la domanda dei clienti enterprise giustificherà il costo dell'audit; non la dichiareremo prima che esista un certificato. Nel frattempo, richiedeteci la documentazione attuale dei controlli.

• Rapporto SOC 2In attesa

  Non ancora ottenuto, nessuna finestra di audit pianificata. SOC 2 (in particolare Type II) richiede un periodo di osservazione che un'azienda della nostra età e fase non ha ancora svolto. Stessa regola di onestà dell'ISO 27001: non rappresenteremo un rapporto SOC 2 finché un auditor non ne avrà emesso uno. I clienti UE sono in genere serviti per primi dalla nostra applicazione e dal nostro database ospitati nell'UE + i termini di responsabile del trattamento GDPR, documentati sopra e nel DPA.

Responsabilità e manleva sono disciplinate dai Termini di servizio.

L'assicurazione Errors & Omissions (E&O) non è ancora in essere.

• Condizioni di responsabilitàAttivo

  Come stabilito nei Termini di servizio

• Assicurazione E&O

  Non ancora in essere; il massimale sarà pubblicato qui una volta stipulata una polizza

• Contratto quadro di serviziAttivo

  Le clausole sostanziali si trovano nei nostri Termini di servizio pubblici (§10 disdetta + 30 giorni di proroga del resolver, §11 SLA suddiviso, §12 cliente-come-titolare, §13 deposito del codice sorgente su Enterprise). I clienti Enterprise possono negoziare addenda (SLA personalizzato, estensione di responsabilità, trigger di deposito) in aggiunta ai Termini di servizio standard.

Conformità rispetto agli standard di interoperabilità pubblicati — cosa è testato, cosa è documentato, cosa è ancora in attesa. "Seguiamo la specifica" non è una dichiarazione di conformità; i risultati dei test pubblicati e l'allineamento documentato a livello di campo lo sono.

• Conformità GS1 Digital LinkAttivo

  Comportamento funzionale del resolver auto-testato rispetto alla specifica GS1 Digital Link v2.0 — endpoint di descrizione del servizio, risoluzione del percorso GTIN/seriale, content negotiation JSON-LD, output linkset+json, header Vary, 404 su URL sconosciute. Lo script riproducibile è disponibile in tools/gs1-conformance-check.ts nel repository pubblico tracepass-open; clienti e auditor possono eseguirlo contro qualsiasi resolver pubblicato da TracePass, e l'esecuzione approvata corrente contro id.tracepass.eu è pubblicata insieme a questa pagina (9 controlli superati su 9). Non ancora testato con la suite di test dei resolver di GS1.

• Schema.org JSON-LDAttivo

  Emesso su ogni pagina pubblica (home, categoria, risorse, matrici normative, guida all'acquisto). Validato rispetto al Google Rich Results Test.

• Content negotiation sulle URL dei passaporti (HTML, JSON-LD, JSON)Attivo

  Le URL pubbliche dei passaporti restituiscono HTML ai browser, application/ld+json quando l'header Accept lo preferisce e application/json semplice quando viene richiesto — la EN 18216 rende JSON il formato leggibile da macchina obbligatorio. Il contenuto leggibile da macchina riporta l'intestazione del passaporto della EN 18223 (digitalProductPassportId, uniqueProductIdentifier, granularity, dppSchemaVersion, dppStatus, lastUpdated, economicOperatorId) come campi di primo livello, ciascuno solo quando il dato esiste. Le URL dei passaporti sono servite su HTTP/2 o successivo con TLS 1.2+, come richiede la EN 18216. Una sola URL per ogni formato — nessun endpoint separato da scoprire.

• Supporti di dati: QR Code e Data Matrix (EN 18220)Attivo

  Il supporto di dati del passaporto può essere generato come QR Code (ISO/IEC 18004) o Data Matrix (ISO/IEC 16022) — le due simbologie 2D ammesse dalla EN 18220 — con lo stesso URL GS1 Digital Link, in SVG o PNG, dalla dashboard, dall'API, dal server MCP e dal nodo n8n community node. Il Data Matrix è adatto a parti piccole e alla marcatura diretta. I passaporti delle batterie restano sul QR Code, previsto dal regolamento sulle batterie.

• Visualizzatore pubblico accessibile (EN 301 549 / WCAG 2.1 AA)Attivo

  La EN 18216 richiede che il passaporto leggibile dall'uomo rispetti la EN 301 549. Il visualizzatore pubblico supera un audit automatizzato WCAG 2.1 AA (axe: 0 violazioni) e verifiche con tastiera, zoom e spaziatura del testo: la lingua della pagina segue quella del passaporto, i contenuti stanno in landmark, le sezioni comprimibili dichiarano il proprio stato e tengono i contenuti nascosti fuori dall'ordine di tabulazione, e il contrasto del testo raggiunge 4,5:1 anche con i colori del marchio del cliente. Non ancora esaminato da un revisore di accessibilità esterno.

• Non ancora realizzato: percorsi API della EN 18222 e replica verso un fornitore di riserva della EN 18221In attesa

  I percorsi REST della EN 18222 (v1/dpps/…) non sono implementati; l'API v1 di TracePass copre le stesse operazioni in una forma propria, inclusa la lettura di una versione per data. Anche la replica dei passaporti e del loro archivio verso un fornitore di riserva (EN 18221, punti 4.3 e 4.5) non è realizzata — chi può fungere da fornitore di riserva dipende dall'atto delegato ESPR sui fornitori di servizi.

• Allineamento del vocabolario CIRPASSIn attesa

  I modelli sono progettati per allinearsi alle raccomandazioni del vocabolario CIRPASS; un documento formale di allineamento campo per campo non è ancora stato pubblicato.

• Supporto strutturale GS1 GLN — operatori economici con ruoli multipliAttivo

  Ogni passaporto contiene un blocco strutturale parties indicizzato per ruolo di operatore economico (fabbricante / importatore / mandatario / distributore / riciclatore / organizzazione di responsabilità del produttore). I GLN sono identificatori GS1 validati a 13 cifre (cifra di controllo mod-10) ed emessi sia in gs1:partyGLN (GS1 Web Vocabulary) sia in schema:identifier propertyID GS1:GLN (mirror schema.org). I ruoli richiesti sono stabiliti per ciascuna categoria nella piattaforma, ricavati dagli obblighi degli operatori in ciascuna norma: per le batterie sono richiesti fabbricante, riciclatore e organizzazione di responsabilità del produttore, mentre importatore, mandatario e distributore sono facoltativi (Regolamento batterie 2023/1542 art. 38 per i fabbricanti, artt. 56–57 per la responsabilità estesa del produttore e le PRO); per imballaggi e FMCG sono richiesti fabbricante e PRO (PPWR 2025/40 artt. 45 e 47); per i giocattoli fabbricante e importatore (Direttiva sulla sicurezza dei giocattoli artt. 4 e 6). Richiedere un riciclatore e una PRO è una scelta della piattaforma, non un obbligo del diritto UE: i produttori possono adempiere la responsabilità estesa del produttore individualmente o tramite una PRO (Regolamento batterie art. 57(1), PPWR art. 47(1)), anche se uno Stato membro può rendere obbligatoria una PRO per le batterie. Un ruolo richiesto mancante viene segnalato ma non blocca mai la pubblicazione. I fornitori senza GLN possono invece registrare un legacyOperatorId (partita IVA / EORI / codice fiscale nazionale) — ogni parte resta tracciabile. Disponibile tramite l'editor della dashboard, l'API v1 (PATCH /api/v1/passports/:id/parties/:role) e l'importazione massiva CSV (colonne a chiave puntata).

• Specifica pubblica OpenAPI 3.1Attivo

  Specifica OpenAPI 3.1 scritta a mano che copre ogni endpoint REST v1 (43 percorsi, 53 operazioni tra passaporti, prodotti, esportazioni, EPCIS). Pubblicata su /openapi.yaml con un mirror JSON su /openapi.json — nessun NDA, nessun muro di registrazione. Si importa direttamente in Postman / Insomnia / Bruno o in qualsiasi client target openapi-generator. Esempi pratici in curl / TypeScript / Python si trovano accanto a ogni endpoint su /docs. L'API copre l'intero flusso di lavoro DPP — passaporti, prodotti, esportazioni ed eventi EPCIS; la gestione dell'account e la fatturazione sono disponibili solo nella dashboard.

• GS1 EPCIS 2.0 — esportazione, acquisizione e interrogazione di eventi della catena di approvvigionamentoAttivo

  GS1 EPCIS 2.0 completo — esportazione, acquisizione e interrogazione — incluso in ogni piano, Free compreso. Gli eventi della catena di approvvigionamento, di assistenza e di proprietà di qualsiasi passaporto vengono serializzati come documento JSON-LD valido secondo lo standard EPCIS 2.0, pubblicizzato sul resolver GS1 Digital Link come linkType gs1:traceability, così un sistema compatibile con EPCIS che scansiona il QR scopre la cronologia degli eventi senza conoscere in anticipo l'URL. Le fasi di produzione che il Core Business Vocabulary di GS1 non definisce (fusione, laminazione, finitura) usano URL di vocabolario di proprietà di TracePass sotto tracepass.eu/voc/cbv/bizstep/ — il modello di estensione industriale sancito da GS1 — ciascuna delle quali si risolve nella propria definizione pubblicata. L'acquisizione accetta eventi inviati da fornitori e sistemi ERP, e l'agente IA redige eventi dalle schede tecniche per la revisione umana; l'interrogazione è servita da un'interfaccia di query EPCIS 2.0 che gestiamo nell'UE. Il misuratore di volume scala per piano (1.000 eventi/mese su Basic fino a 10.000.000 su Pro, illimitato su Enterprise; Free riceve 10 come barriera di valutazione). Un self-test riproducibile è disponibile in scripts/epcis-conformance-check.ts.

Adesioni e affiliazioni a ecosistemi che collocano TracePass nell'infrastruttura UE per i passaporti digitali di prodotto. Oggi non esiste un registro ufficiale UE dei "fornitori DPP approvati" — il registro UE dei DPP è operativo per la registrazione degli operatori, ma registra operatori e identificativi di prodotto, non approva fornitori. I segnali legittimi sono: GS1 (l'autorità di assegnazione degli identificatori), CIRPASS / CIRPASS-2 (l'azione di coordinamento finanziata dall'UE che prepara il registro) e BatteryPass-Ready, il successore del progetto Battery Pass (concluso a marzo 2025), che mantiene il modello di dati del passaporto della batteria e un ambiente di test volontario.

Elenchiamo ogni affiliazione in modo onesto: attivo significa che l'adesione / partecipazione è attiva e verificabile; in corso significa che abbiamo presentato richiesta e stiamo attendendo conferma; in attesa significa che intendiamo presentare richiesta ma non abbiamo ancora iniziato. Gli acquirenti procurement dovrebbero trattare "in attesa" allo stesso modo di qualsiasi altra dichiarazione di roadmap — un'intenzione dichiarata, non un risultato consegnato.

• GS1 Bulgaria — organizzazione membro nazionale GS1In attesa

  GS1 è l'organizzazione mondiale di standardizzazione che assegna i GTIN e mantiene la forma URI di GS1 Digital Link che ogni codice QR di passaporto TracePass utilizza (/p/01/<GTIN>/21/<seriale>). Diventare membro di GS1 Bulgaria è il percorso legittimo per assegnare intervalli GTIN reali ai prodotti dei nostri clienti su larga scala, e garantisce accesso reciproco a GS1 Germania / GS1 Italia, ecc. quando si opera in tutta l'UE. Domanda non ancora presentata.

• CIRPASS-2 Stakeholder Community — iscrittoAttivo

  CIRPASS-2 è l'azione di coordinamento finanziata dal programma Horizon UE che prepara l'infrastruttura tecnica, il quadro di governance e le implementazioni pilota per l'ecosistema UE dei DPP (Grant Agreement 101158775, maggio 2024 → aprile 2027). Il livello Stakeholder Community comprende newsletter, eventi e consultazioni pubbliche. TracePass vi ha aderito il 16/05/2026. Il Memorandum d'Intesa CIRPASS-2 fa parte della candidatura alla Community of Practice riportata di seguito, non di questo livello.

• CIRPASS-2 Community of Practice (CoP) — candidatoIn corso

  La Community of Practice è il livello di partecipazione attiva di CIRPASS-2, riservato ai fornitori di servizi DPP e ai vendor software PLM/ERP/PIM/MES. L'adesione alla CoP richiede ~5-10 giornate-persona/anno, un MoU firmato con il coordinatore del progetto (CEA) e contributi alle attività del Forum di scambio tra portatori d'interesse DPP. La registrazione alla CoP è personale: il MoU è stato quindi firmato dal fondatore Malin Ivanov come esperto individuale (con TracePass indicata come sua organizzazione) il 16/05/2026 e presentato con la candidatura. TracePass ha presentato richiesta di adesione alla CoP il 16/05/2026; soggetto alla procedura di valutazione CIRPASS-2.

• Forum di scambio tra portatori d'interesse DPP di CIRPASS-2 — circular-data.orgAttivo

  circular-data.org è il Forum di scambio tra portatori d'interesse DPP di CIRPASS-2 — la piattaforma di matchmaking e scambio di conoscenze (ospitata da Ekodenge su Clusterly) che collega fornitori di soluzioni DPP, fabbricanti ed enti di normazione in tutta l'UE. TracePass ha registrato il proprio profilo organizzativo a maggio 2026 come fornitore PMI di DPP-as-a-Service; il profilo è stato esaminato, approvato ed è pubblicamente elencato. Si tratta di una registrazione distinta dall'adesione alla Stakeholder Community e alla Community of Practice di CIRPASS-2, valutate separatamente.

• BatteryPass-Ready — successore del progetto Battery Pass

  Il progetto Battery Pass, un consorzio tedesco finanziato dal BMWK, ha pubblicato linee guida sui contenuti e un modello di dati di riferimento per il passaporto della batteria UE (obbligatorio dal 18 febbraio 2027 ai sensi del Regolamento (UE) 2023/1542) e si è concluso a marzo 2025. Il suo successore, BatteryPass-Ready (guidato da Fraunhofer IPK con acatech, GEFEG e TU Berlin), mantiene gli schemi JSON del passaporto della batteria e gestisce un ambiente di test volontario; non è una verifica ufficiale di conformità UE e non rilascia certificati. Mappiamo i passaporti delle batterie di TracePass sugli schemi BatteryPass-Ready e li verifichiamo internamente con il suo validatore; i clienti non possono ancora eseguire questa verifica dalla dashboard. TracePass non è Supporting Partner di BatteryPass-Ready.

• Registro UE dei DPP: operatore economico verificatoAttivo

  Il registro UE dei DPP — istituito dall'articolo 13 dell'ESPR (Regolamento (UE) 2024/1781), con le modalità di attuazione stabilite dal Regolamento di esecuzione (UE) 2026/1778 — è operativo. TracePass LTD è registrata e verificata come operatore economico nell'ambiente di produzione del registro. Registrare un passaporto non è ancora possibile per nessun gruppo di prodotti, batterie comprese: la Commissione non ha ancora definito il catalogo semantico rispetto al quale vengono verificate le trasmissioni, e l'API di registrazione non ha una specifica pubblicata. Quando la registrazione sarà aperta, il caricamento degli identificativi resterà un obbligo dell'operatore economico che immette il prodotto sul mercato; seguiamo la specifica e aggiungeremo il supporto alla registrazione quando sarà pubblicata. Il registro conserva identificativi, non i dati del passaporto — il passaporto resta ospitato dall'operatore.