Segurança, privacidade e confiança

Fornecedores de infraestrutura da UE certificados

A OpenDPP funciona em fornecedores de infraestrutura digital certificados dentro do Espaço Económico Europeu. As certificações abaixo são detidas por esses fornecedores (Google Cloud, Neon); a OpenDPP herda os seus controlos de segurança e de residência de dados. A própria OpenDPP foi construída para se alinhar com os princípios da ISO 27001 e SOC 2, com a certificação formal no nosso roteiro.

Diretiva NIS2 e integridade da cadeia de abastecimento

A Diretiva NIS2 da UE (Diretiva de Segurança das Redes e dos Sistemas de Informação 2) coloca uma ênfase crítica na segurança e na resiliência das cadeias de abastecimento digitais. A OpenDPP é concebida para se alinhar com estas exigências através de controlos de infraestrutura estruturados.

Verificação de rasto da cadeia de abastecimento UNTP

A OpenDPP suporta controlos de integridade da cadeia de abastecimento alinhados com o Artigo 21 da NIS2, ao verificar criptograficamente transferências de custódia e eventos de transação. Os eventos ingeridos são envolvidos em credenciais UNTP no formato VC assinadas, seguindo o UN Transparency Protocol (UNTP), resolvendo os DIDs dos editores e, quando o nó está configurado com âncoras de confiança eIDAS, validando as cadeias de certificados x5c em relação a elas.

Construída para que os seus passaportes sobrevivam a qualquer parte individual

O Artigo 11.º, alínea e), do ESPR exige que um Passaporte Digital de Produto permaneça disponível durante o tempo de vida esperado do produto — mesmo após a insolvência, a liquidação ou a cessação de atividade de um operador. A OpenDPP foi concebida para que os dados do seu passaporte sobrevivam a uma mudança de operador e para que possa partir levando tudo aquilo que introduziu.

• Alojamento na UE recuperávelOs passaportes funcionam num PostgreSQL (Neon) gerido na UE, com uma janela de restauração pontual de 7 dias, além de uma cópia de segurança diária encriptada e independente que mantemos no nosso próprio armazenamento na nuvem na UE; as chaves de assinatura específicas de cada inquilino são encriptadas em repouso com AES-256-GCM e nunca saem do cofre.
• Persistência desde a conceçãoArquivar um operador ou espaço de trabalho não elimina os seus passaportes — estes permanecem publicamente resolúveis durante a vida útil definida pela regulamentação do respetivo grupo de produtos e, enquanto nenhum ato a tiver definido, não são purgados de todo. A base de dados recusa eliminar um passaporte em cascata quando um operador é removido.
• Exportação de fidelidade total, a pedidoExporte todo o seu espaço de trabalho — operadores, instalações, passaportes, histórico de versões, unidades de bateria e eventos — no formato NDJSON legível por máquina, com os dados confidenciais removidos. Os seus dados são portáteis e pode levá-los consigo a qualquer momento.
• Uma só região da UE — e os passaportes não saem delaOs passaportes são armazenados e servidos a partir de uma única região da UE, pelo que a residência dos dados é uma propriedade da implantação e não uma promessa inscrita numa política. A recuperação faz-se por restauro — a janela de recuperação para um momento específico e a cópia de segurança cifrada diária acima — e não por comutação por falha entre várias regiões, e dizemos desde o início qual das duas recebe.