Prêt pour l’audit, par défaut. Pas en sprint.
Packs d’export cryptographiquement signés pour les organismes notifiés et les autorités des États membres. Générés en quelques secondes, restreints par jeton, expirés selon votre calendrier.
- Signatures cryptographiques
- SOC 2 + ISO 27001 attestés
- Résidence UE (Francfort + Amsterdam)
Une surface en lecture seule, conçue pour les régulateurs.
Pas un partage d’écran. Pas un dossier de PDFs zippés. Un environnement restreint, signé, à durée limitée, que votre auditeur ouvre, lit et vérifie — sans jamais toucher à votre console.
- Signé par
- console.dppautomate.eu · clé 8F4B…E217
- Expire
- dans 47 jours · 12/05/2027 23:59 UTC
- Destinataire
- auditor@tuvsud.com
- Déclaration batterie · PDFPDF2.4 MB
- Composition des substances · JSONJSON184 KB
- Chaîne de traçabilité · XBRLXBRL612 KB
- Chaîne de signatures · JSONJSON14 KB
Quatre propriétés qu’un auditeur peut vérifier lui-même.
Signé par défaut.
Chaque export est cryptographiquement signé avec une clé que l’autorité peut vérifier contre notre chaîne publique. Inviolable de la génération à la récupération.
Accès restreint.
Les auditeurs reçoivent uniquement les SKUs, les règlements et les champs qu’ils sont autorisés à inspecter. Rien d’autre ne franchit la frontière.
Durée limitée.
Les liens d’accès expirent automatiquement à une date que vous choisissez — typiquement 14 à 90 jours. Après, l’URL renvoie un reçu de révocation signé et public.
Révocation en un clic.
Retirez l’accès à n’importe quel auditeur instantanément. Pas de recalcul du pack, pas de seconde cérémonie de signature, aucun ticket de support.
Trois étapes, de la demande à la vérification.
- 01Step
Générer.
Sélectionnez les SKUs et le périmètre réglementaire. Le pack est construit, signé et indexé en moins de trente secondes.
- 02Step
Partager.
Envoyez un seul lien à durée limitée à l’auditeur ou à l’organisme notifié. Pas de comptes, pas de provisionnement par utilisateur.
- 03Step
L’autorité vérifie.
Un portail en lecture seule sert les exports PDF, JSON et XBRL — chaque artefact signé, chaque signature vérifiable indépendamment.
Trois formats. Une cérémonie de signature.
Dossier de conformité prêt à imprimer avec une page de signature vérifiable. Le format que la plupart des organismes notifiés archivent encore à la main.
Pour organismes notifiésExport structuré, versionné par schéma, pour pipelines aval. Vérification programmatique, sans parsing de PDF.
ProgrammatiqueTaxonomie de niveau régulateur utilisée par les autorités des États membres pour le reporting transfrontalier. Mêmes données sources, pas de seconde extraction.
Standard régulateurConçu pour la pièce dans laquelle vous entrez avec un régulateur.
SOC 2
Attestation Type II, renouvelée chaque année. Rapport disponible sous NDA.
ISO 27001
Système de management de la sécurité de l’information certifié. Statement of Applicability sur demande.
Résidence UE
Primaire à Francfort, réplique à Amsterdam. Aucun transit hors UE pour les données client.
Signatures cryptographiques
Chaque export et chaque révision de passeport est signé. Chaîne publique pour vérification indépendante.
mTLS + OAuth 2
Authentification côté auditeur via TLS mutuel ou OAuth 2 avec jetons à courte durée de vie. Pas de mots de passe partagés.
Clés gérées par le client
Offre Enterprise : bring your own KMS. Nous ne voyons jamais le matériel de clé non chiffré.
Déclenchez des audit rooms depuis les systèmes que vous utilisez déjà.
Créez un pack d’audit signé, restreint et à durée limitée depuis un outil de workflow, un job CI ou un ticket procurement. Le pack est construit et le destinataire notifié avant le retour de la requête.
curl -X POST https://api.dppautomate.eu/v1/audit-packs \
-H "Authorization: Bearer $DPP_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"sku_filter": ["VOLTA-9821-*"],
"regulation": "EU 2023/1542",
"formats": ["pdf", "json", "xbrl"],
"expires_at": "2027-03-01T00:00:00Z",
"recipient_email": "auditor@tuvsud.com"
}'Les questions
que les responsables conformité posent vraiment.
Six questions récurrentes des organismes notifiés, des autorités des États membres et des équipes procurement qui doivent les briefer. Si la vôtre n’y est pas, le formulaire de contact aboutit chez une personne.
Réserver un briefing conformité →Comment les régulateurs vérifient-ils la signature cryptographique ?+
Chaque pack est livré avec une signature détachée et une empreinte de clé publique. L’auditeur (ou son outillage) récupère la clé publique correspondante depuis notre chaîne publiée sur trust.dppautomate.eu, recalcule le digest et le confronte à la signature. La vérification est possible hors-ligne — aucun rappel à notre infrastructure n’est nécessaire.
Puis-je révoquer l’accès d’un auditeur en cours de mission ?+
Oui, instantanément. La révocation est un seul appel API (ou un clic dans la console). Le pack lui-même n’est pas recalculé et la signature reste valide — ce qui change, c’est que l’endpoint d’accès renvoie un reçu de révocation signé dès que l’auditeur tente de le charger. Le reçu est lui-même auditable.
Avec quels organismes notifiés avez-vous travaillé ?+
Nous avons livré des packs d’audit dans le cadre de missions avec TÜV SÜD, TÜV Rheinland, DEKRA et Bureau Veritas, principalement sur des périmètres batteries et électronique. La liste précise de références est disponible sous NDA — la plupart de ces missions précèdent la mention publique du client.
Combien de temps les exports d’audit room sont-ils conservés ?+
Rétention par défaut : le maximum entre quatre-vingt-dix jours après la date d’expiration que vous avez fixée, ou la durée légale de conservation du règlement concerné. Pour ESPR Batterie, c’est actuellement dix ans à compter de la fin de l’année civile de mise sur le marché. Les overrides de rétention définis par le client sont disponibles sur l’offre Enterprise.
Supportez-vous une audit room on-prem (air-gapped) ?+
Oui, pour les clients Enterprise dans les périmètres où le régulateur ou le SMSI du client exige une livraison air-gapped. Nous livrons une appliance durcie mono-nœud qui produit les mêmes packs signés contre la même chaîne de clés publique. Procédure de vérification écrite fournie, suivie par le régulateur.
Que deviennent les packs expirés — les preuves cryptographiques sont-elles conservées ?+
Oui. L’expiration révoque l’accès aux données sous-jacentes, mais la signature, la clé publique, le digest et le reçu de révocation sont conservés pour toute la durée légale. Un régulateur peut vérifier un an plus tard qu’un pack précis a existé, a été signé par une clé précise et a été révoqué à un instant précis — sans avoir à charger le pack lui-même.