第 8 步
数字产品护照采购指南
一套厂商中立的 DPP 服务选型框架。可作为起点使用，并根据您的优先事项调整权重。
必备能力
- 符合 CIRPASS 的数据模型，并针对您的品类提供行业扩展。
- 支持 GS1 Digital Link，且至少支持一种 DID 方法。
- 分层访问（公众、专业人员或主管机构），并具备可审计的身份验证。
- 版本管理，并为历史版本提供稳定的 URL。
- W3C 可验证凭证（Verifiable Credentials）的签发与验证。
- 针对解析器（resolver）正常运行时间（> 99.9%）和响应时间的书面 SLA。
- 数据导出与数据可移植性条款，避免被锁定。
- 在欧洲经济区（EEA）内托管，并展现出对 GDPR 的合规性。
- 已公布的安全认证（最低 ISO 27001；优先 SOC 2 Type II）。
评分标准（建议权重）
| 维度 | 权重 |
|---|---|
| 监管契合度（您所在的行业） | 25% |
| 互操作性（CIRPASS、GS1、Catena-X） | 20% |
| 数据可移植性与退出方案 | 15% |
| 安全与合规认证 | 15% |
| 总拥有成本（5 年） | 15% |
| 客户案例与参考案例 | 10% |
危险信号
- 专有数据格式，且无书面的导出路径。
- 声称“符合标准”，却没有具体版本或一致性测试结果。
- 解析器（resolver）位于由厂商控制的域名上——一旦您更换厂商，您的链接就会失效。
- 没有公开定价，或采用随您销量增长的按次扫描收费模式。
- 承诺代表您拥有 DPP——法律责任无法外包。