車廠合約要求「取得並維持 TISAX 標籤」，法務長要確認哪些條款？
| 條款 | 要確認的事 |
|---|---|
| 評估目標與等級 | 等級由評估目標決定、不能自選；AL2 通常視訊，AL3 須稽核員到場 |
| 涵蓋據點 | 範圍內每個據點都要評估；合約要求的據點是否都在範圍內 |
| 期限與換證 | 標籤效期三年，自評估結束會議起算，期間沒有監督稽核，期滿須完整重新評估；合約是否要求到期前完成 |
| 版本 | 2027 年 1 月 1 日起委託者一律適用 VDA ISA2027；決定因素是委託日，而不是評估日 |
| 未取得或過期的後果 | 是否構成違約、是否影響進行中的訂單 |
| 交期 | 客戶給的交期往往比實際需要的準備時間短；ENX 官方明說無法預估整體時程 |
正式評估由獨立的評估提供者執行，顧問不保證標籤取得。合約不要承諾你控制不了的日期，改寫成「於某日前完成評估委託」等你能履行的義務。
註冊 TISAX 等於簽了一份契約嗎？參與條款要看哪些內容？
是。ENX 參與者手冊說明，TISAX 參與者一般條款（GTC）規範你與 ENX、以及你與其他參與者之間的關係，在註冊時接受；ENX 也表明，因參與者之間的相互性，不接受附加條款。ENX 公開的 GTC 3.0.2 版（2023-07-12）約定：
- 準據法與管轄：依德國法解釋，專屬管轄法院為德國法蘭克福
- 資訊提供：受評者決定評估資訊是否、以及如何提供給 ENX 或其他參與者
- 保密：揭露的第三方評估資訊視為機密資訊
- ENX 的責任：就故意、重大過失、產品責任等負損害賠償責任；其他輕過失責任排除
- 效期：評估結果最長有效 36 個月
註冊前確認當時適用的 GTC 版本；條款對貴公司的法律效果，由律師判斷。
評估結果誰看得到？可以只給特定車廠、事後撤回嗎？
- 結果不公開，由參與者控制，透過 ENX 平台分享給選定的夥伴（ENX 官網）
- 分享給其他參與者，須經受評者透過 TISAX 明確同意（GTC 第 XI 節）
- 分享等級決定夥伴能看到結果的深度（參與者手冊）
- 公布與分享一經作出，不能撤回（參與者手冊）
法務長的框架：
- 分享前確認對象、分享等級與評估範圍
- 評估報告若含據點、系統或第三方資訊，判斷是否超出該客戶合約所需
- 與車廠的保密約定，是否涵蓋其收到的評估資訊
因為不能撤回，分享決定要留紀錄並由權責主管核准。
處理車廠的個資時，TISAX「資料保護」評估目標和 GDPR 第 28 條處理者契約是什麼關係？
- ENX 參與者手冊：「Data」評估目標對應 GDPR 第 28 條（處理者）的資料保護；以處理者身分處理個資者，可能需要此評估目標。
- GDPR 本身：沒有官方證書，以 RoPA、DPIA、第 28 條契約、傳輸機制（SCC／BCR）與通報紀錄等自證。
判斷框架：
| 問題 | 誰處理 |
|---|---|
| 我們是處理者還是控制者 | 依實際處理目的與方式判斷 |
| 處理者契約是否簽了、內容是否完整 | 第 28 條要求的契約，TISAX 標籤不能取代 |
| 資料從歐盟傳到台灣用哪一種傳輸機制 | 依個案選擇 |
| TISAX 標籤的角色 | 處理者能力的佐證之一 |
上述法律判斷由律師依個案處理。
車廠交付的原型與機密，保密義務怎麼落到員工、分包商與 AI 工具？
車廠的原型與機密屬於車廠，你依合約負保密義務；你要能證明「我們的措施做到了合約要求」。
- 分包商：VDA ISA2027 的供應商驗證義務加嚴（原 1.2.4 移至 6.1.3）；Tier 1 客戶要求其供應商提供 TISAX 評估結果時，Tier 2 同樣需要完成評估
- AI 工具：只要處理的是客戶的機密或原型資料，這些處理流程就在 TISAX 評估的資訊安全管理範圍內，AI 工具的使用也要受控
- 員工：保密約定、資訊分級與機密標示、存取紀錄。以營業秘密法第 2 條的合理保密措施為參照，光簽保密契約不足以單獨構成合理措施
法務長的框架：車廠合約的保密條款、你的員工與分包商合約、實際的存取紀錄，三層要能對上。
TISAX、UN R155 與 EU CRA：哪些是法律義務、哪些是合約要求？
| 要求 | 性質 | 對零組件廠的意義 |
|---|---|---|
| TISAX | 車廠的商業要求，不是法律義務 | 由車廠合約要求 |
| UN R155／R156 | 整車（車廠）型式認證要求 | 零組件廠多由車廠透過契約要求 |
| EU CRA | 歐盟產品法規 | 依 (EU) 2019/2144 取得型式認可的車輛及其專用系統、零組件不適用；獨立銷售的車用數位產品仍在範圍內，例如售後市場裝置、診斷工具 |
法務長要把「法律直接要求」與「合約轉嫁」分開列管：前者看主管機關與罰則，後者看合約責任與交付承諾。產品是否屬獨立銷售的車用數位產品，要逐項判斷。
積穗科研怎麼協助法務長處理 TISAX？
- 先確認客戶要求：評估範圍、目標與等級，以及該依 ISA 6.0.3 或 ISA2027
- 制度與證據：依 VDA ISA 建立制度與成熟度證據，並與 ISO/SAE 21434 共用組織層文件
- 適用時：原型及資料保護的作業要求
- 費用與角色分開：輔導、工程整改及正式評估費分開；正式評估由所選評估提供者執行，不保證標籤或客戶資格取得
- 誰主導：副總、董事級顧問全程親自輔導、不外包。具名客戶：億豐金屬工業（通過 SGS Taiwan 評估、取得 TISAX 標章）
深入：TISAX 評估輔導、台灣 TISAX 顧問怎麼選、TISAX 要多久、營業秘密顧問怎麼選、GDPR 顧問怎麼選。申請免費機制診斷
其他角色怎麼看這項服務
同一角色的其他服務
- 法務長看 ISO 37001：代理商行賄、檢舉調查與合約條款怎麼管？
- 法務長看營業秘密保護：員工帶料、提告與證據保全要先準備什麼？
- 法務長看 GDPR 與 ISO 27701：處理者契約、跨境傳輸與調查怎麼應對？
- 法務長看 EU CRA：製造商責任、通報義務與 ODM 合約怎麼分？
- 法務長看 EU AI Act 與 ISO 42001：角色、AI 合約與責任
- 法務長看 NIS2：管轄、個人責任、主管機關調查與客戶條款怎麼處理？
- 法務長看 DORA：第 30 條合約、稽核權與退出條款怎麼談？
- 法務長看 ERM：法遵風險怎麼進風險地圖、怎麼證明法遵制度有效？
- 法務長看 ISO 27001：客戶資安條款、稽核權與事件責任怎麼談？