Política de Seguridad para Vendedores de Amazon

Objetivo: Exponer de forma clara los controles que aplicamos al tratar Amazon Information (incluida PII) y otros datos del Cliente.

1. Gobierno y alcance

Política aprobada por Alejandro Grau Pérez y revisada anualmente o ante cambios materiales.
Alcance: dispositivos, cuentas y servicios utilizados para prestar servicios de Account Management y, cuando aplique, integraciones SP-API.

2. Principios

Minimización y necesidad: solo accedemos a los roles y datos imprescindibles.
Separación de entornos: datos de clientes segregados lógicamente; prohibido el uso de datos de un cliente para otro.
Acceso humano restringido: RBAC, MFA y least privilege.

3. Controles de acceso

MFA obligatorio en todas las cuentas críticas (Amazon, email, gestores de contraseñas).
Inventario y revisión periódica de permisos; revocación inmediata al finalizar un proyecto.
Contraseñas robustas, gestor de contraseñas y rotación cuando proceda.

4. Cifrado y protección de datos

En tránsito: TLS 1.2+ en todos los servicios.
En reposo: cifrado a nivel de dispositivo/volumen y de archivos sensibles.
Claves: custodia en gestor seguro, acceso restringido.

5. Seguridad de endpoint y red

Antivirus/antimalware y EDR activos en endpoints con acceso a datos de Amazon.
Sistema operativo y aplicaciones parcheados (actualizaciones automáticas).
Bloqueo de pantalla automático, cifrado de disco completo y prohibición de uso de equipos no gestionados para PII.
Copias de seguridad cifradas de configuraciones críticas (sin PII salvo obligación legal).

6. Registro y auditoría

Registro de accesos y eventos relevantes; revisión periódica de logs.
Alertas para intentos fallidos y actividades anómalas.

7. Retención y borrado

PII de Amazon: retención ≤ 30 días tras la entrega/expedición, salvo conservación legal en copia fría/offline cifrada; luego borrado/anonimización.
Datos operativos no PII: conforme a contrato y necesidad del servicio.
Procedimiento documentado de borrado seguro al fin del contrato.

8. Gestión de proveedores

Contratos de encargado con terceros (TI, analítica, ticketing).
Evaluación de riesgo y acceso mínimo; sin subencargados no autorizados.
Transferencias internacionales: salvaguardas Cap. V RGPD.

9. Seguridad en trabajo remoto

Uso de VPN o canales cifrados; prohibición de redes Wi‑Fi públicas sin protección.
Política de dispositivo limpio; almacenamiento local minimizado.

10. Gestión de vulnerabilidades e incidentes

Ciclo de vulnerabilidades (inventario, parcheo, verificación).
Plan de respuesta a incidentes: identificación, contención, erradicación, recuperación y lecciones aprendidas.
Notificación al Cliente sin dilación indebida cuando un incidente afecte a sus datos; y, si procede, a autoridades conforme a RGPD.

11. Formación y confidencialidad

Compromisos de confidencialidad y formación periódica en seguridad y privacidad.
Concienciación frente a phishing y manejo de PII.

12. Declaración de cumplimiento

Cumplimiento de RGPD, AUP, DPP y Developer Agreement aplicables a Amazon; alineamiento con RDT cuando proceda.