1. Objetivo
Esta Política de Protección de Datos (“PPD”) establece los principios, controles y procedimientos que Mercado Actual adopta para garantizar la recepción, almacenamiento, uso, transferencia y eliminación segura de toda Información (incluyendo Información Personal Identificable – IIP) accedida o gestionada a través de la API de Servicios de Amazon, conforme al Acuerdo para Desarrolladores de la API de Servicios de Amazon y la Política de Uso Aceptable. El incumplimiento de esta PPD puede ocasionar la suspensión o cancelación del acceso a la API.
2. Alcance
Aplica a todos los sistemas, aplicaciones, empleados, contratistas y procesos que almacenan, procesan, transmiten o gestionan información obtenida o vendida mediante la API de Servicios de Amazon.
3. Requisitos Generales de Seguridad
3.1 Salvaguardas físicas, administrativas y técnicas
Mercado Actual mantiene salvaguardas adecuadas para garantizar la seguridad, confidencialidad e integridad de la Información, protegiéndola contra amenazas razonables, pérdida, alteración, divulgación o procesamiento ilegal.
3.2 Protección de red
Implementamos controles de protección de red que incluyen cortafuegos, listas de control de acceso IP, segmentación de red, sistemas de detección y prevención de intrusiones (IDS/IPS) y herramientas antivirus y antimalware actualizadas y ejecutadas al menos mensualmente.
3.3 Gestión de acceso
- Cada usuario autorizado recibe un identificador único.
- No se utilizan credenciales genéricas o compartidas.
- El acceso se asigna conforme al principio de mínimo privilegio y necesidad de conocer.
- Se restringe el almacenamiento de Información en dispositivos personales.
- Se aplican bloqueos automáticos de cuentas ante intentos sospechosos y se revisan accesos trimestralmente.
- El acceso de empleados o contratistas despedidos se revoca en un plazo máximo de 24 horas.
3.4 Gestión de credenciales
- Contraseñas con mínimo 12 caracteres, con mayúsculas, minúsculas, números y símbolos, sin incluir datos personales.
- Caducidad máxima de contraseñas: 365 días; antigüedad mínima: 1 día.
- Se requiere autenticación multifactor (MFA) para todos los accesos.
- Claves API cifradas y acceso limitado a personal estrictamente necesario.
3.5 Cifrado en tránsito y en reposo
- Toda la Información viaja cifrada con protocolos TLS 1.2+ o equivalentes seguros (SFTP, SSH-2).
- La Información Personal Identificable (PII) almacenada se cifra con algoritmos AES-128 o RSA-2048 o superiores.
3.6 Plan de gestión de riesgos y respuesta a incidentes
- Mantenemos un proceso anual de evaluación de riesgos aprobado por la alta dirección.
- Contamos con un plan de respuesta a incidentes que identifica roles, tipos de incidentes, procedimientos y rutas de escalamiento, incluyendo notificación a Amazon dentro de 24 horas tras detección.
- Se documentan las investigaciones, medidas correctivas y se mantiene la cadena de custodia de evidencias.
- No se representa a Amazon ante autoridades sin autorización expresa.
3.7 Eliminación de información
- Información eliminada permanentemente en un plazo máximo de 30 días tras solicitud de Amazon, salvo requisitos legales que exijan conservación.
- Se eliminan todas las copias activas en un plazo máximo de 90 días.
- Se puede certificar la destrucción segura a Amazon si se requiere.
3.8 Atribución de datos
- La información almacenada se mantiene etiquetada para identificar su origen y trazabilidad.
4. Requisitos específicos para Información Personal Identificable (IIP)
4.1 Retención de datos
- La IIP se conserva como máximo 30 días después de la entrega para fines legítimos como cumplimiento fiscal y envío.
- Extensión solo si es requerida por ley.
4.2 Gobernanza y gestión de datos
- Mercado Actual documenta y mantiene políticas de privacidad y gestión de datos.
- Se registra el procesamiento de IIP y se asegura el cumplimiento normativo.
- Se garantiza el derecho de los interesados a acceso, rectificación, eliminación o limitación de sus datos.
- Se incluyen cláusulas contractuales en los contratos laborales para mantener la confidencialidad.
4.3 Gestión de activos
- Inventario actualizado trimestralmente de software y hardware con acceso a IIP.
- Gestión formal de cambios con segregación de funciones y pruebas previas a implementación.
- Prohibido almacenar IIP en medios no seguros o dispositivos personales sin cifrado.
- Eliminación segura de documentos impresos con IIP.
- Implementación de controles de prevención de pérdida de datos (DLP).
4.4 Prácticas de codificación segura
- No se codifican credenciales ni claves en código fuente.
- Separación estricta entre entornos de producción y prueba.
4.5 Registro y supervisión
- Registro de eventos de seguridad con acceso controlado, revisión quincenal o en tiempo real mediante SIEM.
- Conservación mínima de registros de 90 días, excepto que la ley exija otro plazo.
- Supervisión con alertas para actividades sospechosas y análisis de eventos.
4.6 Gestión de vulnerabilidades
- Análisis de vulnerabilidades semestrales y pruebas de penetración anuales.
- Análisis de código para detectar vulnerabilidades antes de cada lanzamiento.
- Procedimientos para restaurar disponibilidad y acceso a IIP tras incidentes.
5. Auditoría y Cumplimiento
- Mercado Actual mantiene registros de cumplimiento durante la vigencia del acuerdo y 12 meses adicionales.
- Cooperación total con auditorías solicitadas por Amazon o terceros designados.
- Corrección de deficiencias detectadas en auditorías en los plazos acordados, con evidencia documentada para cierre.
6. Definiciones
Se aplican las definiciones contenidas en el Acuerdo para Desarrolladores de la API de Servicios de Amazon, incluyendo «Información», «Información Personal Identificable», «Incidente de seguridad», «Usuario autorizado», entre otras.