Privacidad de datos de Amazon
Política de protección de datos
La Política de Protección de Datos ("DPP") rige el recibo, el almacenamiento, el uso, la transferencia y la eliminación de información, incluidos los datos vendidos y recuperados a través de la API de Amazon Services (incluida la API del servicio web del mercado). Esta política es aplicable a todos los sistemas que almacenan, procesan o manejan los datos vendidos y recuperados de la API de Amazon Services. Esta política suplementa el Acuerdo de desarrollador de API de Amazon Services y el Política de uso aceptable. El incumplimiento de este DPP puede resultar en la suspensión o terminación del acceso a la API de Amazon Services de acuerdo con el Acuerdo de desarrollador de API de Amazon Services.
1. Requisitos generales de seguridad
De acuerdo con la seguridad líder en la industria, los desarrolladores mantendrán salvaguardas físicas, administrativas y técnicas, y otras medidas de seguridad (i) para mantener la seguridad y la confidencialidad de la información accedida, recopilada, utilizada, almacenada o transmitida por un desarrollador, y (ii) para proteger esa información de las amenazas o peligros conocidos o razonables a su seguridad e integridad, accidental, alteración, alteración, discreta y todas las otras formas de procesamiento. Sin limitación, el desarrollador cumplirá con los siguientes requisitos:
1.1 Protección de red. Los desarrolladores deben implementar controles de protección de redes, incluidos firewalls de red y listas de control de acceso a la red para negar el acceso a direcciones IP no autorizadas. Los desarrolladores deben implementar la segmentación de la red, la detección de intrusos y los mecanismos de prevención (incluidos los métodos de defensa en profundidad para complementar los conjuntos de reglas de un firewall, y usar IDS y/o mecanismos basados en patrones de firma IP para identificar y prevenir el comportamiento malicioso que transmiten la red), y herramientas antivirus y anti-malware periódicamente (al menos mensualmente). Los desarrolladores deben restringir el acceso a los sistemas solo a los empleados internos aprobados que tienen responsabilidades de codificación y desarrollo, y que han completado previamente la protección de datos y los entrenamientos de sensibilización de seguridad de TI ("usuarios aprobados"). Los desarrolladores deben mantener prácticas de codificación seguras y realizar capacitaciones de protección de datos y conciencia de seguridad de TI para usuarios aprobados al menos anual.
1.2 Gestión de acceso. Los desarrolladores deben establecer un proceso formal de registro de acceso al usuario para asignar derechos de acceso a todos los tipos y servicios de usuarios asegurando que se asigne una ID única a cada persona con acceso a la información a la información. Los desarrolladores no deben crear o usar credenciales de inicio de sesión genéricas, compartidas o predeterminadas o cuentas de usuario y evitar que se compartan cuentas de usuario. Los desarrolladores deben implementar mecanismos de base para garantizar que en todo momento solo la información de acceso a las cuentas de usuario requeridas. Los desarrolladores deben restringir a los empleados y contratistas que almacenen información sobre dispositivos personales. Los desarrolladores mantendrán y aplicarán el "bloqueo de la cuenta" detectando patrones de uso anómalo e intentos de inicio de sesión, y deshabilitando cuentas con acceso a la información. Los desarrolladores deben revisar la lista de personas y servicios con acceso a información al menos trimestralmente. Los desarrolladores deben asegurarse de que el acceso esté deshabilitado y/o eliminado dentro de las 24 horas para los empleados terminados.
1.3 Principio de menor privilegio. Los desarrolladores deben implementar mecanismos de control de acceso de grano fino para permitir los derechos de otorgamiento a cualquier parte utilizando la aplicación y los operadores autorizados de la aplicación siguiendo el principio de menor privilegio. El acceso a la información debe otorgarse de "necesidad de saber".
1.4 Gestión de credenciales. Los desarrolladores deben establecer requisitos mínimos de contraseña para personal y sistemas con acceso a la información. Los requisitos de contraseña deben ser un mínimo de doce (12) caracteres, no incluir ninguna parte del nombre del usuario, la combinación de letras superiores, letras de caso inferior, números y caracteres especiales, incluidos los requisitos mínimos para cada uno. Los desarrolladores deben establecer una edad mínima de contraseña de 1 día y un vencimiento máximo de contraseña de 365 días para todos los usuarios. Los desarrolladores deben asegurarse de que se requiera la autenticación multifactor (MFA) para todas las cuentas de usuario. Los desarrolladores deben asegurarse de que las claves API proporcionadas por Amazon estén encriptadas y solo los empleados requeridos tengan acceso a ellas.
1.5 Cifrado en tránsito. Los desarrolladores deben cifrar toda la información en tránsito con protocolos seguros como TLS 1.2+, SFTP y SSH-2. Los desarrolladores deben hacer cumplir este control de seguridad en todos los puntos finales internos y externos aplicables. Los desarrolladores deben usar el cifrado a nivel de mensaje de datos donde el cifrado de canal (por ejemplo, el uso de TLS) termina en hardware multiinquilino no confiable (por ejemplo, proxies no confiables).
1.6 Plan de gestión de riesgos y respuesta a incidentes. Los desarrolladores deben tener un proceso de evaluación y gestión de riesgos revisado anualmente por la alta gerencia del desarrollador, que incluye, entre otros, la evaluación de posibles amenazas y vulnerabilidades, así como la probabilidad e impacto para rastrear los riesgos conocidos. Los desarrolladores deben crear y mantener un plan y/o Runbook para detectar y manejar incidentes de seguridad. Dichos planes deben identificar los roles y responsabilidades de respuesta a incidentes, definir los tipos de incidentes que pueden afectar a Amazon, definir los procedimientos de respuesta a incidentes para los tipos de incidentes definidos y definir una ruta de escalada y procedimientos para aumentar los incidentes de seguridad a Amazon. Los desarrolladores deben revisar y verificar el plan cada seis (6) meses y después de cualquier infraestructura importante o cambio de sistema, incluidos los cambios en el sistema, los controles, los entornos operativos, los niveles de riesgo y la cadena de suministro. Los desarrolladores deben notificar a Amazon (por correo electrónico a security@amazon.com) dentro de las 24 horas posteriores a la detección de un incidente de seguridad. Es la responsabilidad exclusiva del desarrollador informar a las agencias reglamentarias o reguladoras según lo requerido por las leyes locales aplicables. Los desarrolladores deben investigar cada incidente de seguridad y documentar la descripción del incidente, las acciones de remediación y el proceso correctivo asociado/controles del sistema implementados para evitar la recurrencia futura. Los desarrolladores deben mantener la cadena de custodia para todas las evidencias o registros recopilados, y dicha documentación debe estar disponible para Amazon a pedido (si corresponde). Si se ha producido un incidente de seguridad, los desarrolladores no pueden representar o hablar en nombre de Amazon a cualquier autoridad reguladora o clientes a menos que Amazon solicite específicamente por escrito que el desarrollador lo haga.
1.7 Solicitud de eliminación. Los desarrolladores deben eliminar la información de forma permanente y segura y de acuerdo con el aviso de Amazon que requiere eliminación dentro de los 30 días de las solicitudes de Amazon a menos que los datos sean necesarios para cumplir con los requisitos legales, incluidos los requisitos fiscales o reglamentarios. La eliminación segura debe ocurrir de acuerdo con los procesos de desinfección estándar de la industria como NIST 800-88. Los desarrolladores también deben eliminar de forma permanente y segura todos los casos de información en vivo (en línea o accesibles en la red) 90 días después del aviso de Amazon. Si lo solicita Amazon, el desarrollador certificará por escrito que toda la información ha sido destruida de forma segura.
1.8 Atribución de datos. Los desarrolladores deben almacenar información en una base de datos separada o implementar un mecanismo para etiquetar e identificar el origen de todos los datos en cualquier base de datos que contenga información.
2. Requisitos de seguridad adicionales específicos de la información de identificación personal
Se deben cumplir los siguientes requisitos de seguridad adicionales para información de identificación personal ("PII"). PII se otorga a los desarrolladores para impuestos selectos y fines de envío cumplidos comerciales, de manera imprescindible. Si una API de Amazon Services contiene PII, o PII se combina con no PII, entonces todo el almacén de datos debe cumplir con los siguientes requisitos:
2.1 Retención de datos. Los desarrolladores retendrán PII por no más de 30 días después de la entrega de pedidos y solo para el propósito de, y siempre que sea necesario para (i) cumplir con las órdenes, (ii) calcular y remitir impuestos, (iii) producir facturas de impuestos y otros documentos obligatorios, y (iv) cumplir con los requisitos legales, incluidos los requisitos impuestos o regulatorios. Los desarrolladores pueden retener datos durante más de 30 días después de la entrega de pedidos solo si lo exige la ley y solo para el fin de cumplir con esa ley. Según las Secciones 1.5 ("Cifrado en tránsito") y 2.4 ("Cifrado en reposo") en ningún momento debe transmitirse o almacenarse sin protección PII.
2.2 Gobierno de datos. Los desarrolladores deben crear, documentar y cumplir con una privacidad y manejo de datos y clasificación de políticas para sus aplicaciones o servicios, que rigen los controles técnicos y de conducta apropiada que se aplicarán en la gestión y la protección de los activos de información. Se debe mantener un registro de actividades de procesamiento de datos, como campos de datos específicos y cómo se recopilan, procesan, almacenan, usan, comparten y se eliminan para todos los PII para establecer la responsabilidad y el cumplimiento de las regulaciones. Los desarrolladores deben establecer un proceso para detectar y cumplir con las leyes de privacidad y seguridad y requisitos reglamentarios aplicables a sus negocios y retener evidencia documentada de su cumplimiento. Los desarrolladores deben establecer y cumplir con su política de privacidad para el consentimiento del cliente y los derechos de datos para acceder, rectificar, borrar o dejar de compartir/procesar su información cuando corresponda o requerido por la regulación de la privacidad de los datos. Los desarrolladores deben tener procesos y sistemas técnicos y organizativos establecidos para ayudar a los usuarios autorizados con solicitudes de acceso al sujeto de datos. Los desarrolladores deben incluir disposiciones contractuales en contratos de empleo con empleados que procesen PII para mantener la confidencialidad de PII.
2.3 Gestión de activos. Los desarrolladores deben mantener la configuración estándar de línea de base para sistemas de información e instalar parches, actualizaciones, correcciones de defectos y actualizaciones de forma regular. Los desarrolladores deben mantener y actualizar trimestralmente, un inventario preciso de software y activos físicos (por ejemplo, computadoras, dispositivos móviles) con acceso a PII, que debe incluir todos los dispositivos en el entorno del desarrollador junto con el estado de mantenimiento de cada dispositivo para garantizar el cumplimiento de la línea de base. Los desarrolladores deben mantener un proceso de gestión de cambios para todos los sistemas de información, de modo que el software y el hardware con acceso a PII sean probados, verificados y aprobados, con una segregación de deberes entre aprobadores de cambios y aquellos que prueban los cambios antes de la implementación. Los activos físicos que almacenan, procesan o manejan PII deben cumplir con todos los requisitos establecidos en esta política. Los desarrolladores no deben almacenar PII en medios extraíbles, dispositivos personales o aplicaciones de nube pública no seguras (por ejemplo, enlaces públicos disponibles a través de Google Drive) a menos que esté encriptado utilizando al menos claves AES-128 o Bit RSA-2048 o más. Los desarrolladores deben eliminar de forma segura los documentos impresos que contengan PII. Los desarrolladores deben implementar controles de prevención de pérdidas de datos (DLP) en su lugar para monitorear y detectar el movimiento no autorizado de datos.
2.4 Cifrado en reposo. Los desarrolladores deben cifrar todo el PII en reposo utilizando al menos AES-128 o RSA con un tamaño clave de 2048 bits o más. Los materiales criptográficos (por ejemplo, las claves de cifrado/descifrado) y las capacidades criptográficas (por ejemplo, demonios que implementan módulos de plataforma de confianza virtual y proporcionan API de cifrado/descifrado) utilizadas para el cifrado de PII en REST solo deben ser accesibles para los procesos y servicios del desarrollador.
2.5 Prácticas de codificación seguras. Los desarrolladores no deben codificar credenciales confidenciales en su código, incluidas las claves de cifrado, las claves de acceso secreto o las contraseñas. Las credenciales confidenciales no deben estar expuestas en repositorios de código público. Los desarrolladores deben mantener entornos separados de prueba y producción.
2.6 Registro y monitoreo. Los desarrolladores deben recopilar registros para detectar eventos relacionados con la seguridad a sus aplicaciones y sistemas, incluido el éxito o el fracaso del evento, la fecha y la hora, los intentos de acceso, los cambios de datos y los errores del sistema. Los desarrolladores deben implementar este mecanismo de registro en todos los canales (por ejemplo, API de servicio, API de capa de almacenamiento, paneles administrativos) que proporcionan acceso a la información. Los desarrolladores deben revisar los registros en tiempo real (por ejemplo, la herramienta SIEM) o de forma quincenal. Todos los registros deben tener controles de acceso para evitar cualquier acceso no autorizado y manipulación a lo largo de su ciclo de vida. Los registros no deben contener PII a menos que el PII sea necesario para cumplir con los requisitos legales, incluidos los requisitos fiscales o reglamentarios. A menos que la ley aplicable requiera lo contrario, los registros deben conservarse durante al menos 90 días como referencia en caso de un incidente de seguridad. Los desarrolladores deben construir mecanismos para monitorear los registros y todas las actividades del sistema para desencadenar alarmas de investigación en acciones sospechosas (por ejemplo, múltiples llamadas no autorizadas, tasa de solicitud inesperada y volumen de recuperación de datos, y acceso a registros de datos canarios). Los desarrolladores deben implementar alarmas y procesos de monitoreo para detectar si la información se extrae o se puede encontrar más allá de sus límites protegidos. Los desarrolladores deben realizar una investigación cuando se activen las alarmas de monitoreo, y esto debe documentarse en el plan de respuesta a incidentes del desarrollador.
2.7 Gestión de vulnerabilidad. Los desarrolladores deben crear y mantener un plan y/o Runbook para detectar y remediar vulnerabilidades. Los desarrolladores deben proteger el hardware físico que contiene PII de las vulnerabilidades técnicas mediante la realización de escaneos de vulnerabilidad y remediando adecuadamente. Los desarrolladores deben realizar escaneo de vulnerabilidad al menos cada 180 días, las pruebas de penetración al menos cada 365 días y escanear el código de vulnerabilidades antes de cada lanzamiento. Los desarrolladores deben tener procedimientos y planes apropiados para restaurar la disponibilidad y el acceso a PII de manera oportuna en caso de un incidente físico o técnico.
3. Auditoría y evaluación
Los desarrolladores deben mantener todos los libros y registros apropiados razonablemente requeridos para verificar el cumplimiento de la Política de uso aceptable, este DPP y el Acuerdo de desarrollador de API de Amazon Services durante el período de este Acuerdo y durante 12 meses a partir de entonces. Tras la solicitud por escrito de Amazon, los desarrolladores deben certificar por escrito a Amazon que cumplen con estas políticas.
A solicitud razonable, Amazon puede, o puede tener una firma de contabilidad pública certificada independiente seleccionada por Amazon, auditar, evaluar e inspeccionar los libros, registros, instalaciones, operaciones y seguridad de todos los sistemas que están involucrados con la aplicación de un desarrollador en la recuperación, almacenamiento o procesamiento de información. Amazon mantendrá confidencial cualquier información no pública divulgada por un desarrollador como parte de esta auditoría, evaluación o inspección que se designa como confidencial o que, dada la naturaleza de la información o las circunstancias que rodean su divulgación, razonablemente debe considerarse confidencial. Los desarrolladores deben cooperar con el auditor de Amazon o Amazon en relación con la auditoría o la evaluación, que puede ocurrir en las instalaciones del desarrollador y/o las instalaciones de subcontratistas. Si la auditoría o evaluación revela deficiencias, violaciones y/o fallas para cumplir con nuestros términos, condiciones o políticas, el desarrollador debe, a su costo y gasto exclusivo, tomar todas las acciones razonablemente necesarias para remediar esas deficiencias dentro de un marco de tiempo acordado. A solicitud, el desarrollador debe proporcionar evidencia de remediación en el formulario solicitado por Amazon (que puede incluir políticas, documentos, capturas de pantalla o intercambio de pantalla de cambios de aplicación o infraestructura) y obtener la aprobación por escrito de la evidencia enviada de Amazon antes del cierre de la auditoría.
4. Definiciones
"API de Amazon Services" Significa cualquier interfaz de programación de aplicaciones (API) ofrecida por Amazon con el propósito de ayudar a los usuarios a autorizar a Amazon a intercambiar datos programáticamente.
"Materiales API" Los materiales de los medios que ponemos a disposición en relación con la API de Amazon Services, incluidas las API, la documentación, las especificaciones, las bibliotecas de software, los kits de desarrollo de software y otros materiales de soporte, independientemente del formato.
"Solicitud" significa una aplicación de software o sitio web que interactúa con la API de Amazon Services o los materiales API.
"Usuario autorizado" significa un usuario de los sistemas o servicios de Amazon que ha sido autorizado específicamente por Amazon para utilizar los sistemas o servicios aplicables.
"Contenido" significa obras con derechos de autor según la ley y el contenido aplicables protegidos por la ley aplicable.
"Cliente" significa cualquier persona o entidad que haya comprado artículos o servicios en los sitios web de Amazon orientados al público.
"Revelador" significa cualquier persona o entidad (incluida usted, si corresponde) que use la API de Amazon Services o los materiales API para un uso permitido en nombre de un usuario autorizado.
"Información" Significa cualquier información que esté expuesta a través de la API de Amazon Services, los portales de Amazon o los sitios web públicos de Amazon. Estos datos pueden ser públicos o no públicos, incluida la información de identificación personal sobre los clientes de Amazon.
"Materiales" significa software, datos, texto, audio, video, imágenes u otro contenido.
"Información de identificación personal" ("PII") significa información que se puede utilizar por sí solo o con otra información para identificar, contactar, identificar en contexto o ubicar a un cliente de Amazon o un usuario autorizado. Esto incluye, entre otros, el nombre de un cliente o el usuario autorizado, dirección, dirección de correo electrónico, número de teléfono, contenido de mensajes de regalo, respuestas de encuesta, detalles de pago, compras, cookies, huella digital (huella digital (por ejemplo, navegador, dispositivo de usuario), dirección IP, ubicación geo
"Incidente de seguridad" Significa cualquier acceso real o sospechoso de acceso, recopilación, adquisición, uso, transmisión, divulgación, corrupción o pérdida de información, o incumplimiento de cualquier entorno que contenga información.