Data Protection Policy — Amazon SP-API

Versione: 1.1 — 13 agosto 2026
Owner: Marche Web Marketing — Direzione Operativa
Revisione: annuale o in occasione di cambiamenti significativi.

1. Scope

Questa policy si applica al trattamento dei dati Amazon (Selling Partner API) effettuato da Marche Web Marketing tramite Ops Portal, prodotto SaaS pubblico self-service per venditori Amazon. È allineata ai requisiti della Amazon Data Protection Policy (DPP) per Public Developer.

2. Classificazione dei dati

3. Sezione 1 — General Security Requirements (Amazon DPP §1)

3.1 Network security

• Ambienti produzione e sviluppo segregati.
• Firewall perimetrale; least-privilege networking interno.
• Connessioni Amazon SP-API esclusivamente HTTPS/TLS 1.2+.

3.2 Access management

• RBAC con ruoli definiti e isolamento per-tenant tra venditori.
• MFA obbligatorio per l’accesso amministrativo.
• Principio del privilegio minimo.
• Revoca accessi entro 24 ore dalla cessazione del rapporto.
• Review periodica degli accessi.

3.3 Encryption

• In transit: TLS 1.2 o superiore per tutte le comunicazioni.
• At rest: AES-256 per refresh token, secret e backup.
• Secret management: refresh token OAuth mai nel repository, solo in credential vault con accesso limitato.

3.4 Incident response

• Piano documentato (vedi Incident Response Policy).
• IMPOC: info@marchewebmarketing.it — segnalazioni di sicurezza: security@marchewebmarketing.it, prese in carico entro 24 ore.
• Notifica Amazon entro 24 ore; Garante UE entro 72 ore se applicabile.

3.5 Vulnerability management

• Patching regolare di OS, librerie e framework.
• Scansioni di vulnerabilità periodiche.
• Penetration test almeno annuali (o su evento significativo).
• Code review e secure coding practices.

3.6 Logging e monitoring

• Audit log per accessi e operazioni sui dati Amazon e modifiche di permessi.
• Log storage immutabile, retention minima 12 mesi.
• Alert su pattern anomali.

3.7 Backup e disaster recovery

• Backup giornalieri automatizzati e cifrati.
• Replica su storage geograficamente separato.
• DR plan testato periodicamente con RTO/RPO documentati.

4. Sezione 2 — PII-specific requirements (Amazon DPP §2)

Non applicabile allo stato attuale. Ops Portal non riceve né tratta dati personali degli acquirenti finali: utilizza esclusivamente ruoli non-restricted (Brand Analytics, Inventory, Finance) in sola lettura. La sezione è predisposta per eventuali moduli futuri; qualora attivati, si applicherebbero:

• Accesso a PII limitato al personale strettamente necessario.
• Encryption AES-256 a riposo e TLS 1.2+ in transito.
• Retention massima 30 giorni dall’ordine e cancellazione automatica.
• Audit log per ogni accesso a PII, conservati almeno 12 mesi.
• Nessuna profilazione marketing. I dati non vengono aggregati con quelli di altri venditori, non vengono utilizzati per analisi di mercato destinate a terzi e non vengono ceduti ad alcun soggetto per finalità proprie.

5. Cancellazione dei dati

Conserviamo i dati solo per il tempo necessario a erogare il servizio. Alla revoca dell’autorizzazione, alla cessazione del rapporto o su richiesta dell’interessato, cancelliamo in modo sicuro e definitivo tutte le informazioni entro 30 giorni, fatta eccezione per i log di audit — che le policy Amazon impongono di conservare — e per i dati che la legge ci obbliga a conservare (obblighi fiscali, contabili o regolamentari).

6. Sub-processor e fornitori

Categorie: hosting, infrastruttura cloud, orchestrazione ed elaborazione automatica dei dati (a questi ultimi arrivano esclusivamente dati non personali). Lista disponibile su richiesta. Tutti i fornitori sono vincolati a clausole coerenti con l’art. 28 GDPR e con la DPP.

7. Governance

• Owner della policy: Direzione Operativa Marche Web Marketing.
• Review annuale obbligatoria.
• Aggiornamenti pubblicati su questa pagina; modifiche significative comunicate ai clienti.

8. Compliance Amazon

Marche Web Marketing si impegna a rispettare la Amazon Acceptable Use Policy e la Amazon Data Protection Policy, a cooperare con gli audit Amazon su Privacy & Security, a notificare Amazon entro 24 ore in caso di incidente e ad accettare che Amazon possa disabilitare l’accesso SP-API in caso di violazione.