Gobernanza de datos

Fuentes y métodos

• Amazon Vendor Central: Importación via Excel de Purchase Orders, precios, fechas
• Amazon SP-API: Lectura directa de pedidos, catálogo, reportes (con permisos específicos)
• Holded API: Sincronización automática de inventario, productos, costes
• Amazon Ads: Importación manual de datos publicitarios (Excel)
• Usuario: Configuración de parámetros, márgenes objetivo, lead times

Principios de recolección

• Minimización: Solo datos necesarios para la funcionalidad específica
• Propósito específico: Cada dato tiene una finalidad operativa clara
• Transparencia: El usuario sabe qué datos recolectamos y para qué
• Consentimiento: Autorización explícita para datos opcionales

Tipos de procesamiento

• Validación automática: Purchase Orders contra MOQ, stock disponible, márgenes
• Cálculos operativos: Márgenes por SKU, cobertura de stock, necesidades de fabricación
• Generación documental: ASN, etiquetas, órdenes de venta en Holded
• Análisis predictivo: Proyección de demanda, alertas de stock crítico
• Agregación: Métricas de performance, dashboards de control

Controles de calidad

• Validación en origen: Verificación de integridad al recibir datos
• Reconciliación: Comprobación de consistencia entre sistemas
• Logs completos: Trazabilidad de cada transformación aplicada
• Rollback: Capacidad de deshacer procesamientos erróneos

Arquitectura de almacenamiento

• Base de datos principal: MySQL en servidor EU con cifrado AES-256
• Particionado por cliente: Aislamiento lógico de datos empresariales
• Backups automáticos: Diarios con retención de 30 días + archivo mensual
• Replicación: Múltiples zonas para alta disponibilidad

Clasificación de datos

• Críticos: Purchase Orders, inventario, márgenes (cifrado adicional)
• Sensibles: Tokens de API, credenciales (almacén seguro)
• Operativos: Logs, configuraciones (cifrado estándar)
• Públicos: Documentación, metadatos (sin cifrado adicional)

Localización geográfica

• Datos principales: Unión Europea - Frankfurt, Alemania (Arsys)
• Backups: Misma región UE con proveedor certificado
• Sin transferencias: Datos no salen de UE salvo servicios Amazon con salvaguardas adequacy
• Subencargados específicos: Arsys (Frankfurt), OVHcloud (Francia), Brevo (Francia) - todos con DPA

Finalidades autorizadas

• Operación core: Procesamiento PO, validación márgenes, generación ASN
• Planificación: Cálculo cobertura, alertas fabricación, optimización stock
• Análisis rentabilidad: Márgenes reales, simulaciones what-if
• Automatización: Órdenes Holded, alertas Teams, documentación
• Soporte técnico: Diagnóstico errores, optimización performance

Controles de acceso

• Principio menor privilegio: Acceso mínimo necesario por rol
• Logs de auditoría: Registro completo de accesos y modificaciones
• Segregación funcional: Separación entre roles operativos y financieros
• Revisión periódica: Auditoría trimestral de permisos asignados

Cesiones autorizadas

• Holded ERP: Inventario y órdenes de venta (API autorizada por usuario)
• Microsoft Teams: Metadatos de alertas (sin PII, opcional)
• Arsys (Frankfurt): Hosting y almacenamiento principal
• OVHcloud (Francia): Backups cifrados
• Brevo (Francia): Email transaccional
• Amazon Web Services: APIs SP-API según permisos específicos
• Autoridades: Solo si requerido legalmente

Prohibiciones estrictas

• Venta de datos: Jamás comercializamos información de clientes
• Marketing: No cedemos datos para fines publicitarios
• Terceros no autorizados: Sin acceso de empresas no contractuales
• Países inseguros: Sin transferencias fuera de marcos de protección

Controles de cesión

• Contratos DPA: Data Processing Agreements con Arsys, OVHcloud, Brevo y Amazon
• Auditorías: Revisión anual de terceros con acceso a datos
• Cifrado en tránsito: TLS 1.3 en todas las comunicaciones
• Logs de transferencia: Registro de todas las cesiones realizadas (sin PII)
• Notificación cambios: 30 días antelación para nuevos subencargados

Períodos de retención

• Purchase Orders: 24 meses desde procesamiento (cumplimiento fiscal)
• ASN y documentación: 24 meses desde envío
• Inventario y stock: 12 meses desde última sincronización
• Datos publicitarios: 18 meses para análisis de tendencias
• Logs operativos: 6 meses (sin PII)
• Logs de seguridad: 12 meses (sin PII, diferente de operativos por requisitos de auditoría)
• PII clientes Amazon: Máximo 30 días. Puede configurarse a un periodo menor, pero nunca más allá de los 30 días.
• Logs de auditoría: 24 meses (sin PII, para cumplimiento)

Eventos de retención

• Finalización contrato: 30 días para exportar datos, después borrado
• Inactividad prolongada: >12 meses sin uso activa procedimiento de borrado
• Solicitud explícita: Borrado inmediato si el cliente lo requiere
• Obligación legal: Extensión solo si requerido por autoridades

Gestión automática

• Jobs programados: Limpieza automática diaria de datos expirados
• Alertas previas: Notificación 30 días antes del borrado
• Confirmaciones: Log de borrados realizados con timestamp
• Recuperación: Backup temporal 7 días por errores de borrado

Métodos de borrado

• Borrado lógico: Marcado como eliminado, no accesible
• Borrado físico: Sobrescritura segura de sectores de disco
• Borrado de backups: Eliminación de todas las copias de seguridad
• Borrado de logs: Limpieza de referencias en logs operativos

Procedimientos de eliminación

• Identificación completa: Localización de todos los datos del cliente
• Verificación previa: Confirmación de autorización para borrar
• Ejecución coordinada: Borrado simultáneo en todos los sistemas
• Verificación posterior: Confirmación de eliminación completa

Certificación de borrado

• Informe detallado: Qué se eliminó, cuándo y desde dónde
• Hash de verificación: Prueba criptográfica del borrado
• Certificado firmado: Documento oficial de eliminación completa
• Contacto: privacidad@isync.app para solicitar certificados

Roles SP-API solicitados y uso específico

Limitaciones estrictas

• Solo si necesario: PII únicamente si funcionalidad lo requiere específicamente
• Minimización extrema: Mínimo conjunto de datos personales posible
• Pseudonimización: Aplicada cuando sea técnicamente viable
• Acceso restringido: Solo personal autorizado con MFA activa
• Retención máxima: 30 días para cualquier PII, sin excepciones

Logs de gobernanza

• Recolección: Qué datos, cuándo, desde qué fuente (logs NO contienen PII)
• Procesamiento: Transformaciones aplicadas, resultados
• Acceso: Quién accedió, a qué datos, cuándo
• Modificación: Cambios realizados, versión anterior
• Eliminación: Qué se borró, cuándo, por qué motivo

Importante: Todos los logs operativos y de seguridad están diseñados para NO contener PII de clientes finales.

Auditorías regulares

• Revisión mensual: Cumplimiento de retenciones automáticas
• Auditoría trimestral: Verificación de accesos y permisos
• Revisión anual: Evaluación completa del marco de gobernanza
• Auditorías externas: Evaluación independiente cuando sea necesario

Regulaciones aplicables

• RGPD (UE): Reglamento General de Protección de Datos
• LOPDGDD (España): Ley Orgánica de Protección de Datos
• Amazon Policies: Políticas técnicas y de negocio Amazon
• Estándares ISO: Directrices ISO 27001 y 27002

Responsabilidades

• iSync: Encargado del tratamiento según instrucciones
• Cliente: Responsable del tratamiento y finalidades
• Colaboración: Respuesta conjunta ante autoridades
• Notificación: Comunicación inmediata de brechas de seguridad

Delegado de Protección de Datos (DPO): dpo@isync.app

Privacidad general: privacidad@isync.app

Borrado de datos: borrado@isync.app

Solicitudes que procesamos

• Portabilidad: Exportar todos tus datos en CSV/JSON
• Rectificación: Corregir datos incorrectos
• Eliminación: Borrado completo con certificación
• Acceso: Informe detallado de datos que tenemos
• Limitación: Restricción de procesamientos específicos