Informativa sulla Protezione e Governance dei Dati Amazon SP-API
Mondialgomme S.r.l. | Ultimo aggiornamento: Febbraio 2026
1. Raccolta dei Dati
Raccogliamo esclusivamente i dati PII minimi necessari all'evasione degli ordini Amazon:
- Nome e cognome del destinatario
- Indirizzo di spedizione
- Numero di telefono
I dati vengono acquisiti tramite Amazon SP-API (canale ufficiale) e Seller Central per le attività manuali di back-office. Non utilizziamo fonti esterne, aggregatori di terze parti o strumenti di scraping.
---
2. Elaborazione dei Dati
L'elaborazione avviene localmente su dispositivi aziendali (MacBook) dedicati alla logistica pneumatici e alla gestione degli ordini multi-pacco. Nessun dato viene elaborato su sistemi cloud di terze parti non autorizzati.
---
3. Archiviazione e Crittografia
I dati sono protetti con crittografia AES-256:
- Full Disk Encryption tramite Apple FileVault
- Crittografia a livello database con chiavi gestite da un Secret Management System dedicato
- Le chiavi di sblocco disco risiedono nel chip di sicurezza Apple T2 / Secure Enclave (hardware)
- Le chiavi database sono soggette a rotazione annuale
- I backup delle chiavi sono conservati in cassaforte fisica separata dal dispositivo di produzione
4. Backup e Disaster Recovery
- Backup giornaliero locale (NAS) e remoto off-site (cloud) crittografati AES-256 via TLS 1.2
- Separazione geografica garantita tra backup locale e remoto
- RPO: 24 ore| RTO: 12 ore
- Test di ripristino semestrali per validare il disaster recovery
- I dati PII nei backup vengono eliminati ogni 30 giorni
5. Utilizzo dei Dati
I dati PII raccolti sono utilizzati esclusivamente per:
- Creazione etichette di spedizione
- Notifiche transazionali ai clienti
- Coordinamento con corrieri e partner logistici per la consegna fisica
6. Condivisione con Terze Parti
Condividiamo i dati Amazon solo con:
- Corrieri per la consegna fisica degli ordini
- Deldo Tires plc (partner logistico) per l'evasione degli pneumatici
La trasmissione avviene tramite API sicure (HTTPS/TLS) o portali business protetti. I dati minimi trasmessi sono: Nome, Indirizzo, Telefono.
7. Smaltimento dei Dati
Tutti i dati PII vengono cancellati definitivamente da sistema e backup entro 30 giorni dalla spedizione dell'ordine. La cancellazione è automatica e verificabile tramite audit log.
8. Controllo degli Accessi
- Identificazione univoca con credenziali personali e MFA obbligatoria
- Vietati account condivisi
- RBAC (Role-Based Access Control): Admin, Operatore, Customer Service
- Accesso limitato a dispositivi aziendali tramite profili MDM
- Revoca accessi entro 24 ore in caso di cessazione del rapporto lavorativo
- Principio del minimo privilegio (Need-to-Know) applicato rigorosamente
9. Gestione delle Password
- Lunghezza minima: 12 caratteri con complessità elevata
- Scadenza: 90 giorni con cambio obbligatorio
- Blocco account dopo 5 tentativi di accesso falliti
- Chiavi API in secret manager crittografato, accessibili solo all'IMPOC tramite MFA
10. Monitoraggio e Audit
- Log immutabili (append-only) conservati per 12 mesi
- Alert in tempo reale per: brute force, accessi anomali, esportazioni massive (>500 righe)
- Blocco automatico utente su attività sospetta
- Revisioni audit almeno bisettimanali
- Monitoraggio USB: alert email immediato per dispositivi non autorizzati
11. Protezione della Rete
- Accesso ai dati Amazon limitato a MacBook aziendali con profili MDM
- Nessun accesso da dispositivi personali
- Isolamento di rete immediato in caso di incidente
- Dati PII rimossi dopo 30 giorni
12. Sicurezza del Codice
- SAST (Static Application Security Testing) ad ogni avvio
- Protezione contro SQLi (parametrized queries) e XSS (sanitizzazione input)
- Secret Detection automatica: nessuna credenziale hardcoded nel codice
- CVE scan automatico delle dipendenze (pip-audit)
- Vulnerabilità critiche risolte entro 7 giorni, elevate entro 30 giorni
- Ogni correzione validata in ambiente di staging segregato prima del rilascio
13. Test e Sviluppo
- In test/sviluppo si utilizzano esclusivamente dati sintetici (mock data)
- Nessuna connessione al database di produzione dagli ambienti di test
- Utilizzo degli endpoint Sandbox SP-API per le integrazioni
- Accesso ai test limitato a sviluppatori autorizzati con MFA obbligatoria
14. Piano di Risposta agli Incidenti (IRP)
In caso di violazione o accesso non autorizzato:
1. Contenimento Isolamento del MacBook dalla rete, blocco chiavi API e account
2. Notifica Segnalazione a security@amazon.com entro 24 ore
3. Investigazione Analisi forense dei log di sistema per identificare la falla
4. Ripristino Patch di sicurezza, rimozione malware, recupero da backup crittografati
5. Revisione Rapporto post-incidente per aggiornare le policy
IMPOC (Punto di Contatto):Denis Niko — mondialgommeamazon@gmail.com
15. Scansioni di Vulnerabilità e Pentest
- Scansioni vulnerabilità: mensili
- Penetration test: annuali
- Risultati critici risolti entro 7 giorni
- Risultati elevati risolti entro 30 giorni
- Report e log archiviati per 12 mesi
- Supervisione IMPOC settimanale sui progressi
Mondialgomme S.r.l. — P.IVA 17714311002 — Via Prenestina, 218
00176 Roma (RM) — mondialgommeamazon@gmail.com