Seguridad

01Solo acceso oficial a Amazon

Nos conectamos con la API Selling Partner de Amazon con la autorización del propio vendedor, y nunca hacemos scraping de Seller Central ni automatizamos un navegador. Xolt se identifica ante Amazon en cada solicitud.

Nunca pedimos roles restringidos que expongan datos personales de compradores. Las columnas con nombres, direcciones, correos o teléfonos se descartan al leer un informe, y los ID de pedido solo se guardan como hashes con clave.

La sincronización se detiene en cuanto desconectas, cada conexión se puede pausar y podemos detener todo el tráfico hacia Amazon a la vez con un interruptor global.

02Cifrado

Todo el tráfico usa HTTPS con HSTS. Las autorizaciones de Amazon y Google se cifran con claves guardadas en AWS KMS y vinculadas a la organización y la conexión a las que pertenecen, así que un token no se puede descifrar para nadie más. Nunca se envían a tu navegador ni se escriben en registros.

La base de datos y el almacenamiento de archivos están cifrados en reposo.

03Aislamiento entre clientes

Cada tabla con datos de clientes lleva la organización a la que pertenece, y la propia base de datos impide que una organización lea las filas de otra (seguridad a nivel de fila). Pruebas automáticas lo comprueban en cada cambio.

04Cuentas y acceso

Cada miembro de cada organización usa verificación en dos pasos con una aplicación de autenticación antes de ver cualquier dato de vendedor. Conectar una cuenta de Amazon y eliminar una organización piden un código nuevo.

Los roles (propietario, administrador, miembro, lector) limitan quién puede conectar cuentas, invitar a personas y cambiar ajustes. Las agencias pueden limitar a cada miembro a espacios de trabajo concretos.

Las contraseñas necesitan al menos 12 caracteres, con un símbolo, y caducan a los 365 días. Los intentos de acceso están limitados por red y por cuenta, y las sesiones caducan tras 7 días sin uso.

05IA con un límite estrecho

El plan de acción mensual se escribe solo a partir de hallazgos agregados: identificadores de producto, títulos y las cifras de cada hallazgo. Los informes, los datos de pedidos y los de compradores nunca llegan al proveedor de IA, cada cifra de su respuesta se comprueba con los datos de entrada y tus datos no se usan para entrenar modelos.

06Alojamiento

La aplicación funciona en Vercel en Fráncfort, la base de datos en Neon en Fráncfort, y el almacenamiento de archivos y las claves de cifrado en AWS en Fráncfort (eu-central-1). La lista completa de empresas que tratan datos por nosotros está en la página de subencargados.

07Registro de actividad y supervisión

Las acciones sensibles, como conectar o desconectar una cuenta, invitaciones, cambios de rol, bajas, exportaciones y eliminaciones, quedan en un registro de actividad. Los errores se supervisan sin datos personales ni secretos.

08Desarrollo seguro

Cada cambio se revisa, se prueba y se analiza antes de publicarse: auditoría de dependencias, detección de secretos y análisis estático en cada solicitud de cambio, y una revisión de seguridad específica para cambios de autenticación, cifrado o acceso a datos.

09Tu control sobre tus datos

Desconectar una cuenta de Amazon detiene la sincronización al instante y borra su autorización. Sus datos se eliminan 30 días después, o al momento si lo eliges. Los propietarios pueden exportar todos los datos de una organización y eliminarla, y cada usuario puede eliminar su cuenta.

10Incidentes e informes de vulnerabilidades

Si detectamos un incidente de seguridad que afecte a tus datos, te lo notificaremos sin demora indebida, y a Amazon y a las autoridades competentes cuando la ley o las políticas de Amazon lo exijan.

¿Has encontrado una vulnerabilidad? Escribe a privacy@xolt.io con los detalles y cómo reproducirla. Responderemos en 3 días laborables, te mantendremos al tanto y no emprenderemos acciones legales contra investigaciones de buena fe que eviten dañar a nuestros clientes y sus datos.