Confidencialidad — Principio de mínimo privilegio.
Usuarios y personal deben disponer únicamente de los permisos necesarios para su función y para la operación concreta del cliente o del expediente regulatorio.
Confianza, datos y seguridad
Política de Datos y Seguridad
Esta página explica los principios de seguridad aplicados a los servicios PPWR-EPR de Beyoğlu Professional, cómo separamos el sitio web público de los sistemas operativos de cumplimiento y cómo se distribuyen las responsabilidades de seguridad entre Beyoğlu, sus clientes y los proveedores de infraestructura.
Confianza, datos y seguridad
Nuestra posición en materia de seguridad
La evidencia regulatoria es información operativa del negocio, no simple contenido web. La identidad del Productor, los registros nacionales, los libros de embalajes, las declaraciones, los justificantes de pago y los mandatos legales pueden afectar directamente a la capacidad de un cliente para operar en un mercado. Por eso tratamos la confidencialidad, la integridad, la disponibilidad, la trazabilidad y la capacidad de recuperación como requisitos operativos, no como lenguaje comercial.
1. Responsabilidad corporativa
Situación operativa actual
| Concepto | Situación actual |
|---|---|
| Marca de servicio | Beyoğlu Professional — PPWR-EPR Compliance Services |
| Entidad empresarial actual | THEMİR MEDYA İNŞAAT İTHALAT İHRACAT SANAYİ TİCARET ANONİM ŞİRKETİ |
| Base actual | Estambul, Türkiye |
| Sitio web público actual | Sitio static-first servido mediante almacenamiento de objetos en la nube e infraestructura CDN |
| Arquitectura operativa de cumplimiento | Funciona separada de la capa pública de información. Los servicios autenticados de aplicación, API, datos, pagos y evidencias utilizan, cuando corresponde, controles específicos de ejecución y almacenamiento. Los controles del sitio web público no deben interpretarse como prueba de que todos los controles del sistema operativo se aplican también a la capa estática, ni a la inversa. |
2. Principios de seguridad
Los controles se eligen en función del riesgo real, no del lenguaje de marketing.
Los controles se eligen en función del riesgo real, no del lenguaje de marketing.
Integridad — Datos de cumplimiento versionados.
Los datos materiales de embalaje o regulación no deben sobrescribirse silenciosamente cuando hacerlo destruiría la base histórica de una declaración anterior.
Disponibilidad — Copias de seguridad y recuperación.
Los registros de producción deben estar respaldados y poder recuperarse de acuerdo con su importancia operativa y regulatoria.
Trazabilidad — Relación entre eventos y evidencias.
Las actuaciones materiales de cumplimiento deben poder vincularse con los datos de origen, la cuenta, el momento, el país y la evidencia resultante.
Minimización — Solo los datos necesarios para la tarea.
Las integraciones deben evitar recopilar datos de identidad del consumidor cuando el país de destino, el paquete y la información de SKU sean suficientes.
Revisión — Los controles evolucionan con el riesgo.
Las medidas de seguridad deben revisarse a medida que aumentan los países, las integraciones, el volumen de clientes y las operaciones de pago.
3. Artículo 32 del RGPD
Las medidas de seguridad deben ser adecuadas al riesgo real.
Cuando resulta aplicable el RGPD, su artículo 32 exige que responsables y encargados implanten medidas técnicas y organizativas adecuadas al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y las finalidades del tratamiento, así como la probabilidad y gravedad del riesgo para las personas.
Según proceda, esas medidas pueden incluir cifrado y seudonimización, controles destinados a mantener la confidencialidad, integridad, disponibilidad y resiliencia, capacidad de recuperación y pruebas y evaluaciones periódicas de las medidas de seguridad.
Beyoğlu no utiliza una certificación ISO, un algoritmo de cifrado o un estándar de seguridad como argumento comercial si la implantación o certificación correspondiente no puede acreditarse de forma real.
4. Identidad y acceso
El acceso a un expediente de cumplimiento debe reflejar la organización del cliente.
El acceso a un expediente de cumplimiento debe reflejar la organización del cliente y el rol autorizado de cada usuario.
La arquitectura de cuentas de producción está concebida para utilizar cuentas autenticadas y permisos basados en roles adecuados al servicio.
Los administradores del cliente son responsables de evitar el uso compartido de cuentas con personas no autorizadas y de retirar el acceso cuando una persona deja la organización o cambia de función. Beyoğlu puede revocar o suspender credenciales si existe sospecha de compromiso, abuso o acceso no autorizado.
5. Seguridad de las API
Una API de cumplimiento no debe convertirse en una copia innecesaria de la base de datos de clientes.
Una API de cumplimiento no debe convertirse en una copia innecesaria de la base de datos de clientes del propio cliente.
Las integraciones deben transmitir únicamente la información estructurada mínima necesaria para la tarea de cumplimiento. Entre los datos habituales pueden figurar el identificador del comerciante, la referencia del pedido o envío, el Estado miembro de destino, SKU, cantidad, número de paquetes, ruta de fulfillment, evento de envío y estado de devolución o cancelación.
Los nombres de consumidores, teléfonos personales, direcciones de correo electrónico personales y direcciones completas de entrega no deben transmitirse cuando el objetivo de cumplimiento pueda alcanzarse sin esos datos.
Las credenciales de API deben tratarse como secretos, mantenerse fuera del código público del cliente y rotarse o revocarse si existe sospecha de compromiso.
6. Integridad de la evidencia regulatoria
Las declaraciones históricas necesitan conservar los datos de origen históricos que las sustentaron.
Las declaraciones históricas necesitan conservar los datos de origen históricos que las sustentaron.
Cuando cambia un perfil de embalaje, la arquitectura de producción debe conservar la versión utilizada en periodos de reporte anteriores, en lugar de sustituir el registro histórico por la configuración actual del SKU.
Los registros, confirmaciones de presentación, informes, facturas y justificantes de pago deben seguir siendo atribuibles al país y periodo correspondientes. Esto facilita tanto la auditabilidad del cliente como la respuesta posterior a una consulta de una autoridad o un marketplace.
7. Fondos regulatorios
La arquitectura de salvaguarda es una cuestión jurídica y de control, no una simple preferencia contable.
La arquitectura de salvaguarda de fondos es una cuestión jurídica y de control, no una simple preferencia contable.
El modelo previsto por Beyoğlu para la prefinanciación regulatoria no parte de considerar los saldos regulatorios de los clientes como ingresos ordinarios de explotación.
Cuando el dinero del cliente deba mantenerse antes de transferirse a una autoridad, una Organización de Responsabilidad del Productor (PRO) o un sistema, la estructura prevista es utilizar un proveedor de servicios de pago autorizado, un mecanismo de fondos de clientes salvaguardados u otro modelo de pago de terceros jurídicamente adecuado.
No identificamos en esta página a un proveedor de pagos o entidad de salvaguarda concreta hasta que el acuerdo correspondiente esté realmente en vigor. Cuando esa infraestructura entre en funcionamiento, el proveedor, el flujo de pagos y el tratamiento jurídico de los fondos del cliente deberán explicarse por separado.
8. Infraestructura del sitio web público
Separamos la capa pública de información de la plataforma operativa de cumplimiento.
Separamos el sitio público de información de la plataforma operativa de cumplimiento.
El sitio web público actual de Beyoğlu Professional se publica con una arquitectura static-first. Las páginas se pregeneran y se distribuyen mediante almacenamiento de objetos en la nube y una CDN. La simple carga de una página pública ordinaria no requiere acceder a registros de cumplimiento de clientes.
Los servicios operativos que necesitan autenticación, API, bases de datos, secretos, orquestación de pagos u otra ejecución en servidor se gestionan por separado del sitio web estático y quedan sujetos a controles acordes con esas funciones.
No convertimos las capacidades de seguridad de un proveedor o de una capa técnica concreta en afirmaciones no demostradas sobre toda la plataforma Beyoğlu.
9. Proveedores y subencargados
Cada proveedor se evalúa según los datos y la tarea que se le confían.
Cada proveedor se evalúa según los datos y la tarea que se le confían.
Los proveedores de producción pueden prestar servicios de alojamiento, autenticación, comunicaciones, seguridad, pagos u otras funciones técnicas. Cuando un proveedor trata datos personales por cuenta de Beyoğlu y resulta aplicable el artículo 28 del RGPD, debe existir el correspondiente acuerdo de tratamiento.
Cuando una entidad actúa de forma independiente para sus propios fines —por ejemplo, un banco, una autoridad, una PRO o un marketplace— puede actuar como responsable independiente y no como subencargado de Beyoğlu.
10. Transferencias internacionales de datos
No describimos el tratamiento realizado en Türkiye como una transferencia interna de la UE.
No describimos el tratamiento realizado en Türkiye como una transferencia interna de la UE.
La entidad operativa actual está establecida en Türkiye. Türkiye no está actualmente cubierta por una decisión de adecuación de la UE con arreglo al RGPD. Por tanto, cuando una transferencia entra en el ámbito del capítulo V del RGPD, puede ser necesario utilizar un mecanismo adecuado, como las Cláusulas Contractuales Tipo junto con medidas complementarias cuando corresponda a la relación de tratamiento.
La Política de Privacidad ofrecerá información adicional sobre el tratamiento y las transferencias de datos personales. Si esa página todavía no está publicada en el idioma seleccionado, el enlace se activará cuando se publique la política correspondiente.
11. Incidentes de seguridad
Un incidente se documenta incluso si finalmente no genera una obligación de notificación regulatoria.
Un incidente se documenta incluso si finalmente no genera una obligación de notificación regulatoria.
La respuesta puede incluir detección, contención, conservación de evidencias, revocación de credenciales, evaluación de sistemas y datos afectados, recuperación y medidas correctoras.
Cuando resulta aplicable el RGPD, una violación de datos personales sujeta a notificación debe comunicarse a la autoridad de control competente sin dilación indebida y, cuando sea posible, a más tardar 72 horas después de que el responsable tenga constancia de ella, salvo que sea improbable que entrañe un riesgo para los derechos y libertades de las personas. Si la violación puede entrañar un alto riesgo, las personas afectadas también deben ser informadas sin dilación indebida, salvo que resulte aplicable una excepción prevista por el RGPD.
12. Continuidad de negocio
La continuidad del cumplimiento importa porque los plazos regulatorios siguen corriendo aunque falle la tecnología.
La continuidad del cumplimiento es importante porque los plazos regulatorios no se detienen cuando falla la tecnología.
La arquitectura de producción debe incluir mecanismos de copia de seguridad, recuperación y exportación de evidencias acordes con la importancia regulatoria de los datos. Si un portal externo de una autoridad no está disponible, Beyoğlu puede conservar, cuando sea operativamente relevante, evidencia del intento de actuación, las marcas de tiempo correspondientes y la prueba de la presentación posterior.
13. Responsabilidades del cliente
Una plataforma segura no puede compensar unas credenciales de cliente comprometidas.
Una plataforma segura no puede compensar unas credenciales de cliente comprometidas. Se espera que los clientes:
- protejan sus credenciales de cuenta y secretos de API
- utilicen cuentas individuales para cada usuario autorizado cuando el servicio lo permita
- retiren el acceso a quien ya no lo necesite
- protejan sus propios sistemas de comercio electrónico y ERP
- transmitan únicamente los datos necesarios para la finalidad de cumplimiento
- informen a Beyoğlu sin demora si sospechan un compromiso; y
- mantengan exactos y actualizados los datos de origen de productos y embalajes
14. Certificaciones y afirmaciones de seguridad
No afirmaremos disponer de una certificación antes de obtenerla.
No afirmaremos disponer de una certificación antes de obtenerla.
Esta página no afirma que Beyoğlu Professional esté certificado conforme a ISO 27001, SOC 2, PCI DSS u otra certificación de seguridad, salvo que dicha certificación se haya obtenido formalmente y pueda identificarse su alcance.
Del mismo modo, no afirmamos que toda la información esté alojada exclusivamente dentro de la Unión Europea cuando la infraestructura actual no permite sostener esa afirmación.
¿Quiere comunicar una incidencia de seguridad?
Indique la página, cuenta, API o transacción afectada y facilite suficiente detalle técnico para poder investigar, pero no publique credenciales, tokens u otros secretos en un canal público. Utilice la página de contacto de Beyoğlu Professional para comunicar una incidencia de seguridad.
Comunicar una incidencia de seguridad