Política de Confidencialidad

Esta Política establece las reglas para proteger la información confidencial obtenida, creada, utilizada o administrada por Retail Manager PR LLC en relación con Merchant Processing. Aplica a propietarios, directores, empleados, contratistas, agentes, consultores, referidores, proveedores y cualquier persona autorizada.

Opera como política corporativa obligatoria, complementada por cláusulas de confidencialidad en los contratos de empleo, de contratistas y de proveedores, y por controles técnicos. Un acuerdo de confidencialidad por sí solo no sustituye esos controles.

Información confidencial incluye información no pública comercial, financiera, técnica, contractual, de seguridad, personal o de clientes; solicitudes y documentos de comerciantes; tarifas y propuestas; credenciales; configuraciones; registros; investigaciones; datos de proveedores; y secretos comerciales.

Información restringida es la categoría de mayor sensibilidad: identificadores gubernamentales, datos bancarios, credenciales, claves, documentos financieros detallados y cualquier dato de cuenta de tarjetas.

No se considera confidencial la información que sea pública sin incumplimiento, haya sido obtenida legítimamente de un tercero sin deber de confidencialidad, fuese conocida previamente con evidencia o haya sido desarrollada de forma independiente.

• Acceder solo a la información necesaria para una tarea autorizada.
• Usar únicamente cuentas, dispositivos, repositorios y canales aprobados.
• No divulgar información a compañeros, proveedores o terceros sin necesidad y autorización.
• Verificar destinatarios, permisos y archivos antes de compartir.
• Aplicar redacción o minimización antes de enviar documentos para análisis.
• Bloquear dispositivos, usar MFA, proteger credenciales y no compartir cuentas.
• Informar inmediatamente de errores, pérdidas, accesos indebidos, phishing o solicitudes sospechosas.
• Devolver o eliminar la información cuando termine la finalidad, la relación o la autorización.

El uso de un proveedor no elimina las responsabilidades de Retail Manager PR LLC. El flujo PCI DSS, el SAQ, los proveedores y la matriz de responsabilidades se confirman con la entidad aceptante correspondiente.

• Aprobación documentada del dueño del sistema y del responsable de la función.
• Acceso por rol, mínimo privilegio y separación de funciones cuando corresponda.
• MFA para CRM, correo, almacenamiento, soporte, administración y acceso remoto.
• Cuentas individuales; prohibición de cuentas compartidas salvo excepción controlada.
• Alta, modificación y baja oportunas; revocación inmediata al terminar una relación.
• Revisión trimestral de cuentas, roles, administradores y accesos de proveedores.
• Registro de vistas, descargas, exportaciones, cambios y acciones administrativas de alto riesgo.

La información confidencial debe transmitirse por canales cifrados aprobados y almacenarse en repositorios privados autorizados. Se prohíbe usar correo personal, mensajería no aprobada, unidades personales, enlaces públicos, dispositivos compartidos o impresión innecesaria.

En trabajo remoto se evitarán conversaciones audibles por terceros, pantallas visibles y redes inseguras.

Una divulgación solo podrá hacerse para una finalidad autorizada, al mínimo destinatario necesario y bajo un contrato o deber apropiado. Las solicitudes de autoridades, litigios o terceros se remitirán al responsable designado y a la asesoría legal. No se confirmará la existencia de investigaciones o incidentes sin autorización.

La información sigue la matriz de retención aprobada, publicada en la Política de Privacidad. Al vencer el plazo, se elimina o se vuelve irrecuperable en los sistemas primarios y se gestiona conforme al ciclo documentado de respaldos. Las excepciones por investigación, litigio u obligación legal deben estar documentadas, limitadas y revisadas.

Toda sospecha de pérdida, envío equivocado, acceso no autorizado, malware, credencial comprometida, divulgación, alteración o eliminación indebida debe reportarse inmediatamente al canal designado.

La persona que reporta no debe investigar por su cuenta, borrar evidencia ni contactar a los afectados salvo instrucción del equipo responsable.

• Debida diligencia previa sobre seguridad, privacidad, continuidad y cumplimiento.
• Contrato con confidencialidad, finalidad limitada, subprocesadores, controles, incidentes, devolución o eliminación y derecho de verificación.
• Acceso mínimo, temporal cuando sea posible, y revocación al terminar el servicio.
• Revisión periódica de evidencia, incluyendo el AOC de PCI cuando el servicio esté en alcance.

Las personas cubiertas reciben capacitación al incorporarse y al menos una vez al año. Retail Manager PR LLC puede monitorear el uso de sistemas corporativos conforme a la ley y a sus avisos.

Los incumplimientos pueden resultar en revocación de acceso, medidas disciplinarias, terminación contractual, reclamación de daños o notificación a las autoridades.

Toda excepción debe ser escrita, limitada en el tiempo, aprobada por el dueño del riesgo y acompañada de controles alternos. La conveniencia, la urgencia comercial o la solicitud de un cliente no justifican omitir controles sobre datos de tarjetas, credenciales o información restringida.

Toda persona cubierta debe reconocer esta Política y sus obligaciones contractuales. La Política se revisa al menos una vez al año y tras incidentes, cambios de proveedor, de tecnología, de alcance PCI o de prácticas de datos.