HAP Tecnologia
Solicitar demonstração

Política específica de integração

Integração Amazon Selling Partner API

Esta política específica descreve como o Hap ERP, desenvolvido pela HAP Tecnologia, coleta, processa, armazena, compartilha e descarta as informações obtidas via Amazon Selling Partner API (SP-API), em conformidade com a LGPD e com a Amazon Data Protection Policy.

Aplicativo:
Hap ERP, módulo Marketplaces (Amazon)
Última atualização:
25 de setembro de 2026

1. Visão geral

A HAP Tecnologia LTDA (CNPJ 51.577.892/0001-29), sediada em Apucarana - PR, opera o Hap ERP, uma plataforma de gestão empresarial em nuvem utilizada por sellers brasileiros. O módulo Marketplaces do Hap ERP se conecta à Amazon Selling Partner API (SP-API) para automatizar a operação de venda dos sellers Amazon: sincronização de catálogo, preços e estoque, importação de pedidos, emissão de nota fiscal eletrônica (NF-e) correspondente e atualização de status logístico.

Esta política específica deve ser lida em conjunto com a Política de Privacidade Geral da HAP. Em caso de divergência, esta prevalece sobre a Geral exclusivamente quanto a dados oriundos da Amazon SP-API.

2. Informações coletadas via Amazon SP-API

Coletamos exclusivamente as informações estritamente necessárias para as finalidades descritas nesta política, conforme as roles solicitadas e aprovadas pela Amazon. As categorias de dados incluem:

  • Informações da conta do seller (sellerId, marketplaceId, regiões habilitadas);
  • Catálogo e listings: SKU, ASIN, título, descrição, atributos, imagens, preços, estoque, variações e dados de classificação fiscal;
  • Pedidos: AmazonOrderId, itens, valores, descontos, frete, status, datas e canal de venda;
  • Informações do comprador (PII), exclusivamente quando necessárias à emissão de nota fiscal eletrônica brasileira ou ao despacho da mercadoria: nome do comprador, CPF/CNPJ, e-mail (quando disponível via SP-API), telefone e endereço de entrega completo. Esses dados são obtidos somente para o pedido que vai gerar a NF-e ou a etiqueta, nunca em lote e nunca em pedidos atendidos pela própria Amazon (FBA). Hoje a integração ainda não recebe dados pessoais de compradores;
  • Dados financeiros e de liquidação: relatórios de repasse (settlement reports), taxas Amazon, comissões, reembolsos e ajustes;
  • Métricas operacionais: tempos de envio e status de fulfillment.

3. Finalidade do tratamento

As informações obtidas via SP-API são utilizadas exclusivamente para os seguintes propósitos, todos ligados à operação do seller que autorizou a integração:

  • importar e processar pedidos da Amazon no ERP do seller;
  • emitir nota fiscal eletrônica brasileira (NF-e) com os dados fiscais do comprador, em cumprimento à legislação tributária (Lei 9.532/97, RICMS, Ajuste SINIEF 07/05);
  • gerar etiquetas de despacho e cumprir prazos logísticos exigidos pela Amazon;
  • sincronizar catálogo, preços e estoque do ERP para a Amazon;
  • conciliar repasses financeiros e gerar relatórios consolidados para o seller;
  • responder a auditorias fiscais e legais, quando exigido por autoridade competente.

A HAP Tecnologia não utiliza dados Amazon para nenhuma finalidade não autorizada, incluindo marketing direto, perfilamento de consumidores, treinamento de modelos de IA, criação de produtos concorrentes, revenda de dados ou agregação com dados de outros sellers.

Assistente de IA opcional (LavinIA). Quando o próprio seller habilita o assistente, ele consulta, somente em modo de leitura, os dados do ERP daquele seller (o que pode incluir pedidos vindos da Amazon) para responder às perguntas do usuário. Os provedores de IA (Anthropic e OpenAI) são acessados por API comercial, cujos termos não permitem o uso dos dados enviados para treinar modelos, e credenciais são bloqueadas antes de qualquer envio. A HAP não treina modelos com dados Amazon.

4. Armazenamento e segurança

As informações obtidas via SP-API são armazenadas em datacenter corporativo localizado no Brasil, com controles físicos sob responsabilidade do provedor de hospedagem, borda protegida por Cloudflare (DNS, TLS, regras de firewall, limitação de taxa e mitigação de DDoS) e arquivos não estruturados (relatórios, anexos) e backups em Amazon Web Services S3 (sa-east-1, São Paulo). Aplicamos os seguintes controles:

  • Criptografia em repouso: AES-256-GCM em nível de aplicação para credenciais e tokens OAuth da SP-API armazenados no banco; criptografia do lado do servidor (AES-256) nos buckets AWS S3; backups criptografados. A criptografia do volume do banco de dados será implantada na migração do servidor prevista para dezembro de 2026;
  • Criptografia em trânsito: TLS 1.2 ou superior nas comunicações com a SP-API, na borda Cloudflare (com HSTS) e entre a borda e o servidor; acesso administrativo somente por SSH ou VPN (WireGuard);
  • Gestão de chaves: chaves de criptografia de dados armazenadas fora do código-fonte, na configuração protegida do servidor, segregadas por ambiente e por finalidade, com rotação imediata em caso de suspeita de comprometimento;
  • Controle de acesso: banco de dados sem exposição à internet, acessível apenas pela aplicação no próprio servidor e pela VPN; acesso administrativo ao servidor por SSH somente com chave criptográfica (login por senha e de root desabilitados); perfis de permissão por usuário na aplicação, com bloqueio após tentativas de login malsucedidas e revisão trimestral de acessos;
  • Segregação: ambientes de produção e de desenvolvimento segregados, em bancos de dados distintos; em desenvolvimento, dados Amazon vêm apenas do ambiente sandbox da própria Amazon (fictícios);
  • Backups: rotinas automáticas criptografadas (cópia física semanal com diferenciais diários e registro contínuo de transações, além de cópia lógica três vezes ao dia), guardadas na AWS (São Paulo), fora do datacenter principal. Metas de RPO de 24 horas e RTO de 8 horas, validadas em teste de restauração documentado (o primeiro previsto para outubro de 2026);
  • Auditoria: gatilho de auditoria no banco registra as alterações das tabelas críticas com data, usuário e conteúdo; a conta AWS tem trilha de auditoria (CloudTrail) com validação de integridade e retenção de 1 ano;
  • Monitoramento: monitoramento de infraestrutura e eventos de segurança da borda Cloudflare. A centralização dos logs de aplicação, com alertas de autenticação anormal e acessos administrativos, está em implantação (previsão: outubro de 2026).

5. Compartilhamento de dados Amazon

Os dados obtidos via SP-API não são compartilhados com terceiros para fins próprios da HAP. Há compartilhamento mínimo, finalístico e contratualmente protegido apenas com:

  • SEFAZ (Secretarias da Fazenda estaduais) via webservice oficial: somente campos fiscais exigidos por lei para a emissão da NF-e do pedido Amazon;
  • Transportadoras contratadas pelo próprio seller (Correios, Jadlog etc.): apenas dados mínimos de entrega (nome, endereço, telefone do destinatário);
  • Amazon Web Services (S3 sa-east-1): armazenamento de arquivos não estruturados, atuando como sub-operador sob seu próprio compromisso contratual de proteção de dados (DPA);
  • Cloudflare: proteção de borda (DNS, TLS, regras de firewall, mitigação DDoS), sob DPA próprio;
  • Provedores de IA (Anthropic e OpenAI): somente quando o seller habilita o assistente LavinIA, por API comercial que não usa os dados enviados para treinar modelos. Esse é o único caso em que dados podem ser processados fora do Brasil.

Dados Amazon não são vendidos, alugados, licenciados, expostos publicamente nem usados para qualquer finalidade fora do escopo descrito na seção 3.

6. Retenção e descarte

Mantemos os dados obtidos via SP-API pelo tempo necessário ao cumprimento das finalidades descritas e às obrigações fiscais brasileiras, especialmente:

  • Documentos fiscais (NF-e, repasses, conciliações): 5 anos contados do exercício tributário, conforme art. 173 do CTN;
  • Trilha de auditoria do banco: enquanto durar o contrato do seller; trilha de auditoria da conta AWS: 1 ano;
  • Tokens de acesso OAuth: excluídos ao encerramento da conta do seller; a exclusão automática após 30 dias sem uso da integração está em implantação e será ativada antes do primeiro seller autorizado;
  • Dados pessoais do comprador: o pedido é gravado sem dados pessoais; nome, documento e endereço usados na NF-e e no envio são anonimizados 30 dias após a entrega (mecanismo ativado antes do primeiro pedido real). A exceção é o XML da NF-e autorizada, guardado por 5 anos por obrigação legal;
  • Backups: expiram em até 35 dias, prazo em que dados excluídos deixam de existir também nas cópias.

Encerrada a relação contratual com o seller, os dados são anonimizados ou eliminados de forma segura, ressalvados aqueles sujeitos a obrigação legal de retenção.

7. Direitos do titular (LGPD)

Compradores Amazon cujos dados sejam tratados via esta integração podem exercer os direitos previstos no art. 18 da LGPD (confirmação, acesso, correção, eliminação, portabilidade etc.).

Como a HAP atua, em regra, como operadora em nome do seller (controlador dos dados de seus compradores), a solicitação será encaminhada ao seller responsável. Solicitações podem ser enviadas para dpo@haptecnologia.com.br e serão respondidas no prazo legal de 15 dias.

8. Resposta a incidentes

A HAP mantém plano formal de resposta a incidentes de segurança contemplando: detecção pelo monitoramento da borda, da infraestrutura e da aplicação, contenção (revogação de tokens e isolamento de acessos), erradicação, recuperação a partir de backups e notificação à Amazon dentro do prazo de 24 horas (conforme Amazon Data Protection Policy), e à ANPD e aos titulares afetados no prazo definido pela ANPD (3 dias úteis), conforme art. 48 da LGPD.

Ponto de Contato de Gerenciamento de Incidentes (IMPOC): incidentes@haptecnologia.com.br

9. Subcontratados (sub-operadores)

A HAP utiliza os seguintes sub-operadores para a operação da integração Amazon SP-API, todos sob obrigações contratuais compatíveis com LGPD e com a Amazon Data Protection Policy:

  • Datacenter corporativo (Brasil): hospedagem dos servidores de aplicação e banco de dados;
  • Cloudflare: DNS, WAF e mitigação de DDoS na borda;
  • Amazon Web Services (S3 sa-east-1): armazenamento de arquivos não estruturados e backups;
  • Provedores de IA (Anthropic e OpenAI): somente quando o seller habilita o assistente LavinIA.

10. Alterações

Esta política pode ser atualizada para refletir mudanças na integração, em provedores subcontratados ou na legislação. A versão vigente é sempre a publicada nesta URL, identificada pela data de "Última atualização" no topo.

11. Contato