Guía de solicitudes de datos de Amazon, AWS y Ring para la policía

Amazon aparece en las investigaciones a través de tres superficies muy diferentes, cada una con sus propias reglas: la cuenta minorista de Amazon (pedidos, direcciones, datos de pago e inicio de sesión), Amazon Web Services (AWS) (la nube que aloja una gran parte de internet, donde la pregunta suele ser "¿quién está detrás de este servidor o IP?"), y Ring (seguridad doméstica y cámaras de timbre, donde el objetivo es el material de video). Amazon.com, Inc. es una empresa estadounidense, y la divulgación de datos de clientes se rige por el proceso legal de EE. UU. bajo la Stored Communications Act (18 U.S.C. § 2701 et seq.). Las tres superficies se tratan por separado a continuación porque lo que se puede obtener, y cómo, difiere drásticamente.

Identificadores para una solicitud de datos

Delimite cada superficie con precisión. Para una cuenta minorista, proporcione el correo electrónico registrado y cualquier número de pedido y dirección de envío. Para AWS, el identificador más útil es la dirección IP con una marca de tiempo precisa (y zona horaria), además de cualquier ID de instancia o recurso; esto es lo que permite a AWS asignar la actividad a un titular de cuenta. Para Ring, identifique la cuenta del propietario del dispositivo y la ubicación exacta y el intervalo de tiempo del material buscado.

Qué datos proporcionan Amazon, AWS y Ring

Superficie	Qué está disponible	Proceso necesario
Cuenta minorista de Amazon	Información del suscriptor (nombre, correo electrónico, direcciones, teléfono), historial de pedidos, método de pago y registros de inicio de sesión/IP	Citación para datos de suscriptor; orden judicial para contenido/contenidos de comunicaciones
AWS	Identidad del titular de la cuenta y facturación para una cuenta/IP determinada, y registros a nivel de cuenta. AWS generalmente no almacena el contenido de la aplicación del cliente	Citación/orden judicial para identificar la cuenta; para el contenido alojado en sí, diríjase al cliente (ver más abajo)
Ring (material de cámara)	Video almacenado y datos de cuenta para un dispositivo	Orden de registro, consentimiento del propietario o una emergencia real de peligro inminente

AWS: diríjase al cliente. AWS es un host de infraestructura: el cliente de AWS es el controlador de datos del contenido que almacena. Por lo tanto, aunque AWS responderá a un proceso legal válido para identificar la cuenta detrás de una IP o recurso, los datos de la aplicación en sí (bases de datos, archivos, registros de usuario del servicio alojado) generalmente deben obtenerse directamente de ese cliente, utilizando los datos de suscriptor de AWS para encontrarlo.

Ring: el cambio de 2024. A principios de 2024, Ring finalizó su herramienta "Solicitud de asistencia" en la aplicación Neighbors, que permitía a la policía solicitar públicamente material a los usuarios sin un proceso legal. La policía ahora obtiene material de Ring a través de una orden de registro o citación, solicitando al propietario que lo comparta voluntariamente, o cuando Ring/Amazon lo proporciona directamente en caso de peligro inminente de muerte o lesiones físicas graves. Ya no existe un atajo de solicitud pública sin orden judicial.

Notificación al usuario: La política de Amazon es, por lo general, notificar al cliente sobre una solicitud, a menos que esté legalmente prohibido o se aplique una excepción (como un asunto de seguridad infantil o daño inminente).

Cómo enviar una solicitud

Amazon acepta procesos legales solo a través de ALERT. En palabras de Amazon, "no acepta la entrega de citaciones, órdenes de registro u otros procesos legales excepto a través de" el Amazon Law Enforcement Request Tracker. Las agencias de EE. UU. presentan sus solicitudes en ler.amazon.com/us; las agencias de la UE y el Reino Unido en emea.ler.amazon.com, cubierto paso a paso en nuestra guía para la UE y el Reino Unido. Las emergencias se gestionan a través del botón de solicitud de emergencia del portal; para problemas con el portal, envíe un correo electrónico a [email protected].

1. Preserve primero bajo 18 U.S.C. § 2703(f) (90 días, prorrogables), especialmente para el material de Ring, que tiene una retención limitada y puede perderse.
2. Envíe un proceso legal válido a través del canal de fuerzas del orden de Amazon (y el proceso de solicitud de información de AWS para asuntos de la nube), con identificadores que coincidan con la superficie y el nivel de proceso que coincida con los datos.
3. Para servicios alojados en AWS, utilice los datos de suscriptor de AWS para identificar al operador, luego notifique a ese operador para obtener el contenido de la aplicación.

Solicitudes de divulgación de emergencia

Cuando existe un riesgo inminente de muerte o lesiones físicas graves, Amazon, AWS y Ring pueden divulgar datos, incluido el material de Ring, de forma voluntaria y sin una orden judicial bajo la excepción de emergencia de la Stored Communications Act. Envíe la solicitud a través del canal oficial, articule la amenaza específica e inmediata, los datos o el material necesario y los identificadores relevantes. La divulgación queda a discreción de la empresa.

Para India: base legal y proceso

• IT Act, 2000: Sección 69 y BNSS, 2023: Sección 94 proporcionan la autoridad nacional para dirigir la producción de registros electrónicos.
• IT Rules, 2021: Regla 3: canalice la coordinación de primer nivel a través del canal oficial de Amazon; escale a MLAT para datos de clientes y contenido.
• MLAT: para datos de cuentas alojados en EE. UU., atribución de cuentas de AWS o material de Ring, canalice la solicitud a través de la Autoridad Central del MHA al Departamento de Justicia de EE. UU., Oficina de Asuntos Internacionales. Presente una solicitud de preservación de inmediato, ya que el material de Ring en particular podría ser eliminado antes de que concluya el proceso MLAT.

Qué necesitará

• Retail: correo electrónico de la cuenta, IDs de pedido, direcciones;
• AWS: la dirección IP con una marca de tiempo y zona horaria precisas, además de IDs de instancia/recurso;
• Ring: la cuenta del propietario del dispositivo y la ubicación exacta y ventana de tiempo, además de una orden de registro (o consentimiento del propietario / base de emergencia);
• El instrumento legal apropiado para la superficie, y una solicitud de preservación 2703(f) presentada con antelación;
• Para agencias indias: una solicitud MLAT a través del MHA, además de preservación inmediata.

Para un directorio completo de portales de solicitudes de las fuerzas del orden en las principales plataformas, visite nuestro centro de portales LERS o la guía LERS plataforma por plataforma.

Véase también: Amazon Preservation and Emergency Requests: Police Guide and Template.