Avonao ID es la cuenta única con la que las personas inician sesión en las plataformas de Avonao y en cada app que ofrece Sign in with Avonao ID. Esta página explica cómo funciona, qué protegemos y cómo, dónde residen tus datos y a qué nos comprometemos. Cada afirmación enlaza al documento que la respalda.
Operado por Avonao, Inc., DelawareLos documentos legales se publican como borradores, pendientes de revisión legal.
Crea tu cuenta en un minuto con una passkey y luego conecta las plataformas que uses.
Todos los inicios de sesión siguen el mismo camino. La persona se comprueba en el servicio de entrada, la solicitud se procesa en la región que guarda sus datos y el token se firma con una clave publicada para que cualquiera pueda verificarlo.
La persona inicia sesión con una passkey, un enlace o código enviado por correo, o con Google, Microsoft o GitHub. No hay contraseñas. Los tokens de sesión, los tokens de enlace y los códigos se guardan solo como hashes SHA-256.
La región se lee de la propia solicitud, de la cookie de sesión o del prefijo del token. El servicio de entrada reenvía la solicitud al servicio propio de esa región con una cabecera de salto firmada, y el servicio regional rechaza toda solicitud que no lleve una válida.
La persona ve la pantalla de consentimiento de la app y permite solo los scopes que elige. La app recibe un ID pairwise privado, la persona recibe un recibo de datos y el inicio de sesión se anota en su propio registro de seguridad, en su región.
El token de ID se firma con la clave ES256 activa. Los códigos de autorización duran 60 segundos y los tokens de ID, 5 minutos. Las claves privadas se guardan cifradas, bajo una clave que no está en la base de datos.
Un token firmado es una afirmación precisa y acotada. Lee ambas columnas antes de confiar en uno y antes de pedírselo a otros.
Un único emisor, https://id.avonao.com, firma para las siete regiones con claves ES256 (P-256). Sus mitades públicas se publican abiertamente; las privadas se guardan cifradas en la base de datos principal.
Toda solicitud se asocia a una persona o a una app antes de leer o cambiar nada. Así se gestionan hoy el inicio de sesión, el consentimiento, las regiones y las solicitudes salientes.
No se guardan contraseñas. Las passkeys conservan solo la clave pública. Los tokens de sesión, los tokens de enlace y los códigos, los códigos de autorización, los tokens de acceso, los códigos de recuperación y los secretos de cliente de las apps se guardan como hashes SHA-256. Los secretos que el servicio debe leer, como los secretos del autenticador y los secretos de firma de webhooks, se cifran con AES-256-GCM.
Passkeys, un enlace o código por correo válido 10 minutos con un máximo de 5 intentos de código, inicio de sesión social y apps de autenticación con códigos de recuperación. La cookie de sesión lleva el prefijo __Host-, es HttpOnly, Secure y SameSite=Lax, caduca tras 14 días sin uso y como máximo a los 90 días. Los cambios sensibles piden una confirmación reciente, de menos de 10 minutos.
El servicio está diseñado para guardar lo mínimo posible: ni contraseñas, hashes en lugar de tokens, un ID privado para cada app y solo los scopes que una persona permitió.
Los tokens, enlaces, códigos y secretos de cliente se guardan como hashes SHA-256, así que una copia de la base de datos no contiene ninguno que funcione. No hay contraseña que guardar.
Una app de terceros recibe para cada persona un ID pairwise propio, nunca el identificador de la cuenta, de modo que dos apps no pueden cruzar a sus usuarios. Las plataformas de Avonao reciben el identificador de la cuenta.
El estado se mide desde nuestros servidores, no se escribe a mano. No prometemos disponibilidad durante el acceso anticipado, y un token que una app ya tiene puede comprobarse sin conexión hasta que caduque.
A qué nos comprometemos cuando algo sale mal y cómo avisarnos de una debilidad antes de que la encuentre otra persona.
Si una brecha afecta a datos personales que tratamos por cuenta de una empresa, se lo notificamos a la empresa sin dilación indebida y, cuando sea posible, en 48 horas, con lo que se sepa: la naturaleza de la brecha, las personas y los registros afectados, las posibles consecuencias y las medidas adoptadas. Cuando somos el responsable del tratamiento, lo notificamos a la autoridad competente en las 72 horas siguientes a tener conocimiento, salvo que sea improbable que la brecha suponga un riesgo para las personas, y lo comunicamos a las personas afectadas sin dilación indebida cuando el riesgo sea alto.
Qué existe hoy, qué está disponible bajo petición y qué no afirmamos. Si una fila importa para tu revisión, el documento enlazado es el texto vinculante.
| Elemento | Estado | Detalle |
|---|---|---|
| Acuerdo de encargo de tratamiento de datos | Vigente | Un anexo de los Business Terms para los casos en que tratamos datos personales por cuenta de una empresa: conexiones empresariales e inicio de sesión del personal. El Avonao ID propio de una persona es nuestro, como responsable del tratamiento. Publicado como borrador 0.1. |
Todos los documentos que rigen Avonao ID. Se publican como borradores, pendientes de revisión legal. Avisamos a los miembros por correo electrónico al menos 30 días antes de que entren en vigor los cambios importantes de los Términos, y a las empresas al menos 30 días antes de añadir o sustituir un subencargado.
| Documento | Qué cubre | Versión |
|---|---|---|
| Términos del servicio | El acuerdo con los miembros: la cuenta, el inicio de sesión, las apps y el consentimiento, la red, Verified cuando está activado, la eliminación con ventana de restauración y la responsabilidad. | Borrador 0.1 |
¿Estás realizando una revisión de proveedor? Cuéntanos qué necesitas. Respondemos los cuestionarios por escrito, y los compradores Enterprise pueden hablar con nosotros sobre la arquitectura.
El token indica el identificador de su clave. Tu backend obtiene el conjunto de claves publicado, comprueba la firma, el emisor, la audiencia, la caducidad y el nonce, y no necesita llamarnos por cada token.
La verificación es independiente. La confianza se reduce a una lista corta y concreta.
| Confías en que | Por qué | Si falla |
|---|---|---|
| El conjunto de claves con el que verificas es nuestro | Una firma demuestra quién posee una clave, no de quién es esa clave. Obtienes el conjunto por HTTPS del emisor que configuraste. | Un conjunto de claves sustituido haría que los tokens falsificados parecieran válidos. Fija el emisor y, para la máxima seguridad, los identificadores de clave. |
| Nuestras claves de firma solo las usa el servicio de inicio de sesión | El servicio firma lo que su código decide firmar. Las claves están cifradas en reposo, sin módulo de seguridad de hardware por ahora. | Una clave de cifrado de claves filtrada o una clave mal utilizada podría firmar tokens de inicios de sesión que nunca ocurrieron. Una clave comprometida puede retirarse del conjunto publicado de inmediato. |
| Comprobamos los métodos de inicio de sesión con honestidad | Las passkeys, los códigos y los enlaces los comprueba nuestro código. Con Google, Microsoft y GitHub nos fiamos de la dirección que informan como verificada. | Un servicio de Avonao ID comprometido podría firmar un inicio de sesión falso, y un proveedor comprometido podría informar de una dirección falsa. |
| Nuestro reloj | Las horas de emisión y de caducidad son la hora de nuestro servidor en el momento de firmar. | Un reloj desviado da horas incorrectas. Admite una pequeña desviación de reloj al comprobarlas. |
| Dirección | Contenido |
|---|---|
https://id.avonao.com/.well-known/jwks.json | El conjunto JWK: solo claves públicas, almacenable en caché cinco minutos |
https://id.avonao.com/.well-known/openid-configuration | Descubrimiento de OpenID: emisor, endpoints y algoritmos compatibles, almacenable en caché una hora |
https://id.avonao.com/.well-known/oauth-authorization-server | Los mismos metadatos en forma de servidor de autorización OAuth (RFC 8414) |
Comprobable
curl -sSL https://id.avonao.com/.well-known/jwks.json
// kid = primeros 22 caracteres del SHA-256 en base64url de los miembros crv, kty, x e y de la clave en JSON
const json = JSON.stringify({ crv: k.crv, kty: k.kty, x: k.x, y: k.y });
const digest = new Uint8Array(await crypto.subtle.digest("SHA-256", new TextEncoder().encode(json)));
const kid = btoa(String.fromCharCode(...digest))
.replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "").slice(0, 22);Para la máxima seguridad, obtén el conjunto de claves una vez, guarda cada kid con sus valores x e y en tu propio repositorio y verifica contra esa copia. Actualízala cuando aparezca un kid nuevo. Consulta /.well-known/openid-configuration
Una app recibe solo los scopes que la persona permitió y un ID privado propio, y la persona puede retirarle el acceso en cualquier momento. Los roles de empresa (propietario, administrador, desarrollador) siguen el mínimo privilegio, y una invitación solo puede aceptarla la dirección de correo electrónico invitada y confirmada.
Los datos de una persona residen en una base de datos regional, a la que solo accede el servicio de esa región. Se rechaza una cookie o un token de otra región, y nunca se lee ni se escribe en otra región como alternativa. Las empresas se separan lógicamente por identificador de empresa; una base de datos dedicada por empresa está construida pero no activada.
Los webhooks se envían a direcciones https con un nombre de host público, firmados con HMAC-SHA256 y una marca de tiempo, con un tiempo de espera de 5 segundos, y nunca se siguen redirecciones. La llamada de retorno de un verificador de wallet debe ser https en un dominio que la empresa haya verificado. El inicio de sesión empresarial comprueba la firma, el emisor, la audiencia, la caducidad y el nonce del proveedor de identidad.
El inicio de sesión, la introducción de códigos, el endpoint de tokens, la creación de empresas, las invitaciones, la verificación de dominios, los informes y los seguimientos tienen límite de frecuencia; el enlace por correo permite 5 solicitudes por dirección y 20 por dirección IP en 10 minutos. Los contadores se guardan como hashes con clave, de modo que ni la dirección ni la IP se conservan en claro. Una comprobación anti-bots protege el registro y la creación de empresas cuando está configurada.
Límites declarados: un nombre de host que se resuelve a una dirección privada lo detienen las propias reglas de salida de Cloudflare, no nosotros, por lo que la lista de dominios verificados permitidos es el control principal. Los webhooks, las conexiones empresariales (SAML y OIDC) y SCIM están en Beta, se ofrecen tal cual. Las solicitudes del navegador que modifican datos deben proceder del mismo origen.
Cada vez que una app recibe datos de una persona, esta recibe un recibo de datos. Puede ver qué ve cada app y retirarle el acceso en Tus apps.
Una app recibe solo los scopes permitidos en la pantalla de consentimiento. Una plataforma informa únicamente de si una suscripción es ninguna, gratuita o de pago. Verified, cuando está activado, conserva el resultado y el nivel de confianza, nunca imágenes de documentos.
Los datos personales, las sesiones y el historial de inicios de sesión de una persona se almacenan solo en la región que elige al registrarse. Los registros de empresa (apps, dominios, claves) y un índice seudónimo de inicios de sesión se guardan en la región principal, US West. Las solicitudes llegan a la red de Cloudflare en la ubicación más cercana al visitante y luego se procesan en la región de la persona, o se reenvían a ella.
| Región | Código | Ubicación del servicio (región de AWS) | Almacenamiento |
|---|---|---|---|
| US East | enam | us-east-1 | Indicación de ubicación |
| US West | wnam | Servicio principal | Indicación de ubicación |
| Europa Central | weur-1 | eu-central-1 | Jurisdicción de la UE (aplicada) |
| Europa Occidental | weur-2 | eu-west-1 | Jurisdicción de la UE (aplicada) |
| Europa del Norte | neur | eu-north-1 | Jurisdicción de la UE (aplicada) |
| Asia-Pacífico | apac | ap-southeast-1 | Indicación de ubicación |
| Oceanía | oc | ap-southeast-2 | Indicación de ubicación |
Una región indica dónde se almacenan los datos de una persona. Una solicitud para una persona de una región nunca lee ni escribe en la base de datos de otra región, y si una región no está disponible, la solicitud falla con un error en lugar de eso.
El tráfico usa HTTPS. Las bases de datos se cifran en reposo por nuestro proveedor de infraestructura, Cloudflare. Los secretos que el servicio debe leer se cifran además en la aplicación con AES-256-GCM, bajo una clave que se conserva como secreto de la plataforma y nunca se almacena en la base de datos.
Eliminar una cuenta la cierra de inmediato y finaliza sus sesiones y conexiones con apps. Durante 28 días la persona puede iniciar sesión y cancelar la eliminación; después se purgan la cuenta, los correos electrónicos, los métodos de inicio de sesión, las sesiones, los registros de consentimiento y los recibos de datos, y las entradas del registro de seguridad se anonimizan. Se avisa a las plataformas y a las apps de empresa para que eliminen sus copias. La eliminación se rechaza mientras haya una suscripción de pago en curso. Una persona puede descargar sus datos como archivo JSON en cualquier momento.
Avonao ID es gratuito para personas y empresas. Durante el acceso anticipado no hay acuerdo de nivel de servicio salvo que se acuerde por escrito. El soporte es por correo electrónico: business-support@avonao.com para empresas y enterprise-support@avonao.com para conexiones y contratos Enterprise.
| Plan | Soporte y nivel de servicio |
|---|---|
| Free, Pro, Team y Scale | business-support@avonao.com. Sin compromiso de disponibilidad ni créditos de servicio durante el acceso anticipado. |
| Enterprise | enterprise-support@avonao.com. Cualquier nivel de servicio se acuerda por escrito en el contrato. |
| Funciones Beta | Los webhooks, las conexiones empresariales y SCIM se ofrecen tal cual y no están cubiertos por ningún nivel de servicio. |
| Situación | Qué significa | A qué nos comprometemos |
|---|---|---|
| Caída del servicio | Falla una comprobación de la página de estado: el descubrimiento del inicio de sesión, las claves de firma o los planes y la configuración no responden. | Se muestra como Sin respuesta en la página de estado en unos 30 segundos. |
| Brecha de datos personales | Un incidente de seguridad provoca la pérdida, alteración o divulgación no autorizada de datos personales, o el acceso a ellos. | Se informa a la empresa sin dilación indebida, cuando sea posible en 48 horas. A las autoridades, en 72 horas cuando corresponda. |
| Cambio en una función Beta | Una función Beta, como los webhooks o una conexión empresarial, cambia o termina. | Preaviso de al menos 14 días antes de terminar una función Beta que use una empresa. |
Un límite de plan nunca desactiva el inicio de sesión: al superar el límite de usuarios activos mensuales, se avisa a los propietarios y los inicios de sesión continúan. Al superar el límite de apps o de puestos, se rechazan los nuevos y los existentes se mantienen.
Un token que una app ya tiene se comprueba sin conexión con las claves publicadas. Los tokens de ID duran 5 minutos, así que volver a iniciar sesión requiere el servicio.
Una comprobación que falla aparece en la página de estado. Ante un incidente de seguridad, primero lo contenemos: se rotan los secretos expuestos, se cierran las sesiones de las cuentas afectadas y se puede desactivar una ruta afectada. Las personas afectadas reciben aviso por correo electrónico desde no-reply@id.avonao.com, con una dirección de soporte.
Notifica a través del formulario, con tus datos de contacto o de forma anónima, o por correo electrónico a security@avonao.com. La página de notificación establece el alcance y el puerto seguro (safe harbor).
| Paso | Objetivo |
|---|---|
| Acusar recibo de tu informe | En 3 días hábiles |
| Evaluación inicial y gravedad | En 10 días hábiles |
| Actualizaciones mientras el problema siga abierto | Al menos cada 14 días |
| Corrección de gravedad crítica y alta | Aspiramos a 30 días |
| Corrección de gravedad menor | Aspiramos a 90 días |
Son objetivos, no garantías. Pedimos 90 días antes de la divulgación pública. No hay recompensa económica por errores (bug bounty); reconocemos a los investigadores por su nombre si lo piden.
| Transferencias internacionales | Vigente | Cuando los datos salen del EEE, el Reino Unido o Suiza, nos basamos en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado y, en caso contrario, en las Cláusulas Contractuales Tipo de la UE con el anexo del Reino Unido. |
| Representante del artículo 27 | Vigente | NUICORN, Chausseestraße 86, 10115 Berlín, Alemania, es nuestro representante y delegado de protección de datos para la Unión Europea. Figura en la Política de privacidad. |
| Cambios de subencargados | Vigente | Preaviso de al menos 30 días por correo electrónico a los propietarios o en la consola, con derecho a oponerse por motivos de protección de datos y, si no podemos resolverlo, a poner fin al servicio afectado. |
| Solicitudes de derechos de privacidad | Vigente | Descargar, corregir y eliminar en el panel. Las demás solicitudes van a support@avonao.com y se responden sin dilación indebida y en el plazo de un mes. |
| Paquete de seguridad | Vigente | Un libro blanco de seguridad y un cuestionario de seguridad ya rellenado de Avonao ID, para leer en línea o descargar. |
| Cuestionario de seguridad | Bajo petición | Bajo petición ponemos a disposición la información que muestra cómo cumplimos el artículo 28 del RGPD: el DPA, las medidas de seguridad de su Anexo 2 y la lista de subencargados. |
| Auditoría del cliente | Bajo petición | Una vez al año con 30 días de preaviso, por la empresa o por un auditor independiente sujeto a confidencialidad, a cargo de la empresa, o en cualquier momento tras una brecha. Podemos responder primero con documentación. |
| Certificaciones de subencargados | Bajo petición | Cuando existan certificaciones o documentos públicos de cumplimiento de un proveedor y podamos compartirlos, podemos atender primero una solicitud de auditoría con ellos. |
| Bug bounty | No ofrecido | Sin recompensas económicas. Se reconoce a los investigadores si lo piden. |
| SOC 2 e ISO 27001 | No afirmado | Avonao ID no tiene ningún informe SOC 2 ni certificado ISO 27001 y no afirma tenerlos. |
| HIPAA | No afirmado | Avonao ID no es un servicio HIPAA. No hemos sido evaluados conforme a HIPAA y no firmamos acuerdos de asociado comercial. No introduzcas información de salud protegida en él. |
| FedRAMP | No afirmado | Avonao ID no tiene autorización FedRAMP y no afirma tenerla. |
| Política de privacidad |
| Qué datos personales tratamos, por qué, quién los recibe, dónde se almacenan, cuánto tiempo se conservan, las cookies y cómo ejercer tus derechos. |
| Borrador 0.1 |
| Política de uso aceptable | Reglas numeradas sobre lo que no puede hacerse con el servicio, que las exposiciones de motivos pueden citar. | Borrador 0.1 |
| Consentimiento de Verified | Qué acepta una persona cuando elige la comprobación de identidad Verified, qué datos se tratan y qué se conserva. | Borrador 0.1 |
| Business Terms | Para las empresas que usan Avonao ID en sus apps: roles, dominios, puesta en producción, obligaciones sobre datos, listado, moderación, funciones Beta, soporte y responsabilidad. | Borrador 0.1 |
| Acuerdo de encargo de tratamiento de datos | Condiciones del encargado del tratamiento para conexiones empresariales y uso por parte del personal: instrucciones, medidas de seguridad, subencargados, aviso de brecha, auditorías y eliminación. | Borrador 0.1 |
| Subencargados del tratamiento | Cada proveedor que trata datos personales para Avonao ID, qué hace, dónde, y cómo se anuncian los cambios. | Borrador 0.1 |
| Notificación y actuación | Cómo reportar a una empresa, cómo se revisa un reporte, los resultados posibles, las exposiciones de motivos y cómo impugnar una decisión. | Borrador 0.1 |
| Reglas de clasificación | Las reglas publicadas que deciden cómo se ordenan las empresas en el directorio Avonao Business Circle. | Borrador 0.1 |
| Reglas de analítica | Las reglas estrictas de medición en nuestros sitios: primero el consentimiento, nunca en las páginas de inicio de sesión, sin identificadores en los eventos, sin publicidad. | Borrador 0.1 |
| Aviso legal | Quién publica Avonao ID, dónde está registrada la empresa y cómo contactarla. | Borrador 0.1 |
Para una evaluación Enterprise: inicio de sesión empresarial con SAML u OIDC, SCIM, condiciones del contrato y la documentación de compras.