VerificabileUna fiducia che puoi verificare, non solo leggere.
Avonao ID è l’unico account con cui le persone accedono alle piattaforme Avonao e a ogni app che offre Sign in with Avonao ID. Questa pagina spiega come funziona, cosa proteggiamo e come, dove stanno i tuoi dati e a cosa ci impegniamo. Ogni affermazione rimanda al documento che la vincola.
Gestito da Avonao, Inc., DelawareI documenti legali sono pubblicati come bozze, in attesa di revisione legale.
Come avviene un accesso.
Ogni accesso segue lo stesso percorso. La persona è verificata dal servizio di ingresso, la richiesta è gestita nella regione che conserva i suoi dati e il token è firmato con una chiave pubblicata, che chiunque può verificare.
- Autenticazione
La persona accede con una passkey, un link o un codice ricevuto via email, oppure con Google, Microsoft o GitHub. Non ci sono password. I token di sessione, i token dei link e i codici sono conservati solo come hash SHA-256.
- Instradamento alla regione
La regione si ricava dalla richiesta stessa, dal cookie di sessione o dal prefisso del token. Il servizio di ingresso inoltra la richiesta al servizio di quella regione con un’intestazione di inoltro firmata, e il servizio regionale rifiuta ogni richiesta che non ne abbia una valida.
- Consenso e registrazione
La persona vede la schermata di consenso dell’app e consente solo gli scope che sceglie. L’app riceve un ID pairwise privato, la persona riceve una ricevuta dei dati e l’accesso viene registrato nel suo log di sicurezza, nella sua regione.
- Firma
Il token ID è firmato con la chiave ES256 attiva. I codici di autorizzazione durano 60 secondi e i token ID 5 minuti. Le chiavi private sono conservate cifrate, sotto una chiave che non si trova nel database.
- Verifica nel tuo backend
Il token indica l’identificativo della propria chiave. Il tuo backend recupera l’insieme di chiavi pubblicato, controlla firma, emittente, destinatario, scadenza e nonce, e non deve interpellarci per ogni token.
Cosa prova un accesso, e cosa no.
Un token firmato è un’affermazione precisa e circoscritta. Leggi entrambe le colonne prima di affidarti a uno e prima di chiedere ad altri di farlo.
Un token valido prova
- Origine: chi detiene una chiave di firma di Avonao ID ha firmato esattamente questi claim.
- Integrità: nulla nel token è cambiato da allora, nemmeno un carattere.
- Destinatario e tempo: il token è stato emesso per la tua app, a un’ora indicata dal nostro orologio, ed è valido fino alla scadenza.
Non prova
- Chi è la persona nel mondo reale. Avonao ID attesta il controllo di un metodo di accesso, come una passkey o un indirizzo email, non un’identità legale. Il controllo Verified (verifica di documento e selfie tramite Stripe Identity) è disattivato, a meno che non sia attivato e la persona lo scelga.
- Che un indirizzo email resti della persona. Il token indica che l’indirizzo era stato confermato quando la persona ha effettuato l’accesso.
- Cosa fa un’azienda con i dati dopo il consenso della persona. L’azienda è un titolare del trattamento autonomo per ciò che riceve.
- Un collegamento tra gli account di una persona in due app. Ogni app riceve per progetto il proprio ID pairwise.
- Che qualcuno al di fuori di Avonao lo abbia sottoposto ad audit. Oggi non abbiamo alcun rapporto di audit esterno né certificazione, e la tabella di conformità qui sotto lo dice.
Cosa ci resta da affidare
La verifica è indipendente. La fiducia si riduce a un elenco breve e definito.
| Ti fidi che | Perché | Se viene meno |
|---|---|---|
| L’insieme di chiavi con cui verifichi è nostro | Una firma prova chi detiene una chiave, non di chi sia quella chiave. Recuperi l’insieme via HTTPS dall’emittente che hai configurato. | Un insieme di chiavi sostituito farebbe sembrare validi token falsificati. Fissa l’emittente e, per la massima sicurezza, gli identificativi delle chiavi. |
| Le nostre chiavi di firma sono usate solo dal servizio di accesso | Il servizio firma ciò che il suo codice decide di firmare. Le chiavi sono cifrate a riposo, senza un modulo di sicurezza hardware per ora. | Una chiave di cifratura delle chiavi trapelata o una chiave usata in modo improprio potrebbe firmare token per accessi mai avvenuti. Una chiave compromessa può essere rimossa subito dall’insieme pubblicato. |
| Verifichiamo i metodi di accesso con onestà | Passkey, codici e link sono verificati dal nostro codice. Per Google, Microsoft e GitHub ci basiamo sull’indirizzo che segnalano come verificato. | Un servizio Avonao ID compromesso potrebbe firmare un accesso falso, e un provider compromesso potrebbe segnalare un indirizzo falso. |
| Il nostro orologio | Gli orari di emissione e di scadenza sono l’ora del nostro server al momento della firma. | Un orologio sfasato dà orari errati. Ammetti un piccolo sfasamento dell’orologio quando li controlli. |
Chiavi di firma e dove trovarle
Un unico emittente, https://id.avonao.com, firma per tutte e sette le regioni con chiavi ES256 (P-256). Le metà pubbliche sono pubblicate apertamente; quelle private sono conservate cifrate nel database principale.
Custodia
- Le chiavi sono generate dal servizio di accesso. Ogni chiave privata è conservata solo cifrata con AES-256-GCM, legata al proprio record, sotto una chiave di cifratura delle chiavi custodita come segreto della piattaforma e mai conservata nel database.
- Una nuova chiave è pubblicata nell’insieme di chiavi almeno 24 ore prima di firmare per la prima volta, così i verificatori l’hanno in cache in tempo.
- Nessuna route dell’API restituisce materiale di chiave privata. L’insieme di chiavi contiene solo campi pubblici.
- L’accesso alla produzione è limitato a personale Avonao identificato e vincolato alla riservatezza. Le funzioni amministrative richiedono un token separato, custodito come segreto della piattaforma e non nel database.
Limiti dichiarati
- La rotazione avviene da sola: la chiave attiva è sostituita al compimento dei 90 giorni, quando la successiva è pubblicata da 24 ore. Una chiave ritirata resta pubblicata abbastanza a lungo perché i token firmati poco prima del cambio si verifichino.
- Una chiave compromessa può essere revocata e rimossa subito dall’insieme pubblicato, e i token che ha firmato smettono di verificarsi.
- Le chiavi non sono in un modulo di sicurezza hardware. Spostare la firma su un servizio cloud di gestione delle chiavi è progettato, non realizzato. Chi detenesse sia il database sia la chiave di cifratura delle chiavi potrebbe far firmare dei token.
- Oggi non esistono un registro di trasparenza delle chiavi né un audit esterno della loro gestione.
Dove sono pubblicate le chiavi
| Indirizzo | Contenuto |
|---|---|
https://id.avonao.com/.well-known/jwks.json | L’insieme JWK: solo chiavi pubbliche, in cache per cinque minuti |
https://id.avonao.com/.well-known/openid-configuration | Discovery OpenID: emittente, endpoint e algoritmi supportati, in cache per un’ora |
https://id.avonao.com/.well-known/oauth-authorization-server | Gli stessi metadati nel formato di authorization server OAuth (RFC 8414) |
curl -sSL https://id.avonao.com/.well-known/jwks.json
// kid = primi 22 caratteri dello SHA-256 in base64url dei membri crv, kty, x e y della chiave in JSON
const json = JSON.stringify({ crv: k.crv, kty: k.kty, x: k.x, y: k.y });
const digest = new Uint8Array(await crypto.subtle.digest("SHA-256", new TextEncoder().encode(json)));
const kid = btoa(String.fromCharCode(...digest))
.replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "").slice(0, 22);Per la massima sicurezza, recupera l’insieme di chiavi una volta, conserva ogni kid con i suoi valori x e y nel tuo repository e verifica rispetto a quella copia. Aggiornala quando compare un nuovo kid. Vedi /.well-known/openid-configuration
Controllo degli accessi e isolamento
Ogni richiesta è legata a una persona o a un’app prima che qualcosa venga letto o modificato. Così sono gestiti oggi accesso, consenso, regioni e richieste in uscita.
Segreti con hash e cifrati
Non si conservano password. Le passkey conservano solo la chiave pubblica. I token di sessione, i token dei link e i codici, i codici di autorizzazione, i token di accesso, i codici di recupero e i client secret delle app sono conservati come hash SHA-256. I segreti che il servizio deve leggere, come i segreti dell’autenticatore e i segreti di firma dei webhook, sono cifrati con AES-256-GCM.
Accesso e sessioni
Passkey, un link o un codice via email valido 10 minuti con al massimo 5 tentativi per il codice, accesso social e app di autenticazione con codici di recupero. Il cookie di sessione ha il prefisso __Host-, è HttpOnly, Secure e SameSite=Lax, termina dopo 14 giorni di inutilizzo e comunque dopo 90 giorni. Le modifiche sensibili richiedono una conferma recente, entro 10 minuti.
Consenso, scope e ruoli
Un’app ottiene solo gli scope consentiti dalla persona e un ID privato proprio, e la persona può revocarle l’accesso in qualsiasi momento. I ruoli aziendali (owner, admin, developer) seguono il privilegio minimo, e un invito può essere accettato solo dall’indirizzo email invitato e confermato.
Regioni e multitenancy
I dati di una persona risiedono in un database regionale, raggiunto solo dal servizio di quella regione. Un cookie o un token di un’altra regione è rifiutato, e nulla è letto da un’altra regione né scritto in essa come ripiego. Le aziende sono separate logicamente per identificativo aziendale; un database dedicato per azienda è realizzato ma non attivato.
Richieste in uscita
I webhook sono inviati a indirizzi https con un nome host pubblico, firmati con HMAC-SHA256 e un timestamp, con un timeout di 5 secondi, e i reindirizzamenti non sono mai seguiti. Il callback di un verificatore wallet deve essere https su un dominio che l’azienda ha verificato. L’accesso enterprise controlla firma, emittente, destinatario, scadenza e nonce dell’identity provider.
Limiti di frequenza e abusi
Accesso, inserimento dei codici, endpoint dei token, creazione di aziende, inviti, verifica dei domini, segnalazioni e follow hanno tutti limiti di frequenza; il link via email consente 5 richieste per indirizzo e 20 per indirizzo IP in 10 minuti. I contatori sono conservati come hash con chiave, quindi né l’indirizzo né l’IP sono conservati in chiaro. Un controllo anti-bot protegge la registrazione e la creazione di aziende, se configurato.
Limiti dichiarati: un nome host che risolve a un indirizzo privato è bloccato dalle regole di uscita di Cloudflare, non da noi, quindi l’elenco dei domini verificati consentiti è il controllo principale. I webhook, le connessioni enterprise (SAML e OIDC) e SCIM sono in Beta, forniti così come sono. Le richieste del browser che modificano dati devono provenire dalla stessa origine.
Protezione dei dati
Il servizio è progettato per conservare il meno possibile: nessuna password, hash al posto dei token, un ID privato per ogni app e solo gli scope consentiti dalla persona.
Hash, non segreti
Token, link, codici e client secret sono conservati come hash SHA-256, quindi una copia del database non ne contiene nemmeno uno funzionante. Non c’è alcuna password da conservare.
Un ID privato per app
Un’app di terze parti riceve per ogni persona un ID pairwise proprio, mai l’identificativo dell’account, così due app non possono far corrispondere i propri utenti. Le piattaforme di Avonao ricevono l’identificativo dell’account.
Una ricevuta per ogni condivisione
Ogni volta che un’app riceve i dati di una persona, la persona riceve una ricevuta dei dati. Può vedere cosa vede ogni app e revocarne l’accesso in Le tue app.
Solo ciò che è stato consentito
Un’app riceve solo gli scope consentiti nella schermata di consenso. Una piattaforma segnala soltanto se un abbonamento è assente, gratuito o a pagamento. Verified, quando è attivo, conserva l’esito e il livello di fiducia, mai le immagini dei documenti.
Regioni dei dati
I dati personali, le sessioni e la cronologia degli accessi di una persona sono conservati solo nella regione scelta alla registrazione. I record aziendali (app, domini, chiavi) e un indice pseudonimo degli accessi sono conservati nella regione principale, US West. Le richieste raggiungono la rete di Cloudflare nella sede più vicina al visitatore e sono poi gestite nella regione della persona, o inoltrate a essa.
| Regione | Codice | Posizione del servizio (regione AWS) | Archiviazione |
|---|---|---|---|
| US East | enam | us-east-1 | Indicazione di posizione |
| US West | wnam | Servizio principale | Indicazione di posizione |
| Europa centrale | weur-1 | eu-central-1 | Giurisdizione UE (applicata) |
| Europa occidentale | weur-2 | eu-west-1 | Giurisdizione UE (applicata) |
| Europa settentrionale | neur | eu-north-1 | Giurisdizione UE (applicata) |
| Asia-Pacifico | apac | ap-southeast-1 | Indicazione di posizione |
| Oceania | oc | ap-southeast-2 | Indicazione di posizione |
Una regione indica dove sono conservati i dati di una persona. Una richiesta per una persona di una regione non legge né scrive mai nel database di un’altra regione, e se una regione non è raggiungibile la richiesta fallisce con un errore.
Cifratura
Il traffico usa HTTPS. I database sono cifrati a riposo dal nostro fornitore di infrastruttura, Cloudflare. I segreti che il servizio deve leggere sono cifrati anche nell’applicazione con AES-256-GCM, sotto una chiave custodita come segreto della piattaforma e mai conservata nel database.
Eliminazione e cancellazione
Eliminare un account lo chiude subito e termina le sue sessioni e le connessioni con le app. Per 28 giorni la persona può accedere e annullare l’eliminazione; poi l’account, le email, i metodi di accesso, le sessioni, i registri di consenso e le ricevute dei dati sono eliminati definitivamente, e le voci del log di sicurezza sono rese anonime. Le piattaforme e le app aziendali sono avvisate perché eliminino le proprie copie. L’eliminazione è rifiutata finché è attivo un abbonamento a pagamento. Una persona può scaricare i propri dati come file JSON in qualsiasi momento.
Conservazione
- L’account e tutto ciò che vi è collegato
- Fino all’eliminazione dell’account, più una finestra di ripristino di 28 giorni. Poi la pulizia giornaliera lo elimina definitivamente.
- Sessioni
- Fino alla scadenza (14 giorni di inutilizzo, al massimo 90 giorni) o finché la persona non le termina. Le sessioni terminate sono eliminate 30 giorni dopo.
- Log delle richieste del fornitore di hosting e dati di ripristino
- Log delle richieste fino a 7 giorni. Dati di ripristino a un punto nel tempo fino a 30 giorni, usati solo per ripristinare il servizio dopo un guasto.
- Log di sicurezza
- 395 giorni (circa 13 mesi), mai oltre la vita dell’account. All’eliminazione definitiva le voci sono rese anonime.
- Il log di audit di un’azienda
- Finché l’azienda esiste, più un anno dopo la sua eliminazione.
- Registri di consegna dei webhook
- 30 giorni.
- Segnalazioni e decisioni di moderazione
- 3 anni dopo la decisione, più a lungo solo finché una decisione è ancora in vigore.
Informativa sulla privacyPrivacy e diritti sui datiSub-responsabili del trattamento
Disponibilità
Lo stato è misurato dai nostri server, non scritto a mano. Non promettiamo alcuna disponibilità durante l’accesso anticipato, e un token che un’app già possiede può essere verificato offline fino alla scadenza.
Pagina di stato pubblica
- Tre controlli sono eseguiti sugli endpoint pubblici di Avonao ID: accesso (discovery OpenID), chiavi di firma e piani e configurazione. La pagina si aggiorna circa ogni 30 secondi.
- Ogni controllo mostra Operativo con il suo tempo di risposta, oppure Non risponde. Un controllo che non risponde entro 5 secondi conta come non risponde.
- La pagina di stato mostra solo lo stato attuale. Oggi non ha cronologia degli incidenti, iscrizione via email né feed.
- La pagina di stato non è firmata e non è un accordo sul livello di servizio.
Supporto e livelli di servizio
Avonao ID è gratuito per persone e aziende. Durante l’accesso anticipato non c’è alcun accordo sul livello di servizio, salvo che sia concordato per iscritto. Il supporto è via email: business-support@avonao.com per le aziende e enterprise-support@avonao.com per le connessioni e i contratti enterprise.
| Piano | Supporto e livello di servizio |
|---|---|
| Free, Pro, Team e Scale | business-support@avonao.com. Nessun impegno di disponibilità né crediti di servizio durante l’accesso anticipato. |
| Enterprise | enterprise-support@avonao.com. Ogni livello di servizio è concordato per iscritto nel contratto. |
| Funzionalità Beta | I webhook, le connessioni enterprise e SCIM sono forniti così come sono e non sono coperti da alcun livello di servizio. |
| Situazione | Cosa significa | A cosa ci impegniamo |
|---|---|---|
| Interruzione del servizio | Un controllo della pagina di stato fallisce: il discovery dell’accesso, le chiavi di firma o i piani e la configurazione non rispondono. | Mostrato come Non risponde sulla pagina di stato entro circa 30 secondi. |
| Violazione dei dati personali | Un incidente di sicurezza comporta la perdita, la modifica o la divulgazione non autorizzata di dati personali, o l’accesso ad essi. | Un’azienda è informata senza ingiustificato ritardo, ove possibile entro 48 ore. Le autorità entro 72 ore, ove richiesto. |
| Modifica di una funzionalità Beta | Una funzionalità Beta, come i webhook o una connessione enterprise, cambia o termina. | Preavviso di almeno 14 giorni prima di terminare una funzionalità Beta usata da un’azienda. |
Un limite di piano non disattiva mai l’accesso: oltre il limite di utenti attivi mensili, gli owner sono avvisati e gli accessi continuano. Oltre il limite di app o di postazioni, i nuovi sono rifiutati e quelli esistenti restano.
Un token che un’app già possiede è verificato offline con le chiavi pubblicate. I token ID durano 5 minuti, quindi per accedere di nuovo serve il servizio.
Risposta agli incidenti e divulgazione delle vulnerabilità
A cosa ci impegniamo quando qualcosa va storto, e come segnalarci una debolezza prima che la trovi qualcun altro.
Violazioni dei dati personali
Se una violazione riguarda dati personali che trattiamo per conto di un’azienda, la notifichiamo all’azienda senza ingiustificato ritardo e, ove possibile, entro 48 ore, con quanto è noto: la natura della violazione, le persone e i record interessati, le probabili conseguenze e le misure adottate. Quando siamo il titolare del trattamento, la notifichiamo all’autorità competente entro 72 ore da quando ne veniamo a conoscenza, salvo che sia improbabile che la violazione presenti un rischio per le persone, e informiamo le persone interessate senza ingiustificato ritardo quando il rischio è elevato.
Incidenti di servizio
Un controllo che fallisce compare sulla pagina di stato. Per un incidente di sicurezza lo contieniamo prima di tutto: i segreti esposti sono ruotati, le sessioni degli account interessati sono terminate e una route interessata può essere disattivata. Le persone interessate sono avvisate via email da no-reply@id.avonao.com, con un indirizzo di supporto.
Divulgazione responsabile
Segnala tramite il modulo, con i tuoi recapiti o in forma anonima, oppure via email a security@avonao.com. La pagina di segnalazione indica l’ambito e il safe harbor.
| Fase | Obiettivo |
|---|---|
| Conferma di ricezione della tua segnalazione | Entro 3 giorni lavorativi |
| Valutazione iniziale e gravità | Entro 10 giorni lavorativi |
| Aggiornamenti finché il problema è aperto | Almeno ogni 14 giorni |
| Correzione per gravità critica e alta | Puntiamo a 30 giorni |
| Correzione per gravità inferiore | Puntiamo a 90 giorni |
Obiettivi, non garanzie. Chiediamo 90 giorni prima della divulgazione pubblica. Non c’è un bug bounty in denaro; riconosciamo i ricercatori per nome su richiesta.
Stato della conformità
Cosa esiste oggi, cosa è disponibile su richiesta e cosa non dichiariamo. Se una riga conta per la tua revisione, il documento collegato è il testo vincolante.
| Voce | Stato | Dettaglio |
|---|---|---|
| Accordo sul trattamento dei dati | In vigore | Un allegato dei Business Terms per i casi in cui trattiamo dati personali per conto di un’azienda: connessioni enterprise e accesso del personale. L’Avonao ID di una persona è nostro, in qualità di titolare del trattamento. Pubblicato come bozza 0.1. |
| Trasferimenti internazionali | In vigore | Quando i dati lasciano il SEE, il Regno Unito o la Svizzera ci basiamo sul Data Privacy Framework UE-USA se il fornitore è certificato e, in caso contrario, sulle Clausole contrattuali tipo dell’UE con l’addendum del Regno Unito. |
| Rappresentante ai sensi dell’articolo 27 | In vigore | NUICORN, Chausseestraße 86, 10115 Berlino, Germania, è il nostro rappresentante e responsabile della protezione dei dati per l’Unione europea. È indicato nell’Informativa sulla privacy. |
| Modifiche dei sub-responsabili | In vigore | Preavviso di almeno 30 giorni via email agli owner o nella console, con il diritto di opporsi per motivi di protezione dei dati e, se non riusciamo a risolvere, di terminare il servizio interessato. |
| Richieste sui diritti privacy | In vigore | Scarica, correggi ed elimina nella dashboard. Le altre richieste vanno a support@avonao.com e ricevono risposta senza ingiustificato ritardo ed entro un mese. |
| Security pack | In vigore | Un whitepaper sulla sicurezza e un questionario di sicurezza precompilato per Avonao ID, da leggere online o scaricare. |
| Questionario di sicurezza | Su richiesta | Su richiesta rendiamo disponibili le informazioni che mostrano come rispettiamo l’articolo 28 del GDPR: il DPA, le misure di sicurezza del suo Allegato 2 e l’elenco dei sub-responsabili. |
| Audit del cliente | Su richiesta | Una volta l’anno con 30 giorni di preavviso, da parte dell’azienda o di un revisore indipendente vincolato alla riservatezza, a spese dell’azienda, oppure in qualsiasi momento dopo una violazione. Possiamo rispondere prima con la documentazione. |
| Certificazioni dei sub-responsabili | Su richiesta | Dove esistano certificazioni o documenti pubblici di conformità di un fornitore e possiamo condividerli, possiamo rispondere prima con essi a una richiesta di audit. |
| Bug bounty | Non offerto | Nessun compenso in denaro. I ricercatori sono riconosciuti su richiesta. |
| SOC 2 e ISO 27001 | Non dichiarato | Avonao ID non possiede alcun rapporto SOC 2 né certificato ISO 27001 e non dichiara di averne. |
| HIPAA | Non dichiarato | Avonao ID non è un servizio HIPAA. Non siamo stati valutati ai sensi dell’HIPAA e non firmiamo business associate agreement. Non inserirvi informazioni sanitarie protette. |
| FedRAMP | Non dichiarato | Avonao ID non ha alcuna autorizzazione FedRAMP e non dichiara di averne. |
Documenti legali
Tutti i documenti che regolano Avonao ID. Sono pubblicati come bozze, in attesa di revisione legale. Avvisiamo i membri via email almeno 30 giorni prima che entrino in vigore modifiche importanti ai Termini, e le aziende almeno 30 giorni prima che un sub-responsabile sia aggiunto o sostituito.
| Documento | Cosa copre | Versione |
|---|---|---|
| Termini di servizio | L’accordo con i membri: l’account, l’accesso, le app e il consenso, la rete, Verified quando è attivo, l’eliminazione con finestra di ripristino e la responsabilità. | Bozza 0.1 |
| Informativa sulla privacy | Quali dati personali trattiamo, perché, chi li riceve, dove sono conservati, per quanto tempo, i cookie e come esercitare i tuoi diritti. | Bozza 0.1 |
| Politica di utilizzo accettabile | Regole numerate su ciò che non si può fare con il servizio, che le motivazioni delle decisioni possono citare. | Bozza 0.1 |
| Consenso a Verified | Cosa accetta una persona quando sceglie il controllo di identità Verified, quali dati sono trattati e cosa è conservato. | Bozza 0.1 |
| Business Terms | Per le aziende che usano Avonao ID nelle proprie app: ruoli, domini, messa in produzione, obblighi sui dati, inserimento nell’elenco, moderazione, funzionalità Beta, supporto e responsabilità. | Bozza 0.1 |
| Accordo sul trattamento dei dati | Condizioni del responsabile del trattamento per le connessioni enterprise e l’uso da parte del personale: istruzioni, misure di sicurezza, sub-responsabili, notifica di violazione, audit ed eliminazione. | Bozza 0.1 |
| Sub-responsabili del trattamento | Ogni fornitore che tratta dati personali per Avonao ID, cosa fa, dove, e come sono annunciate le modifiche. | Bozza 0.1 |
| Segnalazione e intervento | Come segnalare un’azienda, come viene esaminata una segnalazione, gli esiti possibili, le motivazioni delle decisioni e come contestare una decisione. | Bozza 0.1 |
| Regole di classificazione | Le regole pubblicate che decidono come sono ordinate le aziende nella directory Avonao Business Circle. | Bozza 0.1 |
| Regole di analytics | Le regole inderogabili per la misurazione sui nostri siti: prima il consenso, mai nelle pagine di accesso, nessun identificatore negli eventi, nessuna pubblicità. | Bozza 0.1 |
| Note legali | Chi pubblica Avonao ID, dove è registrata la società e come contattarla. | Bozza 0.1 |
Richiedi la documentazione di sicurezza.
Stai conducendo una valutazione del fornitore? Dicci di cosa hai bisogno. Rispondiamo ai questionari per iscritto, e gli acquirenti Enterprise possono parlare con noi dell’architettura.
Invia un questionario di sicurezza
Rendiamo disponibile ciò che mostra come rispettiamo l’articolo 28 del GDPR. Invia il tuo questionario a privacy@avonao.com.
Scrivi a privacy@avonao.com →EnterpriseRevisione di sicurezza con le vendite
Per una valutazione Enterprise: accesso enterprise con SAML o OIDC, SCIM, condizioni contrattuali e la documentazione per gli acquisti.
Contatta le vendite →SicurezzaParla con il team di sicurezza
Domande sul modello di sicurezza, sulle chiavi di firma o su un riscontro. Le vulnerabilità passano dal modulo di segnalazione.
Contatta la sicurezza →PrivacyDomande su privacy e dati
Richieste degli interessati, opposizioni ai sub-responsabili e domande sul DPA.
Contatta la privacy →
