AvaliaçãoTudo o que uma revisão de segurança pede, em dois arquivos.
Um whitepaper de arquitetura e segurança e um questionário de segurança já preenchido, escritos a partir do serviço como ele está construído hoje. Cada resposta aponta para o documento ou o código que a sustenta, e o que não podemos comprovar aparece como não afirmado ou ainda não disponível.
Versão de 9 de novembro de 2026Os dois arquivos estão em inglês.
Os dois arquivos
Use-os como estão ou copie as respostas para o seu próprio modelo de avaliação de fornecedores.
Whitepaper de arquitetura e segurança
Como uma requisição viaja da porta de entrada do login até o Worker regional do membro e seu banco de dados, como os tokens de ID são assinados e as chaves protegidas, onde os dados ficam, quem pode acessar o quê e como lidamos com incidentes, vulnerabilidades e recuperação. Um apêndice lista a evidência de cada afirmação.
avonao-security-whitepaper.md · Markdown, inglêsBaixar .mdQuestionário de segurança já preenchido
93 perguntas no estilo dos questionários enxutos mais comuns, agrupadas por domínio, cada uma com resposta, uma breve explicação e um link para a evidência.
avonao-security-questionnaire.csv · CSV, inglêsBaixar .csvO whitepaper e o questionário estão disponíveis só em inglês. Quando diferem de um documento legal, vale o documento legal.
O que o whitepaper cobre
Descreve o serviço como ele é construído, não um roadmap. Quando uma proteção é parcial, ele diz isso.
- Fluxo de dados: o Worker de origem, os seis Workers regionais e seus bancos de dados, o login para apps, requisições de saída e webhooks, conexões empresariais e SCIM
- Custódia das chaves de assinatura ES256 dos tokens e da chave de cifragem de chaves, rotação e o que acontece se uma chave for comprometida
- Regiões de dados e residência: o que é regional, o que fica na região de origem EUA Oeste e por que as requisições nunca passam para outra região
- Subprocessadores e como as mudanças são anunciadas
- Criptografia em trânsito e em repouso, no provedor e na aplicação
- Controle de acesso: passkeys, links de e-mail, segundo fator, sessões, funções da empresa e acesso da nossa própria equipe
- Registros, o registro de segurança dos membros e o registro de auditoria das empresas
- Disponibilidade, tratamento de incidentes e notificação de violações, e o que ainda não publicamos
- Relato de vulnerabilidades e o que ainda não existe
- Backup e recuperação
- O que não alegamos
- Um apêndice que liga cada afirmação ao documento e ao arquivo-fonte que a sustentam
Como ler as respostas
A coluna de resposta usa quatro valores. Eles ficam em inglês no arquivo, para ordenar e filtrar do mesmo jeito para todos.
- Yes
- Em vigor hoje, como descrito na explicação e no documento vinculado.
- Partial
- Em vigor com um limite declarado, ou só em alguns planos. A explicação diz qual.
- No
- Não faz parte do serviço hoje.
- Not claimed
- Não fazemos nenhuma alegação sobre isso.
Os documentos que vinculam estas respostas
O pacote resume. O texto vinculante está nestes documentos.
Adendo de Dados (DPA)
Termos de operador para empresas, as medidas de segurança como construídas, aviso de violações em até 48 horas, auditorias e transferências internacionais.
Ler o DPA →Subprocessadores
Cada provedor que trata dados pessoais, o que faz e onde, com 30 dias de aviso sobre mudanças.
Ver a lista →Segurança
Como o login, as sessões, os tokens e as regiões de dados protegem sua conta.
Ler a página de segurança →Trust Center
Como a Avonao trata sua conta e seus dados, e onde ler as regras.
Abrir o Trust Center →Reportar uma vulnerabilidade
Como nos reportar uma vulnerabilidade e o que pedimos a pesquisadores.
Reportar vulnerabilidade →Política de Privacidade
O que coletamos, onde fica armazenado, por quanto tempo mantemos cada tipo de registro e suas escolhas.
Ler a política →
Perguntas que o pacote não responde
Envie seu próprio questionário e respondemos por escrito. As empresas também podem pedir que revisemos a arquitetura com elas.
