M1 · Verificación de edad que preserva la privacidad
La ley obliga a verificar la edad. El reflejo del sector es subir el pasaporte a un tercero que luego se filtra. chia retiene SOLO una atestación «+18» firmada — nunca el documento ni la fecha de nacimiento. Si es mayor, emite un pase +18 portátil (Ed25519) que otro servicio verifica sin poder forjarlo.
M2 · Bóveda cifrada de documentos de identidad
Lo que §2257 obliga a conservar es justo lo que se filtra (875.000 escaneos en un bucket S3 abierto, 2020). chia guarda el documento CIFRADO en reposo: un volcado de la base entrega ruido, no imágenes.
M3 · Control de acceso endurecido (anti-IDOR/BOLA)
El fallo #1 del sector: pedir el recurso de otro por su id y obtenerlo. chia aplica default-deny.
M4 · Panel de cumplimiento gestionado
La postura de conformidad, al día conforme cambia la ley.
Verificación de edad
Privacy-preserving (atestación +18, sin retener documento)
OSA · DSA · leyes US · eIDAS2
Custodia de identidad
Cifrado en reposo (AEAD); índice §2257 separado del documento
§2257 · GDPR · Ley 1581
Control de acceso
Default-deny; anti-IDOR/BOLA; auditor registrado
OWASP BOLA
Retención / supresión
Índice retenido, documento con borrado verificable
Art. 17 GDPR · 1581
Takedown NCII
SLA 48 h, búsqueda de copias
TAKE IT DOWN Act
Cadena de suministro
Inventario de proveedores; minimización de lo enviado
DPA art. 28