Modelo de consentimiento

Cómo Trusteed obtiene, registra, delimita y revoca consentimiento entre usuarios, agentes y merchants.

Resumen de consentimientos

Tres flujos de consentimiento independientes operan en paralelo. Cada uno otorga una capacidad limitada y es revocable de forma independiente.

Usuario → Agente (OAuth): El usuario autoriza a una aplicación de agente a actuar en su nombre con scopes específicos (mcp:read, mcp:write, mcp:checkout).
Usuario → Merchant (consent MCAP): El usuario firma un consent grant Mastercard Agent Pay autorizando que un instrumento de pago se cargue dentro de un scope (tope de importe, merchant, expiración).
Usuario → Red (orden ACP): El usuario autoriza una sola orden Agent Commerce Protocol. La autorización expira al liquidarse o cancelarse.

Flujo de scope OAuth 2.1

Toda autorización de agente se basa en OAuth 2.1 Authorization Code con PKCE S256. Los tokens se vinculan al resource server vía audience RFC 8707.

Endpoint de authorize: https://auth.trusteed.xyz/authorize
Endpoint de token: https://auth.trusteed.xyz/oauth/token
Audience binding (RFC 8707): Tokens válidos solo para resource = https://api.trusteed.xyz
TTL access token: 1 hora
TTL refresh token: 30 días, rotado en cada uso
Endpoint de revocación: https://auth.trusteed.xyz/oauth/revoke

Consent grants MCAP

Los grants Mastercard Agent Pay están firmados Ed25519 por el issuer y almacenados en la base de datos. Autorizan gasto específico dentro de condiciones acotadas.

Ciclo de vida: create → active → revoked (o expired)
Scope: tope de importe, merchant, valid_until timestamp
Algoritmo de firma: Ed25519 (clave del issuer, rotable)
Propagación de revocación: Cabecera X-MCAP-Token-Version se incrementa en cada cambio; los clientes deben respetarla
Audit trail: Todas las transiciones de estado se registran con actor, motivo y timestamp

Retención de datos

PII (email, nombre): Retenida mientras la cuenta está activa. Soporte de derecho al olvido (GDPR art. 17).
Historial de pedidos: 7 años (obligación fiscal/legal)
Logs de auditoría: 90 días en hot storage, 7 años en archivo frío
Session tokens: Olvidados al revocar
Consent grants: Almacenados firmados; los revocados se conservan para auditoría

Derechos del usuario (GDPR / CCPA)

Los usuarios pueden ejercer los siguientes derechos en cualquier momento. Las solicitudes se atienden en 30 días.

Acceso (exportación): Solicita un export JSON portable de todos tus datos.
Rectificación: Corrige datos inexactos.
Supresión (derecho al olvido): Borra todos los datos sin obligación legal de retención.
Portabilidad: Recibe los datos en formato legible por máquina.
Oposición: Oponte a procesamiento específico (analítica, profiling).

Flujos de revocación

Usuario revoca app: auth.trusteed.xyz/u/applications → token invalidado de inmediato
Merchant revoca consent: /dashboard/[stores]/[slug]/agents → grant MCAP revocado
Revocación de emergencia (admin): Dashboard de operador → kill-switch sobre grant o sesión

Ciclo de vida del consent grant

┌──────────┐        ┌──────────┐        ┌──────────┐
│ Emitido  │ ─uso─► │  Activo  │ ─rev───►│ Revocado │
└──────────┘        └────┬─────┘        └──────────┘
                         │
                       expira
                         ▼
                    ┌──────────┐
                    │ Expirado │
                    └──────────┘