VerificableConfianza que se comprueba, no se lee.
Trustvice existe para emitir hechos firmados en los que otros confían. Aquí explicamos cómo funciona, qué protegemos y cómo, dónde residen tus datos y qué nos comprometemos a hacer. Cada punto enlaza al documento que lo vincula.
Operado por Avonao, Inc., DelawareDocumentos legales revisados 6 de noviembre de 2026
Cómo se crea un recibo.
Cada llamada sigue el mismo camino. Las credenciales se comprueban en la entrada, el trabajo se hace y se guarda en la región propia del workspace, y Trustvice firma el recibo con una clave de AWS KMS que guarda en esa región.
- Autenticar
La puerta de entrada resuelve la credencial a un único workspace antes de que se ejecute ningún código de suite. Los secretos se almacenan y se comparan como hashes SHA-256, en tiempo constante.
- Reenviar
El workspace y los permisos viajan al servicio regional en encabezados firmados por nuestros servicios. Sin una firma válida, el servicio rechaza la solicitud.
- Observar o registrar
El servicio regional hace el trabajo que se pidió a la suite y registra los hechos que cubrirá el recibo.
- Firmar
Trustvice firma el recibo sobre el hash del artefacto con su clave Ed25519 en AWS KMS, en la región de datos del recibo; la clave privada nunca sale de KMS. Mientras no exista la firma, el artefacto muestra «Recibo pendiente», nunca un recibo sin firmar.
- Verifica en todo
El recibo lleva el id de su clave dentro de los bytes firmados. Con el recibo y la clave pública, cualquiera lo comprueba sin nosotros mientras la clave siga publicada.
Qué prueba un recibo y qué no puede probar.
Un recibo es una afirmación precisa y acotada. Lee ambas columnas antes de confiar en uno y antes de pedírselo a otros.
Una firma válida prueba
- Origen: una clave de firma de Trustvice firmó exactamente estos bytes.
- Integridad: nada del sobre ha cambiado desde entonces, ni un solo dígito.
- Una hora firmada: el reloj de Trustvice marcaba issuedAt al firmar.
Lo que no prueba
- Que un hecho que usted comunicó sea cierto. Algunas suites firman hechos que aporta el llamante y otras lo que observamos; la página de cada suite indica cuál es el caso.
- Quién creó o aprobó el contenido. El recibo registra un workspace, no una persona.
- La hora real de un evento. No hay autoridad de sellado de tiempo externa.
- Que no pasó nada allí donde no existe recibo.
- Que seamos neutrales más allá de nuestra palabra. Trustvice firma con claves propias y conserva su propia copia de escritura única; ningún tercero comprueba lo que dice un recibo.
En qué aún confías en nosotros
La verificación es independiente. La confianza queda en una lista breve.
| Confías en | Motivo | Si falla |
|---|---|---|
| Que la clave pública que usas es nuestra | Una firma prueba quién tiene una clave, no de quién es. | Una clave sustituida hace pasar falsificaciones. Fija el kid por otra vía. |
| Las claves de firma de Trustvice las usa solo su servicio de recibos | El servicio firma lo que su código decide firmar. | Una clave mal usada firmaría hechos que nunca pasaron. |
| Observamos con honestidad en las funciones observadas | Esos recibos dicen que Trustvice lo vio. | Un Trustvice comprometido podría firmar algo falso. |
| El reloj | issuedAt es la hora del servidor al firmar. | Un reloj desfasado da un issuedAt erróneo. |
Claves de firma y dónde encontrarlas
Cada recibo se firma con Ed25519 mediante una clave de AWS KMS que Trustvice guarda en la región de datos del recibo, una clave por región. Trustvice publica las mitades públicas como su propio conjunto de claves.
Custodia
- Trustvice emite, firma y almacena sus recibos por sí mismo. La clave privada nunca sale de KMS y el Worker solo tiene una credencial que únicamente sirve para firmar.
- Ninguna ruta de la API da material de clave privada. Las públicas solo dan campos públicos.
- Si KMS no está disponible, el recibo queda en espera como «Recibo pendiente» y se reintenta cada cinco minutos. Nunca se muestra un recibo sin firmar y no hay recurso a una clave local.
Límites claros
- La rotación es una ceremonia manual, no periódica. Una clave retirada sigue publicada y los recibos viejos verifican.
- Cada hora, Trustvice escribe los hashes de los recibos firmados de las horas cerradas, con una raíz Merkle firmada por la clave KMS de la región, como un único objeto en un bucket de Amazon S3 Object Lock en modo COMPLIANCE, en la misma región. Nadie, ni siquiera el usuario raíz de AWS, puede modificarlo ni borrarlo antes de su fecha de bloqueo. Es el bucket y la clave propios de Trustvice: limita lo que Trustvice podría hacer sin que se note, pero no es un testigo independiente.
- Una clave de firma no impide que quien puede operar el servicio de firma lo haga firmar, por eso separamos los hechos observados de los declarados.
Dónde están las claves
| Dirección | Contenido |
|---|---|
https://trustvice.com/.well-known/receipt-keys.json | Conjunto JWK de Trustvice: https://trustvice.com/.well-known/receipt-keys.json |
https://api.trustvice.com/api/v1/receipts/keys | El mismo conjunto de claves desde la API: https://api.trustvice.com/api/v1/receipts/keys |
curl -sSL https://trustvice.com/.well-known/receipt-keys.json
// kid = huella RFC 7638 de la clave
const raw = Uint8Array.from(atob(x.replace(/-/g, "+").replace(/_/g, "/")
.padEnd(Math.ceil(x.length / 4) * 4, "=")), (c) => c.charCodeAt(0));
const digest = new Uint8Array(await crypto.subtle.digest("SHA-256", raw)).slice(0, 16);
const kid = btoa(String.fromCharCode(...digest))
.replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "");Para la posición más sólida, obtén la clave una vez, guarda su kid y su valor x en tu propio repositorio y verifica contra esa copia. /legal/verification
Control de acceso y aislamiento
Cada solicitud lleva una credencial que la pasarela resuelve a un único workspace antes de que se ejecute ninguna suite. A continuación se describe cómo se gestionan hoy las credenciales y la multitenencia.
Credenciales con hash
Claves API, tokens de acceso personal y de sesión se guardan como hashes SHA-256, se muestran una vez y se comparan en tiempo constante. Las claves caducan a 30 días, 90 días, un año o nunca, y rotan con un margen de 0 a 60 minutos.
Acceso y sesiones
Acceso solo con tu Avonao ID; Trustvice no guarda contraseñas, passkeys ni secretos de apps de autenticación. Sesiones HttpOnly, Secure y SameSite=Lax, con vida de 12 horas y 30 minutos de inactividad máxima.
Scopes y roles
Scopes de lectura, escritura y gestión, restringidos a suites concretas si lo desea. Las comprobaciones fallan en modo cerrado.
Tenencia
El gateway, no quien llama, decide el workspace. Cada lectura y escritura lleva el id del workspace, y un cuerpo que nombra otro se rechaza. La separación es lógica, en una base regional.
Límites de tasa y abuso
600 solicitudes por minuto por IP y 1200 por cuenta en el gateway.
Límite declarado: las listas de IP permitidas fallan abiertas si no se pueden leer, para que un fallo de base de datos no deje fuera a clientes.
Datos protegidos
El servicio está diseñado para guardar lo mínimo.
Recibos solo anexados
Cada recibo se guarda junto al artefacto al que pertenece durante la ventana de tu plan. Una copia con solo hashes va a un bucket Object Lock de escritura única en la misma región. Solo rutas auditadas pueden ocultar o borrar, y cada una deja un evento de auditoría.
Los campos legibles se leen
Los campos legibles, como URL y etiquetas, van en claro en un recibo. No pongas nada que no mostrarías a quien lo lea.
Las regiones
Los recibos y los contadores de cuota se guardan en la región elegida al crear el workspace. Cada recibo se firma con la clave de AWS KMS propia de esa región y su hash queda bloqueado en el bucket Object Lock de esa región. El panel, el sitio web, el inicio de sesión, la facturación y los datos de la cuenta se sirven siempre desde Estados Unidos (US West).
| Región | Código | Región de AWS asociada | Datos |
|---|---|---|---|
| Este de EE. UU. | enam | us-east-1 | Pista de lugar |
| Oeste de EE. UU. | wnam | us-west-2 | Pista de lugar |
| Europa Central | weur-1 | eu-central-1 | Jurisdicción UE (aplicada) |
| Europa Oeste | weur-2 | eu-west-1 | Jurisdicción UE (aplicada) |
| Europa Norte | neur | eu-north-1 | Jurisdicción UE (aplicada) |
| Asia-Pacific | apac | ap-southeast-1 | Pista de lugar |
| Oceania | oc | ap-southeast-2 | Pista de lugar |
Una región indica dónde se guardan y procesan los datos. Un workspace nunca se mueve, y si su región no responde la llamada falla en vez de pasar a otra.
Cifrado
Los datos viajan por TLS entre tú y el servicio, y se guardan con nuestro proveedor de infraestructura, Cloudflare, según sus condiciones de seguridad. Los recibos van firmados: cualquier cambio en las pruebas guardadas lo detecta quien las verifique.
Borrado y supresión
El borrado de la cuenta surte efecto tras un periodo de gracia de 30 días en el que puedes exportar y restaurar. El trabajo de borrado no elimina los recibos; caducan según la ventana del plan, o los borras tú, o nos lo pides. El hash de un recibo borrado permanece en la copia de escritura única hasta su fecha de bloqueo. Un recibo que ya entregaste a otra persona sigue siendo verificable por ella hagamos lo que hagamos.
Retención
- Recibos
- La ventana del plan: Free 7 días, Starter 90, Pro 90, Pro+ 90, Team 180, Scale 365, Enterprise a medida. La copia de escritura única del hash permanece bloqueada 12 horas más; un plan sin borrado automático se bloquea 7 años.
- Datos de cuenta y acceso
- Hasta borrar la cuenta; después, se eliminan tras 30 días de gracia.
- Logs operativos y contadores de límite
- 30 días como mucho.
- Registro de auditoría
- Toda la vida del workspace y después, sustituyendo al interesado si se exige supresión.
- Datos de facturas
- Lo que exija la ley fiscal, hasta 7 años.
- Caché de idempotencia
- 24 horas, con estado e id de recibo, nunca el cuerpo.
Tu privacidadLas regionesRetención y supresiónSubprocesadores
Disponibilidad
El estado se mide, no se escribe a mano. Los niveles de servicio son cláusula contractual para Enterprise, y verificar nunca depende de que estemos activos.
Página de estado
- Se sondea cada cinco minutos: la pasarela de API de cada una de las siete regiones de datos, el servidor MCP, el descubrimiento de OAuth y la verificación de recibos. La emisión de recibos (un recibo de prueba emitido por Trustvice y almacenado) se añade cuando esté configurado su workspace de sondeo propio; hasta entonces no se mide.
- Un check que falla o tarda más de 8 segundos está caído; más de 3 segundos, degradado. Un monitor sin datos recientes nunca sale verde.
- Los incidentes se publican con novedades, por suscripción email, feed Atom y JSON.
- La página de estado no va firmada y no es un acuerdo de nivel de servicio.
SLA Enterprise
Para planes Enterprise con pedido firmado. Cubre la API REST, el servidor MCP y la emisión de recibos. El soporte atiende en horario hábil y acusa recibo de cada solicitud Enterprise en 1 hora dentro de ese horario. Los planes self-serve no tienen compromiso de disponibilidad, créditos ni tiempo de respuesta de soporte.
| Uptime mensual | Crédito servicio |
|---|---|
| Bajo 99,9 %, al menos 99,0 % | 10 % de la tarifa mensual |
| Bajo 99,0 %, al menos 95,0 % | 25 % de la tarifa mensual |
| Bajo 95,0 % | 50 % de la tarifa mensual |
| Gravedad | Qué es | Objetivo de acuse rec. |
|---|---|---|
| Gravedad 1 | Servicio cubierto caído, o no se pueden emitir recibos, para uso en producción. | 1 hora en horario hábil |
| Gravedad 2 | Una función clave dañada o degradada, con alternativa. | 1 hora en horario hábil |
| Gravedad 3 | Un problema menor, duda o solicitud. | 1 hora en horario hábil |
Si la disponibilidad baja del 99,0 % tres meses seguidos, o cuatro de doce cualesquiera, el cliente puede rescindir el pedido afectado con reembolso prorrateado.
Verificar un recibo solo requiere el recibo y una clave pública. Sigue funcionando aunque nuestro servicio no.
Respuesta a incidentes y divulgación de fallos
Lo que nos comprometemos a hacer cuando algo falla, y cómo avisarnos de un fallo antes de que lo encuentre otro.
Fugas de datos personales
Avisamos por email al titular de la cuenta sin demora indebida y, en todo caso, en las 72 horas siguientes a conocer una brecha que afecte a datos personales de clientes, con lo que se sepa: su naturaleza, las personas y registros afectados, las consecuencias probables y las medidas tomadas. El aviso se amplía según sepamos más.
Incidencias servicio
Los incidentes se publican en la página de estado con una cronología de Investigando a Resuelto. En un incidente de gravedad 1, los clientes Enterprise reciben un aviso inicial y actualizaciones según cambie la situación.
Divulgación responsable
Reporta por el formulario, con tus datos o de forma anónima, o por email. La investigación de buena fe según la política está autorizada y no emprenderemos acciones contra ti por ello.
| Paso | Objetivo |
|---|---|
| Acusamos recibo del aviso | Antes de 3 días hábiles |
| Evaluación inicial y gravedad | Antes de 10 días hábiles |
| Novedades mientras siga abierto | Al menos cada 14 días |
| Corrección de gravedad crítica y alta | Intentamos 30 días |
| Corrección de menor nivel | Intentamos 90 días |
Objetivos, no garantías. Pedimos 90 días antes de divulgar. No hay recompensa económica por bugs; citamos a los investigadores por nombre si lo piden.
Postura normativa
Lo que existe hoy y lo disponible bajo solicitud. Si una fila importa para tu revisión, el documento enlazado es el texto vinculante.
| Tema | Estado | Detalle |
|---|---|---|
| Anexo de tratamiento (DPA) | Vigente | Forma parte de los Términos. Se aplica al aceptarlos; no requiere contrafirma. |
| Transferencias intl. | Vigente | Cláusulas contractuales tipo de la UE (2021/914, módulos dos y tres), el Addendum del Reino Unido y la adaptación suiza, incluidas en el DPA. |
| Representantes del art. 27 | Vigente | Representantes designados en la Unión Europea y el Reino Unido, indicados en la Política de privacidad y el Aviso legal. |
| Cambio de subprocesador | Vigente | Aviso de al menos 30 días por email y en la lista, con derecho a oponerse y a rescindir con reembolso. |
| Derechos de privacidad | Vigente | Acuse en 10 días; respuesta en un mes según el RGPD y el UK GDPR, o en 45 días según leyes estatales de EE. UU. |
| Paquete de seguridad | Vigente | Un documento técnico de arquitectura y seguridad y un cuestionario de seguridad ya respondido, para leer en línea o descargar. |
| Cuestionario de seguridad | Por solicitud | Respuestas por escrito a un cuestionario razonable en 30 días, según el DPA §9. |
| Auditoría cliente | Por solicitud | Si la documentación no basta: una vez al año, con 30 días de aviso, por un auditor independiente con deber de confidencialidad, a cargo del cliente. |
| Informes de los subprocesadores | Por solicitud | Informes públicos de cumplimiento de proveedores, cuando podemos compartirlos. |
| Bug bounty | No ofrecido | Sin recompensas económicas. Citamos a quien lo pida. |
Documentos legales
Cada documento que rige el servicio, con la fecha de su versión vigente. Los cambios sustanciales de los Términos, la Política de privacidad, el DPA y la Política de uso aceptable se avisan a los titulares con 30 días de antelación como mínimo.
| Documento | Qué contiene | Fecha |
|---|---|---|
| Cond. del servicio | El acuerdo para la web, la API, el servidor MCP y el panel: cuentas, tarifas, datos, responsabilidad y ley aplicable. | |
| Pol. privacidad | Qué datos personales tratamos, por qué, quién los recibe, cuánto se guardan y cómo ejercer tus derechos. | |
| Anexo de tratamiento (DPA) | Condiciones de encargado: subprocesadores, medidas de seguridad, aviso de brechas, auditorías y transferencias. | |
| Subprocesadores | Cada proveedor que trata datos personales, qué hace, dónde y cómo se avisan los cambios. | |
| Pol. de cookies | Cookies y almacenamiento del navegador en nuestros sitios, para qué sirve cada uno, cuánto dura y cómo cambiarlo. | |
| Pol. de uso aceptable | Qué no se puede hacer con el servicio, cómo se hace cumplir y cómo denunciar abusos. | |
| SLA Enterprise | Compromiso de uptime, créditos de servicio, objetivos de respuesta y derechos por fallo crónico en Enterprise. | |
| Divulgación responsable | Cómo reportar una vulnerabilidad, qué cubre, el safe harbor y nuestros plazos de respuesta. | |
| Ley de Servicios Digitales | Puntos de contacto para autoridades y usuarios de la UE, nuestro representante legal en la UE, avisos de contenido ilícito y motivación de decisiones. | |
| Ley de Datos de la UE | Cambiar a otro proveedor, exportar tus datos, los formatos que usamos y dónde se ejecuta cada servicio. | |
| Reglamento de IA de la UE | Qué parte de Trustvice es un sistema de IA, cómo cumple Número Uno las normas de transparencia y el acuerdo del artículo 25, apartado 4, para sistemas de IA de alto riesgo. | |
| Derecho de desistimiento | Para consumidores en la UE y el Reino Unido: desistir de un plan de pago en 14 días, qué te devolvemos y el formulario modelo. | |
| Declaración de prácticas de recibos | Qué atestigua un recibo, cómo se construye, firma y fecha, y qué no prueba. | |
| Condiciones para verificadores | En qué puede confiar quien comprueba un recibo, en qué no, y nuestra responsabilidad ante esa persona. | |
| Gestión de claves | Una clave de firma de AWS KMS por región, guardada por Trustvice, y el conjunto de claves publicado. | |
| Verificar recibos | Cómo comprobar un recibo tú mismo, sin conexión, con nuestras bibliotecas o tu propio código. | |
| Versiones del formato y verificación a largo plazo | Cómo se versiona el formato de los recibos y por qué los recibos antiguos siguen verificándose. | |
| Estado poscuántico | El algoritmo de firma actual, el riesgo cuántico y cómo están pensados los recibos para cambiar de algoritmo. | |
| Continuidad | Qué sigue siendo verificable y cómo conservar tus recibos si Trustvice deja de operar. | |
| Legal · Impressum | Quién publica Trustvice, dónde está registrada la empresa y sus representantes en la UE y el Reino Unido. También en alemán. |
Pedir documentación de seguridad.
¿Evalúas proveedores? Dinos qué necesitas. Respondemos cuestionarios por escrito y explicamos la arquitectura a compradores Enterprise.
Envía cuestionario de seguridad
Respuestas por escrito en 30 días, como fija el DPA. Envíalo a privacy@trustvice.com.
Email a privacy@trustvice.com →EnterpriseRevisión técnica con ventas
Para evaluar Enterprise: el SLA, la residencia de datos, la retención a medida y la documentación de compras.
Contactar ventas →SeguridadConsulta con seguridad
Dudas sobre el modelo de seguridad, las claves de firma o un hallazgo. Las vulnerabilidades, por el formulario.
Contactar seguridad →PrivacidadDudas de privacidad y datos
Solicitudes de interesados, objeciones a subprocesadores y preguntas sobre el DPA.
Ir a privacidad →¿Ves Trustvice usado contra tus sistemas? Denuncia el abuso →