Trustvice se ejecuta sobre Cloudflare para la plataforma: Workers para el cómputo y R2 para las exportaciones. Los registros y el contenido de los clientes residen en Cloudflare D1 o en Amazon Web Services RDS, en la región que elijas al crear el espacio de trabajo. Cada espacio de trabajo dispone de su propio almacén de datos anclado a una región. Operamos una consola de administración para el personal, y cada acción que esta realiza sobre tu espacio de trabajo escribe una entrada encadenada por hash y de solo anexión en tu registro Tops. De solo anexión mediante disparador de SQLite, visible para ti y verificable de forma independiente. El acceso de administrador existe. Simplemente no puede ser silencioso.
100%
De las lecturas de administrador quedan en tu registro Tops
Más de 20 regiones
Entre Cloudflare D1 y Amazon Web Services RDS, a tu elección
Por inquilino
Una base de datos por espacio de trabajo, anclada a una región, nunca compartida
La pila tecnológica
Cloudflare D1 — base de datos (opción A)
Registros del espacio de trabajo, directorios de agentes y metadatos de ejecuciones cuando el cliente elige Cloudflare como su proveedor de datos. Basado en SQLite, anclado a una región al crear el espacio de trabajo (una de 6 regiones globales). 10 GB por base de datos; aprovisionamos una por cada espacio de trabajo, de modo que no existe una base de datos multiinquilino compartida. Vinculación de jurisdicción de la UE disponible para una residencia estricta conforme al Artículo 44 del GDPR.
Operado por Cloudflare. SOC 2 Type II. ISO 27001. ISO 27018.
Amazon Web Services RDS — base de datos (opción B)
Registros del espacio de trabajo, directorios de agentes y metadatos de ejecuciones cuando el cliente elige Amazon Web Services RDS como su proveedor de datos. Postgres gestionado, anclado a una región al crear el espacio de trabajo (una de más de 13 regiones de AWS, incluidas São Paulo, Ciudad del Cabo, Bombay y Tokio). Una instancia de Postgres por espacio de trabajo.
Infraestructura de Amazon Web Services (Aurora). SOC 1/2/3. ISO 27001.
Cloudflare R2 — almacenamiento de objetos
Paquetes de exportación (paquetes de evidencias TRAIGA, paquetes del Artículo 12 del EU AI Act, registros JSON sin procesar). Compatible con S3, anclado a una región que coincide con la región de la base de datos del espacio de trabajo, sin coste de salida. Los buckets tienen alcance de espacio de trabajo; el acceso es mediante URL firmada, nunca mediante credenciales compartidas.
Operado por Cloudflare. Misma postura de cumplimiento que D1.
Cloudflare Workers — cómputo
Endpoint de ingesta de plugins, manejador de webhooks de Avonao Billing, generador de exportaciones, sandbox de reproducción. Workers sin estado; autenticación por solicitud mediante tokens con alcance de espacio de trabajo. Ningún cómputo persistente bajo nuestra administración.
Operado por Cloudflare. El plan Workers Paid (5 USD/mes) cubre todo el cómputo sin servidor.
Avonao Billing — solo pagos
Todos los datos de pago. Nunca vemos los detalles de la tarjeta. El Portal de Clientes gestiona la suscripción, el método de pago, el historial y las compras de paquetes de ejecuciones. Las firmas de los webhooks se verifican. Avonao Billing Tax gestiona el impuesto sobre las ventas de EE. UU. y el IVA de la UE.
Operado por Stripe. PCI DSS Level 1.
El dashboard y el sitio de marketing se ejecutan en Vercel. Ningún dato de clientes pasa por Vercel: su función es servir el frontend de Next.js en el edge. La autenticación, los datos, la facturación y el cómputo residen todos en Cloudflare y Avonao Billing.
Controles vigentes desde el primer día
Registro de solo anexión por construcción
Las entradas del registro están direccionadas por contenido y encadenadas. El hash de cada entrada incluye el hash de la entrada anterior. Modificar o eliminar una entrada rompe la cadena, lo que se detecta en la siguiente verificación.
Tokens con alcance de espacio de trabajo, sin claves de API compartidas
Los tokens de ingesta de plugins tienen alcance de un único espacio de trabajo. Si se pierden o se rotan, solo afectan a ese espacio de trabajo. Los tokens de solo lectura para auditores son un alcance independiente sin capacidad de escritura.
Las lecturas de administrador quedan en tu registro Tops, y tú controlas qué tipos se registran
La consola de administración para el personal existe para el trabajo operativo legítimo: clasificación de incidentes, conciliación de facturación, respuesta a abusos. Cada lectura contra el espacio de trabajo de un cliente escribe una entrada Tops de solo anexión visible para ese espacio de trabajo. Los disparadores de SQLite imponen la solo anexión a nivel de base de datos, de modo que ni siquiera la consola de administración puede reescribir el rastro de auditoría de sus propias acciones. Los 9 tipos de Infraestructura y los 5 tipos de Spot son configurables por el cliente en cada espacio de trabajo (filtros de entorno, tasas de muestreo, conmutadores por tipo), con un mínimo garantizado por interruptor de emergencia para las acciones que siempre deben registrarse.
Ruta de datos jurisdiccional
Elige WEUR (Europa) o ENAM (EE. UU.) al crear el espacio de trabajo. D1 y R2 quedan anclados a la jurisdicción seleccionada; el cómputo de Workers se configura con Regional Services para mantener el procesamiento dentro de la jurisdicción.
Cifrado en tránsito y en reposo
TLS 1.3 para todo el tráfico de clientes. D1 y R2 cifran en reposo con claves gestionadas por el proveedor; las claves de firma por espacio de trabajo para las exportaciones se guardan en Cloudflare Secrets, accesibles únicamente para el Worker del espacio de trabajo.
Sin telemetría de terceros sobre los datos de clientes
Ningún APM o herramienta de analítica de terceros tiene acceso al contenido de los registros de clientes. El sitio de marketing utiliza Cloudflare Web Analytics (sin cookies) solo para vistas de página agregadas.
Aislamiento de base de datos por inquilino
Una base de datos por espacio de trabajo, tanto si eliges Cloudflare D1 como Amazon Web Services RDS. Las consultas entre inquilinos son estructuralmente imposibles porque no existe un esquema compartido contra el que consultar. La eliminación de un espacio de trabajo es un drop de base de datos.
Acceso del personal registrado
Cada lectura del plano de datos por parte del personal escribe una entrada Tops contra el espacio de trabajo afectado, con la identidad del miembro del personal, la marca de tiempo y el motivo. La consola de administración se autentica mediante Cloudflare Access + WebAuthn por administrador + tokens de API por administrador. El acceso de administrador del lado del proveedor (administrador de Cloudflare, administrador de Avonao Billing) se registra en el proveedor.
Acceso a los datos centrado en el cliente
Ningún operador de Trustvice —soporte, ingeniería, cumplimiento, dirección— dispone de acceso permanente a tu espacio de trabajo, a tu registro de auditoría ni a los registros de acciones de tus agentes. Cada lectura del lado del operador se produce a través de una de dos rutas, ambas visibles para ti a posteriori y ambas escritas en tu propio registro de custodia encadenado por hash. Tenemos la capacidad técnica de acceder a todo; estamos obligados por estas políticas y por nuestros términos a usar esa capacidad únicamente dentro de las rutas documentadas.
Codificado en la política de auditoría 37.
Ruta A — Tú apruebas, por defecto
O bien concedes proactivamente a soporte una ventana de acceso con límite temporal desde /app/account/support-access («Necesito ayuda; por favor, revisad mi espacio de trabajo»), o bien revisas y apruebas / restringes / deniegas una solicitud iniciada por un administrador. Las concesiones tienen alcance acotado, límite temporal (de 15 min a 72 h), presupuesto de solicitudes y son revocables al instante.
Ruta B — Anulación legal (excepción restringida)
Las citaciones judiciales, las solicitudes de reguladores, los informes de seguridad confirmados y las señales de fraude corroboradas pueden autorizar el acceso sin tu consentimiento. La ceremonia requiere tres aprobaciones independientes con aserción WebAuthn: CISO + asesor jurídico general + CEO. TTL predeterminado de 24 h, máximo 7 d, sin prórrogas silenciosas. Se te notifica: de inmediato o a posteriori cuando la orden judicial exige el aplazamiento. Se contabiliza en nuestro informe anual de transparencia en /app/support/transparency.
Los registros también son tuyos
El registro de auditoría, el registro de acciones de agentes, las entradas Tops, las entradas de custodia, el historial de facturación, las entregas de webhooks, las solicitudes de exportación: todo es exclusivo del cliente por defecto. Los operadores pueden solicitar una lectura única de una superficie específica dentro de una ventana de tiempo específica; tú lo apruebas una vez, la lectura se registra con un hash del payload escrito en tu cadena de custodia, de modo que puedes verificar exactamente qué se divulgó.
Ves cada lectura, firmada y anclada
Cada sesión del lado del operador —Ruta A o Ruta B— produce un recibo firmado (Ed25519) y anclado con OpenTimestamps que puedes descargar como PDF y verificar contra el conjunto de claves públicas en https://api.trustvice.com/.well-known/privacy-receipt-keys.json. Puedes vetar una sesión activa con un solo clic; los vetos durante sesiones de anulación legal se respetan a menos que la propia orden judicial prohíba explícitamente la terminación (lo cual te mostramos).
Detección de fraude conforme al estándar del sector
Ejecutamos la detección de abusos y fraude a través de proveedores externos reconocidos del sector bajo contratos de subencargado que los vinculan al mismo mínimo de disciplina de acceso: nunca contra una heurística interna por sí sola, nunca con derechos de entrenamiento de modelos sobre los datos de clientes. Cada proveedor solo ve el sobre que necesita (IP, hash de dispositivo, artefacto de pago, señal de comportamiento); ninguno ve el contenido del espacio de trabajo, el contenido del registro de auditoría ni el contenido de las acciones de agentes. Cada señal generada contra tu cuenta es visible para ti en /app/account/fraud-status: sin ningún subconjunto privado del operador.
Codificado en la política de auditoría 38. Divulgación legible por máquina en /.well-known/fraud-providers.json.
Stripe Radar
Fraude de pago, riesgo de contracargo, tarjeta robada, velocidad. Integrado en el Avonao Billing checkout alojado.
Sobre
Objeto de pago interno de Stripe
Sift
Fraude a nivel de cuenta: ATO, creación de cuentas falsas, fraude de pago entre proveedores.
Sobre
Id de cuenta (seudónimo), tipo de evento, hash de IP, hash de dispositivo, id de sesión
Castle
Apropiación de cuentas, viaje imposible, relleno de credenciales.
Sobre
Id de cuenta, IP, huella de dispositivo, user agent
Sardine
Señales de KYC + sanciones + PEP (Enterprise, con consentimiento del cliente).
Sobre
Nombre, fecha de nacimiento, documento de identidad (con consentimiento del cliente)
Persona
Verificación documental KYC + KYB; solo en la incorporación del nivel Enterprise.
Sobre
Imágenes de documentos + prueba de vida con selfie (con consentimiento del cliente)
MaxMind minFraud
Riesgo de IP · detección de proxy / VPN / TOR · anomalía de geolocalización.
Sobre
Dirección IP
IPQualityScore
Correo desechable, validación de teléfono, huella de IP / dispositivo.
Sobre
Dominio de correo, IP, teléfono (cuando se proporciona)
Disputas — SLA según gravedad
Cada señal incluye un CTA de un clic «Disputar esta señal». Respondemos en un plazo de: 24 h para críticas · 3 días para altas · 7 días para medias · 14 días para bajas / informativas. La resolución escribe una entrada de custodia en tu espacio de trabajo; las acciones automatizadas acotadas (bloqueo, verificación adicional, suspensión) se revierten cuando una disputa se resuelve a tu favor.
Autenticación controlada por el cliente
Claves de acceso WebAuthn / FIDO2
Vinculadas a hardware o a la plataforma; registradas al darte de alta, sustituibles más adelante. Sin contraseña, sin SMS, sin secreto TOTP que filtrar.
Sesiones enumerables
Cada sesión de dispositivo y navegador se muestra con dispositivo + IP + ubicación + último uso. Revoca una sola sesión o cierra la sesión en todas partes con un clic.
Códigos de recuperación
Emitidos una vez, visibles una vez, almacenados en tu dispositivo. Regenéralos en cualquier momento; el conjunto antiguo se invalida de forma atómica.
Registro de seguridad por acción
Cada registro de una clave de acceso, cada revocación de sesión y cada regeneración de códigos de recuperación queda anotada en el registro de seguridad de tu cuenta, con independencia de la telemetría del lado del operador.
Agentic API · pila de identidad
Cada acción accesible desde REST, MCP, ChatGPT Apps, Gemini, Perplexity, Claude Cowork, A2A, NLWeb o Claude SKILLs se apoya en una capa de identidad criptográfica. Los clientes nunca escriben una contraseña para autenticar a un agente: le emiten al agente su propia identidad W3C DID Web, la vinculan a una carga de trabajo SPIFFE (opcional) y le otorgan autoridad explícita mediante un mandato de Credencial Verificable AP2.
Visión completa de la agentic APILos mandatos son revocables, y no tienes por qué fiarte de nuestra palabra. Verifica tú mismo la revocación de un mandato: lee nuestra Bitstring Status List publicada en tu propio navegador, sin cuenta y sin ninguna llamada a la API en la que confiar.
Método W3C DID Web
did:web:trustvice.com:agents:<id> por agente. Ed25519 (predeterminado) o ES256. Rotable y revocable por el cliente. El historial de rotación forma una cadena de hash (canonizada con JCS según RFC 8785).
W3C DID Core 1.0 · DID Web Method 0.2 · JWK RFC 7517 + RFC 7638
Identidad de carga de trabajo SPIFFE
Dominio de confianza spiffe.trustvice.com. X.509-SVID o JWT-SVID intercambiado por una sesión de Trustvice vinculada a DPoP de 5 minutos. Federación con alcance de espacio de trabajo frente a dominios de confianza de socios.
SPIFFE 1.0 · X.509-SVID · JWT-SVID · Trust Bundle + Federation
Mandatos de Credencial Verificable AP2
Autorización permanente para la facturación gestionada por agentes. Tope de gasto + tope de invocaciones + tasa por hora + CIDR de IP + huella DPoP + factor de verificación adicional: cada condición se aplica en cada llamada al gateway. Revocación BitstringStatusList actualizada cada 5 minutos.
W3C VC Data Model 2.0 · SD-JWT VC · Data Integrity 1.0 · AP2 baseline
MCP Apps ui.iframe
Modales de confirmación enriquecidos servidos desde ui.tve.world: zona de Cloudflare independiente, CSP estricta, tokens de sesión de interfaz con audiencia restringida, nonces emitidos por el host y devueltos en cada respuesta postMessage.
MCP Specification 2025-06-18 · MCP Apps SEP-2025-09
Credenciales de contenido C2PA 2.1
Cada recibo de entpoind.attest.content se empareja con un manifiesto C2PA 2.1. COSE_Sign1 sobre CBOR determinista. Contrafirma de marca de tiempo DigiCert RFC 3161 para los niveles Pro y superiores. Divulgación de contenido generado por IA inyectada automáticamente (EU AI Act Art. 50).
C2PA 2.1 · COSE_Sign1 · RFC 8949 deterministic CBOR · RFC 3161
Lo que no hacemos
Una lista de capacidades que Trustvice deliberadamente no tiene. Cada una es una clase de incidente que no podemos provocar.
Tops · Spot por Spot
Tops es el registro paralelo que anota tanto lo que nuestra plataforma hace en tu espacio de trabajo COMO lo que tus actores observaron y decidieron. La misma cadena. La misma raíz de hash. Modelos de control distintos porque los requisitos de confianza difieren: nuestras acciones siempre quedan en el registro; las tuyas las configuras tú.
Encadenado por hash, de solo anexión mediante disparador de SQLite, verificable de forma independiente y exportable como un JSONL firmado. Incluido gratis en todos los niveles: no lo vendemos porque hacerlo opcional iría en contra de su propósito.
Tops de Infraestructura
Siempre activo. No se puede desactivar.
Cada acción que nuestra plataforma realiza en tu espacio de trabajo. 9 tipos, con todo el detalle por tipo. Puedes verlo, exportarlo y verificarlo; no puedes desactivarlo. Una transparencia opcional sobre nosotros mismos no es transparencia.
Objetivo: cero lecturas de administrador en operación normal.
Tops de Spot
Controlado por el cliente. Seguro frente a adversarios.
Lo que tus actores observaron, decidieron, omitieron, cambiaron de estado o sobre lo que detectaron deriva. Configura el alcance de forma jerárquica: predeterminado por organización, por espacio de trabajo, por actor. Conmutadores por tipo, filtros de entorno, muestreo, nivel de detalle. El valor por defecto es seguro (solo hashes + grupos de veredictos + códigos de motivo).
El proceso de toma de decisiones, no solo el resultado.
La misma cadena, ambas superficies.
De solo anexión mediante disparador de SQLite. Apta para hash de Merkle. Anclable con Notarian. El verificador comprueba ambas superficies contra la misma raíz de hash. Descarga la exportación, ejecuta trustvice verify --tops <file> y confirma. La cadena se rompe de forma detectable si alguien —incluidos nosotros— manipula una entrada.
La toma de decisiones, no solo los resultados.
Los registros de auditoría dicen «el agente rechazó la transacción». Tops dice que el agente vio el patrón de entrada X (hash), la lente Y emitió el veredicto Z, omitió porque coincidió el motivo 0x4, el modo transitó de observar → decidir → omitir. De nivel regulatorio: el EU AI Act Art. 12 / TRAIGA / NIST AI RMF describen el proceso de toma de decisiones, no el resultado.
El historial de configuración se audita a sí mismo.
Cada cambio en una configuración de Tops de Spot escribe una entrada tops_config_change en la misma cadena. ¿Desactivar Tops de Spot para un espacio de trabajo? Eso también escribe una entrada. ¿Subir el nivel de detalle a forense? Escribe una entrada con los valores anteriores y nuevos. No puedes apagar al vigilante sin dejar un rastro de haberlo apagado.
Divulgación responsable
Los investigadores de seguridad que actúen de buena fe e informen a través de security@trustvice.com reciben un puerto seguro frente a acciones legales por parte de Trustvice, siempre que no accedan a más datos de los necesarios para demostrar el problema, no exploten el problema contra otros clientes y nos concedan un periodo razonable (90 días) para subsanarlo antes de la divulgación pública.
El alcance completo, los términos de puerto seguro y los SLA de respuesta se publican en nuestra Política de Divulgación Coordinada, legible por máquina en /.well-known/security.txt (la huella de la clave PGP se añadirá antes del lanzamiento público).
Agentes, evidencias, gobernanza, comercio y divulgación están en Trustvice 360. Regístrate gratis y abre todas las suites desde un solo panel.
Trustvice 360