VerificabileFiducia verificabile, non solo letta.
Trustvice esiste per emettere fatti firmati su cui altri fanno affidamento. Qui spieghiamo come funziona, cosa proteggiamo e come, dove stanno i tuoi dati e a cosa ci impegniamo. Ogni affermazione rimanda al documento che la vincola.
Gestito da Avonao, Inc., DelawareDocumenti legali aggiornati il 6 novembre 2026
Come nasce una ricevuta.
Ogni chiamata segue lo stesso percorso. Le credenziali vengono verificate all’ingresso, il lavoro viene svolto e salvato nella regione propria del workspace, e Trustvice firma la ricevuta con una chiave AWS KMS custodita in quella regione.
- Autentica
La porta d'ingresso risolve la credenziale in un singolo workspace prima che venga eseguito qualsiasi codice delle suite. I segreti sono archiviati e confrontati come hash SHA-256, in tempo costante.
- Inoltra
Workspace e permessi arrivano al servizio regionale in header firmati dai nostri servizi. Senza una firma valida, il servizio rifiuta la richiesta.
- Osserva o registra
Il servizio regionale svolge il lavoro richiesto alla suite e registra i fatti che la ricevuta coprirà.
- Firma
Trustvice firma la ricevuta sull’hash dell’artefatto con la sua chiave Ed25519 in AWS KMS, nella regione dei dati della ricevuta; la chiave privata non lascia mai KMS. Finché la firma non esiste, l’artefatto mostra «Ricevuta in sospeso», mai una ricevuta non firmata.
- Verifica ovunque
La ricevuta contiene l’id chiave nei byte firmati. Chi ha la ricevuta e la chiave pubblica la verifica senza di noi, finché la chiave resta pubblicata.
Cosa prova una ricevuta, e cosa invece no.
Una ricevuta è un’affermazione precisa e ristretta. Leggi le due colonne prima di fidarti di una, e prima di chiederlo ad altri.
Una firma valida prova
- Origine: una chiave di firma di Trustvice ha firmato esattamente questi byte.
- Integrità: nulla nella busta è cambiato da allora, fino all’ultima cifra.
- Un’ora firmata: l’orologio di Trustvice segnava issuedAt alla firma.
Non prova invece
- Che un fatto da Lei segnalato sia vero. Alcune suite firmano fatti forniti dal chiamante, altre ciò che abbiamo osservato; la pagina di ciascuna suite dice quale.
- Chi ha scritto o approvato il contenuto. La ricevuta registra un workspace, non una persona.
- L’ora reale di un evento. Non c’è un’autorità di timestamp terza.
- Che nulla sia accaduto dove non c’è ricevuta.
- Che siamo neutrali oltre la nostra parola. Trustvice firma con chiavi proprie e conserva una propria copia write-once; nessun terzo controlla ciò che dice una ricevuta.
Per cosa ti fidi ancora di noi
La verifica è indipendente. La fiducia si riduce a una breve lista esplicita.
| Ti fidi che | Perché | Se fallisce |
|---|---|---|
| La chiave pubblica di verifica è la nostra | Una firma prova chi detiene una chiave, non di chi sia. | Una chiave sostituita fa sembrare validi i falsi. Fissa l’id chiave fuori banda. |
| Le chiavi di firma di Trustvice sono usate solo dal suo servizio di ricevute | Il servizio firma ciò che il suo codice sceglie. | Una chiave abusata potrebbe firmare eventi mai avvenuti. |
| Osserviamo con onestà per le funzionalità osservate | Lì la ricevuta dice: Trustvice l’ha visto. | Un Trustvice compromesso può firmare un’osservazione falsa. |
| L’orologio | issuedAt è l’ora del server alla firma. | Un orologio sfasato dà un issuedAt errato. |
Chiavi di firma e dove trovarle
Ogni ricevuta è firmata con Ed25519 da una chiave AWS KMS che Trustvice custodisce nella regione dei dati della ricevuta, una chiave per regione. Trustvice pubblica le metà pubbliche come proprio set di chiavi.
Custodia
- Trustvice emette, firma e archivia da sé le proprie ricevute. La chiave privata non lascia mai KMS, e il Worker dispone solo di una credenziale che serve unicamente a firmare.
- Nessuna route API restituisce chiavi private. Le route pubbliche danno solo campi pubblici.
- Se KMS non è disponibile, la ricevuta resta in attesa come «Ricevuta in sospeso» e viene ritentata ogni cinque minuti. Una ricevuta non firmata non viene mai mostrata e non c’è alcun ripiego su una chiave locale.
Limiti noti
- Rotazione: cerimonia manuale, non periodica. Una chiave ritirata resta pubblicata: le vecchie ricevute si verificano.
- Ogni ora Trustvice scrive gli hash delle ricevute firmate delle ore concluse, con una radice Merkle firmata dalla chiave KMS della regione, come un unico oggetto in un bucket Amazon S3 Object Lock in modalità COMPLIANCE, nella stessa regione. Nessuno, nemmeno l’utente root di AWS, può modificarlo o cancellarlo prima della sua data di blocco. È il bucket e la chiave propri di Trustvice: limita ciò che Trustvice potrebbe fare senza che si noti, ma non è un testimone indipendente.
- Una chiave di firma non impedisce a chi può gestire il servizio di firma di farlo firmare, per questo teniamo separati i fatti osservati e quelli dichiarati.
Dove trovare le chiavi
| Indirizzo | Contenuto |
|---|---|
https://trustvice.com/.well-known/receipt-keys.json | Set JWK di Trustvice: https://trustvice.com/.well-known/receipt-keys.json |
https://api.trustvice.com/v1/receipts/keys | Lo stesso set di chiavi dall’API: https://api.trustvice.com/v1/receipts/keys |
curl -sSL https://trustvice.com/.well-known/receipt-keys.json
// kid = impronta RFC 7638 della chiave
const raw = Uint8Array.from(atob(x.replace(/-/g, "+").replace(/_/g, "/")
.padEnd(Math.ceil(x.length / 4) * 4, "=")), (c) => c.charCodeAt(0));
const digest = new Uint8Array(await crypto.subtle.digest("SHA-256", raw)).slice(0, 16);
const kid = btoa(String.fromCharCode(...digest))
.replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "");Per la posizione più solida, scarica la chiave una volta, salva kid e valore x nel tuo repository e verifica con quella copia. /legal/verification
Controllo accessi e isolamento
Ogni richiesta porta con sé una credenziale che il gateway risolve in un singolo workspace prima che venga eseguita una qualsiasi suite. Di seguito, come vengono gestiti oggi credenziali e tenancy.
Credenziali hashate
Chiavi API, token di accesso personali e token di sessione sono salvati come hash SHA-256, mostrati una volta e confrontati in tempo costante. Le chiavi scadono dopo 30 giorni, 90, un anno o mai, e ruotano con una grace period da 0 a 60 minuti.
Accesso e sessioni
Accesso solo con il tuo Avonao ID; Trustvice non conserva password, passkey né segreti dell’app di autenticazione. Sessioni HttpOnly, Secure e SameSite=Lax, durata 12 ore e timeout di inattività di 30 minuti.
Scope e ruoli
Ambiti di lettura, scrittura e gestione, ristretti a suite specifiche se lo desidera. I controlli falliscono in modo chiuso.
Tenancy
È il gateway, non il chiamante, a decidere il workspace. Ogni lettura e scrittura porta l’id workspace, e un body che ne nomina un altro è rifiutato. Separazione logica, in un database regionale.
Rate limit e abusi
600 richieste al minuto per IP e 1.200 per account al gateway.
Limite dichiarato: le IP allow-list falliscono in aperto se illeggibili, così un guasto del database non blocca fuori i clienti.
Protezione dati
Il servizio è progettato per tenere il minimo possibile.
Ricevute append-only
Ogni ricevuta è salvata accanto all’artefatto a cui appartiene per la finestra del piano. Una copia con soli hash va in un bucket Object Lock write-once nella stessa regione. Solo route auditate oscurano o cancellano, con un evento di audit.
I campi leggibili si leggono
I campi leggibili, come URL ed etichette, sono in chiaro in una ricevuta. Non metterci nulla che non mostreresti a chi la legge.
Regioni dati
Ricevute e contatori di quota sono conservati nella regione scelta alla creazione del workspace. Ogni ricevuta è firmata con la chiave AWS KMS propria di quella regione e il suo hash è bloccato nel bucket Object Lock di quella regione. Dashboard, sito web, accesso, fatturazione e dati dell’account sono serviti sempre dagli Stati Uniti (US West).
| Regione | Codice | Regione AWS associata | Storage |
|---|---|---|---|
| USA est | enam | us-east-1 | Suggerimento di località |
| USA ovest | wnam | us-west-2 | Suggerimento di località |
| Europa centrale | weur-1 | eu-central-1 | Giurisdizione UE (imposta) |
| Europa ovest | weur-2 | eu-west-1 | Giurisdizione UE (imposta) |
| Europa nord | neur | eu-north-1 | Giurisdizione UE (imposta) |
| Asia-Pacific | apac | ap-southeast-1 | Suggerimento di località |
| Oceania | oc | ap-southeast-2 | Suggerimento di località |
Una regione indica dove i dati sono salvati e trattati. Un workspace non si sposta mai, e una regione irraggiungibile fa fallire la chiamata invece di ripiegare su un’altra.
Cifratura
I dati viaggiano su TLS tra te e il servizio e sono salvati presso il nostro fornitore di infrastruttura, Cloudflare, secondo i suoi termini di sicurezza. Le ricevute sono firmate, quindi ogni modifica alle prove salvate è rilevabile da chi le verifica.
Eliminazione dei dati
L’eliminazione dell’account diventa effettiva dopo un periodo di tolleranza di 30 giorni in cui puoi esportare e ripristinare. Il job di eliminazione non rimuove le ricevute: scadono secondo la finestra del piano, oppure le elimini tu, oppure ce lo chiedi. L’hash di una ricevuta eliminata resta nella copia write-once fino alla sua data di blocco. Una ricevuta che hai già consegnato a qualcuno resta verificabile da quella persona, qualunque cosa facciamo.
Durata dati
- Ricevute
- La finestra del piano: Free 7 giorni, Starter 90, Pro 90, Pro+ 90, Team 180, Scale 365, Enterprise personalizzata. La copia write-once dell’hash resta bloccata 12 ore in più; un piano senza cancellazione automatica è bloccato per 7 anni.
- Dati di account e accesso
- Fino alla cancellazione dell’account, poi eliminati dopo 30 giorni di grazia.
- Log operativi e contatori di rate limit
- Massimo 30 giorni.
- Log audit sicurezza
- Per la vita del workspace e oltre, con l’interessato sostituito dove serve la cancellazione.
- Dati fatturazione
- Quanto vuole la legge fiscale, fino a 7 anni.
- Cache replay di idempotenza
- 24 ore, con lo stato e l’id della ricevuta, mai il body.
Info privacyRegioni datiDurata e cancellazioneSub-responsabili
Disponibilità
Lo stato è misurato, non scritto a mano. I livelli di servizio sono un termine contrattuale Enterprise, e la verifica non dipende mai dalla nostra disponibilità.
Pagina di stato
- Sondato ogni cinque minuti: il gateway API di ciascuna delle sette regioni dei dati, il server MCP, l’individuazione OAuth e la verifica delle ricevute. L’emissione delle ricevute (una ricevuta di prova emessa da Trustvice e salvata) si aggiunge quando è configurato il suo workspace di sondaggio dedicato; fino ad allora non viene misurata.
- Un check che fallisce o supera 8 secondi è down; oltre 3 secondi è degradato. Un monitor fermo mostra nessun dato recente, mai verde.
- Gli incidenti escono con aggiornamenti, via iscrizione email, feed Atom e JSON.
- La pagina di stato non è firmata e non è un accordo sui livelli (SLA).
SLA Enterprise
Per piani Enterprise con order form firmato. Copre REST API, server MCP ed emissione di ricevute. Il supporto è attivo in orario lavorativo e prende in carico ogni richiesta Enterprise entro 1 ora lavorativa. I piani self-serve non hanno impegni di uptime, crediti di servizio né tempi di risposta del supporto.
| Uptime mensile | Credito servizio |
|---|---|
| Sotto 99,9%, almeno 99,0% | 10% del canone mensile |
| Sotto 99,0%, almeno 95,0% | 25% del canone mensile |
| Sotto 95,0% | 50% del canone mensile |
| Gravità | Dettaglio | Obiettivo presa in carico |
|---|---|---|
| Gravità 1 | Servizio coperto non disponibile, o ricevute non emettibili, per l’uso in produzione. | 1 ora in orario lavorativo |
| Gravità 2 | Funzione importante compromessa o degradata, con workaround. | 1 ora in orario lavorativo |
| Gravità 3 | Problema minore, domanda o richiesta. | 1 ora in orario lavorativo |
Se l’uptime è sotto il 99,0% per tre mesi consecutivi, o in quattro mesi su dodici, il cliente può recedere dall’ordine interessato con rimborso pro rata.
Per verificare una ricevuta servono solo la ricevuta e una chiave pubblica. Funziona anche se noi no.
Risposta a incidenti e divulgazione vulnerabilità
A cosa ci impegniamo quando qualcosa va storto, e come segnalarci una debolezza prima che altri la trovino.
Violazioni dati personali
Avvisiamo il titolare dell’account via email senza ingiustificato ritardo e comunque entro 72 ore da quando veniamo a conoscenza di una violazione dei dati personali dei clienti, con ciò che si sa: natura, persone e record coinvolti, probabili conseguenze e misure adottate. L’avviso viene integrato man mano.
Incidenti servizio
Gli incidenti sono pubblicati sulla pagina di stato con una timeline da Investigating a Resolved. In un incidente di Gravità 1, i clienti Enterprise ricevono un avviso iniziale e aggiornamenti man mano.
Divulgazione responsabile
Segnala tramite il modulo, con i tuoi recapiti o in forma anonima, o via email. La ricerca in buona fede secondo la policy è autorizzata e non agiremo contro di te per questo.
| Passo | Obiettivo |
|---|---|
| Presa in carico del report | Entro 3 giorni lavorativi |
| Valutazione iniziale e gravità | Entro 10 giorni lavorativi |
| Aggiornamenti finché è aperta | Almeno ogni 14 giorni |
| Fix per gravità critica ed elevata | Puntiamo a 30 giorni |
| Fix per gravità minore | Puntiamo a 90 giorni |
Obiettivi, non garanzie. Chiediamo 90 giorni prima della divulgazione pubblica. Nessun bug bounty in denaro; su richiesta citiamo i ricercatori per nome.
Stato di conformità
Cosa esiste oggi e cosa è disponibile su richiesta. Se una riga conta per la tua review, il testo vincolante è il documento linkato.
| Voce | Stato | Dettaglio |
|---|---|---|
| Accordo trattamento dati | In essere | Parte dei Termini. Si applica in automatico all’accettazione; non serve controfirma. |
| Trasferimenti esteri | In essere | Clausole contrattuali tipo UE (2021/914, moduli due e tre), l’Addendum UK e l’adattamento svizzero, incorporati nel DPA. |
| Rappresentanti ex art. 27 | In essere | Rappresentanti designati nell’Unione europea e nel Regno Unito, indicati nell’Informativa privacy e nel Colophon. |
| Cambi sub-responsabili | In essere | Almeno 30 giorni di preavviso via email e sull’elenco, con diritto di opporsi e di recedere con rimborso. |
| Richieste diritti privacy | In essere | Conferma di ricezione entro 10 giorni; risposta entro un mese per GDPR e UK GDPR, o 45 giorni per le leggi statali USA. |
| Pacchetto sicurezza | In essere | Un white paper su architettura e sicurezza e un questionario di sicurezza già compilato, da leggere online o scaricare. |
| Questionario di sicurezza | Su richiesta | Risposte scritte a un questionario ragionevole entro 30 giorni, per il DPA §9. |
| Audit del cliente | Su richiesta | Se la documentazione non basta: una volta l’anno, con 30 giorni di preavviso, da un auditor indipendente vincolato a riservatezza, a spese del cliente. |
| Report conformità sub-responsabili | Su richiesta | I report di conformità pubblici dei nostri fornitori, dove possiamo condividerli. |
| Bug bounty | Non offerto | Nessun premio in denaro. Ricercatori citati su richiesta. |
Documenti legali
Ogni documento che regola il servizio, con la data della versione attuale. Le modifiche sostanziali a Termini, Informativa privacy, DPA e Policy d’uso accettabile sono annunciate ai titolari degli account almeno 30 giorni prima.
| Documento | Cosa disciplina | Aggiornato |
|---|---|---|
| Termini di servizio | Il contratto per sito, API, server MCP e dashboard: account, tariffe, dati, responsabilità e legge applicabile. | |
| Privacy policy | Quali dati personali trattiamo, perché, chi li riceve, per quanto li conserviamo e come esercitare i tuoi diritti. | |
| Accordo trattamento dati | Termini del responsabile: sub-responsabili, sicurezza, notifica violazioni, audit e trasferimenti esteri. | |
| Sub-responsabili | Ogni fornitore che tratta dati personali, cosa fa, dove, e come sono annunciate le modifiche. | |
| Cookie policy | Cookie e storage del browser sui nostri siti, a cosa serve ciascuno, quanto dura e come cambiare la scelta. | |
| Policy d’uso accettabile | Cosa non si può fare con il servizio, come è applicata e come segnalare abusi. | |
| SLA Enterprise | Impegno di uptime, crediti di servizio, obiettivi di risposta e diritti per guasti cronici dei piani Enterprise. | |
| Divulgazione responsabile | Come segnalare una vulnerabilità, cosa è in ambito, safe harbor e obiettivi di risposta. | |
| Regolamento sui servizi digitali | Punti di contatto per autorità e utenti dell’UE, il nostro rappresentante legale nell’UE, segnalazioni di contenuti illegali e motivazioni delle decisioni. | |
| Regolamento UE sui dati | Passare a un altro fornitore, esportare i tuoi dati, i formati che usiamo e dove gira ogni servizio. | |
| Regolamento UE sull’IA | Quale parte di Trustvice è un sistema di IA, come Numero Uno rispetta gli obblighi di trasparenza e l’accordo dell’articolo 25, paragrafo 4, per i sistemi di IA ad alto rischio. | |
| Diritto di recesso | Per i consumatori nell’UE e nel Regno Unito: recedere da un piano a pagamento entro 14 giorni, cosa ti viene rimborsato e il modulo tipo. | |
| Dichiarazione sulle pratiche delle ricevute | Cosa attesta una ricevuta, come viene creata, firmata e datata, e cosa non prova. | |
| Condizioni per i verificatori | Su cosa può contare chi verifica una ricevuta, su cosa no, e la nostra responsabilità verso di lui. | |
| Gestione delle chiavi | Una chiave di firma AWS KMS per regione, custodita da Trustvice, e il set di chiavi pubblicato. | |
| Verificare le ricevute | Come verificare una ricevuta da solo, offline, con le nostre librerie o con il tuo codice. | |
| Versioni del formato e verifica a lungo termine | Come viene versionato il formato delle ricevute e perché le ricevute vecchie restano verificabili. | |
| Stato post-quantistico | L’algoritmo di firma di oggi, il rischio quantistico e come le ricevute sono pensate per cambiare algoritmo. | |
| Continuità | Cosa resta verificabile, e come conservare le tue ricevute, se Trustvice cessa l’attività. | |
| Colophon · Impressum | Chi pubblica Trustvice, dove è registrata la società e i suoi rappresentanti in UE e Regno Unito. Anche in tedesco. |
Chiedi documenti di sicurezza.
Stai facendo una vendor review? Dicci cosa ti serve. Rispondiamo per iscritto ai questionari e illustriamo l’architettura ai clienti Enterprise.
Invia un questionario sicurezza
Risposte scritte entro 30 giorni, come previsto dal DPA. Invialo a privacy@trustvice.com.
Scrivi a privacy@trustvice.com →EnterpriseSecurity review commerciale
Per una valutazione Enterprise: SLA, residenza dei dati, conservazione su misura e documenti di procurement.
Ufficio vendite →SicurezzaParla con il team sicurezza
Domande su modello di sicurezza, chiavi di firma o una scoperta. Le vulnerabilità passano dal modulo di segnalazione.
Team sicurezza →PrivacyDomande su privacy e dati
Richieste degli interessati, opposizioni ai sub-responsabili e domande sul DPA.
Team privacy →Vedi Trustvice usato contro i tuoi sistemi? Segnala un abuso →