検証可能読むだけでなく、確かめられる信頼。
Trustviceは、他の人々が頼りにする署名付きの事実を発行するために存在します。このページでは、その仕組み、何をどう保護しているか、データの保存場所、そして当社の約束を説明します。各記述は、それを拘束する文書にリンクしています。
運営会社 Avonao, Inc., Delaware法的文書が最後に更新された日 2026年11月6日
レシートが作られる仕組み。
すべての呼び出しは同じ経路をたどります。認証情報は入口で検証され、処理はワークスペース自身のリージョンで実行・保存され、Trustviceがそのリージョンで保有するAWS KMSの鍵でレシートに署名します。
- 認証の確認
フロントドアは、どのスイートのコードも実行される前に、認証情報を 1 つのワークスペースに解決します。シークレットは SHA-256 ハッシュとして保存・比較され、比較は定数時間で行われます。
- 転送
ワークスペースと権限は、当社のサービス自身が署名したヘッダーでリージョンのサービスに伝わります。有効な署名がなければ、サービスはリクエストを拒否します。
- 観測または記録
リージョンサービスは、スイートに求められた処理を行い、レシートが対象とする事実を記録します。
- 署名
Trustviceは、レシートのデータリージョンにあるAWS KMSのEd25519鍵で、アーティファクトのハッシュに対するレシートに署名します。秘密鍵がKMSの外に出ることはありません。署名ができるまで、アーティファクトには「レシート発行待ち」と表示され、署名のないレシートが表示されることはありません。
- どこでも検証
レシートは、署名の対象となるバイト列の中に鍵IDを持っています。レシートと公開鍵があれば、その鍵が公開されている限り、誰でも当社に頼ることなく確認できます。
レシートが証明すること、そして証明しないこと。
レシートは、正確で範囲の狭い記述です。レシートに頼る前に、また他の人に頼るよう求める前に、両方の列をお読みください。
有効な署名が証明すること
- 出所：Trustviceの署名鍵が、まさにこのバイト列に署名したこと。
- 完全性：エンベロープの中身が、その後1桁たりとも変わっていないこと。
- 署名された時刻：署名時にTrustviceの時計がissuedAtを示していたこと。
証明しないこと
- 報告した事実が真実であること。スイートによって、呼び出し元が提供した事実に署名するものと、当社が観察したものに署名するものがあります。どちらかは各スイートのページに記載しています。
- 誰がコンテンツを作成・承認したか。レシートが記録するのはワークスペースで、人ではありません。
- 出来事の実際の時刻。第三者のタイムスタンプ機関は一切介在しません。
- レシートがない場所では、何も起きなかったこと。
- 当社の言葉を超えて当社が中立であること。Trustviceは自社の鍵で署名し、自社で書き込み専用のコピーを保持しますが、レシートの内容を外部の誰かが確認するわけではありません。
それでも当社を信頼いただく点
検証は独立しています。信頼は、名前を挙げた短いリストに絞られます。
| 信頼する対象 | 理由 | 破られた場合 |
|---|---|---|
| 検証に使う公開鍵が当社のものであること | 署名が証明するのは鍵の保有者であり、誰の鍵かではありません。 | 鍵がすり替えられると、偽造が有効に見えます。鍵IDを別経路で固定してください。 |
| Trustviceの署名鍵は、そのレシートサービスだけが使用する | サービスは、コードが決めたものに署名します。 | 悪用された鍵は、起きていない出来事に署名しかねません。 |
| 観察対象の機能については、誠実に観察します | レシートは「Trustviceが見た」と述べます。 | 侵害されたTrustviceは、偽の観測に署名しかねません。 |
| 当社の時計 | issuedAtは署名時の当社サーバーの時刻です。 | 時計がずれていれば、issuedAtも誤ります。 |
署名鍵と、その公開鍵を入手できる場所
各レシートは、Trustviceがレシートのデータリージョンで保有するAWS KMSの鍵（リージョンごとに1つ）でEd25519により署名されます。Trustviceは、その公開鍵部分を自社の鍵セットとして公開します。
鍵の保管
- Trustviceは、自社のレシートを自ら発行・署名・保存します。秘密鍵がKMSの外に出ることはなく、Workerが持つのは署名専用の認証情報だけです。
- 秘密鍵の素材を返すAPIルートはありません。公開ルートが返すのは公開フィールドのみです。
- KMSを利用できない場合、レシートは「レシート発行待ち」のまま待機し、5分ごとに再試行されます。署名のないレシートが表示されることはなく、ローカル鍵へのフォールバックもありません。
明示している限界
- ローテーションは定期的なものではなく、手動の手順です。廃止した鍵も公開し続けるため、古いレシートも検証できます。
- Trustviceは1時間ごとに、終了した時間帯の署名済みレシートのハッシュを、そのリージョンのKMS鍵で署名したMerkleルートとともに、同じリージョンのAmazon S3 Object LockバケットにCOMPLIANCEモードの単一オブジェクトとして書き込みます。ロック期限までは、AWSのルートユーザーを含め、誰も変更も削除もできません。これはTrustvice自身のバケットと鍵であり、Trustviceが気づかれずにできることを狭めるものですが、独立した立会人ではありません。
- 署名鍵は、署名サービスを運用できる者が署名させることを防げません。そのため、観測した事実と申告された事実を分けています。
公開鍵が公開されている場所
| アドレス | 内容 |
|---|---|
https://trustvice.com/.well-known/receipt-keys.json | TrustviceのJWKセット：https://trustvice.com/.well-known/receipt-keys.json |
https://api.trustvice.com/v1/receipts/keys | APIから取得できる同じ鍵セット：https://api.trustvice.com/v1/receipts/keys |
curl -sSL https://trustvice.com/.well-known/receipt-keys.json
// kid = 鍵のRFC 7638サムプリント
const raw = Uint8Array.from(atob(x.replace(/-/g, "+").replace(/_/g, "/")
.padEnd(Math.ceil(x.length / 4) * 4, "=")), (c) => c.charCodeAt(0));
const digest = new Uint8Array(await crypto.subtle.digest("SHA-256", raw)).slice(0, 16);
const kid = btoa(String.fromCharCode(...digest))
.replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "");最も確実なのは、鍵を一度だけ取得し、そのkidとxの値を自社のリポジトリに保存したうえで、そのコピーに対して検証する方法です。 /legal/verification
アクセス制御とテナントの分離
すべてのリクエストには認証情報が付き、ゲートウェイはどのスイートが動作する前にも、それを 1 つのワークスペースに解決します。以下は、現在の認証情報とテナンシーの扱い方です。
認証情報のハッシュ化
APIキー、個人アクセストークン、セッショントークンはSHA-256ハッシュとして保存され、表示は一度だけ、比較は定数時間で行います。キーの有効期限は30日、90日、1年、無期限から選べ、0〜60分の猶予期間付きでローテーションできます。
ログインとセッション
ログインはAvonao IDのみ。Trustviceはパスワード、パスキー、認証アプリのシークレットを保持しません。セッションはHttpOnly、Secure、SameSite=Laxで、有効期間は12時間、無操作タイムアウトは30分です。
スコープとロール
読み取り、書き込み、管理のスコープを、ご希望に応じて指定したスイートに絞り込めます。チェックはフェイルクローズします。
テナント
ワークスペースを決めるのは呼び出し元ではなくゲートウェイです。すべての読み書きにワークスペースIDが付き、別のワークスペースを指定する本文は拒否されます。分離はリージョンのデータベース内での論理的なものです。
レート制限と不正利用
ゲートウェイではIPごとに毎分600リクエスト、アカウントごとに1,200。
明示している限界：IP許可リストは読み取れない場合にフェイルオープンとなり、データベースの障害でお客様が締め出されることはありません。
データの保護
本サービスは、保持するデータを最小限にするよう設計されています。
追記専用のレシート
各レシートは、プランの期間中、対応するアーティファクトの隣に保管されます。ハッシュだけを含むコピーが、同じリージョンの書き込み専用のObject Lockバケットに保存されます。墨消しや削除は監査されたルートでのみ可能で、それぞれ監査記録を残します。
可読なフィールドは誰でも読める
URLやラベルなどの読み取り可能なフィールドは、レシート内に平文で入ります。読み手に見せたくないものは入れないでください。
データ地域
レシートとクォータカウンターは、ワークスペース作成時に選んだリージョンに保管されます。各レシートはそのリージョン自身のAWS KMS鍵で署名され、そのハッシュはそのリージョンのObject Lockバケットでロックされます。ダッシュボード、ウェブサイト、サインイン、課金、アカウントデータは、常に米国（米国西部）から提供されます。
| 地域 | コード | 対応するAWSリージョン | 保存先 |
|---|---|---|---|
| 米国東部 | enam | us-east-1 | 所在地のヒント |
| 米国西部 | wnam | us-west-2 | 所在地のヒント |
| 欧州（中部） | weur-1 | eu-central-1 | EUの管轄（強制的に適用） |
| 欧州（西部） | weur-2 | eu-west-1 | EUの管轄（強制的に適用） |
| 欧州（北部） | neur | eu-north-1 | EUの管轄（強制的に適用） |
| アジア太平洋 | apac | ap-southeast-1 | 所在地のヒント |
| オセアニア | oc | ap-southeast-2 | 所在地のヒント |
リージョンは、データが保存・処理される場所を示します。ワークスペースが移動することはなく、到達できないリージョンは別のリージョンに切り替えず、呼び出しを失敗させます。
暗号化の方式
データはお客様とサービスの間でTLSにより送信され、インフラ事業者であるCloudflareのもとで、そのセキュリティ条件に従って保存されます。レシートは署名されているため、保存された証拠への変更は、検証する誰もが検出できます。
データの削除と消去
アカウントの削除は、エクスポートと復元ができる30日の猶予期間の後に有効になります。削除ジョブがレシートを削除することはありません。レシートはプランの期間に従って期限切れになるか、お客様が削除するか、当社にご依頼いただくことで削除されます。削除したレシートのハッシュは、ロック期限まで書き込み専用コピーに残ります。すでに他の人に渡したレシートは、当社が何をしても、その人が検証できます。
保存期間
- レシート
- プランの期間：Free 7日、Starter 90日、Pro 90日、Pro+ 90日、Team 180日、Scale 365日、Enterpriseは個別設定。ハッシュの書き込み専用コピーはそれより12時間長くロックされ、自動削除のないプランは7年間ロックされます。
- アカウントとログイン情報
- アカウントが削除されるまで。その後、30日間の猶予期間を経て消去されます。
- 運用ログと、レート制限のカウンター値
- 最長でも30日。
- セキュリティ監査ログ
- ワークスペースの存続期間中とその後も保管。消去が必要な場合は、対象者の情報を置き換えます。
- 請求に関する記録
- 税法が求める期間にわたり、最長で7年間保管。
- 冪等性リプレイのキャッシュ
- 24時間。ステータスとレシートIDのみで、本文は含みません。
稼働と可用性
稼働状況は、手書きではなく計測に基づくものです。サービスレベルはEnterpriseのお客様との契約条件であり、検証は当社の稼働状況に一切左右されません。
公開の稼働状況ページ
- 5分ごとに監視：7つのデータリージョンそれぞれのAPIゲートウェイ、MCPサーバー、OAuthディスカバリー、レシート検証。レシート発行（Trustviceが発行して保存するテストレシート）は、専用のプローブ用ワークスペースが設定された時点で追加されます。それまでは計測していません。
- 失敗したチェック、または8秒を超えたチェックは「停止」、3秒より遅いものは「低下」と判定します。古くなった監視は最新データなしと表示し、決して緑にはしません。
- インシデントは更新とともに掲載し、メール購読、Atomフィード、JSONで配信します。
- 稼働状況ページは署名されておらず、サービスレベル契約でもありません。
Enterprise向けSLA
署名済みの注文書があるEnterpriseプランが対象です。REST API、MCPサーバー、レシートの発行をカバーします。サポートは営業時間内に対応し、Enterpriseのすべてのお問い合わせを営業時間内に1時間以内で受領確認します。セルフサーブのプランには、稼働率の約束、サービスクレジット、サポートの応答時間はありません。
| 月間の稼働率 | クレジット額 |
|---|---|
| 99.9%未満、かつ99.0%以上 | 月額料金のうち10%分 |
| 99.0%未満、かつ95.0%以上 | 月額料金のうち25%分 |
| 95.0%未満 | 月額料金のうち50%分 |
| 深刻度 | 意味 | 受領を確認するまでの目標 |
|---|---|---|
| 深刻度1 | 本番利用において、対象サービスが利用できないか、レシートを発行できない状態。 | 営業時間内に1時間以内 |
| 深刻度2 | 主要な機能が損なわれているか低下しているが、回避策がある。 | 営業時間内に1時間以内 |
| 深刻度3 | 軽微な問題、質問、またはご要望など。 | 営業時間内に1時間以内 |
稼働率が3か月連続で、または12か月のうちいずれか4か月で99.0%を下回った場合、お客様は該当する注文を解約し、日割りでの返金を受けることができます。
レシートの検証に必要なのはレシートと公開鍵だけです。当社のサービスが止まっていても機能し続けます。
インシデントへの対応と、脆弱性の責任ある開示
問題が起きたときに当社が約束すること、そして他の誰かが見つける前に、弱点を当社にお知らせいただく方法です。
個人データの侵害について
顧客の個人データに影響する侵害を認識した場合、当社は不当な遅滞なく、かついかなる場合も72時間以内に、アカウント所有者へメールで通知します。通知には判明している内容、すなわち侵害の性質、影響を受けた人と記録、想定される結果、講じた措置を記載し、新たな事実が判明するたびに通知を補足します。
障害・インシデント
インシデントは、調査中から解決済みまでのタイムラインとともに稼働状況ページで公開します。深刻度1のインシデントでは、Enterpriseのお客様に初回の通知と、状況の変化に応じた更新をお送りします。
脆弱性の責任ある開示
フォームから連絡先を添えて、または匿名で、あるいはメールでご報告ください。ポリシーに沿った善意の調査は許可されており、それを理由に当社が措置を取ることはありません。
| 段階 | 目標 |
|---|---|
| 報告の受領を確認する | 3営業日以内に行います |
| 初期評価と深刻度の判定を行う | 10営業日以内に行います |
| 未解決の間、進捗を随時報告する | 少なくとも14日ごとに |
| 深刻度「緊急」「高」の問題の修正 | 30日以内を目標に |
| それ以下の深刻度の修正 | 90日以内を目標に |
これらは目標であり、保証ではありません。公開までに90日の猶予をお願いしています。報奨金制度はなく、ご希望に応じて研究者のお名前を掲載します。
コンプライアンス
現在あるものと、ご要望に応じて提供するもの。審査にとって重要な行があれば、拘束力を持つのはリンク先の文書の本文です。
| 項目 | 状態 | 詳細 |
|---|---|---|
| データ処理補遺（DPA） | 対応済み | 利用規約の一部です。同意した時点で自動的に適用され、当社側の署名（副署）は必要ありません。 |
| 国際的なデータの移転 | 対応済み | EUの標準契約条項（2021/914、モジュール2およびモジュール3）、英国補遺、スイス向けの調整を、データ処理補遺に組み込んでいます。 |
| 第27条に基づく代理人の選任 | 対応済み | 欧州連合と英国において代理人を指名しており、その情報はプライバシーポリシーと運営者情報に掲載しています。 |
| 再委託先の変更の通知 | 対応済み | 少なくとも30日前にメールと一覧で通知し、異議を申し立てる権利と、返金付きで解約する権利があります。 |
| プライバシーの権利行使 | 対応済み | 受領を10日以内に確認し、GDPRと英国GDPRのもとでは1か月以内に、米国の州法のもとでは45日以内に回答します。 |
| セキュリティパック | 対応済み | アーキテクチャとセキュリティのホワイトペーパーと、回答済みのセキュリティ質問票。オンラインで読むか、ダウンロードできます。 |
| セキュリティ質問票対応 | 要望に応じて | DPA §9に基づき、合理的な範囲の質問票に対して30日以内に書面で回答します。 |
| お客様による監査 | 要望に応じて | 文書だけでは十分でない場合：年に1回、30日前の通知のうえで、守秘義務を負う独立した監査人により、お客様の費用負担で実施することができます。 |
| 再委託先のコンプライアンス報告書 | 要望に応じて | 当社が共有する権利を有する範囲で、各事業者が公開しているコンプライアンス報告書。 |
| バグ報奨金 | 提供なし | 金銭的な報酬はありません。ご希望に応じて研究者を掲載します。 |
法的文書の一覧
本サービスに適用されるすべての文書と、その現行版の日付です。利用規約、プライバシーポリシー、データ処理補遺（DPA）、利用規定に重要な変更がある場合は、少なくとも30日前までにアカウント所有者の皆さまにお知らせします。
| 文書名 | 対象となる範囲 | 更新日 |
|---|---|---|
| サービス利用規約 | ウェブサイト、API、MCPサーバー、ダッシュボードに関する契約：アカウント、料金、データ、責任、そして準拠法。 | |
| 個人情報方針 | 当社が処理する個人データの内容、その目的、提供先、保存される期間、そしてお客様の権利を行使する方法。 | |
| データ処理補遺（DPA） | 処理者としての条件：再委託先、セキュリティ上の措置、侵害時の通知、監査、そして国際的なデータ移転。 | |
| 再委託先一覧 | 個人データを処理する各事業者、それぞれの業務内容と処理の場所、そして変更をお知らせする方法。 | |
| Cookieポリシー | 当社サイトにおけるCookieとブラウザストレージ、それぞれの目的と保存期間、そして選択を変更する方法。 | |
| 適正利用規定（AUP） | 本サービスで禁止される行為、それがどのように執行されるか、不正利用を報告する方法。 | |
| Enterprise向けSLA | Enterpriseプランにおける稼働率の約束、サービスクレジット、インシデント対応の目標、そして慢性的な障害時の権利。 | |
| 責任ある開示ポリシー | 脆弱性を報告する方法、対象となる範囲、セーフハーバー、そして当社が定める対応の目標。 | |
| デジタルサービス法 | EUの当局と利用者向けの連絡窓口、EUにおける法定代理人、違法コンテンツの通知、そして判断理由の説明。 | |
| EUデータ法 | 別のプロバイダーへの乗り換え、データのエクスポート、使用する形式、そして各サービスがどこで動いているか。 | |
| EU AI法 | TrustviceのどこがAIシステムにあたるか、ナンバーワンが透明性の規則をどう満たしているか、そして高リスクAIシステムのための第25条第4項の契約。 | |
| 撤回権 | EUと英国の消費者向け：有料プランを14日以内に撤回する方法、返金される内容、そしてモデル撤回書式。 | |
| レシート運用規程 | レシートが何を証明するか、どのように作成・署名・時刻付けされるか、そして何を証明しないか。 | |
| 検証者向け規約 | レシートを検証する人が何を信頼でき、何を信頼できないか、そして当社がその人に負う責任。 | |
| 鍵の管理 | リージョンごとに1つ、Trustviceが保有するAWS KMSの署名鍵と、公開されている鍵セット。 | |
| レシートの検証 | 当社のライブラリまたはご自身のコードで、オフラインでもレシートを自分で確かめる方法。 | |
| 形式のバージョンと長期検証 | レシート形式のバージョン管理の仕組みと、古いレシートが検証できる状態を保つ理由。 | |
| 耐量子暗号への対応状況 | 現在の署名アルゴリズム、量子計算機によるリスク、そしてアルゴリズムを切り替えられるレシートの設計。 | |
| 事業継続 | Trustviceが運営を終了した場合に何が検証可能なまま残るか、そしてレシートを手元に残す方法。 | |
| 運営者情報 · Impressum | Trustviceを発行している者、会社が登記されている場所、そしてEUと英国における代理人。ドイツ語版もご用意しています。 |
セキュリティ関連の資料の請求。
ベンダー審査中ですか？必要なものをお知らせください。質問票には書面で回答し、Enterpriseのご購入者にはアーキテクチャをご説明します。
セキュリティ質問票を送付する
DPAに定めるとおり、30日以内に書面で回答します。privacy@trustvice.comにお送りください。
privacy@trustvice.com宛て →Enterprise営業とのセキュリティ審査
Enterpriseの評価をご検討の方へ：SLA、データの所在地、個別の保存期間の設定、そして調達に必要な書類。
営業に連絡 →安全性セキュリティチームに相談
セキュリティモデル、署名鍵、発見事項についてのご質問。脆弱性については報告フォームからお送りください。
セキュリティに連絡 →個人情報プライバシーとデータの質問
データ主体からの請求、再委託先への異議申し立て、そしてDPAに関するご質問。
個人情報の窓口へ →