VerificávelConfiança que você confere, não só lê.
A Trustvice existe para emitir fatos assinados em que outros confiam. Esta página mostra como isso funciona, o que protegemos e como, onde ficam seus dados e com o que nos comprometemos. Cada afirmação tem link para o documento que a vincula.
Operado por Avonao, Inc., DelawareDocs legais atualizados em 6 de novembro de 2026
Como um recibo é gerado.
Toda chamada segue o mesmo caminho. As credenciais são verificadas na entrada, o trabalho é feito e guardado na região própria do workspace, e a Trustvice assina o recibo com uma chave do AWS KMS guardada nessa região.
- Autenticar
A porta de entrada resolve a credencial para um único workspace antes de qualquer código de suíte rodar. Os segredos são armazenados e comparados como hashes SHA-256, em tempo constante.
- Repassar
O workspace e as permissões seguem ao serviço regional em headers assinados pelos nossos próprios serviços. Sem assinatura válida, o serviço recusa a requisição.
- Observar, registrar
O serviço regional faz o trabalho pedido à suíte e registra os fatos que o recibo vai cobrir.
- Assinar
A Trustvice assina o recibo sobre o hash do artefato com a sua chave Ed25519 no AWS KMS, na região de dados do recibo; a chave privada nunca sai do KMS. Enquanto a assinatura não existe, o artefato mostra “Recibo pendente”, nunca um recibo sem assinatura.
- Verificar onde for
O recibo traz o id da chave dentro dos bytes assinados. Quem tem o recibo e a chave pública o confere sem nós, enquanto a chave seguir publicada.
O que um recibo prova, e o que não prova.
Um recibo é uma afirmação precisa e estreita. Leia as duas colunas antes de confiar em um, e antes de pedir que outro confie.
Uma assinatura válida prova
- Origem: uma chave de assinatura da Trustvice assinou exatamente estes bytes.
- Integridade: nada no envelope mudou desde então, nem um só dígito.
- Hora assinada: o relógio da Trustvice marcava issuedAt ao assinar.
O que não prova
- Que um fato que você reportou seja verdadeiro. Algumas suítes assinam fatos fornecidos pelo chamador, outras o que observamos; a página de cada suíte diz qual é o caso.
- Quem criou ou aprovou o conteúdo. O recibo registra um workspace, não uma pessoa.
- O horário real de um evento. Não há autoridade terceira de carimbo do tempo.
- Que nada aconteceu onde não há nenhum recibo.
- Que somos neutros além da nossa palavra. A Trustvice assina com chaves próprias e mantém a sua própria cópia de gravação única; nenhum terceiro confere o que um recibo diz.
No que ainda confia em nós
A verificação é independente. A confiança cabe numa lista curta e nomeada.
| Você confia | Motivo | Se falhar |
|---|---|---|
| A chave pública usada na verificação é nossa | Uma assinatura prova quem detém uma chave, não de quem ela é. | Uma chave trocada faz fraudes parecerem válidas. Fixe o key id por outro canal. |
| As chaves de assinatura da Trustvice são usadas apenas pelo seu serviço de recibos | O serviço assina o que seu código decide assinar. | Mal usada, a chave poderia assinar eventos inexistentes. |
| Observamos com honestidade nos recursos observados | Esses recibos dizem: a Trustvice viu isto. | Uma Trustvice comprometida poderia assinar observação falsa. |
| O relógio | issuedAt é a hora do servidor ao assinar. | Um relógio errado dá um issuedAt errado. |
Chaves de assinatura e onde achá-las
Cada recibo é assinado com Ed25519 por uma chave do AWS KMS que a Trustvice guarda na região de dados do recibo, uma chave por região. A Trustvice publica as metades públicas como o seu próprio conjunto de chaves.
Custódia
- A Trustvice emite, assina e armazena os próprios recibos. A chave privada nunca sai do KMS, e o Worker só tem uma credencial que serve apenas para assinar.
- Nenhuma rota da API devolve material de chave privada. As públicas só dão campos públicos.
- Se o KMS estiver indisponível, o recibo espera como “Recibo pendente” e é tentado de novo a cada cinco minutos. Um recibo sem assinatura nunca é exibido, e não há recurso a uma chave local.
Nossos limites
- A rotação é uma cerimônia manual, não agendada. Uma chave aposentada segue publicada e recibos antigos seguem válidos.
- A cada hora, a Trustvice grava os hashes dos recibos assinados das horas encerradas, com uma raiz Merkle assinada pela chave KMS da região, como um único objeto em um bucket Amazon S3 Object Lock no modo COMPLIANCE, na mesma região. Ninguém, nem o usuário root da AWS, pode alterá-lo ou apagá-lo antes da data de bloqueio. É o bucket e a chave da própria Trustvice: limita o que a Trustvice poderia fazer sem que se note, mas não é uma testemunha independente.
- Uma chave de assinatura não impede quem pode operar o serviço de assinatura de fazê-lo assinar, por isso separamos os fatos observados dos declarados.
Onde ficam as chaves
| Endereço | Conteúdo |
|---|---|
https://trustvice.com/.well-known/receipt-keys.json | Conjunto JWK da Trustvice: https://trustvice.com/.well-known/receipt-keys.json |
https://api.trustvice.com/api/v1/receipts/keys | O mesmo conjunto de chaves pela API: https://api.trustvice.com/api/v1/receipts/keys |
curl -sSL https://trustvice.com/.well-known/receipt-keys.json
// kid = impressão digital RFC 7638 da chave
const raw = Uint8Array.from(atob(x.replace(/-/g, "+").replace(/_/g, "/")
.padEnd(Math.ceil(x.length / 4) * 4, "=")), (c) => c.charCodeAt(0));
const digest = new Uint8Array(await crypto.subtle.digest("SHA-256", raw)).slice(0, 16);
const kid = btoa(String.fromCharCode(...digest))
.replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "");Para a posição mais forte, obtenha a chave uma vez, guarde seus valores kid e x no seu próprio repositório e verifique contra essa cópia. /legal/verification
Controle de acesso e isolamento
Toda requisição traz uma credencial que o gateway resolve para um único workspace antes de qualquer suíte rodar. A seguir, como credenciais e tenancy são tratadas hoje.
Credenciais em hash
Chaves de API, tokens de acesso pessoal e tokens de sessão são guardados como hashes SHA-256, exibidos uma vez e comparados em tempo constante. As chaves expiram após 30 dias, 90 dias, um ano ou nunca, e giram com carência de 0 a 60 minutos.
Entrada e sessões
Entrada somente com o seu Avonao ID; a Trustvice não guarda senhas, passkeys nem segredos de apps autenticadores. Sessões são HttpOnly, Secure e SameSite=Lax, com vida de 12 horas e timeout de 30 minutos ocioso.
Escopos e papéis
Escopos de leitura, escrita e gerenciamento, restritos a suítes específicas se você quiser. As verificações falham de forma fechada.
Tenancy
Quem decide o workspace é o gateway, não quem chama. Toda leitura e escrita leva o id do workspace, e um corpo que cita outro workspace é recusado. A separação é lógica, num banco regional.
Rate limits e abuso
600 requisições por minuto por IP e 1.200 por conta no gateway.
Limite declarado: listas de IPs permitidos falham abertas se não puderem ser lidas, para que uma falha do banco não tranque clientes fora.
Proteção de dados
O serviço foi feito para guardar o mínimo possível.
Recibos só-acréscimo
Cada recibo é guardado junto ao artefato a que pertence durante a janela do seu plano. Uma cópia só com hashes vai para um bucket Object Lock de gravação única, na mesma região. Só rotas auditadas podem ocultar ou apagar; cada uma grava evento de auditoria.
Campos legíveis são legíveis
Campos legíveis, como URLs e rótulos, ficam em texto claro no recibo. Não ponha ali nada que não mostraria a quem o lê.
Locais de dados
Recibos e contadores de cota ficam na região escolhida na criação do workspace. Cada recibo é assinado com a chave do AWS KMS própria dessa região, e o hash dele fica bloqueado no bucket Object Lock dessa região. O painel, o site, o login, a cobrança e os dados da conta são servidos sempre dos Estados Unidos (EUA Oeste).
| Região | Código | Região AWS associada | Storage |
|---|---|---|---|
| EUA Leste | enam | us-east-1 | Dica de local |
| EUA Oeste | wnam | us-west-2 | Dica de local |
| Europa Central | weur-1 | eu-central-1 | Jurisdição UE (aplicada) |
| Europa Oeste | weur-2 | eu-west-1 | Jurisdição UE (aplicada) |
| Europa Norte | neur | eu-north-1 | Jurisdição UE (aplicada) |
| Asia-Pacific | apac | ap-southeast-1 | Dica de local |
| Oceania | oc | ap-southeast-2 | Dica de local |
Uma região diz onde os dados são guardados e processados. Um workspace nunca muda de região, e uma região inacessível falha a chamada em vez de recorrer a outra.
Criptografia
Os dados trafegam por TLS entre você e o serviço e são guardados no nosso provedor de infraestrutura, a Cloudflare, sob os termos de segurança dela. Os recibos são assinados, então qualquer mudança na evidência guardada é detectável por quem a verifica.
Exclusão e apagamento
A exclusão da conta entra em vigor após um período de carência de 30 dias, em que você pode exportar e restaurar. O job de exclusão não remove recibos; eles expiram conforme a janela do plano, ou você os apaga, ou nos pede. O hash de um recibo apagado permanece na cópia de gravação única até a data de bloqueio. Um recibo que você já entregou a alguém continua verificável por essa pessoa, aconteça o que acontecer.
Retenção
- Recibos
- A janela do plano: Free 7 dias, Starter 90, Pro 90, Pro+ 90, Team 180, Scale 365, Enterprise personalizada. A cópia de gravação única do hash fica bloqueada 12 horas a mais; um plano sem exclusão automática fica bloqueado por 7 anos.
- Dados de conta e login
- Até a conta ser excluída, e então apagados após 30 dias de carência.
- Logs operacionais e contadores de rate limit
- No máximo 30 dias.
- Log de auditoria
- Pela vida do workspace e depois, com o titular substituído onde a exclusão é exigida.
- Dados de cobrança
- O que a lei tributária exigir, até 7 anos.
- Cache de idempotência
- 24 horas, com o status e o id do recibo, nunca o corpo.
PrivacidadeLocais de dadosRetenção e exclusãoSubprocessadores
Disponibilidade
O status é medido, não escrito à mão. Níveis de serviço são cláusula contratual para clientes Enterprise, e a verificação nunca depende de estarmos no ar.
Status para todos
- Sondado a cada cinco minutos: o gateway de API de cada uma das sete regiões de dados, o servidor MCP, a descoberta OAuth e a verificação de recibos. A emissão de recibos (um recibo de teste emitido pela Trustvice e armazenado) entra quando o seu workspace de sondagem dedicado estiver configurado; até lá, não é medida.
- Uma checagem que falha ou leva mais de 8 segundos conta como fora; acima de 3 segundos, degradada. Um monitor parado mostra sem dados recentes, nunca verde.
- Incidentes saem com atualizações, por inscrição de e-mail, feed Atom e JSON.
- A página de status não é assinada e não é um acordo de nível de serviço.
SLA Enterprise
Para planos Enterprise com pedido assinado. Cobre a API REST, o servidor MCP e a emissão de recibos. O suporte atende no horário comercial e confirma cada pedido Enterprise em até 1 hora dentro desse horário. Planos self-service não têm compromisso de uptime, créditos de serviço nem prazo de resposta do suporte.
| Uptime mensal | Crédito de SLA |
|---|---|
| Abaixo de 99,9%, mín. 99,0% | 10% do valor mensal |
| Abaixo de 99,0%, mín. 95,0% | 25% do valor mensal |
| Menos de 95,0% | 50% do valor mensal |
| Severidade | Sentido | Meta de confirmação |
|---|---|---|
| Severidade 1 | Serviço coberto indisponível, ou recibos não podem ser emitidos, para uso em produção. | 1 hora no horário comercial |
| Severidade 2 | Recurso importante prejudicado ou degradado, com contorno. | 1 hora no horário comercial |
| Severidade 3 | Problema menor, dúvida ou pedido. | 1 hora no horário comercial |
Se o uptime ficar abaixo de 99,0% em três meses seguidos, ou em quaisquer quatro de doze, o cliente pode rescindir o pedido afetado com reembolso proporcional.
Verificar um recibo exige só o recibo e uma chave pública. Segue funcionando quando nosso serviço não funciona.
Resposta a incidentes e divulgação de falhas
O que assumimos quando algo dá errado, e como nos avisar de uma fraqueza antes que outra pessoa a encontre.
Violação de dado pessoal
Avisamos o titular da conta por e-mail sem demora indevida e, em qualquer caso, em até 72 horas após tomarmos ciência de uma violação que afete dados pessoais de clientes, com o que se sabe: sua natureza, as pessoas e registros afetados, as consequências prováveis e as medidas tomadas. O aviso é complementado à medida que soubermos mais.
Incidente de serviço
Incidentes são publicados na página de status com uma linha do tempo de Investigating a Resolved. Num incidente de Severidade 1, clientes Enterprise recebem um aviso inicial e atualizações conforme a situação muda.
Divulgação responsável
Reporte pelo formulário, com seus dados de contato ou de forma anônima, ou por e-mail. Pesquisa de boa-fé conforme a política é autorizada, e não tomaremos medidas contra você por ela.
| Etapa | Meta |
|---|---|
| Confirmar seu relato | Em até 3 dias úteis |
| Avaliação inicial e severidade | Em até 10 dias úteis |
| Atualizações com a falha em aberto | Ao menos a cada 14 dias |
| Corrigir severidade crítica e alta | Miramos 30 dias |
| Corrigir severidade menor | Miramos 90 dias |
Metas, não garantias. Pedimos 90 dias antes da divulgação pública. Não há bug bounty em dinheiro; creditamos pesquisadores pelo nome, a pedido.
Postura de compliance
O que existe hoje e o que está disponível a pedido. Se uma linha importa para sua revisão, o documento linkado é o texto vinculante.
| Item | Estado | Detalhe |
|---|---|---|
| Adendo de Dados (DPA) | Em vigor | Parte dos Termos. Vale automaticamente no aceite; não precisa de contra-assinatura. |
| Transferência ao exterior | Em vigor | Cláusulas Contratuais-Tipo da UE (2021/914, Módulos Dois e Três), o UK Addendum e a adaptação suíça, incorporados ao DPA. |
| Representantes do Artigo 27 | Em vigor | Representantes nomeados na União Europeia e no Reino Unido, listados na Política de Privacidade e no Expediente. |
| Troca de subprocessador | Em vigor | Aviso de ao menos 30 dias por e-mail e na lista, com direito de objeção e de rescisão com reembolso. |
| Pedidos de privacidade | Em vigor | Recebimento confirmado em 10 dias; resposta em um mês sob o GDPR e o UK GDPR, ou 45 dias sob leis estaduais dos EUA. |
| Pacote de segurança | Em vigor | Um whitepaper de arquitetura e segurança e um questionário de segurança pré-preenchido, para ler online ou baixar. |
| Questionário de segurança | A pedido | Respostas escritas a um questionário razoável em até 30 dias, conforme o DPA §9. |
| Cliente audita | A pedido | Quando a documentação não basta: uma vez por ano, com 30 dias de aviso, por auditor independente sob sigilo, às custas do cliente. |
| Relatórios dos subprocessadores | A pedido | Relatórios públicos de compliance dos provedores, se temos direito de repassá-los. |
| Bug bounty | Não oferecido | Sem prêmio em dinheiro; creditamos pesquisadores a pedido. |
Documentos legais
Cada documento que rege o serviço, com a data da versão atual. Mudanças relevantes nos Termos, na Política de Privacidade, no DPA e na Política de Uso Aceitável são anunciadas aos titulares de conta com ao menos 30 dias de antecedência.
| Documento | O que cobre | Atualizado |
|---|---|---|
| Termos de Serviço | O contrato do site, da API, do servidor MCP e do painel: contas, tarifas, dados, responsabilidade e lei aplicável. | |
| Privacidade | Que dados pessoais tratamos, por quê, quem os recebe, por quanto tempo ficam e como exercer seus direitos. | |
| Adendo de Dados (DPA) | Termos de operador: subprocessadores, segurança, aviso de violação, auditorias e transferências internacionais. | |
| Subprocessadores | Cada provedor que trata dados pessoais, o que faz, onde, e como as mudanças são anunciadas. | |
| Uso de cookies | Cookies e armazenamento do navegador nos nossos sites, para que serve cada um, quanto dura e como mudar sua escolha. | |
| Regras de Uso Aceitável | O que não se pode fazer com o serviço, como isso é aplicado e como denunciar abuso. | |
| SLA Enterprise | Compromisso de uptime, créditos de serviço, metas de resposta a incidentes e direitos por falha crônica no Enterprise. | |
| Divulgação responsável | Como reportar vulnerabilidades, o que está no escopo, safe harbor e nossas metas de resposta. | |
| Regulamento dos Serviços Digitais | Pontos de contato para autoridades e usuários da UE, nosso representante legal na UE, notificações de conteúdo ilegal e fundamentação das decisões. | |
| Regulamento de Dados da UE | Mudar para outro provedor, exportar seus dados, os formatos que usamos e onde cada serviço roda. | |
| Regulamento de IA da UE | Que parte da Trustvice é um sistema de IA, como o Número Um cumpre as regras de transparência e o acordo do artigo 25(4) para sistemas de IA de alto risco. | |
| Direito de arrependimento | Para consumidores na UE e no Reino Unido: desistir de um plano pago em 14 dias, o que você recebe de volta e o formulário modelo. | |
| Declaração de práticas de recibos | O que um recibo atesta, como é criado, assinado e datado, e o que ele não prova. | |
| Termos para verificadores | No que pode confiar quem confere um recibo, no que não pode, e nossa responsabilidade com essa pessoa. | |
| Gestão de chaves | Uma chave de assinatura do AWS KMS por região, guardada pela Trustvice, e o conjunto de chaves publicado. | |
| Verificação de recibos | Como conferir um recibo você mesmo, offline, com nossas bibliotecas ou seu próprio código. | |
| Versões do formato e verificação de longo prazo | Como o formato dos recibos é versionado e por que recibos antigos continuam verificáveis. | |
| Status pós-quântico | O algoritmo de assinatura atual, o risco quântico e como os recibos foram pensados para trocar de algoritmo. | |
| Continuidade | O que continua verificável, e como guardar seus recibos, se a Trustvice deixar de operar. | |
| Expediente · Impressum | Quem publica a Trustvice, onde a empresa está registrada e seus representantes na UE e no Reino Unido. Também em alemão. |
Pedir documentação de segurança.
Fazendo uma avaliação de fornecedor? Diga o que precisa. Respondemos questionários por escrito e apresentamos a arquitetura a compradores Enterprise.
Envie questionário de segurança
Respostas escritas em até 30 dias, como prevê o DPA. Envie para privacy@trustvice.com.
E-mail privacy@trustvice.com →EnterpriseSegurança: revisão com vendas
Para uma avaliação Enterprise: o SLA, residência de dados, retenção sob medida e a papelada de compras.
Fale com vendas →SegurançaFale com o time de segurança
Dúvidas sobre o modelo de segurança, chaves de assinatura ou um achado. Vulnerabilidades vão pelo formulário.
Contatar segurança →DadosPrivacidade e dados pessoais
Pedidos de titulares de dados, objeções a subprocessadores e dúvidas sobre o DPA.
Contatar a equipe →A Trustvice sendo usada contra seus sistemas? Denuncie abuso →