VérifiableUne confiance à vérifier, pas à lire.
Trustvice émet des faits signés sur lesquels d’autres s’appuient. Cette page explique comment, ce que nous protégeons et comment, où vivent vos données et quels sont nos engagements. Chaque point renvoie au document qui l’engage.
Exploité par Avonao, Inc., DelawareDernière mise à jour juridique 6 novembre 2026
Comment naît un reçu.
Chaque appel suit le même chemin. Les identifiants sont vérifiés à la passerelle, le travail est effectué et stocké dans la région propre du workspace, et Trustvice signe le reçu avec une clé AWS KMS détenue dans cette région.
- Authentifier
La porte d'entrée résout l'identifiant vers un seul workspace avant l'exécution de tout code de suite. Les secrets sont stockés et comparés sous forme de hachages SHA-256, en temps constant.
- Relayer
Workspace et droits vont au service régional dans des en-têtes signés par nos propres services. Sans signature valide, le service refuse la requête.
- Observer, consigner
Le service régional effectue le travail demandé à la suite et consigne les faits que le reçu couvrira.
- Signer
Trustvice signe le reçu sur le hash de l’artefact avec sa clé Ed25519 dans AWS KMS, dans la région de données du reçu ; la clé privée ne quitte jamais KMS. Tant que la signature n’existe pas, l’artefact affiche « Reçu en attente », jamais un reçu non signé.
- Vérifier partout
Le reçu porte l’id de sa clé dans les octets signés. Avec le reçu et la clé publique, chacun le vérifie sans nous, tant que la clé reste publiée.
Ce que prouve un reçu et ce qu’il ne prouve pas.
Un reçu est un énoncé précis et étroit. Lisez les deux colonnes avant de vous y fier, et avant de demander à autrui de le faire.
Une signature valide prouve
- Origine : une clé de signature de Trustvice a signé exactement ces octets.
- L’intégrité : rien dans l’enveloppe n’a changé depuis, pas un chiffre.
- Heure signée : en signant, l’horloge de Trustvice marquait issuedAt.
Il ne prouve pas
- Qu'un fait que vous avez rapporté est vrai. Certaines suites signent des faits fournis par l'appelant, d'autres ce que nous avons observé ; la page de chaque suite indique lequel.
- Qui a rédigé ou approuvé le contenu. Le reçu consigne un workspace, pas une personne.
- L’heure réelle d’un événement. Il n’y a pas d’autorité d’horodatage tierce.
- Que rien n’a eu lieu là où il n’y a pas de reçu.
- Que nous sommes neutres au-delà de notre parole. Trustvice signe avec ses propres clés et conserve sa propre copie à écriture unique ; aucun tiers ne contrôle ce que dit un reçu.
Où il faut encore nous croire
La vérification est indépendante. La confiance se réduit à une liste nommée.
| Vous croyez | Raison | En cas d’échec |
|---|---|---|
| La clé publique de vérification est la nôtre | Une signature prouve qui détient une clé, pas à qui elle est. | Une clé substituée fait passer des faux. Épinglez l’id de clé hors bande. |
| Les clés de signature de Trustvice ne sont utilisées que par son service de reçus | Le service signe ce que son code décide de signer. | Une clé détournée signerait des faits jamais survenus. |
| Nous observons honnêtement pour les fonctions observées | Ces reçus disent qu’Trustvice l’a vu. | Un Trustvice compromis signerait une fausse observation. |
| L’horloge | issuedAt : l’heure du serveur en signant. | Une horloge décalée fausse issuedAt. |
Les clés de signature et où les trouver
Chaque reçu est signé en Ed25519 par une clé AWS KMS que Trustvice détient dans la région de données du reçu, une clé par région. Trustvice publie les moitiés publiques sous la forme de son propre jeu de clés.
Garde
- Trustvice émet, signe et stocke lui-même ses reçus. La clé privée ne quitte jamais KMS, et le Worker ne détient qu’un identifiant qui ne permet que de signer.
- Aucune route API ne renvoie de clé privée. Les routes publiques : champs publics seuls.
- Si KMS est indisponible, le reçu reste en « Reçu en attente » et la signature est retentée toutes les cinq minutes. Un reçu non signé n’est jamais affiché, et il n’y a pas de repli sur une clé locale.
Nos limites
- Rotation : cérémonie manuelle, sans calendrier. Une clé retirée reste publiée pour que les vieux reçus se vérifient.
- Chaque heure, Trustvice écrit les hashes des reçus signés des heures closes, avec une racine de Merkle signée par la clé KMS de la région, sous la forme d’un seul objet dans un bucket Amazon S3 Object Lock en mode COMPLIANCE, dans la même région. Personne, pas même l’utilisateur root d’AWS, ne peut le modifier ni le supprimer avant sa date de verrouillage. C’est le bucket et la clé propres de Trustvice : cela limite ce que Trustvice pourrait faire discrètement, mais ce n’est pas un témoin indépendant.
- Une clé de signature n’empêche pas qui peut exploiter le service de signature de lui faire signer : d’où la séparation des faits observés et déclarés.
Emplacements publiés
| Adresse | Contenu |
|---|---|
https://trustvice.com/.well-known/receipt-keys.json | Jeu JWK de Trustvice : https://trustvice.com/.well-known/receipt-keys.json |
https://api.trustvice.com/api/v1/receipts/keys | Le même jeu de clés via l’API : https://api.trustvice.com/api/v1/receipts/keys |
curl -sSL https://trustvice.com/.well-known/receipt-keys.json
// kid = empreinte RFC 7638 de la clé
const raw = Uint8Array.from(atob(x.replace(/-/g, "+").replace(/_/g, "/")
.padEnd(Math.ceil(x.length / 4) * 4, "=")), (c) => c.charCodeAt(0));
const digest = new Uint8Array(await crypto.subtle.digest("SHA-256", raw)).slice(0, 16);
const kid = btoa(String.fromCharCode(...digest))
.replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "");Pour la meilleure garantie, chargez la clé une fois, stockez son kid et sa valeur x dans votre dépôt, et vérifiez contre cette copie. /legal/verification
Contrôle d’accès et isolation
Chaque requête porte un identifiant que la passerelle résout vers un seul workspace avant l'exécution de toute suite. Voici comment les identifiants et le cloisonnement des tenants sont gérés aujourd'hui.
Identifiants hachés
Clés API, jetons d’accès personnels et jetons de session sont stockés en hash SHA-256, affichés une fois, comparés en temps constant. Les clés expirent après 30 jours, 90 jours, un an ou jamais, et tournent avec 0 à 60 minutes de grâce.
Connexion et sessions
Connexion uniquement avec votre Avonao ID ; Trustvice ne détient ni mot de passe, ni passkey, ni secret d’authentificateur. Sessions HttpOnly, Secure et SameSite=Lax, durée de 12 heures, inactivité de 30 minutes.
Scopes et rôles
Scopes de lecture, d'écriture et de gestion, limités à des suites nommées si vous le souhaitez. Les contrôles échouent en fermeture.
Locataires
La passerelle, pas l’appelant, fixe le workspace. Chaque lecture et écriture porte l’id du workspace ; un corps nommant un autre workspace est refusé. Séparation logique, en base régionale.
Limites de débit, abus
600 requêtes par minute par IP et 1 200 par compte à la passerelle.
Limite déclarée : les listes d’IP autorisées s’ouvrent si illisibles, pour qu’une panne de base ne bloque pas les clients.
Données protégées
Le service est conçu pour garder le moins possible.
Reçus en ajout seul
Chaque reçu est stocké à côté de l’artefact auquel il appartient pendant la période de votre forfait. Une copie ne contenant que des hashes va dans un bucket Object Lock à écriture unique, dans la même région. Seules des routes auditées masquent ou suppriment, avec un événement d’audit.
Lisible veut dire lisible
Les champs lisibles, comme les URL et les libellés, sont en clair dans un reçu. N’y mettez rien que son lecteur ne doit pas voir.
Les régions
Les reçus et les compteurs de quota sont conservés dans la région choisie à la création du workspace. Chaque reçu est signé avec la clé AWS KMS propre à cette région, et son hash est verrouillé dans le bucket Object Lock de cette région. Le tableau de bord, le site web, la connexion, la facturation et les données de compte sont toujours servis depuis les États-Unis (US Ouest).
| Région | Code | Région AWS associée | Stockage |
|---|---|---|---|
| US Est | enam | us-east-1 | Lieu indicatif |
| US Ouest | wnam | us-west-2 | Lieu indicatif |
| Europe Centre | weur-1 | eu-central-1 | Juridiction UE (imposée) |
| Europe Ouest | weur-2 | eu-west-1 | Juridiction UE (imposée) |
| Europe Nord | neur | eu-north-1 | Juridiction UE (imposée) |
| Asie-Pacifique | apac | ap-southeast-1 | Lieu indicatif |
| Océanie | oc | ap-southeast-2 | Lieu indicatif |
Une région dit où les données sont stockées et traitées. Un workspace ne migre jamais ; une région injoignable fait échouer l’appel, sans repli sur une autre.
Chiffrement
Les données transitent en TLS entre vous et le service, et sont stockées chez notre hébergeur, Cloudflare, selon ses conditions de sécurité. Les reçus étant signés, toute modification de preuve stockée est détectable par qui la vérifie.
Suppression, effacement
La suppression du compte prend effet après un délai de grâce de 30 jours pendant lequel vous pouvez exporter et restaurer. La tâche de suppression ne retire pas les reçus ; ils expirent avec la période du forfait, ou vous les supprimez, ou vous nous le demandez. Le hash d’un reçu supprimé reste dans la copie à écriture unique jusqu’à sa date de verrouillage. Un reçu que vous avez déjà remis à quelqu’un reste vérifiable par cette personne, quoi que nous fassions.
Conservation
- Reçus
- La période du forfait : Free 7 jours, Starter 90, Pro 90, Pro+ 90, Team 180, Scale 365, Enterprise sur mesure. La copie à écriture unique du hash reste verrouillée 12 heures de plus ; un forfait sans suppression automatique est verrouillé 7 ans.
- Données compte et connexion
- Jusqu’à suppression du compte, puis effacés après 30 jours de grâce.
- Journaux techniques et compteurs de débit
- 30 jours au plus.
- Audit de sécurité
- Pendant la vie du workspace et après, la personne remplacée si l’effacement l’exige.
- Pièces comptables
- Selon les exigences fiscales, jusqu’à 7 ans.
- Cache de rejeu idempotent
- 24 heures, avec le statut et l’id du reçu, jamais le corps.
ConfidentialitéLes régionsConservation, effacementSous-traitants
Disponibilité
Le statut est mesuré, pas écrit à la main. Les niveaux de service sont contractuels pour Enterprise, et la vérification ne dépend jamais de notre disponibilité.
La page de statut
- Sondé toutes les cinq minutes : la passerelle d’API de chacune des sept régions de données, le serveur MCP, la découverte OAuth et la vérification des reçus. L’émission de reçus (un reçu de test émis par Trustvice et stocké) s’ajoute dès que son workspace de sondage dédié est configuré ; d’ici là, elle n’est pas mesurée.
- Un contrôle en échec ou de plus de 8 secondes vaut panne ; au-delà de 3 secondes, dégradé. Une sonde périmée affiche « pas de données », jamais vert.
- Les incidents sont publiés avec mises à jour, par e-mail, flux Atom et JSON.
- La page de statut n’est ni signée ni un accord de niveau de service.
SLA Enterprise
Pour Enterprise avec bon de commande signé. Couvre l’API REST, le serveur MCP et l’émission de reçus. Le support est assuré pendant les heures ouvrées et accuse réception de chaque demande Enterprise sous 1 heure ouvrée. Les forfaits en libre-service n’ont ni garantie de disponibilité, ni crédits, ni délai de support.
| Dispo mensuelle | Crédit de service |
|---|---|
| Sous 99,9 %, au moins 99,0 % | 10 % du montant mensuel |
| Sous 99,0 %, au moins 95,0 % | 25 % du montant mensuel |
| Sous 95,0 % | 50 % du montant mensuel |
| Gravité | Sens | Délai d’accusé visé |
|---|---|---|
| Gravité 1 | Service couvert indisponible, ou reçus impossibles à émettre, en production. | 1 heure ouvrée |
| Gravité 2 | Fonction majeure altérée ou dégradée, avec contournement. | 1 heure ouvrée |
| Gravité 3 | Problème mineur, question ou demande. | 1 heure ouvrée |
Si la disponibilité passe sous 99,0 % trois mois de suite, ou quatre mois sur douze, le client peut résilier la commande visée avec remboursement au prorata.
Vérifier un reçu ne demande que le reçu et une clé publique. Cela marche même quand notre service est en panne.
Réponse aux incidents et divulgation des failles
Nos engagements si quelque chose tourne mal, et comment nous signaler une faiblesse avant qu’un autre la trouve.
Violations de données
Nous avertissons le titulaire du compte par e-mail sans retard indu, et au plus tard 72 heures après avoir pris connaissance d’une violation touchant des données personnelles client, avec ce que l’on sait : nature, personnes et enregistrements touchés, conséquences probables, mesures prises. L’avis est complété à mesure.
Incidents de service
Les incidents sont publiés sur la page de statut, avec une chronologie d’Investigating à Resolved. Lors d’un incident de gravité 1, les clients Enterprise reçoivent un avis initial puis des mises à jour.
Divulgation responsable
Signalez via le formulaire, avec vos coordonnées ou anonymement, ou par e-mail. La recherche de bonne foi conforme à la politique est autorisée et ne donnera lieu à aucune action contre vous.
| Étape | Délai |
|---|---|
| Nous accusons réception | Sous 3 jours ouvrés |
| Première analyse et sa gravité | Sous 10 jours ouvrés |
| Points tant que c’est ouvert | Au plus 14 jours d’écart |
| Correctif, gravité critique/haute | Objectif : 30 jours |
| Correctif, gravité basse | Objectif : 90 jours |
Des objectifs, pas des garanties. Nous demandons 90 jours avant divulgation publique. Pas de prime en argent ; chercheurs cités par leur nom sur demande.
Notre conformité
Ce qui existe et ce qui est disponible sur demande. Si une ligne compte pour votre revue, le document lié fait foi.
| Point | État | Détail |
|---|---|---|
| Accord de traitement (DPA) | En place | Partie des CGU. S’applique d’office à l’acceptation ; aucune contre-signature requise. |
| Transferts internationaux | En place | Clauses contractuelles types UE (2021/914, modules deux et trois), avenant britannique et adaptation suisse, intégrés au DPA. |
| Représentants de l’art. 27 | En place | Représentants désignés dans l’UE et au Royaume-Uni, cités dans la politique de confidentialité et les mentions légales. |
| Nouveau sous-traitant | En place | Préavis d’au moins 30 jours par e-mail et sur la liste, avec droit d’opposition et de résiliation remboursée. |
| Exercice de vos droits | En place | Réception confirmée sous 10 jours ; réponse sous un mois selon le RGPD et UK GDPR, ou 45 jours selon les lois des États US. |
| Dossier sécurité | En place | Un livre blanc sur l’architecture et la sécurité et un questionnaire de sécurité prérempli, à lire en ligne ou à télécharger. |
| Questionnaire sécurité | Sur demande | Réponses écrites à un questionnaire raisonnable sous 30 jours, selon le DPA §9. |
| Audit client | Sur demande | Si la doc ne suffit pas : une fois par an, avec 30 jours de préavis, par un auditeur indépendant tenu au secret, aux frais du client. |
| Rapports de conformité fournisseurs | Sur demande | Les rapports de conformité publics de nos fournisseurs, si nous pouvons les partager. |
| Bug bounty | Non proposé | Pas de récompense en argent. Chercheurs cités sur demande. |
Textes juridiques
Chaque document qui régit le service, avec la date de sa version actuelle. Tout changement important des CGU, de la politique de confidentialité, du DPA et de l’AUP est annoncé aux titulaires au moins 30 jours avant.
| Document | Ce qu’il couvre | Mis à jour |
|---|---|---|
| Conditions d’usage | Pour le site, l’API, le serveur MCP et le tableau de bord : comptes, frais, données, responsabilité, droit applicable. | |
| Confidentialité | Quelles données perso nous traitons, pourquoi, qui les reçoit, combien de temps, et comment exercer vos droits. | |
| Accord de traitement (DPA) | Clauses de sous-traitance : sous-traitants, sécurité, avis de violation, audits, transferts internationaux. | |
| Sous-traitants | Chaque fournisseur traitant des données perso : rôle, lieu et annonce des changements. | |
| Charte cookies | Cookies et stockage navigateur de nos sites : rôle, durée de chacun et comment changer votre choix. | |
| Usage acceptable (AUP) | Ce qui est interdit avec le service, comment c’est appliqué et comment signaler un abus. | |
| SLA Enterprise | Disponibilité garantie, crédits, délais de réponse aux incidents et droits en cas d’échec chronique, pour Enterprise. | |
| Divulgation responsable | Comment signaler une faille, le périmètre, le safe harbor et nos délais de réponse. | |
| Règlement sur les services numériques | Points de contact pour les autorités et les utilisateurs de l’UE, notre représentant légal dans l’UE, signalements de contenus illicites et exposés des motifs. | |
| Règlement européen sur les données | Changer de fournisseur, exporter vos données, les formats utilisés et où fonctionne chaque service. | |
| Règlement européen sur l’IA | Quelle partie de Trustvice est un système d’IA, comment Numéro Un respecte les règles de transparence, et l’accord de l’article 25, paragraphe 4, pour les systèmes d’IA à haut risque. | |
| Droit de rétractation | Pour les consommateurs de l’UE et du Royaume-Uni : se rétracter d’un forfait payant sous 14 jours, ce qui vous est remboursé, et le formulaire type. | |
| Déclaration des pratiques relatives aux reçus | Ce qu’atteste un reçu, comment il est construit, signé et horodaté, et ce qu’il ne prouve pas. | |
| Conditions pour les vérificateurs | Ce sur quoi peut compter quiconque vérifie un reçu, ce sur quoi il ne le peut pas, et notre responsabilité envers lui. | |
| Gestion des clés | Une clé de signature AWS KMS par région, détenue par Trustvice, et le jeu de clés publié. | |
| Vérifier les reçus | Comment vérifier un reçu vous-même, hors ligne, avec nos bibliothèques ou votre propre code. | |
| Versions du format et vérification à long terme | Comment le format des reçus est versionné et pourquoi les anciens reçus restent vérifiables. | |
| État post-quantique | L’algorithme de signature actuel, le risque quantique et comment les reçus sont conçus pour changer d’algorithme. | |
| Continuité | Ce qui reste vérifiable, et comment conserver vos reçus, si Trustvice cesse son activité. | |
| Mentions · Impressum | Qui publie Trustvice, où la société est immatriculée, ses représentants UE et Royaume-Uni. Aussi en allemand. |
Demander les documents sécurité.
Revue fournisseur en cours ? Dites-nous ce qu’il vous faut. Nous répondons aux questionnaires par écrit et guidons les acheteurs Enterprise.
Envoyer votre questionnaire
Réponses écrites sous 30 jours, comme le prévoit le DPA. À envoyer à privacy@trustvice.com.
Écrire à privacy@trustvice.com →EnterpriseRevue sécurité via les ventes
Pour évaluer Enterprise : le SLA, la résidence des données, la conservation sur mesure et les pièces d’achat.
Contact ventes →SécuritéParler à l’équipe sécurité
Questions sur le modèle de sécurité, les clés ou une découverte. Les failles passent par le formulaire.
Contact sécurité →Vie privéeVie privée et vos données
Demandes des personnes, objections aux sous-traitants et questions sur le DPA.
Contact vie privée →