Trustvice émet des faits signés sur lesquels d’autres s’appuient. Cette page explique comment, ce que nous protégeons et comment, où vivent vos données et quels sont nos engagements. Chaque point renvoie au document qui l’engage.
Exploité par Avonao, Inc., DelawareDernière mise à jour juridique 6 novembre 2026
Agents, preuves, gouvernance, commerce et divulgation sont dans Trustvice 360. Inscrivez-vous gratuitement et ouvrez toutes les suites depuis un seul tableau de bord.
Chaque appel suit le même chemin. Les identifiants sont vérifiés à la passerelle, le travail est effectué et stocké dans la région propre du workspace, et Trustvice signe le reçu avec une clé AWS KMS détenue dans cette région.
La porte d'entrée résout l'identifiant vers un seul workspace avant l'exécution de tout code de suite. Les secrets sont stockés et comparés sous forme de hachages SHA-256, en temps constant.
Workspace et droits vont au service régional dans des en-têtes signés par nos propres services. Sans signature valide, le service refuse la requête.
Le service régional effectue le travail demandé à la suite et consigne les faits que le reçu couvrira.
Trustvice signe le reçu sur le hash de l’artefact avec sa clé Ed25519 dans AWS KMS, dans la région de données du reçu ; la clé privée ne quitte jamais KMS. Tant que la signature n’existe pas, l’artefact affiche « Reçu en attente », jamais un reçu non signé.
Un reçu est un énoncé précis et étroit. Lisez les deux colonnes avant de vous y fier, et avant de demander à autrui de le faire.
Chaque reçu est signé en Ed25519 par une clé AWS KMS que Trustvice détient dans la région de données du reçu, une clé par région. Trustvice publie les moitiés publiques sous la forme de son propre jeu de clés.
Chaque requête porte un identifiant que la passerelle résout vers un seul workspace avant l'exécution de toute suite. Voici comment les identifiants et le cloisonnement des tenants sont gérés aujourd'hui.
Clés API, jetons d’accès personnels et jetons de session sont stockés en hash SHA-256, affichés une fois, comparés en temps constant. Les clés expirent après 30 jours, 90 jours, un an ou jamais, et tournent avec 0 à 60 minutes de grâce.
Connexion uniquement avec votre Avonao ID ; Trustvice ne détient ni mot de passe, ni passkey, ni secret d’authentificateur. Sessions HttpOnly, Secure et SameSite=Lax, durée de 12 heures, inactivité de 30 minutes.
Le service est conçu pour garder le moins possible.
Chaque reçu est stocké à côté de l’artefact auquel il appartient pendant la période de votre forfait. Une copie ne contenant que des hashes va dans un bucket Object Lock à écriture unique, dans la même région. Seules des routes auditées masquent ou suppriment, avec un événement d’audit.
Les champs lisibles, comme les URL et les libellés, sont en clair dans un reçu. N’y mettez rien que son lecteur ne doit pas voir.
Les reçus et les compteurs de quota sont conservés dans la région choisie à la création du workspace. Chaque reçu est signé avec la clé AWS KMS propre à cette région, et son hash est verrouillé dans le bucket Object Lock de cette région. Le tableau de bord, le site web, la connexion, la facturation et les données de compte sont toujours servis depuis les États-Unis (US Ouest).
Le statut est mesuré, pas écrit à la main. Les niveaux de service sont contractuels pour Enterprise, et la vérification ne dépend jamais de notre disponibilité.
Nos engagements si quelque chose tourne mal, et comment nous signaler une faiblesse avant qu’un autre la trouve.
Nous avertissons le titulaire du compte par e-mail sans retard indu, et au plus tard 72 heures après avoir pris connaissance d’une violation touchant des données personnelles client, avec ce que l’on sait : nature, personnes et enregistrements touchés, conséquences probables, mesures prises. L’avis est complété à mesure.
Ce qui existe et ce qui est disponible sur demande. Si une ligne compte pour votre revue, le document lié fait foi.
| Point | État | Détail |
|---|---|---|
| Accord de traitement (DPA) | En place | Partie des CGU. S’applique d’office à l’acceptation ; aucune contre-signature requise. |
Chaque document qui régit le service, avec la date de sa version actuelle. Tout changement important des CGU, de la politique de confidentialité, du DPA et de l’AUP est annoncé aux titulaires au moins 30 jours avant.
| Document | Ce qu’il couvre | Mis à jour |
|---|---|---|
| Conditions d’usage | Pour le site, l’API, le serveur MCP et le tableau de bord : comptes, frais, données, responsabilité, droit applicable. | |
Revue fournisseur en cours ? Dites-nous ce qu’il vous faut. Nous répondons aux questionnaires par écrit et guidons les acheteurs Enterprise.
Réponses écrites sous 30 jours, comme le prévoit le DPA. À envoyer à privacy@trustvice.com.
Écrire à privacy@trustvice.com →EnterprisePour évaluer Enterprise : le SLA, la résidence des données, la conservation sur mesure et les pièces d’achat.
Le reçu porte l’id de sa clé dans les octets signés. Avec le reçu et la clé publique, chacun le vérifie sans nous, tant que la clé reste publiée.
La vérification est indépendante. La confiance se réduit à une liste nommée.
| Vous croyez | Raison | En cas d’échec |
|---|---|---|
| La clé publique de vérification est la nôtre | Une signature prouve qui détient une clé, pas à qui elle est. | Une clé substituée fait passer des faux. Épinglez l’id de clé hors bande. |
| Les clés de signature de Trustvice ne sont utilisées que par son service de reçus | Le service signe ce que son code décide de signer. | Une clé détournée signerait des faits jamais survenus. |
| Nous observons honnêtement pour les fonctions observées | Ces reçus disent qu’Trustvice l’a vu. | Un Trustvice compromis signerait une fausse observation. |
| L’horloge | issuedAt : l’heure du serveur en signant. | Une horloge décalée fausse issuedAt. |
| Adresse | Contenu |
|---|---|
https://trustvice.com/.well-known/receipt-keys.json | Jeu JWK de Trustvice : https://trustvice.com/.well-known/receipt-keys.json |
https://api.trustvice.com/v1/receipts/keys | Le même jeu de clés via l’API : https://api.trustvice.com/v1/receipts/keys |
Vérifiable
curl -sSL https://trustvice.com/.well-known/receipt-keys.json
// kid = empreinte RFC 7638 de la clé
const raw = Uint8Array.from(atob(x.replace(/-/g, "+").replace(/_/g, "/")
.padEnd(Math.ceil(x.length / 4) * 4, "=")), (c) => c.charCodeAt(0));
const digest = new Uint8Array(await crypto.subtle.digest("SHA-256", raw)).slice(0, 16);
const kid = btoa(String.fromCharCode(...digest))
.replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "");Pour la meilleure garantie, chargez la clé une fois, stockez son kid et sa valeur x dans votre dépôt, et vérifiez contre cette copie. /legal/verification
Scopes de lecture, d'écriture et de gestion, limités à des suites nommées si vous le souhaitez. Les contrôles échouent en fermeture.
La passerelle, pas l’appelant, fixe le workspace. Chaque lecture et écriture porte l’id du workspace ; un corps nommant un autre workspace est refusé. Séparation logique, en base régionale.
600 requêtes par minute par IP et 1 200 par compte à la passerelle.
Limite déclarée : les listes d’IP autorisées s’ouvrent si illisibles, pour qu’une panne de base ne bloque pas les clients.
| Région | Code | Région AWS associée | Stockage |
|---|---|---|---|
| US Est | enam | us-east-1 | Lieu indicatif |
| US Ouest | wnam | us-west-2 | Lieu indicatif |
| Europe Centre | weur-1 | eu-central-1 | Juridiction UE (imposée) |
| Europe Ouest | weur-2 | eu-west-1 | Juridiction UE (imposée) |
| Europe Nord | neur | eu-north-1 | Juridiction UE (imposée) |
| Asie-Pacifique | apac | ap-southeast-1 | Lieu indicatif |
| Océanie | oc | ap-southeast-2 | Lieu indicatif |
Une région dit où les données sont stockées et traitées. Un workspace ne migre jamais ; une région injoignable fait échouer l’appel, sans repli sur une autre.
Les données transitent en TLS entre vous et le service, et sont stockées chez notre hébergeur, Cloudflare, selon ses conditions de sécurité. Les reçus étant signés, toute modification de preuve stockée est détectable par qui la vérifie.
La suppression du compte prend effet après un délai de grâce de 30 jours pendant lequel vous pouvez exporter et restaurer. La tâche de suppression ne retire pas les reçus ; ils expirent avec la période du forfait, ou vous les supprimez, ou vous nous le demandez. Le hash d’un reçu supprimé reste dans la copie à écriture unique jusqu’à sa date de verrouillage. Un reçu que vous avez déjà remis à quelqu’un reste vérifiable par cette personne, quoi que nous fassions.
Pour Enterprise avec bon de commande signé. Couvre l’API REST, le serveur MCP et l’émission de reçus. Le support est assuré pendant les heures ouvrées et accuse réception de chaque demande Enterprise sous 1 heure ouvrée. Les forfaits en libre-service n’ont ni garantie de disponibilité, ni crédits, ni délai de support.
| Dispo mensuelle | Crédit de service |
|---|---|
| Sous 99,9 %, au moins 99,0 % | 10 % du montant mensuel |
| Sous 99,0 %, au moins 95,0 % | 25 % du montant mensuel |
| Sous 95,0 % | 50 % du montant mensuel |
| Gravité | Sens | Délai d’accusé visé |
|---|---|---|
| Gravité 1 | Service couvert indisponible, ou reçus impossibles à émettre, en production. | 1 heure ouvrée |
| Gravité 2 | Fonction majeure altérée ou dégradée, avec contournement. | 1 heure ouvrée |
| Gravité 3 | Problème mineur, question ou demande. | 1 heure ouvrée |
Si la disponibilité passe sous 99,0 % trois mois de suite, ou quatre mois sur douze, le client peut résilier la commande visée avec remboursement au prorata.
Vérifier un reçu ne demande que le reçu et une clé publique. Cela marche même quand notre service est en panne.
Les incidents sont publiés sur la page de statut, avec une chronologie d’Investigating à Resolved. Lors d’un incident de gravité 1, les clients Enterprise reçoivent un avis initial puis des mises à jour.
Signalez via le formulaire, avec vos coordonnées ou anonymement, ou par e-mail. La recherche de bonne foi conforme à la politique est autorisée et ne donnera lieu à aucune action contre vous.
| Étape | Délai |
|---|---|
| Nous accusons réception | Sous 3 jours ouvrés |
| Première analyse et sa gravité | Sous 10 jours ouvrés |
| Points tant que c’est ouvert | Au plus 14 jours d’écart |
| Correctif, gravité critique/haute | Objectif : 30 jours |
| Correctif, gravité basse | Objectif : 90 jours |
Des objectifs, pas des garanties. Nous demandons 90 jours avant divulgation publique. Pas de prime en argent ; chercheurs cités par leur nom sur demande.
| Transferts internationaux | En place | Clauses contractuelles types UE (2021/914, modules deux et trois), avenant britannique et adaptation suisse, intégrés au DPA. |
| Représentants de l’art. 27 | En place | Représentants désignés dans l’UE et au Royaume-Uni, cités dans la politique de confidentialité et les mentions légales. |
| Nouveau sous-traitant | En place | Préavis d’au moins 30 jours par e-mail et sur la liste, avec droit d’opposition et de résiliation remboursée. |
| Exercice de vos droits | En place | Réception confirmée sous 10 jours ; réponse sous un mois selon le RGPD et UK GDPR, ou 45 jours selon les lois des États US. |
| Dossier sécurité | En place | Un livre blanc sur l’architecture et la sécurité et un questionnaire de sécurité prérempli, à lire en ligne ou à télécharger. |
| Questionnaire sécurité | Sur demande | Réponses écrites à un questionnaire raisonnable sous 30 jours, selon le DPA §9. |
| Audit client | Sur demande | Si la doc ne suffit pas : une fois par an, avec 30 jours de préavis, par un auditeur indépendant tenu au secret, aux frais du client. |
| Rapports de conformité fournisseurs | Sur demande | Les rapports de conformité publics de nos fournisseurs, si nous pouvons les partager. |
| Bug bounty | Non proposé | Pas de récompense en argent. Chercheurs cités sur demande. |
| Quelles données perso nous traitons, pourquoi, qui les reçoit, combien de temps, et comment exercer vos droits. |
| Accord de traitement (DPA) | Clauses de sous-traitance : sous-traitants, sécurité, avis de violation, audits, transferts internationaux. |
| Sous-traitants | Chaque fournisseur traitant des données perso : rôle, lieu et annonce des changements. |
| Charte cookies | Cookies et stockage navigateur de nos sites : rôle, durée de chacun et comment changer votre choix. |
| Usage acceptable (AUP) | Ce qui est interdit avec le service, comment c’est appliqué et comment signaler un abus. |
| SLA Enterprise | Disponibilité garantie, crédits, délais de réponse aux incidents et droits en cas d’échec chronique, pour Enterprise. |
| Divulgation responsable | Comment signaler une faille, le périmètre, le safe harbor et nos délais de réponse. |
| Règlement sur les services numériques | Points de contact pour les autorités et les utilisateurs de l’UE, notre représentant légal dans l’UE, signalements de contenus illicites et exposés des motifs. |
| Règlement européen sur les données | Changer de fournisseur, exporter vos données, les formats utilisés et où fonctionne chaque service. |
| Règlement européen sur l’IA | Quelle partie de Trustvice est un système d’IA, comment Numéro Un respecte les règles de transparence, et l’accord de l’article 25, paragraphe 4, pour les systèmes d’IA à haut risque. |
| Droit de rétractation | Pour les consommateurs de l’UE et du Royaume-Uni : se rétracter d’un forfait payant sous 14 jours, ce qui vous est remboursé, et le formulaire type. |
| Déclaration des pratiques relatives aux reçus | Ce qu’atteste un reçu, comment il est construit, signé et horodaté, et ce qu’il ne prouve pas. |
| Conditions pour les vérificateurs | Ce sur quoi peut compter quiconque vérifie un reçu, ce sur quoi il ne le peut pas, et notre responsabilité envers lui. |
| Gestion des clés | Une clé de signature AWS KMS par région, détenue par Trustvice, et le jeu de clés publié. |
| Vérifier les reçus | Comment vérifier un reçu vous-même, hors ligne, avec nos bibliothèques ou votre propre code. |
| Versions du format et vérification à long terme | Comment le format des reçus est versionné et pourquoi les anciens reçus restent vérifiables. |
| État post-quantique | L’algorithme de signature actuel, le risque quantique et comment les reçus sont conçus pour changer d’algorithme. |
| Continuité | Ce qui reste vérifiable, et comment conserver vos reçus, si Trustvice cesse son activité. |
| Mentions · Impressum | Qui publie Trustvice, où la société est immatriculée, ses représentants UE et Royaume-Uni. Aussi en allemand. |