Trustvice esiste per emettere fatti firmati su cui altri fanno affidamento. Qui spieghiamo come funziona, cosa proteggiamo e come, dove stanno i tuoi dati e a cosa ci impegniamo. Ogni affermazione rimanda al documento che la vincola.
Gestito da Avonao, Inc., DelawareDocumenti legali aggiornati il 6 novembre 2026
Agenti, prove, governance, commercio e informativa sono in Trustvice 360. Registrati gratis e apri tutte le suite da un'unica dashboard.
© 2026 Trustvice. Tutti i diritti riservati. Trustvice è un prodotto di Trustvice. Secured and supercharged by Avonao Labs.
Segnala abusoOgni chiamata segue lo stesso percorso. Le credenziali vengono verificate all’ingresso, il lavoro viene svolto e salvato nella regione propria del workspace, e Trustvice firma la ricevuta con una chiave AWS KMS custodita in quella regione.
La porta d'ingresso risolve la credenziale in un singolo workspace prima che venga eseguito qualsiasi codice delle suite. I segreti sono archiviati e confrontati come hash SHA-256, in tempo costante.
Workspace e permessi arrivano al servizio regionale in header firmati dai nostri servizi. Senza una firma valida, il servizio rifiuta la richiesta.
Il servizio regionale svolge il lavoro richiesto alla suite e registra i fatti che la ricevuta coprirà.
Trustvice firma la ricevuta sull’hash dell’artefatto con la sua chiave Ed25519 in AWS KMS, nella regione dei dati della ricevuta; la chiave privata non lascia mai KMS. Finché la firma non esiste, l’artefatto mostra «Ricevuta in sospeso», mai una ricevuta non firmata.
Una ricevuta è un’affermazione precisa e ristretta. Leggi le due colonne prima di fidarti di una, e prima di chiederlo ad altri.
Ogni ricevuta è firmata con Ed25519 da una chiave AWS KMS che Trustvice custodisce nella regione dei dati della ricevuta, una chiave per regione. Trustvice pubblica le metà pubbliche come proprio set di chiavi.
Ogni richiesta porta con sé una credenziale che il gateway risolve in un singolo workspace prima che venga eseguita una qualsiasi suite. Di seguito, come vengono gestiti oggi credenziali e tenancy.
Chiavi API, token di accesso personali e token di sessione sono salvati come hash SHA-256, mostrati una volta e confrontati in tempo costante. Le chiavi scadono dopo 30 giorni, 90, un anno o mai, e ruotano con una grace period da 0 a 60 minuti.
Accesso solo con il tuo Avonao ID; Trustvice non conserva password, passkey né segreti dell’app di autenticazione. Sessioni HttpOnly, Secure e SameSite=Lax, durata 12 ore e timeout di inattività di 30 minuti.
Il servizio è progettato per tenere il minimo possibile.
Ogni ricevuta è salvata accanto all’artefatto a cui appartiene per la finestra del piano. Una copia con soli hash va in un bucket Object Lock write-once nella stessa regione. Solo route auditate oscurano o cancellano, con un evento di audit.
I campi leggibili, come URL ed etichette, sono in chiaro in una ricevuta. Non metterci nulla che non mostreresti a chi la legge.
Ricevute e contatori di quota sono conservati nella regione scelta alla creazione del workspace. Ogni ricevuta è firmata con la chiave AWS KMS propria di quella regione e il suo hash è bloccato nel bucket Object Lock di quella regione. Dashboard, sito web, accesso, fatturazione e dati dell’account sono serviti sempre dagli Stati Uniti (US West).
Lo stato è misurato, non scritto a mano. I livelli di servizio sono un termine contrattuale Enterprise, e la verifica non dipende mai dalla nostra disponibilità.
A cosa ci impegniamo quando qualcosa va storto, e come segnalarci una debolezza prima che altri la trovino.
Avvisiamo il titolare dell’account via email senza ingiustificato ritardo e comunque entro 72 ore da quando veniamo a conoscenza di una violazione dei dati personali dei clienti, con ciò che si sa: natura, persone e record coinvolti, probabili conseguenze e misure adottate. L’avviso viene integrato man mano.
Cosa esiste oggi e cosa è disponibile su richiesta. Se una riga conta per la tua review, il testo vincolante è il documento linkato.
| Voce | Stato | Dettaglio |
|---|---|---|
| Accordo trattamento dati | In essere | Parte dei Termini. Si applica in automatico all’accettazione; non serve controfirma. |
Ogni documento che regola il servizio, con la data della versione attuale. Le modifiche sostanziali a Termini, Informativa privacy, DPA e Policy d’uso accettabile sono annunciate ai titolari degli account almeno 30 giorni prima.
| Documento | Cosa disciplina | Aggiornato |
|---|---|---|
| Termini di servizio | Il contratto per sito, API, server MCP e dashboard: account, tariffe, dati, responsabilità e legge applicabile. | |
Stai facendo una vendor review? Dicci cosa ti serve. Rispondiamo per iscritto ai questionari e illustriamo l’architettura ai clienti Enterprise.
Risposte scritte entro 30 giorni, come previsto dal DPA. Invialo a privacy@trustvice.com.
Scrivi a privacy@trustvice.com →EnterprisePer una valutazione Enterprise: SLA, residenza dei dati, conservazione su misura e documenti di procurement.
Trustvice 360: dia fiducia ai Suoi agenti AI e li governi con evidenza firmata e verificabile.
Digital Trust. On the Record.
La piattaforma di innovazione per
Software‑as‑a‑Service.
La ricevuta contiene l’id chiave nei byte firmati. Chi ha la ricevuta e la chiave pubblica la verifica senza di noi, finché la chiave resta pubblicata.
La verifica è indipendente. La fiducia si riduce a una breve lista esplicita.
| Ti fidi che | Perché | Se fallisce |
|---|---|---|
| La chiave pubblica di verifica è la nostra | Una firma prova chi detiene una chiave, non di chi sia. | Una chiave sostituita fa sembrare validi i falsi. Fissa l’id chiave fuori banda. |
| Le chiavi di firma di Trustvice sono usate solo dal suo servizio di ricevute | Il servizio firma ciò che il suo codice sceglie. | Una chiave abusata potrebbe firmare eventi mai avvenuti. |
| Osserviamo con onestà per le funzionalità osservate | Lì la ricevuta dice: Trustvice l’ha visto. | Un Trustvice compromesso può firmare un’osservazione falsa. |
| L’orologio | issuedAt è l’ora del server alla firma. | Un orologio sfasato dà un issuedAt errato. |
| Indirizzo | Contenuto |
|---|---|
https://trustvice.com/.well-known/receipt-keys.json | Set JWK di Trustvice: https://trustvice.com/.well-known/receipt-keys.json |
https://api.trustvice.com/v1/receipts/keys | Lo stesso set di chiavi dall’API: https://api.trustvice.com/v1/receipts/keys |
Verificabilecurl -sSL https://trustvice.com/.well-known/receipt-keys.json
// kid = impronta RFC 7638 della chiave
const raw = Uint8Array.from(atob(x.replace(/-/g, "+").replace(/_/g, "/")
.padEnd(Math.ceil(x.length / 4) * 4, "=")), (c) => c.charCodeAt(0));
const digest = new Uint8Array(await crypto.subtle.digest("SHA-256", raw)).slice(0, 16);
const kid = btoa(String.fromCharCode(...digest))
.replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "");Per la posizione più solida, scarica la chiave una volta, salva kid e valore x nel tuo repository e verifica con quella copia. /legal/verification
Ambiti di lettura, scrittura e gestione, ristretti a suite specifiche se lo desidera. I controlli falliscono in modo chiuso.
È il gateway, non il chiamante, a decidere il workspace. Ogni lettura e scrittura porta l’id workspace, e un body che ne nomina un altro è rifiutato. Separazione logica, in un database regionale.
600 richieste al minuto per IP e 1.200 per account al gateway.
Limite dichiarato: le IP allow-list falliscono in aperto se illeggibili, così un guasto del database non blocca fuori i clienti.
| Regione | Codice | Regione AWS associata | Storage |
|---|---|---|---|
| USA est | enam | us-east-1 | Suggerimento di località |
| USA ovest | wnam | us-west-2 | Suggerimento di località |
| Europa centrale | weur-1 | eu-central-1 | Giurisdizione UE (imposta) |
| Europa ovest | weur-2 | eu-west-1 | Giurisdizione UE (imposta) |
| Europa nord | neur | eu-north-1 | Giurisdizione UE (imposta) |
| Asia-Pacific | apac | ap-southeast-1 | Suggerimento di località |
| Oceania | oc | ap-southeast-2 | Suggerimento di località |
Una regione indica dove i dati sono salvati e trattati. Un workspace non si sposta mai, e una regione irraggiungibile fa fallire la chiamata invece di ripiegare su un’altra.
I dati viaggiano su TLS tra te e il servizio e sono salvati presso il nostro fornitore di infrastruttura, Cloudflare, secondo i suoi termini di sicurezza. Le ricevute sono firmate, quindi ogni modifica alle prove salvate è rilevabile da chi le verifica.
L’eliminazione dell’account diventa effettiva dopo un periodo di tolleranza di 30 giorni in cui puoi esportare e ripristinare. Il job di eliminazione non rimuove le ricevute: scadono secondo la finestra del piano, oppure le elimini tu, oppure ce lo chiedi. L’hash di una ricevuta eliminata resta nella copia write-once fino alla sua data di blocco. Una ricevuta che hai già consegnato a qualcuno resta verificabile da quella persona, qualunque cosa facciamo.
Per piani Enterprise con order form firmato. Copre REST API, server MCP ed emissione di ricevute. Il supporto è attivo in orario lavorativo e prende in carico ogni richiesta Enterprise entro 1 ora lavorativa. I piani self-serve non hanno impegni di uptime, crediti di servizio né tempi di risposta del supporto.
| Uptime mensile | Credito servizio |
|---|---|
| Sotto 99,9%, almeno 99,0% | 10% del canone mensile |
| Sotto 99,0%, almeno 95,0% | 25% del canone mensile |
| Sotto 95,0% | 50% del canone mensile |
| Gravità | Dettaglio | Obiettivo presa in carico |
|---|---|---|
| Gravità 1 | Servizio coperto non disponibile, o ricevute non emettibili, per l’uso in produzione. | 1 ora in orario lavorativo |
| Gravità 2 | Funzione importante compromessa o degradata, con workaround. | 1 ora in orario lavorativo |
| Gravità 3 | Problema minore, domanda o richiesta. | 1 ora in orario lavorativo |
Se l’uptime è sotto il 99,0% per tre mesi consecutivi, o in quattro mesi su dodici, il cliente può recedere dall’ordine interessato con rimborso pro rata.
Per verificare una ricevuta servono solo la ricevuta e una chiave pubblica. Funziona anche se noi no.
Gli incidenti sono pubblicati sulla pagina di stato con una timeline da Investigating a Resolved. In un incidente di Gravità 1, i clienti Enterprise ricevono un avviso iniziale e aggiornamenti man mano.
Segnala tramite il modulo, con i tuoi recapiti o in forma anonima, o via email. La ricerca in buona fede secondo la policy è autorizzata e non agiremo contro di te per questo.
| Passo | Obiettivo |
|---|---|
| Presa in carico del report | Entro 3 giorni lavorativi |
| Valutazione iniziale e gravità | Entro 10 giorni lavorativi |
| Aggiornamenti finché è aperta | Almeno ogni 14 giorni |
| Fix per gravità critica ed elevata | Puntiamo a 30 giorni |
| Fix per gravità minore | Puntiamo a 90 giorni |
Obiettivi, non garanzie. Chiediamo 90 giorni prima della divulgazione pubblica. Nessun bug bounty in denaro; su richiesta citiamo i ricercatori per nome.
| Trasferimenti esteri | In essere | Clausole contrattuali tipo UE (2021/914, moduli due e tre), l’Addendum UK e l’adattamento svizzero, incorporati nel DPA. |
| Rappresentanti ex art. 27 | In essere | Rappresentanti designati nell’Unione europea e nel Regno Unito, indicati nell’Informativa privacy e nel Colophon. |
| Cambi sub-responsabili | In essere | Almeno 30 giorni di preavviso via email e sull’elenco, con diritto di opporsi e di recedere con rimborso. |
| Richieste diritti privacy | In essere | Conferma di ricezione entro 10 giorni; risposta entro un mese per GDPR e UK GDPR, o 45 giorni per le leggi statali USA. |
| Pacchetto sicurezza | In essere | Un white paper su architettura e sicurezza e un questionario di sicurezza già compilato, da leggere online o scaricare. |
| Questionario di sicurezza | Su richiesta | Risposte scritte a un questionario ragionevole entro 30 giorni, per il DPA §9. |
| Audit del cliente | Su richiesta | Se la documentazione non basta: una volta l’anno, con 30 giorni di preavviso, da un auditor indipendente vincolato a riservatezza, a spese del cliente. |
| Report conformità sub-responsabili | Su richiesta | I report di conformità pubblici dei nostri fornitori, dove possiamo condividerli. |
| Bug bounty | Non offerto | Nessun premio in denaro. Ricercatori citati su richiesta. |
| Quali dati personali trattiamo, perché, chi li riceve, per quanto li conserviamo e come esercitare i tuoi diritti. |
| Accordo trattamento dati | Termini del responsabile: sub-responsabili, sicurezza, notifica violazioni, audit e trasferimenti esteri. |
| Sub-responsabili | Ogni fornitore che tratta dati personali, cosa fa, dove, e come sono annunciate le modifiche. |
| Cookie policy | Cookie e storage del browser sui nostri siti, a cosa serve ciascuno, quanto dura e come cambiare la scelta. |
| Policy d’uso accettabile | Cosa non si può fare con il servizio, come è applicata e come segnalare abusi. |
| SLA Enterprise | Impegno di uptime, crediti di servizio, obiettivi di risposta e diritti per guasti cronici dei piani Enterprise. |
| Divulgazione responsabile | Come segnalare una vulnerabilità, cosa è in ambito, safe harbor e obiettivi di risposta. |
| Regolamento sui servizi digitali | Punti di contatto per autorità e utenti dell’UE, il nostro rappresentante legale nell’UE, segnalazioni di contenuti illegali e motivazioni delle decisioni. |
| Regolamento UE sui dati | Passare a un altro fornitore, esportare i tuoi dati, i formati che usiamo e dove gira ogni servizio. |
| Regolamento UE sull’IA | Quale parte di Trustvice è un sistema di IA, come Numero Uno rispetta gli obblighi di trasparenza e l’accordo dell’articolo 25, paragrafo 4, per i sistemi di IA ad alto rischio. |
| Diritto di recesso | Per i consumatori nell’UE e nel Regno Unito: recedere da un piano a pagamento entro 14 giorni, cosa ti viene rimborsato e il modulo tipo. |
| Dichiarazione sulle pratiche delle ricevute | Cosa attesta una ricevuta, come viene creata, firmata e datata, e cosa non prova. |
| Condizioni per i verificatori | Su cosa può contare chi verifica una ricevuta, su cosa no, e la nostra responsabilità verso di lui. |
| Gestione delle chiavi | Una chiave di firma AWS KMS per regione, custodita da Trustvice, e il set di chiavi pubblicato. |
| Verificare le ricevute | Come verificare una ricevuta da solo, offline, con le nostre librerie o con il tuo codice. |
| Versioni del formato e verifica a lungo termine | Come viene versionato il formato delle ricevute e perché le ricevute vecchie restano verificabili. |
| Stato post-quantistico | L’algoritmo di firma di oggi, il rischio quantistico e come le ricevute sono pensate per cambiare algoritmo. |
| Continuità | Cosa resta verificabile, e come conservare le tue ricevute, se Trustvice cessa l’attività. |
| Colophon · Impressum | Chi pubblica Trustvice, dove è registrata la società e i suoi rappresentanti in UE e Regno Unito. Anche in tedesco. |