路径 A — 默认由你批准
你可以主动授予支持人员一个限时访问窗口（在 /app/account/support-access 操作，即“我需要帮助——请查看我的工作区”），也可以审阅并批准 / 限制 / 拒绝管理员发起的请求。授权均有范围限定、限时（15 分钟 – 72 小时）、有请求次数预算，并可即时撤销。
安全 · 架构 · 信任
每一项管理员操作， 都记录在你的账本上。
Trustvice 平台运行于 Cloudflare 之上——计算由 Workers 承担，导出由 R2 承载。客户记录与内容存放在 Cloudflare D1 或 Amazon Web Services RDS 上，所在区域由你在创建工作区时选定。每个工作区都拥有自己专属、区域固定的数据存储。我们确实运营一个员工管理控制台——它对你工作区采取的每一项操作，都会向 你的 Tops 账本写入一条哈希链式、仅可追加的记录。由 SQLite 触发器保证仅可追加，对你可见，并可独立验证。管理员访问权限确实存在，只是它无法悄无声息地进行。
100%
管理员读取操作全部进入你的 Tops 账本
20+ 个区域
横跨 Cloudflare D1 + Amazon Web Services RDS，由你选择
按租户隔离
一个工作区一个数据库，区域固定，绝不共享
技术栈
每一项基础组件，
均经独立审计。
Trustvice 运行一个 Cloudflare Workers 控制平面。你的工作区记录存放在你所选区域内的按租户独立数据库中——可选 Cloudflare D1（全球六个区域）或 Amazon Web Services RDS（托管 Postgres，13+ 个区域）。支付由 Avonao Billing 处理。每一项基础组件都经过独立的 SOC 2 审计；确实存在的员工管理控制台，若不先向你的 Tops 账本写入一条记录，就无法触及你的记录。
Cloudflare D1 — 数据库（方案 A）
当客户选择 Cloudflare 作为数据提供商时，用于存放工作区记录、智能体注册表与运行元数据。基于 SQLite，在工作区创建时固定到某一区域（全球六个区域之一）。每个数据库 10 GB；我们为每个工作区单独配置一个，因此不存在共享的多租户数据库。可绑定欧盟司法管辖，以满足 GDPR 第 44 条的严格数据驻留要求。
由 Cloudflare 运营。SOC 2 Type II。ISO 27001。ISO 27018。
Amazon Web Services RDS — 数据库（方案 B）
当客户选择 Amazon Web Services RDS 作为数据提供商时，用于存放工作区记录、智能体注册表与运行元数据。托管 Postgres，在工作区创建时固定到某一区域（13+ 个 AWS 区域之一，包括圣保罗、开普敦、孟买、东京）。每个工作区一个 Postgres 实例。
Amazon Web Services（Aurora）基础设施。SOC 1/2/3。ISO 27001。
Cloudflare R2 — 对象存储
导出包（TRAIGA 证据包、EU AI Act 第 12 条数据包、原始 JSON 账本）。兼容 S3，区域固定以匹配工作区的数据库区域，零出口费用。存储桶按工作区隔离；访问通过签名 URL，绝不使用共享凭证。
由 Cloudflare 运营。合规态势与 D1 相同。
Cloudflare Workers — 计算
插件接入端点、Avonao Billing webhook 处理器、导出生成器、回放沙箱。无状态 Worker；通过工作区范围的令牌进行逐请求身份验证。在我们管理之下没有持久化计算资源。
由 Cloudflare 运营。Workers Paid 套餐（每月 5 美元）覆盖全部无服务器计算。
Avonao Billing — 仅限支付
所有支付数据。我们从不接触卡片信息。Customer Portal 处理订阅、支付方式、历史记录及运行包购买。Webhook 签名经过验证。Avonao Billing Tax 处理美国销售税与欧盟增值税。
由 Stripe 运营。PCI DSS Level 1。
Dashboard 与营销站点运行在 Vercel 上。没有任何客户数据流经 Vercel——它的职责仅是在边缘提供 Next.js 前端。身份验证、数据、账单与计算全部托管于 Cloudflare 和 Avonao Billing。
自第一天起即已落地的控制措施
具体、有名、 可验证。
以下每一项控制措施在产品发布时即已落地，而非停留在路线图上。我们同时列出我们做了什么、以及我们不做什么，因为这些“不做”本身就是架构的一部分——它们不是有待填补的缺口。
结构上即仅可追加的账本
记录条目采用内容寻址并相互链接。每条条目的哈希都包含上一条条目的哈希。修改或删除任一条目都会破坏链条——在下一次验证时即可被检测到。
工作区范围令牌，无共享 API 密钥
插件接入令牌的作用范围仅限单个工作区。即便丢失或轮换，也只影响该工作区。审计员只读令牌属于独立范围，不具备写入能力。
管理员读取操作进入你的 Tops 账本——而且由你决定记录哪些类别
员工管理控制台用于合理的运维工作——事件分诊、账单对账、滥用应对。对客户工作区的每一次读取都会写入一条对该工作区可见、仅可追加的 Tops 条目。SQLite 触发器在数据库层面强制仅可追加，因此即便是管理控制台也无法改写其自身操作的审计轨迹。其中 9 个基础设施类别与 5 个 Spot 类别可由客户按工作区自行配置（环境过滤、采样率、按类别开关）——并以紧急断闸为底线，确保那些必须始终记录的操作不被关闭。
司法管辖数据路径
在创建工作区时选择 WEUR（欧洲）或 ENAM（美国）。D1 与 R2 会固定到所选司法管辖区；Workers 计算配置了 Regional Services，使处理过程保持在该司法管辖区内。
传输中与静态加密
所有客户流量使用 TLS 1.3。D1 与 R2 以提供商管理的密钥进行静态加密；用于导出的按工作区签名密钥保存在 Cloudflare Secrets 中，仅该工作区的 Worker 可访问。
客户数据上无第三方遥测
没有任何第三方 APM 或分析工具能访问客户记录内容。营销站点仅使用 Cloudflare Web Analytics（无 Cookie）统计聚合页面访问量。
按租户的数据库隔离
无论你选择 Cloudflare D1 还是 Amazon Web Services RDS，每个工作区都对应一个数据库。跨租户查询在结构上不可能实现，因为根本不存在可供查询的共享 schema。删除工作区即等同于删除数据库。
人员访问记录在案
员工每一次数据平面读取都会针对受影响的工作区写入一条 Tops 条目，含该员工身份、时间戳与原因。管理控制台通过 Cloudflare Access + 每位管理员的 WebAuthn + 每位管理员的 API 令牌进行身份验证。提供商侧的管理员访问（Cloudflare 管理员、Avonao Billing 管理员）在提供商处记录。
客户优先的数据访问
你的数据归你所有。
我们需要你的许可。
没有任何 Trustvice 运营人员——无论支持、工程、合规还是高管——对你的工作区、审计日志或智能体操作日志拥有常驻访问权限。每一次运营人员侧的读取都通过两条路径之一进行，两者事后都对你可见，并都写入你自己的哈希链式监管日志。我们在技术上有能力访问一切；但我们受这些政策及条款约束，只能在已记录的路径内行使这一能力。
已编入审计政策 37。
路径 B — 法律凌驾（狭窄例外）
传票、监管机构请求、经确认的安全报告以及经佐证的欺诈信号，可在未经你同意的情况下授权访问。该流程需要三方独立经 WebAuthn 断言的签署：CISO + 总法律顾问 + CEO。默认 TTL 24 小时，最长 7 天，不得静默延期。你将收到通知——在法院命令要求延后时，则即时或事后通知。计入我们的年度透明度报告（/app/support/transparency）。
日志同样归你所有
审计日志、智能体操作日志、Tops 条目、监管条目、账单历史、webhook 投递、导出请求——默认全部仅限客户访问。运营人员可申请在特定时间窗口内对某一特定界面进行一次性读取；你批准一次后，该读取会以一条带载荷哈希的记录写入你的监管链条，使你能精确验证到底披露了什么。
每一次读取你都看得到，且经签名与锚定
每一次运营人员侧会话——无论路径 A 还是路径 B——都会生成一份经签名（Ed25519）且由 OpenTimestamps 锚定的回执，你可下载为 PDF 并对照 https://api.trustvice.com/.well-known/privacy-receipt-keys.json 处的公钥集进行验证。你可一键否决正在进行的会话；法律凌驾会话期间的否决同样有效，除非法院命令本身明确禁止终止（届时我们会向你说明）。
行业标准的欺诈检测
外部提供商。
仅传递信封。
我们通过业界公认的外部提供商开展滥用与欺诈检测，并以子处理者合同将其约束在同一访问纪律底线之上——绝不单凭内部启发式规则，绝不授予对客户数据的模型训练权。每家提供商只看到它所需的信封（IP、设备哈希、支付凭据、行为信号）；没有任何一家看得到工作区内容、审计日志内容或智能体操作内容。针对你账户提出的每一条信号都对你可见，可在 /app/account/fraud-status 查看——不存在仅运营人员可见的子集。
已编入审计政策 38。机器可读披露见 /.well-known/fraud-providers.json。
Stripe Radar
支付欺诈、拒付风险、盗刷卡、频次异常。内置于托管的 Avonao Billing checkout。
信封
Stripe 内部支付对象
Sift
账户层面的欺诈——账户接管、虚假账户创建、跨提供商的支付欺诈。
信封
账户 id（化名）、事件类型、IP 哈希、设备哈希、会话 id
Castle
账户接管、不可能的行程、撞库攻击。
信封
账户 id、IP、设备指纹、user agent
Sardine
KYC + 制裁名单 + PEP 信号（企业版，经客户同意）。
信封
姓名、出生日期、政府颁发证件（经客户同意）
Persona
KYC + KYB 证件验证——仅限企业层级的入驻流程。
信封
证件图像 + 自拍活体检测（经客户同意）
MaxMind minFraud
IP 风险 · 代理 / VPN / TOR 检测 · 地理位置异常。
信封
IP 地址
IPQualityScore
一次性邮箱、电话校验、IP / 设备指纹。
信封
邮箱域名、IP、电话（如有提供）
申诉——按严重程度设定 SLA
每条信号都附带一键“申诉此信号”的 CTA。我们的响应时限为：严重级 24 小时 · 高级 3 天 · 中级 7 天 · 低 / 信息级 14 天。处理结果会向你的工作区写入一条监管条目；当申诉以对你有利的方式解决时，有限范围的自动化操作（锁定、加强验证、暂停）将被撤销。
客户掌控的身份验证
通行密钥优先。
不设密码。
Trustvice 通过 WebAuthn / FIDO2 通行密钥 + 魔法链接验证客户身份。没有可被钓鱼的密码，也没有可被劫持的密码重置流程。恢复码一次性发放，存储在你的设备上，仅你可见。每个会话都可枚举、可在你的 dashboard 中单独撤销。已编入审计政策 04。
WebAuthn / FIDO2 通行密钥
硬件绑定或平台绑定；在注册时录入，之后可更换。没有密码、没有短信、没有会泄露的 TOTP 密钥。
可枚举的会话
每个设备 + 浏览器会话都会显示设备 + IP + 位置 + 最近使用时间。一键撤销单个会话或在所有设备上退出登录。
恢复码
一次性发放、仅显示一次、存储在你的设备上。可随时重新生成；旧的一组将被原子化失效。
按操作记录的安全日志
每一次通行密钥录入、每一次会话撤销、每一次恢复码重新生成，都会记入你的账户安全日志——独立于运营人员侧的遥测。
Agentic API · 身份栈
智能体不是用户。
它们拥有自己的密码学身份。
可经由 REST、MCP、ChatGPT Apps、Gemini、Perplexity、Claude Cowork、A2A、NLWeb 或 Claude SKILLs 触达的每一项操作，都建立在一个密码学身份层之上。客户从不需要输入密码来为智能体验证身份——而是为智能体签发它自己的 W3C DID Web 身份，将其绑定到 SPIFFE 工作负载（可选），并通过 AP2 可验证凭证授权书赋予它明确的权限。
完整的 agentic-API 概览授权书可被撤销——而且你不必只听我们一面之词。自行验证某份授权书的撤销状态——它会在你自己的浏览器中读取我们发布的 Bitstring 状态列表，无需账户，也无需信任任何 API 调用。
W3C DID Web Method
每个智能体对应 did:web:trustvice.com:agents:<id>。Ed25519（默认）或 ES256。可由客户轮换、可由客户撤销。轮换历史构成一条哈希链（按 RFC 8785 进行 JCS 规范化）。
W3C DID Core 1.0 · DID Web Method 0.2 · JWK RFC 7517 + RFC 7638
SPIFFE 工作负载身份
spiffe.trustvice.com 信任域。X.509-SVID 或 JWT-SVID 可换取一个 5 分钟、DPoP 绑定的 Trustvice 会话。可针对合作伙伴信任域进行工作区范围的联合。
SPIFFE 1.0 · X.509-SVID · JWT-SVID · Trust Bundle + Federation
AP2 可验证凭证授权书
针对智能体主导账单的常驻授权。消费上限 + 调用上限 + 每小时速率 + IP CIDR + DPoP 指纹 + 加强验证因子——每一项条件都在每一次网关调用时强制执行。BitstringStatusList 撤销状态每 5 分钟刷新一次。
W3C VC Data Model 2.0 · SD-JWT VC · Data Integrity 1.0 · AP2 baseline
MCP Apps ui.iframe
由 ui.tve.world 提供的丰富确认模态框——独立的 Cloudflare 区域、严格的 CSP、受众受限的 UI 会话令牌、由主机签发并在每条 postMessage 回复中回显的 nonce。
MCP Specification 2025-06-18 · MCP Apps SEP-2025-09
C2PA 2.1 内容凭证
每一份 entpoind.attest.content 回执都配有一个 C2PA 2.1 清单。基于确定性 CBOR 的 COSE_Sign1。Pro+ 层级提供 DigiCert RFC 3161 时间戳联署。自动注入 AI 生成内容声明（EU AI Act 第 50 条）。
C2PA 2.1 · COSE_Sign1 · RFC 8949 deterministic CBOR · RFC 3161
我们不做什么
“不做”同样 是设计的一部分。
下面列出 Trustvice 刻意不具备的一系列能力。每一项都对应一类我们无法引发的事件。
- ×没有静默的员工访问。管理控制台确实存在，但对你工作区的每一次读取都会写入一条 Tops 条目——对你可见、哈希链式、由 SQLite 触发器保证仅可追加。
- ×不会在你的审计日志毫不知情的情况下“模拟为客户”。支持工程师可在支持会话期间打开你工作区的只读视图，而进入模拟模式的记录会出现在你的 Tops 账本中，附带员工身份与时间戳。
- ×没有汇总客户记录内容的中央数据仓库。营销站点使用轻量级聚合分析；客户数据平面与之分离。
- ×不会用客户数据训练 AI。记录不会被用于训练、微调或评估任何模型——无论是我们的还是任何他人的。
- ×欧盟工作区的数据不会流出欧盟司法管辖区。Cloudflare 的 Regional Services 使计算路径保持在区域内。
- ×客户记录内容不会离开数据平面。平台侧的错误追踪会在任何载荷离开 Worker 之前清除 PII；没有任何第三方供应商会收到客户记录内容。
- ×没有长期存在的共享 API 密钥。所有接入令牌均为工作区范围且可轮换。
- ×我们不运营基于密码的身份验证。登录方式为魔法链接或 SSO；我们从不接触或存储密码。
Tops · 以 Spot 监督 Spot
监督系统的 那个系统。
Tops 是一条并行账本，既记录我们的平台对你工作区做了什么，也记录你的 actor 观察到了什么、决定了什么。同一条链。同一个哈希根。控制模型不同，因为信任要求不同——我们的操作始终记录在案；你的操作则由你来配置。
哈希链式、由 SQLite 触发器保证仅可追加、可独立验证、可导出为签名的 JSONL。每个层级均免费包含——我们不出售它，因为让它变成可选项会违背它存在的初衷。
基础设施 Tops
始终开启。 无法被关闭。
我们的平台对你工作区采取的每一项操作。9 个类别，每类记录完整细节。你可以查看、导出与验证；但你无法将其关闭。可选的“对我们自身的透明”并不是透明。
- ingest · export · key_issue · admin_read
- chat_query · webhook_delivered · notary_anchor
- cron_run · tops_config_change
目标：正常运营下零管理员读取。
Spot 的 Tops
由客户掌控。 对抗安全。
你的 actor 观察到了什么、决定了什么、跳过了什么、发生了什么状态迁移、出现了什么漂移。可分层配置范围：按组织默认、按工作区、按 actor。按类别开关、环境过滤、采样、细节级别。默认采用安全设置（仅哈希 + 判定分桶 + 原因码）。
- spot_observe · spot_decide · spot_skip
- spot_state · spot_drift
决策过程，而不仅仅是结果。
同一条链，两个界面。
由 SQLite 触发器保证仅可追加。可进行 Merkle 哈希。可由 Notarian 锚定。验证器会对照同一个根哈希校验两个界面。拉取导出文件，运行 trustvice verify --tops <file> 即可确认。一旦有人——包括我们——篡改某条条目，链条就会以可检测的方式断裂。
决策过程，而不仅仅是结果。
审计日志只会说“智能体拒绝了该交易。”而 Tops 会说：智能体看到了输入模式 X（哈希），透镜 Y 触发了判定 Z，因原因 0x4 匹配而跳过，模式经历了 观察 → 决定 → 跳过 的迁移。达到监管级标准——EU AI Act 第 12 条 / TRAIGA / NIST AI RMF 所描述的正是决策过程，而非结果。
配置历史本身也被审计。
对 Spot Tops 配置的每一次更改都会向同一条链写入一条 tops_config_change 条目。为某个工作区禁用 Spot Tops？那也会写入一条条目。将细节级别升级到取证级？会写入一条带有旧值与新值的条目。你无法在不留下“关闭它”痕迹的情况下关闭这个监督者。
负责任披露
发现了什么问题？ 告诉我们。
出于善意行事并通过 security@trustvice.com 报告的安全研究人员，可获得 Trustvice 在法律行动上的安全港保护，前提是他们获取的数据不超过演示该问题所必需的范围、不针对其他客户利用该问题，并在公开披露前给予我们合理的修复期限（90 天）。
完整范围、安全港条款及响应 SLA 已在我们的协调披露政策中公布，机器可读版本见 /.well-known/security.txt（PGP 密钥指纹将在正式发布前添加）。
免费开始
Trustvice 360
Trustvice 360声明规则，让每次运行都接受检查。
智能体、证据、治理、商务和披露都在 Trustvice 360 中。免费注册，在一个仪表板中打开所有套件。