可以验证可以亲自核查、而不只是阅读的信任。
Trustvice 的存在，就是为了签发那些供其他人依赖的、经过签名的事实。本页将详细说明这一切是如何运作的、我们保护哪些内容以及如何保护、您的数据存放在哪里，以及我们作出了哪些承诺。每一项陈述都链接到对其具有约束力的那份文件。
本服务的运营方 Avonao, Inc., Delaware各类法律文件的最近更新日期 2026年11月6日
一份回执是如何生成的。
每次调用都走同一条路径。凭据在前门校验，工作在工作区自己的区域内完成并存储，Trustvice 使用保管在该区域的 AWS KMS 密钥为回执签名。
- 身份的验证
在任何套件代码运行之前，前门会先将凭据解析到唯一一个工作区。密钥以 SHA-256 哈希形式存储，并以恒定时间进行比较。
- 转发
工作区和权限信息会被放在由我们自己的服务所签名的请求头之中，然后再传递给区域服务。如果请求没有附带一个有效的签名，那么该服务就会直接拒绝这个请求。
- 观察或者记录事实
区域服务完成套件被要求的工作，并记录回执将涵盖的事实。
- 签名
Trustvice 使用回执数据区域内 AWS KMS 中的 Ed25519 密钥，对制品哈希生成回执签名；私钥永远不会离开 KMS。在签名生成之前，制品显示“回执待签发”，绝不会显示未签名的回执。
- 随处都可以验证
回执会把它的密钥 ID 包含在被签名的那些字节之中。任何持有这份回执和公钥的人，都可以在完全不依赖我们的情况下检查它，只要这把密钥一直保持着发布状态。
一份回执能够证明什么，而又不能够证明什么。
一份回执是一项精确而范围狭窄的陈述。在您依赖它之前，以及在您要求别人依赖它之前，请先把这两栏内容都仔细读一遍。
一个有效的签名可以证明
- 来源：Trustvice 的某个签名密钥对这些字节进行了签名。
- 完整性：自那以后，信封之中的任何内容都没有发生过变化，哪怕只是一个数字。
- 一个经过签名的时间：Trustvice 在签名时，它的时钟显示的是 issuedAt。
它并不能够证明
- 您上报的事实是真实的。有些套件对调用方提供的事实签名，另一些则对我们观察到的内容签名；每个套件的页面都会说明属于哪一种。
- 内容究竟是由谁撰写或者由谁批准的。回执所记录的是一个工作区，而不是某一个具体的人。
- 某个事件发生的真实时间。这里并没有任何第三方的时间戳机构参与其中。
- 在没有回执的地方，就一定什么事情都没有发生过。
- 除了我们自己的承诺之外，我们确实保持中立。Trustvice 使用自己的密钥签名，并保留自己的一次写入副本；并没有任何外部方去检查一份回执所说的内容。
您仍然需要在哪些方面信任我们
验证本身是独立的。而需要信任的内容，则被缩小为一份简短而明确列出的清单。
| 您需要信任 | 原因 | 如果它不成立 |
|---|---|---|
| 您用来进行验证的那把公钥，确实属于我们 | 签名能证明谁持有一把密钥，但并不能证明这是谁的密钥。 | 一把被替换掉的密钥，会让伪造品看起来有效。请通过带外渠道固定密钥 ID。 |
| Trustvice 的签名密钥只由其回执服务使用 | 服务会为它的代码所决定要签名的内容进行签名。 | 一把被滥用的密钥，可能会为从未发生过的事件签名。 |
| 对于观察类功能，我们如实观察 | 这些回执表明是 Trustvice 看到了这些。 | 一个已经被攻破的 Trustvice，可能会为虚假的观察签名。 |
| 我们的时钟 | issuedAt 是我们在签名时的服务器时间。 | 一个出现偏差的时钟会给出错误的 issuedAt。 |
签名用的密钥，以及在哪里可以找到它们
每份回执都由 Trustvice 保管在回执数据区域的 AWS KMS 密钥以 Ed25519 签名，每个区域一个密钥。Trustvice 将其公钥部分作为自己的密钥集发布。
密钥的保管
- Trustvice 自行签发、签名并存储其回执。私钥永远不会离开 KMS，Worker 只持有仅能用于签名的凭据。
- 没有任何一个 API 路由会返回私钥材料。所有公开的路由，都只会返回那些公开的字段。
- 如果 KMS 不可用，回执会保持“回执待签发”状态，并每五分钟重试一次。未签名的回执绝不会被显示，也没有回退到本地密钥的做法。
已说明的局限
- 密钥轮换是一项手动执行的仪式，而不是按计划自动进行的。已停用的密钥会继续保持发布状态，因此旧的回执依然可以通过验证。
- Trustvice 每小时把已结束时段内已签名回执的哈希，连同由该区域 KMS 密钥签名的 Merkle 根，作为一个对象写入同一区域、COMPLIANCE 模式的 Amazon S3 Object Lock 存储桶。在锁定日期之前，任何人（包括 AWS 根用户）都无法修改或删除它。这是 Trustvice 自己的存储桶和密钥：它限制了 Trustvice 能够悄悄做的事情，但它不是独立的见证方。
- 签名密钥无法阻止能够运行签名服务的人让其签名，因此我们将观察到的事实与申报的事实分开。
已公开发布的密钥位置
| 地址 | 内容 |
|---|---|
https://trustvice.com/.well-known/receipt-keys.json | Trustvice 的 JWK 密钥集：https://trustvice.com/.well-known/receipt-keys.json |
https://api.trustvice.com/api/v1/receipts/keys | 通过 API 获取的同一密钥集：https://api.trustvice.com/api/v1/receipts/keys |
curl -sSL https://trustvice.com/.well-known/receipt-keys.json
// kid = 密钥的 RFC 7638 指纹
const raw = Uint8Array.from(atob(x.replace(/-/g, "+").replace(/_/g, "/")
.padEnd(Math.ceil(x.length / 4) * 4, "=")), (c) => c.charCodeAt(0));
const digest = new Uint8Array(await crypto.subtle.digest("SHA-256", raw)).slice(0, 16);
const kid = btoa(String.fromCharCode(...digest))
.replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "");如果想要获得最强的保障，请只获取一次密钥，将它的 kid 和 x 值存储在您自己的代码仓库之中，然后始终对照这份副本进行验证。 /legal/verification
访问控制以及租户之间的隔离
每个请求都携带一份凭据，网关会在任何套件运行之前将其解析到唯一一个工作区。以下说明目前如何处理凭据和租户隔离。
经过哈希处理的凭据
API 密钥、个人访问令牌以及会话令牌，全部都以 SHA-256 哈希的形式存储，只会显示一次，并以恒定时间的方式进行比较。密钥会在 30 天、90 天、一年之后过期，或者永不过期，并且在轮换时可以设置 0 到 60 分钟的宽限期。
登录方式与会话管理
仅通过你的 Avonao ID 登录；Trustvice 不保存密码、通行密钥或身份验证器密钥。会话均为 HttpOnly、Secure 和 SameSite=Lax，有效期为 12 小时，空闲 30 分钟之后即会超时。
权限范围与角色
读取、写入和管理范围，可按需限定到指定的套件。检查失败即关闭。
租户隔离
由网关、而不是由调用方来决定所属的工作区。每一次读取和写入都带有工作区 ID，而请求体之中指定了另一个工作区的请求，会被直接拒绝。这种隔离属于逻辑隔离，位于一个区域性的数据库之中。
速率限制与滥用防护
网关对每一个 IP 的限制为每分钟 600 个请求，对每一个账户则为每分钟 1,200 个。
已说明的局限：如果无法读取 IP 允许列表，它会以放行的方式失败，这样数据库故障就不会把客户锁在门外。
数据保护措施
这项服务在设计上会尽可能少地持有数据。
仅可追加写入的回执
每份回执都会在您套餐的保留期内，与它所属的制品存放在一起。一份仅含哈希的副本会写入同一区域、一次写入的 Object Lock 存储桶。只有经过审计的路由才能进行编辑遮盖或删除，并且每次都会写入一条审计事件。
可读的字段，就是可以被读取的
URL、标签等可读字段在回执中以明文形式呈现。请不要在其中放入任何您不愿意让读者看到的内容。
各个数据区域
回执和配额计数器保存在创建工作区时所选的区域内。每份回执由该区域自己的 AWS KMS 密钥签名，其哈希锁定在该区域的 Object Lock 存储桶中。控制台、网站、登录、计费和账户数据在任何情况下都由美国（美国西部）提供。
| 区域 | 代码 | 配对的 AWS 区域 | 存储方式 |
|---|---|---|---|
| 美国东部 | enam | us-east-1 | 位置提示信息 |
| 美国西部 | wnam | us-west-2 | 位置提示信息 |
| 欧洲中部区域 | weur-1 | eu-central-1 | 欧盟管辖范围（强制执行） |
| 欧洲西部区域 | weur-2 | eu-west-1 | 欧盟管辖范围（强制执行） |
| 欧洲北部区域 | neur | eu-north-1 | 欧盟管辖范围（强制执行） |
| 亚洲太平洋区域 | apac | ap-southeast-1 | 位置提示信息 |
| 大洋洲 | oc | ap-southeast-2 | 位置提示信息 |
区域所说明的，是数据存储和处理的具体位置。一个工作区永远都不会进行迁移，而一个无法访问的区域，会让这次调用直接失败，而不会自动回退到另外一个区域。
加密措施
数据在您与本服务之间通过 TLS 进行传输，并依据我们的基础设施提供商 Cloudflare 的安全条款，存储在 Cloudflare 那里。所有的回执都已经经过了签名，因此，对已经存储的证据所作的任何改动，都可以被任何一个进行验证的人及时发现。
数据的删除以及清除
删除账户会在 30 天宽限期后生效，期间您可以导出和恢复。删除任务不会移除回执；回执会按套餐保留期到期，或由您自行删除，或由您联系我们处理。已删除回执的哈希会保留在一次写入副本中，直到其锁定日期。您已经交给他人的回执，无论我们做什么，对方仍可验证。
数据保留期限
- 签名回执
- 套餐保留期：Free 7 天，Starter 90 天，Pro 90 天，Pro+ 90 天，Team 180 天，Scale 365 天，Enterprise 可定制。哈希的一次写入副本会多锁定 12 小时；没有自动删除的套餐会锁定 7 年。
- 账户数据以及各类登录数据
- 一直保留到账户被删除为止，然后在 30 天的宽限期结束之后被彻底清除。
- 各类运营日志，以及速率限制所用的计数器
- 最多保留 30 天。
- 安全审计日志记录
- 在工作区存续期间以及其后一直保留，在需要进行清除的情况下，会替换掉其中所涉及的数据主体。
- 各项计费记录
- 按照税法所要求的期限保留，最长为 7 年。
- 幂等请求所用的重放缓存
- 保留 24 小时，其中包含状态和回执 ID，从来不包含消息体。
服务可用性
服务状态是实际测量出来的，而不是手工填写的。服务等级是面向 Enterprise 客户的一项合同条款，而验证则从来都不依赖于我们的服务是否正常运行。
公开的服务状态页面
- 每五分钟探测一次：七个数据区域中每个区域的 API 网关、MCP 服务器、OAuth 发现以及回执验证。回执签发（由 Trustvice 签发并存储的一份测试回执）会在其专用探测工作区配置完成后加入；在此之前不予测量。
- 一项检查如果失败或者耗时超过 8 秒，即视为宕机；如果耗时超过 3 秒，则视为性能下降。过时的监控会显示为没有近期数据，而绝不会显示为绿色。
- 各类事件都会连同更新一起发布，并可以通过电子邮件订阅、Atom 订阅源以及 JSON 获取。
- 状态页面并没有经过任何签名，而且它也并不构成一份服务等级协议。
Enterprise SLA
适用于已经签署了订购单的 Enterprise 套餐。涵盖 REST API、MCP 服务器以及回执的签发。技术支持在营业时间内提供服务，并会在营业时间内 1 小时之内确认每一个 Enterprise 请求。各类自助式套餐都不附带任何关于正常运行时间的承诺、服务抵扣金，或者技术支持所需的响应时间。
| 每月正常运行时间 | 服务抵扣金额 |
|---|---|
| 低于 99.9%，但至少为 99.0% | 抵扣当月月费的 10% 金额 |
| 低于 99.0%，但至少为 95.0% | 抵扣当月月费的 25% 金额 |
| 低于 95.0% | 抵扣当月月费的 50% 金额 |
| 严重级别 | 含义 | 确认响应的目标时间点 |
|---|---|---|
| 严重级别 1 | 在生产环境中使用的时候，受保障的服务无法使用，或者根本无法签发任何回执。 | 营业时间内 1 小时 |
| 严重级别 2 | 某项主要功能受损或者性能下降，但存在临时解决办法。 | 营业时间内 1 小时 |
| 严重级别 3 | 一个次要问题、一个疑问或者一项请求。 | 营业时间内 1 小时 |
如果连续三个月的正常运行时间都低于 99.0%，或者在任意的十二个月之中有四个月低于该水平，那么客户就可以终止受影响的订购单，并按比例获得退款。
验证一份回执，只需要这份回执本身和一把公钥。即使我们的服务无法运行，验证也依然可以照常地进行。
事件响应流程，以及负责任的安全漏洞披露流程
当出现问题的时候，我们会作出哪些承诺，以及如何在其他任何人发现之前，把一个安全弱点及时地告诉我们。
个人数据的各类泄露事件
一旦我们知悉某起影响客户个人数据的泄露事件，我们会通过电子邮件毫无不当延迟地通知账户所有者，并且无论如何都会在 72 小时之内发出通知，内容包括目前已经了解到的情况：泄露的性质、受影响的人员和记录、可能产生的后果以及已经采取的措施。随着我们了解到更多的情况，通知的内容还会不断地进行补充。
各类服务中断事件
各类事件都会发布在状态页面之上，并附有从“调查中”到“已解决”的完整时间线。在严重级别 1 的事件发生期间，Enterprise 客户会收到一份初始的通知，并且会随着情况的变化，陆续收到各项最新的更新。
负责任的安全漏洞披露
请通过表单进行报告，您可以留下自己的联系方式，也可以匿名报告，或者通过电子邮件进行报告。依据该政策、出于善意而进行的研究是被授权的，我们不会因此对您采取任何行动。
| 步骤 | 目标时间 |
|---|---|
| 确认已经收到您的报告 | 在 3 个工作日之内完成 |
| 进行初步的评估，并确定严重级别 | 在 10 个工作日之内完成 |
| 在问题处理期间，持续地提供更新 | 至少每隔 14 天更新一次 |
| 修复严重级别以及高级别的安全问题 | 我们力争在 30 天内 |
| 修复较低级别的安全问题 | 我们力争在 90 天内 |
这些是目标，而不是保证。我们请求在公开披露之前留出 90 天的时间。我们不提供任何金钱形式的漏洞赏金；如有要求，我们会公开署名致谢研究人员。
合规方面的整体状况
目前已经具备哪些，以及哪些可以应要求提供。如果某一行对您的审查很重要，那么所链接的那份文件，才是具有约束力的正式文本。
| 项目 | 状态 | 详细说明 |
|---|---|---|
| 《数据处理附录》（DPA） | 已经具备 | 属于服务条款的一部分。在您接受条款的时候就会自动适用；不需要进行任何会签手续。 |
| 跨境的国际数据传输安排 | 已经具备 | 欧盟标准合同条款（2021/914，模块二和模块三）、英国附录以及瑞士的适配版本，均已经被纳入到《数据处理附录》之中，作为其组成部分。 |
| 第 27 条所规定的法定代表 | 已经具备 | 我们在欧洲联盟和英国所指定的法定代表，均已经列在《隐私政策》以及公司信息页面之中，供您随时进行查阅和联系。 |
| 子处理者名单的变更 | 已经具备 | 至少提前 30 天通过电子邮件以及在名单之上发出通知，并且享有提出异议，以及终止合同并获得退款的权利。 |
| 个人隐私权利的相关请求 | 已经具备 | 在 10 天内确认收到；依据《通用数据保护条例》（GDPR）和英国 GDPR 在一个月内答复，依据美国各州法律则在 45 天内答复。 |
| 安全资料包 | 已经具备 | 一份架构与安全白皮书和一份已预先填写的安全问卷，可在线阅读或下载。 |
| 安全方面的各类调查问卷 | 应要求提供 | 依据《数据处理附录》第 9 节，在 30 天内对合理的调查问卷作出书面答复。 |
| 由客户进行的审计 | 应要求提供 | 在文档不足以满足需要的时候：每年一次，需要提前 30 天发出通知，由一名受到保密义务约束的独立审计师来进行，相关的费用由客户自行承担。 |
| 我们各个子处理者所发布的合规报告 | 应要求提供 | 我们的服务提供商所公开发布的合规报告，前提是我们有权与您分享这些报告。 |
| 漏洞赏金计划 | 并不提供 | 不提供任何金钱奖励。如有要求，会公开署名致谢研究人员。 |
各类法律文件
每一份管辖本服务的文件，以及其当前版本所对应的日期。对于服务条款、《隐私政策》、《数据处理附录》以及《可接受使用政策》所作出的任何重大变更，我们都会至少提前 30 天，将其通知给所有的账户所有者，以便他们能够提前知晓。
| 文件名称 | 涵盖的主要内容 | 更新日期 |
|---|---|---|
| 服务条款的全文 | 关于网站、API、MCP 服务器以及控制台的协议：账户、各项费用、数据、各方所承担的责任，以及所适用的法律。 | |
| 隐私政策全文 | 我们会处理哪些个人数据、为什么要处理、谁会收到这些数据、会保存多长时间，以及如何行使您的各项权利。 | |
| 《数据处理附录》的全文 | 作为处理者的各项条款：子处理者、各项安全措施、数据泄露的通知、审计，以及跨境的国际数据传输。 | |
| 子处理者名单 | 每一家处理个人数据的服务提供商、它负责做什么、在哪里进行处理，以及变更是如何对外通知的。 | |
| Cookie 政策 | 我们网站上的 Cookie 以及浏览器存储、每一项的具体用途、它会持续多长时间，以及如何更改您所作出的选择。 | |
| 《可接受使用政策》 | 哪些事情不得使用本服务去做、如何执行这些规定，以及如何举报各类滥用的行为。 | |
| Enterprise SLA | 面向 Enterprise 套餐的正常运行时间承诺、服务抵扣金、事件响应的目标时间，以及在长期故障时所享有的权利。 | |
| 负责任的安全漏洞披露 | 如何报告一个安全漏洞、哪些内容属于范围之内、安全港保护，以及我们的响应目标时间。 | |
| 数字服务法 | 面向欧盟主管机关和用户的联络点、我们在欧盟的法定代表、违法内容通知，以及决定理由说明。 | |
| 欧盟数据法 | 如何切换到其他提供商、导出您的数据、我们使用的格式，以及各项服务的运行地点。 | |
| 欧盟人工智能法 | Trustvice 的哪一部分属于人工智能系统、一号如何满足透明度规则，以及适用于高风险人工智能系统的第25条第4款协议。 | |
| 撤回权 | 适用于欧盟和英国的消费者：如何在 14 天内撤回付费方案、可退还的款项，以及示范撤回表。 | |
| 回执实践声明 | 回执证明什么、如何生成、签名和标注时间，以及它不能证明什么。 | |
| 验证方条款 | 任何验证回执的人可以信赖什么、不能信赖什么，以及我们对其承担的责任。 | |
| 密钥管理 | 每个区域一把由 Trustvice 保管的 AWS KMS 签名密钥，以及已发布的密钥集。 | |
| 验证回执 | 如何使用我们的库或您自己的代码，离线自行核验一份回执。 | |
| 格式版本与长期验证 | 回执格式如何进行版本管理，以及旧回执为何能持续通过验证。 | |
| 后量子密码进展 | 当前使用的签名算法、量子计算带来的风险，以及回执为更换算法所做的设计。 | |
| 业务连续性 | 如果 Trustvice 停止运营，哪些内容仍可验证，以及如何保存您的回执。 | |
| 公司信息 · Impressum | 是谁发布了 Trustvice、这家公司是在哪里注册的，以及它在欧盟和英国所指定的法定代表。另外也提供德语的版本。 |
申请获取各类与安全相关的文档。
正在进行供应商审查吗？请告诉我们您需要什么。我们会以书面形式答复各类调查问卷，并为 Enterprise 买家详细讲解我们的整体架构。
向我们发送一份安全调查问卷
依据《数据处理附录》的规定，在 30 天内作出书面答复。请将问卷发送至 privacy@trustvice.com。
写信至 privacy@trustvice.com →Enterprise与我们的销售团队进行安全审查
适用于 Enterprise 评估：服务等级协议、数据驻留位置、自定义的保留期限，以及各类采购相关的文书。
联系销售团队 →安全问题与我们的安全团队进行沟通
有关安全模型、签名密钥或者某一项安全发现的各种问题。安全漏洞请通过我们专门的漏洞报告表单来进行提交。
联系我们的安全团队 →隐私个人隐私与数据方面的问题
各类数据主体请求、对子处理者提出的异议，以及有关《数据处理附录》的问题。
联系隐私团队 →