A Intramedial decide o que os agentes podem fazer e mantém o registro. Esta página expõe como isso funciona, o que é fixado e onde, e o que ainda não publicamos. Ela não alega nenhuma certificação. Cada afirmação tem link para o documento ou a fonte por trás dela.
Operado por Avonao, Inc., Delaware
Passe ações de agentes, hashes de conteúdo, checagens de API, DNS, webhooks, chamadas de LLM e commits git pela Intramedial. Receba um recibo assinado que todos verificam – sem confiar em nós.
© 2026 Intramedial. Todos os direitos reservados. A Intramedial é um produto da Trustvice. Secured and supercharged by Avonao Labs.
Denunciar abusoToda chamada segue o mesmo caminho. As credenciais são checadas na porta de entrada, o trabalho é feito e guardado na região do próprio workspace, e a assinatura vem de um HSM que nunca libera sua chave.
A porta de entrada liga a credencial a um só workspace antes de rodar código de tool. Segredos são guardados e comparados como hashes SHA-256, em tempo constante.
O workspace e as permissões seguem ao serviço regional em headers assinados pelos nossos próprios serviços. Sem assinatura válida, o serviço recusa a requisição.
Nas tools de relay e monitor, o serviço regional faz a requisição pelo filtro de saída; nas demais, registra os fatos que você reporta. Corpos viram hash, não são guardados.
O envelope é canonicalizado com RFC 8785 e assinado no AWS KMS com a chave Ed25519 da região. Sem chave, o serviço recusa em vez de assinar com outra.
O recibo traz o id da chave dentro dos bytes assinados. Quem tem o recibo e a chave pública o confere sem nós, enquanto a chave seguir publicada.
Um recibo é uma afirmação precisa e estreita. Leia as duas colunas antes de confiar em um, e antes de pedir que outro confie.
A verificação é independente. A confiança cabe numa lista curta e nomeada.
| Você confia | Motivo | Se falhar |
|---|---|---|
| A chave pública usada na verificação é nossa | Uma assinatura prova quem detém uma chave, não de quem ela é. | Uma chave trocada faz fraudes parecerem válidas. Fixe o key id por outro canal. |
| Nossas chaves só são usadas pelo serviço de recibos | O serviço assina o que seu código decide assinar. | Mal usada, a chave poderia assinar eventos inexistentes. |
| Observamos honestamente nas tools observadas | As linhas do livro-razão dizem que o plano viu isto. | Um plano comprometido poderia gravar uma linha falsa no livro-razão. |
| O relógio | issuedAt é a hora do servidor ao assinar. | Um relógio errado dá um issuedAt errado. |
Sete chaves Ed25519, uma por jurisdição de assinatura, são compartilhadas por todos os workspaces. As metades públicas são publicadas abertamente; as privadas são criadas e guardadas no AWS Key Management Service.
| Endereço | Conteúdo |
|---|---|
https://intramedial.com/.well-known/ledger-bundles-keys.json | O conjunto JWK (redireciona à rota da API) |
https://ledger-bundles.api.intramedial.com/.well-known/ledger-bundles-keys.json | O conjunto JWK direto, cache de uma hora, aberto a qualquer origem |
/api/v1/ledger-bundles/anchors | Cada chave publicada com uma flag active |
/api/v1/ledger-bundles/snapshot | Uma chave pública por key id |
Verificável
curl -sSL https://ledger-bundles.api.intramedial.com/.well-known/ledger-bundles-keys.json -o keys.json
jq -r '.keys[] | [.kid, .jurisdiction] | @tsv' keys.json
// kid = 16 primeiros bytes do SHA-256 da chave crua, base64urlPara a posição mais forte, obtenha a chave uma vez, guarde seus valores kid e x no seu próprio repositório e verifique contra essa cópia. /docs/ledger-bundles-snapshot
Toda requisição traz uma credencial que o gateway liga a um único workspace antes de rodar qualquer tool. Veja como credenciais, tenancy e requisições de saída são tratadas hoje.
Chaves de API, tokens de acesso pessoal e tokens de sessão são guardados como hashes SHA-256, exibidos uma vez e comparados em tempo constante. As chaves expiram após 30 dias, 90 dias, um ano ou nunca, e giram com carência de 0 a 60 minutos.
O login passa pelo Avonao ID. A duração da sessão, o tempo limite de inatividade e as configurações de cookies ainda não estão publicados aqui, então não são declarados. Não conte com nada além do que a página de login mostra.
Escopos de leitura, escrita e gestão, restritos a tools nomeadas se quiser. Emitir recibo exige a permissão tools.attest, e o papel de auditor não pode criar recibos. As checagens falham fechadas.
Quem decide o workspace é o gateway, não quem chama. Toda leitura e escrita leva o id do workspace, e um corpo que cita outro workspace é recusado. A separação é lógica, num banco regional.
Destinos em localhost, nomes internos e faixas privadas ou reservadas são recusados, no envio e antes de cada checagem agendada. Redirects nunca são seguidos; tempo e tamanho têm limite.
600 requisições por minuto por IP e 1.200 por conta no gateway. A detecção no agent.call sinaliza padrões de varredura ou credential stuffing para revisão humana; nunca suspende sozinha.
Limites declarados: o filtro de saída lê a URL como texto e não resolve hostnames; a segunda camada é que o serviço roda na rede da Cloudflare, que não tem rota para espaço de endereços privado. Listas de IPs permitidos falham abertas se não puderem ser lidas, para que uma falha do banco não tranque clientes fora.
O serviço foi feito para guardar o mínimo possível. Na atestação recebe um hash, nunca o documento; nas chamadas via relay gera hash dos corpos e não os guarda.
Você calcula um SHA-256 e o envia. Nunca recebemos o texto do documento, do prompt ou da resposta.
Corpos e headers repassados passam e viram hash. Corpos de resposta só são guardados se você ativar a retenção.
Triggers do banco recusam edições, e um hash de cada recibo também é arquivado em armazenamento de gravação única (S3 Object Lock) durante a janela do plano. Só rotas auditadas podem ocultar ou apagar; cada uma grava evento de auditoria.
URLs, rótulos e autores de commit ficam em texto claro no recibo. Não ponha ali nada que não mostraria a quem o lê.
Recibos, watches, contadores de cota, processamento de requisições via relay e assinatura rodam na região escolhida na criação do workspace. O painel, o site, o login, a cobrança e os dados de conta são servidos a partir dos EUA (US West) em todos os casos.
| Região | Código | Chave de assinatura KMS | Storage |
|---|---|---|---|
| EUA Oeste | wnam | us-west. | Dica de local |
| Europa Central | weur | eu. | Jurisdição UE (aplicada) |
| Asia-Pacific | apac | asia. | Dica de local |
| Oceania | oc | oc. | Dica de local |
Uma região diz onde os dados são guardados e processados. Um workspace nunca muda de região, e uma região inacessível falha a chamada em vez de recorrer a outra.
Os dados trafegam por TLS entre você e o serviço e são guardados no nosso provedor de infraestrutura, a Cloudflare, sob os termos de segurança dela. Os recibos são assinados, então qualquer mudança na evidência guardada é detectável por quem a verifica.
A exclusão da conta vale após 30 dias de carência, em que você pode exportar e restaurar. O job de exclusão não remove recibos; eles expiram pela janela do plano, ou você os apaga, ou nos pede. Um recibo que você já entregou a alguém segue verificável por essa pessoa, faça o que fizermos.
Dados e privacidadeLocais de dadosRetenção e exclusãoSubprocessadores
O status é medido, não escrito à mão. Níveis de serviço são cláusula contratual para clientes Enterprise, e a verificação nunca depende de estarmos no ar.
Para planos Enterprise com formulário de pedido assinado, o SLA Enterprise define os termos. O suporte funciona em horário comercial e confirma o recebimento das solicitações Enterprise em 1 hora útil, 4 horas úteis ou 1 dia útil conforme a gravidade. Os planos de autosserviço não têm compromisso de disponibilidade nem créditos de serviço; suas metas de resposta do suporte estão na página de preços.
| Uptime mensal | Crédito de SLA |
|---|---|
| Sob 99,9%, ao menos 99,0% | 10% da mensalidade |
| Sob 99,0%, ao menos 95,0% | 25% da mensalidade |
| Sob 95,0% | 50% da mensalidade |
| Severidade | Sentido | Meta de confirmação |
|---|---|---|
| Severidade 1 | Serviço coberto indisponível, ou recibos não podem ser emitidos, para uso em produção. | 1 hora útil |
| Severidade 2 | Recurso importante prejudicado ou degradado, com contorno. | 4 horas úteis |
| Severidade 3 | Problema menor, dúvida ou pedido. | 1 dia útil |
Se o uptime ficar abaixo de 99,0% em três meses seguidos, ou em quaisquer quatro de doze, o cliente pode rescindir o pedido afetado com reembolso proporcional.
Verificar um recibo exige só o recibo e uma chave pública. Segue funcionando quando nosso serviço não funciona.
O que assumimos quando algo dá errado, e como nos avisar de uma fraqueza antes que outra pessoa a encontre.
Avisamos o titular da conta por e-mail sem demora indevida e, em qualquer caso, em até 72 horas após tomarmos ciência de uma violação que afete dados pessoais de clientes, com o que se sabe: sua natureza, as pessoas e registros afetados, as consequências prováveis e as medidas tomadas. O aviso é complementado conforme soubermos mais.
Incidentes são publicados na página de status com uma linha do tempo de Investigating a Resolved. Num incidente de Severidade 1, clientes Enterprise recebem um aviso inicial e atualizações conforme a situação muda.
Reporte pelo formulário, com seus dados de contato ou de forma anônima, ou por e-mail. Pesquisa de boa-fé conforme a política é autorizada, e não tomaremos medidas contra você por ela.
| Etapa | Meta |
|---|---|
| Confirmar seu relato | Em até 3 dias úteis |
| Avaliação inicial e severidade | Em até 10 dias úteis |
| Atualizações com a falha em aberto | Ao menos a cada 14 dias |
| Corrigir severidade crítica e alta | Miramos 30 dias |
| Corrigir severidade menor | Miramos 90 dias |
Metas, não garantias. Pedimos 90 dias antes da divulgação pública. Não há bug bounty em dinheiro; creditamos pesquisadores pelo nome, a pedido.
O que existe hoje e o que está disponível a pedido. Se uma linha importa para sua revisão, o documento linkado é o texto vinculante.
| Item | Estado | Detalhe |
|---|---|---|
| Adendo de Dados (DPA) | Não alegado | Parte dos Termos. Vale automaticamente no aceite; não precisa de contra-assinatura. |
| Transferência ao exterior | Não alegado | Cláusulas Contratuais-Tipo da UE (2021/914, Módulos Dois e Três), o UK Addendum e a adaptação suíça, incorporados ao DPA. |
| Representantes do Artigo 27 | Não alegado | Representantes nomeados na União Europeia e no Reino Unido, listados na Política de Privacidade e no Expediente. |
| Troca de subprocessador | Não alegado | Aviso de ao menos 30 dias por e-mail e na lista, com direito de objeção e de rescisão com reembolso. |
| Pedidos de privacidade | Não alegado | Recebimento confirmado em até 10 dias; resposta em até um mês pelo GDPR e pelo UK GDPR, ou 45 dias pelas leis estaduais dos EUA. |
| Pacote de segurança | Em vigor | Um whitepaper de arquitetura e segurança e um questionário de segurança pré-preenchido, para ler online ou baixar. |
| Questionário de segurança | Não alegado | Respostas por escrito a um questionário razoável em até 30 dias, conforme o §9 do DPA. |
| Cliente audita | Não alegado | Quando a documentação não basta: uma vez por ano, com 30 dias de aviso, por auditor independente sob sigilo, às custas do cliente. |
| Relatórios dos subprocessadores | Não alegado | Relatórios públicos de compliance dos provedores, se temos direito de repassá-los. |
| Bug bounty | Não oferecido | Sem prêmio em dinheiro; creditamos pesquisadores a pedido. |
Cada documento que rege o serviço, com a data da versão atual. Mudanças relevantes nos Termos, na Política de Privacidade, no DPA e na Política de Uso Aceitável são anunciadas aos titulares de conta com ao menos 30 dias de antecedência.
| Documento | O que cobre | Atualizado |
|---|---|---|
| Termos de Serviço | O contrato do site, da API, do servidor MCP e do painel: contas, tarifas, dados, responsabilidade e lei aplicável. | |
| Privacidade | Que dados pessoais tratamos, por quê, quem os recebe, por quanto tempo ficam e como exercer seus direitos. | |
| Adendo de Dados (DPA) | Termos de operador: subprocessadores, segurança, aviso de violação, auditorias e transferências internacionais. | |
| Subprocessadores | Cada provedor que trata dados pessoais, o que faz, onde, e como as mudanças são anunciadas. | |
| Uso de cookies | Cookies e armazenamento do navegador nos nossos sites, para que serve cada um, quanto dura e como mudar sua escolha. | |
| Regras de Uso Aceitável | O que não se pode fazer com o serviço, como isso é aplicado e como denunciar abuso. | |
| Divulgação responsável | Como reportar vulnerabilidades, o que está no escopo, safe harbor e nossas metas de resposta. | |
| Regulamento dos Serviços Digitais | Pontos de contato para autoridades e usuários da UE, nosso representante legal na UE, notificações de conteúdo ilegal e fundamentação das decisões. | |
| Regulamento de Dados da UE | Mudar para outro provedor, exportar seus dados, os formatos que usamos e onde cada serviço roda. | |
| Regulamento de IA da UE | Como o EU AI Act se aplica à Intramedial e aos seus evidence packs, conforme o documento o declara. Os packs mapeiam controles e nunca certificam. | |
| Direito de arrependimento | Para consumidores na UE e no Reino Unido: desistir de um plano pago em 14 dias, o que você recebe de volta e o formulário modelo. | |
| Expediente · Impressum | Quem publica o site, onde a empresa está registrada e seus representantes, conforme o documento declara. Também em alemão. |
Está fazendo uma avaliação de fornecedor? Conte-nos o que você precisa. Respondemos questionários por escrito e dizemos com clareza quando algo ainda não foi publicado.
Respostas por escrito em até 30 dias, como o DPA estabelece. Envie para privacy@intramedial.com.
E-mail privacy@intramedial.com →EnterprisePara uma avaliação Enterprise: o SLA, residência de dados, retenção sob medida e a papelada de compras.
Fale com vendas →SegurançaDúvidas sobre o modelo de segurança, chaves de assinatura ou um achado. Vulnerabilidades vão pelo formulário.
Contatar segurança →DadosPedidos de titulares de dados, objeções a subprocessadores e dúvidas sobre o DPA.
Contatar a equipe →Vendo a Intramedial usada contra os seus sistemas? Denuncie o abuso →
