Datenschutzerklärung

Wer diesen Dienst betreibt. „spicyapi“ ist der Handelsname des Unternehmens, das den Dienst betreibt, und dieses Unternehmen ist Ihr Vertragspartner. „Wir“, „uns“ und „der Betreiber“ bezeichnen im Folgenden stets dieses Unternehmen.

1. Wie diese Seite zu lesen ist

Jede der unten genannten Aufbewahrungsfristen stammt aus einem Konfigurationsschlüssel oder einer Konstante des laufenden Dienstes, nicht aus einer redaktionellen Gepflogenheit. Wo eine Frist noch nicht festgelegt ist, sagt diese Seite das, statt eine plausibel klingende Zahl anzugeben.

Zwei Dinge stehen gleich am Anfang und ohne Umschweife, denn eine Datenschutzerklärung, die man zweimal lesen muss, um sie zu finden, erfüllt ihren Zweck nicht:

• Wir speichern Ihre Prompts und Ihre Ergebnisse sehr wohl. Sie werden für einen festgelegten Zeitraum aufbewahrt und danach gelöscht. Eine Plattform, die Inhalte speichert und zugleich das Gegenteil behauptet, lässt sich mit einem einzigen Screenshot ihrer eigenen Admin-Konsole widerlegen, und die ehrliche Fassung – ein festgelegtes Zeitfenster, keine Nutzung für Training und ausformulierte Ausnahmen – ist eine stärkere Zusage als ein nicht überprüfbares Dementi.
• Wir sind nicht das Ende der Kette. Ihr Prompt wird an den Anbieter übermittelt, der das von Ihnen gewählte Modell betreibt, und dieser benötigt ihn im Klartext, um ein Ergebnis zu erzeugen. Keine Zusage, die wir machen, kann stärker sein als das, was dieser Anbieter damit tut.

Der Betreiber ist der datenschutzrechtlich Verantwortliche für alles, was im Folgenden beschrieben wird, und das Unternehmen, das auf dieser Seite mit „wir“ und „uns“ gemeint ist.

Das Unternehmen ist in den Vereinigten Staaten ansässig, und der Dienst wird von dort aus betrieben. Wir haben keine Niederlassung in der Europäischen Union, daher findet das Verfahren der einzigen Anlaufstelle (One-Stop-Shop) keine Anwendung, und es gibt für uns keine federführende Aufsichtsbehörde; Sie können sich dennoch bei der Aufsichtsbehörde an Ihrem Wohnort beschweren. Alles Folgende beschreibt, was die Plattform tatsächlich tut.

2. Was wir aufzeichnen

2.1 Was Sie übermitteln und was zurückkommt

Jede Frist in dieser Tabelle ist eine Obergrenze, keine feste Laufzeit: Sie ist der längste Zeitraum, für den wir diese Daten vorhalten, und zugleich die Regel, die im Speicher selbst konfiguriert ist. Sie können eine kürzere Aufbewahrung anfordern – siehe 2.7. Eine längere können Sie nicht anfordern.

„Etwa“ steht bei erzeugten Medien mit Absicht. Der Objektspeicher entfernt abgelaufene Objekte nach seinem eigenen Zeitplan, in der Regel innerhalb von 24 Stunden nach dem Ablaufzeitpunkt. Pauschal „14 Tage“ zu schreiben, wäre eine leicht unzutreffende Aussage, deshalb tun wir es nicht. Bei einer hochgeladenen Referenz ist die Zugriffsgrenze exakt: Ihre URI wird zu dem in der Commit-Antwort angegebenen Zeitpunkt expiresAt unbrauchbar, der standardmäßig 1 Tag nach dem Commit liegt. Eine Verzögerung bei der Löschung durch Lifecycle-Regeln verlängert diese nutzbare Lebensdauer nicht.

Kurzfilmprojekte erhalten die längere Frist, weil ein Film über Tage oder Wochen entsteht: Eine Szene aus der ersten Woche muss beim Export des gesamten Films noch vorhanden sein. Sie gilt nur für Medien, die innerhalb eines Kurzfilmprojekts in Spicy Studio erzeugt wurden, und für die daraus exportierten Filme. Dasselbe Modell, über die API, den Playground oder die Canvas aufgerufen, behält die Obergrenze von 14 Tagen, und Prompt-Texte behalten in beiden Fällen ihre Obergrenze von 30 Tagen.

Ihre Asset-Bibliothek und Charaktere. Dateien, die Sie Ihrer Asset-Bibliothek oder der eines Teams hinzufügen, werden nicht für die Fristen in der Tabelle oben, sondern bis zu Ihrer Löschung aufbewahrt und sind nur über eine signierte URL erreichbar. Ein Charakter ist ein Eintrag in dieser Bibliothek: ein Name, eine optionale Notiz und eine Reihe von Bildern, die bereits Assets derselben Bibliothek sind. Diese Bilder sind die eigenen Assets der Bibliothek und keine gesonderten Kopien; das Löschen eines Charakters löscht seine Bilder nicht, dafür löschen Sie das jeweilige Asset. Der Speicherplatz wird ausschließlich auf die Stufe Ihrer Bibliothek angerechnet; für Charaktere gibt es keine eigene Grenze. Wenn Sie einem Charakter ein Foto einer realen Person hinzufügen, das Sie selbst hochgeladen haben, bestätigen Sie, dass Sie die Rechte daran besitzen und die Einwilligung dieser Person haben; wir halten fest, wann Sie diese Bestätigung abgegeben haben. Charaktere und ihre Bilder werden bis zu Ihrer Löschung aufbewahrt und zusammen mit Ihrem Konto gelöscht; Charaktere in der Bibliothek eines Teams werden gelöscht, wenn das Team geschlossen wird. Solange eine kontobezogene Aufbewahrungspflicht (Legal Hold) besteht, blendet eine Löschung die Daten nur für Sie aus, und sie bleiben bis zur Aufhebung der Pflicht erhalten. Wir scannen oder klassifizieren die Inhalte der Bibliothek nicht.

2.2 Ihr Konto

E-Mail-Adresse, Passwort-Hash, eine gegebenenfalls verknüpfte Google- oder GitHub-Identität, das bei der Registrierung ermittelte Land und der verschlüsselte Schlüssel, mit dem Webhook-Callbacks an Sie signiert werden. Wenn Sie die Mehrfaktor-Authentifizierung per TOTP aktivieren, speichern wir außerdem deren Seed verschlüsselt, bewahren Wiederherstellungscodes nur als Einweg-Hashwerte auf und erfassen Zeitstempel zu den Faktoren und ihrer Verwendung. Wiederherstellungscodes im Klartext werden nur bei ihrer Erzeugung angezeigt. Diese Konto-Zugangsdaten sind nur nutzbar, solange der betreffende Faktor und das Konto aktiviert bleiben.

Kontodaten werden aufbewahrt, solange das Konto besteht. Wenn eine sichere Kontoschließung abgeschlossen ist, werden der Anmeldezugang und verknüpfte Identitäten widerrufen, das Profil wird de-identifiziert, und es bleiben nur die Verknüpfungen und Fakten erhalten, die für den Abgleich aufbewahrter Abrechnungs-, Audit- und Sicherheitsaufzeichnungen nötig sind. Passwort-Hashes, Webhook-Schlüssel, TOTP-Seeds und die Hashwerte der Wiederherstellungscodes sind in einem Self-Service-Datenexport nie enthalten.

Das Registrierungsland wird gespeichert, weil der regionale Ausschluss in den Nutzungsbedingungen später anhand der damals tatsächlich getroffenen Entscheidung überprüfbar sein muss und nicht durch erneute Auflösung einer alten Adresse.

Einladungen. Wenn Sie sich über den Einladungslink einer anderen Person registrieren, erfassen wir, welches Konto Sie eingeladen hat, den Einladungscode und den Zeitpunkt Ihrer Registrierung. Die einladende Person sieht Sie nur als maskierte Bezeichnung – zum Beispiel jo***@g***.com oder die ersten Zeichen eines privaten Kontonamens – zusammen mit dem Tag Ihres Beitritts und der Angabe, ob Sie bezahlt haben. Ihre E-Mail-Adresse, Ihre Generierungen, die von Ihnen genutzten Modelle und Ihre Zahlungen sieht sie nie, und die Prämien, die sie erhält, werden ihr nur als Gesamtsummen über alle von ihr eingeladenen Personen angezeigt. Um den Missbrauch des Einladungsprogramms zu verhindern, vergleichen wir zwischen dem einladenden und dem eingeladenen Konto einen Einweg-Hashwert des Karten-Fingerabdrucks, den unser Zahlungsdienstleister zurückliefert, sowie die in 2.3 beschriebenen IP-Adressen; eine Übereinstimmung führt lediglich dazu, dass die Prämie zur manuellen Prüfung vorgelegt wird, und Kartennummern erhalten oder speichern wir nie. Der Vermerk, dass Sie eingeladen wurden, wird gelöscht, wenn Ihr Konto geschlossen wird, und ein Einladungscode wird gelöscht, wenn das Konto geschlossen wird, dem er gehört. Entscheidungen über Prämien sind Abrechnungsunterlagen und werden nach denselben Regeln aufbewahrt wie alle übrigen (siehe 2.6).

2.3 Sitzungen und Geräte

Jede Anmeldesitzung erfasst die IP-Adresse, den User-Agent-String des Browsers und das Land. Sicherheitsrelevante Änderungen und MFA-Ereignisse schreiben zusätzlich einen Sicherheitseintrag zum Konto, der Ereignistyp, Zeitpunkt, IP-Adresse, Browser-User-Agent und nicht geheime Metadaten enthält. Das dient dazu, ungewöhnliche Anmeldungen zu erkennen, Kontoänderungen zu untersuchen und Ihnen Ihre eigenen aktiven Sitzungen und Ihre jüngsten Sicherheitsaktivitäten anzuzeigen. Außerdem gleichen wir diese Adressen zwischen zwei durch eine Einladung verbundenen Konten ab, wie in 2.2 beschrieben, um den Missbrauch des Einladungsprogramms zu verhindern; für diesen Abgleich wird nichts Neues gespeichert.

Wir behandeln die IP-Adresse als hochsensible Information und nicht als gewöhnliche Telemetrie, denn in einem Dienst wie diesem ist sie die Verbindung zwischen einer Person und dem, was sie erzeugt hat.

Neunzig Tage nachdem ein Eintrag geschrieben wurde, ersetzt ein geplanter Job die IP-Adresse und den User-Agent-String durch einen mit einem Schlüssel gebildeten Hashwert – in Anmeldesitzungen, Sicherheitsereignissen zum Konto, Zustimmungen zu Richtlinien und im Audit-Log gleichermaßen. Das ist Pseudonymisierung, keine Anonymisierung: Der Hashwert ist stabil, sodass wir weiterhin erkennen können, dass zwei Einträge von derselben Adresse stammen, und wir behaupten nichts anderes. Die Adresse selbst ist aus dem Datensatz entfernt und lässt sich nicht wieder auslesen.

2.4 Auftragsmetadaten, deren Aufbewahrung Sie womöglich nicht erwarten

Über den Inhalt selbst hinaus enthält jeder Auftrag: Zeitangaben, den Schlüssel, mit dem er übermittelt wurde, die Referenz auf den Anbieter, an den die Anfrage weitergeleitet wurde, die eigene Auftragskennung dieses Anbieters, den Idempotenzschlüssel und die Callback-URL. Ältere Datensätze können einen Inhaltsmodus-Wert älterer Clients enthalten; er wird weder für eine Inhaltsprüfung noch für Zugriffsentscheidungen verwendet.

Diese Datensätze werden nicht gelöscht. Die Löschung nach 30 Tagen leert die Felder für Prompt und Ergebnis; der Datensatz selbst bleibt bestehen, weil er die einzige Aufzeichnung dessen ist, was berechnet wurde, und ein gelöschter Datensatz ein Konto bedeutet, das sich nicht mehr abgleichen lässt. Nach der Löschung ist ein Datensatz wenige hundert Bytes groß und enthält keinerlei Inhalte.

Zustandsübergangsereignisse und Aufzeichnungen zur Webhook-Zustellung werden nach einem Partitionsplan aufbewahrt, der sich aus einer Einstellung von 60 Tagen ableitet, mit einer Untergrenze von zwei Monaten.

2.5 Abgeleitete Signale, zeitlich unbegrenzt aufbewahrt

Bevor der Prompt gelöscht wird, wird eine kleine Menge an Signalen extrahiert und ohne zeitliche Begrenzung aufbewahrt. Sie enthält keinen Freitext: die Zeichenzahl des Prompts, sein vorherrschendes Schriftsystem (Han-Schrift, lateinische, kyrillische Schrift und so weiter – bewusst nicht seine Sprache), die Zahl der angehängten Referenzdateien und einen Digest der normalisierten Parameter, aus dem sämtlicher Freitext und alle Asset-URLs entfernt sind.

Das dient dazu, betriebliche Fragen – welche Modelle wachsen, wo sich Fehler häufen – beantworten zu können, ohne dass jemand einen Prompt liest. Zugleich wird das Lesen eines Prompts dadurch zu einem seltenen Ereignis, und erst das gibt dem Audit-Log, das es umgibt, überhaupt Aussagekraft.

Der Parameter-Digest ist eine Einweg-Zusammenfassung. Er kann uns sagen, ob zwei Aufträge denselben Parametersatz verwendet haben; er lässt sich nicht in die Werte zurückverwandeln.

2.6 Abrechnung und Audit

Einträge im Buchungsjournal (Ledger) können ausschließlich ergänzt werden: Sie werden nie geändert und nie gelöscht. Aufladeaufträge, Guthabenstände und tägliche Ausgabensummen liegen daneben. Administrative Vorgänge werden in ein Audit-Log geschrieben, dessen Einträge durch eine Hash-Kette verbunden sind.

Einträge im Buchungsjournal können ausschließlich ergänzt werden: Die Datenbankrolle, unter der der Dienst läuft, kann sie weder ändern noch löschen noch leeren, sodass sich eine Abrechnungsaufzeichnung nicht nachträglich unbemerkt ändern kann. Sie werden so lange aufbewahrt, wie es das US-amerikanische Steuer- und Rechnungslegungsrecht von uns verlangt; dieser Zeitraum bemisst sich in Jahren, und es liegt nicht in unserer Hand, ihn auf Anfrage zu verkürzen. Audit-Aufzeichnungen werden zwei Jahre lang aufbewahrt; danach wird nur ein verifizierter, lückenloser Anfangsabschnitt der Kette entfernt, sodass die Kette selbst prüfbar bleibt.

Rechnungen enthalten Ihre eigenen Angaben. Wenn Sie in der Konsole eine Rechnung oder eine Nutzungsaufstellung ausstellen, speichern und drucken wir den Rechnungsnamen, den Empfänger, die Anschrift, das Land, die Rechnungs-E-Mail-Adresse und die optionale Steuernummer genau so, wie Sie sie eingegeben haben. Die Steuernummer steht dort, damit sie auf dem Dokument erscheinen kann; sie wird für nichts anderes verwendet. Sie liefern alle diese Angaben, und wir prüfen keine davon – weder Ihre rechtliche Identität noch Ihre steuerliche Registrierung noch die Steuernummer. Ein bereits ausgestelltes Dokument behält die Angaben, die bei seiner Erstellung galten, und spätere Änderungen wirken sich nur auf neue Dokumente aus. Ausgestellte Dokumente sind Abrechnungsaufzeichnungen und werden auf derselben Grundlage aufbewahrt wie alle übrigen.

2.7 Kürzere Aufbewahrung anfordern

Die Fristen in 2.1 gelten, sofern Sie nichts anderes festlegen. In der Konsole können Sie für vier Dinge getrennt kürzere Zeitfenster einstellen, weil sie unterschiedliche Fragen beantworten:

• Erzeugte Medien und Ergebnisse – von einer Stunde bis zum Standardwert.
• Kurzfilm-Medien – von einer Stunde bis zum Standardwert von etwa 60 Tagen, für Medien aus einem Kurzfilmprojekt in Spicy Studio und die daraus exportierten Filme.
• Prompts und Freitextparameter – von einer Stunde bis zum Standardwert.
• Von Ihnen hochgeladene Referenzbilder – von einer Stunde bis zum Standardwert oder nach Verwendung zerstören; dabei wird die Datei entfernt, sobald der Auftrag, der sie verwendet hat, einen Endzustand erreicht.

Eine einzelne Anfrage kann mit dem Header X-Spicy-Retention eine kürzere Aufbewahrung anfordern als Ihre Kontoeinstellung. Sie kann die Frist nur verkürzen. Eine Anfrage kann nicht wieder einen längeren Zeitraum wählen, als das Konto zulässt, und keine der beiden Einstellungen kann die Obergrenzen in 2.1 überschreiten – wer als Administrator für eine Organisation eine Stunde festlegt, hat damit also eine Grenze gesetzt und keine Empfehlung ausgesprochen.

Wir bieten keine Möglichkeit, diese Inhalte länger aufzubewahren, und wir bezeichnen nichts davon als „Zero Retention“: Das kürzeste Zeitfenster beträgt eine Stunde, und die Inhalte werden in den Speicher geschrieben, bevor sie gelöscht werden.

2.8 Inhalte auf Wunsch zerstören

Sie können die Inhalte eines abgeschlossenen Auftrags jederzeit zerstören, in der Konsole oder über POST /api/v1/jobs/purge. Dabei werden die erzeugten Medien aus dem Objektspeicher, das gespeicherte Ergebnis und der Prompt-Text entfernt.

Das ist keine Erstattung und ändert nichts an dem, was Ihnen berechnet wurde. Die Abrechnungsaufzeichnung zu diesem Auftrag – Betrag, Zeitpunkt, Modell, Anfragekennung – wird auf der in 2.6 beschriebenen Grundlage aufbewahrt, weil sie der einzige Nachweis dafür ist, wofür Sie bezahlt haben. Das Zerstören von Inhalten entfernt die Inhalte, nicht die Belastung.

Danach wird der Auftrag als von Ihnen zerstört gekennzeichnet und nie so dargestellt, als sei er von selbst abgelaufen. Das sind zwei verschiedene Ereignisse, und wir verwischen den Unterschied nicht: Das eine ist eine unserer Regeln, die planmäßig ausgeführt wird, das andere eine Entscheidung, die Sie getroffen haben. Das Zerstören greift nicht, solange eine Beweissicherung (Legal Hold) gilt – aus demselben Grund, aus dem auch der Ablauf dann nicht greift; siehe Abschnitt 7.

2.9 E-Mails und Benachrichtigungen, die wir Ihnen senden

Wir versenden drei Arten von Nachrichten, und nur die erste lässt sich nicht abschalten.

• Konto- und Servicenachrichten – diese lassen sich nicht abschalten. E-Mails, ohne die das Konto nicht funktioniert, etwa die Bestätigung Ihrer Adresse, das Zurücksetzen des Passworts, die Bestätigung einer geänderten E-Mail-Adresse, Einladungen in einen Arbeitsbereich, Antworten auf Ihre Supportanfragen und, falls Sie sie eingerichtet haben, die Warnung bei niedrigem Guthaben. Auch Servicehinweise gehören dazu: geplante Wartungsarbeiten, ein Ausfall, der Ihre Anfragen betrifft, eine Sicherheitsangelegenheit oder eine Änderung dieser Erklärung oder der Nutzungsbedingungen, bevor sie in Kraft tritt.
• Produkt-Updates – lassen sich abschalten. Neue Modelle, Preisänderungen und Funktionen der Konsole.
• Angebote und Ankündigungen – lassen sich abschalten. Gelegentliche Aktionen.

Bei Konten, die ab dem 6. Oktober 2026 eröffnet werden, sind beide optionalen Arten von Anfang an eingeschaltet; die Registrierungsseite weist darauf hin, bevor das Konto angelegt wird. Bei früher eröffneten Konten waren sie zunächst ausgeschaltet und bleiben es, solange Sie sie nicht einschalten. In beiden Fällen finden Sie die zwei Schalter auf der Seite „Benachrichtigungen“ in der Konsole. Solange ein Schalter aus ist, erreicht Sie diese Art von Nachricht weder im Posteingang noch über die Benachrichtigungsglocke in der Konsole.

Abschalten. Ob ein Schalter von Anfang an eingeschaltet war oder Sie ihn selbst eingeschaltet haben – Sie können ihn jederzeit abschalten, auf zwei Wegen:

• Aus jeder E-Mail mit Produkt-Updates oder Angeboten. Jede endet mit einem Abmeldelink, der ohne Anmeldung funktioniert. Das Öffnen des Links allein ändert nichts: Er führt zu einer Seite, auf der Sie bestätigen – so kann ein Mailscanner, der Links in Ihrem Namen öffnet, Sie nicht versehentlich abmelden. Dort können Sie diese eine Art oder beide optionalen Arten abbestellen. E-Mail-Programme mit einer eigenen Ein-Klick-Abmeldung schicken uns diese Bestätigung direkt.
• In der Konsole, mit denselben beiden Schaltern, die in beide Richtungen funktionieren.

Wir prüfen Ihre Einstellung in dem Moment, in dem eine Nachricht für Sie erstellt wird, nicht nur bei der Planung eines Versands. Eine Änderung gilt daher für alles, was noch nicht verschickt ist; eine Nachricht, die bereits an unsere Versandwarteschlange übergeben war, bevor Sie abgeschaltet haben, kann Sie noch erreichen. Wenn Sie Ihr Konto schließen, werden beide Schalter ausgeschaltet.

Warum sich Servicenachrichten nicht abschalten lassen. Sie gehören zum Betrieb des Kontos, das Sie eröffnet haben, und dienen nicht dazu, Ihnen etwas zu verkaufen:

• Kontosicherheit. Von einem Zurücksetzen des Passworts, einer Änderung der Adresse, mit der Sie sich anmelden, oder einem Sicherheitsproblem auf der Plattform müssen Sie erfahren – auch wenn Sie nie einen Newsletter lesen würden.
• Verfügbarkeit des Dienstes. Ihr Guthaben ist im Voraus bezahlt, und womöglich ruft Software die API unbeaufsichtigt auf; Wartungsarbeiten und Ausfälle verändern, was diese Software zurückbekommt.
• Gesetzliche Pflichten. Manche Hinweise schreibt das Gesetz vor – etwa die Benachrichtigung betroffener Nutzer über eine Verletzung des Schutzes ihrer personenbezogenen Daten –, und in Abschnitt 10 verpflichten wir uns, wesentliche Änderungen dieser Erklärung anzukündigen, bevor sie in Kraft treten.

Aus demselben Grund nutzen wir einen Servicehinweis nie, um für etwas zu werben. Eine Nachricht, deren Hauptzweck der Verkauf ist, geht als Angebot hinaus – und nur an Konten, bei denen der Schalter für Angebote eingeschaltet ist.

Kein Öffnungs- oder Klick-Tracking. Diese E-Mails enthalten weder ein Tracking-Pixel noch ein Skript. Das einzige Bild darin, unser Logo, ist für alle Empfänger dieselbe Datei unter derselben Adresse; dass es geladen wird, verrät uns also nicht, wer welche Nachricht geöffnet hat. Links führen direkt zu ihrem Ziel: Wir führen sie nicht über eine Umleitung und hängen nichts an, um zu erfahren, wer geklickt hat. Wo ein Link eindeutig Ihnen zugeordnet sein muss – ein Bestätigungs-, Passwort- oder Abmeldelink –, erfüllt er genau diese eine Aufgabe und sonst keine. Wir messen nicht, ob Sie eine E-Mail geöffnet oder was Sie darin angeklickt haben.

Wer sie erhält und was wir speichern. Servicehinweise, Produkt-Updates und Angebote gehen nur an Kontoinhaber, per E-Mail nur an eine bestätigte Adresse; ein privates Konto hat keine E-Mail-Adresse, daher erscheint alles, was wir ihm senden, nur in der Konsole. Richtet sich ein Versand an einen Teil der Konten statt an alle, wählen wir sie anhand von Angaben aus, die uns ohnehin vorliegen: ob das Konto jemals aufgeladen wurde, ob es derzeit Guthaben hat, wann es angelegt wurde, wann es zuletzt angemeldet war oder einen Auftrag eingereicht hat oder – wenn wir bestimmte Personen anschreiben – seine E-Mail-Adresse. Ihre Prompts, Uploads und Ergebnisse werden nie herangezogen, um zu entscheiden, was wir Ihnen senden.

Wir speichern Ihre beiden Schalter und den Zeitpunkt, zu dem Ihre E-Mail-Einstellungen zuletzt geändert wurden. Für jeden Servicehinweis, jedes Produkt-Update und jedes Angebot, das an Sie geht, vermerken wir, um welchen Versand es sich handelte, an welche Adresse die Nachricht ging, ob sie zugestellt wurde, fehlschlug oder übersprungen wurde – und warum, etwa weil der Schalter inzwischen aus war – und wann Sie sich über sie abgemeldet haben. E-Mails mit Produkt-Updates und Angeboten nennen außerdem unsere Postanschrift und den Schalter, unter dem sie verschickt wurden. Der Abmeldelink enthält einen Zufallscode, von dem wir nur einen Einweg-Hash speichern, und die für Sie erstellte Fassung der E-Mail wird aus unserer Versandwarteschlange gelöscht, sobald sie zugestellt oder endgültig aufgegeben wurde. Für diese Zustellaufzeichnungen gibt es noch keine eigene Aufbewahrungsfrist; wie in Abschnitt 1 beschrieben, sagen wir das, statt eine Zahl zu nennen, und diese Seite wird angepasst, sobald eine festgelegt ist.

2.10 Fehlerberichte aus Ihrem Browser

Wenn auf einer Seite dieser Website in Ihrem Browser ein Fehler auftritt, sendet die Seite uns einen kurzen Diagnosebericht, damit wir die Ursache finden und beheben können. Ein Bericht enthält nur: die Art des Fehlers und eine gekürzte Fassung der Fehlermeldung, aus der Webadressen, Abfrageparameter, E-Mail-Adressen, Tokens und Kennungen entfernt sind; die Namen der Codedateien und die Zeilenpositionen, an denen der Fehler aufgetreten ist; die betroffene Seite als Routenmuster, ohne Abfrageparameter und mit Platzhaltern anstelle von Kennungen; die Browserfamilie und ob es sich um ein Smartphone oder einen Computer handelt; die Sprache der Seite; die Version der Website; und ob die Seite offenbar maschinell übersetzt oder von einer Browsererweiterung verändert wurde.

Ein Bericht enthält niemals Ihre IP-Adresse, Ihr Konto, Cookies, Prompts, Seiteninhalte oder die vollständige Adresse der Seite, und wir speichern daneben nichts, was ihn mit Ihnen oder mit einem anderen Datensatz bei uns verbinden würde. Eine Seite sendet höchstens fünf Berichte, ein Browser-Tab höchstens zwanzig; dafür führt die Seite im Sitzungsspeicher Ihres Browsers einen bloßen Zähler, der beim Schließen des Tabs gelöscht wird. Automatisierte Browser und Crawler von Suchmaschinen senden keine Berichte. Die Berichte werden bei dem Infrastrukturanbieter gespeichert, der diese Website ohnehin ausliefert (siehe Abschnitt 5), und nach drei Monaten automatisch gelöscht.

3. Was wir nicht tun

• Wir verwenden Ihre Prompts, Uploads oder Ergebnisse nicht zum Training von Modellen, und wir werden damit nicht beginnen, ohne Sie gesondert und ausdrücklich zu fragen. Das bindet unsere eigenen Systeme. Was der Anbieter, der eine Anfrage ausführt, mit dieser Eingabe tun darf, legen Bedingungen fest, die nicht wir schreiben; Abschnitt 5 erläutert diese Obergrenze.
• Wir setzen keine Werbeskripte und kein websiteübergreifendes Tracking ein. Wir verwenden Google Analytics zur Messung der Besucherzahlen dieser Website, und es läuft für alle Besucher. Werbefunktionen, die Personalisierung von Anzeigen und Google Signals sind vollständig deaktiviert – nicht bloß ungenutzt –, sodass sich aus der Messung keine Werbezielgruppe bilden lässt. Wir übermitteln niemals Ihre Kontokennung, Ihre E-Mail-Adresse, Ihre Prompts oder Ihre Ergebnisse dorthin.
• Wir verkaufen oder vermieten keine personenbezogenen Daten.
• Wir behaupten keine Ende-zu-Ende-Verschlüsselung, und wir erklären lieber, warum, als uns den Begriff auszuleihen. Der Anbieter des Modells benötigt Ihren Prompt im Klartext, um ein Ergebnis zu erzeugen; daher kann kein Aufbau, bei dem wir Ihre Anfrage weitergeben, Ihre Inhalte für alle außer Ihnen unlesbar machen. Wer Ihnen eine Inferenz-API mit dieser Beschreibung verkauft, beschreibt etwas anderes.

4. Cookies

Zwei Cookies sind unbedingt erforderlich: Eines hält Sie angemeldet, das andere schützt Formulare vor Cross-Site-Request-Forgery (websiteübergreifender Anfragefälschung). Keines davon kann abgelehnt werden, weil die Website ihre Aufgabe ohne sie nicht erfüllen kann.

Einladungslinks. Wenn Sie einen Link mit einem Einladungscode öffnen, speichert die Website diesen Code bis zu 30 Tage lang in einem Erstanbieter-Cookie (spicy_ref), damit er zugeordnet werden kann, falls Sie ein Konto anlegen. Registrieren Sie sich anschließend über Google oder GitHub, wird der Code in einem zweiten Cookie mit zehn Minuten Laufzeit durch diese Anmeldung getragen. Beide enthalten ausschließlich den Code, werden nie für Analyse oder Werbung verwendet und entfernt, sobald Sie sich registrieren oder anmelden.

Analyse-Cookies sind davon getrennt. Google Analytics läuft für alle Besucher dieser Website und setzt ein eigenes Mess-Cookie, um einen wiederholten Besuch von einem neuen zu unterscheiden; der Hinweis bei Ihrem ersten Besuch sagt Ihnen das. Auf der Website gibt es keinen Schalter, der es abschaltet. Wenn Sie nicht gemessen werden möchten, installieren Sie das Browser-Add-on zur Deaktivierung von Google Analytics, das Google selbst anbietet – es unterbindet die Messung vollständig. Blockieren Sie nur die Cookies dieser Website in Ihrem Browser, erkennt Google Analytics einen wiederholten Besuch nicht mehr; die aufgerufenen Seiten werden aber weiterhin gezählt. Werbe- oder Profiling-Cookies gibt es nicht.

In der Produktionsumgebung tragen beide Cookies das Präfix __Host-. Dieses Präfix ist eine verbindliche Browserregel und keine bloße Konvention: Es erzwingt Secure, erzwingt Path=/ und verbietet ein Domain-Attribut – so kann kein anderer Host unter der Domain ein Cookie schreiben, das unser Ursprung lesen würde. Außerdem schließt es eine ganze Klasse von Session-Fixation-Angriffen aus. Über einfaches HTTP in der lokalen Entwicklung würde der Browser ein __Host--Cookie rundweg ablehnen, deshalb greifen Entwicklungs-Builds auf den Namen ohne Präfix zurück; die Produktionsumgebung tut das nicht.

5. Wer Ihre Daten außerdem verarbeitet

Der Anbieter des Modells setzt jeder Zusage auf dieser Seite die Obergrenze. Wir können uns zu dem verpflichten, was innerhalb unserer eigenen Systeme geschieht. Für einen Anbieter, dessen Bedingungen wir nicht schreiben, können wir keine Verpflichtung eingehen. Einige Anbieter in diesem Markt behalten sich das Recht vor, mit Eingaben zu trainieren; manche äußern sich dazu überhaupt nicht, was nicht dasselbe ist wie eine Verneinung.

Wenn Stripe eingerichtet ist und Sie die Einrichtung einer Karte oder eine Aufladung wählen, wird die Zahlungsseite von Stripe gehostet. Bei privaten Konten übermitteln wir keine E-Mail-Adresse. Wir speichern die opaken Kunden-, Zahlungsmethoden-, Einrichtungs- und Transaktionsreferenzen von Stripe; eine maskierte Bezeichnung der Zahlungsmethode; einen Einweg-Hashwert des von Stripe zurückgelieferten Karten-Fingerabdrucks, der ausschließlich dazu dient, im Einladungsprogramm dieselbe Karte auf mehreren Konten wiederzuerkennen; Ihre Einstellungen zur automatischen Aufladung und den Stand Ihrer Einwilligung; Beträge, Status, Zeitstempel und Idempotenzreferenzen. Die vollständige Kartennummer und Online-Banking-Zugangsdaten erhalten und speichern wir nicht. Bei manueller Aufladung speichern wir die ID des Aufladeauftrags, den Betrag, den Status, Zeitstempel und die externe Zahlungsreferenz, die für den Abgleich verwendet wird.

6. Grenzüberschreitende Übermittlungen

Der Dienst wird für ein weltweites Entwicklerpublikum betrieben, und die in Abschnitt 5 genannten Stellen sind weltweit tätig. Ihre Daten werden außerhalb des Landes verarbeitet, in dem Sie sich befinden.

Wir sind in den Vereinigten Staaten ansässig. Wenn personenbezogene Daten den Europäischen Wirtschaftsraum, das Vereinigte Königreich oder die Schweiz verlassen, stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission zusammen mit dem britischen Addendum dazu. Das ist eine rechtliche Schutzmaßnahme, keine technische: Sie bindet den Empfänger, ändert aber nichts an der oben genannten Tatsache, dass Ihr Prompt den Anbieter des von Ihnen gewählten Modells im Klartext erreicht.

7. Löschung, Beweissicherung und Backups

Wenn die 30-Tage-Grenze erreicht ist, leert ein Wartungsjob die Prompt- und Ergebnisfelder abgelaufener Aufträge. Zwei Sicherungen sind in diesen Job selbst eingebaut und nicht in den Deployment-Zeitplan:

• Ein Auftrag, dessen abgeleitete Signale noch nicht extrahiert wurden, wird nie geleert. Stockt die Extraktion, stockt auch die Löschung – die Alternative wäre eine dauerhafte Lücke in den Daten, die sich nicht mehr schließen lässt.
• Ein Auftrag, für den eine Beweissicherung (Legal Hold) gilt, wird nie geleert. Beweissicherungen wirken nur verlängernd: Sie lassen Daten länger bestehen und können nie dazu führen, dass sie früher verschwinden. Jede Beweissicherung wird überprüft, und eine, die länger als 90 Tage offen bleibt, wird markiert, denn eine Tabelle voller unbefristeter Beweissicherungen hebt die Aufbewahrungsrichtlinie stillschweigend auf, während auf der öffentlichen Seite weiterhin 30 Tage stehen.

Beweissicherungen gibt es, weil Streitigkeiten die Aufbewahrungsfrist überdauern. Eine Kartenrückbuchung (Chargeback) kann Monate nach dem Auftrag eintreffen, und genau dann brauchen wir die Aufzeichnung, die wir sonst gelöscht hätten.

Backups. Datenbank-Backups werden 35 Tage lang aufbewahrt. Daten, die Sie gelöscht haben, bleiben in diesen verschlüsselten Backups erhalten, bis diese turnusmäßig ersetzt werden. In diesem Zeitraum werden sie für nichts verwendet und von jeder Wiederherstellung ausgenommen.

8. Ihre Rechte

Je nach Wohnort haben Sie möglicherweise das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit sowie das Recht, sich bei einer Aufsichtsbehörde zu beschweren.

Drei ehrliche Einschränkungen, vorab genannt:

• Das Buchungsjournal ist nicht löschbar. Finanzaufzeichnungen werden nach Steuer- und Rechnungslegungsrecht aufbewahrt; ein Löschantrag erfasst sie nicht.
• Eine Beweissicherung hat Vorrang vor einem Löschantrag, und zwar für die von ihr erfassten Daten und solange sie gilt.
• Die Löschung erfolgt nicht sofort. Der Objektspeicher entfernt abgelaufene Objekte nach seinem eigenen Zeitplan, und Backups werden über 35 Tage hinweg turnusmäßig ersetzt.

Nach einer aktuellen Sicherheitsprüfung bietet die Konsole einen Self-Service-Export im JSON-Format mit Ihrem Profil, Ihren eigenen Mitgliedschaften in Arbeitsbereichen, Metadaten der API-Schlüssel ohne geheime Werte, Auftragsdaten im derzeit aufbewahrten Umfang, Support-Unterhaltungen, abonnierten Modellen und Einstellungen sowie Abrechnungsaufzeichnungen einschließlich der Einstellungen zur automatischen Aufladung ohne Zahlungszugangsdaten. Nicht enthalten sind Passwort- oder Schlüsselmaterial, MFA-Seeds oder Wiederherstellungscodes, interne Aufzeichnungen zur Weiterleitung an Anbieter sowie Mediendateien. Für Medien gelten weiterhin die oben genannten Aufbewahrungsfristen.

Die Kontoschließung im Self-Service erfordert eine aktuelle Identitätsprüfung: Ihr aktuelles Passwort oder, wenn Ihr Konto kein Passwort hat, ein Einmalcode, der an die E-Mail-Adresse Ihres Kontos gesendet wird. Sie bricht keinen angenommenen Auftrag ab und ist blockiert, solange Aufträge laufen oder nicht abgerechnet sind, solange eine Aufladungszahlung noch verarbeitet wird, solange auf dem Konto Geld geschuldet wird oder solange ein Team-Arbeitsbereich noch einen Eigentümer benötigt. Ein blockierter Antrag wird mit einem Status erfasst, aus dem hervorgeht, was zu tun ist, statt als abgeschlossen gemeldet zu werden. Ist die Schließung gefahrlos möglich, werden Sitzungen und API-Schlüssel widerrufen, das Profil wird de-identifiziert, und Auftragsinhalte werden geleert, sofern keine aktive Beweissicherung gilt. Finanz-, Audit- und Sicherheitsfakten sowie die für den Abgleich mindestens erforderlichen Fakten bleiben im Rahmen der oben genannten Einschränkungen erhalten; die Konsole beschreibt dieses Ergebnis nicht als physische Löschung.

Eine Anfrage, die sich nicht über die Konsole erledigen lässt, geht an support@spicyapi.ai und wird von einem Menschen geprüft. Wir antworten unverzüglich und innerhalb der Frist, die das für Sie geltende Recht dafür vorsieht.

9. Kinder

Der Dienst richtet sich an Erwachsene. Sie müssen mindestens 18 Jahre alt sein, um ein Konto zu führen, und wir erheben nicht wissentlich Daten von Personen unter diesem Alter. Wenn Sie glauben, dass wir Daten über eine minderjährige Person besitzen, teilen Sie uns das unter support@spicyapi.ai mit, und wir entfernen sie – es sei denn, sie stehen im Zusammenhang mit mutmaßlichen Darstellungen sexuellen Kindesmissbrauchs; solche Daten müssen wir von Gesetzes wegen sichern und melden, statt sie zu löschen.

10. Änderungen

Wesentliche Änderungen werden angekündigt, bevor sie in Kraft treten. Da Aufbewahrungsfristen aus der laufenden Konfiguration gelesen werden, ändert eine Änderung an einer von ihnen, was diese Seite aussagt – daher wird jede solche Änderung als Änderung dieser Erklärung behandelt und auf dieselbe Weise angekündigt.

11. Kontakt

support@spicyapi.ai – für Datenschutzfragen ebenso wie für Meldungen unzulässiger Inhalte. Die Meldeseite erläutert den zweiten Fall.