Trust Center

Klare Kontrollen. Eindeutige Grenzen. Keine geliehenen Gütesiegel.

Diese Seite beschreibt die heute belegbaren Produktkontrollen und Aussagen, die wir bewusst nicht machen. Anbieterlogo, elegante Oberfläche oder Schlosssymbol belegen keine Zertifizierung; fehlt ein öffentlicher Nachweis, sagen wir das.

Datenschutzhinweis Richtlinie zur zulässigen Nutzung

Unsere Haltung

Vertrauen beginnt mit einer überprüfbaren Aussage.

SpicyAPI zeigt zu jedem Modell die unterstützten Eingaben, die aktuelle Verfügbarkeit, den Preis und die Richtliniengrenzen. Das Modell wählen Sie selbst, und jeder angenommene Auftrag bekommt eine nachvollziehbare Kennung. Geplante Kontrollen geben wir nicht als abgeschlossene Audits aus, und die Zertifizierung eines Dritten nicht als unsere eigene.

Was mit Ihren Eingaben passiert

Ihre Prompts und Ergebnisse werden niemals zu unseren Trainingsdaten.

Wir speichern sie – für eine Frist, die endet. Das Gegenteil zu behaupten, widerlegt ein einziger Screenshot unserer eigenen Verwaltungsoberfläche. Deshalb steht hier die überprüfbare Fassung: was aufbewahrt wird, wozu es dient und welche einzige Grenze sich technisch nicht wegkonstruieren lässt.

Datenschutzerklärung lesen

Aufbewahrt, dann gelöscht: Prompts, Freitextparameter und Ergebnisverweise liegen 30 Tage im Aufgabendatensatz, danach werden diese Felder geleert. Die Zeile bleibt, denn sie ist der einzige Nachweis darüber, was abgerechnet wurde. Nach dem Löschen sind es einige hundert Byte ohne jeden Inhalt.
Keine Trainingsdaten, kein Weiterverkauf: SpicyAPI nutzt Ihre Prompts, Uploads und Ergebnisse nicht, um ein Modell zu trainieren, und wir beginnen damit nicht, ohne Sie vorher gesondert und ausdrücklich zu fragen. Personenbezogene Daten verkaufen oder vermieten wir nicht. Außerhalb unserer eigenen Systeme verarbeitet der Modelldienst, der Ihre Anfrage ausführt, diese Eingabe nach seinen eigenen Bedingungen – diese Grenze beschreibt die Datenschutzerklärung; zusagen können wir sie nicht an seiner Stelle.
Keine Werbung, kein seitenübergreifendes Tracking: Es gibt drei Cookies: Eines hält Sie angemeldet, eines schützt Formulare vor Cross-Site-Request-Forgery, und eines von Google Analytics misst die Besucherzahlen der Website. Dessen Werbefunktionen und Google Signals sind abgeschaltet, und es erhält nie Ihr Konto, Ihre Prompts oder Ihre Ergebnisse.
Kennzahlen statt Freitext: Bevor ein Prompt gelöscht wird, behalten wir einige Kennzahlen dazu: Zeichenzahl, Schriftsystem, Anzahl der angehängten Referenzdateien und eine Einwegprüfsumme der Parameter. Freitext ist darin nicht enthalten, und aus der Prüfsumme lassen sich die Werte nicht zurückrechnen.

Die Grenze, die wir nicht schönreden

Um ein Ergebnis zu erzeugen, braucht der Modelldienst, der Ihre Anfrage ausführt, den Prompt im Klartext. Solange wir die Anfrage weiterreichen, kann keine Architektur den Inhalt für alle außer Ihnen unlesbar machen. Deshalb behaupten wir keine Ende-zu-Ende-Verschlüsselung und geben keine Zusagen zu Bedingungen ab, die wir nicht selbst geschrieben haben.

Aufbewahrung

Jede Datenart hat eine Uhr. Drei davon stellen Sie.

Die Fristen unten sind Obergrenzen, aus der laufenden Konfiguration gelesen und nicht aus einer Dokumentvorlage. Erzeugte Dateien, Prompt-Texte und hochgeladene Referenzen lassen sich jeweils kürzer stellen als der Wert in der Tabelle – nie länger, denn das sind die Zahlen, die die Speicherregeln selbst durchsetzen. Eine gesetzliche Aufbewahrungssperre kann einen Datensatz länger leben lassen; früher verschwinden lässt ihn nur Ihre eigene Einstellung.

Bis zu 30 Tage

Prompts und Ergebnisverweise

Ein Wartungslauf leert beide Felder im Aufgabendatensatz. Stellen Sie die Uhr kürzer, arbeitet derselbe Lauf auf Ihr Datum hin. So oder so stecken zwei Sperren darin: Eine Aufgabe unter Aufbewahrungssperre wird nie geleert, und eine Aufgabe, deren Nutzungskennzahlen noch nicht ausgelesen sind, ebenso wenig.

Bis zu rund 14 Tage

Erzeugte Bilder, Videos und Audiodateien

Der Speicher entfernt abgelaufene Objekte nach eigenem Zeitplan, gewöhnlich innerhalb eines Tages nach Ablauf. Kürzere Einstellungen übernimmt unser Bereinigungslauf, der normalerweise innerhalb weniger Minuten ausgeführt wird. Die genannte Frist bleibt eine ungefähre Angabe und keine Zusage einer sekundengenauen Löschung.

Bis zu 1 Tag

Hochgeladene Referenzdateien

Die Upload-URI funktioniert nach Ablauf nicht mehr. Das Löschen des Objekts kann bis zu 24 Stunden später folgen, und diese Verzögerung verlängert die Nutzungsdauer nicht. Stellen Sie Uploads so ein, dass sie mit dem Ende der Aufgabe gehen, bleibt von dieser Verzögerung nichts übrig.

90 Tage

IP-Adresse und User-Agent

Danach werden sie an Ort und Stelle durch einen Hash mit Schlüssel ersetzt – in Anmeldesitzungen, Sicherheitsereignissen, Richtlinienzustimmungen und im Prüfprotokoll gleichermaßen. Das ist Pseudonymisierung, keine Anonymisierung: Der Hash ist stabil, zwei Datensätze derselben Adresse lassen sich weiterhin einander zuordnen. Die Adresse selbst ist aus der Zeile verschwunden und nicht mehr lesbar.

35 Tage

Datenbanksicherungen

Gelöschte Daten bleiben in verschlüsselten Sicherungen, bis diese rotieren. In dieser Zeit werden sie für nichts verwendet und von jeder Wiederherstellung ausgenommen.

Jahre

Abrechnungs- und Prüfdaten

Buchungen im Hauptbuch werden nur angehängt – die Datenbankrolle des laufenden Dienstes kann sie weder ändern noch löschen noch leeren – und bleiben so lange erhalten, wie das US-Steuer- und Bilanzrecht es verlangt. Prüfdaten bleiben zwei Jahre; entfernt wird nur ein geprüfter zusammenhängender Anfangsteil der Kette.

Drei Grenzen stehen wortgleich in der Datenschutzerklärung: Löschen wirkt nicht sofort, das Hauptbuch ist nicht löschbar, und eine aktive Aufbewahrungssperre geht einem Löschverlangen vor.

Ihre Einstellungen

Kürzer, wie Sie es wollen. Weg, wenn Sie es sagen.

Eine unveränderliche Aufbewahrungsfrist ist nur eine Auskunft. Diese vier Funktionen geben Ihnen Kontrolle: drei getrennt einstellbare Fristen und ein Aufruf, der Inhalte vorzeitig entfernt. Jede verkürzt ausschließlich die Lebensdauer; keine verlängert sie über die Tabelle hinaus.

Drei Uhren, einzeln gestellt: Erzeugte Dateien, Prompt-Texte und hochgeladene Referenzen beantworten drei verschiedene Fragen, also sind es drei Einstellungen und nicht drei Rasten an einem Rad. Jede gilt für Ihr ganzes Konto, und eine einzelne Anfrage kann mit einem Header noch kürzer gehen. Es gilt immer der niedrigste der drei Werte – eine strengere Kontoeinstellung lässt sich von einer Anfrage nicht überreden.
Voreingestellt ist die großzügigste Stufe: Neue Konten starten an der Obergrenze, genau dort, wo die Plattform immer stand. Das Zuziehen ist Ihre Entscheidung, und neben jeder Stufe stehen die Folgen, bevor Sie speichern. Ein Datenschutzschalter, der jemandem am zweiten Tag klammheimlich die Referenzdatei nimmt, ist keiner.
Referenzen, die die Aufgabe nicht überleben: Uploads lassen sich so einstellen, dass sie in dem Moment gehen, in dem die Aufgabe einen Endzustand erreicht – fertig, fehlgeschlagen oder abgebrochen, nicht schon beim Absenden, denn ein erneuter Versuch braucht die Datei. Der Preis dafür ist echt, und wir sagen ihn lieber: Dieselbe Referenz noch einmal zu verwenden heißt, sie noch einmal hochzuladen.
Eine abgeschlossene Aufgabe selbst vernichten: Ein Aufruf entfernt die Ergebnisse dieser Aufgabe, die gespeicherte Antwort und den Prompt-Text. Es gibt keine Prüfinstanz und niemanden zu fragen; zweimal fragen ist kein Fehler. Danach liest die Aufgabe sich als von Ihnen vernichtet, und das ist ein anderer Satz als abgelaufen – unser eigener Hausputz soll sich Ihre Entscheidung nicht ans Revers heften.

Was die Vernichtung bewusst stehen lässt

Den Abrechnungseintrag. Betrag, Datum, Modell, Request-ID und der Endzustand der Aufgabe bleiben, denn aus dieser Zeile wird eine strittige Abbuchung geklärt, und ein Guthaben, das Sie durch Löschen von Geschichte ändern könnten, wäre weniger wert als eines, bei dem das nicht geht. Vernichtet wird der Inhalt, nicht der Beleg.

Wohin sie nicht reicht

Abrechnungsdatensätze und verschlüsselte Sicherungen unterliegen auch nach Inhaltslöschung ihren angegebenen Aufbewahrungsfristen. Bereits heruntergeladene Dateien lassen sich nicht entfernen. Sobald die Bereinigung eingeplant wird, wird der Task als gelöscht markiert. Die physische Löschung folgt im Hintergrund, normalerweise innerhalb einer Minute. Der Taskdatensatz zeigt, wenn die Dateilöschung noch aussteht.

Zugangsdaten

Gehen Sie davon aus, dass ein Schlüssel abhandenkommt. Begrenzen Sie ihn vorher.

Ein Schlüssel, den Sie nach außen geben, sollte weniger können als der Ihres eigenen Backends. Jede Grenze unten wird pro Schlüssel gesetzt, ist später änderbar und wird in derselben Transaktion entschieden, die die Aufgabe anlegt – nicht am nächsten Morgen abgeglichen.

Schlüsselgrenzen in den Nutzungsbedingungen

Einmal sichtbar, gespeichert nur als Hash: Den vollständigen Schlüssel sehen Sie genau einmal, direkt nach dem Anlegen. Gespeichert wird nur ein Hash, niemand kann einen verlorenen Schlüssel also zurücklesen. Sperren und neu anlegen – mehr ist nicht möglich.
Drei Obergrenzen, voneinander unabhängig: Ein Tageslimit, ein Monatsbudget und ein Gesamtlimit, jeweils von Ihnen festgelegt. Das Tageslimit lohnt sich zuerst, denn es ist die Grenze, die einen gestohlenen Schlüssel stoppt, bevor Sie die Warnung gelesen haben. Reservierte Beträge aus noch nicht abgerechneten Aufgaben belasten das Budget ebenfalls.
Modellliste, IP-Freigabeliste, Ablaufdatum: Ein Schlüssel lässt sich auf benannte Modelle, auf bestimmte Absenderadressen und auf ein Datum begrenzen, nach dem er von selbst nicht mehr funktioniert. Eine leere Liste heißt: in dieser Dimension unbegrenzt – das sollte eine Entscheidung sein, kein Versehen.
Eine Sperre greift ab der nächsten Anfrage: Aufrufe mit diesem Schlüssel werden von da an abgelehnt. Bereits angenommene Aufgaben laufen weiter und werden weiterhin abgerechnet, denn die Annahme ist der Punkt ohne Rückkehr. Zeitpunkt und Adresse der letzten Nutzung werden angezeigt, sodass Sie sehen, ob der Schlüssel schon vor Ihrer Entdeckung benutzt wurde.

Schlüssel tragen ausschließlich betriebliche Grenzen. Es gibt keine Inhaltsberechtigung, die sich erteilen oder entziehen ließe: Was ein Modell erzeugt, ist eine Eigenschaft des Modells, das Sie ausgewählt haben.

Unsere Seite

Die Teile, die Sie von außen nicht prüfen können.

Aufbewahrungsfristen und Schlüsselgrenzen können Sie in Ihrer eigenen Konsole nachsehen. Das Folgende nicht – deshalb steht es hier in einer Form, für die wir geradestehen müssen.

Die Betriebskonsole ist ein eigener Dienst: Sie läuft als eigener Prozess, unter eigenem Hostnamen, hinter eigenem Tunnel und eigener Zugangsschicht. Der öffentliche Dienst registriert diese Routen überhaupt nicht, vom API-Host aus gibt es also keinen Verwaltungspfad zu finden.
Kein eingehender Port am Ursprungsserver: Jeder Dienst erreicht das Internet über einen ausgehenden Tunnel, es gibt also keinen offenen Port zu scannen. Der Ursprungsserver prüft außerdem vor allem anderen nach, ob eine Anfrage tatsächlich über die Edge kam, und beantwortet eine fehlgeschlagene Prüfung mit einem schlichten 404 statt mit einer Diagnose.
Geld bewegt sich nur von Hand: Eine Aufladung, eine Korrektur oder eine Erstattung ist ein unveränderlicher Antrag mit eigenem Nutzdaten-Hash und eigener Frist, von Hand ausgeführt von einer Person mit Administrationsrechten in einer Konsole, die ein eigener Dienst hinter einer eigenen Zugangsschicht ist. Ein Konto zu besitzen schließt nicht ein, dessen Guthaben bewegen zu können.
Verwaltungsvorgänge hängen in einer Hash-Kette: Jeder Eintrag trägt den Hash des vorigen, ein entfernter oder geänderter Eintrag bricht die Kette also auf. Es gibt keinen Endpunkt, der einen Prüfeintrag schreibt oder löscht, und die Datenbankrolle des laufenden Dienstes kann ihn ebenso wenig ändern oder löschen.

Was das nicht ist: eine unabhängige Prüfung. Eine Kette, die wir selbst verifizieren, zeigt nur, dass unsere eigenen Aufzeichnungen in sich stimmig sind. Sie ist keine Unterschrift eines Dritten, und wir geben sie auch nicht als eine aus.

Offenlegungsregister

Was sichtbar ist und welche Aussagen wir bewusst nicht treffen.

Im Produkt veröffentlicht

Modellverfügbarkeit, Eingabeschema, Einheitspreis, Aufgabenstatus, Abrechnung, Anfrage-IDs, Richtlinienzusammenfassungen und datiertes Änderungsprotokoll. Das sind Produktangaben, keine Prüfung durch Dritte.

Hier nicht beansprucht

SOC 2, ISO 27001, PCI DSS, HIPAA-Eignung, unabhängige Penetrationstests, vertragliche Verfügbarkeits-SLA, Datenresidenz oder Nullspeicherung. Zur Verfügbarkeit veröffentlichen wir ein Ziel statt einer Zusicherung: 99,9 % für unsere eigene Ebene – Annahme von Anfragen, Annahme von Aufgaben, Zustellung von Callbacks – mit Live-Status unter status.spicyapi.ai. Ein Ziel begründet keine Servicegutschriften, Rückerstattung oder sonstige Entschädigung und schließt die Modelldienste Dritter aus, die eine Generierung ausführen. Schweigen ist keine Zertifizierung.

Betriebliche Transparenz

Support- und Missbrauchskontakte, Datenverarbeitung, Aufbewahrung, regionale Transfers, Vorfallprozesse und tatsächlich gültige unabhängige Nachweise werden getrennt von Marketingaussagen dokumentiert.

Wenn etwas schiefgeht

Eine Adresse, ein Mensch am anderen Ende und dazwischen keine Prüfung.

Anfragen werden nicht einzeln begutachtet. Stattdessen gibt es einen Meldekanal, eine Sicherung der Unterlagen, die erst nach einer Meldung oder einer rechtlichen Aufforderung beginnt, und einen Widerspruch, den jemand anderes liest als die Person, die zuerst entschieden hat.

Meldeseite öffnen

support@spicyapi.ai: Verbotene Inhalte, Datenschutzanfragen und rechtliche Mitteilungen. Beschreiben Sie das Problem und nennen Sie die Aufgaben- oder Anfragekennung; hängen Sie das Material niemals an. Bei sexuellen Inhalten mit Minderjährigen überspringen Sie das Formular und schreiben CSAM ESCALATION in die Betreffzeile – diese Fälle werden vor allem anderen bearbeitet.
support@spicyapi.ai: Konten, Abrechnung und Aufgaben, die fehlgeschlagen sind, ohne dass der reservierte Betrag zurückkam. Schreiben ist nicht der einzige Weg: Die Konsole exportiert Ihre eigenen Daten als JSON, vernichtet den Inhalt einer abgeschlossenen Aufgabe und kann das Konto schließen.
Sicherheitsforschung: Ein maschinenlesbarer Kontakt steht unter /.well-known/security.txt. Zugriffskontrollen, Ratenbegrenzungen oder die Abrechnung zu testen, erfordert vorher eine schriftliche Freigabe über diesen Kanal; ein Bug-Bounty-Programm, auf das wir verweisen könnten, gibt es nicht.

Angestrebte Bearbeitungszeiten

Ein Werktag für die Bestätigung einer Meldung, zu der Sie eine Adresse hinterlassen haben, drei Werktage für den Eskalationsweg, zehn für alles Übrige. Datenschutzanfragen beantworten wir ohne unangemessene Verzögerung und innerhalb der Frist, die das für Sie geltende Recht dafür setzt.

Das sind Zielwerte, keine zugesicherten Reaktionszeiten. Auch die Verfügbarkeit ist ein Ziel und keine Zusage: Es gibt keine Service-Level-Vereinbarung und keine Servicegutschriften, sofern nicht gesondert vereinbart.

Richtliniengrenze

Kreative Freiheit hebt Einwilligung und Recht nicht auf.

Bei Nutzung eines unzensierten Modells muss jede dargestellte Person erwachsen sein und nachweislich eingewilligt haben. Inhalte mit Minderjährigen, nicht einvernehmliche intime Bilder, täuschender Einsatz realer Ähnlichkeit oder Stimme, Ausbeutung und rechtswidrige Inhalte sind verboten. Diese Pflichten trägt der Kunde; Nutzungsrichtlinie und Datenschutzhinweis erläutern Regeln und Datenverarbeitung.