Política de privacidad

Quién opera este servicio. «spicyapi» es el nombre comercial de la sociedad que opera el servicio, y esa sociedad es la parte con la que contratas. «Nosotros» y «el operador» se refieren en adelante a esa sociedad.

1. Cómo leer esta página

Cada plazo de conservación que figura a continuación procede de una clave de configuración o de una constante del servicio en funcionamiento, no de una convención de redacción. Cuando un plazo aún no está decidido, esta página lo dice en lugar de ofrecer una cifra que parezca verosímil.

Hay dos cosas que se dicen claramente desde el principio, porque una política de privacidad que hay que leer dos veces para encontrarlas no cumple su función:

• Sí almacenamos tus prompts y tus resultados. Se conservan durante un plazo definido y después se borran. Una plataforma que almacena contenido mientras afirma que no lo hace puede quedar desmentida con una sola captura de pantalla de su propia consola de administración, y la versión honesta —un plazo definido, ningún uso para entrenamiento y las excepciones por escrito— es un compromiso más sólido que una negación imposible de verificar.
• No somos el final de la cadena. Tu prompt se transmite al proveedor que opera el modelo que elegiste, que lo necesita en texto plano para generar un resultado. Ninguna promesa nuestra puede ser más sólida que lo que ese proveedor haga con él.

El operador es el responsable del tratamiento de todo lo que se describe a continuación, y es la sociedad a la que se refiere «nosotros» en esta página.

Está establecida en los Estados Unidos y el servicio se opera desde allí. No tenemos ningún establecimiento en la Unión Europea, por lo que no se aplica el mecanismo de ventanilla única y no tenemos una autoridad de control principal; aun así, puedes presentar una reclamación ante la autoridad de tu lugar de residencia. Todo lo que sigue describe lo que la plataforma hace realmente.

2. Qué registramos

2.1 Lo que envías y lo que recibes

Cada plazo de esa tabla es un máximo, no un plazo fijo: es el tiempo más largo durante el que conservaremos esos datos, y también es la regla configurada en el propio almacenamiento. Puedes pedir menos (consulta 2.7). No puedes pedir más.

El «unos» es deliberado en el caso de los medios generados. El almacenamiento de objetos elimina los objetos caducados según su propio calendario, normalmente en las 24 horas siguientes al momento de caducidad. Decir «14 días» sin más sería una afirmación ligeramente falsa, así que no la hacemos. En el caso de una referencia subida, el límite de acceso es exacto: su URI deja de poder usarse en el expiresAt de la respuesta de confirmación, que por defecto es 1 día después de la confirmación. Un retraso en la eliminación por ciclo de vida no prolonga ese periodo de uso.

Los proyectos de cortometraje tienen un plazo más largo porque una película se construye a lo largo de días o semanas: una escena hecha la primera semana tiene que seguir existiendo cuando se exporta la película completa. Cubre solo los medios creados dentro de un proyecto de cortometraje de Spicy Studio y las películas exportadas desde él. El mismo modelo llamado a través de la API, el playground o el lienzo mantiene el máximo de 14 días, y el texto de los prompts mantiene en ambos casos su máximo de 30 días.

Tu biblioteca de recursos y tus personajes. Los archivos que añades a tu biblioteca de recursos, o a la de un equipo, se conservan hasta que los elimines, y no durante los plazos de la tabla anterior, y solo se puede acceder a ellos mediante una URL firmada. Un personaje es una entrada de esa biblioteca: un nombre, una nota opcional y un conjunto de imágenes que ya son recursos de la misma biblioteca. Esas imágenes son los recursos propios de la biblioteca, no copias aparte, y eliminar un personaje no elimina sus imágenes; para ello eliminas el recurso. El almacenamiento se computa únicamente según el nivel de tu biblioteca, sin un límite aparte para los personajes. Si añades a un personaje una fotografía de una persona real que has subido tú mismo, confirmas que tienes los derechos sobre ella y el consentimiento de esa persona, y registramos cuándo diste esa confirmación. Los personajes y sus imágenes se conservan hasta que los elimines y se eliminan junto con tu cuenta; los personajes de la biblioteca de un equipo se eliminan al cerrarse el equipo. Mientras esté en vigor una retención legal (legal hold) sobre la cuenta, eliminar algo solo lo oculta para ti, y los datos se conservan hasta que se levante la retención. No escaneamos ni clasificamos el contenido de la biblioteca.

2.2 Tu cuenta

Dirección de correo electrónico, hash de la contraseña, cualquier identidad vinculada de Google o GitHub, el país determinado en el registro y la clave cifrada que se usa para firmar las llamadas de webhook que te enviamos. Si activas la autenticación multifactor TOTP, también guardamos su semilla cifrada, conservamos los códigos de recuperación solo como resúmenes irreversibles y registramos las marcas de tiempo del factor y de su uso. Los códigos de recuperación en claro solo se muestran al generarse. Estas credenciales de la cuenta solo pueden usarse mientras el factor correspondiente y la cuenta sigan activados.

Los datos de la cuenta se conservan mientras la cuenta exista. Cuando se completa un cierre seguro de la cuenta, se revocan el acceso de inicio de sesión y las identidades vinculadas, se desidentifica el perfil y solo permanecen las relaciones y los hechos necesarios para conciliar los registros de facturación, auditoría y seguridad que se conservan. Los hashes de contraseña, las claves de webhook, las semillas TOTP y los resúmenes de los códigos de recuperación nunca se incluyen en una exportación de datos de autoservicio.

El país de registro se guarda porque la exclusión regional de las condiciones debe poder auditarse más adelante frente a la decisión que realmente se tomó en su momento, y no volviendo a resolver una dirección antigua.

Invitaciones. Si te registras a través del enlace de invitación de otra persona, registramos qué cuenta te invitó, el código de invitación y cuándo te registraste. Quien te invitó solo te ve como una etiqueta enmascarada —por ejemplo jo***@g***.com, o los primeros caracteres del nombre de una cuenta privada— junto con el día en que te uniste y si has pagado. Nunca ve tu correo electrónico, lo que generas, qué modelos usas ni ninguno de tus pagos, y las recompensas que obtiene solo se le muestran como totales de todas las personas que invitó. Para evitar que el programa de invitaciones se use de forma abusiva, comparamos entre la cuenta que invita y la invitada un hash unidireccional de la huella de la tarjeta que devuelve nuestro procesador de pagos, así como las direcciones IP descritas en 2.3; una coincidencia solo envía la recompensa a revisión manual, y nunca recibimos ni almacenamos números de tarjeta. El registro de que fuiste invitado se elimina cuando se cierra tu cuenta, y un código de invitación se elimina cuando se cierra la cuenta que lo posee. Las decisiones sobre recompensas son registros de facturación y se conservan con el mismo criterio que el resto (véase 2.6).

2.3 Sesiones y dispositivos

Cada sesión de inicio registra la dirección IP, la cadena de agente de usuario del navegador y el país. Los cambios sensibles para la seguridad y los eventos de MFA también generan un registro de seguridad de la cuenta que contiene el tipo de evento, la hora, la dirección IP, el agente de usuario del navegador y metadatos no secretos. Esto se usa para detectar inicios de sesión inusuales, investigar cambios en la cuenta y mostrarte tus propias sesiones activas y tu actividad de seguridad reciente. También comparamos estas direcciones entre dos cuentas vinculadas por una invitación, como se describe en 2.2, para evitar que el programa de invitaciones se use de forma abusiva; para esa comparación no se almacena nada nuevo.

Tratamos la dirección IP como un dato de alta sensibilidad y no como telemetría rutinaria, porque en un servicio como este es el hilo que une a una persona con lo que generó.

Noventa días después de escribirse un registro, un proceso programado sustituye la dirección IP y la cadena de agente de usuario por un hash con clave, tanto en las sesiones de inicio como en los eventos de seguridad de la cuenta, las aceptaciones de políticas y el registro de auditoría. Eso es seudonimización, no anonimización: el hash es estable, así que todavía podemos saber que dos registros proceden de la misma dirección, y no afirmamos lo contrario. La dirección en sí desaparece de la fila y no puede volver a leerse.

2.4 Metadatos de la tarea que quizá no esperes que conservemos

Además del propio contenido, cada tarea incluye: los tiempos, la clave que la envió, la referencia del proveedor al que se reenvió la solicitud, el identificador de tarea propio de ese proveedor, la clave de idempotencia y la URL de callback. Los registros antiguos pueden contener un valor de modo de contenido procedente de clientes anteriores; no se usa para revisar contenido ni para decidir el acceso.

Estas filas no se eliminan. El borrado a los 30 días vacía los campos del prompt y del resultado; la fila en sí permanece, porque es el único registro de lo que se cobró, y una fila eliminada significa una cuenta que no puede conciliarse. Tras el borrado, una fila ocupa unos pocos cientos de bytes y no contiene ningún contenido.

Los eventos de transición de estado y los registros de entrega de webhooks se conservan según un calendario de particiones derivado de un ajuste de 60 días, con un mínimo de dos meses.

2.5 Señales derivadas, conservadas indefinidamente

Antes de borrar el prompt, se extrae un pequeño conjunto de señales que se conserva sin límite de tiempo. No contiene texto libre: el número de caracteres del prompt, su sistema de escritura predominante (han, latino, cirílico, etc.; deliberadamente no su idioma), cuántos recursos de referencia se adjuntaron y un resumen de los parámetros normalizados del que se han eliminado todo el texto libre y las URL de los recursos.

Existe para que las preguntas operativas —qué modelos crecen, dónde se concentran los fallos— puedan responderse sin que nadie lea un prompt. También hace que leer un prompt sea algo excepcional, que es lo que da algún valor como señal al registro de auditoría que lo rodea.

El resumen de parámetros es un resumen irreversible. Nos permite saber si dos tareas usaron el mismo conjunto de parámetros; no permite recuperar los valores.

2.6 Facturación y auditoría

Los asientos del libro mayor solo admiten adiciones: nunca se modifican ni se eliminan. Junto a ellos están los pedidos de recarga, los saldos de monedero y los agregados de gasto diario. Las acciones administrativas se escriben en un registro de auditoría con una cadena de hashes sobre las entradas.

Los asientos del libro mayor solo admiten adiciones: el rol de base de datos con el que funciona el servicio no puede actualizarlos, eliminarlos ni truncarlos, de modo que un registro de facturación no puede cambiar discretamente a posteriori. Se conservan durante el tiempo que nos exige la legislación fiscal y contable de los Estados Unidos, un plazo que se mide en años y que no nos corresponde acortar a petición. Los registros de auditoría se conservan durante dos años; después solo se elimina un prefijo continuo y verificado de la cadena, de modo que la cadena en sí sigue siendo comprobable.

Las facturas llevan tus propios datos. Si emites una factura o un resumen de consumo desde la consola, almacenamos e imprimimos el nombre de facturación, el destinatario, la dirección, el país, el correo de facturación y el número de identificación fiscal opcional que introduzcas, exactamente como los introdujiste. El número de identificación fiscal está ahí para que pueda figurar en el documento; no se usa para nada más. Todo ello lo aportas tú y no verificamos nada: ni tu identidad legal, ni tu registro fiscal, ni el número de identificación fiscal. Un documento ya emitido conserva los datos vigentes cuando se creó, y las modificaciones posteriores solo afectan a los nuevos. Los documentos emitidos son registros de facturación y se conservan con el mismo criterio que el resto.

2.7 Pedirnos que conservemos menos

Los plazos de 2.1 son lo que conservamos salvo que indiques otra cosa. En la consola puedes fijar por separado plazos más cortos para cuatro cosas, porque responden a preguntas distintas:

• Medios generados y resultados: desde una hora hasta el plazo por defecto.
• Medios de cortometraje: desde una hora hasta el plazo por defecto de unos 60 días, para los medios creados en un proyecto de cortometraje de Spicy Studio y las películas exportadas desde él.
• Prompts y parámetros de texto libre: desde una hora hasta el plazo por defecto.
• Imágenes de referencia que subes: desde una hora hasta el plazo por defecto, o destruir tras el uso, que elimina el archivo en cuanto la tarea que lo usó llega a un estado final.

Una solicitud concreta puede pedir menos que el ajuste de tu cuenta mediante la cabecera X-Spicy-Retention. Solo puede acortar. Una solicitud no puede volver a optar por un plazo más largo que el que permite la cuenta, y ninguna de las dos puede superar los máximos de 2.1 — así, un administrador que fija una hora para una organización ha fijado un límite, no una sugerencia.

No ofrecemos ninguna forma de conservar este contenido durante más tiempo, y no describimos nada de esto como «retención cero»: el plazo más corto es de una hora, y el contenido se escribe en el almacenamiento antes de eliminarse.

2.8 Destruir contenido cuando lo pidas

Puedes destruir el contenido de una tarea finalizada en cualquier momento, desde la consola o mediante POST /api/v1/jobs/purge. Esto elimina los medios generados del almacenamiento de objetos, el resultado almacenado y el texto del prompt.

No es un reembolso y no cambia lo que se te cobró. El registro de facturación de esa tarea —importe, hora, modelo, identificador de solicitud— se conserva con el criterio descrito en 2.6, porque es la única prueba de lo que pagaste. Destruir contenido elimina el contenido, no el cargo.

Después, la tarea queda marcada como destruida por ti y nunca se muestra como caducada por sí sola. Son dos hechos distintos y no los confundimos: uno es una regla nuestra que se ejecuta según lo programado; el otro, una decisión que tomaste tú. La destrucción no se aplica mientras esté vigente una retención legal, por el mismo motivo por el que tampoco se aplica la caducidad (consulta la sección 7).

2.9 Correos y notificaciones que te enviamos

Enviamos tres tipos de mensajes, y solo el primero no se puede desactivar.

• Mensajes de la cuenta y del servicio: no se pueden desactivar. Los correos sin los que la cuenta no puede funcionar, como la verificación de tu dirección, el restablecimiento de la contraseña, la confirmación de un cambio de correo electrónico, las invitaciones a un espacio de trabajo, las respuestas a tus solicitudes de soporte y, si lo has configurado, el aviso de saldo bajo. Aquí entran también los avisos del servicio: un mantenimiento programado, una caída que afecta a tus solicitudes, un asunto de seguridad o un cambio en esta política o en las condiciones antes de que entre en vigor.
• Novedades del producto: puedes desactivarlas. Modelos nuevos, cambios de precio y funciones de la consola.
• Ofertas y anuncios: puedes desactivarlos. Promociones ocasionales.

En las cuentas abiertas a partir del 6 de octubre de 2026, los dos tipos opcionales empiezan activados; la página de registro lo indica antes de crear la cuenta. En las cuentas abiertas antes de esa fecha empezaron desactivados y siguen así a menos que los actives. En ambos casos, los dos interruptores están en la página Notificaciones de la consola. Mientras un interruptor esté desactivado, ese tipo de mensaje no llega ni a tu bandeja de entrada ni a la campana de notificaciones de la consola.

Cómo desactivarlos. Tanto si un interruptor está activado porque tu cuenta empezó así como si lo activaste tú, puedes desactivarlo en cualquier momento de dos maneras:

• Desde cualquier correo de novedades o de ofertas. Todos terminan con un enlace para darte de baja que funciona sin iniciar sesión. Abrir el enlace no cambia nada por sí solo: muestra una página en la que confirmas, de modo que un escáner de correo que abra enlaces por ti no puede darte de baja por accidente. En esa página puedes dejar de recibir ese tipo concreto o los dos tipos opcionales. Las aplicaciones de correo que tienen su propio botón para darse de baja con un clic nos envían esa confirmación directamente.
• Desde la consola, con los mismos dos interruptores, que funcionan en ambos sentidos.

Comprobamos tu configuración en el momento en que se prepara cada mensaje para ti, no solo cuando se programa un envío, así que un cambio se aplica a todo lo que aún no ha salido; un mensaje que ya se había entregado a nuestra cola de envío antes de que lo desactivaras todavía puede llegar. Si cierras tu cuenta, ambos se desactivan.

Por qué no se pueden desactivar los mensajes del servicio. Forman parte del funcionamiento de la cuenta que abriste; no son una forma de venderte nada:

• Seguridad de la cuenta. Un restablecimiento de contraseña, un cambio en la dirección con la que inicias sesión o un problema de seguridad en la plataforma es algo de lo que necesitas enterarte aunque nunca fueras a leer un boletín.
• Disponibilidad del servicio. Tu saldo está pagado por adelantado y puede que tengas software llamando a la API sin supervisión; un mantenimiento o una caída cambian lo que ese software recibe de vuelta.
• Obligaciones legales. Algunos avisos los exige la ley —por ejemplo, informar a los usuarios afectados de una brecha de sus datos personales—, y en la sección 10 nos comprometemos a anunciar los cambios sustanciales de esta política antes de que entren en vigor.

Por la misma razón, nunca usamos un aviso del servicio para promocionar nada. Un mensaje cuyo propósito principal es vender se envía como oferta, y solo a las cuentas que tienen activado el interruptor de ofertas.

Sin seguimiento de aperturas ni de clics. Estos correos no contienen píxeles de seguimiento ni scripts. La única imagen que llevan, nuestro logotipo, es el mismo archivo en la misma dirección para todos los destinatarios, así que su carga no nos dice quién abrió qué mensaje. Los enlaces van directos a su destino: no los hacemos pasar por una redirección ni les añadimos nada para saber quién hizo clic. Cuando un enlace tiene que ser exclusivo para ti —uno de verificación, de restablecimiento de contraseña o de baja—, cumple esa única función y ninguna otra. No medimos si abriste un correo ni en qué hiciste clic dentro de él.

Quién los recibe y qué guardamos. Los avisos del servicio, las novedades del producto y las ofertas solo se envían a titulares de una cuenta, y por correo solo a una dirección verificada; una cuenta privada no tiene dirección de correo, así que todo lo que le enviamos aparece únicamente en la consola. Cuando un envío va dirigido a una parte de las cuentas y no a todas, las elegimos a partir de datos que ya tenemos: si la cuenta ha hecho alguna recarga, si tiene saldo ahora, cuándo se creó, cuándo fue su último inicio de sesión o su última tarea enviada o —cuando escribimos a personas concretas— su dirección de correo. Nunca usamos tus prompts, archivos subidos ni resultados para decidir qué te enviamos.

Guardamos tus dos interruptores y la fecha del último cambio en tu configuración de correo. Por cada aviso del servicio, novedad u oferta que se te envía, registramos de qué envío se trataba, a qué dirección fue, si se entregó, falló o se omitió —y por qué, por ejemplo porque para entonces el interruptor ya estaba desactivado— y cuándo te diste de baja a través de él. Los correos de novedades y de ofertas muestran además nuestra dirección postal e indican con qué interruptor se enviaron. El enlace para darte de baja lleva un código aleatorio del que solo guardamos un hash irreversible, y la copia del correo preparada para ti se borra de nuestra cola de envío en cuanto se entrega o se da definitivamente por perdida. Estos registros de entrega aún no tienen un plazo de conservación propio; como dice la sección 1, lo decimos en lugar de ofrecer una cifra, y esta página cambiará cuando se fije uno.

2.10 Informes de errores desde tu navegador

Cuando una página de este sitio sufre un error en tu navegador, la página nos envía un breve informe de diagnóstico para que podamos localizar y corregir el fallo. Un informe contiene únicamente: el tipo de error y una versión abreviada de su mensaje, de la que se eliminan direcciones web, parámetros de consulta, direcciones de correo, tokens e identificadores; los nombres de los archivos de código y las posiciones de línea donde se produjo; la página en la que ocurrió, expresada como un patrón de ruta sin parámetros de consulta y con los identificadores sustituidos por marcadores; la familia del navegador y si se trata de un móvil o de un ordenador; el idioma de la página; la versión del sitio; y si la página parecía traducida automáticamente o modificada por una extensión del navegador.

Un informe nunca contiene tu dirección IP, tu cuenta, cookies, prompts, el contenido de la página ni su dirección completa, y no guardamos junto a él nada que lo relacione contigo ni con ningún otro registro que conservemos. Una página envía como máximo cinco informes y una pestaña del navegador, como máximo veinte; para hacerlo cumplir, la página guarda un simple contador en el almacenamiento de sesión de tu navegador, que se borra al cerrar la pestaña. Los navegadores automatizados y los rastreadores de los buscadores no envían ninguno. Los informes se guardan en el proveedor de infraestructura que ya sirve este sitio (véase la sección 5) y se eliminan automáticamente a los tres meses.

3. Lo que no hacemos

• No usamos tus prompts, archivos subidos ni resultados para entrenar ningún modelo, y no empezaremos a hacerlo sin pedírtelo por separado y de forma expresa. Esto compromete a nuestros propios sistemas. Lo que el proveedor que ejecuta una solicitud pueda hacer con esa entrada lo fijan condiciones que no redactamos nosotros; la sección 5 explica ese límite.
• No ejecutamos scripts publicitarios ni seguimiento entre sitios. Sí usamos Google Analytics para medir el tráfico de este sitio, y funciona para todos los visitantes. Las funciones publicitarias, la personalización de anuncios y Google Signals están desactivadas por completo —no simplemente sin usar—, de modo que la medición no puede convertirse en una audiencia publicitaria. Nunca le enviamos tu identificador de cuenta, tu correo electrónico, tus prompts ni tus resultados.
• No vendemos ni alquilamos datos personales.
• No afirmamos ofrecer cifrado de extremo a extremo, y preferimos explicar por qué antes que tomar prestado el término. El proveedor del modelo necesita tu prompt en texto plano para generar un resultado, así que ningún diseño en el que transmitamos tu solicitud puede hacer que tu contenido sea ilegible para todos salvo para ti. Quien te venda esa descripción de una API de inferencia está describiendo otra cosa.

4. Cookies

Hay dos cookies estrictamente necesarias: una mantiene tu sesión iniciada y la otra protege los formularios frente a la falsificación de solicitudes entre sitios. Ninguna de las dos puede rechazarse, porque el sitio no puede cumplir su función sin ellas.

Enlaces de invitación. Cuando abres un enlace que contiene un código de invitación, el sitio guarda ese código en una cookie propia (spicy_ref) durante un máximo de 30 días, para poder asociarlo si creas una cuenta. Si luego te registras con Google o GitHub, el código viaja durante ese inicio de sesión en una segunda cookie que dura diez minutos. Ambas contienen solo el código, nunca se usan con fines analíticos ni publicitarios y se eliminan en cuanto te registras o inicias sesión.

Las cookies analíticas son independientes. Google Analytics funciona para todos los visitantes de este sitio e instala su propia cookie de medición para distinguir una visita recurrente de una nueva; el aviso que ves en tu primera visita te lo indica. El sitio no tiene ningún ajuste para desactivarlo. Si no quieres que se te mida, instala el complemento de inhabilitación de Google Analytics que ofrece Google: lo detiene por completo. Si solo bloqueas las cookies de este sitio en tu navegador, dejará de reconocer tus visitas recurrentes, pero las páginas que visitas se seguirán contabilizando. No hay cookies publicitarias ni de elaboración de perfiles.

En producción, ambas cookies llevan el prefijo __Host-. Ese prefijo es una regla estricta del navegador y no una convención: obliga a Secure, obliga a Path=/ y prohíbe el atributo Domain, de modo que ningún otro host del dominio puede escribir una cookie que nuestro origen vaya a leer. También elimina toda una clase de ataques de fijación de sesión. Por HTTP sin cifrar en el desarrollo local, el navegador rechazaría directamente una cookie __Host-, así que las compilaciones de desarrollo recurren al nombre sin prefijo; producción no.

5. Quién más trata tus datos

El propio proveedor del modelo marca el techo de cada promesa de esta página. Podemos comprometernos con lo que ocurre dentro de nuestros propios sistemas. No podemos comprometernos en nombre de un proveedor cuyas condiciones no redactamos. Algunos proveedores de este mercado se reservan el derecho a entrenar con las entradas; otros no se pronuncian en ningún sentido, lo cual no equivale a una negativa.

Cuando Stripe está configurado y eliges configurar una tarjeta o hacer una recarga, la página de pago la aloja Stripe. En las cuentas privadas no enviamos ninguna dirección de correo electrónico. Almacenamos las referencias opacas de Stripe de cliente, método de pago, configuración y transacción; una etiqueta enmascarada del método de pago; un hash unidireccional de la huella de la tarjeta que devuelve Stripe, que se usa solo para reconocer la misma tarjeta en más de una cuenta del programa de invitaciones; tus ajustes de recarga automática y el estado de tu consentimiento; e importes, estados, marcas de tiempo y referencias de idempotencia. No recibimos ni almacenamos el número completo de la tarjeta ni las credenciales de banca en línea. En las recargas manuales almacenamos el ID del pedido, el importe, el estado, las marcas de tiempo y la referencia del pago externo que se usa para la conciliación.

6. Transferencias internacionales

El servicio se opera para un público de desarrolladores de todo el mundo, y las partes de la sección 5 operan a escala global. Tus datos se tratarán fuera del país en el que te encuentres.

Estamos establecidos en los Estados Unidos. Cuando los datos personales salen del Espacio Económico Europeo, el Reino Unido o Suiza, nos apoyamos en las cláusulas contractuales tipo de la Comisión Europea junto con su adenda para el Reino Unido. Se trata de una garantía jurídica, no técnica: vincula al destinatario y no cambia lo indicado más arriba, es decir, que tu prompt llega en texto plano al proveedor del modelo que seleccionaste.

7. Borrado, retenciones y copias de seguridad

Cuando se alcanza el plazo de 30 días, un proceso de mantenimiento vacía los campos del prompt y del resultado de las tareas caducadas. Hay dos salvaguardas integradas en ese proceso, y no en el calendario de despliegue:

• Nunca se vacía una tarea cuyas señales derivadas aún no se hayan extraído. Si la extracción se detiene, el borrado se detiene con ella; la alternativa es un hueco permanente en los datos sin forma de rellenarlo.
• Nunca se vacía una tarea sujeta a una retención legal. Las retenciones solo suman: hacen que los datos duren más y nunca pueden hacer que desaparezcan antes. Todas las retenciones se revisan, y una que siga abierta más de 90 días se señala, porque una tabla llena de retenciones indefinidas anula silenciosamente la política de conservación mientras la página pública sigue diciendo 30 días.

Las retenciones existen porque las disputas duran más que los plazos de conservación. Un contracargo de tarjeta puede llegar meses después de la tarea, y en ese momento el registro que necesitamos es precisamente el que, de otro modo, habríamos borrado.

Copias de seguridad. Las copias de seguridad de la base de datos se conservan durante 35 días. Los datos que hayas eliminado persisten en esas copias cifradas hasta que rotan. Durante ese periodo no se usan para nada y se excluyen de cualquier restauración.

8. Tus derechos

Según dónde vivas, puedes tener derechos de acceso, rectificación, supresión, limitación del tratamiento, oposición y portabilidad respecto de tus datos, así como derecho a presentar una reclamación ante una autoridad de control.

Tres límites honestos, dichos de antemano:

• El libro mayor no se puede borrar. Los registros financieros se conservan en virtud de la legislación fiscal y contable; una solicitud de supresión no los alcanza.
• Una retención legal prevalece sobre una solicitud de supresión respecto de los datos que cubre, mientras esté vigente.
• El borrado no es instantáneo. El almacenamiento de objetos elimina los objetos caducados según su propio calendario, y las copias de seguridad rotan a lo largo de 35 días.

Tras una nueva verificación de seguridad, la consola ofrece una exportación JSON de autoservicio que abarca tu perfil, tus propias membresías de espacios de trabajo, los metadatos de las claves de API sin secretos, los datos de las tareas tal como se conservan en ese momento, las conversaciones de soporte, los modelos que sigues y tus preferencias, y los registros de facturación, incluidos los ajustes de recarga automática sin credenciales de pago. No contiene material de contraseñas ni de claves, semillas de MFA ni códigos de recuperación, registros internos de reenvío a proveedores ni archivos binarios de medios. Los medios siguen sujetos a los plazos de conservación indicados arriba.

El cierre de la cuenta en autoservicio requiere una nueva comprobación de identidad: tu contraseña actual o, si tu cuenta no tiene contraseña, un código de un solo uso enviado al correo electrónico de la cuenta. No cancela una tarea ya aceptada, y queda bloqueado mientras haya tareas en curso o sin liquidar, mientras un pago de recarga siga procesándose, mientras la cuenta tenga deudas pendientes o mientras un espacio de trabajo de equipo siga necesitando un propietario. Una solicitud bloqueada se registra con un estado que indica qué hacer, en lugar de darse por completada. Cuando el cierre es seguro, se revocan las sesiones y las claves de API, se desidentifica el perfil y se vacía el contenido de las tareas, salvo que se aplique una retención de pruebas activa. Los hechos financieros, de auditoría, de seguridad y los mínimos de conciliación permanecen con los límites indicados arriba; la consola no describe ese resultado como una eliminación física.

Una solicitud que la consola no pueda completar va a support@spicyapi.ai y la revisa una persona. Respondemos sin dilación indebida y dentro del plazo que fije para ello la ley que te sea aplicable.

9. Menores

El servicio es para adultos. Debes tener al menos 18 años para ser titular de una cuenta, y no recogemos conscientemente datos de nadie por debajo de esa edad. Si crees que tenemos datos de un menor, avísanos en support@spicyapi.ai y los eliminaremos, salvo cuando estén relacionados con presunto material de abuso sexual infantil, que la ley nos obliga a preservar y denunciar en lugar de eliminar.

10. Cambios

Los cambios sustanciales se anuncian antes de que entren en vigor. Como los plazos de conservación se leen de la configuración en funcionamiento, un cambio en cualquiera de ellos cambia lo que dice esta página; por eso, cualquier cambio de ese tipo se trata como un cambio de esta política y se anuncia de la misma manera.

11. Contacto

support@spicyapi.ai, tanto para preguntas de privacidad como para denuncias de contenido prohibido. La página de denuncias explica el segundo caso.