Centro de confianza

Controles claros. Límites firmes. Sin sellos prestados.

Esta página explica los controles que podemos describir hoy y las afirmaciones que deliberadamente no hacemos. Un logotipo, una interfaz cuidada o un icono de cifrado no prueban una certificación; si no hay evidencia pública, lo decimos.

Aviso de privacidad Uso aceptable

Nuestra posición

La confianza empieza con una afirmación verificable.

SpicyAPI muestra para cada modelo las entradas compatibles, la disponibilidad actual, el precio y los límites de uso. El usuario elige el modelo y cada tarea aceptada recibe identificadores rastreables. No presentamos controles previstos como auditorías terminadas ni la certificación de un tercero como propia.

Qué pasa con lo que envías

Tus prompts y tus resultados nunca se convierten en nuestros datos de entrenamiento.

Sí los guardamos, durante un plazo que termina. Decir lo contrario quedaría desmentido con una sola captura de nuestra propia consola, así que aquí va la versión que resiste el escrutinio: qué se conserva, para qué sirve y cuál es el único límite que ningún diseño puede eliminar.

Leer la política de privacidad

Se conservan y luego se borran: Los prompts, los parámetros de texto libre y las referencias al resultado viven 30 días en el registro de la tarea; después esos campos se vacían. La fila permanece, porque es el único comprobante de lo que se te cobró. Tras el borrado ocupa unos cientos de bytes y no contiene contenido alguno.
Ni entrenamiento, ni reventa: SpicyAPI no usa tus prompts, tus archivos subidos ni tus resultados para entrenar ningún modelo, y no empezaremos a hacerlo sin pedírtelo por separado y de forma explícita. Tampoco vendemos ni alquilamos datos personales. Más allá de nuestros propios sistemas, el servicio de modelo que ejecuta tu solicitud trata esa entrada según sus propias condiciones: la política de privacidad describe ese límite, que no podemos garantizar en su nombre.
Sin publicidad y sin rastreo entre sitios: Existen tres cookies: una te mantiene con la sesión iniciada, otra protege los formularios frente a la falsificación de solicitudes entre sitios y la tercera, de Google Analytics, mide el tráfico del sitio. Sus funciones publicitarias y Google Signals están desactivados, y nunca recibe tu cuenta, tus prompts ni tus resultados.
Conteos, no texto libre: Antes de borrar un prompt, guardamos unas pocas señales sobre él: número de caracteres, sistema de escritura, cantidad de archivos de referencia adjuntos y un hash unidireccional de los parámetros. Este conjunto no incluye texto libre, y el hash no permite recuperar los valores originales.

El límite que no vamos a maquillar

Para producir un resultado, el servicio de modelos que ejecuta tu solicitud necesita el prompt en texto plano. Al reenviar esa solicitud, no podemos hacer que sea ilegible para todos salvo para ti. Por eso no afirmamos ofrecer cifrado de extremo a extremo ni damos garantías sobre condiciones que no redactamos.

Conservación

Cada tipo de dato tiene un reloj. Tres son tuyos.

Los plazos siguientes son máximos y se leen de la configuración activa del servicio. Puedes acortar por separado la conservación de los archivos generados, el texto de los prompts y las referencias subidas, pero no alargarla más allá de la tabla: esos máximos los aplican las propias reglas de almacenamiento. Una retención legal puede prolongar la conservación de un registro; tus ajustes son lo que permite eliminarlo antes.

Hasta 30 días

Prompts y referencias al resultado

Un proceso de mantenimiento vacía ambos campos del registro de la tarea. Si eliges un plazo más corto, el mismo proceso aplica la fecha que definiste. En ambos casos mantiene dos protecciones: nunca borra una tarea bajo retención legal ni una cuyas señales de uso aún no se hayan extraído.

Hasta unos 14 días

Imágenes, video y audio generados

El almacenamiento elimina los objetos vencidos según su propio calendario, normalmente durante el día siguiente al vencimiento. Los ajustes más cortos se aplican mediante nuestro proceso de limpieza, que suele ejecutarse en minutos; el plazo indicado sigue siendo aproximado y no promete la eliminación en un segundo exacto.

Hasta 1 día

Archivos de referencia que subes

El URI del archivo subido deja de funcionar al vencer. El borrado del objeto puede ocurrir hasta 24 horas después, pero esa demora no prolonga el tiempo de uso del archivo. Si configuras su eliminación al terminar la tarea que lo utiliza, prácticamente no hay demora.

90 días

Dirección IP y agente de usuario

Después se sustituyen in situ por un hash con clave, tanto en las sesiones de inicio como en los eventos de seguridad, las aceptaciones de políticas y el registro de auditoría. Eso es seudonimización, no anonimización: el hash es estable, así que dos registros de la misma dirección siguen coincidiendo. La dirección en sí desaparece de la fila y no se puede volver a leer.

35 días

Copias de seguridad de la base de datos

Lo que borraste sigue en copias cifradas hasta que estas rotan. Durante ese periodo no se usa para nada y queda excluido de cualquier restauración.

Años

Registros de facturación y de auditoría

Los asientos del libro mayor solo se agregan —el rol de base de datos que ejecuta el servicio no puede modificarlos, borrarlos ni vaciarlos— y se conservan mientras lo exija la ley fiscal y contable de Estados Unidos. Los registros de auditoría se conservan dos años, y solo se elimina un prefijo continuo y verificado de la cadena.

Tres límites están escritos igual en la política de privacidad: el borrado no es instantáneo, el libro mayor no se puede borrar y una retención activa pesa más que una solicitud de eliminación.

Tus ajustes

Acorta la conservación. Decide cuándo eliminar.

Un plazo de conservación que no puedes cambiar solo te informa. Aquí tienes cuatro controles: tres plazos que configuras y una llamada que elimina el contenido de una tarea antes de su vencimiento. Todos acortan la conservación; ninguno permite prolongarla más allá de la tabla anterior.

Tres plazos independientes: Los archivos generados, el texto de los prompts y las referencias subidas tienen necesidades distintas, por eso cuentan con tres ajustes independientes. Cada uno se aplica a toda tu cuenta, y una solicitud individual puede acortar aún más el plazo enviando una cabecera. Se aplica el menor de los tres valores: una solicitud nunca puede ampliar un ajuste de cuenta más estricto.
Por defecto, el ajuste más amplio: Las cuentas nuevas empiezan con los plazos máximos que la plataforma ha usado siempre. Tú decides si los acortas, y cada opción explica las consecuencias antes de guardar. Un control de privacidad no debe hacer desaparecer sin aviso el archivo de referencia de alguien en su segundo día.
Referencias que no sobreviven a la tarea: Puedes configurar la eliminación de los archivos subidos en cuanto la tarea que los utiliza alcance un estado final: completada, fallida o cancelada. No se eliminan al enviarla, porque un reintento necesita el archivo. Ten en cuenta la consecuencia: para volver a usar la misma referencia, tendrás que subirla otra vez.
Destruye tú una tarea terminada: Una llamada elimina los archivos generados de esa tarea, el resultado almacenado y el texto del prompt. No requiere revisión ni autorización de otra persona; repetir la llamada no es un error. Después, el registro indica que tú destruiste la tarea, un estado distinto de vencida que diferencia tu decisión de la limpieza automática.

Lo que se conserva tras destruir una tarea

El registro de facturación. Se conservan el importe, la fecha, el modelo, el ID de solicitud y el estado final de la tarea, porque permiten resolver un cargo disputado. El saldo no puede modificarse borrando el historial. Destruir una tarea elimina el contenido y conserva el comprobante.

Qué queda fuera de la eliminación

La destrucción conserva los registros de facturación y las copias de seguridad cifradas durante sus respectivos plazos, y no puede eliminar archivos que alguien ya haya descargado. La tarea se marca como destruida cuando se programa la limpieza; la eliminación física ocurre después en segundo plano, normalmente en un minuto. El registro de la tarea indica cuándo sigue pendiente la eliminación de archivos.

Credenciales

Da por hecho que una clave se filtrará. Acótala antes.

Una clave que entregas a un colaborador debería tener menos permisos que la de tu propio backend. Cada límite siguiente se define por clave y se puede cambiar después. Se aplica dentro de la transacción que crea la tarea, antes de una conciliación posterior.

Los límites de clave en los términos

Se muestra una vez y se guarda como hash: La clave completa aparece una sola vez, justo después de crearla. Solo guardamos un hash, así que nadie puede recuperar una clave perdida. En ese caso, revócala y crea otra.
Tres topes independientes entre sí: Un límite diario, un presupuesto mensual y un límite acumulado, que defines tú. Conviene empezar por el límite diario, porque es el que detiene una clave robada antes de que leas la alerta. El dinero retenido por tareas sin liquidar también consume presupuesto.
Lista de modelos, IP permitidas y fecha de caducidad: Puedes restringir una clave a modelos concretos, direcciones de origen específicas y una fecha tras la cual deja de funcionar automáticamente. Si dejas una lista vacía, ese tipo de acceso queda sin restricciones: debe ser una decisión consciente.
La revocación se aplica desde la siguiente solicitud: Las llamadas hechas con esa clave se rechazan a partir de ese momento. Las tareas ya aceptadas siguen ejecutándose y se cobran igual, porque la aceptación es el punto sin retorno. Se muestran la hora y la dirección del último uso, así ves si la clave se usó antes de que lo notaras.

Las claves solo llevan límites operativos. No hay ningún permiso de contenido que conceder o retirar: lo que un modelo produce es una propiedad del modelo que elegiste.

Nuestros sistemas

Las partes que no puedes comprobar desde fuera.

Puedes verificar los plazos de conservación y los límites de clave desde tu propia consola. Los siguientes controles no se pueden comprobar desde fuera; los describimos aquí como declaraciones de las que debemos responder.

La consola de operaciones es otro servicio: Se ejecuta como un proceso independiente, con su propio nombre de host, túnel y capa de acceso. El servicio público no registra esas rutas, así que el host de la API no expone una ruta de administración.
El servidor de origen no tiene puertos de entrada: Cada servicio se conecta a internet por un túnel saliente, sin un puerto abierto que escanear. Antes de ejecutar cualquier otra operación, el servidor de origen comprueba que la solicitud llegó realmente por la capa perimetral. Si la comprobación falla, devuelve un 404 sin detalles de diagnóstico.
El dinero solo se mueve a mano: Una recarga, un ajuste o una devolución es una solicitud inmutable con su propio hash de carga útil y su propio vencimiento, ejecutada a mano por un administrador desde una consola que es un servicio aparte detrás de su propia capa de acceso. Tener una cuenta no incluye poder mover sus fondos.
Las acciones administrativas van encadenadas por hash: Cada entrada lleva el hash de la anterior, así que quitar o alterar una rompe la cadena. Ningún endpoint escribe ni borra una entrada de auditoría, y el rol de base de datos que ejecuta el servicio tampoco puede modificarla ni eliminarla.

Lo que esto no es: una auditoría independiente. Una cadena que verificamos nosotros mismos solo demuestra que nuestros propios registros son coherentes entre sí. No es la firma de un tercero y no la presentamos como tal.

Registro de transparencia

Qué es visible y qué no afirmamos.

Publicado en el producto

Disponibilidad del modelo, esquema de entrada, precio unitario, estado de la tarea, registros de facturación, identificadores de solicitud, resúmenes de políticas y un registro de cambios fechado. Son información del producto, no garantías de un tercero.

No afirmado aquí

SOC 2, ISO 27001, PCI DSS, elegibilidad HIPAA, pruebas de penetración independientes, SLA contractual de disponibilidad, residencia universal o retención cero. Sobre la disponibilidad publicamos un objetivo, no una garantía: 99,9 % en nuestra propia capa — recepción de solicitudes, recepción de tareas y entrega de callbacks — con el estado en directo en status.spicyapi.ai. Un objetivo no genera créditos de servicio, reembolso ni otra compensación, y excluye los servicios de modelos de terceros que ejecutan la generación. El silencio no implica certificación.

Transparencia operativa

La información publicada distingue la disponibilidad y el estado actuales, los precios y las reglas de contenido de cualquier certificación o garantía. Confía solo en compromisos indicados como vigentes y aplicables.

Cuando algo va mal

Una dirección, una persona al otro lado y ningún escaneo en medio.

Las solicitudes no se revisan una por una. Lo que sí existe es un canal de denuncias, una conservación de material que empieza después de una denuncia o un requerimiento legal, y una apelación que lee alguien distinto de quien decidió primero.

Abrir la página de denuncias

support@spicyapi.ai: Contenido prohibido, solicitudes de privacidad y notificaciones legales. Describe el problema y envía el ID de la tarea o de la solicitud; nunca adjuntes el material. Si se trata de contenido sexual con una persona menor de edad, salta el formulario y escribe CSAM ESCALATION en el asunto: esos casos se atienden antes que todo lo demás.
support@spicyapi.ai: Cuentas, facturación y tareas que fallaron sin que volviera el importe retenido. Escribir no es la única vía: la consola exporta tus propios datos en JSON, destruye el contenido de una tarea terminada y puede cerrar la cuenta.
Investigación de seguridad: Publicamos un contacto legible por máquina en /.well-known/security.txt. Sondear los controles de acceso, los límites de solicitudes o la facturación exige autorización escrita previa a través de ese canal. No hay un programa de recompensas por vulnerabilidades al que podamos remitirte.

Tiempos de atención previstos

Un día hábil para acusar recibo de una denuncia en la que dejaste una dirección, tres días hábiles para la vía de escalado y diez para todo lo demás. Las solicitudes de privacidad se responden sin demora indebida y dentro del plazo que fije la ley que se te aplica.

Son objetivos, no tiempos de respuesta garantizados. La disponibilidad también es un objetivo y no un compromiso: no hay acuerdo de nivel de servicio ni créditos de servicio salvo que se firmen por separado.

Límite de política

La libertad creativa no elimina el consentimiento ni la ley.

Al usar un modelo sin censura, toda persona representada debe ser adulta y contar con consentimiento documentado. Se prohíben el contenido que involucre a menores, las imágenes íntimas no consentidas, el uso engañoso de la imagen o voz de una persona real, la explotación y el material ilegal en la jurisdicción aplicable. Estas obligaciones corresponden al cliente; la página de Uso aceptable establece las reglas y el Aviso de privacidad explica el tratamiento de datos asociado.