Politique de confidentialité

Qui exploite ce service. « spicyapi » est le nom commercial de la société qui exploite le service, et cette société est la partie avec laquelle vous contractez. Dans la suite, toute mention de « nous », « notre » ou « l’exploitant » désigne cette société.

1. Comment lire cette page

Chaque durée de conservation indiquée ci-dessous provient d’une clé de configuration ou d’une constante du service en production, et non d’une convention de rédaction. Lorsqu’une durée n’est pas encore fixée, cette page le dit au lieu d’avancer un chiffre simplement vraisemblable.

Deux points sont énoncés clairement dès le début, car une politique de confidentialité qu’il faut lire deux fois pour les trouver ne remplit pas son rôle :

• Nous stockons bel et bien vos prompts et vos résultats. Ils sont conservés pendant une durée définie, puis effacés. Une plateforme qui stocke des contenus tout en affirmant le contraire peut être démentie par une simple capture d’écran de sa propre console d’administration, et la version honnête — une durée définie, aucune utilisation pour l’entraînement et des exceptions écrites noir sur blanc — est un engagement plus fort qu’un démenti invérifiable.
• Nous ne sommes pas le dernier maillon de la chaîne. Votre prompt est transmis au fournisseur qui exploite le modèle que vous avez choisi, lequel en a besoin en clair pour générer un résultat. Aucune promesse de notre part ne peut aller plus loin que ce que ce fournisseur en fait.

L’exploitant est le responsable du traitement pour tout ce qui est décrit ci-dessous, et c’est cette société que désignent « nous » et « notre » sur cette page.

Elle est établie aux États-Unis, et le service y est exploité. Nous n’avons aucun établissement dans l’Union européenne : le mécanisme du guichet unique ne s’applique donc pas et il n’existe pas d’autorité de contrôle chef de file à notre égard ; vous pouvez néanmoins introduire une réclamation auprès de l’autorité de votre lieu de résidence. Tout ce qui suit décrit ce que fait réellement la plateforme.

2. Ce que nous enregistrons

2.1 Ce que vous soumettez et ce qui vous est renvoyé

Chaque durée de ce tableau est un plafond, et non une durée fixe : c’est la durée la plus longue pendant laquelle nous conserverons ces données, et c’est aussi la règle configurée sur le stockage lui-même. Vous pouvez demander moins — voir 2.7. Vous ne pouvez pas demander plus.

Le « environ » est délibéré pour les médias générés. Le stockage objet supprime les objets expirés selon son propre calendrier, généralement dans les 24 heures qui suivent l’échéance. Un « 14 jours » sans nuance serait une affirmation légèrement inexacte ; nous ne la faisons donc pas. Pour une référence importée, la limite d’accès est exacte : son URI devient inutilisable à l’instant expiresAt indiqué dans la réponse de validation (commit), fixé par défaut à 1 jour après la validation. Un délai de suppression lié au cycle de vie ne prolonge pas cette durée d’utilisation.

Les projets de court métrage bénéficient d’un délai plus long, car un film se construit sur plusieurs jours ou plusieurs semaines : une scène réalisée la première semaine doit encore exister au moment de l’export du film complet. Ce délai ne couvre que les médias créés dans un projet de court métrage de Spicy Studio et les films qui en sont exportés. Le même modèle appelé via l’API, le playground ou le canevas conserve le plafond de 14 jours, et le texte des prompts conserve dans tous les cas son plafond de 30 jours.

Votre bibliothèque de ressources et vos personnages. Les fichiers que vous ajoutez à votre bibliothèque de ressources, ou à celle d’une équipe, sont conservés jusqu’à ce que vous les supprimiez, et non pendant les durées du tableau ci-dessus, et ne sont accessibles que par une URL signée. Un personnage est une entrée de cette bibliothèque : un nom, une note facultative et un ensemble d’images qui sont déjà des ressources de la même bibliothèque. Ces images sont les ressources propres de la bibliothèque et non des copies distinctes : supprimer un personnage ne supprime pas ses images, il faut supprimer la ressource pour cela. L’espace de stockage est décompté uniquement selon le niveau de votre bibliothèque, sans plafond distinct pour les personnages. Si vous ajoutez à un personnage la photographie d’une personne réelle que vous avez vous-même téléversée, vous confirmez détenir les droits sur cette photographie et avoir le consentement de cette personne, et nous enregistrons le moment où vous avez donné cette confirmation. Les personnages et leurs images sont conservés jusqu’à ce que vous les supprimiez et sont supprimés avec votre compte ; les personnages d’une bibliothèque d’équipe sont supprimés à la fermeture de l’équipe. Tant qu’une conservation juridique (legal hold) visant le compte est en vigueur, une suppression ne fait que masquer l’élément pour vous, et les données sont conservées jusqu’à la levée de cette mesure. Nous n’analysons ni ne classons le contenu de la bibliothèque.

2.2 Votre compte

Adresse e-mail, hachage du mot de passe, toute identité Google ou GitHub associée, pays déterminé à l’inscription, et clé chiffrée servant à signer les callbacks de webhook qui vous sont envoyés. Si vous activez l’authentification multifacteur TOTP, nous conservons également sa graine sous forme chiffrée, ne conservons les codes de récupération que sous forme d’empreintes irréversibles, et enregistrons les horodatages relatifs au facteur et à son utilisation. Les codes de récupération en clair ne sont affichés qu’au moment de leur génération. Ces identifiants de compte ne sont utilisables que tant que le facteur concerné et le compte restent activés.

Les données de compte sont conservées tant que le compte existe. Lorsqu’une clôture sécurisée du compte aboutit, l’accès de connexion et les identités associées sont révoqués, le profil est désidentifié, et ne subsistent que les liens et les faits nécessaires au rapprochement des enregistrements de facturation, d’audit et de sécurité conservés. Les hachages de mots de passe, les clés de webhook, les graines TOTP et les empreintes des codes de récupération ne figurent jamais dans un export de données en libre-service.

Le pays d’inscription est enregistré parce que l’exclusion régionale prévue par les Conditions d’utilisation doit pouvoir être auditée a posteriori au regard de la décision effectivement prise à l’époque, et non en résolvant à nouveau une ancienne adresse.

Invitations. Si vous vous inscrivez via le lien d’invitation d’une autre personne, nous enregistrons quel compte vous a invité, le code d’invitation et la date de votre inscription. La personne qui vous a invité ne vous voit que sous la forme d’un libellé masqué — par exemple jo***@g***.com, ou les premiers caractères du nom d’un compte privé — accompagné du jour de votre arrivée et de l’indication que vous avez payé ou non. Elle ne voit jamais votre adresse e-mail, ce que vous générez, les modèles que vous utilisez ni aucun de vos paiements, et les récompenses qu’elle obtient ne lui sont présentées que sous forme de totaux portant sur l’ensemble des personnes qu’elle a invitées. Pour éviter que le programme d’invitation soit détourné, nous comparons, entre le compte invitant et le compte invité, un hachage irréversible de l’empreinte de la carte renvoyée par notre prestataire de paiement, ainsi que les adresses IP décrites en 2.3 ; une correspondance a pour seul effet de soumettre la récompense à un examen manuel, et nous ne recevons ni ne stockons jamais de numéros de carte. L’enregistrement indiquant que vous avez été invité est supprimé à la clôture de votre compte, et un code d’invitation est supprimé à la clôture du compte auquel il appartient. Les décisions relatives aux récompenses sont des enregistrements de facturation et sont conservées selon les mêmes règles que les autres (voir 2.6).

2.3 Sessions et appareils

Chaque session de connexion enregistre l’adresse IP, la chaîne user-agent du navigateur et le pays. Les modifications sensibles pour la sécurité et les événements d’authentification multifacteur donnent aussi lieu à un enregistrement de sécurité du compte contenant le type d’événement, l’heure, l’adresse IP, le user-agent du navigateur et des métadonnées non secrètes. Ces données servent à détecter les connexions inhabituelles, à enquêter sur les modifications du compte et à vous montrer vos propres sessions actives et votre activité de sécurité récente. Nous comparons également ces adresses entre deux comptes liés par une invitation, comme décrit en 2.2, afin d’éviter que le programme d’invitation soit détourné ; cette comparaison n’entraîne l’enregistrement d’aucune donnée supplémentaire.

Nous traitons l’adresse IP comme une donnée hautement sensible et non comme une télémétrie ordinaire, car dans un service de ce type, c’est le fil qui relie une personne à ce qu’elle a généré.

Quatre-vingt-dix jours après l’écriture d’un enregistrement, un traitement planifié remplace l’adresse IP et la chaîne user-agent par un hachage à clé — dans les sessions de connexion, les événements de sécurité du compte et les acceptations de politiques comme dans le journal d’audit. Il s’agit d’une pseudonymisation, et non d’une anonymisation : le hachage est stable, ce qui nous permet encore de savoir que deux enregistrements proviennent de la même adresse, et nous ne prétendons pas le contraire. L’adresse elle-même a disparu de la ligne et ne peut plus être relue.

2.4 Des métadonnées de tâche que vous ne vous attendez peut-être pas à nous voir conserver

Au-delà du contenu lui-même, chaque tâche comporte : les horodatages, la clé qui l’a soumise, la référence du fournisseur auquel la requête a été transmise, l’identifiant de tâche propre à ce fournisseur, la clé d’idempotence et l’URL de rappel. Les enregistrements anciens peuvent contenir une valeur de mode de contenu provenant d’anciens clients ; elle n’est utilisée ni pour le contrôle du contenu ni pour les décisions d’accès.

Ces lignes ne sont pas supprimées. L’effacement à 30 jours vide les champs du prompt et du résultat ; la ligne elle-même demeure, car elle est la seule trace de ce qui a été facturé, et une ligne supprimée signifie un compte impossible à rapprocher. Après effacement, une ligne pèse quelques centaines d’octets et ne contient aucun contenu.

Les événements de changement d’état et les enregistrements de livraison des webhooks sont conservés selon un calendrier de partitionnement dérivé d’un paramètre de 60 jours, avec un minimum de deux mois.

2.5 Signaux dérivés, conservés sans limite de durée

Avant l’effacement du prompt, un petit ensemble de signaux est extrait et conservé sans limite de durée. Il ne contient aucun texte libre : le nombre de caractères du prompt, son système d’écriture dominant (han, latin, cyrillique, etc. — délibérément pas sa langue), le nombre de ressources de référence jointes, et une empreinte des paramètres normalisés, dont tout texte libre et toute URL de ressource ont été retirés.

Ces signaux existent pour qu’il soit possible de répondre à des questions opérationnelles — quels modèles progressent, où se concentrent les échecs — sans que personne ne lise un prompt. Ils font aussi de la lecture d’un prompt un événement rare, et c’est précisément ce qui donne une quelconque valeur au journal d’audit qui l’entoure.

L’empreinte des paramètres est un résumé irréversible. Elle peut nous indiquer si deux tâches ont utilisé le même jeu de paramètres ; elle ne permet pas de retrouver les valeurs.

2.6 Facturation et audit

Les écritures du registre sont en ajout seul : elles ne sont jamais modifiées ni supprimées. Les commandes de recharge, les soldes des portefeuilles et les agrégats de dépenses journalières sont conservés à leurs côtés. Les actions administratives sont inscrites dans un journal d’audit dont les entrées sont reliées par une chaîne de hachage.

Les écritures du registre sont en ajout seul : le rôle de base de données qui fait fonctionner le service ne peut ni les modifier, ni les supprimer, ni les tronquer, si bien qu’un enregistrement de facturation ne peut pas changer discrètement après coup. Elles sont conservées aussi longtemps que le droit fiscal et comptable américain l’exige de nous, soit une durée qui se compte en années et qu’il ne nous appartient pas de raccourcir sur demande. Les enregistrements d’audit sont conservés deux ans, après quoi seul un préfixe continu et vérifié de la chaîne est supprimé, de sorte que la chaîne elle-même reste vérifiable.

Les factures portent vos propres coordonnées. Si vous émettez une facture ou un relevé d’utilisation depuis la console, nous stockons et imprimons le nom de facturation, le destinataire, l’adresse, le pays, l’e-mail de facturation et le numéro fiscal facultatif que vous saisissez, exactement tels que vous les avez saisis. Le numéro fiscal n’est là que pour pouvoir figurer sur le document ; il ne sert à rien d’autre. Vous fournissez toutes ces informations et nous n’en vérifions aucune — ni votre identité juridique, ni votre immatriculation fiscale, ni le numéro fiscal. Un document déjà émis conserve les coordonnées applicables lors de sa création, et les modifications ultérieures ne s’appliquent qu’aux nouveaux documents. Les documents émis sont des enregistrements de facturation et sont conservés sur la même base que les autres.

2.7 Nous demander de conserver moins

Les durées de la section 2.1 sont celles que nous appliquons, sauf indication contraire de votre part. Dans la console, vous pouvez définir des durées plus courtes pour quatre éléments séparément, car ils répondent à des questions différentes :

• Médias générés et résultats — d’une heure jusqu’à la durée par défaut.
• Médias de court métrage — d’une heure jusqu’à la durée par défaut d’environ 60 jours, pour les médias créés dans un projet de court métrage Spicy Studio et les films qui en sont exportés.
• Prompts et paramètres en texte libre — d’une heure jusqu’à la durée par défaut.
• Images de référence que vous importez — d’une heure jusqu’à la durée par défaut, ou destruction après usage, qui supprime le fichier dès que la tâche qui l’a utilisé atteint un état final.

Une requête peut, à elle seule, demander moins que le réglage de votre compte, au moyen de l’en-tête X-Spicy-Retention. Elle ne peut que raccourcir. Une requête ne peut pas revenir à une durée plus longue que celle autorisée par le compte, et ni l’une ni l’autre ne peut dépasser les plafonds de la section 2.1 — ainsi, un administrateur qui fixe une heure pour une organisation fixe une limite, et non une suggestion.

Nous ne proposons aucun moyen de conserver ces contenus plus longtemps, et nous ne présentons rien de tout cela comme une « conservation zéro » : la durée la plus courte est d’une heure, et le contenu est écrit sur le stockage avant d’être supprimé.

2.8 Détruire des contenus à la demande

Vous pouvez détruire à tout moment le contenu d’une tâche terminée, depuis la console ou via POST /api/v1/jobs/purge. Cette opération supprime les médias générés du stockage objet, le résultat stocké et le texte du prompt.

Il ne s’agit pas d’un remboursement, et cela ne modifie pas ce qui vous a été facturé. L’enregistrement de facturation de cette tâche — montant, heure, modèle, identifiant de requête — est conservé sur la base décrite en 2.6, car il est la seule preuve de ce que vous avez payé. Détruire un contenu supprime le contenu, pas le débit.

La tâche est ensuite marquée comme détruite par vous, et n’est jamais présentée comme ayant expiré d’elle-même. Ce sont deux événements différents et nous ne les confondons pas : l’un est une de nos règles qui s’exécute selon le calendrier, l’autre est une décision que vous avez prise. La destruction ne s’applique pas tant qu’une mesure de conservation juridique est en vigueur, pour la même raison que l’expiration ne s’applique pas — voir la section 7.

2.9 Les e-mails et notifications que nous vous envoyons

Nous envoyons trois types de messages, et seul le premier ne peut pas être désactivé.

• Messages liés au compte et au service — ils ne peuvent pas être désactivés. Les e-mails sans lesquels le compte ne peut pas fonctionner, par exemple la vérification de votre adresse, la réinitialisation du mot de passe, la confirmation d’un changement d’adresse e-mail, les invitations à un espace de travail, les réponses à vos demandes d’assistance et, si vous l’avez configurée, l’alerte de solde faible. Les avis de service en font aussi partie : une maintenance planifiée, une panne qui affecte vos requêtes, une question de sécurité, ou une modification de la présente politique ou des conditions d’utilisation avant son entrée en vigueur.
• Nouveautés produit — désactivables. Nouveaux modèles, changements de prix et fonctions de la console.
• Offres et annonces — désactivables. Des promotions occasionnelles.

Sur les comptes ouverts à partir du 6 octobre 2026, les deux types facultatifs sont activés dès le départ ; la page d’inscription l’indique avant la création du compte. Sur les comptes ouverts avant cette date, ils étaient désactivés au départ et le restent tant que vous ne les activez pas. Dans les deux cas, les deux interrupteurs se trouvent sur la page Notifications de la console. Tant qu’un interrupteur est désactivé, ce type de message n’arrive ni dans votre boîte de réception ni dans la cloche de notifications de la console.

Les désactiver. Qu’un interrupteur soit activé parce que votre compte a démarré ainsi ou parce que vous l’avez activé vous-même, vous pouvez le désactiver à tout moment, de deux façons :

• Depuis n’importe quel e-mail de nouveautés produit ou d’offres. Chacun se termine par un lien de désabonnement qui fonctionne sans connexion. Ouvrir le lien ne change rien à lui seul : il affiche une page sur laquelle vous confirmez, de sorte qu’un scanner de messagerie qui ouvre les liens à votre place ne peut pas vous désabonner par accident. Sur cette page, vous pouvez arrêter ce seul type ou les deux types facultatifs. Les applications de messagerie dotées de leur propre bouton de désabonnement en un clic nous envoient directement cette confirmation.
• Depuis la console, avec les deux mêmes interrupteurs, qui fonctionnent dans les deux sens.

Nous vérifions votre réglage au moment où chaque message est préparé pour vous, et pas seulement lorsqu’un envoi est programmé : un changement s’applique donc à tout ce qui n’est pas encore parti. Un message déjà remis à notre file d’envoi avant que vous ne désactiviez l’interrupteur peut encore arriver. La fermeture de votre compte désactive les deux.

Pourquoi les messages de service ne peuvent pas être désactivés. Ils font partie du fonctionnement du compte que vous avez ouvert ; ils ne servent pas à vous vendre quoi que ce soit :

• Sécurité du compte. Une réinitialisation de mot de passe, un changement de l’adresse avec laquelle vous vous connectez ou un problème de sécurité sur la plateforme : vous devez en être informé, même si vous ne liriez jamais une newsletter.
• Disponibilité du service. Votre solde est payé d’avance, et un logiciel appelle peut-être l’API sans surveillance de votre part ; une maintenance ou une panne change ce que ce logiciel reçoit en retour.
• Obligations légales. Certains avis sont exigés par la loi — informer les utilisateurs concernés d’une violation de leurs données personnelles, par exemple —, et la section 10 nous engage à annoncer les modifications substantielles de la présente politique avant leur entrée en vigueur.

Pour la même raison, un avis de service ne sert jamais à promouvoir quoi que ce soit. Un message dont l’objet principal est de vendre part comme une offre, et uniquement vers les comptes dont l’interrupteur des offres est activé.

Aucun suivi des ouvertures ni des clics. Ces e-mails ne contiennent ni pixel de suivi ni script. La seule image qu’ils contiennent, notre logo, est le même fichier à la même adresse pour tous les destinataires : son chargement ne nous apprend donc pas qui a ouvert quel message. Les liens mènent directement à leur destination : nous ne les faisons pas passer par une redirection et n’y ajoutons rien pour savoir qui a cliqué. Lorsqu’un lien doit vous être propre — lien de vérification, de réinitialisation du mot de passe ou de désabonnement —, il remplit cette seule fonction et aucune autre. Nous ne mesurons ni si vous avez ouvert un e-mail ni ce sur quoi vous y avez cliqué.

Qui les reçoit, et ce que nous conservons. Les avis de service, nouveautés produit et offres ne sont envoyés qu’aux titulaires d’un compte, et par e-mail uniquement à une adresse vérifiée ; un compte privé n’a pas d’adresse e-mail, si bien que tout ce que nous lui envoyons apparaît uniquement dans la console. Lorsqu’un envoi vise une partie des comptes plutôt que tous, nous les sélectionnons à partir d’informations dont nous disposons déjà : si le compte a déjà été rechargé, s’il dispose actuellement d’un solde, sa date de création, la date de sa dernière connexion ou de la dernière tâche soumise, ou — lorsque nous écrivons à des personnes précises — son adresse e-mail. Vos prompts, fichiers importés et résultats ne servent jamais à décider de ce que nous vous envoyons.

Nous conservons vos deux interrupteurs et la date de la dernière modification de vos réglages e-mail. Pour chaque avis de service, nouveauté produit ou offre qui vous est envoyé, nous enregistrons de quel envoi il s’agissait, l’adresse à laquelle il est parti, s’il a été distribué, s’il a échoué ou s’il a été ignoré — et pourquoi, par exemple parce que l’interrupteur avait été désactivé entre-temps —, ainsi que la date à laquelle vous vous êtes désabonné par son intermédiaire. Les e-mails de nouveautés produit et d’offres indiquent aussi notre adresse postale et l’interrupteur au titre duquel ils ont été envoyés. Le lien de désabonnement contient un code aléatoire dont nous ne conservons qu’une empreinte irréversible, et l’exemplaire de l’e-mail préparé pour vous est effacé de notre file d’envoi dès qu’il a été distribué ou définitivement abandonné. Ces enregistrements de distribution n’ont pas encore de durée de conservation propre ; comme l’indique la section 1, nous le disons plutôt que d’avancer un chiffre, et cette page sera modifiée lorsqu’une durée aura été fixée.

2.10 Rapports d’erreur envoyés par votre navigateur

Lorsqu’une page de ce site rencontre une erreur dans votre navigateur, elle nous envoie un bref rapport de diagnostic afin que nous puissions trouver et corriger le problème. Un rapport contient uniquement : le type d’erreur et une version abrégée de son message, dont sont retirés les adresses web, les paramètres de requête, les adresses e-mail, les jetons et les identifiants ; les noms des fichiers de code et les positions de ligne où l’erreur s’est produite ; la page concernée, sous la forme d’un modèle de route sans paramètres de requête et dont les identifiants sont remplacés par des marqueurs ; la famille du navigateur et le type d’appareil, téléphone ou ordinateur ; la langue de la page ; la version du site ; et le fait que la page paraissait, ou non, traduite automatiquement ou modifiée par une extension du navigateur.

Un rapport ne contient jamais votre adresse IP, votre compte, des cookies, des prompts, le contenu de la page ni son adresse complète, et nous ne conservons à côté rien qui permettrait de le relier à vous ou à un autre enregistrement que nous détenons. Une page envoie au plus cinq rapports, et un onglet au plus vingt ; pour faire respecter cette limite, la page tient un simple compteur dans le stockage de session de votre navigateur, effacé à la fermeture de l’onglet. Les navigateurs automatisés et les robots d’exploration des moteurs de recherche n’en envoient aucun. Les rapports sont conservés chez le fournisseur d’infrastructure qui sert déjà ce site (voir la section 5) et supprimés automatiquement au bout de trois mois.

3. Ce que nous ne faisons pas

• Nous n’utilisons pas vos prompts, vos fichiers importés ni vos résultats pour entraîner quelque modèle que ce soit, et nous ne commencerons pas à le faire sans vous le demander séparément et explicitement. Cet engagement vaut pour nos propres systèmes. Ce que le fournisseur qui exécute une requête peut faire de ces entrées est régi par des conditions que nous ne rédigeons pas ; la section 5 explique cette limite.
• Nous n’exécutons aucun script publicitaire et ne pratiquons aucun suivi intersites. Nous utilisons en revanche Google Analytics pour mesurer la fréquentation de ce site, et il fonctionne pour tous les visiteurs. Les fonctionnalités publicitaires, la personnalisation des annonces et Google Signals sont purement et simplement désactivés — et pas seulement inutilisés —, de sorte que la mesure ne peut pas être transformée en audience publicitaire. Nous ne lui transmettons jamais votre identifiant de compte, votre e-mail, vos prompts ni vos résultats.
• Nous ne vendons ni ne louons de données personnelles.
• Nous ne revendiquons pas de chiffrement de bout en bout, et nous préférons expliquer pourquoi plutôt que d’emprunter ce terme. Le fournisseur du modèle a besoin de votre prompt en clair pour générer un résultat : aucune architecture dans laquelle nous transmettons votre requête ne peut rendre votre contenu illisible pour tous sauf vous. Quiconque vous présente une API d’inférence de cette manière décrit autre chose.

4. Cookies

Deux cookies sont strictement nécessaires : l’un vous maintient connecté, l’autre protège les formulaires contre la falsification de requêtes intersites. Aucun des deux ne peut être refusé, car le site ne peut pas remplir sa fonction sans eux.

Liens d’invitation. Lorsque vous ouvrez un lien contenant un code d’invitation, le site enregistre ce code dans un cookie interne (spicy_ref) pendant 30 jours au maximum, afin de pouvoir le rattacher à votre compte si vous en créez un. Si vous vous inscrivez ensuite avec Google ou GitHub, le code est acheminé tout au long de cette connexion dans un second cookie qui dure dix minutes. Ces deux cookies ne contiennent que le code, ne servent jamais à la mesure d’audience ni à la publicité, et sont supprimés dès que vous vous inscrivez ou vous connectez.

Les cookies de mesure d’audience sont distincts. Google Analytics fonctionne pour tous les visiteurs de ce site et dépose son propre cookie de mesure pour distinguer une visite de retour d’une nouvelle visite ; le bandeau affiché lors de votre première visite vous l’indique. Le site ne propose aucun réglage pour le désactiver. Si vous ne souhaitez pas être mesuré, installez le module de désactivation de Google Analytics proposé par Google : il l’arrête complètement. Bloquer seulement les cookies de ce site dans votre navigateur l’empêche de reconnaître une visite de retour, mais les pages que vous consultez restent comptabilisées. Il n’y a aucun cookie publicitaire ni de profilage.

En production, les deux cookies portent le préfixe __Host-. Ce préfixe est une règle stricte appliquée par le navigateur, et non une simple convention : il impose Secure, impose Path=/ et interdit l’attribut Domain — si bien qu’aucun autre hôte du domaine ne peut écrire un cookie que notre origine lirait. Il élimine aussi toute une catégorie d’attaques par fixation de session. En HTTP simple, lors du développement local, le navigateur rejetterait d’emblée un cookie __Host- ; les builds de développement se rabattent donc sur le nom sans préfixe, ce que ne fait pas la production.

5. Qui d’autre traite vos données

Le fournisseur du modèle fixe la limite de chaque promesse de cette page. Nous pouvons nous engager sur ce qui se passe au sein de nos propres systèmes. Nous ne pouvons pas nous engager au nom d’un fournisseur dont nous ne rédigeons pas les conditions. Certains fournisseurs de ce marché se réservent le droit d’entraîner des modèles sur les entrées ; d’autres ne disent rien à ce sujet, ce qui n’équivaut pas à un démenti.

Lorsque Stripe est configuré et que vous choisissez d’enregistrer une carte ou d’effectuer une recharge, la page de paiement est hébergée par Stripe. Pour les comptes privés, nous n’envoyons aucune adresse e-mail. Nous stockons les références opaques de Stripe relatives au client, au moyen de paiement, à la configuration et à la transaction ; un libellé masqué du moyen de paiement ; un hachage irréversible de l’empreinte de la carte renvoyée par Stripe, utilisé uniquement pour reconnaître une même carte employée sur plusieurs comptes dans le cadre du programme d’invitation ; vos paramètres de recharge automatique et l’état de votre consentement ; les montants, états, horodatages et références d’idempotence. Nous ne recevons ni ne stockons le numéro de carte complet ni les identifiants de banque en ligne. Pour la recharge manuelle, nous stockons l’identifiant de la commande, le montant, l’état, les horodatages et la référence de paiement externe utilisée pour le rapprochement.

6. Transferts internationaux

Le service s’adresse à des développeurs du monde entier, et les parties mentionnées à la section 5 opèrent à l’échelle mondiale. Vos données seront traitées en dehors du pays où vous vous trouvez.

Nous sommes établis aux États-Unis. Lorsque des données personnelles quittent l’Espace économique européen, le Royaume-Uni ou la Suisse, nous nous appuyons sur les clauses contractuelles types de la Commission européenne, complétées par leur addendum britannique. Il s’agit d’une garantie juridique, et non technique : elle lie le destinataire, et elle ne change rien au fait, indiqué plus haut, que votre prompt parvient en clair au fournisseur du modèle que vous avez choisi.

7. Effacement, mesures de conservation et sauvegardes

Lorsque l’échéance des 30 jours est atteinte, un traitement de maintenance vide les champs du prompt et du résultat des tâches arrivées à expiration. Deux verrous sont intégrés à ce traitement lui-même, et non au calendrier de déploiement :

• Une tâche dont les signaux dérivés n’ont pas encore été extraits n’est jamais vidée. Si l’extraction se bloque, l’effacement se bloque avec elle — l’autre option serait un trou permanent dans les données, impossible à combler.
• Une tâche visée par une mesure de conservation juridique n’est jamais vidée. Ces mesures ne jouent que dans un sens : elles prolongent la durée de vie des données et ne peuvent jamais les faire disparaître plus tôt. Chaque mesure est réexaminée, et toute mesure restée ouverte plus de 90 jours est signalée, car une table remplie de mesures à durée indéterminée annule silencieusement la politique de conservation alors que la page publique indique toujours 30 jours.

Ces mesures existent parce que les litiges survivent aux durées de conservation. Une rétrofacturation par carte peut survenir des mois après la tâche, et à ce moment-là, l’enregistrement dont nous avons besoin est précisément celui que nous aurions sinon effacé.

Sauvegardes. Les sauvegardes de la base de données sont conservées 35 jours. Les données que vous avez supprimées subsistent dans ces sauvegardes chiffrées jusqu’à leur rotation. Pendant cette période, elles ne sont utilisées à aucune fin et sont exclues de toute restauration.

8. Vos droits

Selon votre lieu de résidence, vous pouvez disposer de droits d’accès, de rectification, d’effacement, de limitation, d’opposition ou de portabilité à l’égard de vos données, ainsi que du droit d’introduire une réclamation auprès d’une autorité de contrôle.

Trois limites, énoncées honnêtement et d’emblée :

• Le registre ne peut pas être effacé. Les enregistrements financiers sont conservés en application du droit fiscal et comptable ; une demande de suppression ne les atteint pas.
• Une mesure de conservation juridique prime sur une demande de suppression pour les données qu’elle vise, aussi longtemps qu’elle est en vigueur.
• L’effacement n’est pas instantané. Le stockage objet supprime les objets expirés selon son propre calendrier, et les sauvegardes tournent sur 35 jours.

Après une nouvelle vérification de sécurité, la console propose un export JSON en libre-service couvrant votre profil, vos propres appartenances à des espaces de travail, les métadonnées des clés API sans les secrets, les données de tâches telles qu’elles sont actuellement conservées, les conversations avec l’assistance, les modèles suivis et les préférences, ainsi que les enregistrements de facturation, y compris les paramètres de recharge automatique sans les identifiants de paiement. Il ne contient ni éléments de mot de passe ou de clé, ni graines d’authentification multifacteur, ni codes de récupération, ni enregistrements internes de transmission aux fournisseurs, ni fichiers binaires des médias. Les médias restent soumis aux durées de conservation indiquées plus haut.

La clôture du compte en libre-service exige une nouvelle vérification d’identité : votre mot de passe actuel ou, si votre compte n’a pas de mot de passe, un code à usage unique envoyé à l’adresse e-mail du compte. Elle n’annule pas une tâche acceptée, et elle est bloquée tant que des tâches sont en cours ou non réglées, qu’un paiement de recharge est encore en cours de traitement, que le compte doit de l’argent, ou qu’un espace de travail d’équipe a encore besoin d’un propriétaire. Une demande bloquée est enregistrée avec un état indiquant ce qu’il faut faire, au lieu d’être présentée comme terminée. Lorsque la clôture peut se faire en toute sécurité, les sessions et les clés API sont révoquées, le profil est désidentifié et le contenu des tâches est effacé, sauf si une conservation de preuve active s’applique. Les éléments financiers, d’audit, de sécurité et les éléments minimaux de rapprochement subsistent, dans les limites indiquées plus haut ; la console ne présente pas ce résultat comme une suppression physique.

Toute demande que la console ne permet pas de traiter est à adresser à support@spicyapi.ai et est examinée par une personne. Nous répondons dans les meilleurs délais et dans le délai que fixe la loi qui vous est applicable.

9. Mineurs

Le service est destiné aux adultes. Vous devez avoir au moins 18 ans pour détenir un compte, et nous ne collectons pas sciemment de données auprès de personnes n’ayant pas atteint cet âge. Si vous pensez que nous détenons des données concernant un mineur, signalez-le-nous à support@spicyapi.ai et nous les supprimerons — sauf lorsqu’elles se rapportent à un matériel présumé relatif à des abus sexuels sur enfants, que la loi nous impose de préserver et de signaler plutôt que de supprimer.

10. Modifications

Les modifications substantielles sont annoncées avant leur entrée en vigueur. Comme les durées de conservation sont lues dans la configuration en production, la modification de l’une d’elles change ce qu’indique cette page — toute modification de ce type est donc traitée comme une modification de la présente politique et annoncée de la même manière.

11. Contact

support@spicyapi.ai — aussi bien pour les questions de confidentialité que pour les signalements de contenus interdits. La page de signalement explique le second cas.