Centre de confiance

Des contrôles clairs. Des limites fermes. Aucun label emprunté.

Cette page présente les contrôles que nous pouvons décrire aujourd’hui et les affirmations que nous ne faisons pas. Un logo fournisseur, une interface soignée ou une icône de chiffrement ne prouvent aucune certification ; sans preuve publique, nous le disons.

Avis de confidentialité Utilisation acceptable

Notre position

La confiance commence par une affirmation vérifiable.

SpicyAPI affiche pour chaque modèle les entrées prises en charge, la disponibilité actuelle, le prix et les limites d’utilisation. L’utilisateur choisit son modèle et chaque tâche acceptée reçoit un identifiant traçable. Nous ne présentons ni un contrôle prévu comme un audit achevé, ni la certification d’un tiers comme la nôtre.

Ce que deviennent vos envois

Vos prompts et vos résultats ne deviennent jamais nos données d’entraînement.

Nous les stockons, pendant une durée qui prend fin. Prétendre le contraire serait démenti par une seule capture d’écran de notre propre console, alors voici la version qui résiste à l’examen : ce qui est conservé, à quoi cela sert, et la seule limite qu’aucune architecture ne peut supprimer.

Lire la politique de confidentialité

Conservés, puis effacés: Les prompts, les paramètres en texte libre et les références de résultat restent 30 jours dans l’enregistrement de tâche, puis ces champs sont vidés. La ligne, elle, subsiste : c’est le seul justificatif de ce qui vous a été facturé. Après effacement, elle pèse quelques centaines d’octets et ne contient aucun contenu.
Ni entraînement, ni revente: SpicyAPI n’utilise pas vos prompts, vos fichiers envoyés ni vos résultats pour entraîner un modèle, et nous ne commencerons pas sans vous le demander séparément et explicitement. Nous ne vendons ni ne louons de données personnelles. Au-delà de nos propres systèmes, le service de modèle qui exécute votre requête traite cette entrée selon ses propres conditions : la politique de confidentialité décrit cette limite, que nous ne pouvons pas garantir à sa place.
Aucune publicité, aucun suivi inter-sites: Il existe trois cookies : l’un vous maintient connecté, l’autre protège les formulaires contre la falsification de requête inter-sites, et le troisième, déposé par Google Analytics, mesure la fréquentation du site. Ses fonctionnalités publicitaires et Google Signals sont désactivés, et il ne reçoit jamais votre compte, vos prompts ni vos résultats.
Des compteurs, pas du texte libre: Avant l’effacement d’un prompt, nous conservons quelques indicateurs le concernant : nombre de caractères, système d’écriture, nombre de fichiers de référence joints et une empreinte à sens unique des paramètres. Aucun texte libre n’y figure, et l’empreinte ne permet pas de retrouver les valeurs.

La limite que nous n’habillerons pas

Pour produire un résultat, le service de modèle qui exécute votre requête a besoin du prompt en clair. Dès lors que nous transmettons cette requête, aucun montage ne peut la rendre illisible pour tout le monde sauf vous. Nous ne revendiquons donc pas de chiffrement de bout en bout et nous ne prenons pas d’engagement à la place de conditions que nous n’avons pas rédigées.

Conservation

Chaque catégorie a son horloge. Trois sont à vous.

Les durées ci-dessous sont des plafonds, lus dans la configuration en service et non choisis pour remplir un document. Les fichiers générés, le texte des prompts et les références importées peuvent chacun être réglés plus court que le chiffre du tableau — jamais plus long, car ce sont les valeurs que les règles de stockage appliquent elles-mêmes. Une obligation légale de conservation peut faire vivre un enregistrement plus longtemps ; seul votre propre réglage peut le faire partir plus tôt.

Jusqu’à 30 jours

Prompts et références de résultat

Une tâche de maintenance vide ces deux champs de l’enregistrement. Réglez l’horloge plus court et la même tâche travaillera jusqu’à votre date. Dans les deux cas, deux verrous y sont inclus : une tâche sous obligation de conservation n’est jamais vidée, et une tâche dont les indicateurs d’usage n’ont pas encore été extraits non plus.

Jusqu’à environ 14 jours

Images, vidéos et audio générés

Le stockage supprime les objets expirés selon son propre calendrier, généralement dans la journée qui suit leur expiration. Les durées plus courtes utilisent notre processus de nettoyage, qui s’exécute normalement sous quelques minutes ; la durée indiquée reste approximative et ne promet pas une suppression à la seconde exacte.

Jusqu’à 1 jour

Fichiers de référence que vous envoyez

L’URI d’import cesse de fonctionner à son expiration. La suppression de l’objet peut suivre jusqu’à 24 heures plus tard, et ce décalage n’allonge pas la durée d’utilisation du fichier. Réglez les imports pour qu’ils partent dès la fin de la tâche et ce décalage disparaît en pratique.

90 jours

Adresse IP et agent utilisateur

Elles sont ensuite remplacées sur place par une empreinte à clé — dans les sessions de connexion, les événements de sécurité, les acceptations de politique et le journal d’audit. C’est de la pseudonymisation, pas de l’anonymisation : l’empreinte est stable, deux enregistrements venus de la même adresse se recoupent toujours. L’adresse elle-même a quitté la ligne et ne peut plus être relue.

35 jours

Sauvegardes de base de données

Les données que vous avez supprimées restent dans des sauvegardes chiffrées jusqu’à leur rotation. Pendant cette période, elles ne servent à rien et sont exclues de toute restauration.

Des années

Écritures comptables et journaux d’audit

Le grand livre est en ajout seul — le rôle de base de données qui fait tourner le service ne peut ni le modifier, ni le supprimer, ni le vider — et il est conservé aussi longtemps que l’exigent le droit fiscal et comptable des États-Unis. Les journaux d’audit sont conservés deux ans, et seul un préfixe continu et vérifié de la chaîne en est retiré.

Trois limites sont formulées de la même façon dans la politique de confidentialité : la suppression n’est pas instantanée, le grand livre n’est pas effaçable, et une conservation légale active l’emporte sur une demande de suppression.

Vos réglages

Raccourcissez la conservation. Supprimez à la demande.

Une durée de conservation que vous ne pouvez pas changer est une information. Ces quatre-là sont des commandes : trois horloges que vous réglez et un appel qui met fin à un travail plus tôt. Chacune ne fait que raccourcir la vie de quelque chose ; rien ici ne dépasse le tableau ci-dessus.

Trois horloges, réglées séparément: Fichiers générés, texte des prompts et références importées répondent à trois questions différentes : ce sont donc trois réglages, et non trois crans sur un même bouton. Chacun s’applique à tout le compte, et une requête isolée peut descendre plus bas encore avec un simple en-tête. C’est toujours la plus courte des trois valeurs qui l’emporte : un réglage de compte plus strict ne se laisse pas convaincre par une requête.
Par défaut, le réglage le plus large: Un nouveau compte démarre au plafond, exactement là où la plateforme s’est toujours tenue. Resserrer est votre choix, et les conséquences sont écrites à côté de chaque option avant l’enregistrement. Un réglage de confidentialité qui fait disparaître sans bruit la référence de quelqu’un dès le deuxième jour n’en est pas un.
Des références qui ne survivent pas à la tâche: Les imports peuvent être réglés pour partir dès que la tâche qui les utilise atteint un état final — terminée, échouée ou annulée, et non au moment de l’envoi, car une reprise a besoin du fichier. Le compromis est réel et nous préférons le dire : relancer la même référence veut dire la réimporter.
Détruire vous-même une tâche terminée: Un appel retire les résultats de cette tâche, la réponse stockée et le texte du prompt. Il n’y a pas d’étape de validation ni personne à qui demander ; demander deux fois n’est pas une erreur. Ensuite la tâche se lit comme détruite par vous, ce qui n’est pas la même phrase qu’expirée — notre propre ménage n’a pas à s’attribuer votre décision.

Ce que la destruction laisse volontairement

L’écriture de facturation reste : montant, date, modèle, identifiant de requête et état final de la tâche. Elle constitue la preuve nécessaire pour examiner des frais contestés. Un solde modifiable en effaçant l’historique serait moins fiable. La suppression retire le contenu, pas la preuve de paiement.

Là où elle n’atteint pas

La destruction laisse subsister les données de facturation et les sauvegardes chiffrées pendant leurs durées de conservation indiquées, et ne peut pas supprimer les fichiers déjà téléchargés. La tâche est marquée comme détruite lorsque le nettoyage est programmé ; les fichiers sont ensuite supprimés en arrière-plan, normalement sous une minute. L’enregistrement de la tâche indique si la suppression des fichiers reste en attente.

Identifiants

Partez du principe qu’une clé fuitera. Encadrez-la avant.

Une clé confiée à un prestataire devrait pouvoir moins de choses que celle de votre propre backend. Chaque limite ci-dessous se règle par clé, se modifie ensuite, et se tranche dans la transaction qui crée la tâche — pas lors d’un rapprochement le lendemain matin.

Les limites de clé dans les conditions

Affichée une fois, stockée sous forme de hachage: La clé complète n’apparaît qu’une seule fois, juste après sa création. Nous n’en conservons qu’un hachage : personne ne peut relire une clé perdue. La révoquer et la remplacer, c’est tout ce qui reste possible.
Trois plafonds indépendants: Un plafond quotidien, un budget mensuel et un plafond cumulé, fixés par vous. Le plafond quotidien est celui à fixer en premier, parce que c’est lui qui arrête une clé volée avant que vous n’ayez lu l’alerte. Les montants réservés pour des tâches non soldées pèsent eux aussi sur le budget.
Liste de modèles, adresses IP autorisées, date d’expiration: Une clé peut être restreinte à des modèles nommés, à des adresses source précises et à une date après laquelle elle cesse de fonctionner d’elle-même. Une liste vide signifie : aucune restriction sur cet axe — ce devrait être une décision, pas un oubli.
La révocation s’applique dès la requête suivante: Les appels faits avec cette clé sont refusés à partir de là. Les tâches déjà acceptées se poursuivent et restent facturées, car l’acceptation est le point de non-retour. La date et l’adresse de dernier usage sont affichées : vous voyez si la clé a servi avant que vous ne vous en aperceviez.

Les clés ne portent que des limites opérationnelles. Il n’existe aucun droit de contenu à accorder ou à retirer : ce qu’un modèle produit est une propriété du modèle que vous avez choisi.

De notre côté

Les parties que vous ne pouvez pas vérifier de l’extérieur.

Les durées de conservation et les limites de clé, vous les vérifiez depuis votre propre console. Pas celles-ci — elles sont donc écrites ici, sous une forme dont nous devrons répondre.

La console d’exploitation est un service distinct: Elle tourne dans son propre processus, sous son propre nom d’hôte, derrière son propre tunnel et sa propre couche d’accès. Le service public n’enregistre pas du tout ces routes : depuis l’hôte de l’API, il n’y a aucun chemin d’administration à trouver.
Aucun port entrant sur le serveur d’origine: Chaque service atteint Internet par un tunnel sortant, il n’y a donc aucun port ouvert à scanner. Le serveur d’origine revérifie aussi, avant toute autre chose, que la requête est bien passée par la périphérie, et répond à un échec par un simple 404 plutôt que par un diagnostic.
L’argent ne bouge qu’à la main: Une recharge, un ajustement ou un remboursement est une demande immuable, avec son propre condensat de charge utile et sa propre échéance, exécutée à la main par un administrateur depuis une console qui est un service distinct derrière sa propre couche d’accès. Posséder un compte n’inclut pas de pouvoir en déplacer les fonds.
Les actions d’administration forment une chaîne de hachages: Chaque entrée porte l’empreinte de la précédente : une entrée retirée ou modifiée rompt la chaîne. Aucun point de terminaison n’écrit ni ne supprime une entrée d’audit, et le rôle de base de données qui fait tourner le service ne peut pas davantage la modifier ou la supprimer.

Ce que ce n’est pas : un audit indépendant. Une chaîne que nous vérifions nous-mêmes montre seulement que nos propres enregistrements sont cohérents entre eux. Ce n’est pas la signature d’un tiers, et nous ne la présentons pas comme telle.

Registre de transparence

Ce qui est visible et les garanties que nous ne revendiquons pas.

Publié dans le produit

Disponibilité, schéma d’entrée, prix unitaire, état des tâches, facturation, identifiants, résumés de politique et journal daté. Ce sont des informations produit, pas une assurance tierce.

Non revendiqué ici

SOC 2, ISO 27001, PCI DSS, éligibilité HIPAA, test d’intrusion indépendant, SLA de disponibilité contractuel, résidence des données universelle ou conservation zéro universelle. Sur la disponibilité, nous publions un objectif et non une garantie : 99,9 % pour notre propre couche — acceptation des requêtes, acceptation des tâches, remise des callbacks — avec l’état en direct sur status.spicyapi.ai. Un objectif n’ouvre droit à aucun crédit de service, remboursement ou autre indemnisation, et il exclut les services de modèles tiers qui exécutent une génération. Le silence ne vaut pas certification.

Transparence opérationnelle

Les informations publiées séparent nettement la disponibilité du moment, l’état des tâches, les tarifs et les règles de contenu des certifications ou garanties. Ne vous fiez qu’aux engagements présentés comme en vigueur et applicables.

Quand quelque chose ne va pas

Une adresse, une personne en face, et aucune inspection entre les deux.

Les requêtes ne sont pas examinées une par une. Ce qui existe, c’est un canal de signalement, une conservation de pièces qui démarre après un signalement ou une mise en demeure, et un recours lu par quelqu’un d’autre que la personne qui a tranché en premier.

Ouvrir la page de signalement

support@spicyapi.ai: Contenus interdits, demandes relatives à la confidentialité et notifications juridiques. Décrivez le problème et donnez l’identifiant de tâche ou de requête ; ne joignez jamais le contenu lui-même. Pour un contenu sexuel impliquant une personne mineure, n’utilisez pas le formulaire et inscrivez CSAM ESCALATION en objet — ces cas passent avant tout le reste.
support@spicyapi.ai: Questions de compte, de facturation ou réservation non restituée après une tâche échouée. Vous pouvez aussi utiliser la console pour exporter vos données en JSON, supprimer le contenu d’une tâche terminée ou fermer le compte.
Recherche en sécurité: Un contact lisible par machine est publié sur /.well-known/security.txt. Sonder les contrôles d’accès, les limites de débit ou la facturation exige une autorisation écrite obtenue au préalable par ce canal ; il n’existe aucun programme de prime aux bogues vers lequel vous orienter.

Délais de traitement visés

Un jour ouvré pour accuser réception d’un signalement où vous avez laissé une adresse, trois jours ouvrés pour la voie d’escalade, dix pour le reste. Les demandes relatives à la confidentialité reçoivent une réponse sans retard indu, dans le délai que fixe le droit qui vous est applicable.

Ce sont des objectifs, pas des délais de réponse garantis. La disponibilité est elle aussi un objectif et non un engagement : il n’existe ni accord de niveau de service ni crédits de service, sauf s’ils sont signés séparément.

Limite de politique

La liberté créative n’annule ni consentement ni loi.

Lorsqu’un client utilise un modèle sans censure, toute personne représentée doit être majeure et avoir consenti de façon documentée. Sont interdits : les mineurs, les images intimes non consenties, l’usage trompeur du visage ou de la voix d’une personne réelle, l’exploitation, et tout contenu illégal dans la juridiction concernée. Ces obligations incombent au client ; la page Utilisation acceptable énonce les règles et l’Avis de confidentialité explique le traitement des données associées.