Informativa sulla privacy

Chi gestisce questo servizio. «spicyapi» è il nome commerciale della società che gestisce il servizio, ed è la parte con cui concludi il contratto. Ogni riferimento che segue a «noi», «ci» o «il gestore» indica tale società.

1. Come leggere questa pagina

Ogni periodo di conservazione indicato di seguito è ricavato da una chiave di configurazione o da una costante del servizio in esecuzione, non da una convenzione redazionale. Quando un periodo non è ancora stato deciso, questa pagina lo dice, invece di proporre un numero che sembri plausibile.

Due cose vengono dichiarate apertamente fin dall’inizio, perché un’informativa sulla privacy che va letta due volte per trovarle non sta facendo il suo lavoro:

• Conserviamo davvero i tuoi prompt e i tuoi output. Vengono conservati per un periodo definito e poi cancellati. Una piattaforma che conserva i contenuti mentre afferma di non farlo può essere smentita da un solo screenshot della sua stessa console di amministrazione, e la versione onesta (una finestra definita, nessun uso per l’addestramento e le eccezioni messe per iscritto) è un impegno più solido di una smentita non verificabile.
• Non siamo l’ultimo anello della catena. Il tuo prompt viene trasmesso al fornitore che gestisce il modello che hai scelto, il quale ne ha bisogno in chiaro per generare un risultato. Nessuna nostra promessa può essere più forte di ciò che quel fornitore ne fa.

Il gestore è il titolare del trattamento per tutto quanto descritto di seguito, ed è la società a cui si riferiscono «noi» e «ci» in questa pagina.

Ha sede negli Stati Uniti e il servizio è gestito da lì. Non abbiamo uno stabilimento nell’Unione europea, pertanto il meccanismo dello sportello unico non si applica e non esiste un’autorità di controllo capofila competente nei nostri confronti; puoi comunque presentare un reclamo all’autorità del luogo in cui vivi. Tutto ciò che segue descrive ciò che la piattaforma fa effettivamente.

2. Che cosa registriamo

2.1 Ciò che invii e ciò che ricevi

Ogni periodo indicato in questa tabella è un limite massimo, non una durata fissa: è il tempo più lungo per cui conserveremo quei dati ed è anche la regola configurata sullo storage stesso. Puoi chiedere di meno: vedi 2.7. Non puoi chiedere di più.

Per i media generati, «circa» è voluto. Lo storage a oggetti rimuove gli oggetti scaduti secondo una propria pianificazione, in genere entro 24 ore dal momento della scadenza. Un «14 giorni» secco sarebbe un’affermazione leggermente falsa, quindi non la facciamo. Per un riferimento caricato, il limite di accesso è esatto: il suo URI diventa inutilizzabile al momento indicato da expiresAt nella risposta di commit, che per impostazione predefinita è 1 giorno dopo il commit. Un eventuale ritardo nell’eliminazione prevista dal ciclo di vita dello storage non prolunga tale periodo di utilizzabilità.

I progetti di cortometraggio hanno il periodo più lungo perché un film si realizza nell’arco di giorni o settimane: una scena creata nella prima settimana deve esistere ancora quando si esporta il film completo. Il periodo riguarda solo i media creati all’interno di un progetto di cortometraggio in Spicy Studio e i film esportati da esso. Lo stesso modello richiamato tramite l’API, il playground o il canvas mantiene il limite massimo di 14 giorni, e il testo dei prompt mantiene in entrambi i casi il proprio limite massimo di 30 giorni.

La tua libreria delle risorse e i personaggi. I file che aggiungi alla tua libreria delle risorse, o a quella di un team, vengono conservati fino a quando non li elimini, e non per i periodi indicati nella tabella qui sopra, e sono raggiungibili solo tramite un URL firmato. Un personaggio è una voce di quella libreria: un nome, una nota facoltativa e un insieme di immagini che sono già risorse della stessa libreria. Quelle immagini sono le risorse proprie della libreria, non copie separate, e l’eliminazione di un personaggio non elimina le sue immagini; per farlo elimini la risorsa. Lo spazio di archiviazione viene conteggiato soltanto in base al livello della tua libreria, senza un limite distinto per i personaggi. Se aggiungi a un personaggio la fotografia di una persona reale che hai caricato tu stesso, confermi di detenere i diritti su di essa e di avere il consenso di quella persona, e registriamo il momento in cui hai dato tale conferma. I personaggi e le loro immagini vengono conservati fino a quando non li elimini e sono eliminati insieme al tuo account; i personaggi nella libreria di un team sono eliminati alla chiusura del team. Finché è in vigore un blocco legale (legal hold) a livello di account, l’eliminazione nasconde l’elemento soltanto a te, e i dati restano conservati fino alla revoca del blocco. Non analizziamo né classifichiamo il contenuto della libreria.

2.2 Il tuo account

Indirizzo email, hash della password, eventuali identità Google o GitHub collegate, il Paese determinato alla registrazione e la chiave cifrata usata per firmare le callback webhook che ti inviamo. Se attivi l’autenticazione a più fattori TOTP, conserviamo anche il relativo seed in forma cifrata, conserviamo i codici di recupero solo come digest unidirezionali e registriamo le marche temporali relative ai fattori e al loro utilizzo. I codici di recupero in chiaro vengono mostrati solo al momento della generazione. Queste credenziali dell’account sono utilizzabili solo finché il fattore interessato e l’account restano attivi.

I dati dell’account vengono conservati finché l’account esiste. Quando una chiusura sicura dell’account si completa, l’accesso e le identità collegate vengono revocati, il profilo viene deidentificato e restano solo i collegamenti e i fatti necessari per riconciliare le registrazioni di fatturazione, di audit e di sicurezza conservate. Gli hash delle password, le chiavi webhook, i seed TOTP e i digest dei codici di recupero non sono mai inclusi in un’esportazione self-service dei dati.

Il Paese di registrazione viene memorizzato perché l’esclusione regionale prevista nei termini deve poter essere verificata in seguito rispetto alla decisione effettivamente presa in quel momento, e non risolvendo di nuovo un vecchio indirizzo.

Inviti. Se ti registri tramite il link di invito di qualcuno, registriamo quale account ti ha invitato, il codice di invito e il momento della tua registrazione. Chi ti ha invitato ti vede soltanto come un’etichetta mascherata – per esempio jo***@g***.com, oppure i primi caratteri del nome di un account privato – insieme al giorno in cui ti sei unito e all’indicazione se hai pagato. Non vede mai il tuo indirizzo email, ciò che generi, quali modelli usi né alcuno dei tuoi pagamenti, e le ricompense che guadagna gli vengono mostrate solo come totali su tutte le persone che ha invitato. Per evitare un uso improprio del programma di inviti, confrontiamo tra l’account che invita e quello invitato un hash unidirezionale dell’impronta della carta restituita dal nostro fornitore di pagamenti e gli indirizzi IP descritti in 2.3; una corrispondenza fa solo sì che la ricompensa venga sottoposta a verifica manuale, e non riceviamo né memorizziamo mai numeri di carta. La registrazione del fatto che sei stato invitato viene eliminata alla chiusura del tuo account, e un codice di invito viene eliminato alla chiusura dell’account a cui appartiene. Le decisioni sulle ricompense sono registrazioni di fatturazione e vengono conservate con gli stessi criteri delle altre (vedi 2.6).

2.3 Sessioni e dispositivi

Ogni sessione di accesso registra l’indirizzo IP, la stringa user-agent del browser e il Paese. Le modifiche rilevanti per la sicurezza e gli eventi MFA scrivono inoltre un record di sicurezza dell’account contenente il tipo di evento, l’ora, l’indirizzo IP, lo user-agent del browser e metadati non segreti. Questi dati servono a rilevare accessi insoliti, a indagare sulle modifiche all’account e a mostrarti le tue sessioni attive e la tua attività di sicurezza recente. Confrontiamo inoltre questi indirizzi tra due account collegati da un invito, come descritto in 2.2, per evitare un uso improprio del programma di inviti; per questo confronto non viene memorizzato nulla di nuovo.

Trattiamo l’indirizzo IP come un dato ad alta sensibilità anziché come normale telemetria, perché in un servizio come questo è il filo che collega una persona a ciò che ha generato.

Novanta giorni dopo la scrittura di un record, un processo pianificato sostituisce l’indirizzo IP e la stringa user-agent con un hash con chiave, allo stesso modo nelle sessioni di accesso, negli eventi di sicurezza dell’account, nelle accettazioni delle politiche e nel registro di audit. Si tratta di pseudonimizzazione, non di anonimizzazione: l’hash è stabile, quindi possiamo ancora capire che due record provengono dallo stesso indirizzo, e non sosteniamo il contrario. L’indirizzo vero e proprio non è più presente nella riga e non può essere riletto.

2.4 Metadati delle attività che potresti non aspettarti che conserviamo

Oltre al contenuto in sé, ogni attività riporta: le tempistiche, la chiave che l’ha inviata, il riferimento al fornitore a cui la richiesta è stata inoltrata, l’identificativo dell’attività assegnato da quel fornitore, la chiave di idempotenza e l’URL di callback. I record meno recenti possono contenere un valore di modalità dei contenuti proveniente da client precedenti; non viene usato per l’esame dei contenuti né per decisioni di accesso.

Queste righe non vengono eliminate. La cancellazione a 30 giorni svuota i campi del prompt e dell’output; la riga in sé rimane, perché è l’unica registrazione di quanto è stato addebitato e una riga eliminata significa un account che non può essere riconciliato. Dopo la cancellazione una riga occupa poche centinaia di byte e non contiene alcun contenuto.

Gli eventi di transizione di stato e i record di consegna dei webhook vengono conservati secondo una pianificazione per partizioni derivata da un’impostazione di 60 giorni, con un minimo di due mesi.

2.5 Segnali derivati, conservati a tempo indeterminato

Prima che il prompt venga cancellato, ne viene estratto un piccolo insieme di segnali, conservato senza limiti di tempo. Non contiene alcun testo libero: il numero di caratteri del prompt, il suo sistema di scrittura prevalente (Han, latino, cirillico e così via: volutamente non la lingua), quante risorse di riferimento erano allegate e un digest dei parametri normalizzati da cui sono stati rimossi tutto il testo libero e gli URL delle risorse.

Tutto questo esiste perché le domande operative, come quali modelli stanno crescendo o dove si concentrano i fallimenti, possano trovare risposta senza che nessuno legga un prompt. Fa anche sì che la lettura di un prompt sia un evento raro, ed è proprio questo che dà un qualche valore segnaletico al registro di audit che la accompagna.

Il digest dei parametri è una sintesi unidirezionale. Può dirci se due attività hanno usato lo stesso insieme di parametri; non può essere riconvertito nei valori.

2.6 Fatturazione e audit

Le voci del registro contabile sono di sola aggiunta: non vengono mai modificate né eliminate. Accanto a esse si trovano gli ordini di ricarica, i saldi del portafoglio e gli aggregati di spesa giornalieri. Le azioni amministrative vengono scritte in un registro di audit con una catena di hash sulle voci.

Le voci del registro contabile sono di sola aggiunta: il ruolo del database con cui opera il servizio non può aggiornarle, eliminarle né troncarle, quindi una registrazione di fatturazione non può cambiare di nascosto a posteriori. Vengono conservate per tutto il tempo richiesto dalla normativa fiscale e contabile statunitense, un periodo che si misura in anni e che non spetta a noi abbreviare su richiesta. I record di audit vengono conservati per due anni, dopodiché viene rimosso soltanto un segmento iniziale continuo e verificato della catena, così che la catena stessa resti verificabile.

Le fatture riportano i tuoi dati. Se emetti una fattura o un rendiconto dei consumi dalla console, memorizziamo e stampiamo il nome di fatturazione, il destinatario, l’indirizzo, il Paese, l’email di fatturazione e l’identificativo fiscale facoltativo che inserisci, esattamente come li hai inseriti. L’identificativo fiscale è presente affinché possa comparire sul documento; non viene usato per nient’altro. Sei tu a fornire tutti questi dati e noi non ne verifichiamo nessuno: né la tua identità legale, né la tua registrazione fiscale, né l’identificativo fiscale. Un documento già emesso mantiene i dati validi al momento della sua creazione, e le modifiche successive si applicano solo a quelli nuovi. I documenti emessi sono registrazioni di fatturazione e vengono conservati sulla stessa base delle altre.

2.7 Chiederci di conservare meno

I periodi indicati in 2.1 sono quelli che applichiamo, salvo tua diversa indicazione. Nella console puoi impostare finestre più brevi per quattro elementi separatamente, perché rispondono a domande diverse:

• Media generati e risultati: da un’ora fino al valore predefinito.
• Media di cortometraggio: da un’ora fino al valore predefinito di circa 60 giorni, per i media creati in un progetto di cortometraggio di Spicy Studio e i film esportati da esso.
• Prompt e parametri a testo libero: da un’ora fino al valore predefinito.
• Immagini di riferimento che carichi: da un’ora fino al valore predefinito, oppure distruggi dopo l’uso, che rimuove il file non appena l’attività che lo ha utilizzato raggiunge uno stato finale.

Una singola richiesta può chiedere una conservazione più breve di quella prevista dalle impostazioni del tuo account, tramite l’header X-Spicy-Retention. Può solo abbreviarla. Una richiesta non può reintrodurre un periodo più lungo di quello consentito dall’account, e nessuna delle due impostazioni può superare i limiti massimi indicati in 2.1: quindi un amministratore che imposta un’ora per un’organizzazione ha fissato un limite, non un suggerimento.

Non offriamo alcun modo per conservare questi contenuti più a lungo e non descriviamo nulla di tutto ciò come «conservazione zero»: la finestra più breve è di un’ora, e i contenuti vengono scritti nello storage prima di essere eliminati.

2.8 Distruggere i contenuti su richiesta

Puoi distruggere il contenuto di un’attività conclusa in qualsiasi momento, dalla console o tramite POST /api/v1/jobs/purge. In questo modo vengono rimossi i media generati dallo storage a oggetti, il risultato memorizzato e il testo del prompt.

Non è un rimborso e non cambia quanto ti è stato addebitato. La registrazione di fatturazione di quell’attività (importo, ora, modello, identificativo della richiesta) viene conservata sulla base descritta in 2.6, perché è l’unica prova di ciò per cui hai pagato. Distruggere i contenuti elimina i contenuti, non l’addebito.

Successivamente l’attività viene contrassegnata come distrutta da te, e non viene mai mostrata come scaduta di per sé. Si tratta di due eventi diversi e non li confondiamo: uno è una nostra regola eseguita secondo pianificazione, l’altro è una decisione che hai preso tu. La distruzione non si applica finché è in vigore un vincolo di conservazione legale, per lo stesso motivo per cui non si applica la scadenza: vedi la sezione 7.

2.9 Email e notifiche che ti inviamo

Inviamo tre tipi di messaggi, e solo il primo non si può disattivare.

• Messaggi sull’account e sul servizio: non si possono disattivare. Le email senza le quali l’account non può funzionare, come la verifica del tuo indirizzo, il ripristino della password, la conferma di un cambio di indirizzo email, gli inviti a uno spazio di lavoro, le risposte alle tue richieste di assistenza e, se l’hai impostato, l’avviso di saldo basso. Ne fanno parte anche gli avvisi di servizio: una manutenzione programmata, un’interruzione che riguarda le tue richieste, una questione di sicurezza, oppure una modifica della presente informativa o dei termini prima che entri in vigore.
• Novità di prodotto: puoi disattivarle. Nuovi modelli, variazioni di prezzo e funzioni della console.
• Offerte e annunci: puoi disattivarli. Promozioni occasionali.

Sugli account aperti dal 6 ottobre 2026 in poi, i due tipi facoltativi partono attivati; la pagina di registrazione lo indica prima che l’account venga creato. Sugli account aperti prima di quella data partivano disattivati e restano tali finché non li attivi tu. In entrambi i casi, i due interruttori si trovano nella pagina Notifiche della console. Finché un interruttore è disattivato, quel tipo di messaggio non arriva né nella tua casella di posta né nella campanella delle notifiche della console.

Come disattivarli. Che un interruttore sia attivo perché l’account è partito così o perché l’hai attivato tu, puoi disattivarlo in qualsiasi momento in due modi:

• Da qualsiasi email di novità o di offerte. Ognuna termina con un link per annullare l’iscrizione, che funziona senza accedere. Aprire il link, da solo, non cambia nulla: mostra una pagina in cui confermi, così un sistema di scansione della posta che apre i link al posto tuo non può annullare la tua iscrizione per sbaglio. In quella pagina puoi interrompere solo quel tipo oppure entrambi i tipi facoltativi. Le app di posta che hanno un proprio pulsante per annullare l’iscrizione con un clic ci inviano direttamente questa conferma.
• Dalla console, con gli stessi due interruttori, che funzionano in entrambe le direzioni.

Controlliamo la tua impostazione nel momento in cui ogni messaggio viene preparato per te, non solo quando un invio viene pianificato: una modifica vale quindi per tutto ciò che non è ancora partito. Un messaggio già consegnato alla nostra coda di invio prima che tu disattivassi l’interruttore può comunque arrivare. Chiudere l’account li disattiva entrambi.

Perché i messaggi di servizio non si possono disattivare. Fanno parte della gestione dell’account che hai aperto, non sono un modo per venderti qualcosa:

• Sicurezza dell’account. Un ripristino della password, un cambio dell’indirizzo con cui accedi o un problema di sicurezza sulla piattaforma sono cose che devi sapere, anche se non leggeresti mai una newsletter.
• Disponibilità del servizio. Il tuo saldo è pagato in anticipo e potresti avere un software che chiama l’API senza supervisione; manutenzioni e interruzioni cambiano ciò che quel software riceve in risposta.
• Obblighi di legge. Alcuni avvisi sono imposti dalla legge, per esempio informare gli utenti interessati di una violazione dei loro dati personali, e con la sezione 10 ci impegniamo ad annunciare le modifiche sostanziali della presente informativa prima che entrino in vigore.

Per lo stesso motivo, non usiamo mai un avviso di servizio per promuovere qualcosa. Un messaggio il cui scopo principale è vendere parte come offerta, e solo verso gli account con l’interruttore delle offerte attivo.

Nessun tracciamento di aperture o clic. Queste email non contengono pixel di tracciamento né script. L’unica immagine presente, il nostro logo, è lo stesso file allo stesso indirizzo per tutti i destinatari, quindi il suo caricamento non ci dice chi ha aperto quale messaggio. I link portano direttamente a destinazione: non li facciamo passare da un reindirizzamento e non vi aggiungiamo nulla per sapere chi ha cliccato. Quando un link deve essere solo tuo, come quello di verifica, di ripristino della password o per annullare l’iscrizione, svolge quell’unico compito e nient’altro. Non misuriamo se hai aperto un’email né su cosa hai cliccato.

Chi li riceve e cosa conserviamo. Avvisi di servizio, novità di prodotto e offerte vanno solo ai titolari di un account e, via email, solo a un indirizzo verificato; un account privato non ha un indirizzo email, quindi tutto ciò che gli inviamo compare soltanto nella console. Quando un invio è destinato a una parte degli account anziché a tutti, li scegliamo in base a dati che abbiamo già: se l’account ha mai effettuato una ricarica, se ha un saldo in questo momento, quando è stato creato, a quando risalgono l’ultimo accesso o l’ultima attività inviata oppure, quando scriviamo a persone precise, il suo indirizzo email. I tuoi prompt, caricamenti e output non vengono mai usati per decidere cosa inviarti.

Conserviamo i tuoi due interruttori e il momento dell’ultima modifica alle tue impostazioni email. Per ogni avviso di servizio, novità di prodotto o offerta che ti viene inviata registriamo di quale invio si trattava, a quale indirizzo è andata, se è stata consegnata, se non è riuscita o se è stata saltata (e perché, per esempio perché nel frattempo l’interruttore era stato disattivato) e quando hai annullato l’iscrizione tramite quel messaggio. Le email di novità e di offerte riportano inoltre il nostro indirizzo postale e l’interruttore in base al quale sono state inviate. Il link per annullare l’iscrizione contiene un codice casuale di cui conserviamo solo un hash unidirezionale, e la copia dell’email preparata per te viene cancellata dalla nostra coda di invio non appena è stata consegnata o definitivamente abbandonata. Questi registri di consegna non hanno ancora un periodo di conservazione proprio; come indicato nella sezione 1, lo diciamo invece di proporre un numero, e questa pagina verrà aggiornata quando ne sarà fissato uno.

2.10 Rapporti di errore dal tuo browser

Quando una pagina di questo sito incontra un errore nel tuo browser, la pagina ci invia un breve rapporto diagnostico, così che possiamo individuare e correggere il problema. Un rapporto contiene soltanto: il tipo di errore e una versione abbreviata del messaggio, da cui sono rimossi indirizzi web, parametri di query, indirizzi email, token e identificativi; i nomi dei file di codice e le posizioni di riga in cui l’errore si è verificato; la pagina interessata, espressa come schema di percorso senza parametri di query e con gli identificativi sostituiti da segnaposto; la famiglia del browser e se si tratta di uno smartphone o di un computer; la lingua della pagina; la versione del sito; e se la pagina sembrava tradotta automaticamente o modificata da un’estensione del browser.

Un rapporto non contiene mai il tuo indirizzo IP, il tuo account, cookie, prompt, il contenuto della pagina né il suo indirizzo completo, e accanto a esso non conserviamo nulla che lo colleghi a te o ad altri dati in nostro possesso. Una pagina invia al massimo cinque rapporti e una scheda del browser al massimo venti; per far rispettare questo limite la pagina tiene un semplice contatore nella memoria di sessione del browser, che si cancella quando chiudi la scheda. I browser automatizzati e i crawler dei motori di ricerca non ne inviano. I rapporti sono conservati presso il fornitore di infrastruttura che già serve questo sito (vedi la sezione 5) e vengono cancellati automaticamente dopo tre mesi.

3. Che cosa non facciamo

• Non usiamo i tuoi prompt, i tuoi caricamenti o i tuoi output per addestrare alcun modello, e non inizieremo a farlo senza chiedertelo in modo separato ed esplicito. Questo impegno vincola i nostri sistemi. Ciò che il fornitore che esegue una richiesta può fare con quell’input è stabilito da termini che non scriviamo noi; la sezione 5 spiega questo limite.
• Non utilizziamo script pubblicitari né tracciamento tra siti. Utilizziamo invece Google Analytics per misurare il traffico di questo sito, ed è attivo per tutti i visitatori. Le funzioni pubblicitarie, la personalizzazione degli annunci e Google Signals sono disattivati del tutto, non semplicemente inutilizzati, così che la misurazione non possa essere trasformata in un pubblico pubblicitario. Non gli inviamo mai il tuo identificativo dell’account, la tua email, i tuoi prompt o i tuoi output.
• Non vendiamo né diamo in locazione dati personali.
• Non dichiariamo di offrire la crittografia end-to-end, e preferiamo spiegare perché anziché prendere in prestito il termine. Il fornitore del modello ha bisogno del tuo prompt in chiaro per generare un risultato, quindi nessuna architettura in cui inoltriamo la tua richiesta può rendere i tuoi contenuti illeggibili a tutti tranne che a te. Chiunque ti venda questa descrizione di un’API di inferenza sta descrivendo qualcos’altro.

4. Cookie

Due cookie sono strettamente necessari: uno ti mantiene connesso, l’altro protegge i moduli dagli attacchi di cross-site request forgery. Nessuno dei due può essere rifiutato, perché senza di essi il sito non può svolgere la sua funzione.

Link di invito. Quando apri un link che contiene un codice di invito, il sito memorizza quel codice in un cookie di prima parte (spicy_ref) per un massimo di 30 giorni, così da poterlo associare al tuo account se ne crei uno. Se poi ti registri con Google o GitHub, il codice viene portato attraverso quell’accesso in un secondo cookie che dura dieci minuti. Entrambi contengono solo il codice, non vengono mai usati per analisi o pubblicità e vengono rimossi appena ti registri o accedi.

I cookie di analisi sono separati. Google Analytics è attivo per tutti i visitatori di questo sito e imposta un proprio cookie di misurazione per distinguere una visita di ritorno da una nuova; l’avviso che vedi alla prima visita te lo segnala. Sul sito non c’è un’opzione per disattivarlo. Se non vuoi essere misurato, installa il componente aggiuntivo di Google per la disattivazione di Google Analytics: lo ferma del tutto. Se blocchi soltanto i cookie di questo sito nel browser, non riconoscerà più una visita di ritorno, ma le pagine che visiti continueranno a essere conteggiate. Non ci sono cookie pubblicitari o di profilazione.

In produzione, entrambi i cookie hanno il prefisso __Host-. Tale prefisso è una regola vincolante del browser e non una convenzione: impone Secure, impone Path=/ e vieta l’attributo Domain, così nessun altro host sotto il dominio può scrivere un cookie che la nostra origine leggerà. Elimina inoltre un’intera classe di attacchi di session fixation. Su HTTP semplice, durante lo sviluppo locale, il browser rifiuterebbe del tutto un cookie __Host-, quindi le build di sviluppo ripiegano sul nome senza prefisso; la produzione no.

5. Chi altro tratta i tuoi dati

Il fornitore del modello fissa il limite massimo di ogni promessa contenuta in questa pagina. Possiamo impegnarci su ciò che accade all’interno dei nostri sistemi. Non possiamo impegnarci per conto di un fornitore i cui termini non scriviamo noi. Alcuni fornitori di questo mercato si riservano il diritto di addestrare i modelli sugli input; altri non si esprimono né in un senso né nell’altro, il che non equivale a una smentita.

Quando Stripe è configurato e scegli la registrazione di una carta o una ricarica, la pagina di pagamento è ospitata da Stripe. Per gli account privati non inviamo alcun indirizzo email. Memorizziamo i riferimenti opachi di Stripe a cliente, metodo di pagamento, configurazione e transazione; un’etichetta mascherata del metodo di pagamento; un hash unidirezionale dell’impronta della carta restituita da Stripe, usato solo per riconoscere la stessa carta utilizzata su più account nel programma di inviti; le tue impostazioni di ricarica automatica e lo stato del consenso; importi, stato, marche temporali e riferimenti di idempotenza. Non riceviamo né memorizziamo il numero completo della carta né le credenziali di home banking. Per le ricariche manuali memorizziamo l’ID dell’ordine, l’importo, lo stato, le marche temporali e il riferimento del pagamento esterno usato per la riconciliazione.

6. Trasferimenti transfrontalieri

Il servizio è gestito per un pubblico globale di sviluppatori e i soggetti indicati nella sezione 5 operano a livello globale. I tuoi dati saranno trattati al di fuori del Paese in cui ti trovi.

Abbiamo sede negli Stati Uniti. Quando i dati personali escono dallo Spazio economico europeo, dal Regno Unito o dalla Svizzera, ci basiamo sulle clausole contrattuali tipo della Commissione europea insieme al relativo addendum del Regno Unito. Si tratta di una garanzia giuridica, non tecnica: vincola il destinatario e non cambia il fatto, indicato sopra, che il tuo prompt raggiunge in chiaro il fornitore del modello che hai selezionato.

7. Cancellazione, vincoli di conservazione e backup

Al raggiungimento dei 30 giorni, un processo di manutenzione svuota i campi del prompt e dell’output delle attività scadute. Due meccanismi di blocco sono integrati in quel processo stesso, anziché nella pianificazione dei rilasci:

• Un’attività i cui segnali derivati non sono ancora stati estratti non viene mai svuotata. Se l’estrazione si blocca, con essa si blocca anche la cancellazione: l’alternativa sarebbe un buco permanente nei dati, senza alcun modo di colmarlo.
• Un’attività soggetta a un vincolo di conservazione legale non viene mai svuotata. I vincoli sono additivi: fanno sì che i dati durino più a lungo e non possono mai farli sparire prima. Ogni vincolo viene riesaminato, e uno lasciato aperto per più di 90 giorni viene segnalato, perché una tabella piena di vincoli a tempo indeterminato annulla silenziosamente la politica di conservazione mentre la pagina pubblica continua a dire 30 giorni.

I vincoli di conservazione esistono perché le controversie durano più dei periodi di conservazione. Un chargeback sulla carta può arrivare mesi dopo l’attività, e in quel momento il record che ci serve è proprio quello che altrimenti avremmo cancellato.

Backup. I backup del database vengono conservati per 35 giorni. I dati che hai eliminato permangono in tali backup cifrati finché non escono dalla rotazione. Durante tale periodo non vengono usati per alcuno scopo e sono esclusi da qualsiasi ripristino.

8. I tuoi diritti

A seconda del luogo in cui vivi, potresti avere il diritto di accedere ai tuoi dati, rettificarli, cancellarli, limitarne il trattamento, opporti al trattamento o ottenerne la portabilità, nonché di presentare un reclamo a un’autorità di controllo.

Tre limiti onesti, dichiarati fin da subito:

• Il registro contabile non è cancellabile. Le registrazioni finanziarie sono conservate in base alla normativa fiscale e contabile; una richiesta di cancellazione non le riguarda.
• Un vincolo di conservazione legale prevale su una richiesta di cancellazione per i dati che copre, finché resta in vigore.
• La cancellazione non è istantanea. Lo storage a oggetti elimina gli oggetti scaduti secondo una propria pianificazione e i backup ruotano nell’arco di 35 giorni.

Dopo una nuova verifica di sicurezza, la console mette a disposizione un’esportazione self-service in formato JSON che comprende il tuo profilo, le tue appartenenze agli spazi di lavoro, i metadati delle chiavi API senza i valori segreti, i dati delle attività così come attualmente conservati, le conversazioni con l’assistenza, i modelli seguiti e le preferenze, e le registrazioni di fatturazione, comprese le impostazioni di ricarica automatica senza credenziali di pagamento. Non contiene password o materiale delle chiavi, seed MFA o codici di recupero, record interni di inoltro ai fornitori né file binari dei media. I media restano soggetti alle finestre di conservazione indicate sopra.

La chiusura self-service dell’account richiede una nuova verifica dell’identità: la tua password attuale oppure, se il tuo account non ha una password, un codice monouso inviato all’indirizzo email dell’account. Non annulla un’attività già accettata ed è bloccata finché ci sono attività in corso o non regolate, finché un pagamento di ricarica è ancora in elaborazione, finché sull’account è dovuto del denaro o finché uno spazio di lavoro di team richiede ancora un proprietario. Una richiesta bloccata viene registrata con uno stato che indica che cosa fare, anziché essere segnalata come completata. Quando la chiusura può avvenire in sicurezza, le sessioni e le chiavi API vengono revocate, il profilo viene deidentificato e il contenuto delle attività viene svuotato, salvo che si applichi un obbligo di conservazione delle prove attivo. Le informazioni finanziarie, di audit, di sicurezza e quelle minime di riconciliazione restano, nei limiti indicati sopra; la console non descrive tale esito come cancellazione fisica.

Una richiesta che la console non può evadere va inviata a support@spicyapi.ai e viene esaminata da una persona. Rispondiamo senza ingiustificato ritardo ed entro il termine stabilito dalla legge a te applicabile.

9. Minori

Il servizio è destinato agli adulti. Per essere titolare di un account devi avere almeno 18 anni, e non raccogliamo consapevolmente dati di persone al di sotto di tale età. Se ritieni che deteniamo dati relativi a un minore, comunicacelo a support@spicyapi.ai e li rimuoveremo, salvo che riguardino presunto materiale di abuso sessuale su minori, che la legge ci impone di conservare e segnalare anziché eliminare.

10. Modifiche

Le modifiche sostanziali vengono annunciate prima di entrare in vigore. Poiché i periodi di conservazione vengono letti dalla configurazione attiva, una modifica di uno di essi cambia ciò che dice questa pagina: per questo ogni modifica di questo tipo è trattata come una modifica della presente informativa e viene annunciata allo stesso modo.

11. Contatti

support@spicyapi.ai: sia per le domande sulla privacy sia per le segnalazioni di contenuti vietati. La pagina delle segnalazioni spiega il secondo caso.