Centro di fiducia

Controlli chiari. Limiti fermi. Nessun marchio di fiducia preso in prestito.

Questa pagina descrive i controlli di prodotto che oggi possiamo documentare e le affermazioni che deliberatamente non facciamo. Il logo di un servizio terzo, un’interfaccia curata o l’icona di un lucchetto non provano alcuna certificazione; dove la prova non è pubblica, lo diciamo.

Informativa sulla privacy Utilizzo accettabile

La nostra posizione

La fiducia parte da un’affermazione verificabile.

Per ogni modello SpicyAPI mostra nel prodotto gli input supportati, la disponibilità del momento, il prezzo e i limiti di contenuto. Sei tu a scegliere il modello da chiamare, e ogni attività accettata riceve un identificativo tracciabile. Non presentiamo un controllo previsto come un audit già concluso, né la certificazione di terzi come se fosse la nostra.

Che fine fa quello che invii

I tuoi prompt e i tuoi output non diventano mai dati di addestramento.

Li conserviamo, sì, ma per una finestra che finisce. Sostenere il contrario verrebbe smentito da un solo screenshot della nostra console, quindi ecco la versione che regge al controllo: che cosa resta, a che cosa serve e l’unico limite che non possiamo eliminare a colpi di architettura.

Leggi l’informativa sulla privacy

Conservati, poi cancellati: Prompt, parametri in testo libero e riferimenti ai risultati restano nel record dell’attività per 30 giorni, poi quei campi vengono svuotati. La riga resta, perché è l’unica traccia di quanto ti è stato addebitato. Dopo la cancellazione occupa poche centinaia di byte e non contiene alcun contenuto.
Non sono dati di addestramento e non sono in vendita: SpicyAPI non usa i tuoi prompt, i tuoi caricamenti o i tuoi output per addestrare alcun modello e non comincerà senza chiedertelo separatamente e in modo esplicito. Non vendiamo né concediamo in affitto dati personali. Al di fuori dei nostri sistemi, il servizio di modelli che esegue la richiesta tratta l’input secondo le proprie condizioni: l’informativa sulla privacy descrive questo limite, che non possiamo eliminare con promesse fatte per conto di altri.
Niente pubblicità, niente tracciamento tra siti: Esistono tre cookie: uno ti tiene connesso, uno protegge i moduli dalle richieste falsificate tra siti e il terzo, di Google Analytics, misura il traffico del sito. Le sue funzioni pubblicitarie e Google Signals sono disattivati e non riceve mai il tuo account, i tuoi prompt o i tuoi output.
Conteggi, non testo libero: Prima che un prompt venga cancellato ne conserviamo qualche segnale: numero di caratteri, sistema di scrittura, quanti file di riferimento erano allegati e un digest a senso unico dei parametri. In quell’insieme non c’è testo libero, e il digest non si può riconvertire nei valori di partenza.

Il limite su cui non giriamo intorno

Per produrre un risultato, il servizio di modelli che esegue la tua richiesta ha bisogno del prompt in chiaro. Nessuna architettura in cui siamo noi a inoltrare quella richiesta può renderlo illeggibile a chiunque tranne te: per questo non dichiariamo crittografia end-to-end e non facciamo promesse in nome di condizioni che non abbiamo scritto noi.

Conservazione

Ogni categoria di dati ha una scadenza. Tre le imposti tu.

I periodi qui sotto sono massimi, letti dalla configurazione in esecuzione e non scelti per riempire un documento. File generati, testo dei prompt e riferimenti caricati si possono impostare più corti della cifra in tabella – mai più lunghi, perché quelli sono i numeri che le regole di archiviazione applicano da sole. Un obbligo legale di conservazione può far vivere un record più a lungo; solo le tue impostazioni possono farlo sparire prima.

Fino a 30 giorni

Prompt e riferimenti ai risultati

Un processo di manutenzione svuota entrambi i campi dal record dell’attività. Se imposti un periodo più breve, lo stesso processo applica la tua scadenza. Restano comunque due blocchi di sicurezza: non vengono cancellati né i dati di un’attività soggetta a un obbligo legale di conservazione, né quelli di un’attività i cui segnali d’uso non sono ancora stati estratti.

Fino a circa 14 giorni

Immagini, video e audio generati

L’archiviazione rimuove gli oggetti scaduti secondo la propria cadenza, di solito entro un giorno dalla scadenza. I periodi più brevi sono gestiti dalla nostra procedura di pulizia, che normalmente interviene entro pochi minuti; il periodo indicato resta approssimativo e non garantisce la cancellazione a un secondo esatto.

Fino a 1 giorno

File di riferimento che carichi tu

L’URI di caricamento smette di funzionare alla scadenza. La cancellazione dell’oggetto può arrivare fino a 24 ore dopo, e quel ritardo non allunga il tempo in cui il file è utilizzabile. Imposta i caricamenti perché spariscano appena finisce l’attività che li usa e di ritardo non ne resta praticamente nulla.

90 giorni

Indirizzo IP e user agent

Poi vengono sostituiti sul posto da un hash con chiave, allo stesso modo nelle sessioni di accesso, negli eventi di sicurezza, nelle accettazioni delle policy e nel registro di audit. È pseudonimizzazione, non anonimizzazione: l’hash è stabile, quindi due record dallo stesso indirizzo continuano a corrispondere. L’indirizzo in sé sparisce dalla riga e non è più leggibile.

35 giorni

Backup del database

I dati che hai cancellato restano nei backup cifrati finché questi non vengono sostituiti alla fine del loro ciclo di conservazione. Nel frattempo non vengono utilizzati e sono esclusi da qualsiasi ripristino.

Anni

Registrazioni contabili e di audit

Le voci del registro contabile si possono soltanto aggiungere – il ruolo di database con cui gira il servizio non può aggiornarle, cancellarle né troncarle – e restano per tutto il tempo richiesto dalla normativa fiscale e contabile statunitense. Le registrazioni di audit restano due anni, e della catena viene rimosso solo un tratto iniziale continuo già verificato.

Tre limiti sono enunciati allo stesso modo nell’informativa sulla privacy: la cancellazione non è istantanea, il registro contabile non è cancellabile e un obbligo legale di conservazione in corso prevale su una richiesta di cancellazione.

Le tue impostazioni

Tempi più brevi, decisi da te. Eliminazione su tua richiesta.

Un periodo di conservazione che non puoi cambiare è un’informativa. Questi quattro sono controlli: tre orologi che imposti tu e una chiamata che chiude in anticipo un lavoro. Ognuno può soltanto accorciare la vita di qualcosa: niente di quello che trovi qui può allungarla oltre la tabella qui sopra.

Tre periodi di conservazione, impostati separatamente: File generati, testo dei prompt e riferimenti caricati rispondono a tre domande diverse, quindi sono tre impostazioni e non tre tacche sulla stessa manopola. Ognuna vale per l’intero account, e una singola richiesta può accorciare ancora inviando un header. Vince sempre il valore più basso fra i tre, così un’impostazione di account più severa non viene mai aggirata da una richiesta.
Il valore predefinito è il più permissivo: I nuovi account partono dal massimo, esattamente dove la piattaforma è sempre stata. Stringere è una scelta tua, con le conseguenze scritte accanto a ogni opzione prima di salvare. Un controllo sulla privacy che al secondo giorno fa sparire in silenzio il file di riferimento di qualcuno non è un controllo sulla privacy.
Riferimenti che non sopravvivono al lavoro: I caricamenti si possono impostare perché spariscano nel momento in cui l’attività che li usa raggiunge uno stato finale – concluso, fallito o annullato, non nel momento dell’invio, perché un nuovo tentativo ha bisogno del file. Il compromesso è reale e preferiamo dirlo: rilanciare lo stesso riferimento significa caricarlo di nuovo.
Distruggi tu stesso un’attività conclusa: Una chiamata elimina gli output di quell’attività, il risultato conservato e il testo del prompt. Non c’è alcun passaggio di revisione né qualcuno a cui chiedere; chiederlo due volte non è un errore. Dopo, l’attività risulta distrutta da te, che è una frase diversa da scaduto: non lasciamo che le nostre pulizie si prendano il merito di una tua decisione.

Che cosa la distruzione lascia intenzionalmente intatto

La registrazione contabile. Importo, data, modello, ID della richiesta e stato finale dell’attività sopravvivono tutti, perché è da quella riga che si risolve un addebito contestato, e un saldo che potresti modificare cancellando la cronologia varrebbe meno di uno che non puoi toccare. La distruzione elimina il contenuto, non la ricevuta.

Dove non arriva

La distruzione lascia le registrazioni contabili e i backup cifrati soggetti ai rispettivi periodi di conservazione e non può rimuovere file già scaricati da qualcuno. L’attività viene contrassegnata come distrutta quando la pulizia viene pianificata; la cancellazione fisica avviene in background, normalmente entro un minuto. Il record dell’attività indica quando la cancellazione dei file è ancora in attesa.

Credenziali

Dai per scontato che una chiave trapeli. Limitala prima che succeda.

Una chiave consegnata a un collaboratore esterno dovrebbe poter fare meno di quella che usa il tuo backend. Ogni limite qui sotto si imposta per singola chiave, resta modificabile e viene deciso dentro la transazione che crea l’attività, non riconciliato la mattina dopo.

I limiti delle chiavi nei termini

Mostrata una volta, conservata come hash: La chiave completa compare una sola volta, subito dopo che l’hai creata. Ne conserviamo solo un hash, quindi nessuno può rileggere una chiave smarrita. Si può revocare e sostituire, e il repertorio finisce qui.
Tre limiti, ognuno indipendente: Un limite giornaliero, un budget mensile e un limite valido per tutta la vita della chiave, tutti impostati da te. Conviene partire dal limite giornaliero, perché è quello che ferma una chiave rubata prima ancora che tu abbia letto l’avviso. Il denaro trattenuto per attività non ancora liquidate continua a pesare sul budget.
Elenco di modelli, indirizzi IP consentiti, data di scadenza: Una chiave si può limitare a modelli specifici, a determinati indirizzi di origine e a una data dopo la quale smette di funzionare da sola. Se lasci un elenco vuoto, quella dimensione resta senza limiti: che sia una decisione e non una dimenticanza.
La revoca vale dalla richiesta successiva: Da quel momento le chiamate fatte con quella chiave vengono rifiutate. Le attività già accettate proseguono e vengono comunque addebitate, perché l’accettazione è il punto di non ritorno. Vengono mostrati l’ultimo utilizzo della chiave e l’indirizzo da cui è arrivato, così puoi vedere se qualcuno l’ha usata prima che te ne accorgessi.

Le chiavi portano soltanto limiti operativi. Non c’è alcun permesso sui contenuti da concedere o negare: quello che un modello produce dipende dal modello che hai scelto.

I nostri sistemi

Le parti che da fuori non puoi verificare.

Le finestre di conservazione e i limiti delle chiavi li controlli dalla tua console. Questi no, quindi li mettiamo per iscritto qui nella forma di cui dovremmo rispondere.

La console operativa è un servizio separato: Gira come processo a sé, su un hostname a sé, dietro il proprio tunnel e il proprio livello di accesso. Il servizio pubblico non registra affatto quelle rotte, quindi dall’host dell’API non c’è nessun percorso amministrativo da trovare.
Nessuna porta in ingresso sull’origine: Ogni servizio raggiunge Internet attraverso un tunnel in uscita, quindi non c’è alcuna porta aperta da scansionare. L’origine verifica che una richiesta sia davvero passata dall’edge prima di eseguire qualunque altra cosa, e a un controllo fallito risponde con un 404 secco anziché con una diagnostica.
Le operazioni sui fondi richiedono un intervento manuale: Una ricarica, una rettifica o un rimborso sono una richiesta immutabile, con il proprio hash del payload e la propria scadenza, eseguita a mano da un amministratore dentro una console che è un servizio separato dietro il proprio livello di accesso. Possedere un account non comprende la possibilità di spostarne i fondi.
Le azioni amministrative sono concatenate con hash: Ogni voce porta l’hash di quella precedente, quindi una voce rimossa o modificata spezza la catena. Nessun endpoint scrive o cancella una voce di audit, e nemmeno il ruolo di database con cui gira il servizio può aggiornarne o cancellarne una.

Che cosa non è: un audit indipendente. Una catena che verifichiamo noi stessi dimostra che i nostri record sono coerenti al loro interno. Non è la firma di un terzo e non la presentiamo come tale.

Registro di trasparenza

Che cosa è visibile e che cosa non viene rivendicato.

Pubblicato nel prodotto

Disponibilità dei modelli, schema di input, prezzo unitario, stato delle attività, registrazioni contabili, identificativi delle richieste, sintesi delle policy e un changelog datato. Sono informazioni di prodotto, non garanzie rilasciate da terzi.

Non rivendicato qui

SOC 2, ISO 27001, PCI DSS, idoneità HIPAA, copertura di penetration test indipendenti, uno SLA contrattuale di disponibilità, residenza universale dei dati o conservazione zero universale. Sulla disponibilità pubblichiamo un obiettivo e non una garanzia: 99,9% per il nostro livello – accettazione delle richieste, accettazione delle attività e consegna delle callback – con lo stato dei componenti in tempo reale su status.spicyapi.ai. Un obiettivo non dà diritto a crediti di servizio, rimborsi o altri indennizzi, ed esclude i servizi di modelli di terzi che eseguono una generazione. Il silenzio non va letto come certificazione.

Trasparenza operativa

Le informazioni di prodotto pubblicate tengono separate la disponibilità del momento, lo stato delle attività, i prezzi e le regole sui contenuti dalle certificazioni o dalle garanzie. Fidati soltanto degli impegni presentati come vigenti e applicabili.

Quando qualcosa non va

Un indirizzo, una persona dall’altra parte e nessuna scansione nel mezzo.

Le richieste non vengono esaminate una per una. Al loro posto ci sono un canale di segnalazione, una conservazione delle prove che parte dopo una segnalazione o una comunicazione legale, e un ricorso letto da qualcuno diverso da chi ha deciso la prima volta.

Apri la pagina delle segnalazioni

support@spicyapi.ai: Contenuti vietati, richieste sulla privacy e comunicazioni legali. Descrivi il problema e indica l’ID dell’attività o della richiesta; non allegare mai il materiale. Per contenuti sessuali che coinvolgono un minore salta il modulo e scrivi CSAM ESCALATION nell’oggetto: quelle segnalazioni passano prima di tutto il resto.
support@spicyapi.ai: Account, fatturazione e attività fallite senza che l’importo trattenuto sia tornato indietro. Scrivere non è l’unica strada: dalla console esporti i tuoi dati in JSON, distruggi il contenuto di un’attività conclusa e puoi chiudere del tutto l’account.
Ricerca sulla sicurezza: Un contatto leggibile da una macchina è pubblicato su /.well-known/security.txt. Sondare controlli di accesso, limiti di frequenza o fatturazione richiede prima un’autorizzazione scritta attraverso quel canale, e non esiste alcun programma di bug bounty a cui rimandarti.

Tempi di gestione previsti

Un giorno lavorativo per confermare la ricezione di una segnalazione con un recapito, tre giorni lavorativi per il canale di escalation, dieci per tutto il resto. Le richieste sulla privacy ricevono risposta senza ritardo ingiustificato ed entro il termine previsto dalla legge applicabile a te.

Sono obiettivi, non tempi di risposta garantiti. Anche la disponibilità è un obiettivo e non un impegno: non esistono accordi sul livello di servizio né crediti di servizio, salvo che ne venga firmato uno a parte.

Limite di policy

La libertà creativa non annulla il consenso né la legge.

Quando un cliente usa un modello senza censura, ogni persona rappresentata deve essere maggiorenne e avere prestato un consenso documentato. Sono vietati i contenuti che coinvolgono minori, le immagini intime non consensuali, l’uso ingannevole dell’aspetto o della voce di una persona reale, lo sfruttamento e qualsiasi materiale illecito nella giurisdizione di riferimento. Questi obblighi restano del cliente; la pagina Utilizzo accettabile enuncia le regole e l’Informativa sulla privacy spiega il trattamento dei dati collegato.