トラストセンター

明確な管理。明示された境界。借り物の認証マークは使いません。

現在提供しているセキュリティ機能と、確認できる根拠を説明します。サービスのロゴ、画面のデザイン、暗号化アイコンだけでは認証の証明になりません。公開された認証の根拠がない場合は、その旨を明記します。

プライバシーについて利用上のルール

私たちの立場

信頼は、確かめられる説明から始まります。

各モデルの入力仕様、提供状況、料金、コンテンツポリシーを明示します。利用者がモデルを選択し、受理されたタスクは ID で追跡できます。計画中の対策を監査済みと表現したり、第三者の認証を自社の認証として扱ったりすることはありません。

送ったものはどう扱われるか

プロンプトも生成結果も、当社の学習データにはなりません。

データは一定期間保存し、その後削除します。「保存しない」という説明では実際のコンソール表示と矛盾するため、何を保存し、何に使うのか、また仕組み上どこまで対応できるのかを具体的に示します。

プライバシーポリシーを読む

一定期間だけ残し、そのあと消す: プロンプト、自由入力のパラメーター、結果の参照はタスク記録に最長 30 日間残り、その後これらのフィールドを消去します。課金額を確認するため、記録自体は残します。消去後は数百バイトとなり、コンテンツは含みません。
学習にも販売にも回しません: SpicyAPI は、プロンプト、アップロード、生成結果をモデルの学習に使いません。始める場合は、必ず個別に、明示的に確認します。個人データの販売や貸与も行いません。当社側の外では、リクエストを実行するモデルサービスがその入力をそれぞれの規約に従って扱います。その境界はプライバシーポリシーに書いてあり、私たちが代わりに保証できるものではありません。
広告なし、クロスサイト追跡なし: Cookie は 3 つです。ログイン状態を保つもの、フォームのクロスサイトリクエストフォージェリを防ぐもの、そしてサイトのトラフィックを計測する Google Analytics のものです。Google Analytics の広告機能と Google シグナルは無効にしており、アカウント、プロンプト、生成結果が送られることはありません。
残すのは件数で、自由文ではありません: プロンプトを消す前に、いくつかの指標だけを残します。文字数、使われている文字体系、添付された参照ファイルの数、そしてパラメータの一方向ダイジェストです。この中に自由文は含まれず、ダイジェストから元の値は復元できません。

言葉でごまかさない限界

結果を生成するには、そのリクエストを実行するモデルサービスがプロンプトを平文で受け取る必要があります。私たちがリクエストを転送する以上、「あなた以外の誰にも読めない」状態にする設計は存在しません。ですからエンドツーエンド暗号化は名乗りませんし、自分たちが書いたのではない規約について保証もしません。

保持期間

データごとに保持期間があります。3 種類は自分で設定できます。

以下は稼働中の設定に基づく保持期間の上限です。生成ファイル、プロンプト本文、アップロードした参照素材は、表の期間より短く設定できます。ストレージの規則がこの上限を適用するため、長くは設定できません。法的な保全が必要な場合は記録がより長く残ることがあります。通常より早く削除するには、利用者側で設定を短くします。

最長 30 日

プロンプトと結果の参照

保守処理がタスク記録から両方の項目を消去します。保持期間を短くすると、その期限に合わせて同じ処理を行います。ただし、法的な保全中のタスクと、利用状況の指標をまだ抽出していないタスクは消去しません。

最長およそ 14 日

生成された画像・動画・音声

ストレージは定期処理で期限切れオブジェクトを削除し、通常は期限から 1 日以内に完了します。短い保持設定では削除処理を使い、通常は数分以内に実行します。表示期間は目安であり、正確な秒数での削除を約束するものではありません。

最長 1 日

アップロードした参照ファイル

アップロード URI は期限とともに使えなくなります。オブジェクトの削除は最大 24 時間遅れることがありますが、その遅れがファイルを使える期間を延ばすことはありません。アップロード素材を「使い終わったら削除」に設定すれば、その遅れはほぼ生じません。

90 日

IP アドレスとユーザーエージェント

その後、鍵付きハッシュにその場で置き換えます。ログインセッション、セキュリティイベント、ポリシー同意記録、監査ログのいずれも同じ扱いです。これは匿名化ではなく仮名化です。ハッシュは安定しているので、同じアドレスの 2 件は今も突き合わせられます。アドレスそのものは行から消え、読み戻せません。

35 日

データベースのバックアップ

削除したデータは、バックアップが入れ替わるまで暗号化された状態で残ります。その間は何にも使われず、どの復元からも除外されます。

年単位

課金記録と監査記録

元帳は追記のみです。サービスを動かすデータベースロールには更新も削除も切り詰めもできません。保持期間は米国の税務・会計法が求める長さに従います。監査記録は 2 年間保持し、削除されるのは検証済みで連続した先頭部分だけです。

プライバシーポリシーにも、削除は即時ではないこと、課金台帳は消去できないこと、法的な保全が削除請求に優先することを明記しています。

あなたの設定

保持期間の短縮も、コンテンツの破棄も、自分で選べます。

保持期間を知らせるだけでなく、利用者が操作できる 4 つの機能を用意しています。個別に設定する 3 種類の保持期間と、完了したタスクの内容を期限前に破棄する API です。いずれも保持期間を短くするための機能で、上の表を超えて延長することはできません。

3 種類の保持期間を個別に設定: 生成ファイル、プロンプト本文、アップロードした参照素材は、1 つの設定の 3 段階ではなく、それぞれ独立した設定です。各設定はアカウント全体に適用され、ヘッダーを 1 つ指定すると個別リクエストの保持期間をさらに短くできます。適用される 3 つの数値のうち最短のものを使うため、リクエストでアカウントの厳しい設定を緩めることはできません。
初期値はいちばん緩い設定: 新しいアカウントは、これまでの標準設定と同じ上限期間から始まります。短縮するかどうかは利用者が選び、保存前に各設定の影響を確認できます。利用者が知らないうちに参照ファイルが 2 日目に消えるような設定にはしません。
タスクより長くは残らない参照素材: アップロード素材は、それを使ったタスクが終了状態に達した時点で削除する設定にできます。完了・失敗・キャンセルのいずれでも削除しますが、送信した時点ではありません。再試行にそのファイルが要るからです。引き換えになるものは実際にあるので、はっきり書いておきます。同じ参照素材でもう一度実行するには、もう一度アップロードが必要です。
終わったタスクは自分で破棄: 1 回の API 呼び出しで、そのタスクの出力、保存された結果、プロンプト本文を削除します。審査や個別の依頼は不要で、同じ操作を 2 回実行してもエラーにはなりません。その後は「利用者が破棄した」と記録し、定期処理による「期限切れ」と区別します。

破棄があえて残すもの

課金記録は残します。金額、日時、モデル、リクエスト ID、タスクの終了状態は、課金について問い合わせる際の確認資料になるためです。履歴を削除して残高を書き換えることはできません。破棄するのはコンテンツであり、支払いの記録は消去しません。

届かないところ

破棄後も、課金記録と暗号化バックアップはそれぞれの保持期間に従って残ります。すでにダウンロードされたファイルも削除できません。清掃を予約した時点でタスクを破棄済みと記録し、物理削除はバックグラウンドで通常 1 分以内に行います。ファイル削除が未完了かどうかはタスク記録で確認できます。

認証情報

流出に備えて、キーの利用範囲を先に制限できます。

外部に渡すキーは、自社バックエンドのキーよりできることが少ないはずです。以下の制限はすべてキーごとに設定でき、あとから変更でき、タスクを作成するトランザクションの中で判定されます。翌朝の突き合わせではありません。

利用規約のキー制限

表示は一度だけ、保管はハッシュだけ: キーの全文が表示されるのは、作成した直後の一度だけです。保持するのはハッシュだけなので、紛失したキーを誰も読み戻せません。失効させて作り直す、できるのはそれだけです。
3 つの上限は互いに独立: 日次上限、月間予算、累計上限をそれぞれ自分で設定できます。まず日次上限を設定すると、流出に気づく前でもキーの利用額を抑えられます。精算前のタスクに仮押さえした金額も、予算の使用額に含みます。
モデル一覧、IP 許可リスト、有効期限: キーは、呼び出せるモデル、送信元アドレス、そして自動的に使えなくなる日付で絞れます。一覧を空にすればその軸は無制限です。見落としではなく、判断としてそうしてください。
失効は次のリクエストから効きます: そのキーによる呼び出しは以後拒否されます。受理済みのタスクはそのまま実行され、料金も通常どおり発生します。受理が引き返せない地点だからです。キーの最終使用時刻とアドレスが表示されるので、気づく前に使われていたかどうかを確認できます。

キーが持つのは運用上の制限だけです。与えたり外したりする「コンテンツ権限」はありません。モデルが何を出力するかは、選んだモデル自体の性質です。

自社システム

外側からは確かめられない部分。

保持期間とキーの制限は、ご自身のコンソールで確認できます。以下は確認できません。ですから、あとで責任を問われる形で書いておきます。

運用コンソールは別のサービスです: 独自のプロセス、独自のホスト名で動き、独自のトンネルと独自のアクセス層の後ろにあります。公開サービスはそれらのルートを一切登録しないので、API ホスト側から管理系の経路を見つけることはできません。
オリジンに受信ポートはありません: すべてのサービスは外向きのトンネルでインターネットに出るため、スキャンできる開放ポートがありません。オリジンは他の処理より先に、リクエストが本当にエッジ経由で届いたかを再確認し、通らなければ診断情報なしの 404 だけを返します。
お金は手作業でしか動きません: チャージ、調整、返金はいずれも、それぞれのペイロードハッシュと有効期限を持つ変更不能な申請であり、独立したサービスとして独自のアクセス層の後ろにあるコンソールで、管理者が手作業で実行します。アカウントを持っていることは、その資金を動かせることを意味しません。
管理操作はハッシュで連結されます: 各エントリは 1 つ前のハッシュを持つため、削除や改変があれば連鎖が切れます。監査エントリを書き込んだり削除したりするエンドポイントは存在せず、サービスを動かすデータベースロールにも更新や削除はできません。

これは第三者監査ではありません。自分たちで検証する連鎖が示すのは、自社の記録が内部的に整合しているという事実だけです。第三者の署名ではありませんし、そのように見せるつもりもありません。

開示一覧

公開していること、主張しないこと。

製品内で公開

モデルの提供状況、入力スキーマ、単価、ジョブの状態、請求記録、リクエスト ID、ポリシーの要約、日付入りの変更履歴。これらは製品としての開示であって、第三者による保証ではありません。

ここでは主張しないこと

SOC 2、ISO 27001、PCI DSS、HIPAA 適格性、第三者による侵入テストの実施範囲、契約上の稼働率 SLA、データ所在地の一律保証、一律のゼロ保持。いずれも主張しません。稼働率について公開しているのは保証ではなく目標です。当社側のレイヤー（リクエストの受付、ジョブの受付、コールバックの配信）で 99.9%、各コンポーネントの現在の状態は status.spicyapi.ai にあります。目標であるため、サービスクレジット、返金その他の補償は生じず、生成を実行する第三者のモデルサービスは対象外です。書いていないことを、認証済みと読み替えないでください。

運用上の透明性

公開している製品情報では、現在の提供状況、ジョブの状態、料金、コンテンツのルールを、認証や保証とは分けて示しています。いま有効で、自分に当てはまると明記されている内容だけを根拠にしてください。

何かおかしいとき

専用の窓口で担当者が対応します。リクエストごとの審査は行いません。

リクエストを 1 件ずつ審査することはしません。代わりにあるのは、通報の窓口と、通報や法的通知を受けてから始まる保全の手順、そして最初に判断した人とは別の人が読む異議申し立てです。

通報ページを開く

support@spicyapi.ai: 禁止コンテンツ、プライバシーに関する請求、法的通知はこちらへ。問題の内容を説明し、タスク ID かリクエスト ID を添えてください。素材そのものは絶対に添付しないでください。未成年者が関わる性的コンテンツについてはフォームを使わず、件名に CSAM ESCALATION と記載してください。ほかのどれよりも先に扱います。
support@spicyapi.ai: アカウント、課金、失敗後に仮押さえ額が戻らないタスクについて対応します。コンソールから自分のデータを JSON で書き出す、完了したタスクの内容を破棄する、アカウントを閉鎖する操作も可能です。
セキュリティ調査: 機械可読の連絡先を /.well-known/security.txt で公開しています。アクセス制御、レート制限、課金を調べる行為には、その窓口を通じた書面での事前承認が必要です。案内できるバグバウンティ制度はありません。

目標対応時間

連絡先を書いた通報は 1 営業日以内に受領をお返しし、エスカレーション経路は 3 営業日、それ以外は 10 営業日を目標にしています。プライバシーに関する請求は、不当に遅らせることなく、あなたに適用される法律が定める期間内に回答します。

これらは目標であって、保証された応答時間ではありません。稼働率も同じく目標であって約束ではなく、個別に契約しない限りサービスレベル契約もサービスクレジットもありません。

ポリシー境界

創作の自由よりも、同意と法律が優先されます。

規制なしのモデルを使う場合、描かれる人物は全員が成人で、同意が記録されている必要があります。未成年者、同意のない親密な画像、実在する人物の容姿や声を偽って使うこと、搾取、関係する法域で違法な素材は禁止です。これらの義務はお客様が負います。ルールは利用上のルールのページに、関連するデータの扱いはプライバシーのページに書いています。