Polityka prywatności

Kto prowadzi tę usługę. „spicyapi” to nazwa handlowa spółki, która prowadzi usługę, i to z tą spółką zawierasz umowę. Wszystkie użyte poniżej określenia „my”, „nas” i „operator” oznaczają tę spółkę.

1. Jak czytać tę stronę

Każdy podany poniżej okres przechowywania pochodzi z klucza konfiguracyjnego lub ze stałej w działającej usłudze, a nie z konwencji przyjętej przy redagowaniu. Jeżeli jakiś okres nie został jeszcze ustalony, ta strona mówi o tym wprost, zamiast podawać wiarygodnie brzmiącą liczbę.

Dwie rzeczy mówimy wprost już na początku, bo polityka prywatności, którą trzeba przeczytać dwa razy, żeby je znaleźć, nie spełnia swojego zadania:

• Przechowujemy twoje prompty i twoje wyniki. Są one przechowywane przez określony czas, a następnie wymazywane. Platformę, która przechowuje treści, a twierdzi, że tego nie robi, może zdemaskować jeden zrzut ekranu z jej własnej konsoli administracyjnej, a uczciwa wersja – określony okres, brak wykorzystania do trenowania i wypisane wyjątki – jest mocniejszym zobowiązaniem niż zaprzeczenie, którego nie da się sprawdzić.
• Nie jesteśmy końcem łańcucha. Twój prompt jest przekazywany dostawcy obsługującemu wybrany przez ciebie model, który potrzebuje go w postaci jawnego tekstu, aby wygenerować wynik. Żadna nasza obietnica nie może być mocniejsza niż to, co ten dostawca z nim robi.

Administratorem danych jest operator w zakresie wszystkiego, co opisano poniżej; to tę spółkę oznaczają na tej stronie określenia „my” i „nas”.

Spółka ma siedzibę w Stanach Zjednoczonych i stamtąd prowadzona jest usługa. Nie mamy jednostki organizacyjnej w Unii Europejskiej, dlatego mechanizm punktu kompleksowej obsługi nie ma zastosowania i nie ma dla nas wiodącego organu nadzorczego; nadal możesz jednak wnieść skargę do organu nadzorczego w miejscu swojego zamieszkania. Wszystko, co opisano poniżej, dotyczy tego, co platforma faktycznie robi.

2. Co zapisujemy

2.1 Co przesyłasz i co otrzymujesz z powrotem

Każdy okres w tej tabeli jest górną granicą, a nie stałym terminem: to najdłuższy czas, przez jaki przechowamy te dane, i zarazem reguła skonfigurowana w samym magazynie. Możesz poprosić o krótszy okres – zob. 2.7. Nie możesz poprosić o dłuższy.

Słowo „około” przy wygenerowanych multimediach jest celowe. Magazyn obiektów usuwa wygasłe obiekty według własnego harmonogramu, zwykle w ciągu 24 godzin od momentu wygaśnięcia. Stwierdzenie „14 dni” bez zastrzeżeń byłoby odrobinę nieprawdziwe, więc go nie formułujemy. W przypadku przesłanego pliku referencyjnego granica dostępu jest dokładna: jego URI przestaje działać w chwili wskazanej w polu expiresAt odpowiedzi na zatwierdzenie (commit), domyślnie 1 dzień po zatwierdzeniu. Opóźnienie usuwania wynikające z cyklu życia obiektów nie wydłuża tego okresu użyteczności.

Projekty filmów krótkometrażowych mają dłuższy okres, ponieważ film powstaje przez dni lub tygodnie: scena wykonana w pierwszym tygodniu musi nadal istnieć, gdy eksportowany jest cały film. Okres ten obejmuje wyłącznie multimedia utworzone w projekcie filmu krótkometrażowego w Spicy Studio oraz filmy z niego wyeksportowane. Ten sam model wywołany przez API, playground lub canvas zachowuje górną granicę 14 dni, a tekst promptów w obu przypadkach zachowuje górną granicę 30 dni.

Twoja biblioteka zasobów i postacie. Pliki, które dodajesz do swojej biblioteki zasobów lub do biblioteki zespołu, są przechowywane do czasu, gdy je usuniesz, a nie przez okresy podane w tabeli powyżej, i są dostępne wyłącznie przez podpisany adres URL. Postać to wpis w tej bibliotece: nazwa, opcjonalna notatka oraz zestaw obrazów, które są już zasobami tej samej biblioteki. Te obrazy są własnymi zasobami biblioteki, a nie osobnymi kopiami, a usunięcie postaci nie usuwa jej obrazów; aby je usunąć, usuwasz dany zasób. Miejsce w magazynie jest liczone wyłącznie według poziomu twojej biblioteki, bez odrębnego limitu dla postaci. Jeśli dodajesz do postaci zdjęcie prawdziwej osoby, które sam przesłałeś, potwierdzasz, że posiadasz do niego prawa i masz zgodę tej osoby, a my zapisujemy moment, w którym złożyłeś to potwierdzenie. Postacie i ich obrazy są przechowywane do czasu, gdy je usuniesz, i są usuwane wraz z twoim kontem; postacie w bibliotece zespołu są usuwane po zamknięciu zespołu. Dopóki obowiązuje blokada prawna (legal hold) obejmująca konto, usunięcie jedynie ukrywa element przed tobą, a dane są przechowywane do czasu zniesienia blokady. Nie skanujemy ani nie klasyfikujemy zawartości biblioteki.

2.2 Twoje konto

Adres e-mail, skrót (hash) hasła, ewentualna powiązana tożsamość Google lub GitHub, kraj ustalony przy rejestracji oraz zaszyfrowany klucz służący do podpisywania kierowanych do ciebie wywołań zwrotnych webhooków. Jeśli włączysz uwierzytelnianie wieloskładnikowe TOTP, przechowujemy również w postaci zaszyfrowanej jego ziarno (seed), kody odzyskiwania przechowujemy wyłącznie jako jednokierunkowe skróty, a ponadto zapisujemy znaczniki czasu dotyczące składnika i jego użycia. Kody odzyskiwania w postaci jawnej są wyświetlane tylko w chwili ich wygenerowania. Tych danych uwierzytelniających konta można używać wyłącznie dopóty, dopóki odpowiedni składnik i konto pozostają włączone.

Dane konta są przechowywane, dopóki konto istnieje. Po zakończeniu bezpiecznego zamknięcia konta dostęp do logowania i powiązane tożsamości zostają unieważnione, profil zostaje pozbawiony danych identyfikujących, a pozostają wyłącznie powiązania i fakty potrzebne do uzgodnienia zachowanych zapisów rozliczeniowych, audytowych i dotyczących bezpieczeństwa. Skróty haseł, klucze webhooków, ziarna TOTP i skróty kodów odzyskiwania nigdy nie są dołączane do samodzielnego eksportu danych.

Kraj rejestracji jest przechowywany, ponieważ wyłączenie regionalne opisane w regulaminie musi dać się później zweryfikować w audycie na podstawie decyzji faktycznie podjętej w danym momencie, a nie przez ponowne ustalanie lokalizacji starego adresu.

Zaproszenia. Jeśli zakładasz konto przez czyjś link zapraszający, zapisujemy, które konto cię zaprosiło, kod zaproszenia i czas rejestracji. Osoba, która cię zaprosiła, widzi cię wyłącznie jako zamaskowaną etykietę – na przykład jo***@g***.com albo pierwsze znaki nazwy konta prywatnego – wraz z dniem dołączenia i informacją, czy dokonano płatności. Nigdy nie widzi twojego adresu e-mail, tego, co generujesz, z jakich modeli korzystasz ani żadnej z twoich płatności, a zdobywane przez nią nagrody są jej pokazywane wyłącznie jako sumy dla wszystkich zaproszonych osób. Aby zapobiegać nadużyciom programu zaproszeń, porównujemy między kontem zapraszającym a zaproszonym jednokierunkowy skrót odcisku karty zwracanego przez operatora płatności oraz adresy IP opisane w punkcie 2.3; zbieżność powoduje jedynie skierowanie nagrody do ręcznej weryfikacji, a numerów kart nigdy nie otrzymujemy ani nie przechowujemy. Zapis o zaproszeniu twojego konta jest usuwany po zamknięciu twojego konta, a kod zaproszenia jest usuwany po zamknięciu konta, do którego należy. Decyzje dotyczące nagród są zapisami rozliczeniowymi i są przechowywane na tych samych zasadach co pozostałe (zob. punkt 2.6).

2.3 Sesje i urządzenia

Każda sesja logowania zapisuje adres IP, ciąg user-agent przeglądarki i kraj. Zmiany istotne dla bezpieczeństwa oraz zdarzenia MFA tworzą ponadto wpis bezpieczeństwa konta zawierający typ zdarzenia, czas, adres IP, user-agent przeglądarki i metadane niebędące sekretami. Służy to wykrywaniu nietypowych logowań, badaniu zmian na koncie oraz pokazywaniu ci twoich aktywnych sesji i ostatniej aktywności związanej z bezpieczeństwem. Porównujemy też te adresy między dwoma kontami powiązanymi zaproszeniem, jak opisano w punkcie 2.2, aby zapobiegać nadużyciom programu zaproszeń; na potrzeby tego porównania nie jest przechowywane nic nowego.

Adres IP traktujemy jako dane o wysokiej wrażliwości, a nie jako rutynową telemetrię, ponieważ w usłudze takiej jak ta to właśnie on łączy osobę z tym, co wygenerowała.

Dziewięćdziesiąt dni po utworzeniu wpisu zaplanowany proces zastępuje adres IP i ciąg user-agent skrótem z kluczem (keyed hash) – jednakowo w sesjach logowania, zdarzeniach bezpieczeństwa konta, akceptacjach zasad i dzienniku audytu. To pseudonimizacja, a nie anonimizacja: skrót jest stały, więc nadal możemy stwierdzić, że dwa wpisy pochodzą z tego samego adresu, i nie twierdzimy inaczej. Sam adres znika z wiersza i nie da się go odczytać z powrotem.

2.4 Metadane zadań, których przechowywania możesz się nie spodziewać

Oprócz samej treści każde zadanie zawiera: dane o czasie, klucz, którym je wysłano, odwołanie do dostawcy, do którego przekazano żądanie, własny identyfikator zadania nadany przez tego dostawcę, klucz idempotentności oraz adres URL wywołania zwrotnego. Starsze zapisy mogą zawierać wartość trybu treści pochodzącą od starszych klientów; nie jest ona wykorzystywana do przeglądu treści ani do decyzji o dostępie.

Te wiersze nie są usuwane. Wymazanie po 30 dniach czyści pola promptu i wyniku; sam wiersz pozostaje, ponieważ jest jedynym zapisem tego, za co naliczono opłatę, a usunięty wiersz oznacza konto, którego nie da się uzgodnić. Po wymazaniu wiersz zajmuje kilkaset bajtów i nie zawiera żadnej treści.

Zdarzenia zmiany stanu i zapisy dostarczenia webhooków są przechowywane według harmonogramu partycji wyznaczonego na podstawie ustawienia 60 dni, z dolną granicą dwóch miesięcy.

2.5 Sygnały pochodne, przechowywane bezterminowo

Zanim prompt zostanie wymazany, wyodrębniany jest z niego niewielki zestaw sygnałów, przechowywany bez ograniczenia czasowego. Nie zawiera on żadnego dowolnego tekstu: to liczba znaków promptu, jego dominujący system pisma (pismo han, łacińskie, kirylica i tak dalej – celowo nie jego język), liczba dołączonych materiałów referencyjnych oraz skrót znormalizowanych parametrów po usunięciu całego dowolnego tekstu i adresów URL materiałów.

Istnieje on po to, by na pytania operacyjne – użycie których modeli rośnie, gdzie skupiają się błędy – dało się odpowiedzieć bez czytania czyjegokolwiek promptu. Dzięki temu odczytanie promptu jest też rzadkim zdarzeniem, i właśnie to sprawia, że otaczający je dziennik audytu w ogóle niesie jakikolwiek sygnał.

Skrót parametrów jest jednokierunkowym podsumowaniem. Pozwala stwierdzić, czy dwa zadania użyły tego samego zestawu parametrów; nie da się go przekształcić z powrotem w wartości.

2.6 Rozliczenia i audyt

Wpisy w księdze rozliczeń są wyłącznie dopisywane: nigdy nie są modyfikowane ani usuwane. Obok nich przechowywane są zlecenia doładowania, salda portfeli i dzienne sumy wydatków. Działania administracyjne są zapisywane w dzienniku audytu, którego wpisy są powiązane łańcuchem skrótów (hash chain).

Wpisy w księdze rozliczeń są wyłącznie dopisywane: rola bazodanowa, na której działa usługa, nie może ich aktualizować, usuwać ani obcinać (truncate), więc zapis rozliczeniowy nie może po cichu zmienić się po fakcie. Przechowujemy je tak długo, jak wymaga tego od nas amerykańskie prawo podatkowe i rachunkowe – jest to okres liczony w latach, którego nie możemy skrócić na żądanie. Zapisy audytowe przechowujemy przez dwa lata, po czym usuwany jest wyłącznie zweryfikowany, ciągły początkowy fragment łańcucha, dzięki czemu sam łańcuch nadal można sprawdzić.

Faktury zawierają twoje własne dane. Jeśli wystawiasz w konsoli fakturę lub zestawienie zużycia, przechowujemy i drukujemy nazwę płatnika, odbiorcę, adres, kraj, adres e-mail do rozliczeń i opcjonalny numer podatkowy – dokładnie w takiej postaci, w jakiej je wpisujesz. Numer podatkowy służy wyłącznie temu, by mógł pojawić się na dokumencie; do niczego innego go nie używamy. Wszystkie te dane podajesz ty i żadnych z nich nie weryfikujemy – ani twojej tożsamości prawnej, ani twojej rejestracji podatkowej, ani numeru podatkowego. Już wystawiony dokument zachowuje dane obowiązujące w chwili jego utworzenia, a późniejsze zmiany dotyczą wyłącznie nowych dokumentów. Wystawione dokumenty są zapisami rozliczeniowymi i są przechowywane na tych samych zasadach co pozostałe takie zapisy.

2.7 Jak poprosić, żebyśmy przechowywali mniej

Okresy z punktu 2.1 obowiązują, dopóki nie wskażesz inaczej. W konsoli możesz osobno ustawić krótsze okresy dla czterech rzeczy, ponieważ odpowiadają one na różne pytania:

• Wygenerowane multimedia i wyniki – od jednej godziny do wartości domyślnej.
• Multimedia filmów krótkometrażowych – od jednej godziny do wartości domyślnej, czyli około 60 dni, dla multimediów utworzonych w projekcie filmu krótkometrażowego w Spicy Studio oraz filmów z niego wyeksportowanych.
• Prompty i parametry w postaci dowolnego tekstu – od jednej godziny do wartości domyślnej.
• Przesłane przez ciebie obrazy referencyjne – od jednej godziny do wartości domyślnej albo zniszcz po użyciu, co usuwa plik, gdy tylko zadanie, które z niego korzystało, osiągnie stan końcowy.

Pojedyncze żądanie może za pomocą nagłówka X-Spicy-Retention poprosić o krótszy okres niż ustawienie konta. Może go wyłącznie skrócić. Żądanie nie może przywrócić okresu dłuższego, niż pozwala konto, a ani żądanie, ani ustawienie konta nie może przekroczyć górnych granic z punktu 2.1 – administrator, który ustawi dla organizacji jedną godzinę, ustanawia więc limit, a nie sugestię.

Nie oferujemy możliwości dłuższego przechowywania tych treści i nie nazywamy niczego z powyższego „zerowym przechowywaniem” (zero retention): najkrótszy okres to jedna godzina, a treść jest zapisywana w magazynie, zanim zostanie usunięta.

2.8 Niszczenie treści na żądanie

Treść zakończonego zadania możesz zniszczyć w dowolnym momencie – w konsoli lub przez POST /api/v1/jobs/purge. Usuwa to wygenerowane multimedia z magazynu obiektów, zapisany wynik oraz tekst promptu.

Nie jest to zwrot i nie zmienia wysokości naliczonej ci opłaty. Zapis rozliczeniowy tego zadania – kwota, czas, model, identyfikator żądania – jest przechowywany na zasadach opisanych w punkcie 2.6, ponieważ jest jedynym dowodem tego, za co zapłacono. Zniszczenie treści usuwa treść, a nie opłatę.

Następnie zadanie jest oznaczane jako zniszczone przez ciebie i nigdy nie jest pokazywane jako takie, które wygasło samo. To dwa różne zdarzenia i nie zacieramy różnicy między nimi: jedno to nasza reguła wykonywana zgodnie z harmonogramem, drugie – decyzja podjęta przez ciebie. Zniszczenie nie ma zastosowania, dopóki obowiązuje blokada prawna, z tego samego powodu, z którego nie ma wtedy zastosowania wygaśnięcie – zob. punkt 7.

2.9 Wiadomości e-mail i powiadomienia, które do ciebie wysyłamy

Wysyłamy trzy rodzaje wiadomości i tylko pierwszego z nich nie da się wyłączyć.

• Wiadomości dotyczące konta i usługi – nie można ich wyłączyć. E-maile, bez których konto nie może działać, na przykład weryfikacja adresu, resetowanie hasła, potwierdzenie zmiany adresu e-mail, zaproszenia do przestrzeni roboczej, odpowiedzi na twoje zgłoszenia do pomocy technicznej oraz – jeśli go ustawisz – alert o niskim saldzie. Należą tu także komunikaty serwisowe: planowane prace konserwacyjne, awaria wpływająca na twoje żądania, kwestia bezpieczeństwa albo zmiana niniejszej polityki lub regulaminu przed jej wejściem w życie.
• Nowości w produkcie – możesz je wyłączyć. Nowe modele, zmiany cen i funkcje konsoli.
• Oferty i ogłoszenia – możesz je wyłączyć. Okazjonalne promocje.

Na kontach założonych 6 października 2026 r. lub później oba opcjonalne rodzaje są od początku włączone; strona rejestracji informuje o tym przed założeniem konta. Na kontach założonych wcześniej były początkowo wyłączone i pozostają wyłączone, dopóki ich nie włączysz. W obu przypadkach oba przełączniki znajdziesz na stronie „Powiadomienia” w konsoli. Dopóki przełącznik jest wyłączony, wiadomości tego rodzaju nie trafiają ani do twojej skrzynki odbiorczej, ani pod dzwonek powiadomień w konsoli.

Wyłączanie. Bez względu na to, czy przełącznik był włączony od założenia konta, czy włączono go później, możesz go w każdej chwili wyłączyć na dwa sposoby:

• Z dowolnego e-maila z nowościami lub ofertami. Każdy kończy się linkiem do wypisania się, który działa bez logowania. Samo otwarcie linku niczego nie zmienia: prowadzi on do strony, na której potwierdzasz decyzję, więc skaner poczty otwierający linki w twoim imieniu nie wypisze cię przypadkiem. Na tej stronie możesz zrezygnować z tego jednego rodzaju albo z obu opcjonalnych rodzajów. Programy pocztowe z własnym przyciskiem wypisania się jednym kliknięciem przesyłają nam to potwierdzenie bezpośrednio.
• W konsoli – tymi samymi dwoma przełącznikami, które działają w obie strony.

Sprawdzamy twoje ustawienie w chwili przygotowywania każdej wiadomości dla ciebie, a nie tylko przy planowaniu wysyłki, więc zmiana obejmuje wszystko, co jeszcze nie zostało wysłane; wiadomość, która przed wyłączeniem przełącznika trafiła już do naszej kolejki wysyłki, może jeszcze dotrzeć. Zamknięcie konta wyłącza oba przełączniki.

Dlaczego wiadomości serwisowych nie można wyłączyć. Są częścią obsługi twojego konta, a nie sposobem, by coś ci sprzedać:

• Bezpieczeństwo konta. O zresetowaniu hasła, zmianie adresu, którym się logujesz, czy o problemie z bezpieczeństwem na platformie musisz się dowiedzieć, nawet jeśli newslettery w ogóle cię nie interesują.
• Dostępność usługi. Saldo jest opłacane z góry, a być może masz oprogramowanie, które wywołuje API bez nadzoru; prace konserwacyjne i awarie zmieniają to, co to oprogramowanie otrzymuje w odpowiedzi.
• Obowiązki prawne. Niektóre powiadomienia są wymagane przez prawo – na przykład poinformowanie użytkowników, których dotyczy naruszenie ochrony ich danych osobowych – a w punkcie 10 zobowiązujemy się ogłaszać istotne zmiany niniejszej polityki przed ich wejściem w życie.

Z tego samego powodu nigdy nie używamy komunikatu serwisowego do promowania czegokolwiek. Wiadomość, której głównym celem jest sprzedaż, wychodzi jako oferta i trafia tylko do kont z włączonym przełącznikiem ofert.

Bez śledzenia otwarć i kliknięć. Te e-maile nie zawierają pikseli śledzących ani skryptów. Jedyny obraz, jaki w nich jest – nasze logo – to ten sam plik pod tym samym adresem dla wszystkich odbiorców, więc jego pobranie nie mówi nam, kto otworzył którą wiadomość. Linki prowadzą prosto do celu: nie przepuszczamy ich przez przekierowanie ani niczego do nich nie dodajemy, żeby sprawdzić, kto kliknął. Tam, gdzie link musi być unikalny dla ciebie – link weryfikacyjny, do resetowania hasła lub do wypisania się – spełnia tylko to jedno zadanie i nic więcej. Nie mierzymy otwarć e-maili ani kliknięć w nich.

Kto je otrzymuje i co przechowujemy. Komunikaty serwisowe, nowości w produkcie i oferty trafiają wyłącznie do posiadaczy kont, a e-mailem wyłącznie na zweryfikowany adres; konto prywatne nie ma adresu e-mail, więc wszystko, co do niego wysyłamy, pojawia się tylko w konsoli. Gdy wysyłka jest przeznaczona dla części kont, a nie dla wszystkich, wybieramy je na podstawie informacji, które już mamy: czy konto kiedykolwiek zostało doładowane, czy ma obecnie saldo, kiedy zostało utworzone, kiedy ostatnio się na nie zalogowano lub przesłano z niego zadanie albo – gdy piszemy do konkretnych osób – jego adres e-mail. Twoje prompty, przesłane pliki i wyniki nigdy nie są wykorzystywane do decydowania, co do ciebie wysłać.

Przechowujemy stan twoich dwóch przełączników i czas ostatniej zmiany ustawień e-mail. Dla każdego komunikatu serwisowego, nowości lub oferty wysłanej do ciebie zapisujemy, której wysyłki dotyczyła, na jaki adres trafiła, czy została dostarczona, czy się nie powiodła, czy też została pominięta – i dlaczego, na przykład dlatego, że przełącznik był już wtedy wyłączony – oraz kiedy nastąpiło wypisanie się za jej pośrednictwem. E-maile z nowościami i ofertami zawierają też nasz adres pocztowy i informację, w ramach którego przełącznika zostały wysłane. Link do wypisania się zawiera losowy kod, z którego przechowujemy wyłącznie jednokierunkowy skrót, a przygotowana dla ciebie kopia e-maila jest usuwana z naszej kolejki wysyłki, gdy tylko zostanie doręczona lub gdy ostatecznie zrezygnujemy z jej doręczenia. Te zapisy o doręczeniach nie mają jeszcze własnego okresu przechowywania; zgodnie z punktem 1 mówimy o tym wprost, zamiast podawać liczbę, a ta strona zostanie zmieniona, gdy okres zostanie ustalony.

2.10 Raporty o błędach z twojej przeglądarki

Gdy na stronie tej witryny w twojej przeglądarce wystąpi błąd, strona wysyła nam krótki raport diagnostyczny, abyśmy mogli znaleźć i naprawić usterkę. Raport zawiera wyłącznie: rodzaj błędu i skróconą treść komunikatu, z której usunięto adresy internetowe, parametry zapytania, adresy e-mail, tokeny i identyfikatory; nazwy plików kodu i pozycje w wierszach, w których wystąpił błąd; stronę, na której do niego doszło, zapisaną jako wzorzec ścieżki — bez parametrów zapytania i z identyfikatorami zastąpionymi symbolami zastępczymi; rodzinę przeglądarki oraz informację, czy to telefon, czy komputer; język strony; wersję witryny; a także to, czy strona wyglądała na przetłumaczoną maszynowo albo zmienioną przez rozszerzenie przeglądarki.

Raport nigdy nie zawiera twojego adresu IP, twojego konta, plików cookie, promptów, treści strony ani jej pełnego adresu, a obok niego nie przechowujemy niczego, co wiązałoby go z tobą lub z jakimkolwiek innym naszym zapisem. Jedna strona wysyła najwyżej pięć raportów, a jedna karta przeglądarki najwyżej dwadzieścia; aby tego pilnować, strona trzyma w pamięci sesji twojej przeglądarki zwykły licznik, kasowany po zamknięciu karty. Zautomatyzowane przeglądarki i roboty wyszukiwarek nie wysyłają żadnych raportów. Raporty są przechowywane u dostawcy infrastruktury, który już obsługuje tę witrynę (zob. punkt 5), i automatycznie usuwane po trzech miesiącach.

3. Czego nie robimy

• Nie używamy twoich promptów, przesłanych plików ani wyników do trenowania jakiegokolwiek modelu i nie zaczniemy tego robić bez osobnego i wyraźnego zapytania cię o to. To zobowiązanie dotyczy naszych własnych systemów. To, co z tymi danymi wejściowymi może zrobić dostawca wykonujący żądanie, określają warunki, których nie piszemy; punkt 5 wyjaśnia tę górną granicę.
• Nie uruchamiamy skryptów reklamowych ani śledzenia między witrynami. Do pomiaru ruchu w tej witrynie używamy Google Analytics, które działa dla wszystkich odwiedzających. Funkcje reklamowe, personalizacja reklam i Google Signals są całkowicie wyłączone – a nie tylko nieużywane – więc pomiaru nie da się przekształcić w grupę odbiorców reklam. Nigdy nie przesyłamy do Google Analytics identyfikatora twojego konta, adresu e-mail, promptów ani wyników.
• Nie sprzedajemy ani nie wynajmujemy danych osobowych.
• Nie deklarujemy szyfrowania end-to-end i wolimy wyjaśnić dlaczego, niż pożyczać to określenie. Dostawca modelu potrzebuje twojego promptu w postaci jawnego tekstu, aby wygenerować wynik, więc żaden układ, w którym przekazujemy twoje żądanie dalej, nie może sprawić, że twoja treść będzie nieczytelna dla wszystkich poza tobą. Każdy, kto sprzedaje ci taki opis API do inferencji, opisuje coś innego.

4. Pliki cookie

Dwa pliki cookie są ściśle niezbędne: jeden utrzymuje twoje zalogowanie, drugi chroni formularze przed atakami typu cross-site request forgery (fałszowanie żądań między witrynami). Nie można odrzucić żadnego z nich, ponieważ bez nich witryna nie może spełniać swojej funkcji.

Linki zapraszające. Gdy otwierasz link zawierający kod zaproszenia, witryna zapisuje ten kod we własnym pliku cookie (spicy_ref) na okres do 30 dni, aby można go było przypisać, jeśli założysz konto. Jeśli następnie zarejestrujesz się przez Google lub GitHub, kod jest przenoszony przez to logowanie w drugim pliku cookie, który działa dziesięć minut. Oba zawierają wyłącznie kod, nigdy nie służą do analityki ani reklamy i są usuwane, gdy tylko się zarejestrujesz lub zalogujesz.

Analityczne pliki cookie to osobna kategoria. Google Analytics działa dla wszystkich odwiedzających tę witrynę i ustawia własny pomiarowy plik cookie, aby odróżnić powracającą wizytę od nowej; informuje o tym komunikat przy pierwszej wizycie. W witrynie nie ma przełącznika, który by je wyłączał. Jeśli nie chcesz, aby twoje wizyty były mierzone, zainstaluj udostępniany przez Google dodatek do przeglądarki wyłączający Google Analytics – całkowicie zatrzymuje on pomiar. Samo zablokowanie plików cookie tej witryny w przeglądarce sprawi jedynie, że Google Analytics nie rozpozna powracającej wizyty; odwiedzane strony nadal będą liczone. Nie ma plików cookie reklamowych ani profilujących.

W środowisku produkcyjnym oba pliki cookie mają prefiks __Host-. Ten prefiks to twarda reguła przeglądarki, a nie konwencja: wymusza atrybut Secure, wymusza Path=/ i zabrania atrybutu Domain – dzięki temu żaden inny host w obrębie domeny nie może zapisać pliku cookie, który odczyta nasze źródło (origin). Eliminuje to również całą klasę ataków typu session fixation (utrwalenie sesji). Przy zwykłym HTTP w lokalnym środowisku programistycznym przeglądarka od razu odrzuciłaby plik cookie __Host-, dlatego wersje deweloperskie używają nazwy bez prefiksu; wersja produkcyjna – nie.

5. Kto jeszcze przetwarza twoje dane

To dostawca modelu wyznacza górną granicę każdej obietnicy na tej stronie. Możemy zobowiązać się co do tego, co dzieje się w naszych własnych systemach. Nie możemy składać zobowiązań w imieniu dostawcy, którego warunków nie piszemy. Niektórzy dostawcy na tym rynku zastrzegają sobie prawo do trenowania modeli na danych wejściowych; inni nie wypowiadają się w tej sprawie ani w jedną, ani w drugą stronę, co nie jest równoznaczne z zaprzeczeniem.

Gdy Stripe jest skonfigurowany, a ty wybierzesz dodanie karty lub doładowanie, strona płatności jest hostowana przez Stripe. W przypadku kont prywatnych nie przesyłamy adresu e-mail. Przechowujemy nieprzejrzyste identyfikatory Stripe dotyczące klienta, metody płatności, konfiguracji i transakcji; zamaskowaną etykietę metody płatności; jednokierunkowy skrót odcisku karty zwracanego przez Stripe, używany wyłącznie do rozpoznania tej samej karty na więcej niż jednym koncie w programie zaproszeń; twoje ustawienia automatycznego doładowania i stan zgody; kwoty, statusy, znaczniki czasu i identyfikatory idempotentności. Nie otrzymujemy ani nie przechowujemy pełnego numeru karty ani danych logowania do bankowości internetowej. W przypadku doładowania ręcznego przechowujemy identyfikator zlecenia, kwotę, status, znaczniki czasu oraz zewnętrzny identyfikator płatności używany do uzgodnień.

6. Przekazywanie danych za granicę

Usługa jest prowadzona dla globalnego grona deweloperów, a podmioty wymienione w punkcie 5 działają na całym świecie. Twoje dane będą przetwarzane poza krajem, w którym się znajdujesz.

Mamy siedzibę w Stanach Zjednoczonych. Gdy dane osobowe opuszczają Europejski Obszar Gospodarczy, Zjednoczone Królestwo lub Szwajcarię, opieramy się na standardowych klauzulach umownych Komisji Europejskiej wraz z brytyjskim aneksem do nich (UK Addendum). Jest to zabezpieczenie prawne, a nie techniczne: wiąże odbiorcę, ale nie zmienia wskazanego wyżej faktu, że twój prompt trafia do dostawcy wybranego modelu w postaci jawnego tekstu.

7. Wymazywanie, blokady prawne i kopie zapasowe

Po upływie 30 dni proces konserwacyjny czyści pola promptu i wyniku w wygasłych zadaniach. Dwa zabezpieczenia wbudowano w sam ten proces, a nie w harmonogram wdrożeń:

• Zadanie, z którego nie wyodrębniono jeszcze sygnałów pochodnych, nigdy nie jest czyszczone. Jeśli wyodrębnianie utknie, wymazywanie zatrzymuje się razem z nim – alternatywą byłaby trwała luka w danych, której nie da się uzupełnić.
• Zadanie objęte blokadą prawną (legal hold) nigdy nie jest czyszczone. Blokady mogą jedynie wydłużać przechowywanie: sprawiają, że dane żyją dłużej, i nigdy nie mogą sprawić, że znikną wcześniej. Każda blokada podlega przeglądowi, a blokada pozostawiona otwarta dłużej niż 90 dni jest oznaczana, ponieważ tabela pełna bezterminowych blokad po cichu unieważnia politykę przechowywania, podczas gdy publiczna strona nadal mówi o 30 dniach.

Blokady istnieją, ponieważ spory trwają dłużej niż okresy przechowywania. Obciążenie zwrotne karty (chargeback) może nadejść wiele miesięcy po zadaniu, a wtedy potrzebny jest nam właśnie ten zapis, który w przeciwnym razie zostałby wymazany.

Kopie zapasowe. Kopie zapasowe bazy danych są przechowywane przez 35 dni. Usunięte przez ciebie dane pozostają w tych zaszyfrowanych kopiach do czasu ich rotacji. W tym okresie nie są do niczego wykorzystywane i są wyłączone z każdego odtwarzania.

8. Twoje prawa

W zależności od miejsca zamieszkania mogą przysługiwać ci prawa do dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, wniesienia sprzeciwu wobec przetwarzania lub przeniesienia danych, a także prawo do wniesienia skargi do organu nadzorczego.

Trzy uczciwe ograniczenia, podane z góry:

• Księgi rozliczeń nie da się wymazać. Zapisy finansowe są przechowywane na podstawie prawa podatkowego i rachunkowego; żądanie usunięcia ich nie obejmuje.
• Blokada prawna ma pierwszeństwo przed żądaniem usunięcia w odniesieniu do objętych nią danych, dopóki obowiązuje.
• Wymazanie nie jest natychmiastowe. Magazyn obiektów czyści wygasłe obiekty według własnego harmonogramu, a kopie zapasowe podlegają rotacji w cyklu 35 dni.

Po świeżej weryfikacji bezpieczeństwa konsola udostępnia samodzielny eksport w formacie JSON obejmujący twój profil, twoje członkostwa w przestrzeniach roboczych, metadane kluczy API bez sekretów, dane zadań w zakresie, w jakim są aktualnie przechowywane, rozmowy ze wsparciem, obserwowane modele i preferencje oraz zapisy rozliczeniowe, w tym ustawienia automatycznego doładowania bez danych uwierzytelniających do płatności. Eksport nie zawiera materiału haseł ani kluczy, ziaren MFA ani kodów odzyskiwania, wewnętrznych zapisów przekazywania żądań do dostawców ani plików binarnych multimediów. Multimedia pozostają objęte opisanymi wyżej okresami przechowywania.

Samodzielne zamknięcie konta wymaga świeżej weryfikacji tożsamości: podania aktualnego hasła albo, jeśli konto nie ma hasła, jednorazowego kodu wysłanego na adres e-mail konta. Nie anuluje ono przyjętego zadania i jest blokowane, dopóki zadania są uruchomione lub nierozliczone, dopóki płatność za doładowanie jest jeszcze przetwarzana, dopóki konto ma zaległe należności albo dopóki przestrzeń robocza zespołu nadal wymaga właściciela. Zablokowany wniosek jest zapisywany ze statusem wskazującym, co należy zrobić, a nie zgłaszany jako zakończony. Gdy zamknięcie jest bezpieczne, sesje i klucze API zostają unieważnione, profil zostaje pozbawiony danych identyfikujących, a treść zadań zostaje wyczyszczona, chyba że obowiązuje aktywna blokada dowodowa. Fakty finansowe, audytowe, dotyczące bezpieczeństwa oraz minimalne fakty potrzebne do uzgodnień pozostają zachowane w granicach opisanych wyżej; konsola nie przedstawia tego wyniku jako fizycznego usunięcia.

Żądanie, którego konsola nie może zrealizować, trafia na adres support@spicyapi.ai i jest rozpatrywane przez człowieka. Odpowiadamy bez zbędnej zwłoki i w terminie, który przewiduje dla takiej odpowiedzi mające do ciebie zastosowanie prawo.

9. Dzieci

Usługa jest przeznaczona dla dorosłych. Aby mieć konto, musisz mieć ukończone co najmniej 18 lat, i nie zbieramy świadomie danych od nikogo poniżej tego wieku. Jeśli uważasz, że przechowujemy dane dotyczące osoby małoletniej, poinformuj nas o tym pod adresem support@spicyapi.ai, a usuniemy je – chyba że dotyczą one podejrzenia materiałów przedstawiających seksualne wykorzystywanie dzieci, które zgodnie z prawem musimy zabezpieczyć i zgłosić, zamiast je usuwać.

10. Zmiany

Istotne zmiany są ogłaszane przed ich wejściem w życie. Ponieważ okresy przechowywania są odczytywane z działającej konfiguracji, zmiana któregokolwiek z nich zmienia treść tej strony – dlatego każda taka zmiana jest traktowana jako zmiana niniejszej polityki i ogłaszana w ten sam sposób.

11. Kontakt

support@spicyapi.ai – zarówno w sprawach prywatności, jak i w celu zgłaszania zabronionych treści. Strona zgłoszeń wyjaśnia ten drugi przypadek.