Centrum zaufania

Jasne ustawienia. Wyraźne granice. Żadnych pożyczonych znaków zaufania.

Ta strona opisuje mechanizmy produktu, o których możemy dziś powiedzieć wprost, oraz deklaracje, których świadomie nie składamy. Cudze logo, dopracowany interfejs czy ikona kłódki nie są dowodem certyfikacji; tam, gdzie dowód nie jest publiczny, mówimy o tym otwarcie.

Informacja o prywatności Dozwolony użytek

Nasze stanowisko

Zaufanie zaczyna się od zdania, które da się sprawdzić.

SpicyAPI pokazuje w produkcie obsługiwane wejścia każdego modelu, jego bieżącą dostępność, cenę i granice zasad dotyczących treści. Użytkownik sam wybiera model, który chce wywołać, a przyjęte zadania dostają identyfikatory pozwalające je prześledzić. Nie przedstawiamy planowanych mechanizmów jako zakończonych audytów ani nie traktujemy cudzego certyfikatu jak własnego.

Co dzieje się z tym, co wysyłasz

Twoje prompty i wyniki nigdy nie stają się naszymi danymi treningowymi.

Przechowujemy je przez określony czas. Jeden zrzut ekranu z naszej konsoli wystarczyłby, by obalić twierdzenie przeciwne. Dlatego wyjaśniamy, co zapisujemy, do czego te dane służą i jakie ograniczenie pozostaje nieuniknione.

Przeczytaj politykę prywatności

Zapisane, potem wymazane: Prompty, parametry tekstowe i odwołania do wyników pozostają w rekordzie zadania przez 30 dni, po czym te pola są czyszczone. Rekord pozostaje, ponieważ stanowi zapis naliczonej opłaty. Po usunięciu treści zajmuje kilkaset bajtów i nie zawiera materiałów użytkownika.
Nie dane treningowe, nie towar na sprzedaż: SpicyAPI nie używa Twoich promptów, przesłanych plików ani wyników do trenowania modeli i nie zacznie tego robić bez osobnej, wyraźnej prośby o zgodę. Nie sprzedajemy ani nie wynajmujemy danych osobowych. Poza naszymi systemami usługa modelu wykonująca żądanie przetwarza dane wejściowe zgodnie z własnymi warunkami. Polityka prywatności opisuje tę granicę; nie możemy składać obietnic w imieniu tej usługi.
Bez reklam, bez śledzenia między witrynami: Istnieją trzy ciasteczka: jedno utrzymuje zalogowanie, drugie chroni formularze przed podszyciem się pod żądanie z innej witryny, a trzecie, od Google Analytics, mierzy ruch w witrynie. Jego funkcje reklamowe i Google Signals są wyłączone i nigdy nie otrzymuje twojego konta, promptów ani wyników.
Liczby, a nie dowolny tekst: Zanim prompt zostanie wymazany, zachowujemy o nim kilka sygnałów: liczbę znaków, system pisma, liczbę załączonych plików referencyjnych oraz jednokierunkowy skrót parametrów. W tym zestawie nie ma żadnego dowolnego tekstu, a skrótu nie da się zamienić z powrotem na wartości.

Ograniczenie, którego nie zamierzamy zamazywać

Żeby powstał wynik, usługa modelu wykonująca żądanie potrzebuje promptu w czystym tekście. Żaden układ, w którym przekazujemy to żądanie dalej, nie sprawi, że stanie się ono nieczytelne dla wszystkich poza tobą – dlatego nie deklarujemy szyfrowania end-to-end i nie składamy obietnic w imieniu warunków, których nie napisaliśmy.

Przechowywanie

Każdy rodzaj danych ma okres przechowywania. Trzy z nich ustawiasz samodzielnie.

Poniższe maksymalne okresy pochodzą z aktywnej konfiguracji. Możesz skrócić czas przechowywania wygenerowanych plików, tekstu promptów i przesłanych obrazów referencyjnych względem tabeli. Nie możesz go wydłużyć, ponieważ wartości te są egzekwowane przez reguły przechowywania. Obowiązek zabezpieczenia danych na potrzeby prawne może przedłużyć przechowywanie rekordu; Twoje ustawienia pozwalają go skrócić.

Do 30 dni

Prompty i odwołania do wyników

Proces porządkowy czyści oba pola w rekordzie zadania. Jeśli skrócisz okres przechowywania, zastosuje ustawiony przez Ciebie termin. W obu przypadkach obowiązują dwie blokady: nie czyści zadania objętego obowiązkiem zabezpieczenia danych ani zadania, z którego nie wyodrębniono jeszcze informacji o użyciu.

Do około 14 dni

Wygenerowane obrazy, wideo i dźwięk

Magazyn usuwa wygasłe obiekty według własnego harmonogramu, zwykle w ciągu doby od wygaśnięcia. Krótsze okresy obsługuje nasz proces czyszczenia, który zwykle działa w ciągu kilku minut; podany okres pozostaje przybliżony, a nie obietnicą usunięcia w konkretnej sekundzie.

Do 1 dnia

Przesłane pliki referencyjne

Adres przesłanego pliku przestaje działać z chwilą wygaśnięcia. Samo usunięcie obiektu może nastąpić do 24 godzin później i to opóźnienie nie wydłuża okresu, w którym plik da się wykorzystać. Ustaw kasowanie przesłanych plików na moment zakończenia korzystającego z nich zadania, a opóźnienia praktycznie nie będzie.

90 dni

Adres IP i user agent

Potem zastępowane w miejscu skrótem z kluczem – tak samo w sesjach logowania, zdarzeniach bezpieczeństwa, akceptacjach zasad i w dzienniku audytu. To pseudonimizacja, nie anonimizacja: skrót jest stały, więc dwa wpisy z tego samego adresu nadal do siebie pasują. Sam adres znika z wiersza i nie da się go odczytać z powrotem.

35 dni

Kopie zapasowe bazy danych

Usunięte dane zostają w zaszyfrowanych kopiach zapasowych do czasu ich rotacji. W tym okresie nie są do niczego używane i są wyłączone z każdego odtwarzania.

Lata

Zapisy rozliczeniowe i audytowe

Wpisy księgowe są wyłącznie dopisywane – rola bazodanowa, na której działa usługa, nie może ich zmienić, usunąć ani skasować – i przechowujemy je tak długo, jak wymaga tego amerykańskie prawo podatkowe i rachunkowe. Zapisy audytowe trzymamy dwa lata, a usuwany jest wyłącznie zweryfikowany, ciągły początek łańcucha.

Trzy ograniczenia polityka prywatności formułuje dokładnie tak samo: usunięcie nie jest natychmiastowe, księgi nie da się wymazać, a aktywna blokada prawna ma pierwszeństwo przed żądaniem usunięcia.

Twoje ustawienia

Skróć przechowywanie. Usuń treść na własne żądanie.

Nieedytowalny okres przechowywania jest tylko informacją. Tutaj masz cztery narzędzia: trzy osobno ustawiane okresy oraz jedno wywołanie, które wcześniej usuwa treść zakończonego zadania. Każde z nich może wyłącznie skrócić przechowywanie; żadne nie wydłuża go ponad wartości z tabeli.

Trzy okresy ustawiane osobno: Wygenerowane pliki, tekst promptów i przesłane materiały referencyjne pełnią różne funkcje, dlatego mają trzy niezależne ustawienia. Każde dotyczy całego konta, a w pojedynczym żądaniu możesz dodatkowo skrócić okres za pomocą nagłówka. Obowiązuje najniższa z trzech wartości, więc żądanie nie może osłabić bardziej restrykcyjnego ustawienia konta.
Domyślnie maksymalny okres: Nowe konta zaczynają z maksymalnymi okresami przechowywania, tak jak dotychczas. Sam decydujesz o ich skróceniu, a konsekwencje każdej opcji widzisz przed zapisaniem ustawień. Kontrola prywatności nie powinna po cichu pozbawiać Cię pliku referencyjnego już drugiego dnia.
Materiały referencyjne usuwane po zadaniu: Możesz ustawić usuwanie przesłanych plików, gdy korzystające z nich zadanie osiągnie stan końcowy: zakończy się, nie powiedzie lub zostanie anulowane. Usunięcie nie następuje przy wysłaniu, ponieważ ponowienie może potrzebować pliku. Konsekwencja jest konkretna: aby ponownie użyć tego samego materiału, musisz przesłać go jeszcze raz.
Zniszcz zakończone zadanie samodzielnie: Jedno wywołanie usuwa wyniki tego zadania, zapisany rezultat i tekst promptu. Nie ma etapu zatwierdzania ani nikogo, kogo trzeba by pytać; powtórzenie prośby nie jest błędem. Potem zadanie jest opisane jako zniszczone przez ciebie, a to znaczy co innego niż wygasłe – nie pozwolimy, żeby nasze własne sprzątanie przypisało sobie twoją decyzję.

Czego zniszczenie celowo nie rusza

Zapisu rozliczeniowego. Kwota, data, model, identyfikator żądania i stan, w jakim zadanie się skończyło, zostają, bo to z tego wiersza rozstrzyga się sporną opłatę, a saldo, które dałoby się poprawić kasowaniem historii, byłoby warte mniej niż takie, którego poprawić się nie da. Zniszczenie usuwa treść, a nie paragon.

Dokąd nie sięga

Usunięcie treści pozostawia rekordy rozliczeń i zaszyfrowane kopie zapasowe na określone dla nich okresy oraz nie usuwa plików, które ktoś już pobrał. Zadanie otrzymuje oznaczenie usunięcia treści po zaplanowaniu czyszczenia; fizyczne usuwanie odbywa się później w tle, zwykle w ciągu minuty. Rekord zadania wskazuje, czy usunięcie plików nadal oczekuje na zakończenie.

Poświadczenia

Załóż, że klucz wycieknie. Ogranicz go, zanim to nastąpi.

Klucz przekazany podwykonawcy powinien móc mniej niż ten, którego używa twój własny backend. Każdy z poniższych limitów ustawia się osobno dla klucza, można go później zmienić, a rozstrzyga się go wewnątrz transakcji tworzącej zadanie, a nie przy porannym uzgadnianiu.

Limity kluczy w regulaminie

Pokazywany raz, przechowywany jako skrót: Pełny klucz jest wyświetlany tylko raz, zaraz po utworzeniu. Przechowujemy wyłącznie skrót, więc zgubionego klucza nie można ponownie odczytać. Możesz go unieważnić i utworzyć nowy.
Trzy niezależne limity: Limit dzienny, budżet miesięczny i limit na cały okres działania klucza ustawiasz samodzielnie. Warto zacząć od limitu dziennego: zatrzymuje użycie skradzionego klucza, zanim przeczytasz powiadomienie. Środki zarezerwowane na nierozliczone zadania nadal wliczają się do budżetu.
Lista modeli, lista dozwolonych adresów IP, data wygaśnięcia: Klucz można ograniczyć do wskazanych modeli, do konkretnych adresów źródłowych i do daty, po której sam przestanie działać. Pozostawiona pusta lista oznacza brak ograniczeń w tym wymiarze, a to powinno być decyzją, nie przeoczeniem.
Unieważnienie działa od następnego żądania: Wywołania tym kluczem są od tej chwili odrzucane. Zadania już przyjęte biegną dalej i nadal są płatne, bo przyjęcie jest punktem bez powrotu. Pokazujemy czas i adres ostatniego użycia klucza, więc da się sprawdzić, czy zdążył zostać użyty, zanim sprawa wyszła na jaw.

Klucze określają wyłącznie limity operacyjne. Nie przyznają ani nie odbierają uprawnień do określonych treści — to, co model wygeneruje, zależy od wybranego modelu.

Nasze własne systemy

Części, których nie da się sprawdzić z zewnątrz.

Okresy przechowywania i limity kluczy sprawdzisz we własnej konsoli. Tych rzeczy sprawdzić się nie da, więc spisujemy je tutaj w formie, z której musielibyśmy się wytłumaczyć.

Konsola operacyjna to osobna usługa: Działa jako własny proces, pod własną nazwą hosta, za własnym tunelem i własną warstwą dostępu. Usługa publiczna w ogóle nie rejestruje tych tras, więc od strony hosta API nie ma żadnej ścieżki administracyjnej do znalezienia.
Serwer źródłowy nie ma portu przychodzącego: Każda usługa wychodzi do internetu tunelem wychodzącym, więc nie ma otwartego portu do przeskanowania. Serwer źródłowy jeszcze raz sprawdza, czy żądanie faktycznie przyszło przez brzeg sieci, zanim cokolwiek się uruchomi, a nieudaną weryfikację kwituje samym 404 zamiast komunikatem diagnostycznym.
Operacje finansowe zatwierdzane ręcznie: Doładowanie, korekta lub zwrot to niezmienny wniosek z własnym skrótem treści i terminem ważności. Administrator wykonuje go ręcznie w osobnej konsoli chronionej własną warstwą dostępu. Samo posiadanie konta nie daje możliwości wykonywania tych operacji na jego środkach.
Działania administracyjne spina łańcuch skrótów: Każdy wpis niesie skrót poprzedniego, więc usunięty albo zmieniony wpis rozrywa łańcuch. Żaden endpoint nie zapisuje ani nie usuwa wpisu audytowego, a rola bazodanowa, na której działa usługa, też nie może go zmienić ani usunąć.

Czym to nie jest: niezależnym audytem. Łańcuch, który sami weryfikujemy, pokazuje, że nasze własne zapisy są wewnętrznie spójne. Nie jest podpisem strony trzeciej i nie przedstawiamy go jako taki.

Informacje i deklaracje

Co jest widoczne – i czego nie deklarujemy.

Publikowane w produkcie

Dostępność modeli, schematy danych wejściowych, ceny jednostkowe, stany zadań, zapisy rozliczeń, identyfikatory żądań, podsumowania zasad i datowany dziennik zmian. To informacje o produkcie, a nie niezależne potwierdzenie strony trzeciej.

Czego tutaj nie deklarujemy

SOC 2, ISO 27001, PCI DSS, zgodności z HIPAA, pokrycia niezależnymi testami penetracyjnymi, umownego SLA na dostępność, powszechnej rezydencji danych ani powszechnego zerowego przechowywania. W kwestii dostępności publikujemy cel, a nie gwarancję: 99,9% dla naszej własnej warstwy – przyjmowania żądań, przyjmowania zadań i dostarczania wywołań zwrotnych – wraz z bieżącym stanem komponentów na status.spicyapi.ai. Cel nie daje prawa do rekompensat, zwrotów ani innych świadczeń i nie obejmuje zewnętrznych usług modeli, które wykonują generowanie. Milczenia nie wolno czytać jako certyfikacji.

Przejrzystość operacyjna

Publikowane informacje o produkcie oddzielają bieżącą dostępność, stan zadania, cennik i zasady dotyczące treści od certyfikatów czy gwarancji. Polegaj wyłącznie na zobowiązaniach opisanych jako aktualne i mające zastosowanie.

Kiedy coś jest nie tak

Jeden adres, człowiek po drugiej stronie i żadnego skanowania po drodze.

Żądania nie są przeglądane pojedynczo. Zamiast tego jest kanał zgłoszeń, zabezpieczanie materiału uruchamiane po zgłoszeniu albo po wezwaniu prawnym oraz odwołanie czytane przez kogoś innego niż osoba, która decydowała za pierwszym razem.

Otwórz stronę zgłoszeń

support@spicyapi.ai: Treści zabronione, żądania dotyczące prywatności i wezwania prawne. Opisz problem i podaj identyfikator zadania albo żądania; nigdy nie załączaj samego materiału. W sprawie treści seksualnych z udziałem osoby małoletniej pomiń formularz i wpisz w temacie CSAM ESCALATION – te zgłoszenia obsługujemy przed wszystkimi innymi.
support@spicyapi.ai: Konta, rozliczenia oraz zadanie, które się nie powiodło, a zablokowana kwota nie wróciła. Pisanie do nas nie jest jedyną drogą: konsola wyeksportuje twoje dane do JSON, zniszczy treść zakończonego zadania i potrafi całkowicie zamknąć konto.
Badania bezpieczeństwa: Kontakt w formacie maszynowym publikujemy pod /.well-known/security.txt. Testowanie mechanizmów kontroli dostępu, limitów żądań czy rozliczeń wymaga wcześniejszej pisemnej zgody uzyskanej tym właśnie kanałem, a programu bug bounty nie prowadzimy.

Docelowe czasy obsługi

Jeden dzień roboczy na potwierdzenie zgłoszenia, przy którym zostawiono adres, trzy dni robocze dla ścieżki eskalacyjnej, dziesięć dla całej reszty. Żądania dotyczące prywatności rozpatrujemy bez zbędnej zwłoki i w terminie, jaki wyznacza dla nich prawo mające zastosowanie do zgłaszającego.

To są cele, a nie gwarantowane czasy odpowiedzi. Dostępność również jest celem, a nie zobowiązaniem: nie ma umowy o poziomie usług ani rekompensat, o ile nie zostały podpisane osobno.

Granica zasad

Swoboda twórcza nie znosi zgody ani prawa.

Kiedy klient sięga po model bez cenzury, każda przedstawiona osoba musi być pełnoletnia i mieć udokumentowaną zgodę. Zabronione są treści z udziałem osób małoletnich, intymne materiały powstałe bez zgody, wprowadzające w błąd wykorzystanie wizerunku albo głosu prawdziwej osoby, wyzysk oraz materiały niezgodne z prawem właściwej jurysdykcji. Te obowiązki spoczywają na kliencie; strona „Dozwolony użytek” podaje zasady, a informacja o prywatności wyjaśnia związane z nimi przetwarzanie danych.