Política de privacidade

Quem opera este serviço. “spicyapi” é o nome comercial da empresa que opera o serviço, e essa empresa é a parte com quem você contrata. Toda menção a seguir a “nós”, “nos” ou “o operador” designa essa empresa.

1. Como ler esta página

Cada prazo de retenção abaixo vem de uma chave de configuração ou de uma constante do serviço em execução, e não de uma convenção de redação. Quando um prazo ainda não estiver definido, esta página diz isso, em vez de oferecer um número que apenas soe plausível.

Duas coisas são ditas com clareza logo no início, porque uma política de privacidade que precisa ser lida duas vezes para encontrá-las não está cumprindo seu papel:

• Armazenamos, sim, seus prompts e seus resultados. Eles são mantidos por um período definido e depois apagados. Uma plataforma que armazena conteúdo enquanto diz que não armazena pode ser desmentida por uma única captura de tela do próprio painel administrativo, e a versão honesta — um prazo definido, nenhum uso para treinamento e as exceções por escrito — é um compromisso mais forte do que uma negação impossível de verificar.
• Não somos o fim da cadeia. Seu prompt é transmitido ao provedor que opera o modelo que você escolheu, que precisa dele em texto puro para gerar um resultado. Nenhuma promessa nossa pode ser mais forte do que aquilo que esse provedor faz com ele.

O operador é o controlador dos dados em relação a tudo o que está descrito abaixo, e é a empresa designada por “nós” e “nos” nesta página.

Ela está estabelecida nos Estados Unidos, e o serviço é operado de lá. Não temos estabelecimento na União Europeia, então o mecanismo de balcão único (one-stop-shop) não se aplica e não há autoridade de controle principal para nós; você ainda pode apresentar reclamação à autoridade do lugar onde mora. Tudo o que está abaixo descreve o que a plataforma realmente faz.

2. O que registramos

2.1 O que você envia e o que volta

Cada prazo dessa tabela é um teto, não um prazo fixo: é o máximo de tempo pelo qual manteremos esses dados, e é também a regra configurada no próprio armazenamento. Você pode pedir menos — veja o item 2.7. Não pode pedir mais.

O “cerca de” é deliberado no caso da mídia gerada. O armazenamento de objetos remove os objetos expirados segundo o próprio cronograma, normalmente em até 24 horas após o momento de expiração. Dizer simplesmente “14 dias” seria uma afirmação ligeiramente falsa, então não a fazemos. Para uma referência enviada, o limite de acesso é exato: a URI dela deixa de poder ser usada no expiresAt da resposta de confirmação (commit), que por padrão fica 1 dia após a confirmação. Um atraso na exclusão pelo ciclo de vida não prolonga esse tempo de uso.

Os projetos de curta-metragem têm o prazo mais longo porque um filme é construído ao longo de dias ou semanas: uma cena feita na primeira semana ainda precisa existir quando o filme inteiro é exportado. Esse prazo cobre apenas a mídia criada dentro de um projeto de curta-metragem do Spicy Studio e os filmes exportados dele. O mesmo modelo chamado pela API, pelo playground ou pelo canvas mantém o teto de 14 dias, e o texto dos prompts mantém, nos dois casos, o teto de 30 dias.

Sua biblioteca de recursos e seus personagens. Os arquivos que você adiciona à sua biblioteca de recursos, ou à de uma equipe, são mantidos até que você os exclua, e não pelos prazos da tabela acima, e só podem ser acessados por meio de uma URL assinada. Um personagem é uma entrada dessa biblioteca: um nome, uma observação opcional e um conjunto de imagens que já são recursos da mesma biblioteca. Essas imagens são os recursos da própria biblioteca, e não cópias separadas, e excluir um personagem não exclui as imagens dele; para isso, você exclui o recurso. O armazenamento é contabilizado apenas conforme o nível da sua biblioteca, sem um limite separado para personagens. Se você adicionar a um personagem uma fotografia de uma pessoa real que você mesmo enviou, você confirma que possui os direitos sobre ela e o consentimento dessa pessoa, e registramos quando você deu essa confirmação. Os personagens e suas imagens são mantidos até que você os exclua e são excluídos junto com a sua conta; os personagens da biblioteca de uma equipe são excluídos quando a equipe é encerrada. Enquanto houver uma retenção legal (legal hold) sobre a conta, excluir algo apenas o oculta para você, e os dados são mantidos até que a retenção seja encerrada. Não varremos nem classificamos o conteúdo da biblioteca.

2.2 Sua conta

Endereço de e-mail, hash da senha, qualquer identidade vinculada do Google ou do GitHub, o país determinado no cadastro e a chave criptografada usada para assinar os callbacks de webhook enviados a você. Se você ativar a autenticação multifator por TOTP, também guardamos a semente dela criptografada, mantemos os códigos de recuperação apenas como resumos unidirecionais e registramos os horários relativos ao fator e ao seu uso. Os códigos de recuperação em texto puro só são exibidos quando gerados. Essas credenciais da conta só podem ser usadas enquanto o fator correspondente e a conta permanecerem ativos.

Os dados da conta são mantidos enquanto a conta existir. Quando um encerramento seguro da conta é concluído, o acesso de login e as identidades vinculadas são revogados, o perfil é desidentificado e permanecem apenas as relações e os fatos necessários para conciliar os registros de cobrança, auditoria e segurança retidos. Hashes de senha, chaves de webhook, sementes de TOTP e resumos de códigos de recuperação nunca são incluídos em uma exportação de dados por autoatendimento.

O país de cadastro é armazenado porque a exclusão regional prevista nos termos precisa poder ser auditada depois com base na decisão efetivamente tomada na época, e não resolvendo de novo um endereço antigo.

Convites. Se você se cadastrar pelo link de convite de alguém, registramos qual conta convidou você, o código do convite e quando você se cadastrou. Quem convidou vê você apenas como um rótulo mascarado — por exemplo jo***@g***.com, ou os primeiros caracteres do nome de uma conta privada — junto com o dia em que você entrou e se você já pagou. Essa pessoa nunca vê seu e-mail, o que você gera, quais modelos você usa nem qualquer um dos seus pagamentos, e as recompensas que ela recebe aparecem para ela apenas como totais de todas as pessoas que convidou. Para evitar o uso indevido do programa de convites, comparamos, entre a conta que convida e a convidada, um hash unidirecional da impressão digital do cartão devolvida pelo nosso processador de pagamentos e os endereços IP descritos no item 2.3; uma coincidência apenas envia a recompensa para revisão manual, e nunca recebemos nem armazenamos números de cartão. O registro de que você foi convidado é excluído quando sua conta é encerrada, e um código de convite é excluído quando a conta que o possui é encerrada. As decisões sobre recompensas são registros de cobrança e são mantidas nas mesmas bases que os demais (veja o item 2.6).

2.3 Sessões e dispositivos

Cada sessão de login registra o endereço IP, a string de user-agent do navegador e o país. Alterações sensíveis para a segurança e eventos de MFA também geram um registro de segurança da conta com o tipo de evento, o horário, o endereço IP, o user-agent do navegador e metadados não secretos. Isso é usado para detectar logins incomuns, investigar alterações na conta e mostrar a você suas próprias sessões ativas e sua atividade de segurança recente. Também comparamos esses endereços entre duas contas ligadas por um convite, conforme descrito no item 2.2, para evitar o uso indevido do programa de convites; nada de novo é armazenado para essa comparação.

Tratamos o endereço IP como dado de alta sensibilidade, e não como telemetria de rotina, porque, em um serviço como este, é ele que liga uma pessoa ao que ela gerou.

Noventa dias depois de um registro ser gravado, uma rotina agendada substitui o endereço IP e a string de user-agent por um hash com chave — nas sessões de login, nos eventos de segurança da conta, nos aceites de políticas e no log de auditoria. Isso é pseudonimização, não anonimização: o hash é estável, então ainda conseguimos saber que dois registros vieram do mesmo endereço, e não afirmamos o contrário. O endereço em si deixa de constar na linha e não pode ser lido de volta.

2.4 Metadados de tarefa que você talvez não espere que guardemos

Além do conteúdo em si, cada tarefa traz: os horários, a chave que a enviou, a referência do provedor para o qual a requisição foi encaminhada, o identificador de tarefa do próprio provedor, a chave de idempotência e a URL de callback. Registros antigos podem conter um valor de modo de conteúdo enviado por clientes mais antigos; ele não é usado para revisão de conteúdo nem para decisões de acesso.

Essas linhas não são excluídas. O apagamento aos 30 dias limpa os campos de prompt e de resultado; a linha em si permanece, porque é o único registro do que foi cobrado, e uma linha excluída significa uma conta que não pode ser conciliada. Depois do apagamento, uma linha ocupa algumas centenas de bytes e não contém nenhum conteúdo.

Os eventos de transição de estado e os registros de entrega de webhooks são mantidos segundo um cronograma de partições derivado de uma configuração de 60 dias, com mínimo de dois meses.

2.5 Sinais derivados, mantidos por tempo indeterminado

Antes que o prompt seja apagado, um pequeno conjunto de sinais é extraído e mantido sem limite de tempo. Ele não contém texto livre: a contagem de caracteres do prompt, seu sistema de escrita predominante (han, latino, cirílico e assim por diante — deliberadamente não o idioma), quantos ativos de referência foram anexados e um resumo dos parâmetros normalizados, com todo o texto livre e todas as URLs de ativos removidos.

Isso existe para que perguntas operacionais — quais modelos estão crescendo, onde as falhas se concentram — possam ser respondidas sem que ninguém leia um prompt. Também faz da leitura de um prompt um evento raro, e é isso que dá algum valor de sinal ao log de auditoria em torno dela.

O resumo dos parâmetros é unidirecional. Ele permite saber se duas tarefas usaram o mesmo conjunto de parâmetros; não pode ser convertido de volta nos valores.

2.6 Cobrança e auditoria

Os lançamentos do livro-razão são somente de acréscimo: nunca são modificados nem excluídos. Os pedidos de recarga, os saldos de carteira e os agregados de gasto diário ficam ao lado deles. As ações administrativas são gravadas em um log de auditoria com uma cadeia de hashes sobre os lançamentos.

Os lançamentos do livro-razão são somente de acréscimo: o papel de banco de dados que executa o serviço não pode atualizá-los, excluí-los nem truncá-los, de modo que um registro de cobrança não pode mudar silenciosamente depois do fato. Eles são mantidos pelo tempo que a legislação tributária e contábil dos EUA exigir de nós, um prazo medido em anos e que não nos cabe encurtar a pedido. Os registros de auditoria são mantidos por dois anos; depois disso, só é removido um prefixo contínuo e verificado da cadeia, para que a própria cadeia continue verificável.

As faturas trazem os seus próprios dados. Se você emitir uma fatura ou um demonstrativo de uso pelo console, armazenamos e imprimimos o nome de faturamento, o destinatário, o endereço, o país, o e-mail de faturamento e a identificação fiscal opcional que você informar, exatamente como você os informou. A identificação fiscal está ali para poder constar no documento; ela não é usada para mais nada. Você fornece todos esses dados e nós não verificamos nenhum deles — nem sua identidade jurídica, nem seu registro fiscal, nem a identificação fiscal. Um documento já emitido mantém os dados vigentes no momento em que foi criado, e edições posteriores só alcançam os novos. Os documentos emitidos são registros de cobrança e são mantidos nas mesmas bases que os demais.

2.7 Como pedir que guardemos menos

Os prazos do item 2.1 são o que guardamos, a menos que você diga o contrário. No console, você pode definir janelas mais curtas para quatro coisas separadamente, porque elas respondem a perguntas diferentes:

• Mídia gerada e resultados — de uma hora até o padrão.
• Mídia de curta-metragem — de uma hora até o padrão de cerca de 60 dias, para a mídia criada em um projeto de curta-metragem do Spicy Studio e os filmes exportados dele.
• Prompts e parâmetros de texto livre — de uma hora até o padrão.
• Imagens de referência que você envia — de uma hora até o padrão, ou destruir após o uso, que remove o arquivo assim que a tarefa que o usou chega a um estado final.

Uma única requisição pode pedir menos do que a configuração da sua conta, com o cabeçalho X-Spicy-Retention. Ele só pode encurtar. Uma requisição não pode voltar a optar por um prazo mais longo do que a conta permite, e nenhuma das duas pode ultrapassar os tetos do item 2.1 — então um administrador que define uma hora para uma organização definiu um limite, não uma sugestão.

Não oferecemos nenhuma forma de guardar esse conteúdo por mais tempo, e não descrevemos nada disso como “retenção zero”: a janela mais curta é de uma hora, e o conteúdo é gravado no armazenamento antes de ser excluído.

2.8 Destruir conteúdo sob demanda

Você pode destruir o conteúdo de uma tarefa concluída a qualquer momento, pelo console ou por meio de POST /api/v1/jobs/purge. Isso remove a mídia gerada do armazenamento de objetos, o resultado armazenado e o texto do prompt.

Não é um reembolso e não altera o que foi cobrado de você. O registro de cobrança dessa tarefa — valor, horário, modelo, identificador da requisição — é mantido nas bases descritas no item 2.6, porque é a única prova do que você pagou. Destruir o conteúdo remove o conteúdo, não a cobrança.

Depois disso, a tarefa é marcada como destruída por você e nunca aparece como tendo expirado por conta própria. São eventos diferentes e não os confundimos: um é uma regra nossa sendo executada no prazo, o outro é uma decisão que você tomou. A destruição não se aplica enquanto houver uma retenção legal em vigor, pelo mesmo motivo que a expiração também não — veja a seção 7.

2.9 E-mails e notificações que enviamos a você

Enviamos três tipos de mensagem, e só o primeiro não pode ser desligado.

• Mensagens da conta e do serviço — não podem ser desligadas. Os e-mails sem os quais a conta não funciona, como a verificação do seu endereço, a redefinição de senha, a confirmação de uma troca de e-mail, convites para um espaço de trabalho, respostas às suas solicitações de suporte e, se você o tiver configurado, o alerta de saldo baixo. Os avisos de serviço também entram aqui: uma manutenção programada, uma interrupção que afete suas requisições, uma questão de segurança ou uma alteração desta política ou dos termos antes de entrar em vigor.
• Novidades do produto — você pode desligar. Novos modelos, mudanças de preço e recursos do console.
• Ofertas e comunicados — você pode desligar. Promoções ocasionais.

Nas contas abertas a partir de 6 de outubro de 2026, os dois tipos opcionais começam ligados; a página de cadastro avisa isso antes de a conta ser criada. Nas contas abertas antes dessa data, eles começaram desligados e continuam assim, a menos que você os ative. Em qualquer caso, as duas opções ficam na página Notificações do console. Enquanto uma opção estiver desligada, esse tipo de mensagem não chega nem à sua caixa de entrada nem ao sino de notificações do console.

Como desligar. Seja porque sua conta já começou com a opção ligada, seja porque você mesmo a ativou, você pode desligá-la a qualquer momento, de duas formas:

• Em qualquer e-mail de novidades ou de ofertas. Todos terminam com um link para cancelar a inscrição que funciona sem login. Abrir o link, por si só, não muda nada: ele mostra uma página em que você confirma, de modo que um verificador de e-mail que abra links por você não consegue cancelar sua inscrição por acidente. Nessa página, você pode interromper só aquele tipo ou os dois tipos opcionais. Aplicativos de e-mail que têm o próprio botão de cancelamento de inscrição com um clique nos enviam essa confirmação diretamente.
• No console, com as mesmas duas opções, que funcionam nos dois sentidos.

Verificamos sua configuração no momento em que cada mensagem é preparada para você, e não só quando um envio é agendado; por isso, uma mudança vale para tudo o que ainda não foi enviado. Uma mensagem que já tinha sido entregue à nossa fila de envio antes de você desligar a opção ainda pode chegar. Encerrar a conta desliga as duas opções.

Por que as mensagens de serviço não podem ser desligadas. Elas fazem parte do funcionamento da conta que você abriu, e não são uma forma de vender algo a você:

• Segurança da conta. Uma redefinição de senha, uma troca do endereço com que você faz login ou um problema de segurança na plataforma é algo que você precisa saber, mesmo que nunca fosse ler uma newsletter.
• Disponibilidade do serviço. Seu saldo é pago antecipadamente, e talvez você tenha um software chamando a API sem supervisão; manutenções e interrupções mudam o que esse software recebe de volta.
• Obrigações legais. Alguns avisos são exigidos por lei — informar os usuários afetados sobre um incidente de segurança com seus dados pessoais, por exemplo —, e a seção 10 nos compromete a anunciar alterações relevantes desta política antes que entrem em vigor.

Pelo mesmo motivo, nunca usamos um aviso de serviço para promover nada. Uma mensagem cujo objetivo principal é vender é enviada como oferta, e só para contas com a opção de ofertas ligada.

Sem rastreamento de aberturas ou cliques. Esses e-mails não contêm pixel de rastreamento nem script. A única imagem neles, o nosso logotipo, é o mesmo arquivo no mesmo endereço para todos os destinatários; por isso, o carregamento dela não nos diz quem abriu qual mensagem. Os links levam direto ao destino: não os passamos por um redirecionamento nem acrescentamos nada a eles para saber quem clicou. Quando um link precisa ser exclusivo seu — de verificação, de redefinição de senha ou de cancelamento da inscrição —, ele cumpre essa única função e nenhuma outra. Não medimos se você abriu um e-mail nem em que clicou nele.

Quem recebe e o que guardamos. Avisos de serviço, novidades do produto e ofertas vão apenas para titulares de conta, e por e-mail apenas para um endereço verificado; uma conta privada não tem endereço de e-mail, então tudo o que enviamos a ela aparece somente no console. Quando um envio se destina a parte das contas, e não a todas, nós as escolhemos com base em dados que já temos: se a conta já fez alguma recarga, se tem saldo agora, quando foi criada, quando foi o último login ou a última tarefa enviada nela ou — quando escrevemos para pessoas específicas — o endereço de e-mail dela. Seus prompts, uploads e resultados nunca são usados para decidir o que enviamos a você.

Guardamos suas duas opções e o horário da última alteração nas suas configurações de e-mail. Para cada aviso de serviço, novidade ou oferta enviada a você, registramos de qual envio se tratava, para qual endereço foi, se foi entregue, falhou ou deixou de ser enviada — e por quê, por exemplo porque a opção já estava desligada naquele momento — e quando você cancelou a inscrição por meio dela. Os e-mails de novidades e de ofertas também mostram nosso endereço postal e dizem sob qual opção foram enviados. O link de cancelamento da inscrição contém um código aleatório, do qual guardamos apenas um hash unidirecional, e a cópia do e-mail preparada para você é apagada da nossa fila de envio assim que é entregue ou dada como definitivamente não entregue. Esses registros de entrega ainda não têm um prazo de retenção próprio; como diz a seção 1, dizemos isso em vez de oferecer um número, e esta página será atualizada quando um prazo for definido.

2.10 Relatórios de erro enviados pelo seu navegador

Quando uma página deste site encontra um erro no seu navegador, a página nos envia um breve relatório de diagnóstico para que possamos localizar e corrigir a falha. Um relatório contém apenas: o tipo de erro e uma versão resumida da mensagem, da qual são removidos endereços web, parâmetros de consulta, endereços de e-mail, tokens e identificadores; os nomes dos arquivos de código e as posições de linha onde o erro ocorreu; a página em que aconteceu, registrada como um padrão de rota sem parâmetros de consulta e com os identificadores substituídos por marcadores; a família do navegador e se é um celular ou um computador; o idioma da página; a versão do site; e se a página parecia traduzida automaticamente ou alterada por uma extensão do navegador.

Um relatório nunca contém seu endereço IP, sua conta, cookies, prompts, o conteúdo da página nem o endereço completo dela, e não guardamos junto dele nada que o ligue a você ou a qualquer outro registro que mantemos. Uma página envia no máximo cinco relatórios, e uma aba do navegador no máximo vinte; para garantir esse limite, a página mantém um simples contador no armazenamento de sessão do seu navegador, apagado quando você fecha a aba. Navegadores automatizados e robôs de mecanismos de busca não enviam nenhum. Os relatórios ficam armazenados no provedor de infraestrutura que já serve este site (veja a seção 5) e são excluídos automaticamente após três meses.

3. O que não fazemos

• Não usamos seus prompts, uploads ou resultados para treinar nenhum modelo, e não passaremos a fazê-lo sem consultar você de forma separada e expressa. Isso vincula nossos próprios sistemas. O que o provedor que executa uma requisição pode fazer com essa entrada é definido por termos que não redigimos; a seção 5 explica esse teto.
• Não executamos scripts de publicidade nem rastreamento entre sites. Usamos o Google Analytics para medir o tráfego deste site, e ele funciona para todos os visitantes. Os recursos de publicidade, a personalização de anúncios e o Google Signals estão desativados por completo — e não apenas sem uso —, de modo que a medição não pode ser transformada em um público de publicidade. Nunca enviamos a ele o identificador da sua conta, seu e-mail, seus prompts ou seus resultados.
• Não vendemos nem alugamos dados pessoais.
• Não afirmamos oferecer criptografia de ponta a ponta, e preferimos explicar o motivo a tomar o termo emprestado. O provedor do modelo precisa do seu prompt em texto puro para gerar um resultado, então nenhum desenho em que repassamos sua requisição pode tornar seu conteúdo ilegível para todos, exceto você. Quem lhe vende essa descrição de uma API de inferência está descrevendo outra coisa.

4. Cookies

Dois cookies são estritamente necessários: um mantém você conectado, o outro protege os formulários contra falsificação de solicitação entre sites. Nenhum dos dois pode ser recusado, porque o site não consegue cumprir sua função sem eles.

Links de convite. Quando você abre um link que contém um código de convite, o site guarda esse código em um cookie próprio (spicy_ref) por até 30 dias, para poder associá-lo caso você crie uma conta. Se você então se cadastrar com Google ou GitHub, o código é levado por esse login em um segundo cookie, que dura dez minutos. Ambos guardam apenas o código, nunca são usados para análise nem para publicidade e são removidos assim que você se cadastra ou faz login.

Os cookies de análise são separados. O Google Analytics funciona para todos os visitantes deste site e define o próprio cookie de medição para distinguir uma visita recorrente de uma nova; o aviso da sua primeira visita informa isso. O site não tem nenhuma opção para desligá-lo. Se você não quiser ser medido, instale o complemento de desativação do Google Analytics oferecido pelo próprio Google — ele interrompe a medição por completo. Se você apenas bloquear os cookies deste site no navegador, ele deixa de reconhecer uma visita recorrente, mas as páginas que você visita continuam sendo contadas. Não há cookies de publicidade nem de criação de perfil.

Em produção, os dois cookies levam o prefixo __Host-. Esse prefixo é uma regra rígida do navegador, e não uma convenção: ele força Secure, força Path=/ e proíbe o atributo Domain — assim, nenhum outro host sob o domínio consegue gravar um cookie que a nossa origem vá ler. Ele também elimina toda uma classe de ataques de fixação de sessão. Em HTTP simples, no desenvolvimento local, o navegador rejeitaria de imediato um cookie __Host-, então as builds de desenvolvimento recorrem ao nome sem prefixo; a produção não.

5. Quem mais trata seus dados

O próprio provedor do modelo define o teto de todas as promessas desta página. Podemos nos comprometer com o que acontece dentro dos nossos próprios sistemas. Não podemos assumir compromissos em nome de um provedor cujos termos não redigimos. Alguns provedores deste mercado se reservam o direito de treinar com as entradas; outros não se pronunciam a respeito, o que não é o mesmo que negar.

Quando a Stripe está configurada e você escolhe cadastrar um cartão ou fazer uma recarga, a página de pagamento é hospedada pela Stripe. Para contas privadas, não enviamos endereço de e-mail. Armazenamos as referências opacas da Stripe de cliente, método de pagamento, configuração e transação; um rótulo mascarado do método de pagamento; um hash unidirecional da impressão digital do cartão devolvida pela Stripe, usado apenas para reconhecer o mesmo cartão em mais de uma conta do programa de convites; suas configurações de recarga automática e o estado do seu consentimento; valores, status, horários e referências de idempotência. Não recebemos nem armazenamos o número completo do cartão nem credenciais de internet banking. Para a recarga manual, armazenamos o ID do pedido, o valor, o status, os horários e a referência externa de pagamento usada na conciliação.

6. Transferências internacionais

O serviço é operado para um público global de desenvolvedores, e as partes da seção 5 atuam globalmente. Seus dados serão tratados fora do país em que você está.

Estamos estabelecidos nos Estados Unidos. Quando dados pessoais saem do Espaço Econômico Europeu, do Reino Unido ou da Suíça, nos apoiamos nas cláusulas contratuais padrão da Comissão Europeia, juntamente com o adendo do Reino Unido a elas. Essa é uma salvaguarda jurídica, não técnica: ela vincula o destinatário e não muda o fato, dito acima, de que seu prompt chega em texto puro ao provedor do modelo que você selecionou.

7. Apagamento, retenções legais e backups

Quando o marco de 30 dias é atingido, uma rotina de manutenção limpa os campos de prompt e de resultado das tarefas expiradas. Duas travas estão embutidas nessa própria rotina, e não no cronograma de implantação:

• Uma tarefa cujos sinais derivados ainda não foram extraídos nunca é limpa. Se a extração travar, o apagamento trava junto — a alternativa seria um buraco permanente nos dados, sem nenhuma forma de preenchê-lo.
• Uma tarefa sob retenção legal nunca é limpa. As retenções legais só acrescentam: fazem os dados durarem mais e nunca podem fazê-los desaparecer antes. Toda retenção legal é revisada, e uma que fique aberta por mais de 90 dias é sinalizada, porque uma tabela cheia de retenções por tempo indeterminado anula silenciosamente a política de retenção enquanto a página pública continua dizendo 30 dias.

As retenções legais existem porque as disputas duram mais do que a retenção. Um chargeback de cartão pode chegar meses depois da tarefa e, nesse momento, o registro de que precisamos é justamente aquele que, de outro modo, teríamos apagado.

Backups. Os backups do banco de dados são mantidos por 35 dias. Os dados que você excluiu permanecem nesses backups criptografados até que eles saiam do rodízio. Durante esse período, eles não são usados para nada e ficam excluídos de qualquer restauração.

8. Seus direitos

Dependendo de onde você mora, você pode ter direitos de acessar, corrigir, excluir, restringir, se opor ao tratamento ou portar seus dados, e de apresentar reclamação a uma autoridade de controle.

Três limites honestos, ditos de antemão:

• O livro-razão não pode ser apagado. Os registros financeiros são mantidos por força da legislação tributária e contábil; um pedido de exclusão não os alcança.
• Uma retenção legal prevalece sobre um pedido de exclusão quanto aos dados que abrange, enquanto estiver em vigor.
• O apagamento não é instantâneo. O armazenamento de objetos limpa os objetos expirados segundo o próprio cronograma, e os backups giram ao longo de 35 dias.

Após uma nova verificação de segurança, o console oferece uma exportação em JSON por autoatendimento que abrange seu perfil, suas próprias participações em espaços de trabalho, os metadados das chaves de API sem os segredos, os dados de tarefas tal como estão retidos no momento, as conversas de suporte, os modelos seguidos e as preferências, e os registros de cobrança, incluindo as configurações de recarga automática sem credenciais de pagamento. Ela não contém senhas nem material de chaves, sementes de MFA ou códigos de recuperação, registros internos de encaminhamento a provedores nem arquivos binários de mídia. A mídia continua sujeita às janelas de retenção acima.

O encerramento da conta por autoatendimento exige uma nova verificação de identidade: sua senha atual ou, se a conta não tiver senha, um código de uso único enviado ao e-mail da conta. Ele não cancela uma tarefa já aceita e fica bloqueado enquanto houver tarefas em execução ou não liquidadas, enquanto um pagamento de recarga ainda estiver em processamento, enquanto a conta tiver valores devidos ou enquanto um espaço de trabalho de equipe ainda precisar de um proprietário. Uma solicitação bloqueada é registrada com um status que indica o que fazer, em vez de ser informada como concluída. Quando o encerramento é seguro, as sessões e as chaves de API são revogadas, o perfil é desidentificado e o conteúdo das tarefas é limpo, a menos que haja uma retenção de evidências ativa. Os fatos financeiros, de auditoria e de segurança e os fatos mínimos de conciliação permanecem, dentro dos limites acima; o console não descreve esse resultado como exclusão física.

Uma solicitação que o console não consegue atender vai para support@spicyapi.ai e é analisada por uma pessoa. Respondemos sem demora indevida e dentro do prazo que a lei aplicável a você estabelecer para isso.

9. Menores

O serviço é para adultos. Você deve ter pelo menos 18 anos para ter uma conta, e não coletamos conscientemente dados de ninguém abaixo dessa idade. Se você acreditar que mantemos dados sobre um menor de idade, avise-nos em support@spicyapi.ai e nós os removeremos — exceto quando eles se referirem a suspeita de material de abuso sexual infantil, que a lei nos obriga a preservar e denunciar, em vez de excluir.

10. Alterações

As alterações relevantes são anunciadas antes de entrarem em vigor. Como os prazos de retenção são lidos da configuração em produção, uma mudança em algum deles muda o que esta página diz — por isso, qualquer mudança desse tipo é tratada como alteração desta política e anunciada da mesma forma.

11. Contato

support@spicyapi.ai — tanto para dúvidas de privacidade quanto para denúncias de conteúdo proibido. A página de denúncia explica o segundo caso.