Central de confiança

Controles claros. Limites firmes. Sem selos emprestados.

Esta página explica os controles que podemos descrever hoje e as alegações que deliberadamente não fazemos. Logo de fornecedor, interface elegante ou ícone de criptografia não comprovam certificação; sem prova pública, nós informamos.

Aviso de privacidade Uso aceitável

Nossa posição

Confiança começa com uma afirmação verificável.

A SpicyAPI mostra para cada modelo as entradas aceitas, a disponibilidade atual, o preço e os limites de uso. O usuário escolhe o modelo que vai chamar, e cada tarefa aceita recebe identificadores rastreáveis. Não apresentamos controles planejados como auditorias concluídas nem tratamos a certificação de terceiros como nossa.

O que acontece com o que você envia

Seus prompts e resultados nunca viram dado de treinamento nosso.

Nós guardamos, por um prazo que acaba. Dizer o contrário seria desmentido por um único print do nosso próprio painel, então aqui está a versão que aguenta verificação: o que fica guardado, para que serve e qual é o único limite que nenhum projeto consegue eliminar.

Ler a política de privacidade

Guardados e depois apagados: Prompts, parâmetros de texto livre e referências de resultado ficam 30 dias no registro da tarefa; depois esses campos são limpos. A linha permanece, porque é o único registro do que foi cobrado de você. Após a limpeza dos campos, ela ocupa algumas centenas de bytes e não contém conteúdo.
Nem treinamento, nem revenda: A SpicyAPI não usa seus prompts, seus arquivos enviados nem seus resultados para treinar modelo nenhum, e não começaremos sem perguntar a você de forma separada e explícita. Também não vendemos nem alugamos dados pessoais. Fora dos nossos próprios sistemas, o serviço de modelo que executa sua requisição trata essa entrada segundo os termos dele: a política de privacidade descreve esse limite, que não podemos garantir no lugar dele.
Sem publicidade e sem rastreamento entre sites: Existem três cookies: um mantém você conectado, outro protege os formulários contra falsificação de requisição entre sites e o terceiro, do Google Analytics, mede o tráfego do site. Os recursos de publicidade dele e o Google Signals estão desligados, e ele nunca recebe sua conta, seus prompts ou seus resultados.
Contagens, não texto livre: Antes de apagar um prompt, guardamos alguns sinais sobre ele: número de caracteres, sistema de escrita, quantos arquivos de referência foram anexados e um digest criptográfico unidirecional dos parâmetros. Não há texto livre nesse conjunto, e o digest não pode ser convertido de volta nos valores originais.

O limite que não vamos maquiar

Para produzir um resultado, o serviço de modelo que executa sua requisição precisa do prompt em texto puro. Enquanto formos nós a encaminhar essa requisição, nenhum arranjo consegue torná-la ilegível para todo mundo menos você. Por isso não alegamos criptografia de ponta a ponta e não damos garantias em nome de termos que não escrevemos.

Retenção

Cada tipo de dado tem um relógio. Três são seus.

Os prazos abaixo são máximos, lidos da configuração em uso e não escolhidos para preencher um documento. Arquivos gerados, texto dos prompts e referências enviadas podem ser configurados mais curtos que o número da tabela — mais longos, nunca, porque esses são os números que as próprias regras de armazenamento aplicam. Uma retenção legal pode fazer um registro viver mais; a única coisa que o faz ir embora antes é a sua própria configuração.

Até 30 dias

Prompts e referências de resultado

Uma rotina de manutenção limpa os dois campos do registro da tarefa. Se você encurtar o prazo, a mesma rotina passa a seguir a data definida por você. Há duas salvaguardas em ambos os casos: uma tarefa sob retenção legal nunca é limpa, nem uma tarefa cujos indicadores de uso ainda não foram extraídos.

Até cerca de 14 dias

Imagens, vídeos e áudios gerados

O armazenamento remove objetos expirados conforme seu próprio cronograma, normalmente até um dia após a expiração. Configurações mais curtas usam nossa rotina de limpeza, que normalmente atua em poucos minutos; o prazo informado continua aproximado, sem promessa de exclusão em um segundo exato.

Até 1 dia

Arquivos de referência que você envia

A URI de upload para de funcionar no vencimento. A exclusão do objeto pode vir até 24 horas depois, e esse atraso não estende o tempo em que o arquivo pode ser usado. Configure os uploads para saírem assim que a tarefa terminar e esse atraso deixa de existir na prática.

90 dias

Endereço IP e user agent

Depois disso eles são substituídos no lugar por um hash com chave — em sessões de login, eventos de segurança, aceites de política e no log de auditoria. Isso é pseudonimização, não anonimização: o hash é estável, então dois registros do mesmo endereço continuam batendo. O endereço em si sai da linha e não pode ser lido de volta.

35 dias

Backups do banco de dados

O que você apagou continua em backups criptografados até eles rotacionarem. Nesse período não é usado para nada e fica de fora de qualquer restauração.

Anos

Registros de cobrança e de auditoria

Os lançamentos do livro-razão aceitam apenas acréscimos — o perfil de acesso ao banco que executa o serviço não consegue alterá-los, excluí-los nem truncá-los — e são mantidos pelo tempo exigido pela legislação fiscal e contábil dos Estados Unidos. Os registros de auditoria são mantidos por dois anos, e somente um prefixo contínuo e verificado da cadeia é removido.

Três limites aparecem com as mesmas palavras na política de privacidade: apagar não é instantâneo, o livro-razão não é apagável e uma retenção ativa prevalece sobre um pedido de exclusão.

As suas configurações

Encurte os prazos. Solicite a destruição quando decidir.

Um prazo de retenção que você não pode mudar é um aviso. Estes quatro são controles: três relógios que você acerta e uma chamada que encerra um trabalho antes da hora. Todos só encurtam a vida de alguma coisa; aqui não há nada que passe da tabela acima.

Três prazos, definidos separadamente: Arquivos gerados, texto dos prompts e referências enviadas respondem a três perguntas diferentes, então são três configurações e não três marcas no mesmo botão. Cada uma vale para a conta inteira, e uma requisição isolada pode ir mais curto ainda com um cabeçalho. Vale sempre o menor dos três valores: uma configuração de conta mais rígida não se deixa convencer por uma requisição.
O padrão é a configuração mais folgada: Contas novas começam no máximo, exatamente onde a plataforma sempre esteve. Apertar é escolha sua, e as consequências ficam escritas ao lado de cada opção antes de salvar. Um controle de privacidade que faz sumir sem avisar a referência de alguém no segundo dia não é um controle de privacidade.
Referências que não sobrevivem à tarefa: Os uploads podem ser configurados para sair assim que a tarefa que os usou chega a um estado final — concluída, falha ou cancelada, e não no momento do envio, porque uma nova tentativa precisa do arquivo. A troca é real e preferimos dizer: rodar a mesma referência de novo significa enviá-la de novo.
Destrua você mesmo uma tarefa concluída: Uma chamada tira os resultados daquela tarefa, a resposta armazenada e o texto do prompt. Não há etapa de revisão nem a quem pedir; pedir duas vezes não é erro. Depois disso a tarefa se lê como destruída por você, que é uma frase diferente de expirada — a nossa faxina de rotina não vai levar o crédito pela sua decisão.

O que a destruição deixa de propósito

O registro de cobrança. Valor, data, modelo, ID da requisição e o estado em que a tarefa terminou continuam ali, porque é dessa linha que se resolve uma cobrança contestada, e um saldo que você pudesse reescrever apagando histórico valeria menos do que um que não dá. A destruição leva o conteúdo, não o recibo.

Até onde ela não chega

A destruição mantém os registros de cobrança e os backups criptografados sujeitos aos prazos de retenção informados, e não pode remover arquivos que alguém já baixou. A tarefa é marcada como destruída quando a limpeza é agendada; a exclusão física ocorre em segundo plano, normalmente em até um minuto. O registro da tarefa indica quando a exclusão dos arquivos ainda está pendente.

Credenciais

Prepare-se para o vazamento de uma chave. Limite seu alcance antes disso.

A chave que você entrega a um terceiro deveria poder menos do que a do seu próprio backend. Cada limite abaixo é definido por chave, pode mudar depois e é decidido dentro da transação que cria a tarefa, não numa conciliação na manhã seguinte.

Limites de chave nos termos

Aparece uma vez, fica guardada como hash: A chave completa aparece uma única vez, logo depois de criada. Guardamos apenas um hash, então ninguém consegue ler de volta uma chave perdida: revogar e criar outra é todo o repertório.
Três tetos, independentes entre si: Um limite diário, um orçamento mensal e um limite acumulado, definidos por você. Vale começar pelo limite diário, porque é ele que segura uma chave roubada antes de você ler o alerta. O valor retido por tarefas ainda não liquidadas também ocupa o orçamento.
Lista de modelos, IPs permitidos, data de expiração: Uma chave pode ficar restrita a modelos nomeados, a endereços de origem específicos e a uma data depois da qual ela para sozinha. Deixar uma lista vazia significa que aquele eixo fica sem restrição — que isso seja uma decisão, não um descuido.
A revogação vale a partir da próxima requisição: Chamadas feitas com aquela chave passam a ser recusadas. Tarefas já aceitas continuam em execução e seguem sendo cobradas, porque o aceite é o ponto sem volta. O horário e o endereço do último uso ficam visíveis, então dá para ver se a chave foi usada antes de você perceber.

Chaves carregam apenas limites operacionais. Não existe permissão de conteúdo para conceder ou retirar: o que um modelo produz é uma propriedade do modelo que você escolheu.

O nosso lado

As partes que você não consegue conferir de fora.

Prazos de retenção e limites de chave você confere no seu próprio painel. Estes não dá, então ficam escritos aqui, na forma pela qual teremos de responder.

O painel de operação é outro serviço: Ele roda no próprio processo, no próprio nome de host, atrás do próprio túnel e da própria camada de acesso. O serviço público não registra essas rotas de jeito nenhum, então não há caminho administrativo a encontrar a partir do host da API.
A origem não tem porta de entrada: Todo serviço alcança a internet por um túnel de saída, então não há porta aberta para escanear. A origem ainda reconfere, antes de qualquer outra coisa, se a requisição veio mesmo pela borda, e responde a uma checagem malsucedida com um 404 seco em vez de um diagnóstico.
Dinheiro só se move na mão: Uma recarga, um ajuste ou um estorno é uma solicitação imutável com o próprio hash de payload e o próprio prazo, executada à mão por um administrador em um console que é um serviço separado atrás da própria camada de acesso. Ter uma conta não inclui poder mexer no dinheiro dela.
Ações administrativas ficam encadeadas por hash: Cada registro contém o hash do anterior, então remover ou alterar um registro quebra a cadeia. Nenhum endpoint grava nem apaga registros de auditoria, e o perfil de acesso ao banco que executa o serviço também não consegue alterá-los nem excluí-los.

O que isso não é: uma auditoria independente. Uma cadeia que nós mesmos verificamos mostra apenas que os nossos registros são internamente consistentes. Não é a assinatura de um terceiro e não a apresentamos como tal.

Registro de transparência

O que é visível e o que não alegamos.

Publicado no produto

Disponibilidade dos modelos, schema de entrada, preço unitário, estado das tarefas, registros de cobrança, identificadores de requisição, resumos de políticas e um Histórico de mudanças com datas. São informações do produto, não garantias de terceiros.

Não alegado aqui

SOC 2, ISO 27001, PCI DSS, elegibilidade HIPAA, teste de invasão independente, SLA contratual de disponibilidade, residência universal ou retenção zero. Sobre disponibilidade publicamos uma meta, não uma garantia: 99,9% na nossa própria camada — recebimento de requisições, recebimento de tarefas e entrega de callbacks — com o estado atual em status.spicyapi.ai. Uma meta não gera créditos de serviço, reembolso nem outra compensação, e exclui os serviços de modelos de terceiros que executam a geração. Silêncio não significa certificação.

Transparência operacional

As informações publicadas separam disponibilidade e status atuais, preços e regras de conteúdo de certificações ou garantias. Considere apenas compromissos apresentados como vigentes e aplicáveis.

Quando algo dá errado

Um endereço, uma pessoa do outro lado e nenhuma varredura no meio.

As requisições não são analisadas uma a uma. O que existe é um canal de denúncia, uma preservação de material que começa depois de uma denúncia ou de uma notificação legal, e um recurso lido por alguém diferente de quem decidiu primeiro.

Abrir a página de denúncia

support@spicyapi.ai: Conteúdo proibido, pedidos de privacidade e notificações legais. Descreva o problema e envie o ID da tarefa ou da requisição; nunca anexe o material. Em caso de conteúdo sexual envolvendo menor de idade, pule o formulário e escreva CSAM ESCALATION no assunto — esses casos são tratados antes de tudo.
support@spicyapi.ai: Contas, cobrança e tarefa que falhou sem o valor retido voltar. Escrever não é o único caminho: o console exporta os seus próprios dados em JSON, destrói o conteúdo de uma tarefa concluída e pode encerrar a conta.
Pesquisa de segurança: Publicamos um contato legível por máquina em /.well-known/security.txt. Sondar controles de acesso, limites de taxa ou cobrança exige autorização por escrito obtida antes por esse canal, e não há programa de recompensa por falhas para indicar.

Prazos-alvo de atendimento

Um dia útil para confirmar o recebimento de uma denúncia em que você deixou um endereço, três dias úteis para a via de escalonamento e dez para o restante. Pedidos de privacidade são respondidos sem atraso indevido e dentro do prazo que a lei aplicável a você determinar.

São metas, não tempos de resposta garantidos. A disponibilidade também é meta, não compromisso: não há acordo de nível de serviço nem créditos de serviço, a menos que assinados à parte.

Limite da política

Liberdade criativa não elimina consentimento nem lei.

Ao usar um modelo sem censura, toda pessoa retratada deve ser adulta e ter consentimento documentado. São proibidos conteúdo envolvendo menores, imagens íntimas sem consentimento, uso enganoso da aparência ou voz de uma pessoa real, exploração e material ilegal na jurisdição aplicável. Essas obrigações continuam sendo do cliente; a página de Uso aceitável apresenta as regras e o Aviso de privacidade explica o tratamento de dados associado.