Политика конфиденциальности

Кто управляет сервисом. «spicyapi» — торговое наименование компании, которая управляет сервисом, и именно с этой компанией вы заключаете договор. Все упоминания ниже слов «мы», «нас» или «оператор» означают эту компанию.

1. Как читать эту страницу

Каждый срок хранения, указанный ниже, взят из ключа конфигурации или константы работающего сервиса, а не из условностей, принятых при составлении текста. Если срок еще не определен, эта страница прямо об этом говорит, а не называет правдоподобно звучащее число.

Две вещи мы прямо говорим в самом начале, потому что политика конфиденциальности, которую нужно перечитать дважды, чтобы их найти, не выполняет своей задачи:

• Мы действительно храним ваши промпты и результаты. Они хранятся в течение определенного срока, а затем стираются. Платформу, которая хранит контент, но утверждает обратное, может опровергнуть один-единственный скриншот ее собственной админ-консоли, а честная формулировка — определенный срок, никакого использования для обучения и прописанные исключения — является более сильным обязательством, чем непроверяемое отрицание.
• Мы не конечное звено цепочки. Ваш промпт передается поставщику, управляющему выбранной вами моделью, и тому он нужен в открытом виде, чтобы сгенерировать результат. Ни одно наше обещание не может быть сильнее того, что с промптом делает этот поставщик.

Оператор является контролером данных в отношении всего описанного ниже, и именно эта компания подразумевается под словами «мы» и «нас» на этой странице.

Компания учреждена в Соединенных Штатах, и сервис работает оттуда. У нас нет представительства в Европейском союзе, поэтому механизм «одного окна» (one-stop-shop) не применяется и ведущего надзорного органа для нас нет; при этом вы по-прежнему можете подать жалобу в надзорный орган по месту жительства. Все, что написано ниже, описывает то, что платформа действительно делает.

2. Что мы записываем

2.1 Что вы отправляете и что возвращается

Каждый срок в этой таблице — верхний предел, а не фиксированный срок: это самое долгое время, в течение которого мы храним эти данные, и одновременно правило, настроенное в самом хранилище. Вы можете попросить меньший срок — см. 2.7. Попросить больший срок нельзя.

Слово «примерно» для сгенерированных медиафайлов выбрано сознательно. Объектное хранилище удаляет объекты с истекшим сроком по собственному графику, как правило в течение 24 часов после истечения срока. Ровные «14 дней» были бы немного неверным утверждением, поэтому мы так не пишем. Для загруженного референса граница доступа точная: его URI перестает работать в момент expiresAt из ответа на фиксацию загрузки (commit), по умолчанию — через 1 день после фиксации. Задержка удаления по правилам жизненного цикла не продлевает этот срок использования.

Проекты короткометражных фильмов получают более длинный срок, потому что фильм создается днями или неделями: сцена, сделанная на первой неделе, должна существовать на момент экспорта всего фильма. Этот срок распространяется только на медиафайлы, созданные внутри проекта короткометражного фильма в Spicy Studio, и на экспортированные из него фильмы. Та же модель, вызванная через API, плейграунд или холст, сохраняет верхний предел в 14 дней, а текст промптов в любом случае сохраняет верхний предел в 30 дней.

Ваша библиотека ресурсов и персонажи. Файлы, которые вы добавляете в свою библиотеку ресурсов или в библиотеку команды, хранятся до тех пор, пока вы их не удалите, а не в течение сроков из таблицы выше, и доступны только по подписанному URL. Персонаж — это запись в этой библиотеке: имя, необязательная заметка и набор изображений, которые уже являются ресурсами той же библиотеки. Эти изображения — собственные ресурсы библиотеки, а не отдельные копии, и удаление персонажа не удаляет его изображения; чтобы удалить изображение, удалите соответствующий ресурс. Объём хранилища учитывается только по уровню вашей библиотеки, отдельного ограничения для персонажей нет. Если вы добавляете к персонажу фотографию реального человека, которую загрузили сами, вы подтверждаете, что обладаете правами на неё и имеете согласие этого человека, а мы фиксируем момент, когда вы дали такое подтверждение. Персонажи и их изображения хранятся до тех пор, пока вы их не удалите, и удаляются вместе с вашим аккаунтом; персонажи в библиотеке команды удаляются при закрытии команды. Пока действует юридическое удержание данных (legal hold) в отношении аккаунта, удаление лишь скрывает данные от вас, а сами данные хранятся до снятия удержания. Мы не сканируем и не классифицируем содержимое библиотеки.

2.2 Ваш аккаунт

Адрес электронной почты, хеш пароля, привязанная учетная запись Google или GitHub, если она есть, страна, определенная при регистрации, и зашифрованный ключ, которым подписываются отправляемые вам обратные вызовы вебхуков. Если вы включите многофакторную аутентификацию TOTP, мы также храним ее начальное значение (seed) в зашифрованном виде, храним коды восстановления только в виде односторонних хешей и записываем отметки времени, связанные с фактором и его использованием. Коды восстановления в открытом виде показываются только в момент их создания. Эти учетные данные аккаунта можно использовать, только пока соответствующий фактор и аккаунт остаются включенными.

Данные аккаунта хранятся, пока аккаунт существует. Когда безопасное закрытие аккаунта завершено, доступ для входа и привязанные учетные записи отзываются, профиль обезличивается, и остаются только связи и факты, необходимые для сверки сохраняемых записей биллинга, аудита и безопасности. Хеши паролей, ключи вебхуков, начальные значения TOTP и хеши кодов восстановления никогда не включаются в самостоятельный экспорт данных.

Страна регистрации сохраняется потому, что региональное ограничение из условий использования должно быть возможно впоследствии проверить по решению, фактически принятому в тот момент, а не путем повторного определения страны по старому адресу.

Приглашения. Если вы регистрируетесь по чьей-либо пригласительной ссылке, мы записываем, какой аккаунт вас пригласил, код приглашения и время регистрации. Пригласивший видит вас только в виде маскированной метки — например, jo***@g***.com или первых символов имени приватного аккаунта, — а также дату вашей регистрации и сведения о том, платили ли вы. Он никогда не видит ваш адрес электронной почты, то, что вы генерируете, какими моделями пользуетесь и какие-либо ваши платежи; вознаграждения, которые он получает, показываются ему только как итоговые суммы по всем приглашенным. Чтобы не допустить злоупотреблений программой приглашений, мы сравниваем между пригласившим и приглашенным аккаунтами односторонний хеш отпечатка карты, который возвращает наш платежный провайдер, и IP-адреса, описанные в 2.3; совпадение лишь отправляет вознаграждение на ручную проверку, а номера карт мы не получаем и не храним. Запись о том, что вас пригласили, удаляется при закрытии вашего аккаунта, а код приглашения — при закрытии аккаунта, которому он принадлежит. Решения о вознаграждениях — это записи биллинга, и хранятся они на тех же основаниях, что и остальные (см. 2.6).

2.3 Сеансы и устройства

Для каждого сеанса входа записываются IP-адрес, строка user-agent браузера и страна. Изменения, важные для безопасности, и события MFA также создают запись о безопасности аккаунта, содержащую тип события, время, IP-адрес, user-agent браузера и несекретные метаданные. Это используется для выявления необычных входов, расследования изменений в аккаунте и отображения ваших собственных активных сеансов и недавних событий безопасности. Мы также сравниваем эти адреса между двумя аккаунтами, связанными приглашением, как описано в 2.2, чтобы не допустить злоупотреблений программой приглашений; для этого сравнения ничего нового не сохраняется.

Мы относимся к IP-адресу как к данным высокой чувствительности, а не как к обычной телеметрии, потому что в подобном сервисе именно он связывает человека с тем, что он сгенерировал.

Через девяносто дней после создания записи плановая задача заменяет IP-адрес и строку user-agent хешем с секретным ключом — одинаково в сеансах входа, событиях безопасности аккаунта, записях о принятии политик и журнале аудита. Это псевдонимизация, а не анонимизация: хеш стабилен, поэтому мы по-прежнему можем определить, что две записи пришли с одного адреса, и не утверждаем обратного. Сам адрес из строки удаляется, и прочитать его обратно невозможно.

2.4 Метаданные задач, хранения которых вы можете не ожидать

Помимо самого контента, каждая задача содержит: временные отметки, ключ, которым она отправлена, ссылку на поставщика, которому был передан запрос, собственный идентификатор задачи у этого поставщика, ключ идемпотентности, URL обратного вызова. Старые записи могут содержать значение режима контента от старых клиентов; оно не используется для проверки контента или решений о доступе.

Эти строки не удаляются. При стирании через 30 дней очищаются поля промпта и результата; сама строка остается, потому что это единственная запись о том, что было списано, а удаленная строка означает аккаунт, который невозможно сверить. После стирания строка занимает несколько сотен байт и не содержит контента.

События смены состояния и записи о доставке вебхуков хранятся по графику секционирования, основанному на 60-дневной настройке, но не менее двух месяцев.

2.5 Производные сигналы, хранимые бессрочно

Перед стиранием промпта из него извлекается небольшой набор сигналов, который хранится без ограничения срока. Он не содержит свободного текста: количество символов в промпте, преобладающая в нем система письма (ханьские иероглифы, латиница, кириллица и т. д. — сознательно не язык), число прикрепленных референсных файлов, хеш нормализованных параметров, из которых удалены весь свободный текст и URL файлов.

Это нужно, чтобы отвечать на эксплуатационные вопросы — какие модели растут, где скапливаются сбои, — без того, чтобы кто-либо читал промпты. Кроме того, благодаря этому чтение промпта становится редким событием, и только поэтому журнал аудита вокруг него вообще несет какой-то сигнал.

Хеш параметров — односторонняя сводка. По нему можно понять, использовали ли две задачи одинаковый набор параметров; восстановить из него значения нельзя.

2.6 Биллинг и аудит

Записи в журнале операций (ledger) только добавляются: они никогда не изменяются и никогда не удаляются. Рядом с ними хранятся заявки на пополнение, остатки кошельков и дневные агрегаты расходов. Административные действия записываются в журнал аудита, записи которого связаны хеш-цепочкой.

Записи в журнале операций только добавляются: роль базы данных, от имени которой работает сервис, не может их изменять, удалять или очищать, поэтому запись биллинга не может незаметно измениться задним числом. Они хранятся столько, сколько от нас требует налоговое и бухгалтерское законодательство США, — это срок, исчисляемый годами, и сокращать его по запросу не в нашей власти. Записи аудита хранятся два года, после чего удаляется только проверенный непрерывный начальный участок цепочки, так что сама цепочка остается проверяемой.

В счетах указываются ваши собственные данные. Если вы выпускаете в консоли счет или отчет о расходах, мы сохраняем и печатаем наименование плательщика, получателя, адрес, страну, адрес электронной почты для биллинга и необязательный налоговый номер — ровно так, как вы их ввели. Налоговый номер нужен только для того, чтобы он мог быть указан в документе; ни для чего другого он не используется. Все эти сведения предоставляете вы, и мы не проверяем ничего из них — ни вашу юридическую личность, ни вашу налоговую регистрацию, ни налоговый номер. Уже выпущенный документ сохраняет данные, действовавшие на момент его создания, а последующие изменения касаются только новых документов. Выпущенные документы являются записями биллинга и хранятся на тех же основаниях, что и остальные такие записи.

2.7 Как попросить нас хранить меньше

Сроки из 2.1 действуют, если вы не укажете иное. В консоли можно отдельно задать более короткие сроки для четырех видов данных, потому что они отвечают на разные вопросы:

• Сгенерированные медиафайлы и результаты — от одного часа до срока по умолчанию.
• Медиафайлы короткометражных фильмов — от одного часа до срока по умолчанию, примерно 60 дней; относится к медиафайлам, созданным в проекте короткометражного фильма в Spicy Studio, и к экспортированным из него фильмам.
• Промпты и параметры в свободной текстовой форме — от одного часа до срока по умолчанию.
• Загруженные вами референсные изображения — от одного часа до срока по умолчанию либо режим уничтожать после использования, при котором файл удаляется, как только использовавшая его задача переходит в конечное состояние.

Отдельный запрос может задать более короткий срок, чем указан в настройках аккаунта, с помощью заголовка X-Spicy-Retention. Он может только сокращать срок. Запрос не может вернуть более длительный срок, чем позволяет аккаунт, и ни тот ни другой не может превышать верхние пределы из 2.1 — поэтому администратор, установивший для организации один час, задал ограничение, а не рекомендацию.

Мы не предлагаем способа хранить этот контент дольше и не называем ничего из этого «нулевым хранением» (zero retention): самый короткий срок — один час, и контент записывается в хранилище до того, как будет удален.

2.8 Уничтожение контента по запросу

Вы можете в любой момент уничтожить контент завершенной задачи — в консоли или через POST /api/v1/jobs/purge. При этом удаляются сгенерированные медиафайлы из объектного хранилища, сохраненный результат и текст промпта.

Это не возврат средств, и сумма списания от этого не меняется. Запись биллинга по этой задаче — сумма, время, модель, идентификатор запроса — хранится на основаниях, описанных в 2.6, потому что это единственное подтверждение того, за что вы заплатили. Уничтожение контента удаляет контент, а не списание.

После этого задача помечается как уничтоженная вами и никогда не отображается как истекшая сама по себе. Это разные события, и мы их не смешиваем: одно — наше правило, срабатывающее по графику, другое — принятое вами решение. Пока действует юридическое удержание, уничтожение не применяется — по той же причине, по которой не применяется истечение срока, см. раздел 7.

2.9 Письма и уведомления, которые мы вам отправляем

Мы отправляем сообщения трех видов, и отключить нельзя только первый из них.

• Сообщения об аккаунте и сервисе — их нельзя отключить. Письма, без которых аккаунт не может работать: например, подтверждение адреса, сброс пароля, подтверждение смены адреса электронной почты, приглашения в рабочее пространство, ответы на ваши обращения в поддержку и, если вы его настроили, оповещение о низком балансе. Сюда же относятся служебные уведомления: плановые технические работы, сбой, затрагивающий ваши запросы, вопросы безопасности, изменение настоящей политики или условий использования до его вступления в силу.
• Обновления продукта — можно отключить. Новые модели, изменения цен и функции консоли.
• Акции и объявления — можно отключить. Периодические промоакции.

На аккаунтах, открытых 6 октября 2026 г. и позже, оба необязательных вида изначально включены; страница регистрации сообщает об этом до создания аккаунта. На аккаунтах, открытых раньше, они изначально выключены и остаются выключенными, пока вы их не включите. В любом случае оба переключателя находятся на странице «Уведомления» в консоли. Пока переключатель выключен, сообщения этого вида не приходят ни на почту, ни в колокольчик уведомлений в консоли.

Как отключить. Неважно, был ли переключатель включен с самого начала или вы включили его сами, — его можно выключить в любой момент одним из двух способов:

• Из любого письма с обновлениями продукта или акциями. В конце каждого есть ссылка для отписки, которая работает без входа в аккаунт. Само по себе открытие ссылки ничего не меняет: она ведет на страницу, где вы подтверждаете отписку, поэтому почтовый сканер, открывающий ссылки за вас, не сможет отписать вас случайно. На этой странице можно отказаться только от этого вида или от обоих необязательных видов. Почтовые приложения с собственной кнопкой отписки в один клик отправляют нам это подтверждение напрямую.
• В консоли — теми же двумя переключателями, которые работают в обе стороны.

Мы проверяем вашу настройку в момент подготовки каждого сообщения для вас, а не только при планировании рассылки, поэтому изменение действует для всего, что еще не отправлено; сообщение, переданное в нашу очередь отправки до того, как вы выключили переключатель, еще может прийти. При закрытии аккаунта оба переключателя выключаются.

Почему служебные сообщения нельзя отключить. Они нужны для работы аккаунта, который вы открыли, а не для того, чтобы что-то вам продать:

• Безопасность аккаунта. О сбросе пароля, смене адреса, с которым вы входите в систему, или о проблеме безопасности на платформе вам нужно знать, даже если рассылки вы никогда не читаете.
• Доступность сервиса. Баланс оплачивается заранее, а у вас может работать программа, которая вызывает API без присмотра; технические работы и сбои меняют то, что она получает в ответ.
• Обязанности по закону. Некоторые уведомления требует закон — например, сообщить затронутым пользователям об утечке их персональных данных, — а в разделе 10 мы обязуемся объявлять о существенных изменениях настоящей политики до их вступления в силу.

По той же причине мы никогда не используем служебное уведомление для рекламы. Сообщение, главная цель которого — продать, отправляется как акция и только на аккаунты, где включен переключатель акций.

Никакого отслеживания открытий и кликов. В этих письмах нет ни пикселей отслеживания, ни скриптов. Единственное изображение в них — наш логотип — это один и тот же файл по одному и тому же адресу для всех получателей, поэтому его загрузка ничего не говорит нам о том, кто открыл какое письмо. Ссылки ведут прямо по назначению: мы не пропускаем их через переадресацию и ничего к ним не добавляем, чтобы узнать, кто по ним перешел. Если ссылка должна быть уникальной для вас — ссылка подтверждения, сброса пароля или отписки, — она выполняет только эту задачу и ничего больше. Мы не измеряем, открыли ли вы письмо и по каким ссылкам в нем переходили.

Кто их получает и что мы храним. Служебные уведомления, обновления продукта и акции отправляются только владельцам аккаунтов, а по почте — только на подтвержденный адрес; у приватного аккаунта нет адреса электронной почты, поэтому все, что мы ему отправляем, появляется только в консоли. Если рассылка предназначена не для всех аккаунтов, а для части, мы выбираем их по сведениям, которые у нас уже есть: пополнялся ли аккаунт когда-либо, есть ли на нем сейчас баланс, когда он был создан, когда в него в последний раз входили или отправляли из него задачу, или — когда мы пишем конкретным людям — по его адресу электронной почты. Ваши промпты, загрузки и результаты никогда не используются для того, чтобы решить, что вам отправить.

Мы храним состояние двух ваших переключателей и время последнего изменения ваших настроек почты. По каждому служебному уведомлению, обновлению продукта или акции, отправленным вам, мы записываем, к какой рассылке оно относилось, на какой адрес ушло, было ли оно доставлено, не доставлено или пропущено — и почему, например потому, что к тому моменту переключатель уже был выключен, — а также когда вы отписались по ссылке из него. В письмах с обновлениями продукта и акциями также указаны наш почтовый адрес и переключатель, по которому они отправлены. Ссылка для отписки содержит случайный код, от которого мы храним только односторонний хеш, а подготовленная для вас копия письма удаляется из нашей очереди отправки, как только письмо доставлено или попытки доставки окончательно прекращены. Для этих записей о доставке пока не установлен собственный срок хранения; как сказано в разделе 1, мы прямо об этом говорим, а не называем правдоподобное число, и эта страница изменится, когда срок будет установлен.

2.10 Отчеты об ошибках из вашего браузера

Когда на странице этого сайта в вашем браузере происходит ошибка, страница отправляет нам короткий диагностический отчет, чтобы мы могли найти и устранить неисправность. Отчет содержит только: тип ошибки и сокращенный текст сообщения, из которого удалены веб-адреса, параметры запроса, адреса электронной почты, токены и идентификаторы; имена файлов кода и позиции в строках, где произошла ошибка; страницу, на которой это случилось, в виде шаблона маршрута — без параметров запроса и с заменой идентификаторов на заполнители; семейство браузера и то, телефон это или компьютер; язык страницы; версию сайта; а также то, выглядела ли страница переведенной машинным переводом или измененной расширением браузера.

Отчет никогда не содержит ваш IP-адрес, ваш аккаунт, файлы cookie, промпты, содержимое страницы или ее полный адрес, и рядом с ним мы не храним ничего, что связывало бы его с вами или с любой другой записью, которую мы ведем. Одна страница отправляет не более пяти отчетов, одна вкладка браузера — не более двадцати; чтобы соблюдать этот предел, страница хранит в сессионном хранилище вашего браузера простой счетчик, который удаляется при закрытии вкладки. Автоматизированные браузеры и поисковые роботы отчетов не отправляют. Отчеты хранятся у поставщика инфраструктуры, который и так обслуживает этот сайт (см. раздел 5), и автоматически удаляются через три месяца.

3. Чего мы не делаем

• Мы не используем ваши промпты, загрузки или результаты для обучения каких-либо моделей и не начнем этого делать, не спросив вас отдельно и явно. Это обязательство распространяется на наши собственные системы. То, что может делать с этими входными данными поставщик, выполняющий запрос, определяется условиями, которые пишем не мы; этот предел объясняется в разделе 5.
• Мы не запускаем рекламные скрипты и не ведем межсайтовое отслеживание. Для измерения трафика этого сайта мы используем Google Analytics, и он работает для всех посетителей. Рекламные функции, персонализация рекламы и Google Signals полностью отключены — а не просто не используются, — поэтому данные измерений нельзя превратить в рекламную аудиторию. Мы никогда не передаем туда идентификатор вашего аккаунта, адрес электронной почты, промпты или результаты.
• Мы не продаем и не сдаем в аренду персональные данные.
• Мы не заявляем о сквозном шифровании и предпочитаем объяснить почему, а не заимствовать этот термин. Поставщику модели ваш промпт нужен в открытом виде, чтобы сгенерировать результат, поэтому никакая архитектура, в которой мы передаем ваш запрос дальше, не может сделать ваш контент нечитаемым для всех, кроме вас. Тот, кто продает вам API для инференса под таким описанием, описывает что-то другое.

4. Файлы cookie

Два файла cookie строго необходимы: один сохраняет ваш вход в систему, другой защищает формы от подделки межсайтовых запросов. Отказаться ни от одного из них нельзя, потому что без них сайт не может выполнять свою работу.

Пригласительные ссылки. Когда вы открываете ссылку с кодом приглашения, сайт сохраняет этот код в собственном (first-party) cookie (spicy_ref) на срок до 30 дней, чтобы привязать его, если вы создадите аккаунт. Если затем вы регистрируетесь через Google или GitHub, код передается через этот вход во втором cookie, который действует десять минут. В обоих хранится только код; они никогда не используются для аналитики или рекламы и удаляются, как только вы регистрируетесь или входите.

Аналитические cookie — отдельная категория. Google Analytics работает для всех посетителей этого сайта и устанавливает собственный измерительный cookie, чтобы отличать повторное посещение от нового; об этом сообщает уведомление при первом посещении. Переключателя, который бы его отключал, на сайте нет. Если вы не хотите, чтобы ваши посещения учитывались, установите браузерное дополнение Google для отключения Google Analytics — оно полностью останавливает измерение. Если только заблокировать cookie этого сайта в браузере, Google Analytics перестанет узнавать повторные посещения, но просмотренные страницы по-прежнему будут учитываться. Рекламных или профилирующих cookie нет.

В рабочей среде оба cookie имеют префикс __Host-. Этот префикс — жесткое правило браузера, а не соглашение: он принудительно задает Secure и Path=/ и запрещает атрибут Domain, — поэтому никакой другой хост в пределах домена не может записать cookie, который прочитает наш источник (origin). Он также исключает целый класс атак фиксации сеанса. При работе по обычному HTTP в локальной разработке браузер сразу отклонил бы cookie с префиксом __Host-, поэтому сборки для разработки используют имя без префикса; в рабочей среде этого не происходит.

5. Кто еще обрабатывает ваши данные

Поставщик самой модели задает предел для каждого обещания на этой странице. Мы можем брать на себя обязательства в отношении того, что происходит в наших собственных системах. Мы не можем брать на себя обязательства от имени поставщика, условия которого пишем не мы. Некоторые поставщики на этом рынке оставляют за собой право обучать модели на входных данных; некоторые никак об этом не высказываются, а это не то же самое, что отрицание.

Если Stripe настроен и вы выбираете привязку карты или пополнение, платежная страница размещается у Stripe. Для приватных аккаунтов мы не передаем адрес электронной почты. Мы храним непрозрачные ссылки Stripe на клиента, способ оплаты, настройку и транзакцию; маскированное название способа оплаты; односторонний хеш отпечатка карты, возвращаемый Stripe, который используется только для распознавания одной и той же карты в нескольких аккаунтах в программе приглашений; ваши настройки автопополнения и состояние согласия; суммы, статус, отметки времени и ссылки идемпотентности. Мы не получаем и не храним полный номер карты или учетные данные онлайн-банка. Для ручного пополнения мы храним ID заявки, сумму, статус, отметки времени и ссылку на внешний платеж, используемую для сверки.

6. Трансграничная передача данных

Сервис работает для разработчиков по всему миру, и стороны, перечисленные в разделе 5, также работают глобально. Ваши данные будут обрабатываться за пределами страны, в которой вы находитесь.

Мы учреждены в Соединенных Штатах. Когда персональные данные передаются за пределы Европейской экономической зоны, Великобритании или Швейцарии, мы опираемся на стандартные договорные условия Европейской комиссии вместе с британским дополнением к ним. Это правовая, а не техническая гарантия: она обязывает получателя и не меняет указанного выше факта, что ваш промпт попадает к поставщику выбранной вами модели в открытом виде.

7. Стирание, удержания и резервные копии

Когда наступает 30-дневный срок, служебная задача очищает поля промпта и результата у задач с истекшим сроком. В саму эту задачу, а не в график развертывания, встроены две блокировки:

• Задача, из которой еще не извлечены производные сигналы, никогда не очищается. Если извлечение останавливается, вместе с ним останавливается и стирание — иначе в данных осталась бы постоянная дыра, которую нечем заполнить.
• Задача, на которую распространяется юридическое удержание, никогда не очищается. Удержания действуют только в одну сторону: они продлевают жизнь данных и никогда не могут привести к их более раннему исчезновению. Каждое удержание проверяется, а удержание, остающееся открытым дольше 90 дней, помечается, потому что таблица, полная бессрочных удержаний, незаметно отменяет политику хранения, пока публичная страница по-прежнему говорит о 30 днях.

Удержания существуют потому, что споры длятся дольше сроков хранения. Chargeback по карте может прийти через несколько месяцев после задачи, и в этот момент нам нужна именно та запись, которую мы в противном случае уже стерли бы.

Резервные копии. Резервные копии базы данных хранятся 35 дней. Удаленные вами данные остаются в этих зашифрованных резервных копиях, пока те не будут выведены из ротации. В течение этого периода они ни для чего не используются и исключаются из любого восстановления.

8. Ваши права

В зависимости от места вашего проживания у вас могут быть права на доступ к своим данным, их исправление, удаление, ограничение обработки, возражение против обработки и перенос данных, а также право подать жалобу в надзорный орган.

Три честных ограничения, о которых мы говорим сразу:

• Журнал операций не подлежит стиранию. Финансовые записи хранятся в соответствии с налоговым и бухгалтерским законодательством; запрос на удаление на них не распространяется.
• Юридическое удержание имеет приоритет над запросом на удаление в отношении данных, на которые оно распространяется, в течение всего срока своего действия.
• Стирание происходит не мгновенно. Объектное хранилище очищает объекты с истекшим сроком по собственному графику, а резервные копии ротируются в течение 35 дней.

После новой проверки безопасности консоль позволяет самостоятельно выгрузить данные в формате JSON: ваш профиль, ваше собственное участие в рабочих пространствах, метаданные API-ключей без секретов, данные задач в том объеме, в каком они хранятся на данный момент, переписку с поддержкой, модели в избранном и настройки, а также записи биллинга, включая настройки автопополнения без платежных учетных данных. Экспорт не содержит паролей или материала ключей, начальных значений MFA или кодов восстановления, внутренних записей о передаче запросов поставщикам и двоичных файлов медиа. На медиафайлы по-прежнему распространяются указанные выше сроки хранения.

Самостоятельное закрытие аккаунта требует новой проверки личности: текущего пароля или, если у аккаунта нет пароля, одноразового кода, отправленного на электронную почту аккаунта. Оно не отменяет принятую задачу и блокируется, пока задачи выполняются или по ним не завершен расчет, пока обрабатывается платеж за пополнение, пока за аккаунтом числится задолженность либо пока командному рабочему пространству еще нужен владелец. Заблокированный запрос фиксируется со статусом, указывающим, что нужно сделать, а не отображается как выполненный. Когда закрытие безопасно, сеансы и API-ключи отзываются, профиль обезличивается, а контент задач очищается, если не действует требование о сохранении доказательств. Финансовые сведения, сведения аудита и безопасности и минимальные сведения для сверки остаются в пределах описанных выше ограничений; консоль не описывает такой результат как физическое удаление.

Запрос, который невозможно выполнить через консоль, направляется на support@spicyapi.ai, и его рассматривает человек. Мы отвечаем без неоправданной задержки и в срок, который устанавливает для этого применимый к вам закон.

9. Дети

Сервис предназначен для взрослых. Чтобы иметь аккаунт, вам должно быть не менее 18 лет, и мы сознательно не собираем данные лиц младше этого возраста. Если вы считаете, что у нас есть данные о несовершеннолетнем, сообщите нам на support@spicyapi.ai, и мы их удалим — за исключением случаев, когда они связаны с предполагаемыми материалами сексуального насилия над детьми: закон обязывает нас сохранять такие данные и сообщать о них, а не удалять.

10. Изменения

О существенных изменениях мы объявляем до их вступления в силу. Поскольку сроки хранения считываются из действующей конфигурации, изменение любого из них меняет то, что написано на этой странице, — поэтому любое такое изменение рассматривается как изменение настоящей политики и объявляется тем же образом.

11. Контакты

support@spicyapi.ai — и для вопросов о конфиденциальности, и для сообщений о запрещенном контенте. Второй случай подробно описан на странице для сообщений о нарушениях.