Центр доверия

Проверяемые меры, ясные границы, никаких заимствованных сертификатов.

Здесь описаны доступные сегодня меры контроля продукта и заявления, которых мы намеренно не делаем. Логотип поставщика, аккуратный интерфейс или значок шифрования не доказывают сертификацию. Если подтверждение не опубликовано, мы прямо об этом говорим.

Уведомление о конфиденциальности Допустимое использование

Наша позиция

Доверие начинается с утверждения, которое можно проверить.

SpicyAPI показывает для каждой модели поддерживаемые входные данные, текущую доступность, цену и границы политики. Пользователь сам выбирает модель, а принятая задача получает отслеживаемые идентификаторы. Мы не выдаём планы за завершённый аудит и не выдаём чужие сертификаты за свои.

Что происходит с тем, что вы отправили

Ваши промпты и результаты никогда не становятся нашими обучающими данными.

Мы храним эти данные ограниченное время. Утверждение об обратном опроверг бы один скриншот нашей консоли, поэтому здесь точно описаны сохраняемые данные, их назначение и одно ограничение, которое нельзя устранить технически.

Читать политику конфиденциальности

Хранятся, потом стираются: Промпты, произвольные текстовые параметры и ссылки на результат лежат в записи задачи 30 дней, после чего эти поля очищаются. Сама строка остаётся: это единственное подтверждение того, что с вас списали. После очистки в ней несколько сотен байт и никакого содержимого.
Ни обучение, ни перепродажа: SpicyAPI не использует ваши промпты, загруженные файлы и результаты для обучения моделей и не начнёт этого делать, не спросив вас отдельно и явно. Персональные данные мы не продаём и не сдаём в аренду. За пределами наших собственных систем сервис модели, который выполняет ваш запрос, обрабатывает этот ввод по своим условиям: эту границу описывает политика конфиденциальности, и обещать за него мы не можем.
Без рекламы и межсайтовой слежки: Cookie три: одна держит вас в сессии, вторая защищает формы от межсайтовой подделки запроса, третья — от Google Analytics — измеряет посещаемость сайта. Её рекламные функции и Google Signals отключены, и она никогда не получает ваш аккаунт, промпты или результаты.
Счётчики, а не свободный текст: Перед удалением промпта мы сохраняем о нём несколько показателей: число символов, систему письма, сколько приложено референсов и односторонний слепок параметров. Свободного текста в этом наборе нет, а слепок обратно в значения не превращается.

Ограничение, которое мы не будем прикрывать словами

Чтобы получить результат, сервису модели, который выполняет ваш запрос, нужен промпт открытым текстом. Пока запрос передаём мы, никакая схема не сделает его нечитаемым для всех, кроме вас. Поэтому мы не заявляем сквозное шифрование и не даём обещаний за условия, которые писали не мы.

Хранение

У каждого типа данных свой таймер. Три из них ваши.

Сроки ниже — это пределы, считанные из работающей конфигурации, а не подобранные, чтобы заполнить документ. Сгенерированные файлы, текст промптов и загруженные референсы можно выставить короче, чем указано в таблице, — длиннее нельзя: именно эти числа соблюдают сами правила хранения. Юридическая блокировка может продлить жизнь записи; раньше срока её убирает только ваша собственная настройка.

До 30 дней

Промпты и ссылки на результат

Обслуживающая задача очищает оба поля в записи о задании. Если поставить таймер короче, та же задача доработает до вашей даты. В любом случае внутри две блокировки: задание под юридической блокировкой не очищается, и задание, из которого ещё не извлекли показатели использования, тоже.

До примерно 14 дней

Сгенерированные изображения, видео и аудио

Хранилище удаляет просроченные объекты по своему расписанию, обычно в течение суток после истечения срока. Для более коротких сроков используется наша процедура очистки, которая обычно выполняется в течение нескольких минут. Указанный срок остаётся приблизительным, а не обещанием удаления в точную секунду.

До 1 дня

Загруженные вами референсы

URI загрузки перестаёт работать в момент истечения. Удаление объекта может последовать на сутки позже, и эта задержка не продлевает срок, в течение которого файлом можно пользоваться. Если выставить загрузки так, чтобы они уходили вместе с завершением задачи, задержки практически не остаётся.

90 дней

IP-адрес и user agent

Затем они прямо на месте заменяются хешем с ключом — в сессиях входа, событиях безопасности, согласиях с политиками и в журнале аудита одинаково. Это псевдонимизация, а не анонимизация: хеш устойчив, поэтому две записи с одного адреса по-прежнему сопоставляются. Сам адрес из строки исчезает, и прочитать его обратно нельзя.

35 дней

Резервные копии базы данных

Удалённые вами данные остаются в зашифрованных копиях, пока те не сменятся. В это время они ни для чего не используются и исключаются из любого восстановления.

Годы

Финансовые записи и журнал аудита

Записи реестра только добавляются — роль базы данных, под которой работает сервис, не может их изменить, удалить или очистить — и хранятся столько, сколько требует налоговое и бухгалтерское право США. Журнал аудита хранится два года, и удаляется только проверенный непрерывный начальный отрезок цепочки.

Три ограничения сформулированы в политике конфиденциальности теми же словами: удаление не мгновенно, реестр стереть нельзя, а действующее юридическое удержание сильнее запроса на удаление.

Ваши настройки

Срок хранения выбираете вы. Удаление запускаете тоже вы.

Неизменяемый срок хранения — лишь информация о правилах. Здесь доступны четыре действия: три отдельных срока и вызов, который удаляет содержимое раньше срока. Все они только сокращают хранение; ни одно не продлевает его за пределы таблицы выше.

Три таймера, каждый отдельно: Созданные файлы, текст промптов и загруженные референсы решают три разные задачи, поэтому настраиваются отдельно. Каждая настройка действует на весь аккаунт, а отдельный запрос может задать ещё меньший срок одним заголовком. Применяется наименьшее из трёх значений: запрос не может ослабить более строгую настройку аккаунта.
По умолчанию — самый мягкий вариант: Новые аккаунты используют максимальный срок, как и раньше. Сокращать его решаете вы, а последствия каждого варианта объясняются до сохранения. Настройка приватности не должна молча лишать человека референсного файла на второй день.
Референсы, которые не переживают задачу: Загрузки можно удалять, когда использующая их задача достигает конечного состояния: завершена, неудачна или отменена. Это не момент отправки, поскольку файл нужен для повторной попытки. Последствие важно знать заранее: чтобы повторно использовать тот же референс, его нужно загрузить заново.
Самостоятельно уничтожьте содержимое завершённой задачи: Один вызов удаляет файлы задачи, сохранённый результат и текст промпта. Проверка и чужое разрешение не нужны, повторный вызов не вызывает ошибку. Затем задача помечается как уничтоженная вами, а не как удалённая по истечении срока: плановая очистка не должна скрывать ваше собственное решение.

Что уничтожение намеренно оставляет

Платёжную запись. Сумма, дата, модель, идентификатор запроса и состояние, в котором задача завершилась, остаются: именно по этой строке разбирают спорное списание, а баланс, который можно было бы переписать, стерев историю, стоил бы меньше того, который переписать нельзя. Уничтожение уносит содержимое, а не квитанцию.

Куда оно не дотягивается

После уничтожения платёжные записи и зашифрованные резервные копии сохраняются на указанные для них сроки; уже скачанные кем-либо файлы удалить невозможно. Задача помечается как уничтоженная при постановке очистки в очередь. Физическое удаление происходит в фоне, обычно в течение минуты. Запись задачи показывает, если удаление файлов ещё ожидается.

Учётные данные

Исходите из того, что ключ когда-нибудь утечёт. Ограничьте его заранее.

Ключ, который вы отдаёте подрядчику, должен уметь меньше, чем ключ вашего собственного бэкенда. Каждое ограничение ниже задаётся для отдельного ключа, меняется потом и решается прямо в транзакции, создающей задачу, а не при сверке на следующее утро.

Ограничения ключей в условиях

Показывается один раз, хранится хеш: Полный ключ показывается один раз сразу после создания. Хранится только хеш, поэтому восстановить потерянный ключ невозможно. В таком случае отзовите его и создайте новый.
Три независимых потолка: Дневной лимит, месячный бюджет и общий лимит — все их задаёте вы. Начать стоит с дневного: именно он останавливает украденный ключ раньше, чем вы прочитаете уведомление. Суммы, удержанные под ещё не рассчитанные задачи, тоже занимают бюджет.
Список моделей, разрешённые IP, дата окончания: Ключ можно ограничить перечисленными моделями, конкретными адресами отправителя и датой, после которой он перестанет работать сам. Пустой список означает, что по этой оси ограничений нет, — и это должно быть решением, а не недосмотром.
Отзыв действует со следующего запроса: Вызовы с этим ключом с этого момента отклоняются. Уже принятые задачи продолжат выполняться, списания по ним останутся: приём — это точка невозврата. Время и адрес последнего использования видны, так что можно понять, успели ли воспользоваться ключом до того, как вы заметили.

Ключ несёт только операционные ограничения. Никакого «права на контент», которое можно выдать или отобрать, не существует: что выдаст модель — свойство выбранной вами модели.

Наша сторона

То, что снаружи проверить нельзя.

Сроки хранения и лимиты ключей можно проверить в своей консоли. Перечисленные ниже меры снаружи проверить нельзя, поэтому здесь мы фиксируем описание, за которое отвечаем.

Операционная консоль — отдельный сервис: Она работает своим процессом, на своём имени хоста, за своим туннелем и своим слоем доступа. Публичный сервис эти маршруты вообще не регистрирует, поэтому со стороны API-хоста административного пути просто нет.
На сервере-источнике нет входящих портов: Каждый сервис выходит в интернет через исходящий туннель, так что сканировать нечего. Источник к тому же раньше всего прочего перепроверяет, что запрос действительно пришёл через периметр, и на неудачную проверку отвечает пустым 404, а не диагностикой.
Деньги двигаются только вручную: Пополнение, корректировка или возврат — это неизменяемая заявка со своим хешем полезной нагрузки и своим сроком, которую вручную проводит администратор в консоли: это отдельный сервис за собственным слоем доступа. Владение аккаунтом не включает возможность двигать его средства.
Административные действия связаны хеш-цепочкой: Каждая запись несёт хеш предыдущей, поэтому удалённая или изменённая запись разрывает цепочку. Эндпоинта, который пишет или удаляет запись аудита, не существует, и роль базы данных, под которой работает сервис, тоже не может её изменить или удалить.

Чем это не является: независимым аудитом. Цепочка, которую мы проверяем сами, показывает лишь, что наши собственные записи согласованы между собой. Это не подпись третьей стороны, и мы её так не подаём.

Что раскрыто

Что опубликовано и чего мы не заявляем.

Опубликовано в продукте

Статус моделей, схема входа, единица тарификации и цена, состояния задач, операции по балансу, номера запросов, краткие правила политики и датированный журнал изменений. Это информация о продукте, а не независимая аттестация.

Не заявляется

SOC 2, ISO 27001, PCI DSS, соответствие HIPAA, независимый пентест, договорной SLA по доступности, гарантированное размещение данных в конкретном регионе или полный отказ от хранения данных. По доступности мы публикуем цель, а не гарантию: 99,9 % для нашего собственного слоя — приём запросов, приём задач и доставка обратных вызовов — а текущее состояние компонентов открыто на status.spicyapi.ai. Цель не даёт права на сервисные кредиты, возврат средств или иную компенсацию и не охватывает сторонние модельные сервисы, которые выполняют генерацию. Отсутствие заявления нельзя трактовать как наличие сертификата.

Операционная прозрачность

В опубликованном мы отделяем одно от другого: текущая доступность и статус задач, цены и правила контента — это не сертификаты и не гарантии. Полагайтесь только на обязательства, которые прямо названы действующими и применимыми.

Когда что-то пошло не так

Один адрес, живой человек на том конце и никакой проверки между ними.

Запросы не разбирают поштучно. Вместо этого есть канал для жалоб, сохранение материалов, которое начинается после жалобы или юридического уведомления, и апелляция, которую читает не тот, кто принял первое решение.

Открыть страницу жалоб

support@spicyapi.ai: Запрещённый контент, запросы по конфиденциальности и юридические уведомления. Опишите проблему и укажите идентификатор задачи или запроса; сам материал прикладывать нельзя. Если речь о сексуальном контенте с несовершеннолетним, не используйте форму и поставьте в тему письма CSAM ESCALATION — такие обращения разбирают раньше всего остального.
support@spicyapi.ai: Аккаунты, оплата и задача, которая не удалась, а удержанная сумма не вернулась. Написать — не единственный путь: консоль выгружает ваши собственные данные в JSON, уничтожает содержимое завершённой задачи и может закрыть аккаунт.
Исследования безопасности: Машиночитаемый контакт опубликован по адресу /.well-known/security.txt. Чтобы проверять контроль доступа, лимиты запросов или биллинг, нужно заранее получить письменное разрешение по этому каналу; программы вознаграждения за уязвимости, на которую можно было бы сослаться, у нас нет.

Ориентировочные сроки обработки

Один рабочий день на подтверждение сообщения с контактным адресом, три рабочих дня на обращения по каналу эскалации и десять на остальные. Запросы по конфиденциальности рассматриваются без неоправданной задержки и в срок, установленный применимым к вам законом.

Это ориентиры, а не гарантированные сроки ответа. Доступность — тоже цель, а не обязательство: соглашения об уровне сервиса и сервисных кредитов нет, если они не согласованы отдельным подписанным документом.

Границы политики

Свобода творчества не отменяет согласие и закон.

При использовании модели без цензуры каждый изображённый человек должен быть совершеннолетним и дать документированное согласие. Запрещены материалы с несовершеннолетними, интимные изображения без согласия, обманное использование внешности или голоса реального человека, эксплуатация и материалы, незаконные в соответствующей юрисдикции. Эти обязанности остаются у клиента; правила изложены на странице допустимого использования, а связанная обработка данных — в уведомлении о конфиденциальности.