Política de privacidad de Whisay
Última actualización: 26 de octubre de 2026
Esta política explica qué datos tratamos cuando usas la aplicación Whisay, el sitio web whisay.com y el sitio de la cuenta account.whisay.com, con qué finalidad lo hacemos y qué derechos tienes.
En resumen:
- Modo local: la voz se reconoce en tu ordenador. Las grabaciones y los textos no nos llegan y no necesitas cuenta.
- Modo online: la grabación va a nuestro servidor y a un proveedor de reconocimiento de voz. No guardamos en el servidor ni las grabaciones ni los textos dictados; solo guardamos contadores de uso.
- El historial, el diccionario, los textos rápidos y los ajustes se quedan en tu ordenador.
- Puedes eliminar tu cuenta tú mismo, en la aplicación o en account.whisay.com.
1. Responsable del tratamiento
El responsable del tratamiento de tus datos personales es Martez Marcin Szołtysek, Majowa 8, 41-706 Ruda Śląska (en adelante, «nosotros» o «Whisay»).
- Asuntos de datos personales: support@whisay.com
- Cualquier otro asunto: support@whisay.com
No hemos designado un delegado de protección de datos. Para cualquier cuestión sobre tus datos, escribe a support@whisay.com.
2. Cómo trata la aplicación tus datos
Lo que sale de tu ordenador depende del modo de dictado que elijas en la aplicación. El modo activo se muestra en la píldora en cada dictado.
Modo local
- La voz la reconoce un modelo instalado en tu ordenador. La grabación y el texto no se envían ni a nosotros ni a nadie más.
- No necesitas cuenta.
- La aplicación solo se conecta a internet cuando:
- descargas el modelo de reconocimiento de voz (desde nuestro almacenamiento de archivos en Microsoft Azure),
- buscas actualizaciones. En el modo local, la aplicación no las busca por su cuenta hasta que lo activas en Ajustes. La comprobación manual («Comprobar ahora») funciona siempre.
Modo online (nube de Whisay)
El modo online (incluidos el modo «Auto», que es la nube con respaldo local, y el modo Ultra, que es el dictado en directo) requiere una cuenta. En este modo, la aplicación envía a nuestro servidor api.whisay.com:
- la grabación del dictado (en el modo Ultra, el audio se transmite mientras hablas),
- las palabras de tu diccionario personal, como pista para el reconocimiento de voz,
- en el caso del Pulido: el texto dictado, el tipo de pulido elegido, el idioma de destino si traduces, y tu saludo, tu firma o tu instrucción personalizada si los has configurado,
- un token de la cuenta que confirma que puedes usar la nube.
Nuestro servidor pasa la grabación o el texto a un proveedor de reconocimiento de voz o de modelos de lenguaje (enumerados en Destinatarios) y devuelve el resultado a la aplicación. La grabación y el texto se tratan solo en memoria, mientras dura la solicitud. No los guardamos en ninguna base de datos ni en los registros. Solo registramos datos de uso: segundos de audio, palabras de Pulido, número de solicitudes, volumen de datos enviados y tipo de modo utilizado.
El texto final vuelve a la aplicación y se guarda en el historial de tu ordenador.
Modo con clave propia
Es una opción avanzada: introduces la dirección de un servicio de reconocimiento de voz y tu propia clave. La aplicación envía entonces la grabación directamente al servicio que hayas elegido, sin pasar por nuestros servidores. De ese tratamiento responde ese proveedor, conforme a sus propias condiciones. Tu clave se queda en tu ordenador y está protegida como los demás secretos (sección 3).
3. Datos en tu ordenador
La aplicación guarda lo siguiente en una base de datos local:
- historial de dictados: texto, hora, modo, duración de la grabación, tiempo de transcripción y motor utilizado,
- grabaciones de audio: solo cuando una transcripción ha fallado (para que puedas reintentarla) o cuando activas «Guardar siempre la grabación de audio en el historial» (desactivado por defecto),
- partes del texto durante un dictado: una copia de seguridad por si la aplicación falla, que se elimina al terminar el dictado,
- versiones del texto después del Pulido,
- diccionario personal y textos rápidos,
- ajustes, incluidos la dirección de correo de la cuenta con la sesión iniciada, el nombre del plan y el último uso conocido,
- el modelo de reconocimiento de voz descargado.
Los secretos (el token de sesión de la cuenta y tu propia clave) los protege el sistema operativo: DPAPI en Windows y el llavero (Keychain) en macOS.
Los datos están en la carpeta de datos de la aplicación, dentro de tu perfil de usuario:
- Windows:
%APPDATA%\com.whisay.app - macOS:
~/Library/Application Support/com.whisay.app
No tenemos acceso a ellos. Tú decides cuánto tiempo los conservas: puedes activar la limpieza automática del historial (a los 30, 90, 180 o 365 días; por defecto no se borra nada), eliminar entradas sueltas o borrarlo todo. En la página Tus datos te explicamos cómo.
4. Datos en nuestros servidores
Si no tienes cuenta, no guardamos en nuestros servidores ningún dato sobre ti. Solo contamos eventos anónimos (letra k).
Si tienes cuenta, tratamos:
| Datos | Finalidad | Base jurídica | Plazo de conservación |
|---|---|---|---|
| a) Cuenta: dirección de correo y su forma simplificada (por ejemplo, sin los puntos ni lo que va tras el signo «+» en Gmail), nombre visible (de Google o Microsoft, o parte de la dirección de correo), identificador de la cuenta en el proveedor de inicio de sesión, fecha de creación, plan, fin del periodo de prueba, plan Pro concedido por nosotros y su fecha de fin, estado de bloqueo y su motivo | crear y mantener la cuenta, iniciar sesión, prestar el plan | art. 6.1.b) RGPD (contrato) | hasta que se elimine la cuenta |
| b) Inicio de sesión y sesiones: códigos de un solo uso enviados por correo (solo guardamos su hash, un resumen criptográfico), tokens de sesión (solo el hash), códigos de inicio de sesión de corta duración | inicio de sesión seguro | art. 6.1.b) y f) RGPD (contrato, seguridad) | un código enviado por correo es válido 10 minutos y normalmente se elimina a las 2 horas aproximadamente; la sesión de la aplicación dura hasta 60 días y la del sitio de la cuenta, hasta 30 días; los tokens no válidos se eliminan a los 90 días; todo se elimina junto con la cuenta |
| c) Uso: contadores mensuales de la cuenta: segundos de dictado en la nube (también desglosados por modo, incluido Ultra), palabras de Pulido, número de solicitudes, volumen de datos enviados | límites del plan, normas de uso razonable, barra de uso en la aplicación, cálculo de costes | art. 6.1.b) y f) RGPD (contrato, prevención de abusos) | hasta que se elimine la cuenta |
| d) Actividad: la lista de días en los que la cuenta envió alguna solicitud | estadísticas de usuarios activos y recurrentes | art. 6.1.f) RGPD (desarrollo del producto) | hasta que se elimine la cuenta |
| e) Suscripción: datos procedentes de Paddle: identificadores de la suscripción y del cliente en Paddle, estado, precio, moneda, periodo de facturación, fechas de inicio, del próximo pago, de fin y de cancelación, importe neto del último pago abonado. Nunca recibimos los datos de la tarjeta. | prestar el plan de pago, contabilidad, estadísticas de ingresos | art. 6.1.b) y f) RGPD | mientras dure la suscripción; tras eliminar la cuenta, el registro se conserva sin vínculo con la cuenta (se mantiene el identificador de cliente en Paddle), como máximo 5 años desde el final del año en que terminó la suscripción |
| f) Registro del periodo de prueba: un hash de la dirección de correo generado con una clave secreta del servidor (HMAC) y las fechas de concesión y de fin del periodo de prueba. Sin la dirección y sin el identificador de la cuenta. | que el periodo de prueba se ofrezca una sola vez por buzón de correo, también si eliminas la cuenta y la vuelves a crear | art. 6.1.f) RGPD (prevención de abusos) | se conserva tras eliminar la cuenta, mientras ofrezcamos periodo de prueba |
| g) Registro de actividad del administrador: fecha, acción (por ejemplo, consulta de los detalles de la cuenta, concesión de un plan, bloqueo), identificador de la cuenta, detalles (por ejemplo, el motivo). Sin tu dirección de correo. | seguridad y trazabilidad del acceso a los datos | art. 6.1.f) RGPD | 2 años |
| h) Registros técnicos: errores, rechazos por límites, resultados de las sesiones de dictado en directo, códigos técnicos; pueden contener un identificador de cuenta. Sin grabaciones ni textos. | diagnóstico, seguridad, funcionamiento del servicio | art. 6.1.f) RGPD | 30 días |
| i) Dirección IP: nuestro servidor la trata solo en memoria, para limitar el número de solicitudes en el inicio de sesión, en el sitio de la cuenta, en las descargas y en las actualizaciones. Nuestro código no la guarda en la base de datos ni en los registros. | prevención de abusos | art. 6.1.f) RGPD | mientras dura la limitación (minutos) |
| j) Correspondencia: tu dirección y el contenido de tu mensaje cuando nos escribes | atender consultas, reclamaciones y solicitudes sobre datos | art. 6.1.b), c) y f) RGPD | hasta que se cierre el asunto y, después, hasta 3 años por si surgieran acciones legales |
| k) Estadísticas anónimas: descargas por sistema operativo, comprobaciones de actualizaciones (sistema, versión de la aplicación, si es la primera comprobación de hoy y de este mes), minutos totales de nube, palabras de Pulido, número de cuentas eliminadas, resúmenes diarios | estadísticas del producto | no son datos personales: no guardamos la dirección IP ni ningún identificador de instalación | sin límite de tiempo |
Solo el administrador de Whisay tiene acceso a los datos de las cuentas, por ejemplo al atender tu solicitud o ante la sospecha de un abuso. Cada consulta de los detalles de una cuenta queda anotada en el registro (letra g).
5. Bases jurídicas en resumen
- Contrato (art. 6.1.b) RGPD): cuenta, inicio de sesión, dictado en la nube, Pulido, plan y límites.
- Obligación legal (art. 6.1.c) RGPD): respuesta a reclamaciones y solicitudes, obligaciones fiscales y contables.
- Interés legítimo (art. 6.1.f) RGPD): seguridad, prevención de abusos, estadísticas del producto, formulación, ejercicio y defensa de reclamaciones.
No tratamos datos sobre la base del consentimiento. La dirección de correo es necesaria para crear una cuenta; sin cuenta puedes usar el modo local.
6. Sitios web
whisay.com no usa cookies, herramientas de analítica ni píxeles de seguimiento. Las fuentes se sirven desde nuestro propio servidor. Lo único que se guarda en tu navegador (localStorage) es el idioma que eliges. Los botones de descarga pasan por api.whisay.com, que cuenta las descargas por sistema operativo, sin la dirección IP, y redirige al instalador en nuestro almacenamiento de archivos.
account.whisay.com usa solo lo que la cuenta necesita para funcionar:
- la cookie
__Host-whisay_rt(los scripts de la página no pueden leerla), que mantiene tu sesión iniciada durante un máximo de 30 días, - la cookie
whisay.external, que se crea mientras inicias sesión con Google o Microsoft y es válida 10 minutos, - datos de inicio de sesión de un solo uso en el almacenamiento de la pestaña del navegador (sessionStorage), que se eliminan después de usarse,
- el idioma que eliges, en localStorage.
Son estrictamente necesarios para prestar el servicio que nos pides, por lo que no pedimos consentimiento. Cuando haces clic para comprar un plan, la página carga el script de pago de Paddle; a partir de ese momento, Paddle trata los datos conforme a su propia política de privacidad.
7. Destinatarios
Recurrimos a proveedores que tratan datos por cuenta nuestra (encargados del tratamiento) y a servicios de empresas que actúan como responsables independientes.
| Empresa | Qué hace | Datos | Dónde |
|---|---|---|---|
| Microsoft (Azure) | servidor de la aplicación, base de datos de cuentas, almacén de claves, almacenamiento de archivos (instaladores, modelos), registros, envío de los correos con códigos de inicio de sesión, alojamiento de los sitios web | todos los datos de la sección 4, grabaciones y textos mientras se tratan, dirección de correo y código de inicio de sesión | región Europa Occidental (Países Bajos) |
| Microsoft (Azure AI Foundry) | reconocimiento de voz en el modo Ultra | la grabación durante el dictado | recurso en la región Suecia Central, implementación global: el tratamiento puede realizarse en otras regiones de Azure, también fuera del EEE |
| Groq | reconocimiento de voz en el modo estándar, modelo de respaldo para el Pulido | grabación, palabras del diccionario, texto para el Pulido | EE. UU. |
| OpenRouter | reconocimiento de voz de respaldo, modelo de lenguaje para el Pulido | grabación, palabras del diccionario, texto para el Pulido | EE. UU.; OpenRouter reenvía la solicitud a un proveedor de modelos de su elección, que también trata los datos |
| Paddle | vendedor de la suscripción (Merchant of Record): pagos, facturas, impuestos, reembolsos | dirección de correo de la cuenta, identificador de la cuenta de Whisay en el momento de la compra; los datos de pago se los facilitas directamente a Paddle | Paddle es responsable independiente de estos datos |
| Google, Microsoft, Apple | inicio de sesión, si eliges ese método (Apple, cuando esté disponible) | nos facilitan tu dirección de correo, tu nombre y el identificador de tu cuenta | responsables independientes, conforme a sus propias políticas |
Los proveedores tratan los datos conforme a sus contratos con nosotros y a sus propias condiciones. No decidimos cuánto tiempo conservan los datos en sus sistemas; eso lo describen sus propios documentos.
También podemos comunicar datos a las autoridades públicas cuando la ley lo exija.
Transferencias fuera del EEE
Cuando usas el modo online, la grabación y el texto pueden llegar a proveedores situados fuera del Espacio Económico Europeo, principalmente en EE. UU. Basamos estas transferencias en las cláusulas contractuales tipo aprobadas por la Comisión Europea o en una decisión de adecuación de la Comisión (arts. 45 y 46 RGPD). Puedes obtener una copia de las garantías escribiendo a support@whisay.com. Si no quieres que las grabaciones salgan de tu ordenador, usa el modo local.
8. Conservación
El plazo de conservación de cada categoría figura en la tabla de la sección 4. Además:
- tras eliminar una cuenta, los datos pueden permanecer poco tiempo en las copias de seguridad automáticas de la base de datos en Microsoft Azure, hasta que se sobrescriben,
- los registros técnicos se eliminan a los 30 días,
- los datos de tu ordenador los conservas el tiempo que quieras.
9. Tus derechos
Tienes derecho a:
- acceder a tus datos y obtener una copia (art. 15 RGPD),
- rectificarlos (art. 16 RGPD),
- suprimirlos (art. 17 RGPD); también puedes eliminar tu cuenta tú mismo, sin escribirnos,
- limitar su tratamiento (art. 18 RGPD),
- solicitar la portabilidad de los datos que nos has facilitado y que tratamos en virtud del contrato (art. 20 RGPD),
- oponerte al tratamiento basado en nuestro interés legítimo (art. 21 RGPD),
- presentar una reclamación ante el Presidente de la Oficina de Protección de Datos Personales de Polonia (UODO, ul. Stawki 2, 00-193 Varsovia, uodo.gov.pl) si consideras que tratamos tus datos de forma ilícita. También puedes presentarla ante la autoridad de control del país de la UE en el que vivas o trabajes o en el que se haya producido la infracción, en España la AEPD (art. 77 del RGPD).
Envía tu solicitud a support@whisay.com, preferiblemente desde la dirección vinculada a tu cuenta. Te responderemos en el plazo de un mes; en solicitudes complejas, este plazo puede prorrogarse otros dos meses, y en ese caso te lo comunicaremos. Podemos pedirte que confirmes tu identidad.
10. Decisiones automatizadas
No tomamos decisiones sobre ti basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos o te afecten significativamente de modo similar (art. 22 RGPD). Los únicos mecanismos automáticos son los descritos en las condiciones del servicio: los límites de los planes y las normas de uso razonable (cambio de motor o pausa de la nube hasta final de mes), un único periodo de prueba por buzón de correo y el bloqueo de cuentas nuevas con direcciones de correo temporales. Si quieres que una persona revise una de estas situaciones, escribe a support@whisay.com.
11. Menores
Para crear una cuenta de Whisay debes tener al menos 16 años. Si descubrimos que una persona menor de esa edad ha creado una cuenta, la eliminaremos.
12. Seguridad
Las conexiones con nuestros servidores están cifradas (TLS). Los códigos de inicio de sesión y los tokens solo los guardamos como hashes. Las claves de los servicios de los proveedores se guardan en Azure Key Vault, nunca en la aplicación. El panel de administración solo admite el inicio de sesión con Google o Microsoft, y cada consulta de los detalles de una cuenta queda registrada. En tu ordenador, los secretos los protege el sistema operativo (DPAPI o el llavero de macOS).
13. Cambios en esta política
Publicamos la versión vigente en esta página, con la fecha del último cambio. Te avisaremos de los cambios importantes por correo electrónico o en la aplicación antes de que entren en vigor.
14. Contacto
Martez Marcin Szołtysek, Majowa 8, 41-706 Ruda Śląska
Datos personales: support@whisay.com
Cualquier otro asunto: support@whisay.com