Polityka prywatności Whisay
Ostatnia aktualizacja: 26 października 2026
Ta polityka wyjaśnia, jakie dane przetwarzamy, gdy korzystasz z aplikacji Whisay, ze strony whisay.com i ze strony konta account.whisay.com, po co to robimy i jakie masz prawa.
W skrócie:
- Tryb lokalny: mowa jest rozpoznawana na Twoim komputerze. Nagrania i teksty do nas nie trafiają, konto nie jest potrzebne.
- Tryb online: nagranie trafia na nasz serwer i do dostawcy rozpoznawania mowy. Nagrań ani tekstów dyktowań nie zapisujemy na serwerze, zapisujemy tylko liczniki zużycia.
- Historia, słownik, snippety i ustawienia zostają na Twoim komputerze.
- Konto usuniesz sam, w aplikacji albo na account.whisay.com.
1. Administrator danych
Administratorem Twoich danych osobowych jest Martez Marcin Szołtysek, Majowa 8, 41-706 Ruda Śląska (dalej „my" albo „Whisay").
- Sprawy danych osobowych: support@whisay.com
- Pozostałe sprawy: support@whisay.com
Nie wyznaczyliśmy inspektora ochrony danych. We wszystkich sprawach dotyczących danych pisz na support@whisay.com.
2. Tryby pracy aplikacji
To, jakie dane opuszczają Twój komputer, zależy od trybu dyktowania wybranego w aplikacji. Aktywny tryb widać na pigułce przy każdym dyktandzie.
Tryb lokalny
- Mowę rozpoznaje model zainstalowany na Twoim komputerze. Nagranie i tekst nie są wysyłane do nas ani do nikogo innego.
- Nie potrzebujesz konta.
- Aplikacja łączy się z siecią tylko wtedy, gdy:
- pobierasz model rozpoznawania mowy (z naszego magazynu plików w Microsoft Azure),
- sprawdzasz aktualizacje. W trybie lokalnym aplikacja nie sprawdza ich sama, dopóki nie włączysz tego w Ustawieniach. Ręczne „Sprawdź teraz" działa zawsze.
Tryb online (chmura Whisay)
Tryb online (także tryb „Auto", czyli chmura z zapasem lokalnym, oraz tryb Ultra, czyli dyktowanie na żywo) wymaga konta. Wtedy aplikacja wysyła na nasz serwer api.whisay.com:
- nagranie dyktanda (w trybie Ultra dźwięk płynie na bieżąco, w trakcie mówienia),
- słowa z Twojego słownika osobistego, jako podpowiedź dla rozpoznawania mowy,
- przy Szlifie: tekst dyktanda, wybrany rodzaj Szlifu, język docelowy przy tłumaczeniu oraz powitanie, podpis albo własne polecenie, jeśli je ustawisz,
- token konta, który potwierdza, że możesz korzystać z chmury.
Nasz serwer przekazuje nagranie albo tekst dostawcy rozpoznawania mowy lub modelu językowego (lista w sekcji Odbiorcy danych) i odsyła wynik do aplikacji. Nagranie i tekst są przetwarzane tylko w pamięci, na czas obsługi zapytania. Nie zapisujemy ich w bazie danych ani w logach. Zapisujemy wyłącznie dane o zużyciu: liczbę sekund nagrania, liczbę słów Szlifu, liczbę zapytań, rozmiar przesłanych danych i rodzaj użytego trybu.
Gotowy tekst trafia z powrotem do aplikacji i zostaje zapisany w historii na Twoim komputerze.
Tryb z własnym kluczem
To opcja dla zaawansowanych: podajesz własny adres usługi rozpoznawania mowy i własny klucz. Aplikacja wysyła wtedy nagranie bezpośrednio do wskazanej przez Ciebie usługi, z pominięciem naszych serwerów. Za to przetwarzanie odpowiada dostawca, którego wybrałeś, na podstawie swoich warunków. Twój klucz zostaje na komputerze i jest chroniony tak jak inne sekrety (sekcja 3).
3. Dane na Twoim komputerze
Aplikacja przechowuje lokalnie, w lokalnej bazie danych:
- historię dyktowań: tekst, czas, tryb, długość nagrania, czas transkrypcji i informację o użytym silniku,
- nagrania audio: tylko gdy transkrypcja się nie udała (żeby można było ją powtórzyć) albo gdy włączysz „Zawsze zapisuj nagranie audio do historii" (domyślnie wyłączone),
- fragmenty tekstu w trakcie dyktanda: zabezpieczenie na wypadek awarii, usuwane po zakończeniu dyktanda,
- wersje tekstu po Szlifie,
- słownik osobisty i snippety,
- ustawienia, w tym adres e-mail zalogowanego konta, nazwę planu i ostatni znany stan zużycia,
- pobrany model rozpoznawania mowy.
Sekrety (token sesji konta i Twój własny klucz) są chronione przez system: na Windows przez DPAPI, na macOS w pęku kluczy (Keychain).
Dane leżą w folderze danych aplikacji w Twoim profilu użytkownika:
- Windows:
%APPDATA%\com.whisay.app - macOS:
~/Library/Application Support/com.whisay.app
Nie mamy do nich dostępu. Sam decydujesz, jak długo je trzymasz: możesz włączyć automatyczne czyszczenie historii (po 30, 90, 180 albo 365 dniach; domyślnie nic nie jest usuwane), usuwać pojedyncze wpisy albo wyczyścić wszystko. Jak to zrobić, opisujemy na stronie Twoje dane.
4. Dane na naszych serwerach
Bez konta nie przechowujemy na serwerach żadnych danych o Tobie. Zliczamy tylko anonimowe zdarzenia (punkt k).
Gdy masz konto, przetwarzamy:
| Dane | Po co | Podstawa prawna | Jak długo |
|---|---|---|---|
| a) Konto: adres e-mail i jego uproszczona postać (np. bez kropek i dopisków po plusie w Gmailu), nazwa wyświetlana (od Google lub Microsoft albo część adresu e-mail), identyfikator konta u dostawcy logowania, data założenia, plan, koniec okresu próbnego, plan Pro przyznany przez nas i jego data końca, informacja o blokadzie i jej powód | założenie i prowadzenie konta, logowanie, udostępnienie planu | art. 6 ust. 1 lit. b RODO (umowa) | do usunięcia konta |
| b) Logowanie i sesje: jednorazowe kody z e-maila (zapisujemy tylko ich skrót), tokeny sesji (tylko skrót), krótkotrwałe kody logowania | bezpieczne logowanie | art. 6 ust. 1 lit. b i f RODO (umowa, bezpieczeństwo) | kod z e-maila ważny 10 minut, usuwamy go zwykle po około 2 godzinach; sesja w aplikacji do 60 dni, na stronie konta do 30 dni; nieważne tokeny usuwamy po 90 dniach; wszystko znika z kontem |
| c) Zużycie: miesięczne liczniki konta: sekundy dyktowania w chmurze (także z podziałem na tryby, w tym Ultra), słowa Szlifu, liczba zapytań, rozmiar przesłanych danych | limity planu, zasady uczciwego użycia, pasek zużycia w aplikacji, rozliczenie kosztów | art. 6 ust. 1 lit. b i f RODO (umowa, ochrona przed nadużyciami) | do usunięcia konta |
| d) Aktywność: lista dni, w których konto wysłało jakiekolwiek zapytanie | statystyki aktywnych i powracających użytkowników | art. 6 ust. 1 lit. f RODO (rozwój produktu) | do usunięcia konta |
| e) Subskrypcja: dane od Paddle: identyfikatory subskrypcji i klienta w Paddle, status, cena, waluta, okres rozliczeniowy, daty rozpoczęcia, następnej płatności, końca i anulowania, kwota netto ostatniej opłaconej płatności. Danych karty nie dostajemy. | udostępnienie płatnego planu, rozliczenia, statystyki przychodu | art. 6 ust. 1 lit. b i f RODO | przez czas trwania subskrypcji; po usunięciu konta wpis zostaje bez powiązania z kontem (zostaje identyfikator klienta w Paddle), nie dłużej niż 5 lat od końca roku, w którym subskrypcja się skończyła |
| f) Ślad okresu próbnego: skrót adresu e-mail utworzony z tajnym kluczem serwera (HMAC) oraz data przyznania i końca okresu próbnego. Bez adresu i bez identyfikatora konta. | okres próbny przysługuje raz na skrzynkę e-mail, także po usunięciu i ponownym założeniu konta | art. 6 ust. 1 lit. f RODO (ochrona przed nadużyciami) | zostaje po usunięciu konta, dopóki oferujemy okres próbny |
| g) Dziennik działań administratora: data, rodzaj działania (np. wyświetlenie szczegółów konta, przyznanie planu, blokada), identyfikator konta, szczegóły (np. powód). Bez Twojego adresu e-mail. | bezpieczeństwo i rozliczalność dostępu do danych | art. 6 ust. 1 lit. f RODO | 2 lata |
| h) Logi techniczne: błędy, odmowy z powodu limitów, wyniki sesji dyktowania na żywo, kody techniczne; mogą zawierać identyfikator konta. Bez nagrań i bez tekstów. | diagnostyka, bezpieczeństwo, utrzymanie usługi | art. 6 ust. 1 lit. f RODO | 30 dni |
| i) Adres IP: przetwarzany przez nasz serwer tylko w pamięci, do limitu liczby zapytań przy logowaniu, na stronie konta, przy pobieraniu i aktualizacjach. Nasz kod nie zapisuje go w bazie ani w logach. | ochrona przed nadużyciami | art. 6 ust. 1 lit. f RODO | na czas działania limitu (minuty) |
| j) Korespondencja: Twój adres i treść wiadomości, gdy do nas piszesz | obsługa zgłoszeń, reklamacji i wniosków | art. 6 ust. 1 lit. b, c i f RODO | do zakończenia sprawy, a potem do 3 lat na wypadek roszczeń |
| k) Anonimowe statystyki: liczba pobrań według systemu, liczba sprawdzeń aktualizacji (system, wersja aplikacji, czy to pierwsze sprawdzenie dziś i w tym miesiącu), łączne minuty chmury, słowa Szlifu, liczba usuniętych kont, dzienne podsumowania | statystyki produktu | to nie są dane osobowe: nie zapisujemy adresu IP ani identyfikatora instalacji | bez ograniczenia |
Do danych konta ma dostęp tylko administrator Whisay, np. przy obsłudze Twojego zgłoszenia albo przy podejrzeniu nadużycia. Każde wyświetlenie szczegółów konta trafia do dziennika (punkt g).
5. Podstawy prawne w skrócie
- Umowa (art. 6 ust. 1 lit. b RODO): konto, logowanie, dyktowanie w chmurze, Szlif, plan i limity.
- Obowiązek prawny (art. 6 ust. 1 lit. c RODO): odpowiedzi na reklamacje i wnioski, obowiązki podatkowe i rachunkowe.
- Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO): bezpieczeństwo, ochrona przed nadużyciami, statystyki produktu, dochodzenie roszczeń i obrona przed nimi.
Nie przetwarzamy danych na podstawie zgody. Podanie adresu e-mail jest warunkiem założenia konta; bez konta możesz korzystać z trybu lokalnego.
6. Strony internetowe
whisay.com nie używa plików cookies, narzędzi analitycznych ani pikseli śledzących. Czcionki ładujemy z naszego serwera. W pamięci przeglądarki (localStorage) zapisujemy tylko wybrany język. Przyciski pobierania prowadzą przez api.whisay.com, który zlicza pobrania według systemu operacyjnego, bez adresu IP, i przekierowuje do instalatora w naszym magazynie plików.
account.whisay.com używa tylko tego, co niezbędne do działania konta:
- ciasteczko
__Host-whisay_rt(niedostępne dla skryptów strony), które utrzymuje zalogowanie, do 30 dni, - ciasteczko
whisay.externalustawiane na czas logowania przez Google lub Microsoft, ważne 10 minut, - jednorazowe dane logowania w pamięci karty przeglądarki (sessionStorage), usuwane po użyciu,
- wybrany język w localStorage.
Te mechanizmy są niezbędne do świadczenia usługi, o którą prosisz, dlatego nie pytamy o zgodę. Gdy klikniesz zakup planu, strona wczytuje skrypt kasy Paddle; od tej chwili Paddle przetwarza dane według własnej polityki prywatności.
7. Odbiorcy danych
Korzystamy z dostawców, którzy przetwarzają dane w naszym imieniu (podmioty przetwarzające), oraz z usług podmiotów, które są odrębnymi administratorami.
| Podmiot | Co robi | Jakie dane | Gdzie |
|---|---|---|---|
| Microsoft (Azure) | serwer aplikacji, baza kont, sejf na klucze, magazyn plików (instalatory, modele), logi, wysyłka e-maili z kodami logowania, hosting stron | wszystkie dane z sekcji 4, nagrania i teksty w trakcie przetwarzania, adres e-mail i kod logowania | region Europa Zachodnia (Holandia) |
| Microsoft (Azure AI Foundry) | rozpoznawanie mowy w trybie Ultra | nagranie w trakcie dyktanda | zasób w regionie Szwecja Środkowa, wdrożenie globalne: przetwarzanie może odbywać się w innych regionach Azure, także poza EOG |
| Groq | rozpoznawanie mowy w trybie standardowym, zapasowy model dla Szlifu | nagranie, słowa ze słownika, tekst do Szlifu | USA |
| OpenRouter | zapasowe rozpoznawanie mowy, model językowy dla Szlifu | nagranie, słowa ze słownika, tekst do Szlifu | USA; OpenRouter przekazuje zapytanie wybranemu przez siebie dostawcy modelu, który także przetwarza te dane |
| Paddle | sprzedawca subskrypcji (Merchant of Record): płatności, faktury, podatki, zwroty | adres e-mail konta, identyfikator konta Whisay przy zakupie; dane płatności podajesz bezpośrednio Paddle | Paddle jest odrębnym administratorem tych danych |
| Google, Microsoft, Apple | logowanie, jeśli wybierzesz tę metodę (Apple, gdy ta metoda będzie dostępna) | przekazują nam adres e-mail, nazwę i identyfikator konta | odrębni administratorzy, według swoich polityk |
Dostawcy przetwarzają dane według umów z nami i swoich warunków. Nie wybieramy za nich, jak długo przechowują dane w swoich systemach; opisują to w swoich dokumentach.
Dane możemy też przekazać organom publicznym, jeśli wymaga tego prawo.
Przekazywanie danych poza EOG
Gdy korzystasz z trybu online, nagranie i tekst mogą trafić do dostawców poza Europejskim Obszarem Gospodarczym, głównie do USA. Takie przekazanie opieramy na standardowych klauzulach umownych zatwierdzonych przez Komisję Europejską albo na decyzji Komisji stwierdzającej odpowiedni stopień ochrony (art. 45 i 46 RODO). Kopię zabezpieczeń możesz uzyskać, pisząc na support@whisay.com. Jeśli nie chcesz, żeby nagrania opuszczały Twój komputer, korzystaj z trybu lokalnego.
8. Okresy przechowywania
Okres dla każdej kategorii danych podajemy w tabeli w sekcji 4. Dodatkowo:
- po usunięciu konta dane mogą jeszcze przez krótki czas pozostać w automatycznych kopiach zapasowych bazy w Microsoft Azure, aż zostaną nadpisane,
- logi techniczne znikają po 30 dniach,
- dane na Twoim komputerze przechowujesz tak długo, jak chcesz.
9. Twoje prawa
Masz prawo:
- dostępu do swoich danych i do ich kopii (art. 15 RODO),
- sprostowania danych (art. 16 RODO),
- usunięcia danych (art. 17 RODO); konto usuniesz też sam, bez pisania do nas,
- ograniczenia przetwarzania (art. 18 RODO),
- przenoszenia danych, które nam podałeś i które przetwarzamy na podstawie umowy (art. 20 RODO),
- sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (art. 21 RODO),
- skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl), jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem. Możesz też złożyć skargę do organu nadzorczego w państwie Unii Europejskiej, w którym mieszkasz, pracujesz albo w którym doszło do naruszenia (art. 77 RODO).
Wniosek wyślij na support@whisay.com, najlepiej z adresu przypisanego do konta. Odpowiemy w ciągu miesiąca; w złożonych sprawach termin może się wydłużyć o kolejne dwa miesiące, o czym Cię poinformujemy. Możemy poprosić o potwierdzenie tożsamości.
10. Zautomatyzowane decyzje
Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne albo w podobny sposób istotnie na Ciebie wpływają (art. 22 RODO). Automatycznie działają tylko mechanizmy opisane w regulaminie: limity planów i zasady uczciwego użycia (zmiana silnika albo wstrzymanie chmury do końca miesiąca), jednorazowy okres próbny na skrzynkę e-mail i blokada zakładania nowych kont na adresy tymczasowe. Jeśli chcesz, żeby taką sytuację sprawdził człowiek, napisz na support@whisay.com.
11. Dzieci
Konto w Whisay może założyć osoba, która ma co najmniej 16 lat. Jeśli dowiemy się, że konto założyła osoba młodsza, usuniemy je.
12. Bezpieczeństwo
Połączenia z naszymi serwerami są szyfrowane (TLS). Kody logowania i tokeny przechowujemy wyłącznie jako skróty. Klucze do usług dostawców trzymamy w sejfie Azure Key Vault, nigdy w aplikacji. Do panelu administratora można zalogować się tylko przez Google lub Microsoft, a każde wyświetlenie szczegółów konta jest zapisywane. Na Twoim komputerze sekrety chroni system (DPAPI albo Keychain).
13. Zmiany polityki
Aktualną wersję publikujemy na tej stronie, z datą ostatniej zmiany. O istotnych zmianach poinformujemy Cię e-mailem albo w aplikacji, zanim zaczną obowiązywać.
14. Kontakt
Martez Marcin Szołtysek, Majowa 8, 41-706 Ruda Śląska
Dane osobowe: support@whisay.com
Pozostałe sprawy: support@whisay.com