ZapVox

Transcribe, traduce y resume audios de WhatsApp Web con IA

Identificación del proveedor

TECHMED SERVIÇOS MÉDICOS LTDA — CNPJ 46.367.941/0001-69
Rua Prof. Rômulo Almeida, 52, Ed. Lafayette Velloso — Acupe de Brotas — Salvador/BA — CEP 40290-030 — Brasil
Contacto: [email protected] · zapvoxia.com.br

ZapVox es un producto operado por la persona jurídica indicada arriba, responsable de la relación contractual, la facturación y la atención, y controladora de los datos personales tratados en el Servicio (LGPD brasileña, art. 5º, VI).

1. Introducción

Esta Política de Privacidad describe cómo la extensión ZapVox ("nosotros", "nuestro") recopila, usa y protege la información de los usuarios ("tú"). ZapVox es una extensión de navegador para Chrome/Edge que transcribe, traduce y resume mensajes de audio en WhatsApp Web.

Última actualización: 25 de agosto de 2026

2. Datos que Recopilamos

2.1 Cómo se trata cada tipo de dato

Audio de los mensajes: El audio se envía para transcripción a través del servicio en la nube — que prueba los proveedores en este orden: Groq → Google (Gemini) → Cloudflare (Workers AI) → OpenAI, pasando al siguiente solo cuando el anterior falla — o directamente a Groq/OpenAI cuando configuras tu propia clave (BYOK); en el modo BYOK el audio no pasa por nuestros servidores. El audio en bruto nunca se almacena en disco. La lista completa está en la sección "Proveedores de IA (transcripción)".
Recordatorios (locales): Los recordatorios que creas quedan en tu navegador y se disparan localmente a través de chrome.alarms. En el plan Pro, puedes sincronizarlos opcionalmente en tu cuenta para que también suenen en tus otros dispositivos (ver sección 2.2).
Transcripciones en caché: El texto transcrito se almacena en chrome.storage.local por hasta 90 días o hasta que la caché alcance 7 MB — lo que ocurra primero. Al alcanzar cualquiera de los dos límites, las transcripciones más antiguas se borran automáticamente para liberar espacio. Esto evita reprocesamiento y alimenta la búsqueda en tus transcripciones. Estos datos quedan exclusivamente en tu navegador.
Configuraciones: Preferencias como idioma y activadores de funcionalidades se almacenan localmente. Una única excepción: si configuras una clave propia (BYOK), el servidor guarda un sí/no diciendo que existe — nunca la clave, nunca el proveedor, nunca el uso (ver la tabla de la sección 2).
Estadísticas de uso anónimas: Contadores locales (ej.: total de transcripciones, uso diario) se almacenan en el navegador para mostrarse en el panel de la extensión. Estos datos nunca se transmiten externamente.
Mensajes eliminados — función DESCONTINUADA: La recuperación de mensajes eliminados fue desactivada y ya no está disponible en ninguna versión de ZapVox. La extensión no almacena mensajes eliminados, y la base local que existía (zapvox_deleted_msgs) ya no se crea ni se alimenta. Si usó una versión antigua, esa base fue purgada automáticamente por el plazo de 7 días que ya regía.
Telemetría local de la cascada (opt-in, v3.4.0+): Si el usuario la activa, los contadores de diagnóstico de la cascada de transcripción (cuántas veces cada Phase de la cascada resolvió el audio) se almacenan localmente en chrome.storage.local. Estos datos nunca salen de tu navegador — se usan únicamente para que los consultes en la pantalla de Diagnóstico del popup. No se registra ningún identificador de mensaje, nombre de contacto, contenido ni metadato de audio. La telemetría es estrictamente una lista blanca (whitelist) de fases técnicas permitidas. El activador "Telemetría local de diagnóstico" controla la recopilación y el botón "Limpiar" pone a cero el contador.
Caché de análisis de sentimiento (v3.4.9+): Cuando haces clic en el botón 🎭 Sentimiento, el resultado del análisis se almacena en chrome.storage.local (clave zapvox_sentiment_cache) bajo los mismos límites de 90 días y 7 MB, para que el chip de sentimiento sobreviva a las recargas de la página sin reprocesamiento. El identificador del mensaje asociado es el mismo hash sanitizado que ya utiliza el caché de transcripción. Estos datos nunca salen de tu navegador y se purgan automáticamente por los mismos límites de 90 días y 7 MB.

2.2 Datos enviados a servidores (solo cuando es necesario)

Dato	Cuándo	Destino	Finalidad
Audio (base64)	Transcripción en la nube	Supabase Edge Function → Groq → Google (Gemini) → Cloudflare (Workers AI) → OpenAI, en este orden, pasando al siguiente solo cuando el anterior falla	Convertir audio en texto
Audio (base64)	Transcripción BYOK (clave propia)	Groq u OpenAI (directo desde el navegador, sin pasar por nosotros)	Convertir audio en texto
Texto transcrito	Traducción, resumen o análisis de sentimiento	Supabase Edge Function → Groq/Gemini	Traducir, resumir o analizar el texto
Token JWT	Autenticación	Supabase Auth	Validar sesión y plan
Correo electrónico	Inicio de sesión/registro	Supabase Auth	Crear y gestionar la cuenta
`usage_logs` (user_id, action, timestamp)	En cada transcripción/traducción en la nube	Supabase Postgres (RLS)	Aplicar los límites diarios del plan. Sin contenido de audio/texto; solo contadores.
Texto y horario del recordatorio (solo Pro, opt-in)	Cuando un usuario Pro crea un recordatorio	Supabase Postgres (RLS)	Sincronizar los recordatorios entre los dispositivos del propio usuario. Guardado bajo la cuenta autenticada y legible solo por él.
Texto, destinatario y horario de las programaciones de mensaje	Al crear/editar una programación (usuario con sesión iniciada)	Supabase Postgres (RLS)	Sincronizar entre tus dispositivos y permitir la gestión en el panel. Guardado bajo la cuenta autenticada y legible solo por ti.
Diagnóstico anónimo (opt-in, desactivado por defecto)	Solo si el usuario activa "Diagnóstico anónimo"	Supabase Edge Function	Reportar errores técnicos y cambios en el DOM de WhatsApp para mejorar la estabilidad — incluye fallos de carga de audio (solo la fase técnica, ej. "evicted"/"all_phases", más versión y navegador). Sin contenido de mensajes, nombres de contacto, teléfonos ni identificadores.
`user_settings.usa_chave_propria` (user_id, sí/no, fecha)	Cuando guardas o eliminas tu clave propia (BYOK), y al iniciar sesión	Supabase Postgres (RLS)	Saber cuántas cuentas usan clave propia, para decidir si el recurso merece inversión. Es un sí/no: la clave nunca sale de tu navegador, y no registramos qué proveedor, cuántas veces la usaste ni qué se transcribió.
`active_sessions` (user_id, identificador del navegador, etiqueta, fecha/hora)	En el inicio de sesión y al usar recursos vinculados a la cuenta	Supabase Postgres (RLS)	Mantener un navegador activo por cuenta (Sección 4.1 de los Términos), impidiendo el uso compartido de credenciales. Ver sección 2.5.

        Observación sobre usage_logs: Registramos únicamente que una operación ocurrió (para imponer el límite diario de tu plan), no lo que fue transcrito. Ningún audio, texto, nombre de contacto o identificador de mensaje se persiste en el servidor. La tabla está protegida por Row-Level Security de Supabase — solo puedes leer tus propios registros.
      

        Importante: La extensión NO accede a tu micrófono — solo lee audios ya recibidos en WhatsApp Web. La recuperación de mensajes eliminados fue descontinuada — la extensión no almacena ese tipo de dato.
      

2.3 Almacenamiento local para el funcionamiento de la extensión

Para ofrecer una experiencia fluida, ZapVox almacena temporalmente en tu propio navegador (nunca en nuestros servidores) los siguientes datos técnicos:

Caché de nombres de contactos: Los nombres de los remitentes se almacenan localmente por hasta 30 días para su visualización rápida en las transcripciones. Estos nombres son los mismos que ya son visibles en tu WhatsApp Web y jamás se transmiten a servidores externos.
Registros de diagnóstico: Se mantiene localmente un búfer circular de hasta 200 entradas para la depuración. Los registros contienen únicamente iniciales anonimizadas de nombres (ej.: "JS***"), nunca nombres completos, y no se transmiten externamente.
Sanitización de consola (v3.4.4+): Todos los registros de diagnóstico impresos en la consola del navegador (visibles vía F12) tienen los números de teléfono sanitizados a ***@ antes de imprimirse. Esto hace que, incluso si compartes una captura de pantalla de la consola con el soporte técnico, ningún número de teléfono de WhatsApp se filtre.

        Control total: Puedes eliminar estos datos en cualquier momento accediendo a Configuraciones → "Limpiar datos locales de privacidad" dentro de la extensión, o limpiando los datos de la extensión en chrome://extensions.
      

2.4 Datos que NO recopilamos

Historial de navegación o actividad fuera de WhatsApp Web
Contactos, fotos o videos de WhatsApp
Datos de micrófono, cámara o ubicación
Información de pago (procesada por Stripe, no tenemos acceso)
Datos de fingerprinting (GPU, hardware detallado, etc.) — el identificador de navegador de la Sección 2.5 es un número aleatorio, no derivado de tu hardware

2.5 Identificador de navegador (un navegador activo por cuenta)

Contexto: la extensión puede estar instalada en varias computadoras, pero la cuenta opera activa en una a la vez — la activación en una computadora desconecta automáticamente el acceso anterior; el uso simultáneo requiere el add-on "Computadora adicional" (ver Términos, Sección 4.1).

Para asegurar que tu cuenta sea usada por una única persona a la vez — conforme a la Sección 4.1 de los Términos de Servicio — ZapVox necesita distinguir un navegador de otro. Para ello:

Qué es: un identificador aleatorio (UUID) generado por la propia extensión en la primera ejecución y guardado en chrome.storage.local. Va acompañado de una etiqueta genérica y legible (ej.: "Chrome · Windows"), derivada únicamente del tipo de navegador y sistema operativo, para que reconozcas en la pantalla qué navegador está activo.
Qué NO es: no es fingerprinting. No se deriva de características de tu hardware, GPU, fuentes, resolución ni ninguna señal que permita rastrearte entre sitios. Es un número aleatorio sin significado fuera de ZapVox, y no permite identificarte en ningún otro servicio.
Para qué lo usamos: para saber cuál es el navegador activo de tu cuenta, mostrar el aviso de cambio con el botón "Usar aquí" y aplicar las reglas de uso de la cuenta (Términos, Sección 4): la extensión capta y registra los navegadores/computadoras conectados a la cuenta, y esos registros pueden fundamentar medidas contra el abuso — como la limitación, suspensión o bloqueo de la cuenta, en cualquier momento — en caso de uso compartido de credenciales o uso simultáneo no contratado. No se usa para publicidad, creación de perfiles conductuales ni rastreo entre sitios.
Base legal (LGPD): ejecución del contrato (art. 7º, V) e interés legítimo (art. 7º, IX) en la prevención de fraude y de uso abusivo de cuenta compartida, con impacto mínimo a tu privacidad.
Retención: guardamos únicamente el registro más reciente por usuario (uno por cuenta) — no construimos un historial de dispositivos. El registro se elimina junto con la cuenta (Sección 8) y el identificador local desaparece al desinstalar la extensión o limpiar sus datos.

3. Claves de API (BYOK)

Si optas por usar tus propias claves de API (Bring Your Own Key — BYOK), estas son:

Cifradas con AES-GCM 256-bit antes de ser almacenadas
Protegidas por PBKDF2 con 600.000 iteraciones y salt aleatorio único por usuario
Almacenadas exclusivamente en el chrome.storage.local de tu navegador
Nunca enviadas a nuestros servidores — se usan directamente con Groq/OpenAI. Importante: en el modo BYOK, el audio/texto va desde tu navegador directo al proveedor de tu clave, y el consumo se debita de la cuota/créditos de tu propia cuenta en ese proveedor (Groq tiene capa gratuita; OpenAI cobra por uso, pagado por ti directamente a ellos). El BYOK cubre las funciones de IA (transcripción, traducción, resumen, sentimiento); las funciones de plan no se alteran
En qué momento pasa a usarse su clave: en el plan Free con el modo Automático, su clave se usa primero. En Pro (y Trial/Anual/Bianual), primero se usa nuestra nube y, al alcanzar el 90% del límite diario de ese recurso, la extensión pasa a usar su clave — a partir de ahí el audio/texto deja de pasar por nuestros servidores y va directo al proveedor de su clave. Sin clave configurada, nada cambia: la nube se usa hasta el límite del plan y se detiene ahí.

4. Seguridad

Cifrado AES-GCM 256-bit para las claves BYOK
PBKDF2 con 600.000 iteraciones (estándar OWASP) y salt aleatorio por usuario
Comunicación exclusivamente vía HTTPS
Tokens JWT con expiración y renovación automática
Rate limiting en las Edge Functions para prevenir abusos
Validación de payloads en todos los mensajes (content script ↔ background)
Content Security Policy restrictiva en el manifest.json

5. Permisos del Navegador

Permiso	Por qué
`storage`	Guardar configuraciones, caché de transcripciones y claves cifradas
`notifications`	Mostrar notificaciones cuando una transcripción se completa
`identity`	Autenticación OAuth para el inicio de sesión (Google o Microsoft, vía Supabase)
`alarms`	Mantener el Service Worker activo durante transcripciones largas y gestionar los reinicios de uso diario
`tabs`	Detectar pestañas de WhatsApp Web para enviar resultados
`host: web.whatsapp.com`	Inyectar content script para añadir botones de transcripción en los mensajes de audio

6. Tus Derechos

ZapVox se opera desde Brasil y el tratamiento de tus datos personales se rige por la Lei Geral de Proteção de Dados brasileña (LGPD, Ley n.º 13.709/2018). Por ella, tienes derecho a:

Acceso: Solicitar qué datos tenemos sobre ti
Corrección: Corregir datos imprecisos
Eliminación: Solicitar la eliminación de todos tus datos
Portabilidad: Recibir tus datos en un formato legible
Revocación: Desactivar la auto-transcripción en cualquier momento a través del Popup

Para ejercer cualquier derecho, ponte en contacto por el correo electrónico indicado abajo.

Cómo eliminar datos locales de privacidad: Abre la extensión ZapVox → Configuraciones → haz clic en "Limpiar datos locales de privacidad". Esto elimina los registros de diagnóstico y el caché de nombres de contactos sin afectar tus configuraciones ni tu cuenta.

Cómo eliminar todos los datos de la extensión: Accede a chrome://extensions, haz clic en "Detalles" de ZapVox, luego en "Limpiar datos del sitio". Esto elimina todas las transcripciones en caché, configuraciones y claves BYOK.

7. Transferencia Internacional de Datos

Parte de los datos (configuraciones, caché de transcripciones, recordatorios) permanece en su navegador, pero la transcripción de audio y los demás recursos de IA dependen de procesamiento en la nube — por eso sus datos pueden ser transferidos y procesados en servidores ubicados en Estados Unidos (a través de Supabase y Groq). Adoptamos salvaguardas apropiadas para proteger esos datos en la transferencia internacional, incluyendo cláusulas contractuales estándar y cifrado en tránsito por HTTPS. Al usar ZapVox, usted acepta la transferencia de sus datos a Estados Unidos para su procesamiento, según lo descrito en esta política (LGPD, art. 33).

8. Terceros y Subprocesadores

Servicio	Finalidad	Política de Privacidad
Supabase	Autenticación, Edge Functions (transcripción/traducción Pro)	supabase.com/privacy
Groq	Transcripción, traducción y resumen en la nube (proveedor primario) + BYOK	groq.com/privacy
OpenAI	Transcripción BYOK (cuando el usuario proporciona su propia clave)	openai.com/privacy
Google Gemini	Traducción y resumen de respaldo (vía Edge Function)	policies.google.com/privacy
Stripe	Procesamiento de pagos (Pro)	stripe.com/privacy

9. Retención de Datos

Transcripciones: quedan solo en su navegador, en una caché local que se borra sola a los 90 días, o antes si la caché llega a 7 MB (en ese caso salen las más antiguas). El texto transcrito no se almacena en nuestros servidores — se genera, se devuelve a su pantalla y se descarta. El audio tampoco se almacena nunca: se procesa y se descarta de inmediato (verificado y corregido el 13/08/2026).
Mensajes eliminados: no aplica — función descontinuada, no se almacena nada.
Caché de nombres de contactos: 30 días (automático, local) — eliminable vía Configuraciones
Registros de diagnóstico (local): Últimas 200 entradas en búfer circular (local) — eliminable vía Configuraciones
Telemetría de cascada (opt-in, local): Contadores en chrome.storage.local — nunca enviados. Puestos a cero vía el botón "Limpiar" en el popup.
usage_logs (Supabase): Los registros de cuota (user_id, action, timestamp) se mantienen por 90 días con fines de auditoría de límites diarios. Sin contenido, sin PII más allá del user_id de tu cuenta.
Sesión JWT: Almacenada en chrome.storage.local hasta el cierre de sesión o la expiración del refresh token (~30 días). Optamos por local en lugar de session para evitar forzar un nuevo inicio de sesión en cada apertura de Chrome — Supabase RLS es la capa de defensa primaria.
Mensajes programados y recordatorios (Supabase): cuando programa un mensaje, el texto que se enviará, el destinatario y la fecha quedan guardados en nuestros servidores hasta la hora del envío — eso es lo que permite que la programación sobreviva al cierre del navegador y aparezca en sus otras computadoras. Después de enviado o cancelado, el registro se borra automáticamente: 7 días para lo que usted eliminó (ventana para deshacer) y 30 días para lo que ya se envió. Puede borrar cualquier programación en cualquier momento desde el panel o desde WhatsApp Web.
Conversaciones con el asistente del sitio: las preguntas hechas al asistente del Centro de Ayuda quedan registradas para medir si responde bien y para contener abusos. No use ese campo para datos sensibles.
Datos de cuenta: Mantenidos mientras la cuenta esté activa
Claves BYOK: Hasta que el usuario las elimine o limpie los datos de la extensión
Audio procesado: Descartado inmediatamente después de la transcripción (nunca almacenado)

10. Menores de Edad

ZapVox no está destinado a menores de 13 años. No recopilamos intencionalmente datos de niños. Si crees que un menor ha proporcionado datos, ponte en contacto para su eliminación inmediata.

11. Uso Limitado de Datos (Chrome Web Store Limited Use Disclosure)

ZapVox cumple con la política de Uso Limitado de la Chrome Web Store:

Uso permitido: Los datos recopilados se usan exclusivamente para proporcionar y mejorar las funcionalidades descritas en esta política (transcripción, traducción, resumen).
Sin publicidad: Tus datos nunca se usan para publicidad personalizada, retargeting ni segmentación de anuncios.
Sin venta de datos: Tus datos nunca se venden, licencian ni comparten con terceros con fines comerciales.
Sin acceso humano: Ningún empleado o colaborador accede a tus datos personales, excepto en caso de obligación legal o con tu consentimiento explícito.
Transferencia limitada: Los datos solo se transfieren a los subprocesadores listados en la Sección 7, exclusivamente para proporcionar las funcionalidades de la extensión.

11-A. Distribución en las tiendas de extensiones (Chrome, Edge y Firefox)

ZapVox se distribuye a través de Chrome Web Store (Google), Microsoft Edge Add-ons y Firefox Add-ons (Mozilla). Para publicar y actualizar la extensión enviamos a esas tiendas el paquete del programa. Mozilla, además, exige el código fuente de la extensión porque el paquete está minificado — es una condición obligatoria para publicar allí, aplicada a todas las extensiones en esa situación, y el material lo usa únicamente el equipo de revisión de Mozilla, bajo confidencialidad.

Lo que las tiendas NUNCA reciben, bajo ninguna circunstancia:

Audios, transcripciones, traducciones, resúmenes ni ningún contenido de tus conversaciones.
Tu nombre, correo, plan, historial de uso ni ningún dato de cuenta.
Tus claves de API (BYOK) — quedan cifradas solo en tu navegador y nunca salen de él, ni hacia nosotros ni hacia terceros.
Tu glosario, mensajes programados, recordatorios ni configuraciones.

Lo que se envía es el programa, no tus datos. El código fuente describe cómo funciona la extensión; no contiene — ni podría contener — información de ningún usuario. Esta sección no altera ningún compromiso de las Secciones 7 y 11: las transferencias de datos siguen limitadas a los subprocesadores allí listados.

12. Cambios en esta Política

Podemos actualizar esta política periódicamente. Los cambios significativos se comunicarán vía notificación en la extensión o en el changelog. La fecha de última actualización estará siempre visible en la parte superior.

13. Contacto

Para dudas, solicitudes de datos o ejercicio de derechos:

Correo electrónico: [email protected]

Desarrollador: Diegomaier Nunes Neri

Avisos de novedades en la extensión

Para sugerir funciones que aún no has usado (y no repetir las que ya usas), la extensión solo consulta qué funciones ya has usado — una señal que ya existe en tu cuenta. Estos avisos no recopilan datos nuevos y nunca usan el contenido de tus mensajes o audios. Puedes desactivarlos en Configuración → Novedades.

Proveedores de IA (transcripción)

El audio enviado para la transcripción en la nube es procesado por uno de estos subprocesadores, siempre en este orden, pasando al siguiente solo cuando el anterior falla: Groq → Google (Gemini) → Cloudflare (Workers AI) → OpenAI. Procesan el audio para generar el texto y no lo almacenan con ese fin. En modo BYOK, el procesamiento ocurre directo en el proveedor de tu propia clave (Groq u OpenAI), sin pasar por nosotros.

Dos correcciones de transparencia hechas el 16/08/2026, para que esta página describa lo que el código realmente hace:

Cloudflare (Workers AI) pasó a figurar aquí. Ya integraba la cascada y recibe el audio cuando Groq y Gemini fallan — no estaba listada, y debería estarlo.
La rotación por día de la semana fue removida del producto el 15/08/2026 y por eso salió de este texto. El orden de arriba es fijo, todos los días, para todos los planes.

Google (Gemini) recibe el audio cuando es alcanzado en la cascada — no solo el texto ya transcrito. Ver la tabla de la sección 2.2.