ZapVox

Transcribe, traduce y resume audios de WhatsApp Web con IA

1. Introducción

Esta Política de Privacidad describe cómo la extensión ZapVox ("nosotros", "nuestro") recopila, usa y protege la información de los usuarios ("tú"). ZapVox es una extensión de navegador para Chrome/Edge que transcribe, traduce y resume mensajes de audio en WhatsApp Web.

Última actualización: 18 de julio de 2026

2. Datos que Recopilamos

2.1 Datos procesados localmente (nunca salen de tu dispositivo)

Audio de los mensajes: El audio se envía para transcripción a través del servicio en la nube (Groq) o directamente a Groq/OpenAI cuando configuras tu propia clave (BYOK) — en el modo BYOK el audio no pasa por nuestros servidores. El audio en bruto nunca se almacena en disco.
Recordatorios (locales): Los recordatorios que creas quedan en tu navegador y se disparan localmente a través de chrome.alarms. En el plan Pro, puedes sincronizarlos opcionalmente en tu cuenta para que también suenen en tus otros dispositivos (ver sección 2.2).
Transcripciones en caché: El texto transcrito se almacena en chrome.storage.local por hasta 7 días para evitar reprocesamiento. Estos datos quedan exclusivamente en tu navegador.
Configuraciones: Preferencias como idioma y activadores de funcionalidades se almacenan localmente.
Estadísticas de uso anónimas: Contadores locales (ej.: total de transcripciones, uso diario) se almacenan en el navegador para mostrarse en el panel de la extensión. Estos datos nunca se transmiten externamente.
Mensajes eliminados (opt-in, v3.4.3+): Si el usuario la activa, la funcionalidad de recuperación de mensajes eliminados mantiene un caché local en IndexedDB (base de datos llamada zapvox_deleted_msgs, exclusiva de tu navegador). Estos datos son 100% locales, nunca se envían a servidores, y se eliminan automáticamente después de 7 días (purga automática cada 6 horas). Desde la v3.4.3, el contenido recuperado NO se muestra automáticamente en el DOM — el usuario necesita hacer clic explícitamente en el botón "🔓 Ver original (ZapVox)" para revelarlo. Esto garantiza consentimiento explícito y evita cualquier alteración silenciosa de WhatsApp. El usuario puede desactivar la funcionalidad en cualquier momento en las configuraciones (activador "Recuperar mensajes eliminados"), lo que purga la base de datos IndexedDB.
Telemetría local de la cascada (opt-in, v3.4.0+): Si el usuario la activa, los contadores de diagnóstico de la cascada de transcripción (cuántas veces cada Phase de la cascada resolvió el audio) se almacenan localmente en chrome.storage.local. Estos datos nunca salen de tu navegador — se usan únicamente para que los consultes en la pantalla de Diagnóstico del popup. No se registra ningún identificador de mensaje, nombre de contacto, contenido ni metadato de audio. La telemetría es estrictamente una lista blanca (whitelist) de fases técnicas permitidas. El activador "Telemetría local de diagnóstico" controla la recopilación y el botón "Limpiar" pone a cero el contador.
Caché de análisis de sentimiento (v3.4.9+): Cuando haces clic en el botón 🎭 Sentimiento, el resultado del análisis se almacena en chrome.storage.local (clave zapvox_sentiment_cache) por hasta 7 días para que el chip de sentimiento sobreviva a las recargas de la página sin reprocesamiento. El identificador del mensaje asociado es el mismo hash sanitizado que ya utiliza el caché de transcripción. Estos datos nunca salen de tu navegador y se purgan automáticamente después de 7 días.

2.2 Datos enviados a servidores (solo cuando es necesario)

Dato	Cuándo	Destino	Finalidad
Audio (base64)	Transcripción en la nube	Supabase Edge Function → Groq	Convertir audio en texto
Audio (base64)	Transcripción BYOK (clave propia)	Groq u OpenAI (directo desde el navegador)	Convertir audio en texto
Texto transcrito	Traducción, resumen o análisis de sentimiento	Supabase Edge Function → Groq/Gemini	Traducir, resumir o analizar el texto
Token JWT	Autenticación	Supabase Auth	Validar sesión y plan
Correo electrónico	Inicio de sesión/registro	Supabase Auth	Crear y gestionar la cuenta
`usage_logs` (user_id, action, timestamp)	En cada transcripción/traducción en la nube	Supabase Postgres (RLS)	Aplicar los límites diarios del plan. Sin contenido de audio/texto; solo contadores.
Texto y horario del recordatorio (solo Pro, opt-in)	Cuando un usuario Pro crea un recordatorio	Supabase Postgres (RLS)	Sincronizar los recordatorios entre los dispositivos del propio usuario. Guardado bajo la cuenta autenticada y legible solo por él.
Texto, destinatario y horario de las programaciones de mensaje	Al crear/editar una programación (usuario con sesión iniciada)	Supabase Postgres (RLS)	Sincronizar entre tus dispositivos y permitir la gestión en el panel. Guardado bajo la cuenta autenticada y legible solo por ti.
Diagnóstico anónimo (opt-in, desactivado por defecto)	Solo si el usuario activa "Diagnóstico anónimo"	Supabase Edge Function	Reportar errores técnicos y cambios en el DOM de WhatsApp para mejorar la estabilidad. Sin contenido de mensajes, nombres de contacto, teléfonos ni identificadores.
`active_sessions` (user_id, identificador del navegador, etiqueta, fecha/hora)	En el inicio de sesión y al usar recursos vinculados a la cuenta	Supabase Postgres (RLS)	Mantener un navegador activo por cuenta (Sección 4.1 de los Términos), impidiendo el uso compartido de credenciales. Ver sección 2.5.

        Observación sobre usage_logs: Registramos únicamente que una operación ocurrió (para imponer el límite diario de tu plan), no lo que fue transcrito. Ningún audio, texto, nombre de contacto o identificador de mensaje se persiste en el servidor. La tabla está protegida por Row-Level Security de Supabase — solo puedes leer tus propios registros.
      

        Importante: La extensión NO accede a tu micrófono — solo lee audios ya recibidos en WhatsApp Web. Los mensajes eliminados recuperados se almacenan 100% localmente y nunca se envían a servidores.
      

2.3 Almacenamiento local para el funcionamiento de la extensión

Para ofrecer una experiencia fluida, ZapVox almacena temporalmente en tu propio navegador (nunca en nuestros servidores) los siguientes datos técnicos:

Caché de nombres de contactos: Los nombres de los remitentes se almacenan localmente por hasta 30 días para su visualización rápida en las transcripciones. Estos nombres son los mismos que ya son visibles en tu WhatsApp Web y jamás se transmiten a servidores externos.
Registros de diagnóstico: Se mantiene localmente un búfer circular de hasta 200 entradas para la depuración. Los registros contienen únicamente iniciales anonimizadas de nombres (ej.: "JS***"), nunca nombres completos, y no se transmiten externamente.
Sanitización de consola (v3.4.4+): Todos los registros de diagnóstico impresos en la consola del navegador (visibles vía F12) tienen los números de teléfono sanitizados a ***@ antes de imprimirse. Esto garantiza que, incluso si compartes una captura de pantalla de la consola con el soporte técnico, ningún número de teléfono de WhatsApp se filtre.

        Control total: Puedes eliminar estos datos en cualquier momento accediendo a Configuraciones → "Limpiar datos locales de privacidad" dentro de la extensión, o limpiando los datos de la extensión en chrome://extensions.
      

2.4 Datos que NO recopilamos

Historial de navegación o actividad fuera de WhatsApp Web
Contactos, fotos o videos de WhatsApp (excepto cuando el opt-in de mensajes eliminados está activo)
Datos de micrófono, cámara o ubicación
Información de pago (procesada por Stripe, no tenemos acceso)
Datos de fingerprinting (GPU, hardware detallado, etc.) — el identificador de navegador de la Sección 2.5 es un número aleatorio, no derivado de tu hardware

2.5 Identificador de navegador (un navegador activo por cuenta)

Para asegurar que tu cuenta sea usada por una única persona a la vez — conforme a la Sección 4.1 de los Términos de Servicio — ZapVox necesita distinguir un navegador de otro. Para ello:

Qué es: un identificador aleatorio (UUID) generado por la propia extensión en la primera ejecución y guardado en chrome.storage.local. Va acompañado de una etiqueta genérica y legible (ej.: "Chrome · Windows"), derivada únicamente del tipo de navegador y sistema operativo, para que reconozcas en la pantalla qué navegador está activo.
Qué NO es: no es fingerprinting. No se deriva de características de tu hardware, GPU, fuentes, resolución ni ninguna señal que permita rastrearte entre sitios. Es un número aleatorio sin significado fuera de ZapVox, y no permite identificarte en ningún otro servicio.
Para qué lo usamos: exclusivamente para saber cuál es el navegador activo de tu cuenta y mostrar el aviso de cambio con el botón "Usar aquí". No se usa para publicidad, creación de perfiles conductuales ni rastreo entre sitios.
Base legal (LGPD): ejecución del contrato (art. 7º, V) e interés legítimo (art. 7º, IX) en la prevención de fraude y de uso abusivo de cuenta compartida, con impacto mínimo a tu privacidad.
Retención: guardamos únicamente el registro más reciente por usuario (uno por cuenta) — no construimos un historial de dispositivos. El registro se elimina junto con la cuenta (Sección 8) y el identificador local desaparece al desinstalar la extensión o limpiar sus datos.

3. Claves de API (BYOK)

Si optas por usar tus propias claves de API (Bring Your Own Key — BYOK), estas son:

Cifradas con AES-GCM 256-bit antes de ser almacenadas
Protegidas por PBKDF2 con 600.000 iteraciones y salt aleatorio único por usuario
Almacenadas exclusivamente en el chrome.storage.local de tu navegador
Nunca enviadas a nuestros servidores — se usan directamente con Groq/OpenAI

4. Seguridad

Cifrado AES-GCM 256-bit para las claves BYOK
PBKDF2 con 600.000 iteraciones (estándar OWASP) y salt aleatorio por usuario
Comunicación exclusivamente vía HTTPS
Tokens JWT con expiración y renovación automática
Rate limiting en las Edge Functions para prevenir abusos
Validación de payloads en todos los mensajes (content script ↔ background)
Content Security Policy restrictiva en el manifest.json

5. Permisos del Navegador

Permiso	Por qué
`storage`	Guardar configuraciones, caché de transcripciones y claves cifradas
`notifications`	Mostrar notificaciones cuando una transcripción se completa
`identity`	Autenticación OAuth para el inicio de sesión (Google Sign-In vía Supabase)
`alarms`	Mantener el Service Worker activo durante transcripciones largas y gestionar los reinicios de uso diario
`tabs`	Detectar pestañas de WhatsApp Web para enviar resultados
`host: web.whatsapp.com`	Inyectar content script para añadir botones de transcripción en los mensajes de audio

6. Tus Derechos (LGPD / GDPR)

Tienes derecho a:

Acceso: Solicitar qué datos tenemos sobre ti
Corrección: Corregir datos imprecisos
Eliminación: Solicitar la eliminación de todos tus datos
Portabilidad: Recibir tus datos en un formato legible
Revocación: Desactivar la auto-transcripción en cualquier momento a través del Popup

Para ejercer cualquier derecho, ponte en contacto por el correo electrónico indicado abajo.

Cómo eliminar datos locales de privacidad: Abre la extensión ZapVox → Configuraciones → haz clic en "Limpiar datos locales de privacidad". Esto elimina los registros de diagnóstico y el caché de nombres de contactos sin afectar tus configuraciones ni tu cuenta.

Cómo eliminar todos los datos de la extensión: Accede a chrome://extensions, haz clic en "Detalles" de ZapVox, luego en "Limpiar datos del sitio". Esto elimina todas las transcripciones en caché, configuraciones y claves BYOK.

7. Terceros y Subprocesadores

Servicio	Finalidad	Política de Privacidad
Supabase	Autenticación, Edge Functions (transcripción/traducción Pro)	supabase.com/privacy
Groq	Transcripción, traducción y resumen en la nube (proveedor primario) + BYOK	groq.com/privacy
OpenAI	Transcripción BYOK (cuando el usuario proporciona su propia clave)	openai.com/privacy
Google Gemini	Traducción y resumen de respaldo (vía Edge Function)	policies.google.com/privacy
Stripe	Procesamiento de pagos (Pro)	stripe.com/privacy

8. Retención de Datos

Caché de transcripciones: 7 días (automático, local)
Mensajes eliminados recuperados: 7 días (automático, local, IndexedDB zapvox_deleted_msgs) — solo si el opt-in está activado. Purga automática cada 6h.
Caché de nombres de contactos: 30 días (automático, local) — eliminable vía Configuraciones
Registros de diagnóstico (local): Últimas 200 entradas en búfer circular (local) — eliminable vía Configuraciones
Telemetría de cascada (opt-in, local): Contadores en chrome.storage.local — nunca enviados. Puestos a cero vía el botón "Limpiar" en el popup.
usage_logs (Supabase): Los registros de cuota (user_id, action, timestamp) se mantienen por 90 días con fines de auditoría de límites diarios. Sin contenido, sin PII más allá del user_id de tu cuenta.
Sesión JWT: Almacenada en chrome.storage.local hasta el cierre de sesión o la expiración del refresh token (~30 días). Optamos por local en lugar de session para evitar forzar un nuevo inicio de sesión en cada apertura de Chrome — Supabase RLS es la capa de defensa primaria.
Datos de cuenta: Mantenidos mientras la cuenta esté activa
Claves BYOK: Hasta que el usuario las elimine o limpie los datos de la extensión
Audio procesado: Descartado inmediatamente después de la transcripción (nunca almacenado)

9. Menores de Edad

ZapVox no está destinado a menores de 13 años. No recopilamos intencionalmente datos de niños. Si crees que un menor ha proporcionado datos, ponte en contacto para su eliminación inmediata.

10. Uso Limitado de Datos (Chrome Web Store Limited Use Disclosure)

ZapVox cumple con la política de Uso Limitado de la Chrome Web Store:

Uso permitido: Los datos recopilados se usan exclusivamente para proporcionar y mejorar las funcionalidades descritas en esta política (transcripción, traducción, resumen).
Sin publicidad: Tus datos nunca se usan para publicidad personalizada, retargeting ni segmentación de anuncios.
Sin venta de datos: Tus datos nunca se venden, licencian ni comparten con terceros con fines comerciales.
Sin acceso humano: Ningún empleado o colaborador accede a tus datos personales, excepto en caso de obligación legal o con tu consentimiento explícito.
Transferencia limitada: Los datos solo se transfieren a los subprocesadores listados en la Sección 7, exclusivamente para proporcionar las funcionalidades de la extensión.

11. Cambios en esta Política

Podemos actualizar esta política periódicamente. Los cambios significativos se comunicarán vía notificación en la extensión o en el changelog. La fecha de última actualización estará siempre visible en la parte superior.

12. Contacto

Para dudas, solicitudes de datos o ejercicio de derechos:

Correo electrónico: [email protected]

Desarrollador: Diegomaier Nunes Neri