¿Mi audio está cifrado?

De ida y de vuelta, sí: todas las conexiones usan HTTPS (TLS 1.2 o 1.3). En nuestros servidores no puede estar oculto para nosotros, porque nuestros servidores y el socio de reconocimiento de voz tienen que leer el audio para transcribirlo. No añadimos cifrado de disco en los servidores. Las copias de seguridad nocturnas de la base de datos se cifran antes de salir del servidor, con una clave que nos queda a nosotros.

¿Dónde se guardan mis datos y salen de la UE?

Tus grabaciones y los datos de tu cuenta se guardan en nuestros servidores de Hetzner en Alemania. El audio sí sale de la UE una vez: el reconocimiento de voz se ejecuta en el endpoint de AssemblyAI en EE. UU. Las funciones de IA envían el texto de la transcripción a OpenRouter y a los proveedores de modelos que hay detrás. Cada socio y su ubicación figuran en nuestra página de subencargados.

¿Usáis mis grabaciones para entrenar IA?

No las usamos y no las vendemos. Nada en el código de SozAI envía tus grabaciones o transcripciones a entrenar modelos. Los socios que las procesan, como el proveedor de reconocimiento de voz y los de modelos de IA, trabajan bajo sus propias condiciones, y enlazamos cada una desde la página de subencargados para que puedas leerlas tú mismo. Las herramientas gratuitas del sitio web usan modelos gratuitos, cuyos proveedores pueden conservar lo que reciben.

¿Qué pasa con mis datos cuando elimino una grabación?

El archivo de audio y todo lo generado a partir de él se borran de nuestros servidores de inmediato. Las notas que escribiste tú mismo en Notas permanecen hasta que las elimines. Una copia cifrada de la base de datos puede quedar en nuestras copias de seguridad hasta 12 meses. La copia del socio de reconocimiento de voz sigue sus propias condiciones de conservación; todavía no le enviamos una solicitud de borrado.

¿SozAI cumple HIPAA o tiene certificación SOC 2?

Ninguna de las dos. No firmamos un Business Associate Agreement y no tenemos informe SOC 2, así que SozAI no es la herramienta adecuada para información de pacientes. Sirve para clases y entrevistas de investigación. Los clínicos pueden mirar notavik, nuestra app hermana, que guarda la grabación y las notas en el dispositivo. Los centros de datos que alquilamos tienen la certificación ISO/IEC 27001, pero ese certificado es de Hetzner.

¿SozAI admite SSO o inicio de sesión en dos pasos?

Todavía no. Inicias sesión con una cuenta de Google o Apple, o con un código de seis dígitos enviado a tu correo, válido durante tres minutos. SozAI no tiene contraseñas. Si tu cuenta de Google o Apple usa verificación en dos pasos, eso protege también tu inicio de sesión en SozAI. El inicio de sesión único y los roles de administrador de equipo no existen hoy; si tu equipo los necesita, cuéntanoslo en support@sozai.app.

¿SozAI cumple el RGPD?

No le ponemos una insignia, porque una insignia no demuestra nada. Esto es lo que puedes comprobar: tus datos se guardan en Alemania, todas las empresas que los procesan figuran en una lista pública y puedes exportar tus transcripciones y eliminar una grabación o toda tu cuenta tú mismo. El reconocimiento de voz se hace en EE. UU. Nuestro Acuerdo de tratamiento de datos incluye las Cláusulas Contractuales Tipo de la UE y se aplica automáticamente al uso empresarial.

Seguridad de SozAI: dónde van tus grabaciones y quién las procesa

Para una revisión de seguridad

Todo lo que suele pedir quien revisa es público: el Centro de confianza con cada control y su prueba, un cuestionario de seguridad respondido de antemano, cómo usa SozAI la IA, la lista de subencargados del tratamiento y un Acuerdo de tratamiento de datos con las Cláusulas Contractuales Tipo de la UE, que se aplica automáticamente al uso empresarial.

Dónde se guardan tus archivos

Tus grabaciones y todo lo que se genera a partir de ellas están en nuestros servidores de Hetzner, en Alemania. Los parques de centros de datos de Hetzner tienen la certificación ISO/IEC 27001:2022. Ese certificado es de Hetzner, no de SozAI: nosotros no tenemos ninguna certificación propia.

Todas las conexiones de todas las apps y extensiones usan HTTPS (TLS 1.2 o 1.3). Cloudflare está delante de nuestros sitios, así que el tráfico se descifra en el borde de Cloudflare y se vuelve a cifrar de camino a nuestros servidores. Nosotros no añadimos cifrado de disco en los servidores. Las copias de seguridad nocturnas de la base de datos se cifran en el servidor antes de salir de él.

El audio permanece en nuestros servidores hasta que eliminas la grabación o tu cuenta, salvo que elijas en la app que se elimine 30 días después de la transcripción o justo después. Las transcripciones nunca se eliminan automáticamente.

Quién procesa una grabación y cuándo

El almacenamiento está en Alemania, pero el trabajo lo hacen socios, y el mayor está en EE. UU.: el audio de cada archivo subido y de cada grabación de la app va al endpoint de AssemblyAI en EE. UU. para el reconocimiento de voz. La tabla muestra qué socio recibe qué en cada acción. La lista completa, con enlaces a la página de privacidad de cada empresa, está en /subprocessors/.

Cuando	Quién lo procesa	Qué recibe
Subes un archivo o grabas en la app	AssemblyAI (EE. UU.)	El audio. Devuelve el texto con interlocutores y marcas de tiempo.
Pegas un enlace de YouTube	Google Gemini API	El enlace y nuestras instrucciones. Ningún audio tuyo.
Pides un resumen, apuntes, tarjetas de estudio, un cuestionario, la traducción de una transcripción o una respuesta del chat	OpenRouter, que pasa la petición a modelos de Anthropic, Google o xAI (DeepSeek como alternativa)	El texto de la transcripción, más las páginas de un PDF o las fotos que añades como fuente
Dictas en una nota o usas Voice Translate	Reconocimiento de voz de Apple o Google, a través del sistema de tu teléfono	El audio que dictas
Te suscribes	Apple o Google, y RevenueCat	Recibos de compra, estado de la suscripción, tu ID de usuario de la app y tu correo
Escribes a soporte desde la app	Telegram, donde está nuestra bandeja de soporte	Tu mensaje y tu correo; la app añade su versión

La app también envía notificaciones push a través de Google Firebase e informa a Meta de eventos como instalaciones y compras para medir la publicidad. Tus grabaciones y transcripciones no forman parte de esos eventos.

Qué borra eliminar y qué no

Puedes eliminar una grabación, o toda tu cuenta, tú mismo, en cualquiera de nuestras apps o en web.sozai.app. No hace falta escribir a soporte.

Eliminar una grabación borra de nuestros servidores su archivo de audio y todo lo generado a partir de él: la transcripción, el resumen, los apuntes, las tarjetas de estudio, los cuestionarios, las traducciones y los mensajes del chat. Dos cosas permanecen: las notas que escribiste tú mismo en Notas a partir de esa grabación y un hilo de chat vacío. Eliminar tu cuenta borra todo lo que le pertenece, incluidas esas notas. Si iniciaste sesión con Apple, también revocamos el token de inicio de sesión de Apple.

Tres límites que conviene conocer:

La base de datos (transcripciones, notas, datos de la cuenta) se copia cada noche en Cloudflare R2, cifrada antes de subirla. Conservamos 14 copias diarias, 8 semanales y 12 mensuales, así que una transcripción eliminada puede permanecer en una copia cifrada hasta 12 meses. Los archivos de audio no están en estas copias. Una vez al mes restauramos la última copia para comprobar que funciona.
Eliminar en SozAI todavía no envía una solicitud de borrado a AssemblyAI. La copia que procesó sigue las condiciones de conservación de AssemblyAI.
El texto que recibió un socio al hacer su trabajo (una petición de resumen, una pregunta del chat) se trata según las condiciones de ese socio, enlazadas desde /subprocessors/.

Inicio de sesión

Hay tres vías: Google, Apple o un código de seis dígitos que te enviamos por correo, válido durante tres minutos. SozAI no tiene contraseñas, así que no hay ninguna que filtrar ni reutilizar. La app del teléfono también puede empezar como invitado, sin correo; la app web siempre te pide iniciar sesión. Una cuenta sirve en todos los sitios donde puedes iniciar sesión en SozAI.

No hay una opción de verificación en dos pasos propia. Si tu cuenta de Google o Apple tiene activada la verificación en dos pasos, eso protege también tu inicio de sesión en SozAI.

Lo que todavía no ofrecemos

Una revisión de seguridad va más rápido cuando las carencias están por escrito, así que aquí están:

Sin cumplimiento de HIPAA y sin Business Associate Agreement (BAA). No uses SozAI para información de pacientes. Para notas clínicas, nuestra app hermana notavik funciona íntegramente en el dispositivo.
Sin informe SOC 2 y sin certificado ISO propio.
Sin inicio de sesión único (SAML u OIDC) para organizaciones.
Sin espacios de trabajo de equipo ni roles de administrador, y sin registros de auditoría. Cada persona tiene su propia cuenta y su propia biblioteca.

Las herramientas gratuitas de sozai.app funcionan de otra manera

Las herramientas de cuestionarios y tarjetas de estudio y los resumidores de sozai.app/tools/ no necesitan cuenta y guardan tus resultados en tu navegador. Para crear las preguntas o las tarjetas, envían el texto que pegas, o el texto del vídeo de YouTube o del PDF que eliges, a modelos de IA gratuitos a través de OpenRouter. Los proveedores de modelos gratuitos pueden almacenar o usar lo que reciben según sus propias condiciones. No pegues nada confidencial ahí; usa la app.

Cuando una herramienta transcribe un archivo, envía los primeros cinco minutos de audio a AssemblyAI y borra ese trabajo después de procesarlo.

Cómo informar de un problema de seguridad

Escribe a [email protected] con «Security» en el asunto. Cuéntanos qué encontraste, cómo reproducirlo y qué parte de SozAI afecta. Solemos responder en un día laborable. Danos la oportunidad de corregir el problema antes de publicarlo y no accedas a datos de otras personas mientras pruebas. No tenemos un programa de recompensas por errores de pago.

Cómo trata SozAI tus grabaciones

La versión corta