1. Controller

The controller of your personal data is Paweł Nowakowski, a natural person operating TYPAVO as an unregistered activity (no registered business), postal address: [TO BE COMPLETED], Spain, tax ID (NIF/NIE): [TO BE COMPLETED]. Contact for all privacy matters: [email protected]. No data protection officer (DPO) has been appointed.

2. Account and service data

The API stores an account identifier, email, password hash when password login is used, verification status, hashed verification/reset tokens, session records, usage counters and subscription/payment identifiers. Google sign-in, when configured, supplies a verified identity and email. We do not receive your Google password. Stripe handles card entry; Typavo does not collect full card details. Account data is required for authenticated recognition and allowance enforcement; browsing product information does not require an account. Waitlist: if you join it, we store only your email, your consent choices (launch notice, marketing), language and signup time in Cloudflare D1 (EU jurisdiction) — at your request, with the consents based on GDPR Article 6(1)(a) — until launch or until you withdraw consent or ask for deletion.

3. Live dictation on the website

The website offers live dictation only. After you start it, microphone audio is streamed in real time through the Typavo API to Deepgram (Nova-3, EU endpoint). The text appears live in the open browser tab while you speak. The audio is not recorded or saved, either in the browser or by Typavo, and there is no playback. The transcript exists only in the open tab and disappears when you close or reload it. There is no audio-file or sample upload on the website.

Optional text cleanup is off by default. When you enable it, only the recognized text, never audio, is sent through the Typavo API to OpenAI. No audio is sent to OpenAI from the website.

The API does not deliberately retain audio or transcript content in its application database or logs. It keeps usage and request metadata, such as duration and an audio digest used for request accounting. Deepgram diagnostic logs contain host, opt-out flag, connection status, provider request ID and audio duration, not speech content. This is not a claim that every infrastructure provider retains nothing.

4. Desktop app

In the Windows app, audio is sent through the Typavo API to the configured speech provider [provider list for the desktop app to confirm]. Desktop transcription history is stored locally as unencrypted text: someone with access to those files can read it. Audio saving is off by default for new installations; if you enable it, recordings are saved locally with Windows account protection for replay and re-transcription. Existing explicit preferences are preserved. Uninstalling the app does not necessarily remove its local data. Desktop paste uses the chosen field; copy and paste may interact with system clipboard services outside Typavo.

5. Cookies and browser storage

The website sets no cookies and contains no advertising trackers or analytics scripts. Only the appearance preference (typavo-theme) is stored in browser localStorage. Microphone access starts only after you request it. Session credentials stay in page memory and are cleared on sign-out, reload or closing the tab. Clipboard copy happens only when you click Copy.

6. Purposes and legal bases

Account, live recognition, optional cleanup and requested translation: GDPR Article 6(1)(b), performance of the contract. Billing and accounting records: Article 6(1)(c), legal obligations under Spanish tax and accounting law. Security, abuse and fraud prevention, allowance limits, technical diagnostics and handling claims: Article 6(1)(f), our legitimate interest in a secure and working service; you may object (section 9). Microphone permission is not consent for unrelated processing. We do not perform advertising profiling or automated decisions producing legal or similarly significant effects based on your dictated content. Do not dictate sensitive or third-party data without an appropriate basis.

7. Recipients and international transfers

We use the following service providers. Some are US companies; where data may leave the European Economic Area, transfers rely on the safeguards listed below. You can request a copy of the safeguards at [email protected].

8. Retention

• Account data: until you delete your account, plus up to 30 days for deletion to complete.
• Backups: [X days, to confirm per database plan]; deleted data disappears from backups when they rotate.
• Billing and accounting records: for the period required by Spanish tax and accounting law [period to confirm with accountant].
• Server and diagnostic logs: [X days, to confirm].
• Verification links expire after 24 hours, reset links after 30 minutes and refresh sessions after 30 days; expired tokens are deleted automatically.
• Audio-request accounting metadata: 30 days.
• Live audio on the website: not stored. Website transcript: only in the open browser tab.
• Desktop history and optional local recordings: on your computer until you delete them.
• Providers may keep metadata under their own terms; OpenAI retention depends on the endpoint and account settings, and no zero-retention claim is made.

9. Your rights

You may request access to your data, rectification, erasure, restriction of processing and data portability, and withdraw any consent at any time without affecting earlier processing. Right to object: where we process data based on legitimate interest (Article 6(1)(f)), you may object at any time on grounds relating to your situation; we will then stop unless we show compelling legitimate grounds or need the data for legal claims.

Write to [email protected]. We respond within one month, which may be extended by two further months for complex requests (we will tell you). Exercising your rights is free of charge, unless requests are manifestly unfounded or excessive. We may verify your identity proportionately. Legal retention duties may limit erasure. Deleting local desktop history and deleting your server account are separate operations.

10. Supervisory authority

The competent supervisory authority is primarily the Spanish Data Protection Agency (Agencia Española de Protección de Datos, AEPD), www.aepd.es. You may also lodge a complaint with the authority of the EU country where you live or work, for example the President of the Personal Data Protection Office (UODO) in Poland.

11. Security and changes

Connections use HTTPS with certificate validation. Passwords and link tokens are hashed; this does not make all stored content encrypted. Restrict access to your Windows account and devices. We will publish changes to this policy on this page and inform you about material changes before they apply.

1. Administrator

Administratorem Twoich danych osobowych jest Paweł Nowakowski, osoba fizyczna prowadząca TYPAVO w ramach działalności nierejestrowanej (bez zarejestrowanej firmy), adres pocztowy: [DO UZUPEŁNIENIA], Hiszpania, numer podatkowy (NIF/NIE): [DO UZUPEŁNIENIA]. Kontakt we wszystkich sprawach dotyczących danych: [email protected]. Nie powołano inspektora ochrony danych (IOD).

2. Dane konta i usługi

API zapisuje identyfikator konta, e-mail, skrót hasła przy logowaniu hasłem, stan weryfikacji, skróty tokenów weryfikacji i resetu, sesje, liczniki zużycia oraz identyfikatory abonamentu i płatności. Logowanie Google, jeśli skonfigurowane, dostarcza potwierdzoną tożsamość i e-mail. Typavo nie otrzymuje hasła Google. Kartę obsługuje Stripe; Typavo nie zbiera pełnych danych karty. Dane konta są wymagane do uwierzytelnionego rozpoznawania i egzekwowania limitów. Informacje o produkcie można przeglądać bez konta. Lista oczekujących: jeśli się zapiszesz, przechowujemy tylko Twój e-mail, wybrane zgody (powiadomienie o starcie, marketing), język i czas zapisu w Cloudflare D1 (jurysdykcja UE) — na Twoje żądanie, a zgody na podstawie art. 6 ust. 1 lit. a RODO — do startu usługi albo do wycofania zgody lub prośby o usunięcie.

3. Dyktowanie na żywo na stronie

Strona oferuje wyłącznie dyktowanie na żywo. Po jego uruchomieniu dźwięk z mikrofonu jest przesyłany na bieżąco przez API Typavo do Deepgram (Nova-3, endpoint UE). Tekst pojawia się na żywo w otwartej karcie przeglądarki, w trakcie mówienia. Dźwięk nie jest nagrywany ani zapisywany, ani w przeglądarce, ani przez Typavo, i nie ma odsłuchu. Transkrypcja istnieje tylko w otwartej karcie i znika po jej zamknięciu lub odświeżeniu. Strona nie oferuje przesyłania plików audio ani próbek.

Opcjonalna korekta tekstu jest domyślnie wyłączona. Po jej włączeniu do OpenAI trafia przez API Typavo wyłącznie rozpoznany tekst, nigdy dźwięk. Ze strony żaden dźwięk nie jest wysyłany do OpenAI.

API nie zapisuje celowo dźwięku ani treści transkrypcji w bazie aplikacji ani w logach. Zachowuje liczniki i metadane żądań, np. czas trwania i skrót audio do rozliczania żądań. Logi diagnostyczne Deepgram obejmują host, flagę rezygnacji, status połączenia, identyfikator żądania u dostawcy i czas audio, bez treści wypowiedzi. Nie oznacza to braku jakiejkolwiek retencji u dostawców infrastruktury.

4. Aplikacja desktopowa

W aplikacji Windows dźwięk trafia przez API Typavo do skonfigurowanego dostawcy rozpoznawania [lista dostawców dla aplikacji desktopowej do potwierdzenia]. Historia desktopowa jest lokalna i nieszyfrowana: osoba z dostępem do tych plików może ją przeczytać. Zapisywanie audio jest domyślnie wyłączone w nowych instalacjach. Po włączeniu nagrania są zapisywane lokalnie z ochroną konta Windows do odsłuchu i ponownej transkrypcji. Wcześniejsze świadome ustawienia pozostają zachowane. Odinstalowanie programu nie musi usuwać jego danych. Desktop wkleja do wybranego pola; kopiowanie i wklejanie mogą korzystać z usług schowka systemowego poza Typavo.

5. Ciasteczka i pamięć przeglądarki

Strona nie ustawia ciasteczek i nie zawiera reklamowych skryptów śledzących ani analityki. W localStorage zapisujemy tylko wybrany motyw (typavo-theme). Mikrofon uruchamia się dopiero na Twoje żądanie. Dane sesji są tylko w pamięci strony i znikają po wylogowaniu, odświeżeniu lub zamknięciu karty. Kopiowanie do schowka następuje tylko po kliknięciu „Kopiuj”.

6. Cele i podstawy prawne

Konto, rozpoznawanie na żywo, opcjonalna korekta i zamówione tłumaczenie: art. 6 ust. 1 lit. b RODO, wykonanie umowy. Dokumentacja rozliczeń i księgowość: art. 6 ust. 1 lit. c, obowiązki wynikające z hiszpańskich przepisów podatkowych i rachunkowych. Bezpieczeństwo, zapobieganie nadużyciom i oszustwom, limity, diagnostyka techniczna i obsługa roszczeń: art. 6 ust. 1 lit. f, nasz prawnie uzasadniony interes w bezpiecznej i działającej usłudze; możesz wnieść sprzeciw (pkt 9). Zgoda przeglądarki na mikrofon nie jest zgodą na inne cele. Nie stosujemy profilowania reklamowego ani zautomatyzowanych decyzji wywołujących skutki prawne lub podobnie istotne na podstawie dyktowanej treści. Nie dyktuj danych wrażliwych ani cudzych bez właściwej podstawy.

7. Odbiorcy i przekazywanie danych poza EOG

Korzystamy z poniższych dostawców. Część z nich to spółki z USA; jeśli dane mogą opuścić Europejski Obszar Gospodarczy, przekazanie opiera się na wskazanych zabezpieczeniach. Kopię zabezpieczeń możesz otrzymać na prośbę wysłaną na [email protected].

8. Okresy przechowywania

• Dane konta: do usunięcia konta, plus do 30 dni na zakończenie usuwania.
• Kopie zapasowe: [X dni, do potwierdzenia według planu bazy danych]; usunięte dane znikają z kopii wraz z ich rotacją.
• Dokumenty rozliczeniowe i księgowe: przez okres wymagany hiszpańskimi przepisami podatkowymi i rachunkowymi [okres do potwierdzenia z księgowym].
• Logi serwera i diagnostyczne: [X dni, do potwierdzenia].
• Link weryfikacji wygasa po 24 godzinach, link resetu po 30 minutach, a sesja odświeżania po 30 dniach; wygasłe tokeny są usuwane automatycznie.
• Metadane rozliczania żądań audio: 30 dni.
• Dźwięk z dyktowania na stronie: nie jest przechowywany. Transkrypcja na stronie: tylko w otwartej karcie przeglądarki.
• Historia desktopowa i opcjonalne nagrania lokalne: na Twoim komputerze, do czasu ich usunięcia.
• Dostawcy mogą przechowywać metadane na własnych warunkach; retencja OpenAI zależy od endpointu i ustawień konta, nie deklarujemy zerowej retencji.

9. Twoje prawa

Możesz żądać dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania i przeniesienia, a także w każdej chwili wycofać zgodę bez wpływu na wcześniejsze przetwarzanie. Prawo sprzeciwu: jeśli przetwarzamy dane na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f), możesz w każdej chwili wnieść sprzeciw z przyczyn związanych z Twoją sytuacją; wtedy przestaniemy, chyba że wykażemy ważne prawnie uzasadnione podstawy lub dane są potrzebne do roszczeń.

Napisz na [email protected]. Odpowiadamy w ciągu miesiąca; przy złożonych żądaniach termin może zostać przedłużony o kolejne dwa miesiące (poinformujemy Cię o tym). Realizacja praw jest bezpłatna, chyba że żądania są ewidentnie nieuzasadnione lub nadmierne. Możemy proporcjonalnie potwierdzić tożsamość. Ustawowe obowiązki przechowywania mogą ograniczać usunięcie. Usunięcie lokalnej historii i usunięcie konta na serwerze to odrębne działania.

10. Organ nadzorczy

Właściwym organem nadzorczym jest przede wszystkim hiszpańska Agencja Ochrony Danych (Agencia Española de Protección de Datos, AEPD), www.aepd.es. Możesz też złożyć skargę do organu państwa UE, w którym mieszkasz lub pracujesz, np. do Prezesa Urzędu Ochrony Danych Osobowych (UODO) w Polsce.

11. Bezpieczeństwo i zmiany

Połączenia korzystają z HTTPS z weryfikacją certyfikatu. Hasła i tokeny linków są haszowane; nie oznacza to szyfrowania całej zapisanej treści. Chroń konto Windows i urządzenia. Zmiany tej polityki publikujemy na tej stronie, a o istotnych zmianach informujemy przed ich zastosowaniem.