Polityka prywatności Palabra Live
Wersja 0.7 (szkic), 8 września 2026.
1. Administrator danych
DawidWeb, [pełna nazwa firmy, adres, NIP — do uzupełnienia]. Kontakt w sprawach danych: kontakt@dawidweb.com. Nie wyznaczamy inspektora ochrony danych — przy tej skali przetwarzania art. 37 RODO tego nie wymaga.
Zasięg terytorialny: Usługa jest oferowana użytkownikom przebywającym w Polsce i w Niemczech. Wersje niemiecka, angielska i ukraińska służą obsłudze osób mieszkających w tych krajach i nie stanowią kierowania Usługi do innych państw. Wiążąca jest polska wersja tego dokumentu.
2. Jak działa Aplikacja i co to znaczy dla Twoich danych — w trzech zdaniach
- Dźwięk Twojej wypowiedzi i wypowiedzi rozmówcy jest przesyłany na żywo do naszego serwera (Cloudflare, lokalizacja UE) i dalej do usługi tłumaczącej. Usług tłumaczących mamy cztery (OpenAI, Palabra.ai, DeepL Voice, Google Gemini Live) i to nasz serwer wybiera, która obsłuży daną rozmowę — szczegóły w punkcie 4a. Rozmowa telefoniczna przechodzi przez operatora Twilio.
- Nie nagrywamy rozmów i nie zapisujemy ich treści. Tekst tłumaczenia istnieje tylko w pamięci na czas rozmowy.
- Treść rozmów nie jest przez nas nagrywana. Utworzenie własnego głosu jest osobną, dobrowolną operacją przekazania próbki do ElevenLabs (punkty 3–6).
3. Jakie dane, po co i na jakiej podstawie
| Dane | Cel | Podstawa prawna (RODO) | Skąd |
|---|---|---|---|
| Losowy identyfikator urządzenia, skrót instalacji, wersja aplikacji, daty pierwszego i ostatniego użycia, status licencji | Świadczenie usługi, ochrona przed nadużyciami, aktualizacje | art. 6 ust. 1 lit. b (umowa), lit. f (bezpieczeństwo) | Aplikacja |
| Adres e-mail i nazwa użytkownika przypisane do kodu dostępu (faza pilotażu) | Identyfikacja uczestnika pilotażu, rozliczenie limitu minut | art. 6 ust. 1 lit. b | Ty |
| Głos Twój i rozmówcy (strumień audio) | Tłumaczenie na żywo | art. 6 ust. 1 lit. b (Ty); dla rozmówcy: lit. f (uzasadniony interes — realizacja rozmowy, którą świadomie prowadzi) | Mikrofon lub linia telefoniczna |
| Tekst tłumaczenia wyświetlany w rozmowie. Filtr halucynacji: fragment odpowiedzi modelu napisany pismem spoza języka rozmowy jest odrzucany — nie idzie ani do dźwięku, ani na ekran, i nie jest nigdzie zapisywany | Pokazanie, co zostało powiedziane; odsianie fragmentów, których nikt nie powiedział | art. 6 ust. 1 lit. b | Wynik tłumaczenia |
| Numer telefonu, który wybierasz (numer rozmówcy). Numer trafia do pamięci sesji rozmowy na naszym serwerze i jest tam potrzebny do zestawienia i prowadzenia połączenia; do bazy rozmów nie trafia | Zestawienie połączenia | art. 6 ust. 1 lit. b | Ty |
| Numer rozmówcy w logu połączeń operatora Twilio (numer „do”, numer „od”, czas i długość połączenia). Do naszej bazy numer nie trafia, ale trafia do Twilio i jest widoczny w konsoli operatora przez 13 miesięcy | Zestawienie i rozliczenie połączenia, obowiązki regulacyjne operatora | art. 6 ust. 1 lit. b; po stronie Twilio także własny obowiązek prawny operatora | Ty (wybrany numer) i operator |
| Numer nadawczy, który widzi rozmówca — w fazie pilotażu jest to zweryfikowany prywatny numer właściciela usługi, a nie numer Palabry (punkt 4b) | Zestawienie połączenia wychodzącego; brak własnego numeru Palabry w fazie pilotażu | art. 6 ust. 1 lit. b i lit. f | Konfiguracja usługi |
| Sprawdzanie aktualizacji aplikacji: kod bieżącej wersji, kanał aktualizacji („stabilny” albo „beta”), poświadczenie urządzenia (z którego serwer odczytuje identyfikator urządzenia) oraz — jak przy każdym połączeniu internetowym — adres IP widoczny dla serwera. Aplikacja nie wysyła przy tym modelu telefonu, numeru IMEI, listy aplikacji ani danych o rozmowach | Dostarczenie aktualizacji i poprawek bezpieczeństwa | art. 6 ust. 1 lit. b, lit. f | Aplikacja |
| Metadane rozmowy: tryb (telefon lub na żywo), kierunek, języki, silnik, czas rozpoczęcia i zakończenia, sekundy rozliczane, szacowany koszt, liczba ponownych połączeń, kod błędu | Rozliczenie Minut, jakość usługi, statystyki | art. 6 ust. 1 lit. b, lit. f | Serwer |
| Zgłoszenie problemu: kategoria, Twój opis, diagnostyka techniczna, ostatni kod błędu | Obsługa reklamacji, naprawa błędów | art. 6 ust. 1 lit. b, lit. f | Ty |
| Zdarzenia aplikacji: uruchomienie, awaria (bez treści rozmów) | Stabilność aplikacji | art. 6 ust. 1 lit. f | Aplikacja |
| Znaczniki przebiegu rozmowy („oś czasu rozmowy”): czasy rozpoczęcia i końca mowy, luki w rozmowie, zmiany trasy audio, ponowne łączenie, fakt wysłania cyfry tonowej (bez samej cyfry) — bez treści rozmowy i bez numerów. Zbieranie jest domyślnie włączone; wyłącznik „Znaczniki przebiegu rozmowy” w Ustawieniach → Prywatność zatrzymuje je | Diagnostyka jakości połączenia | art. 6 ust. 1 lit. f | Aplikacja |
| Odpowiedź na pytanie po rozmowie: po zakończonej rozmowie aplikacja pyta, czy sprawa została załatwiona. Zapisujemy wybraną odpowiedź, powód z zamkniętej listy i skrót odniesienia do rozmowy — bez treści rozmowy, bez numerów i bez pola na własny tekst. Zbieranie jest domyślnie włączone; wyłącznik „Pytaj, czy sprawa została załatwiona” w Ustawieniach → Prywatność wyłącza i pytanie, i zapis | Ocena, czy tłumaczenie faktycznie załatwiło sprawę | art. 6 ust. 1 lit. f | Ty (odpowiedź w aplikacji) |
| Cyfry wybierane w rozmowie (klawiatura tonowa, na przykład wybór opcji w menu infolinii). Cyfry trafiają do operatora Twilio jako polecenie sterujące połączeniem i są widoczne w jego logu połączeń (13 miesięcy). Aplikacja nie zapisuje ich w transkrypcji, logach ani raportach. Nie wpisuj kodów PIN ani numerów kart — poza operatorem nie mamy nad nimi kontroli | Obsługa menu automatów telefonicznych | art. 6 ust. 1 lit. b | Ty (klawiatura w aplikacji) |
| Dowody z testów rozmów: metryki jakości testowego przebiegu — silnik, kierunek językowy, czasy reakcji, scenariusz i jego wynik, identyfikator urządzenia testowego, krótka notatka bez treści rozmowy i bez numerów. Urządzenia testowe DawidWeb są przy tym zwolnione z limitu rozmów nałożonego w pilotażu — dotyczy to wyłącznie testów wewnętrznych, nie kont użytkowników | Sprawdzanie jakości usługi przed wydaniem i po nim | art. 6 ust. 1 lit. f | Narzędzie testowe właściciela |
| Numery telefonów z list „dozwolone / zablokowane” połączeń przychodzących — tylko gdy włączysz połączenia przychodzące i udzielisz uprawnienia. Aplikacja przesyła te numery na serwer w postaci jawnej; serwer zapisuje wyłącznie ich skróty kryptograficzne (HMAC-SHA256 z tajnym kluczem), samych numerów nie przechowuje. Skrótu nie da się odwrócić bez tego klucza | Filtrowanie połączeń przychodzących | art. 6 ust. 1 lit. a (zgoda — uprawnienie systemowe); wobec osób z Twoich list: art. 6 ust. 1 lit. f wraz z obowiązkiem z art. 14 (punkt 9) | Ty (z książki kontaktów Twojego telefonu) |
| Token powiadomień Firebase (zaszyfrowany na serwerze) — tylko przy połączeniach przychodzących | Sygnalizowanie połączenia przychodzącego | art. 6 ust. 1 lit. b | Google Firebase |
| Identyfikator instalacji nadawany przez bibliotekę Firebase Cloud Messaging | Dostarczanie powiadomień o połączeniu przychodzącym | art. 6 ust. 1 lit. b | Biblioteka Google w Aplikacji |
| Historia rozmów na Twoim telefonie (zakładka „Ostatnie”): dla każdej rozmowy numer w formacie międzynarodowym — a przy rozmowie twarzą w twarz zamiast numeru wpis „Rozmowa na żywo” — kierunek (wychodząca, przychodząca, nieodebrana, twarzą w twarz), para języków, data i godzina rozpoczęcia, długość i kwota, jeżeli rozmowa ją miała. Bez treści rozmowy: w kształcie danych nie ma pola na transkrypcję, zdanie oryginalne ani tłumaczenie. Do 50 wpisów, nie starszych niż 30 dni (punkt 5). Historia nie jest wysyłana na nasz serwer — zostaje w prywatnym magazynie Aplikacji na Twoim telefonie, a kopia zapasowa do chmury i przenoszenie na nowy telefon są dla niej wyłączone. Plik jest zaszyfrowany — AES-256-GCM, klucz w Android Keystore, tak samo jak listy numerów połączeń przychodzących. Pojedynczy wpis usuwasz przez „Usuń z historii” (długie przytrzymanie wiersza), całą listę przez „Wyczyść historię” nad listą albo „Wyczyść historię rozmów” w Ustawieniach → Prywatność | Ponowne wybranie numeru i podgląd własnych rozmów | Wobec Ciebie: art. 6 ust. 1 lit. b (umowa). Wobec osób, których numery się w niej znajdują — w tym osób, które zadzwoniły do Ciebie — art. 6 ust. 1 lit. f, a obowiązek informacyjny wykonuje punkt 9 | Tylko na Twoim telefonie |
| Ostatnio wybierane numery (do 8, osobny magazyn od historii rozmów — podpowiedź kodu kraju i szybkie ponowne wybranie), ustawienia (języki, głos, trasa audio, wygląd) | Wygoda | art. 6 ust. 1 lit. b | Tylko na Twoim telefonie |
| Pobrania z naszej strony: kraj i rodzina przeglądarki (bez adresu IP), znacznik czasu, źródło linku (strona, kod QR, wiadomość e-mail) | Statystyka dystrybucji | art. 6 ust. 1 lit. f | Strona pobierania |
| Skrót identyfikatora urządzenia przekazywany do OpenAI jako identyfikator bezpieczeństwa | Ochrona przed nadużyciami po stronie OpenAI (wymóg dostawcy) | art. 6 ust. 1 lit. f | Serwer |
Nie profilujemy do celów reklamowych, nie wyświetlamy reklam i nie używamy narzędzi śledzących ani analitycznych firm trzecich. Podstawowe tłumaczenie nie służy do ustalania tożsamości na podstawie głosu. Opcjonalny własny głos tworzy profil głosu w ElevenLabs i wymaga osobnej zgody. Zgodnie z przyjętym w tej informacji podejściem ochronnym przetwarzamy go na podstawie wyraźnej zgody, także w zakresie cech biometrycznych (art. 9 ust. 2 lit. a RODO).
Własny głos. Próbka trafia przez pamięć operacyjną naszego serwera do ElevenLabs w celu utworzenia profilu głosu. Nasz serwer nie zapisuje pliku próbki na trwałe. Zachowuje dane profilu: nazwę, identyfikatory i stan, powiązanie z urządzeniem, zapis zgody oraz kryptograficzny skrót próbki potrzebny do obsługi powtórzonego żądania. Gdy używasz własnego głosu, ElevenLabs otrzymuje tekst tłumaczenia do syntezy. Profil głosu jest utrzymywany u dostawcy do jego usunięcia.
Połączenia przychodzące są obecnie niedostępne. Opis ich danych i list numerów dotyczy tej funkcji po jej udostępnieniu; nie oznacza, że obecnie można odbierać lub przekierowywać połączenia do aplikacji.
4. Odbiorcy danych — podmioty przetwarzające
| Podmiot | Rola | Dane | Transfer poza EOG |
|---|---|---|---|
| Cloudflare, Inc. (USA) | serwery aplikacji, baza danych, dystrybucja | wszystkie dane techniczne; audio i tekst przechodzą przez serwer w czasie rozmowy | standardowe klauzule umowne oraz EU-U.S. Data Privacy Framework. Wszystkie dane osobowe, które zapisujemy, leżą w jurysdykcji UE. Wyjątek: logi techniczne — wiersz niżej |
| Cloudflare — logi techniczne (osobny strumień) | logi serwera, próbkowanie 10% | wpisy diagnostyczne: identyfikator rozmowy, identyfikator urządzenia, kody błędów — bez treści rozmowy, bez numerów, bez adresu e-mail | logi przechowuje Cloudflare poza gwarancją jurysdykcji UE; okres retencji rzędu kilku dni |
| OpenAI (USA) | silnik tłumaczenia — rozpoznawanie mowy, tłumaczenie, synteza głosu; nagranie zapowiedzi AI dla rozmówcy | strumień audio, tekst tłumaczenia, skrót identyfikatora urządzenia | USA; podstawą przekazania są standardowe klauzule umowne — OpenAI nie figuruje na liście EU-U.S. Data Privacy Framework (sprawdzone 5 września 2026). Logi nadużyć do 30 dni, brak użycia danych do trenowania modeli. Zerowej retencji nie obiecujemy — wymaga odrębnego aneksu |
| DeepL SE (Kolonia, Niemcy — UE) | silnik tłumaczenia mowa→mowa (DeepL Voice API, plan Pro) | strumień audio i tekst tłumaczenia w czasie rozmowy | Bez przekazania poza EOG: wg polityki prywatności dostawcy treści klientów planu Pro są przetwarzane w infrastrukturze UE i nie są używane do ulepszania modeli. Warunki licencji Pro zastrzegają jednak prawo dostawcy do określenia lokalizacji przetwarzania — potwierdzamy to w umowie powierzenia przed skierowaniem rozmów na ten silnik. Treści przechowywane tymczasowo, w razie błędów do 72 godzin |
| Google LLC (USA) — Gemini Live API | silnik tłumaczenia mowa→mowa | strumień audio i tekst tłumaczenia w czasie rozmowy | USA; EU-U.S. Data Privacy Framework (Google LLC jest aktywnym uczestnikiem) oraz standardowe klauzule umowne. Google nie używa zapytań i odpowiedzi do ulepszania swoich produktów — dla użytkowników z Europejskiego Obszaru Gospodarczego zasady te obejmują wszystkie usługi Gemini API. Zapytania i odpowiedzi są zapisywane „przez ograniczony czas” wyłącznie do wykrywania nadużyć; dostawca nie podaje konkretnego okresu |
| Twilio Inc. (USA) | połączenia telefoniczne; wobec danych ruchu (numery, czasy) Twilio występuje także jako niezależny administrator | numer wybierany, numer nadawcy, czas połączenia, audio w trakcie połączenia (bez nagrywania) | standardowe klauzule umowne i EU-U.S. Data Privacy Framework. Log połączeń (numery i czasy) jest dostępny w konsoli Twilio przez 13 miesięcy |
| Google Ireland Ltd / Google LLC | powiadomienia push (Firebase Cloud Messaging), sklep i płatności Google Play | token powiadomień; przy zakupach — dane transakcji (Google jako sprzedawca) | standardowe klauzule umowne i Data Privacy Framework |
| ElevenLabs (Eleven Labs Inc., USA) | utworzenie własnego głosu i synteza tłumaczenia po jego wybraniu | próbka głosu, profil głosu, tekst tłumaczenia do syntezy | USA; warunki przetwarzania w DPA ElevenLabs. Nie zapewniamy przechowywania wyłącznie w UE ani zerowej retencji. |
| Palabra.ai | silnik tłumaczenia używany zależnie od trybu i pary językowej | strumień audio i tekst tłumaczenia | Szczegóły lokalizacji przetwarzania, retencji i warunków transferu nie są tutaj potwierdzone; nie zapewniamy przetwarzania wyłącznie w UE ani zerowej retencji. |
Dane udostępniamy też organom, gdy wymaga tego prawo.
4a. Który dostawca tłumaczy Twoją rozmowę — wybiera system, nie Ty
Aplikacja ma cztery silniki tłumaczenia: OpenAI, Palabra.ai, DeepL Voice i Google Gemini Live. Każdy z nich dostaje strumień dźwięku, a nie sam tekst — dotyczy to także DeepL (produkt DeepL Voice) i Google (Gemini Live). Wyboru dokonuje nasz serwer dla danego kierunku tłumaczenia (na przykład niemiecki → polski) na podstawie pomiarów jakości i opóźnienia. Nie wybierasz dostawcy w aplikacji, więc dźwięk Twojej wypowiedzi i wypowiedzi rozmówcy może trafić do któregokolwiek z dostawców wymienionych w tabeli powyżej — w zależności od pary językowej.
Dwie rzeczy wynikają wprost z tego, jak działa kod: rozmowa nigdy nie jest w trakcie przenoszona do innego dostawcy (silnik wybrany na starcie prowadzi ją do końca albo rozmowa jest odrzucana z komunikatem błędu), a silnik bez skonfigurowanego klucza nie dostaje żadnych danych — żądanie kończy się błędem, zanim zostanie wybrany numer. W metadanych rozmowy zapisujemy, który silnik ją obsłużył, więc na żądanie możemy powiedzieć, do którego dostawcy trafił dźwięk konkretnej rozmowy.
Tryb rozmowy twarzą w twarz w wariancie automatycznym korzysta jednocześnie z dwóch sesji Google Gemini Live — po jednej na każdy kierunek tłumaczenia. Dźwięk obu rozmówców trafia więc do Google w obu kierunkach rozmowy, a nie tylko w jednym. Podwójne zużycie API ponosi w kosztach DawidWeb, nie użytkownik pilotażu.
4b. Numer, który widzi rozmówca (numer nadawczy)
W fazie pilotażu nie mamy jeszcze własnego numeru telefonicznego Palabra Live. Połączenia wychodzące są zestawiane ze zweryfikowanego prywatnego numeru właściciela usługi. Konsekwencje, które trzeba znać:
- rozmówca widzi na wyświetlaczu prywatny numer właściciela, a nie numer Palabry;
- jeżeli rozmówca oddzwoni, połączenie trafi do właściciela, a nie do Ciebie — właściciel może w ten sposób poznać numer rozmówcy poza aplikacją;
- numer „do” i numer „od” każdej rozmowy są zapisane w logu połączeń operatora Twilio przez 13 miesięcy.
Po zakupie numeru niemieckiego lub polskiego dla Palabra Live rozmowy będą zestawiane z tego numeru, a ten punkt zostanie zaktualizowany przed publikacją aplikacji w sklepie.
5. Jak długo przechowujemy
| Dane | Okres | Uwagi |
|---|---|---|
| Audio rozmowy | 0 — nie jest zapisywane | u dostawców, zależnie od tego, który silnik obsłużył rozmowę (punkt 4a): OpenAI — do 30 dni w logach nadużyć; DeepL — przechowywanie tymczasowe, w razie błędów do 72 godzin; Google (Gemini) — „ograniczony czas” wyłącznie do wykrywania nadużyć, okres niepodany przez dostawcę. Twilio nie nagrywa audio, ale trzyma log połączenia (numery i czasy) przez 13 miesięcy |
| Tekst tłumaczenia | do końca rozmowy (pamięć sesji) | nie trafia do bazy |
| Wybierany numer | na czas rozmowy — w pamięci sesji rozmowy na naszym serwerze | nie trafia do bazy rozmów. Od backendu 0.14.1 jest kasowany z pamięci sesji zaraz po zakończeniu rozmowy; Twilio ma go w logu połączenia przez 13 miesięcy |
| Metadane rozmów | nie dłużej niż 396 dni (13 miesięcy), potem tylko sumy miesięczne | automatyczne kasowanie działa od panelu 0.9.3 (6 września 2026); alarm nocny je uruchamia, a panel pokazuje podgląd ostatniego przebiegu |
| Zgłoszenia problemów | nie dłużej niż 365 dni od zamknięcia zgłoszenia | |
| Zdarzenia aplikacji (uruchomienie, awaria) oraz znaczniki przebiegu rozmowy | nie dłużej niż 30 dni | wyłącznik w Ustawieniach → Prywatność zatrzymuje zbieranie |
| Odpowiedź na pytanie po rozmowie | nie dłużej niż 30 dni | wyłącznik w Ustawieniach → Prywatność wyłącza i pytanie, i zapis |
| Dowody z testów rozmów | nie dłużej niż 396 dni — jak metadane rozmów | dotyczy przebiegów testowych właściciela, nie rozmów użytkowników; kasowane automatycznie tak samo jak metadane rozmów (panel 0.9.3) |
| Identyfikator urządzenia, licencja | nie dłużej niż 730 dni (24 miesiące) bez aktywności albo do usunięcia danych | |
| Skróty numerów z list połączeń przychodzących, token powiadomień | do wyłączenia połączeń przychodzących albo usunięcia danych | numery jawne żyją tylko w pamięci serwera na czas obsługi żądania — do bazy trafiają wyłącznie skróty |
| Zdarzenia pobrań | nie dłużej niż 396 dni (13 miesięcy) | bez adresu IP |
| Historia rozmów na Twoim telefonie (zakładka „Ostatnie”) | 30 dni, najwyżej 50 wpisów | nie leży na naszym serwerze — okresu pilnuje sama Aplikacja, licząc go przy każdym otwarciu listy i przy każdym dopisaniu wpisu. historię kasujesz sam — pojedynczy wpis przez „Usuń z historii”, całą listę przez „Wyczyść historię” albo „Wyczyść historię rozmów” w Ustawieniach → Prywatność; kasuje ją także potwierdzone „Usuń moje dane teraz”, w którym jest osobnym krokiem |
| Nagrobek po usunięciu danych urządzenia: skrót poświadczenia urządzenia i dwa znaczniki czasu, bez identyfikatora urządzenia | 30 dni | zapisywany w tej samej operacji, która kasuje dane; służy potwierdzeniu usunięcia i odrzucaniu poświadczeń wystawionych przed usunięciem. Wygasa sam (punkt 6) |
| Dane rozliczeniowe (koszty rozmów, sumy miesięczne) | 5 lat od końca roku podatkowego | obowiązek prawny. Po usunięciu danych zostaje wyłącznie agregat bez identyfikatora urządzenia |
| Logi techniczne serwera (Cloudflare) | rzędu kilku dni | poza jurysdykcją UE; usunięcie danych na Twoje żądanie ich nie obejmuje |
| Próbka do utworzenia własnego głosu | Na naszym serwerze tylko w pamięci na czas obsługi żądania | Przekazywana do ElevenLabs. Brak trwałej kopii u nas nie oznacza usunięcia danych u dostawcy. |
| Profil własnego głosu i dane jego obsługi | Do potwierdzonego usunięcia profilu lub danych konta | Model pozostaje u ElevenLabs do usunięcia. Szczegóły i ograniczenia usuwania opisuje punkt 6. |
Podane okresy są maksymalne — to granice, których nie przekraczamy. Automatyczne kasowanie po upływie tych okresów działa od panelu 0.9.3 (6 września 2026); jeżeli przebieg nocny się nie powiedzie, dane starsze niż podane okresy nadal usuwamy ręcznie na żądanie (punkt 6).
6. Twoje prawa
Masz prawo do: dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych (dane z umowy), sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie oraz cofnięcia zgody w każdej chwili (bez wpływu na wcześniejsze przetwarzanie).
Jak z nich skorzystać dzisiaj — są dwie drogi. Pierwsza: przycisk „Usuń moje dane teraz” w Ustawieniach → Prywatność, który działa od wydania Aplikacji 0.10.0 i uruchamia usunięcie od razu, bez czekania na obsługę ręczną; tam też jest podgląd i kopiowanie identyfikatora urządzenia. Druga: e-mail na kontakt@dawidweb.com — dla pozostałych żądań (dostęp, sprostowanie, ograniczenie, przeniesienie, sprzeciw) i dla osób, które Aplikacji już nie mają. Żeby odnaleźć dane powiązane z Twoim telefonem, potrzebujemy identyfikatora urządzenia albo adresu e-mail, na który dostałeś kod dostępu do pilotażu; pomaga też data i przybliżona godzina ostatniej rozmowy. Żądanie z e-maila realizujemy w ciągu 14 dni (przepisy dają na to miesiąc). Przycisk „Pobierz moje dane” i strona /usun-dane są nadal w przygotowaniu i dziś nie działają, dlatego nie obiecujemy tu drogi, której jeszcze nie ma.
Co robi punkt usuwania danych (6.09.2026). DELETE /api/mobile/v1/device unieważnia poświadczenie urządzenia, kasuje jego dane, a panel usuwa powiązane rozmowy, zdarzenia, dowody testów urządzenia oraz wpisy audytu, które na nie wskazują; rozliczenie miesięczne zostaje, ale bez identyfikatora urządzenia. Po potwierdzeniu z serwera Aplikacja kasuje też to, co trzyma telefon: poświadczenie urządzenia, historię rozmów, ostatnio wybierane numery i lokalne ustawienia rozmów. Historia rozmów jest w tym kasowaniu osobnym krokiem. Samej historii nie musisz kasować przez usunięcie konta — wystarczy „Wyczyść historię rozmów” w Ustawieniach → Prywatność.
Nagrobek poświadczenia urządzenia po usunięciu. W tej samej operacji, która kasuje dane, serwer zapisuje skrót poświadczenia urządzenia i dwa znaczniki czasu — i nic poza tym, żadnego identyfikatora urządzenia. Jest to potrzebne do dwóch rzeczy: żeby usługa mogła potwierdzić, że dane zostały usunięte, zamiast odpowiadać „nie znam takiego urządzenia”, i żeby odrzucać poświadczenia wystawione przed usunięciem, gdyby ktoś próbował ich później użyć. Ten zapis wygasa po 30 dniach i znika sam. Podstawa: art. 6 ust. 1 lit. f (uzasadniony interes — wykazanie wykonania żądania i bezpieczeństwo dostępu).
Co dokładnie znaczy „usunięcie danych”. Kasujemy rejestr Twojego urządzenia, zgłoszenia problemów i zdarzenia aplikacji. Wpisy, których wymaga prawo podatkowe (koszty rozmów, sumy miesięczne), i dowody czynności administracyjnych zostają, ale w postaci zanonimizowanej: w miejsce identyfikatora urządzenia i użytkownika wpisujemy nieodwracalny znacznik, adres e-mail zastępujemy, a konto dostaje status „usunięte”. Po tej operacji nie da się już powiązać tych zapisów z Tobą.
Czego usunięcie nie obejmuje (nie mamy tam technicznej możliwości kasowania):
- log połączeń u operatora Twilio — numery i czasy połączeń, 13 miesięcy;
- logi nadużyć OpenAI — do 30 dni;
- tymczasowe kopie treści u DeepL w razie błędu przetwarzania — do 72 godzin;
- logi zapytań i odpowiedzi u Google (Gemini) prowadzone do wykrywania nadużyć — „ograniczony czas”, okres niepodany przez dostawcę;
- logi techniczne serwera u Cloudflare — rzędu kilku dni.
Te dane wygasają samoczynnie po podanych okresach.
Skargę możesz złożyć do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl) albo — mieszkając w Niemczech — do właściwego krajowego urzędu ochrony danych (lista: bfdi.bund.de).
Usuwanie własnego głosu. W Ustawieniach → Głos → Mój głos wybierz „Usuń mój głos”. Aplikacja wysyła żądanie usunięcia profilu do ElevenLabs i potwierdza zakończenie dopiero po odpowiedzi dostawcy. Jeśli operacja jest w toku lub nie ma potwierdzenia, nie przedstawiamy jej jako zakończonej. Usunięcie danych konta obejmuje również profil. Nie obiecujemy zerowej retencji ani określonego terminu usunięcia wszystkich próbek, kopii zapasowych lub logów po stronie ElevenLabs; zależy to od warunków przetwarzania dostawcy.
Po usunięciu danych własnego głosu pozostaje także techniczny znacznik blokujący ponowne utworzenie profilu przez wcześniej rozpoczęte żądanie. Nie zawiera próbki, modelu głosu, nazwy, identyfikatora urządzenia ani zapisu zgody i nie ma automatycznego terminu wygaśnięcia.
7. Czy podanie danych jest obowiązkowe
Bez identyfikatora urządzenia i dostępu do mikrofonu aplikacja nie może tłumaczyć. Uprawnienie do kontaktów jest dobrowolne — bez niego nie działa tylko filtr połączeń przychodzących.
Funkcja własnego głosu korzysta z ElevenLabs i wymaga osobnej, wyraźnej zgody. Możesz nagrać lub zaimportować próbkę wyłącznie własnego głosu. Rozmówca słyszy wygenerowany głos podobny do Twojego. Możesz korzystać ze standardowego głosu bez tworzenia klonu.
8. Bezpieczeństwo
Transmisja jest szyfrowana (TLS). Poświadczenia urządzenia są przechowywane w Android Keystore. Dane zostające na telefonie — listy numerów połączeń przychodzących i historia rozmów — są szyfrowane AES-256-GCM kluczem z Android Keystore. Klucze usług są w sejfie właściciela i w tajnych zmiennych Cloudflare, nigdy w aplikacji. Panel administracyjny wymaga logowania przez Cloudflare Access z drugim składnikiem.
9. Dane rozmówcy i osób z Twoich list numerów (art. 14 RODO)
Osoby z historii rozmów na Twoim telefonie. Numery osób, z którymi rozmawiałeś — także tych, które zadzwoniły do Ciebie — trafiają na listę „Ostatnie” w Twoim telefonie i zostają tam do 30 dni (punkty 3 i 5). Do nas te wpisy nie docierają: historia nie jest wysyłana na serwer i nie mamy do niej dostępu. Osoby te nie wiedzą, że ich numer jest na Twojej liście; poinformowanie każdej z nich osobno wymagałoby niewspółmiernego wysiłku (art. 14 ust. 5 lit. b RODO), dlatego informację zastępuje ta polityka — tak samo jak przy listach numerów połączeń przychodzących.
Osoby z list „dozwolone / zablokowane”. Jeżeli włączysz połączenia przychodzące, numery z tych list trafiają na nasz serwer w postaci jawnej i są tam zamieniane na skróty — samych numerów nie zapisujemy, a skrótu nie da się odwrócić bez naszego tajnego klucza. Te osoby nie wiedzą, że ich numer znalazł się na liście; poinformowanie każdej z nich osobno wymagałoby niewspółmiernego wysiłku (art. 14 ust. 5 lit. b RODO), dlatego informację zastępuje ta polityka.
Rozmówca nie korzysta z aplikacji, ale jego głos jest przetwarzany na żywo, żeby przetłumaczyć rozmowę, którą świadomie prowadzi. Nie zapisujemy jego głosu ani treści rozmowy w bazie; jego numer nie trafia do naszej bazy, ale trafia do logu połączeń operatora Twilio na 13 miesięcy. Rozmówca widzi numer nadawczy opisany w punkcie 4b — w fazie pilotażu prywatny numer właściciela usługi. O tłumaczeniu przez sztuczną inteligencję informuje go zapowiedź odtwarzana na początku rozmowy w jego języku, gdy jest włączona oraz Użytkownik. Rozmówca ma te same prawa co Użytkownik (punkt 6).
Brzmienie i długość zapowiedzi. Na połączeniach wychodzących gra krótszy z dwóch zatwierdzonych wariantów zapowiedzi: 4,7 s po polsku, 5,1 s po niemiecku, 4,5 s po angielsku i 5,3 s po ukraińsku. Treść jest ta sama — rozmówca dowiaduje się, że rozmowa jest tłumaczona przez sztuczną inteligencję i że słyszy głos syntetyczny. Sekundy zapowiedzi nie są rozliczane. W czasie, w którym numer rozmówcy dzwoni, serwer gra Tobie sygnał dzwonienia, żeby cisza nie wyglądała na awarię; sygnał jest dźwiękiem generowanym przez nas, nie fragmentem rozmowy, i nigdzie go nie zapisujemy.
Zapowiedź o tłumaczeniu przez AI jest domyślnie włączona. Aplikacja udostępnia przełącznik pozwalający ją wyłączyć przed rozmową. Wyłączenie dźwiękowej zapowiedzi nie wyłącza przetwarzania mowy przez dostawców ani informacji o głosie syntetycznym. Obowiązek poinformowania Rozmówcy o rozmowie z systemem sztucznej inteligencji pozostaje po stronie Usługodawcy jako dostawcy tego systemu (art. 50 ust. 1 rozporządzenia o sztucznej inteligencji). Wyłączenie zapowiedzi nie przenosi tego obowiązku na Użytkownika będącego konsumentem.
10. Dzieci
Aplikacja jest przeznaczona dla osób pełnoletnich. Nie zbieramy świadomie danych dzieci.
11. Zmiany polityki
O istotnych zmianach informujemy w Aplikacji. Aktualna wersja zawsze pod tym adresem. Wersja 0.7 (szkic), 8 września 2026.