Seguridad
Diseñado para retener lo mínimo posible
El audio en directo nunca llega a los servidores de Newey y los subtítulos se generan en su navegador. Lo que decida guardar permanece bajo su control: es exportable, eliminable y, opcionalmente, cifrado de extremo a extremo.
El audio en vivo nunca pasa por nuestros servidores
Su navegador se conecta directamente al motor de reconocimiento de voz mediante una clave de corta duración, y el flujo de transcripción y traducción en directo se recibe por la misma vía. Los servidores de Newey gestionan la autenticación, la emisión de claves temporales y el registro de uso; nunca reciben, almacenan ni retransmiten el audio que usted habla o captura. Dos funciones opcionales dirigen material específico a través de nuestros servidores: el uso compartido con la audiencia retransmite el texto de los subtítulos, y Voice to Voice retransmite la oración traducida y el audio sintetizado que genera; ambos son solo de tránsito y nunca se almacenan. Consulte la tabla del ciclo de vida de los datos a continuación para obtener un informe completo.
Servidor de Newey
Autenticación · emisión de claves · medición de uso
Tu navegador
Motor de reconocimiento de voz
Conexión directa, claves de mínimo privilegio
El servidor emite una clave temporal restringida solo a transcripción en tiempo real, válida solo el tiempo justo lo necesario para abrir la conexión. El contenido de la clave nunca se guarda en nuestra base de datos; solo se conservan los metadatos de emisión para auditoría.
Responsabilidades del servidor al mínimo
En la ruta en directo, las responsabilidades del servidor terminan en el inicio de sesión, la emisión de claves y la medición de uso por latidos. Mantener el audio en directo y el flujo de subtítulos en directo fuera de nuestros servidores es una invariante de diseño del código — no una opción de configuración.
Las funciones opcionales siguen el mismo principio
Incluso con la compartición con la audiencia activada (desactivada por defecto), el texto de los subtítulos solo pasa por la memoria del servidor para su entrega; no se escribe nada en la base de datos ni en los registros, y se descarta en cuanto termina la sesión. Las sugerencias de contexto con IA, los títulos y las notas envían el texto mínimo a un proveedor de IA que lo procesa solo para esa solicitud: según nuestros acuerdos de procesamiento de datos, tampoco se retiene por su parte, y nuestros servidores no almacenan nada de ello. Independientemente de lo que active, el principio sigue siendo el mismo: mantener la menor cantidad de datos posible en el servidor.
Ciclo de vida de los datos
Las categorías de datos que maneja el servicio: dónde se procesa cada una, cómo se protege y cuánto tiempo permanece.
Cifrado
En tránsito: TLS en todas partes
Todo el tráfico del servicio va cifrado con TLS — el sitio por HTTPS y la conexión con el motor de voz por wss, transmisión de audio incluida.
En reposo en el servidor
Los registros de sesión guardados en tu cuenta se almacenan en infraestructura de base de datos gestionada, y cada lectura y escritura está acotada a tu cuenta — ningún otro usuario puede acceder a ellos. Con el cifrado de extremo a extremo opcional, el servidor solo guarda texto cifrado.
En reposo en tu dispositivo
La caché local de tus registros y tu glosario se cifran en este navegador con AES-256-GCM. La clave es una clave WebCrypto no extraíble guardada en IndexedDB — ningún script puede leerla, y la clave nunca sale de tu dispositivo. En cada escritura se genera un IV nuevo de 12 bytes. Una excepción a lo 'solo local': el glosario también se replica en tu cuenta para que la extensión del navegador y los dispositivos nuevos puedan leerlo.
Cifrado de extremo a extremo opcional
Actívalo y los cuerpos de transcripción y traducción — la sustancia de tus registros — se cifran en tu dispositivo antes de subirse, de modo que el servidor solo guarda texto cifrado. El cifrado lo hace una clave maestra AES-GCM aleatoria de 256 bits con un IV nuevo por registro; la clave se envuelve con una frase de recuperación de 6 palabras (elegidas de forma uniforme de la lista BIP39) mediante PBKDF2-SHA512 con 600 000 iteraciones, un mínimo que el servidor exige. Sin tu frase, el servidor no puede desenvolver la clave.
Tus datos, bajo tu control
Guardar es una decisión, no un valor por defecto — y todo lo que guardas puede exportarse o borrarse en cualquier momento.
Sesiones privadas
Activa el interruptor de sesión privada antes de empezar y no se guarda nada — la ruta de almacenamiento sencillamente nunca se invoca. Solo las sesiones finalizadas que decides guardar quedan en tu cuenta.
Exporta todo
Descargue cualquier transcripción como TXT o SRT, o exporte sus datos del lado del servidor como un único archivo JSON — perfil, cuentas conectadas (tokens excluidos), metadatos de passkeys, metadatos de sesión, registros de uso, su glosario, registros guardados con las notas de IA generadas a partir de ellos, instalaciones del marketplace, registros de suscripción y facturación, y entradas de auditoría de emisión de claves.
Borra a cualquier nivel
Elimine registros uno a uno o todos a la vez. Al borrar su cuenta, se elimina todo en una única transacción de base de datos —incluyendo todas las credenciales de inicio de sesión que poseemos, ya sean tokens OAuth, passkeys o códigos por correo electrónico— y se registra una entrada mínima de auditoría de eliminación (correo electrónico, hora) que se conserva. Si inició sesión con Google, también revocamos el permiso de Google OAuth de Newey en Google; Microsoft no ofrece una API equivalente para aplicaciones de terceros, por lo que eliminamos los tokens que poseemos y usted puede eliminar a Newey de la lista de aplicaciones de su cuenta de Microsoft cuando lo desee. Tras esto, solo conservamos lo que la ley exige: la entrada de auditoría mencionada y, si adquirió un plan de pago, el registro de dicha compra; la Política de privacidad detalla cada uno y su duración.
Derechos implementados en el producto
La exportación implementa el acceso y la portabilidad del RGPD (arts. 15 y 20); el borrado implementa la supresión (art. 17). Para todo lo que el producto no cubra, escribe a support@newey.ai.
Prácticas de plataforma
Content Security Policy estricta
En producción se aplica una CSP — default-src 'self', object-src 'none', frame-ancestors 'none' — que bloquea cualquier origen no autorizado explícitamente.
Cabeceras de seguridad
HSTS (2 años, includeSubDomains), X-Content-Type-Options nosniff, X-Frame-Options DENY, Referrer-Policy y una Permissions-Policy que bloquea cámara y geolocalización y limita el micrófono y la captura de pantalla a la propia aplicación.
Los secretos nunca llegan al cliente
Las claves de API maestras y las credenciales de la base de datos viven solo en el entorno del servidor, tras guardas de módulo exclusivas del servidor — nada secreto viaja en los paquetes del cliente.
Sin contraseñas que filtrar
No almacenamos contraseñas y no hay ninguna que configurar; usted inicia sesión con Google, Microsoft, una passkey o un código de un solo uso enviado a su correo electrónico. La biometría de las passkeys nunca sale de su dispositivo (solo se almacenan una clave pública y un identificador), y los códigos de correo electrónico se almacenan cifrados y caducan en minutos. Las cookies de autenticación son HttpOnly y Secure, y las solicitudes a la API se verifican por origen.
Analítica supeditada al consentimiento
La analítica está desactivada por defecto en todas las regiones y solo funciona tras tu consentimiento. Las señales publicitarias están denegadas de forma permanente — no hay cookies publicitarias — y no hay repetición de sesiones; te identificamos solo por un ID interno seudónimo, nunca por tu correo ni tu nombre.
Postura de cumplimiento
Los derechos de los interesados del RGPD están implementados en el propio producto: acceso y portabilidad mediante la exportación, y supresión mediante el borrado. El servicio está diseñado y operado para cumplir con la legislación de protección de datos aplicable a nuestros usuarios: el RGPD y el RGPD del Reino Unido, la CCPA y la CPRA en California, la Ley de Protección de Información Personal de Corea y leyes equivalentes en otras jurisdicciones. Los detalles sobre el tratamiento, las transferencias internacionales y los plazos de retención se describen en la Política de privacidad.
Nuestro programa interno de seguridad se revisa de forma continua y se alinea con los controles de ISO/IEC 27001:2022. Realizamos revisiones internas de seguridad periódicas, incluidas pruebas adversariales, y los hallazgos confirmados se corrigen y despliegan con rapidez.
El control en el que más nos apoyamos es arquitectónico: cuantos menos datos sensibles puedan tocar nuestros servidores, menos hay que proteger. Minimizar la superficie del servidor para datos sensibles ha sido el principio de diseño desde el primer día.
Evaluado por nosotros conforme a dichas leyes y a los controles ISO/IEC 27001:2022; la certificación independiente está en curso y aún no se ha emitido.
Informar de una vulnerabilidad
Informe cualquier vulnerabilidad por correo electrónico con suficiente detalle para reproducirla. Alcance: newey.ai, la aplicación, la extensión del navegador y la aplicación de escritorio. No emprenderemos acciones legales contra quienes informen de buena fe, se mantengan dentro de su propia cuenta y datos, y nos otorguen un tiempo razonable para solucionar el problema antes de hacerlo público. Nuestro archivo security.txt contiene el mismo contacto.
Páginas relacionadas
Sea lo que sea que veas, sea quien sea con quien hables
Conéctese con personas en cualquier lugar y en su propio idioma, sin importar con quién hable ni dónde se encuentre.