English

WHAZZA APP PRIVACY POLICY

Effective date: October 20, 2026

1. DATA CONTROLLER

The data controller is NEXITECH SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, with its registered office at ul. Bratnia 42, 05-840 Brwinów, Poland, KRS 0001065675, NIP 5342670597, REGON 526780189. For privacy and personal-data matters, contact support@nexitech.pl.

2. DATA WE PROCESS

We may process:

account data: email address, user identifier, and authentication data;
profile data: nickname, avatar, and visibility settings;
social relationships: friends, invitations, groups, channels, and roles;
user content: encrypted text and voice messages, reactions, polls, conversation names, images, and other attachments;
call data: participant and chat identifiers, call type and status, timestamps, WebRTC signaling data, and ICE network candidates necessary to establish a call; the audio or video stream is transmitted in real time between participants or through a configured relay server and is not recorded by the app;
technical data: notification token, installation identifier, app version, operating system, IP address or network-connection information visible to the infrastructure and a call participant, and data necessary for security and diagnostics;
communication and activity data: online status, last activity, typing status, delivery and read confirmations, logins, and changes concerning contacts or conversations; the app displays an activity log for the most recent month;
security and moderation data: screenshot-attempt events, blocks, user reports, report category and description, and identifiers of the related user, chat, or message;
encryption data: public encryption key and a password-protected encrypted copy of the private identity key, together with the salt and key-derivation parameters needed to unlock it;
purchase data: product identifier, subscription status, and information necessary to confirm a purchase. Full card details are handled by Apple or Google, not Whazza;
correspondence with support and complaints.

Data is obtained from the user, generated when the user uses the service, received from conversation participants and app stores, or collected automatically from the app, device, and service infrastructure. The app requests microphone access when recording a voice message and making an audio or video call; camera access during a video call or when taking a photo for a message; photo-library access when the user selects an image or avatar; and Bluetooth access where required to route call audio to a connected headset. Access is activated by a user action and may be revoked in the system settings. A voice recording and selected or captured media may be stored temporarily on the device, encrypted before upload where sent through Whazza, and temporary copies are then deleted on a best-effort basis. The app also keeps local account, key, settings, and conversation-summary data needed for secure login and fast operation. It does not request access to the system address book or precise location. Other files are selected deliberately by the user with the system picker.

3. PURPOSES AND LEGAL BASES

We process data to:

create an account and provide chat, files, voice messages, audio and video calls, notifications, and subscription support—performance of a contract or steps taken before entering into a contract;
provide presence, typing and read-status features, retention timers, secure key recovery, and local synchronization—performance of a contract;
protect the service, notify conversation participants of screenshot attempts, process blocks and abuse reports, moderate the service, handle errors, and establish or pursue claims—the controller’s legitimate interest, taking the user’s rights into account;
keep billing records, respond to requests from authorities, and comply with legal obligations—compliance with a legal obligation;
send optional communications or use data for another purpose that requires consent—consent, which may be withdrawn without affecting earlier processing.

Where providing data is necessary to create an account or deliver the service, failure to provide it may prevent use of the relevant feature.
Whazza does not sell personal data, display third-party advertising, or use personal data to track users across apps or websites owned by other companies.

4. RECIPIENTS AND PROVIDERS

Data may be processed by providers acting on the controller’s instructions, in particular Google Firebase/Google Cloud (authentication, App Check, database, files, server functions, and notifications), Apple App Store and Google Play (payments and distribution), providers of STUN/TURN infrastructure used to establish WebRTC calls, and hosting, support, or legal-service providers—only to the extent required for their tasks. The controller requires processors and other providers receiving personal data to apply protection consistent with this policy and no less protective than required by applicable law. Conversation participants receive content sent to them, presence, typing, delivery and read information, and screenshot alerts, and may learn network information disclosed by WebRTC technology. Authorized support or moderation personnel may access reports and related metadata where necessary to investigate abuse. Data may be disclosed to authorities where required by law. Information about current providers is available from support@nexitech.pl.

5. ENCRYPTION AND CONTENT VISIBILITY

Message content, attachments, selected profile data, and conversation names are protected by application-level end-to-end encryption. WebRTC call media uses transport encryption and additional AES-GCM end-to-end encryption of audio and video frames with a key derived from the relevant chat secret and call identifier. The public identity key and a password-wrapped encrypted private identity key are stored by the service; an unlocked copy may be kept in protected device storage. The Whazza application backend does not store the account password; it is processed by Firebase Authentication. The controller does not receive an unencrypted private identity key. Without the old password or a trusted device holding the key, a password reset may make earlier encrypted history unrecoverable; the app communicates this before creating any new identity. Conversation recipients see data sent to them and may retain it outside the app. Metadata necessary to operate the service—in particular identifiers, membership, presence, typing status, timestamps, delivery and read status, retention rules, reports, screenshot events, signaling data, and technical data—may not be covered by E2EE. The controller does not claim that all processed data is invisible to the infrastructure.

6. TRANSFERS OUTSIDE THE EEA

Providers may process data outside the European Economic Area. The controller uses the required mechanisms to legalize transfers, such as an adequacy decision or standard contractual clauses together with supplementary safeguards. Details and a copy of the relevant safeguards are available from support@nexitech.pl.

7. RETENTION AND DELETION

account data—for the period in which the account is used and, after its deletion, only for as long as necessary to comply with a legal obligation or defend against claims;
messages and files—until deleted by the user or an authorized participant, expiry of the configured time, reaching the download limit, deletion of the account or database, or cessation of the purpose of processing;
signaling data and call metadata—until deleted as part of service maintenance, account deletion, or cessation of the purpose of processing; the app does not store recordings of audio and video streams;
the activity log visible in the app—generally for the most recent month, with security data retained longer only where necessary to investigate an incident or defend against claims;
moderation reports, blocks, screenshot events, and other security records—for as long as necessary to investigate the report, prevent abuse, protect users, comply with law, or defend against claims;
encryption keys and key-wrapping data—for the life of the account or until they are replaced or deleted; protected local copies and conversation caches remain until logout, account deletion, app-data removal, or ordinary cache cleanup, as applicable;
billing and complaint data—for the period required by law and applicable limitation periods;
backups—until overwritten in the provider’s ordinary technical cycle; following a deletion request, data is isolated from ordinary use and is not restored except in emergency system recovery.

The database may be deleted or restored for technical, security, or legal reasons, or when the service is discontinued. This does not change the controller’s duty to protect data lawfully, honor data subjects’ rights, and delete data where there is no basis for further processing. The app is not a permanent archive; users should keep their own copies of important files.

8. USER RIGHTS

Under the conditions laid down by the GDPR, the user may request access to, rectification or erasure of data, restriction of processing, and data portability, and may object to processing based on legitimate interests. The user may also withdraw consent. Requests should be sent to support@nexitech.pl. The identity of the person making a request may be verified.

The user has the right to lodge a complaint with the competent supervisory authority. In Poland, this is the President of the Personal Data Protection Office (uodo.gov.pl).

9. ACCOUNT DELETION

The user may permanently delete the account directly through Settings → Account → Permanently delete account. If the user cannot access the app, they may send a request from the address assigned to the account to support@nexitech.pl or use https://whazzup-802a2.web.app/account-deletion.html. Deletion covers the account and related data that the controller is not legally obliged or otherwise entitled to retain. Data may remain for a limited time in rotating backups and will be isolated from ordinary use. Deleting the account does not automatically cancel a subscription in the App Store or Google Play.

10. SECURITY

We use measures appropriate to the risk, including access control, transport encryption, protection of keys on the device, and database access rules. No system is completely resistant to incidents. If a breach occurs, we will take the steps required by law.

11. CHILDREN

The service is not directed to children under 16. If the controller learns that data of a child under 16 has been collected, it will take steps to delete the account and data unless further processing is required by law.

12. AUTOMATED DECISIONS

We currently do not make decisions about users based solely on automated processing that would produce legal effects or similarly significantly affect them. If this changes, this policy will be supplemented.

13. CHANGES TO THIS POLICY

This policy may be updated in response to changes in law, features, or providers. We will provide notice of material changes in the app or by email before they take effect where required. The current version is always available in the app settings.

Polski

POLITYKA PRYWATNOŚCI APLIKACJI WHAZZA

Data wejścia w życie: 20 października 2026 r.

1. ADMINISTRATOR DANYCH

Administratorem danych jest NEXITECH SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ z siedzibą przy ul. Bratniej 42, 05-840 Brwinów, Polska, KRS 0001065675, NIP 5342670597, REGON 526780189. W sprawach prywatności i danych osobowych można kontaktować się pod adresem support@nexitech.pl.

2. JAKIE DANE PRZETWARZAMY

Możemy przetwarzać:

dane konta: adres e-mail, identyfikator użytkownika i dane uwierzytelniania;
dane profilu: nick, avatar i ustawienia widoczności;
relacje społeczne: znajomi, zaproszenia, grupy, kanały i role;
treści użytkownika: zaszyfrowane wiadomości tekstowe i głosowe, reakcje, ankiety, nazwy rozmów, zdjęcia i inne załączniki;
dane połączeń: identyfikatory uczestników i czatu, rodzaj oraz stan połączenia, znaczniki czasu, dane sygnalizacyjne WebRTC i kandydaci sieciowi ICE niezbędni do zestawienia połączenia; strumień audio lub wideo jest przesyłany w czasie rzeczywistym między uczestnikami albo przez skonfigurowany serwer pośredniczący i nie jest nagrywany przez aplikację;
dane techniczne: token powiadomień, identyfikator instalacji, wersja aplikacji, system, adres IP lub informacje o połączeniu sieciowym widoczne dla infrastruktury i uczestnika połączenia oraz dane niezbędne do bezpieczeństwa i diagnostyki;
dane komunikacji i aktywności: status online, ostatnia aktywność, informacja o pisaniu, potwierdzenia dostarczenia i odczytu, logowania oraz zmiany dotyczące kontaktów lub rozmów; aplikacja prezentuje dziennik aktywności z ostatniego miesiąca;
dane bezpieczeństwa i moderacji: zdarzenia próby wykonania zrzutu ekranu, blokady, zgłoszenia użytkowników, kategoria i opis zgłoszenia oraz identyfikatory powiązanego użytkownika, czatu lub wiadomości;
dane szyfrowania: publiczny klucz szyfrujący oraz zabezpieczona hasłem, zaszyfrowana kopia prywatnego klucza tożsamości wraz z solą i parametrami wyprowadzania klucza potrzebnymi do jego odblokowania;
dane zakupowe: identyfikator produktu, status subskrypcji i informacje niezbędne do potwierdzenia zakupu. Pełne dane karty są obsługiwane przez Apple lub Google, a nie przez Whazza;
korespondencję z pomocą techniczną i reklamacje.

Dane są podawane przez użytkownika, powstają podczas korzystania z usługi, są otrzymywane od uczestników rozmów i sklepów z aplikacjami albo zbierane automatycznie z aplikacji, urządzenia i infrastruktury usługi. Aplikacja prosi o dostęp do mikrofonu podczas nagrywania wiadomości głosowej i wykonywania połączenia audio lub wideo; do kamery podczas połączenia wideo lub robienia zdjęcia do wiadomości; do biblioteki zdjęć, gdy użytkownik wybiera obraz lub avatar; oraz do Bluetooth, gdy jest to konieczne do skierowania dźwięku rozmowy do podłączonego zestawu słuchawkowego. Dostęp jest uruchamiany po działaniu użytkownika i może zostać cofnięty w ustawieniach systemu. Nagranie głosowe oraz wybrane lub wykonane materiały mogą być tymczasowo przechowywane na urządzeniu, są szyfrowane przed wysłaniem przez Whazza, a ich tymczasowe kopie są następnie usuwane w trybie best effort. Aplikacja przechowuje też lokalnie dane konta, klucze, ustawienia i podsumowania rozmów niezbędne do bezpiecznego logowania i szybkiego działania. Nie żąda dostępu do systemowej książki kontaktów ani precyzyjnej lokalizacji. Pozostałe pliki są wybierane świadomie przez użytkownika za pomocą systemowego selektora.

3. CELE I PODSTAWY PRAWNE

Dane przetwarzamy w celu:

utworzenia konta, dostarczania czatu, plików, wiadomości głosowych, połączeń audio i wideo, powiadomień i obsługi subskrypcji — wykonanie umowy lub działania przed jej zawarciem;
udostępniania statusu obecności, informacji o pisaniu i odczycie, timerów retencji, bezpiecznego odzyskiwania klucza i lokalnej synchronizacji — wykonanie umowy;
ochrony usługi, informowania uczestników rozmowy o próbach wykonania zrzutu ekranu, obsługi blokad i zgłoszeń nadużyć, moderacji, obsługi błędów i dochodzenia roszczeń — prawnie uzasadniony interes administratora, z uwzględnieniem praw użytkownika;
prowadzenia rozliczeń, obsługi żądań organów i spełniania obowiązków prawnych — obowiązek prawny;
wysyłania opcjonalnych komunikatów lub użycia danych do innego celu wymagającego zgody — zgoda, którą można wycofać bez wpływu na wcześniejsze przetwarzanie.

Jeżeli podanie danych jest konieczne do utworzenia konta lub wykonania usługi, brak ich podania może uniemożliwić korzystanie z odpowiedniej funkcji.
Whazza nie sprzedaje danych osobowych, nie wyświetla reklam podmiotów trzecich ani nie używa danych osobowych do śledzenia użytkowników w aplikacjach lub witrynach należących do innych firm.

4. ODBIORCY I DOSTAWCY

Dane mogą być przetwarzane przez dostawców działających na zlecenie administratora, w szczególności Google Firebase/Google Cloud (uwierzytelnianie, App Check, baza danych, pliki, funkcje serwerowe i powiadomienia), Apple App Store i Google Play (płatności oraz dystrybucja), dostawców infrastruktury STUN/TURN używanej do zestawiania połączeń WebRTC, a także dostawców hostingu, wsparcia lub obsługi prawnej — wyłącznie w zakresie potrzebnym do ich zadań. Administrator wymaga, aby podmioty przetwarzające i inni dostawcy otrzymujący dane osobowe stosowali ochronę zgodną z tą polityką i nie niższą niż wymagana przez właściwe prawo. Uczestnicy rozmowy otrzymują wysłane do nich treści, informacje o obecności, pisaniu, dostarczeniu i odczycie oraz alerty o zrzutach ekranu, a także mogą poznać informacje sieciowe ujawniane przez technologię WebRTC. Upoważniony personel wsparcia lub moderacji może uzyskać dostęp do zgłoszeń i powiązanych metadanych, gdy jest to konieczne do zbadania nadużycia. Dane mogą zostać ujawnione organom, gdy wymaga tego prawo. Informacje o aktualnych dostawcach można uzyskać pod adresem support@nexitech.pl.

5. SZYFROWANIE I WIDOCZNOŚĆ TREŚCI

Treści wiadomości, załączniki, wybrane dane profilu i nazwy rozmów są chronione szyfrowaniem aplikacyjnym end-to-end. Media połączeń WebRTC korzystają z szyfrowania transportowego oraz dodatkowego szyfrowania ramek audio i wideo AES-GCM kluczem wyprowadzanym z sekretu danego czatu i identyfikatora połączenia. Usługa przechowuje publiczny klucz tożsamości oraz prywatny klucz tożsamości zaszyfrowany kluczem wyprowadzonym z hasła; odblokowana kopia może znajdować się w chronionej pamięci urządzenia. Backend aplikacji Whazza nie przechowuje hasła konta; jest ono przetwarzane przez Firebase Authentication. Administrator nie otrzymuje niezaszyfrowanego prywatnego klucza tożsamości. Bez starego hasła lub zaufanego urządzenia posiadającego klucz reset hasła może uniemożliwić odzyskanie wcześniejszej zaszyfrowanej historii; aplikacja informuje o tym przed utworzeniem nowej tożsamości. Odbiorcy rozmowy widzą dane, które użytkownik im wysyła, oraz mogą je zachować poza aplikacją. Metadane konieczne do działania usługi — w szczególności identyfikatory, członkostwo, obecność, informacja o pisaniu, znaczniki czasu, stan dostarczenia i odczytu, reguły retencji, zgłoszenia, zdarzenia zrzutu ekranu, dane sygnalizacyjne i techniczne — nie muszą być objęte E2EE. Administrator nie deklaruje, że całość przetwarzanych danych jest niewidoczna dla infrastruktury.

6. TRANSFERY POZA EOG

Dostawcy mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym. Administrator stosuje wymagane mechanizmy legalizacji transferu, takie jak decyzja stwierdzająca odpowiedni stopień ochrony lub standardowe klauzule umowne wraz z dodatkowymi zabezpieczeniami. Szczegóły i kopię odpowiednich zabezpieczeń można uzyskać pod adresem support@nexitech.pl.

7. OKRES PRZECHOWYWANIA I USUWANIE

dane konta — przez okres korzystania z konta, a po jego usunięciu wyłącznie tak długo, jak jest to konieczne do wykonania obowiązku prawnego lub obrony przed roszczeniami;
wiadomości i pliki — do ich usunięcia przez użytkownika lub uprawnionego uczestnika, upływu ustawionego czasu, osiągnięcia limitu pobrań, usunięcia konta lub bazy albo ustania celu ich przetwarzania;
dane sygnalizacyjne i metadane połączeń — do czasu ich usunięcia w ramach utrzymania usługi, usunięcia konta lub ustania celu przetwarzania; aplikacja nie zapisuje nagrań strumieni audio i wideo;
dziennik aktywności widoczny w aplikacji — zasadniczo przez ostatni miesiąc, a dane bezpieczeństwa dłużej tylko wtedy, gdy jest to niezbędne do wyjaśnienia incydentu lub obrony przed roszczeniami;
zgłoszenia moderacyjne, blokady, zdarzenia zrzutu ekranu i inne zapisy bezpieczeństwa — tak długo, jak jest to konieczne do zbadania zgłoszenia, zapobiegania nadużyciom, ochrony użytkowników, wykonania obowiązku prawnego lub obrony przed roszczeniami;
klucze szyfrujące i dane ich zabezpieczenia — przez okres istnienia konta albo do ich zastąpienia lub usunięcia; chronione kopie lokalne i pamięć podręczna rozmów pozostają odpowiednio do wylogowania, usunięcia konta, usunięcia danych aplikacji lub zwykłego czyszczenia pamięci podręcznej;
dane rozliczeniowe i reklamacyjne — przez okres wymagany przez prawo i przedawnienie roszczeń;
kopie zapasowe — do ich nadpisania w zwykłym cyklu technicznym dostawcy; po żądaniu usunięcia dane są odizolowane od zwykłego użycia i nie są przywracane poza przypadkami awaryjnego odtworzenia systemu.

Baza może zostać usunięta lub odtworzona z powodów technicznych, bezpieczeństwa, prawnych albo zakończenia usługi. Nie zmienia to obowiązku administratora do zgodnego z prawem zabezpieczenia danych, realizacji praw osób i usunięcia danych, gdy nie ma podstawy do dalszego przetwarzania. Aplikacja nie służy jako trwałe archiwum; użytkownik powinien przechowywać własne kopie ważnych plików.

8. PRAWA UŻYTKOWNIKA

Na zasadach określonych przez RODO użytkownik może żądać dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia danych oraz wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie. Może także wycofać zgodę. Żądania należy kierować na support@nexitech.pl. Tożsamość osoby składającej żądanie może zostać zweryfikowana.

Użytkownik ma prawo wnieść skargę do właściwego organu nadzorczego. W Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

9. USUNIĘCIE KONTA

Użytkownik może trwale usunąć konto bezpośrednio przez Ustawienia → Konto → Usuń konto na stałe. Jeżeli nie ma dostępu do aplikacji, może wysłać żądanie z adresu przypisanego do konta na support@nexitech.pl albo użyć strony https://whazzup-802a2.web.app/account-deletion.html. Usunięcie obejmuje konto i powiązane dane, których administrator nie ma obowiązku ani innej podstawy przechowywać. Dane mogą przez ograniczony czas pozostawać w rotacyjnych kopiach zapasowych i będą odizolowane od zwykłego użycia. Usunięcie konta nie anuluje automatycznie subskrypcji w App Store lub Google Play.

10. BEZPIECZEŃSTWO

Stosujemy środki adekwatne do ryzyka, w tym kontrolę dostępu, szyfrowanie transmisji, zabezpieczanie kluczy na urządzeniu i reguły dostępu do bazy. Nie istnieje system całkowicie odporny na incydenty. W razie naruszenia podejmiemy działania wymagane prawem.

11. DZIECI

Usługa nie jest kierowana do dzieci poniżej 16. roku życia. Jeżeli administrator dowie się, że dane dziecka poniżej 16 lat zostały zebrane, podejmie działania zmierzające do usunięcia konta i danych, chyba że ich dalsze przetwarzanie jest wymagane przez prawo.

12. ZAUTOMATYZOWANE DECYZJE

Obecnie nie podejmujemy wobec użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub podobnie istotnie na nich wpływały. Jeśli to się zmieni, polityka zostanie uzupełniona.

13. ZMIANY POLITYKI

Polityka może być aktualizowana wraz ze zmianą prawa, funkcji lub dostawców. O istotnych zmianach poinformujemy w aplikacji lub wiadomością e-mail przed ich wejściem w życie, gdy będzie to wymagane. Aktualna wersja jest zawsze dostępna w ustawieniach aplikacji.

Deutsch

DATENSCHUTZERKLÄRUNG DER WHAZZA-APP

Gültig ab: 20. Oktober 2026

1. VERANTWORTLICHER

Verantwortlicher für die Datenverarbeitung ist NEXITECH SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ mit Sitz in ul. Bratnia 42, 05-840 Brwinów, Polen, KRS 0001065675, NIP 5342670597, REGON 526780189. In Fragen zum Datenschutz und zu personenbezogenen Daten erreichen Sie uns unter support@nexitech.pl.

2. WELCHE DATEN WIR VERARBEITEN

Wir können folgende Daten verarbeiten:

Kontodaten: E-Mail-Adresse, Benutzerkennung und Authentifizierungsdaten;
Profildaten: Nickname, Avatar und Sichtbarkeitseinstellungen;
soziale Beziehungen: Freunde, Einladungen, Gruppen, Kanäle und Rollen;
Benutzerinhalte: verschlüsselte Text- und Sprachnachrichten, Reaktionen, Umfragen, Gesprächsnamen, Bilder und sonstige Anhänge;
Anrufdaten: Kennungen der Teilnehmer und des Chats, Art und Status des Anrufs, Zeitstempel, WebRTC-Signalisierungsdaten und ICE-Netzwerkkandidaten, die zum Herstellen der Verbindung erforderlich sind; der Audio- oder Videostream wird in Echtzeit zwischen den Teilnehmern oder über einen konfigurierten Relay-Server übertragen und von der App nicht aufgezeichnet;
technische Daten: Benachrichtigungstoken, Installationskennung, App-Version, Betriebssystem, IP-Adresse oder Informationen zur Netzwerkverbindung, die für die Infrastruktur und einen Anrufteilnehmer sichtbar sind, sowie für Sicherheit und Diagnose erforderliche Daten;
Kommunikations- und Aktivitätsdaten: Online-Status, letzte Aktivität, Tippstatus, Zustell- und Lesebestätigungen, Anmeldungen und Änderungen an Kontakten oder Gesprächen; die App zeigt ein Aktivitätsprotokoll des letzten Monats;
Sicherheits- und Moderationsdaten: Ereignisse von Screenshot-Versuchen, Sperren, Benutzermeldungen, Meldekategorie und -beschreibung sowie Kennungen des betroffenen Benutzers, Chats oder der Nachricht;
Verschlüsselungsdaten: öffentlicher Verschlüsselungsschlüssel und eine passwortgeschützte, verschlüsselte Kopie des privaten Identitätsschlüssels einschließlich Salt und der zum Entsperren erforderlichen Schlüsselableitungsparameter;
Kaufdaten: Produktkennung, Abonnementstatus und zur Bestätigung eines Kaufs erforderliche Informationen. Vollständige Kartendaten werden von Apple oder Google und nicht von Whazza verarbeitet;
Korrespondenz mit dem Support und Beschwerden.

Daten werden vom Benutzer bereitgestellt, bei der Nutzung des Dienstes erzeugt, von Gesprächsteilnehmern und App-Stores empfangen oder automatisch von App, Gerät und Dienstinfrastruktur erfasst. Die App fordert Mikrofonzugriff beim Aufnehmen einer Sprachnachricht und bei Audio- oder Videoanrufen, Kamerazugriff bei Videoanrufen oder beim Aufnehmen eines Fotos für eine Nachricht, Zugriff auf die Fotomediathek bei der Auswahl eines Bildes oder Avatars sowie Bluetooth-Zugriff an, soweit dies zur Weiterleitung des Anruftons an ein verbundenes Headset erforderlich ist. Der Zugriff wird durch eine Benutzeraktion aktiviert und kann in den Systemeinstellungen widerrufen werden. Sprachaufnahmen und ausgewählte oder aufgenommene Medien können vorübergehend auf dem Gerät gespeichert, beim Versand über Whazza vor dem Hochladen verschlüsselt und temporäre Kopien anschließend nach bestem Bemühen gelöscht werden. Die App speichert außerdem lokale Konto-, Schlüssel-, Einstellungs- und Gesprächszusammenfassungsdaten, die für eine sichere Anmeldung und einen schnellen Betrieb erforderlich sind. Sie fordert keinen Zugriff auf das Systemadressbuch oder den genauen Standort an. Andere Dateien werden bewusst über die Systemauswahl ausgewählt.

3. ZWECKE UND RECHTSGRUNDLAGEN

Wir verarbeiten Daten zu folgenden Zwecken:

Erstellung eines Kontos sowie Bereitstellung von Chat, Dateien, Sprachnachrichten, Audio- und Videoanrufen, Benachrichtigungen und Abonnementverwaltung—Vertragserfüllung oder vorvertragliche Maßnahmen;
Bereitstellung von Anwesenheits-, Tipp- und Lesestatus, Aufbewahrungs-Timern, sicherer Schlüsselwiederherstellung und lokaler Synchronisierung—Vertragserfüllung;
Schutz des Dienstes, Benachrichtigung von Gesprächsteilnehmern über Screenshot-Versuche, Bearbeitung von Sperren und Missbrauchsmeldungen, Moderation, Fehlerbearbeitung sowie Begründung oder Durchsetzung von Ansprüchen—berechtigtes Interesse des Verantwortlichen unter Berücksichtigung der Rechte des Benutzers;
Abrechnung, Bearbeitung behördlicher Anfragen und Erfüllung gesetzlicher Pflichten—Erfüllung einer rechtlichen Verpflichtung;
Versand optionaler Mitteilungen oder Nutzung von Daten für einen anderen zustimmungsbedürftigen Zweck—Einwilligung, die ohne Auswirkung auf die frühere Verarbeitung widerrufen werden kann.

Soweit die Bereitstellung von Daten zur Erstellung eines Kontos oder zur Erbringung des Dienstes erforderlich ist, kann ihre Nichtbereitstellung die Nutzung der betreffenden Funktion verhindern.
Whazza verkauft keine personenbezogenen Daten, zeigt keine Werbung Dritter an und verwendet personenbezogene Daten nicht zur Nachverfolgung von Benutzern über Apps oder Websites anderer Unternehmen hinweg.

4. EMPFÄNGER UND DIENSTLEISTER

Daten können von Dienstleistern verarbeitet werden, die im Auftrag des Verantwortlichen handeln, insbesondere Google Firebase/Google Cloud (Authentifizierung, App Check, Datenbank, Dateien, Serverfunktionen und Benachrichtigungen), Apple App Store und Google Play (Zahlungen und Vertrieb), Anbietern der STUN/TURN-Infrastruktur zum Herstellen von WebRTC-Anrufen sowie Anbietern von Hosting-, Support- oder Rechtsdienstleistungen—jeweils nur im für ihre Aufgaben erforderlichen Umfang. Der Verantwortliche verlangt von Auftragsverarbeitern und anderen Anbietern, die personenbezogene Daten erhalten, einen dieser Erklärung entsprechenden und mindestens gesetzlich vorgeschriebenen Schutz. Gesprächsteilnehmer erhalten gesendete Inhalte, Anwesenheits-, Tipp-, Zustell- und Leseinformationen sowie Screenshot-Warnungen und können durch WebRTC offengelegte Netzwerkinformationen erfahren. Befugtes Support- oder Moderationspersonal kann auf Meldungen und zugehörige Metadaten zugreifen, soweit dies zur Untersuchung von Missbrauch erforderlich ist. Daten können Behörden offengelegt werden, wenn das Gesetz dies verlangt. Informationen über aktuelle Anbieter sind unter support@nexitech.pl erhältlich.

5. VERSCHLÜSSELUNG UND SICHTBARKEIT VON INHALTEN

Nachrichteninhalte, Anhänge, ausgewählte Profildaten und Gesprächsnamen werden durch anwendungsseitige Ende-zu-Ende-Verschlüsselung geschützt. Medien von WebRTC-Anrufen verwenden Transportverschlüsselung sowie eine zusätzliche AES-GCM-Ende-zu-Ende-Verschlüsselung der Audio- und Videoframes mit einem Schlüssel, der aus dem Geheimnis des betreffenden Chats und der Anrufkennung abgeleitet wird. Der Dienst speichert den öffentlichen Identitätsschlüssel und einen mit einem aus dem Passwort abgeleiteten Schlüssel verschlüsselten privaten Identitätsschlüssel; eine entsperrte Kopie kann im geschützten Gerätespeicher verbleiben. Das Whazza-Anwendungsbackend speichert das Kontopasswort nicht; es wird von Firebase Authentication verarbeitet. Der Verantwortliche erhält keinen unverschlüsselten privaten Identitätsschlüssel. Ohne das alte Passwort oder ein vertrauenswürdiges Gerät mit dem Schlüssel kann eine Passwortzurücksetzung dazu führen, dass die frühere verschlüsselte Historie nicht wiederhergestellt werden kann; die App weist darauf hin, bevor eine neue Identität erstellt wird. Gesprächsempfänger sehen die ihnen gesendeten Daten und können sie außerhalb der App aufbewahren. Betriebsnotwendige Metadaten—insbesondere Kennungen, Mitgliedschaft, Anwesenheit, Tippstatus, Zeitstempel, Zustell- und Lesestatus, Aufbewahrungsregeln, Meldungen, Screenshot-Ereignisse, Signalisierungsdaten und technische Daten—müssen nicht durch E2EE geschützt sein. Der Verantwortliche erklärt nicht, dass sämtliche verarbeiteten Daten für die Infrastruktur unsichtbar sind.

6. ÜBERMITTLUNGEN AUSSERHALB DES EWR

Dienstleister können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten. Der Verantwortliche verwendet die erforderlichen Mechanismen zur rechtmäßigen Gestaltung der Übermittlung, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln zusammen mit ergänzenden Schutzmaßnahmen. Einzelheiten und eine Kopie der einschlägigen Garantien sind unter support@nexitech.pl erhältlich.

7. SPEICHERDAUER UND LÖSCHUNG

Kontodaten—für die Dauer der Kontonutzung und nach der Löschung nur so lange, wie dies zur Erfüllung einer gesetzlichen Pflicht oder zur Abwehr von Ansprüchen erforderlich ist;
Nachrichten und Dateien—bis zur Löschung durch den Benutzer oder einen berechtigten Teilnehmer, bis zum Ablauf der eingestellten Zeit, bis zum Erreichen des Download-Limits, bis zur Löschung des Kontos oder der Datenbank oder bis der Verarbeitungszweck entfällt;
Signalisierungsdaten und Anrufmetadaten—bis zu ihrer Löschung im Rahmen der Dienstwartung, der Kontolöschung oder dem Wegfall des Verarbeitungszwecks; die App speichert keine Aufzeichnungen von Audio- und Videostreams;
das in der App sichtbare Aktivitätsprotokoll—grundsätzlich für den letzten Monat; Sicherheitsdaten werden nur dann länger gespeichert, wenn dies zur Untersuchung eines Vorfalls oder zur Abwehr von Ansprüchen erforderlich ist;
Moderationsmeldungen, Sperren, Screenshot-Ereignisse und andere Sicherheitsaufzeichnungen—solange dies zur Untersuchung der Meldung, zur Missbrauchsverhinderung, zum Schutz der Benutzer, zur Erfüllung gesetzlicher Pflichten oder zur Abwehr von Ansprüchen erforderlich ist;
Verschlüsselungsschlüssel und Daten zu deren Schutz—für die Lebensdauer des Kontos oder bis zu ihrer Ersetzung oder Löschung; geschützte lokale Kopien und Gesprächscaches verbleiben je nach Fall bis zur Abmeldung, Kontolöschung, Löschung der App-Daten oder gewöhnlichen Cache-Bereinigung;
Abrechnungs- und Beschwerdedaten—für den gesetzlich vorgeschriebenen Zeitraum und die geltenden Verjährungsfristen;
Sicherungskopien—bis zu ihrer Überschreibung im üblichen technischen Zyklus des Anbieters; nach einem Löschersuchen werden die Daten von der gewöhnlichen Nutzung isoliert und nur im Rahmen einer Notfallwiederherstellung des Systems wiederhergestellt.

Die Datenbank kann aus technischen, sicherheitsbezogenen oder rechtlichen Gründen oder bei Einstellung des Dienstes gelöscht oder wiederhergestellt werden. Die Pflicht des Verantwortlichen, Daten rechtmäßig zu schützen, Betroffenenrechte zu erfüllen und Daten zu löschen, wenn keine Grundlage für die weitere Verarbeitung besteht, bleibt davon unberührt. Die App ist kein dauerhaftes Archiv; Benutzer sollten eigene Kopien wichtiger Dateien aufbewahren.

8. RECHTE DES BENUTZERS

Nach Maßgabe der DSGVO kann der Benutzer Auskunft, Berichtigung oder Löschung von Daten, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen sowie einer Verarbeitung aufgrund berechtigter Interessen widersprechen. Er kann außerdem seine Einwilligung widerrufen. Anträge sind an support@nexitech.pl zu richten. Die Identität der antragstellenden Person kann überprüft werden.

Der Benutzer hat das Recht, bei der zuständigen Aufsichtsbehörde Beschwerde einzulegen. In Polen ist dies der Präsident des Amtes für den Schutz personenbezogener Daten (uodo.gov.pl).

9. KONTOLÖSCHUNG

Der Benutzer kann sein Konto unmittelbar über „Einstellungen → Konto → Konto dauerhaft löschen“ endgültig löschen. Hat er keinen Zugriff auf die App, kann er von der dem Konto zugeordneten Adresse eine Anfrage an support@nexitech.pl senden oder die Seite https://whazzup-802a2.web.app/account-deletion.html verwenden. Die Löschung umfasst das Konto und die damit verbundenen Daten, zu deren Aufbewahrung der Verantwortliche weder verpflichtet noch anderweitig berechtigt ist. Daten können für begrenzte Zeit in rotierenden Sicherungskopien verbleiben und werden von der gewöhnlichen Nutzung isoliert. Die Löschung des Kontos beendet nicht automatisch ein Abonnement im App Store oder bei Google Play.

10. SICHERHEIT

Wir setzen dem Risiko angemessene Maßnahmen ein, darunter Zugriffskontrollen, Transportverschlüsselung, Schutz der Schlüssel auf dem Gerät und Zugriffsregeln für die Datenbank. Kein System ist vollständig gegen Vorfälle geschützt. Im Fall einer Verletzung ergreifen wir die gesetzlich vorgeschriebenen Maßnahmen.

11. KINDER

Der Dienst richtet sich nicht an Kinder unter 16 Jahren. Erfährt der Verantwortliche, dass Daten eines Kindes unter 16 Jahren erhoben wurden, ergreift er Maßnahmen zur Löschung des Kontos und der Daten, sofern die weitere Verarbeitung nicht gesetzlich vorgeschrieben ist.

12. AUTOMATISIERTE ENTSCHEIDUNGEN

Derzeit treffen wir gegenüber Benutzern keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen, die rechtliche Wirkung entfalten oder sie in ähnlich erheblicher Weise beeinträchtigen. Sollte sich dies ändern, wird diese Erklärung ergänzt.

13. ÄNDERUNGEN DIESER ERKLÄRUNG

Diese Erklärung kann infolge von Änderungen des Rechts, der Funktionen oder der Anbieter aktualisiert werden. Über wesentliche Änderungen informieren wir, soweit erforderlich, vor ihrem Inkrafttreten in der App oder per E-Mail. Die aktuelle Fassung ist stets in den Einstellungen der App verfügbar.

中文（简体）

WHAZZA 应用隐私政策

生效日期：2026年10月20日

1. 数据控制者

数据控制者为 NEXITECH SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ，注册地址为 ul. Bratnia 42, 05-840 Brwinów, Poland，KRS 0001065675，NIP 5342670597，REGON 526780189。如需咨询隐私和个人数据事宜，请联系 support@nexitech.pl。

2. 我们处理的数据

我们可能处理：

账户数据：电子邮箱地址、用户标识符和身份验证数据；
个人资料数据：昵称、头像和可见性设置；
社交关系：好友、邀请、群组、频道和角色；
用户内容：加密的文本和语音消息、回应、投票、对话名称、图片及其他附件；
通话数据：参与者和聊天标识符、通话类型和状态、时间戳、建立通话所必需的 WebRTC 信令数据和 ICE 网络候选地址；音频或视频流在参与者之间实时传输，或通过已配置的中继服务器传输，本应用不会录制这些流；
技术数据：通知令牌、安装标识符、应用版本、操作系统、基础设施和通话参与者可见的 IP 地址或网络连接信息，以及安全和诊断所需的数据；
通信与活动数据：在线状态、最近活动、正在输入状态、送达和已读确认、登录记录以及联系人或对话相关变更；应用显示最近一个月的活动日志；
安全与审核数据：尝试截屏事件、屏蔽、用户举报、举报类别和说明，以及相关用户、聊天或消息的标识符；
加密数据：公开加密密钥，以及受密码保护的私有身份密钥加密副本，包括解锁所需的盐值和密钥派生参数；
购买数据：产品标识符、订阅状态和确认购买所需的信息。完整的银行卡资料由 Apple 或 Google 处理，而非 Whazza；
与技术支持的通信及投诉。

数据可能由用户提供、在使用服务时生成、从对话参与者和应用商店获得，或由应用、设备及服务基础设施自动收集。本应用会在录制语音消息以及进行音频或视频通话时请求麦克风权限；在视频通话或为消息拍照时请求摄像头权限；在用户选择图片或头像时请求照片图库权限；并在将通话音频路由到已连接耳机所必需时请求蓝牙权限。相关权限由用户操作触发，并可在系统设置中撤销。语音录音以及所选或拍摄的媒体可能临时保存在设备上；通过 Whazza 发送时会在上传前加密，临时副本随后会尽力删除。本应用还会在本地保存安全登录和快速运行所需的账户、密钥、设置和对话摘要数据。本应用不会请求访问系统通讯录或精确位置。其他文件由用户通过系统选择器主动选择。

3. 处理目的与法律依据

我们为以下目的处理数据：

创建账户并提供聊天、文件、语音消息、音频和视频通话、通知及订阅支持——履行合同或在订立合同前采取措施；
提供在线状态、正在输入和已读状态、保留计时器、安全密钥恢复及本地同步——履行合同；
保护服务、向对话参与者通知尝试截屏事件、处理屏蔽和滥用举报、开展审核、处理错误以及确立或主张权利——数据控制者的合法利益，同时兼顾用户权利；
进行结算、处理主管机关的要求并履行法律义务——履行法定义务；
发送可选通信，或为其他需要同意的目的使用数据——基于同意；撤回同意不影响此前处理的合法性。

如果创建账户或提供服务必须提交相关数据，不提供这些数据可能导致相应功能无法使用。
Whazza 不出售个人数据，不展示第三方广告，也不会使用个人数据跨其他公司的应用或网站跟踪用户。

4. 接收者与服务提供商

数据可能由受数据控制者委托的服务提供商处理，尤其包括 Google Firebase/Google Cloud（身份验证、App Check、数据库、文件、服务器函数及通知）、Apple App Store 和 Google Play（付款及分发）、用于建立 WebRTC 通话的 STUN/TURN 基础设施提供商，以及托管、支持或法律服务提供商；处理范围仅限其履行任务所必需的程度。数据控制者要求接收个人数据的处理者和其他服务提供商采用与本政策一致且不低于适用法律要求的保护。对话参与者会收到发送给他们的内容、在线状态、正在输入、送达和已读信息以及截屏警报，并可能了解 WebRTC 技术披露的网络信息。经授权的支持或审核人员可在调查滥用所必需时访问举报及相关元数据。法律要求时，数据可能会向主管机关披露。有关当前服务提供商的信息可通过 support@nexitech.pl 获取。

5. 加密与内容可见性

消息内容、附件、部分个人资料数据和对话名称受到应用层端到端加密保护。WebRTC 通话媒体采用传输加密，并使用由相关聊天秘密和通话标识符派生的密钥，对音频及视频帧进行额外的 AES-GCM 端到端加密。服务会存储公开身份密钥以及使用由密码派生的密钥加密的私有身份密钥；解锁后的副本可能保存在设备的受保护存储中。Whazza 应用后端不会存储账户密码；密码由 Firebase Authentication 处理。数据控制者不会获得未加密的私有身份密钥。如果没有旧密码或持有该密钥的受信任设备，重置密码可能导致以前的加密历史无法恢复；应用会在创建新身份前明确提示。对话接收者能够看到发给他们的数据，也可能在应用之外保存这些数据。运行服务所必需的元数据——尤其是标识符、成员关系、在线状态、正在输入状态、时间戳、送达和已读状态、保留规则、举报、截屏事件、信令数据和技术数据——可能不受端到端加密保护。数据控制者并不声明全部处理数据均对基础设施不可见。

6. 向欧洲经济区以外传输

服务提供商可能在欧洲经济区以外处理数据。数据控制者采用所要求的合法传输机制，例如充分性决定，或标准合同条款连同补充保障措施。有关详情及相关保障措施的副本可通过 support@nexitech.pl 获取。

7. 保存期限与删除

账户数据——在账户使用期间保存；账户删除后，仅在履行法定义务或抗辩权利主张所必需的期限内保存；
消息和文件——保存至用户或获授权参与者将其删除、设定期限届满、达到下载次数限制、账户或数据库被删除，或处理目的不再存在时；
信令数据和通话元数据——保存至在服务维护中被删除、账户被删除或处理目的不再存在时；本应用不会保存音频和视频流的录音；
应用中显示的活动日志——原则上保存最近一个月；只有在调查事件或抗辩权利主张确有必要时，安全数据才会保存更长时间；
审核举报、屏蔽、截屏事件及其他安全记录——在调查举报、防止滥用、保护用户、履行法律义务或抗辩权利主张所必需的期限内保存；
加密密钥及密钥保护数据——在账户存续期间或直至被替换或删除；受保护的本地副本和对话缓存视情况保留至退出登录、删除账户、清除应用数据或正常清理缓存时；
结算和投诉数据——在法律要求的期限及适用的诉讼时效期间保存；
备份——保存至在服务提供商正常技术周期中被覆盖；收到删除请求后，数据将与日常使用隔离，除紧急系统恢复外不会还原。

数据库可能因技术、安全、法律原因或服务终止而被删除或恢复。这不会改变数据控制者依法保护数据、保障数据主体权利，以及在没有继续处理依据时删除数据的义务。本应用不作为永久档案；用户应自行保留重要文件的副本。

8. 用户权利

根据《通用数据保护条例》(GDPR) 规定的条件，用户可以请求访问、更正或删除数据、限制处理以及数据可携带，也可以反对基于合法利益进行的处理。用户还可以撤回同意。请求应发送至 support@nexitech.pl。提交请求者的身份可能需要验证。

用户有权向主管监管机构投诉。在波兰，该机构为个人数据保护办公室主任（uodo.gov.pl）。

9. 删除账户

用户可直接通过“设置 → 账户 → 永久删除账户”永久删除账户。如果无法访问应用，用户可使用与账户关联的地址向 support@nexitech.pl 发送请求，或访问 https://whazzup-802a2.web.app/account-deletion.html。删除范围包括账户及其相关数据，但数据控制者依法必须保留或另有依据保留的数据除外。数据可能在轮换备份中短期保留，并将与日常使用隔离。删除账户不会自动取消 App Store 或 Google Play 中的订阅。

10. 安全

我们采用与风险相适应的措施，包括访问控制、传输加密、保护设备上的密钥以及数据库访问规则。任何系统都无法完全抵御安全事件。如发生数据泄露，我们将采取法律要求的措施。

11. 儿童

本服务不面向 16 周岁以下儿童。如果数据控制者得知收集了 16 周岁以下儿童的数据，将采取措施删除其账户和数据，法律要求继续处理的情况除外。

12. 自动化决策

目前，我们不会仅基于自动化处理对用户作出会产生法律效果或对其产生类似重大影响的决定。如情况发生变化，本政策将予以补充。

13. 政策变更

本政策可能随法律、功能或服务提供商的变化而更新。在法律要求时，我们会在重大变更生效前通过应用内通知或电子邮件告知用户。最新版本始终可在应用设置中查看。

Español

POLÍTICA DE PRIVACIDAD DE LA APLICACIÓN WHAZZA

Fecha de entrada en vigor: 20 de octubre de 2026

1. RESPONSABLE DEL TRATAMIENTO

El responsable del tratamiento es NEXITECH SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, con domicilio social en ul. Bratnia 42, 05-840 Brwinów, Polonia, KRS 0001065675, NIP 5342670597, REGON 526780189. Para asuntos relativos a la privacidad y los datos personales, puede contactar con support@nexitech.pl.

2. DATOS QUE TRATAMOS

Podemos tratar:

datos de la cuenta: dirección de correo electrónico, identificador de usuario y datos de autenticación;
datos del perfil: alias, avatar y ajustes de visibilidad;
relaciones sociales: amigos, invitaciones, grupos, canales y roles;
contenido del usuario: mensajes de texto y de voz cifrados, reacciones, encuestas, nombres de conversaciones, imágenes y otros archivos adjuntos;
datos de llamadas: identificadores de los participantes y del chat, tipo y estado de la llamada, marcas de tiempo, datos de señalización WebRTC y candidatos de red ICE necesarios para establecer una llamada; el flujo de audio o vídeo se transmite en tiempo real entre los participantes o mediante un servidor de retransmisión configurado y la aplicación no lo graba;
datos técnicos: token de notificaciones, identificador de instalación, versión de la aplicación, sistema operativo, dirección IP o información sobre la conexión de red visible para la infraestructura y un participante de la llamada, y datos necesarios para la seguridad y el diagnóstico;
datos de comunicación y actividad: estado en línea, última actividad, estado de escritura, confirmaciones de entrega y lectura, inicios de sesión y cambios relativos a contactos o conversaciones; la aplicación muestra un registro de actividad del último mes;
datos de seguridad y moderación: intentos de captura de pantalla, bloqueos, denuncias de usuarios, categoría y descripción de la denuncia e identificadores del usuario, chat o mensaje relacionados;
datos de cifrado: clave pública de cifrado y copia cifrada y protegida por contraseña de la clave privada de identidad, junto con la sal y los parámetros de derivación necesarios para desbloquearla;
datos de compra: identificador del producto, estado de la suscripción e información necesaria para confirmar una compra. Los datos completos de la tarjeta los tratan Apple o Google, no Whazza;
correspondencia con el servicio de asistencia y reclamaciones.

Los datos son facilitados por el usuario, se generan al utilizar el servicio, se reciben de participantes en conversaciones y tiendas de aplicaciones o se recopilan automáticamente desde la aplicación, el dispositivo y la infraestructura del servicio. La aplicación solicita acceso al micrófono al grabar mensajes de voz y realizar llamadas de audio o vídeo; a la cámara durante una videollamada o al tomar una foto para un mensaje; a la fototeca cuando el usuario selecciona una imagen o avatar; y a Bluetooth cuando sea necesario para dirigir el audio de la llamada a unos auriculares conectados. El acceso se activa mediante una acción del usuario y puede revocarse en los ajustes del sistema. Las grabaciones de voz y los medios seleccionados o capturados pueden almacenarse temporalmente en el dispositivo, se cifran antes de cargarse cuando se envían mediante Whazza y las copias temporales se eliminan después con el máximo esfuerzo posible. La aplicación también conserva localmente datos de la cuenta, claves, ajustes y resúmenes de conversaciones necesarios para un inicio de sesión seguro y un funcionamiento rápido. No solicita acceso a la agenda del sistema ni a la ubicación precisa. Los demás archivos se seleccionan deliberadamente mediante el selector del sistema.

3. FINALIDADES Y BASES JURÍDICAS

Tratamos los datos para:

crear una cuenta y proporcionar chat, archivos, mensajes de voz, llamadas de audio y vídeo, notificaciones y gestión de suscripciones: ejecución de un contrato o aplicación de medidas precontractuales;
proporcionar estado de presencia, escritura y lectura, temporizadores de conservación, recuperación segura de claves y sincronización local: ejecución de un contrato;
proteger el servicio, notificar a los participantes los intentos de captura de pantalla, gestionar bloqueos y denuncias de abuso, moderar el servicio, gestionar errores y formular o ejercer reclamaciones: interés legítimo del responsable, teniendo en cuenta los derechos del usuario;
llevar la facturación, responder a solicitudes de autoridades y cumplir obligaciones legales: cumplimiento de una obligación legal;
enviar comunicaciones opcionales o usar los datos con otra finalidad que requiera consentimiento: consentimiento, que puede retirarse sin afectar al tratamiento anterior.

Cuando sea necesario facilitar datos para crear una cuenta o prestar el servicio, no hacerlo puede impedir el uso de la función correspondiente.
Whazza no vende datos personales, no muestra publicidad de terceros ni utiliza datos personales para rastrear a los usuarios en aplicaciones o sitios web propiedad de otras empresas.

4. DESTINATARIOS Y PROVEEDORES

Los datos podrán ser tratados por proveedores que actúan por cuenta del responsable, en particular Google Firebase/Google Cloud (autenticación, App Check, base de datos, archivos, funciones de servidor y notificaciones), Apple App Store y Google Play (pagos y distribución), proveedores de infraestructura STUN/TURN utilizada para establecer llamadas WebRTC, y proveedores de alojamiento, asistencia o servicios jurídicos, únicamente en la medida necesaria para sus tareas. El responsable exige que los encargados y demás proveedores que reciban datos personales apliquen una protección coherente con esta política y no inferior a la exigida por la legislación aplicable. Los participantes reciben el contenido enviado, información de presencia, escritura, entrega y lectura, así como alertas de capturas de pantalla, y pueden conocer información de red revelada por WebRTC. El personal autorizado de asistencia o moderación puede acceder a las denuncias y metadatos relacionados cuando sea necesario para investigar abusos. Los datos podrán comunicarse a las autoridades cuando lo exija la ley. Puede obtenerse información sobre los proveedores actuales en support@nexitech.pl.

5. CIFRADO Y VISIBILIDAD DEL CONTENIDO

El contenido de los mensajes, los archivos adjuntos, determinados datos del perfil y los nombres de las conversaciones están protegidos mediante cifrado de extremo a extremo en la aplicación. Los medios de las llamadas WebRTC utilizan cifrado de transporte y un cifrado adicional de extremo a extremo AES-GCM de las tramas de audio y vídeo con una clave derivada del secreto del chat correspondiente y del identificador de la llamada. El servicio almacena la clave pública de identidad y una clave privada de identidad cifrada con una clave derivada de la contraseña; puede conservarse una copia desbloqueada en el almacenamiento protegido del dispositivo. El backend de la aplicación Whazza no almacena la contraseña de la cuenta; Firebase Authentication la procesa. El responsable no recibe una clave privada de identidad sin cifrar. Sin la contraseña anterior o un dispositivo de confianza que conserve la clave, el restablecimiento de contraseña puede hacer irrecuperable el historial cifrado anterior; la aplicación lo comunica antes de crear una identidad nueva. Los destinatarios ven los datos enviados y pueden conservarlos fuera de la aplicación. Es posible que los metadatos necesarios para el servicio, en particular identificadores, pertenencia, presencia, estado de escritura, marcas de tiempo, estado de entrega y lectura, reglas de conservación, denuncias, eventos de captura de pantalla, datos de señalización y datos técnicos, no estén cubiertos por el cifrado de extremo a extremo. El responsable no declara que todos los datos tratados sean invisibles para la infraestructura.

6. TRANSFERENCIAS FUERA DEL EEE

Los proveedores pueden tratar datos fuera del Espacio Económico Europeo. El responsable utiliza los mecanismos exigidos para legitimar las transferencias, como una decisión de adecuación o cláusulas contractuales tipo junto con garantías adicionales. Puede obtener detalles y una copia de las garantías correspondientes en support@nexitech.pl.

7. CONSERVACIÓN Y ELIMINACIÓN

datos de la cuenta: durante el uso de la cuenta y, tras su eliminación, solo durante el tiempo necesario para cumplir una obligación legal o defenderse frente a reclamaciones;
mensajes y archivos: hasta que el usuario o un participante autorizado los elimine, venza el plazo configurado, se alcance el límite de descargas, se elimine la cuenta o la base de datos, o deje de existir la finalidad del tratamiento;
datos de señalización y metadatos de llamadas: hasta su eliminación en el marco del mantenimiento del servicio, la eliminación de la cuenta o la desaparición de la finalidad del tratamiento; la aplicación no guarda grabaciones de los flujos de audio y vídeo;
registro de actividad visible en la aplicación: en general, durante el último mes; los datos de seguridad se conservan durante más tiempo solo cuando sea necesario para investigar un incidente o defenderse frente a reclamaciones;
denuncias de moderación, bloqueos, eventos de captura de pantalla y otros registros de seguridad: mientras sea necesario para investigar la denuncia, prevenir abusos, proteger a los usuarios, cumplir la ley o defenderse frente a reclamaciones;
claves de cifrado y datos de protección de claves: durante la vida de la cuenta o hasta que se sustituyan o eliminen; las copias locales protegidas y las cachés de conversaciones permanecen, según proceda, hasta cerrar sesión, eliminar la cuenta, borrar los datos de la aplicación o efectuar la limpieza ordinaria de la caché;
datos de facturación y reclamaciones: durante el periodo exigido por la ley y los plazos de prescripción aplicables;
copias de seguridad: hasta que se sobrescriban en el ciclo técnico ordinario del proveedor; tras una solicitud de eliminación, los datos quedan aislados del uso ordinario y no se restauran salvo en una recuperación de emergencia del sistema.

La base de datos puede eliminarse o restaurarse por motivos técnicos, de seguridad o legales, o cuando finalice el servicio. Esto no modifica la obligación del responsable de proteger los datos conforme a la ley, atender los derechos de los interesados y eliminar los datos cuando no exista una base para seguir tratándolos. La aplicación no es un archivo permanente; el usuario debe conservar sus propias copias de los archivos importantes.

8. DERECHOS DEL USUARIO

Conforme a las condiciones establecidas en el RGPD, el usuario puede solicitar acceso a los datos, su rectificación o supresión, la limitación del tratamiento y la portabilidad de los datos, y puede oponerse al tratamiento basado en intereses legítimos. También puede retirar el consentimiento. Las solicitudes deben dirigirse a support@nexitech.pl. Podrá verificarse la identidad de la persona que presenta la solicitud.

El usuario tiene derecho a presentar una reclamación ante la autoridad de control competente. En Polonia, esta autoridad es el Presidente de la Oficina de Protección de Datos Personales (uodo.gov.pl).

9. ELIMINACIÓN DE LA CUENTA

El usuario puede eliminar permanentemente la cuenta directamente en Ajustes → Cuenta → Eliminar cuenta permanentemente. Si no puede acceder a la aplicación, puede enviar una solicitud desde la dirección asociada a la cuenta a support@nexitech.pl o utilizar https://whazzup-802a2.web.app/account-deletion.html. La eliminación abarca la cuenta y los datos asociados que el responsable no esté obligado ni tenga otra base para conservar. Los datos pueden permanecer durante un tiempo limitado en copias de seguridad rotatorias y quedarán aislados del uso ordinario. Eliminar la cuenta no cancela automáticamente una suscripción en App Store o Google Play.

10. SEGURIDAD

Aplicamos medidas adecuadas al riesgo, incluidos el control de acceso, el cifrado de las transmisiones, la protección de las claves en el dispositivo y las reglas de acceso a la base de datos. Ningún sistema es totalmente resistente a los incidentes. En caso de violación, adoptaremos las medidas exigidas por la ley.

11. MENORES

El servicio no está dirigido a menores de 16 años. Si el responsable sabe que se han recogido datos de un menor de 16 años, adoptará medidas para eliminar la cuenta y los datos, salvo que la ley exija seguir tratándolos.

12. DECISIONES AUTOMATIZADAS

Actualmente no tomamos decisiones sobre los usuarios basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o les afecten de forma similarmente significativa. Si esto cambia, se completará esta política.

13. CAMBIOS EN ESTA POLÍTICA

Esta política puede actualizarse con motivo de cambios en la ley, las funciones o los proveedores. Cuando sea necesario, informaremos de los cambios sustanciales en la aplicación o por correo electrónico antes de que entren en vigor. La versión vigente está siempre disponible en los ajustes de la aplicación.