Szept

Polityka prywatności

Obowiązuje od: [data publikacji] · Ostatnia aktualizacja: 13 listopada 2026

W skrócie: zbieramy tylko to, czego komunikator potrzebuje do działania. Prosimy o adres e-mail, ale nikomu go nie pokazujemy, nie sprzedajemy i nie wysyłamy na niego reklam. Numeru telefonu nie zbieramy. Imię i nazwisko podajesz tylko, jeśli chcesz, a widzą je wyłącznie Twoi znajomi. Nie wyświetlamy reklam i nie używamy narzędzi analitycznych. Dane trzymamy na serwerze w Polsce. Wiadomości przesyłamy szyfrowanym połączeniem. Zwykłe rozmowy 1:1 (tekst, emoji, zdjęcia, nagrania i pliki) są dodatkowo szyfrowane end-to-end: treść zna tylko Twój telefon i telefon rozmówcy, a nasz serwer jej nie czyta. Rozmowy grupowe nie są jeszcze szyfrowane end-to-end, a starsze wiadomości sprzed wprowadzenia szyfrowania zostają na serwerze w postaci jawnej. Serwer nadal wie, kto z kim pisze i kiedy.

1. Kto odpowiada za Twoje dane

Administratorem danych jest [imię i nazwisko albo nazwa firmy, adres]. W sprawach dotyczących danych napisz na [adres e-mail kontaktowy].

2. Jakie dane przetwarzamy i po co

Dane Po co Podstawa (RODO)
Konto: nazwa użytkownika (@login) i nick, widoczne dla wszystkich użytkowników; imię i nazwisko, dobrowolne i widoczne tylko dla Twoich znajomych; adres e-mail, widoczny tylko dla Ciebie i administratora; data założenia. Hasło przechowujemy wyłącznie jako skrót argon2. Samego hasła nie znamy. Założenie konta, logowanie, wyświetlanie Cię rozmówcom. E-mail: pilnowanie zasady „jeden adres = jedno konto” (ochrona przed spamem i fałszywymi kontami) oraz kontakt w sprawie Twojego konta. art. 6 ust. 1 lit. b, czyli wykonanie umowy (świadczenie usługi); e-mail w zakresie ochrony przed nadużyciami: art. 6 ust. 1 lit. f
Wiadomości: czas wysłania, autor, rodzaj (tekst, zdjęcie, głosówka itd.), informacja o przeczytaniu; w grupach i w starszych wiadomościach także treść. W rozmowach 1:1 szyfrowanych end-to-end serwer przechowuje zamiast treści pusty wpis oraz zaszyfrowaną „kopertę” dla telefonu odbiorcy (patrz 5e). Dostarczanie wiadomości i historia rozmowy. art. 6 ust. 1 lit. b
Znajomości: zaproszenia, lista znajomych, osoby przez Ciebie zablokowane. Pilnowanie, żeby pisać mogli do siebie tylko znajomi, i działanie blokad. art. 6 ust. 1 lit. b
Ustawienia: kto może Cię zaprosić, czy pokazujesz swój status. Działanie Twoich ustawień prywatności. art. 6 ust. 1 lit. b
Aktywność: czy jesteś teraz w aplikacji oraz czas ostatniej aktywności. Pokazywanie znajomym, kiedy jesteś online. Możesz to wyłączyć w Ustawieniach. art. 6 ust. 1 lit. b
Zgłoszenia: kto zgłasza, kogo, powód, opcjonalny opis oraz kopia do 30 ostatnich wiadomości ze zgłoszonej rozmowy (zgłoszona, 20 przed nią i 9 po niej). W rozmowach 1:1 szyfrowanych end-to-end serwer nie ma treści, więc kopia zawiera tylko dane o wiadomościach (kto, kiedy, rodzaj), bez ich treści. Moderacja: ocena zgłoszenia i ochrona użytkowników przed spamem i nękaniem. art. 6 ust. 1 lit. f, czyli nasz prawnie uzasadniony interes (bezpieczeństwo usługi)
Przepisywanie głosówek: nagranie jednej głosówki, które sam(-a) wysyłasz na serwer przyciskiem „Pokaż tekst”, oraz liczba przepisań w ciągu doby (do dziennego limitu). Zamiana nagrania na tekst na Twoją prośbę. Tekst trafia tylko do Ciebie. art. 6 ust. 1 lit. b, czyli wykonanie usługi, o którą prosisz
Znikające wiadomości: ustawienie rozmowy (wyłączone, 24 godziny albo 7 dni), kto i kiedy je zmienił oraz termin zniknięcia przy każdej wiadomości, która ma zniknąć. Automatyczne usuwanie wiadomości (razem z załącznikami) po wybranym czasie od wysłania. art. 6 ust. 1 lit. b
Zapisane: prywatna lista odnośników do wiadomości, które sam(-a) zapisałeś(-aś). Nie kopiujemy ich treści. Szybki powrót do wybranych wiadomości. Lista jest widoczna tylko dla Ciebie. art. 6 ust. 1 lit. b
Rozliczenia: wydatki w rozmowie (tytuł, kwota w złotych, kto płacił, na kogo dzielone i ile przypada na każdą osobę) oraz oznaczenia „Oddane” (kto komu i ile). Liczenie, kto komu ile jest winien, oraz pokazywanie sald w rozmowie. art. 6 ust. 1 lit. b
Harmonogram powiadomień: wybrane przez Ciebie dni i godziny, w których powiadomienia mają przychodzić, oraz Twoja strefa czasowa (np. Europe/Warsaw). Wyciszanie powiadomień poza ustawionymi godzinami także wtedy, gdy aplikacja jest zamknięta. art. 6 ust. 1 lit. b
Dane techniczne: adres IP, czas i rodzaj zapytania do serwera (np. „wysłanie wiadomości”), zapisywane w dzienniku serwera. Nie zapisujemy tam treści wiadomości ani tego, co wpisujesz w wyszukiwarkę. Bezpieczeństwo (np. limity prób logowania), wykrywanie awarii i nadużyć. art. 6 ust. 1 lit. f

Na Twoim telefonie aplikacja zapisuje token logowania (w bezpiecznym magazynie systemu, czyli Keychain na iOS i Keystore na Androidzie) oraz podstawowe dane Twojego profilu, żeby nie trzeba było logować się za każdym razem.

Adres e-mail. Na razie nie sprawdzamy, czy adres należy do Ciebie, i nie wysyłamy na niego żadnych wiadomości. Gdy uruchomimy potwierdzanie adresu kodem i odzyskiwanie hasła, opiszemy to tutaj przed wprowadzeniem zmiany. Nie sprzedajemy adresów, nie przekazujemy ich do celów marketingowych i nie wysyłamy reklam. Adres możesz zmienić w Ustawieniach → Edytuj profil.

Podanie nazwy użytkownika, nicku, adresu e-mail i hasła jest dobrowolne, ale bez nich nie założysz konta. Imię i nazwisko są całkowicie dobrowolne. Konta założone przed [data wdrożenia] mogą nie mieć adresu e-mail. Dodanie go jest dobrowolne. Nie podejmujemy wobec Ciebie decyzji w sposób zautomatyzowany i nie profilujemy Cię.

3. Czego nie zbieramy

4. Kto widzi Twoje dane

Nie przekazujemy danych poza Europejski Obszar Gospodarczy.

5. Rozmowy głosowe i wideo

Rozmowy odbywają się bezpośrednio między telefonami; media nie przechodzą przez nasz serwer, chyba że połączenie bezpośrednie jest niemożliwe lub włączysz „Ukryj mój adres IP” — wtedy ruch przechodzi przez nasz serwer przekazujący (TURN) i nie jest zapisywany.

Serwer widzi tylko, kto do kogo dzwoni i kiedy, i zapisuje w rozmowie wiadomość o połączeniu (rodzaj, wynik, czas trwania). Treści rozmowy nie nagrywamy ani nie zapisujemy. Serwer przekazujący przetwarza adresy IP uczestników przejściowo; jego dziennik jest rotowany i trzymany kilka dni. Bez „Ukryj mój adres IP” druga osoba w rozmowie może zobaczyć Twój adres IP.

5a. Przepisywanie głosówek

Pod głosówką możesz dotknąć „Pokaż tekst”. Dopiero wtedy aplikacja wysyła odszyfrowane nagranie tej jednej głosówki na nasz serwer (także wtedy, gdy głosówka przyszła w rozmowie szyfrowanej end-to-end: to Twoja decyzja o ujawnieniu serwerowi tej jednej głosówki), który zamienia je na tekst własnym programem rozpoznawania mowy (Whisper), działającym na tym samym serwerze w Polsce. Nagranie nie trafia do żadnej zewnętrznej firmy.

Serwer niczego nie zapisuje: nagranie jest w pamięci tylko na czas przepisywania (do kilku minut), a tekst wraca wyłącznie do Ciebie i zostaje na Twoim telefonie (znika po wylogowaniu albo gdy wiadomość zostanie usunięta). Zapisujemy jedynie liczbę przepisań w ciągu doby, żeby pilnować limitu. Osoba, która nagrała głosówkę, nie dostaje informacji, że ją przepisałeś(-aś). Bez dotknięcia „Pokaż tekst” nic nie jest przepisywane.

5b. Znikające wiadomości, zapisane i rozliczenia

W ustawieniach rozmowy możesz włączyć znikanie wiadomości po 24 godzinach albo po 7 dniach od wysłania (w grupie robi to właściciel lub administrator). Dotyczy to tylko wiadomości wysłanych po włączeniu. Po terminie serwer usuwa wiadomość u wszystkich, razem z załącznikiem i jej reakcjami, bez śladu w rozmowie. Znikające wiadomości to porządek w historii, a nie ochrona przed rozmówcą: może on zrobić zrzut ekranu, skopiować treść albo przesłać ją dalej.

„Zapisane” to wyłącznie Twoje odnośniki do wiadomości. Pozycja znika, gdy wiadomość przestaje być dla Ciebie dostępna. Wiadomości, które mają zniknąć, nie da się zapisać.

Wydatki i oznaczenia „Oddane” są zapisywane w rozmowie osobno od wiadomości, żeby salda się zgadzały, gdy ktoś ukryje wiadomość u siebie. Usunięty wydatek jest unieważniany i nie wlicza się do sald. Gdy usuniesz konto, Twoje imię przy rozliczeniach zmienia się na „Usunięte konto”, a rozliczenia zostają w rozmowie, żeby saldo pozostałych osób się zgadzało. Po usunięciu rozmowy (grupy) rozliczenia są kasowane.

5c. Harmonogram powiadomień i przypomnienia

Harmonogram powiadomień zapisujemy na serwerze razem z Twoją strefą czasową, bo to serwer decyduje, czy powiadomienie ma przyjść głośno, czy bez dźwięku, także gdy aplikacja jest zamknięta. Powtarzane przypomnienia i przypomnienia własne zostają wyłącznie na Twoim telefonie i nie trafiają na serwer.

5d. Naklejki, emoji grup, kafelki i Spotify

Naklejki i emoji grup. Twoje naklejki ze zdjęć i emoji grupy są szyfrowane na telefonie, a serwer przechowuje je, żeby były dostępne na Twoich urządzeniach (naklejki) albo u członków grupy (emoji). W rozmowach grupowych klucze plików (tak jak innych załączników) przechowuje serwer, bo grupy nie są jeszcze szyfrowane end-to-end. Naklejkę usuwamy, gdy ją skasujesz albo usuniesz konto; emoji grupy, gdy usunie je administrator albo zniknie grupa. „Dodaj do moich naklejek” z cudzej wiadomości robi Twoją prywatną kopię, a autor nie jest powiadamiany.

Motyw i emotka rozmowy są ustawieniem wspólnym dla rozmowy i serwer je zna (jak nazwę grupy). Eksport czatu zapisuje rozmowę tylko do folderu, który wskażesz na telefonie; nic nie trafia na serwer. Szepty eksportują się bez treści, a czatu ze znikającymi wiadomościami albo blokadą zrzutów nie da się wyeksportować. Odpowiedź z powiadomienia to zwykła wiadomość; jej treść nie jest pokazywana w powiadomieniu ani zapisywana w logach.

Kalendarz. Wydarzenia grupy widzą członkowie grupy. Datę urodzin pokazujemy znajomym tylko po Twojej wyraźnej zgodzie (rok urodzenia to osobna zgoda); nie widzi jej nikt inny, nie trafia do logów ani do panelu administratora. Po wyłączeniu widoczności przypomnienie zaplanowane już na telefonie znajomego znika przy jego najbliższej synchronizacji.

Notatnik jest prywatny: notatki są przechowywane na serwerze Szeptu, żeby działały na Twoich urządzeniach, ale nie są szyfrowane end-to-end. Serwer ich nie przeszukuje, a panel administratora ich nie pokazuje. Odliczania są prywatne, dopóki ich nie udostępnisz znajomym. Podsumowanie liczy się na telefonie i nie wysyła niczego na serwer.

„Teraz słucham” (Spotify). Po połączeniu konta Spotify Szept odczytuje wyłącznie utwór, którego właśnie słuchasz (zakres user-read-currently-playing). Nie zapisujemy historii słuchania, nazwy ani identyfikatora konta Spotify. Na serwerze trzymamy tylko token dostępu zaszyfrowany kluczem przechowywanym poza bazą. Znajomi widzą utwór w Twoim profilu tylko wtedy, gdy włączysz udostępnianie. Okładki albumów pobiera nasz serwer i przekazuje je aplikacji, więc telefon oglądającego nigdy nie łączy się ze Spotify. Spotify widzi adres serwera Szeptu (nie Twój ani znajomych) i to, jak często pytamy o utwór. Odłączenie w aplikacji kasuje token; zgodę możesz też odebrać na stronie spotify.com/account/apps.

5e. Szyfrowanie end-to-end i łączenie urządzeń

Co jest szyfrowane end-to-end. Zwykłe rozmowy 1:1: tekst, emoji, odpowiedzi, zdjęcia, wideo, głosówki, pliki i naklejki. Wiadomość jest szyfrowana na telefonie nadawcy i odszyfrowywana na telefonie odbiorcy. Klucze prywatne zostają na telefonach i nigdy nie trafiają na serwer. Pliki są szyfrowane na telefonie, a ich klucz jedzie w zaszyfrowanej wiadomości.

Czego to nie obejmuje. Rozmowy grupowe, starsze wiadomości sprzed wprowadzenia szyfrowania oraz funkcje działające po stronie serwera, takie jak szepty, ankiety, listy, rozliczenia, notatnik i wiadomości systemowe, nie są szyfrowane end-to-end. Starsza wersja aplikacji bez szyfrowania wysyła wiadomości jawnie, dlatego zalecamy aktualizację aplikacji. Rozmowy głosowe i wideo to osobny mechanizm (patrz punkt 5).

Co serwer widzi i przechowuje. Publiczne klucze Twoich urządzeń, kto napisał do kogo i kiedy, rodzaj wiadomości, rozmiar zaszyfrowanych plików oraz ich typ. Treści nie widzi. Zaszyfrowana „koperta” czeka na serwerze, aż telefon odbiorcy ją pobierze i potwierdzi odbiór; wtedy jest usuwana. Wiadomość szyfrowana ma na serwerze pusty wpis z danymi technicznymi, który znika razem z rozmową albo po terminie przy znikających wiadomościach. Powiadomienia push przechodzą przez Google (Firebase Cloud Messaging) i nie zawierają treści ani imion, tylko identyfikatory techniczne.

Historia jest na telefonie. Odszyfrowane wiadomości z rozmów 1:1 zapisuje aplikacja na Twoim telefonie. Serwer nie ma ich kopii, więc nie możemy ich odtworzyć, jeśli stracisz telefon.

Logowanie kodem QR. Nowe urządzenie pokazuje kod QR, a zalogowane urządzenie go skanuje i potwierdza. Na serwerze zapisujemy wtedy jednorazową prośbę (losowy identyfikator) ważną 5 minut, a po potwierdzeniu nowe urządzenie dostaje sesję logowania. Kod nie zawiera Twoich danych.

6. Jak długo przechowujemy dane

Obecnie nie wykonujemy kopii zapasowych bazy danych. Gdy zaczniemy, opiszemy tutaj, jak długo są przechowywane. Znikające wiadomości usuwamy z serwera w ciągu około minuty od terminu; mogą jeszcze przez krótki czas pozostać w kopiach zapasowych, jeśli będą wykonywane.

7. Jak chronimy dane

Rozmowy 1:1 są szyfrowane end-to-end (patrz 5e), ale rozmowy grupowe i starsze wiadomości nie są. Szyfrowanie end-to-end nie ukrywa metadanych (kto, z kim, kiedy). Nie przesyłaj w grupach danych szczególnie wrażliwych, takich jak hasła czy numery kart.

8. Twoje prawa

Masz prawo:

Żeby skorzystać z praw, które nie są dostępne w aplikacji, napisz na adres z punktu 1.

9. Wiek

Szept jest przeznaczony dla osób, które ukończyły 16 lat.

10. Zmiany

Gdy zmienimy tę politykę, na przykład po dodaniu nowych funkcji, zaktualizujemy datę na górze. O istotnych zmianach poinformujemy w aplikacji.