No se envía nada, y se puede comprobar

Lo que se descarga, y desde dónde

Al abrir la herramienta, el navegador descarga la página, su código y su hoja de estilos. La primera vez que se usa un modelo, descarga el motor de cálculo y después los archivos del modelo elegido. Cuando usted los pide, descarga también el ejemplo (una grabación de un minuto y su texto) y las tipografías de los subtítulos incrustados. Todo viene de este sitio, y no se pide nada más: ni tipografías de un servicio de terceros, ni scripts de terceros, ni medición de audiencia.

La biblioteca que ejecuta el modelo (transformers.js) sabe ir a buscar sus archivos a Hugging Face y su motor a una red de distribución de contenidos. En Klarword no tiene derecho a hacerlo: su función de descarga se sustituye por una función que se niega, y solo lee los archivos comprobados guardados en su equipo. Una petición imprevista falla con un mensaje en lugar de salir.

Qué cambia para el RGPD

No recibimos ninguna grabación, así que no tratamos ninguno de los datos que contiene. En la práctica, para una organización:

• Ninguna transferencia de datos a un tercero: la grabación no sale del equipo de la persona que transcribe. La cuestión de la transferencia fuera de la Unión Europea no se plantea, porque no hay transferencia.
• Ningún encargado del tratamiento que designar para el contenido de las grabaciones, y por tanto ningún contrato de encargo que firmar para la transcripción en sí.
• Ningún plazo de conservación que fijar ni ningún borrado que pedir: no existe copia en ninguna otra parte. Lo que queda en el equipo, un trabajo que usted pidió conservar, se elimina con un clic.
• Ningún proveedor de inteligencia artificial ve pasar sus entrevistas: los modelos se publican con licencia libre (MIT, Apache 2.0), fijados, comprobados y servidos por este sitio, y después se ejecutan en su equipo.
• Ni cookies, ni rastreadores, ni terceros: ningún banner de consentimiento, porque no hay nada que consentir. La única medición del sitio es el contador que se describe más abajo.
• El sitio está alojado en Francia, por OVH, y solo sirve archivos. Para no depender de nadie, el paquete autoalojado funciona en su red interna, sin acceso a internet.

Lo que sigue siendo cosa suya

Hay dos cosas que Klarword no hace por usted: informar a las personas grabadas y, según el caso, recabar su consentimiento; inscribir la transcripción en su registro de actividades de tratamiento. Las condiciones de uso lo recuerdan.

Lo que nunca se envía

Ni el audio, ni el vídeo, ni el texto transcrito o traducido, ni el acta, ni sus correcciones, ni el nombre de sus archivos. Ni medición de audiencia, ni cookies, ni telemetría.

El servidor de este sitio no lleva registro de accesos. El proveedor de alojamiento conserva sus propios registros técnicos a nivel de la máquina, según sus normas de seguridad.

Lo único que sale: un contador

Cuando termina una transcripción, su navegador envía a este sitio una petición, y solo una: POST /compte?m=precis&d=10-60. Indica qué modelo se ha usado y en qué franja cae la duración de la grabación (menos de 10 minutos, de 10 a 60, más de una hora). Nada más: ni una palabra del texto, ni un nombre de archivo, ni un identificador.

El servidor solo escribe una línea: la fecha, el modelo, la franja. Ni dirección IP, ni navegador, ni página de origen: dos transcripciones de la misma persona no se distinguen de dos transcripciones de desconocidos. El total se publica tal cual en la página de estadísticas.

Un navegador que pide no ser rastreado (Do Not Track, Global Privacy Control) no envía nada. Sin conexión no sale nada, y nada se guarda para más tarde: la petición nunca se repite. El paquete autoalojado se compila sin contador. En todos los casos, la herramienta funciona exactamente igual.

Dicho sin rodeos: registramos el número de transcripciones terminadas, con el modelo usado y una franja de duración. Sabemos, por tanto, día a día, cuántas transcripciones se han hecho con cada modelo, y es exactamente lo que muestra la página de estadísticas. Nada en esas líneas dice quién las hizo, ni desde dónde, ni qué contenían.

Lo que se guarda en su equipo

Los modelos y el motor se guardan en el espacio privado que el navegador reserva a este sitio (Origin Private File System), después de comprobar su huella. Eso evita volver a descargarlos y permite trabajar sin conexión. La pantalla «En este equipo» de la herramienta los enumera y permite eliminarlos.

Su grabación no se guarda ahí, salvo que usted lo pida. Por defecto, se lee en memoria, en la pestaña, y se olvida al cerrarla; la transcripción también. Por eso la herramienta le pide que la guarde.

Si marca «Conservar este trabajo en este equipo», la grabación y su transcripción se guardan en ese mismo espacio privado, en este disco, y se actualizan con cada corrección, para que las encuentre en la siguiente visita. No se envían a ninguna parte, y se eliminan con un clic, desde la pantalla de inicio o desde «En este equipo». Sin la casilla, no se conserva nada.

Dos ajustes se conservan de una visita a otra, en el almacenamiento local del navegador, en este equipo: el glosario que usted ha escrito y el estilo elegido para los subtítulos incrustados. No salen del equipo; usted mismo exporta el glosario como archivo de texto para compartirlo.

La grabación desde el micrófono

La herramienta puede grabar directamente desde el micrófono del ordenador. El navegador le pide primero su permiso; después el sonido se guarda en memoria en la pestaña, exactamente como un archivo que usted hubiera soltado, y se transcribe de la misma manera. No se envía a ninguna parte. Si quiere conservarlo, la herramienta le propone guardarlo en su equipo; si no, desaparece al cerrar la pestaña.

La cabecera Permissions-Policy del sitio solo autoriza el micrófono para el propio sitio, y prohíbe la cámara, la geolocalización y todo lo demás.

La transferencia desde un teléfono

Para pasar una grabación del teléfono al ordenador, la herramienta muestra un código QR. El archivo va después directamente de un aparato a otro, por un canal WebRTC cifrado, en su red local: no pasa por ningún servidor, ni el nuestro ni otro.

Para que los dos aparatos se encuentren, el servidor del sitio les sirve de buzón durante unos segundos: cada uno deposita en él una descripción de conexión (sus direcciones en la red local y la huella de su clave de cifrado), y el otro la lee. Estas descripciones se firman con un secreto que solo lleva el código QR, en la parte de la dirección que el navegador nunca envía a un servidor: el relé no puede, por tanto, hacerse pasar por ninguno de los dos. Las guarda en memoria diez minutos como máximo, sin registro, y rechaza cualquier mensaje de más de 16 kB.

No se usa ningún servidor STUN ni TURN: un STUN público sería una petición a un tercero, y un TURN, un servidor por el que el archivo acabaría pasando. La contrapartida se indica en pantalla: los dos aparatos deben verse en la misma red.

Desenchufada, la herramienta sigue funcionando

Un service worker guarda una copia de las páginas y del código de la herramienta, para que se recargue con la red cortada; los modelos se guardan aparte, después de comprobar su huella. Esa es la demostración que un servicio que sube archivos no puede copiar, porque necesita su servidor para trabajar.

Un service worker es un programa que se instala entre la página y la red: exactamente el sitio desde el que se sacarían sus grabaciones. Esto es lo que hace el nuestro, y lo que no hace.

• No abre ninguna conexión. Su trabajo es responder con lo que ya tiene. No habla con ningún otro dominio: la política de seguridad de contenido se lo prohibiría de todos modos.
• Ninguna grabación pasa por él. Su archivo va de su disco a la memoria de la pestaña; lo que guarda son las páginas y el código de este sitio, nada más.
• No toca el contador y nunca lo repite. Un service worker sabe retener un envío y rehacerlo cuando vuelve la red: eso sería guardar un rastro de su trabajo a la espera de mandárnoslo. Sin conexión, el contador no cuenta.
• Se vacía con cada versión nueva del sitio, y las páginas pasan primero por la red cuando la hay: usted lee siempre la política de seguridad vigente.
• Se puede leer. Es el archivo /sw.js, en la raíz del dominio, comentado, que se abre en una pestaña.

Para quitarlo, si lo prefiere: herramientas de desarrollo (F12), pestaña Application, Service workers, Unregister. La herramienta seguirá funcionando como antes, con conexión.

El corrector ortográfico

El corrector del navegador está desactivado por defecto en el editor. El básico, en Chrome, Edge y Firefox, trabaja en el equipo; pero la «revisión ortográfica mejorada» de Chrome envía el texto escrito a Google. Si lo activa en Klarword, compruebe antes el ajuste de su navegador.

Lo que esta arquitectura no garantiza

• Una extensión instalada en su navegador puede leer la página y hacer sus propias peticiones. Para un trabajo delicado, use un perfil sin extensiones.
• Un equipo comprometido sigue comprometido: Klarword no protege contra un programa espía instalado en la máquina.
• El propio navegador envía información a su editor (actualizaciones, informes de errores) según sus propios ajustes.
• La lista de peticiones que muestra la herramienta la lleva la página. La pestaña Red del navegador es la comprobación que da fe.

Tenerla por completo

El sitio es una carpeta de archivos estáticos, modelos incluidos. No hay aplicación, ni base de datos, ni servicio en marcha. Por eso puede ponerse en otro lugar:

• en la intranet de su organización, sin acceso a internet;
• en un servidor web de su red, por pequeño que sea;
• en su propio alojamiento, si prefiere no depender de nadie.

Es la otra cara de la privacidad, la soberanía: no depender de un dominio, de una suscripción, de un proveedor de modelos ni de la salud económica de un prestatario. Si este sitio desapareciera mañana, una copia instalada en sus propios equipos seguiría funcionando exactamente igual. El paquete autoalojado es esa carpeta, con sus huellas.

Cómo está hecho, en tres frases

Su navegador descodifica la grabación, y después la transcribe un modelo Whisper que se ejecuta en la pestaña, en la tarjeta gráfica cuando la hay (WebGPU) y, si no, en el procesador (WebAssembly). Los hablantes, el acta y la traducción se hacen de la misma manera, con otros modelos abiertos, en el mismo equipo. Todo lo que descarga el navegador viene de este sitio, está fijado a una versión concreta y se comprueba por su huella antes de usarse.

Una auditoría independiente

El código servido puede leerse en el navegador, y el paquete autoalojado es idéntico al del sitio, con su huella. Una organización puede, por tanto, hacerlo auditar por el proveedor que elija, o pedir a su responsable de seguridad que lo revise antes de autorizarlo. Escríbanos para obtener el paquete que auditar.

La política de seguridad de contenido

La envía el servidor con cada página, y se repite en la propia página por si se colocara en otro servidor:

default-src 'self';
script-src 'self' 'wasm-unsafe-eval' blob:;
worker-src 'self' blob:;
style-src 'self' 'unsafe-inline';
img-src 'self' blob: data:;
media-src 'self' blob:;
font-src 'self';
connect-src 'self' blob:;
object-src 'none';
frame-src 'none';
base-uri 'none';
form-action 'none'