Esta entrada es un ejercicio de lectura, no una investigación. Todas las citas de abajo provienen de una página que publicó el propio Wispr Flow o de una publicación pública de un empleado de Wispr Flow. Todas se obtuvieron y comprobaron el 2026-08-29. Nada aquí está reconstruido a partir de un sitio de reseñas, el blog de un competidor o un resumen.
El método es el mismo en los tres hallazgos: poner el documento A junto al documento B, citar ambos completos y parar ahí. Las páginas cambian, sobre todo las de cumplimiento normativo, así que la fecha en que se leyó cada una forma parte de la afirmación. Quien las vuelva a comprobar después del 2026-08-29 debe esperar encontrar un texto distinto y compararlo con el archivo, no con esta entrada.
TL;DR
- La página de marketing y las preguntas frecuentes de Security and Compliance describen el estado de las certificaciones en términos distintos.
- Las preguntas frecuentes describen lo que la analítica de producto excluye. Un empleado de Wispr Flow publicó en LinkedIn, el 10 de agosto de 2026, un análisis de frecuencia de palabras del dictado de los usuarios, separado por países.
- La publicación de los cofundadores del 1 de junio de 2026 describe un patrón del sector de recopilar por defecto. Las preguntas frecuentes indican el valor predeterminado para las cuentas de prueba y estándar.
1. La redacción de las certificaciones
El documento A, la página de resumen de privacidad en wisprflow.ai/privacy, leída el 2026-08-29, anuncia:
SOC 2 Type II Compliance
y
ISO 27001
El documento B, las preguntas frecuentes de Security and Compliance, leídas el 2026-08-29, indican:
SOC 2 Type I: completed April 2026 by A-LIGN, clean unqualified opinion, Security scope. Report available under NDA.
y, para ISO 27001:2022:
Stage 1: completed April 2026 by A-LIGN. Stage 2 scheduled June 2026.
Type I y Type II son auditorías distintas. Stage 1 y Stage 2 son fases distintas. Ambas páginas están publicadas, ambas son de Wispr y cualquiera puede abrirlas en dos pestañas.
Conviene añadir algo: de los diez proveedores de dictado comprobados el 2026-08-29, Wispr Flow fue el único que nombró en algún lugar a su auditor, el alcance de la auditoría y las fechas. Las preguntas frecuentes son el documento más específico, y es el que discrepa de la página de marketing.
2. La redacción de la analítica
El documento A, las mismas preguntas frecuentes de Security and Compliance, leídas el 2026-08-29:
Privacy controls are retention-based rather than anonymization-based: under Privacy Mode dictation content is not kept, so there is no dictation dataset to anonymize. Operational telemetry and product analytics exclude dictation content by design, and Wispr maintains no anonymized dictation dataset for internal use.
El documento B, una publicación en LinkedIn del 10 de agosto de 2026 de un empleado de Wispr Flow, leída el 2026-08-29:
We looked at which filler words and phrases show up most across Wispr Flow users in India vs the U.S. Not what people are saying, just the filler words.
La publicación continúa con las proporciones por palabra entre los dos países.
Cuando se leyó el 2026-08-29, la publicación tenía 193 reacciones y 32 comentarios. No indica cuál era su muestra, y según las propias preguntas frecuentes, el contenido en Privacy Mode no se conserva y por tanto no podría contarse. La publicación es pública y profesional, y se enlaza aquí porque una afirmación sin su fuente no merece leerse. Esta entrada se refiere a su autor solo por su cargo. Lo importante es el documento, y la discrepancia es entre dos páginas de Wispr, no con una persona.
3. El valor predeterminado del entrenamiento
El documento A, "Privacy is the foundation", de los cofundadores Tanay Kothari y Sahaj Garg, con fecha del 1 de junio de 2026, leído el 2026-08-29:
Most AI tools train on what you say, and they do so without clearly informing you. ChatGPT uses your conversations to improve its models unless you go and change it, and even after you do, it can hold onto your chats for a while.
The pattern is the same everywhere. Collection happens automatically, the disclosure is technically there but hard to find, and it's left to you to figure out what's happening with your data. I don't think that's right. When a product handles input this sensitive, you should be in control of your data from the start and not have to dig for the private option.
La publicación incluye un gráfico de dos columnas. Su columna «Industry default» dice: "Opted in by default / Data stored and used for training / Privacy settings buried in menus / Recordings reviewed by humans".
El documento B, las preguntas frecuentes de Security and Compliance, leídas el 2026-08-29:
Privacy Mode off (standard mode): audio and transcription data may be used to evaluate, train, and improve Wispr's models. This is the default for trial and standard accounts.
Enterprise and HIPAA BAA customers run with Privacy Mode on by default. If you handle confidential or privileged information, enable Privacy Mode before dictating.
La página Data Controls, leída el 2026-08-29, indica dónde está el interruptor:
If you allow your data to be used to improve models, your data (i.e. audio, transcript, edits) may be used to evaluate, train, or improve AI models, by Wispr. You can control this in the Wispr Flow app: Settings > Data and Privacy.
Las cuentas Enterprise tienen el valor predeterminado en un sentido. Las cuentas de prueba y estándar lo tienen en el otro. La publicación del 1 de junio trata del sector, y las preguntas frecuentes tratan del producto.
El patrón más amplio
Se comprobaron nueve proveedores de dictado contra sus propios documentos primarios el 2026-08-29, entre ellos Wispr Flow. Uno de ellos, Otter, publica una lista de subencargados completa, fechada y pública en otter.ai/subprocessors, actualizada por última vez el 31 de marzo de 2026. Wispr Flow publica en su centro de confianza una lista parcial de cinco proveedores y afirma que la lista de referencia es el Annex 2 del DPA, disponible bajo NDA. En el resto, la búsqueda terminó en un 404 o en nombres de categoría como "trusted service providers".
Cuatro de los diez no nombran a ningún proveedor de voz a texto ni de LLM en ningún documento primario: Notta, Speechify, Aqua Voice, Willow Voice. Eso es silencio en los documentos, y aquí el silencio se registra como silencio, no como una inferencia sobre lo que hace el software.
Esta discrepancia entre documentos tampoco es exclusiva de un proveedor. La política de privacidad de MacWhisper, con fecha de febrero de 2024, dice "No data (audio, text or other) leaves your device", mientras que su documentación de soporte nombra a Groq, ElevenLabs, Deepgram, DeepL, OpenAI y Anthropic como vías en la nube. El README de VoiceInk dice "100% offline processing ensures your data never leaves your device", mientras que su política de privacidad enumera doce proveedores en la nube opcionales. En ambos casos, la frase de marketing describe la configuración predeterminada y el otro documento describe la capacidad.
La comparación completa, proveedor por proveedor y campo por campo, está en /dictation-app-privacy.
Dónde se sitúa Voice Type
Tres subencargados: Apple para la distribución en la App Store y los pagos, Cloudflare para el alojamiento del sitio y el DNS, PostHog para la analítica del sitio web. Ninguno de los tres está en el camino de una palabra hablada.
La reescritura con LLM está desactivada por defecto, establecida en el código fuente distribuido en WhisperState.swift como llmRewriteEnabled: Bool = false, y la reescritura automática también.
Cada proveedor de reescritura se revela por su nombre: dieciséis remotos, un endpoint personalizado compatible con OpenAI y tres que nunca salen del equipo, enumerados en el código fuente distribuido en LLMProvider.swift:213-232. Lo que vale la pena revelar es la capacidad, y el valor predeterminado no es toda la historia.