Void Note를 검토하는 보안·법무 담당자를 위한 페이지입니다. 회의 데이터가 어디로 가는지, 개발자가 볼 수 있는 것과 볼 수 없는 것, 직접 확인하는 방법을 정리했습니다. Void Note는 iPhone과 Android에서 같은 규칙으로 동작하며, 한 플랫폼에만 해당하는 내용은 따로 표시했습니다.

구조

Void Note는 서버가 없는 휴대폰 앱입니다.

1. 녹음: 회의실에 있는 휴대폰으로 녹음합니다. 통화에 봇이 들어가지 않습니다.
2. 전사: 같은 휴대폰 안의 음성 인식 모델로 전사합니다. iPhone에서는 WhisperKit(Whisper large-v3 turbo)을 씁니다. Android 엔진은 출시 때 여기에 적습니다.
3. 전송: 회사가 정한 Webhook 주소 하나로 전사를 보냅니다. 주소가 없으면 아무것도 보내지 않습니다.

이 경로에 Void 서버가 없으므로, 개발자가 읽거나 보관하거나 잃어버릴 데이터도 없습니다. 두 앱은 같은 판단 로직을 쓰고 같은 시험 파일로 확인하므로 같은 내용을 보냅니다.

보안 검토 질문에 대한 답

Webhook이 보내는 것

회의마다 POST 요청 한 번, Content-Type: application/json, 키는 정렬하고 날짜는 ISO 8601로 보냅니다. 오디오 파일은 보내지 않습니다. 형식은 위 영어판 예시와 같습니다.

stopReason은 manual(직접 정지), silence(무음 자동 정지), interrupted(중단) 중 하나입니다. engine은 전사를 만든 음성 인식 엔진입니다. 요약 필드는 없습니다. 요약·결정사항·할 일은 받는 쪽에서 만듭니다. 전송에 실패하면 30초 뒤부터 기다리는 시간을 두 배씩 늘려 최대 10분 간격으로 다시 보냅니다.

하위 처리자

Android 앱의 모델 다운로드처는 출시 때 여기에 더합니다.

보관 기간

인증

Void는 SOC 2, ISO 27001, HIPAA 인증이 없습니다. 회의 데이터가 개발자에게 오지 않으므로 이런 심사가 다룰 범위도 거의 없습니다. 같은 이유로 데이터 처리 계약(DPA)도 해당하지 않습니다.

직접 확인하는 방법

1. 시험용 휴대폰에 회사가 관리하는 시험용 주소를 넣고 짧은 회의를 녹음합니다.
2. 도착한 내용을 위 형식과 비교합니다.
3. 휴대폰의 설정 › 전송 기록에서 다른 요청이 나가지 않았는지 확인합니다.

알려진 한계

• Webhook 주소는 휴대폰을 설정하는 사람이 바꿀 수 있습니다. MDM으로 고정하는 기능은 준비 중입니다.
• iPhone에서는 음성 인식 모델을 huggingface.co에서 받습니다. 이 주소가 막힌 망에서는 모델을 넣는 다른 방법이 필요합니다.
• 녹음은 앱을 삭제할 때까지 휴대폰에 남고, 휴대폰 화면 잠금으로 보호됩니다.

취약점 신고

제목에 “Security”를 넣어 support@voidapp.io로 보내 주세요. 공개된 곳보다 비공개로 알려 주시기를 부탁드립니다.

더 보기

개인정보처리방침 · 이용약관 · 지원

Security

Last updated October 28, 2026

This page is for security and legal teams reviewing Void Note. It covers where meeting data goes, what we can and cannot see, and how to check it yourself. Void Note runs on iPhone and Android with the same rules; where a detail is specific to one platform, it says so.

Architecture

Void Note is a phone app with no server of its own.

1. Record on the phone in the room. No bot joins the call.
2. Transcribe on the same phone with an on-device speech model. On iPhone this is WhisperKit with Whisper large-v3 turbo. The Android engine will be listed here at launch.
3. Send the transcript to one webhook address your company sets. If no address is set, nothing is sent.

There is no Void server in this path, so there is nothing for us to read, store, or lose. Both apps share the same decision logic and are checked against the same test files, so they send the same payload.

Security review answers

What the webhook sends

One POST request per meeting, Content-Type: application/json, with keys sorted and dates in ISO 8601. The audio file is never sent.

{
  "meeting": {
    "durationSeconds": 2772,
    "id": "BADB309B-CF32-4EB4-9C10-7E39E635E2E7",
    "startedAt": "2027-01-15T08:00:00Z",
    "stopReason": "silence",
    "title": "Weekly sync"
  },
  "transcript": {
    "engine": "whisperkit/…",
    "segments": [
      { "start": 0, "end": 4.2, "text": "Let's get started." }
    ],
    "text": "Let's get started. …"
  },
  "version": 1
}

stopReason is manual, silence, or interrupted. engine names the speech engine that made the transcript. There is no summary field; summaries, decisions, and action items are made on your side. If delivery fails, Void Note retries after 30 seconds, doubling the wait up to 10 minutes.

Subprocessors

The Android app’s model download source will be added here at launch.

Retention

Certifications

Void holds no SOC 2, ISO 27001, or HIPAA certification. Because no meeting data reaches us, these reviews would cover very little. A data processing agreement does not apply for the same reason.

Check it yourself

1. Point a test phone at a test endpoint you control and record a short meeting.
2. Compare what arrives with the payload above.
3. Open Settings › Network Log on the phone and confirm nothing else left it.

Known limits

• The webhook address can be changed by whoever sets up the phone. Locking it through MDM is in progress.
• On iPhone, the speech model downloads from huggingface.co. Networks that block it need another way to install the model.
• Recordings stay on the phone until the app is deleted, protected by the phone’s screen lock.

Reporting a vulnerability

Email support@voidapp.io with “Security” in the subject. Please report privately rather than publicly.

More

Privacy Policy · Terms of Use · Support