Política de Privacidade — Transcriwise

Última atualização: 14 de março de 2026

Data de vigência: 14 de março de 2026

Esta Política de Privacidade descreve como a Transcriwise Tecnologia Ltda. coleta, utiliza, compartilha e protege dados pessoais dos usuários de seus serviços de transcrição de áudio e inteligência artificial. Esta política está em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) e com o Regulamento Geral sobre a Proteção de Dados (GDPR — Regulamento UE 2016/679).

1. Controlador de Dados

O Controlador é responsável pelas decisões referentes ao tratamento de dados pessoais descritos nesta Política.

2. Definições

Para fins desta Política de Privacidade, adotam-se as seguintes definições, em conformidade com o Art. 5º da LGPD e o Art. 4 do GDPR:

3. Dados Pessoais Coletados

A Transcriwise coleta e trata as seguintes categorias de dados pessoais:

3.1 Dados Fornecidos Diretamente pelo Titular

3.2 Dados Gerados Pelo Processamento

3.3 Dados Coletados Automaticamente

3.4 Dados Coletados via Integrações (Quando Habilitadas pelo Usuário)

4. Bases Legais para Cada Tratamento

Em conformidade com o Art. 7 da LGPD e o Art. 6 do GDPR, cada atividade de tratamento possui uma base legal específica:

5. Dados Pessoais Sensíveis e Biometria de Voz

5.1 Natureza dos Dados de Áudio

A Transcriwise reconhece que os arquivos de áudio e as transcrições resultantes podem conter dados pessoais sensíveis conforme definido no Art. 5º, II da LGPD e no Art. 9 do GDPR, dependendo do conteúdo gravado. Isso inclui, sem limitação:

• Dados de saúde — consultas médicas, prontuários ditados, sessões de terapia.
• Dados jurídicos — audiências judiciais, consultas com advogados, depoimentos.
• Convicções religiosas ou opiniões políticas — quando expressos verbalmente.
• Dados financeiros — reuniões sobre fusões e aquisições, negociações contratuais.
• Dados de investigações — compliance, due diligence, investigações internas.

5.2 Biometria de Voz

A voz humana constitui dado biométrico quando utilizada para fins de identificação de uma pessoa natural. No contexto da Transcriwise:

1. Diarização de falantes: A Transcriwise utiliza tecnologias de diarização (Pyannote, SpeechBrain) para diferenciar falantes em um áudio (ex.: "Speaker 1", "Speaker 2"). Este processo analisa padrões vocais para segmentação, mas não realiza identificação biométrica — ou seja, não associa a voz a uma identidade civil específica.
2. Retenção de padrões vocais: Os embeddings de voz gerados durante a diarização são temporários e descartados após o processamento. Não são armazenados de forma persistente nem utilizados para criar perfis biométricos.
3. Base legal: Quando o tratamento de dados biométricos de voz for necessário, a base legal será o consentimento específico e destacado do titular (Art. 11, I da LGPD; Art. 9(2)(a) do GDPR) ou outra base prevista na legislação aplicável.

5.3 Responsabilidade do Usuário

O usuário que envia áudio para transcrição é responsável por:

• Garantir que possui base legal para o tratamento do conteúdo do áudio.
• Informar os participantes do áudio sobre a gravação e o processamento.
• Obter consentimentos necessários, especialmente quando o conteúdo incluir dados sensíveis.
• Selecionar o perfil de segurança adequado (Confidential ou Restricted) quando o conteúdo exigir controles reforçados.

6. Finalidades do Tratamento

A Transcriwise trata dados pessoais para as seguintes finalidades específicas:

6.1 Finalidades Principais (Prestação do Serviço)

1. Transcrição automática de áudio e vídeo — conversão de fala em texto utilizando provedores de ASR (RunPod/Whisper, AssemblyAI, ElevenLabs Scribe, Soniox).
2. Processamento por inteligência artificial — geração de resumos, traduções, action items, e-mails de follow-up, chat contextual, repurpose de conteúdo e aplicação de templates, utilizando LLMs (Google Gemini, OpenAI GPT, DeepL).
3. Armazenamento e gestão de transcrições — persistência de áudios, transcrições e artefatos derivados em infraestrutura segura (AWS S3, PostgreSQL).
4. Exportação de conteúdo — geração de documentos DOCX e PDF com transcrições formatadas.
5. Gestão de conta e perfil — criação, manutenção e exclusão de contas de usuários.
6. Faturamento e cobrança — processamento de assinaturas, créditos e pagamentos via Stripe.

6.2 Finalidades Secundárias (Habilitadas pelo Usuário)

7. Integrações com serviços terceiros — importação de áudio (Dropbox, Google Drive, Gmail, Zoom) e exportação de transcrições (Slack, Notion, Trello, Salesforce, HubSpot, Microsoft OneDrive, Zapier).
8. Gravação de reuniões — captura de áudio de reuniões via TranscriBot em Google Meet, Zoom e Microsoft Teams.
9. Sincronização de calendário — importação automática de gravações a partir de eventos do Google Calendar.

6.3 Finalidades Operacionais

10. Segurança e prevenção de fraude — monitoramento de acessos, detecção de anomalias, proteção contra uso indevido.
11. Monitoramento e diagnóstico — detecção e correção de erros em produção (Sentry), otimização de performance.
12. Melhoria contínua — análise de métricas de uso agregadas e anonimizadas para aprimoramento do serviço.
13. Cumprimento legal — atendimento a obrigações legais, regulatórias e requisições de autoridades competentes.
14. Exercício regular de direitos — defesa em processos judiciais, administrativos ou arbitrais.

6.4 Finalidades Não Realizadas

A Transcriwise NÃO utiliza dados pessoais para:

• Venda ou comercialização de dados pessoais a terceiros.
• Publicidade direcionada com base no conteúdo de transcrições.
• Treinamento de modelos de IA com dados de clientes (salvo opt-in expresso e documentado).
• Criação de perfis biométricos permanentes.
• Vigilância ou monitoramento de titulares.

7. Compartilhamento com Terceiros e Processadores

A Transcriwise compartilha dados pessoais com os seguintes processadores terceiros, exclusivamente para as finalidades descritas e com salvaguardas contratuais (DPAs) em vigor:

7.1 Infraestrutura

7.2 Provedores de Transcrição (ASR)

7.3 Provedores de Inteligência Artificial (LLM)

7.4 Reuniões

7.5 Pagamento

7.6 Monitoramento e Observabilidade

7.7 Integrações (Habilitadas pelo Usuário)

7.8 Garantias de Compartilhamento

• Todos os processadores terceiros estão vinculados por DPAs (Acordos de Processamento de Dados) com obrigações equivalentes às descritas nesta Política.
• A lista completa e atualizada de subprocessadores é mantida em documento separado e pode ser solicitada a qualquer momento via privacy@transcriwise.com.
• O controle allow_training_opt_in (desabilitado por padrão) determina se provedores de IA podem utilizar dados para treinamento de modelos.
• Integrações são habilitadas exclusivamente pelo usuário e podem ser revogadas a qualquer momento nas configurações da conta.

8. Transferência Internacional de Dados

8.1 Localização dos Dados

A infraestrutura primária da Transcriwise está hospedada nos Estados Unidos da América (AWS us-east-1), com possibilidade de configuração de região por tenant para clientes Enterprise.

8.2 Mecanismos de Proteção (LGPD — Arts. 33-36)

A Transcriwise adota os seguintes mecanismos para garantir a adequação das transferências internacionais:

1. Cláusulas contratuais específicas — celebradas com cada processador terceiro por meio de DPAs.
2. Verificação de adequação — monitoramento contínuo das avaliações de adequação emitidas pela ANPD.
3. Certificações de segurança — verificação de que processadores possuem certificações reconhecidas (SOC 2, ISO 27001, PCI DSS).

8.3 Mecanismos de Proteção (GDPR — Capítulo V)

Para transferências envolvendo titulares no Espaço Econômico Europeu:

1. Cláusulas Contratuais Padrão (SCCs) — aprovadas pela Comissão Europeia (Decisão de Execução (UE) 2021/914).
2. Decisões de adequação — quando disponíveis para o país de destino.
3. Avaliação de Impacto de Transferência (TIA) — conduzida para avaliar o nível de proteção no país de destino.

8.4 Controles Adicionais

• allow_training_opt_in=false (padrão) — impede que provedores de IA armazenem ou utilizem dados para treinamento.
• URLs presigned com TTL curto — para transmissão de áudio a provedores de ASR, minimizando a janela de exposição.
• Criptografia em trânsito — TLS 1.2+ obrigatório em todas as transmissões.
• Possibilidade de residência de dados — para clientes Enterprise, configuração de região AWS específica (ex.: UE, Brasil).
• Perfil Restricted — permite restringir processadores a uma lista explicitamente aprovada por tenant.

9. Retenção de Dados

9.1 Política de Retenção

9.2 Eliminação Automática

A Transcriwise executa políticas de retenção automatizadas por meio de tarefas periódicas (Celery beat). Cada execução é registrada em log de auditoria.

9.3 Eliminação sob Demanda

O titular pode solicitar a eliminação de seus dados a qualquer momento, conforme descrito na Seção 10. A eliminação sob demanda é processada em até 15 dias úteis.

9.4 Exceções à Eliminação

Dados pessoais poderão ser retidos além dos períodos padrão quando necessário para:

• Cumprimento de obrigação legal ou regulatória (ex.: obrigações fiscais).
• Exercício regular de direitos em processo judicial, administrativo ou arbitral.
• Proteção da vida ou da incolumidade física do titular ou de terceiro.

10. Direitos do Titular

Em conformidade com os Arts. 17-22 da LGPD e os Arts. 15-22 do GDPR, o titular de dados pessoais tem os seguintes direitos:

10.1 Confirmação de Tratamento

O titular tem o direito de obter a confirmação de que seus dados pessoais são ou foram tratados pela Transcriwise (Art. 18, I da LGPD; Art. 15 do GDPR).

10.2 Acesso aos Dados

O titular tem o direito de acessar seus dados pessoais tratados pela Transcriwise, incluindo informações sobre a origem dos dados, categorias, finalidades, compartilhamento com terceiros e período de retenção (Art. 18, II da LGPD; Art. 15 do GDPR).

10.3 Correção de Dados

O titular tem o direito de solicitar a correção de dados pessoais incompletos, inexatos ou desatualizados (Art. 18, III da LGPD; Art. 16 do GDPR).

10.4 Anonimização, Bloqueio ou Eliminação

O titular tem o direito de solicitar a anonimização, bloqueio ou eliminação de dados pessoais desnecessários, excessivos ou tratados em desconformidade com a legislação (Art. 18, IV da LGPD; Art. 17 do GDPR).

10.5 Portabilidade

O titular tem o direito de solicitar a portabilidade de seus dados pessoais a outro fornecedor de serviço, em formato estruturado, de uso corrente e leitura automatizada (Art. 18, V da LGPD; Art. 20 do GDPR). A Transcriwise oferece exportação em formato JSON, CSV, DOCX e PDF.

10.6 Eliminação

O titular tem o direito de solicitar a eliminação dos dados pessoais tratados com base no consentimento, exceto nas hipóteses de retenção previstas na Seção 9.4 (Art. 18, VI da LGPD; Art. 17 do GDPR).

10.7 Informação sobre Compartilhamento

O titular tem o direito de obter informações sobre as entidades públicas e privadas com as quais a Transcriwise compartilhou seus dados pessoais (Art. 18, VII da LGPD).

10.8 Informação sobre Não Consentimento

O titular tem o direito de ser informado sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa (Art. 18, VIII da LGPD).

10.9 Revogação do Consentimento

O titular tem o direito de revogar o consentimento a qualquer momento, mediante manifestação expressa, por procedimento gratuito e facilitado (Art. 18, IX da LGPD; Art. 7(3) do GDPR). A revogação não afeta a legalidade do tratamento realizado anteriormente.

10.10 Oposição

O titular tem o direito de se opor a tratamento realizado com base em outras hipóteses de autorização, em caso de descumprimento da legislação (Art. 18, §2º da LGPD; Art. 21 do GDPR).

10.11 Revisão de Decisões Automatizadas

O titular tem o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses (Art. 20 da LGPD; Art. 22 do GDPR). Veja a Seção 15 para detalhes sobre decisões automatizadas.

10.12 Reclamação à Autoridade

O titular tem o direito de apresentar reclamação perante a Autoridade Nacional de Proteção de Dados (ANPD) ou perante uma autoridade de supervisão no EEE (Art. 18, §1º da LGPD; Art. 77 do GDPR).

11. Como Exercer Seus Direitos

11.1 Canais de Contato

11.2 Identificação do Titular

Para proteção dos dados pessoais, a Transcriwise poderá solicitar a verificação da identidade do titular antes de processar a solicitação. A verificação será proporcional e não exigirá informações além do necessário.

11.3 Prazos

• Confirmação de tratamento: Resposta imediata, em formato simplificado, ou em até 15 dias úteis para declaração completa.
• Demais solicitações: Até 15 dias úteis, contados do recebimento da solicitação (Art. 19 da LGPD). Sob o GDPR, até 1 mês, prorrogável por mais 2 meses em caso de complexidade (Art. 12(3) do GDPR).
• Eliminação técnica completa: Até 30 dias para dados de produção; até 90 dias para backups.

11.4 Gratuidade

O exercício dos direitos é gratuito, exceto em caso de solicitações manifestamente infundadas ou excessivas, caso em que a Transcriwise poderá cobrar taxa administrativa razoável ou recusar a solicitação, fundamentando a decisão.

11.5 API de Privacidade

A Transcriwise atualmente disponibiliza os seguintes endpoints autenticados de API para exercício programático de direitos e gestão de consentimentos:

• POST /api/consent/export — Exportação de dados pessoais do titular (DSAR).
• POST /api/consent/deletion-request — Solicitação de eliminação de dados pessoais (DSAR).
• GET /api/consent e GET /api/consent/check — Histórico e status de consentimentos obrigatórios.

12. Segurança dos Dados

12.1 Medidas Técnicas

Criptografia:

• Em trânsito: TLS 1.2+ obrigatório em todas as conexões (HTTPS para APIs, SSL para banco de dados PostgreSQL, TLS para Redis).
• Em repouso: Criptografia AES-256 via AWS S3 SSE-KMS para arquivos, RDS encryption para banco de dados, backups criptografados.
• Envelope encryption: Criptografia por documento/tenant para campos sensíveis em perfis Confidential e Restricted.
• KMS segregada: Chaves KMS dedicadas por tenant para perfis Restricted.

Autenticação e Controle de Acesso:

• Autenticação via JWT (JSON Web Tokens) com tokens de curta duração.
• Autenticação multifator (MFA/TOTP) disponível para todos os usuários e obrigatória para acessos administrativos.
• Controle de acesso baseado em papéis (RBAC) com isolamento por organização/tenant.
• IP allowlist por tenant (perfis Business e Enterprise).
• SSO/SAML para perfis Enterprise.
• Princípio do menor privilégio em acessos internos.

Senhas:

• Armazenadas exclusivamente como hash criptográfico (nunca em texto claro).
• Política de complexidade mínima.

Infraestrutura:

• Object storage com namespace por tenant.
• URLs presigned com TTL curto para transmissão de áudio a provedores externos.
• Webhooks protegidos por HMAC e token de autenticação.
• VPC (Virtual Private Cloud) para isolamento de rede.
• Backups criptografados com rotação automática.

12.2 Medidas Organizacionais

• Acordos de confidencialidade com todos os colaboradores e prestadores de serviço.
• Treinamento periódico em proteção de dados e segurança da informação.
• Política de classificação de dados com quatro níveis (Público, Interno, Confidencial, Restrito).
• Plano de resposta a incidentes documentado e testado.
• Avaliações periódicas de segurança e vulnerabilidades.
• Gestão de acesso privilegiado com revisão periódica.

12.3 Trilha de Auditoria

Todas as operações relevantes são registradas em log de auditoria, incluindo:

• Upload, download, compartilhamento e exclusão de arquivos e transcrições.
• Exportação de documentos.
• Reprocessamento de transcrições.
• Mudança de templates e configurações.
• Envio de dados a subprocessadores externos.
• Execução de políticas de retenção.

Os logs de auditoria não contêm conteúdo sensível em claro (ex.: texto de transcrições).

12.4 Monitoramento Contínuo

• Monitoramento de erros e performance via Sentry (com scrubbing de dados sensíveis).
• Alertas automatizados para anomalias de segurança.
• Revisão periódica de logs de acesso.

13. Cookies e Tecnologias de Rastreamento

13.1 Cookies Utilizados

13.2 Controle de Cookies

O titular pode controlar cookies por meio de:

• Banner de consentimento exibido na primeira visita (para cookies analíticos).
• Configurações do navegador para bloquear ou excluir cookies.
• Configurações da plataforma para preferências de funcionalidade.

13.3 Outras Tecnologias

• Local Storage: Utilizado para armazenamento de preferências de interface (dados que permanecem no dispositivo do titular).
• Tokens JWT: Utilizados para autenticação de sessão (armazenados em cookie httpOnly ou local storage, conforme configuração).

14. Dados de Crianças e Adolescentes

14.1 Política Geral

A Transcriwise não se destina a crianças ou adolescentes menores de 18 (dezoito) anos e não coleta intencionalmente dados pessoais desse público.

14.2 LGPD (Art. 14)

O tratamento de dados pessoais de crianças e adolescentes, nos termos do Art. 14 da LGPD, deve ser realizado em seu melhor interesse e com consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal.

14.3 Conteúdo de Áudio

Reconhecemos que arquivos de áudio enviados por usuários podem conter vozes de menores de idade (ex.: gravações de aulas). O usuário que envia o áudio é responsável por:

• Garantir que possui autorização legal para o tratamento.
• Obter consentimento dos pais ou responsáveis legais, quando aplicável.
• Informar a Transcriwise caso o conteúdo inclua dados de menores, para aplicação de controles adicionais.

14.4 Exclusão

Se a Transcriwise tomar conhecimento de que coletou dados pessoais de menores de 18 anos sem o consentimento adequado, adotará medidas imediatas para eliminar tais dados.

15. Decisões Automatizadas e Profiling

15.1 Processamento Automatizado

A Transcriwise utiliza processamento automatizado nas seguintes situações:

15.2 Ausência de Profiling

A Transcriwise não realiza profiling no sentido do Art. 22 do GDPR — ou seja, não utiliza tratamento automatizado de dados pessoais para avaliar aspectos pessoais do titular, como desempenho profissional, situação econômica, saúde, preferências pessoais, interesses, confiabilidade, comportamento, localização ou deslocamento.

15.3 Direito de Revisão

Nos termos do Art. 20 da LGPD, o titular tem o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Solicitações devem ser encaminhadas conforme a Seção 11.

16. Alterações nesta Política

16.1 Atualizações

A Transcriwise poderá atualizar esta Política de Privacidade periodicamente para refletir:

• Alterações nas práticas de tratamento de dados.
• Novas funcionalidades ou processadores terceiros.
• Mudanças na legislação aplicável.
• Orientações e regulamentações da ANPD ou de autoridades europeias.

16.2 Notificação

O titular será notificado sobre alterações materiais nesta Política por meio de:

• Aviso em destaque na plataforma.
• E-mail para o endereço cadastrado (para alterações substanciais).
• Atualização da data de "última atualização" no topo deste documento.

16.3 Consentimento Renovado

Quando alterações materiais impactarem o tratamento de dados sensíveis ou ampliarem significativamente as finalidades de tratamento, a Transcriwise solicitará novo consentimento do titular antes de aplicar as alterações.

16.4 Versões Anteriores

Versões anteriores desta Política serão mantidas em arquivo e disponibilizadas mediante solicitação.

17. Contato e Reclamações

17.1 Encarregado de Proteção de Dados (DPO)

O DPO é responsável por:

• Receber e responder reclamações e solicitações de titulares.
• Orientar funcionários e contratados sobre práticas de proteção de dados.
• Servir como canal de comunicação entre a Transcriwise, os titulares e a ANPD.

17.2 Autoridade Nacional de Proteção de Dados (ANPD)

Se o titular não estiver satisfeito com a resposta da Transcriwise ou acreditar que o tratamento de seus dados pessoais viola a LGPD, poderá apresentar reclamação à ANPD:

17.3 Autoridades Europeias (GDPR)

Para titulares no Espaço Econômico Europeu, reclamações podem ser apresentadas à autoridade de supervisão do Estado-Membro de residência, local de trabalho ou do local da alegada infração (Art. 77 do GDPR). A lista de autoridades está disponível em: edpb.europa.eu

17.4 Procedimento Interno de Reclamação

1. Recebimento: A reclamação é recebida pelo DPO e registrada internamente.
2. Análise: O DPO analisa a reclamação em até 5 dias úteis.
3. Resposta inicial: O titular recebe confirmação de recebimento em até 2 dias úteis.
4. Resolução: Resposta completa em até 15 dias úteis.
5. Recurso: Em caso de insatisfação, o titular pode recorrer à ANPD ou à autoridade de supervisão competente.

18. Data de Vigência

Esta Política de Privacidade entra em vigor em 14 de março de 2026 e substitui todas as versões anteriores.

Transcriwise Tecnologia Ltda.

Última atualização: 14 de março de 2026

Histórico de Alterações

Ao utilizar a Transcriwise, você confirma que leu e compreendeu esta Política de Privacidade. Consulte também nossos Termos de Uso.