Checklist de GDPR para Ferramentas de Reunião com IA em 2026 (Guia de Avaliação de Fornecedores)

Um guia prático para profissionais que querem usar assistentes de reunião com IA sem criar dores de cabeça de conformidade. Para uma avaliação comparativa de ferramentas específicas, veja nosso guia detalhado sobre a melhor ferramenta de reunião com IA em conformidade com o GDPR.

Usar IA para capturar insights de reuniões, gerar resumos e acompanhar itens de ação se tornou prática padrão para profissionais do conhecimento. Mas se você está sujeito ao GDPR (porque sua organização está estabelecida na UE, ou porque você oferece serviços a pessoas na UE ou monitora seu comportamento lá), precisa pensar cuidadosamente sobre como essas ferramentas tratam dados pessoais.

Este checklist ajuda você a avaliar qualquer ferramenta de reunião com IA e garantir que seu uso permaneça em conformidade. Também incluímos orientações sobre o que você precisa fazer da sua parte, porque mesmo a ferramenta mais consciente de privacidade não pode lidar com todas as suas obrigações GDPR por você.

Parte 1: Avaliando Sua Ferramenta de Reunião com IA

Antes de adotar qualquer assistente de reunião com IA, verifique esses fundamentos:

Acordos de Processamento de Dados

O que procurar:

• Um Adendo de Processamento de Dados (DPA) que atenda aos requisitos do Artigo 28 do GDPR
• Documentação clara de quais dados são processados e para quais fins
• Papéis definidos (você como controlador, o provedor da ferramenta como processador)

Por que importa: Um DPA é obrigatório quando um fornecedor processa dados pessoais em seu nome (Artigo 28). Isso é separado da sua base legal do Artigo 6 para o processamento em si — você precisa de ambos. Usar um processador sem um acordo em conformidade com o Artigo 28 não está em conformidade, independentemente da sua base legal.

Transferências Internacionais de Dados

Se o provedor da sua ferramenta envia dados para fora da UE (muitos são baseados nos EUA), a transferência precisa de uma base legal própria:

O que procurar:

• Um mecanismo de transferência identificado: uma decisão de adequação (para um fornecedor dos EUA, certificação sob o EU-US Data Privacy Framework) ou Cláusulas Contratuais Padrão (SCCs) da UE incorporadas ao acordo
• Quando SCCs são usadas, uma Avaliação de Impacto de Transferência (TIA) documentando a situação legal no país de destino e quaisquer medidas suplementares
• Informações claras sobre quais subprocessadores tratam seus dados e onde
• A opção de verdadeira residência de dados na UE — seus dados de conversa armazenados em infraestrutura fisicamente localizada na União Europeia

Por que importa: A decisão Schrems II invalidou o EU-US Privacy Shield em 2020. Seu sucessor, o Data Privacy Framework, continua em vigor em setembro de 2026, mas está sob pressão: um recurso está em andamento no Tribunal de Justiça da UE (processo C-703/25 P), e uma decisão da Suprema Corte dos EUA de junho de 2026 sobre a FTC levantou novas dúvidas sobre a supervisão da qual ele depende (o que essa decisão significa para transferências UE-EUA). As SCCs continuam disponíveis, mas exigem avaliação caso a caso e, quando necessário, medidas suplementares. A residência na UE elimina essa questão para os dados que cobre.

Medidas Técnicas e Organizacionais (TOMs)

O que procurar:

• Documentação de medidas de segurança (criptografia, controles de acesso, etc.)
• Informações sobre onde e como os dados são armazenados
• Políticas de retenção de dados — por quanto tempo os dados são mantidos?
• Opções de processamento local/no dispositivo vs processamento na nuvem

Por que importa: Você precisa verificar que seu processador tem medidas de segurança apropriadas para a sensibilidade dos dados que você está processando.

Considerações Específicas de IA

O que procurar:

• Confirmação de que seus dados não são usados para treinar modelos de IA
• Políticas claras de retenção de dados com subprocessadores de IA (idealmente retenção zero)
• Transparência sobre quais serviços de IA processam seus dados

Por que importa: Muitas ferramentas de IA enviam dados de conversa para serviços de IA terceirizados. Você precisa de visibilidade sobre quem processa seus dados e em quais termos. Embora o GDPR não exija períodos de retenção específicos, os princípios de minimização de dados favorecem retenção mais curta, e compromissos de retenção zero dos subprocessadores de IA reduzem sua exposição ao risco.

Transparência de Subprocessadores

O que procurar:

• Uma lista completa de subprocessadores com seus propósitos e localizações
• Processo de notificação para mudanças de subprocessadores
• Capacidade de se opor a novos subprocessadores

Por que importa: O Artigo 28(2) exige que os processadores obtenham autorização do controlador para subprocessadores. Você precisa de visibilidade sobre todos que tocam seus dados e a capacidade de avaliar se seu envolvimento é apropriado.

Parte 2: Suas Responsabilidades como Controlador de Dados

Mesmo com uma ferramenta totalmente em conformidade, você tem obrigações que nenhum software pode cumprir por você:

Antes de Começar a Gravar

Base Legal

• Identifique sua base legal para processamento sob o Artigo 6 do GDPR (interesse legítimo, consentimento, execução de contrato, etc.)
• Documente essa base e esteja preparado para explicá-la se solicitado
• Nota: Consentimento é uma opção, mas interesses legítimos ou necessidade contratual podem ser apropriados dependendo do seu contexto

Transparência e Notificação

• Informe todos os participantes da reunião que ferramentas de IA processarão a conversa
• Explique o que será capturado, como será processado e quem terá acesso
• Forneça essas informações de forma clara e antes de o processamento começar
• Um aviso verbal breve no início da reunião funciona melhor como indicação de um aviso de privacidade mais completo (finalidades, retenção, seus dados de contato e os direitos das pessoas). Para exemplos de redação, veja Como pedir permissão para gravar uma reunião

Leis de Gravação (Separadas do GDPR)

• Verifique as leis locais sobre gravação de conversas — muitas jurisdições exigem consentimento dos participantes independentemente do GDPR
• Esses requisitos variam por país e podem ser mais rigorosos que o próprio GDPR
• Pedir o consentimento de todos antes de gravar é o hábito mais seguro em relação às leis de gravação, mas isso não resolve o GDPR por si só: você ainda precisa de um aviso de privacidade completo e, em contextos de trabalho, o consentimento pode não ser considerado livremente dado, então outra base legal pode ser necessária

Avaliação de Risco

• Considere se uma Avaliação de Impacto de Proteção de Dados (DPIA) é necessária
• DPIAs são obrigatórias para processamento que provavelmente resultará em alto risco para os direitos e liberdades dos indivíduos
• Fatores que podem indicar alto risco incluem: processamento em larga escala, dados sensíveis, novas tecnologias e monitoramento sistemático
• Mesmo quando não estritamente necessárias, DPIAs são boas práticas para processamento baseado em IA e ajudam a demonstrar responsabilidade

Regulamento de IA da UE (Separado do GDPR)

• As obrigações do Regulamento de IA dependem de como um sistema de IA é classificado e do seu papel (fornecedor ou responsável pela utilização), não de ele processar dados pessoais
• As obrigações de transparência do Artigo 50 se aplicam a partir de 2 de agosto de 2026
• Após o AI Omnibus (em vigor desde 27 de julho de 2026), as obrigações de alto risco para usos do Anexo III, como IA usada para avaliar candidatos a emprego, se aplicam a partir de 2 de dezembro de 2027, e para produtos do Anexo I a partir de 2 de agosto de 2028
• Notas de reunião comuns não são um uso de alto risco listado; se você usa resultados de IA para tomar decisões sobre pessoas, consulte seu DPO ou assessor jurídico

Conformidade Contínua

Atualizações da Política de Privacidade

• Atualize sua política de privacidade para refletir o uso de ferramentas de reunião com IA
• Inclua: quais dados são coletados, propósitos, base legal, períodos de retenção, terceiros envolvidos e direitos dos titulares de dados

Direitos dos Titulares de Dados

• Estabeleça processos para lidar com solicitações de acesso (as pessoas podem perguntar quais dados você possui sobre elas)
• Habilite solicitações de exclusão — você precisa ser capaz de remover os dados de alguém dos seus registros de reunião
• Documente como você lidará com solicitações de objeção, particularmente se dependendo de interesses legítimos

Retenção e Exclusão

• Defina por quanto tempo você manterá dados de reunião com base nos seus propósitos declarados
• Implemente cronogramas regulares de exclusão
• Os princípios de minimização de dados significam que você não deve manter dados por mais tempo do que o necessário

Manutenção de Registros

• Mantenha registros de atividades de processamento conforme exigido pelo Artigo 30
• Documente suas medidas e decisões de conformidade

Revisão Anual

A conformidade com o GDPR não é uma tarefa única:

• Revise os termos atualizados da sua ferramenta, DPA e lista de subprocessadores pelo menos anualmente
• Reavalie sua base legal se seus casos de uso mudarem
• Atualize sua DPIA se as atividades de processamento mudarem significativamente
• Verifique se seus cronogramas de retenção estão sendo seguidos

Parte 3: Decisões de Configuração

A maioria das ferramentas de reunião com IA oferece vários recursos que afetam sua postura de privacidade. Para cada recurso que você habilitar, considere as implicações de conformidade: (Para orientações de configuração específicas do Hedy — o que cada configuração faz e perfis recomendados para advogados, profissionais de saúde e coaches — veja Configurações de Privacidade do Hedy Explicadas.)

Nota sobre gravações de áudio: Gravações de voz são dados pessoais. Elas podem se qualificar como dados biométricos de categoria especial sob o Artigo 9 se processadas com o propósito de identificar exclusivamente uma pessoa (ex.: análise de impressão vocal, sistemas de identificação de falantes). Gravações de reuniões padrão usadas para transcrição e anotações tipicamente não se enquadram nessa categoria, mas se você está usando recursos de identificação de voz, os requisitos do Artigo 9 se aplicam.

Princípio geral: Habilite apenas o que você precisa. Cada recurso adicional expande sua pegada de processamento de dados e requer justificativa sob os princípios de minimização de dados.

Categorias Especiais de Dados

Se suas reuniões envolvem dados sensíveis sob o Artigo 9 do GDPR — informações de saúde, opiniões políticas, crenças religiosas, dados processados para identificação biométrica exclusiva, etc. — você precisa de proteções aprimoradas:

• Uma base legal específica sob o Artigo 6 E uma condição sob o Artigo 9(2)
• Consentimento explícito é comumente usado, mas outras condições podem se aplicar dependendo do contexto
• Medidas de segurança mais fortes apropriadas à sensibilidade
• DPIA provavelmente necessária
• Considere se os recursos de nuvem são apropriados dado o perfil de risco

Parte 4: Implementação Prática

Exemplo de Linguagem de Notificação e Consentimento

Antes de iniciar qualquer reunião gravada:

“Gostaria de usar um assistente de IA para ajudar a capturar notas e insights da nossa conversa. Isso significa que nossa discussão será transcrita e analisada por IA. O transcrito fica sob meu controle e não será usado para treinar nenhum modelo de IA. Você está confortável com isso?”

Aguarde a confirmação antes de começar. Um aviso verbal como esse cobre o básico, mas sozinho não é um aviso de privacidade completo do GDPR. Indique onde as pessoas podem ler o restante (retenção, quem contatar, seus direitos) e verifique as leis locais de gravação. Em um contexto de trabalho, o consentimento pode não ser livremente dado, então não dependa dele como sua única base legal.

Adição ao Convite de Calendário

“Esta reunião terá suporte de anotações por IA. Se você tiver preocupações sobre isso, por favor me avise antes da reunião.”

Nota: Isso fornece aviso prévio, o que é uma boa prática. Dependendo da sua base legal e das leis locais de gravação, você ainda pode precisar confirmar o consentimento no início da reunião.

Linguagem para Política de Privacidade (Modelo)

Inclua na sua política de privacidade:

Assistência de Reunião com IA

Utilizamos ferramentas com IA para transcrever e analisar reuniões com o propósito de [capturar itens de ação / melhorar a comunicação / manter registros precisos]. Este processamento é baseado em [sua base legal, ex.: interesses legítimos na manutenção de registros comerciais precisos / execução de contrato / consentimento].

Os dados da reunião podem ser processados pelo nosso provedor de ferramenta de reunião com IA e seus subprocessadores. Os dados podem ser transferidos para os Estados Unidos sob [o EU-US Data Privacy Framework / Cláusulas Contratuais Padrão da UE com medidas suplementares apropriadas].

Transcrições e resumos de reuniões são retidos por [X período] e depois excluídos. Você pode solicitar acesso, correção ou exclusão dos seus dados entrando em contato com [dados de contato].

Adapte isso à sua situação específica e base legal.

Como o Hedy Lida com a Conformidade GDPR

Construímos o Hedy com privacidade como princípio central, não como algo secundário. Para a explicação completa da conformidade do Hedy com o GDPR — incluindo o DPA, as SCCs e a Avaliação de Impacto de Transferência — consulte o post dedicado. Veja como abordamos os requisitos neste checklist:

Estrutura Contratual

• Adendo de Processamento de Dados com Cláusulas Contratuais Padrão da UE incluído automaticamente com sua conta
• Avaliação de Impacto de Transferência disponível documentando salvaguardas de transferência de dados para os EUA e medidas suplementares
• Documentação completa de Medidas Técnicas e Organizacionais
• Lista transparente de subprocessadores com notificações de mudanças

Arquitetura Focada em Privacidade

• Reconhecimento de fala no dispositivo por padrão, então seu áudio nunca sai do dispositivo, a menos que você escolha um provedor de transcrição na nuvem; o áudio salvo das sessões nunca chega aos servidores do Hedy
• Identificação de falantes no dispositivo com o mecanismo Nemotron, incluindo uma nova verificação após a sessão com o Nemotron 3 Diarization da NVIDIA em iPhones compatíveis e Macs com Apple Silicon, sem enviar áudio a um serviço na nuvem
• Opção de análise de IA totalmente local em hardware compatível (o Processamento de IA Local executa todo o fluxo no dispositivo, inclusive offline)
• Contas da UE têm o Cloud AI processado na UE pela Inceptron, na Suécia, sob um contrato que limita o processamento à UE e ao EEE, com o Google Vertex AI em uma região da UE como alternativa. O Apple Private Cloud Compute, uma configuração opcional em iPhones e iPads compatíveis, não está vinculado a uma região, então não atende à residência na UE
• Acordos de retenção zero de dados com subprocessadores de IA
• Seus dados nunca são usados para treinar modelos de IA
• Controles granulares: habilite apenas os recursos que você precisa

Documentação de Conformidade

• Documentação completa disponível no nosso Trust Center
• Orientação de conformidade GDPR para usuários (responsabilidades do controlador)
• Exame independente SOC 2 Type I e avaliação HIPAA concluídos

Controle do Usuário

• Modo apenas local disponível para máxima privacidade
• Exclua seus dados a qualquer momento
• Exporte seus dados para portabilidade
• Região de dados da UE escolhida no cadastro, para que as conversas sincronizadas sejam armazenadas na UE
• Controles de compartilhamento: links públicos de compartilhamento são não listados, não privados, e nunca incluem áudio; para sessões confidenciais, use convites por e-mail para que o destinatário precise fazer login

Acesse nossa documentação completa de conformidade em trust.hedy.ai.

Perguntas frequentes

Como avalio uma ferramenta de reunião com IA para conformidade com o GDPR?

Verifique quatro coisas: um DPA que atenda ao Artigo 28, um mecanismo válido para qualquer transferência para fora da UE (o EU-US Data Privacy Framework se um fornecedor dos EUA for certificado sob ele, ou SCCs da UE apoiadas por uma Avaliação de Impacto de Transferência), Medidas Técnicas/Organizacionais documentadas e uma lista completa de subprocessadores com direitos de notificação. Se um fornecedor não consegue apresentar esses itens, questione antes de assinar.

Que perguntas devo fazer a um fornecedor sobre GDPR?

Cinco perguntas básicas: (1) Você pode fornecer um DPA com cláusulas do Artigo 28? (2) Onde os dados são armazenados fisicamente, e vocês oferecem residência na UE? (3) Para qualquer transferência para fora da UE, em qual mecanismo vocês se apoiam (certificação no Data Privacy Framework ou Cláusulas Contratuais Padrão da UE), e uma TIA está disponível quando SCCs são usadas? (4) Quem são seus subprocessadores e onde eles operam? (5) Meus dados são usados em algum momento para treinar modelos de IA? Se alguma resposta estiver faltando, questione.

O que é uma Cláusula Contratual Padrão e eu preciso de uma?

Cláusulas Contratuais Padrão (SCCs) são modelos contratuais aprovados pela UE que vinculam um importador de dados fora da UE a proteções de nível UE quando dados pessoais são transferidos para fora da UE. Elas são um mecanismo de transferência, não o único. Um fornecedor dos EUA certificado sob o EU-US Data Privacy Framework pode se apoiar nessa decisão de adequação; o Fireflies, por exemplo, se apoia primeiro nesse marco e mantém as SCCs como alternativa. Quando as SCCs são o mecanismo, precisam de uma Avaliação de Impacto de Transferência e, quando necessário, medidas suplementares. Em qualquer caso, você ainda precisa de um DPA do Artigo 28.

Preciso de uma Avaliação de Impacto de Proteção de Dados para ferramentas de reunião com IA?

Uma DPIA é obrigatória sob o Artigo 35 se o processamento provavelmente resultar em alto risco para titulares de dados. Monitoramento sistemático, processamento em larga escala, dados sensíveis e novas tecnologias são indicadores comuns desse risco. Gravação baseada em IA frequentemente apresenta um ou mais deles. Mesmo quando não é estritamente obrigatória, uma DPIA é boa prática e demonstra responsabilidade.

Quais são minhas responsabilidades como controlador de dados ao usar ferramentas de reunião com IA?

Estabelecer uma base legal sob o Artigo 6 (interesse legítimo, consentimento, execução de contrato), fornecer avisos de transparência aos participantes antes da gravação, manter registros de atividades de processamento do Artigo 30, conduzir uma DPIA quando exigida, lidar com direitos dos titulares de dados (acesso, exclusão, objeção) e atualizar sua política de privacidade. O fornecedor lida com as obrigações do lado do processador; você lida com as do lado do controlador.

Dúvidas?

A conformidade com o GDPR pode parecer complexa, mas não precisa ser avassaladora. Se você tiver dúvidas sobre usar o Hedy de forma compatível com o GDPR, entre em contato conosco em privacy@hedy.ai ou consulte nossa documentação de ajuda.

Para questões de conformidade complexas específicas à sua organização, recomendamos consultar um profissional qualificado de proteção de dados ou seu Encarregado de Proteção de Dados.

Este guia fornece informações gerais sobre conformidade GDPR para ferramentas de reunião com IA. Não constitui aconselhamento jurídico e não deve ser utilizado como tal. Os requisitos podem variar com base na sua situação específica, jurisdição e natureza dos dados que você processa. As leis locais sobre gravação de conversas podem impor requisitos adicionais além do GDPR.