Assistente de reunião com IA com SOC 2: guia 2026

A rigor, nenhum assistente de reunião com IA é “certificado SOC 2”: o SOC 2 é um relatório de auditoria emitido por uma firma de contadores (CPA) independente, não uma certificação. Fireflies, Otter, Granola, Fathom, Noota, Modjo, MeetGeek e tl;dv declaram um SOC 2 Tipo II. Peça o relatório e confira o tipo, o período e o escopo.

Nós fazemos a Reline, então leia isto como o guia de um fornecedor. A Reline não tem relatório SOC 2 hoje; mais abaixo explicamos o que ela tem no lugar. Cada informação sobre outra ferramenta vem da página do próprio fornecedor, conferida em 22 de outubro de 2026, e pode mudar.

O SOC 2 é um framework do AICPA, o instituto dos contadores públicos dos EUA. Uma firma independente examina os controles de um fornecedor segundo os Trust Services Criteria, que têm cinco categorias: segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade. Segurança é obrigatória; o fornecedor escolhe as outras quatro. No fim, o auditor emite uma opinião num relatório, normalmente compartilhado com clientes sob NDA.

A documentação da Microsoft resume assim: uma auditoria Tipo 1 não olha para trás sobre um período. A Microsoft audita o Office 365 numa janela móvel de 12 meses, de 1º de outubro a 30 de setembro, e entre um relatório e outro publica “bridge letters” que cobrem o intervalo: são declarações da própria Microsoft, não relatórios do auditor.

A ISO 27001 é uma certificação: um organismo certifica um sistema de gestão de segurança e emite um certificado válido por três anos. O SOC 2 é uma atestação: um relatório que descreve um sistema e dá uma opinião. Fornecedores dizem “certificado SOC 2” o tempo todo, mas a pergunta certa continua sendo: “Vocês podem me enviar o último relatório SOC 2 Tipo II?” No Brasil, compradores também pedem com frequência a ISO 27001 e a adequação à LGPD.

1. Tipo e período: Tipo II, com um período encerrado há menos de 12 meses. Se não, peça a bridge letter que cobre o intervalo.
2. Escopo (a descrição do sistema): o assistente de reunião e suas funções de IA estão incluídos? Um relatório pode cobrir a plataforma principal e deixar de fora um produto mais novo. O Zoom, por exemplo, lista expressamente o AI Companion no escopo do seu relatório.
3. Critérios cobertos: só segurança, ou também confidencialidade e privacidade? Para gravações de reuniões, esses dois contam.
4. A opinião do auditor: uma opinião sem ressalvas é o esperado; uma com ressalvas pede uma explicação por escrito.
5. Exceções e respostas da gestão: algumas exceções são normais; o que importa é quais foram e como foram corrigidas.
6. Subcontratados: hospedagem, transcrição e provedores de IA. Se ficaram fora do escopo (método “carve-out”), peça os relatórios deles.
7. Sua parte dos controles (os “complementary user entity controls”, ou CUECs, listados no relatório): SSO, revisão de acessos, desligamentos. O relatório presume que você os aplica.

A tabela traz o que cada fornecedor diz na própria página, conferida em 22 de outubro de 2026. É a declaração do fornecedor, não uma auditoria nossa: só o relatório é prova.

Como ler a tabela: se o SOC 2 Tipo II é requisito de compra, Fireflies, Otter, Granola, Fathom, Noota, Modjo, MeetGeek e tl;dv o declaram; peça o relatório a eles. A Jamie declara um Tipo II ainda em andamento. Se você quer SOC 2 Tipo II e hospedagem na Europa ao mesmo tempo, Noota, Modjo e tl;dv declaram os dois; a Noota declara também ISO 27001. Se a plataforma de vídeo da empresa basta, as funções de IA do Zoom e do Teams herdam os relatórios da plataforma, conforme o escopo.

• LGPD e RGPD. Um relatório SOC 2 não substitui o contrato com o operador (artigo 28 do RGPD), a base legal nem o aviso às pessoas gravadas.
• Onde os dados ficam e como circulam. O SOC 2 não diz onde os dados são hospedados. Para transferências internacionais, a LGPD e o RGPD exigem um mecanismo próprio, como cláusulas contratuais padrão.
• Treinamento de modelos. Um fornecedor pode ter um ótimo SOC 2 e ainda treinar modelos com dados desidentificados: a política de privacidade da Otter diz isso, por exemplo. Leia o DPA e a política de privacidade.
• Retenção. Por quanto tempo áudio, transcrições e notas ficam guardados, e a exclusão é completa?
• Consentimento dos participantes. Com bot visível ou captura sem bot, o dever de avisar todos na reunião continua sendo seu.
• O futuro. Um relatório descreve um período passado. O que mudou depois (uma nova função de IA, um novo suboperador) não está nele.

Para o lado do RGPD em detalhe (DPA, transferências, retenção, representação dos trabalhadores), veja nosso guia de anotadores com IA em conformidade com o RGPD. Para a lista completa de uma equipe de TI, veja nosso checklist de aprovação.

1. Vocês podem enviar o último relatório SOC 2 Tipo II e a bridge letter vigente?
2. O assistente de reunião, a transcrição e as funções de IA estão no escopo?
3. Quais critérios são cobertos além da segurança?
4. Quais exceções o auditor apontou, e como vocês as corrigiram?
5. Quais suboperadores tratam áudio e transcrições, em que país, e eles têm relatórios próprios?
6. Onde os dados são armazenados e processados, e com qual mecanismo de transferência?
7. Vocês treinam modelos com nossas reuniões, e seus provedores de IA podem fazer isso?
8. O DPA cobre o plano que compramos ou só o Enterprise?

A Reline não tem relatório SOC 2 hoje. O SOC 2 Tipo II está no roadmap; a Reline também não tem ISO 27001 nem BAA HIPAA. Se um relatório SOC 2 Tipo II é requisito firme da sua equipe de compras, a Reline não é a escolha certa hoje.

Eis o que a Reline tem, conforme publicado na sua página de segurança: TLS 1.2 ou superior em cada requisição, criptografia em repouso do banco de dados e das gravações, notas privadas por padrão com permissões em cinco níveis, um log de atividade só de inclusão em cada nota (todos os planos) mais um log de auditoria do workspace no Enterprise, e SSO com Google e Microsoft sob pedido para o Enterprise. O DPA está pré-assinado em reline.so/dpa, a lista de suboperadores é pública e a Reline não treina modelos com seus dados. Os dados ficam nos EUA, sob as cláusulas contratuais padrão da UE. A documentação de segurança é compartilhada sob NDA.

No produto, a Reline capta o microfone e o áudio do sistema localmente, sem bot na chamada; transcrição, IA e armazenamento rodam na nuvem. Se o bot visível é o seu problema de verdade, nosso comparativo em francês de anotadores com IA sem bot mostra as opções.