Melhor notetaker de IA em conformidade com o GDPR na UE

Nenhum notetaker de IA é «certificado GDPR»: esse certificado não existe. O melhor notetaker de IA em conformidade com o GDPR (RGPD) para uma empresa na UE oferece um DPA do artigo 28, local e transferência de dados defensáveis, nenhum treinamento com suas reuniões, e se encaixa nas suas regras de consentimento e de representação dos trabalhadores. Para hospedagem na UE: Jamie e tl;dv; para notas de equipe sem bot: Reline (hospedado nos EUA).

Nós fazemos o Reline, então leia este guia como o de um fornecedor. O Reline captura o áudio sem bot no seu dispositivo, mas a transcrição, a IA e o armazenamento rodam na nuvem nos EUA, cobertos pelas cláusulas contratuais padrão da UE. O Reline não oferece residência de dados na UE e não tem SOC 2. Cada fato sobre outras ferramentas vem das páginas do próprio fornecedor, verificadas em 21 de outubro de 2026, e pode mudar.

Quando sua empresa grava uma reunião, ela é a controladora e o fornecedor é o operador. Uma gravação de reunião é dado pessoal: vozes, nomes, opiniões, às vezes categorias especiais como saúde. A conformidade, portanto, é responsabilidade sua, e o fornecedor precisa torná-la possível. Estes são os seis pontos que o seu encarregado de proteção de dados (DPO) vai examinar.

Você precisa de um acordo de tratamento de dados com cada fornecedor que processa dados de reuniões por você, com ou sem bot. Confira se ele cobre o plano que você realmente compra. A página de preços do Jamie lista DPAs apenas no Enterprise. O artigo de ajuda do Fireflies descreve seu papel de operador para Business e Enterprise. O DPA do Reline, em reline.so/dpa, vem pré-assinado e vale para todos os workspaces. Leia também a lista de suboperadores: ela mostra quem mais trata os dados e em qual país.

«Hospedado na UE» e «conforme o GDPR» são afirmações diferentes. O GDPR não proíbe o tratamento nos EUA; ele exige um mecanismo de transferência. Os dois mais comuns são o EU-U.S. Data Privacy Framework (uma decisão de adequação de julho de 2023 que cobre empresas americanas certificadas) e as cláusulas contratuais padrão, geralmente com uma avaliação de impacto da transferência. O Tribunal Geral da UE confirmou o Data Privacy Framework em 3 de setembro de 2025; há um recurso pendente no Tribunal de Justiça (processo C-703/25 P). O antecessor, o Privacy Shield, foi derrubado em 2020, e por isso muitos DPOs preferem o tratamento na UE quando ele existe.

Separe também armazenamento de processamento. Segundo o FAQ de segurança do Fireflies, a opção Private Storage guarda o conteúdo na UE, mas o Fireflies continua a processá-lo nos EUA. O site alemão do tl;dv diz que os dados são hospedados e armazenados na UE, mas não diz onde acontece o processamento por IA. Faça as duas perguntas.

A limitação da conservação (art. 5.º, n.º 1, alínea e, do GDPR) significa não guardar gravações por mais tempo que o necessário. Pergunte por quanto tempo ficam o áudio, as transcrições e os resultados de IA, se excluir uma reunião apaga tudo e por quanto tempo os backups os mantêm. Segundo as próprias páginas, Jamie e Granola não armazenam o áudio das reuniões. O Fireflies apaga na hora uma reunião excluída e exclui os dados da conta em até 30 dias. O Reline remove da lixeira as notas excluídas após 30 dias, com transcrição, gravação e resultados de IA, e mantém backups por até 30 dias.

São duas perguntas: o fornecedor treina os próprios modelos com seus dados, e os provedores de IA dele estão proibidos de fazer isso? As respostas variam mais do que o marketing sugere. A política de privacidade do Otter diz que ele treina a própria IA com gravações de áudio e transcrições desidentificadas. A do Fathom diz que, conforme as configurações da conta, ele pode usar dados de reuniões desidentificados para treinar seus modelos internos. A página de segurança do Granola diz que ele treina com dados anonimizados, a menos que você desative, com o treinamento desligado por padrão no Enterprise. Jamie, tl;dv e Fireflies dizem que não treinam com seus dados. O Reline não treina modelos com seus dados, e os provedores de IA dele estão proibidos disso pelos termos de API.

Todos na reunião precisam saber que estão sendo gravados e para quê (artigos 13 e 14 do GDPR), e você precisa de uma base legal conforme o artigo 6. A lei nacional acrescenta regras: na Alemanha, o artigo 201 do Código Penal torna crime gravar sem autorização palavras ditas em ambiente não público. Na prática, avise todos no convite e no início, e obtenha consentimento onde a lei exigir. Uma ferramenta sem bot tira o bot visível da chamada, não esse dever. O Reline publica um aviso para participantes de reuniões em reline.so/participants.

1. Pedir o DPA e confirmar que ele cobre o seu plano, não só o Enterprise.
2. Ler a lista de suboperadores: quem trata os dados e em qual país.
3. Perguntar onde os dados são armazenados e onde são processados, e qual mecanismo de transferência se aplica (Data Privacy Framework, cláusulas contratuais padrão).
4. Verificar a retenção: áudio, transcrições, resultados de IA, backups, e o que acontece ao excluir uma reunião ou a conta.
5. Verificar o treinamento de IA: modelos próprios do fornecedor e seus provedores de IA, e se existe opção de recusa.
6. Decidir se um bot na chamada é aceitável para seus clientes e candidatos.
7. Preparar um aviso de gravação para os participantes e uma etapa de consentimento onde a lei exigir.
8. Envolver cedo o DPO e a representação dos trabalhadores; fazer uma DPIA se necessário.

Os fatos abaixo vêm das páginas de cada fornecedor, verificadas em 21 de outubro de 2026 (página inicial, preços, página de segurança ou política de privacidade). «Segundo o fornecedor» é proposital: relatamos o que ele diz, não é uma auditoria. Quando uma página não diz nada, indicamos.

Como ler as tabelas: se hospedagem na UE for obrigatória, comece pelo Jamie (armazenamento e processamento no EEE, na Suíça e no Reino Unido, segundo o Jamie) ou pelo tl;dv (pergunte onde acontece o processamento por IA). Se certificações formais decidem, Fireflies, Granola, Otter e Fathom declaram SOC 2 Type 2 e o Jamie, ISO 27001. Se treinamento com suas reuniões é inaceitável, leia a política de privacidade, não a página inicial: Otter, Fathom e Granola descrevem alguma forma de treinamento com dados desidentificados ou anonimizados.

O Reline captura seu microfone e o áudio do sistema localmente no seu computador: nenhum participante entra na chamada e nenhum aviso de entrada aparece. A transcrição ao vivo em mais de 60 idiomas, os resumos de IA e o armazenamento rodam depois na nossa nuvem nos EUA. Você mantém a transcrição completa e a gravação, com um botão de reproduzir em cada linha, num bloco de notas que sua equipe edita em conjunto. As notas são privadas por padrão, com cinco níveis de permissão por nota e pasta, e a interface existe em inglês, alemão, francês, espanhol, japonês, português e árabe.

A troca é clara: o Reline não oferece residência de dados na UE nem SOC 2. Ele serve quando o bot na chamada é o seu problema principal e o seu DPO aceita o processamento nos EUA sob cláusulas contratuais padrão, num DPA que cobre todos os planos. Caso contrário, escolha uma das ferramentas hospedadas na UE acima.

Quer substituir o Fireflies especificamente? Nosso guia de alternativas ao Fireflies mostra a troca passo a passo. Para um panorama de todas as ferramentas no eixo de proteção de dados, veja nossa análise GDPR de assistentes de reunião com IA.