O Fireflies.ai é seguro? Análise de segurança e privacidade

O Fireflies.ai é razoavelmente seguro para a maioria das reuniões de trabalho. A página de segurança cita SOC 2 Type II, GDPR, HIPAA e criptografia AES-256, a empresa publica um DPA e afirma não treinar IA com as suas reuniões. Os riscos reais estão nos padrões: um bot que entra em toda reunião da agenda, resumos abertos a quem tiver o link e processamento nos EUA.

Cada área que uma análise de segurança costuma cobrir, o que o Fireflies declara publicamente e o que vale conferir por conta própria.

A página de segurança do Fireflies lista SOC 2 Type II, GDPR e HIPAA e descreve criptografia AES-256 para notas e transcrições em repouso e TLS para dados em trânsito. É o mínimo que se espera de qualquer assistente de notas na nuvem, e no papel o Fireflies cumpre.

Leia os selos com precisão. SOC 2 é o relatório de um auditor independente sobre os controles de uma empresa em um período, não um certificado permanente; o passo útil é pedir o relatório Type II mais recente pelo trust center do Fireflies e conferir datas e exceções. A GDPR (assim como a LGPD no Brasil) é lei, não certificação: o que importa é o DPA, a base legal para transferir dados aos EUA e a lista de suboperadores. A HIPAA depende de contrato: o guia do plano Enterprise diz que o suporte HIPAA está disponível sob pedido e exige um Business Associate Agreement (BAA) assinado. O mesmo guia informa o Enterprise a US$ 39 por usuário por mês, com cobrança anual.

Segundo o Fireflies, não, com uma diferença de redação que vale notar. A política de privacidade afirma que dados pessoais não são usados para treinar modelos de IA. As notas de atualização das políticas acrescentam que o conteúdo das reuniões não treina modelos internos nem externos, que os fornecedores são proibidos por contrato de fazê-lo e que fornecedores terceiros não guardam áudio, vídeo nem transcrições depois do processamento.

A expressão “por padrão” é mais branda que a política de privacidade, e o DPA permite ao Fireflies criar dados desidentificados e usar dados do serviço, como uso e conta, para melhorar seus produtos. Nada disso contradiz o compromisso. Se treino de IA é uma linha vermelha para a sua empresa, peça ao Fireflies que confirme por escrito que nenhum plano ou configuração muda isso.

Nos Estados Unidos, por padrão. O guia de armazenamento do Fireflies diz que os dados são armazenados e processados na sua infraestrutura em nuvem nos EUA, na AWS e no GCP. A política de privacidade acrescenta que dados pessoais podem ser processados e armazenados em servidores nos Estados Unidos e em outros países.

Clientes Enterprise podem usar o Private Storage para escolher onde ficam gravações, transcrições e arquivos, inclusive no próprio bucket do AWS S3 ou do Google Cloud Storage. Sobre o armazenamento na UE, o guia é claro quanto ao limite:

Para transferências a partir da Europa, o DPA se apoia na autocertificação do Fireflies no EU-US Data Privacy Framework, com as cláusulas contratuais padrão da UE como alternativa, adaptadas para transferências do Reino Unido e da Suíça. É um arranjo comum e lícito para um fornecedor americano, mas equipes com regra rígida de processamento apenas na UE devem tratar o Fireflies como um operador nos EUA. Empresas brasileiras devem avaliar a transferência internacional também sob a LGPD.

Quanto à retenção, o Fireflies diz excluir os dados pessoais ligados a uma conta em até 30 dias após a exclusão dela, e o plano Enterprise acrescenta retenção personalizada, que apaga reuniões e arquivos automaticamente após um prazo. Nos outros planos, conte com apagar as reuniões antigas você mesmo.

O Fireflies publica o seu Data Processing Addendum em fireflies.ai/data-processing-agreement. A versão atual foi atualizada em 6 de março de 2026, faz parte dos termos de serviço e vale para as organizações que usam o serviço, então não há documento separado para assinar nas condições padrão. O Fireflies pode alterá-lo mediante aviso, e continuar usando o serviço vale como aceite.

Cinco pontos merecem leitura antes de compras aprovar:

• Suboperadores: a lista fica em trust.fireflies.ai/subprocessors, e as notas de atualização dizem que clientes Business e Enterprise podem se opor a novos.
• Aviso de incidentes: o Fireflies se compromete a avisar “sem demora injustificada”, sem número fixo de horas.
• Transferências: primeiro o EU-US Data Privacy Framework, depois as cláusulas contratuais padrão como alternativa.
• Saída: no fim do contrato, o Fireflies exclui ou devolve os dados pessoais conforme a sua instrução, salvo obrigação legal de guardá-los.
• Auditorias: pelas notas de atualização, clientes Business e Enterprise podem auditar uma vez por ano, por conta própria.

Na prática, a maioria dos problemas de privacidade com o Fireflies vem dos padrões, não de ataques. O guia de ajuda do Fireflies diz isso com todas as letras:

Assim que alguém conecta uma agenda, o Fireflies Notetaker (fred@fireflies.ai) entra em toda reunião com link de videochamada, inclusive conversas com clientes e candidatos que nunca se cadastraram no Fireflies. Nas configurações de auto-join, dá para mudar para “Only when I invite fred@fireflies.ai”.

O compartilhamento segue a mesma lógica. O guia de privacidade dos resumos indica “Teammates & anyone with link” como padrão: todo o seu espaço no Fireflies encontra a reunião e qualquer pessoa com o link pode abri-la. Há opções mais restritas: “Only participants & teammates”, “Only participants”, “Only teammates” e “Only me”. Além disso, a página de segurança descreve um papel de Super Admin com acesso total a todas as reuniões do espaço.

O Fireflies também oferece um modo desktop no Mac e no Windows que grava o áudio do sistema sem bot. O guia deixa claros os limites: esse modo não salva arquivo de áudio nem de vídeo, mostra quem fala como Speaker 1 e Speaker 2 em vez dos nomes e, se você desligar o aviso de consentimento, a responsabilidade de avisar os participantes passa a ser sua.

O Fireflies foi alvo de pedidos de ação coletiva com base na lei de privacidade biométrica de Illinois (BIPA). Segundo registros judiciais e a imprensa jurídica, as duas abaixo alegam que o assistente coletou e armazenou impressões de voz de participantes de reuniões, inclusive de pessoas sem conta no Fireflies, sem o aviso e o consentimento por escrito que a BIPA exige. A ação Cruz alega ainda que o Fireflies não publicou nenhuma política de retenção e destruição. São alegações; nenhum tribunal decidiu sobre elas.

A política de privacidade do Fireflies, atualizada em 28 de setembro de 2026, diz que dados de voz podem ser considerados biométricos em algumas jurisdições, que seus fornecedores não os usam para identificar ou autenticar pessoas e, na seção sobre a lei de Illinois, que esses dados são destruídos quando a finalidade é cumprida ou em até três anos após a última interação da pessoa, o que ocorrer primeiro.

Na nossa verificação em outubro de 2026, não encontramos nenhum vazamento de dados do Fireflies relatado publicamente. Isso não prova que nunca houve, só que nenhum aparece nas fontes públicas que encontramos. Para o panorama jurídico completo, incluindo a ação coletiva contra o Otter.ai, veja nosso acompanhamento de processos contra assistentes de notas com IA.

O Fireflies faz sentido quando:

• Você quer um bot que grave reuniões às quais você não vai, com um arquivo de áudio e vídeo salvo depois.
• Você quer os nomes de quem fala na transcrição e as integrações criadas em torno do Fireflies Notetaker.
• A sua empresa está nos EUA e aceita processamento americano sob um DPA.
• Você está no Enterprise e precisa de HIPAA com BAA, SSO, Private Storage ou retenção personalizada.

Pense duas vezes quando:

• Você conversa com pessoas em Illinois ou em lugares que exigem o consentimento de todos e não tem certeza de que todos concordaram com a gravação.
• Clientes ou candidatos não aceitam um bot de terceiros nas chamadas.
• Você precisa de processamento só na UE, e não apenas de armazenamento na UE.
• Você lidaria com dados de saúde sem um BAA assinado.

1. Configure o auto-join como “Only when I invite fred@fireflies.ai” para o bot nunca entrar de surpresa.
2. Mude a privacidade padrão dos resumos de “Teammates & anyone with link” para “Only participants” ou “Only me”.
3. Confira quem é Super Admin, porque esse papel acessa todas as reuniões do espaço.
4. Mantenha o aviso de consentimento ligado e diga em voz alta que a reunião está sendo gravada.
5. Baixe o DPA e a lista de suboperadores e arquive com a documentação de fornecedores.
6. Peça o relatório SOC 2 Type II atual; no Enterprise, defina um prazo de retenção e assine um BAA se lidar com dados de saúde.

As mesmas perguntas valem para Fireflies, Otter, Read AI ou Reline. Um fornecedor que não consegue respondê-las por escrito já respondeu.

1. Um bot entra na chamada, e ele entra automaticamente por padrão?
2. Quem vê uma reunião por padrão: só eu, os participantes, o espaço inteiro ou qualquer pessoa com o link?
3. Vocês treinam modelos de IA com meu áudio, minhas transcrições ou notas, em algum plano ou configuração?
4. Onde os dados ficam armazenados, onde são processados e em quais provedores de nuvem?
5. Existe DPA, uma lista pública de suboperadores e um compromisso de aviso de incidentes?
6. Quais auditorias vocês podem me mostrar hoje, como relatório e não como selo?
7. Por quanto tempo vocês guardam gravações e transcrições, e eu posso definir esse prazo?

A Reline é um assistente de notas concorrente, então pese esta seção com isso em mente. A Reline nunca envia bot: ela capta o seu microfone e o áudio do sistema localmente no Mac, no Windows, no Linux (beta) ou no navegador, e nenhum participante extra aparece na chamada. Transcrição, notas com IA e armazenamento rodam na nuvem, não no seu dispositivo.

As notas são privadas por padrão: um papel no espaço de trabalho, sozinho, não dá acesso a nenhuma nota. A Reline não tem hoje relatório SOC 2 nem BAA de HIPAA; se o seu processo de compras exige isso, o Fireflies declara uma auditoria SOC 2 Type II e oferece BAA no Enterprise, e a Reline não. E gravar sem bot não substitui o consentimento: você continua avisando as pessoas onde a lei exigir.

• Fireflies, página de segurança e conformidade: https://fireflies.ai/security
• Fireflies, Data Processing Addendum (atualizado em 6 de março de 2026): https://fireflies.ai/data-processing-agreement
• Fireflies, atualizações da política de privacidade, dos termos e do DPA: https://guide.fireflies.ai/articles/6892479029
• Fireflies, guia de armazenamento e transferência de dados: https://guide.fireflies.ai/articles/9596505232
• Fireflies, guia do plano Enterprise: https://guide.fireflies.ai/articles/4771323041-learn-about-fireflies-enterprise-plan
• Fireflies, guia de privacidade dos resumos: https://guide.fireflies.ai/articles/5319481450-how-to-configure-privacy-settings-for-your-meeting-recaps
• Fireflies, guia das configurações de auto-join: https://guide.fireflies.ai/articles/8587670572-how-to-disable-the-fireflies-auto-join-settings
• Fireflies, gravar sem bot no app desktop: https://guide.fireflies.ai/articles/6666374717-how-to-record-meetings-without-a-bot-on-the-fireflies-desktop-app
• Fireflies, política de privacidade (atualizada em 28 de setembro de 2026): https://fireflies.ai/privacy-policy
• Cruz v. Fireflies.AI Corp, andamento processual (PacerMonitor): https://www.pacermonitor.com/public/case/61918314/Cruz_v_FirefliesAI_Corp
• Smith, Gambrell & Russell, assistentes de notas com IA e BIPA (16 de março de 2026): https://www.sgrlaw.com/newsroom/publications/ai-note-takers-biometric-privacy-and-the-battle-over-bipa-damages-what-businesses-need-to-know-now
• Top Class Actions, Fricker v. Fireflies.AI Corp. (19 de março de 2026): https://topclassactions.com/lawsuit-settlements/lawsuit-news/fireflies-ai-sued-over-alleged-unlawful-data-collection-from-meeting-participants/