Política de Privacidade

1. Controlador de Dados

O Controlador e responsavel pelas decisões referentes ao tratamento de dados pessoais descritos nesta Politica.

2. Definições

Para fins desta Politica de Privacidade, adotam-se as seguintes definições, em conformidade com o Art. 5 da LGPD e o Art. 4 do GDPR:

3. Dados Pessoais Coletados

A Transcriwise coleta e trata as seguintes categorias de dados pessoais:

3.1 Dados Fornecidos Diretamente pelo Titular

3.2 Dados Gerados Pelo Processamento

3.3 Dados Coletados Automaticamente

3.4 Dados Coletados via Integrações (Quando Habilitadas pelo Usuario)

4. Bases Legais para Cada Tratamento

Em conformidade com o Art. 7 da LGPD e o Art. 6 do GDPR, cada atividade de tratamento possui uma base legal especifica:

5. Dados Pessoais Sensiveis e Biometria de Voz

5.1 Natureza dos Dados de Audio

A Transcriwise reconhece que os arquivos de audio e as transcrições resultantes podem conter dados pessoais sensiveis conforme definido no Art. 5, II da LGPD e no Art. 9 do GDPR, dependendo do conteudo gravado. Isso inclui, sem limitação:

• Dados de saude — consultas medicas, prontuarios ditados, sessões de terapia.
• Dados juridicos — audiencias judiciais, consultas com advogados, depoimentos.
• Convicções religiosas ou opiniões politicas — quando expressos verbalmente.
• Dados financeiros — reuniões sobre fusões e aquisições, negociações contratuais.
• Dados de investigações — compliance, due diligence, investigações internas.

5.2 Biometria de Voz

A voz humana constitui dado biometrico quando utilizada para fins de identificação de uma pessoa natural. No contexto da Transcriwise:

1. Diarização de falantes: A Transcriwise utiliza tecnologias de diarização (Pyannote, SpeechBrain) para diferenciar falantes em um audio (ex.: "Speaker 1", "Speaker 2"). Este processo analisa padrões vocais para segmentação, mas não realiza identificação biometrica — ou seja, não associa a voz a uma identidade civil especifica.
2. Retenção de padrões vocais: Os embeddings de voz gerados durante a diarização são temporarios e descartados apos o processamento. Não são armazenados de forma persistente nem utilizados para criar perfis biometricos.
3. Base legal: Quando o tratamento de dados biometricos de voz for necessario, a base legal sera o consentimento especifico e destacado do titular (Art. 11, I da LGPD; Art. 9(2)(a) do GDPR) ou outra base prevista na legislação aplicavel.

5.3 Responsabilidade do Usuario

O usuario que envia audio para transcrição e responsavel por:

• Garantir que possui base legal para o tratamento do conteudo do audio.
• Informar os participantes do audio sobre a gravação e o processamento.
• Obter consentimentos necessarios, especialmente quando o conteudo incluir dados sensiveis.
• Selecionar o perfil de segurança adequado (Confidential ou Restricted) quando o conteudo exigir controles reforçados.

6. Finalidades do Tratamento

A Transcriwise trata dados pessoais para as seguintes finalidades especificas:

6.1 Finalidades Principais (Prestação do Serviço)

1. Transcrição automatica de audio e video — conversão de fala em texto utilizando provedores de ASR (RunPod/Whisper, AssemblyAI, ElevenLabs Scribe, Soniox).
2. Processamento por inteligencia artificial — geração de resumos, traduções, action items, e-mails de follow-up, chat contextual, repurpose de conteudo e aplicação de templates, utilizando LLMs (Google Gemini, OpenAI GPT, DeepL).
3. Armazenamento e gestão de transcrições — persistencia de audios, transcrições e artefatos derivados em infraestrutura segura (AWS S3, PostgreSQL).
4. Exportação de conteudo — geração de documentos DOCX e PDF com transcrições formatadas.
5. Gestão de conta e perfil — criação, manutenção e exclusão de contas de usuarios.
6. Faturamento e cobrança — processamento de assinaturas, creditos e pagamentos via Stripe.

6.2 Finalidades Secundarias (Habilitadas pelo Usuario)

7. Integrações com serviços terceiros — importação de audio (Dropbox, Google Drive, Gmail, Zoom) e exportação de transcrições (Slack, Notion, Trello, Salesforce, HubSpot, Microsoft OneDrive, Zapier).
8. Gravação de reuniões — captura de audio de reuniões via TranscriBot em Google Meet, Zoom e Microsoft Teams.
9. Sincronização de calendario — importação automatica de gravações a partir de eventos do Google Calendar.

6.3 Finalidades Operacionais

10. Segurança e prevenção de fraude — monitoramento de acessos, detecção de anomalias, proteção contra uso indevido.
11. Monitoramento e diagnostico — detecção e correção de erros em produção (Sentry), otimização de performance.
12. Melhoria continua — analise de metricas de uso agregadas e anonimizadas para aprimoramento do serviço.
13. Cumprimento legal — atendimento a obrigações legais, regulatorias e requisições de autoridades competentes.
14. Exercicio regular de direitos — defesa em processos judiciais, administrativos ou arbitrais.

6.4 Finalidades Não Realizadas

7. Compartilhamento com Terceiros e Processadores

A Transcriwise compartilha dados pessoais com os seguintes processadores terceiros, exclusivamente para as finalidades descritas e com salvaguardas contratuais (DPAs) em vigor:

7.1 Infraestrutura

7.2 Provedores de Transcrição (ASR)

7.3 Provedores de Inteligencia Artificial (LLM)

7.4 Reuniões

7.5 Pagamento

7.6 Monitoramento e Observabilidade

7.7 Integrações (Habilitadas pelo Usuario)

7.8 Garantias de Compartilhamento

• Todos os processadores terceiros estão vinculados por DPAs (Acordos de Processamento de Dados) com obrigações equivalentes as descritas nesta Politica.
• A lista completa e atualizada de subprocessadores e mantida em documento separado e pode ser solicitada a qualquer momento via privacy@transcriwise.com.
• O controle allow_training_opt_in (desabilitado por padrão) determina se provedores de IA podem utilizar dados para treinamento de modelos.
• Integrações são habilitadas exclusivamente pelo usuario e podem ser revogadas a qualquer momento nas configurações da conta.

8. Transferencia Internacional de Dados

8.1 Localização dos Dados

A infraestrutura primaria da Transcriwise esta hospedada nos Estados Unidos da America (AWS us-east-1), com possibilidade de configuração de região por tenant para clientes Enterprise.

8.2 Mecanismos de Proteção (LGPD — Arts. 33-36)

A Transcriwise adota os seguintes mecanismos para garantir a adequação das transferencias internacionais:

1. Clausulas contratuais especificas — celebradas com cada processador terceiro por meio de DPAs.
2. Verificação de adequação — monitoramento continuo das avaliações de adequação emitidas pela ANPD.
3. Certificações de segurança — verificação de que processadores possuem certificações reconhecidas (SOC 2, ISO 27001, PCI DSS).

8.3 Mecanismos de Proteção (GDPR — Capitulo V)

Para transferencias envolvendo titulares no Espaço Economico Europeu:

1. Clausulas Contratuais Padrão (SCCs) — aprovadas pela Comissão Europeia (Decisão de Execução (UE) 2021/914).
2. Decisões de adequação — quando disponiveis para o pais de destino.
3. Avaliação de Impacto de Transferencia (TIA) — conduzida para avaliar o nivel de proteção no pais de destino.

8.4 Controles Adicionais

• allow_training_opt_in=false (padrão) — impede que provedores de IA armazenem ou utilizem dados para treinamento.
• URLs presigned com TTL curto — para transmissão de audio a provedores de ASR, minimizando a janela de exposição.
• Criptografia em transito — TLS 1.2+ obrigatorio em todas as transmissões.
• Possibilidade de residencia de dados — para clientes Enterprise, configuração de região AWS especifica (ex.: UE, Brasil).
• Perfil Restricted — permite restringir processadores a uma lista explicitamente aprovada por tenant.

9. Retenção de Dados

9.1 Politica de Retenção

9.2 Eliminação Automatica

A Transcriwise executa politicas de retenção automatizadas por meio de tarefas periodicas (Celery beat). Cada execução e registrada em log de auditoria.

9.3 Eliminação sob Demanda

O titular pode solicitar a eliminação de seus dados a qualquer momento, conforme descrito na Seção 10. A eliminação sob demanda e processada em ate 15 dias uteis.

9.4 Exceções a Eliminação

Dados pessoais poderão ser retidos alem dos periodos padrão quando necessario para:

• Cumprimento de obrigação legal ou regulatoria (ex.: obrigações fiscais).
• Exercicio regular de direitos em processo judicial, administrativo ou arbitral.
• Proteção da vida ou da incolumidade fisica do titular ou de terceiro.

10. Direitos do Titular

Em conformidade com os Arts. 17-22 da LGPD e os Arts. 15-22 do GDPR, o titular de dados pessoais tem os seguintes direitos:

11. Como Exercer Seus Direitos

11.1 Canais de Contato

11.2 Identificação do Titular

Para proteção dos dados pessoais, a Transcriwise podera solicitar a verificação da identidade do titular antes de processar a solicitação. A verificação sera proporcional e não exigira informações alem do necessario.

11.3 Prazos

• Confirmação de tratamento: Resposta imediata, em formato simplificado, ou em ate 15 dias uteis para declaração completa.
• Demais solicitações: Ate 15 dias uteis, contados do recebimento da solicitação (Art. 19 da LGPD). Sob o GDPR, ate 1 mes, prorrogavel por mais 2 meses em caso de complexidade (Art. 12(3) do GDPR).
• Eliminação tecnica completa: Ate 30 dias para dados de produção; ate 90 dias para backups.

11.4 Gratuidade

O exercicio dos direitos e gratuito, exceto em caso de solicitações manifestamente infundadas ou excessivas, caso em que a Transcriwise podera cobrar taxa administrativa razoavel ou recusar a solicitação, fundamentando a decisão.

11.5 API de Privacidade

A Transcriwise atualmente disponibiliza os seguintes endpoints autenticados de API para exercicio programatico de direitos e gestão de consentimentos:

• POST /api/consent/export — Exportação de dados pessoais do titular (DSAR).
• POST /api/consent/deletion-request — Solicitação de eliminação de dados pessoais (DSAR).
• GET /api/consent e GET /api/consent/check — Historico e status de consentimentos obrigatorios.

12. Segurança dos Dados

12.1 Medidas Tecnicas

Criptografia:

• Em transito: TLS 1.2+ obrigatorio em todas as conexões (HTTPS para APIs, SSL para banco de dados PostgreSQL, TLS para Redis).
• Em repouso: Criptografia AES-256 via AWS S3 SSE-KMS para arquivos, RDS encryption para banco de dados, backups criptografados.
• Envelope encryption: Criptografia por documento/tenant para campos sensiveis em perfis Confidential e Restricted.
• KMS segregada: Chaves KMS dedicadas por tenant para perfis Restricted.

Autenticação e Controle de Acesso:

• Autenticação via JWT (JSON Web Tokens) com tokens de curta duração.
• Autenticação multifator (MFA/TOTP) disponivel para todos os usuarios e obrigatoria para acessos administrativos.
• Controle de acesso baseado em papeis (RBAC) com isolamento por organização/tenant.
• IP allowlist por tenant (perfis Business e Enterprise).
• SSO/SAML para perfis Enterprise.
• Principio do menor privilegio em acessos internos.

Senhas:

• Armazenadas exclusivamente como hash criptografico (nunca em texto claro).
• Politica de complexidade minima.

Infraestrutura:

• Object storage com namespace por tenant.
• URLs presigned com TTL curto para transmissão de audio a provedores externos.
• Webhooks protegidos por HMAC e token de autenticação.
• VPC (Virtual Private Cloud) para isolamento de rede.
• Backups criptografados com rotação automatica.

12.2 Medidas Organizacionais

• Acordos de confidencialidade com todos os colaboradores e prestadores de serviço.
• Treinamento periodico em proteção de dados e segurança da informação.
• Politica de classificação de dados com quatro niveis (Publico, Interno, Confidencial, Restrito).
• Plano de resposta a incidentes documentado e testado.
• Avaliações periodicas de segurança e vulnerabilidades.
• Gestão de acesso privilegiado com revisão periodica.

12.3 Trilha de Auditoria

Todas as operações relevantes são registradas em log de auditoria, incluindo:

• Upload, download, compartilhamento e exclusão de arquivos e transcrições.
• Exportação de documentos.
• Reprocessamento de transcrições.
• Mudança de templates e configurações.
• Envio de dados a subprocessadores externos.
• Execução de politicas de retenção.

Os logs de auditoria não contem conteudo sensivel em claro (ex.: texto de transcrições).

12.4 Monitoramento Continuo

• Monitoramento de erros e performance via Sentry (com scrubbing de dados sensiveis).
• Alertas automatizados para anomalias de segurança.
• Revisão periodica de logs de acesso.

13. Cookies e Tecnologias de Rastreamento

13.1 Cookies Utilizados

13.2 Controle de Cookies

O titular pode controlar cookies por meio de:

• Banner de consentimento exibido na primeira visita (para cookies analiticos).
• Configurações do navegador para bloquear ou excluir cookies.
• Configurações da plataforma para preferencias de funcionalidade.

13.3 Outras Tecnologias

• Local Storage: Utilizado para armazenamento de preferencias de interface (dados que permanecem no dispositivo do titular).
• Tokens JWT: Utilizados para autenticação de sessão (armazenados em cookie httpOnly ou local storage, conforme configuração).

14. Dados de Crianças e Adolescentes

14.1 Politica Geral

A Transcriwise não se destina a crianças ou adolescentes menores de 18 (dezoito) anos e não coleta intencionalmente dados pessoais desse publico.

14.2 LGPD (Art. 14)

O tratamento de dados pessoais de crianças e adolescentes, nos termos do Art. 14 da LGPD, deve ser realizado em seu melhor interesse e com consentimento especifico e em destaque dado por pelo menos um dos pais ou pelo responsavel legal.

14.3 Conteudo de Audio

Reconhecemos que arquivos de audio enviados por usuarios podem conter vozes de menores de idade (ex.: gravações de aulas). O usuario que envia o audio e responsavel por:

• Garantir que possui autorização legal para o tratamento.
• Obter consentimento dos pais ou responsaveis legais, quando aplicavel.
• Informar a Transcriwise caso o conteudo inclua dados de menores, para aplicação de controles adicionais.

14.4 Exclusão

Se a Transcriwise tomar conhecimento de que coletou dados pessoais de menores de 18 anos sem o consentimento adequado, adotara medidas imediatas para eliminar tais dados.

15. Decisões Automatizadas e Profiling

15.1 Processamento Automatizado

A Transcriwise utiliza processamento automatizado nas seguintes situações:

15.2 Ausencia de Profiling

A Transcriwise não realiza profiling no sentido do Art. 22 do GDPR — ou seja, não utiliza tratamento automatizado de dados pessoais para avaliar aspectos pessoais do titular, como desempenho profissional, situação economica, saude, preferencias pessoais, interesses, confiabilidade, comportamento, localização ou deslocamento.

15.3 Direito de Revisão

Nos termos do Art. 20 da LGPD, o titular tem o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Solicitações devem ser encaminhadas conforme a Seção 11.

16. Alterações nesta Politica

16.1 Atualizações

A Transcriwise podera atualizar esta Politica de Privacidade periodicamente para refletir:

• Alterações nas praticas de tratamento de dados.
• Novas funcionalidades ou processadores terceiros.
• Mudanças na legislação aplicavel.
• Orientações e regulamentações da ANPD ou de autoridades europeias.

16.2 Notificação

O titular sera notificado sobre alterações materiais nesta Politica por meio de:

• Aviso em destaque na plataforma.
• E-mail para o endereço cadastrado (para alterações substanciais).
• Atualização da data de "ultima atualização" no topo deste documento.

16.3 Consentimento Renovado

Quando alterações materiais impactarem o tratamento de dados sensiveis ou ampliarem significativamente as finalidades de tratamento, a Transcriwise solicitara novo consentimento do titular antes de aplicar as alterações.

16.4 Versões Anteriores

Versões anteriores desta Politica serão mantidas em arquivo e disponibilizadas mediante solicitação.

17. Contato e Reclamações

17.1 Encarregado de Proteção de Dados (DPO)

O DPO e responsavel por:

• Receber e responder reclamações e solicitações de titulares.
• Orientar funcionarios e contratados sobre praticas de proteção de dados.
• Servir como canal de comunicação entre a Transcriwise, os titulares e a ANPD.

17.2 Autoridade Nacional de Proteção de Dados (ANPD)

Se o titular não estiver satisfeito com a resposta da Transcriwise ou acreditar que o tratamento de seus dados pessoais viola a LGPD, podera apresentar reclamação a ANPD:

17.3 Autoridades Europeias (GDPR)

Para titulares no Espaço Economico Europeu, reclamações podem ser apresentadas a autoridade de supervisão do Estado-Membro de residencia, local de trabalho ou do local da alegada infração (Art. 77 do GDPR). A lista de autoridades esta disponivel em: edpb.europa.eu

17.4 Procedimento Interno de Reclamação

1. Recebimento: A reclamação e recebida pelo DPO e registrada internamente.
2. Analise: O DPO analisa a reclamação em ate 5 dias uteis.
3. Resposta inicial: O titular recebe confirmação de recebimento em ate 2 dias uteis.
4. Resolução: Resposta completa em ate 15 dias uteis.
5. Recurso: Em caso de insatisfação, o titular pode recorrer a ANPD ou a autoridade de supervisão competente.

18. Data de Vigencia

Esta Politica de Privacidade entra em vigor em 14 de março de 2026 e substitui todas as versões anteriores.