GDPR e resumos de reunião com IA: qual endpoint usar

A transcrição no Autorec roda na sua máquina. O resumo com IA é a única etapa que pode sair dela. Se você ativá-lo, a transcrição vai para um provedor de LLM escolhido por você, e a partir desse momento esse provedor passa a ser operador (processor, no GDPR) de qualquer dado pessoal que a reunião tenha.

Este post é sobre escolher esse provedor. Não é aconselhamento jurídico: quem decide o que a sua base legal e o seu apetite de risco permitem é o seu encarregado de proteção de dados ou o seu advogado. As informações sobre os provedores abaixo vêm da documentação deles, conferida em outubro de 2026. Políticas mudam, então confira as páginas indicadas antes de confiar numa linha da tabela.

Se você está no Brasil, a LGPD provavelmente vai vir à cabeça. Aqui o assunto é o GDPR europeu; o que vale sob a lei brasileira é conversa para o seu encarregado ou advogado.

O que o Autorec envia, de fato

O resumo com IA do Autorec fica desligado até você adicionar um provedor em Configurações → Resumo com IA. Quando ele roda, uma única requisição HTTPS vai direto do seu computador para a URL base da API que você configurou. Não há servidor do Autorec no meio.

O corpo da requisição contém:

o seu prompt de resumo, como mensagem de sistema
o texto da transcrição, como mensagem do usuário
o nome do modelo e o tamanho máximo do resumo

Ela leva também qualquer campo extra que você mesmo adicionar em Extra request fields (JSON), como opções de roteamento do provedor. Isso são configurações, não dados sobre a reunião. Mais nada sai. Ou seja: nada de áudio, vídeo, capturas de tela, nomes de arquivo ou lista de participantes. A transcrição vai inteira, então uma reunião longa significa muito texto.

O título e o resumo que voltam ficam salvos ao lado da gravação, no seu disco. A sua chave de API fica na configuração local do Autorec, e ela é opcional para servidores locais.

O áudio e o vídeo, que carregam vozes e rostos, nunca saem da máquina. O texto sai, e texto continua sendo dado pessoal quando alguém fala nomes, questões de saúde ou salários em voz alta. Uma transcrição não é anônima só porque é texto.

Nosso post sobre GDPR e HIPAA cobre o lado da gravação: base legal, consentimento, retenção. Tudo lá continua valendo. Este post acrescenta a etapa do fornecedor.

Configurações de Resumo com IA do Autorec com a lista de provedores aberta, mostrando presets agrupados em agregadores, APIs próprias, inferência rápida, servidores locais e Custom

O que checar antes de escolher um provedor

Quatro perguntas resolvem quase tudo.

Onde os dados são processados? UE não é palavra mágica, mas tira da mesa a maior parte da questão de transferência internacional. Processamento nos EUA exige um mecanismo de transferência e uma avaliação dessa transferência.

Existe um acordo de processamento de dados? Se o provedor trata dados pessoais em seu nome, o Artigo 28 exige um contrato (o DPA). Confira se dá para aceitá-lo sem ter que marcar uma conversa com vendas.

Por quanto tempo o conteúdo fica guardado? Muitos provedores de API guardam os prompts por um período curto para monitorar abuso, mesmo quando não treinam com eles. “Retenção zero” costuma ser um acordo que você solicita, não o padrão.

O conteúdo é usado para treinamento? Para tráfego de API, isso hoje raramente é o padrão entre os grandes nomes, mas não é uniforme, e pode mudar entre um plano gratuito e um pago.

Provedores hospedados na UE

Mistral

A Mistral é a primeira opção europeia na lista de provedores do Autorec (Provedor → Mistral, URL base https://api.mistral.ai/v1, modelo padrão mistral-small-latest).

Região: a central de ajuda da Mistral diz que os dados ficam hospedados na União Europeia por padrão, e nos Estados Unidos só se você usar explicitamente o endpoint de API dos EUA. A Mistral também lista suboperadores, alguns fora da UE, no seu Trust Center.
DPA: a Mistral publica um Data Processing Addendum junto aos seus termos comerciais.
Treinamento: esta é a linha para ler com atenção. A central de ajuda da Mistral diz que, no pay-as-you-go, você tem o direito de recusar o uso para treinamento a qualquer momento, e descreve a opção: no Mistral Studio, Privacy → Anonymous improvement data. O modo gratuito do Studio informa que a Mistral pode usar seus dados para treinar os modelos. O produto de chat para consumidores e a API têm chaves separadas. Então não presuma nada: abra a página Privacy na conta cuja chave você colocou no Autorec e confira.
Retenção: a Mistral oferece uma opção de Zero Data Retention para chamadas de API compatíveis, incluindo chat completions, nos planos pagos. Você solicita pelo suporte e a Mistral pode aprovar ou recusar. As páginas de ajuda da própria Mistral que consegui acessar não informam o período padrão de retenção do conteúdo da API, então não vou cravar um número. Pergunte ou leia o DPA.

Scaleway

As Generative APIs da Scaleway ficam hospedadas em Paris e anunciam compatibilidade com a OpenAI, incluindo um endpoint de chat completions. Não há preset no Autorec, então escolha Custom… e informe a URL base que aparece no console da Scaleway.

Segundo a página de privacidade de dados da Scaleway, ela não coleta, lê, reutiliza nem analisa prompts ou respostas, e não os usa para treinar modelos. A exceção é uma investigação de uso indevido ou de falha, em que os dados podem ficar guardados por até duas semanas. A página nomeia a Scaleway como operadora e remete à política de privacidade e às condições do serviço de IA para a parte contratual.

IONOS

O IONOS AI Model Hub descreve endpoints compatíveis com a OpenAI e diz que todo o processamento acontece nos seus data centers alemães (Berlim) e que os dados dos clientes nunca são usados para treinar modelos. Não encontrei um período de retenção declarado, então pergunte a eles antes de passar conteúdo de reunião por lá. Aqui também, use Custom….

Outros

O OVHcloud AI Endpoints e a Aleph Alpha também são europeus. Não consegui confirmar os termos atuais e a compatibilidade de API deles em páginas primárias enquanto escrevia, então eles ficaram fora da tabela.

Provedores dos EUA

OpenAI e Anthropic têm presets no Autorec. Os padrões de API deles são melhores do que muita gente imagina. A questão em aberto é a transferência para os EUA, não o treinamento.

OpenAI: a documentação diz que os dados da API não são usados para treinar os modelos a menos que você opte por isso, e que os logs de monitoramento de abuso ficam guardados por até 30 dias por padrão. Zero Data Retention exige aprovação prévia. A residência de dados na UE (o prefixo eu.api.openai.com) é uma configuração de projeto e vem com condições, como Zero Data Retention ou monitoramento de abuso modificado, e nem todo modelo é suportado.
Anthropic: a central de privacidade diz que entradas e saídas de usuários da API são apagadas do backend em até 30 dias, e que entradas e saídas de produtos comerciais não são usadas para treinamento por padrão. O DPA dela, com Cláusulas Contratuais Padrão, já está incorporado automaticamente aos Commercial Terms. Não consegui confirmar uma opção de processamento só na UE, então não vou afirmar que existe.

Resumo rápido

Provedor	Região de processamento	Retenção	Treinamento	DPA
Mistral	UE por padrão; endpoint dos EUA opcional	ZDR sob solicitação nos planos pagos; período padrão não informado nas páginas que conferi	Opção de recusa no Studio; o plano gratuito pode ser usado	Addendum publicado
Scaleway	Paris, França	Não guarda prompts; até duas semanas em investigação de falha	Não é usado	Termos de operador na política de privacidade e nas condições de IA
IONOS	Alemanha (Berlim)	Não informada	Nunca é usado, segundo a IONOS	Não conferido
OpenAI	EUA; residência na UE opcional, com condições	Até 30 dias (logs de abuso); ZDR mediante aprovação	Não é usado, a menos que você opte	Não conferido
Anthropic	Não informa processamento só na UE	Apagado em até 30 dias	Não por padrão	Incorporado aos Commercial Terms

“Não conferido” quer dizer que eu não li, não que não exista.

Gateways acrescentam mais uma parte

Um agregador como o OpenRouter na frente de um modelo também vira operador, além da empresa que roda o modelo. Dá para restringir isso, inclusive com opções por requisição, como a flag de retenção zero do OpenRouter, que você pode definir em Extra request fields (JSON). Nosso post sobre privacidade no OpenRouter passa pelas configurações. Se você quer uma trilha documental limpa, um contrato direto com um único provedor europeu é mais simples de documentar do que uma camada de roteamento.

Quando o local é a melhor resposta

Um endpoint na UE reduz o risco. Um modelo na sua própria máquina elimina o operador de vez: sem fornecedor, sem DPA, sem transferência, sem pergunta sobre retenção. Para reuniões com dados de saúde, sigilo profissional de advogado, casos de RH ou qualquer coisa sob um NDA rígido com cliente, essa costuma ser a decisão mais fácil de defender.

O preço é hardware e qualidade. Um modelo pequeno num notebook escreve um resumo mais cru do que um grande hospedado, e transcrições longas demoram. Nosso guia de LLM local mostra como apontar o Autorec para o Ollama ou o LM Studio.

Uma divisão razoável:

reuniões internas de rotina: um endpoint hospedado na UE, com treinamento desligado e DPA assinado
reuniões sensíveis: um modelo local, ou nenhum resumo, só a transcrição

Você pode trocar de provedor nas Configurações quando quiser, e os resumos são gerados gravação por gravação, então a divisão não precisa ser tudo ou nada.

Um checklist curto

Escolha o provedor e aceite o DPA na conta cuja chave você vai usar.
Confirme a configuração de treinamento nessa conta, não de forma genérica.
Solicite Zero Data Retention se o provedor oferecer e o seu risco pedir.
Avise os participantes de que um provedor de IA processa a transcrição. O seu aviso de gravação deve indicar a categoria de operador.
Inclua o provedor no seu registro das atividades de tratamento.
Deixe Resumir automaticamente após a transcrição desligado nas reuniões que você quer revisar antes.

O Autorec mantém o áudio na sua máquina e mostra exatamente qual texto sai dela. Os contratos e a política ficam por sua conta. Para o lado da gravação, veja o guia de GDPR e HIPAA, e para saber por que não usamos bots de reunião, o post sobre gravação sem bot.