Política de Privacidade

Última atualização: 9 de outubro de 2026

1. Quem somos, e qual é o nosso papel

O TranscriptMe é operado pela TranscriptMe Inc., sociedade constituída no estado de Delaware, Estados Unidos, com escritório registrado em 1000 N. West Street, Suite 1501, Wilmington, DE 19801. Somos uma empresa americana que oferece serviço a advogados no Brasil. Por isso a LGPD se aplica integralmente ao que fazemos, por força do art. 3º, II — a lei alcança o tratamento de dados de pessoas no Brasil, independentemente de onde esteja quem trata. Nomeamos representante no Brasil, identificado na seção 11. O TranscriptMe é uma ferramenta de investigação de provas para advogados. Você importa documentos, gravações e conversas de um caso, e nós extraímos, transcrevemos, indexamos e ajudamos a encontrar o que interessa. Isso cria uma distinção que importa juridicamente: Sobre a sua conta, nós somos o controlador. Decidimos o que coletar para você entrar, cobrar e usar o serviço. Sobre o conteúdo que você importa, você é o controlador e nós somos o operador. Você decide quais provas subir, com que finalidade e por quanto tempo. Nós tratamos esse conteúdo seguindo as suas instruções, e não o usamos para nenhuma finalidade própria. Na prática: as provas do seu caso são suas, e a responsabilidade por tê-las e usá-las é sua. A nossa é guardá-las com cuidado, processá-las só para o que você pediu, e devolvê-las ou apagá-las quando você mandar.

2. O que coletamos

Dados da sua conta — email, nome e foto de perfil (quando você entra com Google), a organização a que pertence e o plano contratado. O conteúdo que você importa — documentos, PDFs, imagens, áudios, vídeos e exportações de conversa. Deles derivamos texto extraído, transcrições, resumos, descrições de imagem e representações vetoriais usadas na busca. Registros técnicos — endereço IP, navegador, identificador de sessão e o registro de quais ações foram feitas em cada caso (quem abriu qual arquivo, quando). Esse registro de auditoria existe porque, num produto de prova, saber quem acessou o quê é parte da integridade do material. País aproximado de acesso — no cadastro e a cada entrada, registramos o país de onde a conexão veio (só as duas letras do país, como "BR"), calculado a partir do endereço IP no nosso próprio servidor, sem enviar o endereço a ninguém. O endereço não fica guardado junto desse registro. Usamos isso para saber de que países vêm nossos clientes. A consulta usa dados IP2Location LITE: “This site or product includes IP2Location LITE data available from https://lite.ip2location.com.” Erros da aplicação — quando algo falha, o relatório do erro é enviado ao Sentry (veja a seção 5). Ele pode conter trechos de dados presentes no momento da falha. Uso do site público, só com a sua permissão — desde 9 de outubro de 2026 as páginas públicas (a página inicial, o blog, as páginas de cadastro e de entrada) usam o Google Tag Manager e o Google Analytics 4 para saber quantas pessoas visitam, de onde vêm e em que ponto do cadastro param. Isso só acontece depois que você clica em "Aceitar" na barra de cookies; sem o aceite, nada é medido e nenhum cookie do Google é gravado. O que o Google Analytics recebe são páginas vistas e sete eventos de navegação (início e conclusão do cadastro, e-mail confirmado, entrada, preços vistos, início do pagamento, artigo do blog aberto), com o endereço IP anonimizado pelo próprio Google Analytics 4. Nunca enviamos o seu e-mail, o seu nome, o seu identificador de usuário nem qualquer conteúdo de caso. A área do caso, onde ficam as provas, não tem nenhum script do Google nem de qualquer outro terceiro. Os dados são processados pelo Google nos Estados Unidos. Não coletamos dados de navegação para publicidade e não usamos cookies de anúncio.

3. Com que base legal

Tratamos dados pessoais com as seguintes bases do art. 7º da LGPD: Execução de contrato (inciso V) — para criar sua conta, autenticar você, processar o conteúdo que você importa e cobrar pelo serviço. Cumprimento de obrigação legal (inciso II) — para guardar registros fiscais e de acesso quando a lei exige. Legítimo interesse (inciso IX) — para manter a segurança do serviço, investigar abuso e corrigir defeitos. Sempre que essa é a base, ela cede diante do seu direito de oposição. Quanto ao conteúdo que você importa, a base legal é definida por você, que é o controlador desse material. Provas costumam envolver dados de terceiros e, com frequência, dados sensíveis — saúde, opinião política, processos criminais. Cabe a você ter fundamento para tratá-los, normalmente o exercício regular de direitos em processo (art. 7º, VI, e art. 11, II, "d").

4. Como usamos

O conteúdo que você importa é usado apenas para entregar o serviço que você contratou: - Extrair e indexar — para tornar o material pesquisável por texto e por significado. - Transcrever e descrever — áudio vira texto, imagem ganha descrição. - Responder perguntas — o chat consulta o seu próprio material para responder, sempre citando de onde veio. Não vendemos dados. Não usamos o seu conteúdo para treinar modelos de inteligência artificial, nem permitimos que nossos fornecedores o façam — os contratos de API que usamos vedam o treinamento com o conteúdo enviado. Não lemos o seu conteúdo. O acesso técnico existe apenas para operar e reparar o serviço, é registrado, e ocorre somente quando necessário.

5. Quem mais processa seus dados

Para funcionar, o TranscriptMe envia dados a estes operadores. A lista é completa e é atualizada quando muda: - Anthropic (Claude) — trechos de texto e imagens, para resumo, descrição e respostas do chat. - OpenAI — arquivos de áudio para transcrição (Whisper) e texto para representações vetoriais. - Mistral — páginas de PDF, para reconhecimento óptico de caracteres. - DigitalOcean — servidores e banco de dados (Nova York), e o armazenamento dos arquivos importados. - Backblaze — segunda cópia dos backups, cifrada por nós antes de sair do servidor. - Microsoft — acesso ao seu OneDrive, apenas se você conectar a conta. - Google — autenticação, apenas se você escolher entrar com Google; e, nas páginas públicas, o Google Tag Manager e o Google Analytics 4, apenas se você aceitar na barra de cookies (seção 12). - Stripe — pagamento. Dados de cartão vão direto para eles; nós nunca os vemos. - Resend — envio de emails do serviço (verificação, redefinição de senha, avisos). - Sentry — relatórios de erro da aplicação.

6. Onde os dados ficam, e como são protegidos

Servidores nos Estados Unidos, na DigitalOcean. O banco de dados é gerenciado e fica na rede privada, sem exposição à internet. Separação entre casos — o banco é um só, e cada linha carrega o caso a que pertence. O isolamento é imposto pelo próprio banco de dados, por segurança em nível de linha: uma consulta feita sem o contexto do seu caso não devolve nada. Não é um banco por cliente; é uma regra que o banco aplica em toda consulta, inclusive nas nossas. Arquivos — documentos e gravações ficam em armazenamento de objetos com versionamento, não no disco do servidor. O acesso é sempre por URL assinada e temporária, válida por duas horas. Em trânsito — HTTPS em tudo. Em repouso — os tokens de acesso ao seu OneDrive são cifrados no banco com AES-256-GCM, com chave que não fica no banco. Os backups são cifrados antes de sair do servidor, com uma chave que os provedores de armazenamento não possuem. Backups — diários, em duas nuvens de empresas diferentes, com o arquivo imutável durante o prazo de retenção. Toda restauração é registrada.

7. Onde o tratamento acontece

Seus dados são tratados fora do Brasil, desde o primeiro momento. A controladora é americana, os servidores e o banco ficam em Nova York, os backups em duas nuvens nos Estados Unidos, e os fornecedores de inteligência artificial processam nos países onde operam. Não se trata de dados que saem do Brasil: eles nascem sob uma controladora estrangeira. Ainda assim, o tratamento se sujeita à LGPD, e o compartilhamento com cada fornecedor se apoia no art. 33, VI — necessário para executar o contrato que você celebrou conosco — e em cláusulas contratuais com cada um deles. Diga antes de importar qualquer prova se isso for incompatível com uma exigência do seu escritório, do seu cliente ou de um processo específico. É uma restrição legítima e comum, e é melhor sabê-la antes do primeiro arquivo.

8. Por quanto tempo guardamos, e como apagamos

Enquanto a conta existir, o conteúdo fica disponível. Você pode apagar uma importação inteira a qualquer momento, o que remove as mensagens, mídias, transcrições e índices dela. Ao encerrar a conta, apagamos seus dados dos sistemas em produção em até 30 dias. Nos backups, o prazo é maior, e isso precisa estar claro: guardamos cópias diárias por 35 dias e mensais por 400 dias. Um dado que você apagou hoje continua existindo dentro de backups cifrados até esses prazos vencerem. Não consultamos backups salvo em recuperação de desastre, e não é possível apagar um registro de dentro de um backup sem invalidar o backup inteiro — é por isso que existe prazo, em vez de guarda indefinida. Registros fiscais e de auditoria são mantidos pelos prazos que a lei exige, mesmo após o encerramento da conta.

9. Pessoas que não são nossos usuários

Uma conversa importada contém mensagens de outras pessoas. Uma gravação contém a voz de quem estava do outro lado. Essas pessoas não têm conta aqui e não nos conhecem. Nós as tratamos como operador, sob as instruções de quem importou o material. Quem responde pelo tratamento desses dados é o advogado(a) ou escritório que fez a importação, e é dele a decisão sobre a base legal — em geral, o exercício regular de direitos em processo. Se você é uma dessas pessoas e quer saber se seus dados estão aqui, escreva para o endereço da seção 11. Vamos localizar o material e encaminhar o pedido a quem o importou, porque é quem tem o poder de decidir sobre ele — e responderemos o que pudermos diretamente.

10. Seus direitos

A LGPD garante a você, independentemente do que esta política diga, o direito de: - Confirmar que tratamos seus dados, e acessar o que temos. - Corrigir dados incompletos, inexatos ou desatualizados. - Anonimizar, bloquear ou eliminar dados desnecessários ou tratados em desconformidade. - Portar seus dados a outro fornecedor. - Eliminar dados tratados com base no seu consentimento. - Saber com quem compartilhamos seus dados — está na seção 5. - Revogar consentimento, quando essa for a base do tratamento. - Opor-se a tratamento fundado em legítimo interesse. Como exercer: escreva para o endereço da seção 11. Respondemos em até 15 dias, prazo do art. 19 da LGPD, e confirmamos o recebimento antes disso. Como isso funciona hoje, com franqueza: não há um botão na tela que faça a exportação ou a exclusão sozinho. Os pedidos são atendidos por uma pessoa, à mão, dentro do prazo acima. Preferimos prometer o que cumprimos a exibir um botão que não faz o que diz.

11. Encarregado e representante no Brasil

Controladora: TranscriptMe Inc., Delaware, Estados Unidos. Tomás Lima acumula duas funções previstas em lei: - Encarregado pelo tratamento de dados pessoais (art. 41 da LGPD), como canal entre você, a empresa e a Autoridade Nacional de Proteção de Dados. - Representante no Brasil da controladora estrangeira, para receber comunicações de titulares e de autoridades brasileiras. privacidade@transcriptme.com É o endereço para pedidos de titulares, dúvidas sobre esta política e comunicações de autoridade. Respondemos em até 15 dias, e confirmamos o recebimento antes disso.

12. Cookies e o que fica no seu navegador

O necessário, sempre — o token da sessão, no armazenamento local, que mantém você conectado e é apagado quando você sai; o cookie do idioma escolhido; os cookies do Stripe na tela de pagamento; e o cookie "tm_consent", que guarda por seis meses a sua escolha na barra de cookies. A medição do site, só se você aceitar — nas páginas públicas, se você clicar em "Aceitar" na barra de cookies, o Google Analytics 4 grava os cookies dele ("_ga" e semelhantes) para distinguir uma visita de outra, e passa a receber o que a seção 2 descreve. Se você clicar em "Só o necessário", ou não clicar em nada, nenhum cookie do Google é gravado e nada é medido. A sua escolha pode ser revista a qualquer momento pelo link "Cookies" no rodapé do site, que abre a barra de novo; "Só o necessário" depois de um "Aceitar" interrompe a medição dali em diante, e os cookies do Google que já existirem você apaga no navegador. Não usamos cookies de publicidade. Dentro da área do caso não há cookie nem script de terceiro.

13. Incidentes de segurança

Se ocorrer um incidente que possa acarretar risco ou dano relevante a você, comunicaremos a Autoridade Nacional de Proteção de Dados e você, em prazo razoável, com a descrição do que aconteceu, os dados envolvidos e as medidas tomadas — conforme o art. 48 da LGPD.

14. Alterações nesta política

Esta política muda quando o produto muda. Alterações relevantes são comunicadas por email e anunciadas no site, com a data de atualização no topo desta página. Versões anteriores ficam disponíveis mediante pedido ao endereço da seção 11.