Residência de Dados para Transcrição: Onde o Áudio Fica

Quando você clica em enviar, seu arquivo de áudio normalmente viaja para um data center nos Estados Unidos em questão de milissegundos. O modelo de transcrição roda lá, a transcrição é gravada lá e o resultado é devolvido a você. A "residência de dados na UE" aparece em destaque em muitas páginas de marketing de fornecedores, mas a lacuna entre essa alegação e o fluxo completo de dados costuma ser significativa.

Este post mapeia para onde o áudio realmente vai nos principais provedores, separa residência de soberania e explica quando a residência genuinamente importa e quando é apenas uma exigência de política herdada que sua equipe nunca reavaliou.

Residência, Soberania e Localização Não São a Mesma Coisa

Três conceitos são constantemente confundidos:

Residência de dados é a localização física dos dados, em qual país ficam os servidores onde eles estão.

Soberania de dados é a jurisdição legal sobre esses dados, quais tribunais podem obrigar a divulgação. Uma empresa dos EUA que armazena dados em Frankfurt ainda responde a ordens do CLOUD Act dos EUA. Residência na UE sem controles de soberania resolve uma preocupação, mas não a outra.

Localização de dados é uma exigência legal de que certas categorias de dados devem permanecer dentro de um país específico. A Lei Federal 242-FZ da Rússia e a PIPL da China contêm requisitos genuínos de localização. O GDPR não — ele regula transferências, não localização.

Para a maioria das discussões de conformidade em transcrição, residência é a pergunta operacional, soberania é a pergunta jurídica mais difícil, e localização é o motivo pelo qual alguns contratos governamentais e de infraestrutura crítica são categoricamente inviáveis para provedores globais de nuvem.

O Que o GDPR Realmente Exige

O GDPR não exige armazenamento exclusivo na UE. Ele exige que qualquer transferência de dados pessoais para fora do EEE esteja coberta por um mecanismo de transferência legal:

• Decisões de adequação da UE: A Comissão Europeia designou determinados países como oferecendo proteção adequada. A lista atualmente inclui o Reino Unido (pós-Brexit), Suíça, Japão, Coreia do Sul, Israel, Nova Zelândia e alguns outros. Os dados podem ir para lá sem burocracia adicional.

• Data Privacy Framework EUA-UE (DPF): Lançado em julho de 2023, depois que o Schrems II invalidou o Privacy Shield. Provedores dos EUA podem se autocertificar sob o DPF, tornando-se destinos aprovados. O framework sobreviveu ao seu primeiro desafio judicial (setembro de 2025), mas enfrenta pressão contínua e, até junho de 2026, a NOYB pediu à Comissão Europeia que iniciasse sua revisão à luz de recentes decisões da Suprema Corte dos EUA. Espera-se que o TJUE decida sobre um desafio separado até o fim de 2026 ou início de 2027. O DPF é um mecanismo viável agora; pode não ser permanentemente estável.

• Cláusulas Contratuais Padrão (SCCs): Modelos de contrato pré-aprovados pela Comissão Europeia. As SCCs de 2021 são obrigatórias para qualquer novo contrato e exigem uma Avaliação de Impacto de Transferência (TIA) além das cláusulas em si.

• Regras Corporativas Vinculativas (BCRs): Regras internas vinculativas para grupos multinacionais, aprovadas pelas autoridades de proteção de dados. Processo longo, usado principalmente por organizações muito grandes.

Muitas organizações da UE adotam políticas internas de residência na UE que vão além do que o GDPR exige. Essa é uma escolha de política legítima, mas vale confirmar se sua exigência específica é uma obrigação legal ou um padrão interno antes que ela determine a seleção de fornecedores.

Este post é apenas para fins informativos e não constitui aconselhamento jurídico. Consulte seu advogado para decisões sobre conformidade com o GDPR.

Onde os Provedores de Transcrição Realmente Processam Seu Áudio

A divisão entre armazenamento e processamento é onde a maioria das alegações de "residência de dados na UE" desmorona. Um provedor pode armazenar transcrições em um data center da UE enquanto direciona a carga de inferência real para clusters de GPU nos EUA. Isso não é a mesma coisa.

A tabela abaixo lista o que consegui verificar contra a documentação dos fornecedores até julho de 2026. Células marcadas com "conforme documentação do fornecedor" refletem casos em que não encontrei uma declaração pública específica sobre um aspecto particular.

A linha do Fireflies merece atenção. A empresa afirma explicitamente em sua base de conhecimento que clientes Enterprise que usam Private Storage têm seus dados "armazenados na UE, mas processados nos Estados Unidos". Isso é residência na UE sem soberania nem processamento na UE. Para organizações cuja preocupação é a exposição no momento da inferência — um modelo vendo o áudio — isso não resolve o problema.

As Sete Perguntas Que Revelam a Prática Real

Páginas de marketing rotineiramente afirmam "residência de dados na UE" sem especificar o que realmente fica na UE. Ao avaliar um fornecedor, peça respostas por escrito para estas perguntas:

1. Onde termina o upload? Alguns provedores encerram os uploads em uma edge global e depois direcionam para uma região central de processamento.

2. Onde o áudio é processado? O modelo de IA pode rodar em uma região diferente do armazenamento. Áudio que fica em armazenamento na UE, mas é enviado a um modelo nos EUA, falha em uma exigência de residência estrita.

3. Onde as transcrições são armazenadas? Às vezes o áudio está na região, mas as transcrições sincronizam com um catálogo central nos EUA.

4. Onde ficam os backups? Backups frequentemente cruzam regiões para recuperação de desastres e costumam ficar de fora dos compromissos de residência.

5. Onde ficam os logs e metadados? Logs de aplicação contendo nomes de arquivos ou conteúdo parcial podem, por si só, violar requisitos de residência.

6. Quais subprocessadores estão no escopo? Um provedor de transcrição que usa um modelo de IA sediado nos EUA como subprocessador passa seu áudio para a jurisdição desse subprocessador.

7. Seu áudio é usado para treinamento de modelos? Se sim, a localização da infraestrutura de treinamento faz parte do quadro de residência.

Um fornecedor que responde às sete perguntas com regiões nomeadas e específicas para cada etapa está fazendo uma alegação real de residência. Um fornecedor que responde "suportamos residência na UE" sem esse nível de detalhe está fazendo uma alegação vaga.

Peça também: o DPA atual, a lista de subprocessadores com suas localizações e o mecanismo usado para qualquer transferência transfronteiriça (número de certificação DPF, confirmação de SCC ou base de adequação). Atualize seus próprios registros quando reavaliar fornecedores — os mecanismos não são estáticos.

Quando a Residência Realmente Importa

Alta necessidade de residência: Contratos do setor público com requisitos de soberania. Dados de saúde em jurisdições com regras de armazenamento local (dados de saúde alemães sob a lei alemã Hospital Future Act, dados de saúde franceses sob o framework HDS). Serviços financeiros regulados pelo BCE ou por reguladores nacionais. Contratantes de defesa e governo. Operadores de infraestrutura crítica.

Necessidade moderada de residência: Clientes B2B da UE com políticas internas de dados que exigem armazenamento na UE mesmo sem mandato legal. Clientes multinacionais com requisitos rigorosos de compras. Setores com regras de proteção de dados específicas que vão além do patamar básico do GDPR.

Baixa necessidade de residência: A maioria dos SaaS B2B sem regime especial de conformidade. Conteúdo público (podcasts, gravações de conferências). Comunicações internas de equipe sem conteúdo sensível. Notas de voz individuais.

Se você está na categoria baixa, a residência frequentemente é apresentada como necessidade quando na verdade é preferência. Confirme com seu time jurídico se é um requisito rígido ou um padrão de compras herdado.

Quanto aos mecanismos de transferência transfronteiriça — seja DPF, SCCs ou BCRs — verifique se você precisa de uma Avaliação de Impacto de Transferência para seu fornecedor e fluxo de dados específicos. As SCCs de 2021 exigem uma; muitas organizações pulam essa etapa.

A Lacuna de Soberania

A residência sozinha não resolve a questão do CLOUD Act. Empresas dos EUA sujeitas ao Clarifying Lawful Overseas Use of Data Act podem ser obrigadas a entregar dados armazenados em qualquer lugar, incluindo data centers na UE. O mesmo vale para empresas do Reino Unido sob a Crime (Overseas Production Orders) Act britânica.

Para a maioria dos casos de uso comerciais de transcrição, esta é uma preocupação teórica. Para contratos governamentais, trabalho de defesa ou qualquer contexto em que o acesso por atores estatais é um modelo de ameaça real, residência sem controles de soberania é insuficiente.

As opções práticas de soberania para transcrição são limitadas: infraestrutura self-hosted em sua própria jurisdição, ou provedores sujeitos apenas às leis de uma jurisdição confiável, sem obrigações conflitantes de inteligência estrangeira. Na prática, isso significa provedores com sede na UE, infraestrutura exclusivamente na UE e nenhuma matriz corporativa nos EUA. Happy Scribe e Verbit (para configurações empresariais específicas) se encaixam nesse perfil melhor do que provedores de nuvem sediados nos EUA com endpoints na UE.

Self-Hosting para Requisitos Estritos

Para residência genuinamente inegociável somada à soberania, self-hosting de modelos de pesos abertos é o caminho mais defensável. O modelo Whisper da OpenAI (large-v3) está disponível como pesos abertos e pode ser implantado em seu próprio hardware, em sua própria jurisdição.

As contrapartidas são reais:

• Inferência em GPU é necessária para velocidade razoável. O Whisper large-v3 roda a aproximadamente 2-3x o tempo real em uma GPU A100.
• Implantações em produção exigem operações de infraestrutura, escalabilidade e manutenção de atualizações do modelo.
• Você obtém o modelo, não a camada de serviço: diarização de falantes, formatação e precisão em vocabulário específico do domínio exigem trabalho adicional.
• O custo escala com computação, não com uso, o que favorece cargas de trabalho sustentadas de alto volume em vez de uso ocasional.

Para organizações na categoria de baixa a moderada necessidade de residência, self-hosting costuma ser exagero. Para entidades reguladas que processam grandes volumes sob mandatos rígidos de compras domésticas, muitas vezes é a única opção auditável.

Vários serviços gerenciados baseados na UE rodam Whisper em infraestrutura europeia, oferecendo um caminho intermediário entre a conveniência da nuvem e o self-hosting completo. Eles existem, mas variam em maturidade; avalie as mesmas sete perguntas acima contra a documentação deles.

Mantendo uma Trilha de Auditoria

Para qualquer trabalho de transcrição em que a residência importe, mantenha um registro:

• O nome do fornecedor e o compromisso específico de residência em seu DPA (versão e data)
• O mecanismo para qualquer transferência transfronteiriça (ID de certificação DPF, confirmação de SCC)
• A lista de subprocessadores e cada localização, com data
• Suas configurações de retenção e exclusão automática
• A data em que você verificou pela última vez tudo o que está acima

Quando uma auditoria de conformidade perguntar por que você escolheu determinado fornecedor e como garante conformidade contínua, este registro é a resposta. Sem ele, até uma escolha tecnicamente correta parece improvisada.

Combine controles de residência com uma exclusão automática de arquivos de transcrição bem definida e revise sua postura de criptografia e ferramentas de transcrição — criptografia em repouso e em trânsito é um patamar básico que a residência não substitui.

O Que o ConvertAudioToText Oferece e Não Oferece

Em total transparência: o ConvertAudioToText atualmente roda em infraestrutura distribuída globalmente (Cloudflare R2 para armazenamento, com a transcrição processada via subprocessadores AssemblyAI e Deepgram). Atualmente não oferecemos uma opção certificada de residência exclusiva na UE em que áudio e transcrições fiquem garantidamente dentro das fronteiras da UE de ponta a ponta.

Oferecemos: criptografia TLS em trânsito, criptografia server-side em repouso, política de não uso do áudio dos usuários para treinamento de IA, exclusão automática configurável pelo usuário e um DPA mediante solicitação para clientes corporativos.

Se sua exigência é "o áudio não pode sair da UE sob nenhuma circunstância", esta não é a opção certa no momento. Para equipes que precisam de uma transcrição limpa rapidamente, sem atrito de cadastro e com práticas sólidas de minimização de dados, o ConvertAudioToText funciona bem junto de uma política clara de tratamento de dados. Veja a transcrição por IA é privada para a postura completa de privacidade e transcrição em conformidade com o GDPR para orientações específicas sobre o GDPR.

A Verificação Prática Antes de Decidir

A maioria das equipes especifica demais os requisitos de residência sem auditar a regulamentação subjacente. Antes de fechar com um provedor mais caro ou restrito, confirme:

• Qual regulamentação exige especificamente residência para esses dados?
• É exigido para todos os dados ou apenas para categorias específicas (dados de saúde, dados financeiros, dados de categoria especial sob o Artigo 9 do GDPR)?
• É uma exigência legal ou uma política interna que poderia ser atualizada?
• Os mecanismos de transferência disponíveis (DPF, SCCs com TIA, decisões de adequação) são suficientes para sua postura de risco?

Para algumas equipes, residência estrita é inegociável e a resposta a todas as perguntas acima é clara. Para mais equipes do que você imagina, o requisito é um padrão interno que não foi revisado contra as orientações regulatórias atuais e pode ser relaxado sem exposição legal.

O provedor de transcrição certo depende da obrigação real, não do modelo herdado.

FAQ

O GDPR exige que os dados de transcrição sejam armazenados dentro da UE?

Não. O GDPR não impõe uma exigência generalizada de armazenamento na UE. Ele exige que qualquer transferência de dados pessoais para fora do EEE esteja coberta por um mecanismo legal: uma decisão de adequação da UE para o país de destino, Cláusulas Contratuais Padrão, Regras Corporativas Vinculativas ou certificação sob o Data Privacy Framework EUA-UE. Muitas organizações da UE impõem políticas internas de residência na UE mais rígidas do que o que o GDPR realmente exige — confirme se sua exigência é obrigação legal ou política interna.

Qual é a diferença entre residência de dados e soberania de dados?

Residência é uma questão de localização física: onde os bytes ficam no disco. Soberania é uma questão jurídica: quais tribunais podem obrigar o acesso a esses dados. Uma empresa sediada nos EUA pode armazenar seu áudio em um data center da AWS em Frankfurt (residência na UE) e ainda assim estar sujeita a ordens do CLOUD Act dos EUA (soberania dos EUA). A distinção importa para cargas de trabalho de alta sensibilidade; residência puramente na UE sem controles de soberania resolve a primeira preocupação, mas não a segunda.

Quais serviços de transcrição oferecem processamento verdadeiramente na UE, e não apenas armazenamento na UE?

Até meados de 2026: Deepgram (api.eu.deepgram.com, GA, todos os principais endpoints de STT), AssemblyAI (api.eu.assemblyai.com, dados de áudio e transcrição permanecem na UE) e Google Cloud Speech-to-Text V2 (endpoints regionais na UE, dados em repouso e em uso mantidos na região). Happy Scribe é nativo da UE por padrão. Fireflies.ai oferece armazenamento na UE para clientes Enterprise, mas ainda processa nos EUA. Otter.ai não tem opção documentada na UE. Trint oferece armazenamento na UE ou nos EUA (plano business, hospedado na AWS). AWS Transcribe está disponível em regiões da UE (Frankfurt, Irlanda, Londres) e os dados permanecem na região que você escolher.

Quando o self-hosting do Whisper é a resposta certa para a residência?

Hospedar por conta própria o Whisper de pesos abertos (large-v3) faz sentido quando a residência é genuinamente inegociável e nenhum provedor de nuvem em sua jurisdição atende ao requisito — comum no setor público, em contratantes de defesa ou em mandatos de compras exclusivamente domésticos. A contrapartida é real: inferência em GPU, manutenção do modelo, escalabilidade e overhead operacional. Para gravações sensíveis ocasionais, geralmente é exagero. Para entidades reguladas que processam milhares de horas por mês e precisam de trilhas de auditoria formais sobre toda a pilha, self-hosting ou uma implantação on-premise do fornecedor (a Rev oferece isso para empresas) é a escolha mais defensável.

Fontes

• Disponibilidade geral do endpoint da UE da Deepgram, verificado em julho de 2026
• Documentação de residência de dados na UE da AssemblyAI, verificado em julho de 2026
• Endpoints regionais do Google Cloud STT, verificado em julho de 2026
• Endpoints e regiões do AWS Transcribe, verificado em julho de 2026
• Página de segurança da HappyScribe, verificado em julho de 2026
• Base de conhecimento da Fireflies sobre armazenamento e transferência de dados, verificado em julho de 2026
• Segurança e residência de dados da Trint, verificado em julho de 2026
• Criptografia e armazenamento de arquivos da Rev.com, verificado em julho de 2026
• Privacidade e segurança da Otter.ai, verificado em julho de 2026
• Anúncio de residência de dados na UE da OpenAI, acessado em julho de 2026
• Status do Data Privacy Framework EUA-UE e desafio Schrems III, IAPP, verificado em julho de 2026
• Orientações da Comissão Europeia sobre SCCs, verificado em julho de 2026