Proteção de dados
Ferramentas de IA e GDPR: checklist para pequenas empresas na UE
Antes de colocar dados de clientes numa ferramenta de IA: onde são processados, DPA, transferência e treinamento — no Chatbase, Sintra, Submagic e Taskade.
Atualizado em 14 de outubro de 2026
Uma ferramenta de IA que responde aos seus clientes, escreve para eles ou guarda os projetos deles processa dados pessoais em seu nome. Pelo GDPR (RGPD), a responsabilidade continua sendo sua. Cinco perguntas mostram se uma ferramenta pode ser usada para isso — e as respostas estão nos próprios documentos do fornecedor, não no marketing dele. Este guia explica o que procurar; não é aconselhamento jurídico.
Pergunta 1: O fornecedor assina um acordo de processamento de dados?
Quando um prestador processa dados pessoais para você, o Artigo 28 do GDPR exige um contrato que o obrigue a seguir suas instruções — o DPA (acordo de processamento de dados). Sem ele, dados de clientes não devem entrar na ferramenta. Procure uma página chamada “DPA” ou “Data Processing Addendum”, normalmente com link na política de privacidade ou no rodapé.
Pergunta 2: Onde os dados são processados?
O processamento fora da UE é permitido, mas a transferência precisa de uma base legal: uma decisão de adequação (para os EUA, um fornecedor certificado no EU-US Data Privacy Framework) ou as Cláusulas Contratuais Padrão da UE (SCCs). A política de privacidade ou o DPA informa o local e a garantia.
Pergunta 3: Seus dados são usados para treinar modelos de IA?
Bons fornecedores dizem com clareza que o conteúdo dos clientes não é usado para treinar modelos e que os provedores de IA que eles usam estão sujeitos à mesma regra.
Pergunta 4: Quem são os subprocessadores?
A maioria das ferramentas de IA repassa seus dados a provedores de modelos (OpenAI, Anthropic, Google e outros) e a empresas de hospedagem. Uma lista publicada de subprocessadores, com aviso antes de mudanças, permite ver — e contestar — quem mais lida com seus dados.
Pergunta 5: O que acontece com os dados quando você sai?
Confira por quanto tempo os dados ficam guardados depois do cancelamento e se você pode excluí-los ou exportá-los.
Como as quatro ferramentas analisadas se comparam
| Item conferido | Chatbase | Sintra AI | Submagic | Taskade |
|---|---|---|---|---|
| Empresa | Chatbase Inc., EUA | playOS, Inc., EUA | TURBO STUDIO S.A.S., Paris | Taskcade Inc., EUA |
| Processamento | EUA (AWS) | EUA ou UE, mais os países dos subprocessadores | AWS EUA/UE; o aviso de privacidade diz EUA | EUA (AWS US-East); alguns modelos de IA via provedores na China |
| DPA para clientes | Sim, vale automaticamente | Sim, vale com o uso | Cláusula curta de processamento nos termos, sem DPA separado | Explicitamente não oferecido |
| Garantia de transferência | SCCs no DPA | SCCs no DPA | SCCs | Nenhuma oferecida aos clientes |
| Treinamento com seus dados | Não, em qualquer plano | Provedores de IA não podem treinar com dados pessoais | Não abordado; uploads podem ser usados para divulgação, a menos que você recuse | Provedores proibidos por contrato; nenhuma garantia dada |
Fontes: política de privacidade, DPA e página de segurança de cada fornecedor, conferidos em 20 de outubro de 2026 — com links no fim de cada análise.
O que isso significa na prática
- Chatbase tem um DPA com SCCs que vale automaticamente, então um bot de atendimento treinado nas suas páginas de ajuda é viável — desde que sua política de privacidade o mencione. Veja a análise do Chatbase (em inglês).
- Sintra AI tem um DPA com SCCs, mas não oferece hospedagem só na UE nem certificado SOC 2 ou ISO. Use-o para rascunhos de marketing e posts em redes sociais, não para cadastros de clientes. Veja a análise do Sintra (em inglês).
- Submagic é uma empresa da UE com SCCs, mas oferece só uma cláusula curta de processamento nos termos, sem DPA separado, e não diz nada sobre treinamento de modelos. Serve para seus próprios vídeos de marketing; pergunte antes de enviar gravações de clientes. Veja a análise do Submagic (em inglês).
- Taskade afirma na política de privacidade que não assina DPA nem SCCs, e alguns modelos de IA encaminham solicitações a provedores na China. Mantenha dados pessoais de clientes fora dele. Veja a análise do Taskade (em inglês).
Uma checklist curta
- Dados pessoais de clientes ou funcionários vão entrar na ferramenta? Se não, quase nada disto se aplica.
- Existe um DPA, e ele vale para o seu plano?
- Onde os dados são processados, e com qual base legal são transferidos?
- O conteúdo dos clientes fica fora do treinamento de modelos?
- Existe uma lista de subprocessadores?
- A ferramenta é mencionada na sua própria política de privacidade?
Na dúvida, pergunte ao fornecedor por escrito e guarde a resposta. Se você lida com dados sensíveis, fale com um consultor de proteção de dados antes de contratar.