Central de Confiança
Sua empresa pode confiar as gravações ao SozAI?
Onde seus dados ficam e quem os processa, além dos certificados que não temos. Cada resposta leva à sua comprovação.
A resposta curta
O SozAI é um app de transcrição para celular, tablet, Mac e web. Ele guarda suas gravações e transcrições em servidores da Hetzner, na Alemanha, e toda conexão usa HTTPS. O áudio de cada arquivo ou gravação vai para a AssemblyAI, nos EUA, para o reconhecimento de fala, e o texto da transcrição passa pelo OpenRouter até modelos de IA que geram notas e respostas no chat. O código do SozAI não usa suas gravações para treinar modelos, e você mesmo pode excluir uma gravação ou a conta inteira. Não temos relatório SOC 2, certificado ISO 27001 próprio, SSO, logs de auditoria nem BAA da HIPAA.
A tabela abaixo mostra o quadro completo numa tela só. Cada linha leva à página que a comprova, para que quem faz a avaliação de segurança possa conferir em vez de simplesmente confiar em nós.
Controles de relance
Respostas válidas em 27 de outubro de 2026. Se uma linha e a página para a qual ela aponta divergirem, avise-nos em [email protected] e corrigiremos a que estiver errada.
| Controle | O que o SozAI faz | Página de comprovação |
|---|---|---|
| Onde os dados ficam | O banco de dados (contas, transcrições, notas, flashcards, quizzes) e os arquivos de áudio ficam em nossos servidores da Hetzner, na Alemanha. Os parques de data centers da Hetzner têm certificação ISO/IEC 27001. Esse certificado é da Hetzner, não nosso. | Segurança, Subprocessadores |
| Criptografia em trânsito | Toda conexão com o SozAI usa HTTPS (TLS 1.2 ou 1.3). A Cloudflare descriptografa o tráfego na borda e o criptografa de novo no caminho até os nossos servidores. | Segurança |
| Criptografia em repouso | Não adicionada por nós. Não criptografamos os discos dos servidores. Os backups noturnos do banco de dados são criptografados no servidor antes de saírem dele. | Segurança |
| Acesso à sua biblioteca | Suas gravações só abrem depois que você entra na sua própria conta. Cada pessoa tem a própria conta e a própria biblioteca. Em um plano Team ou Education, quem compra gerencia as vagas e não consegue abrir as gravações dos membros. | Termos |
| Login | Google, Apple ou um código de seis dígitos que enviamos por e-mail, válido por três minutos. Não existem senhas do SozAI. Não há verificação em duas etapas própria nem SSO. | Segurança |
| Exclusão | Você exclui uma gravação ou a conta inteira em qualquer app ou em web.sozai.app. Isso remove dos nossos servidores o áudio e tudo o que foi gerado a partir dele. | Excluir uma gravação, Excluir uma conta |
| Retenção | Transcrições e notas ficam até você excluí-las. O áudio fica pelo tempo que a sua configuração definir: manter (o padrão), 30 dias ou excluir logo após a transcrição. Uma transcrição excluída pode permanecer em um backup criptografado por até 12 meses, e a AssemblyAI guarda a cópia que processou conforme os próprios termos. | Segurança |
| Backups | O banco de dados é copiado todas as noites para o Cloudflare R2, de forma criptografada. Mantemos 14 cópias diárias, 8 semanais e 12 mensais e testamos uma restauração uma vez por mês. Os arquivos de áudio não entram nesses backups. | Segurança |
| Subprocessadores | Toda empresa que recebe seus dados é identificada, com o que recebe e qual ação envia os dados até ela. A página e a sua data mudam sempre que a lista muda. | Subprocessadores |
| IA e treinamento de modelos | O reconhecimento de fala roda na AssemblyAI (EUA). As tarefas de texto passam pelo OpenRouter até modelos da Anthropic, do Google ou da xAI. O nosso código não usa suas gravações para treinar modelos. Os provedores trabalham sob os próprios termos. | Como o SozAI usa IA |
| Pagamentos | As assinaturas nos apps são cobradas pela App Store ou pelo Google Play. Os planos da web são vendidos pela Polar, nossa merchant of record, que cobra o cartão e emite recibos e faturas. Os dados do cartão nunca chegam ao SozAI: você os digita na loja ou no checkout da Polar. | Termos, Política de reembolso |
| Certificações | Nenhuma própria. Sem relatório SOC 2, sem certificado ISO 27001, sem conformidade com a HIPAA, sem BAA. | Segurança |
| Administração de equipe | Um comprador adiciona vagas e envia convites. Sem SSO, sem provisionamento SCIM, sem log de auditoria, sem funções de administrador, sem pastas compartilhadas da equipe. | SozAI para empresas |
| Status do serviço | Não há página pública de status. Os Termos não prometem acesso ininterrupto. | Termos |
| Acordo de processamento de dados | Nosso DPA e como solicitá-lo. | DPA |
| Questionário de segurança | 80 perguntas de avaliação de fornecedor, cada resposta datada e ligada à sua fonte. | Questionário de segurança |
| Relato de vulnerabilidades | Escreva para [email protected] com “Security” no assunto. Não há programa pago de recompensa por bugs. | Como relatar, security.txt |
O caminho de uma gravação
Pense numa entrevista de uma hora que você envia em web.sozai.app. O arquivo chega aos nossos servidores na Alemanha por HTTPS e fica armazenado lá. O áudio vai uma única vez para a AssemblyAI, nos Estados Unidos, que devolve o texto com rótulos de falante e marcações de tempo. A partir daí, os recursos de IA trabalham com esse texto: quando você pede notas ou um quiz, a transcrição passa pelo OpenRouter até o modelo designado para aquela tarefa. Nenhum modelo de IA além do reconhecimento de fala recebe o áudio.
Duas rotas são diferentes. Um link do YouTube vai para a API do Google Gemini, que recebe o link e as nossas instruções, e nenhum áudio seu. Uma reunião gravada no app para Mac é transcrita no próprio Mac: o áudio não é enviado, e só o texto pronto é salvo na sua conta. Os detalhes, incluindo o consentimento que os apps pedem, estão em Como o SozAI usa IA.
As ferramentas gratuitas do sozai.app seguem outras regras
As ferramentas gratuitas de estudo e resumo em sozai.app/tools/ funcionam sem conta. Elas enviam o texto que você cola a modelos de IA gratuitos pelo OpenRouter, e os provedores de modelos gratuitos podem guardar ou usar o que recebem. Não coloque texto confidencial nelas; use o app, onde vale a tabela acima.
Quando o SozAI não serve
Escolha outra solução se algum destes pontos vale para você:
- você lida com informações de pacientes e precisa de um BAA da HIPAA. Para notas clínicas, nosso app irmão notavik mantém a gravação e as notas no dispositivo;
- sua política de segurança exige um relatório SOC 2 ou SSO de todo fornecedor;
- o áudio nunca pode sair da UE. O reconhecimento de fala roda nos EUA;
- um administrador precisa ver ou gerenciar as gravações de todos os membros. A biblioteca de cada pessoa é só dela.
Se nada disso se aplica, o SozAI atende entrevistas e reuniões internas, desde que as pessoas gravadas saibam da gravação.
Se algo der errado
- Conter: cortar o acesso afetado, trocar as chaves e, se preciso, parar o serviço afetado.
- Avaliar: quais dados, quais contas, desde quando, a partir dos logs do servidor.
- Notificar: os clientes cujos dados foram afetados, por e-mail, sem demora injustificada; nossa meta é 72 horas após confirmar uma violação (DPA, Seção 10).
- Corrigir e revisar: eliminar a causa, verificar se a correção se sustenta e atualizar esta página e o questionário de segurança se algo mudou neles.
O banco de dados é copiado todas as noites e a restauração é testada todo mês. Nossas metas são perder no máximo 24 horas de dados e ter o serviço de volta em até 24 horas.
Como relatar uma vulnerabilidade
Escreva para [email protected] com “Security” no assunto. Conte o que encontrou e os passos para reproduzir, e indique a parte do SozAI afetada. Lemos relatos em inglês e em russo e costumamos responder em um dia útil.
Durante os testes, pedimos três coisas:
- Use apenas a sua própria conta. Não abra nem altere dados de outras pessoas e pare assim que vir dados de alguém.
- Não faça ataques de negação de serviço nem testes de carga, e não envie enxurradas automáticas de requisições.
- Dê-nos tempo para corrigir o problema antes de divulgá-lo e avise quando pretende fazê-lo.
Não temos programa pago de recompensa por bugs. O mesmo contato é publicado em formato legível por máquina em /.well-known/security.txt.
Respostas
Perguntas frequentes
O SozAI é seguro para reuniões de negócios confidenciais?
É, se as suas regras permitirem um processador de reconhecimento de fala nos EUA e provedores de modelos de IA que seguem os próprios termos. Os arquivos ficam na Alemanha, todo processador está nomeado em /subprocessors/ e você mesmo pode excluir uma gravação. Se o áudio precisa ficar na sua máquina, grave a reunião no app para Mac, que transcreve no próprio Mac.
O SozAI treina modelos de IA com os meus dados?
Não: nada no nosso código envia suas gravações ou transcrições para o treinamento de modelos. As empresas que as processam (a AssemblyAI e os provedores de modelos por trás do OpenRouter) tratam os dados sob os próprios termos, com link em /subprocessors/. Os detalhes estão em /trust/ai/.
Onde o SozAI guarda os meus dados?
Em nossos servidores da Hetzner, na Alemanha: o banco de dados e os arquivos de áudio. Os backups noturnos criptografados do banco de dados ficam no Cloudflare R2. O processamento não se limita à UE: o reconhecimento de fala roda na AssemblyAI, nos Estados Unidos.
O SozAI tem certificação SOC 2 ou ISO 27001?
Não. Não temos relatório SOC 2 nem certificado ISO 27001 próprio. Os parques de data centers da Hetzner que hospedam nossos servidores têm certificação ISO/IEC 27001, mas esse certificado pertence à Hetzner.
O SozAI oferece SSO ou SCIM para a minha organização?
Não. Não há SSO (SAML ou OIDC), provisionamento SCIM nem log de auditoria. As pessoas entram com Google, Apple ou um código único enviado por e-mail, e quem compra para a equipe convida os membros por e-mail ou por um link de uso único.
O SozAI está em conformidade com a HIPAA e assina um BAA?
Não. O SozAI não está em conformidade com a HIPAA e não assinamos Business Associate Agreement, então não o use para informações de pacientes. Nosso app irmão notavik mantém gravações e notas clínicas no dispositivo.
O SozAI tem um acordo de processamento de dados?
Nosso acordo de processamento de dados e a forma de solicitá-lo estão em /dpa/. Para uma dúvida que ele não responda, escreva para [email protected].
Como relato uma vulnerabilidade de segurança no SozAI?
Escreva para [email protected] com “Security” no assunto. Descreva o que encontrou e como reproduzir. Teste apenas na sua própria conta, não faça testes de carga e dê-nos tempo para corrigir antes de divulgar. Não temos programa pago de recompensa por bugs.
Transforme a sua próxima gravação em texto
Grave, carregue um ficheiro ou cole uma ligação. Recebe a transcrição, os oradores e um resumo.
Grátis no iOS e Android. Não precisa de uma conta para transcrever vídeos do YouTube.