Zoom e o RGPD: o que verificar antes de o usar

Por defeito, a Zoom armazena as suas gravações na cloud, transcrições e mensagens de reunião nos Estados Unidos. Uma conta paga pode escolher outra região de armazenamento, incluindo a Alemanha ou a Suíça, e escolher os centros de dados que processam o fluxo das reuniões em direto. Os dados da conta e de funcionamento permanecem nos Estados Unidos. Na sua declaração de privacidade, a Zoom compromete-se a não treinar os seus modelos de IA com os seus conteúdos e apresenta um portefólio de certificações que inclui a ISO 27001, a ISO 27701 e o SOC 2 Type 2. A Zoom é uma editora de direito norte-americano. Esta página é publicada pela Leexi, cuja ferramenta de tomada de notas IA é utilizada no Zoom, e apenas apresenta aquilo que as páginas oficiais da Zoom documentam.

Onde a Zoom aloja e trata os seus dados

Por defeito, nos Estados Unidos. Na Europa através de uma definição, para parte dos dados, numa conta paga.

A página do RGPD da Zoom é clara.

Zoom, página «GDPR», datada de 8 de agosto de 2024 «Customer Content, Account Data, and Diagnostic Data are still stored in the U.S.»

A Zoom disponibiliza duas definições distintas, e é neste ponto que as páginas do mercado se confundem.

A primeira diz respeito ao armazenamento. De acordo com a página «Managing Data & Storage location», «all paid customers (including Pro)» podem escolher a localização de armazenamento de determinados dados: gravações na cloud, transcrições, mensagens e ficheiros trocados durante a reunião, quadros brancos e dados do Zoom Phone e do Zoom Contact Center. As regiões disponíveis são a Austrália, o Brasil, o Canadá, a Alemanha, o Japão, Singapura, o México, a Suíça e os Estados Unidos. Os dados não abrangidos por esta definição permanecem na região onde a conta foi aprovisionada. Os dados da conta e de funcionamento permanecem nos Estados Unidos.

A segunda diz respeito ao tratamento do fluxo em direto. A página «Selecting data center for meetings, webinars, whiteboards, notes and docs» permite escolher os centros de dados que tratam «participants' real-time meeting and webinar video, audio, whiteboard, notes, docs». O documento acrescenta uma ressalva.

Zoom, «Selecting data center for meetings, webinars, whiteboards, notes and docs» «Zoom may route through traffic between data centers using industry standard network routing protocols while traversing Zoom private network connections (i.e., edge-routing).»

O que isto significa para si: há duas perguntas a fazer ao administrador da Zoom. Que região de armazenamento está definida para as gravações na cloud? Que centros de dados estão ativados para o tratamento em direto? Uma conta gratuita não tem acesso a nenhuma destas duas definições.

O que a Zoom faz com as suas conversas

A Zoom compromete-se a não treinar os seus modelos de IA, nem os de terceiros, com os seus conteúdos.

O compromisso consta da declaração de privacidade, não apenas de um blogue.

Zoom, declaração de privacidade, atualizada em 27 de julho de 2026 «Zoom does not use any of your audio, video, chat, screen sharing, attachments or other communications-like Customer Content… to train Zoom's or its third-party artificial intelligence models.»

Quanto ao papel da Zoom, a página sobre o RGPD indica que a Zoom atua como subcontratante dos seus clientes e incorpora o seu acordo de tratamento de dados nas condições gerais para todos os clientes. É essa a obrigação prevista no RGPD.

RGPD, artigo 28.º, n.º 3, alínea a) «ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement»

Relativamente às transferências, a mesma página indica que a Zoom implementou as cláusulas contratuais-tipo de 2021 para transferências para fora do Espaço Económico Europeu e que está registada como participante ativa no Quadro de Privacidade de Dados UE-EUA. A declaração de privacidade confirma-o: a Zoom trata dados pessoais a nível global, incluindo nos Estados Unidos.

O que isto significa para si: o compromisso de não treinar os modelos está escrito no documento contratual. O documento não indica, porém, o período de conservação predefinido das suas gravações na cloud, que depende das suas definições e da norma de conservação da Zoom, a verificar na sua conta.

As certificações da Zoom

O portefólio é amplo e público.

A página «Legal & compliance» do Trust Center da Zoom apresenta, para a oferta comercial: ISO 27001, ISO 27017 e 27018, ISO 27701, SOC 2 Type 2, SOC 2 + HITRUST, CSA STAR nível 2, BSI C5, ENS, UK Cyber Essentials Plus e HDS, a certificação francesa para alojamento de dados de saúde. A estas juntam-se certificações governamentais norte-americanas (FedRAMP Moderate, DoD IL4).

O mérito é devido: poucos editores de videoconferência apresentam simultaneamente o C5 alemão, o ENS espanhol e o HDS francês. O que a página não fornece são os âmbitos e as datas de cada certificado, que devem ser solicitados juntamente com o relatório SOC 2.

A jurisdição da editora

A Zoom é uma editora de direito norte-americano e os seus dados de conta permanecem nos Estados Unidos.

18 U.S. Code § 2713, aditado pela lei Pub. L. 115-141 de 23 de março de 2018 «A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States.»

O que isto significa para si: escolher a Alemanha como região de armazenamento responde à pergunta «onde». A pergunta «qual o direito aplicável» continua a estar ligada à sede da editora, e a própria Zoom afirma que os dados da conta permanecem nos Estados Unidos. O ponto fica registado uma vez.

O que isto muda para uma equipa europeia

Na Zoom, a Leexi constitui um âmbito separado, distinto do da Zoom: o bot entra na reunião, o áudio é transcrito e resumido na infraestrutura da Leexi (região AWS de Paris, modelo de linguagem executado através do Azure France num circuito fechado, sem treino com as suas reuniões), com um DPA público e dez subcontratantes identificados. A página de integração Zoom explica como ligar a Leexi à Zoom. O dossiê de conformidade e o glossário apresentam as definições e os documentos.

Perguntas frequentes

Onde são armazenadas as minhas gravações na cloud da Zoom?

Por defeito, nos Estados Unidos. Uma conta paga, incluindo a Pro, pode escolher outra região para as gravações na cloud, transcrições e mensagens de reunião: Austrália, Brasil, Canadá, Alemanha, Japão, Singapura, México, Suíça ou Estados Unidos. Os dados da conta e de funcionamento permanecem nos Estados Unidos.

Escolher um centro de dados europeu é suficiente para manter as minhas reuniões na Europa?

Não, por si só. A escolha dos centros de dados diz respeito ao tratamento do fluxo em direto, e a Zoom indica que o tráfego pode passar por outros centros de dados da sua rede privada. O armazenamento das gravações depende de uma segunda definição. São necessárias ambas, e os dados da conta permanecem nos Estados Unidos em todos os casos.

A Zoom utiliza as minhas reuniões para treinar a sua IA?

Não. A declaração de privacidade de 27 de julho de 2026 exclui o áudio, o vídeo, o chat, a partilha de ecrã e os anexos do treino dos modelos da Zoom e dos modelos de terceiros. O compromisso consta do documento contratual.

Os participantes têm de consentir a gravação?

A Zoom pede-lhes esse consentimento. No início da gravação, ou ao entrar numa reunião que já esteja a ser gravada, cada participante vê um pedido de consentimento e escolhe entre continuar e sair. O administrador pode limitar o pedido aos participantes externos ou personalizar o seu texto. Este pedido não substitui a informação que o RGPD exige que forneça sobre a finalidade e a conservação.

A Zoom tem certificação HDS?

A página «Legal & compliance» da Zoom inclui o HDS, a certificação francesa para alojamento de dados de saúde, entre as suas certificações comerciais. O âmbito exato do certificado, os serviços e as regiões abrangidos devem ser solicitados à Zoom antes de qualquer utilização com dados de saúde.

A Zoom é suficiente para uma exigência rigorosa de soberania?

Não. A Zoom é uma editora de direito norte-americano, sujeita ao 18 U.S. Code § 2713 independentemente do local de armazenamento, e os seus dados de conta permanecem nos Estados Unidos. As definições de região localizam parte dos dados, mas não alteram a jurisdição da editora.

Fontes

Dados verificados em 2 de setembro de 2026 nas páginas oficiais da Zoom.

• Zoom, «Managing Data & Storage location», centro de ajuda
• Zoom, «Selecting data center for meetings, webinars, whiteboards, notes and docs», centro de ajuda
• Zoom, «Providing consent to be recorded», centro de ajuda
• Zoom, página «GDPR», datada de 8 de agosto de 2024
• Zoom, declaração de privacidade, atualizada em 27 de julho de 2026
• Zoom, Trust Center, página «Legal & compliance»
• RGPD, artigos 5.º e 28.º, texto publicado pela CNIL
• 18 U.S. Code § 2713, Legal Information Institute, Cornell Law School

Esta página descreve o enquadramento aplicável. Não constitui aconselhamento jurídico.

Experimente o Leexi gratuitamente