Loom e RGPD: o que as agências da UE devem verificar

O Loom pode ser usado no âmbito do RGPD, mas tem de verificar alguns documentos e definições por si. A Atlassian, dona do Loom, aplica automaticamente o seu Data Processing Addendum (DPA), o acordo de tratamento de dados, e oferece residência de dados na UE para novos espaços de trabalho desde maio de 2026, mas parte do tratamento (transcrição, funcionalidades de IA, dados de conta) envolve fornecedores e localizações fora da região escolhida. Cada pormenor abaixo vem das páginas da própria Atlassian, consultadas em novembro de 2026.

Fazemos um gravador de ecrã que concorre com o Loom, por isso limitámo-nos ao que a Atlassian publica, com links. Quando o Loom é a melhor opção, dizemo-lo.

A resposta curta

Pergunta	O que diz a Atlassian	Onde
Há um DPA?	✓ Aplica-se automaticamente com o Atlassian Customer Agreement	DPA da Atlassian
Papel da Atlassian	Subcontratante (ou subcontratante ulterior) dos seus dados	DPA, secção 1.1
Residência de dados na UE?	~ Alemanha (Frankfurt) desde maio de 2026, só novos espaços de trabalho	Residência de dados do Loom
Pode mudar de região depois?	✗ Precisa de um novo espaço de trabalho; os vídeos não podem ser movidos	Residência de dados do Loom
Transferências para fora da UE	Cláusulas contratuais-tipo da UE e Quadro de Privacidade de Dados UE-EUA	DPA
Subcontratantes	✓ Lista pública, com 30 dias de aviso aos subscritores antes de novos	Página Sub-processors, DPA secção 4
Regras de conservação	~ Só Enterprise e Business + AI, em espaços de trabalho geridos pela Atlassian	Conservação de dados do Loom

Retirado das páginas da própria Atlassian, consultadas em novembro de 2026. Loom é uma marca comercial da Atlassian.

Quem é responsável por quê

O DPA da Atlassian define os papéis: o cliente é o responsável pelo tratamento dos seus dados (ou um subcontratante que atua por conta de outro responsável), e a Atlassian é subcontratante ou subcontratante ulterior. A política de privacidade da Atlassian diz o mesmo pelo outro lado: abrange o que a Atlassian faz como responsável pelo tratamento, como as informações de conta, e não se aplica quando a Atlassian trata dados por conta dos clientes.

Para uma agência, isso significa duas camadas. A sua agência é responsável pelos vídeos que grava e, se contiverem dados do seu cliente, pode estar a atuar por conta dele. O Loom, através da Atlassian, trata os vídeos por si. Explicamos os papéis de responsável pelo tratamento e de subcontratante em linguagem simples em RGPD e vídeos para clientes.

Onde o Loom guarda os seus dados

Por omissão, a Atlassian não garante uma localização de alojamento específica: a sua página sobre o RGPD diz que o alojamento é escolhido para reduzir a latência e melhorar o desempenho. A lista de subcontratantes mostra o principal fornecedor de alojamento, a Amazon Web Services, com localizações no EEE (Suécia, Irlanda e Alemanha), no Reino Unido, na Suíça, nos EUA e em vários outros países.

Para fixar os dados numa região precisa de residência de dados. Para o Loom, a página de suporte da Atlassian diz:

• Regiões: Alemanha (Frankfurt) e Estados Unidos (Oregon), lançadas em maio de 2026.
• Abrangidos: vídeos, comentários, transcrições, conteúdos gerados por IA como resumos e documentos, definições do espaço de trabalho, artefactos de edição e funcionalidades de colaboração são guardados e tratados na região escolhida.
• Tratados a nível global: autenticação de utilizadores, dados de sessão, definições e preferências do utilizador, pertença à organização, registos de auditoria (que guardam apenas IDs) e funcionalidades entre espaços de trabalho, como notificações, histórico e «ver mais tarde». A Atlassian diz que não exporta nem trata conteúdos brutos dos clientes fora da região no funcionamento normal.
• Quem pode ter: novos espaços de trabalho autónomos do Loom, novos clientes da Teamwork Collection e clientes atuais do Jira ou do Confluence que adicionem um novo espaço de trabalho do Loom. As implementações do Loom já existentes aparecem como «future release» (versão futura) e os clientes do Loom Legacy como «post-migration» (após a migração).
• Limites: a região é definida quando o espaço de trabalho é criado e não pode ser alterada. Os conteúdos não podem ser transferidos entre os espaços de trabalho europeu e norte-americano.

Quanto aos planos: a página geral de residência de dados da Atlassian inclui o Loom entre os produtos com planos Standard, Premium e Enterprise, enquanto a página de preços do Loom usa outros nomes de planos (Starter, Business, Business + AI, Enterprise) e não fala de residência de dados. Se a residência na UE for um requisito, pergunte às vendas da Atlassian que plano do Loom precisa antes de comprar.

O DPA

O DPA da Atlassian (em vigor desde 17 de agosto de 2026) é o contrato que cobre o tratamento dos seus dados pelo Loom. Os pontos que vale a pena conhecer:

• Sem assinatura à parte. As perguntas frequentes da Atlassian dizem que o DPA se aplica automaticamente quando a sua organização aceita o Atlassian Customer Agreement. A Atlassian diz também que não pode trabalhar com o modelo de DPA da sua organização.
• Transferências. Para dados que saem da Europa para um país sem decisão de adequação, as cláusulas contratuais-tipo da UE são incorporadas por remissão e considera-se que ambas as partes as assinaram. A Atlassian também participa no Quadro de Privacidade de Dados UE-EUA. Há uma cópia pré-assinada das cláusulas se quiser uma em arquivo.
• Subcontratantes. A Atlassian avisa os clientes subscritos com pelo menos 30 dias de antecedência antes de um novo subcontratante começar a tratar os seus dados, e pode opor-se durante esse período.
• Apagamento. Depois de o contrato terminar, a Atlassian tem de apagar os seus dados pessoais, mas pode conservá-los quando a lei o exige ou ao abrigo das suas políticas normais de cópias de segurança e de conservação de registos, continuando a protegê-los nos termos do DPA.

A Atlassian publica também materiais para ajudar os clientes nas avaliações de impacto das transferências de dados, com link na página do DPA.

Subcontratantes que tocam no Loom

A lista de subcontratantes da Atlassian (em vigor desde 15 de maio de 2026) indica os fornecedores de cada produto. Para o Loom inclui, entre outros:

Fornecedor	O que faz para o Loom	Localização indicada
Amazon Web Services	Alojamento na nuvem	EEE, Reino Unido, Suíça, EUA e outros
Speechmatics (Cantab Research Ltd)	Transcrição	EUA
OpenAI	IA generativa para as funcionalidades Loom AI	EUA
Twilio Segment	Análise de dados	EUA
Zendesk, PartnerHero	Apoio ao cliente	EUA; Filipinas, Roménia, África do Sul

Página Sub-processors da Atlassian, em vigor desde 15 de maio de 2026, consultada em novembro de 2026. Loom é uma marca comercial da Atlassian.

A lista muda com o tempo, por isso consulte a página atual em vez desta tabela e subscreva as notificações se depende do Loom.

Funcionalidades de IA e transcrição

É aqui que surgem mais perguntas, porque as transcrições contêm tudo o que disse no vídeo.

A página da Atlassian sobre o Loom AI diz:

• A transcrição usa os modelos GPT da OpenAI e Gemini da Google, o Whisper em código aberto alojado pela Atlassian e o fornecedor de transcrição Speechmatics. A página não diz qual deles trata um determinado vídeo.
• A OpenAI recebe o texto da transcrição para gerar títulos, resumos, capítulos e documentos. Não recebe vídeo nem áudio, e não recebe dados de transcrição quando o Loom AI não é usado.
• O Google Gemini recebe vídeo e áudio para gerar Action Plans for AI Agents.
• Conservação e treino: segundo a Atlassian, nem a OpenAI nem qualquer outro fornecedor de LLM retém as suas entradas e saídas, nem as usa para melhorar os seus serviços.
• Controlos: os administradores dos espaços de trabalho Business + AI e Enterprise podem ativar ou desativar as definições de IA para todos; os utilizadores também podem definir predefinições ou desligar funcionalidades num único vídeo.

As transcrições estão disponíveis em todos os planos do Loom, incluindo o plano gratuito Starter. Há duas coisas a conciliar quando avalia isto: a página de residência de dados diz que as transcrições e os conteúdos de IA são guardados e tratados na sua região, enquanto a lista de subcontratantes mostra a Speechmatics e a OpenAI com localizações nos EUA. Pergunte à Atlassian como isto funciona num espaço de trabalho com residência na UE, e peça a resposta por escrito. Se a sua maior preocupação é para onde vai a sua voz, comparamos as duas abordagens em transcrição local ou na nuvem.

Conservação e apagamento

O RGPD pede que os dados pessoais não sejam conservados mais tempo do que o necessário. No Loom, o apagamento automático é uma regra de conservação de dados, e a página da Atlassian diz:

• As regras de conservação estão disponíveis nos planos Enterprise e Business + AI, e só em espaços de trabalho geridos pela Atlassian (não nos que ainda estão na antiga consola de administração do Loom).
• Os administradores podem guardar os vídeos sem prazo ou definir um período em dias ou anos, para o espaço de trabalho ou por espaço.
• O período conta a partir da data de criação do vídeo.
• O apagamento abrange gravações, transcrições, resumos de IA e comentários, e é definitivo. São apagados até 2000 vídeos por espaço de trabalho por dia.

Nos planos Starter e Business, portanto, os vídeos ficam até alguém os apagar. É o modelo de biblioteca permanente de que falamos em porque os links de vídeo que expiram são mais seguros.

O que perguntar a qualquer ferramenta de vídeo

As mesmas verificações aplicam-se ao Loom, ao JustRec e a qualquer outra ferramenta que a sua agência use para enviar vídeos a clientes. Cada resposta está num documento que o fornecedor deve publicar.

Pergunta	Porque importa	Onde procurar
Há um DPA para este produto? Tenho de o assinar?	O artigo 28.º do RGPD exige um contrato com cada subcontratante	DPA ou página jurídica
O fornecedor é subcontratante dos meus vídeos? O que faz como responsável pelo tratamento?	Decide quem responde por quê	DPA (papéis), política de privacidade
Onde ficam os vídeos, as transcrições e os comentários? Posso escolher a UE?	O alojamento na UE evita uma transferência nessa etapa	Documentação de residência de dados ou de segurança
O que é tratado fora dessa região, e por quem?	A transcrição e a IA são muitas vezes onde os dados saem	Lista de subcontratantes
Sou avisado antes de um novo subcontratante começar?	Pode querer opor-se, ou avisar os seus clientes	Lista de subcontratantes, DPA
Que mecanismo cobre os dados que saem da UE?	Vai para o seu registo das atividades de tratamento	DPA (transferências)
A minha voz é enviada a um fornecedor de transcrição ou de IA? Posso desligar?	Uma transcrição guarda tudo o que disse	Documentação de IA ou de transcrição
Os meus conteúdos são usados para treinar modelos, pelo fornecedor ou pelos seus parceiros?	Os dados do seu cliente podem acabar no conjunto de treino de alguém	Documentação de IA, termos de serviço
Quanto tempo são guardados os vídeos partilhados? Podem ser apagados automaticamente?	Os dados pessoais não devem ser conservados mais tempo do que o necessário	Documentação de conservação, comparação de planos
O que acontece aos meus dados quando cancelo?	O apagamento ou a devolução no fim faz parte do contrato com o subcontratante	DPA (apagamento)
A página do vídeo usa cookies ou rastreia quem vê?	O seu cliente é a pessoa rastreada	Política de cookies, a própria página do vídeo

Anote as respostas: pertencem ao seu registo das atividades de tratamento, e os seus clientes podem pedi-las.

Quando o Loom é a melhor escolha, e quando não é

O Loom faz muita coisa que um gravador pequeno não faz: biblioteca de vídeos da equipa, comentários, integrações com Jira, Confluence e Slack, resumos e documentos com IA, controlos de administração e um contrato empresarial com DPA e lista de subcontratantes publicados. Se a sua agência vive nas ferramentas da Atlassian, são vantagens reais.

Encaixa pior se quer que os vídeos fiquem online só enquanto o cliente precisa deles, se prefere que a sua voz não seja transcrita por terceiros, ou se tem um espaço de trabalho existente que não pode passar para residência na UE. A nossa comparação entre JustRec e Loom põe os dois lado a lado, e a página sobre a alternativa ao Loom para Mac explica o que construímos de forma diferente.