Segurança da informação
Última atualização: 15 de agosto de 2026.
Esta página é para quem precisa aprovar o uso do Walkstamp dentro de uma empresa: como ele funciona,
o que sai da sua máquina, e o que nós não temos.
Em uma linha: a ferramenta não tem servidor de processamento e não recebe o seu vídeo, o seu áudio nem os seus quadros. Isso vale em todos os planos, e você não precisa acreditar — dá para conferir em trinta segundos, com o navegador que você já tem aberto. Quem contrata um plano pago ganha uma conta, e há uma única coisa que ela pode guardar por escolha sua; está descrita abaixo, com todas as letras.
Por que a pergunta muda de forma aqui
A avaliação de um fornecedor de software costuma seguir uma lista: onde ficam os dados, quem tem acesso, qual a certificação, qual o contrato de tratamento. Essa lista pressupõe que o fornecedor recebe alguma coisa.
No Walkstamp o processamento inteiro acontece na aba do seu navegador. O vídeo é lido do seu disco pelo próprio navegador, as imagens são extraídas ali, o áudio é transcrito ali, e o PDF, o Word, o ZIP e o JSON são montados na memória da aba e salvos pelo navegador. Não existe upload em nenhum passo. Não há cópia temporária do lado de cá, porque não há um lado de cá envolvido no processamento.
Isso não torna o Walkstamp automaticamente aprovável — torna a conversa diferente. Em vez de “confie no controle de acesso deles”, a pergunta vira “isto realmente não envia nada?”, que é uma pergunta que você pode responder sozinho.
Como conferir, sem precisar confiar em nós
É a parte mais importante desta página. Leva menos tempo do que lê-la:
- Abra a ferramenta e pressione
F12para abrir as ferramentas do desenvolvedor. - Vá até a aba Rede (Network) e deixe-a gravando.
- Carregue um vídeo grande — de propósito, um de vários gigabytes — e gere o PDF.
- Olhe a coluna do que foi enviado. Ela continua em zero. Nenhuma requisição carrega o vídeo, as imagens ou o texto.
Um teste que a própria equipe de segurança executa vale mais do que qualquer declaração nossa, e é por isso que ele está aqui em vez de um selo.
A versão offline, para quando nem isso basta
Existe um arquivo único de HTML com a ferramenta inteira dentro. Você baixa, desconecta a rede, abre o arquivo e ele funciona. Nada nele fala com servidor nenhum.
E isso não é uma promessa de texto: o processo que gera esse arquivo falha se sobrar qualquer endereço de medição dentro dele. É uma trava no build, não uma intenção. Dá para conferir procurando por “supabase” ou “insights” no arquivo baixado — não há ocorrência.
Na versão offline você perde a transcrição automática (o modelo de voz é baixado sob demanda), a leitura de texto da imagem e o botão do Google Drive. O resto funciona igual. Ela também pode ser guardada num repositório interno, escaneada pela sua equipe e distribuída sem depender de nós.
O que sai da sua máquina, e quando
Nada do seu conteúdo sai sem um gesto seu.
O vídeo, o áudio e a transcrição nunca saem — não há gesto que os mande embora, porque não existe servidor que os receba. O resto sai só quando você manda, e esta é a lista inteira do que sai, quando, e o que vai junto.
| Para onde | Quando sai | O que vai junto | O que nunca vai |
|---|---|---|---|
| Vercel (hospedagem) | Sempre, ao abrir a página | O pedido do arquivo da página, com IP e navegador — como em qualquer site. | Seu conteúdo |
| Medição de uso | Abrir a página | Em quinze marcos — onze na ferramenta e quatro na conta —, o nome do marco, o idioma da página, a origem do vídeo, o formato baixado, uma faixa (“4-10”, e nunca o número exato) e o plano. Sem cookie e sem identificador que persista. Respeita Do Not Track e Global Privacy Control. | Identificador de pessoa ou de sessão; nome de arquivo, tamanho, duração, conteúdo |
| O menu da conta | Abrir a página | O idioma da página, para desenhar a barra da conta. Nada mais. | Qualquer coisa sua |
| A biblioteca que gera o PDF | Abrir a página | Nada. É um download: o CDN fica sabendo que alguém abriu a página, e nada mais. No pacote offline ela vem embutida. | Seu áudio, sua imagem, seu texto |
| O modelo de voz | Escolher “transcrever enquanto gravo” | Nada sai. O modelo é BAIXADO e roda no seu computador; o áudio não é enviado a lugar nenhum. | Seu áudio |
| A leitura de texto da imagem | Clicar em “ler o texto da imagem” | Nada sai. O leitor é BAIXADO e roda no seu computador; a imagem não é enviada. | Sua imagem |
| A sua conta · leva conteúdo seu | Entrar na conta e salvar um roteiro | Conteúdo seu: o e-mail da conta, e o roteiro de casos que você salvar — nomes de caso, sistema, chamado, observações e os arquivos que você anexar. Nunca vídeo, áudio nem transcrição. | Vídeo, áudio e transcrição |
| O Google Drive · leva conteúdo seu | Clicar em “enviar para o Google Docs” | Conteúdo seu: o documento montado no seu navegador — texto e imagens —, para o Google convertê-lo em documento do Drive. A autenticação usa o escopo mais restrito que existe (drive.file). Só depois de você confirmar o aviso. | O restante do seu Drive; e o arquivo vai do seu navegador direto ao Google, sem passar por nós |
| Compartilhar um link | Clicar em compartilhar | O endereço do site, e só. Nenhuma parte do seu documento vai junto. No pacote offline este botão vira um e-mail. | Qualquer parte do seu documento |
Nenhuma dessas conexões carrega vídeo, áudio, imagem ou transcrição. A biblioteca de PDF vem do jsDelivr junto com a página; é o pacote offline que a embute.
Há uma exceção, e ela está na tabela em vez de escondida: o botão Enviar para o Google Docs é a única função em que o documento gerado sai do computador. Ele existe porque muita equipe revisa evidência no Drive, e ele pede confirmação explícita antes de enviar — quem não quer isso não clica, e nada muda. Se a sua política proíbe levar o conteúdo para o Google, o botão só aparece quando as credenciais do Drive estão configuradas, e a versão offline não o tem.
Vale um caso que costuma surpreender: a tradução da transcrição também não sai daqui. Ela usa o tradutor que o próprio navegador embute e que roda no seu aparelho — não a API do Google Cloud, que exigiria uma chave nossa no código e enviaria o seu texto para um servidor. Onde esse tradutor não existe, o que a ferramenta oferece é o modelo de voz traduzindo enquanto ouve, também no seu computador. Em nenhum dos dois caminhos o texto é transmitido.
A conta paga, e a única exceção
Usar a ferramenta não exige conta, e isso não mudou: sem login, /app grava,
transcreve e gera documento exatamente igual. Quem contrata um plano pago passa a ter uma conta, e
nela ficam o e-mail de acesso, as faturas, os chamados de suporte, os assentos do time e — se você
usar a tela de roteiro de casos — a lista de casos a executar.
Nessa tela, marcar um caso como concluído guarda um recibo: o código do caso, o sistema, o chamado, a data, o nome do arquivo gerado e a impressão digital de cada quadro. São números. Não há imagem, não há transcrição, não há o texto dos passos. É o que permite pegar um PDF meses depois e conferir se é aquele mesmo — e é por isso que ele existe.
A exceção, e ela é sua: ao confirmar o concluído, existe um campo opcional para
anexar o .json completo da sessão. Esse arquivo tem as imagens dos quadros
dentro. Anexá-lo é a única coisa deste produto que coloca conteúdo seu num servidor nosso, ele nunca
vai sozinho, o campo vem fechado, e o aviso do que ele significa está do lado do campo — não numa
página de termos. Cada anexo tem botão de apagar, e apagar apaga o arquivo, não só a linha que
aponta para ele. O vídeo e o áudio continuam nunca saindo do seu navegador, com anexo ou sem.
O que fica no seu navegador
Nada do seu conteúdo é guardado entre visitas. Dos dados de identificação da evidência, só
sistema e executado por ficam em sessionStorage — que o navegador apaga ao
fechar a aba — para não redigitar a cada caso; há um botão que apaga na hora. Caso de teste, chamado,
resultado e as anotações não são guardados nem enquanto a aba vive. Nada disso é um cookie, nada disso é
lido por nós, e nada disso sai do seu dispositivo.
Junto do modelo fica uma anotação de configuração: qual combinação de biblioteca e formato de arquivo consegue abrir o modelo nesta máquina. Nomes de versão, nada de conteúdo — e o botão que apaga o modelo apaga a anotação junto.
As telas de uma gravação em curso ficam no armazenamento privado do navegador (OPFS), no seu computador, para que um travamento da aba não apague o trabalho — antes disso, um travamento aos 110 minutos de uma gravação de duas horas apagava as duas horas. Elas são apagadas assim que qualquer documento é gerado, e de qualquer jeito depois de sete dias; e o botão “jogar fora”, que o passo 1 oferece sempre que há uma gravação guardada, apaga na hora o que já estiver lá. Nada disso é enviado a lugar nenhum — o teste do F12 continua dando zero byte enviado.
Fora isso, o que persiste é o modelo de transcrição, guardado pelo próprio navegador em cache para não ser baixado de novo. Fica no seu dispositivo, sob seu controle, e some ao limpar os dados de navegação. Não usamos cookies — nem próprios, nem de terceiros.
O que nós não temos
Esta é a parte que quase nenhum fornecedor escreve, e é justamente a que a sua equipe precisa. Não possuímos nenhuma certificação de segurança, e não estamos em processo de obter nenhuma. Abaixo, o que cada uma significa e por que ela se aplica — ou não — a uma ferramenta que não recebe dados.
| Norma ou certificação | Temos? | O que isso quer dizer aqui |
|---|---|---|
| ISO/IEC 27001 | Não | Certifica o sistema de gestão de segurança de uma organização que guarda dados. Não guardamos os seus. Se a sua política exige ISO 27001 de todo fornecedor que recebe dados, vale registrar que aqui não há recebimento — mas quem decide se a exceção cabe é o seu time, não nós. |
| SOC 2 (Tipo I ou II) | Não | Audita os controles de uma prestadora de serviço que processa dados do cliente. Não há serviço processando nada: o processamento é no seu computador. |
| 21 CFR Part 11 (FDA) | Não | Exige sistema fechado e validado, trilha de auditoria e assinatura eletrônica. Um gerador de documento no navegador não atende e não pode atender sozinho. Em ambiente regulado por Part 11, o Walkstamp pode produzir a imagem, mas o registro controlado tem que viver no seu sistema validado. |
| CSV / GAMP 5 | Não | Validação de sistema computadorizado acontece no seu ambiente, sobre o seu uso. Não é algo que um fornecedor entregue pronto. |
| SOX / ITGC | Não se aplica como certificação | O Walkstamp não é um controle de TI. Ele produz a evidência que entra no seu controle. Quem responde pelo controle continua sendo você. |
| HIPAA — acordo de business associate | Não assinamos | Não recebemos dados, então não existe a relação que o acordo formalizaria. Se a sua política exige acordo com qualquer ferramenta que toque dado de saúde, mesmo localmente, converse com o seu time de conformidade — não vamos dizer que está tudo bem numa decisão que não é nossa. |
| LGPD / GDPR | Não é certificação | Não existe “certificado de LGPD”. A nossa posição, as bases legais e os prazos estão descritos na Política de Privacidade. |
| Relatório de teste de intrusão | Não temos | Não há infraestrutura a testar além de hospedagem de arquivos estáticos. O que existe é o código que roda na sua máquina — e ele é legível. |
| Seguro de responsabilidade cibernética | Não | Somos uma empresa pequena e não seria honesto sugerir cobertura que não existe. |
O que existe no lugar
- O código que roda no seu navegador pode ser lido: é uma página, e
Ctrl+Umostra tudo. Não há código do lado do servidor porque não há servidor. - A versão offline pode ser baixada, escaneada, versionada e distribuída pela sua equipe.
- A verificação de que nada sai leva trinta segundos e não depende de acreditar em nós.
O que continua sendo responsabilidade sua
- O documento gerado contém o que estava na sua tela. Se você gravou dado de produção, o arquivo que saiu tem dado de produção — e para onde ele vai depois é decisão sua.
- Compartilhar a tela captura tudo o que está nela, inclusive a janela que ficou aberta atrás. Prefira compartilhar uma janela específica quando o conteúdo for sensível.
- A transcrição automática baixa um modelo de voz de um CDN público na primeira vez. Se a sua política proíbe CDN externo, use a versão offline e escreva as anotações à mão.
- O Walkstamp produz a evidência visual. A trilha de aprovação continua no seu sistema de mudanças.
Documentos para a avaliação de fornecedor
Se você é de compras, de jurídico ou de segurança da informação e precisa anexar isto a um processo, está tudo aqui — sem reunião, sem pedir por e-mail e sem cadastro:
- Anexo de Tratamento de Dados Pessoais (DPA) — PDF pronto para assinar, com a divisão de papéis, a lista de suboperadores com país e salvaguarda, as medidas técnicas, o prazo de comunicação de incidente e a cláusula de pedido de autoridade. Quatro páginas, e não quarenta: a maior parte do que um DPA longo regula é a guarda do seu conteúdo por nós, e ela não existe aqui.
- Política de Privacidade — com a tabela de bases legais por finalidade, os prazos de guarda e a tabela de suboperadores. É a versão que prevalece em caso de divergência.
Quem responde
O Walkstamp é oferecido por Produtize Produtos e Serviços Inteligentes Ltda., CNPJ 48.417.292/0001-99.
Para relatar um problema de segurança, pedir esclarecimento para uma avaliação de fornecedor, ou solicitar a versão offline: privacidade@walkstamp.com. Não há programa de recompensa por vulnerabilidade, mas respondemos.
Esta página descreve o funcionamento na data acima. Se algo mudar de forma que afete o que está escrito aqui, esta página muda junto — e a data no topo é como você verifica isso.
Como funciona por dentro
- Você pede. Escreve o e-mail aqui. Nada é decidido nesta hora: só sai uma mensagem para a sua caixa.
- Você clica no que chegou. É isso que prova que o endereço é seu — e é o único momento em que existe algo parecido com uma sessão.
- Volta com o link pronto. A chave é assinada no servidor, com o seu e-mail dentro dela, e entregue já dentro de um endereço do Walkstamp.
- Daí em diante, nada mais de rede. A chave é conferida dentro do navegador, contra uma chave pública que está no próprio HTML da ferramenta. Ela funciona no avião, na máquina do cliente com a internet trancada, e no computador que a TI não deixa falar com a nossa hospedagem.
Por que a validade é curta
Cada chave emitida vale 21 dias num time e 45 no plano individual (14 na degustação), e a próxima chega por e-mail antes de a anterior vencer. O administrador pode encurtar esse prazo, de 1 a 90 dias, no portal do time. Não é burocracia: é o que faz um link vazado morrer sozinho. Como não há servidor conferindo nada durante o uso, não existe botão de revogar — o prazo é a revogação. Foi a troca escolhida de propósito: preferimos um vazamento que expira a um produto pago que para de funcionar quando a internet cai.
Antes de decidir
Daqui, os dois caminhos que costumam vir a seguir: conferir um documento gerado pela ferramenta, ou ver os planos e o que muda de um para o outro.