أنهينا تدقيق الامتثال لـ GDPR. وهذا ما أغلقناه فعليًا.

قبل بضعة أسابيع، كتبنا أن "الامتثال لـ GDPR" على الصفحة الرئيسية لأداة فيديو يعني أقل مما تتصوّر — أن GDPR هو مجموعة من الالتزامات المفروضة عليك، بصفتك جهة التحكم بالبيانات، والتي يساعدك المزوّد على الوفاء بها أو يتركها بصمت على مكتبك. الطريقة الصادقة لدعم هذا الادّعاء هي القيام بالعمل من جانبنا وإظهاره، سطرًا بسطر.

وهذا ما فعلناه بالضبط. أجرينا تدقيقًا كاملًا لقاعدة كود InterMIND في مواجهة الالتزامات التي تقع علينا بصفتنا معالِج بيانات، وأصلحنا كل فجوة كان لها كود قائم، وتحقّقنا من كل واحدة منها في المنتج الفعلي قيد التشغيل. هذا المنشور هو تقرير الإغلاق — ليس شعارًا، بل قائمة تحقّق مع إجاباتنا.

نحن نتعمّد عدم الادّعاء بأننا "معتمدون 100% وفق GDPR". فـ GDPR ليست شهادة تُمنح بعد اختبار — ولن نلوّح بشعار ISO لم نحصل عليه بعد. ما يمكننا قوله هو: الالتزامات المعمارية والإجرائية التي يعمل عليها مسؤول حماية البيانات (DPO) لها الآن إجابات ملموسة وقابلة للتحقق، تم فحص كل واحدة منها مقابل الكود الفعلي قيد التشغيل.

ما الذي أغلقناه

الحق في المحو (المادة 17) — سلسلة الحذف تعمل بالفعل

حذف حسابك لا يقوم فقط بإلغاء تنشيطه. فـ POST /api/user/delete-account يُشغّل سلسلة حذف حقيقية: يمحو اجتماعاتك → المشاركين، الرسائل، المؤتمرات، النصوص المفرّغة؛ ويزيل ملفات التخزين (blobs) من Tigris قبل سلسلة حذف قاعدة البيانات حتى لا يتبقى شيء معلّقًا بلا مرجع — مرفقات الدردشة وملفات تسجيل الفيديو، في كلا العمودين؛ ويُلغي اشتراكاتك في Stripe ويحذف عميل Stripe. الحذف عند الطلب متاح أيضًا — احذف قناة أو رسالة من واجهة المستخدم وستُمحى فورًا. الحسابات المجهولة (الضيوف) لها نقطة نهاية حذف خاصة بها بالإضافة إلى عملية تنظيف تلقائية كل 6 ساعات، تحت مهمة مجدولة (cron) خاضعة للمراقبة. أظهر التدقيق فجوة واحدة هنا — ملفات تسجيل تم حذفها من سلسلة قاعدة البيانات لكن التخزين احتفظ بها — وقد أغلقناها: المحو الآن لا يترك أي أثر في التخزين الكائني (object storage).

الاحتفاظ بالبيانات (المادة 5(1)(ه)) — معيار موثّق

المادة 5(1)(ه) لا تفرض مدة صلاحية تلقائية للبيانات. بل تفرض معيارًا محدّدًا للاحتفاظ بالبيانات. ومعيارنا مكتوب الآن في سياسة الخصوصية: تُحفظ البيانات إلى أن تحذفها أنت أو مالك فريقك، وحذف حسابك يمحو كل شيء. وهذا هو النموذج نفسه الذي تعمل عليه أدوات التعاون مثل Slack و Notion — فالاستمرارية هي السلوك المتوقّع، وتبقى أنت المتحكّم فيها. المعيار مُصرَّح به، لا ضمنيًا.

موافقة التحليلات (المادة 6/7) — عدم المشاركة بشكل افتراضي

يتحكّم شريط موافقة من Usercentrics (يُعرض لزوار الاتحاد الأوروبي) في تفعيل التحليلات، وتأتي PostHog مضبوطة على opt_out_capturing_by_default: true — أي لا يتم تسجيل أي شيء إلى أن تُعطى الموافقة، وليس العكس.

قابلية نقل البيانات (المادة 20) — تصدير حقيقي

يقوم GET /api/user/export ببناء ملف ZIP يضم اجتماعاتك ورسائلك وتسجيلاتك وترجماتك، مع نافذة تحميل مدتها 7 أيام وتنظيف تلقائي بعد ذلك. الوصول والحذف وقابلية النقل هي أدوات فعلية تعمل، لا وعود في سياسة.

لا يصل أي محتوى من الاجتماع إلى نموذج مقرّه الولايات المتحدة

أكبر تدفّق لمحتوى الاجتماع — وهو ترجمة الصوت والدردشة المباشرة — يعمل على محرّكنا الخاص في فرنسا، وليس على أي نموذج لغوي كبير (LLM) تابع لجهة خارجية أبدًا. أما خطوات الذكاء الاصطناعي التي تحدث بعد الاجتماع والتي تستخدم فعليًا نموذجًا عامّ الغرض (الملخّص، والإجراءات التوليدية في محرّر الملاحظات)، فتعمل على Mistral المستضاف في الاتحاد الأوروبي مع سياسة عدم الاحتفاظ بالبيانات (zero-data-retention)، مُقيَّدة بشكل صارم بحيث يفشل الطلب بدلًا من التراجع إلى مزوّد لا يطبّق ZDR أو مزوّد أمريكي. كما أزلنا أسماء المشاركين ونصوص الأحاديث من سجلّات متصفح المؤتمر التي كان يمكن لتسجيل جلسات PostHog أن يلتقطها. خريطة المزوّدين الكاملة، واحدًا تلو الآخر، موجودة في أين يعمل اجتماع InterMIND الواحد فعليًا.

الشفافية — قائمة المعالِجين الفرعيين وسجلات المعالجة، منشورة

قائمة المعالِجين الفرعيين متاحة مباشرة الآن، وتوضّح ما يقوم به كل مزوّد ومكان مقرّه — وليست "متاحة عند الطلب". وخلفها يوجد سجل أنشطة المعالجة (ROPA) مبنيّ من المخطط الفعلي قيد التشغيل: 11 عملية معالجة، والتدابير الأمنية الخاصة بكل واحدة منها، ومسارات المحو وقابلية النقل. وتعمل سياسة الخصوصية والشروط الخاصة بنا الآن ضمن كيانّنا القانوني الخاص، مع وصف سلسلة المعالجة الفعلية.

بيئة التشغيل في الاتحاد الأوروبي — مُثبَّتة، لا مجرّد وعد

كل خطوة تشغيلية يمرّ بها الاجتماع تقع داخل الاتحاد الأوروبي: التطبيق وواجهات البرمجة (APIs) على Vercel فرانكفورت، وخادم الاجتماع على Fly باريس، وبيانات التطبيق في Neon Postgres (AWS فرانكفورت)، والأخطاء على Sentry (الاتحاد الأوروبي)، والتحليلات على PostHog (الاتحاد الأوروبي)، والبريد الإلكتروني عبر Resend آيرلندا. أما التخزين الكائني على Tigris فهو الآن مُثبَّت على مناطق الاتحاد الأوروبي (فرانكفورت + أمستردام) — بحيث تصل كل عملية كتابة جديدة إلى الاتحاد الأوروبي بغض النظر عن موقع المستخدم. البنية الكاملة موجودة على صفحة الأمان الخاصة بنا.

لماذا يهم هذا عمليات الشراء الخاصة بك

بالنسبة لمعظم مشتري الاتحاد الأوروبي — الشركات المتوسطة الألمانية (Mittelstand)، والفرق الخاضعة للتنظيم التي تعمل بموجب اتفاقيات معالجة بيانات (DPA) معيارية بموجب GDPR — فإن سؤال إقامة البيانات له الآن إجابة مباشرة: البيانات لا تخرج من الاتحاد الأوروبي أثناء التشغيل، والمحو يعمل، ومعيار الاحتفاظ بالبيانات مُصرَّح به، وقائمة المعالِجين الفرعيين مطروحة على الطاولة. وهذا حديث أقصر بكثير من "دعنا نعود إليك بشأن وجهة البيانات".

أما بالنسبة لعمليات الشراء الفرنسية القائمة على مفهوم souveraineté numérique (السيادة الرقمية) وعلى مستوى SecNumCloud، فإن مقرّ الشركة المورّدة نفسه يُعدّ معيارًا — وهو حديث أعمق حول بنية النشر (deployment topology) سنخوضه بصدق بدلًا من التسويق المفرط. والشيء الوحيد الذي لن نفعله هو التلويح بشهادة ISO لم نحصل عليها بعد: فالشهادات موجودة على خارطة الطريق، لكن إجابتنا على قائمة التحقّق هي معمارية وقابلة للتحقق اليوم.

اطّلع بنفسك

• مؤتمرات الفيديو المتوافقة مع GDPR: قائمة التحقّق الكاملة لمسؤول حماية البيانات (DPO) — الأمور السبعة التي يجب إلزام أي مزوّد بالإجابة عنها، وموقع Zoom منها.
• أين يعمل اجتماع InterMIND الواحد فعليًا — خريطة المزوّدين، مع تحديد الثغرات بالاسم.
• هل اجتماعك سرّي؟ — الأسئلة الثلاثة التي يجب طرحها قبل إخراج قائمة تحقّق مسؤول حماية البيانات.
• الأمان والخصوصية · المعالِجون الفرعيون · سياسة الخصوصية · الشروط
• جرّب العرض التوضيحي المباشر — استمع إلى خط المعالجة المتعدد اللغات، العامل في بيئة تشغيل داخل الاتحاد الأوروبي، على اجتماع حقيقي — دون حاجة للتسجيل.

الامتثال لـ GDPR ليس شعارًا تشتريه — بل عمل تقوم به ويمكنك إظهاره. وهذا هو عملنا، سطرًا بسطر. إذا كان مسؤول حماية البيانات (DPO) لديك يحتاج إلى إجابة لا يقدّمها هذا المنشور، فتواصل معنا.

— فريق Mind.com

المصادر: اللائحة (الاتحاد الأوروبي) 2016/679 (GDPR) — المواد التي تم التدقيق بموجبها؛ تم التحقق من الادّعاءات الداخلية مقابل قاعدة كود InterMIND والمنتج الفعلي قيد التشغيل؛ تم الفحص في أغسطس 2026.