Месинджър за компании, съответстващ на GDPR (2026): какво реално документират доставчиците

„Кой месинджър съответства на GDPR?" е въпрос, на който никой доставчик не може честно да отговори с „ние". GDPR налага задълженията върху вас, администратора: нуждаете се от споразумение за обработване на данни (чл. 28), трябва да знаете къде се намират данните и дали излизат към трета държава, трябва да можете да изтривате и да отговаряте на заявки за достъп. Месинджърът може да направи тези задължения изпълними — или не. Значка на началната страница не казва нищо повече от това.

Затова това ръководство прави нещо различно от обичайните списъци. То взема шест проверки, които длъжностното лице по защита на данните (DPO) така или иначе прави, и ги прилага към дванайсет услуги: потребителските месинджъри, на които компаниите реално работят (WhatsApp, Signal, Telegram), бизнес месинджърите от Швейцария и Германия (Threema Work, Teamwire, Wire, Stackfield), самостоятелно хостваните платформи (Element, Mattermost, Rocket.Chat) и двата пакета (Microsoft Teams, Slack). После InterMIND, който ние създаваме — по същите критерии и със същото правило за източниците. Всяко твърдение идва от публичната документация на доставчика, проверена през август 2026 и свързана в края.

Към тях се добавя седма проверка, която никога не фигурира в списъците за GDPR, а има значение всеки ден в международен екип: на какъв език чете всеки участник канала? Месинджър, който съхранява съобщенията само в оригинал, прехвърля превода върху отделния човек — и върху услуги, които след това обработват данните отново.

Шестте проверки

Федералният комисар по защита на данните на Германия (BfDI) публикува критерии за избор на месинджър услуги — най-полезната публична мерна единица. Той определя криптирането от край до край като съобщения, „криптирани на устройството на подателя и дешифрирани отново едва на устройството на получателя", изброява настройки за поверителност като достъп до адресната книга, видимост на профила, потвърждения за прочитане, анализ на използването и отчитане на грешки и изисква при изтриване на акаунт данните да бъдат „изтривани незабавно". За фирмена употреба към това се добавят задълженията по чл. 28. Заедно:

1. Споразумение за обработване на данни (DPA). Предлага ли го доставчикът — и описано ли е в документацията му?
2. Юридическо лице и местоположение на сървърите. Коя компания е ваш договорен партньор, къде се намират данните, има ли пренос към трета държава?
3. Криптиране. От край до край, или при пренос и на сървъра? И двете са легитимни — просто трябва да бъдат назовани.
4. Метаданни и адресна книга. Качва ли се адресната книга? Какви данни за използването и устройството се събират и с кого се споделят?
5. Изтриване и съхранение. Къде живее историята, кой я изтрива, какво се случва, когато служител напусне?
6. Подизпълнители. Публикувани ли са — включително услугите, използвани за AI функции и превод?

Плюс седмата: език на всеки участник.

Потребителските месинджъри на работното място

WhatsApp (и приложението WhatsApp Business)

• Договорен партньор: за ЕИП — „WhatsApp Ireland Limited".
• Криптиране и съхранение: съобщенията са криптирани от край до край; „не съхраняваме вашите съобщения в рамките на обичайното предоставяне на нашите Услуги. След като съобщенията ви бъдат доставени, те се изтриват от нашите сървъри." Историята следователно живее на устройствата на служителите и в техните резервни копия.
• Метаданни: събират се „информация за използването на нашите Услуги", данни за устройството („модел на хардуера, информация за операционната система, ниво на батерията, сила на сигнала") и, по избор, адресната книга („качване на контакти … от адресната книга на вашето устройство редовно"). Данните се споделят с „компании на Meta в Съединените щати и Ирландия" и се предават „в световен мащаб".
• DPA: политиката за поверителност на приложението не назовава споразумение за обработване на данни за компании (проверено през август 2026). Приложението Business „е създадено с мисъл за собственика на малък бизнес".
• Език: от септември 2025 съобщение може да се преведе с продължително натискане — на самото устройство („преводите се извършват на вашето устройство, където WhatsApp не може да ги вижда"); Android може да превежда автоматично цели чатове (шест езика при старта), iPhone използва превода на Apple на 19+ езика. Гласовите съобщения и обажданията не са част от обявлението.

Signal

• Договорен партньор: Signal Messenger LLC, Маунтин Вю, Калифорния — организация с нестопанска цел.
• Криптиране: „Signal не може да дешифрира или по друг начин да получи достъп до съдържанието на вашите съобщения или обаждания."
• Метаданни: регистрация с телефонен номер; техническите данни са ограничени „до минимума, необходим за работата на Услугите".
• DPA: не е документирано в правните документи на Signal (проверено през август 2026).
• Език: не е документирана функция за превод.

Telegram

• Договорен партньор и местоположение: „Telegram Messenger Inc." с „Telegram FZ-LLC, член на групата, намиращ се в Дубай"; за потребители от ЕС/ЕИП „данните ви се съхраняват в центрове за данни в Нидерландия". Представител по GDPR е Европейската служба за защита на данните (EDPO) в Брюксел.
• Криптиране: облачните чатове са криптирани на сървъра — „всички данни се съхраняват силно криптирани, а ключовете за криптиране във всеки случай се съхраняват в няколко други центъра за данни в различни юрисдикции" — и само тайните чатове са от край до край: „Тайните чатове използват криптиране от край до край."
• DPA: не е документирано в политиката за поверителност (проверено през август 2026).
• Език: „Всички потребители могат да превеждат отделни съобщения"; потребителите на Premium „могат да превеждат цели чатове, групи и канали в реално време чрез натискане на лентата Translate в горната част".

И трите са инструменти, в които екипите наистина работят. Общото между тях: историята принадлежи на устройството или на облака на доставчика, а не на компанията — и DPA, което чл. 28 изисква, не се появява в нито една от трите документации.

Бизнес месинджъри от Швейцария и Германия

Threema Work

• Местоположение: Швейцария. Доставчикът отбелязва, че предаването на данни от ЕС към Швейцария е законно допустимо без допълнителна проверка.
• Метаданни: Threema Work „не изисква лични данни (като телефонен номер или имейл адрес)" и „може да се използва без достъп до адресната книга".
• DPA: според доставчика Threema Work „отговаря на изискванията за обработване на данни от името на администратор в съответствие с изискванията за защита на данните по GDPR и швейцарския DSG".
• Пробен период: „30 дни, 30 потребители. Без автоматично подновяване." Цените на потребител не са на страницата.
• Език: не е документирана функция за превод.

Teamwire

• Местоположение: „германски публичен облак (IONOS, сертифициран по C5)", „dedicated private cloud" или „пълен on-premise хостинг"; „хостинг в Германия вместо в САЩ", „без съхранение извън ЕС".
• Сертификати: „ISO 27001, BSI C5, сертифициран от TÜV"; посочени са GDPR на ЕС, BDSG, BSI IT-Grundschutz, NIS-2, DORA и CER.
• Метаданни: „без достъп до адресната книга" и „без анализ на комуникацията".
• GDPR: доставчикът се описва като „100 % съответстващ на GDPR" — самоописание, което DPA трябва да подкрепи във всеки конкретен случай. Няма цени на страницата.
• Език: не е документирана функция за превод.

Wire

• Местоположение: „в облака, on-premises или хибридно".
• Криптиране: протокол MLS; „съобщенията, файловете и обажданията са напълно E2EE по подразбиране"; видеообаждания „с до 200 участници", всяка сесия е криптирана от край до край.
• Сертификати: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: „напълно съответства на строгите разпоредби за защита на данните, включително GDPR" (самоописание). Няма цени на потребител на страницата.
• Език: не е документирана функция за превод.

Stackfield

• Местоположение: „цялата обработка на данни е ограничена до ЕС, а самите данни се намират изключително в германски центрове за данни"; компанията е подчинена „изключително на юрисдикцията на Германия и ЕС".
• Криптиране: „истинско криптиране от край до край" за съобщения, файлове и задачи.
• Сертификати: ISO 27001, BSI C5.
• Срещи: включени са аудио- и видеоконференции.
• Език: не е документирана функция за превод.

И четирите отговарят на въпросите за местоположението и криптирането толкова ясно, колкото един доставчик може. Което никой от тях не документира: превод, който позволява на полски, португалски и германски колега да четат един и същ канал на собствения си език.

Самостоятелно хоствани платформи

Element (Matrix)

• Криптиране: „цялата платформа е криптирана от край до край по подразбиране" — включително Element Call за глас и видео.
• Експлоатация: Community безплатен, самостоятелно хостван; Enterprise на потребител на месец, самостоятелно хостван; Sovereign на внедряване, air-gapped.
• Език: не е документирана функция за превод — при криптиране от край до край няма място на сървъра за такава.

Mattermost

• Експлоатация: Professional и Enterprise като самостоятелно хоствани годишни лицензи, цени при запитване; Mattermost Cloud Enterprise като единично-наемателно (single-tenant) предложение.
• Език: автоматичен превод на канали (бета, от v11.5) в Enterprise Advanced: бекендът е „LibreTranslate: самостоятелно хостван машинен преводач с отворен код" или „Agents: използва плъгина Mattermost Agents с конфигуриран LLM бекенд"; целевият език на потребителя „се определя от езика на интерфейса му в Mattermost". Преводът се изпълнява на вашия сървър.

Rocket.Chat

• Експлоатация: планът Starter е безплатен, „self-managed, self-hosted", „за техническа оценка или малки екипи до 50 потребители"; платените планове са Commercial, Government и Defense — on-premises, частен облак или air-gapped, цени при запитване.
• Език: Auto-Translate за всяка стая — „всеки потребител получава преводи според собствения си избран език" — чрез DeepL, Google Translate, Microsoft Translator или LibreTranslate, с API ключ, който предоставя администраторът. Текстът на съобщенията следователно отива при доставчика, който сте избрали — освен ако не е LibreTranslate на собствен хост.

Nextcloud Talk принадлежи към същата група: „напълно самостоятелно хоствана, on-premises услуга за аудио/видео и чат комуникация", с жива транскрипция и превод на собствен хардуер (подробности в сравнението на инструменти за екипна комуникация).

Пакетите: Microsoft Teams и Slack

Microsoft Teams

• DPA: „Когато се абонирате за Продукт съгласно условията на сайта Product Terms, условията за обработка и сигурност на данните са определени в Microsoft Online Services Data Protection Addendum (DPA)."
• Местоположение: данните на Teams се намират „в географския регион, свързан с вашата организация в Microsoft 365 или Office 365"; държавната резидентност (Германия, Франция, Италия, Норвегия, Полша, Швеция, Швейцария и други) е „само за нови тенанти", съществуващите тенанти в ЕС остават в региона EMEA. EU Data Boundary задължава Microsoft да съхранява и обработва Customer Data за Microsoft 365 в рамките на ЕС/ЕАСТ — „при ограничени обстоятелства" с документирани изключения; клиентите с Multi-Geo са извън обхвата.
• Език: съобщенията в чата и каналите се превеждат при поискване или автоматично („Teams може автоматично да превежда получените съобщения"), 100+ езика, без посочен лиценз; в срещите преведените субтитри изискват Teams Premium или Copilot лиценз на организатора, а агентът Interpreter (10 езика) изисква Copilot лиценз на слушател, 20 часа месечно. Подробности: превод на живо в Teams.

Slack

• DPA: „Slack предлага Data Processing Addendum, което допълва Customer Terms of Service" — сключва се чрез формуляр, не се включва автоматично.
• Местоположение: резидентност на данните от Business+: Франкфурт, Париж, Стокхолм, Цюрих, Лондон. Обхванати са: съобщения, canvases, файлове и индексът за търсене; необхванати: профили на членове и анализ на използването. Планът Free пази 90 дни история на съобщенията.
• Език: „Translate message" в Business+ и Enterprise+, при поискване за отделно съобщение; „преводите са видими само за вас, така че другите хора винаги ще виждат оригиналното съобщение."

InterMIND

Създаваме пространство за комуникация, в което всеки член чете срещите, чата, документите и историята си на собствения си език — и го подлагаме на същите седем проверки:

1. DPA: подписва се за всеки клиент — условия за обработващ по чл. 28 с 30-дневно предизвестие за нови подизпълнители и 72-часов срок при нарушение; подписано копие е достъпно за отдела по доставки (/legal/dpa).
2. Юридическо лице и местоположение: управлява се от естонско OÜ; runtime е в ЕС на всяка стъпка — превод на глас и чат на собствен двигател върху dedicated сървъри във Франция, оркестрация на срещите в Париж, база данни във Франкфурт, съхранение и анализи в ЕС. Картата, доставчик по доставчик: къде реално работи една среща в InterMIND.
3. Криптиране: криптиране при пренос — аудио и видео през DTLS/SRTP, чат и файлове през HTTPS/WSS и криптирани при съхранение на нашите сървъри. Без криптиране от край до край: преводът е обработка и се извършва на нашия двигател, а не при трета страна. Ако E2EE е над всичко останало за вас, Element, Wire или Threema са по-подходящи — казваме го открито.
4. Метаданни и адресна книга: без качване на адресна книга; участниците се присъединяват с линк, без акаунт и без телефонен номер.
5. Изтриване и съхранение: критерият за съхранение е записан в политиката за поверителност — данните остават, докато вие или собственикът на вашия екип не ги изтриете; изтриването на акаунт изтрива данните му. Одитирахме собствения си код спрямо задълженията по GDPR и документирахме какво сме затворили: одит по GDPR.
6. Подизпълнители: публикувани, с функция и седалище за всеки доставчик. Стъпките с езикови модели (резюме, обобщения на документи, помощник за писане, Ask AI) се изпълняват през AI шлюза, избран от организацията — Azure OpenAI в EU Data Zone по подразбиране, Vertex AI EU или Amazon Bedrock Франкфурт по избор — в собствения тенант на InterMIND, с нулево съхранение на данни и без обучение върху съдържанието на клиентите; доставчиците са американски компании, които управляват региони в ЕС, което е посочено на страницата за доверие. Преводът на документи минава през DeepL като назован подизпълнител в ЕС.
7. Език на всеки участник: чат и бележки на 23 езика, документи на 30, говор на живо за всеки участник на собствения му език — като поведение по подразбиране на стаята, без добавки и лицензи на слушател. Качеството се публикува ежемесечно за всяка езикова двойка: /benchmark.

Какво не твърдим: ISO сертификат, който все още не притежаваме. Нашият отговор на контролния списък е архитектурен и проверим в кода; сертификатите са в плана.

Общ преглед

Кой месинджър за кой случай

• Криптирането от край до край е първият ви критерий и преводът няма значение: Threema Work (Швейцария, без телефонен номер), Wire (MLS, включително обажданията), Stackfield (германски центрове за данни) или Element (самостоятелно хостван, безплатен в изданието Community).
• Всичко трябва да работи на собствени сървъри и имате хора за това: Rocket.Chat (безплатен до 50 потребители, превод чрез ключа на вашия доставчик), Mattermost Enterprise Advanced (бета превод на канали на вашия LibreTranslate или LLM), Nextcloud Talk.
• Така или иначе сте клиент на Microsoft или Slack: и двамата документират DPA и резидентност в ЕС — Teams чрез региона на тенанта и EU Data Boundary, Slack от Business+. Преводът е за всеки читател, при поискване; езикът на срещата в Teams зависи от Copilot лицензи.
• Екипът работи в WhatsApp, Signal или Telegram: услуги, документирани за лична комуникация, отчасти криптирани от край до край — но без документирано DPA, с историята на устройства или в облака на доставчика, а при WhatsApp с данни за използване и устройство, които отиват към компании на Meta в САЩ. DPO ще зададе въпроси, на които документацията не отговаря.
• Самият канал е многоезичен — колеги и клиенти си отговарят на три езика, гости без вашите лицензи и екип по съответствие, който иска да назове местоположението: за това създаваме InterMIND — всеки член чете пространството на собствения си език, гостите влизат с линк без вашите лицензи; ЕС на всяка стъпка, DPA за всеки клиент и публикувани подизпълнители са единственият ред за DPO.

Вижте го, вместо да четете за него

• Пробвайте демото на живо — без регистрация; говорете и чуйте стаята преведена за всеки слушател на който и да е от 23 езика.
• Вижте бенчмарка — месечно качество на превода за всяка езикова двойка върху реален трафик, с публична методология.
• Прочетете подизпълнителите — функция и седалище за всеки доставчик, без нужда от запитване.

Често задавани въпроси

Кои месинджъри съответстват на GDPR?

Никой сам по себе си — задълженията са на компанията. Което може да се провери, е дали доставчикът ги прави изпълними: DPA е документирано от Microsoft Teams (чрез Product Terms), Slack (чрез формуляр), Threema Work (доставчик: обработка, съответстваща на GDPR/DSG) и InterMIND (за всеки клиент, чл. 28); Teamwire и Wire се описват като съответстващи на GDPR. За WhatsApp, Signal и Telegram документацията не назовава DPA (проверено през август 2026). Самостоятелно хостваните услуги — Element, Mattermost, Rocket.Chat, Nextcloud — пренасят въпроса във вашата собствена експлоатация.

Съответства ли Signal на GDPR?

Signal документира криптиране от край до край („Signal не може да дешифрира или по друг начин да получи достъп до съдържанието на вашите съобщения или обаждания") и технически данни, ограничени до минимума; договорен партньор е Signal Messenger LLC в Калифорния, регистрацията е с телефонен номер. Правните документи не назовават споразумение за обработване на данни за компании. Личната употреба е различна картина от фирмената, която трябва да отговаря на чл. 28.

Съответства ли WhatsApp на GDPR за бизнес употреба?

WhatsApp Ireland документира криптиране от край до край и това, че доставените съобщения се изтриват от неговите сървъри — и в същото време данни за използване и устройство, незадължително качване на адресната книга и споделяне с „компании на Meta в Съединените щати и Ирландия". Политиката за поверителност не назовава DPA за приложението; приложението Business според доставчика е създадено за собственици на малък бизнес. Който използва WhatsApp в компания, трябва сам да обоснове тези точки пред DPO.

Съответства ли Telegram на GDPR?

Telegram заявява, че данните от ЕС се съхраняват в Нидерландия, и назовава представител в ЕС (EDPO, Брюксел); облачните чатове са криптирани на сървъра с ключове „в няколко други центъра за данни в различни юрисдикции", само тайните чатове са от край до край. Не е документирано DPA. Това е документирана ситуация с данните, а не съответствие с GDPR по смисъла на чл. 28.

Съответства ли Microsoft Teams на GDPR?

Microsoft документира DPA като част от Product Terms, съхранение на данните на Teams в региона на тенанта — държавна резидентност само за нови тенанти — и EU Data Boundary за клиенти на Microsoft 365 със седалище в ЕС/ЕАСТ, с документирани изключения. За компании, които вече работят с Teams, това е солидна основа; функциите за превод в срещите зависят от Copilot лицензи на организатор и слушател.

Какво трябва да предлага месинджър за компании, съответстващ на GDPR?

Шест документирани отговора вместо значка: DPA по чл. 28, назовано юридическо лице и местоположение на сървърите без необяснен пренос към трета държава, назован модел на криптиране, контрол върху адресната книга и метаданните, концепция за изтриване, която обхваща напускането на служител, и публикуван списък на подизпълнителите — включително AI и преводачески услуги. За международни екипи се добавя седма точка: месинджър, който съхранява канала само в оригинал, прехвърля превода върху всеки отделен човек.

Има ли безплатен месинджър за компании, съответстващ на GDPR?

Безплатни и самостоятелно хоствани: Rocket.Chat Starter (до 50 потребители) и Element Community — тогава задълженията по GDPR лежат изцяло във вашата собствена експлоатация. Threema Work предлага 30 дни за 30 потребители без платежни данни. С InterMIND участието е безплатно за всеки участник — присъединяване с линк без акаунт — а демото на живо не изисква регистрация; домакинът плаща за стаята.

Източници: BfDI — Критерии за избор на месинджър услуги (на немски), WhatsApp — Политика за поверителност (ЕИП), WhatsApp — Политика за поверителност, WhatsApp blog — Introducing message translations, WhatsApp Business app, Signal — Terms & Privacy Policy, Telegram — Privacy Policy, Telegram blog — Real-time translation, Threema — GDPR-compliant messenger (на немски), Teamwire — GDPR-compliant messenger (на немски), Wire — Wire vs. MS Teams (на немски), Stackfield — Microsoft Teams alternative (на немски), Element — Pricing, Mattermost — Pricing, Mattermost — Set up Auto-translation (Beta), Rocket.Chat — Our plans, Rocket.Chat — Auto-Translate messages, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Location of data in Microsoft Teams, Microsoft Learn — What is the EU Data Boundary?, Microsoft — Translate a message in Microsoft Teams, Microsoft — Interpreter in Teams meetings and calls, Slack — Data Processing Addendum, Slack — Data residency for Slack, Slack — Pricing, Slack — Guide to AI features in Slack. Доставчиците променят с времето плановете, местоположенията, функциите и самоописанията си; проверявайте страниците им за актуалното състояние. Всички факти са проверени през август 2026.