Видеоконференции в съответствие с GDPR (2026): какво наистина е нужно (и алтернатива на Zoom, която превежда)

„Съответствие с GDPR“ на началната страница на една платформа за видеоконференции е почти празно твърдение. GDPR не е сертификат, който се полага, а набор от задължения към вас, администратора на данни, които доставчикът или ви помага да изпълните, или тихомълком оставя на вашето бюро. Полезният въпрос не е „съобразен ли е този инструмент с GDPR?“, а „за какво този инструмент ме оставя отговорен и къде всъщност отиват данните от моите срещи?“

🔒 Актуализация: направихме го на себе си. След публикуването на този текст прекарахме кода на самия InterMIND през пълния списък по-долу и затворихме всяка точка (изтриване, съхранение, изпълнение в ЕС, подизпълнители), проверени спрямо кода, а не просто заявени на страница. → Прочетете отчета от одита, ред по ред.

Този текст е версията на този въпрос на достъпен език: списъкът, през който всъщност минава едно длъжностно лице по защита на данните (DPO), къде се нарежда Zoom по него (справедливо, защото е по-способен да отговаря на изискванията, отколкото се внушава в интернет) и къде алтернатива с изпълнение в ЕС променя отговора. Ако искате по-широката рамка „как трябва да работят срещите в реално време“, това е основното ръководство, а този текст е конкретно за слоя за защита на данните.

Списъкът на достъпен език

Махнете маркетинга и „видеоконференции в съответствие с GDPR“ се свеждат до седем неща, които можете реално да проверите:

1. Подписан DPA. Допълнение за обработване на данни (Data Processing Addendum), което определя доставчика като ваш обработващ данните, с документирани цели и инструкции. Без DPA няма законосъобразно обработване, точка.
2. Истински списък на подизпълнителите. Всяка трета страна, която докосва данните от срещите (транскрипция, съхранение, имейл, анализи, AI функции), е посочена поименно, с това какво прави и къде е регистрирана.
3. Къде се обработват данните по време на изпълнение. Физическият регион, в който се обработват вашето аудио, транскрипти, записи и метаданни. Именно за това са повечето клаузи за резидентност на данните.
4. Механизъм за международен трансфер. Ако някакви данни напускат ЕИП, на какво правно основание? Стандартни договорни клаузи (SCC), решение за адекватност или настройка на резидентност, която изцяло избягва трансфера. Това е въпросът от Schrems II и не изчезва, защото някоя начална страница пише „съответства“.
5. Позиция по сигурността, която можете да одитирате. ISO 27001, ISO 27701, SOC 2: независими атестации, а не самооценки.
6. Инструменти за правата на субектите на данни. Можете ли реално да изпълните заявки за достъп, изтриване и преносимост на данни от срещи, или само на теория?
7. Съхранение и изтриване, които вие контролирате. Записи, транскрипти и AI резюмета, изтривани по вашия график, а не по подразбиране на доставчика.

Един инструмент е „съобразен с GDPR“ за вашите цели само когато и седемте точки имат конкретни отговори. Повечето начални страници не отговарят на нито една.

Къде всъщност стои Zoom (справедливо)

Zoom е по-способен да отговаря на GDPR, отколкото подсказва репутацията му, и е добре да сме точни в това, вместо да печелим евтини точки:

• Публикува глобален DPA с вградени стандартни договорни клаузи на ЕС от 2021 г.
• Предлага резидентност на данните в ЕС („Zoom EU Infrastructure“) за клиенти на Enterprise и Education, обхващаща Meetings, Webinar, Chat, Phone и Contact Center.
• Притежава ISO 27001 и, считано от февруари 2026 г., ISO 27701 (разширението за управление на неприкосновеността), както и публикувани контроли за суверенитет за публичния сектор в ЕС.

Така една правилно конфигурирана инсталация на Zoom, на подходящия план, може да удовлетвори повечето от списъка. Честните уговорки са за настройките по подразбиране и за седалището, а не за възможностите:

• Резидентността в ЕС е добавка според плана и конфигурацията, а не настройка по подразбиране. Налична е в Enterprise/Education и трябва да бъде включена. Безплатните и по-ниските платени планове не я получават. „Ползваме Zoom“ и „ползваме Zoom, конфигуриран за резидентност в ЕС“ са различни факти при покупка.
• Zoom е компания със седалище в САЩ. Дори със SCC и резидентност в ЕС, корпоративното седалище на доставчика е от значение при оценки по CLOUD Act и такива от ниво суверенитет. За стандартния GDPR това е управляемо със SCC, но при френската souveraineté numérique или при покупки на ниво SecNumCloud корпоративното седалище е критерий само по себе си, а това е по-труден разговор.
• Срещата пак протича на един език. Преведените субтитри и AI Companion на Zoom помагат, но стаята не става наистина многоезична, при което всеки участник да чува срещата на живо на собствения си език. Ако проблемът ви със съответствието е и езиков (трансгранични одити, прегледи на CAPA в няколко обекта), тази празнина остава нерешена, независимо къде се намират данните.

Накратко: Zoom може да отговаря на GDPR, когато е конфигуриран за това. Дали това е достатъчно, зависи от това колко чувствителен към суверенитета е вашият купувач и дали срещите са многоезични.

Къде стои InterMIND по списъка

InterMIND е пространство, което домакинът предоставя на екипа и клиентите си, всеки на собствения си език: срещи, чат, файлове, резюме. На списъка по-горе се отговаря по подразбиране, а не чрез конфигурационен проект. Частта, която е структурна, а не обещана, е къде работи срещата: един ред за DPO, проверен спрямо реалната инсталация:

• Всяка стъпка по време на изпълнение е в ЕС. Приложението и сървърните API на Vercel във Франкфурт (fra1); WebSocket сървърът на срещите на Fly в Париж (cdg); данните на приложението в Neon Postgres на AWS Франкфурт (eu-central-1); записите в Tigris, с възможност за фиксиране в ЕС; грешките и анализите в Sentry EU и PostHog EU; транзакционните имейли през Resend в Ирландия.
• Преводният engine е наш собствен код, във Франция (OVH), а не универсален модел от САЩ, който препродаваме. Най-големият поток от съдържание на срещите остава в ЕС и никога не докосва LLM на трета страна. Преводът на документи минава през DeepL в Кьолн, също компания от ЕС.
• Списъкът на подизпълнителите с подробности за корпоративното седалище се предоставя заедно с DPA като стандартна практика, а не при поискване.

Съдържанието на срещите отива към един AI gateway, в ЕС, и организацията го избира. Всичко, произтичащо от среща, което изисква езиков модел (AI резюмето след срещата с теми, решения и action items, обобщенията на документи, генеративните действия на AI редактора на бележки (поправяне, разширяване, опростяване), Ask AI), работи през AI gateway, който вашата организация избира: Azure OpenAI в EU Data Zone по подразбиране, Vertex AI на мултирегионалната крайна точка на ЕС или Amazon Bedrock във Франкфурт по избор, всичко в наш собствен tenant с нулево задържане на данни и без обучение върху съдържанието на клиентите; или ваша собствена OpenAI-съвместима крайна точка. Резюмето след срещата и действието за превод в редактора минават през преводния тракт, а не през езиковия модел. Доставчиците зад хостваните gateway-и са компании от САЩ, които управляват региони в ЕС. Казваме го открито на страницата за доверие, не го крием: корпоративното седалище е критерият, който покупките на ниво суверенитет добавят върху GDPR, и той важи за тази стъпка точно както важи за Zoom по-горе. Пълната карта доставчик по доставчик е в Where one InterMIND meeting actually runs, а погледът „изграждане или купуване“ е в What one InterMIND meeting is built from.

Едно нещо не твърдим: няма да размахваме ISO сертификат, който все още не притежаваме. Нашият отговор на списъка е архитектурен: изпълнение в ЕС, собствен engine, прозрачни подизпълнители, истински DPA. Предпочитаме да го проверите, вместо да се доверите на значка. Сертификациите са в плана, а изпълнението е реално днес. Прекарахме собствения си код през точно този списък и затворихме всяка точка спрямо кода: отчетът от одита, ред по ред.

И това, което настройките за резидентност на Zoom не могат да добавят: срещата е многоезична по дизайн. Всеки участник е на живо на собствения си език, на 23 езика, с глас, чат и бележки, а качеството на превода е публикувано открито, вместо просто да бъде заявено. Как работи това е описано в основното ръководство, а случаят на регулираните срещи е в multilingual compliance meetings.

Списъкът като таблица

Седемте точки спрямо двата инструмента, които този текст разглежда подробно. Клетките посочват само това, което всеки доставчик документира (връзките към Zoom са в Sources по-долу; твърденията за InterMIND са проверени ред по ред в отчета от одита и картата на изпълнението). За всеки друг доставчик го накарайте да отговори писмено на лявата колона.

Често задавани въпроси

Съобразен ли е Zoom с GDPR? Може да бъде, на подходящия план и конфигурация: Zoom публикува глобален DPA със SCC на ЕС от 2021 г., предлага резидентност на данните в ЕС за клиенти на Enterprise и Education и притежава ISO 27001 и (от февруари 2026 г.) ISO 27701. Честните уговорки: резидентността в ЕС е добавка според плана и конфигурацията, а не настройка по подразбиране, и Zoom остава компания със седалище в САЩ, което е управляемо при стандартния GDPR със SCC, но е реален критерий при покупки на ниво суверенитет.

Какво прави един инструмент за видеоконференции съобразен с GDPR? Седем проверими неща, а не значка на началната страница: подписан DPA, истински списък на подизпълнителите, документиран регион на изпълнение, законосъобразен механизъм за международен трансфер, независимо одитирана сигурност, работещи инструменти за правата на субектите на данни и съхранение, което контролирате. Един доставчик е съобразен за вашите цели, когато и седемте точки имат конкретни писмени отговори.

Изисква ли GDPR видеосрещите да остават в ЕС? Не. GDPR изисква законосъобразен механизъм за трансфер (SCC, адекватност), когато данните напускат ЕИП, а не резидентност сама по себе си. Резидентността има значение, защото изцяло премахва въпроса за трансфера: анализът след Schrems II се скъсява, когато данните никога не напускат. Това е разликата между „съответствие с документи“ и „няма какво да се прикрива с документи“.

Кои инструменти за видеоконференции работят изцяло в ЕС? Поискайте от всеки доставчик картата на изпълнението: регион за всяка стъпка (приложение, API, медия на срещата, база данни, записи, анализи, имейл, AI функции). InterMIND публикува точно това (всяка стъпка, доставчик по доставчик): Vercel Франкфурт, Fly Париж, Neon Франкфурт, преводен engine на OVH Франция, AI функции през gateway, който организацията избира, в регион на ЕС (Azure OpenAI EU Data Zone по подразбиране). Какъвто и инструмент да оценявате, отговорът е картата, а не маркетинговата страница.

На кой домакин отговаря това

Собственикът или ръководителят на организация с 10–200 души, чийто екип или клиенти говорят друг език, която вече ползва Teams или Workspace и настройва стаята без ИТ отдел. За такъв домакин на списъка се отговаря по подразбиране и разговорът с DPO е кратък; остава решението дали самата среща протича на езика на всеки участник. Публичните поръчки на ниво суверенитет, където седалището на доставчика е част от самата спецификация, са друг разговор, и го казваме, вместо да преувеличаваме.

Изпробвайте, после прочетете картата на данните

• Изпробвайте демото на живо: чуйте многоезичния pipeline на живо върху истинска среща и усетете какво всъщност означава „изпълнение в ЕС и многоезичност“. Не е нужна регистрация.
• InterMIND срещу Zoom: функция по функция, честно.
• Where one InterMIND meeting actually runs: пълната карта на доставчиците, включително празнината.

„Видеоконференции в съответствие с GDPR“ е списък за проверка, а не значка. Който и инструмент да изберете, наш или друг, накарайте доставчика да отговори писмено и на седемте въпроса. Тези, които могат, заслужават вашето време; тези, които не могат, ви продават начална страница.

— Екипът на Mind.com

Източници за Zoom: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, проверени през август 2026 г. Офертите и плановете на доставчиците се променят; проверете актуалната конфигурация в страниците за доверие на Zoom. Фактите за изпълнението на InterMIND са проверени спрямо реалната инсталация, както е описано в свързаната публикация с картата на данните.