GDPR-সম্মত ভিডিও কনফারেন্সিং (২০২৬): আসলে কী প্রয়োজন (এবং অনুবাদ করতে পারে এমন একটি Zoom বিকল্প)

কোনো ভিডিও প্ল্যাটফর্মের হোমপেজে "GDPR-সম্মত" লেখা থাকা প্রায় অর্থহীন। GDPR এমন কোনো সার্টিফিকেশন নয় যা আপনি পাস করবেন। এটি আপনার, অর্থাৎ ডেটা কন্ট্রোলারের ওপর আরোপিত একগুচ্ছ দায়বদ্ধতা, যা ভেন্ডর হয় পূরণ করতে সাহায্য করে, নয়তো চুপচাপ আপনার টেবিলেই ফেলে রাখে। কাজের প্রশ্নটি "এই টুল কি GDPR-সম্মত?" নয়। প্রশ্নটি হলো: "এই টুল আমাকে কীসের জন্য দায়ী করে, এবং আমার মিটিংয়ের ডেটা আসলে কোথায় যায়?"

🔒 হালনাগাদ — আমরা নিজেদের ওপরই এটি প্রয়োগ করেছি। এই পোস্ট প্রকাশের পর আমরা InterMIND-এর নিজস্ব কোডবেস নিচের পূর্ণ চেকলিস্টের মধ্য দিয়ে চালিয়েছি এবং প্রতিটি আইটেম (মুছে ফেলা, ডেটা সংরক্ষণকাল, EU রানটাইম, সাব-প্রসেসর) বন্ধ করেছি। এগুলো কোডের বিপরীতে যাচাই করা, কোনো পাতায় কেবল দাবি করা নয়। → অডিট ক্লোজ-আউট পড়ুন, লাইন ধরে ধরে।

এই পোস্টটি ওই প্রশ্নের সহজ ভাষার সংস্করণ। এতে আছে একজন DPO আসলে যে চেকলিস্ট ধরে কাজ করেন, সেই তালিকায় Zoom কোথায় দাঁড়ায় (ন্যায্যভাবে, কারণ ইন্টারনেটে যা মনে করা হয় তার চেয়ে এটি বেশি কমপ্লায়েন্স-সক্ষম), এবং EU-রানটাইম বিকল্প কোথায় উত্তর বদলে দেয়। "রিয়েল-টাইম মিটিং কীভাবে কাজ করা উচিত" নিয়ে বৃহত্তর আলোচনা চাইলে সেটি মূল গাইডে আছে। এই পোস্ট বিশেষভাবে ডেটা সুরক্ষার স্তর নিয়ে।

সহজ ভাষার চেকলিস্ট

মার্কেটিং বাদ দিলে "GDPR-সম্মত ভিডিও কনফারেন্সিং" দাঁড়ায় এমন সাতটি বিষয়ে, যা আপনি আসলেই যাচাই করতে পারেন:

1. একটি স্বাক্ষরিত DPA। একটি Data Processing Addendum, যেখানে ভেন্ডরকে আপনার প্রসেসর হিসেবে নামোল্লেখ করা হয়েছে এবং উদ্দেশ্য ও নির্দেশনা নথিভুক্ত আছে। DPA নেই মানে বৈধ প্রসেসিং নেই, এখানেই শেষ।
2. একটি প্রকৃত সাব-প্রসেসর তালিকা। মিটিংয়ের ডেটা স্পর্শ করে এমন প্রতিটি তৃতীয় পক্ষ (ট্রান্সক্রিপশন, স্টোরেজ, ইমেইল, অ্যানালিটিক্স, AI ফিচার) নামসহ, তারা কী করে এবং কোথায় নিবন্ধিত তা উল্লেখ করে।
3. রানটাইমে ডেটা কোথায় প্রসেস হয়। আপনার অডিও, ট্রান্সক্রিপ্ট, রেকর্ডিং ও মেটাডেটা যে ভৌগোলিক অঞ্চলে হ্যান্ডেল হয়। বেশিরভাগ ডেটা রেসিডেন্সি ধারা আসলে এ নিয়েই।
4. আন্তর্জাতিক ডেটা স্থানান্তরের প্রক্রিয়া। কোনো ডেটা EEA-র বাইরে গেলে কোন আইনি ভিত্তিতে? Standard Contractual Clauses (SCC), অ্যাডিকোয়েসি, অথবা এমন রেসিডেন্সি ব্যবস্থা যেখানে স্থানান্তরই এড়ানো যায়। এটাই Schrems II প্রশ্ন, এবং হোমপেজে "সম্মত" লেখা আছে বলে এটি উধাও হয় না।
5. অডিটযোগ্য নিরাপত্তা অবস্থান। ISO 27001, ISO 27701, SOC 2 — স্বাধীন প্রত্যয়ন, নিজের দাবি নয়।
6. ডেটা-সাবজেক্ট অধিকার সংক্রান্ত টুলিং। মিটিংয়ের ডেটার ক্ষেত্রে অ্যাক্সেস, মুছে ফেলা ও পোর্টেবিলিটির অনুরোধ আপনি কি সত্যিই পূরণ করতে পারেন, নাকি কেবল তত্ত্বে?
7. আপনার নিয়ন্ত্রিত ডেটা সংরক্ষণ ও মুছে ফেলা। রেকর্ডিং, ট্রান্সক্রিপ্ট ও AI সারসংক্ষেপ মোছা হবে আপনার সময়সূচিতে, ভেন্ডরের ডিফল্টে নয়।

আপনার প্রয়োজনের দিক থেকে একটি টুল "GDPR-সম্মত" তখনই, যখন এই সাতটির প্রতিটির কংক্রিট উত্তর আছে। বেশিরভাগ হোমপেজ এর একটিরও উত্তর দেয় না।

Zoom আসলে কোথায় দাঁড়ায় (ন্যায্যভাবে)

Zoom তার সুনামের চেয়ে বেশি GDPR-সক্ষম। সস্তা পয়েন্ট না তুলে এ বিষয়ে সঠিক থাকা জরুরি:

• এটি 2021 EU Standard Contractual Clauses অন্তর্ভুক্ত একটি গ্লোবাল DPA প্রকাশ করে।
• এটি Enterprise ও Education গ্রাহকদের জন্য EU Data Residency দেয়, যার নাম "Zoom EU Infrastructure"। এতে Meetings, Webinar, Chat, Phone ও Contact Center অন্তর্ভুক্ত।
• এর আছে ISO 27001 এবং, ২০২৬ সালের ফেব্রুয়ারি থেকে, ISO 27701 (গোপনীয়তা-ব্যবস্থাপনা সম্প্রসারণ), এর সঙ্গে প্রকাশিত EU সরকারি খাতের সার্বভৌমত্ব নিয়ন্ত্রণ।

তাই সঠিক টিয়ারে সঠিকভাবে কনফিগার করা একটি Zoom ডিপ্লয়মেন্ট চেকলিস্টের বেশিরভাগ দিক পূরণ করতে পারে। ন্যায্য সতর্কতাগুলো সক্ষমতা নিয়ে নয়, ডিফল্ট ও নিবন্ধনস্থল নিয়ে:

• EU রেসিডেন্সি টিয়ার ও কনফিগারেশন-নির্ভর অ্যাড-অন, ডিফল্ট নয়। এটি Enterprise/Education-এ আছে এবং চালু করে নিতে হয়। ফ্রি ও নিচের পেইড টিয়ার এটি পায় না। "আমরা Zoom ব্যবহার করি" আর "আমরা EU রেসিডেন্সির জন্য কনফিগার করা Zoom ব্যবহার করি" প্রকিউরমেন্টের দিক থেকে ভিন্ন তথ্য।
• Zoom একটি US-নিবন্ধিত কোম্পানি। SCC ও EU রেসিডেন্সি থাকলেও CLOUD-Act এবং সার্বভৌমত্ব-মানের মূল্যায়নে ভেন্ডরের কর্পোরেট নিবন্ধনস্থল বিবেচ্য। সাধারণ GDPR-এর ক্ষেত্রে SCC দিয়ে এটি সামলানো যায়। কিন্তু ফরাসি souveraineté numérique বা SecNumCloud-মানের প্রকিউরমেন্টে কর্পোরেট নিবন্ধনস্থলই একটি মানদণ্ড, এবং সেটি কঠিনতর আলোচনা।
• মিটিং তবু এক ভাষাতেই হয়। Zoom-এর অনূদিত ক্যাপশন ও AI Companion সাহায্য করে, কিন্তু ঘরটি সত্যিকার বহুভাষিক হয়ে ওঠে না, অর্থাৎ প্রতিটি অংশগ্রহণকারী মিটিং লাইভ নিজের ভাষায় শোনেন না। আপনার কমপ্লায়েন্স সমস্যা যদি একই সঙ্গে ভাষার সমস্যাও হয় (আন্তঃসীমান্ত অডিট, বহু-সাইটের CAPA রিভিউ), তাহলে ডেটা যেখানেই থাকুক, সেই ফাঁক অমীমাংসিত থেকে যায়।

সংক্ষেপে: কনফিগার করা হলে Zoom GDPR-সম্মত হতে পারে। সেটি যথেষ্ট কি না, তা নির্ভর করে আপনার ক্রেতা সার্বভৌমত্ব নিয়ে কতটা সংবেদনশীল এবং মিটিংগুলো বহুভাষিক কি না তার ওপর।

EU-রানটাইম বিকল্প

আমরা InterMIND এমনভাবে বানিয়েছি যাতে ডেটা রেসিডেন্সির উত্তর ডিফল্টেই থাকে, কোনো কনফিগারেশন প্রকল্প না হয়, এবং মিটিংও সত্যিই বহুভাষিক হতে পারে। উপরের চেকলিস্টে প্রতিশ্রুতির বদলে কাঠামোগত অংশটি হলো মিটিং কোথায় চলে। লাইভ ডিপ্লয়মেন্টের বিপরীতে যাচাই অনুযায়ী:

• প্রতিটি রানটাইম হপ EU-তে। অ্যাপ ও সার্ভার API Frankfurt-এর (fra1) Vercel-এ; মিটিং WebSocket সার্ভার Paris-এর (cdg) Fly-তে; অ্যাপ্লিকেশন ডেটা AWS Frankfurt-এর (eu-central-1) Neon Postgres-এ; রেকর্ডিং Tigris-এ, EU-তে পিন করা যায়; এরর/অ্যানালিটিক্স Sentry EU ও PostHog EU-তে; লেনদেনভিত্তিক ইমেইল আয়ারল্যান্ডের Resend-এর মাধ্যমে।
• অনুবাদ ইঞ্জিন আমাদের নিজস্ব কোড, ফ্রান্সে (OVH)। এটি কোনো US সাধারণ-উদ্দেশ্যের মডেল নয় যা আমরা পুনর্বিক্রি করি। মিটিং কনটেন্টের সবচেয়ে বড় প্রবাহটি EU-তেই থাকে এবং কোনো তৃতীয় পক্ষের LLM-কে স্পর্শ করে না। ডকুমেন্ট অনুবাদ যায় Cologne-এর DeepL-এ, সেটিও একটি EU কোম্পানি।
• কর্পোরেট-নিবন্ধনস্থলের বিবরণসহ সাব-প্রসেসর তালিকা DPA-র সঙ্গেই আসে, এটি আদর্শ চর্চা হিসেবে, অনুরোধের অপেক্ষায় নয়।

মিটিং কনটেন্ট যায় একটি AI গেটওয়েতে, EU-তে, এবং সেটি বেছে নেয় প্রতিষ্ঠান নিজেই। ভাষা মডেল প্রয়োজন হয় এমন মিটিং-উদ্ভূত সবকিছু, যেমন মিটিং-পরবর্তী AI ডাইজেস্ট (বিষয়, সিদ্ধান্ত, অ্যাকশন আইটেম), ডকুমেন্ট সারসংক্ষেপ, AI নোট-এডিটরের জেনারেটিভ অ্যাকশন (ঠিক করা, বাড়ানো, সহজ করা) এবং Ask AI, চলে আপনার প্রতিষ্ঠানের নির্বাচিত AI গেটওয়েতে। ডিফল্ট হলো EU Data Zone-এ Azure OpenAI। পছন্দমতো হতে পারে EU মাল্টি-রিজিয়ন এন্ডপয়েন্টে Vertex AI অথবা Frankfurt-এ Amazon Bedrock। প্রতিটিই আমাদের নিজস্ব টেন্যান্টে, শূন্য ডেটা সংরক্ষণসহ এবং গ্রাহকের কনটেন্টে কোনো প্রশিক্ষণ ছাড়া। অথবা আপনার নিজস্ব OpenAI-সামঞ্জস্যপূর্ণ এন্ডপয়েন্ট। মিটিং-পরবর্তী সারসংক্ষেপ এবং এডিটরের অনুবাদ অ্যাকশন যায় অনুবাদ পথ দিয়ে, ভাষা মডেল দিয়ে নয়। হোস্টেড গেটওয়ের পেছনের ভেন্ডররা EU অঞ্চলে কাজ করা US কোম্পানি। এটি ট্রাস্ট পেজে স্পষ্টভাবে বলা আছে, লুকানো নয়। GDPR-এর ওপর সার্বভৌমত্ব-মানের প্রকিউরমেন্ট যে মানদণ্ড যোগ করে তা কর্পোরেট নিবন্ধনস্থল, এবং উপরে Zoom-এর ক্ষেত্রে যেমন, এই হপের ক্ষেত্রেও তা হুবহু প্রযোজ্য। ভেন্ডর-ভিত্তিক পূর্ণ মানচিত্র আছে Where one InterMIND meeting actually runs-এ, আর বিল্ড-বনাম-বাই দৃষ্টিভঙ্গি আছে What one InterMIND meeting is built from-এ।

একটি বিষয়ে আমরা দাবি করি না: যে ISO সার্টিফিকেট আমাদের এখনো নেই, তা দেখিয়ে বেড়াব না। চেকলিস্টে আমাদের উত্তর স্থাপত্যগত: EU রানটাইম, নিজস্ব ইঞ্জিন, স্বচ্ছ সাব-প্রসেসর, একটি প্রকৃত DPA। আমরা চাই আপনি একটি ব্যাজে ভরসা না করে নিজে যাচাই করুন। সার্টিফিকেশন রোডম্যাপে আছে; রানটাইম আজই বাস্তব। আমরা আমাদের নিজস্ব কোডবেস ঠিক এই চেকলিস্টের মধ্য দিয়ে চালিয়েছি এবং প্রতিটি আইটেম কোডের বিপরীতে বন্ধ করেছি, ক্লোজ-আউট রিপোর্ট, লাইন ধরে ধরে।

আর যা Zoom-এর রেসিডেন্সি সেটিংস যোগ করতে পারে না: মিটিংটি নকশাতেই বহুভাষিক। প্রতিটি অংশগ্রহণকারী ২৩টি ভাষায় নিজের ভাষায় লাইভ, ভয়েস, চ্যাট ও নোটসহ, এবং অনুবাদের মান খোলাখুলি প্রকাশিত, কেবল দাবি করা নয়। এটি কীভাবে কাজ করে তা মূল গাইডে আছে। নিয়ন্ত্রিত মিটিংয়ের ব্যবহার-ক্ষেত্র আছে multilingual compliance meetings-এ।

টেবিল আকারে চেকলিস্ট

এই পোস্টে বিস্তারিত আলোচিত দুটি টুলের বিপরীতে সাতটি আইটেম। প্রতিটি ঘরে কেবল তা-ই বলা হয়েছে যা প্রতিটি ভেন্ডর নিজে নথিভুক্ত করেছে (Zoom-এর লিংক নিচে Sources-এ; InterMIND-এর দাবিগুলো অডিট ক্লোজ-আউটে ও রানটাইম মানচিত্রে লাইন ধরে যাচাই করা)। অন্য যেকোনো ভেন্ডরের ক্ষেত্রে, বাঁ দিকের কলামের প্রশ্নগুলোর লিখিত উত্তর চেয়ে নিন।

FAQ

Zoom কি GDPR-সম্মত? সঠিক টিয়ার ও কনফিগারেশনে হতে পারে: Zoom 2021 EU SCC সহ একটি গ্লোবাল DPA প্রকাশ করে, Enterprise ও Education গ্রাহকদের EU Data Residency দেয়, এবং ISO 27001 ও (২০২৬ সালের ফেব্রুয়ারি থেকে) ISO 27701 ধারণ করে। ন্যায্য সতর্কতা: EU রেসিডেন্সি ডিফল্ট নয়, টিয়ার ও কনফিগারেশন-নির্ভর অ্যাড-অন, এবং Zoom একটি US-নিবন্ধিত কোম্পানিই থাকে। সাধারণ GDPR-এ SCC দিয়ে এটি সামলানো যায়, কিন্তু সার্বভৌমত্ব-মানের প্রকিউরমেন্টে এটি একটি প্রকৃত মানদণ্ড।

কোন বিষয়গুলো একটি ভিডিও কনফারেন্সিং টুলকে GDPR-সম্মত করে? সাতটি যাচাইযোগ্য বিষয়, হোমপেজের ব্যাজ নয়: একটি স্বাক্ষরিত DPA, একটি প্রকৃত সাব-প্রসেসর তালিকা, একটি নথিভুক্ত রানটাইম অঞ্চল, একটি বৈধ আন্তর্জাতিক স্থানান্তর প্রক্রিয়া, স্বাধীনভাবে অডিট করা নিরাপত্তা, কার্যকর ডেটা-সাবজেক্ট-অধিকার টুলিং, এবং আপনার নিয়ন্ত্রিত ডেটা সংরক্ষণ। একজন ভেন্ডর আপনার প্রয়োজনের দিক থেকে সম্মত তখনই, যখন সাতটির প্রতিটির লিখিত কংক্রিট উত্তর আছে।

GDPR কি ভিডিও মিটিংকে EU-তে থাকতে বাধ্য করে? না। ডেটা EEA-র বাইরে গেলে GDPR একটি বৈধ স্থানান্তর প্রক্রিয়া (SCC, অ্যাডিকোয়েসি) চায়, রেসিডেন্সি হিসেবে সেটি চায় না। রেসিডেন্সি গুরুত্বপূর্ণ কারণ এটি স্থানান্তরের প্রশ্নটিই সরিয়ে দেয়: ডেটা কখনো বাইরে না গেলে Schrems II-পরবর্তী বিশ্লেষণ ছোট হয়ে আসে। "কাগজে-কলমে সম্মত" আর "ঢাকা দেওয়ার কিছু নেই"-র মধ্যে পার্থক্য এখানেই।

কোন ভিডিও কনফারেন্সিং টুল সম্পূর্ণভাবে EU-তে চলে? যেকোনো ভেন্ডরের কাছে তাদের রানটাইম মানচিত্র চান: প্রতি হপের অঞ্চল, যেমন অ্যাপ, API, মিটিং মিডিয়া, ডাটাবেস, রেকর্ডিং, অ্যানালিটিক্স, ইমেইল, AI ফিচার। InterMIND ঠিক সেটিই প্রকাশ করে (প্রতিটি হপ, ভেন্ডর ধরে ধরে): Vercel Frankfurt, Fly Paris, Neon Frankfurt, OVH ফ্রান্সে অনুবাদ ইঞ্জিন, এবং প্রতিষ্ঠানের নির্বাচিত গেটওয়েতে AI ফিচার, EU অঞ্চলে (ডিফল্ট Azure OpenAI EU Data Zone)। যে টুলই মূল্যায়ন করুন, উত্তর হলো মানচিত্র, মার্কেটিং পেজ নয়।

এটি কোন ক্রেতার জন্য

• জার্মান Mittelstand এবং নিয়ন্ত্রিত EU টিম, যারা স্ট্যান্ডার্ড GDPR DPA ব্যবহার করে: প্রতিটি হপে EU রানটাইম রেসিডেন্সি প্রশ্নের সরাসরি উত্তর দেয়, টিয়ার আপগ্রেড বা রেসিডেন্সি প্রকল্প ছাড়াই। ডেটা বাইরে না গেলে স্থানান্তর-প্রক্রিয়া নিয়ে আলোচনা অনেক ছোট হয়ে আসে।
• ফরাসি সরকারি খাত এবং souveraineté-মানের প্রকিউরমেন্ট, যেখানে ভেন্ডরের কর্পোরেট নিবন্ধনস্থলই স্পেসিফিকেশনের অংশ: এটি ডিপ্লয়মেন্ট টপোলজি নিয়ে গভীরতর আলোচনা, এবং সেটি আমরা অতিরঞ্জন না করে সততার সঙ্গে করব।
• US-অভ্যন্তরীণ ও APAC ক্রেতা: রেসিডেন্সি সাধারণত বাধা নয়, বাধা আপনার অঞ্চল থেকে লেটেন্সি। এটি ভিন্ন সমস্যা; আমাদের জানান, আমরা সে অনুযায়ী পরিকল্পনা করব।

চেষ্টা করুন, তারপর ডেটা মানচিত্র পড়ুন

• লাইভ ডেমো চেষ্টা করুন — একটি বাস্তব মিটিংয়ে লাইভ, বহুভাষিক পাইপলাইন শুনুন এবং "EU-রানটাইম এবং বহুভাষিক" আসলে কেমন লাগে তা অনুভব করুন। সাইনআপ লাগবে না।
• InterMIND বনাম Zoom — ফিচার ধরে ধরে, সততার সঙ্গে।
• Where one InterMIND meeting actually runs — পূর্ণ ভেন্ডর মানচিত্র, ফাঁকসহ।

"GDPR-সম্মত ভিডিও কনফারেন্সিং" একটি চেকলিস্ট, ব্যাজ নয়। যে টুলই বেছে নিন, আমাদের হোক বা অন্য কারও, ভেন্ডরকে লিখিতভাবে সাতটি প্রশ্নেরই উত্তর দিতে বাধ্য করুন। যারা পারে তারা আপনার সময়ের যোগ্য; যারা পারে না তারা আপনাকে একটি হোমপেজ বিক্রি করছে।

— Mind.com টিম

Zoom সংক্রান্ত সূত্র: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, যাচাই করা হয়েছে ২০২৬ সালের আগস্টে। ভেন্ডরের অফার ও টিয়ার বদলায়; বর্তমান কনফিগারেশন Zoom-এর ট্রাস্ট পেজের বিপরীতে যাচাই করুন। InterMIND-এর রানটাইম তথ্য লিংক করা ডেটা-ম্যাপ পোস্টে বর্ণিত লাইভ ডিপ্লয়মেন্টের বিপরীতে যাচাই করা।