Vi har afsluttet vores GDPR-audit. Her er, hvad vi faktisk fik lukket.

For nogle uger siden skrev vi, at "GDPR-compliant" på et videoværktøjs forside betyder mindre, end du tror. GDPR er et sæt forpligtelser, der hviler på dig, den dataansvarlige, og en leverandør enten hjælper dig med at leve op til dem eller lader dem stille og roligt blive liggende på dit skrivebord. Den ærlige måde at underbygge den påstand på er at gøre arbejdet hos os selv og vise det, linje for linje.

Det har vi gjort. Vi har gennemført en fuld audit af InterMIND-kodebasen op imod de forpligtelser, der hviler på os som databehandler, rettet alle huller, der havde kode bag sig, og verificeret hvert enkelt mod det kørende produkt. Dette indlæg er afslutningsrapporten: ikke et badge, men en tjekliste med vores svar.

Vi påstår bevidst ikke, at vi er "100 % GDPR-certificerede". GDPR er ikke et certifikat, man består, og vi vil ikke vifte med et ISO-badge, vi endnu ikke har. Det, vi kan sige: De arkitektoniske og proceduremæssige forpligtelser, en DPO arbejder sig igennem, har nu konkrete, verificerbare svar, som hver er kontrolleret mod den kørende kode.

Hvad vi lukkede

Retten til sletning (art. 17) — kaskaden kører faktisk

Når du sletter din konto, bliver den ikke bare deaktiveret. POST /api/user/delete-account kører en reel kaskade: Den sletter dine møder → deltagere, beskeder, konferencer og transskriptioner. Den rydder dine lagerobjekter ud af Tigris før databasekaskaden, så intet efterlades som forældreløst. Det gælder både chatvedhæftninger og videooptagelser, begge kolonner. Og den opsiger dine Stripe-abonnementer og sletter Stripe-kunden. Sletning efter behov er der også: Fjern en kanal eller en besked fra brugerfladen, og den er væk. Anonyme (gæste)konti har deres eget sletteendpoint samt en baggrundsoprydning hver 6. time under et overvåget cronjob. Auditten afdækkede ét hul her: optagelser, som databasekaskaden fjernede, men som lageret beholdt. Det har vi lukket, så sletning nu ikke efterlader noget i objektlageret.

Opbevaring (art. 5(1)(e)) — et dokumenteret kriterium

Art. 5(1)(e) kræver ikke en automatisk time-to-live. Den kræver et defineret opbevaringskriterium. Vores står nu i privatlivspolitikken: Data opbevares, indtil du eller din teamejer sletter dem, og sletning af din konto fjerner alt. Det er den samme model, som samarbejdsværktøjer som Slack og Notion kører på. Vedvarende lagring er den forventede adfærd, og du har selv kontrollen over den. Kriteriet er udtrykkeligt angivet, ikke antydet.

Samtykke til analyse (art. 6/7) — fravalgt som standard

Et Usercentrics-samtykkebanner (vist for EU-besøgende) styrer adgangen til analyse, og PostHog leveres med opt_out_capturing_by_default: true. Intet registreres, før der er givet samtykke, og ikke omvendt.

Dataportabilitet (art. 20) — en reel eksport

GET /api/user/export bygger en ZIP-fil med dine møder, beskeder, optagelser og oversættelser, med et downloadvindue på 7 dage og automatisk oprydning. Indsigt, sletning og portabilitet er værktøjer, der virker, ikke løfter i en politik.

Mødeindhold går til én AI-gateway i EU — valgt af organisationen

Den største strøm af mødeindhold, nemlig tale- og chatoversættelse live, kører på vores egen motor i Frankrig, aldrig på en tredjeparts LLM. De AI-trin, der bruger en generel model (opsummeringen, dokumentresuméer, notatredigeringens generative handlinger, Ask AI), kører på den AI-gateway, organisationen vælger. Som standard er det Azure OpenAI i EU Data Zone, og Vertex AI EU eller Amazon Bedrock Frankfurt kan vælges i stedet, hver i vores egen tenant med nul dataopbevaring og uden træning på kundeindhold. Organisationen kan også bruge sit eget endpoint. Én resolver i koden vælger gatewayen for hvert kaldested, så der ikke findes en anden vej. Vi har også fjernet deltagernavne og ytringstekst fra konferencens browserlogs, som PostHog session-recording ellers kunne have opfanget. Det fulde kort over leverandør for leverandør findes i Hvor ét InterMIND-møde faktisk kører.

Gennemsigtighed — underdatabehandlere og fortegnelser over behandling, offentliggjort

Listen over underdatabehandlere er live, med hvad hver leverandør gør, og hvor den har hjemsted, ikke "tilgængelig på anmodning". Bag den ligger en fortegnelse over behandlingsaktiviteter (Record of Processing Activities, ROPA) bygget ud fra det live skema: 11 behandlingsaktiviteter, sikkerhedsforanstaltningerne for hver og stierne for sletning og portabilitet. Vores privatlivspolitik og vilkår kører nu under vores egen juridiske enhed, med den reelle behandlingskæde beskrevet.

EU-runtime — fastlåst, ikke bare lovet

Hvert runtime-led, et møde passerer, er i EU: app og API'er på Vercel Frankfurt, mødeserveren på Fly Paris, applikationsdata i Neon Postgres (AWS Frankfurt), fejl på Sentry EU, analyse på PostHog EU og e-mail via Resend Irland. Objektlageret på Tigris er nu fastlåst til EU-regioner (Frankfurt + Amsterdam), så hver ny skrivning lander i EU, uanset hvor brugeren befinder sig. Den fulde arkitektur findes på vores sikkerhedsside.

Hvorfor det har betydning for jeres indkøb

For de fleste EU-købere, fx tyske Mittelstand og regulerede teams med standard-GDPR-databehandleraftaler, har spørgsmålet om dataresidens nu et direkte svar: Dataene forlader ikke EU under runtime, sletning virker, opbevaringskriteriet er angivet, og listen over underdatabehandlere ligger på bordet. Det er en langt kortere samtale end "vi vender tilbage til jer om, hvor dataene går hen".

For fransk souveraineté numérique og indkøb på SecNumCloud-niveau er leverandørens juridiske hjemsted i sig selv et kriterium. Det er en dybere samtale om deployment-topologi, som vi hellere fører ærligt end sælger for højt. Og den ene ting, vi ikke vil gøre, er at vifte med et ISO-certifikat, vi endnu ikke har: Certificeringer står på køreplanen, men vores svar på tjeklisten er arkitektonisk og verificerbart i dag.

Se det selv

• GDPR-compliant videokonference: den fulde DPO-tjekliste — de syv ting, du skal få enhver leverandør til at svare på, og hvor Zoom placerer sig.
• Hvor ét InterMIND-møde faktisk kører — leverandørkortet, med hullerne nævnt ved navn.
• Er dit møde fortroligt? — de tre spørgsmål, du bør stille, før DPO-tjeklisten kommer frem.
• Sikkerhed og privatliv · Underdatabehandlere · Privatlivspolitik · Vilkår
• Prøv live-demoen — hør den levende, flersprogede pipeline på EU-runtime i et rigtigt møde, uden behov for tilmelding.

GDPR-compliance er ikke et badge, man køber. Det er arbejde, man udfører og kan vise. Det her er vores, linje for linje. Hvis din DPO har brug for et svar, som dette indlæg ikke giver, så skriv til os.

— Mind.com-teamet

Kilder: Forordning (EU) 2016/679 (GDPR) — de artikler, der er auditeret imod; interne påstande verificeret mod InterMIND-kodebasen og det kørende produkt; kontrolleret august 2026.