Mensajería conforme con el GDPR para empresas (2026): lo que los proveedores documentan realmente

«¿Qué servicio de mensajería cumple el GDPR?» es una pregunta a la que ningún proveedor puede responder honestamente con «nosotros». El GDPR pone las obligaciones sobre usted, el responsable del tratamiento: necesita un acuerdo de encargo de tratamiento (art. 28), necesita saber dónde residen los datos y si salen hacia un tercer país, y necesita poder eliminarlos y atender solicitudes de acceso. Una mensajería puede hacer que esas obligaciones sean cumplibles o no. Un sello en una página de inicio no dice nada más que eso.

Por eso esta guía hace algo distinto de las listas habituales. Toma seis comprobaciones que un delegado de protección de datos (DPO) hace de todos modos y las aplica a doce servicios: las mensajerías de consumo en las que las empresas trabajan realmente (WhatsApp, Signal, Telegram), las mensajerías empresariales de Suiza y Alemania (Threema Work, Teamwire, Wire, Stackfield), las plataformas autoalojadas (Element, Mattermost, Rocket.Chat) y los dos paquetes (Microsoft Teams, Slack). Después, InterMIND, que desarrollamos nosotros, con los mismos criterios y la misma regla de fuentes. Cada afirmación procede de la documentación pública del proveedor, consultada en agosto de 2026 y enlazada al final.

Se suma una séptima comprobación, que nunca aparece en las listas del GDPR y que importa cada día en un equipo internacional: ¿en qué idioma lee cada miembro el canal? Una mensajería que guarda los mensajes solo en el original traslada la traducción a cada persona, y a servicios que luego vuelven a tratar los datos.

Las seis comprobaciones

El Comisionado Federal de Protección de Datos de Alemania (BfDI) publica criterios de selección para servicios de mensajería, el baremo público más útil. Define el cifrado de extremo a extremo como mensajes «cifrados en el dispositivo del remitente y solo descifrados de nuevo en el dispositivo del destinatario», enumera ajustes de privacidad como el acceso a la agenda de contactos, la visibilidad del perfil, las confirmaciones de lectura, el análisis de uso y los informes de errores, y exige que la eliminación de la cuenta suponga que los datos se «eliminen de inmediato». Para el uso en empresa se suman las obligaciones del art. 28. En conjunto:

1. Acuerdo de encargo de tratamiento (DPA). ¿Lo ofrece el proveedor y figura en su documentación?
2. Entidad y ubicación de los servidores. ¿Qué empresa es su parte contratante, dónde residen los datos, hay transferencia a un tercer país?
3. Cifrado. ¿De extremo a extremo, o en tránsito y en el servidor? Ambos son legítimos; solo tienen que estar declarados.
4. Metadatos y agenda de contactos. ¿Se sube la agenda de contactos? ¿Qué datos de uso y de dispositivo se recopilan y con quién se comparten?
5. Eliminación y conservación. ¿Dónde vive el historial, quién lo elimina, qué ocurre cuando un empleado se marcha?
6. Subencargados. ¿Están publicados, incluidos los servicios usados para funciones de IA y traducción?

Y la séptima: idioma por miembro.

Las mensajerías de consumo en el trabajo

WhatsApp (y la aplicación WhatsApp Business)

• Parte contratante: para el EEE, «WhatsApp Ireland Limited».
• Cifrado y almacenamiento: los mensajes están cifrados de extremo a extremo; «no conservamos sus mensajes en el curso ordinario de la prestación de nuestros Servicios. Una vez entregados sus mensajes, se eliminan de nuestros servidores». Por tanto, el historial vive en los dispositivos de los empleados y en sus copias de seguridad.
• Metadatos: se recopila «información sobre su uso de nuestros Servicios», datos del dispositivo («modelo de hardware, información del sistema operativo, nivel de batería, intensidad de la señal») y, opcionalmente, la agenda de contactos («carga de contactos … desde la agenda de su dispositivo de forma periódica»). Los datos se comparten con «empresas de Meta en Estados Unidos e Irlanda» y se transfieren «a nivel global».
• DPA: la política de privacidad de la aplicación no menciona ningún acuerdo de encargo de tratamiento para empresas (consultado en agosto de 2026). La aplicación Business «está pensada para el propietario de una pequeña empresa».
• Idioma: desde septiembre de 2025 se puede traducir un mensaje con una pulsación larga, en el dispositivo («las traducciones se realizan en su dispositivo, donde WhatsApp no puede verlas»); Android puede traducir automáticamente chats completos (seis idiomas en el lanzamiento) e iPhone usa la traducción de Apple en más de 19 idiomas. Las notas de voz y las llamadas no forman parte del anuncio.

Signal

• Parte contratante: Signal Messenger LLC, Mountain View, California, una organización sin ánimo de lucro.
• Cifrado: «Signal no puede descifrar ni acceder de otro modo al contenido de sus mensajes o llamadas».
• Metadatos: registro mediante número de teléfono; los datos técnicos se limitan «al mínimo necesario para operar los Servicios».
• DPA: ninguno documentado en los documentos legales de Signal (consultado en agosto de 2026).
• Idioma: no hay ninguna función de traducción documentada.

Telegram

• Parte contratante y ubicación: «Telegram Messenger Inc.», con «Telegram FZ-LLC, un miembro del grupo ubicado en Dubái»; para usuarios de la UE/EEE, «sus datos se almacenan en centros de datos de los Países Bajos». El representante a efectos del GDPR es la European Data Protection Office (EDPO) en Bruselas.
• Cifrado: los chats en la nube están cifrados en el servidor («todos los datos se almacenan con un cifrado intenso y las claves de cifrado se guardan en cada caso en varios otros centros de datos de distintas jurisdicciones») y solo los chats secretos son de extremo a extremo: «Los chats secretos usan cifrado de extremo a extremo».
• DPA: no documentado en la política de privacidad (consultado en agosto de 2026).
• Idioma: «Todos los usuarios pueden traducir mensajes individuales»; los usuarios Premium «pueden traducir chats, grupos y canales completos en tiempo real tocando la barra Translate en la parte superior».

Las tres son herramientas en las que los equipos trabajan de verdad. Lo que comparten: el historial pertenece al dispositivo o a la nube del proveedor, no a la empresa, y el DPA que exige el art. 28 no aparece en ninguna de las tres documentaciones.

Mensajerías empresariales de Suiza y Alemania

Threema Work

• Ubicación: Suiza. El proveedor señala que una transferencia de datos de la UE a Suiza es legalmente admisible sin comprobaciones adicionales.
• Metadatos: Threema Work «no requiere datos personales (como un número de teléfono o una dirección de correo electrónico)» y «puede usarse sin acceso a la agenda de contactos».
• DPA: según el proveedor, Threema Work «cumple los requisitos para un tratamiento por cuenta de un responsable conforme con la protección de datos según el GDPR y la DSG suiza».
• Prueba: «30 días, 30 usuarios. Sin renovación automática». Los precios por usuario no figuran en la página.
• Idioma: no hay ninguna función de traducción documentada.

Teamwire

• Ubicación: «nube pública alemana (IONOS, con certificación C5)», «nube privada dedicada» o «alojamiento on-premise completo»; «alojamiento en Alemania en lugar de en EE. UU.», «sin almacenamiento fuera de la UE».
• Certificaciones: «ISO 27001, BSI C5, certificado por TÜV»; se mencionan GDPR de la UE, BDSG, BSI IT-Grundschutz, NIS-2, DORA y CER.
• Metadatos: «sin acceso a la agenda de contactos» y «sin análisis de la comunicación».
• GDPR: el proveedor se describe como «100 % conforme con el GDPR», una autodescripción que el DPA tiene que respaldar caso por caso. Sin precios en la página.
• Idioma: no hay ninguna función de traducción documentada.

Wire

• Ubicación: «nube, on-premises o híbrida».
• Cifrado: protocolo MLS; «los mensajes, archivos y llamadas son E2EE completos por defecto»; videollamadas «de hasta 200 participantes», con cada sesión cifrada de extremo a extremo.
• Certificaciones: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: «plenamente conforme con normativas estrictas de protección de datos, incluido el GDPR» (autodescripción). Sin precios por usuario en la página.
• Idioma: no hay ninguna función de traducción documentada.

Stackfield

• Ubicación: «todo el tratamiento de datos se limita a la UE y los propios datos residen exclusivamente en centros de datos alemanes»; la empresa está sujeta «exclusivamente a la jurisdicción de Alemania y de la UE».
• Cifrado: «auténtico cifrado de extremo a extremo» para mensajes, archivos y tareas.
• Certificaciones: ISO 27001, BSI C5.
• Reuniones: conferencias de audio y vídeo incluidas.
• Idioma: no hay ninguna función de traducción documentada.

Los cuatro responden a las preguntas de ubicación y cifrado con toda la claridad que puede ofrecer un proveedor. Lo que ninguno documenta: una traducción que permita a un colega polaco, a uno portugués y a uno alemán leer el mismo canal en su propio idioma.

Plataformas autoalojadas

Element (Matrix)

• Cifrado: «toda la plataforma está cifrada de extremo a extremo por defecto», incluido Element Call para voz y vídeo.
• Operación: Community gratuita, autoalojada; Enterprise por puesto y mes, autoalojada; Sovereign por despliegue, aislada de la red (air-gapped).
• Idioma: no hay ninguna función de traducción documentada; con el cifrado de extremo a extremo no hay un lugar en el servidor donde pueda ejecutarse.

Mattermost

• Operación: Professional y Enterprise como licencias anuales autoalojadas, precios bajo petición; Mattermost Cloud Enterprise como oferta de inquilino único.
• Idioma: traducción automática de canales (beta, desde v11.5) en Enterprise Advanced: el back-end es «LibreTranslate: un motor de traducción automática de código abierto y autoalojado» o «Agents: usa el plugin Mattermost Agents con un back-end LLM configurado»; el idioma de destino de un usuario «se determina por su idioma de visualización de Mattermost». La traducción se ejecuta en su servidor.

Rocket.Chat

• Operación: el plan Starter es gratuito, «autogestionado, autoalojado», «para evaluación técnica o equipos pequeños de hasta 50 usuarios»; los planes de pago son Commercial, Government y Defense, on-premises, nube privada o air-gapped, con precios bajo petición.
• Idioma: Auto-Translate por sala («cada usuario recibe traducciones según su propio idioma seleccionado») mediante DeepL, Google Translate, Microsoft Translator o LibreTranslate, con una clave de API que aporta el administrador. Por tanto, el texto del mensaje va al proveedor que usted elija, salvo que sea LibreTranslate en su propio host.

Nextcloud Talk pertenece al mismo grupo: «un servicio de comunicación por audio/vídeo y chat totalmente autoalojado, on-premises», con transcripción y traducción en directo en su propio hardware (detalles en la comparativa de herramientas de comunicación de equipo).

Los paquetes: Microsoft Teams y Slack

Microsoft Teams

• DPA: «Cuando se suscribe a un Producto conforme a los términos del sitio de Product Terms, los términos de tratamiento de datos y seguridad se definen en el Microsoft Online Services Data Protection Addendum (DPA)».
• Ubicación: los datos de Teams residen «en la región geográfica asociada a su organización de Microsoft 365 u Office 365»; la residencia por país (Alemania, Francia, Italia, Noruega, Polonia, Suecia, Suiza y otros) es «solo para nuevos inquilinos», y los inquilinos de la UE existentes permanecen en la región EMEA. El EU Data Boundary compromete a Microsoft a almacenar y tratar los Datos del Cliente de Microsoft 365 dentro de la UE/AELC, «sujeto a circunstancias limitadas» con excepciones documentadas; los clientes con Multi-Geo quedan fuera de su alcance.
• Idioma: los mensajes de chat y de canal se traducen a petición o automáticamente («Teams puede traducir automáticamente los mensajes recibidos»), en más de 100 idiomas, sin licencia indicada; en las reuniones, los subtítulos traducidos requieren la licencia Teams Premium o Copilot del organizador, y el agente Interpreter (10 idiomas) requiere una licencia Copilot por oyente, 20 horas al mes. Detalles: traducción en vivo en Teams.

Slack

• DPA: «Slack ofrece un Data Processing Addendum que complementa las Condiciones de Servicio del Cliente», que se formaliza mediante un formulario y no se incorpora automáticamente.
• Ubicación: residencia de datos a partir de Business+: Fráncfort, París, Estocolmo, Zúrich, Londres. Cubre mensajes, canvases, archivos y el índice de búsqueda; no cubre perfiles de miembros ni analítica de uso. El plan Free conserva 90 días de historial de mensajes.
• Idioma: «Translate message» en Business+ y Enterprise+, a petición por mensaje; «las traducciones solo son visibles para usted, así que las demás personas siempre verán el mensaje original».

InterMIND

Desarrollamos un espacio de comunicación en el que cada miembro lee las reuniones, el chat, los documentos y su historial en su propio idioma, y lo sometemos a las mismas siete comprobaciones:

1. DPA: firmado por cliente: condiciones de encargado del art. 28 con un preaviso de 30 días ante nuevos subencargados y un plazo de 72 horas para notificar brechas; hay una copia firmada disponible para compras (/legal/dpa).
2. Entidad y ubicación: operada por una OÜ estonia; la ejecución es en la UE en cada salto: traducción de voz y de chat con nuestro propio motor en servidores dedicados en Francia, orquestación de reuniones en París, base de datos en Fráncfort, almacenamiento y analítica residentes en la UE. El mapa, proveedor por proveedor: dónde se ejecuta realmente una reunión de InterMIND.
3. Cifrado: cifrado en tránsito (audio y vídeo mediante DTLS/SRTP, chat y archivos mediante HTTPS/WSS) y cifrado en reposo en nuestros servidores. Sin cifrado de extremo a extremo: la traducción es tratamiento y se realiza en nuestro motor, no en un tercero. Si el E2EE es para usted lo más importante, Element, Wire o Threema son la mejor opción, y lo decimos abiertamente.
4. Metadatos y agenda de contactos: sin carga de la agenda de contactos; los participantes se unen mediante enlace, sin cuenta y sin número de teléfono.
5. Eliminación y conservación: el criterio de conservación figura en la política de privacidad: los datos permanecen hasta que usted o el propietario de su equipo los eliminen; al eliminar una cuenta se eliminan sus datos. Auditamos nuestro propio código frente a las obligaciones del GDPR y documentamos lo que cerramos: auditoría GDPR.
6. Subencargados: publicados, con función y domicilio por proveedor. Los pasos con modelos de lenguaje (resumen, resúmenes de documentos, asistente de escritura, Ask AI) se ejecutan en la pasarela de IA que seleccione la organización (Azure OpenAI en la EU Data Zone por defecto, Vertex AI UE o Amazon Bedrock Fráncfort a elección), en el inquilino propio de InterMIND, con retención cero de datos y sin entrenamiento con el contenido de los clientes; los proveedores son empresas estadounidenses que operan regiones de la UE, algo que se indica en la página de confianza. La traducción de documentos se realiza a través de DeepL como subencargado de la UE declarado.
7. Idioma por miembro: chat y notas en 23 idiomas, documentos en 30, voz en directo para cada participante en su propio idioma, como comportamiento predeterminado de la sala, sin complementos ni licencias por oyente. La calidad se publica cada mes por par de idiomas: /benchmark.

Lo que no afirmamos: un certificado ISO que todavía no tenemos. Nuestra respuesta a la lista de comprobación es arquitectónica y verificable en el código; las certificaciones están en la hoja de ruta.

Resumen comparativo

Qué mensajería para cada caso

• El cifrado de extremo a extremo es su primer criterio y la traducción no importa: Threema Work (Suiza, sin número de teléfono), Wire (MLS, llamadas incluidas), Stackfield (centros de datos alemanes) o Element (autoalojado, gratuito en la edición Community).
• Todo debe ejecutarse en sus propios servidores y usted cuenta con el personal: Rocket.Chat (gratuito hasta 50 usuarios, traducción mediante la clave de su proveedor), Mattermost Enterprise Advanced (traducción de canales en beta con su LibreTranslate o LLM), Nextcloud Talk.
• Ya es cliente de Microsoft o de Slack: ambos documentan un DPA y residencia en la UE: Teams mediante la región del inquilino y el EU Data Boundary, Slack a partir de Business+. La traducción es por lector y a petición; el idioma de la reunión en Teams depende de licencias Copilot.
• El equipo trabaja en WhatsApp, Signal o Telegram: servicios documentados para la comunicación privada, en parte cifrados de extremo a extremo, pero sin DPA documentado, con el historial en dispositivos o en la nube del proveedor y, en el caso de WhatsApp, con datos de uso y de dispositivo que van a empresas de Meta en EE. UU. Un DPO planteará preguntas que la documentación no responde.
• El propio canal es multilingüe: colegas y clientes que se responden entre sí en tres idiomas, invitados sin sus licencias y un equipo de cumplimiento que quiere poder nombrar la ubicación. Eso es lo que construimos con InterMIND: cada miembro lee el espacio en su propio idioma, los invitados entran mediante enlace sin necesitar sus licencias; UE en cada salto, DPA por cliente y subencargados publicados son la línea única para el DPO.

Véalo en lugar de leer sobre ello

• Pruebe la demo en vivo: sin registro; hable y escuche la sala traducida para cada oyente en cualquiera de los 23 idiomas.
• Consulte el benchmark: calidad de traducción mensual por par de idiomas sobre tráfico real, con la metodología pública.
• Lea los subencargados: función y domicilio por proveedor, sin necesidad de solicitarlo.

Preguntas frecuentes

¿Qué servicios de mensajería cumplen el GDPR?

Ninguno por sí solo: las obligaciones recaen sobre la empresa. Lo que sí se puede comprobar es si el proveedor las hace cumplibles: Microsoft Teams (mediante Product Terms), Slack (mediante formulario), Threema Work (proveedor: tratamiento conforme con GDPR/DSG) e InterMIND (por cliente, art. 28) documentan un DPA; Teamwire y Wire se describen a sí mismos como conformes con el GDPR. En el caso de WhatsApp, Signal y Telegram, la documentación no menciona ningún DPA (consultado en agosto de 2026). Los servicios autoalojados (Element, Mattermost, Rocket.Chat, Nextcloud) trasladan la cuestión a su propia operación.

¿Cumple Signal el GDPR?

Signal documenta el cifrado de extremo a extremo («Signal no puede descifrar ni acceder de otro modo al contenido de sus mensajes o llamadas») y datos técnicos limitados al mínimo; la parte contratante es Signal Messenger LLC en California y el registro se hace mediante número de teléfono. Los documentos legales no mencionan ningún acuerdo de encargo de tratamiento para empresas. El uso privado es un panorama distinto del uso en empresa, que debe satisfacer el art. 28.

¿Cumple WhatsApp el GDPR para uso empresarial?

WhatsApp Ireland documenta el cifrado de extremo a extremo y que los mensajes entregados se eliminan de sus servidores, y, al mismo tiempo, datos de uso y de dispositivo, carga opcional de la agenda de contactos y compartición con «empresas de Meta en Estados Unidos e Irlanda». La política de privacidad no menciona ningún DPA para la aplicación; la aplicación Business está, según el proveedor, pensada para propietarios de pequeñas empresas. Quien use WhatsApp en una empresa tiene que justificar estos puntos ante el DPO por su cuenta.

¿Cumple Telegram el GDPR?

Telegram declara que los datos de la UE se almacenan en los Países Bajos y nombra a un representante en la UE (EDPO, Bruselas); los chats en la nube están cifrados en el servidor con claves «en varios otros centros de datos de distintas jurisdicciones», y solo los chats secretos son de extremo a extremo. No hay ningún DPA documentado. Eso es una situación de datos documentada, no cumplimiento del GDPR en el sentido del art. 28.

¿Cumple Microsoft Teams el GDPR?

Microsoft documenta el DPA como parte de Product Terms, el almacenamiento de los datos de Teams en la región del inquilino (residencia por país solo para nuevos inquilinos) y el EU Data Boundary para clientes de Microsoft 365 con sede en la UE/AELC, con excepciones documentadas. Para las empresas que ya usan Teams es una base sólida; las funciones de traducción en reuniones dependen de licencias Copilot por organizador y por oyente.

¿Qué debe ofrecer una mensajería para empresas conforme con el GDPR?

Seis respuestas documentadas en lugar de un sello: un DPA conforme al art. 28, una entidad y una ubicación de servidores nombradas, sin transferencia a terceros países sin explicar, un modelo de cifrado nombrado, control sobre la agenda de contactos y los metadatos, un concepto de eliminación que cubra la salida de un empleado y una lista publicada de subencargados, incluidos los servicios de IA y de traducción. Para los equipos internacionales se suma un séptimo punto: una mensajería que guarda el canal solo en el original traslada la traducción a cada persona.

¿Existe una mensajería gratuita para empresas conforme con el GDPR?

Gratuitas y autoalojadas: Rocket.Chat Starter (hasta 50 usuarios) y Element Community; las obligaciones del GDPR recaen entonces por completo en su propia operación. Threema Work ofrece 30 días para 30 usuarios sin datos de pago. Con InterMIND, la participación es gratuita para todos los participantes (se unen mediante enlace, sin cuenta) y la demo en vivo no requiere registro; quien paga por la sala es el anfitrión.

Fuentes: BfDI — Criterios de selección para servicios de mensajería (en alemán), WhatsApp — Política de privacidad (EEE), WhatsApp — Política de privacidad, Blog de WhatsApp — Presentamos la traducción de mensajes, Aplicación WhatsApp Business, Signal — Condiciones y política de privacidad, Telegram — Política de privacidad, Blog de Telegram — Traducción en tiempo real, Threema — Mensajería conforme con el GDPR (en alemán), Teamwire — Mensajería conforme con el GDPR (en alemán), Wire — Wire frente a MS Teams (en alemán), Stackfield — Alternativa a Microsoft Teams (en alemán), Element — Precios, Mattermost — Precios, Mattermost — Configurar la traducción automática (beta), Rocket.Chat — Nuestros planes, Rocket.Chat — Traducción automática de mensajes, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Ubicación de los datos en Microsoft Teams, Microsoft Learn — ¿Qué es el EU Data Boundary?, Microsoft — Traducir un mensaje en Microsoft Teams, Microsoft — Interpreter en reuniones y llamadas de Teams, Slack — Data Processing Addendum, Slack — Residencia de datos en Slack, Slack — Precios, Slack — Guía de las funciones de IA en Slack. Los proveedores cambian con el tiempo planes, ubicaciones, funciones y autodescripciones; consulte sus páginas para conocer el estado actual. Todos los datos se han comprobado en agosto de 2026.