Mensajería conforme al GDPR para empresas (2026): lo que los proveedores documentan realmente

«¿Qué servicio de mensajería es conforme al GDPR?» es una pregunta a la que ningún proveedor puede responder con honestidad diciendo «el nuestro». El GDPR pone las obligaciones sobre usted, el responsable del tratamiento: necesita un acuerdo de encargo de tratamiento de datos (art. 28), necesita saber dónde residen los datos y si cruzan a un tercer país, y necesita poder borrarlos y atender solicitudes de acceso. Un servicio de mensajería puede hacer que esas obligaciones sean cumplibles o no. Una insignia en una página de inicio no dice más que eso.

Por eso esta guía hace algo distinto de las listas habituales. Toma seis comprobaciones que un delegado de protección de datos (DPD) haría de todos modos y las aplica a doce servicios: las mensajerías de consumo en las que las empresas trabajan de hecho (WhatsApp, Signal, Telegram), las mensajerías empresariales de Suiza y Alemania (Threema Work, Teamwire, Wire, Stackfield), las plataformas autoalojadas (Element, Mattermost, Rocket.Chat) y los dos paquetes (Microsoft Teams, Slack). Después, InterMIND, que desarrollamos nosotros, con los mismos criterios y la misma regla de fuentes. Cada afirmación procede de la documentación pública del proveedor, consultada en agosto de 2026 y enlazada al final.

Se suma una séptima comprobación, que nunca aparece en las listas de GDPR y que importa cada día en un equipo internacional: ¿en qué idioma lee cada miembro el canal? Una mensajería que guarda los mensajes solo en el original traslada la traducción a cada persona, y a servicios que vuelven a tratar los datos.

Las seis comprobaciones

El Comisionado Federal Alemán para la Protección de Datos (BfDI) publica criterios de selección para servicios de mensajería, el referente público más utilizable. Define el cifrado de extremo a extremo como mensajes «cifrados en el dispositivo del remitente y descifrados de nuevo solo en el dispositivo del destinatario», enumera ajustes de privacidad como el acceso a la agenda de contactos, la visibilidad del perfil, las confirmaciones de lectura, el análisis de uso y los informes de errores, y exige que al eliminar una cuenta los datos se «borren de inmediato». Para el uso empresarial se añaden las obligaciones del art. 28. En conjunto:

1. Acuerdo de encargo de tratamiento de datos (DPA). ¿El proveedor ofrece uno y figura en su documentación?
2. Entidad y ubicación de los servidores. ¿Qué empresa es su parte contratante, dónde residen los datos y hay una transferencia a un tercer país?
3. Cifrado. ¿De extremo a extremo, o en tránsito y en el servidor? Ambos son legítimos; solo tienen que estar indicados.
4. Metadatos y agenda de contactos. ¿Se sube la agenda? ¿Qué datos de uso y de dispositivo se recogen y con quién se comparten?
5. Eliminación y conservación. ¿Dónde vive el historial, quién lo borra y qué ocurre cuando un empleado se va?
6. Subencargados. ¿Están publicados, incluidos los servicios que se usan para las funciones de IA y la traducción?

Y la séptima: idioma por miembro.

Las mensajerías de consumo en el trabajo

WhatsApp (y la aplicación WhatsApp Business)

• Parte contratante: para el EEE, «WhatsApp Ireland Limited».
• Cifrado y almacenamiento: los mensajes están cifrados de extremo a extremo; «no conservamos sus mensajes en el curso ordinario de la prestación de nuestros Servicios. Una vez entregados sus mensajes, se eliminan de nuestros servidores». El historial reside, por tanto, en los dispositivos de los empleados y en sus copias de seguridad.
• Metadatos: se recoge «información sobre su uso de nuestros Servicios», datos del dispositivo («modelo de hardware, información del sistema operativo, nivel de batería, intensidad de la señal») y, opcionalmente, la agenda de contactos («carga de contactos … desde la agenda de su dispositivo de forma periódica»). Los datos se comparten con «las empresas de Meta en Estados Unidos e Irlanda» y se transfieren «a nivel mundial».
• DPA: la política de privacidad de la aplicación no menciona ningún acuerdo de encargo de tratamiento para empresas (consultado en agosto de 2026). La aplicación Business «está pensada para el propietario de una pequeña empresa».
• Idioma: desde septiembre de 2025 se puede traducir un mensaje con una pulsación larga, en el propio dispositivo («las traducciones se realizan en su dispositivo, donde WhatsApp no puede verlas»); Android puede traducir automáticamente chats completos (seis idiomas en el lanzamiento) e iPhone usa la traducción de Apple en más de 19 idiomas. Las notas de voz y las llamadas no forman parte del anuncio.

Signal

• Parte contratante: Signal Messenger LLC, Mountain View, California, una organización sin ánimo de lucro.
• Cifrado: «Signal no puede descifrar ni acceder de otro modo al contenido de sus mensajes o llamadas».
• Metadatos: registro mediante número de teléfono; los datos técnicos se limitan «al mínimo necesario para operar los Servicios».
• DPA: ninguno documentado en los documentos legales de Signal (consultado en agosto de 2026).
• Idioma: no hay ninguna función de traducción documentada.

Telegram

• Parte contratante y ubicación: «Telegram Messenger Inc.», con «Telegram FZ-LLC, un miembro del grupo ubicado en Dubái»; para usuarios de la UE/EEE, «sus datos se almacenan en centros de datos de los Países Bajos». El representante a efectos del GDPR es la European Data Protection Office (EDPO) en Bruselas.
• Cifrado: los chats en la nube están cifrados en el servidor («todos los datos se almacenan con un cifrado robusto y las claves de cifrado se guardan, en cada caso, en varios otros centros de datos de distintas jurisdicciones») y solo los chats secretos son de extremo a extremo: «Los chats secretos usan cifrado de extremo a extremo».
• DPA: no documentado en la política de privacidad (consultado en agosto de 2026).
• Idioma: «Todos los usuarios pueden traducir mensajes individuales»; los usuarios Premium «pueden traducir chats, grupos y canales enteros en tiempo real pulsando la barra Traducir de la parte superior».

Las tres son herramientas en las que los equipos trabajan de verdad. Lo que comparten: el historial pertenece al dispositivo o a la nube del proveedor, no a la empresa, y el DPA que exige el art. 28 no aparece en ninguna de las tres documentaciones.

Mensajerías empresariales de Suiza y Alemania

Threema Work

• Ubicación: Suiza. El proveedor indica que la transferencia de datos de la UE a Suiza es legalmente admisible sin revisión adicional.
• Metadatos: Threema Work «no requiere datos personales (como un número de teléfono o una dirección de correo electrónico)» y «puede usarse sin acceso a la agenda de contactos».
• DPA: según el proveedor, Threema Work «cumple los requisitos para un tratamiento por cuenta de un responsable conforme a la protección de datos según el GDPR y la DSG suiza».
• Prueba: «30 días, 30 usuarios. Sin renovación automática». Los precios por usuario no figuran en la página.
• Idioma: no hay ninguna función de traducción documentada.

Teamwire

• Ubicación: «nube pública alemana (IONOS, con certificación C5)», «nube privada dedicada» o «alojamiento on-premise completo»; «alojamiento en Alemania en lugar de en EE. UU.», «sin almacenamiento fuera de la UE».
• Certificaciones: «ISO 27001, BSI C5, certificado por TÜV»; se mencionan GDPR de la UE, BDSG, BSI IT-Grundschutz, NIS-2, DORA y CER.
• Metadatos: «sin acceso a la agenda de contactos» y «sin análisis de la comunicación».
• GDPR: el proveedor se describe como «100 % conforme al GDPR», una autodescripción que el DPA tiene que respaldar caso por caso. No hay precios en la página.
• Idioma: no hay ninguna función de traducción documentada.

Wire

• Ubicación: «nube, on-premises o híbrido».
• Cifrado: protocolo MLS; «los mensajes, archivos y llamadas son E2EE por defecto»; videollamadas «de hasta 200 participantes», con cada sesión cifrada de extremo a extremo.
• Certificaciones: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: «plenamente conforme con las estrictas normativas de protección de datos, incluido el GDPR» (autodescripción). No hay precios por usuario en la página.
• Idioma: no hay ninguna función de traducción documentada.

Stackfield

• Ubicación: «todo el tratamiento de datos se limita a la UE, y los datos residen exclusivamente en centros de datos alemanes»; la empresa está sujeta «exclusivamente a la jurisdicción de Alemania y de la UE».
• Cifrado: «auténtico cifrado de extremo a extremo» para mensajes, archivos y tareas.
• Certificaciones: ISO 27001, BSI C5.
• Reuniones: incluye audioconferencias y videoconferencias.
• Idioma: no hay ninguna función de traducción documentada.

Los cuatro responden a las preguntas de ubicación y cifrado tan claramente como puede hacerlo un proveedor. Lo que ninguno documenta es una traducción que permita a una colega polaca, a un colega portugués y a un colega alemán leer el mismo canal cada uno en su idioma.

Plataformas autoalojadas

Element (Matrix)

• Cifrado: «toda la plataforma está cifrada de extremo a extremo por defecto», incluido Element Call para voz y vídeo.
• Operación: Community gratuita y autoalojada; Enterprise por puesto y mes, autoalojada; Sovereign por despliegue, aislada de la red (air-gapped).
• Idioma: no hay ninguna función de traducción documentada; con el cifrado de extremo a extremo no existe un lugar en el servidor donde pueda ejecutarse.

Mattermost

• Operación: Professional y Enterprise como licencias anuales autoalojadas, con precios bajo petición; Mattermost Cloud Enterprise como oferta de inquilino único.
• Idioma: traducción automática de canales (beta, desde la v11.5) en Enterprise Advanced: el back-end es «LibreTranslate: un motor de traducción automática de código abierto y autoalojado» o «Agents: usa el plugin Mattermost Agents con un backend LLM configurado»; el idioma de destino de un usuario «viene determinado por su idioma de visualización de Mattermost». La traducción se ejecuta en su servidor.

Rocket.Chat

• Operación: el plan Starter es gratuito, «autogestionado, autoalojado», «para evaluación técnica o equipos pequeños de hasta 50 usuarios»; los planes de pago son Commercial, Government y Defense, on-premises, en nube privada o aislados de la red (air-gapped), con precios bajo petición.
• Idioma: Auto-Translate por sala («cada usuario recibe las traducciones según su propio idioma seleccionado») mediante DeepL, Google Translate, Microsoft Translator o LibreTranslate, con una clave de API que aporta el administrador. El texto del mensaje va, por tanto, al proveedor que haya elegido, salvo que sea LibreTranslate en su propio host.

Nextcloud Talk pertenece al mismo grupo: «un servicio de comunicación por audio/vídeo y chat totalmente autoalojado y on-premises», con transcripción y traducción en directo en su propio hardware (detalles en la comparativa de herramientas de comunicación para equipos).

Los paquetes: Microsoft Teams y Slack

Microsoft Teams

• DPA: «Cuando se suscribe a un Producto conforme a las condiciones del sitio Product Terms, las condiciones de tratamiento y seguridad de los datos se definen en el Anexo de Protección de Datos (DPA) de Microsoft Online Services».
• Ubicación: los datos de Teams residen «en la región geográfica asociada con su organización de Microsoft 365 u Office 365»; la residencia por país (Alemania, Francia, Italia, Noruega, Polonia, Suecia, Suiza y otros) es «solo para nuevos inquilinos», y los inquilinos existentes de la UE permanecen en la región EMEA. El EU Data Boundary compromete a Microsoft a almacenar y tratar los Datos del Cliente de Microsoft 365 dentro de la UE/AELC, «sujeto a circunstancias limitadas» con excepciones documentadas; los clientes con Multi-Geo quedan fuera de su alcance.
• Idioma: los mensajes de chat y de canal se traducen bajo petición o automáticamente («Teams puede traducir automáticamente los mensajes recibidos»), en más de 100 idiomas, sin licencia indicada; en las reuniones, los subtítulos traducidos requieren la licencia Teams Premium o Copilot del organizador, y el agente Interpreter (10 idiomas) requiere una licencia Copilot por oyente, 20 horas al mes. Detalles: traducción en vivo en Teams.

Slack

• DPA: «Slack ofrece un Anexo de Tratamiento de Datos que complementa las Condiciones de Servicio del Cliente», que se formaliza mediante un formulario y no se incorpora automáticamente.
• Ubicación: residencia de datos desde Business+: Fráncfort, París, Estocolmo, Zúrich, Londres. Cubre mensajes, canvases, archivos y el índice de búsqueda; no cubre perfiles de miembros ni analítica de uso. El plan Free conserva 90 días de historial de mensajes.
• Idioma: «Translate message» en Business+ y Enterprise+, bajo petición y mensaje a mensaje; «las traducciones solo son visibles para usted, de modo que los demás siempre verán el mensaje original».

InterMIND

Desarrollamos un espacio de comunicación en el que cada miembro lee las reuniones, el chat, los documentos y su historial en su propio idioma, y lo sometemos a las mismas siete comprobaciones:

1. DPA: firmado por cliente. Condiciones de encargado del art. 28 con un preaviso de 30 días para nuevos subencargados y un plazo de 72 horas para notificar brechas; hay una copia firmada disponible para compras (/legal/dpa).
2. Entidad y ubicación: operado por una OÜ estonia; el entorno de ejecución está en la UE en cada salto: traducción de voz y chat en nuestro propio motor sobre servidores dedicados en Francia, orquestación de reuniones en París, base de datos en Fráncfort, almacenamiento y analítica residentes en la UE. El mapa, proveedor por proveedor: dónde se ejecuta realmente una reunión de InterMIND.
3. Cifrado: cifrado en tránsito (audio y vídeo mediante DTLS/SRTP, chat y archivos mediante HTTPS/WSS) y cifrado en reposo en nuestros servidores. Sin cifrado de extremo a extremo: la traducción es tratamiento, y se realiza en nuestro motor, no en un tercero. Si para usted el E2EE está por encima de todo lo demás, Element, Wire o Threema son la mejor opción; lo decimos claramente.
4. Metadatos y agenda de contactos: sin subida de la agenda; los participantes entran mediante enlace, sin cuenta y sin número de teléfono.
5. Eliminación y conservación: el criterio de conservación está escrito en la política de privacidad: los datos permanecen hasta que usted o el propietario de su equipo los eliminen; al eliminar una cuenta se eliminan sus datos. Auditamos nuestro propio código frente a las obligaciones del GDPR y documentamos lo que cerramos: auditoría de GDPR.
6. Subencargados: publicados, con función y domicilio por proveedor. Los pasos con modelos de lenguaje (resumen, resúmenes de documentos, asistente de escritura, Ask AI) se ejecutan en la pasarela de IA que elige la organización (Azure OpenAI en la EU Data Zone por defecto, Vertex AI UE o Amazon Bedrock Fráncfort a elección), en el propio tenant de InterMIND, con retención cero de datos y sin entrenamiento con el contenido del cliente; los proveedores son empresas estadounidenses que operan regiones de la UE, como se indica en la página de confianza. La traducción de documentos se realiza a través de DeepL como subencargado europeo nombrado.
7. Idioma por miembro: chat y notas en 23 idiomas, documentos en 30, voz en directo para cada participante en su propio idioma, como comportamiento por defecto de la sala, sin complementos ni licencias por oyente. La calidad se publica cada mes por par de idiomas: /benchmark.

Lo que no afirmamos: un certificado ISO que todavía no tenemos. Nuestra respuesta a la lista de comprobación es arquitectónica y verificable en el código; las certificaciones están en la hoja de ruta.

Visión general

Qué mensajería para cada caso

• El cifrado de extremo a extremo es su primer criterio y la traducción no importa: Threema Work (Suiza, sin número de teléfono), Wire (MLS, llamadas incluidas), Stackfield (centros de datos alemanes) o Element (autoalojado, gratuito en la edición Community).
• Todo debe ejecutarse en sus propios servidores y usted dispone del personal: Rocket.Chat (gratuito hasta 50 usuarios, traducción mediante la clave de su proveedor), Mattermost Enterprise Advanced (traducción de canales en beta con su LibreTranslate o LLM), Nextcloud Talk.
• Ya es cliente de Microsoft o de Slack: ambos documentan un DPA y residencia en la UE: Teams mediante la región del inquilino y el EU Data Boundary, Slack desde Business+. La traducción es por lector y bajo petición; el idioma de la reunión en Teams depende de licencias Copilot.
• El equipo trabaja en WhatsApp, Signal o Telegram: servicios documentados para la comunicación privada, en parte cifrados de extremo a extremo, pero sin DPA documentado, con el historial en dispositivos o en la nube del proveedor y, en WhatsApp, con datos de uso y de dispositivo que van a empresas de Meta en EE. UU. Un DPD hará preguntas que la documentación no responde.
• El propio canal es multilingüe: colegas y clientes que se responden entre sí en tres idiomas, invitados sin sus licencias y un equipo de cumplimiento que quiere nombrar la ubicación. Para eso desarrollamos InterMIND: cada miembro lee el espacio en su propio idioma y los invitados entran mediante enlace sin sus licencias; la UE en cada salto, el DPA por cliente y los subencargados publicados son la única línea que necesita el DPD.

Véalo en lugar de leerlo

• Pruebe la demo en vivo: sin registro; hable y escuche la sala traducida para cada oyente en cualquiera de los 23 idiomas.
• Consulte el benchmark: calidad de traducción mensual por par de idiomas sobre tráfico real, con la metodología pública.
• Lea los subencargados: función y domicilio por proveedor, sin necesidad de solicitarlo.

Preguntas frecuentes

¿Qué servicios de mensajería son conformes al GDPR?

Ninguno lo es por sí mismo: las obligaciones recaen sobre la empresa. Lo que se puede comprobar es si el proveedor las hace cumplibles: documentan un DPA Microsoft Teams (mediante Product Terms), Slack (mediante formulario), Threema Work (proveedor: tratamiento conforme al GDPR/DSG) e InterMIND (por cliente, art. 28); Teamwire y Wire se describen a sí mismos como conformes al GDPR. En WhatsApp, Signal y Telegram, la documentación no menciona ningún DPA (consultado en agosto de 2026). Los servicios autoalojados (Element, Mattermost, Rocket.Chat, Nextcloud) trasladan la cuestión a su propia operación.

¿Es Signal conforme al GDPR?

Signal documenta el cifrado de extremo a extremo («Signal no puede descifrar ni acceder de otro modo al contenido de sus mensajes o llamadas») y unos datos técnicos limitados al mínimo; la parte contratante es Signal Messenger LLC, en California, y el registro se hace mediante número de teléfono. Los documentos legales no mencionan ningún acuerdo de encargo de tratamiento para empresas. El uso privado es un panorama distinto del uso empresarial, que tiene que satisfacer el art. 28.

¿Es WhatsApp conforme al GDPR para uso empresarial?

WhatsApp Ireland documenta el cifrado de extremo a extremo y que los mensajes entregados se eliminan de sus servidores y, al mismo tiempo, datos de uso y de dispositivo, subida opcional de la agenda y el intercambio con «las empresas de Meta en Estados Unidos e Irlanda». La política de privacidad no menciona ningún DPA para la aplicación; la aplicación Business está, según el proveedor, pensada para propietarios de pequeñas empresas. Quien use WhatsApp en una empresa tiene que justificar estos puntos ante el DPD por su cuenta.

¿Es Telegram conforme al GDPR?

Telegram indica que los datos de la UE se almacenan en los Países Bajos y nombra a un representante en la UE (EDPO, Bruselas); los chats en la nube están cifrados en el servidor con claves «en varios otros centros de datos de distintas jurisdicciones», y solo los chats secretos son de extremo a extremo. No hay ningún DPA documentado. Eso es una situación de datos documentada, no conformidad con el GDPR en el sentido del art. 28.

¿Es Microsoft Teams conforme al GDPR?

Microsoft documenta el DPA como parte de Product Terms, el almacenamiento de los datos de Teams en la región del inquilino (con residencia por país solo para nuevos inquilinos) y el EU Data Boundary para los clientes de Microsoft 365 con sede en la UE/AELC, con excepciones documentadas. Para las empresas que ya usan Teams es una base sólida; las funciones de traducción en reuniones dependen de licencias Copilot por organizador y por oyente.

¿Qué debe ofrecer una mensajería conforme al GDPR para empresas?

Seis respuestas documentadas en lugar de una insignia: un DPA conforme al art. 28, una entidad y una ubicación de servidores nombradas y sin transferencias a terceros países sin explicar, un modelo de cifrado indicado, control sobre la agenda y los metadatos, un concepto de eliminación que cubra la salida de un empleado y una lista publicada de subencargados, incluidos los servicios de IA y de traducción. Para los equipos internacionales se suma un séptimo punto: una mensajería que guarda el canal solo en el original traslada la traducción a cada persona.

¿Existe una mensajería gratuita conforme al GDPR para empresas?

Gratuitas y autoalojadas: Rocket.Chat Starter (hasta 50 usuarios) y Element Community; las obligaciones del GDPR recaen entonces por completo en su propia operación. Threema Work ofrece 30 días para 30 usuarios sin datos de pago. Con InterMIND, la participación es gratuita para todos los participantes (se entra mediante enlace, sin cuenta) y la demo en vivo no requiere registro; el anfitrión paga la sala.

Fuentes: BfDI — Criterios de selección de servicios de mensajería (en alemán), WhatsApp — Política de privacidad (EEE), WhatsApp — Política de privacidad, Blog de WhatsApp — Presentamos las traducciones de mensajes, Aplicación WhatsApp Business, Signal — Condiciones y política de privacidad, Telegram — Política de privacidad, Blog de Telegram — Traducción en tiempo real, Threema — Mensajería conforme al GDPR (en alemán), Teamwire — Mensajería conforme al GDPR (en alemán), Wire — Wire frente a MS Teams (en alemán), Stackfield — Alternativa a Microsoft Teams (en alemán), Element — Precios, Mattermost — Precios, Mattermost — Configurar la traducción automática (beta), Rocket.Chat — Nuestros planes, Rocket.Chat — Traducción automática de mensajes, Nextcloud Talk, Microsoft — Anexo de protección de datos de productos y servicios, Microsoft Learn — Ubicación de los datos en Microsoft Teams, Microsoft Learn — ¿Qué es el EU Data Boundary?, Microsoft — Traducir un mensaje en Microsoft Teams, Microsoft — Interpreter en reuniones y llamadas de Teams, Slack — Anexo de tratamiento de datos, Slack — Residencia de datos en Slack, Slack — Precios, Slack — Guía de las funciones de IA en Slack. Los proveedores cambian con el tiempo planes, ubicaciones, funciones y autodescripciones; consulte sus páginas para conocer el estado actual. Todos los datos, consultados en agosto de 2026.