Hemos terminado nuestra auditoría del RGPD. Esto es lo que hemos cerrado en realidad.

Hace unas semanas escribimos que "conforme al GDPR" en la página de inicio de una herramienta de vídeo significa menos de lo que parece: que el GDPR es un conjunto de obligaciones que recaen sobre usted, el responsable del tratamiento, y que un proveedor o bien le ayuda a cumplir, o bien las deja discretamente sobre su mesa. La forma honesta de respaldar esa afirmación es hacer el trabajo por nuestra parte y mostrarlo, línea por línea.

Y eso hicimos. Realizamos una auditoría completa del código de InterMIND frente a las obligaciones que nos corresponden como encargado del tratamiento, corregimos cada brecha que tenía código detrás y verificamos cada punto en el producto en funcionamiento. Esta publicación es el informe de cierre: no una insignia, sino una lista de comprobación con nuestras respuestas.

Deliberadamente, no afirmamos ser "100 % certificados en GDPR". El GDPR no es un certificado que se apruebe, y no vamos a exhibir una insignia ISO que todavía no tenemos. Lo que sí podemos decir: las obligaciones de arquitectura y de proceso que revisa un DPO ahora tienen respuestas concretas y verificables, cada una comprobada con el código en funcionamiento.

Lo que hemos cerrado

Derecho de supresión (art. 17): la cascada se ejecuta de verdad

Eliminar su cuenta no se limita a desactivarla. POST /api/user/delete-account ejecuta una cascada real: elimina sus reuniones → participantes, mensajes, conferencias y transcripciones; borra sus blobs de almacenamiento de Tigris antes de la cascada de la base de datos, para que no quede nada huérfano (archivos adjuntos del chat y archivos de grabaciones de vídeo, en ambas columnas); y cancela sus suscripciones de Stripe y elimina el cliente de Stripe. También existe el borrado bajo demanda: si quita un canal o un mensaje desde la interfaz, desaparece. Las cuentas anónimas (de invitados) tienen su propio endpoint de eliminación y una limpieza en segundo plano cada 6 horas, bajo un cron monitorizado. La auditoría detectó aquí una brecha —blobs de grabaciones que la cascada de la base de datos eliminaba pero que el almacenamiento conservaba— y la hemos cerrado: ahora la supresión no deja nada en el almacenamiento de objetos.

Conservación (art. 5(1)(e)): un criterio documentado

El art. 5(1)(e) no exige un tiempo de vida automático (TTL). Exige un criterio de conservación definido. El nuestro ya figura por escrito en la Política de privacidad: los datos se conservan hasta que usted o el propietario de su equipo los eliminen, y al eliminar su cuenta se borra todo. Es el mismo modelo sobre el que funcionan herramientas de colaboración como Slack y Notion: la persistencia es el comportamiento esperado, y usted conserva el control sobre ella. El criterio está declarado, no sobrentendido.

Consentimiento para analítica (art. 6/7): exclusión voluntaria por defecto

Un banner de consentimiento de Usercentrics (que se muestra a los visitantes de la UE) condiciona la analítica, y PostHog se entrega con opt_out_capturing_by_default: true: no se captura nada hasta que se da el consentimiento, y no al revés.

Portabilidad de datos (art. 20): una exportación real

GET /api/user/export genera un ZIP con sus reuniones, mensajes, grabaciones y traducciones, con una ventana de descarga de 7 días y limpieza automática. El acceso, el borrado y la portabilidad son herramientas que funcionan, no promesas en una política.

El contenido de las reuniones pasa por una única pasarela de IA, en la UE, elegida por la organización

El flujo más importante de contenido de las reuniones, la traducción de voz y de chat en directo, se ejecuta en nuestro propio motor en Francia, nunca en un LLM de terceros. Los pasos de IA que sí usan un modelo de propósito general (el resumen periódico, los resúmenes de documentos, las acciones generativas del editor de notas, Ask AI) se ejecutan en la pasarela de IA que seleccione la organización: Azure OpenAI en la Data Zone de la UE por defecto, Vertex AI UE o Amazon Bedrock Fráncfort a elección, cada una en nuestro propio tenant, con retención cero de datos y sin entrenamiento con el contenido del cliente, o el endpoint propio de la organización; un único resolvedor en el código elige la pasarela para cada punto de llamada, de modo que no existe una segunda vía. También hemos eliminado los nombres de los participantes y el texto de las intervenciones de los registros del navegador de la conferencia que la grabación de sesiones de PostHog podría haber capturado. El mapa completo, proveedor por proveedor, está en Dónde se ejecuta realmente una reunión de InterMIND.

Transparencia: subencargados y registros de tratamiento, publicados

La lista de subencargados del tratamiento ya está disponible, con lo que hace cada proveedor y dónde tiene su domicilio, no "disponible bajo petición". Detrás hay un Registro de Actividades de Tratamiento (ROPA) construido a partir del esquema en producción: 11 operaciones de tratamiento, las medidas de seguridad de cada una y las vías de supresión y portabilidad. Nuestra Política de privacidad y nuestros Términos ya se rigen por nuestra propia entidad jurídica, con la cadena de tratamiento real descrita.

Entorno de ejecución en la UE: fijado, no prometido

Cada salto de ejecución que realiza una reunión ocurre en la UE: la aplicación y las API en Vercel Fráncfort, el servidor de reuniones en Fly París, los datos de la aplicación en Neon Postgres (AWS Fráncfort), los errores en Sentry UE, la analítica en PostHog UE y el correo mediante Resend Irlanda. El almacenamiento de objetos en Tigris ahora está fijado a regiones de la UE (Fráncfort + Ámsterdam): cada nueva escritura se realiza en la UE, con independencia de dónde esté el usuario. La arquitectura completa está en nuestra página de seguridad.

Por qué importa para sus compras

Para la mayoría de los compradores de la UE —el Mittelstand alemán, equipos regulados que aplican DPA estándar del GDPR— la cuestión de la residencia de datos ya tiene una respuesta directa: los datos no salen de la UE en tiempo de ejecución, la supresión funciona, el criterio de conservación está declarado y la lista de subencargados está sobre la mesa. Es una conversación mucho más corta que un "ya le diremos dónde van los datos".

Para la souveraineté numérique francesa y las compras de nivel SecNumCloud, el domicilio social del proveedor es en sí un criterio: una conversación más profunda sobre la topología de despliegue que mantendremos con honestidad en lugar de exagerar. Y lo único que no vamos a hacer es exhibir un certificado ISO que todavía no tenemos: las certificaciones están en la hoja de ruta, pero nuestra respuesta a la lista de comprobación es arquitectónica y verificable hoy.

Compruébelo usted mismo

• Videoconferencias conformes con el GDPR: la lista de comprobación completa para el DPO: las siete cosas que hay que exigir a cualquier proveedor y dónde se sitúa Zoom.
• Dónde se ejecuta realmente una reunión de InterMIND: el mapa de proveedores, con las brechas señaladas.
• ¿Es confidencial su reunión?: las tres preguntas que conviene hacerse antes de sacar la lista de comprobación del DPO.
• Seguridad y privacidad · Subencargados del tratamiento · Política de privacidad · Términos
• Pruebe la demo en vivo: escuche el flujo en directo, multilingüe y con entorno de ejecución en la UE en una reunión real, sin necesidad de registrarse.

El cumplimiento del GDPR no es una insignia que se compra: es un trabajo que se hace y se puede mostrar. Este es el nuestro, línea por línea. Si su DPO necesita una respuesta que esta publicación no da, escríbanos.

— El equipo de Mind.com

Fuentes: Reglamento (UE) 2016/679 (GDPR), los artículos frente a los que se ha auditado; afirmaciones internas verificadas con el código de InterMIND y el producto en funcionamiento; comprobado en agosto de 2026.