Hemos terminado nuestra auditoría del GDPR. Esto es lo que realmente cerramos.
Hace unas semanas escribimos que "cumplimiento del GDPR" en la página de inicio de una herramienta de vídeo significa menos de lo que cree — que el GDPR es un conjunto de obligaciones para usted, el responsable del tratamiento, que un proveedor le ayuda a cumplir o que deja discretamente en su escritorio. La forma honesta de respaldar esa afirmación es hacer el trabajo de nuestra parte y mostrarlo, punto por punto.
Así que lo hicimos. Ejecutamos una auditoría completa del código base de InterMIND frente a las obligaciones que nos corresponden como encargados del tratamiento, solucionamos cada brecha que tenía código detrás y verificamos cada una frente al producto en funcionamiento. Esta publicación es el informe de cierre — no una insignia, una lista de comprobación con nuestras respuestas.
No afirmamos deliberadamente ser "100% certificados por el GDPR". El GDPR no es un certificado que se apruebe — y no agitaremos una insignia ISO que aún no poseemos. Lo que sí podemos decir: las obligaciones arquitectónicas y de proceso que un DPO revisa ahora tienen respuestas concretas y verificables, cada una comprobada frente al código en ejecución.
Lo que cerramos
Derecho de supresión (Art. 17) — la cascada realmente se ejecuta
Eliminar su cuenta no solo la desactiva. POST /api/user/delete-account ejecuta una cascada real: destruye sus reuniones → participantes, mensajes, conferencias, transcripciones; limpia sus blobs de almacenamiento de Tigris antes de la cascada de la base de datos para que no quede nada huérfano — archivos adjuntos de chat y archivos de grabación de vídeo, ambas columnas; y cancela sus suscripciones de Stripe y elimina al cliente de Stripe. La eliminación bajo demanda también está ahí — elimine un canal o un mensaje de la interfaz y desaparecerá. Las cuentas anónimas (de invitados) tienen su propio punto de conexión de eliminación además de un barrido en segundo plano cada 6 horas, bajo un cron supervisado. La auditoría reveló una brecha aquí — blobs de grabación que la cascada de la base de datos eliminó pero que el almacenamiento conservó — y la cerramos: la supresión ahora no deja nada atrás en el almacenamiento de objetos.
Conservación (Art. 5(1)(e)) — un criterio documentado
El Art. 5(1)(e) no requiere un tiempo de vida automático. Requiere un criterio de conservación definido. El nuestro ahora está redactado en la Política de Privacidad: los datos se conservan hasta que usted o el propietario de su equipo los eliminen, y eliminar su cuenta borra todo. Ese es el mismo modelo que utilizan herramientas de colaboración como Slack y Notion — la persistencia es el comportamiento esperado, y usted mantiene el control sobre ella. El criterio está declarado, no implícito.
Consentimiento para analítica (Art. 6/7) — exclusión por defecto
Un banner de consentimiento de Usercentrics (mostrado a los visitantes de la UE) controla la analítica, y PostHog se envía con opt_out_capturing_by_default: true — no se captura nada hasta que se otorga el consentimiento, no al revés.
Portabilidad de datos (Art. 20) — una exportación real
GET /api/user/export crea un ZIP con sus reuniones, mensajes, grabaciones y traducciones, con una ventana de descarga de 7 días y limpieza automática. El acceso, la eliminación y la portabilidad son herramientas que funcionan, no promesas en una política.
Ningún contenido de reunión llega a un modelo domiciliado en EE. UU.
El mayor flujo de contenido de reunión — la traducción en vivo de voz y chat — se ejecuta en nuestro propio motor en Francia, nunca en un LLM de terceros. Los pasos de IA posteriores a la reunión que sí utilizan un modelo de propósito general (el resumen, las acciones generativas del editor de notas) se ejecutan en Mistral alojado en la UE con cero retención de datos, fijado de tal manera que la solicitud falla antes de recurrir a un host no ZDR o de EE. UU. También eliminamos los nombres de los participantes y el texto de las expresiones de los registros del navegador de la conferencia que la grabación de sesión de PostHog podría haber capturado de otro modo. El mapa completo proveedor por proveedor está en Dónde se ejecuta realmente una reunión de InterMIND.
Transparencia — subprocesadores y registros de tratamiento, publicados
La lista de subprocesadores está publicada, con lo que hace cada proveedor y dónde está domiciliado — no "disponible bajo petición". Detrás de ella se encuentra un Registro de Actividades de Tratamiento (ROPA) construido a partir del esquema en vivo: 11 operaciones de tratamiento, las medidas de seguridad de cada una y las rutas de supresión / portabilidad. Nuestra Política de Privacidad y los Términos ahora operan bajo nuestra propia entidad jurídica, con la cadena de tratamiento real descrita.
Tiempo de ejecución en la UE — fijado, no prometido
Cada salto en tiempo de ejecución que realiza una reunión está en la UE: la aplicación y las API en Vercel Frankfurt, el servidor de reuniones en Fly París, los datos de la aplicación en Neon Postgres (AWS Frankfurt), los errores en Sentry EU, la analítica en PostHog EU, el correo electrónico a través de Resend Irlanda. El almacenamiento de objetos en Tigris ahora está fijado a regiones de la UE (Frankfurt + Ámsterdam) — cada nueva escritura llega a la UE independientemente de dónde se encuentre el usuario. La arquitectura completa está en nuestra página de seguridad.
Por qué esto importa para su adquisición
Para la mayoría de los compradores de la UE — el Mittelstand alemán, equipos regulados que ejecutan DPA estándar del GDPR — la pregunta sobre la residencia de datos ahora tiene una respuesta directa: los datos no salen de la UE en tiempo de ejecución, la supresión funciona, el criterio de conservación está declarado y la lista de subprocesadores está sobre la mesa. Esa es una conversación mucho más corta que "permítanos volverle con información sobre dónde van los datos".
Para la souveraineté numérique francesa y las adquisiciones de grado SecNumCloud, el domicilio corporativo del proveedor es en sí mismo un criterio — una conversación más profunda sobre la topología de implementación que tendremos de forma honesta en lugar de exagerar. Y lo que no haremos es agitar un certificado ISO que aún no poseemos: las certificaciones están en nuestra hoja de ruta, pero nuestra respuesta a la lista de comprobación es arquitectónica y verificable hoy.
Compruébelo usted mismo
- Videoconferencia conforme con el GDPR: la lista de comprobación completa para el DPO — las siete cosas que hacer responder a cualquier proveedor, y dónde se sitúa Zoom.
- Dónde se ejecuta realmente una reunión de InterMIND — el mapa de proveedores, con las brechas identificadas.
- Seguridad y Privacidad · Subprocesadores · Política de Privacidad · Términos
- Pruebe la demostración en vivo — ejecute el flujo multilingüe en vivo, con tiempo de ejecución en la UE, sobre su propio audio.
El cumplimiento del GDPR no es una insignia que se compra — es trabajo que se realiza y se puede mostrar. Este es el nuestro, punto por punto. Si su DPO necesita una respuesta que esta publicación no ofrece, escríbanos.
— El equipo de Mind.com
Fuentes: Reglamento (UE) 2016/679 (GDPR) — los artículos auditados; afirmaciones internas verificadas frente al código base de InterMIND y al producto en funcionamiento; comprobado en agosto de 2026.