Videoconferencia conforme con el GDPR (2026): lo que realmente exige (y una alternativa a Zoom que traduce)

"Conforme con el GDPR" en la página principal de una plataforma de vídeo carece prácticamente de contenido. El GDPR no es una certificación que se obtiene — es un conjunto de obligaciones sobre usted, el responsable del tratamiento, que un proveedor le ayuda a cumplir o que deja discretamente sobre su mesa. La pregunta útil no es "¿es esta herramienta conforme con el GDPR?" Es "¿de qué me hace responsable esta herramienta y adónde van realmente los datos de mi reunión?"

🔒 Actualización — nos lo hicimos a nosotros mismos. Desde que se publicó este artículo, pasamos el código propio de InterMIND por la lista de comprobación completa que aparece a continuación y cerramos cada punto — supresión, retención, ejecución en la UE, subencargados — verificado contra el código, no afirmado en una página. → Lea el cierre de la auditoría, línea por línea.

Esta publicación es la versión en términos llanos de esa pregunta: la lista de comprobación que un DPO realmente recorre, dónde se sitúa Zoom en ella (de forma justa — es más capaz de cumplir de lo que internet sugiere), y dónde una alternativa con ejecución en la UE cambia la respuesta. Si quiere el marco más amplio de "cómo deberían funcionar las reuniones en tiempo real", eso está en la guía pilar; esta trata específicamente sobre la capa de protección de datos.

La lista de comprobación en términos llanos

Quite el marketing y "videoconferencia conforme con el GDPR" se reduce a siete cosas que puede verificar realmente:

1. Un DPA firmado. Un Anexo de Tratamiento de Datos que nombre al proveedor como su encargado, con propósitos e instrucciones documentados. Sin DPA, no hay tratamiento lícito — punto.
2. Una lista real de subencargados. Cada tercero que toca los datos de la reunión — transcripción, almacenamiento, correo electrónico, analítica, funciones de IA — nombrado, con qué hace y dónde está domiciliado.
3. Dónde se procesan los datos en tiempo de ejecución. La región física en la que se manejan su audio, sus transcripciones, sus grabaciones y sus metadatos. Esto es de lo que tratan realmente la mayoría de las cláusulas de residencia de datos.
4. El mecanismo de transferencia internacional. Si algún dato sale del EEE, ¿en qué base jurídica? Cláusulas Contractuales Tipo (SCC), adecuación, o una configuración de residencia que evita la transferencia por completo. Esta es la cuestión Schrems II, y no desaparece porque una página principal diga "conforme".
5. Una postura de seguridad auditable. ISO 27001, ISO 27701, SOC 2 — atestaciones independientes, no autoafirmaciones.
6. Herramientas para los derechos de los interesados. ¿Puede realmente cumplir solicitudes de acceso, supresión y portabilidad para los datos de la reunión, o solo en teoría?
7. Retención y supresión que usted controla. Grabaciones, transcripciones y resúmenes de IA suprimidos según su calendario, no el predeterminado del proveedor.

Una herramienta es "conforme con el GDPR" para sus propósitos solo cuando los siete puntos tienen respuestas concretas. La mayoría de las páginas principales responden a cero.

Dónde se sitúa Zoom realmente (de forma justa)

Zoom es más capaz de cumplir con el GDPR de lo que sugiere su reputación, y vale la pena ser precisos al respecto en lugar de ganar puntos fáciles:

• Publica un DPA global con las Cláusulas Contractuales Tipo de la UE de 2021 integradas.
• Ofrece Residencia de Datos en la UE — "Zoom EU Infrastructure" — para clientes Enterprise y Education, cubriendo Meetings, Webinar, Chat, Phone y Contact Center.
• Posee ISO 27001 y, desde febrero de 2026, ISO 27701 (la extensión de gestión de privacidad), además de controles publicados de soberanía para el sector público europeo.

Así que un despliegue de Zoom correctamente configurado, en el nivel adecuado, puede satisfacer la mayoría de la lista de comprobación. Las advertencias honestas son sobre los valores predeterminados y el domicilio, no sobre la capacidad:

• La residencia en la UE es un complemento de nivel y configuración, no el valor predeterminado. Está en Enterprise/Education y hay que activarla. Los niveles gratuito y de pago inferior no la obtienen. "Usamos Zoom" y "usamos Zoom configurado para residencia en la UE" son hechos de compra diferentes.
• Zoom es una empresa domiciliada en EE. UU. Incluso con SCC y residencia en la UE, el domicilio corporativo del proveedor entra en el alcance de evaluaciones del CLOUD-Act y de grado de soberanía. Para el GDPR estándar esto es gestionable con SCC; para contratación de souveraineté numérique francesa o de grado SecNumCloud, el domicilio corporativo es en sí mismo un criterio, y esa es una conversación más difícil.
• La reunión sigue desarrollándose en un solo idioma. Los subtítulos traducidos y AI Companion de Zoom ayudan, pero la sala no se vuelve genuinamente multilingüe — cada participante escuchando la reunión en vivo en su propio idioma. Si su problema de cumplimiento es también un problema de idioma (auditorías transfronterizas, revisiones CAPA multisede), esa brecha queda sin resolver independientemente de dónde residan los datos.

La versión breve: Zoom puede ser conforme con el GDPR cuando se configura para ello. Si eso es suficiente depende de cuán sensible a la soberanía sea su comprador — y de si las reuniones son multilingües.

La alternativa con ejecución en la UE

Construimos InterMIND para que la respuesta de residencia de datos sea el valor predeterminado, no un proyecto de configuración — y para que la reunión pueda ser realmente multilingüe. En la lista de comprobación anterior, la parte que es estructural y no prometida es dónde se ejecuta la reunión. Tal como se verifica contra el despliegue en producción:

• Cada salto de ejecución está en la UE. Las APIs de aplicación y servidor en Vercel en Frankfurt (fra1); el servidor WebSocket de la reunión en Fly en París (cdg); los datos de la aplicación en Neon Postgres en AWS Frankfurt (eu-central-1); las grabaciones en Tigris, fijables en la UE; errores y analítica en Sentry EU y PostHog EU; el correo transaccional a través de Resend en Irlanda.
• El motor de traducción es código propio, en Francia (OVH) — no un modelo de propósito general de EE. UU. que revendemos. El mayor flujo de contenido de reunión permanece residente en la UE y nunca toca un LLM de terceros. La traducción de documentos va a DeepL en Colonia — también una empresa de la UE.
• La lista de subencargados con detalle de domicilio corporativo se incluye con el DPA como práctica estándar, no bajo petición.

El contenido de la reunión va a una puerta de enlace de IA, en la UE, y la organización la elige. Todo lo derivado de una reunión que necesita un modelo de lenguaje — el resumen de IA posterior a la reunión (temas, decisiones, acciones), los resúmenes de documentos, las acciones generativas del editor de notas con IA (corregir, ampliar, simplificar), Ask AI — se ejecuta en la puerta de enlace de IA que su organización selecciona: Azure OpenAI en la EU Data Zone de forma predeterminada, Vertex AI en el endpoint multirregión de la UE o Amazon Bedrock en Frankfurt por elección, cada uno en nuestro propio tenant con retención de datos cero y sin entrenamiento con contenido del cliente; o su propio endpoint compatible con OpenAI. El resumen posterior a la reunión y la acción de traducir del editor van por el canal de traducción, no por el modelo de lenguaje. Los proveedores detrás de las puertas de enlace alojadas son empresas de EE. UU. que operan regiones de la UE — indicado de forma clara en la página de confianza, no oculto; el domicilio corporativo es el criterio que la contratación de grado de soberanía añade encima del GDPR, y se aplica a este salto exactamente igual que se aplica a Zoom más arriba. El mapa completo proveedor por proveedor está en Dónde se ejecuta realmente una reunión de InterMIND, y la perspectiva de construir frente a comprar está en De qué está construida una reunión de InterMIND.

Una cosa que no afirmamos: no vamos a agitar un certificado ISO que aún no poseemos. Nuestra respuesta a la lista de comprobación es arquitectónica — ejecución en la UE, motor propio, subencargados transparentes, un DPA real — y preferimos que lo verifique a que confíe en una insignia. Las certificaciones están en la hoja de ruta; la ejecución es real hoy. Pasamos nuestro propio código por esta lista de comprobación exacta y cerramos cada punto contra el código — el informe de cierre, línea por línea.

Y la parte que los ajustes de residencia de Zoom no pueden añadir: la reunión es multilingüe por diseño — cada participante en vivo en su propio idioma en 23 idiomas, voz, chat y notas, con calidad de traducción publicada de forma abierta en lugar de afirmada. Cómo funciona está en la guía pilar; el caso de uso de reuniones reguladas está en reuniones multilingües de cumplimiento.

La lista de comprobación como tabla

Los siete puntos frente a las dos herramientas que esta publicación analiza en detalle. Las celdas solo indican lo que cada proveedor documenta (enlaces de Zoom en Fuentes más abajo; las afirmaciones de InterMIND verificadas línea por línea en el cierre de la auditoría y el mapa de ejecución) — para cualquier otro proveedor, haga que respondan la columna izquierda por escrito.

FAQ

¿Es Zoom conforme con el GDPR? Puede serlo, en el nivel y configuración adecuados: Zoom publica un DPA global con las SCC de la UE de 2021, ofrece Residencia de Datos en la UE para clientes Enterprise y Education, y posee ISO 27001 y (desde febrero de 2026) ISO 27701. Las advertencias honestas: la residencia en la UE es un complemento de nivel y configuración en lugar del valor predeterminado, y Zoom sigue siendo una empresa domiciliada en EE. UU. — gestionable bajo el GDPR estándar con SCC, pero un criterio real en contratación de grado de soberanía.

¿Qué hace que una herramienta de videoconferencia sea conforme con el GDPR? Siete cosas verificables, no una insignia en una página principal: un DPA firmado, una lista real de subencargados, una región de ejecución documentada, un mecanismo de transferencia internacional lícito, seguridad auditada de forma independiente, herramientas operativas para los derechos de los interesados, y retención que usted controla. Un proveedor es conforme para sus propósitos cuando los siete puntos tienen respuestas concretas por escrito.

¿Exige el GDPR que las reuniones de vídeo se queden en la UE? No — el GDPR exige un mecanismo de transferencia lícito (SCC, adecuación) cuando los datos salen del EEE, no la residencia como tal. La residencia importa porque elimina la cuestión de la transferencia por completo — el análisis post-Schrems II se acorta cuando los datos nunca salen. Esa es la diferencia entre "conforme con papeleo" y "nada que encubrir con papeleo".

¿Qué herramientas de videoconferencia se ejecutan íntegramente en la UE? Pida a cualquier proveedor su mapa de ejecución: región por salto — app, APIs, medios de reunión, base de datos, grabaciones, analítica, correo electrónico, funciones de IA. InterMIND publica exactamente eso (cada salto, proveedor por proveedor): Vercel Frankfurt, Fly París, Neon Frankfurt, motor de traducción en OVH Francia, funciones de IA en la puerta de enlace que la organización selecciona, en una región de la UE (Azure OpenAI EU Data Zone de forma predeterminada). Sea cual sea la herramienta que evalúe, el mapa — no la página de marketing — es la respuesta.

Para qué comprador es esto

• Mittelstand alemán y equipos regulados de la UE que gestionan DPA de GDPR estándar: una ejecución con cada salto en la UE responde directamente a la cuestión de residencia, sin mejora de nivel ni proyecto de residencia. La conversación sobre el mecanismo de transferencia se acorta mucho cuando los datos no salen.
• Contratación de sector público francés y de grado souveraineté, donde el domicilio corporativo del proveedor es en sí mismo parte de la especificación: esa es una conversación más profunda sobre la topología de despliegue, y la tendremos de forma honesta en lugar de sobrevenderla.
• Compradores de EE. UU. y APAC: la residencia normalmente no es la restricción — la latencia desde su región sí lo es. Problema diferente; díganoslo y planificaremos en consecuencia.

Pruébelo y luego lea el mapa de datos

• Pruebe la demo en vivo — escuche el flujo multilingüe en vivo en una reunión real y experimente qué se siente realmente con "ejecución en la UE y multilingüe". Sin necesidad de registrarse.
• InterMIND vs. Zoom — característica por característica, de forma honesta.
• Dónde se ejecuta realmente una reunión de InterMIND — el mapa completo de proveedores, brecha incluida.

"Videoconferencia conforme con el GDPR" es una lista de comprobación, no una insignia. Sea cual sea la herramienta que elija — la nuestra u otra — haga que el proveedor responda las siete preguntas por escrito. Los que pueden merecen su tiempo; los que no, le están vendiendo una página principal.

— El equipo de Mind.com

Fuentes sobre Zoom: Zoom — GDPR, Zoom — Residencia de Datos en la UE / privacidad en Europa, Zoom — ISO 27701, comprobado en agosto de 2026. Las ofertas y niveles de los proveedores cambian; verifique la configuración actual contra las páginas de confianza de Zoom. Los hechos de ejecución de InterMIND están verificados contra el despliegue en producción tal como se describe en la publicación del mapa de datos enlazada.