Videoconferencias que cumplen con GDPR (2026): qué hace falta de verdad (y una alternativa a Zoom que traduce)

"Cumple con GDPR" en la página de inicio de una plataforma de vídeo es una frase casi vacía. GDPR no es una certificación que se apruebe: es un conjunto de obligaciones que recaen sobre usted, el responsable del tratamiento, y que un proveedor o bien le ayuda a cumplir o bien deja discretamente sobre su mesa. La pregunta útil no es "¿cumple esta herramienta con GDPR?", sino "¿de qué me hace responsable esta herramienta y adónde van realmente los datos de mi reunión?"

🔒 Actualización: nos lo aplicamos a nosotros mismos. Desde que se publicó este artículo, hemos pasado el código de InterMIND por la lista de verificación completa que sigue y hemos cerrado todos los puntos (supresión, retención, ejecución en la UE, subencargados), verificados contra el código, no afirmados en una página. → Lea el informe de cierre de la auditoría, línea por línea.

Este artículo es la versión en lenguaje llano de esa pregunta: la lista de verificación que un DPO recorre en la práctica, el lugar que ocupa Zoom en ella (con justicia: es más capaz de cumplir de lo que da a entender internet) y el punto en que una alternativa con ejecución en la UE cambia la respuesta. Si busca el marco más amplio de cómo deberían funcionar las reuniones en tiempo real, es la guía principal; este artículo trata específicamente de la capa de protección de datos.

La lista de verificación en lenguaje llano

Sin el marketing, "videoconferencia que cumple con GDPR" se reduce a siete cosas que usted puede verificar:

1. Un DPA firmado. Un Data Processing Addendum que designe al proveedor como su encargado del tratamiento, con finalidades e instrucciones documentadas. Sin DPA no hay tratamiento lícito, y punto.
2. Una lista real de subencargados. Cada tercero que toca datos de la reunión (transcripción, almacenamiento, correo electrónico, analítica, funciones de IA) con su nombre, lo que hace y dónde tiene su domicilio.
3. Dónde se procesan los datos en tiempo de ejecución. La región física en la que se manejan su audio, transcripciones, grabaciones y metadatos. De esto tratan, en realidad, la mayoría de las cláusulas de residencia de datos.
4. El mecanismo de transferencia internacional. Si algún dato sale del EEA, ¿con qué base jurídica? Cláusulas contractuales tipo (SCC), decisión de adecuación o una configuración de residencia que evite la transferencia por completo. Es la cuestión de Schrems II, y no desaparece porque una página de inicio diga "conforme".
5. Una postura de seguridad que pueda auditar. ISO 27001, ISO 27701, SOC 2: atestaciones independientes, no autodeclaraciones.
6. Herramientas para los derechos de los interesados. ¿Puede cumplir de verdad las solicitudes de acceso, supresión y portabilidad de los datos de reunión, o solo en teoría?
7. Retención y eliminación bajo su control. Grabaciones, transcripciones y resúmenes de IA eliminados según su calendario, no según el valor por defecto del proveedor.

Una herramienta "cumple con GDPR" a sus efectos solo cuando las siete tienen respuestas concretas. La mayoría de las páginas de inicio no responden a ninguna.

Dónde se sitúa realmente Zoom (con justicia)

Zoom es más capaz de cumplir con GDPR de lo que sugiere su reputación, y conviene ser exactos en ello en lugar de anotarse puntos fáciles:

• Publica un DPA global con las cláusulas contractuales tipo de la UE de 2021 incorporadas.
• Ofrece residencia de datos en la UE ("Zoom EU Infrastructure") para clientes de Enterprise y Education, que abarca Meetings, Webinar, Chat, Phone y Contact Center.
• Cuenta con ISO 27001 y, desde febrero de 2026, ISO 27701 (la extensión de gestión de la privacidad), además de controles de soberanía publicados para el sector público de la UE.

Así pues, un despliegue de Zoom bien configurado, en el nivel adecuado, puede satisfacer la mayor parte de la lista. Las salvedades honestas tienen que ver con los valores por defecto y el domicilio, no con la capacidad:

• La residencia en la UE es un complemento ligado al nivel y a la configuración, no el valor por defecto. Está en Enterprise/Education y hay que activarla. Los niveles gratuito y de pago inferiores no la incluyen. "Usamos Zoom" y "usamos Zoom configurado para residencia en la UE" son hechos de contratación distintos.
• Zoom es una empresa con domicilio en EE. UU. Incluso con SCC y residencia en la UE, el domicilio social del proveedor entra en juego en las evaluaciones de CLOUD-Act y de nivel de soberanía. Para el GDPR estándar esto es manejable con SCC; para la souveraineté numérique francesa o una contratación de nivel SecNumCloud, el domicilio social es en sí mismo un criterio, y esa es una conversación más difícil.
• La reunión sigue celebrándose en un solo idioma. Los subtítulos traducidos de Zoom y AI Companion ayudan, pero la sala no se vuelve realmente multilingüe, con cada participante oyendo la reunión en directo en su propio idioma. Si su problema de cumplimiento es también un problema de idioma (auditorías transfronterizas, revisiones de CAPA en varias sedes), esa carencia queda sin resolver sea cual sea el lugar donde residan los datos.

La versión corta: Zoom puede cumplir con GDPR cuando se configura para ello. Que eso sea suficiente depende de lo sensible que sea su comprador a la soberanía, y de si las reuniones son multilingües.

Dónde se sitúa InterMIND en la lista de verificación

InterMIND es un espacio que un anfitrión ofrece a su equipo y a sus clientes, cada uno en su propio idioma: reuniones, chat, archivos, el resumen. La lista anterior se responde por defecto, no mediante un proyecto de configuración; la parte que es estructural y no meramente prometida es dónde se ejecuta la reunión, una línea para el DPO, verificada contra el despliegue en producción:

• Cada salto de ejecución está en la UE. Aplicación y API de servidor en Vercel en Fráncfort (fra1); el servidor WebSocket de la reunión en Fly en París (cdg); los datos de aplicación en Neon Postgres sobre AWS Fráncfort (eu-central-1); las grabaciones en Tigris, fijables a la UE; errores y analítica en Sentry EU y PostHog EU; correo transaccional mediante Resend en Irlanda.
• El motor de traducción es código propio, en Francia (OVH), no un modelo de uso general estadounidense que revendamos. El mayor flujo de contenido de reunión se queda en la UE y nunca toca un LLM de terceros. La traducción de documentos va a DeepL en Colonia, también una empresa de la UE.
• La lista de subencargados, con el detalle del domicilio social, se entrega con el DPA como práctica estándar, no bajo petición.

El contenido de la reunión va a una única pasarela de IA, en la UE, y la elige la organización. Todo lo derivado de una reunión que necesite un modelo de lenguaje (el resumen de IA posterior a la reunión con temas, decisiones y action items, los resúmenes de documentos, las acciones generativas del editor de notas con IA como corregir, ampliar y simplificar, y Ask AI) se ejecuta en la pasarela de IA que seleccione su organización: Azure OpenAI en la EU Data Zone por defecto, Vertex AI en el endpoint multirregional de la UE o Amazon Bedrock en Fráncfort a elección, cada uno en nuestro propio tenant, con retención cero de datos y sin entrenamiento con el contenido de los clientes; o su propio endpoint compatible con OpenAI. El resumen posterior a la reunión y la acción de traducir del editor pasan por el flujo de traducción, no por el modelo de lenguaje. Los proveedores que están detrás de las pasarelas alojadas son empresas estadounidenses que operan regiones en la UE; lo decimos claramente en la página de confianza, sin ocultarlo. El domicilio social es el criterio que la contratación de nivel de soberanía añade a GDPR, y se aplica a este salto exactamente igual que a Zoom más arriba. El mapa completo, proveedor por proveedor, está en Dónde se ejecuta realmente una reunión de InterMIND, y la visión de construir frente a comprar, en De qué está hecha una reunión de InterMIND.

Hay algo que no afirmamos: no vamos a exhibir un certificado ISO que todavía no tenemos. Nuestra respuesta a la lista es arquitectónica (ejecución en la UE, motor propio, subencargados transparentes, un DPA real) y preferimos que lo verifique a que se fíe de una insignia. Las certificaciones están en la hoja de ruta; la ejecución en la UE es real hoy. Pasamos nuestro propio código por esta misma lista y cerramos cada punto contra el código: el informe de cierre, línea por línea.

Y lo que los ajustes de residencia de Zoom no pueden añadir: la reunión es multilingüe por diseño, con cada participante en directo en su propio idioma en 23 idiomas, voz, chat y notas, y con la calidad de traducción publicada abiertamente en lugar de simplemente afirmada. Cómo funciona se explica en la guía principal; el caso de uso de las reuniones reguladas, en reuniones multilingües de cumplimiento.

La lista de verificación en una tabla

Los siete puntos frente a las dos herramientas que este artículo analiza en detalle. Las celdas recogen solo lo que cada proveedor documenta (los enlaces de Zoom están en Fuentes más abajo; las afirmaciones sobre InterMIND están verificadas línea por línea en el cierre de la auditoría y en el mapa de ejecución). A cualquier otro proveedor, haga que responda por escrito a la columna de la izquierda.

Preguntas frecuentes

¿Cumple Zoom con GDPR? Puede hacerlo, en el nivel y la configuración adecuados: Zoom publica un DPA global con las SCC de la UE de 2021, ofrece residencia de datos en la UE a clientes de Enterprise y Education, y cuenta con ISO 27001 y (desde febrero de 2026) ISO 27701. Las salvedades honestas: la residencia en la UE es un complemento ligado al nivel y a la configuración, no el valor por defecto, y Zoom sigue siendo una empresa con domicilio en EE. UU., algo manejable bajo GDPR estándar con SCC, pero un criterio real en la contratación de nivel de soberanía.

¿Qué hace que una herramienta de videoconferencia cumpla con GDPR? Siete cosas verificables, no una insignia de página de inicio: un DPA firmado, una lista real de subencargados, una región de ejecución documentada, un mecanismo lícito de transferencia internacional, seguridad auditada de forma independiente, herramientas operativas para los derechos de los interesados y una retención que usted controla. Un proveedor cumple a sus efectos cuando las siete tienen respuestas concretas por escrito.

¿Exige GDPR que las reuniones por vídeo permanezcan en la UE? No: GDPR exige un mecanismo lícito de transferencia (SCC, adecuación) cuando los datos salen del EEA, no la residencia como tal. La residencia importa porque elimina por completo la cuestión de la transferencia: el análisis posterior a Schrems II se vuelve corto cuando los datos nunca salen. Esa es la diferencia entre "conforme sobre el papel" y "nada que justificar en el papel".

¿Qué herramientas de videoconferencia se ejecutan íntegramente en la UE? Pida a cualquier proveedor su mapa de ejecución: región por salto (aplicación, API, medios de la reunión, base de datos, grabaciones, analítica, correo, funciones de IA). InterMIND publica exactamente eso (cada salto, proveedor por proveedor): Vercel Fráncfort, Fly París, Neon Fráncfort, motor de traducción en OVH Francia, funciones de IA en la pasarela que selecciona la organización, en una región de la UE (Azure OpenAI EU Data Zone por defecto). Sea cual sea la herramienta que evalúe, la respuesta es el mapa, no la página de marketing.

A qué anfitrión responde esto

Al propietario o responsable de una organización de 10 a 200 personas cuyo equipo o clientes hablan otro idioma, que ya trabaja con Teams o Workspace y monta la sala sin un departamento de TI. Para ese anfitrión, la lista se responde por defecto y la conversación con el DPO es corta; el resto de la decisión es si la propia reunión se desarrolla en el idioma de cada miembro. La contratación pública de nivel de soberanía, donde el domicilio del proveedor forma parte de las especificaciones, es otra conversación, y lo decimos en lugar de prometer de más.

Pruébelo y después lea el mapa de datos

• Pruebe la demo en vivo: escuche el flujo multilingüe en directo sobre una reunión real y compruebe qué se siente con "ejecución en la UE y multilingüe". No necesita registrarse.
• InterMIND vs. Zoom: función por función, con honestidad.
• Dónde se ejecuta realmente una reunión de InterMIND: el mapa completo de proveedores, con la carencia incluida.

"Videoconferencia que cumple con GDPR" es una lista de verificación, no una insignia. Elija la herramienta que elija, la nuestra u otra, haga que el proveedor responda por escrito a las siete preguntas. Los que pueden merecen su tiempo; los que no, le están vendiendo una página de inicio.

— El equipo de Mind.com

Fuentes sobre Zoom: Zoom — GDPR, Zoom — residencia de datos en la UE / privacidad en Europa, Zoom — ISO 27701, consultadas en agosto de 2026. La oferta y los niveles de los proveedores cambian; verifique la configuración actual en las páginas de confianza de Zoom. Los hechos de ejecución de InterMIND están verificados contra el despliegue en producción, tal como se describe en el artículo enlazado del mapa de datos.