Saimme GDPR-auditointimme päätökseen. Tässä se, minkä todella saimme kuntoon.

Muutama viikko sitten kirjoitimme, että videotyökalun etusivun maininta "GDPR-vaatimustenmukainen" kertoo vähemmän kuin luulet. GDPR on joukko velvoitteita, jotka koskevat sinua, rekisterinpitäjää. Toimittaja joko auttaa täyttämään ne tai jättää ne hiljaa sinun pöydällesi. Rehellisin tapa perustella väite on tehdä työ omalla puolellamme ja näyttää se rivi riviltä.

Niin teimme. Kävimme läpi koko InterMIND-koodikannan suhteessa velvoitteisiin, jotka koskevat meitä henkilötietojen käsittelijänä. Korjasimme jokaisen aukon, jonka takana oli koodia, ja varmensimme jokaisen korjauksen toimivasta tuotteesta. Tämä kirjoitus on päätösraportti: ei merkki vaan tarkistuslista meidän vastauksinamme.

Emme tarkoituksella väitä olevamme "100-prosenttisesti GDPR-sertifioituja". GDPR ei ole sertifikaatti, jonka voi läpäistä, emmekä heiluta ISO-merkkiä, jota meillä ei vielä ole. Voimme kuitenkin sanoa tämän: tietosuojavastaavan läpikäymille arkkitehtuuri- ja prosessivelvoitteille on nyt konkreettiset, todennettavissa olevat vastaukset, ja jokainen on tarkistettu toimivaa koodia vasten.

Mitä saimme kuntoon

Oikeus poistoon (art. 17) – ketju todella ajetaan

Tilisi poistaminen ei pelkästään deaktivoi sitä. POST /api/user/delete-account ajaa oikean poistoketjun: se poistaa kokouksesi → osallistujat, viestit, konferenssit ja transkriptiot. Se siivoaa tallennustilan blobit Tigriksestä ennen tietokannan ketjupoistoa, jotta mitään ei jää orvoksi: chat-liitteet ja videotallennetiedostot, molemmat sarakkeet. Lisäksi se peruuttaa Stripe-tilauksesi ja poistaa Stripe-asiakkaan. Poisto onnistuu myös tarvittaessa: poista kanava tai viesti käyttöliittymästä, ja se on poissa. Anonyymeillä (vieras)tileillä on oma poistorajapintansa sekä taustasiivous kuuden tunnin välein valvotun cron-ajon alla. Auditointi paljasti tässä yhden aukon: tallennteiden blobit, jotka tietokannan ketjupoisto pudotti mutta tallennustila säilytti. Korjasimme sen, eikä poisto jätä enää mitään objektitallennukseen.

Säilytys (art. 5(1)(e)) – dokumentoitu kriteeri

Art. 5(1)(e) ei vaadi automaattista elinaikaa (TTL). Se vaatii määritellyn säilytyskriteerin. Meidän kriteerimme on nyt kirjattu tietosuojaselosteeseen: tietoja säilytetään, kunnes sinä tai tiimisi omistaja poistaa ne, ja tilisi poistaminen poistaa kaiken. Samalla mallilla toimivat yhteistyötyökalut, kuten Slack ja Notion: pysyvyys on odotettu toimintatapa, ja hallitset sitä itse. Kriteeri on ilmaistu, ei vihjattu.

Analytiikan suostumus (art. 6/7) – oletuksena kieltäytyminen

Usercentrics-suostumusbanneri (näytetään EU-kävijöille) ohjaa analytiikkaa, ja PostHog toimitetaan asetuksella opt_out_capturing_by_default: true. Mitään ei kerätä ennen kuin suostumus on annettu, eikä päinvastoin.

Tietojen siirrettävyys (art. 20) – toimiva vienti

GET /api/user/export rakentaa ZIP-paketin kokouksistasi, viesteistäsi, tallenteistasi ja käännöksistäsi. Lataus on avoinna 7 päivää, ja siivous tapahtuu automaattisesti. Pääsy, poisto ja siirrettävyys ovat toimivaa työkalutusta, eivät lupauksia käytännössä.

Kokousten sisältö kulkee yhden tekoälyyhdyskäytävän kautta EU:ssa – organisaation valitsemana

Suurin yksittäinen kokoussisällön virta, eli puheen ja chatin käännös reaaliajassa, kulkee omalla moottorillamme Ranskassa, ei koskaan kolmannen osapuolen LLM:n kautta. Tekoälyvaiheet, jotka käyttävät yleiskäyttöistä mallia (yhteenveto, dokumenttitiivistelmät, muistiinpano-editorin generatiiviset toiminnot ja Ask AI), kulkevat organisaation valitsemalla tekoälyyhdyskäytävällä. Oletuksena on Azure OpenAI EU Data Zonessa, valinnalla Vertex AI EU tai Amazon Bedrock Frankfurt. Kukin toimii omassa tenantissamme ilman datan säilytystä ja ilman koulutusta asiakkaan sisällöllä, tai vaihtoehtoisesti käytetään organisaation omaa päätepistettä. Koodissa yksi resolveri valitsee yhdyskäytävän jokaiselle kutsukohdalle, joten toista polkua ei ole. Siivosimme myös osallistujien nimet ja puheenvuorojen tekstit pois konferenssin selainlokeista, jotka PostHogin istuntotallennus olisi voinut muuten tallentaa. Täydellinen toimittajakohtainen kartta löytyy kirjoituksesta Missä yksi InterMIND-kokous todella pyörii.

Läpinäkyvyys – alikäsittelijät ja käsittelytoimien seloste julkaistu

Alikäsittelijäluettelo on julkinen, ja siinä kerrotaan, mitä kukin toimittaja tekee ja missä se on kotipaikkansa. Se ei ole "saatavilla pyynnöstä". Sen takana on käsittelytoimien seloste (ROPA), joka on rakennettu elävästä skeemasta: 11 käsittelytoimea, kunkin tietoturvatoimet sekä poisto- ja siirrettävyyspolut. Tietosuojaselosteemme ja käyttöehtomme noudattavat nyt omaa oikeushenkilöämme, ja todellinen käsittelyketju on kuvattu niissä.

EU-ajoympäristö – lukittu, ei vain luvattu

Jokainen ajonaikainen vaihe, jonka kokous käy läpi, on EU:ssa: sovellus ja rajapinnat Vercel Frankfurtissa, kokouspalvelin Fly Pariisissa, sovellusdata Neon Postgresissa (AWS Frankfurt), virheet Sentry EU:ssa, analytiikka PostHog EU:ssa ja sähköposti Resend Irlannin kautta. Tigriksen objektitallennus on nyt lukittu EU-alueille (Frankfurt + Amsterdam), joten jokainen uusi kirjoitus päätyy EU:hun riippumatta siitä, missä käyttäjä on. Koko arkkitehtuuri on tietoturvasivullamme.

Miksi tällä on merkitystä hankinnallesi

Useimmille EU-ostajille, kuten saksalaiselle Mittelstandille ja sääntelyalojen tiimeille, jotka käyttävät tavallisia GDPR-tietojenkäsittelysopimuksia, datan sijaintia koskevaan kysymykseen on nyt suora vastaus: data ei poistu EU:sta ajon aikana, poisto toimii, säilytyskriteeri on ilmaistu ja alikäsittelijäluettelo on pöydällä. Se on paljon lyhyempi keskustelu kuin "palaamme asiaan, kun tiedämme, minne data menee".

Ranskalaisessa souveraineté numérique -ajattelussa ja SecNumCloud-tasoisissa hankinnoissa toimittajan yhtiön kotipaikka on itsessään kriteeri. Se vaatii syvemmän keskustelun käyttöönoton topologiasta, ja käymme sen rehellisesti sen sijaan, että liioittelisimme. Yhtä asiaa emme tee: emme heiluta ISO-sertifikaattia, jota meillä ei vielä ole. Sertifioinnit ovat tiekartalla, mutta vastauksemme tarkistuslistaan on arkkitehtuuriin perustuva ja todennettavissa jo tänään.

Tarkista itse

• GDPR-vaatimustenmukainen videoneuvottelu: tietosuojavastaavan täydellinen tarkistuslista – seitsemän asiaa, joihin jokaisen toimittajan pitää vastata, ja missä Zoom on.
• Missä yksi InterMIND-kokous todella pyörii – toimittajakartta, jossa aukot on nimetty.
• Onko kokouksesi luottamuksellinen? – kolme kysymystä, jotka kannattaa esittää ennen kuin tietosuojavastaavan tarkistuslista otetaan esiin.
• Tietoturva ja tietosuoja · Alikäsittelijät · Tietosuojaseloste · Käyttöehdot
• Kokeile live-demoa – kuule reaaliaikainen, EU-ajoympäristössä toimiva monikielinen putki oikeassa kokouksessa – ilman rekisteröitymistä.

GDPR-vaatimustenmukaisuus ei ole merkki, jonka voi ostaa. Se on työtä, jonka voi tehdä ja näyttää. Tämä on meidän työmme, rivi riviltä. Jos tietosuojavastaavasi tarvitsee vastauksen, jota tämä kirjoitus ei anna, kirjoita meille.

— Mind.com-tiimi

Lähteet: Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (GDPR) – artiklat, joita vasten auditointi tehtiin; sisäiset väitteet varmennettu InterMIND-koodikannasta ja toimivasta tuotteesta; tarkistettu elokuussa 2026.