GDPR-yhteensopiva videoneuvottelu (2026): mitä se todella vaatii (ja Zoomin vaihtoehto, joka kääntää)

"GDPR-yhteensopiva" videoalustan etusivulla on lähes sisällötön väite. GDPR ei ole sertifikaatti, jonka voi läpäistä. Se on joukko velvoitteita sinulle, rekisterinpitäjälle, ja toimittaja joko auttaa täyttämään ne tai jättää ne hiljaa sinun pöydällesi. Hyödyllinen kysymys ei ole "onko tämä työkalu GDPR-yhteensopiva?" vaan "mistä tämä työkalu tekee minut vastuulliseksi, ja minne kokoustietoni oikeasti päätyvät?"

🔒 Päivitys: teimme tämän itsellemme. Tämän kirjoituksen julkaisun jälkeen kävimme InterMINDin oman koodipohjan läpi koko alla olevan tarkistuslistan mukaan ja sulimme jokaisen kohdan: poiston, säilytyksen, EU-ajoympäristön ja alikäsittelijät. Ne on todennettu koodista, ei vain väitetty jollakin sivulla. → Lue auditoinnin päätösraportti rivi riviltä.

Tämä kirjoitus on kysymyksen selkokielinen versio: tarkistuslista, jonka läpi tietosuojavastaava (DPO) oikeasti käy, Zoomin sijoittuminen siihen (reilusti, sillä Zoom on vaatimustenmukaisuuteen kykenevämpi kuin netissä usein annetaan ymmärtää) ja kohdat, joissa EU-ajoympäristöön perustuva vaihtoehto muuttaa vastauksen. Jos haluat laajemman näkökulman siihen, miten reaaliaikaisten kokousten pitäisi toimia, katso pääopas. Tämä kirjoitus käsittelee nimenomaan tietosuojan tasoa.

Selkokielinen tarkistuslista

Kun markkinointipuhe karsitaan pois, "GDPR-yhteensopiva videoneuvottelu" tiivistyy seitsemään asiaan, jotka voit todella todentaa:

1. Allekirjoitettu DPA. Henkilötietojen käsittelyä koskeva sopimus (Data Processing Addendum), jossa toimittaja nimetään käsittelijäksesi ja jossa on dokumentoidut tarkoitukset ja ohjeet. Ei DPA:ta, ei lainmukaista käsittelyä, piste.
2. Todellinen alikäsittelijöiden luettelo. Jokainen kolmas osapuoli, joka koskee kokoustietoihin (transkriptio, tallennus, sähköposti, analytiikka, tekoälyominaisuudet), nimettynä sekä sen tehtävä ja kotipaikka.
3. Missä tietoja käsitellään ajon aikana. Fyysinen alue, jolla äänesi, transkriptiosi, tallenteesi ja metatietosi käsitellään. Useimmat tietojen sijaintia koskevat lausekkeet tarkoittavat juuri tätä.
4. Kansainvälinen siirtomekanismi. Jos tietoja siirtyy ETA:n ulkopuolelle, millä oikeusperusteella? Vakiolausekkeilla (SCC), tietosuojan riittävyyspäätöksellä tai sijaintiratkaisulla, joka välttää siirron kokonaan. Tämä on Schrems II -kysymys, eikä se katoa siksi, että etusivulla lukee "compliant".
5. Tietoturva, jonka voi auditoida. ISO 27001, ISO 27701, SOC 2: riippumattomat todistukset, ei omia väitteitä.
6. Rekisteröidyn oikeuksien työkalut. Pystytkö oikeasti toteuttamaan kokoustietoja koskevat tietojen luovutus-, poisto- ja siirrettävyyspyynnöt, vai vain teoriassa?
7. Säilytys ja poisto omissa käsissäsi. Tallenteet, transkriptiot ja tekoälyyhteenvedot poistetaan sinun aikataulusi mukaan, ei toimittajan oletusten.

Työkalu on sinun kannaltasi "GDPR-yhteensopiva" vasta, kun kaikilla seitsemällä kohdalla on konkreettinen vastaus. Useimmat etusivut vastaavat nollaan niistä.

Missä Zoom todella on (reilusti)

Zoom on GDPR-vaatimusten kannalta kyvykkäämpi kuin sen maine antaa ymmärtää, ja tästä kannattaa olla tarkka sen sijaan, että kerätään halpoja pisteitä:

• Se julkaisee maailmanlaajuisen DPA:n, johon on sisällytetty EU:n vuoden 2021 vakiolausekkeet (SCC).
• Se tarjoaa EU-tietosijainnin (Data Residency), eli "Zoom EU Infrastructure", Enterprise- ja Education-asiakkaille. Se kattaa Meetings-, Webinar-, Chat-, Phone- ja Contact Center -palvelut.
• Sillä on ISO 27001 ja helmikuusta 2026 alkaen ISO 27701 (tietosuojanhallinnan laajennus) sekä julkaistut EU:n julkisen sektorin suvereniteettikontrollit.

Oikein konfiguroitu Zoom-käyttöönotto oikealla tasolla voi siis täyttää suurimman osan tarkistuslistasta. Rehelliset varaumat koskevat oletuksia ja kotipaikkaa, eivät kyvykkyyttä:

• EU-tietosijainti on tasoon ja konfiguraatioon sidottu lisäominaisuus, ei oletus. Se kuuluu Enterprise- ja Education-tasoille, ja se pitää ottaa käyttöön. Ilmaiset ja alemmat maksulliset tasot eivät sitä saa. "Käytämme Zoomia" ja "käytämme Zoomia, joka on konfiguroitu EU-tietosijainnille" ovat eri asioita hankinnan kannalta.
• Zoomin kotipaikka on Yhdysvalloissa. Vaikka käytössä olisivat SCC:t ja EU-tietosijainti, toimittajan yhtiökohtainen kotipaikka kuuluu CLOUD Act -arvioinnin ja suvereniteettitason arviointien piiriin. Tavallisessa GDPR-arvioinnissa tämä on hallittavissa SCC:illä. Ranskalaisessa souveraineté numérique -ajattelussa tai SecNumCloud-tason hankinnoissa yhtiön kotipaikka on itsessään kriteeri, ja keskustelu on silloin vaikeampi.
• Kokous käydään silti yhdellä kielellä. Zoomin käännetyt tekstitykset ja AI Companion auttavat, mutta huoneesta ei tule aidosti monikielistä, jossa jokainen osallistuja kuulee kokouksen livenä omalla kielellään. Jos vaatimustenmukaisuusongelmasi on myös kieliongelma (rajat ylittävät auditoinnit, usean toimipisteen CAPA-katselmukset), tämä aukko jää ratkaisematta riippumatta siitä, missä tiedot sijaitsevat.

Lyhyesti: Zoom voi olla GDPR-vaatimusten mukainen, kun se konfiguroidaan sellaiseksi. Riittääkö se, riippuu siitä, kuinka herkkä ostajasi on suvereniteettikysymyksille ja ovatko kokoukset monikielisiä.

Missä InterMIND on tarkistuslistalla

InterMIND on tila, jonka isäntä antaa tiimilleen ja asiakkailleen, kullekin omalla kielellä: kokoukset, chat, tiedostot ja yhteenveto. Edellä oleva tarkistuslista vastataan oletuksena, ei konfigurointiprojektilla. Rakenteellinen, ei pelkästään luvattu osa on missä kokous ajetaan. Tässä yksi rivi tietosuojavastaavalle, todennettuna tuotantoympäristöstä:

• Jokainen ajoaikainen vaihe on EU:ssa. Sovellus ja palvelinrajapinnat Vercelissä Frankfurtissa (fra1), kokouksen WebSocket-palvelin Flyssä Pariisissa (cdg), sovellusdata Neon Postgresissä AWS:n Frankfurtissa (eu-central-1), tallenteet Tigrisissä (EU:hun kiinnitettävissä), virhe- ja analytiikkadata Sentry EU:ssa ja PostHog EU:ssa sekä transaktiosähköposti Resendin kautta Irlannissa.
• Käännösmoottori on oma koodimme, Ranskassa (OVH), eikä jälleenmyymämme yhdysvaltalainen yleiskäyttöinen malli. Kokoussisällön suurin yksittäinen virta pysyy EU:ssa eikä koske kolmannen osapuolen LLM:ään. Asiakirjojen käännös menee DeepL:lle Kölnissä, joka on myös EU-yhtiö.
• Alikäsittelijöiden luettelo yhtiökohtaisine kotipaikkatietoineen toimitetaan DPA:n mukana vakiokäytäntönä, ei pyynnöstä.

Kokoussisältö menee yhteen tekoälyn gateway-palveluun EU:ssa, ja organisaatio valitsee sen. Kaikki kokouksesta johdettu, mikä tarvitsee kielimallin (kokouksen jälkeinen tekoälyyhteenveto aiheineen, päätöksineen ja action itemeineen, asiakirjayhteenvedot, tekoälyllisen muistiinpanoeditorin generatiiviset toiminnot (korjaa, laajenna, yksinkertaista) ja Ask AI), ajetaan organisaatiosi valitsemassa tekoälyn gateway-palvelussa: oletuksena Azure OpenAI EU Data Zonessa, valinnan mukaan Vertex AI EU:n monialueen päätepisteessä tai Amazon Bedrock Frankfurtissa, kukin omassa tenantissamme ilman tietojen säilytystä (zero data retention) ja ilman asiakassisällön käyttöä mallien koulutukseen. Vaihtoehtoisesti voit käyttää omaa OpenAI-yhteensopivaa päätepistettäsi. Kokouksen jälkeinen yhteenveto ja editorin käännös-toiminto kulkevat käännösputken kautta, eivät kielimallin. Isännöityjen gateway-palvelujen takana olevat toimittajat ovat yhdysvaltalaisia yhtiöitä, jotka ylläpitävät EU-alueita. Tämä kerrotaan suoraan luottamussivulla, ei piiloteta. Yhtiön kotipaikka on kriteeri, jonka suvereniteettitason hankinta lisää GDPR:n päälle, ja se koskee tätä vaihetta täsmälleen samoin kuin Zoomia edellä. Koko toimittajakohtainen kartta on kirjoituksessa Missä yksi InterMIND-kokous todella ajetaan, ja rakenna vai osta -näkökulma kirjoituksessa Mistä yksi InterMIND-kokous on rakennettu.

Yhtä asiaa emme väitä: emme heiluttele ISO-sertifikaattia, jota meillä ei vielä ole. Vastauksemme tarkistuslistaan on arkkitehtuurinen: EU-ajoympäristö, oma moottori, läpinäkyvät alikäsittelijät ja oikea DPA. Mieluummin sinä todennat sen kuin luotat merkkiin. Sertifioinnit ovat tiekartalla, ajoympäristö on todellinen jo tänään. Kävimme oman koodipohjamme läpi täsmälleen tämän tarkistuslistan mukaan ja suljimme jokaisen kohdan koodia vasten: päätösraportti rivi riviltä.

Ja se, mitä Zoomin sijaintiasetukset eivät voi lisätä: kokous on suunnittelultaan monikielinen. Jokainen osallistuja on livenä omalla kielellään 23 kielellä, puheessa, chatissa ja muistiinpanoissa, ja käännösten laatu julkaistaan avoimesti sen sijaan, että se väitettäisiin. Miten tämä toimii, selviää pääoppaasta. Säännellyn kokouksen käyttötapaus on kirjoituksessa monikieliset vaatimustenmukaisuuskokoukset.

Tarkistuslista taulukkona

Seitsemän kohtaa verrattuna kahteen työkaluun, joista tässä kirjoituksessa puhutaan yksityiskohtaisesti. Solut kertovat vain sen, mitä kukin toimittaja dokumentoi (Zoomin linkit ovat alla kohdassa Lähteet, InterMINDin väitteet on todennettu rivi riviltä auditoinnin päätösraportissa ja ajoympäristön kartassa). Minkä tahansa muun toimittajan kohdalla vaadi sitä vastaamaan vasemman sarakkeen kysymyksiin kirjallisesti.

UKK

Onko Zoom GDPR-yhteensopiva? Voi olla, oikealla tasolla ja konfiguraatiolla: Zoom julkaisee maailmanlaajuisen DPA:n, jossa on vuoden 2021 EU:n SCC:t, tarjoaa EU-tietosijainnin Enterprise- ja Education-asiakkaille ja sillä on ISO 27001 sekä (helmikuusta 2026 alkaen) ISO 27701. Rehelliset varaumat: EU-tietosijainti on tasoon ja konfiguraatioon sidottu lisäominaisuus eikä oletus, ja Zoomin kotipaikka on Yhdysvalloissa. Tavallisessa GDPR-arvioinnissa se on hallittavissa SCC:illä, mutta suvereniteettitason hankinnassa se on todellinen kriteeri.

Mikä tekee videoneuvottelutyökalusta GDPR-yhteensopivan? Seitsemän todennettavaa asiaa, ei etusivun merkkiä: allekirjoitettu DPA, todellinen alikäsittelijöiden luettelo, dokumentoitu ajoaikainen alue, lainmukainen kansainvälinen siirtomekanismi, riippumattomasti auditoitu tietoturva, toimivat rekisteröidyn oikeuksien työkalut ja itse hallittu säilytys. Toimittaja on vaatimustenmukainen sinun kannaltasi, kun kaikilla seitsemällä kohdalla on konkreettinen kirjallinen vastaus.

Vaatiiko GDPR, että videokokoukset pysyvät EU:ssa? Ei. GDPR vaatii lainmukaisen siirtomekanismin (SCC:t, riittävyyspäätös), kun tiedot poistuvat ETA:sta, eikä sijaintia sellaisenaan. Sijainnilla on silti merkitystä, koska se poistaa siirtokysymyksen kokonaan: Schrems II -jälkeinen analyysi lyhenee, kun tiedot eivät koskaan poistu. Se on ero "paperein vaatimustenmukaisen" ja "ei ole mitään paikattavaa" välillä.

Mitkä videoneuvottelutyökalut toimivat kokonaan EU:ssa? Pyydä keneltä tahansa toimittajalta sen ajoympäristökartta: alue vaihetta kohden eli sovellus, rajapinnat, kokousmedia, tietokanta, tallenteet, analytiikka, sähköposti ja tekoälyominaisuudet. InterMIND julkaisee juuri sellaisen (jokainen vaihe, toimittaja toimittajalta): Vercel Frankfurt, Fly Pariisi, Neon Frankfurt, käännösmoottori OVH:lla Ranskassa ja tekoälyominaisuudet organisaation valitsemassa gateway-palvelussa EU-alueella (oletuksena Azure OpenAI EU Data Zone). Minkä tahansa työkalun arvioitkin, vastaus on kartta, ei markkinointisivu.

Kenelle tämä on vastaus

Isännälle, joka omistaa tai johtaa 10–200 hengen organisaatiota, jonka tiimi tai asiakkaat puhuvat toista kieltä, joka käyttää jo Teamsia tai Workspacea ja joka pystyttää huoneen ilman IT-osastoa. Tällaiselle isännälle tarkistuslista on vastattu oletuksena ja keskustelu tietosuojavastaavan kanssa jää lyhyeksi. Loppu päätöksestä on sitä, ajetaanko itse kokous jokaisen jäsenen omalla kielellä. Suvereniteettitason julkinen hankinta, jossa toimittajan kotipaikka on itsessään osa vaatimusmäärittelyä, on eri keskustelu, ja sanomme sen mieluummin kuin myymme liikaa.

Kokeile ja lue sitten tietokartta

• Kokeile live-demoa: kuule live-monikielinen putki oikeassa kokouksessa ja kuule, miltä "EU-ajoympäristö ja monikielisyys" todella tuntuu. Rekisteröitymistä ei tarvita.
• InterMIND vs. Zoom: ominaisuus ominaisuudelta, rehellisesti.
• Missä yksi InterMIND-kokous todella ajetaan: koko toimittajakartta, aukko mukaan lukien.

"GDPR-yhteensopiva videoneuvottelu" on tarkistuslista, ei merkki. Minkä työkalun ikinä valitsetkin, omamme tai jonkin muun, vaadi toimittajaa vastaamaan kaikkiin seitsemään kysymykseen kirjallisesti. Ne, jotka siihen pystyvät, ovat ajankäyttösi arvoisia. Ne, jotka eivät pysty, myyvät sinulle etusivua.

— Mind.com-tiimi

Lähteet Zoomista: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, tarkistettu elokuussa 2026. Toimittajien tarjonta ja tasot muuttuvat; varmista nykyinen konfiguraatio Zoomin luottamussivuilta. InterMINDin ajoympäristöä koskevat tiedot on todennettu tuotantoympäristöstä, kuten linkitetyssä datakarttakirjoituksessa kuvataan.