Visioconférence conforme au GDPR (2026) : ce qu'il faut vraiment (et une alternative à Zoom qui traduit)

« Conforme au GDPR » sur la page d'accueil d'une plateforme de visioconférence, c'est presque du vide. Le GDPR n'est pas une certification que l'on obtient : c'est un ensemble d'obligations qui pèsent sur vous, le responsable de traitement, qu'un fournisseur vous aide à respecter ou laisse discrètement sur votre bureau. La bonne question n'est pas « cet outil est-il conforme au GDPR ? », mais « de quoi cet outil me rend-il responsable, et où vont réellement les données de ma réunion ? »

🔒 Mise à jour : nous l'avons fait sur nous-mêmes. Depuis la publication de cet article, nous avons passé le code d'InterMIND au crible de la liste de contrôle ci-dessous et clos chaque point (effacement, conservation, exécution dans l'UE, sous-traitants ultérieurs), vérifié dans le code et non simplement affirmé sur une page. → Lire le bilan de clôture de l'audit, point par point.

Cet article est la version en termes simples de cette question : la liste de contrôle que parcourt réellement un DPO, la position de Zoom sur cette liste (honnêtement : il est plus apte à la conformité que ne le laisse croire Internet) et les cas où une alternative exécutée dans l'UE change la réponse. Si vous cherchez le cadre plus large de « comment doivent fonctionner les réunions en temps réel », c'est le guide de référence ; celui-ci porte spécifiquement sur la couche de protection des données.

La liste de contrôle en termes simples

Sans le marketing, la « visioconférence conforme au GDPR » se résume à sept points que vous pouvez réellement vérifier :

1. Un DPA signé. Un avenant de traitement des données (Data Processing Addendum) qui désigne le fournisseur comme votre sous-traitant, avec des finalités et des instructions documentées. Pas de DPA, pas de traitement licite : point final.
2. Une vraie liste de sous-traitants ultérieurs. Chaque tiers qui touche aux données de réunion (transcription, stockage, e-mail, analyse, fonctions d'IA) est nommé, avec son rôle et son pays de domiciliation.
3. Où les données sont traitées à l'exécution. La région physique où sont traités votre audio, vos transcriptions, vos enregistrements et vos métadonnées. C'est sur cela que portent la plupart des clauses de résidence des données.
4. Le mécanisme de transfert international. Si des données quittent l'EEA, sur quelle base juridique ? Clauses contractuelles types (SCC), décision d'adéquation, ou configuration de résidence qui évite tout transfert. C'est la question Schrems II, et elle ne disparaît pas parce qu'une page d'accueil affiche « conforme ».
5. Une posture de sécurité que vous pouvez auditer. ISO 27001, ISO 27701, SOC 2 : des attestations indépendantes, pas des déclarations.
6. Des outils pour les droits des personnes concernées. Pouvez-vous réellement traiter les demandes d'accès, de suppression et de portabilité portant sur les données de réunion, ou seulement en théorie ?
7. Une conservation et une suppression que vous maîtrisez. Enregistrements, transcriptions et synthèses IA supprimés selon votre calendrier, pas selon le réglage par défaut du fournisseur.

Un outil n'est « conforme au GDPR » pour votre cas que si les sept points reçoivent une réponse concrète. La plupart des pages d'accueil n'en donnent aucune.

Où en est réellement Zoom (honnêtement)

Zoom est plus apte à respecter le GDPR que sa réputation ne le laisse penser, et il vaut mieux être exact sur ce point que de marquer des points faciles :

• Il publie un DPA mondial intégrant les clauses contractuelles types de l'UE de 2021.
• Il propose la résidence des données dans l'UE (« Zoom EU Infrastructure ») aux clients Enterprise et Education, pour Meetings, Webinar, Chat, Phone et Contact Center.
• Il détient l'ISO 27001 et, depuis février 2026, l'ISO 27701 (l'extension de gestion de la confidentialité), ainsi que des contrôles de souveraineté publiés pour le secteur public européen.

Une installation Zoom correctement configurée, au bon niveau d'offre, peut donc satisfaire l'essentiel de la liste. Les réserves honnêtes portent sur les réglages par défaut et la domiciliation, pas sur les capacités :

• La résidence dans l'UE est une option liée à l'offre et à la configuration, pas le réglage par défaut. Elle existe sur Enterprise/Education et doit être activée. Les offres gratuites et payantes inférieures n'y ont pas droit. « Nous utilisons Zoom » et « nous utilisons Zoom configuré pour la résidence dans l'UE » sont deux faits d'achat différents.
• Zoom est une entreprise domiciliée aux États-Unis. Même avec les SCC et la résidence dans l'UE, le domicile social du fournisseur entre en ligne de compte dans les évaluations relatives au CLOUD Act et celles de niveau souveraineté. Pour le GDPR standard, cela reste gérable avec les SCC ; pour la souveraineté numérique à la française ou un achat de niveau SecNumCloud, le domicile social est en soi un critère, et la discussion est plus difficile.
• La réunion se déroule toujours dans une seule langue. Les sous-titres traduits de Zoom et AI Companion aident, mais la salle ne devient pas réellement multilingue, avec chaque participant entendant la réunion en direct dans sa propre langue. Si votre problème de conformité est aussi un problème de langue (audits transfrontaliers, revues CAPA multisites), cet écart reste entier, quel que soit l'endroit où résident les données.

En bref : Zoom peut être conforme au GDPR lorsqu'il est configuré pour l'être. Savoir si c'est suffisant dépend de la sensibilité de votre acheteur à la souveraineté, et du caractère multilingue de vos réunions.

Où se situe InterMIND sur la liste de contrôle

InterMIND est un espace qu'un hôte offre à son équipe et à ses clients, chacun dans sa langue : réunions, chat, fichiers, compte rendu. La liste ci-dessus reçoit ses réponses par défaut, sans projet de configuration ; la partie structurelle plutôt que promise concerne l'endroit où la réunion s'exécute, en une ligne pour le DPO, vérifiée sur le déploiement en production :

• Chaque étape d'exécution est dans l'UE. Application et API serveur sur Vercel à Francfort (fra1) ; serveur WebSocket des réunions sur Fly à Paris (cdg) ; données applicatives dans Neon Postgres sur AWS Francfort (eu-central-1) ; enregistrements sur Tigris, avec possibilité de les épingler dans l'UE ; erreurs et analyse sur Sentry EU et PostHog EU ; e-mails transactionnels via Resend en Irlande.
• Le moteur de traduction est notre propre code, en France (OVH), et non un modèle généraliste américain que nous revendrions. Le plus gros flux de contenu de réunion reste résident dans l'UE et ne touche jamais un LLM tiers. La traduction de documents passe par DeepL à Cologne, également une entreprise européenne.
• La liste des sous-traitants ultérieurs, avec le détail du domicile social, est fournie avec le DPA comme pratique standard, et non sur demande.

Le contenu des réunions passe par une seule passerelle IA, dans l'UE, et c'est l'organisation qui la choisit. Tout ce qui est dérivé d'une réunion et qui nécessite un modèle de langage (la synthèse IA après la réunion : sujets, décisions, action items ; les résumés de documents ; les actions génératives de l'éditeur de notes IA : corriger, développer, simplifier ; Ask AI) s'exécute sur la passerelle IA que choisit votre organisation : Azure OpenAI dans l'EU Data Zone par défaut, Vertex AI sur le point de terminaison multirégional UE ou Amazon Bedrock à Francfort au choix, chacun dans notre propre tenant, sans aucune conservation des données et sans entraînement sur le contenu des clients ; ou votre propre point de terminaison compatible OpenAI. Le résumé après réunion et l'action traduire de l'éditeur passent par la voie de traduction, et non par le modèle de langage. Les fournisseurs des passerelles hébergées sont des entreprises américaines qui exploitent des régions européennes ; nous l'indiquons clairement sur la page de confiance, sans le cacher. Le domicile social est le critère que les achats de niveau souveraineté ajoutent au GDPR, et il s'applique à cette étape exactement comme à Zoom plus haut. La cartographie complète, fournisseur par fournisseur, se trouve dans Où s'exécute réellement une réunion InterMIND, et l'angle développer-ou-acheter dans De quoi est faite une réunion InterMIND.

Une chose que nous ne prétendons pas : nous n'allons pas brandir un certificat ISO que nous ne détenons pas encore. Notre réponse à la liste est architecturale (exécution dans l'UE, moteur propre, sous-traitants ultérieurs transparents, un vrai DPA) et nous préférons que vous la vérifiiez plutôt que de vous fier à un badge. Les certifications figurent sur la feuille de route ; l'exécution dans l'UE, elle, est réelle aujourd'hui. Nous avons passé notre propre code au crible de cette liste exacte et clos chaque point par rapport au code : le rapport de clôture, point par point.

Et ce que les réglages de résidence de Zoom ne peuvent pas ajouter : la réunion est multilingue par conception. Chaque participant l'entend en direct dans sa propre langue, parmi 23 langues, pour la voix, le chat et les notes, avec une qualité de traduction publiée ouvertement plutôt qu'affirmée. Le fonctionnement est décrit dans le guide de référence ; le cas d'usage des réunions réglementées dans les réunions de conformité multilingues.

La liste de contrôle sous forme de tableau

Les sept points face aux deux outils que cet article examine en détail. Les cellules n'énoncent que ce que chaque fournisseur documente (liens Zoom dans les sources ci-dessous ; affirmations InterMIND vérifiées ligne par ligne dans le bilan de clôture de l'audit et la cartographie d'exécution). Pour tout autre fournisseur, faites-lui répondre par écrit à la colonne de gauche.

FAQ

Zoom est-il conforme au GDPR ? Il peut l'être, au bon niveau d'offre et avec la bonne configuration : Zoom publie un DPA mondial avec les SCC de l'UE de 2021, propose la résidence des données dans l'UE aux clients Enterprise et Education, et détient l'ISO 27001 ainsi que (depuis février 2026) l'ISO 27701. Les réserves honnêtes : la résidence dans l'UE est une option liée à l'offre et à la configuration plutôt que le réglage par défaut, et Zoom reste une entreprise domiciliée aux États-Unis, ce qui est gérable sous le GDPR standard avec les SCC, mais constitue un vrai critère dans les achats de niveau souveraineté.

Qu'est-ce qui rend un outil de visioconférence conforme au GDPR ? Sept points vérifiables, pas un badge de page d'accueil : un DPA signé, une vraie liste de sous-traitants ultérieurs, une région d'exécution documentée, un mécanisme de transfert international licite, une sécurité auditée de façon indépendante, des outils opérationnels pour les droits des personnes concernées, et une conservation que vous maîtrisez. Un fournisseur est conforme pour votre cas lorsque les sept points reçoivent une réponse concrète par écrit.

Le GDPR exige-t-il que les réunions en visioconférence restent dans l'UE ? Non : le GDPR exige un mécanisme de transfert licite (SCC, adéquation) lorsque les données quittent l'EEA, et non la résidence en tant que telle. La résidence compte parce qu'elle supprime entièrement la question du transfert : l'analyse post-Schrems II devient courte quand les données ne partent jamais. C'est la différence entre « conforme sur le papier » et « rien à régulariser ».

Quels outils de visioconférence s'exécutent entièrement dans l'UE ? Demandez à chaque fournisseur sa cartographie d'exécution : la région pour chaque étape (application, API, médias de réunion, base de données, enregistrements, analyse, e-mail, fonctions d'IA). InterMIND publie exactement cela (chaque étape, fournisseur par fournisseur) : Vercel Francfort, Fly Paris, Neon Francfort, moteur de traduction sur OVH France, fonctions d'IA sur la passerelle choisie par l'organisation, dans une région de l'UE (Azure OpenAI EU Data Zone par défaut). Quel que soit l'outil que vous évaluez, c'est la cartographie, et non la page marketing, qui donne la réponse.

À quel hôte cela répond

Le propriétaire ou le responsable d'une organisation de 10 à 200 personnes dont l'équipe ou les clients parlent une autre langue, déjà sur Teams ou Workspace, qui met en place l'espace sans service informatique. Pour cet hôte, la liste de contrôle reçoit ses réponses par défaut et la discussion avec le DPO est courte ; le reste de la décision consiste à savoir si la réunion elle-même se déroule dans la langue de chaque membre. Les marchés publics de niveau souveraineté, où le domicile du fournisseur fait partie du cahier des charges, relèvent d'une autre discussion, et nous le disons plutôt que de survendre.

Essayez, puis lisez la cartographie des données

• Essayer la démo en direct : écoutez le pipeline multilingue en direct sur une vraie réunion et constatez ce que donne « exécution dans l'UE et multilingue ». Aucune inscription nécessaire.
• InterMIND vs. Zoom : fonctionnalité par fonctionnalité, en toute honnêteté.
• Où s'exécute réellement une réunion InterMIND : la cartographie complète des fournisseurs, écarts compris.

La « visioconférence conforme au GDPR » est une liste de contrôle, pas un badge. Quel que soit l'outil que vous choisissez, le nôtre ou un autre, faites répondre le fournisseur par écrit aux sept questions. Ceux qui le peuvent méritent votre temps ; ceux qui ne le peuvent pas vous vendent une page d'accueil.

— L'équipe Mind.com

Sources sur Zoom : Zoom — GDPR, Zoom — résidence des données dans l'UE / confidentialité en Europe, Zoom — ISO 27701, consultées en août 2026. Les offres et niveaux des fournisseurs évoluent ; vérifiez la configuration actuelle sur les pages de confiance de Zoom. Les faits d'exécution d'InterMIND sont vérifiés sur le déploiement en production, tel que décrit dans l'article de cartographie des données lié.