GDPR-kompatibilis videókonferencia (2026): mi kell hozzá valójában (és egy Zoom-alternatíva, amely fordít)

A „GDPR-kompatibilis" felirat egy videóplatform kezdőoldalán szinte semmitmondó. A GDPR nem tanúsítvány, amelyet megszerezhet. Kötelezettségek összessége Önre, az adatkezelőre nézve, amelyeknek a teljesítésében a szolgáltató vagy segít, vagy csendben az Ön asztalán hagyja őket. A hasznos kérdés nem az, hogy „GDPR-kompatibilis-e ez az eszköz?", hanem az, hogy „miért tesz engem felelőssé ez az eszköz, és hová kerülnek valójában a meeting adatai?"

🔒 Frissítés – ezt saját magunkkal is megcsináltuk. A bejegyzés megjelenése óta az InterMIND saját kódbázisát is végigvittük az alábbi teljes ellenőrzőlistán, és minden tételt lezártunk – törlés, megőrzés, EU-s futtatási környezet, alfeldolgozók –, a kóddal ellenőrizve, nem egy oldalon állítva. → Olvassa el az audit lezárását, soronként.

Ez a bejegyzés a kérdés közérthető változata: azt az ellenőrzőlistát mutatja be, amelyen egy adatvédelmi tisztviselő (DPO) valójában végigmegy, megmutatja, hol áll rajta a Zoom (korrekt módon – megfelelőségi szempontból képesebb, mint ahogy az internet sugallja), és hogy hol változtat a válaszon egy EU-s futtatási környezetű alternatíva. Ha a tágabb keretre kíváncsi, vagyis arra, hogyan működjenek a valós idejű meetingek, azt a átfogó útmutató tárgyalja; ez a bejegyzés kifejezetten az adatvédelmi réteggel foglalkozik.

A közérthető ellenőrzőlista

Ha eltávolítjuk a marketinget, a „GDPR-kompatibilis videókonferencia" hét dologra bontható, amelyet valóban ellenőrizni tud:

1. Aláírt DPA. Adatfeldolgozási megállapodás, amely a szolgáltatót az Ön adatfeldolgozójaként nevezi meg, dokumentált célokkal és utasításokkal. Nincs DPA, nincs jogszerű adatkezelés – pont.
2. Valódi alfeldolgozói lista. Minden harmadik fél, amely hozzáér a meeting adataihoz – átirat, tárolás, e-mail, analitika, AI-funkciók – megnevezve, azzal, hogy mit csinál és hol van a székhelye.
3. Hol történik az adatkezelés futtatáskor. Az a fizikai régió, ahol a hangot, az átiratokat, a felvételeket és a metaadatokat kezelik. A legtöbb adatrezidencia-záradék valójában erről szól.
4. A nemzetközi adattovábbítási mechanizmus. Ha bármilyen adat elhagyja az EGT-t, milyen jogalapon? Általános szerződési feltételek (SCC), megfelelőségi határozat, vagy olyan rezidenciabeállítás, amely teljesen elkerüli a továbbítást. Ez a Schrems II kérdése, és nem tűnik el attól, hogy egy kezdőoldal azt írja: „megfelelő".
5. Auditálható biztonsági helyzet. ISO 27001, ISO 27701, SOC 2 – független igazolások, nem önbevallások.
6. Érintetti jogokat kiszolgáló eszközök. Valóban teljesíteni tudja a meeting adataira vonatkozó hozzáférési, törlési és hordozhatósági kéréseket, vagy csak elméletben?
7. Ön által szabályozott megőrzés és törlés. A felvételek, átiratok és AI-összefoglalók az Ön ütemezése szerint törlődnek, nem a szolgáltató alapértelmezése szerint.

Egy eszköz csak akkor „GDPR-kompatibilis" az Ön szempontjából, ha mind a hét pontra konkrét válasz van. A legtöbb kezdőoldal egyikre sem válaszol.

Hol áll valójában a Zoom (korrekt módon)

A Zoom GDPR-képesebb, mint azt a híre sugallja, és érdemes pontosnak lenni ebben, ahelyett hogy olcsó pontokat gyűjtenénk:

• Globális DPA-t tesz közzé, amelybe beépítette a 2021-es EU-s általános szerződési feltételeket (SCC).
• EU-s adatrezidenciát kínál – „Zoom EU Infrastructure" – Enterprise és Education ügyfelek számára, a Meetings, Webinar, Chat, Phone és Contact Center szolgáltatásokra kiterjedően.
• ISO 27001 tanúsítvánnyal rendelkezik, 2026 februárja óta pedig ISO 27701 tanúsítvánnyal is (az adatvédelmi irányítási kiterjesztés), valamint közzétett, EU-s közszféra számára készült szuverenitási kontrollokkal.

Egy megfelelően konfigurált Zoom-telepítés a megfelelő csomagon tehát az ellenőrzőlista nagy részét teljesítheti. A korrekt fenntartások az alapértelmezésekre és a székhelyre vonatkoznak, nem a képességekre:

• Az EU-s rezidencia csomag- és konfigurációfüggő kiegészítő, nem alapértelmezett. Az Enterprise/Education csomagban érhető el, és be kell kapcsolni. Az ingyenes és az alacsonyabb fizetős csomagok nem kapják meg. A „Zoomot használunk" és a „EU-s rezidenciára konfigurált Zoomot használunk" különböző beszerzési tények.
• A Zoom amerikai székhelyű cég. Még SCC-k és EU-s rezidencia mellett is a szolgáltató vállalati székhelye releváns a CLOUD Act és a szuverenitási szintű értékelések szempontjából. A szokásos GDPR-hoz ez SCC-kkel kezelhető; a francia souveraineté numérique vagy a SecNumCloud szintű beszerzések esetén viszont maga a vállalati székhely is kritérium, és ez nehezebb beszélgetés.
• A meeting továbbra is egy nyelven zajlik. A Zoom fordított feliratai és az AI Companion segít, de a tér nem válik valóban többnyelvűvé – nem hallja minden résztvevő élőben, a saját nyelvén a meetinget. Ha a megfelelőségi problémája egyben nyelvi probléma is (határon átnyúló auditok, több telephelyes CAPA-felülvizsgálatok), ez a rés megoldatlan marad, függetlenül attól, hol vannak az adatok.

A rövid változat: a Zoom lehet GDPR-megfelelő, ha erre van konfigurálva. Hogy ez elegendő-e, az attól függ, mennyire érzékeny a vevő a szuverenitásra – és hogy a meetingek többnyelvűek-e.

Hol áll az InterMIND az ellenőrzőlistán

Az InterMIND egy tér, amelyet a házigazda a csapatának és az ügyfeleinek biztosít, mindenki a saját nyelvén – meetingek, chat, fájlok, az összefoglaló. A fenti ellenőrzőlistára alapértelmezetten van válasz, nem konfigurációs projekt útján; a strukturális, nem pusztán ígért rész az, hogy hol fut a meeting – egy sor a DPO-nak, az éles telepítéssel ellenőrizve:

• Minden futtatási lépés az EU-ban van. Az alkalmazás és a szerver-API-k a Vercelen, Frankfurtban (fra1); a meeting WebSocket-szervere a Flyon, Párizsban (cdg); az alkalmazásadatok Neon Postgresben, AWS Frankfurtban (eu-central-1); a felvételek Tigrisen, EU-ra rögzíthetően; a hiba- és analitikai adatok Sentry EU-n és PostHog EU-n; a tranzakciós e-mail Resenden keresztül, Írországban.
• A fordítómotor a saját kódunk, Franciaországban (OVH) – nem egy általános célú amerikai modell, amelyet továbbértékesítünk. A meeting-tartalom legnagyobb áramlása EU-ban marad, és soha nem érint harmadik fél LLM-et. A dokumentumfordítás a DeepL-hez, Kölnbe kerül – ez szintén EU-s cég.
• Az alfeldolgozói lista a vállalati székhely részleteivel együtt a DPA-val érkezik, bevett gyakorlatként, nem kérésre.

A meeting tartalma egyetlen AI-átjáróhoz kerül, az EU-ban, és a szervezet választja ki. Minden, ami a meetingből származik és nyelvi modellt igényel – a meeting utáni AI-összefoglaló (témák, döntések, action items), a dokumentumösszefoglalók, az AI-jegyzetszerkesztő generatív műveletei (javítás, kibővítés, egyszerűsítés), az Ask AI – a szervezet által kiválasztott AI-átjárón fut: alapértelmezés szerint Azure OpenAI az EU Data Zone-ban, választás szerint Vertex AI az EU multi-region végponton vagy Amazon Bedrock Frankfurtban, mindegyik a saját tenantunkban, nulla adatmegőrzéssel és az ügyféltartalmon való betanítás nélkül; vagy a saját, OpenAI-kompatibilis végpontja. A meeting utáni összefoglaló és a szerkesztő fordítás művelete a fordítási szakaszon megy át, nem a nyelvi modellen. A hosztolt átjárók mögötti szolgáltatók amerikai cégek, amelyek EU-s régiókat üzemeltetnek – ezt nyíltan kimondjuk a bizalmi oldalon, nem rejtjük el; a vállalati székhely az a kritérium, amelyet a szuverenitási szintű beszerzés a GDPR-on felül hozzátesz, és erre a lépésre pontosan úgy vonatkozik, ahogy fentebb a Zoomra. A teljes, szolgáltatónkénti térkép a Hol fut valójában egy InterMIND meeting bejegyzésben található, a build-vs-buy nézet pedig a Miből épül fel egy InterMIND meeting bejegyzésben.

Egy dolgot nem állítunk: nem lobogtatunk olyan ISO-tanúsítványt, amellyel még nem rendelkezünk. A válaszunk az ellenőrzőlistára architekturális – EU-s futtatási környezet, saját motor, átlátható alfeldolgozók, valódi DPA –, és szívesebben látjuk, ha ellenőrzi, mint ha egy jelvényben bízik. A tanúsítványok az ütemtervben vannak; a futtatási környezet ma valós. Saját kódbázisunkat végigvittük pontosan ezen az ellenőrzőlistán, és minden tételt a kóddal szemben zártunk le – a lezáró jelentés, soronként.

És ami az, amit a Zoom rezidenciabeállításai nem tudnak hozzáadni: a meeting tervezetten többnyelvű – minden résztvevő élőben a saját nyelvén, 23 nyelven, hang, chat és jegyzetek, a fordítási minőség nyíltan közzétéve ahelyett, hogy csak állítanánk. Hogyan működik ez, azt az átfogó útmutató mutatja be; a szabályozott meetingek felhasználási esetét a többnyelvű megfelelőségi meetingek című bejegyzés.

Az ellenőrzőlista táblázatban

A hét tétel a két eszközzel szemben, amelyet ez a bejegyzés részletesen tárgyal. A cellák csak azt állítják, amit az adott szolgáltató dokumentál (a Zoom-hivatkozások lent a Forrásoknál; az InterMIND-állítások soronként ellenőrizve az audit lezárásában és a futtatási térképen) – bármely más szolgáltatónál kérje, hogy írásban válaszoljon a bal oldali oszlopra.

GYIK

GDPR-megfelelő-e a Zoom? Lehet, a megfelelő csomagon és konfigurációval: a Zoom globális DPA-t tesz közzé a 2021-es EU-s SCC-kkel, EU-s adatrezidenciát kínál Enterprise és Education ügyfeleknek, és ISO 27001 tanúsítvánnyal, valamint (2026 februárja óta) ISO 27701 tanúsítvánnyal rendelkezik. A korrekt fenntartások: az EU-s rezidencia csomag- és konfigurációfüggő kiegészítő, nem alapértelmezett, és a Zoom továbbra is amerikai székhelyű cég – a szokásos GDPR alatt SCC-kkel kezelhető, de a szuverenitási szintű beszerzésben valódi kritérium.

Mitől GDPR-megfelelő egy videókonferencia-eszköz? Hét ellenőrizhető dologtól, nem egy kezdőoldali jelvénytől: aláírt DPA, valódi alfeldolgozói lista, dokumentált futtatási régió, jogszerű nemzetközi adattovábbítási mechanizmus, függetlenül auditált biztonság, működő érintetti jogokat kiszolgáló eszközök és az Ön által szabályozott megőrzés. A szolgáltató az Ön szempontjából akkor megfelelő, ha mind a hét pontra konkrét, írásos válasza van.

Előírja-e a GDPR, hogy a videómeetingek az EU-ban maradjanak? Nem – a GDPR jogszerű adattovábbítási mechanizmust (SCC, megfelelőségi határozat) követel, ha az adatok elhagyják az EGT-t, nem magát a rezidenciát. A rezidencia azért számít, mert teljesen megszünteti a továbbítás kérdését – a Schrems II utáni elemzés rövid lesz, ha az adat sosem hagyja el a területet. Ez a különbség a „papírral megfelelő" és az „nincs mit papírral fedezni" között.

Mely videókonferencia-eszközök futnak teljes egészében az EU-ban? Kérje bármelyik szolgáltatótól a futtatási térképét: régió lépésenként – alkalmazás, API-k, meeting média, adatbázis, felvételek, analitika, e-mail, AI-funkciók. Az InterMIND pontosan ezt közli (minden lépés, szolgáltatónként): Vercel Frankfurt, Fly Párizs, Neon Frankfurt, fordítómotor az OVH-nál Franciaországban, az AI-funkciók a szervezet által kiválasztott átjárón, EU-s régióban (alapértelmezés szerint Azure OpenAI EU Data Zone). Bármelyik eszközt is értékeli, a válasz a térkép – nem a marketingoldal.

Melyik házigazdának szól ez

Egy 10–200 fős szervezet tulajdonosának vagy vezetőjének, akinek a csapata vagy ügyfelei más nyelvet beszélnek, aki már Teamsben vagy Workspace-ben dolgozik, és IT-részleg nélkül állítja be a teret. Ennek a házigazdának az ellenőrzőlista alapértelmezetten megválaszolt, a DPO-val folytatott beszélgetés rövid; a döntés többi része az, hogy maga a meeting minden tag saját nyelvén fut-e. A szuverenitási szintű közbeszerzés, ahol a szolgáltató székhelye maga is a specifikáció része, más beszélgetés, és ezt kimondjuk, ahelyett hogy túlígérnénk.

Próbálja ki, aztán olvassa el az adattérképet

• Próbálja ki az élő demót – hallgassa meg az élő, többnyelvű folyamatot egy valódi meetingen, és hallja meg, milyen érzés az „EU-s futtatási környezet és többnyelvűség". Regisztráció nélkül.
• InterMIND vs. Zoom – funkcióról funkcióra, őszintén.
• Hol fut valójában egy InterMIND meeting – a teljes szolgáltatói térkép, a hiányosságokkal együtt.

A „GDPR-kompatibilis videókonferencia" ellenőrzőlista, nem jelvény. Bármelyik eszközt választja – a miénket vagy egy másikat –, kérje, hogy a szolgáltató írásban válaszoljon mind a hét kérdésre. Akik tudnak, megérik az idejét; akik nem, azok egy kezdőoldalt adnak el Önnek.

— A Mind.com csapata

Források a Zoomról: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, ellenőrizve 2026 augusztusában. A szolgáltatói ajánlatok és csomagok változnak; az aktuális konfigurációt ellenőrizze a Zoom bizalmi oldalain. Az InterMIND futtatási környezetre vonatkozó tényeit az éles telepítéssel ellenőriztük, ahogyan a hivatkozott adattérkép-bejegyzés leírja.