Abbiamo concluso il nostro audit GDPR. Ecco cosa abbiamo davvero chiuso.

Qualche settimana fa abbiamo scritto che "conforme al GDPR" sulla homepage di uno strumento video significa meno di quanto pensi: il GDPR è un insieme di obblighi che ricadono su di te, il titolare del trattamento, e che un fornitore o ti aiuta a rispettare o lascia con discrezione sulla tua scrivania. Il modo onesto di dimostrare questa tesi è fare il lavoro dal nostro lato e mostrarlo, riga per riga.

Così abbiamo fatto. Abbiamo eseguito un audit completo del codice di InterMIND rispetto agli obblighi che ricadono su di noi in quanto responsabile del trattamento, abbiamo sistemato ogni lacuna che avesse del codice dietro e abbiamo verificato ciascun intervento sul prodotto in esecuzione. Questo articolo è il rapporto di chiusura: non un badge, ma una checklist con le nostre risposte.

Non rivendichiamo volutamente un "GDPR certificato al 100%". Il GDPR non è un certificato che si supera, e la certificazione ISO/IEC 27001:2022 ottenuta a novembre 2026 (26ISMS-1296, certificato nel Trust Center) riguarda il sistema di gestione, non il GDPR. Quello che possiamo dire: gli obblighi architetturali e di processo su cui lavora un DPO hanno ora risposte concrete e verificabili, ciascuna controllata sul codice in esecuzione.

Cosa abbiamo chiuso

Diritto alla cancellazione (art. 17): la cascata funziona davvero

Eliminare il tuo account non si limita a disattivarlo. POST /api/user/delete-account esegue una vera cascata: elimina i tuoi meeting → partecipanti, messaggi, conferenze, trascrizioni; rimuove i tuoi blob di storage da Tigris prima della cascata sul database, in modo che non resti nulla di orfano (allegati della chat e file delle registrazioni video, in entrambe le colonne); e annulla i tuoi abbonamenti Stripe ed elimina il cliente Stripe. È disponibile anche l'eliminazione on demand: rimuovi un canale o un messaggio dall'interfaccia e sparisce. Gli account anonimi (ospiti) hanno un proprio endpoint di eliminazione, più una pulizia in background ogni 6 ore, sotto un cron monitorato. L'audit ha fatto emergere una lacuna: i blob delle registrazioni che la cascata sul database eliminava ma lo storage conservava. L'abbiamo chiusa: ora la cancellazione non lascia nulla nell'object storage.

Conservazione (art. 5(1)(e)): un criterio documentato

L'art. 5(1)(e) non richiede un time-to-live automatico. Richiede un criterio di conservazione definito. Il nostro ora è scritto nell'Informativa sulla privacy: i dati vengono conservati finché tu o il proprietario del tuo team non li eliminate, e l'eliminazione del tuo account cancella tutto. È lo stesso modello su cui funzionano strumenti di collaborazione come Slack e Notion: la persistenza è il comportamento atteso e ne mantieni il controllo. Il criterio è dichiarato, non sottinteso.

Consenso per le analytics (art. 6/7): opt-out per impostazione predefinita

Un banner di consenso Usercentrics (mostrato ai visitatori UE) governa le analytics, e PostHog viene distribuito con opt_out_capturing_by_default: true: non viene catturato nulla finché non viene dato il consenso, e non il contrario.

Portabilità dei dati (art. 20): un'esportazione reale

GET /api/user/export genera uno ZIP con i tuoi meeting, messaggi, registrazioni e traduzioni, con una finestra di download di 7 giorni e pulizia automatica. Accesso, cancellazione e portabilità sono strumenti che funzionano, non promesse in una policy.

I contenuti dei meeting passano da un solo gateway AI, nell'UE, scelto dall'organizzazione

Il flusso più grande di contenuti dei meeting, la traduzione vocale e di chat dal vivo, gira sul nostro motore proprio in Francia, mai su un LLM di terze parti. I passaggi AI che usano invece un modello generalista (il digest, i riassunti dei documenti, le azioni generative dell'editor di note, Ask AI) girano sul gateway AI selezionato dall'organizzazione: Azure OpenAI nella EU Data Zone per impostazione predefinita, Vertex AI EU o Amazon Bedrock Francoforte a scelta, ciascuno nel nostro tenant con zero conservazione dei dati e nessun addestramento sui contenuti dei clienti, oppure l'endpoint dell'organizzazione stessa; un unico resolver nel codice sceglie il gateway per ogni punto di chiamata, quindi non esiste un secondo percorso. Abbiamo inoltre rimosso nomi dei partecipanti e testo degli interventi dai log del browser delle conferenze che la registrazione di sessione di PostHog avrebbe potuto altrimenti catturare. La mappa completa, fornitore per fornitore, è in Dove gira davvero un meeting InterMIND.

Trasparenza: sub-responsabili e registri dei trattamenti, pubblicati

L'elenco dei sub-responsabili è online, con ciò che fa ogni fornitore e dove ha sede, non "disponibile su richiesta". Dietro c'è un Registro delle attività di trattamento (ROPA) costruito a partire dallo schema in produzione: 11 operazioni di trattamento, le misure di sicurezza per ciascuna e i percorsi di cancellazione / portabilità. La nostra Informativa sulla privacy e i nostri Termini ora valgono sotto la nostra entità giuridica, con la reale catena di trattamento descritta.

Runtime UE: vincolato, non promesso

Ogni passaggio di runtime che un meeting compie avviene nell'UE: app e API su Vercel Francoforte, server dei meeting su Fly Parigi, dati applicativi su Neon Postgres (AWS Francoforte), errori su Sentry EU, analytics su PostHog EU, email tramite Resend Irlanda. L'object storage su Tigris è ora vincolato a regioni UE (Francoforte + Amsterdam): ogni nuova scrittura finisce nell'UE, indipendentemente da dove si trovi l'utente. L'architettura completa è nella nostra pagina sulla sicurezza.

Perché conta per i tuoi acquisti

Per la maggior parte degli acquirenti UE (il Mittelstand tedesco, i team in settori regolamentati con DPA GDPR standard) la domanda sulla residenza dei dati ha ora una risposta diretta: a runtime i dati non lasciano l'UE, la cancellazione funziona, il criterio di conservazione è dichiarato e l'elenco dei sub-responsabili è sul tavolo. È una conversazione molto più breve di un "vi faremo sapere dove vanno i dati".

Per la souveraineté numérique francese e per gli acquisti di livello SecNumCloud, la sede legale del fornitore è di per sé un criterio: una conversazione più approfondita sulla topologia di deployment, che affronteremo con onestà invece di venderla in eccesso. Abbiamo la ISO/IEC 27001:2022 da novembre 2026 e nessuna qualificazione SecNumCloud; la nostra risposta alla checklist resta architetturale e verificabile oggi.

Verificalo di persona

• Videoconferenze conformi al GDPR: la checklist completa per il DPO — le sette cose a cui far rispondere qualsiasi fornitore, e dove si colloca Zoom.
• Dove gira davvero un meeting InterMIND — la mappa dei fornitori, con le lacune indicate.
• Il tuo meeting è riservato? — le tre domande da porsi prima di tirare fuori la checklist del DPO.
• Sicurezza e privacy · Sub-responsabili · Informativa sulla privacy · Termini
• Prova la demo live — ascolta la pipeline multilingue, live e con runtime UE, su un meeting reale, senza bisogno di registrarti.

La conformità al GDPR non è un badge che si compra: è un lavoro che si fa e si può mostrare. Questo è il nostro, riga per riga. Se il tuo DPO ha bisogno di una risposta che questo articolo non dà, scrivici.

— Il team di Mind.com

Fonti: Regolamento (UE) 2016/679 (GDPR), gli articoli oggetto dell'audit; affermazioni interne verificate sul codice di InterMIND e sul prodotto in esecuzione; controllato ad agosto 2026.