Videoconferenza conforme al GDPR (2026): cosa serve davvero (e un'alternativa a Zoom che traduce)

"Conforme al GDPR" sulla homepage di una piattaforma di videoconferenza è una frase quasi priva di contenuto. Il GDPR non è una certificazione che si supera: è un insieme di obblighi che ricadono su di te, il titolare del trattamento, e che un fornitore ti aiuta a rispettare oppure lascia silenziosamente sulla tua scrivania. La domanda utile non è "questo strumento è conforme al GDPR?", ma "di cosa mi rende responsabile questo strumento e dove vanno davvero i dati delle mie riunioni?"

🔒 Aggiornamento: l'abbiamo fatto a noi stessi. Dopo la pubblicazione di questo articolo abbiamo sottoposto il codice di InterMIND all'intera checklist qui sotto e chiuso ogni punto (cancellazione, conservazione, esecuzione nell'UE, sub-responsabili), verificandolo sul codice e non limitandoci ad affermarlo in una pagina. → Leggi la chiusura dell'audit, riga per riga.

Questo articolo è la versione in parole semplici di quella domanda: la checklist che un DPO esamina davvero, dove si colloca Zoom (con equità: è più capace di essere conforme di quanto internet lasci intendere) e dove un'alternativa con esecuzione nell'UE cambia la risposta. Se vuoi il quadro più ampio su come dovrebbero funzionare le riunioni in tempo reale, trovi la guida di riferimento; questo articolo riguarda in modo specifico il livello della protezione dei dati.

La checklist in parole semplici

Togli il marketing e la "videoconferenza conforme al GDPR" si riduce a sette cose che puoi davvero verificare:

1. Un DPA firmato. Un Data Processing Addendum che indica il fornitore come tuo responsabile del trattamento, con finalità e istruzioni documentate. Senza DPA non c'è trattamento lecito, punto.
2. Un vero elenco dei sub-responsabili. Ogni terza parte che tocca i dati delle riunioni (trascrizione, archiviazione, email, analytics, funzioni di AI) indicata per nome, con ciò che fa e dove ha sede.
3. Dove i dati vengono trattati in fase di esecuzione. La regione fisica in cui vengono gestiti audio, trascrizioni, registrazioni e metadati. È questo l'oggetto reale della maggior parte delle clausole sulla residenza dei dati.
4. Il meccanismo di trasferimento internazionale. Se dei dati lasciano il SEE, su quale base giuridica? Clausole contrattuali standard (SCC), decisione di adeguatezza, oppure una configurazione di residenza che evita del tutto il trasferimento. È la questione Schrems II, e non scompare perché una homepage dice "conforme".
5. Un livello di sicurezza verificabile con audit. ISO 27001, ISO 27701, SOC 2: attestazioni indipendenti, non autodichiarazioni.
6. Strumenti per i diritti degli interessati. Puoi davvero evadere richieste di accesso, cancellazione e portabilità sui dati delle riunioni, o solo in teoria?
7. Conservazione e cancellazione che controlli tu. Registrazioni, trascrizioni e riepiloghi AI eliminati secondo i tuoi tempi, non secondo l'impostazione predefinita del fornitore.

Uno strumento è "conforme al GDPR" per i tuoi scopi solo quando tutti e sette i punti hanno risposte concrete. La maggior parte delle homepage non ne dà nemmeno una.

Dove si colloca davvero Zoom (con equità)

Zoom è più capace di essere conforme al GDPR di quanto suggerisca la sua reputazione, ed è giusto essere accurati su questo anziché segnare punti facili:

• Pubblica un DPA globale con le Clausole contrattuali standard UE del 2021 integrate.
• Offre la residenza dei dati nell'UE ("Zoom EU Infrastructure") ai clienti Enterprise ed Education, che copre Meetings, Webinar, Chat, Phone e Contact Center.
• Ha la certificazione ISO 27001 e, da febbraio 2026, ISO 27701 (l'estensione per la gestione della privacy), oltre a controlli di sovranità pubblicati per il settore pubblico europeo.

Quindi un'installazione di Zoom configurata correttamente, nel piano giusto, può soddisfare la maggior parte della checklist. Le riserve oneste riguardano le impostazioni predefinite e la sede legale, non le capacità:

• La residenza nell'UE è un componente aggiuntivo legato a piano e configurazione, non l'impostazione predefinita. È disponibile su Enterprise/Education e va attivata. I piani gratuiti e quelli a pagamento inferiori non la prevedono. "Usiamo Zoom" e "usiamo Zoom configurato per la residenza nell'UE" sono fatti di approvvigionamento diversi.
• Zoom è un'azienda con sede legale negli Stati Uniti. Anche con le SCC e la residenza nell'UE, la sede legale del fornitore rientra nelle valutazioni relative al CLOUD Act e in quelle di livello sovrano. Per il GDPR standard questo è gestibile con le SCC; per la souveraineté numérique francese o per acquisti di livello SecNumCloud, la sede legale è di per sé un criterio, e la conversazione si fa più difficile.
• La riunione si svolge comunque in una sola lingua. I sottotitoli tradotti di Zoom e AI Companion aiutano, ma la sala non diventa davvero multilingue, con ogni partecipante che sente la riunione dal vivo nella propria lingua. Se il tuo problema di conformità è anche un problema di lingua (audit transfrontalieri, revisioni CAPA multi-sede), quel divario resta irrisolto a prescindere da dove risiedano i dati.

In sintesi: Zoom può essere conforme al GDPR se configurato per esserlo. Se sia sufficiente dipende da quanto è sensibile alla sovranità il tuo acquirente, e dal fatto che le riunioni siano multilingue o meno.

Dove si colloca InterMIND nella checklist

InterMIND è uno spazio che un host mette a disposizione del proprio team e dei propri clienti, ciascuno nella propria lingua: riunioni, chat, file, recap. La checklist qui sopra trova risposta di default, senza un progetto di configurazione; la parte strutturale, e non solo promessa, è dove gira la riunione: una riga per il DPO, verificata sull'installazione in produzione:

• Ogni passaggio di esecuzione è nell'UE. App e API del server su Vercel a Francoforte (fra1); server WebSocket della riunione su Fly a Parigi (cdg); dati applicativi su Neon Postgres in AWS Francoforte (eu-central-1); registrazioni su Tigris, fissabili nell'UE; errori e analytics su Sentry EU e PostHog EU; email transazionali tramite Resend in Irlanda.
• Il motore di traduzione è codice nostro, in Francia (OVH): non un modello generalista statunitense che rivendiamo. Il flusso più grande di contenuti delle riunioni resta nell'UE e non tocca mai un LLM di terze parti. La traduzione dei documenti passa da DeepL a Colonia, anch'essa un'azienda dell'UE.
• L'elenco dei sub-responsabili, con i dettagli sulla sede legale, è fornito insieme al DPA come prassi standard, non su richiesta.

I contenuti delle riunioni passano da un solo gateway AI, nell'UE, e lo sceglie l'organizzazione. Tutto ciò che deriva da una riunione e richiede un modello linguistico (il digest AI successivo alla riunione con argomenti, decisioni e action items, i riassunti dei documenti, le azioni generative dell'editor di note AI come correggere, estendere, semplificare, e Ask AI) gira sul gateway AI selezionato dalla tua organizzazione: Azure OpenAI nella EU Data Zone per impostazione predefinita, Vertex AI sull'endpoint multi-regione UE o Amazon Bedrock a Francoforte a scelta, ciascuno nel nostro tenant, con zero conservazione dei dati e nessun addestramento sui contenuti dei clienti; oppure un tuo endpoint compatibile con OpenAI. Il riepilogo post-riunione e l'azione traduci dell'editor passano dal canale di traduzione, non dal modello linguistico. I fornitori dei gateway ospitati sono aziende statunitensi che operano regioni UE: lo diciamo qui apertamente, senza nasconderlo; la sede legale è il criterio che gli acquisti di livello sovrano aggiungono al GDPR, e vale per questo passaggio esattamente come vale per Zoom più sopra. La mappa completa fornitore per fornitore è in Dove gira davvero una riunione InterMIND, e la visione build-vs-buy è in Di cosa è fatta una riunione InterMIND.

Sui certificati: abbiamo la ISO/IEC 27001:2022 (certificato 26ISMS-1296, Glocert International, rilasciato il 12 novembre 2026; certificato e verifica nel Trust Center) e nessuna certificazione SOC 2 o ISO 27701. La nostra risposta alla checklist resta architetturale (esecuzione nell'UE, motore proprio, sub-responsabili trasparenti, un DPA vero) e preferiamo che tu lo verifichi piuttosto che fidarti di un bollino. Abbiamo sottoposto il nostro codice a questa esatta checklist e chiuso ogni punto sul codice: il rapporto di chiusura, riga per riga.

E poi c'è ciò che le impostazioni di residenza di Zoom non possono aggiungere: la riunione è multilingue per progetto, con ogni partecipante dal vivo nella propria lingua in 23 lingue, per voce, chat e note, con una qualità di traduzione pubblicata apertamente anziché semplicemente dichiarata. Come funziona è spiegato nella guida di riferimento; il caso d'uso delle riunioni regolamentate è in riunioni di conformità multilingue.

La checklist in una tabella

I sette punti messi a confronto con i due strumenti discussi in dettaglio in questo articolo. Le celle riportano solo ciò che ciascun fornitore documenta (i link di Zoom sono nelle Fonti qui sotto; le affermazioni su InterMIND sono verificate riga per riga nella chiusura dell'audit e nella mappa di esecuzione). Per qualsiasi altro fornitore, fagli rispondere per iscritto alla colonna di sinistra.

FAQ

Zoom è conforme al GDPR? Può esserlo, nel piano e con la configurazione giusti: Zoom pubblica un DPA globale con le SCC UE 2021, offre la residenza dei dati nell'UE ai clienti Enterprise ed Education e ha la certificazione ISO 27001 e (da febbraio 2026) ISO 27701. Le riserve oneste: la residenza nell'UE è un componente aggiuntivo legato a piano e configurazione anziché l'impostazione predefinita, e Zoom resta un'azienda con sede negli Stati Uniti: gestibile con il GDPR standard tramite SCC, ma un criterio reale negli acquisti di livello sovrano.

Cosa rende uno strumento di videoconferenza conforme al GDPR? Sette cose verificabili, non un bollino sulla homepage: un DPA firmato, un vero elenco dei sub-responsabili, una regione di esecuzione documentata, un meccanismo lecito di trasferimento internazionale, una sicurezza sottoposta ad audit indipendente, strumenti funzionanti per i diritti degli interessati e una conservazione che controlli tu. Un fornitore è conforme per i tuoi scopi quando tutti e sette i punti hanno risposte concrete per iscritto.

Il GDPR richiede che le riunioni in video restino nell'UE? No: il GDPR richiede un meccanismo lecito di trasferimento (SCC, adeguatezza) quando i dati lasciano il SEE, non la residenza in quanto tale. La residenza conta perché elimina del tutto la questione del trasferimento: l'analisi post-Schrems II diventa breve quando i dati non se ne vanno mai. È la differenza tra "conforme sulla carta" e "niente da giustificare sulla carta".

Quali strumenti di videoconferenza girano interamente nell'UE? Chiedi a qualsiasi fornitore la sua mappa di esecuzione: la regione per ogni passaggio (app, API, media della riunione, database, registrazioni, analytics, email, funzioni AI). InterMIND pubblica esattamente questo (ogni passaggio, fornitore per fornitore): Vercel Francoforte, Fly Parigi, Neon Francoforte, motore di traduzione su OVH in Francia, funzioni AI sul gateway scelto dall'organizzazione, in una regione UE (Azure OpenAI EU Data Zone per impostazione predefinita). Qualunque strumento valuti, la risposta è la mappa, non la pagina di marketing.

A quale host risponde

Il titolare o responsabile di un'organizzazione di 10–200 persone il cui team o i cui clienti parlano un'altra lingua, già su Teams o Workspace, che allestisce lo spazio senza un reparto IT. Per questo host la checklist trova risposta di default e la conversazione con il DPO è breve; il resto della decisione è se la riunione stessa si svolga nella lingua di ciascun membro. Gli appalti pubblici di livello sovrano, in cui la sede legale del fornitore è parte stessa del capitolato, sono un'altra conversazione, e lo diciamo anziché promettere troppo.

Provalo, poi leggi la mappa dei dati

• Prova la demo dal vivo: ascolta la pipeline multilingue dal vivo su una riunione reale e senti com'è davvero "esecuzione nell'UE e multilingue". Nessuna registrazione necessaria.
• InterMIND vs. Zoom: funzione per funzione, con onestà.
• Dove gira davvero una riunione InterMIND: la mappa completa dei fornitori, lacune comprese.

La "videoconferenza conforme al GDPR" è una checklist, non un bollino. Qualunque strumento scegli, il nostro o un altro, fai rispondere il fornitore per iscritto a tutte e sette le domande. Quelli che ci riescono meritano il tuo tempo; quelli che non ci riescono ti stanno vendendo una homepage.

— Il team di Mind.com

Fonti su Zoom: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, verificate ad agosto 2026. Offerte e piani dei fornitori cambiano; verifica la configurazione attuale nelle pagine di trust di Zoom. I fatti sull'esecuzione di InterMIND sono verificati sull'installazione in produzione, come descritto nell'articolo collegato sulla mappa dei dati.