Videoconferenza conforme al GDPR (2026): cosa richiede davvero (e un'alternativa a Zoom che traduce)

La dicitura "conforme al GDPR" sulla home page di una piattaforma video è quasi priva di significato. Il GDPR non è una certificazione che si ottiene — è un insieme di obblighi a carico di te, il titolare del trattamento, che un fornitore ti aiuta a rispettare o che lascia silenziosamente sulla tua scrivania. La domanda utile non è "questo strumento è conforme al GDPR?". È "di cosa mi rende responsabile questo strumento e dove finiscono effettivamente i dati delle mie riunioni?"

🔒 Aggiornamento — l'abbiamo fatto su noi stessi. Da quando è uscito questo post, abbiamo sottoposto il codice sorgente di InterMIND all'intera checklist seguente e abbiamo chiuso ogni voce — cancellazione, conservazione, runtime nell'UE, sub-processori — verificandola sul codice, non asserendola su una pagina. → Leggi il resoconto di chiusura dell'audit, riga per riga.

Questo post è la versione in termini semplici di quella domanda: la checklist che un DPO percorre realmente, la posizione di Zoom al riguardo (in modo equo — è più in grado di garantire la conformità di quanto suggerisca internet) e come un'alternativa con runtime nell'UE cambi la risposta. Se vuoi l'inquadramento più ampio su "come dovrebbero funzionare le riunioni in tempo reale", c'è la guida fondamentale; questo post tratta specificamente del livello di protezione dei dati.

La checklist in termini semplici

Eliminando il marketing, la "videoconferenza conforme al GDPR" si riduce a sette elementi che puoi effettivamente verificare:

1. Un DPA firmato. Un Data Processing Addendum (Accordo di trattamento dati) che nomina il fornitore come tuo incaricato del trattamento, con finalità e istruzioni documentate. Niente DPA, niente trattamento lecito — punto.
2. Un elenco reale di sub-processori. Ogni terza parte che tocca i dati delle riunioni — trascrizione, archiviazione, email, analitiche, funzioni AI — nominata, con il ruolo svolto e la sede legale.
3. Dove i dati sono elaborati durante il runtime. La regione fisica in cui vengono gestiti i tuoi audio, trascrizioni, registrazioni e metadati. Questo è ciò di cui trattano realmente la maggior parte delle clausole di residenza dei dati.
4. Il meccanismo di trasferimento internazionale. Se un dato esce dal SEE, su quale base giuridica? Clausole Contrattuali Standard (SCC), adeguatezza o una configurazione di residenza che evita del tutto il trasferimento. Questa è la questione Schrems II, e non sparisce solo perché una home page dice "conforme".
5. Una postura di sicurezza auditabile. ISO 27001, ISO 27701, SOC 2 — attestazioni indipendenti, non autoasserzioni.
6. Strumenti per i diritti degli interessati. Puoi davvero soddisfare le richieste di accesso, cancellazione e portabilità per i dati delle riunioni, o solo in teoria?
7. Conservazione e cancellazione sotto il tuo controllo. Registrazioni, trascrizioni e riassunti AI cancellati secondo le tue tempistiche, non secondo l'impostazione predefinita del fornitore.

Uno strumento è "conforme al GDPR" per i tuoi scopi solo quando tutti e sette hanno risposte concrete. La maggior parte delle home page non ne risponde a nessuno.

La reale posizione di Zoom (in modo equo)

Zoom ha maggiori capacità di conformità al GDPR di quanto suggerisca la sua reputazione, ed è meglio essere precisi a riguardo piuttosto che fare punti facili:

• Pubblica un DPA globale con le Clausole Contrattuali Standard UE del 2021 integrate.
• Offre la residenza dei dati nell'UE — "Zoom EU Infrastructure" — per i clienti Enterprise ed Education, coprendo Meetings, Webinar, Chat, Phone e Contact Center.
• Detiene la certificazione ISO 27001 e, a partire da febbraio 2026, ISO 27701 (l'estensione per la gestione della privacy), oltre a pubblicare controlli di sovranità per il settore pubblico UE.

Quindi, una distribuzione di Zoom configurata correttamente, sul piano tariffario giusto, può soddisfare la maggior parte della checklist. Le avvertenze oneste riguardano le impostazioni predefinite e la sede legale, non le capacità:

• La residenza nell'UE è un componente aggiuntivo di piano e configurazione, non l'impostazione predefinita. È disponibile su Enterprise/Education e deve essere attivata. I piani gratuiti e quelli a pagamento inferiori non la prevedono. "Usiamo Zoom" e "usiamo Zoom configurato per la residenza nell'UE" sono fatti di approvvigionamento diversi.
• Zoom è una società con sede negli Stati Uniti. Anche con le SCC e la residenza nell'UE, la sede legale del fornitore rientra nel campo di applicazione del CLOUD Act e delle valutazioni di livello di sovranità. Per il GDPR standard questo è gestibile con le SCC; per l'approvvigionamento di livello souveraineté numérique francese o SecNumCloud, la sede legale è di per sé un criterio, ed è una conversazione più complessa.
• La riunione si svolge comunque in una sola lingua. Le didascalie tradotte e AI Companion di Zoom sono d'aiuto, ma la stanza non diventa realmente multilingue — con ogni partecipante che ascolta la riunione in diretta nella propria lingua. Se il tuo problema di conformità è anche un problema linguistico (audit transfrontalieri, revisioni CAPA multi-sito), quel divario rimane irrisolto a prescindere da dove risiedono i dati.

In sintesi: Zoom può essere conforme al GDPR se configurato a dovere. Se ciò sia sufficiente dipende da quanto il tuo acquirente è sensibile alla sovranità — e se le riunioni sono multilingue.

L'alternativa con runtime nell'UE

Abbiamo creato InterMIND in modo che la risposta sulla residenza dei dati sia la norma predefinita, non un progetto di configurazione — e che la riunione possa essere effettivamente multilingue. Nella checklist sopra, la parte strutturale piuttosto che promessa è dove si svolge la riunione. Come verificato sulla distribuzione live:

• Ogni hop di runtime è nell'UE. API app e server su Vercel a Francoforte (fra1); il server WebSocket della riunione su Fly a Parigi (cdg); dati applicativi in Neon Postgres su AWS Francoforte (eu-central-1); registrazioni su Tigris, ancorabili nell'UE; errori/analitiche su Sentry EU e PostHog EU; email transazionali via Resend in Irlanda.
• Il motore di traduzione è il nostro codice, in Francia (OVH) — non un modello generico statunitense che rivendiamo. Il flusso più consistente di contenuti delle riunioni rimane residente nell'UE e non tocca mai un LLM di terze parti. La traduzione dei documenti va a DeepL a Colonia — anch'essa una società dell'UE.
• L'elenco dei sub-processori con i dettagli della sede legale è fornito insieme al DPA come prassi standard, non su richiesta.

I contenuti della riunione vanno a un unico gateway AI, nell'UE, e l'organizzazione lo sceglie. Tutto ciò che deriva da una riunione e che necessita di un modello linguistico — il digest AI post-riunione (argomenti, decisioni, elementi d'azione), i riassunti dei documenti, le azioni generative dell'editor di note AI (correggi, espandi, semplifica), Ask AI — viene eseguito sul gateway AI selezionato dalla tua organizzazione: Azure OpenAI nell'EU Data Zone per impostazione predefinita, Vertex AI sull'endpoint multi-regione UE o Amazon Bedrock a Francoforte a scelta, ciascuno nel nostro tenant con conservazione dei dati pari a zero e nessun addestramento sui contenuti dei clienti; oppure un tuo endpoint compatibile con OpenAI. Il riassunto post-riunione e l'azione traduci dell'editor passano attraverso il percorso di traduzione, non dal modello linguistico. I fornitori dei gateway ospitati sono aziende statunitensi che gestiscono regioni UE — dichiarato chiaramente nella pagina di trust, non nascosto; la sede legale è il criterio che l'approvvigionamento di grado sovrano aggiunge al GDPR, e si applica a questo hop esattamente come si applica a Zoom sopra. La mappa completa fornitore per fornitore è in Dove si svolge effettivamente una riunione InterMIND, e la prospettiva build-vs-buy è in Da cosa è costruita una riunione InterMIND.

Una cosa che non rivendichiamo: non sbandiereremo un certificato ISO che non possediamo ancora. La nostra risposta alla checklist è architetturale — runtime UE, motore proprio, sub-processori trasparenti, un DPA reale — e preferiamo che tu lo verifichi piuttosto che fidarti di un badge. Le certificazioni sono in roadmap; il runtime è reale oggi. Abbiamo sottoposto il nostro codice a questa esatta checklist e chiuso ogni voce rispetto al codice — il resoconto di chiusura, riga per riga.

E la parte che le impostazioni di residenza di Zoom non possono aggiungere: la riunione è multilingue per design — ogni partecipante in diretta nella propria lingua su 23 lingue, voce, chat e note, con una qualità della traduzione pubblicata apertamente anziché asserita. Come funziona è nella guida fondamentale; il caso d'uso delle riunioni regolamentate è in riunioni di conformità multilingue.

La checklist come tabella

I sette elementi rispetto ai due strumenti discussi in dettaglio in questo post. Le celle riportano solo ciò che ogni fornitore documenta (i link di Zoom sono in Fonti qui sotto; le affermazioni di InterMIND sono verificate riga per riga nel resoconto di chiusura dell'audit e nella mappa di runtime) — per qualsiasi altro fornitore, fagli rispondere alla colonna di sinistra per iscritto.

FAQ

Zoom è conforme al GDPR? Può esserlo, con il piano e la configurazione giusti: Zoom pubblica un DPA globale con le SCC UE del 2021, offre EU Data Residency per i clienti Enterprise ed Education e detiene ISO 27001 e (da febbraio 2026) ISO 27701. Le avvertenze oneste: la residenza nell'UE è un componente aggiuntivo di piano e configurazione anziché l'impostazione predefinita, e Zoom rimane una società con sede negli Stati Uniti — gestibile nell'ambito del GDPR standard con le SCC, ma un criterio reale negli appalti di grado sovrano.

Cosa rende uno strumento di videoconferenza conforme al GDPR? Sette elementi verificabili, non un badge sulla home page: un DPA firmato, un elenco reale di sub-processori, una regione di runtime documentata, un meccanismo di trasferimento internazionale lecito, una sicurezza auditata in modo indipendente, strumenti operativi per i diritti degli interessati e conservazione sotto il tuo controllo. Un fornitore è conforme per i tuoi scopi quando tutti e sette hanno risposte concrete per iscritto.

Il GDPR richiede che le videoriunioni rimangano nell'UE? No — Il GDPR richiede un meccanismo di trasferimento lecito (SCC, adeguatezza) quando i dati escono dal SEE, non la residenza di per sé. La residenza è importante perché elimina del tutto la questione del trasferimento — l'analisi post-Schrems II diventa breve quando i dati non escono mai. Questa è la differenza tra "conforme sulla carta" e "nulla da mascherare".

Quali strumenti di videoconferenza girano interamente nell'UE? Chiedi a qualsiasi fornitore la sua mappa di runtime: regione per hop — app, API, media delle riunioni, database, registrazioni, analitiche, email, funzioni AI. InterMIND pubblica esattamente questo (ogni hop, fornitore per fornitore): Vercel Francoforte, Fly Parigi, Neon Francoforte, motore di traduzione su OVH Francia, funzioni AI sul gateway selezionato dall'organizzazione, in una regione UE (Azure OpenAI EU Data Zone per impostazione predefinita). Qualunque strumento tu valuti, la mappa — non la pagina di marketing — è la risposta.

A quale acquirente è destinato

• Mittelstand tedesco e team UE regolamentati che utilizzano DPA GDPR standard: un runtime con UE-a-ogni-hop risponde direttamente alla domanda sulla residenza, senza un upgrade di piano o un progetto di residenza. La conversazione sul meccanismo di trasferimento diventa molto più breve quando i dati non partono.
• Settore pubblico francese e appalti di grado souveraineté, in cui la sede legale del fornitore è di per sé parte delle specifiche: è una conversazione più profonda sulla topologia di distribuzione, e una che affronteremo onestamente anziché esagerare.
• Acquirenti statunitensi e APAC: la residenza di solito non è il vincolo — lo è la latenza dalla tua regione. Problema diverso; comunicacelo e faremo una pianificazione.

Provalo, poi leggi la mappa dei dati

• Prova la demo live — ascolta la pipeline live e multilingue su una riunione reale e sentì com'è davvero "runtime nell'UE e multilingue". Nessuna registrazione necessaria.
• InterMIND vs. Zoom — funzione per funzione, onestamente.
• Dove si svolge effettivamente una riunione InterMIND — la mappa completa dei fornitori, divari inclusi.

La "videoconferenza conforme al GDPR" è una checklist, non un badge. Qualsiasi strumento tu scelga — il nostro o un altro — fai rispondere al fornitore a tutte e sette le domande per iscritto. Quelli che possono farlo meritano il tuo tempo; quelli che non possono farlo ti stanno vendendo una home page.

— Il team di Mind.com

Fonti su Zoom: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, verificate ad agosto 2026. Le offerte e i piani dei fornitori cambiano; verifica l'attuale configurazione sulle pagine di trust di Zoom. I fatti sul runtime di InterMIND sono verificati rispetto alla distribuzione live come descritto nel post collegato sulla mappa dei dati.