GDPR監査が完了しました。実際に解消した項目をお伝えします。

数週間前、私たちは動画ツールのトップページにある「GDPR準拠」は、思われているほど多くを語らないという記事を公開しました。GDPRは、データ管理者であるあなたに課される義務の集合であり、ベンダーはその遵守を支援するか、黙ってあなたの机の上に置いたままにするかのどちらかだ、という内容でした。この主張を誠実に裏づける方法は、自分たちの側で作業を行い、それを一行ずつ示すことです。

そこで実施しました。InterMINDのコードベース全体を、データ処理者としての私たちに課される義務に照らして監査し、コードで対処できるすべてのギャップを修正し、それぞれを稼働中のプロダクトで検証しました。この記事はその完了報告です。バッジではなく、私たちの回答を添えたチェックリストです。

私たちは「100% GDPR認証済み」とは主張しません。GDPRは合格すれば得られる認証ではありませんし、まだ取得していないISOバッジを掲げることもしません。言えるのは次のことです。DPO（データ保護責任者）が確認するアーキテクチャ面・プロセス面の義務について、具体的で検証可能な回答が揃い、そのすべてを稼働中のコードで確認済みです。

アカウントを削除しても、単に無効化されるだけではありません。POST /api/user/delete-account は実際の連鎖削除を実行します。ミーティング → 参加者、メッセージ、カンファレンス、文字起こしを削除し、データベースの連鎖削除の前にTigris上のストレージBlobを削除して孤立データを残しません。対象はチャットの添付ファイルと動画録画ファイルの両方のカラムです。さらに、Stripeのサブスクリプションをキャンセルし、Stripeの顧客も削除します。オンデマンドの削除にも対応しており、UIからチャンネルやメッセージを削除すればすぐに消えます。匿名（ゲスト）アカウントには専用の削除エンドポイントがあり、監視付きのcronで6時間ごとにバックグラウンドで一掃されます。この監査では、データベースの連鎖削除では消えていたのにストレージには残っていた録画Blobというギャップが1件見つかり、解消しました。消去を行うと、オブジェクトストレージにも何も残りません。

保持（第5条1項(e)）— 文書化された基準

第5条1項(e)は、自動的な有効期限（TTL）を求めているわけではありません。求めているのは定められた保持基準です。私たちの基準はプライバシーポリシーに明記しました。データは、あなたまたはチームオーナーが削除するまで保持され、アカウントを削除するとすべてが消去されます。これはSlackやNotionなどのコラボレーションツールと同じモデルです。データが残ることが想定された動作であり、その管理はあなたの手の中にあります。基準は暗黙のものではなく、明示されています。

アナリティクスへの同意（第6条/第7条）— デフォルトはオプトアウト

Usercentricsの同意バナー（EUからの訪問者に表示）でアナリティクスを制御しており、PostHogは opt_out_capturing_by_default: true で出荷されています。同意が得られるまで何も取得されません。順序が逆になることはありません。

データポータビリティ（第20条）— 実際に使えるエクスポート

GET /api/user/export は、ミーティング、メッセージ、録画、翻訳をまとめたZIPを作成します。ダウンロード期間は7日間で、その後は自動的にクリーンアップされます。アクセス、削除、ポータビリティは、ポリシー上の約束ではなく、実際に動作するツールです。

ミーティングのコンテンツは、組織が選んだEU内の単一のAIゲートウェイに送られます

ミーティングのコンテンツの最大のフロー、つまり音声とチャットのリアルタイム翻訳は、サードパーティのLLMではなく、フランスにある自社エンジンで処理されます。汎用モデルを使用するAIの処理（ダイジェスト、ドキュメント要約、ノートエディターの生成アクション、Ask AI）は、組織が選択したAIゲートウェイで実行されます。デフォルトはEUデータゾーンのAzure OpenAIで、選択によりVertex AI EUまたはAmazon Bedrock Frankfurtも利用できます。いずれも当社専用のテナント内で、データ保持ゼロ、お客様のコンテンツでの学習なしで運用されます。組織独自のエンドポイントも使えます。コード内の単一のリゾルバーがすべての呼び出し箇所のゲートウェイを決定するため、別の経路は存在しません。また、PostHogのセッションレコーディングが取得し得たカンファレンスのブラウザーログから、参加者名と発話テキストを除去しました。ベンダーごとの全体マップは1回のInterMINDミーティングは実際にどこで動いているのかでご覧いただけます。

透明性 — サブプロセッサーと処理記録を公開

サブプロセッサー一覧を公開しています。各ベンダーが何を担い、どこに所在しているかを記載しており、「ご要望に応じて提供」ではありません。その裏付けとして、稼働中のスキーマから生成した処理活動記録（ROPA）があります。11の処理業務、それぞれのセキュリティ対策、消去・ポータビリティの経路を網羅しています。プライバシーポリシーと利用規約は、当社自身の法人のもとで運用され、実際の処理チェーンを記載しています。

EUランタイム — 約束ではなく、固定されています

ミーティングが通るすべてのランタイム経路はEU内にあります。アプリとAPIはVercel Frankfurt、ミーティングサーバーはFly Paris、アプリケーションデータはNeon Postgres（AWS Frankfurt）、エラーはSentry EU、アナリティクスはPostHog EU、メールはResend Irelandです。TigrisのオブジェクトストレージはEUリージョン（Frankfurt + Amsterdam）に固定されました。ユーザーがどこにいても、新規の書き込みはすべてEUに保存されます。アーキテクチャの全体像はセキュリティページをご覧ください。

調達にとって重要な理由

EUの多くの購入者、たとえばドイツのMittelstandや、標準的なGDPRのDPA（データ処理契約）で運用する規制対象のチームにとって、データレジデンシーに関する疑問には直接の答えが出せるようになりました。データは実行時にEUの外へ出ず、消去は機能し、保持基準は明示され、サブプロセッサー一覧も公開されています。「データの行き先については追ってご連絡します」というやり取りよりも、はるかに短い話し合いで済みます。

フランスのsouveraineté numérique（デジタル主権）やSecNumCloud水準の調達では、ベンダーの法人所在地そのものが基準の一つになります。これはデプロイメント構成に関するより踏み込んだ議論であり、誇張せず誠実にお話しします。また、まだ取得していないISO認証を掲げることは決してしません。認証取得はロードマップ上にありますが、チェックリストへの私たちの回答は、アーキテクチャに基づき、今日すでに検証可能です。