GDPR 감사를 마쳤습니다. 실제로 해결한 내용은 다음과 같습니다.
몇 주 전 우리는 비디오 도구 홈페이지의 "GDPR 준수" 문구가 생각보다 의미가 없다고 글을 쓴 바 있습니다. GDPR은 귀하(데이터 통제자)에게 부여되는 의무의 집합이며, 벤더는 귀하가 이를 충족하도록 돕거나 조용히 귀하의 책임으로 남겨둡니다. 이 주장을 정직하게 뒷받침하는 방법은 당사 측에서 직접 작업을 수행하고 그 결과를 한 줄씩 보여주는 것입니다.
그래서 우리는 그렇게 했습니다. 우리는 데이터 처리자로서 우리에게 부과되는 의무를 기준으로 InterMIND 코드베이스에 대한 전체 감사를 수행하고, 코드로 구현된 모든 격차를 수정한 다음, 실행 중인 제품을 대상으로 각각을 검증했습니다. 이 게시물은 마무리 보고서입니다. 배지가 아닌, 우리의 답변이 담긴 체크리스트입니다.
우리는 의도적으로 "100% GDPR 인증"을 주장하지 않습니다. GDPR은 통과하는 인증서가 아닙니다. 또한 우리가 아직 보유하지 않은 ISO 배지를 과시하지 않을 것입니다. 우리가 말할 수 있는 것은 다음과 같습니다: DPO가 처리하는 아키텍처 및 프로세스 의무에는 이제 구체적이고 검증 가능한 답변이 있으며, 각 답변은 실행 중인 코드를 기준으로 확인되었습니다.
우리가 해결한 문제들
삭제권(제17조) — 삭제 연쇄(Cascade)가 실제로 실행됩니다
계정을 삭제한다고 해서 단순히 비활성화되는 것은 아닙니다. POST /api/user/delete-account은 실제 삭제 연쇄를 실행합니다: 회의 → 참가자, 메시지, 컨퍼런스, 전사 기록을 삭제하며, 아무것도 남지 않도록 데이터베이스 연쇄 이전에 Tigris에서 스토리지 블롭을 제거합니다(채팅 첨부 파일과 비디오 녹화 파일 모두, 두 열 모두). 그리고 Stripe 구독을 취소하고 Stripe 고객을 삭제합니다. 주문형 삭제도 지원됩니다. UI에서 채널이나 메시지를 삭제하면 즉시 사라집니다. 익명(게스트) 계정에는 자체 삭제 엔드포인트와 모니터링되는 cron 하에서 6시간마다 실행되는 백그라운드 스윕이 제공됩니다. 감사 중 이 부분에서 한 가지 격차를 발견했습니다. 데이터베이스 연쇄는 삭제했지만 스토리지에는 남아 있던 녹화 블롭이 바로 그것이며, 이를 해결했습니다. 이제 삭제 시 오브젝트 스토리지에 아무것도 남지 않습니다.
보유(제5조 제1항 (e)) — 문서화된 기준
제5조 제1항 (e)는 자동 만료(time-to-live)를 요구하지 않습니다. 이 조항은 정의된 보유 기준을 요구합니다. 당사의 기준은 이제 개인정보 처리방침에 명시되어 있습니다: 데이터는 귀하 또는 귀하의 팀 소유자가 삭제할 때까지 보관되며, 계정을 삭제하면 모든 데이터가 지워집니다. 이는 Slack 및 Notion과 같은 협업 도구가 사용하는 것과 동일한 모델입니다. 즉, 지속성은 예상된 동작이며 귀하가 이를 통제합니다. 이 기준은 암시되지 않고 명시적으로 서술되어 있습니다.
분석 동의(제6조/제7조) — 기본 옵트아웃
Usercentrics 동의 배너(EU 방문자에게 표시)가 분석을 제어하며, PostHog는 opt_out_capturing_by_default: true와 함께 제공됩니다. 즉, 동의가 주어지기 전까지는 아무것도 캡처되지 않으며 그 반대가 아닙니다.
데이터 이동성(제20조) — 실제 내보내기
GET /api/user/export는 7일의 다운로드 기간과 자동 정리 기능이 포함된 회의, 메시지, 녹화, 번역의 ZIP 파일을 생성합니다. 액세스, 삭제, 이동성은 정책의 약속이 아니라 작동하는 도구입니다.
회의 콘텐츠는 조직이 선택한 EU 내 단일 AI 게이트웨이로 전달됩니다
회의 콘텐츠의 가장 큰 흐름인 실시간 음성 및 채팅 번역은 제3자 LLM이 아닌 프랑스에 있는 당사 자체 엔진에서 실행됩니다. 범용 모델을 사용하는 AI 단계(요약본, 문서 요약, 노트 편집기의 생성 작업, Ask AI)는 조직이 선택한 AI 게이트웨이에서 실행됩니다. 즉, 기본적으로 EU 데이터 영역의 Azure OpenAI, 선택적으로 Vertex AI EU 또는 Amazon Bedrock Frankfurt에서 실행되며, 각각 고객 콘텐츠에 대한 데이터 보유가 없고 학습이 이루어지지 않는 당사 자체 테넌트에 있거나 조직 자체의 엔드포인트에 있습니다. 코드 내 단일 리졸버가 모든 호출 사이트에 대해 게이트웨이를 선택하므로 두 번째 경로가 없습니다. 또한 당사는 PostHog 세션 녹화에서 캡처할 수 있는 컨퍼런스 브라우저 로그에서 참가자 이름과 발화 텍스트를 제거했습니다. 전체 벤더별 맵은 하나의 InterMIND 회의가 실제로 실행되는 위치에서 확인할 수 있습니다.
투명성 — 하위 프로세서 및 처리 기록, 게시됨
하위 프로세서 목록은 공개되어 있으며, 각 벤더의 역할과 소재지를 명시하고 있습니다. "요청 시 제공"이 아닙니다. 그 이면에는 라이브 스키마로 구축된 처리 활동 기록(ROPA)이 있습니다: 11개의 처리 작업, 각 작업에 대한 보안 조치, 삭제/이동성 경로가 포함되어 있습니다. 당사의 개인정보 처리방침 및 약관은 이제 실제 처리 체인이 설명된 당사 자체 법인에 따라 운영됩니다.
EU 런타임 — 약속이 아닌 고정
회의가 거치는 모든 런타임 홉은 EU에 있습니다: Vercel Frankfurt의 앱 및 API, Fly Paris의 회의 서버, Neon Postgres(AWS Frankfurt)의 애플리케이션 데이터, Sentry EU의 오류, PostHog EU의 분석, Resend Ireland를 통한 이메일. Tigris의 오브젝트 스토리지는 이제 EU 지역으로 고정됩니다(Frankfurt + Amsterdam). 즉, 사용자의 위치에 관계없이 모든 새 쓰기 작업은 EU에 저장됩니다. 전체 아키텍처는 당사의 보안 페이지에서 확인할 수 있습니다.