GDPR 감사를 마쳤습니다. 실제로 해결한 항목은 다음과 같습니다.

몇 주 전 우리는 영상 도구 홈페이지의 "GDPR 준수"라는 문구는 생각보다 의미가 적다는 글을 썼습니다. GDPR은 데이터 컨트롤러인 여러분에게 부과되는 의무의 집합이며, 벤더는 그 의무를 이행하도록 돕거나, 아니면 조용히 여러분의 책상 위에 남겨 둔다는 내용이었습니다. 이 주장을 뒷받침하는 정직한 방법은 우리 쪽에서 해야 할 일을 하고, 그것을 항목별로 보여 드리는 것입니다.

그래서 실제로 했습니다. 데이터 처리자로서 우리에게 부과되는 의무를 기준으로 InterMIND 코드베이스 전체를 감사하고, 코드로 해결할 수 있는 모든 공백을 수정했으며, 각 항목을 실제 운영 중인 제품에서 검증했습니다. 이 글은 그 결과 보고서입니다. 인증 마크가 아니라, 우리의 답이 담긴 체크리스트입니다.

우리는 일부러 "100% GDPR 인증 완료"라고 말하지 않습니다. GDPR은 통과하면 받는 인증서가 아니고, 아직 보유하지 않은 ISO 마크를 내보이지도 않을 것입니다. 우리가 말할 수 있는 것은 이것입니다. DPO가 검토하는 아키텍처 및 프로세스 의무에 대해 이제 구체적이고 검증 가능한 답이 있으며, 각 답은 실제 운영 중인 코드로 확인했습니다.

우리가 해결한 항목

삭제권(제17조) — 연쇄 삭제가 실제로 실행됩니다

계정을 삭제하면 단순히 비활성화되는 데 그치지 않습니다. POST /api/user/delete-account는 실제 연쇄 삭제를 실행합니다. 회의 → 참가자, 메시지, 컨퍼런스, 전사본을 모두 삭제하고, 데이터베이스 연쇄 삭제 이전에 Tigris의 스토리지 블롭을 먼저 정리하므로 고아 데이터가 남지 않습니다. 대상은 채팅 첨부 파일 그리고 영상 녹화 파일이며, 두 컬럼 모두 해당합니다. 또한 Stripe 구독을 취소하고 Stripe 고객 정보를 삭제합니다. 필요할 때 바로 삭제하는 기능도 있습니다. UI에서 채널이나 메시지를 지우면 바로 사라집니다. 익명(게스트) 계정에는 별도의 삭제 엔드포인트가 있고, 모니터링되는 크론으로 6시간마다 백그라운드 정리가 실행됩니다. 이번 감사에서 이 영역의 공백이 하나 발견되었습니다. 데이터베이스 연쇄 삭제에서는 제거되었지만 스토리지에는 남아 있던 녹화 블롭이었고, 이를 해결했습니다. 이제 삭제하면 오브젝트 스토리지에도 아무것도 남지 않습니다.

보존(제5조 1항(e)) — 문서화된 기준

제5조 1항(e)는 자동 TTL(time-to-live)을 요구하지 않습니다. 정의된 보존 기준을 요구합니다. 우리의 기준은 이제 개인정보 처리방침에 명시되어 있습니다. 데이터는 본인 또는 팀 소유자가 삭제할 때까지 보관되며, 계정을 삭제하면 모든 것이 삭제됩니다. Slack이나 Notion 같은 협업 도구가 따르는 모델과 같습니다. 데이터가 유지되는 것이 기대되는 동작이고, 그 통제권은 여러분에게 있습니다. 기준은 암시된 것이 아니라 명시되어 있습니다.

분석 동의(제6·7조) — 기본값은 옵트아웃

Usercentrics 동의 배너(EU 방문자에게 표시)가 분석을 제어하며, PostHog는 opt_out_capturing_by_default: true로 배포됩니다. 동의가 있기 전에는 아무것도 수집되지 않습니다. 수집한 뒤에 동의를 구하는 방식이 아닙니다.

데이터 이동권(제20조) — 실제로 작동하는 내보내기

GET /api/user/export는 회의, 메시지, 녹화, 번역을 ZIP으로 만들어 줍니다. 다운로드 기간은 7일이며 이후 자동으로 정리됩니다. 열람, 삭제, 이동은 정책 문서 속 약속이 아니라 실제로 작동하는 도구입니다.

회의 콘텐츠는 EU 안의 하나의 AI 게이트웨이로 전달됩니다 — 조직이 선택합니다

회의 콘텐츠의 가장 큰 흐름인 실시간 음성 및 채팅 번역은 프랑스에 있는 자체 엔진에서 실행되며, 외부 LLM을 거치지 않습니다. 범용 모델을 사용하는 AI 단계(다이제스트, 문서 요약, 노트 편집기의 생성 기능, Ask AI)는 조직이 선택한 AI 게이트웨이에서 실행됩니다. 기본값은 EU 데이터 존의 Azure OpenAI이고, 선택에 따라 Vertex AI EU 또는 Amazon Bedrock Frankfurt를 쓸 수 있습니다. 각각 우리 자체 테넌트에서 데이터 보존 없음(zero data retention) 조건으로 운영되고 고객 콘텐츠로 학습하지 않으며, 조직 자체 엔드포인트를 쓸 수도 있습니다. 코드 안의 리졸버 하나가 모든 호출 지점의 게이트웨이를 결정하므로 두 번째 경로는 없습니다. 또한 PostHog 세션 녹화가 수집할 수 있었던 컨퍼런스 브라우저 로그에서 참가자 이름과 발화 텍스트를 제거했습니다. 벤더별 전체 지도는 InterMIND 회의 하나가 실제로 실행되는 곳에서 볼 수 있습니다.

투명성 — 하위 처리자와 처리 기록을 공개합니다

하위 처리자 목록이 공개되어 있으며, 각 벤더가 하는 일과 소재지가 담겨 있습니다. "요청 시 제공"이 아닙니다. 그 뒤에는 실제 스키마로 작성한 처리 활동 기록(ROPA)이 있습니다. 11개의 처리 작업, 각각의 보안 조치, 삭제 및 이동 경로가 담겨 있습니다. 개인정보 처리방침과 이용약관은 이제 우리 자체 법인 명의로 운영되며, 실제 처리 체인이 기술되어 있습니다.

EU 런타임 — 약속이 아니라 고정되어 있습니다

회의가 거치는 모든 런타임 경로가 EU 안에 있습니다. 앱과 API는 Vercel Frankfurt, 회의 서버는 Fly Paris, 애플리케이션 데이터는 Neon Postgres(AWS Frankfurt), 오류는 Sentry EU, 분석은 PostHog EU, 이메일은 Resend Ireland에서 처리됩니다. Tigris의 오브젝트 스토리지는 이제 EU 리전(Frankfurt + Amsterdam)으로 고정되었습니다. 사용자의 위치와 관계없이 모든 신규 쓰기는 EU에 저장됩니다. 전체 아키텍처는 보안 페이지에서 볼 수 있습니다.

조달 검토에 이것이 중요한 이유

대부분의 EU 구매자, 즉 독일의 Mittelstand(중견·중소기업)나 표준 GDPR DPA를 운영하는 규제 대상 팀에게 데이터 레지던시 질문은 이제 직접적인 답이 있습니다. 데이터는 런타임에 EU를 벗어나지 않고, 삭제가 작동하며, 보존 기준이 명시되어 있고, 하위 처리자 목록이 공개되어 있습니다. "데이터가 어디로 가는지는 추후 알려 드리겠습니다"라는 답변보다 훨씬 짧은 대화로 끝납니다.

프랑스의 souveraineté numérique(디지털 주권)와 SecNumCloud 수준의 조달에서는 벤더의 법인 소재지 자체가 하나의 기준입니다. 이는 배포 토폴로지에 관한 더 깊은 논의이며, 과장하지 않고 솔직하게 임할 것입니다. 그리고 우리가 하지 않을 한 가지는 아직 보유하지 않은 ISO 인증서를 내보이는 것입니다. 인증은 로드맵에 있지만, 체크리스트에 대한 우리의 답은 오늘 이미 아키텍처로 존재하며 검증 가능합니다.