We hebben onze GDPR-audit afgerond. Dit hebben we daadwerkelijk opgelost.

Een paar weken geleden schreven we dat "GDPR-compliant" op de homepage van een videotool minder zegt dan je denkt — dat GDPR een set verplichtingen is voor jou, de verwerkingsverantwoordelijke, die een leverancier je helpt na te komen of stilletjes op jouw bureau laat liggen. De eerlijke manier om die stelling te staven is het werk aan onze eigen kant te doen en het regel voor regel te laten zien.

Dat hebben we gedaan. We hebben de volledige InterMIND-codebase gecontroleerd op de verplichtingen die op ons rusten als verwerker, elke tekortkoming met code erachter verholpen en elke oplossing geverifieerd in het draaiende product. Dit bericht is het afsluitende rapport — geen keurmerk, maar een checklist met onze antwoorden.

We claimen bewust niet "100% GDPR-gecertificeerd". GDPR is geen certificaat dat je behaalt, en het ISO/IEC 27001:2022-certificaat dat we in november 2026 ontvingen (26ISMS-1296, certificaat in het Trust Center) gaat over het managementsysteem, niet over GDPR. Wat we wel kunnen zeggen: de architecturele en procesmatige verplichtingen die een DPO doorloopt, hebben nu concrete, verifieerbare antwoorden, elk gecontroleerd in de draaiende code.

Wat we hebben gedicht

Recht op verwijdering (Art. 17) — de cascade draait echt

Als je je account verwijdert, wordt die niet alleen gedeactiveerd. POST /api/user/delete-account voert een echte cascade uit: je meetings → deelnemers, berichten, conferenties en transcripties worden gewist; je opslagblobs worden uit Tigris verwijderd vóór de databasecascade, zodat er niets verweesd achterblijft — chatbijlagen en videoopnamebestanden, beide kolommen; en je Stripe-abonnementen worden opgezegd en de Stripe-klant wordt verwijderd. Verwijdering op verzoek is er ook — verwijder een kanaal of bericht in de interface en het is weg. Anonieme (gast)accounts hebben een eigen verwijderingsendpoint plus een achtergrondopruiming elke 6 uur, onder een bewaakte cron. De audit bracht hier één tekortkoming aan het licht — opnameblobs die de databasecascade wel verwijderde maar de opslag bewaarde — en die hebben we verholpen: bij verwijdering blijft er nu niets achter in objectopslag.

Bewaartermijn (Art. 5(1)(e)) — een gedocumenteerd criterium

Art. 5(1)(e) vereist geen automatische time-to-live. Het vereist een gedefinieerd bewaarcriterium. Het onze staat nu in het privacybeleid: gegevens blijven bewaard tot jij of de teameigenaar ze verwijdert, en als je je account verwijdert, wordt alles gewist. Dat is hetzelfde model waarop samenwerkingstools als Slack en Notion draaien — blijvende opslag is het verwachte gedrag, en jij houdt er zelf controle over. Het criterium is vastgelegd, niet impliciet.

Toestemming voor analytics (Art. 6/7) — standaard opt-out

Een Usercentrics-toestemmingsbanner (getoond aan bezoekers uit de EU) bepaalt of analytics actief zijn, en PostHog wordt geleverd met opt_out_capturing_by_default: true — er wordt niets vastgelegd totdat toestemming is gegeven, en niet andersom.

Gegevensoverdraagbaarheid (Art. 20) — een echte export

GET /api/user/export bouwt een ZIP van je meetings, berichten, opnames en vertalingen, met een downloadvenster van 7 dagen en automatische opruiming. Inzage, verwijdering en overdraagbaarheid zijn tooling die werkt, geen beloftes in een beleidsdocument.

Meetinginhoud gaat naar één AI-gateway, in de EU — gekozen door de organisatie

De grootste stroom meetinginhoud — live spraak- en chatvertaling — draait op onze eigen engine in Frankrijk, nooit op een LLM van een derde partij. De AI-stappen die wel een algemeen model gebruiken (de digest, documentsamenvattingen, de generatieve acties van de notitie-editor, Ask AI) draaien op de AI-gateway die de organisatie selecteert — standaard Azure OpenAI in de EU Data Zone, naar keuze Vertex AI EU of Amazon Bedrock Frankfurt, elk in onze eigen tenant met zero data retention en zonder training op klantinhoud, of het eigen endpoint van de organisatie; één resolver in de code kiest de gateway voor elke aanroep, dus er is geen tweede pad. We hebben ook deelnemersnamen en uitingstekst verwijderd uit de browserlogs van de conferentie die PostHog-sessieopname anders had kunnen vastleggen. De volledige kaart per leverancier staat in Waar één InterMIND-meeting daadwerkelijk draait.

Transparantie — subverwerkers en verwerkingsregisters, gepubliceerd

De lijst van subverwerkers is live, met wat elke leverancier doet en waar die is gevestigd — niet "op aanvraag beschikbaar". Daarachter zit een verwerkingsregister (Record of Processing Activities, ROPA) dat is opgebouwd uit het live schema: 11 verwerkingsactiviteiten, de beveiligingsmaatregelen per activiteit en de paden voor verwijdering en overdraagbaarheid. Ons privacybeleid en onze voorwaarden gelden nu onder onze eigen juridische entiteit, met de werkelijke verwerkingsketen beschreven.

EU-runtime — vastgepind, niet beloofd

Elke runtime-hop van een meeting ligt in de EU: app en API's op Vercel Frankfurt, de meetingserver op Fly Parijs, applicatiedata in Neon Postgres (AWS Frankfurt), fouten op Sentry EU, analytics op PostHog EU, e-mail via Resend Ierland. Objectopslag op Tigris is nu vastgepind op EU-regio's (Frankfurt + Amsterdam) — elke nieuwe schrijfactie komt in de EU terecht, ongeacht waar de gebruiker zich bevindt. De volledige architectuur staat op onze beveiligingspagina.

Waarom dit telt voor jullie inkoop

Voor de meeste Europese kopers — de Duitse Mittelstand, gereguleerde teams met standaard GDPR-verwerkersovereenkomsten — heeft de vraag naar dataresidentie nu een direct antwoord: de data verlaat de EU niet tijdens runtime, verwijdering werkt, het bewaarcriterium is vastgelegd en de lijst van subverwerkers ligt op tafel. Dat is een veel kortere discussie dan "we komen bij u terug over waar de data naartoe gaat".

Voor Franse souveraineté numérique en inkoop op SecNumCloud-niveau is de bedrijfsvestiging van de leverancier zelf een criterium — een diepgaander gesprek over deploymenttopologie dat we eerlijk voeren in plaats van het te groot te maken. We hebben ISO/IEC 27001:2022 sinds november 2026, en geen SecNumCloud-kwalificatie; ons antwoord op de checklist blijft architectureel en vandaag al verifieerbaar.

Zie het zelf

GDPR-compliant videoconferenties: de volledige DPO-checklist — de zeven dingen waar je elke leverancier een antwoord op moet laten geven, en waar Zoom staat.
Waar één InterMIND-meeting daadwerkelijk draait — de kaart per leverancier, met de tekortkomingen benoemd.
Is je meeting vertrouwelijk? — de drie vragen om te stellen voordat de DPO-checklist tevoorschijn komt.
Beveiliging en privacy · Subverwerkers · Privacybeleid · Voorwaarden
Probeer de live demo — hoor de live, meertalige pijplijn op een EU-runtime in een echte meeting — zonder aanmelding.

GDPR-compliance is geen keurmerk dat je koopt — het is werk dat je doet en kunt laten zien. Dit is het onze, regel voor regel. Heeft je DPO een antwoord nodig dat dit bericht niet geeft, schrijf ons dan.

— Het Mind.com-team

Bronnen: Verordening (EU) 2016/679 (GDPR) — de artikelen waartegen is getoetst; interne claims geverifieerd aan de hand van de InterMIND-codebase en het draaiende product; gecontroleerd in augustus 2026.