GDPR-compliante videoconferenties (2026): wat daarvoor echt nodig is (en een Zoom-alternatief dat vertaalt)

"GDPR-compliant" op de homepage van een videoplatform zegt bijna niets. De GDPR is geen certificering die je haalt. Het is een set verplichtingen voor jou, de verwerkingsverantwoordelijke, waarbij een leverancier je helpt of ze stilletjes op jouw bureau laat liggen. De nuttige vraag is niet "is deze tool GDPR-compliant?" maar: "waarvoor maakt deze tool mij verantwoordelijk, en waar gaat mijn meetingdata daadwerkelijk heen?"

🔒 Update: we hebben dit onszelf aangedaan. Sinds deze post online staat, hebben we de eigen codebase van InterMIND door de volledige checklist hieronder gehaald en elk punt afgesloten: wissing, bewaartermijnen, EU-runtime, subverwerkers. Alles is gecontroleerd aan de hand van de code, niet beweerd op een pagina. → Lees de afsluiting van de audit, regel voor regel.

Deze post is de versie in gewone taal van die vraag. Je vindt hier de checklist waar een DPO daadwerkelijk mee werkt, de plek van Zoom daarop (eerlijk, want Zoom kan meer op compliance-gebied dan het internet doet voorkomen) en waar een alternatief met EU-runtime het antwoord verandert. Wil je het bredere kader zien van "hoe moeten realtime meetings werken", dan is dat de pillar-gids. Deze post gaat specifiek over de laag van gegevensbescherming.

De checklist in gewone taal

Haal de marketing weg en "GDPR-compliante videoconferenties" komt neer op zeven punten die je echt kunt verifiëren:

1. Een ondertekende DPA. Een Data Processing Addendum (verwerkersovereenkomst) die de leverancier als jouw verwerker aanwijst, met gedocumenteerde doelen en instructies. Geen DPA, geen rechtmatige verwerking. Punt.
2. Een echte lijst met subverwerkers. Elke derde partij die meetingdata aanraakt (transcriptie, opslag, e-mail, analytics, AI-functies) met naam, wat ze doen en waar ze gevestigd zijn.
3. Waar data tijdens runtime wordt verwerkt. De fysieke regio waarin je audio, transcripten, opnames en metadata worden verwerkt. Hierover gaan de meeste dataresidentie-clausules in de praktijk.
4. Het mechanisme voor internationale doorgifte. Als data de EER verlaat, op welke rechtsgrond dan? Standaardcontractbepalingen (SCC's), een adequaatheidsbesluit, of een residentie-opzet waarbij doorgifte helemaal niet nodig is. Dit is de Schrems II-vraag, en die verdwijnt niet doordat een homepage "compliant" zegt.
5. Een beveiligingsniveau dat je kunt auditen. ISO 27001, ISO 27701, SOC 2: onafhankelijke attestaties, geen eigen beweringen.
6. Tooling voor rechten van betrokkenen. Kun je verzoeken om inzage, verwijdering en overdraagbaarheid voor meetingdata echt afhandelen, of alleen in theorie?
7. Bewaren en verwijderen onder jouw controle. Opnames, transcripten en AI-samenvattingen worden verwijderd volgens jouw schema, niet volgens de standaard van de leverancier.

Een tool is voor jouw doeleinden alleen "GDPR-compliant" als alle zeven punten een concreet antwoord hebben. De meeste homepages beantwoorden er nul.

Waar Zoom echt staat (eerlijk)

Zoom is beter in staat aan de GDPR te voldoen dan de reputatie doet vermoeden, en het is de moeite waard daar nauwkeurig over te zijn in plaats van goedkope punten te scoren:

• Zoom publiceert een globale DPA met de EU-standaardcontractbepalingen van 2021 erin verwerkt.
• Zoom biedt EU Data Residency ("Zoom EU Infrastructure") voor Enterprise- en Education-klanten, voor Meetings, Webinar, Chat, Phone en Contact Center.
• Zoom heeft ISO 27001 en, sinds februari 2026, ISO 27701 (de uitbreiding voor privacymanagement), plus gepubliceerde soevereiniteitsmaatregelen voor de Europese publieke sector.

Een goed geconfigureerde Zoom-implementatie op het juiste abonnement kan dus aan het merendeel van de checklist voldoen. De eerlijke kanttekeningen gaan over standaardinstellingen en vestigingsplaats, niet over capaciteit:

• EU-residentie is een add-on op basis van abonnement en configuratie, niet de standaard. Ze zit in Enterprise/Education en moet worden ingeschakeld. De gratis en lagere betaalde abonnementen krijgen haar niet. "We gebruiken Zoom" en "we gebruiken Zoom geconfigureerd voor EU-residentie" zijn verschillende inkoopfeiten.
• Zoom is een bedrijf met vestigingsplaats in de VS. Zelfs met SCC's en EU-residentie telt de statutaire vestigingsplaats van de leverancier mee bij beoordelingen op CLOUD Act en soevereiniteitsniveau. Voor standaard GDPR is dat met SCC's beheersbaar. Bij Franse souveraineté numérique of inkoop op SecNumCloud-niveau is de vestigingsplaats van het bedrijf zelf een criterium, en dat is een moeilijker gesprek.
• De meeting vindt nog steeds in één taal plaats. De vertaalde ondertiteling en AI Companion van Zoom helpen, maar de ruimte wordt niet echt meertalig: elke deelnemer hoort de meeting live in de eigen taal. Is je compliance-probleem ook een taalprobleem (grensoverschrijdende audits, CAPA-reviews op meerdere locaties), dan blijft die kloof onopgelost, ongeacht waar de data staat.

Kort samengevat: Zoom kan GDPR-compliant zijn als het daarvoor is geconfigureerd. Of dat voldoende is, hangt af van hoe gevoelig je opdrachtgever is voor soevereiniteit, en of de meetings meertalig zijn.

Waar InterMIND staat op de checklist

InterMIND is een ruimte die een host aan het eigen team en de eigen klanten geeft, elk in de eigen taal: meetings, chat, bestanden, de recap. De checklist hierboven wordt standaard beantwoord en niet via een configuratieproject. Het structurele deel, dat dus niet slechts beloofd wordt, is waar de meeting draait. Dat is één regel voor de DPO, gecontroleerd aan de hand van de live-omgeving:

• Elke runtime-stap zit in de EU. App en server-API's op Vercel in Frankfurt (fra1), de WebSocket-server voor de meeting op Fly in Parijs (cdg), applicatiedata in Neon Postgres op AWS Frankfurt (eu-central-1), opnames op Tigris (EU-pinbaar), fout- en analyticsdata op Sentry EU en PostHog EU, transactionele e-mail via Resend in Ierland.
• De vertaalengine is onze eigen code, in Frankrijk (OVH). Het is geen Amerikaans algemeen model dat we doorverkopen. De grootste stroom meetingcontent blijft in de EU en komt nooit bij een LLM van een derde partij. Documentvertaling gaat naar DeepL in Keulen, ook een EU-bedrijf.
• De lijst met subverwerkers, inclusief gegevens over de vestigingsplaats van elk bedrijf, wordt standaard meegeleverd met de DPA, niet pas op verzoek.

Meetingcontent gaat naar één AI-gateway, in de EU, en de organisatie kiest die zelf. Alles wat uit een meeting wordt afgeleid en een taalmodel nodig heeft draait op de AI-gateway die jouw organisatie selecteert. Dat geldt voor de AI-samenvatting na de meeting (onderwerpen, besluiten, actiepunten), documentsamenvattingen, de generatieve acties van de AI-notitie-editor (corrigeren, uitbreiden, vereenvoudigen) en Ask AI. Standaard is dat Azure OpenAI in de EU Data Zone. Naar keuze kan het Vertex AI op het EU-multiregio-endpoint of Amazon Bedrock in Frankfurt zijn, telkens in onze eigen tenant, met zero data retention en zonder training op klantcontent. Je kunt ook je eigen OpenAI-compatibele endpoint gebruiken. De samenvatting na de meeting en de vertaalactie van de editor lopen via het vertaalpad, niet via het taalmodel. De leveranciers achter de gehoste gateways zijn Amerikaanse bedrijven die EU-regio's exploiteren. Dat staat hier gewoon vermeld en wordt niet verborgen. Vestigingsplaats is het criterium dat inkoop op soevereiniteitsniveau bovenop de GDPR legt, en het geldt voor deze stap precies zoals het hierboven voor Zoom geldt. De volledige kaart per leverancier staat in Waar één InterMIND-meeting daadwerkelijk draait, en het perspectief van zelf bouwen versus inkopen in Waaruit één InterMIND-meeting is opgebouwd.

Over certificaten: we hebben ISO/IEC 27001:2022 (certificaat 26ISMS-1296, Glocert International, afgegeven op 12 november 2026; certificaat en verificatie in het Trust Center) en geen SOC 2 of ISO 27701. Ons antwoord op de checklist blijft architectonisch: EU-runtime, eigen engine, transparante subverwerkers, een echte DPA. We willen liever dat je dat zelf verifieert dan dat je op een keurmerk vertrouwt. We hebben onze eigen codebase door precies deze checklist gehaald en elk punt afgesloten aan de hand van de code: het afsluitende rapport, regel voor regel.

En dan het deel dat de residentie-instellingen van Zoom niet kunnen toevoegen: de meeting is meertalig door ontwerp. Elke deelnemer is live in de eigen taal, in 23 talen, met spraak, chat en notities, en met openbaar gepubliceerde vertaalkwaliteit in plaats van beweerde kwaliteit. Hoe dat werkt staat in de pillar-gids. De use case voor gereguleerde meetings staat in meertalige compliance-meetings.

De checklist als tabel

De zeven punten naast de twee tools die deze post uitgebreid bespreekt. De cellen vermelden alleen wat elke leverancier documenteert (Zoom-links staan hieronder bij Bronnen; de InterMIND-claims zijn regel voor regel gecontroleerd in de afsluiting van de audit en de runtime-kaart). Laat bij elke andere leverancier de kolom links schriftelijk beantwoorden.

FAQ

Is Zoom GDPR-compliant? Dat kan, op het juiste abonnement en met de juiste configuratie: Zoom publiceert een globale DPA met de EU-SCC's van 2021, biedt EU Data Residency voor Enterprise- en Education-klanten en heeft ISO 27001 en (sinds februari 2026) ISO 27701. De eerlijke kanttekeningen: EU-residentie is een add-on op basis van abonnement en configuratie in plaats van de standaard, en Zoom blijft een bedrijf met vestigingsplaats in de VS. Onder de standaard GDPR is dat met SCC's beheersbaar, maar bij inkoop op soevereiniteitsniveau is het een echt criterium.

Wat maakt een videoconferentietool GDPR-compliant? Zeven verifieerbare punten, geen keurmerk op de homepage: een ondertekende DPA, een echte lijst met subverwerkers, een gedocumenteerde runtime-regio, een rechtmatig mechanisme voor internationale doorgifte, onafhankelijk geauditeerde beveiliging, werkende tooling voor rechten van betrokkenen en bewaartermijnen die jij bepaalt. Een leverancier is compliant voor jouw doeleinden wanneer alle zeven punten een concreet antwoord op papier hebben.

Vereist de GDPR dat videomeetings in de EU blijven? Nee. De GDPR vereist een rechtmatig doorgiftemechanisme (SCC's, adequaatheid) wanneer data de EER verlaat, niet residentie als zodanig. Residentie is van belang omdat ze de doorgiftevraag helemaal wegneemt: de analyse na Schrems II wordt kort als de data nooit weggaat. Dat is het verschil tussen "compliant met papierwerk" en "niets om te verhullen".

Welke videoconferentietools draaien volledig in de EU? Vraag elke leverancier om de runtime-kaart: de regio per stap (app, API's, meetingmedia, database, opnames, analytics, e-mail, AI-functies). InterMIND publiceert precies dat (elke stap, leverancier voor leverancier): Vercel Frankfurt, Fly Parijs, Neon Frankfurt, vertaalengine op OVH Frankrijk, AI-functies op de gateway die de organisatie selecteert, in een EU-regio (standaard Azure OpenAI EU Data Zone). Welke tool je ook beoordeelt, de kaart, en niet de marketingpagina, is het antwoord.

Voor welke host dit het antwoord is

De eigenaar of manager van een organisatie van 10–200 mensen van wie het team of de klanten een andere taal spreken, die al op Teams of Workspace zit en de ruimte inricht zonder IT-afdeling. Voor die host wordt de checklist standaard beantwoord en blijft het gesprek met de DPO kort. De rest van de beslissing is of de meeting zelf in de taal van elk lid verloopt. Publieke inkoop op soevereiniteitsniveau, waar de vestigingsplaats van de leverancier zelf deel van de specificatie is, is een ander gesprek, en dat zeggen we liever dan dat we het te mooi voorstellen.

Probeer het, en lees daarna de datakaart

• Probeer de live demo: hoor de live, meertalige pipeline in een echte meeting en ervaar hoe "EU-runtime en meertalig" daadwerkelijk aanvoelt. Zonder aanmelding.
• InterMIND vs. Zoom: functie voor functie, eerlijk.
• Waar één InterMIND-meeting daadwerkelijk draait: de volledige leverancierskaart, inclusief de kloof.

"GDPR-compliante videoconferenties" is een checklist, geen keurmerk. Welke tool je ook kiest, de onze of een andere, laat de leverancier alle zeven vragen schriftelijk beantwoorden. Wie dat kan, is je tijd waard. Wie dat niet kan, verkoopt je een homepage.

— Het Mind.com-team

Bronnen over Zoom: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, gecontroleerd in augustus 2026. Aanbod en abonnementen van leveranciers veranderen; controleer de actuele configuratie aan de hand van de trust-pagina's van Zoom. De runtime-feiten van InterMIND zijn gecontroleerd aan de hand van de live-omgeving, zoals beschreven in de gelinkte post over de datakaart.