Zakończyliśmy audyt GDPR. Oto, co faktycznie domknęliśmy.

Kilka tygodni temu pisaliśmy, że „zgodność z GDPR” na stronie głównej narzędzia do wideokonferencji znaczy mniej, niż się wydaje. GDPR to zestaw obowiązków spoczywających na Tobie, administratorze danych, a dostawca albo pomaga je spełnić, albo po cichu zostawia je na Twoim biurku. Uczciwie można poprzeć tę tezę tylko wtedy, gdy wykonamy pracę po własnej stronie i pokażemy ją punkt po punkcie.

Tak też zrobiliśmy. Przeprowadziliśmy pełny audyt bazy kodu InterMIND pod kątem obowiązków, które spoczywają na nas jako na podmiocie przetwarzającym, naprawiliśmy każdą lukę, za którą stał kod, i zweryfikowaliśmy każdą poprawkę na działającym produkcie. Ten wpis to raport zamykający audyt: nie odznaka, tylko lista kontrolna z naszymi odpowiedziami.

Celowo nie twierdzimy, że jesteśmy „w 100% certyfikowani w zakresie GDPR”. GDPR nie jest certyfikatem, który się zdaje, a certyfikat ISO/IEC 27001:2022, który otrzymaliśmy w listopadzie 2026 (26ISMS-1296, certyfikat dostępny w Trust Center), dotyczy systemu zarządzania, a nie GDPR. Możemy natomiast powiedzieć, że obowiązki architektoniczne i procesowe, które analizuje inspektor ochrony danych (DPO), mają teraz konkretne, weryfikowalne odpowiedzi, a każdą sprawdziliśmy na działającym kodzie.

Co domknęliśmy

Prawo do usunięcia danych (art. 17): kaskada naprawdę działa

Usunięcie konta nie oznacza jedynie jego dezaktywacji. POST /api/user/delete-account uruchamia prawdziwą kaskadę: usuwa Twoje spotkania → uczestników, wiadomości, konferencje i transkrypcje. Czyści Twoje obiekty w pamięci Tigris przed kaskadą w bazie danych, więc nic nie zostaje osierocone: dotyczy to załączników czatu oraz plików nagrań wideo, w obu kolumnach. Anuluje też Twoje subskrypcje w Stripe i usuwa klienta w Stripe. Usuwanie na żądanie również działa: kanał albo wiadomość usuniesz z poziomu interfejsu i znikają. Konta anonimowe (gości) mają własny endpoint usuwania oraz cykliczne czyszczenie w tle co 6 godzin, pod monitorowanym zadaniem cron. Audyt wykazał tu jedną lukę: pliki nagrań, które kaskada w bazie usuwała, ale pamięć masowa zachowywała. Domknęliśmy ją i usunięcie nie zostawia już niczego w pamięci obiektowej.

Retencja (art. 5 ust. 1 lit. e): udokumentowane kryterium

Art. 5 ust. 1 lit. e nie wymaga automatycznego czasu życia danych (TTL). Wymaga określonego kryterium retencji. Nasze jest już zapisane w Polityce prywatności: dane są przechowywane, dopóki Ty lub właściciel Twojego zespołu ich nie usuniecie, a usunięcie konta kasuje wszystko. To ten sam model, na którym działają narzędzia do współpracy, takie jak Slack i Notion: trwałość danych jest oczekiwanym zachowaniem, a Ty zachowujesz nad nią kontrolę. Kryterium jest wyraźnie opisane, a nie domniemane.

Zgoda na analitykę (art. 6/7): domyślnie opt-out

Baner zgody Usercentrics (wyświetlany odwiedzającym z UE) blokuje analitykę, a PostHog działa z ustawieniem opt_out_capturing_by_default: true. Nic nie jest zbierane, dopóki zgoda nie zostanie udzielona, a nie odwrotnie.

Przenoszenie danych (art. 20): prawdziwy eksport

GET /api/user/export buduje archiwum ZIP z Twoimi spotkaniami, wiadomościami, nagraniami i tłumaczeniami, z 7-dniowym oknem pobierania i automatycznym czyszczeniem. Dostęp, usunięcie i przenoszenie danych to działające narzędzia, a nie obietnice w polityce.

Treść spotkań trafia do jednej bramy AI w UE, wybranej przez organizację

Największy strumień treści spotkań, czyli tłumaczenie mowy i czatu na żywo, działa na naszym własnym silniku we Francji, nigdy na zewnętrznym LLM. Etapy AI, które korzystają z modelu ogólnego przeznaczenia (digest, streszczenia dokumentów, akcje generatywne w edytorze notatek, Ask AI), działają na bramie AI wybranej przez organizację: domyślnie Azure OpenAI w EU Data Zone, opcjonalnie Vertex AI EU lub Amazon Bedrock Frankfurt, każde w naszym własnym tenancie, z zerową retencją danych i bez trenowania na treściach klientów, albo na własnym punkcie końcowym organizacji. Jeden resolver w kodzie wybiera bramę dla każdego miejsca wywołania, więc nie ma drugiej ścieżki. Usunęliśmy też imiona uczestników i tekst wypowiedzi z logów przeglądarki w konferencji, które mogłoby przechwytywać nagrywanie sesji PostHog. Pełna mapa dostawców jest w artykule Gdzie naprawdę działa jedno spotkanie InterMIND.

Przejrzystość: podprocesorzy i rejestr czynności przetwarzania, opublikowane

Lista podprocesorów jest aktywna, z opisem, co robi każdy dostawca i gdzie ma siedzibę, a nie „dostępna na żądanie”. Za nią stoi rejestr czynności przetwarzania (ROPA) zbudowany na podstawie aktualnego schematu: 11 operacji przetwarzania, środki bezpieczeństwa przy każdej z nich oraz ścieżki usuwania i przenoszenia danych. Nasza Polityka prywatności i Regulamin obowiązują teraz w ramach naszego własnego podmiotu prawnego i opisują rzeczywisty łańcuch przetwarzania.

Środowisko uruchomieniowe w UE: przypięte, a nie obiecane

Każdy etap działania spotkania odbywa się w UE: aplikacja i API na Vercel Frankfurt, serwer spotkań na Fly Paris, dane aplikacji w Neon Postgres (AWS Frankfurt), błędy w Sentry EU, analityka w PostHog EU, poczta przez Resend Irlandia. Pamięć obiektowa Tigris jest teraz przypięta do regionów UE (Frankfurt + Amsterdam): każdy nowy zapis trafia do UE niezależnie od lokalizacji użytkownika. Pełna architektura jest na naszej stronie o bezpieczeństwie.

Dlaczego to ważne dla Twoich zakupów

Dla większości europejskich kupujących, takich jak niemieckie Mittelstand czy zespoły w sektorach regulowanych, które stosują standardowe umowy powierzenia GDPR, pytanie o rezydencję danych ma teraz bezpośrednią odpowiedź: dane nie opuszczają UE w czasie działania, usuwanie działa, kryterium retencji jest określone, a lista podprocesorów leży na stole. To znacznie krótsza rozmowa niż „odezwiemy się w sprawie tego, gdzie trafiają dane”.

W przypadku francuskiej souveraineté numérique i zakupów na poziomie SecNumCloud siedziba korporacyjna dostawcy sama jest kryterium. To głębsza rozmowa o topologii wdrożenia, którą poprowadzimy uczciwie, zamiast przesadzać z obietnicami. Posiadamy ISO/IEC 27001:2022 od listopada 2026 i nie mamy kwalifikacji SecNumCloud; nasza odpowiedź na listę kontrolną pozostaje architektoniczna i weryfikowalna już dziś.

Sprawdź to sam

• Wideokonferencje zgodne z GDPR: pełna lista kontrolna dla DPO — siedem rzeczy, na które każdy dostawca musi odpowiedzieć, i miejsce Zoom na tej liście.
• Gdzie naprawdę działa jedno spotkanie InterMIND — mapa dostawców, z nazwanymi lukami.
• Czy Twoje spotkanie jest poufne? — trzy pytania, które warto zadać, zanim pojawi się lista kontrolna DPO.
• Bezpieczeństwo i prywatność · Podprocesorzy · Polityka prywatności · Regulamin
• Wypróbuj demo na żywo — posłuchaj, jak na prawdziwym spotkaniu działa wielojęzyczny potok na żywo, działający w UE — bez rejestracji.

Zgodność z GDPR to nie odznaka, którą się kupuje, tylko praca, którą się wykonuje i można pokazać. To jest nasza, punkt po punkcie. Jeśli Twój DPO potrzebuje odpowiedzi, której ten wpis nie zawiera, napisz do nas.

— Zespół Mind.com

Źródła: Rozporządzenie (UE) 2016/679 (GDPR) — artykuły, względem których przeprowadzono audyt; wewnętrzne twierdzenia zweryfikowane na bazie kodu InterMIND i działającym produkcie; sprawdzono w sierpniu 2026.