Wideokonferencje zgodne z GDPR (2026): co naprawdę jest potrzebne (i alternatywa dla Zoom, która tłumaczy)

„Zgodność z GDPR" na stronie głównej platformy wideo to niemal pusta fraza. GDPR nie jest certyfikatem, który się zdaje. To zestaw obowiązków spoczywających na Tobie, administratorze danych. Dostawca albo pomaga Ci je spełnić, albo po cichu zostawia je na Twoim biurku. Przydatne pytanie nie brzmi: „czy to narzędzie jest zgodne z GDPR?". Brzmi: „za co to narzędzie czyni mnie odpowiedzialnym i dokąd faktycznie trafiają dane z moich spotkań?"

🔒 Aktualizacja: zrobiliśmy to sami sobie. Od publikacji tego wpisu przepuściliśmy kod InterMIND przez całą poniższą listę kontrolną i zamknęliśmy każdy punkt (usuwanie danych, retencję, środowisko wykonawcze w UE, podprocesorów), weryfikując to na kodzie, a nie deklarując na stronie. → Przeczytaj podsumowanie audytu, punkt po punkcie.

Ten wpis to prosta wersja tego pytania: lista kontrolna, którą faktycznie przechodzi inspektor ochrony danych (DPO), miejsce Zoom na tej liście (rzetelnie, bo jest bardziej zdolny do zgodności, niż sugeruje internet) oraz miejsce, w którym alternatywa działająca w UE zmienia odpowiedź. Jeśli szukasz szerszego ujęcia tego, jak powinny działać spotkania w czasie rzeczywistym, znajdziesz je w przewodniku głównym. Ten wpis dotyczy wyłącznie warstwy ochrony danych.

Lista kontrolna prostym językiem

Odejmij marketing, a „wideokonferencje zgodne z GDPR" sprowadzają się do siedmiu rzeczy, które możesz faktycznie zweryfikować:

1. Podpisana umowa DPA. Umowa powierzenia przetwarzania danych, która wskazuje dostawcę jako Twojego podmiotu przetwarzającego, z udokumentowanymi celami i instrukcjami. Bez DPA nie ma zgodnego z prawem przetwarzania, kropka.
2. Prawdziwa lista podprocesorów. Każda strona trzecia, która ma styczność z danymi ze spotkań (transkrypcja, przechowywanie, e-mail, analityka, funkcje AI), wskazana z opisem, co robi i gdzie ma siedzibę.
3. Gdzie dane są przetwarzane w trakcie działania. Fizyczny region, w którym obsługiwane są Twoje nagrania dźwięku, transkrypcje, nagrania spotkań i metadane. Tego dotyczy większość klauzul o rezydencji danych.
4. Mechanizm transferu międzynarodowego. Jeśli jakiekolwiek dane opuszczają EOG, na jakiej podstawie prawnej? Standardowe klauzule umowne (SCC), decyzja o adekwatności albo konfiguracja rezydencji, która w ogóle unika transferu. To pytanie z wyroku Schrems II i nie znika dlatego, że strona główna głosi „zgodność".
5. Poziom bezpieczeństwa, który można zaudytować. ISO 27001, ISO 27701, SOC 2: niezależne poświadczenia, nie samodeklaracje.
6. Narzędzia do obsługi praw osób, których dane dotyczą. Czy faktycznie możesz zrealizować wnioski o dostęp, usunięcie i przenoszenie danych ze spotkań, czy tylko teoretycznie?
7. Retencja i usuwanie pod Twoją kontrolą. Nagrania, transkrypcje i podsumowania AI usuwane według Twojego harmonogramu, a nie domyślnych ustawień dostawcy.

Narzędzie jest „zgodne z GDPR" w Twoim rozumieniu tylko wtedy, gdy wszystkie siedem punktów ma konkretne odpowiedzi. Większość stron głównych nie odpowiada na żaden.

Gdzie naprawdę stoi Zoom (rzetelnie)

Zoom jest bardziej zdolny do zgodności z GDPR, niż sugeruje jego reputacja, i warto to powiedzieć dokładnie, zamiast zdobywać tanie punkty:

• Publikuje globalną umowę DPA ze standardowymi klauzulami umownymi UE z 2021 r. wbudowanymi w treść.
• Oferuje rezydencję danych w UE („Zoom EU Infrastructure") klientom Enterprise i Education, obejmującą Meetings, Webinar, Chat, Phone i Contact Center.
• Posiada ISO 27001 oraz, od lutego 2026 r., ISO 27701 (rozszerzenie dotyczące zarządzania prywatnością), a także opublikowane unijne kontrole suwerenności dla sektora publicznego.

Prawidłowo skonfigurowane wdrożenie Zoom w odpowiednim planie może więc spełnić większość punktów listy. Uczciwe zastrzeżenia dotyczą ustawień domyślnych i siedziby, a nie możliwości:

• Rezydencja w UE to dodatek zależny od planu i konfiguracji, nie ustawienie domyślne. Jest dostępna w Enterprise/Education i trzeba ją włączyć. Plany bezpłatne i niższe płatne jej nie obejmują. „Używamy Zoom" i „używamy Zoom skonfigurowanego pod rezydencję w UE" to dwa różne fakty zakupowe.
• Zoom to firma z siedzibą w USA. Nawet przy SCC i rezydencji w UE siedziba korporacyjna dostawcy wchodzi w zakres ocen pod kątem CLOUD Act i suwerenności. W standardowym ujęciu GDPR da się to uregulować za pomocą SCC. Przy francuskiej souveraineté numérique lub zakupach na poziomie SecNumCloud siedziba korporacyjna sama jest kryterium, a to trudniejsza rozmowa.
• Spotkanie nadal odbywa się w jednym języku. Tłumaczone napisy i AI Companion w Zoom pomagają, ale sala nie staje się naprawdę wielojęzyczna, czyli taka, w której każdy uczestnik słyszy spotkanie na żywo we własnym języku. Jeśli Twój problem ze zgodnością jest także problemem językowym (audyty transgraniczne, wielolokalizacyjne przeglądy CAPA), ta luka pozostaje nierozwiązana niezależnie od tego, gdzie leżą dane.

Krótko: Zoom może być zgodny z GDPR, gdy się go odpowiednio skonfiguruje. Czy to wystarczy, zależy od tego, jak wrażliwy na suwerenność jest Twój kontrahent, i od tego, czy spotkania są wielojęzyczne.

Gdzie InterMIND stoi na liście kontrolnej

InterMIND to przestrzeń, którą gospodarz daje swojemu zespołowi i klientom, każdemu w jego własnym języku: spotkania, czat, pliki, podsumowanie. Na powyższą listę odpowiadamy domyślnie, a nie projektem konfiguracyjnym. Część strukturalna, a nie tylko deklarowana, dotyczy tego, gdzie działa spotkanie. To jedna linijka dla DPO, zweryfikowana na działającym wdrożeniu:

• Każdy etap działania odbywa się w UE. Aplikacja i API serwerowe na Vercel we Frankfurcie (fra1); serwer WebSocket spotkań na Fly w Paryżu (cdg); dane aplikacji w Neon Postgres na AWS we Frankfurcie (eu-central-1); nagrania na Tigris z możliwością przypięcia do UE; błędy i analityka na Sentry EU i PostHog EU; e-maile transakcyjne przez Resend w Irlandii.
• Silnik tłumaczeniowy to nasz własny kod, we Francji (OVH), a nie amerykański model ogólnego przeznaczenia, który odsprzedajemy. Największy strumień treści ze spotkań pozostaje w UE i nigdy nie trafia do zewnętrznego LLM. Tłumaczenie dokumentów trafia do DeepL w Kolonii, również firmy z UE.
• Lista podprocesorów ze szczegółami dotyczącymi siedziby korporacyjnej jest dołączana do DPA jako standardowa praktyka, a nie na żądanie.

Treść spotkań trafia do jednej bramy AI, w UE, a wybiera ją organizacja. Wszystko, co jest pochodną spotkania i wymaga modelu językowego (popołudniowe… a dokładnie: posp­otkaniowe podsumowanie AI z tematami, decyzjami i action items, podsumowania dokumentów, generatywne akcje edytora notatek AI, czyli popraw, rozwiń, uprość, oraz Ask AI), działa na bramie AI wybranej przez Twoją organizację. Domyślnie jest to Azure OpenAI w EU Data Zone, a do wyboru Vertex AI na wieloregionalnym punkcie końcowym UE lub Amazon Bedrock we Frankfurcie, każde w naszym własnym tenancie, z zerową retencją danych i bez trenowania na treściach klientów; albo Twój własny punkt końcowy zgodny z OpenAI. Podsumowanie po spotkaniu i akcja tłumacz w edytorze przechodzą przez tor tłumaczeniowy, a nie przez model językowy. Dostawcy hostowanych bram to firmy amerykańskie, które prowadzą regiony w UE. Mówimy o tym otwarcie na stronie zaufania, nie ukrywamy. Siedziba korporacyjna to kryterium, które zakupy na poziomie suwerenności dokładają ponad GDPR, i dotyczy tego etapu dokładnie tak samo jak Zoom powyżej. Pełna mapa dostawca po dostawcy znajduje się w Where one InterMIND meeting actually runs, a ujęcie „zbuduj czy kup" w What one InterMIND meeting is built from.

Jednego nie twierdzimy: nie będziemy wymachiwać certyfikatem ISO, którego jeszcze nie mamy. Nasza odpowiedź na listę kontrolną ma charakter architektoniczny: środowisko wykonawcze w UE, własny silnik, przejrzyści podprocesorzy, prawdziwa DPA. Wolimy, żebyś to zweryfikował, niż zaufał odznace. Certyfikacje są w planach, a środowisko w UE działa już dziś. Przepuściliśmy własny kod przez dokładnie tę listę kontrolną i zamknęliśmy każdy punkt na podstawie kodu: raport z zamknięcia audytu, punkt po punkcie.

I jeszcze to, czego ustawienia rezydencji Zoom nie dodadzą: spotkanie jest wielojęzyczne z założenia. Każdy uczestnik słyszy je na żywo we własnym języku, w 23 językach, w głosie, na czacie i w notatkach, a jakość tłumaczeń jest publikowana otwarcie, zamiast być deklarowana. Jak to działa, opisuje przewodnik główny, a przypadek użycia w spotkaniach regulowanych opisuje wpis multilingual compliance meetings.

Lista kontrolna w tabeli

Siedem punktów zestawionych z dwoma narzędziami, które ten wpis omawia szczegółowo. Komórki zawierają tylko to, co każdy dostawca dokumentuje (linki do Zoom w sekcji Sources poniżej; twierdzenia o InterMIND zweryfikowane linia po linii w podsumowaniu audytu i mapie środowiska wykonawczego). W przypadku każdego innego dostawcy wymagaj od niego pisemnych odpowiedzi na pytania z lewej kolumny.

FAQ

Czy Zoom jest zgodny z GDPR? Może być, w odpowiednim planie i konfiguracji: Zoom publikuje globalną DPA z SCC UE z 2021 r., oferuje rezydencję danych w UE klientom Enterprise i Education oraz posiada ISO 27001 i (od lutego 2026 r.) ISO 27701. Uczciwe zastrzeżenia: rezydencja w UE to dodatek zależny od planu i konfiguracji, a nie ustawienie domyślne, a Zoom pozostaje firmą z siedzibą w USA. W standardowym ujęciu GDPR da się to uregulować za pomocą SCC, ale w zakupach na poziomie suwerenności to realne kryterium.

Co sprawia, że narzędzie do wideokonferencji jest zgodne z GDPR? Siedem weryfikowalnych rzeczy, nie odznaka ze strony głównej: podpisana DPA, prawdziwa lista podprocesorów, udokumentowany region działania, zgodny z prawem mechanizm transferu międzynarodowego, niezależnie audytowane bezpieczeństwo, działające narzędzia do obsługi praw osób, których dane dotyczą, oraz retencja pod Twoją kontrolą. Dostawca jest zgodny w Twoim rozumieniu, gdy wszystkie siedem punktów ma konkretne odpowiedzi na piśmie.

Czy GDPR wymaga, by spotkania wideo pozostawały w UE? Nie. GDPR wymaga zgodnego z prawem mechanizmu transferu (SCC, adekwatność), gdy dane opuszczają EOG, a nie rezydencji jako takiej. Rezydencja ma znaczenie, ponieważ całkowicie usuwa pytanie o transfer: analiza po Schrems II staje się krótka, gdy dane nigdy nie wychodzą poza UE. To różnica między „zgodnością na papierze" a „nie ma czego załatwiać papierami".

Które narzędzia do wideokonferencji działają w całości w UE? Poproś dowolnego dostawcę o mapę środowiska wykonawczego: region dla każdego etapu, czyli aplikacja, API, media spotkań, baza danych, nagrania, analityka, e-mail, funkcje AI. InterMIND publikuje dokładnie taką mapę (każdy etap, dostawca po dostawcy): Vercel Frankfurt, Fly Paryż, Neon Frankfurt, silnik tłumaczeniowy na OVH we Francji, funkcje AI na bramie wybranej przez organizację, w regionie UE (domyślnie Azure OpenAI EU Data Zone). Które narzędzie byś nie oceniał, odpowiedzią jest mapa, a nie strona marketingowa.

Dla jakiego gospodarza jest ta odpowiedź

Właściciel lub kierownik organizacji liczącej 10–200 osób, w której zespół lub klienci mówią innym językiem, korzystającej już z Teams lub Workspace i zakładającej przestrzeń bez działu IT. Dla takiego gospodarza lista kontrolna jest domyślnie obsłużona, a rozmowa z DPO jest krótka. Reszta decyzji dotyczy tego, czy samo spotkanie odbywa się w języku każdego uczestnika. Zakupy publiczne na poziomie suwerenności, gdzie siedziba dostawcy sama jest częścią specyfikacji, to inna rozmowa, i mówimy o tym wprost, zamiast przesadzać z obietnicami.

Wypróbuj, a potem przeczytaj mapę danych

• Wypróbuj demo na żywo: posłuchaj wielojęzycznego potoku na żywo na prawdziwym spotkaniu i przekonaj się, jak naprawdę brzmi „środowisko w UE i wielojęzyczność". Bez rejestracji.
• InterMIND vs. Zoom: funkcja po funkcji, rzetelnie.
• Where one InterMIND meeting actually runs: pełna mapa dostawców, razem z luką.

„Wideokonferencje zgodne z GDPR" to lista kontrolna, a nie odznaka. Którekolwiek narzędzie wybierzesz, nasze czy inne, każ dostawcy odpowiedzieć na piśmie na wszystkie siedem pytań. Ci, którzy potrafią, są warci Twojego czasu; ci, którzy nie potrafią, sprzedają Ci stronę główną.

— Zespół Mind.com

Źródła dotyczące Zoom: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, sprawdzone w sierpniu 2026 r. Oferty i plany dostawców się zmieniają; aktualną konfigurację zweryfikuj na stronach zaufania Zoom. Fakty dotyczące środowiska wykonawczego InterMIND są zweryfikowane na działającym wdrożeniu, zgodnie z opisem we wpisie z mapą danych, do którego prowadzi link.