Mensageiro compatível com o GDPR para empresas (2026): o que os fornecedores realmente documentam

"Qual mensageiro é compatível com o GDPR?" é uma pergunta que nenhum fornecedor pode responder honestamente com "nós somos". O GDPR coloca as obrigações em você, o controlador: você precisa de um acordo de processamento de dados (Art. 28), precisa saber onde os dados estão armazenados e se eles cruzam para um terceiro país, precisa ser capaz de excluir dados e responder a solicitações de acesso. Um mensageiro pode tornar essas obrigações cumpríveis — ou não. Um selo na página inicial não diz mais do que isso.

Este guia faz algo diferente das listas habituais. Ele aplica seis verificações que um encarregado de proteção de dados (DPO) faria de qualquer forma a doze serviços: os mensageiros de consumidor sobre os quais as empresas realmente operam (WhatsApp, Signal, Telegram), os mensageiros corporativos da Suíça e da Alemanha (Threema Work, Teamwire, Wire, Stackfield), as plataformas auto-hospedadas (Element, Mattermost, Rocket.Chat) e os dois pacotes (Microsoft Teams, Slack). Depois o InterMIND, que nós construímos — com os mesmos critérios e a mesma regra de fontes. Cada afirmação vem da documentação pública do fornecedor, verificada em agosto de 2026, com links ao final.

Uma sétima verificação se junta a elas, uma que nunca aparece nas listas de GDPR e que importa todos os dias em uma equipe internacional: em que idioma cada membro lê o canal? Um mensageiro que armazena mensagens apenas no idioma original transfere a tradução para o indivíduo — e para serviços que processam os dados novamente.

As seis verificações

O Comissário Federal Alemão para Proteção de Dados (BfDI) publica critérios de seleção para serviços de mensageria, a régua pública mais utilizável. Eles definem criptografia de ponta a ponta como mensagens "criptografadas no dispositivo do remetente e só descriptografadas novamente no dispositivo do destinatário", listam configurações de privacidade como acesso à agenda de contatos, visibilidade do perfil, confirmações de leitura, análise de uso e relatório de erros, e exigem exclusão de conta onde os dados são "excluídos imediatamente". Para uso corporativo, as obrigações do Art. 28 se somam a isso. Juntos:

1. Acordo de processamento de dados (DPA). O fornecedor oferece um — e ele está na documentação?
2. Entidade e localização dos servidores. Qual empresa é sua contraparte contratual, onde os dados estão armazenados, há transferência para um terceiro país?
3. Criptografia. De ponta a ponta, ou em trânsito e no servidor? Ambas são legítimas — só precisam ser declaradas.
4. Metadados e agenda de contatos. A agenda de contatos é enviada? Quais dados de uso e de dispositivo são coletados, e com quem são compartilhados?
5. Exclusão e retenção. Onde fica o histórico, quem o exclui, o que acontece quando um funcionário sai da empresa?
6. Subprocessadores. Eles são publicados — incluindo os serviços usados para recursos de IA e tradução?

Mais a sétima: idioma por membro.

Os mensageiros de consumidor no trabalho

WhatsApp (e o app WhatsApp Business)

• Contraparte contratual: para o EEE, "WhatsApp Ireland Limited".
• Criptografia e armazenamento: as mensagens são criptografadas de ponta a ponta; "não retemos suas mensagens no curso normal da prestação dos nossos Serviços a você. Uma vez entregues, suas mensagens são excluídas dos nossos servidores." O histórico, portanto, fica nos dispositivos dos funcionários e em seus backups.
• Metadados: são coletados "informações sobre seu uso dos nossos Serviços", dados do dispositivo ("modelo de hardware, informações do sistema operacional, nível de bateria, força do sinal") e, opcionalmente, a agenda de contatos ("envio de contatos … da agenda de contatos do seu dispositivo em uma base regular"). Os dados são compartilhados com "empresas do Meta nos Estados Unidos e na Irlanda" e transferidos "globalmente".
• DPA: a política de privacidade do app não menciona um acordo de processamento de dados para empresas (verificado em agosto de 2026). O app Business "foi criado pensando no pequeno empresário".
• Idioma: desde setembro de 2025, uma mensagem pode ser traduzida com um toque prolongado — no próprio dispositivo ("as traduções ocorrem no seu dispositivo, onde o WhatsApp não pode vê-las"); o Android pode traduzir automaticamente conversas inteiras (seis idiomas no lançamento), o iPhone usa a tradução da Apple em 19 ou mais idiomas. Mensagens de voz e chamadas não fazem parte do anúncio.

Signal

• Contraparte contratual: Signal Messenger LLC, Mountain View, Califórnia — uma organização sem fins lucrativos.
• Criptografia: "o Signal não pode descriptografar nem de outra forma acessar o conteúdo das suas mensagens ou chamadas."
• Metadados: cadastro por número de telefone; os dados técnicos são limitados "ao mínimo necessário para operar os Serviços".
• DPA: nenhum documentado nos documentos legais do Signal (verificado em agosto de 2026).
• Idioma: nenhum recurso de tradução documentado.

Telegram

• Contraparte contratual e localização: "Telegram Messenger Inc.", com "Telegram FZ-LLC, uma empresa do grupo localizada em Dubai"; para usuários da UE/EEE, "seus dados são armazenados em data centers na Holanda". O representante para o GDPR é o European Data Protection Office (EDPO), em Bruxelas.
• Criptografia: os chats em nuvem são criptografados no servidor — "todos os dados são armazenados fortemente criptografados, e as chaves de criptografia, em cada caso, são armazenadas em vários outros data centers em diferentes jurisdições" — e apenas os chats secretos são de ponta a ponta: "Chats secretos usam criptografia de ponta a ponta."
• DPA: não documentado na política de privacidade (verificado em agosto de 2026).
• Idioma: "todos os usuários podem traduzir mensagens individuais"; usuários Premium "podem traduzir conversas, grupos e canais inteiros em tempo real ao tocar na barra Traduzir no topo".

Os três são ferramentas em que as equipes realmente trabalham. O que compartilham: o histórico pertence ao dispositivo ou à nuvem do fornecedor, não à empresa — e o DPA exigido pelo Art. 28 não aparece em nenhuma das três documentações.

Mensageiros corporativos da Suíça e da Alemanha

Threema Work

• Localização: Suíça. O fornecedor observa que uma transferência de dados da UE para a Suíça é legalmente permitida sem análise adicional.
• Metadados: o Threema Work "não exige dados pessoais (como número de telefone ou endereço de e-mail)" e "pode ser usado sem acesso à agenda de contatos".
• DPA: segundo o fornecedor, o Threema Work "atende aos requisitos para o processamento em conformidade com a proteção de dados em nome de um controlador, conforme o GDPR e a DSG suíça".
• Teste: "30 dias, 30 usuários. Sem renovação automática." Os preços por usuário não constam na página.
• Idioma: nenhum recurso de tradução documentado.

Teamwire

• Localização: "nuvem pública alemã (IONOS, certificada C5)", "nuvem privada dedicada" ou "hospedagem on-premise completa"; "hospedagem na Alemanha em vez dos EUA", "sem armazenamento fora da UE".
• Certificações: "ISO 27001, BSI C5, certificado TÜV"; são mencionados GDPR da UE, BDSG, BSI IT-Grundschutz, NIS-2, DORA e CER.
• Metadados: "sem acesso à agenda de contatos" e "sem análise da comunicação".
• GDPR: o fornecedor se descreve como "100% compatível com o GDPR" — uma autodescrição que o DPA precisa comprovar caso a caso. Sem preços na página.
• Idioma: nenhum recurso de tradução documentado.

Wire

• Localização: "nuvem, on-premises ou híbrido".
• Criptografia: protocolo MLS; "mensagens, arquivos e chamadas são totalmente E2EE por padrão"; chamadas de vídeo "com até 200 participantes", com cada sessão criptografada de ponta a ponta.
• Certificações: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: "totalmente em conformidade com regulamentações estritas de proteção de dados, incluindo o GDPR" (autodescrição). Sem preços por usuário na página.
• Idioma: nenhum recurso de tradução documentado.

Stackfield

• Localização: "todo o processamento de dados é limitado à UE, e os dados residem exclusivamente em data centers alemães"; a empresa está sujeita "exclusivamente à jurisdição da Alemanha e da UE".
• Criptografia: "verdadeira criptografia de ponta a ponta" para mensagens, arquivos e tarefas.
• Certificações: ISO 27001, BSI C5.
• Reuniões: videoconferência e conferência de áudio incluídas.
• Idioma: nenhum recurso de tradução documentado.

Os quatro respondem às questões de localização e criptografia com a clareza máxima que um fornecedor pode oferecer. O que nenhum deles documenta: uma tradução que permita que um colega polonês, um português e um alemão leiam o mesmo canal em seu próprio idioma.

Plataformas auto-hospedadas

Element (Matrix)

• Criptografia: "toda a plataforma é criptografada de ponta a ponta por padrão" — incluindo o Element Call para voz e vídeo.
• Operação: Community gratuito, auto-hospedado; Enterprise por assento por mês, auto-hospedado; Sovereign por implantação, air-gapped.
• Idioma: nenhum recurso de tradução documentado — com criptografia de ponta a ponta, não há um lugar no servidor para isso.

Mattermost

• Operação: Professional e Enterprise como licenças anuais auto-hospedadas, preços sob consulta; Mattermost Cloud Enterprise como oferta single-tenant.
• Idioma: tradução automática de canal (beta, desde a v11.5) no Enterprise Advanced: o back-end é o "LibreTranslate: um mecanismo de tradução automática auto-hospedado e de código aberto" ou "Agents: usa o plugin Mattermost Agents com um back-end de LLM configurado"; o idioma de destino de um usuário "é determinado pelo idioma de exibição do Mattermost dele". A tradução é executada no seu servidor.

Rocket.Chat

• Operação: o plano Starter é gratuito, "autogerenciado, auto-hospedado", "para avaliação técnica ou pequenas equipes de até 50 usuários"; os planos pagos são Commercial, Government e Defense — on-premises, nuvem privada ou air-gapped, preços sob consulta.
• Idioma: Auto-Translate por sala — "cada usuário recebe traduções com base no idioma que escolheu" — via DeepL, Google Translate, Microsoft Translator ou LibreTranslate, com uma chave de API fornecida pelo administrador. O texto das mensagens, portanto, vai para o provedor que você escolheu — a menos que seja o LibreTranslate no seu próprio host.

O Nextcloud Talk pertence ao mesmo grupo: "um serviço de comunicação por áudio/vídeo e chat totalmente auto-hospedado, on-premises", com transcrição e tradução em tempo real no seu próprio hardware (detalhes na comparação de ferramentas de comunicação em equipe).

Os pacotes: Microsoft Teams e Slack

Microsoft Teams

• DPA: "Ao assinar um Produto sob os termos do site Product Terms, os termos de processamento de dados e segurança são definidos no Microsoft Online Services Data Protection Addendum (DPA)."
• Localização: os dados do Teams residem "na região geográfica associada à sua organização do Microsoft 365 ou Office 365"; a residência por país (Alemanha, França, Itália, Noruega, Polônia, Suécia, Suíça e outros) é "apenas para novos tenants", os tenants já existentes na UE permanecem na região EMEA. O EU Data Boundary compromete a Microsoft a armazenar e processar os Dados do Cliente do Microsoft 365 dentro da UE/EFTA — "sujeito a circunstâncias limitadas", com exceções documentadas; clientes com Multi-Geo estão fora do escopo.
• Idioma: mensagens de chat e de canal são traduzidas sob demanda ou automaticamente ("o Teams pode traduzir automaticamente mensagens recebidas"), mais de 100 idiomas, sem menção de licença; em reuniões, legendas traduzidas exigem a licença Teams Premium ou Copilot do organizador, e o agente Interpreter (10 idiomas) exige uma licença Copilot por ouvinte, 20 horas por mês. Detalhes: tradução ao vivo no Teams.

Slack

• DPA: "O Slack oferece um Data Processing Addendum que complementa os Termos de Serviço do Cliente" — firmado por meio de um formulário, não incorporado automaticamente.
• Localização: residência de dados a partir do Business+: Frankfurt, Paris, Estocolmo, Zurique, Londres. Cobertos: mensagens, canvases, arquivos e o índice de busca; não cobertos: perfis de membros e análise de uso. O plano Free mantém 90 dias de histórico de mensagens.
• Idioma: "Traduzir mensagem" no Business+ e Enterprise+, sob demanda por mensagem; "as traduções são visíveis apenas para você, então as outras pessoas sempre verão a mensagem original."

InterMIND

Construímos um espaço de comunicação em que cada membro lê reuniões, chat, documentos e seu histórico no próprio idioma — e o submetemos às mesmas sete verificações:

1. DPA: assinado por cliente — termos de processador conforme o Art. 28, com aviso de 30 dias para novos subprocessadores e uma janela de 72 horas para notificação de incidentes; uma cópia assinada está disponível para o time de compras (/legal/dpa).
2. Entidade e localização: operado por uma OÜ estoniana; a execução ocorre na UE em cada etapa — tradução de voz e chat no nosso próprio mecanismo, em servidores dedicados na França, orquestração de reuniões em Paris, banco de dados em Frankfurt, armazenamento e análise residentes na UE. O mapa, fornecedor por fornecedor: onde uma reunião do InterMIND realmente acontece.
3. Criptografia: criptografia em trânsito — áudio e vídeo via DTLS/SRTP, chat e arquivos via HTTPS/WSS, e criptografados em repouso nos nossos servidores. Sem criptografia de ponta a ponta: a tradução é processamento, e ela acontece no nosso mecanismo, não em terceiros. Se a E2EE for o critério mais importante para você, Element, Wire ou Threema são a escolha melhor — e dizemos isso abertamente.
4. Metadados e agenda de contatos: sem envio de agenda de contatos; os participantes entram por link, sem conta e sem número de telefone.
5. Exclusão e retenção: o critério de retenção está previsto na política de privacidade — os dados permanecem até que você ou o proprietário da sua equipe os exclua; excluir uma conta exclui seus dados. Auditamos nosso próprio código em relação às obrigações do GDPR e documentamos o que corrigimos: auditoria de GDPR.
6. Subprocessadores: publicados, com função e domicílio por fornecedor. O único provedor externo de modelo de linguagem (para o resumo) é um provedor da UE sob termos de retenção zero de dados; a tradução de documentos passa pelo DeepL como subprocessador da UE nomeado. Nenhum conteúdo de reunião chega a um modelo domiciliado nos EUA.
7. Idioma por membro: chat e notas em 23 idiomas, documentos em 30, fala ao vivo para cada participante no próprio idioma — como comportamento padrão da sala, sem complementos ou licenças por ouvinte. A qualidade é publicada mensalmente por par de idiomas: /benchmark.

O que não afirmamos: um certificado ISO que ainda não temos. Nossa resposta ao checklist é arquitetural e verificável no código; as certificações estão no roadmap.

A visão geral

Qual mensageiro para qual caso

• A criptografia de ponta a ponta é seu primeiro critério e a tradução não importa: Threema Work (Suíça, sem número de telefone), Wire (MLS, chamadas incluídas), Stackfield (data centers alemães) ou Element (auto-hospedado, gratuito na edição Community).
• Tudo precisa rodar nos seus próprios servidores, e você tem a equipe para isso: Rocket.Chat (gratuito até 50 usuários, tradução via sua chave de provedor), Mattermost Enterprise Advanced (tradução de canal em beta com seu LibreTranslate ou LLM), Nextcloud Talk.
• Você já é cliente da Microsoft ou do Slack de qualquer forma: ambos documentam um DPA e residência na UE — o Teams via região do tenant e o EU Data Boundary, o Slack a partir do Business+. A tradução é por leitor, sob demanda; o idioma da reunião no Teams depende de licenças Copilot.
• A equipe trabalha no WhatsApp, Signal ou Telegram: serviços documentados para comunicação privada, parcialmente criptografados de ponta a ponta — mas sem DPA documentado, com o histórico nos dispositivos ou na nuvem do fornecedor, e, no caso do WhatsApp, dados de uso e de dispositivo indo para empresas do Meta nos EUA. Um DPO vai fazer perguntas que a documentação não responde.
• O próprio canal é multilíngue — colegas e clientes respondendo uns aos outros em três idiomas, convidados sem as suas licenças, e uma equipe de conformidade que quer apontar a localização: é para isso que construímos o InterMIND — UE em cada etapa, DPA por cliente, subprocessadores publicados, e cada membro lendo o espaço no próprio idioma.

Veja em vez de ler sobre isso

• Experimente a demonstração ao vivo — sem cadastro; fale e ouça a sala traduzida por ouvinte em qualquer um dos 23 idiomas.
• Veja o benchmark — qualidade de tradução mensal por par de idiomas, com tráfego real, com a metodologia pública.
• Leia os subprocessadores — função e domicílio por fornecedor, sem necessidade de solicitação.

Perguntas frequentes

Quais mensageiros são compatíveis com o GDPR?

Nenhum é, por si só — as obrigações são da empresa. O que pode ser verificado é se o fornecedor as torna cumpríveis: um DPA é documentado pelo Microsoft Teams (via os Product Terms), pelo Slack (via formulário), pelo Threema Work (fornecedor: processamento compatível com GDPR/DSG) e pelo InterMIND (por cliente, Art. 28); Teamwire e Wire se descrevem como compatíveis com o GDPR. Para WhatsApp, Signal e Telegram, a documentação não menciona nenhum DPA (verificado em agosto de 2026). Os serviços auto-hospedados — Element, Mattermost, Rocket.Chat, Nextcloud — transferem a questão para a sua própria operação.

O Signal é compatível com o GDPR?

O Signal documenta criptografia de ponta a ponta ("o Signal não pode descriptografar nem de outra forma acessar o conteúdo das suas mensagens ou chamadas") e dados técnicos limitados ao mínimo; a contraparte contratual é a Signal Messenger LLC, na Califórnia, e o cadastro é feito por número de telefone. Os documentos legais não mencionam nenhum acordo de processamento de dados para empresas. O uso privado é um cenário diferente do uso corporativo, que precisa satisfazer o Art. 28.

O WhatsApp é compatível com o GDPR para uso corporativo?

A WhatsApp Ireland documenta criptografia de ponta a ponta e que as mensagens entregues são excluídas dos seus servidores — e, ao mesmo tempo, dados de uso e de dispositivo, envio opcional de agenda de contatos e compartilhamento com "empresas do Meta nos Estados Unidos e na Irlanda". A política de privacidade não menciona nenhum DPA para o app; o app Business é, segundo o fornecedor, criado para pequenos empresários. Quem usa o WhatsApp em uma empresa precisa justificar esses pontos ao DPO por conta própria.

O Telegram é compatível com o GDPR?

O Telegram declara que os dados da UE são armazenados na Holanda e nomeia um representante na UE (EDPO, Bruxelas); os chats em nuvem são criptografados no servidor, com chaves "em vários outros data centers em diferentes jurisdições", e apenas os chats secretos são de ponta a ponta. Nenhum DPA é documentado. Isso é uma situação de dados documentada, não conformidade com o GDPR no sentido do Art. 28.

O Microsoft Teams é compatível com o GDPR?

A Microsoft documenta o DPA como parte dos Product Terms, o armazenamento dos dados do Teams na região do tenant — residência por país apenas para novos tenants — e o EU Data Boundary para clientes do Microsoft 365 baseados na UE/EFTA, com exceções documentadas. Para empresas que já usam o Teams, essa é uma base sólida; os recursos de tradução em reuniões dependem de licenças Copilot por organizador e por ouvinte.

O que um mensageiro compatível com o GDPR para empresas precisa oferecer?

Seis respostas documentadas em vez de um selo: um DPA conforme o Art. 28, uma entidade e localização de servidor nomeadas, sem transferência para terceiro país sem explicação, um modelo de criptografia declarado, controle sobre agenda de contatos e metadados, um conceito de exclusão que cobre a saída de um funcionário, e uma lista de subprocessadores publicada — incluindo os serviços de IA e tradução. Para equipes internacionais, um sétimo ponto se junta: um mensageiro que armazena o canal apenas no idioma original transfere a tradução para cada indivíduo.

Existe um mensageiro gratuito e compatível com o GDPR para empresas?

Gratuito e auto-hospedado: Rocket.Chat Starter (até 50 usuários) e Element Community — as obrigações do GDPR ficam então totalmente na sua própria operação. O Threema Work oferece 30 dias para 30 usuários sem exigir dados de pagamento. Com o InterMIND, a participação é gratuita para cada participante — entrada por link sem conta — e a demonstração ao vivo não exige cadastro; quem paga pela sala é o anfitrião.

Fontes: BfDI — Critérios de seleção para serviços de mensageria (alemão), WhatsApp — Política de privacidade (EEE), WhatsApp — Política de privacidade, Blog do WhatsApp — Apresentando as traduções de mensagens, App WhatsApp Business, Signal — Termos e Política de Privacidade, Telegram — Política de Privacidade, Blog do Telegram — Tradução em tempo real, Threema — Mensageiro compatível com o GDPR (alemão), Teamwire — Mensageiro compatível com o GDPR (alemão), Wire — Wire vs. MS Teams (alemão), Stackfield — Alternativa ao Microsoft Teams (alemão), Element — Preços, Mattermost — Preços, Mattermost — Configurar a tradução automática (Beta), Rocket.Chat — Nossos planos, Rocket.Chat — Tradução automática de mensagens, Nextcloud Talk, Microsoft — Addendum de Proteção de Dados de Produtos e Serviços, Microsoft Learn — Localização dos dados no Microsoft Teams, Microsoft Learn — O que é o EU Data Boundary?, Microsoft — Traduzir uma mensagem no Microsoft Teams, Microsoft — Interpreter em reuniões e chamadas do Teams, Slack — Addendum de Processamento de Dados, Slack — Residência de dados para o Slack, Slack — Preços, Slack — Guia de recursos de IA no Slack. Os fornecedores alteram planos, localizações, recursos e autodescrições com o tempo; consulte as páginas deles para o estado atual. Todos os fatos foram verificados em agosto de 2026.