Mensageiro em conformidade com o GDPR para empresas (2026): o que os fornecedores realmente documentam

"Qual mensageiro está em conformidade com o GDPR?" é uma pergunta que nenhum fornecedor consegue responder com honestidade dizendo "nós estamos". O GDPR coloca as obrigações sobre você, o controlador: você precisa de um acordo de processamento de dados (Art. 28), precisa saber onde os dados ficam e se eles passam para um país terceiro, e precisa conseguir excluí-los e responder a solicitações de acesso. Um mensageiro pode tornar essas obrigações cumpríveis, ou não. Um selo na página inicial não diz nada além disso.

Por isso este guia faz algo diferente das listas habituais. Ele pega seis verificações que um encarregado de proteção de dados (DPO) faz de qualquer jeito e as aplica a doze serviços: os mensageiros de consumo nos quais as empresas realmente trabalham (WhatsApp, Signal, Telegram), os mensageiros corporativos da Suíça e da Alemanha (Threema Work, Teamwire, Wire, Stackfield), as plataformas auto-hospedadas (Element, Mattermost, Rocket.Chat) e os dois pacotes (Microsoft Teams, Slack). Depois, o InterMIND, que nós desenvolvemos, com os mesmos critérios e a mesma regra de fontes. Cada afirmação vem da documentação pública do fornecedor, verificada em agosto de 2026 e linkada no final.

Uma sétima verificação se junta a elas, que nunca aparece nas listas de GDPR e importa todos os dias em uma equipe internacional: em que idioma cada membro lê o canal? Um mensageiro que guarda as mensagens apenas no original joga a tradução para cada pessoa individualmente, e para serviços que então processam os dados mais uma vez.

As seis verificações

O Comissário Federal alemão para a Proteção de Dados (BfDI) publica critérios de seleção para serviços de mensagens, a referência pública mais utilizável. Eles definem a criptografia de ponta a ponta como mensagens "criptografadas no dispositivo do remetente e descriptografadas novamente apenas no dispositivo do destinatário", listam configurações de privacidade como acesso à agenda de contatos, visibilidade do perfil, confirmações de leitura, análise de uso e relatórios de erro, e exigem a exclusão de conta em que os dados sejam "excluídos imediatamente". Para o uso corporativo, somam-se as obrigações do Art. 28. Em conjunto:

1. Acordo de processamento de dados (DPA). O fornecedor oferece um, e ele consta na documentação?
2. Entidade e localização dos servidores. Qual empresa é sua contratada, onde os dados ficam, há transferência para país terceiro?
3. Criptografia. De ponta a ponta, ou em trânsito e no servidor? Ambas são legítimas; basta que sejam declaradas.
4. Metadados e agenda de contatos. A agenda é enviada? Quais dados de uso e de dispositivo são coletados e com quem são compartilhados?
5. Exclusão e retenção. Onde fica o histórico, quem o exclui, o que acontece quando um colaborador sai?
6. Suboperadores. Eles são publicados, incluindo os serviços usados para recursos de IA e tradução?

Mais a sétima: idioma por membro.

Os mensageiros de consumo no trabalho

WhatsApp (e o aplicativo WhatsApp Business)

• Parte contratante: para o EEE, "WhatsApp Ireland Limited".
• Criptografia e armazenamento: as mensagens têm criptografia de ponta a ponta; "não retemos suas mensagens no curso normal da prestação de nossos Serviços a você. Depois que suas mensagens são entregues, elas são excluídas de nossos servidores." Portanto, o histórico fica nos dispositivos dos colaboradores e em seus backups.
• Metadados: são coletadas "informações sobre o uso de nossos Serviços", dados do dispositivo ("modelo do hardware, informações do sistema operacional, nível da bateria, intensidade do sinal") e, opcionalmente, a agenda de contatos ("upload de contatos … da agenda de contatos do seu dispositivo de forma regular"). Os dados são compartilhados com "as Empresas da Meta nos Estados Unidos e na Irlanda" e transferidos "globalmente".
• DPA: a política de privacidade do aplicativo não cita nenhum acordo de processamento de dados para empresas (verificado em agosto de 2026). O aplicativo Business "foi criado pensando no pequeno empresário".
• Idioma: desde setembro de 2025, uma mensagem pode ser traduzida com um toque longo, no próprio dispositivo ("as traduções acontecem no seu dispositivo, onde o WhatsApp não consegue vê-las"); o Android pode traduzir automaticamente conversas inteiras (seis idiomas no lançamento), e o iPhone usa a tradução da Apple em mais de 19 idiomas. Mensagens de voz e chamadas não fazem parte do anúncio.

Signal

• Parte contratante: Signal Messenger LLC, Mountain View, Califórnia, uma organização sem fins lucrativos.
• Criptografia: "O Signal não consegue descriptografar nem acessar de outra forma o conteúdo das suas mensagens ou chamadas."
• Metadados: cadastro por número de telefone; os dados técnicos se limitam "ao mínimo necessário para operar os Serviços".
• DPA: nenhum documentado nos documentos legais do Signal (verificado em agosto de 2026).
• Idioma: nenhum recurso de tradução documentado.

Telegram

• Parte contratante e localização: "Telegram Messenger Inc.", com a "Telegram FZ-LLC, empresa do grupo localizada em Dubai"; para usuários da UE/EEE, "seus dados são armazenados em data centers nos Países Baixos". O representante para o GDPR é o European Data Protection Office (EDPO), em Bruxelas.
• Criptografia: os chats na nuvem têm criptografia no servidor ("todos os dados são armazenados com criptografia forte e as chaves de criptografia ficam, em cada caso, em vários outros data centers em jurisdições diferentes"), e somente os chats secretos são de ponta a ponta: "Os chats secretos usam criptografia de ponta a ponta."
• DPA: não documentado na política de privacidade (verificado em agosto de 2026).
• Idioma: "Todos os usuários podem traduzir mensagens individuais"; usuários Premium "podem traduzir chats, grupos e canais inteiros em tempo real tocando na barra Traduzir no topo".

Os três são ferramentas nas quais as equipes realmente trabalham. O que eles têm em comum: o histórico pertence ao dispositivo ou à nuvem do fornecedor, não à empresa, e o DPA exigido pelo Art. 28 não aparece na documentação de nenhum dos três.

Mensageiros corporativos da Suíça e da Alemanha

Threema Work

• Localização: Suíça. O fornecedor observa que a transferência de dados da UE para a Suíça é legalmente permitida sem análise adicional.
• Metadados: o Threema Work "não exige dados pessoais (como número de telefone ou e-mail)" e "pode ser usado sem acesso à agenda de contatos".
• DPA: segundo o fornecedor, o Threema Work "atende aos requisitos para um processamento em conformidade com a proteção de dados em nome de um controlador nos termos do GDPR e da DSG suíça".
• Teste: "30 dias, 30 usuários. Sem renovação automática." Os preços por usuário não estão na página.
• Idioma: nenhum recurso de tradução documentado.

Teamwire

• Localização: "nuvem pública alemã (IONOS, certificada C5)", "nuvem privada dedicada" ou "hospedagem totalmente on-premise"; "hospedagem na Alemanha em vez dos EUA", "nenhum armazenamento fora da UE".
• Certificações: "ISO 27001, BSI C5, certificado TÜV"; são citados GDPR da UE, BDSG, BSI IT-Grundschutz, NIS-2, DORA e CER.
• Metadados: "nenhum acesso à agenda de contatos" e "nenhuma análise da comunicação".
• GDPR: o fornecedor se descreve como "100 % em conformidade com o GDPR", uma autodescrição que o DPA precisa sustentar caso a caso. Sem preços na página.
• Idioma: nenhum recurso de tradução documentado.

Wire

• Localização: "nuvem, on-premises ou híbrido".
• Criptografia: protocolo MLS; "mensagens, arquivos e chamadas são totalmente E2EE por padrão"; chamadas de vídeo "com até 200 participantes", cada sessão com criptografia de ponta a ponta.
• Certificações: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: "em total conformidade com regulamentos rigorosos de proteção de dados, incluindo o GDPR" (autodescrição). Sem preços por usuário na página.
• Idioma: nenhum recurso de tradução documentado.

Stackfield

• Localização: "todo o processamento de dados é limitado à UE, e os próprios dados ficam exclusivamente em data centers alemães"; a empresa está sujeita "exclusivamente à jurisdição da Alemanha e da UE".
• Criptografia: "criptografia de ponta a ponta verdadeira" para mensagens, arquivos e tarefas.
• Certificações: ISO 27001, BSI C5.
• Reuniões: conferência de áudio e vídeo incluída.
• Idioma: nenhum recurso de tradução documentado.

Os quatro respondem às perguntas sobre localização e criptografia da forma mais clara que um fornecedor consegue. O que nenhum deles documenta: uma tradução que permita a um colega polonês, a um português e a um alemão ler o mesmo canal no próprio idioma.

Plataformas auto-hospedadas

Element (Matrix)

• Criptografia: "toda a plataforma tem criptografia de ponta a ponta por padrão", incluindo o Element Call para voz e vídeo.
• Operação: Community gratuita, auto-hospedada; Enterprise por assento por mês, auto-hospedada; Sovereign por deployment, isolada da rede (air-gapped).
• Idioma: nenhum recurso de tradução documentado; com criptografia de ponta a ponta, não há lugar no servidor para isso.

Mattermost

• Operação: Professional e Enterprise como licenças anuais auto-hospedadas, preços sob consulta; Mattermost Cloud Enterprise como oferta single-tenant.
• Idioma: tradução automática de canais (beta, desde a v11.5) no Enterprise Advanced: o back-end é "LibreTranslate: um mecanismo de tradução automática de código aberto e auto-hospedado" ou "Agents: usa o plugin Mattermost Agents com um back-end de LLM configurado"; o idioma de destino do usuário "é determinado pelo idioma de exibição do Mattermost dele". A tradução roda no seu servidor.

Rocket.Chat

• Operação: o plano Starter é gratuito, "autogerenciado, auto-hospedado", "para avaliação técnica ou pequenas equipes de até 50 usuários"; os planos pagos são Commercial, Government e Defense, on-premises, em nuvem privada ou air-gapped, com preços sob consulta.
• Idioma: Auto-Translate por sala ("cada usuário recebe traduções com base no idioma que ele mesmo selecionou") via DeepL, Google Translate, Microsoft Translator ou LibreTranslate, com uma chave de API fornecida pelo administrador. O texto da mensagem, portanto, vai para o provedor que você escolheu, a menos que seja o LibreTranslate no seu próprio host.

O Nextcloud Talk pertence ao mesmo grupo: "um serviço de comunicação por áudio/vídeo e chat totalmente auto-hospedado, on-premises", com transcrição e tradução ao vivo no seu próprio hardware (detalhes no comparativo de ferramentas de comunicação para equipes).

Os pacotes: Microsoft Teams e Slack

Microsoft Teams

• DPA: "Quando você assina um Produto nos termos do site Product Terms, os termos de processamento de dados e de segurança são definidos no Microsoft Online Services Data Protection Addendum (DPA)."
• Localização: os dados do Teams ficam "na região geográfica associada à sua organização do Microsoft 365 ou Office 365"; a residência por país (Alemanha, França, Itália, Noruega, Polônia, Suécia, Suíça e outros) vale "somente para novos tenants", e os tenants existentes da UE permanecem na região EMEA. O EU Data Boundary compromete a Microsoft a armazenar e processar os Dados do Cliente do Microsoft 365 dentro da UE/EFTA, "sujeito a circunstâncias limitadas" com exceções documentadas; clientes com Multi-Geo estão fora do escopo.
• Idioma: mensagens de chat e de canal são traduzidas sob demanda ou automaticamente ("o Teams pode traduzir automaticamente as mensagens recebidas"), em mais de 100 idiomas, sem licença especificada; em reuniões, as legendas traduzidas exigem a licença Teams Premium ou Copilot do organizador, e o agente Interpreter (10 idiomas) exige uma licença Copilot por ouvinte, 20 horas por mês. Detalhes: tradução ao vivo no Microsoft Teams.

Slack

• DPA: "O Slack oferece um Data Processing Addendum que complementa os Termos de Serviço do Cliente", formalizado por meio de um formulário, não incorporado automaticamente.
• Localização: residência de dados a partir do Business+: Frankfurt, Paris, Estocolmo, Zurique, Londres. Cobertos: mensagens, canvases, arquivos e o índice de busca; não cobertos: perfis de membros e análises de uso. O plano Free mantém 90 dias de histórico de mensagens.
• Idioma: "Translate message" no Business+ e no Enterprise+, sob demanda por mensagem; "as traduções ficam visíveis apenas para você, então as outras pessoas sempre verão a mensagem original."

InterMIND

Desenvolvemos um espaço de comunicação em que cada membro lê reuniões, chat, documentos e seu histórico no próprio idioma, e o submetemos às mesmas sete verificações:

1. DPA: assinado por cliente, com termos de operador do Art. 28, aviso prévio de 30 dias sobre novos suboperadores e prazo de 72 horas para notificação de violações; uma cópia assinada está disponível para o setor de compras (/legal/dpa).
2. Entidade e localização: operado por uma OÜ estoniana; o runtime fica na UE em todas as etapas: tradução de voz e de chat em nosso próprio motor, em servidores dedicados na França, orquestração das reuniões em Paris, banco de dados em Frankfurt, armazenamento e análises residentes na UE. O mapa, fornecedor por fornecedor: onde uma reunião do InterMIND realmente roda.
3. Criptografia: criptografia em trânsito, com áudio e vídeo via DTLS/SRTP, chat e arquivos via HTTPS/WSS e criptografados em repouso em nossos servidores. Sem criptografia de ponta a ponta: a tradução é processamento, e ele acontece em nosso motor, não em um terceiro. Se a E2EE tem prioridade sobre todo o resto para você, Element, Wire ou Threema são a melhor escolha, e dizemos isso abertamente.
4. Metadados e agenda de contatos: nenhum upload da agenda; os participantes entram por link, sem conta e sem número de telefone.
5. Exclusão e retenção: o critério de retenção está escrito na política de privacidade: os dados permanecem até que você ou o responsável pela sua equipe os exclua; excluir uma conta exclui seus dados. Auditamos nosso próprio código em relação às obrigações do GDPR e documentamos o que corrigimos: auditoria de GDPR.
6. Suboperadores: publicados, com função e domicílio por fornecedor. As etapas com modelos de linguagem (recap, resumos de documentos, assistente de escrita, Ask AI) rodam no gateway de IA que a organização seleciona (Azure OpenAI na EU Data Zone por padrão, Vertex AI EU ou Amazon Bedrock Frankfurt por escolha), no tenant próprio do InterMIND, com zero retenção de dados e sem treinamento com o conteúdo do cliente; os fornecedores são empresas americanas que operam regiões na UE, o que consta na página de confiança. A tradução de documentos passa pelo DeepL, como suboperador nomeado na UE.
7. Idioma por membro: chat e notas em 23 idiomas, documentos em 30, fala ao vivo para cada participante no próprio idioma, como comportamento padrão da sala, sem add-ons nem licenças por ouvinte. A qualidade é publicada mensalmente por par de idiomas: /benchmark.

O que não afirmamos: um certificado ISO que ainda não temos. Nossa resposta à lista de verificação é arquitetural e verificável no código; as certificações estão no roadmap.

Visão geral

Qual mensageiro para qual caso

• A criptografia de ponta a ponta é seu primeiro critério e a tradução não importa: Threema Work (Suíça, sem número de telefone), Wire (MLS, chamadas incluídas), Stackfield (data centers alemães) ou Element (auto-hospedado, gratuito na edição Community).
• Tudo precisa rodar em seus próprios servidores, e você tem equipe para isso: Rocket.Chat (gratuito até 50 usuários, tradução via a chave do seu provedor), Mattermost Enterprise Advanced (tradução de canais em beta no seu LibreTranslate ou LLM), Nextcloud Talk.
• Você já é cliente da Microsoft ou do Slack: ambos documentam um DPA e residência na UE: o Teams via região do tenant e EU Data Boundary, o Slack a partir do Business+. A tradução é por leitor, sob demanda; o idioma da reunião no Teams depende de licenças Copilot.
• A equipe trabalha no WhatsApp, no Signal ou no Telegram: serviços documentados para comunicação privada, em parte com criptografia de ponta a ponta, mas sem DPA documentado, com o histórico em dispositivos ou na nuvem do fornecedor e, no WhatsApp, com dados de uso e de dispositivo indo para empresas da Meta nos EUA. Um DPO fará perguntas que a documentação não responde.
• O próprio canal é multilíngue: colegas e clientes respondendo uns aos outros em três idiomas, convidados sem as suas licenças e uma equipe de conformidade que quer nomear a localização. É para isso que construímos o InterMIND: cada membro lendo o espaço no próprio idioma, convidados entrando por link sem as suas licenças; UE em todas as etapas, DPA por cliente e suboperadores publicados são a linha única para o DPO.

Veja na prática em vez de só ler

• Experimente a demo ao vivo: sem cadastro; fale e ouça a sala traduzida para cada ouvinte em qualquer um dos 23 idiomas.
• Veja o benchmark: qualidade de tradução por par de idiomas, mensal, com tráfego real e metodologia pública.
• Leia os suboperadores: função e domicílio por fornecedor, sem precisar pedir.

FAQ

Quais mensageiros estão em conformidade com o GDPR?

Nenhum está por si só; as obrigações são da empresa. O que dá para verificar é se o fornecedor as torna cumpríveis: um DPA é documentado pelo Microsoft Teams (via Product Terms), pelo Slack (via formulário), pelo Threema Work (fornecedor: processamento em conformidade com GDPR/DSG) e pelo InterMIND (por cliente, Art. 28); Teamwire e Wire se descrevem como em conformidade com o GDPR. Para WhatsApp, Signal e Telegram, a documentação não cita nenhum DPA (verificado em agosto de 2026). Os serviços auto-hospedados (Element, Mattermost, Rocket.Chat, Nextcloud) transferem a questão para a sua própria operação.

O Signal está em conformidade com o GDPR?

O Signal documenta criptografia de ponta a ponta ("O Signal não consegue descriptografar nem acessar de outra forma o conteúdo das suas mensagens ou chamadas") e dados técnicos limitados ao mínimo; a parte contratante é a Signal Messenger LLC, na Califórnia, e o cadastro é feito por número de telefone. Os documentos legais não citam nenhum acordo de processamento de dados para empresas. O uso privado é um cenário diferente do uso corporativo, que precisa atender ao Art. 28.

O WhatsApp está em conformidade com o GDPR para uso empresarial?

O WhatsApp Ireland documenta criptografia de ponta a ponta e que as mensagens entregues são excluídas de seus servidores, mas também, ao mesmo tempo, dados de uso e de dispositivo, upload opcional da agenda de contatos e compartilhamento com as "Empresas da Meta nos Estados Unidos e na Irlanda". A política de privacidade não cita nenhum DPA para o aplicativo; o aplicativo Business foi, segundo o fornecedor, criado para pequenos empresários. Quem usa o WhatsApp em uma empresa precisa justificar esses pontos ao DPO por conta própria.

O Telegram está em conformidade com o GDPR?

O Telegram declara que os dados da UE são armazenados nos Países Baixos e nomeia um representante na UE (EDPO, Bruxelas); os chats na nuvem têm criptografia no servidor, com chaves "em vários outros data centers em jurisdições diferentes", e apenas os chats secretos são de ponta a ponta. Nenhum DPA é documentado. Isso é uma situação de dados documentada, não conformidade com o GDPR no sentido do Art. 28.

O Microsoft Teams está em conformidade com o GDPR?

A Microsoft documenta o DPA como parte do Product Terms, o armazenamento dos dados do Teams na região do tenant (residência por país apenas para novos tenants) e o EU Data Boundary para clientes do Microsoft 365 sediados na UE/EFTA, com exceções documentadas. Para empresas que já usam o Teams, é uma base sólida; os recursos de tradução em reuniões dependem de licenças Copilot por organizador e por ouvinte.

O que um mensageiro em conformidade com o GDPR para empresas deve oferecer?

Seis respostas documentadas em vez de um selo: um DPA conforme o Art. 28, uma entidade e uma localização de servidores declaradas, sem transferência inexplicada para país terceiro, um modelo de criptografia declarado, controle sobre agenda de contatos e metadados, um conceito de exclusão que cubra a saída de um colaborador e uma lista publicada de suboperadores, incluindo os serviços de IA e de tradução. Para equipes internacionais, soma-se um sétimo ponto: um mensageiro que guarda o canal apenas no original joga a tradução para cada pessoa individualmente.

Existe um mensageiro gratuito em conformidade com o GDPR para empresas?

Gratuitos e auto-hospedados: Rocket.Chat Starter (até 50 usuários) e Element Community; nesse caso, as obrigações do GDPR ficam inteiramente na sua própria operação. O Threema Work oferece 30 dias para 30 usuários sem dados de pagamento. No InterMIND, a participação é gratuita para todo participante (entre por link, sem conta), e a demo ao vivo não exige cadastro; quem paga pela sala é o anfitrião.

Fontes: BfDI — Critérios de seleção para serviços de mensagens (em alemão), WhatsApp — Política de privacidade (EEE), WhatsApp — Política de privacidade, Blog do WhatsApp — Apresentamos as traduções de mensagens, Aplicativo WhatsApp Business, Signal — Termos e Política de Privacidade, Telegram — Política de Privacidade, Blog do Telegram — Tradução em tempo real, Threema — Mensageiro em conformidade com o GDPR (em alemão), Teamwire — Mensageiro em conformidade com o GDPR (em alemão), Wire — Wire vs. MS Teams (em alemão), Stackfield — Alternativa ao Microsoft Teams (em alemão), Element — Preços, Mattermost — Preços, Mattermost — Configurar a tradução automática (Beta), Rocket.Chat — Nossos planos, Rocket.Chat — Tradução automática de mensagens, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Localização dos dados no Microsoft Teams, Microsoft Learn — O que é o EU Data Boundary?, Microsoft — Traduzir uma mensagem no Microsoft Teams, Microsoft — Interpreter em reuniões e chamadas do Teams, Slack — Data Processing Addendum, Slack — Residência de dados no Slack, Slack — Preços, Slack — Guia dos recursos de IA no Slack. Os fornecedores mudam planos, localizações, recursos e autodescrições com o tempo; consulte as páginas deles para ver o estado atual. Todos os fatos foram verificados em agosto de 2026.