Concluímos nossa auditoria de GDPR. Veja o que de fato resolvemos.

Algumas semanas atrás, escrevemos que "em conformidade com o GDPR" na página inicial de uma ferramenta de vídeo significa menos do que você imagina — que o GDPR é um conjunto de obrigações que recaem sobre você, o controlador dos dados, e que um fornecedor ou ajuda você a cumprir, ou deixa discretamente sobre a sua mesa. A maneira honesta de sustentar essa afirmação é fazer o trabalho do nosso lado e mostrá-lo, linha por linha.

E foi o que fizemos. Realizamos uma auditoria completa do código do InterMIND em relação às obrigações que recaem sobre nós como operador de dados, corrigimos todas as lacunas que tinham código por trás e verificamos cada uma delas no produto em execução. Este post é o relatório de encerramento — não um selo, mas uma checklist com as nossas respostas.

Deliberadamente, não afirmamos ser "100% certificados no GDPR". O GDPR não é um certificado que se obtém por aprovação — e não vamos exibir um selo ISO que ainda não temos. O que podemos dizer: as obrigações de arquitetura e de processo que um DPO analisa agora têm respostas concretas e verificáveis, cada uma conferida no código em execução.

O que resolvemos

Direito ao apagamento (Art. 17) — a propagação realmente acontece

Excluir sua conta não significa apenas desativá-la. O POST /api/user/delete-account executa uma cascata real: apaga suas reuniões → participantes, mensagens, conferências, transcrições; remove seus blobs de armazenamento do Tigris antes da cascata no banco de dados, para que nada fique órfão — anexos de chat e arquivos de gravação de vídeo, nas duas colunas; e cancela suas assinaturas no Stripe e exclui o cliente no Stripe. A exclusão sob demanda também existe — remova um canal ou uma mensagem pela interface e ela some. Contas anônimas (de convidados) têm o próprio endpoint de exclusão, além de uma varredura em segundo plano a cada 6 horas, sob um cron monitorado. A auditoria encontrou uma lacuna aqui — blobs de gravação que a cascata do banco de dados removia, mas que o armazenamento mantinha — e nós a corrigimos: agora o apagamento não deixa nada para trás no armazenamento de objetos.

Retenção (Art. 5(1)(e)) — um critério documentado

O Art. 5(1)(e) não exige um time-to-live automático. Ele exige um critério de retenção definido. O nosso agora está escrito na Política de Privacidade: os dados são mantidos até que você ou o proprietário da sua equipe os exclua, e excluir sua conta apaga tudo. Esse é o mesmo modelo em que ferramentas de colaboração como Slack e Notion funcionam — a persistência é o comportamento esperado, e você mantém o controle sobre ela. O critério é declarado, não subentendido.

Consentimento para analytics (Art. 6/7) — opt-out por padrão

Um banner de consentimento da Usercentrics (exibido a visitantes da UE) controla o analytics, e o PostHog é entregue com opt_out_capturing_by_default: true — nada é capturado até que o consentimento seja dado, e não o contrário.

Portabilidade de dados (Art. 20) — uma exportação de verdade

O GET /api/user/export gera um ZIP com suas reuniões, mensagens, gravações e traduções, com janela de download de 7 dias e limpeza automática. Acesso, exclusão e portabilidade são ferramentas que funcionam, não promessas em uma política.

O conteúdo das reuniões passa por um único gateway de IA, na UE — escolhido pela organização

O maior fluxo de conteúdo das reuniões — a tradução de voz e de chat ao vivo — roda no nosso próprio engine na França, nunca em um LLM de terceiros. As etapas de IA que usam um modelo de uso geral (o digest, os resumos de documentos, as ações generativas do editor de notas, o Ask AI) rodam no gateway de IA que a organização seleciona — Azure OpenAI na EU Data Zone por padrão, Vertex AI UE ou Amazon Bedrock Frankfurt por escolha, cada um em nosso próprio tenant, com retenção zero de dados e sem treinamento com o conteúdo do cliente, ou o endpoint da própria organização; um único resolvedor no código escolhe o gateway para cada ponto de chamada, então não existe um segundo caminho. Também removemos nomes de participantes e o texto das falas dos logs do navegador da conferência que a gravação de sessão do PostHog poderia capturar. O mapa completo, fornecedor por fornecedor, está em Onde uma reunião do InterMIND realmente roda.

Transparência — subprocessadores e registros de tratamento, publicados

A lista de subprocessadores está no ar, com o que cada fornecedor faz e onde fica sediado — não "disponível mediante solicitação". Por trás dela há um Registro de Atividades de Tratamento (ROPA) construído a partir do schema em produção: 11 operações de tratamento, as medidas de segurança de cada uma e os caminhos de apagamento e portabilidade. Nossa Política de Privacidade e nossos Termos agora valem sob a nossa própria entidade jurídica, com a cadeia real de tratamento descrita.

Runtime na UE — fixado, não prometido

Cada etapa de runtime que uma reunião percorre fica na UE: app e APIs na Vercel Frankfurt, o servidor de reuniões na Fly Paris, dados da aplicação no Neon Postgres (AWS Frankfurt), erros no Sentry UE, analytics no PostHog UE, e-mail via Resend Irlanda. O armazenamento de objetos no Tigris agora está fixado em regiões da UE (Frankfurt + Amsterdã) — toda nova gravação cai na UE, independentemente de onde o usuário esteja. A arquitetura completa está na nossa página de segurança.

Por que isso importa para as suas compras

Para a maioria dos compradores da UE — o Mittelstand alemão, equipes regulamentadas com DPAs padrão de GDPR — a questão da residência de dados agora tem uma resposta direta: os dados não saem da UE em runtime, o apagamento funciona, o critério de retenção está declarado e a lista de subprocessadores está sobre a mesa. Essa é uma conversa bem mais curta do que "retornamos para você sobre para onde vão os dados".

Para a souveraineté numérique francesa e as compras no nível SecNumCloud, o domicílio corporativo do fornecedor é, em si, um critério — uma conversa mais profunda sobre topologia de deploy, que teremos com honestidade em vez de exagerar. E a única coisa que não faremos é exibir um certificado ISO que ainda não temos: as certificações estão no roadmap, mas nossa resposta à checklist é arquitetural e verificável hoje.

Veja você mesmo

• Videoconferência em conformidade com o GDPR: a checklist completa para o DPO — as sete coisas que todo fornecedor deve responder, e onde o Zoom se posiciona.
• Onde uma reunião do InterMIND realmente roda — o mapa de fornecedores, com as lacunas nomeadas.
• Sua reunião é confidencial? — as três perguntas a fazer antes de a checklist do DPO entrar em cena.
• Segurança e Privacidade · Subprocessadores · Política de Privacidade · Termos
• Experimente a demo ao vivo — ouça o pipeline multilíngue, ao vivo e em runtime na UE, em uma reunião real — sem precisar se cadastrar.

A conformidade com o GDPR não é um selo que se compra — é trabalho que se faz e que se pode mostrar. Este é o nosso, linha por linha. Se o seu DPO precisar de uma resposta que este post não dá, escreva para nós.

— A equipe Mind.com

Fontes: Regulamento (UE) 2016/679 (GDPR) — os artigos auditados; afirmações internas verificadas no código do InterMIND e no produto em execução; conferido em agosto de 2026.