Videoconferência em conformidade com o GDPR (2026): o que realmente é preciso (e uma alternativa ao Zoom que traduz)

"Em conformidade com o GDPR" na página inicial de uma plataforma de vídeo é uma frase quase sem conteúdo. O GDPR não é uma certificação que se obtém: é um conjunto de obrigações que recai sobre você, o controlador de dados, e que o fornecedor ou ajuda você a cumprir ou deixa discretamente na sua mesa. A pergunta útil não é "esta ferramenta está em conformidade com o GDPR?", e sim "pelo que esta ferramenta me deixa responsável e para onde os dados da minha reunião realmente vão?"

🔒 Atualização: fizemos isso conosco mesmos. Desde que este post foi publicado, passamos o código do próprio InterMIND por todo o checklist abaixo e fechamos cada item (exclusão, retenção, execução na UE, subprocessadores), verificado no código, não apenas afirmado em uma página. → Leia o fechamento da auditoria, linha por linha.

Este post é a versão em linguagem direta dessa pergunta: o checklist que um DPO realmente percorre, onde o Zoom se encaixa nele (com justiça, pois ele é mais capaz de atender à conformidade do que a internet sugere) e onde uma alternativa com execução na UE muda a resposta. Se você quiser o panorama mais amplo de "como as reuniões em tempo real devem funcionar", esse é o guia principal; este aqui trata especificamente da camada de proteção de dados.

O checklist em linguagem direta

Tirando o marketing, "videoconferência em conformidade com o GDPR" se resume a sete itens que você pode de fato verificar:

1. Um DPA assinado. Um Adendo de Processamento de Dados (Data Processing Addendum) que nomeia o fornecedor como seu operador, com finalidades e instruções documentadas. Sem DPA, não há tratamento lícito, ponto final.
2. Uma lista real de subprocessadores. Cada terceiro que toca os dados da reunião (transcrição, armazenamento, e-mail, analytics, recursos de IA) nomeado, com o que faz e onde tem sede.
3. Onde os dados são processados durante a execução. A região física em que seu áudio, transcrições, gravações e metadados são tratados. É disso que tratam, na prática, a maioria das cláusulas de residência de dados.
4. O mecanismo de transferência internacional. Se algum dado sai do EEA, com qual base legal? Cláusulas Contratuais Padrão (SCCs), decisão de adequação ou uma configuração de residência que evita a transferência por completo. Essa é a questão do Schrems II, e ela não desaparece porque a página inicial diz "em conformidade".
5. Postura de segurança que você pode auditar. ISO 27001, ISO 27701, SOC 2: atestados independentes, não autodeclarações.
6. Ferramentas para direitos dos titulares de dados. Você consegue de fato atender solicitações de acesso, exclusão e portabilidade dos dados de reunião, ou só na teoria?
7. Retenção e exclusão sob o seu controle. Gravações, transcrições e resumos de IA excluídos no seu calendário, não no padrão do fornecedor.

Uma ferramenta só está "em conformidade com o GDPR" para os seus fins quando os sete itens têm respostas concretas. A maioria das páginas iniciais não responde a nenhum.

Onde o Zoom realmente está (com justiça)

O Zoom é mais capaz de atender ao GDPR do que sua reputação sugere, e vale ser preciso quanto a isso em vez de marcar pontos fáceis:

• Publica um DPA global com as Cláusulas Contratuais Padrão da UE de 2021 incorporadas.
• Oferece EU Data Residency, a "Zoom EU Infrastructure", para clientes Enterprise e Education, cobrindo Meetings, Webinar, Chat, Phone e Contact Center.
• Possui ISO 27001 e, desde fevereiro de 2026, ISO 27701 (a extensão de gestão de privacidade), além de controles de soberania publicados para o setor público da UE.

Portanto, uma implantação do Zoom bem configurada, no plano certo, pode atender à maior parte do checklist. As ressalvas honestas são sobre padrões e sede, não sobre capacidade:

• A residência na UE é um complemento de plano e configuração, não o padrão. Ela está nos planos Enterprise/Education e precisa ser ativada. Os planos gratuito e os pagos de nível inferior não a têm. "Usamos o Zoom" e "usamos o Zoom configurado para residência na UE" são fatos de contratação diferentes.
• O Zoom é uma empresa com sede nos EUA. Mesmo com SCCs e residência na UE, a sede corporativa do fornecedor entra no escopo de avaliações de CLOUD-Act e de nível de soberania. Para o GDPR padrão isso é administrável com SCCs; para a souveraineté numérique francesa ou para contratações de nível SecNumCloud, a sede corporativa é em si um critério, e essa é uma conversa mais difícil.
• A reunião continua acontecendo em um único idioma. As legendas traduzidas e o AI Companion do Zoom ajudam, mas a sala não se torna genuinamente multilíngue, com cada participante ouvindo a reunião ao vivo em seu próprio idioma. Se o seu problema de conformidade também é um problema de idioma (auditorias transfronteiriças, revisões de CAPA em vários sites), essa lacuna continua sem solução, independentemente de onde os dados ficam.

Resumindo: o Zoom pode estar em conformidade com o GDPR quando configurado para isso. Se isso é suficiente depende de quão sensível à soberania é o seu comprador e de as reuniões serem ou não multilíngues.

Onde o InterMIND se encaixa no checklist

O InterMIND é um espaço que um anfitrião oferece à sua equipe e aos seus clientes, cada um no seu idioma: reuniões, chat, arquivos, o resumo. O checklist acima é respondido por padrão, e não por um projeto de configuração; a parte dele que é estrutural, e não apenas prometida, é onde a reunião roda, uma linha para o DPO, verificada na implantação em produção:

• Cada etapa da execução está na UE. App e APIs do servidor na Vercel em Frankfurt (fra1); o servidor WebSocket da reunião na Fly, em Paris (cdg); dados da aplicação no Neon Postgres na AWS Frankfurt (eu-central-1); gravações no Tigris, com fixação na UE possível; erros e analytics no Sentry EU e no PostHog EU; e-mail transacional via Resend, na Irlanda.
• O mecanismo de tradução é código nosso, na França (OVH), e não um modelo genérico dos EUA que revendemos. O maior fluxo de conteúdo da reunião permanece na UE e nunca passa por um LLM de terceiros. A tradução de documentos vai para o DeepL em Colônia, também uma empresa da UE.
• A lista de subprocessadores, com o detalhe da sede corporativa, acompanha o DPA como prática padrão, não sob solicitação.

O conteúdo da reunião vai para um único gateway de IA, na UE, e é a organização que o escolhe. Tudo o que é derivado de uma reunião e precisa de um modelo de linguagem (o resumo de IA pós-reunião com tópicos, decisões e action items, os resumos de documentos, as ações generativas do editor de notas com IA (corrigir, estender, simplificar) e o Ask AI) roda no gateway de IA que a sua organização seleciona: Azure OpenAI na EU Data Zone por padrão, Vertex AI no endpoint multirregional da UE ou Amazon Bedrock em Frankfurt por escolha, cada um em um tenant nosso, com retenção zero de dados e sem treinamento com conteúdo do cliente; ou o seu próprio endpoint compatível com OpenAI. O resumo pós-reunião e a ação de tradução do editor passam pelo fluxo de tradução, não pelo modelo de linguagem. Os fornecedores por trás dos gateways hospedados são empresas dos EUA que operam regiões na UE, o que está declarado com clareza na página de confiança, sem esconder nada; a sede corporativa é o critério que a contratação de nível de soberania acrescenta ao GDPR, e ele se aplica a essa etapa exatamente como se aplica ao Zoom acima. O mapa completo, fornecedor por fornecedor, está em Onde uma reunião do InterMIND realmente roda, e a visão de construir versus comprar está em Do que é feita uma reunião do InterMIND.

Uma coisa que não afirmamos: não vamos ostentar um certificado ISO que ainda não temos. Nossa resposta ao checklist é arquitetural (execução na UE, mecanismo próprio, subprocessadores transparentes, um DPA de verdade), e preferimos que você verifique isso a confiar em um selo. As certificações estão no roadmap; a execução é real hoje. Passamos nosso próprio código por este mesmo checklist e fechamos cada item contra o código: o relatório de fechamento, linha por linha.

E a parte que as configurações de residência do Zoom não conseguem acrescentar: a reunião é multilíngue por concepção, com cada participante ao vivo no seu próprio idioma em 23 idiomas, em voz, chat e notas, com a qualidade de tradução publicada abertamente em vez de apenas afirmada. Como isso funciona está no guia principal; o caso de uso de reuniões regulamentadas está em reuniões multilíngues de compliance.

O checklist em uma tabela

Os sete itens comparados entre as duas ferramentas que este post discute em detalhe. As células informam apenas o que cada fornecedor documenta (links do Zoom em Fontes abaixo; afirmações do InterMIND verificadas linha por linha no fechamento da auditoria e no mapa de execução). Para qualquer outro fornecedor, faça-o responder à coluna da esquerda por escrito.

FAQ

O Zoom está em conformidade com o GDPR? Pode estar, no plano e na configuração certos: o Zoom publica um DPA global com as SCCs da UE de 2021, oferece EU Data Residency para clientes Enterprise e Education e possui ISO 27001 e (desde fevereiro de 2026) ISO 27701. As ressalvas honestas: a residência na UE é um complemento de plano e configuração, e não o padrão, e o Zoom continua sendo uma empresa com sede nos EUA, o que é administrável sob o GDPR padrão com SCCs, mas é um critério real em contratações de nível de soberania.

O que torna uma ferramenta de videoconferência compatível com o GDPR? Sete itens verificáveis, não um selo de página inicial: um DPA assinado, uma lista real de subprocessadores, uma região de execução documentada, um mecanismo lícito de transferência internacional, segurança auditada de forma independente, ferramentas funcionais para os direitos dos titulares de dados e retenção sob o seu controle. Um fornecedor está em conformidade para os seus fins quando os sete itens têm respostas concretas por escrito.

O GDPR exige que as reuniões por vídeo permaneçam na UE? Não. O GDPR exige um mecanismo lícito de transferência (SCCs, adequação) quando os dados saem do EEA, não a residência em si. A residência importa porque elimina por completo a questão da transferência: a análise pós-Schrems II fica curta quando os dados nunca saem. Essa é a diferença entre "em conformidade na papelada" e "nada a remendar".

Quais ferramentas de videoconferência rodam inteiramente na UE? Peça a qualquer fornecedor o mapa de execução: a região de cada etapa (app, APIs, mídia da reunião, banco de dados, gravações, analytics, e-mail, recursos de IA). O InterMIND publica exatamente isso (cada etapa, fornecedor por fornecedor): Vercel Frankfurt, Fly Paris, Neon Frankfurt, mecanismo de tradução na OVH França, recursos de IA no gateway que a organização seleciona, em uma região da UE (Azure OpenAI EU Data Zone por padrão). Seja qual for a ferramenta que você avalie, o mapa, e não a página de marketing, é a resposta.

Para qual anfitrião isto serve

O dono ou gestor de uma organização de 10 a 200 pessoas cuja equipe ou clientes falam outro idioma, que já usa Teams ou Workspace e monta a sala sem um departamento de TI. Para esse anfitrião, o checklist é respondido por padrão e a conversa com o DPO é curta; o restante da decisão é se a própria reunião acontece no idioma de cada membro. Contratações públicas de nível de soberania, em que a sede do fornecedor faz parte da especificação, são outra conversa, e dizemos isso em vez de exagerar.

Experimente e depois leia o mapa de dados

• Experimente a demo ao vivo: ouça o pipeline multilíngue ao vivo em uma reunião real e sinta como é, na prática, "execução na UE e multilíngue". Sem necessidade de cadastro.
• InterMIND vs. Zoom: recurso por recurso, com honestidade.
• Onde uma reunião do InterMIND realmente roda: o mapa completo de fornecedores, lacuna incluída.

"Videoconferência em conformidade com o GDPR" é um checklist, não um selo. Seja qual for a ferramenta que você escolher, a nossa ou outra, faça o fornecedor responder às sete perguntas por escrito. Os que conseguem merecem o seu tempo; os que não conseguem estão vendendo uma página inicial.

— Equipe Mind.com

Fontes sobre o Zoom: Zoom — GDPR, Zoom — EU Data Residency / privacidade na Europa, Zoom — ISO 27701, consultadas em agosto de 2026. Ofertas e planos dos fornecedores mudam; verifique a configuração atual nas páginas de confiança do Zoom. Os fatos de execução do InterMIND são verificados na implantação em produção, conforme descrito no post do mapa de dados vinculado.