Messenger conform GDPR pentru companii (2026): ce documentează de fapt furnizorii

„Care messenger este conform GDPR?” este o întrebare la care niciun furnizor nu poate răspunde onest cu „noi suntem”. GDPR pune obligațiile în sarcina ta, a operatorului: ai nevoie de un acord de prelucrare a datelor (art. 28), trebuie să știi unde se află datele și dacă ajung într-o țară terță, trebuie să le poți șterge și să poți răspunde cererilor de acces. Un messenger poate face aceste obligații realizabile — sau nu. O insignă pe pagina de start nu spune mai mult de atât.

De aceea ghidul de față face altceva decât listele obișnuite. Ia șase verificări pe care le cere oricum un responsabil cu protecția datelor și le aplică la douăsprezece servicii: messengerele de consum pe care companiile chiar le folosesc (WhatsApp, Signal, Telegram), messengerele de business din Elveția și Germania (Threema Work, Teamwire, Wire, Stackfield), platformele auto-găzduite (Element, Mattermost, Rocket.Chat) și cele două pachete (Microsoft Teams, Slack). Apoi InterMIND, pe care îl construim noi — după aceleași criterii și cu aceeași regulă de sursă. Fiecare afirmație provine din documentația publică a furnizorului, verificată în august 2026 și legată la final.

Li se alătură o a șaptea verificare, care nu apare niciodată în listele GDPR și contează zilnic într-o echipă internațională: în ce limbă citește fiecare membru canalul? Un messenger care stochează mesajele doar în original mută traducerea în sarcina individului — și a unor servicii care prelucrează apoi datele a doua oară.

Cele șase verificări

Comisarul Federal pentru Protecția Datelor din Germania (BfDI) publică criterii de selecție pentru serviciile de mesagerie, cel mai util etalon public. Criptarea end-to-end este definită ca mesaje „criptate pe dispozitivul expeditorului și decriptate din nou doar pe dispozitivul destinatarului”; sunt enumerate setări de confidențialitate precum accesul la agenda de contacte, vizibilitatea profilului, confirmările de citire, analiza utilizării și raportarea erorilor, iar pentru ștergerea contului se cere ca datele să fie „șterse imediat”. Pentru uzul în companie se adaugă obligațiile din art. 28. Împreună:

1. Acord de prelucrare a datelor (DPA). Îl oferă furnizorul — și se găsește în documentația lui?
2. Entitate și locația serverelor. Cine este partea ta contractuală, unde se află datele, există un transfer către o țară terță?
3. Criptare. End-to-end sau în tranzit și pe server? Ambele sunt legitime — trebuie doar numite.
4. Metadate și agenda de contacte. Se încarcă agenda? Ce date de utilizare și de dispozitiv se colectează și cu cine se partajează?
5. Ștergere și păstrare. Unde se află istoricul, cine îl șterge, ce se întâmplă când un angajat pleacă?
6. Sub-împuterniciți. Sunt publicați — inclusiv serviciile folosite pentru funcțiile AI și pentru traducere?

Plus a șaptea: limba fiecărui membru.

Messengerele de consum la locul de muncă

WhatsApp (și aplicația WhatsApp Business)

• Parte contractuală: pentru SEE, „WhatsApp Ireland Limited”.
• Criptare și stocare: mesajele sunt criptate end-to-end; „nu păstrăm mesajele dvs. în cursul obișnuit al furnizării Serviciilor către dvs. După ce mesajele sunt livrate, ele sunt șterse de pe serverele noastre.” Istoricul se află, așadar, pe dispozitivele angajaților și în copiile lor de rezervă.
• Metadate: se colectează „informații despre utilizarea Serviciilor noastre”, date despre dispozitiv („modelul hardware, informații despre sistemul de operare, nivelul bateriei, puterea semnalului”) și, opțional, agenda de contacte („încărcarea contactelor … din agenda dispozitivului dvs. în mod regulat”). Datele sunt partajate cu „companiile Meta din Statele Unite și Irlanda” și transferate „la nivel global”.
• DPA: politica de confidențialitate a aplicației nu menționează niciun acord de prelucrare a datelor pentru companii (verificat în august 2026). Aplicația Business „este construită având în minte proprietarul de afacere mic”.
• Limbă: din septembrie 2025, un mesaj poate fi tradus prin apăsare lungă — pe dispozitiv („traducerile au loc pe dispozitivul dvs., unde WhatsApp nu le poate vedea”); Android poate traduce automat chaturi întregi (șase limbi la lansare), iar iPhone folosește traducerea Apple în peste 19 limbi. Mesajele vocale și apelurile nu fac parte din anunț.

Signal

• Parte contractuală: Signal Messenger LLC, Mountain View, California — organizație nonprofit.
• Criptare: „Signal nu poate decripta și nici accesa în alt mod conținutul mesajelor sau al apelurilor dvs.”
• Metadate: înregistrare prin număr de telefon; datele tehnice sunt limitate „la minimul necesar pentru operarea Serviciilor”.
• DPA: niciunul documentat în documentele legale Signal (verificat în august 2026).
• Limbă: nicio funcție de traducere documentată.

Telegram

• Parte contractuală și locație: „Telegram Messenger Inc.”, cu „Telegram FZ-LLC, un membru al grupului situat în Dubai”; pentru utilizatorii din UE/SEE, „datele dvs. sunt stocate în centre de date din Țările de Jos”. Reprezentantul GDPR este European Data Protection Office (EDPO) din Bruxelles.
• Criptare: chaturile din cloud sunt criptate pe server — „toate datele sunt stocate puternic criptate, iar cheile de criptare sunt stocate, în fiecare caz, în mai multe alte centre de date din jurisdicții diferite” — și doar chaturile secrete sunt end-to-end: „Chaturile secrete folosesc criptare end-to-end.”
• DPA: nedocumentat în politica de confidențialitate (verificat în august 2026).
• Limbă: „Toți utilizatorii pot traduce mesaje individuale”; utilizatorii Premium „pot traduce chaturi, grupuri și canale întregi în timp real, atingând bara Translate din partea de sus”.

Toate trei sunt instrumente în care echipele chiar lucrează. Ce au în comun: istoricul aparține dispozitivului sau cloudului furnizorului, nu companiei — iar DPA-ul cerut de art. 28 nu apare în niciuna dintre cele trei documentații.

Messengere de business din Elveția și Germania

Threema Work

• Locație: Elveția. Furnizorul precizează că un transfer de date din UE în Elveția este permis legal fără verificări suplimentare.
• Metadate: Threema Work „nu necesită date personale (precum număr de telefon sau adresă de e-mail)” și „poate fi folosit fără acces la agenda de contacte”.
• DPA: potrivit furnizorului, Threema Work „îndeplinește cerințele pentru prelucrarea conformă cu protecția datelor în numele unui operator, conform GDPR și DSG elvețian”.
• Perioadă de probă: „30 de zile, 30 de utilizatori. Fără reînnoire automată.” Prețurile per utilizator nu sunt pe pagină.
• Limbă: nicio funcție de traducere documentată.

Teamwire

• Locație: „cloud public german (IONOS, certificat C5)”, „cloud privat dedicat” sau „găzduire completă on-premise”; „găzduire în Germania în loc de SUA”, „nicio stocare în afara UE”.
• Certificări: „ISO 27001, BSI C5, certificat TÜV”; sunt menționate GDPR, BDSG, BSI IT-Grundschutz, NIS-2, DORA și CER din UE.
• Metadate: „fără acces la agenda de contacte” și „fără analiza comunicării”.
• GDPR: furnizorul se descrie ca „100 % conform GDPR” — o autodescriere pe care DPA-ul trebuie să o susțină de la caz la caz. Fără prețuri pe pagină.
• Limbă: nicio funcție de traducere documentată.

Wire

• Locație: „cloud, on-premises sau hibrid”.
• Criptare: protocol MLS; „mesajele, fișierele și apelurile sunt complet E2EE în mod implicit”; apeluri video „cu până la 200 de participanți”, fiecare sesiune criptată end-to-end.
• Certificări: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: „pe deplin conform cu reglementările stricte privind protecția datelor, inclusiv GDPR” (autodescriere). Fără prețuri per utilizator pe pagină.
• Limbă: nicio funcție de traducere documentată.

Stackfield

• Locație: „toată prelucrarea datelor este limitată la UE, iar datele în sine se află exclusiv în centre de date germane”; compania este supusă „exclusiv jurisdicției Germaniei și a UE”.
• Criptare: „criptare end-to-end autentică” pentru mesaje, fișiere și sarcini.
• Certificări: ISO 27001, BSI C5.
• Întâlniri: conferințe audio și video incluse.
• Limbă: nicio funcție de traducere documentată.

Cele patru răspund la întrebările despre locație și criptare cât de clar poate un furnizor. Ce nu documentează niciunul: o traducere care să permită unui coleg polonez, unuia portughez și unuia german să citească același canal fiecare în limba lui.

Platforme auto-găzduite

Element (Matrix)

• Criptare: „întreaga platformă este criptată end-to-end în mod implicit” — inclusiv Element Call pentru voce și video.
• Operare: Community gratuit, auto-găzduit; Enterprise per loc pe lună, auto-găzduit; Sovereign per implementare, air-gapped.
• Limbă: nicio funcție de traducere documentată — cu criptare end-to-end nu există un loc pe server pentru ea.

Mattermost

• Operare: Professional și Enterprise ca licențe anuale auto-găzduite, prețuri la cerere; Mattermost Cloud Enterprise ca ofertă single-tenant.
• Limbă: traducere automată pe canal (beta, din v11.5) în Enterprise Advanced: backend-ul este „LibreTranslate: un motor de traducere automată open-source, auto-găzduit” sau „Agents: folosește pluginul Mattermost Agents cu un backend LLM configurat”; limba țintă a utilizatorului „este determinată de limba de afișare Mattermost a acestuia”. Traducerea rulează pe serverul tău.

Rocket.Chat

• Operare: planul Starter este gratuit, „auto-gestionat, auto-găzduit”, „pentru evaluare tehnică sau echipe mici de până la 50 de utilizatori”; planurile plătite sunt Commercial, Government și Defense — on-premises, cloud privat sau air-gapped, prețuri la cerere.
• Limbă: Auto-Translate per cameră — „fiecare utilizator primește traduceri în funcție de propria limbă selectată” — prin DeepL, Google Translate, Microsoft Translator sau LibreTranslate, cu o cheie API furnizată de administrator. Textul mesajelor ajunge, așadar, la furnizorul ales de tine — cu excepția cazului în care este LibreTranslate pe propriul tău host.

Nextcloud Talk face parte din același grup: „un serviciu de comunicare audio/video și chat complet auto-găzduit, on-premises”, cu transcriere și traducere live pe hardware propriu (detalii în comparația instrumentelor de comunicare pentru echipe).

Pachetele: Microsoft Teams și Slack

Microsoft Teams

• DPA: „Când vă abonați la un Produs în termenii site-ului Product Terms, termenii de prelucrare și securitate a datelor sunt definiți în Microsoft Online Services Data Protection Addendum (DPA).”
• Locație: datele Teams se află „în regiunea geografică asociată organizației dvs. Microsoft 365 sau Office 365”; rezidența pe țară (Germania, Franța, Italia, Norvegia, Polonia, Suedia, Elveția și altele) este „doar pentru tenanți noi”, iar tenanții existenți din UE rămân în regiunea EMEA. EU Data Boundary obligă Microsoft să stocheze și să prelucreze Datele Clientului pentru Microsoft 365 în UE/AELS — „sub rezerva unor circumstanțe limitate”, cu excepții documentate; clienții cu Multi-Geo sunt în afara domeniului de aplicare.
• Limbă: mesajele din chat și din canale se traduc la cerere sau automat („Teams poate traduce automat mesajele primite”), peste 100 de limbi, fără o licență menționată; în întâlniri, subtitrările traduse necesită licența Teams Premium sau Copilot a organizatorului, iar agentul Interpreter (10 limbi) necesită o licență Copilot per ascultător, 20 de ore pe lună. Detalii: traducerea live în Teams.

Slack

• DPA: „Slack oferă un Data Processing Addendum care completează Termenii de serviciu ai Clientului” — încheiat printr-un formular, nu încorporat automat.
• Locație: rezidența datelor începând cu Business+: Frankfurt, Paris, Stockholm, Zurich, Londra. Acoperite: mesajele, canvas-urile, fișierele și indexul de căutare; neacoperite: profilurile membrilor și analiza utilizării. Planul Free păstrează 90 de zile de istoric al mesajelor.
• Limbă: „Translate message” în Business+ și Enterprise+, la cerere pentru fiecare mesaj; „traducerile sunt vizibile doar pentru dvs., așa că ceilalți vor vedea întotdeauna mesajul original.”

InterMIND

Construim un spațiu de comunicare în care fiecare membru citește întâlnirile, chatul, documentele și istoricul în propria limbă — și îl supunem acelorași șapte verificări:

1. DPA: semnat pentru fiecare client — termeni de împuternicit conform art. 28, cu notificare cu 30 de zile a noilor sub-împuterniciți și un termen de 72 de ore pentru încălcări; o copie semnată este disponibilă pentru achiziții (/legal/dpa).
2. Entitate și locație: operat de un OÜ estonian; execuția are loc în UE la fiecare pas — traducere vocală și de chat pe propriul nostru motor, pe servere dedicate din Franța, orchestrarea întâlnirilor la Paris, baza de date la Frankfurt, stocare și analiză rezidente în UE. Harta, furnizor cu furnizor: unde rulează de fapt o întâlnire InterMIND.
3. Criptare: criptare în tranzit — audio și video prin DTLS/SRTP, chat și fișiere prin HTTPS/WSS și criptate la repaus pe serverele noastre. Fără criptare end-to-end: traducerea este prelucrare și are loc pe motorul nostru, nu la o terță parte. Dacă E2EE are prioritate față de orice altceva pentru tine, Element, Wire sau Threema se potrivesc mai bine — o spunem deschis.
4. Metadate și agenda de contacte: fără încărcarea agendei; participanții intră prin link, fără cont și fără număr de telefon.
5. Ștergere și păstrare: criteriul de păstrare este scris în politica de confidențialitate — datele rămân până când le ștergi tu sau proprietarul echipei tale; ștergerea unui cont șterge datele acestuia. Ne-am auditat propriul cod în raport cu obligațiile GDPR și am documentat ce am închis: auditul GDPR.
6. Sub-împuterniciți: publicați, cu funcție și sediu pentru fiecare furnizor. Etapele cu modele de limbaj (recapitulare, rezumate de documente, asistent de scriere, Ask AI) rulează pe gateway-ul AI ales de organizație — Azure OpenAI în EU Data Zone implicit, Vertex AI UE sau Amazon Bedrock Frankfurt la alegere — în tenantul propriu al InterMIND, cu zero retenție a datelor și fără antrenare pe conținutul clienților; furnizorii sunt companii americane care operează regiuni în UE, lucru precizat pe pagina de încredere. Traducerea documentelor rulează prin DeepL, ca sub-împuternicit UE numit.
7. Limba fiecărui membru: chat și notițe în 23 de limbi, documente în 30, vorbire live pentru fiecare participant în propria limbă — ca comportament implicit al camerei, fără suplimente sau licențe per ascultător. Calitatea este publicată lunar pentru fiecare pereche de limbi: /benchmark.

Ce nu pretindem: un certificat ISO pe care nu îl deținem încă. Răspunsul nostru la lista de verificare este arhitectural și verificabil în cod; certificările sunt în plan.

Privire de ansamblu

Ce messenger pentru ce caz

• Criptarea end-to-end este primul tău criteriu, iar traducerea nu contează: Threema Work (Elveția, fără număr de telefon), Wire (MLS, apeluri incluse), Stackfield (centre de date germane) sau Element (auto-găzduit, gratuit în ediția Community).
• Totul trebuie să ruleze pe serverele tale proprii, iar tu ai personalul necesar: Rocket.Chat (gratuit până la 50 de utilizatori, traducere prin cheia furnizorului tău), Mattermost Enterprise Advanced (traducere beta pe canal cu LibreTranslate sau LLM propriu), Nextcloud Talk.
• Oricum ești client Microsoft sau Slack: ambele documentează un DPA și rezidență în UE — Teams prin regiunea tenantului și EU Data Boundary, Slack începând cu Business+. Traducerea se face per cititor, la cerere; limba întâlnirii în Teams depinde de licențele Copilot.
• Echipa lucrează în WhatsApp, Signal sau Telegram: servicii documentate pentru comunicare privată, parțial criptate end-to-end — dar fără DPA documentat, cu istoricul pe dispozitive sau în cloudul furnizorului și, la WhatsApp, cu date de utilizare și de dispozitiv care ajung la companiile Meta din SUA. Un DPO va pune întrebări la care documentația nu răspunde.
• Canalul în sine este multilingv — colegi și clienți care își răspund unii altora în trei limbi, invitați fără licențele tale și o echipă de conformitate care vrea să poată numi locația: pentru asta construim InterMIND — fiecare membru citește spațiul în limba lui, invitații intră prin link fără licențele tale; UE la fiecare pas, DPA pentru fiecare client și sub-împuterniciți publicați sunt linia unică pentru DPO.

Vezi, în loc să citești

• Încearcă demonstrația live — fără înregistrare; vorbește și ascultă camera tradusă pentru fiecare ascultător în oricare dintre cele 23 de limbi.
• Vezi benchmarkul — calitatea traducerii lunar, pe perechi de limbi, pe trafic real, cu metodologia publică.
• Citește lista sub-împuterniciților — funcție și sediu pentru fiecare furnizor, fără a cere nimic.

Întrebări frecvente

Care messengere sunt conforme GDPR?

Niciunul prin sine — obligațiile revin companiei. Ce se poate verifica este dacă furnizorul le face realizabile: un DPA este documentat de Microsoft Teams (prin Product Terms), Slack (printr-un formular), Threema Work (furnizor: prelucrare conformă GDPR/DSG) și InterMIND (pentru fiecare client, art. 28); Teamwire și Wire se descriu ca fiind conforme GDPR. Pentru WhatsApp, Signal și Telegram, documentația nu menționează niciun DPA (verificat în august 2026). Serviciile auto-găzduite — Element, Mattermost, Rocket.Chat, Nextcloud — mută întrebarea în propria ta operare.

Este Signal conform GDPR?

Signal documentează criptarea end-to-end („Signal nu poate decripta și nici accesa în alt mod conținutul mesajelor sau al apelurilor dvs.”) și date tehnice limitate la minimum; partea contractuală este Signal Messenger LLC din California, iar înregistrarea se face prin număr de telefon. Documentele legale nu menționează niciun acord de prelucrare a datelor pentru companii. Uzul privat este o altă situație decât uzul în companie, care trebuie să satisfacă art. 28.

Este WhatsApp conform GDPR pentru uz de business?

WhatsApp Ireland documentează criptarea end-to-end și faptul că mesajele livrate sunt șterse de pe serverele sale — și, totodată, date de utilizare și de dispozitiv, încărcarea opțională a agendei și partajarea cu „companiile Meta din Statele Unite și Irlanda”. Politica de confidențialitate nu menționează niciun DPA pentru aplicație; aplicația Business este, potrivit furnizorului, construită pentru proprietari de afaceri mici. Cine folosește WhatsApp într-o companie trebuie să justifice singur aceste puncte în fața DPO-ului.

Este Telegram conform GDPR?

Telegram declară că datele din UE sunt stocate în Țările de Jos și numește un reprezentant în UE (EDPO, Bruxelles); chaturile din cloud sunt criptate pe server, cu chei „în mai multe alte centre de date din jurisdicții diferite”, doar chaturile secrete fiind end-to-end. Nu este documentat niciun DPA. Aceasta este o situație documentată a datelor, nu conformitate GDPR în sensul art. 28.

Este Microsoft Teams conform GDPR?

Microsoft documentează DPA-ul ca parte a Product Terms, stocarea datelor Teams în regiunea tenantului — rezidență pe țară doar pentru tenanți noi — și EU Data Boundary pentru clienții Microsoft 365 din UE/AELS, cu excepții documentate. Pentru companiile care folosesc deja Teams, aceasta este o bază solidă; funcțiile de traducere din întâlniri depind de licențele Copilot ale organizatorului și ale fiecărui ascultător.

Ce trebuie să ofere un messenger conform GDPR pentru companii?

Șase răspunsuri documentate în loc de o insignă: un DPA conform art. 28, o entitate și o locație a serverelor numite, fără transfer inexplicabil către o țară terță, un model de criptare numit, control asupra agendei de contacte și a metadatelor, un concept de ștergere care acoperă plecarea unui angajat și o listă publicată de sub-împuterniciți — inclusiv serviciile AI și de traducere. Pentru echipele internaționale se adaugă un al șaptelea punct: un messenger care stochează canalul doar în original mută traducerea în sarcina fiecărui individ.

Există un messenger gratuit, conform GDPR, pentru companii?

Gratuite și auto-găzduite: Rocket.Chat Starter (până la 50 de utilizatori) și Element Community — obligațiile GDPR revin atunci în întregime propriei tale operări. Threema Work oferă 30 de zile pentru 30 de utilizatori fără date de plată. Cu InterMIND, participarea este gratuită pentru fiecare participant — intri prin link, fără cont — iar demonstrația live nu necesită înregistrare; gazda plătește pentru cameră.

Surse: BfDI — Criterii de selecție pentru serviciile de mesagerie (în germană), WhatsApp — Politica de confidențialitate (SEE), WhatsApp — Politica de confidențialitate, Blogul WhatsApp — Introducing message translations, Aplicația WhatsApp Business, Signal — Termeni și politica de confidențialitate, Telegram — Politica de confidențialitate, Blogul Telegram — Traducere în timp real, Threema — Messenger conform GDPR (în germană), Teamwire — Messenger conform GDPR (în germană), Wire — Wire vs. MS Teams (în germană), Stackfield — Alternativă la Microsoft Teams (în germană), Element — Prețuri, Mattermost — Prețuri, Mattermost — Configurarea traducerii automate (beta), Rocket.Chat — Planurile noastre, Rocket.Chat — Traducerea automată a mesajelor, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Locația datelor în Microsoft Teams, Microsoft Learn — Ce este EU Data Boundary?, Microsoft — Traducerea unui mesaj în Microsoft Teams, Microsoft — Interpreter în întâlnirile și apelurile Teams, Slack — Data Processing Addendum, Slack — Rezidența datelor pentru Slack, Slack — Prețuri, Slack — Ghid al funcțiilor AI din Slack. Furnizorii își schimbă în timp planurile, locațiile, funcțiile și autodescrierile; consultați paginile lor pentru starea actuală. Toate faptele au fost verificate în august 2026.