GDPR-совместимый мессенджер для компаний (2026): что на самом деле документируют вендоры

«Какой мессенджер соответствует GDPR?» — вопрос, на который ни один вендор не может честно ответить «мы соответствуем». GDPR возлагает обязательства на вас, контролёра данных: вам нужно соглашение об обработке данных (ст. 28 GDPR), вам нужно знать, где находятся данные и пересекают ли они границу с третьей страной, вам нужно уметь удалять данные и отвечать на запросы о доступе. Мессенджер может сделать эти обязательства выполнимыми — или не сделать. Значок на главной странице говорит не больше этого.

Поэтому этот материал делает то, чего обычные списки не делают. Он берёт шесть проверок, которые в любом случае задаёт специалист по защите данных, и применяет их к двенадцати сервисам: потребительским мессенджерам, на которых компании реально работают (WhatsApp, Signal, Telegram), бизнес-мессенджерам из Швейцарии и Германии (Threema Work, Teamwire, Wire, Stackfield), self-hosted платформам (Element, Mattermost, Rocket.Chat) и двум комплексным решениям (Microsoft Teams, Slack). А затем InterMIND, который мы разрабатываем сами, — по тем же критериям и с тем же правилом источников. Каждое утверждение основано на публичной документации вендора, проверено в августе 2026 года, ссылки даны в конце.

К ним добавляется седьмая проверка — та, что никогда не встречается в списках GDPR, но имеет значение каждый день в международной команде: на каком языке каждый участник читает канал? Мессенджер, который хранит сообщения только в оригинале, перекладывает перевод на самого человека — и на сервисы, которые затем снова обрабатывают данные.

Шесть проверок

Федеральный уполномоченный по защите данных Германии (BfDI) публикует критерии выбора мессенджеров — самый удобный публичный ориентир. Он определяет сквозное шифрование как шифрование сообщений «на устройстве отправителя и расшифровку только на устройстве получателя», перечисляет настройки приватности — доступ к адресной книге, видимость профиля, уведомления о прочтении, аналитику использования и отправку отчётов об ошибках — и требует удаления учётной записи, при котором данные «удаляются немедленно». Для корпоративного использования к этому добавляются обязательства по ст. 28 GDPR. Вместе это:

1. Соглашение об обработке данных (DPA). Предлагает ли его вендор — и упомянуто ли оно в документации?
2. Юридическое лицо и расположение серверов. Какая компания является вашей стороной по договору, где находятся данные, есть ли передача в третью страну?
3. Шифрование. Сквозное или транспортное и на стороне сервера? Оба варианта легитимны — их просто нужно назвать.
4. Метаданные и адресная книга. Загружается ли адресная книга? Какие данные об использовании и устройстве собираются и с кем ими делятся?
5. Удаление и хранение. Где хранится история, кто её удаляет, что происходит при увольнении сотрудника?
6. Субпроцессоры. Опубликован ли их список — включая сервисы, используемые для функций ИИ и перевода?

Плюс седьмая: язык для каждого участника.

Потребительские мессенджеры в рабочем контексте

WhatsApp (и приложение WhatsApp Business)

• Сторона по договору: для ЕЭЗ — «WhatsApp Ireland Limited».
• Шифрование и хранение: сообщения шифруются сквозным образом; «мы не храним ваши сообщения в обычном порядке оказания услуг. После доставки сообщения удаляются с наших серверов». История, таким образом, хранится на устройствах сотрудников и в их резервных копиях.
• Метаданные: собираются «данные об использовании наших сервисов», данные устройства («модель оборудования, информация об операционной системе, уровень заряда батареи, уровень сигнала»), а также, по желанию, адресная книга («регулярная загрузка контактов … из адресной книги устройства»). Данные передаются «компаниям Meta в США и Ирландии» и переносятся «по всему миру».
• DPA: политика конфиденциальности приложения не упоминает соглашение об обработке данных для компаний (проверено в августе 2026 года). Приложение Business «создано с учётом потребностей владельца малого бизнеса».
• Язык: с сентября 2025 года сообщение можно перевести долгим нажатием — на устройстве («перевод происходит на вашем устройстве, WhatsApp его не видит»); на Android можно автоматически переводить целые чаты (шесть языков на старте), на iPhone используется перевод Apple на 19+ языков. Голосовые сообщения и звонки в анонс не входят.

Signal

• Сторона по договору: Signal Messenger LLC, Маунтин-Вью, Калифорния — некоммерческая организация.
• Шифрование: «Signal не может расшифровать или иным образом получить доступ к содержимому ваших сообщений или звонков».
• Метаданные: регистрация по номеру телефона; технические данные ограничены «минимумом, необходимым для работы сервисов».
• DPA: не задокументировано в юридических документах Signal (проверено в августе 2026 года).
• Язык: функция перевода не задокументирована.

Telegram

• Сторона по договору и расположение: «Telegram Messenger Inc.», а также «Telegram FZ-LLC — участник группы, расположенный в Дубае»; для пользователей ЕС/ЕЭЗ «ваши данные хранятся в дата-центрах в Нидерландах». Представителем по GDPR выступает European Data Protection Office (EDPO) в Брюсселе.
• Шифрование: облачные чаты шифруются на стороне сервера — «все данные хранятся с усиленным шифрованием, а ключи шифрования в каждом случае хранятся в нескольких других дата-центрах в разных юрисдикциях» — и только секретные чаты используют сквозное шифрование: «секретные чаты используют сквозное шифрование».
• DPA: не задокументировано в политике конфиденциальности (проверено в августе 2026 года).
• Язык: «все пользователи могут переводить отдельные сообщения»; пользователи Premium «могут переводить целые чаты, группы и каналы в реальном времени, нажав на панель перевода сверху».

Все три — это инструменты, в которых команды реально работают. Общее у них одно: история принадлежит устройству или облаку вендора, а не компании — и DPA, который требует ст. 28 GDPR, не фигурирует ни в одной из этих трёх документаций.

Бизнес-мессенджеры из Швейцарии и Германии

Threema Work

• Расположение: Швейцария. Вендор отмечает, что передача данных из ЕС в Швейцарию юридически допустима без дополнительной проверки.
• Метаданные: Threema Work «не требует персональных данных (таких как номер телефона или адрес электронной почты)» и «может использоваться без доступа к адресной книге».
• DPA: по заявлению вендора, Threema Work «соответствует требованиям к обработке данных по поручению контролёра в соответствии с GDPR и швейцарским DSG».
• Пробный период: «30 дней, 30 пользователей. Без автоматического продления». Цены за пользователя на странице не указаны.
• Язык: функция перевода не задокументирована.

Teamwire

• Расположение: «немецкое публичное облако (IONOS, сертификация C5)», «выделенное приватное облако» или «полностью локальный хостинг (on-premise)»; «хостинг в Германии, а не в США», «никакого хранения данных за пределами ЕС».
• Сертификации: «ISO 27001, BSI C5, сертификация TÜV»; упоминаются GDPR, BDSG, BSI IT-Grundschutz, NIS-2, DORA и CER.
• Метаданные: «нет доступа к адресной книге» и «нет анализа переписки».
• GDPR: вендор описывает себя как «на 100 % соответствующий GDPR» — самоописание, которое должно подтверждаться конкретным DPA в каждом случае. Цены на странице не указаны.
• Язык: функция перевода не задокументирована.

Wire

• Расположение: «облако, on-premises или гибридный вариант».
• Шифрование: протокол MLS; «сообщения, файлы и звонки по умолчанию полностью защищены сквозным шифрованием (E2EE)»; видеозвонки «до 200 участников», каждая сессия зашифрована сквозным образом.
• Сертификации: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: «полностью соответствует строгим нормам защиты данных, включая GDPR» (самоописание). Цены за пользователя на странице не указаны.
• Язык: функция перевода не задокументирована.

Stackfield

• Расположение: «вся обработка данных ограничена ЕС, а сами данные хранятся исключительно в немецких дата-центрах»; компания подчиняется «исключительно юрисдикции Германии и ЕС».
• Шифрование: «настоящее сквозное шифрование» для сообщений, файлов и задач.
• Сертификации: ISO 27001, BSI C5.
• Встречи: аудио- и видеоконференции включены.
• Язык: функция перевода не задокументирована.

Все четыре отвечают на вопросы о расположении и шифровании настолько чётко, насколько это в силах вендора. Чего не документирует ни один из них: перевод, который позволил бы польскому, португальскому и немецкому коллеге читать один и тот же канал на своём языке.

Self-hosted платформы

Element (Matrix)

• Шифрование: «вся платформа по умолчанию защищена сквозным шифрованием» — включая Element Call для голоса и видео.
• Эксплуатация: Community — бесплатно, self-hosted; Enterprise — за место в месяц, self-hosted; Sovereign — за развёртывание, изолированная сеть (air-gapped).
• Язык: функция перевода не задокументирована — при сквозном шифровании для неё просто нет места на стороне сервера.

Mattermost

• Эксплуатация: Professional и Enterprise — как self-hosted годовые лицензии, цены по запросу; Mattermost Cloud Enterprise — как предложение с выделенным (single-tenant) окружением.
• Язык: автоматический перевод канала (бета, начиная с v11.5) в Enterprise Advanced: в качестве бэкенда используется «LibreTranslate — self-hosted движок машинного перевода с открытым кодом» либо «Agents: использует плагин Mattermost Agents с настроенным LLM-бэкендом»; целевой язык пользователя «определяется языком отображения Mattermost». Перевод выполняется на вашем сервере.

Rocket.Chat

• Эксплуатация: план Starter бесплатный, «самоуправляемый, self-hosted», «для технической оценки или небольших команд до 50 пользователей»; платные планы — Commercial, Government и Defense — on-premises, приватное облако или изолированная сеть, цены по запросу.
• Язык: автоматический перевод по комнатам — «каждый пользователь получает перевод в соответствии со своим выбранным языком» — через DeepL, Google Translate, Microsoft Translator или LibreTranslate, с API-ключом, который предоставляет администратор. Текст сообщений, соответственно, попадает к выбранному вами провайдеру — если это не LibreTranslate на вашем собственном хосте.

Nextcloud Talk относится к той же группе: «полностью self-hosted, on-premises сервис аудио-, видео- и текстовой связи», с транскрипцией и переводом в реальном времени на вашем собственном оборудовании (подробности в сравнении инструментов командной коммуникации).

Комплексные решения: Microsoft Teams и Slack

Microsoft Teams

• DPA: «При подписке на продукт в соответствии с условиями сайта Product Terms условия обработки данных и безопасности определяются в Microsoft Online Services Data Protection Addendum (DPA)».
• Расположение: данные Teams хранятся «в географическом регионе, связанном с вашей организацией Microsoft 365 или Office 365»; резидентность на уровне страны (Германия, Франция, Италия, Норвегия, Польша, Швеция, Швейцария и другие) действует «только для новых клиентов (tenants)», существующие клиенты в ЕС остаются в регионе EMEA. EU Data Boundary обязывает Microsoft хранить и обрабатывать данные клиентов Microsoft 365 в пределах ЕС/EFTA — «за исключением ограниченных случаев» с задокументированными исключениями; клиенты с Multi-Geo в эту область не входят.
• Язык: сообщения в чатах и каналах переводятся по запросу или автоматически («Teams может автоматически переводить полученные сообщения»), 100+ языков, лицензия не указана; на встречах для переведённых субтитров нужна лицензия Teams Premium или Copilot у организатора, а агенту Interpreter (10 языков) нужна лицензия Copilot на каждого слушателя, 20 часов в месяц. Подробности: живой перевод в Teams.

Slack

• DPA: «Slack предлагает Data Processing Addendum, дополняющий Customer Terms of Service» — оформляется через форму, автоматически не включается.
• Расположение: резидентность данных доступна начиная с плана Business+: Франкфурт, Париж, Стокгольм, Цюрих, Лондон. Охватывает: сообщения, канвасы, файлы и поисковый индекс; не охватывает: профили участников и аналитику использования. В плане Free история сообщений хранится 90 дней.
• Язык: «Перевести сообщение» на планах Business+ и Enterprise+, по запросу для отдельного сообщения; «перевод виден только вам, остальные всегда видят оригинал сообщения».

InterMIND

Мы создаём коммуникационное пространство, в котором каждый участник читает встречи, чат, документы и историю на своём языке — и применяем к себе те же семь проверок:

1. DPA: подписывается для каждого клиента — условия обработчика по ст. 28 GDPR с уведомлением о новых субпроцессорах за 30 дней и окном в 72 часа для сообщения об инцидентах; подписанная копия доступна для отдела закупок (/legal/dpa).
2. Юридическое лицо и расположение: оператор — эстонская OÜ; вся среда исполнения находится в ЕС на каждом этапе — перевод голоса и чата на нашем собственном движке на выделенных серверах во Франции, оркестрация встреч в Париже, база данных в Франкфурте, хранение и аналитика с резидентностью в ЕС. Карта по каждому вендору: как на самом деле проходит одна встреча в InterMIND.
3. Шифрование: транспортное шифрование — аудио и видео через DTLS/SRTP, чат и файлы через HTTPS/WSS, а также шифрование в состоянии покоя на наших серверах. Без сквозного шифрования: перевод — это обработка, и она происходит на нашем движке, а не у третьей стороны. Если сквозное шифрование для вас важнее всего остального, Element, Wire или Threema подойдут лучше — мы говорим это открыто.
4. Метаданные и адресная книга: загрузка адресной книги отсутствует; участники присоединяются по ссылке, без учётной записи и без номера телефона.
5. Удаление и хранение: критерий хранения зафиксирован в политике конфиденциальности — данные остаются до тех пор, пока вы или владелец вашей команды не удалите их; удаление учётной записи удаляет её данные. Мы провели аудит собственного кода на соответствие обязательствам GDPR и задокументировали, что закрыли: аудит GDPR.
6. Субпроцессоры: опубликованы, с указанием функции и юрисдикции каждого вендора. Единственный внешний провайдер языковой модели (для резюме встречи) — провайдер из ЕС на условиях нулевого хранения данных; перевод документов проходит через DeepL как названный субпроцессор из ЕС. Никакой контент встречи не попадает к модели, размещённой в США.
7. Язык для каждого участника: чат и заметки на 23 языках, документы на 30, живая речь для каждого участника на его языке — как поведение комнаты по умолчанию, без дополнений и лицензий на каждого слушателя. Качество перевода публикуется ежемесячно по каждой языковой паре: /benchmark.

Чего мы не заявляем: сертификат ISO, которого у нас пока нет. Наш ответ на этот чек-лист заложен в архитектуре и проверяем в коде; сертификации — в планах.

Общая картина

Какой мессенджер для какого случая

• Сквозное шифрование — ваш главный критерий, а перевод не важен: Threema Work (Швейцария, без номера телефона), Wire (MLS, включая звонки), Stackfield (немецкие дата-центры) или Element (self-hosted, бесплатно в редакции Community).
• Всё должно работать на ваших собственных серверах, и у вас есть персонал для этого: Rocket.Chat (бесплатно до 50 пользователей, перевод через ключ вашего провайдера), Mattermost Enterprise Advanced (бета-перевод канала на вашем LibreTranslate или LLM), Nextcloud Talk.
• Вы всё равно клиент Microsoft или Slack: оба документируют DPA и резидентность в ЕС — Teams через регион клиента и EU Data Boundary, Slack начиная с Business+. Перевод — для каждого читателя, по запросу; язык встречи в Teams зависит от лицензий Copilot.
• Команда работает в WhatsApp, Signal или Telegram: сервисы, задокументированные для личной переписки, частично со сквозным шифрованием — но без задокументированного DPA, с историей на устройствах или в облаке вендора, а у WhatsApp — с данными об использовании и устройстве, попадающими к компаниям Meta в США. Специалист по защите данных задаст вопросы, на которые документация не отвечает.
• Сам канал многоязычный — коллеги и клиенты отвечают друг другу на трёх языках, гости без ваших лицензий, а команда, отвечающая за соответствие требованиям, хочет назвать конкретное расположение: именно для этого мы создаём InterMIND — ЕС на каждом этапе, DPA для каждого клиента, опубликованные субпроцессоры и каждый участник, читающий пространство на своём языке.

Увидеть вместо того, чтобы читать об этом

• Попробуйте живое демо — без регистрации; говорите — и услышите перевод комнаты для каждого слушателя на любом из 23 языков.
• Посмотрите бенчмарк — ежемесячно проверяемое качество перевода по каждой языковой паре на реальном трафике, с открытой методологией.
• Изучите список субпроцессоров — функция и юрисдикция каждого вендора, без необходимости запроса.

FAQ

Какие мессенджеры соответствуют GDPR?

Ни один сам по себе — обязательства лежат на компании. Проверить можно только то, делает ли вендор их выполнимыми: DPA задокументирован у Microsoft Teams (через Product Terms), Slack (через форму), Threema Work (вендор: обработка, соответствующая GDPR/DSG) и InterMIND (для каждого клиента, ст. 28 GDPR); Teamwire и Wire описывают себя как соответствующие GDPR. Для WhatsApp, Signal и Telegram документация не называет DPA (проверено в августе 2026 года). Self-hosted сервисы — Element, Mattermost, Rocket.Chat, Nextcloud — переносят этот вопрос в область вашей собственной эксплуатации.

Соответствует ли Signal GDPR?

Signal документирует сквозное шифрование («Signal не может расшифровать или иным образом получить доступ к содержимому ваших сообщений или звонков») и технические данные, ограниченные минимумом; стороной по договору выступает Signal Messenger LLC в Калифорнии, регистрация — по номеру телефона. Юридические документы не называют соглашение об обработке данных для компаний. Личное использование — это другая картина по сравнению с корпоративным, которое должно удовлетворять ст. 28 GDPR.

Соответствует ли WhatsApp GDPR при использовании в бизнесе?

WhatsApp Ireland документирует сквозное шифрование и то, что доставленные сообщения удаляются с её серверов — и в то же время данные об использовании и устройстве, опциональную загрузку адресной книги и передачу данных «компаниям Meta в США и Ирландии». Политика конфиденциальности не называет DPA для приложения; приложение Business, по словам вендора, создано для владельцев малого бизнеса. Тому, кто использует WhatsApp в компании, придётся самостоятельно обосновывать эти моменты перед специалистом по защите данных.

Соответствует ли Telegram GDPR?

Telegram сообщает, что данные ЕС хранятся в Нидерландах, и называет представителя в ЕС (EDPO, Брюссель); облачные чаты шифруются на стороне сервера с ключами «в нескольких других дата-центрах в разных юрисдикциях», только секретные чаты — сквозным образом. DPA не задокументирован. Это задокументированная ситуация с данными, а не соответствие GDPR в смысле ст. 28.

Соответствует ли Microsoft Teams GDPR?

Microsoft документирует DPA как часть Product Terms, хранение данных Teams в регионе клиента — резидентность на уровне страны только для новых клиентов — и EU Data Boundary для клиентов Microsoft 365, базирующихся в ЕС/EFTA, с задокументированными исключениями. Для компаний, уже работающих в Teams, это надёжная основа; функции перевода на встречах зависят от лицензий Copilot у организатора и слушателей.

Что должен предлагать мессенджер для компаний, соответствующий GDPR?

Шесть задокументированных ответов вместо значка: DPA по ст. 28 GDPR, названное юридическое лицо и расположение серверов без необъяснённой передачи в третью страну, названная модель шифрования, контроль над адресной книгой и метаданными, концепция удаления, которая охватывает увольнение сотрудника, и опубликованный список субпроцессоров — включая сервисы ИИ и перевода. Для международных команд добавляется седьмой пункт: мессенджер, который хранит канал только в оригинале, перекладывает перевод на каждого отдельного человека.

Есть ли бесплатный мессенджер для компаний, соответствующий GDPR?

Бесплатно и self-hosted: Rocket.Chat Starter (до 50 пользователей) и Element Community — при этом обязательства по GDPR полностью лежат на вашей собственной эксплуатации. Threema Work предлагает 30 дней для 30 пользователей без указания платёжных данных. В InterMIND участие бесплатно для каждого участника — присоединение по ссылке без учётной записи, — а живое демо не требует регистрации; за комнату платит организатор.

Источники: BfDI — критерии выбора мессенджеров (нем.), WhatsApp — политика конфиденциальности (ЕЭЗ), WhatsApp — политика конфиденциальности, Блог WhatsApp — представляем перевод сообщений, Приложение WhatsApp Business, Signal — условия использования и политика конфиденциальности, Telegram — политика конфиденциальности, Блог Telegram — перевод в реальном времени, Threema — мессенджер, соответствующий GDPR (нем.), Teamwire — мессенджер, соответствующий GDPR (нем.), Wire — Wire против MS Teams (нем.), Stackfield — альтернатива Microsoft Teams (нем.), Element — цены, Mattermost — цены, Mattermost — настройка автоматического перевода (бета), Rocket.Chat — наши планы, Rocket.Chat — автоматический перевод сообщений, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — расположение данных в Microsoft Teams, Microsoft Learn — что такое EU Data Boundary?, Microsoft — перевод сообщения в Microsoft Teams, Microsoft — Interpreter на встречах и звонках в Teams, Slack — Data Processing Addendum, Slack — резидентность данных для Slack, Slack — цены, Slack — руководство по функциям ИИ в Slack. Вендоры со временем меняют планы, расположение, функции и самоописания; актуальное состояние проверяйте на их страницах. Все факты проверены в августе 2026 года.