Мессенджер для компаний, соответствующий GDPR (2026): что вендоры документируют на самом деле

«Какой мессенджер соответствует GDPR?» — вопрос, на который ни один вендор не может честно ответить «наш». GDPR возлагает обязанности на вас, контролёра: нужно соглашение об обработке данных (ст. 28), нужно знать, где хранятся данные и передаются ли они в третью страну, нужно уметь удалять данные и отвечать на запросы о доступе. Мессенджер может сделать эти обязанности выполнимыми — или нет. Значок на главной странице говорит не больше этого.

Поэтому этот гайд устроен иначе, чем привычные списки. Он берёт шесть проверок, которые ответственный за защиту данных задаёт в любом случае, и применяет их к двенадцати сервисам: потребительским мессенджерам, на которых компании реально работают (WhatsApp, Signal, Telegram), бизнес-мессенджерам из Швейцарии и Германии (Threema Work, Teamwire, Wire, Stackfield), платформам для самостоятельного размещения (Element, Mattermost, Rocket.Chat) и двум пакетным решениям (Microsoft Teams, Slack). Затем InterMIND, который строим мы, — по тем же критериям и с тем же правилом источников. Каждое утверждение взято из публичной документации вендора, проверено в августе 2026 года, ссылки приведены в конце.

К ним добавляется седьмая проверка, которой нет в списках по GDPR, но которая важна каждый день в международной команде: на каком языке каждый участник читает канал? Мессенджер, который хранит сообщения только в оригинале, перекладывает перевод на отдельного человека — и на сервисы, которые затем обрабатывают данные ещё раз.

Шесть проверок

Федеральный уполномоченный по защите данных Германии (BfDI) публикует критерии выбора мессенджеров — самый удобный публичный ориентир. Он определяет сквозное шифрование как шифрование сообщений «на устройстве отправителя с расшифровкой только на устройстве получателя», перечисляет настройки приватности — доступ к адресной книге, видимость профиля, уведомления о прочтении, аналитику использования и отчёты об ошибках — и требует, чтобы при удалении аккаунта данные «удалялись немедленно». Для корпоративного использования сверху добавляются обязанности по ст. 28. В совокупности:

1. Соглашение об обработке данных (DPA). Предлагает ли его вендор — и есть ли оно в документации?
2. Юридическое лицо и местоположение серверов. Кто ваша договорная сторона, где хранятся данные, есть ли передача в третью страну?
3. Шифрование. Сквозное или транспортное и серверное? Оба варианта законны — их нужно просто назвать.
4. Метаданные и адресная книга. Загружается ли адресная книга? Какие данные об использовании и устройстве собираются и кому передаются?
5. Удаление и хранение. Где живёт история, кто её удаляет, что происходит при увольнении сотрудника?
6. Субобработчики. Опубликованы ли они — включая сервисы для функций ИИ и перевода?

Плюс седьмая: язык каждого участника.

Потребительские мессенджеры в работе

WhatsApp (и приложение WhatsApp Business)

• Договорная сторона: для EEA — «WhatsApp Ireland Limited».
• Шифрование и хранение: сообщения защищены сквозным шифрованием; «мы не храним ваши сообщения в обычном ходе предоставления вам наших Сервисов. После доставки сообщений они удаляются с наших серверов». Поэтому история живёт на устройствах сотрудников и в их резервных копиях.
• Метаданные: собираются «информация об использовании вами наших Сервисов», данные об устройстве («модель оборудования, информация об операционной системе, уровень заряда батареи, уровень сигнала») и, опционально, адресная книга («загрузка контактов … из адресной книги вашего устройства на регулярной основе»). Данные передаются «компаниям Meta в Соединённых Штатах и Ирландии» и переносятся «по всему миру».
• DPA: в политике конфиденциальности приложения соглашение об обработке данных для компаний не названо (проверено в августе 2026). Приложение Business «создано с расчётом на владельца малого бизнеса».
• Язык: с сентября 2025 года сообщение можно перевести долгим нажатием — на устройстве («перевод происходит на вашем устройстве, где WhatsApp не может его увидеть»); Android умеет автоматически переводить чаты целиком (шесть языков на старте), iPhone использует перевод Apple на 19+ языках. Голосовые сообщения и звонки в анонс не входят.

Signal

• Договорная сторона: Signal Messenger LLC, Маунтин-Вью, Калифорния — некоммерческая организация.
• Шифрование: «Signal не может расшифровать содержимое ваших сообщений или звонков и иным образом получить к нему доступ».
• Метаданные: регистрация по номеру телефона; технические данные ограничены «минимумом, необходимым для работы Сервисов».
• DPA: в юридических документах Signal не документирован (проверено в августе 2026).
• Язык: функция перевода не документирована.

Telegram

• Договорная сторона и местоположение: «Telegram Messenger Inc.» и «Telegram FZ-LLC, участник группы в Дубае»; для пользователей из ЕС/EEA «ваши данные хранятся в дата-центрах в Нидерландах». Представитель по GDPR — Европейское бюро по защите данных (EDPO) в Брюсселе.
• Шифрование: облачные чаты зашифрованы на стороне сервера — «все данные хранятся в сильно зашифрованном виде, а ключи шифрования в каждом случае хранятся в нескольких других дата-центрах в разных юрисдикциях» — и только секретные чаты имеют сквозное шифрование: «Секретные чаты используют сквозное шифрование».
• DPA: в политике конфиденциальности не документирован (проверено в августе 2026).
• Язык: «Все пользователи могут переводить отдельные сообщения»; пользователи Premium «могут переводить целые чаты, группы и каналы в реальном времени, нажав на панель Translate вверху».

Все три — инструменты, в которых команды действительно работают. Общее у них одно: история принадлежит устройству или облаку вендора, а не компании, и DPA, которого требует ст. 28, нет ни в одной из трёх документаций.

Бизнес-мессенджеры из Швейцарии и Германии

Threema Work

• Местоположение: Швейцария. Вендор отмечает, что передача данных из ЕС в Швейцарию юридически допустима без дополнительной проверки.
• Метаданные: Threema Work «не требует персональных данных (таких как номер телефона или адрес электронной почты)» и «может использоваться без доступа к адресной книге».
• DPA: по заявлению вендора, Threema Work «отвечает требованиям обработки данных по поручению контролёра в соответствии с GDPR и швейцарским DSG».
• Пробный период: «30 дней, 30 пользователей. Без автоматического продления». Цен за пользователя на странице нет.
• Язык: функция перевода не документирована.

Teamwire

• Местоположение: «немецкое публичное облако (IONOS, сертификат C5)», «выделенное частное облако» или «полностью локальное размещение»; «размещение в Германии вместо США», «без хранения за пределами ЕС».
• Сертификаты: «ISO 27001, BSI C5, сертификат TÜV»; названы EU GDPR, BDSG, BSI IT-Grundschutz, NIS-2, DORA и CER.
• Метаданные: «без доступа к адресной книге» и «без анализа коммуникации».
• GDPR: вендор называет себя «на 100 % соответствующим GDPR» — это самоописание, которое DPA должно подтвердить в каждом конкретном случае. Цен на странице нет.
• Язык: функция перевода не документирована.

Wire

• Местоположение: «облако, локально или гибридно».
• Шифрование: протокол MLS; «сообщения, файлы и звонки по умолчанию полностью защищены E2EE»; видеозвонки «до 200 участников», каждая сессия со сквозным шифрованием.
• Сертификаты: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: «полностью соответствует строгим нормам защиты данных, включая GDPR» (самоописание). Цен за пользователя на странице нет.
• Язык: функция перевода не документирована.

Stackfield

• Местоположение: «вся обработка данных ограничена ЕС, а сами данные находятся исключительно в немецких дата-центрах»; компания подчиняется «исключительно юрисдикции Германии и ЕС».
• Шифрование: «настоящее сквозное шифрование» для сообщений, файлов и задач.
• Сертификаты: ISO 27001, BSI C5.
• Встречи: аудио- и видеоконференции включены.
• Язык: функция перевода не документирована.

Эти четыре сервиса отвечают на вопросы о местоположении и шифровании так ясно, как только может вендор. Чего не документирует ни один из них — перевода, который позволяет польскому, португальскому и немецкому коллегам читать один и тот же канал каждому на своём языке.

Платформы для самостоятельного размещения

Element (Matrix)

• Шифрование: «вся платформа по умолчанию защищена сквозным шифрованием» — включая Element Call для голоса и видео.
• Эксплуатация: Community бесплатно, самостоятельное размещение; Enterprise за место в месяц, самостоятельное размещение; Sovereign за развёртывание, изолированный контур (air-gapped).
• Язык: функция перевода не документирована — при сквозном шифровании на сервере для неё нет места.

Mattermost

• Эксплуатация: Professional и Enterprise как годовые лицензии для самостоятельного размещения, цены по запросу; Mattermost Cloud Enterprise как однотенантное предложение.
• Язык: автоматический перевод каналов (бета, с v11.5) в Enterprise Advanced: бэкенд — «LibreTranslate: самостоятельно размещаемый движок машинного перевода с открытым исходным кодом» или «Agents: использует плагин Mattermost Agents с настроенным бэкендом LLM»; целевой язык пользователя «определяется языком интерфейса его Mattermost». Перевод выполняется на вашем сервере.

Rocket.Chat

• Эксплуатация: план Starter бесплатный, «самостоятельное управление, самостоятельное размещение», «для технической оценки или небольших команд до 50 пользователей»; платные планы — Commercial, Government и Defense: локально, в частном облаке или в изолированном контуре, цены по запросу.
• Язык: Auto-Translate для каждой комнаты — «каждый пользователь получает переводы на выбранном им языке» — через DeepL, Google Translate, Microsoft Translator или LibreTranslate с API-ключом, который предоставляет администратор. Поэтому текст сообщений уходит выбранному вами провайдеру — если только это не LibreTranslate на вашем собственном хосте.

Nextcloud Talk относится к той же группе: «полностью самостоятельно размещаемый, локальный сервис аудио-/видеосвязи и чата», с живой расшифровкой и переводом на вашем собственном оборудовании (подробнее — в сравнении инструментов для командной коммуникации).

Пакетные решения: Microsoft Teams и Slack

Microsoft Teams

• DPA: «Когда вы оформляете подписку на продукт на условиях сайта Product Terms, условия обработки и безопасности данных определяются в Microsoft Online Services Data Protection Addendum (DPA)».
• Местоположение: данные Teams находятся «в географическом регионе, связанном с вашей организацией Microsoft 365 или Office 365»; страновая резидентность (Германия, Франция, Италия, Норвегия, Польша, Швеция, Швейцария и другие) действует «только для новых тенантов», существующие тенанты в ЕС остаются в регионе EMEA. EU Data Boundary обязывает Microsoft хранить и обрабатывать данные клиентов Microsoft 365 в пределах ЕС/EFTA — «с ограниченными исключениями», которые задокументированы; клиенты с Multi-Geo не охвачены.
• Язык: сообщения в чатах и каналах переводятся по запросу или автоматически («Teams может автоматически переводить полученные сообщения»), 100+ языков, лицензия не названа; во встречах переведённые субтитры требуют лицензии Teams Premium или Copilot у организатора, а агент Interpreter (10 языков) требует лицензии Copilot на каждого слушателя, 20 часов в месяц. Подробнее: живой перевод в Teams.

Slack

• DPA: «Slack предлагает Data Processing Addendum, дополняющее Customer Terms of Service» — оформляется через форму, автоматически не включается.
• Местоположение: резидентность данных начиная с Business+: Франкфурт, Париж, Стокгольм, Цюрих, Лондон. Охвачены сообщения, canvas, файлы и поисковый индекс; не охвачены профили участников и аналитика использования. Тариф Free хранит историю сообщений 90 дней.
• Язык: «Translate message» на Business+ и Enterprise+, по запросу для отдельного сообщения; «переводы видны только вам, поэтому другие люди всегда будут видеть исходное сообщение».

InterMIND

Мы строим пространство для коммуникации, в котором каждый участник читает встречи, чат, документы и свою историю на своём языке, — и применяем к нему те же семь проверок:

1. DPA: подписывается на каждого клиента — условия обработчика по ст. 28 с уведомлением о новых субобработчиках за 30 дней и 72-часовым сроком для сообщения о нарушении; подписанная копия доступна для закупок (/legal/dpa).
2. Юридическое лицо и местоположение: оператор — эстонская компания OÜ; среда выполнения находится в ЕС на каждом звене: перевод голоса и чата на нашем собственном движке на выделенных серверах во Франции, оркестрация встреч в Париже, база данных во Франкфурте, хранилище и аналитика в ЕС. Карта по каждому вендору: где на самом деле работает одна встреча InterMIND.
3. Шифрование: транспортное шифрование — аудио и видео по DTLS/SRTP, чат и файлы по HTTPS/WSS и шифрование на наших серверах при хранении. Без сквозного шифрования: перевод — это обработка, и она выполняется на нашем движке, а не у третьей стороны. Если E2EE для вас важнее всего остального, лучше подойдут Element, Wire или Threema — мы говорим об этом прямо.
4. Метаданные и адресная книга: адресная книга не загружается; участники заходят по ссылке, без аккаунта и без номера телефона.
5. Удаление и хранение: критерий хранения записан в политике конфиденциальности — данные хранятся, пока вы или владелец вашей команды их не удалите; удаление аккаунта удаляет его данные. Мы провели аудит собственного кода на соответствие обязанностям по GDPR и задокументировали, что закрыли: аудит GDPR.
6. Субобработчики: опубликованы, с указанием функции и юрисдикции каждого вендора. Шаги с языковыми моделями (рекап, краткие содержания документов, ассистент для письма, Ask AI) выполняются на ИИ-шлюзе, который выбирает организация — по умолчанию Azure OpenAI в EU Data Zone, по выбору Vertex AI EU или Amazon Bedrock Frankfurt — в собственном тенанте InterMIND с нулевым хранением данных и без обучения на содержимом клиентов; вендоры — американские компании, работающие через регионы в ЕС, что указано на странице доверия. Перевод документов выполняется через DeepL как названного субобработчика в ЕС.
7. Язык каждого участника: чат и заметки на 23 языках, документы на 30, живая речь для каждого участника на его собственном языке — как поведение комнаты по умолчанию, без дополнений и лицензий на каждого слушателя. Качество публикуется ежемесячно по каждой языковой паре: /benchmark.

Чего мы не утверждаем: наличия сертификата ISO, которого у нас пока нет. Наш ответ на чек-лист архитектурный и проверяемый по коду; сертификация — в планах.

Сводная таблица

Какой мессенджер для какого случая

• Сквозное шифрование — ваш первый критерий, а перевод не важен: Threema Work (Швейцария, без номера телефона), Wire (MLS, включая звонки), Stackfield (немецкие дата-центры) или Element (самостоятельное размещение, бесплатно в редакции Community).
• Всё должно работать на ваших собственных серверах, и у вас есть для этого специалисты: Rocket.Chat (бесплатно до 50 пользователей, перевод через ключ вашего провайдера), Mattermost Enterprise Advanced (бета-перевод каналов на вашем LibreTranslate или LLM), Nextcloud Talk.
• Вы и так клиент Microsoft или Slack: оба документируют DPA и резидентность в ЕС — Teams через регион тенанта и EU Data Boundary, Slack начиная с Business+. Перевод выполняется для каждого читателя по запросу; язык встречи в Teams зависит от лицензий Copilot.
• Команда работает в WhatsApp, Signal или Telegram: сервисы, документированные для частной коммуникации, отчасти со сквозным шифрованием — но без документированного DPA, с историей на устройствах или в облаке вендора, а у WhatsApp ещё и с передачей данных об использовании и устройстве компаниям Meta в США. DPO зададут вопросы, на которые документация не отвечает.
• Сам канал многоязычный — коллеги и клиенты отвечают друг другу на трёх языках, гости приходят без ваших лицензий, а команда комплаенса хочет назвать местоположение: именно для этого мы строим InterMIND — каждый участник читает пространство на своём языке, гости заходят по ссылке без ваших лицензий; ЕС на каждом звене, DPA на каждого клиента и опубликованные субобработчики — одна строка для DPO.

Увидеть, а не читать

• Попробуйте живое демо — без регистрации; говорите и слушайте, как комната переводится для каждого слушателя на любой из 23 языков.
• Посмотрите бенчмарк — ежемесячное качество перевода по каждой паре на реальном трафике, с открытой методологией.
• Прочитайте список субобработчиков — функция и юрисдикция каждого вендора, запрос не нужен.

FAQ

Какие мессенджеры соответствуют GDPR?

Ни один — сам по себе. Обязанности лежат на компании. Проверить можно другое: делает ли вендор их выполнимыми. DPA документируют Microsoft Teams (через Product Terms), Slack (через форму), Threema Work (вендор: обработка в соответствии с GDPR/DSG) и InterMIND (на каждого клиента, ст. 28); Teamwire и Wire называют себя соответствующими GDPR. Для WhatsApp, Signal и Telegram в документации DPA не назван (проверено в августе 2026). Сервисы для самостоятельного размещения — Element, Mattermost, Rocket.Chat, Nextcloud — переносят вопрос в вашу собственную эксплуатацию.

Соответствует ли Signal требованиям GDPR?

Signal документирует сквозное шифрование («Signal не может расшифровать содержимое ваших сообщений или звонков и иным образом получить к нему доступ») и технические данные, ограниченные минимумом; договорная сторона — Signal Messenger LLC в Калифорнии, регистрация по номеру телефона. В юридических документах соглашение об обработке данных для компаний не названо. Частное использование — это другая картина по сравнению с корпоративным, которое должно удовлетворять ст. 28.

Соответствует ли WhatsApp требованиям GDPR при использовании в бизнесе?

WhatsApp Ireland документирует сквозное шифрование и то, что доставленные сообщения удаляются с его серверов — и одновременно данные об использовании и устройстве, опциональную загрузку адресной книги и передачу «компаниям Meta в Соединённых Штатах и Ирландии». В политике конфиденциальности DPA для приложения не назван; приложение Business, по словам вендора, создано для владельцев малого бизнеса. Тот, кто использует WhatsApp в компании, должен сам обосновывать эти пункты перед DPO.

Соответствует ли Telegram требованиям GDPR?

Telegram заявляет, что данные ЕС хранятся в Нидерландах, и называет представителя в ЕС (EDPO, Брюссель); облачные чаты зашифрованы на стороне сервера, ключи хранятся «в нескольких других дата-центрах в разных юрисдикциях», сквозное шифрование только в секретных чатах. DPA не документирован. Это документированная ситуация с данными, а не соответствие GDPR в смысле ст. 28.

Соответствует ли Microsoft Teams требованиям GDPR?

Microsoft документирует DPA как часть Product Terms, хранение данных Teams в регионе тенанта — страновая резидентность только для новых тенантов — и EU Data Boundary для клиентов Microsoft 365 из ЕС/EFTA, с задокументированными исключениями. Для компаний, которые уже работают в Teams, это надёжная основа; функции перевода во встречах зависят от лицензий Copilot у организатора и у каждого слушателя.

Что должен предлагать мессенджер для компаний, соответствующий GDPR?

Шесть документированных ответов вместо значка: DPA по ст. 28, названное юридическое лицо и местоположение серверов без необъяснённой передачи в третьи страны, названная модель шифрования, контроль над адресной книгой и метаданными, концепция удаления, которая охватывает увольнение сотрудника, и опубликованный список субобработчиков — включая сервисы ИИ и перевода. Для международных команд добавляется седьмой пункт: мессенджер, который хранит канал только в оригинале, перекладывает перевод на каждого отдельного человека.

Есть ли бесплатный мессенджер для компаний, соответствующий GDPR?

Бесплатно и с самостоятельным размещением: Rocket.Chat Starter (до 50 пользователей) и Element Community — обязанности по GDPR при этом целиком ложатся на вашу собственную эксплуатацию. Threema Work предлагает 30 дней для 30 пользователей без указания платёжных данных. В InterMIND участие бесплатно для каждого участника — заходите по ссылке без аккаунта, — а живое демо не требует регистрации; за комнату платит хост.

Источники: BfDI — критерии выбора мессенджеров (на немецком), WhatsApp — политика конфиденциальности (EEA), WhatsApp — политика конфиденциальности, блог WhatsApp — Introducing message translations, приложение WhatsApp Business, Signal — Terms & Privacy Policy, Telegram — Privacy Policy, блог Telegram — перевод в реальном времени, Threema — мессенджер, соответствующий GDPR (на немецком), Teamwire — мессенджер, соответствующий GDPR (на немецком), Wire — Wire vs. MS Teams (на немецком), Stackfield — альтернатива Microsoft Teams (на немецком), Element — цены, Mattermost — цены, Mattermost — настройка автоперевода (бета), Rocket.Chat — наши планы, Rocket.Chat — автоперевод сообщений, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — расположение данных в Microsoft Teams, Microsoft Learn — что такое EU Data Boundary?, Microsoft — перевод сообщения в Microsoft Teams, Microsoft — Interpreter во встречах и звонках Teams, Slack — Data Processing Addendum, Slack — резидентность данных в Slack, Slack — цены, Slack — руководство по функциям ИИ в Slack. Вендоры со временем меняют тарифы, местоположение, функции и самоописания; актуальное состояние смотрите на их страницах. Все факты проверены в августе 2026 года.