Мессенджер для компаний, соответствующий GDPR (2026): что вендоры реально документируют

На вопрос «Какой мессенджер соответствует GDPR?» ни один вендор не может честно ответить «наш». GDPR возлагает обязанности на вас как на контролёра данных: нужно соглашение об обработке данных (ст. 28), нужно знать, где хранятся данные и передаются ли они в третью страну, нужно уметь удалять данные и отвечать на запросы о доступе. Мессенджер может сделать эти обязанности выполнимыми, а может и не сделать. Значок на главной странице говорит не больше этого.

Поэтому этот обзор устроен иначе, чем обычные списки. Мы берём шесть проверок, которые в любом случае проводит ответственный за защиту данных (DPO), и применяем их к двенадцати сервисам. Это потребительские мессенджеры, на которых реально работают компании (WhatsApp, Signal, Telegram), бизнес-мессенджеры из Швейцарии и Германии (Threema Work, Teamwire, Wire, Stackfield), self-hosted-платформы (Element, Mattermost, Rocket.Chat) и два пакетных решения (Microsoft Teams, Slack). Затем идёт InterMIND, который делаем мы: по тем же критериям и с тем же правилом работы с источниками. Каждое утверждение взято из публичной документации вендора, проверено в августе 2026 года и приведено со ссылкой в конце.

К ним добавляется седьмая проверка, которой нет в списках по GDPR, но которая важна каждый день в международной команде: на каком языке каждый участник читает канал? Мессенджер, который хранит сообщения только в оригинале, перекладывает перевод на самого человека и на сервисы, которые затем обрабатывают данные ещё раз.

Шесть проверок

Федеральный уполномоченный по защите данных Германии (BfDI) публикует критерии выбора мессенджеров, и это самый удобный публичный ориентир. Сквозное шифрование он определяет как шифрование сообщений «на устройстве отправителя и расшифровку только на устройстве получателя». В критерии входят настройки приватности: доступ к адресной книге, видимость профиля, отметки о прочтении, аналитика использования и отчёты об ошибках. Также требуется удаление аккаунта, при котором данные «удаляются немедленно». Для корпоративного использования сверху добавляются обязанности по ст. 28. В сумме получается так:

1. Соглашение об обработке данных (DPA). Предлагает ли его вендор и есть ли оно в его документации?
2. Юрлицо и расположение серверов. Какая компания является вашей стороной по договору, где хранятся данные, есть ли передача в третьи страны?
3. Шифрование. Сквозное или транспортное и серверное? Оба варианта допустимы, их просто нужно назвать прямо.
4. Метаданные и адресная книга. Загружается ли адресная книга? Какие данные об использовании и устройствах собираются и кому передаются?
5. Удаление и хранение. Где живёт история, кто её удаляет, что происходит при увольнении сотрудника?
6. Субпроцессоры. Опубликованы ли они, включая сервисы для AI-функций и перевода?

И седьмая: язык для каждого участника.

Потребительские мессенджеры в работе

WhatsApp (и приложение WhatsApp Business)

• Сторона по договору: для EEA это «WhatsApp Ireland Limited».
• Шифрование и хранение: сообщения защищены сквозным шифрованием; «мы не храним ваши сообщения в обычном ходе предоставления вам наших Сервисов. После доставки ваших сообщений они удаляются с наших серверов». Поэтому история живёт на устройствах сотрудников и в их резервных копиях.
• Метаданные: собираются «информация об использовании вами наших Сервисов», данные об устройстве («модель оборудования, информация об операционной системе, уровень заряда батареи, уровень сигнала») и, по желанию, адресная книга («загрузка контактов … из адресной книги вашего устройства на регулярной основе»). Данные передаются «компаниям Meta в Соединённых Штатах и Ирландии» и переносятся «по всему миру».
• DPA: в политике конфиденциальности приложения нет соглашения об обработке данных для компаний (проверено в августе 2026). Приложение Business «создано с расчётом на владельца малого бизнеса».
• Язык: с сентября 2025 года сообщение можно перевести долгим нажатием, причём на устройстве («переводы выполняются на вашем устройстве, где WhatsApp не может их видеть»). Android умеет автоматически переводить чаты целиком (на старте шесть языков), iPhone использует перевод Apple на 19+ языках. Голосовые сообщения и звонки в анонс не входят.

Signal

• Сторона по договору: Signal Messenger LLC, Маунтин-Вью, Калифорния, некоммерческая организация.
• Шифрование: «Signal не может расшифровать содержимое ваших сообщений или звонков или иным образом получить к нему доступ».
• Метаданные: регистрация по номеру телефона; технические данные ограничены «минимумом, необходимым для работы Сервисов».
• DPA: в юридических документах Signal не задокументировано (проверено в августе 2026).
• Язык: функция перевода не задокументирована.

Telegram

• Сторона по договору и расположение: «Telegram Messenger Inc.» и «Telegram FZ-LLC, член группы, расположенный в Дубае»; для пользователей из ЕС/EEA «ваши данные хранятся в дата-центрах в Нидерландах». Представитель по GDPR — European Data Protection Office (EDPO) в Брюсселе.
• Шифрование: облачные чаты шифруются на стороне сервера («все данные хранятся в сильно зашифрованном виде, а ключи шифрования в каждом случае хранятся в нескольких других дата-центрах в разных юрисдикциях»), а сквозное шифрование есть только в секретных чатах: «Секретные чаты используют сквозное шифрование».
• DPA: в политике конфиденциальности не задокументировано (проверено в августе 2026).
• Язык: «Все пользователи могут переводить отдельные сообщения»; пользователи Premium «могут переводить чаты, группы и каналы целиком в реальном времени, нажав на панель Translate вверху».

Все три — инструменты, в которых команды действительно работают. У них общее то, что история принадлежит устройству или облаку вендора, а не компании. А DPA, которого требует ст. 28, нет ни в одной из трёх документаций.

Бизнес-мессенджеры из Швейцарии и Германии

Threema Work

• Расположение: Швейцария. Вендор отмечает, что передача данных из ЕС в Швейцарию юридически допустима без дополнительной проверки.
• Метаданные: Threema Work «не требует персональных данных (таких как номер телефона или адрес электронной почты)» и «может использоваться без доступа к адресной книге».
• DPA: по заявлению вендора, Threema Work «соответствует требованиям к обработке данных по поручению контролёра в соответствии с GDPR и швейцарским DSG».
• Пробный период: «30 дней, 30 пользователей. Без автоматического продления». Цены за пользователя на странице не указаны.
• Язык: функция перевода не задокументирована.

Teamwire

• Расположение: «немецкое публичное облако (IONOS, сертификация C5)», «выделенное частное облако» или «полноценный on-premise-хостинг»; «хостинг в Германии вместо США», «никакого хранения за пределами ЕС».
• Сертификации: «ISO 27001, BSI C5, сертификат TÜV»; названы EU GDPR, BDSG, BSI IT-Grundschutz, NIS-2, DORA и CER.
• Метаданные: «нет доступа к адресной книге» и «нет анализа коммуникации».
• GDPR: вендор называет себя «на 100 % соответствующим GDPR». Это самоописание, которое DPO должен подтверждать в каждом конкретном случае. Цен на странице нет.
• Язык: функция перевода не задокументирована.

Wire

• Расположение: «облако, on-premises или гибрид».
• Шифрование: протокол MLS; «сообщения, файлы и звонки по умолчанию полностью защищены E2EE»; видеозвонки «до 200 участников», каждая сессия со сквозным шифрованием.
• Сертификации: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: «полностью соответствует строгим нормам защиты данных, включая GDPR» (самоописание). Цен за пользователя на странице нет.
• Язык: функция перевода не задокументирована.

Stackfield

• Расположение: «вся обработка данных ограничена ЕС, а сами данные находятся исключительно в немецких дата-центрах»; компания подчиняется «исключительно юрисдикции Германии и ЕС».
• Шифрование: «настоящее сквозное шифрование» для сообщений, файлов и задач.
• Сертификации: ISO 27001, BSI C5.
• Встречи: аудио- и видеоконференции включены.
• Язык: функция перевода не задокументирована.

Эти четыре сервиса отвечают на вопросы о расположении и шифровании настолько ясно, насколько это вообще может сделать вендор. Ни один из них не документирует перевод, благодаря которому польский, португальский и немецкий коллеги читают один и тот же канал каждый на своём языке.

Self-hosted платформы

Element (Matrix)

• Шифрование: «вся платформа по умолчанию защищена сквозным шифрованием», включая Element Call для голоса и видео.
• Эксплуатация: Community бесплатно, self-hosted; Enterprise за рабочее место в месяц, self-hosted; Sovereign за развёртывание, air-gapped.
• Язык: функция перевода не задокументирована. При сквозном шифровании на сервере для неё просто нет места.

Mattermost

• Эксплуатация: Professional и Enterprise в виде self-hosted годовых лицензий, цены по запросу; Mattermost Cloud Enterprise как single-tenant-предложение.
• Язык: автоматический перевод каналов (бета, с v11.5) на Enterprise Advanced: бэкенд — «LibreTranslate: self-hosted движок машинного перевода с открытым исходным кодом» или «Agents: использует плагин Mattermost Agents с настроенным LLM-бэкендом»; целевой язык пользователя «определяется языком интерфейса его Mattermost». Перевод выполняется на вашем сервере.

Rocket.Chat

• Эксплуатация: план Starter бесплатный, «self-managed, self-hosted», «для технической оценки или небольших команд до 50 пользователей»; платные планы — Commercial, Government и Defense: on-premises, частное облако или air-gapped, цены по запросу.
• Язык: Auto-Translate по комнатам — «каждый пользователь получает переводы на выбранном им языке» — через DeepL, Google Translate, Microsoft Translator или LibreTranslate с API-ключом, который предоставляет администратор. Поэтому текст сообщений уходит выбранному вами провайдеру, если только это не LibreTranslate на вашем собственном хосте.

К той же группе относится Nextcloud Talk: «полностью self-hosted, on-premises сервис аудио-, видеосвязи и чата», с живой транскрипцией и переводом на вашем собственном оборудовании (подробности в сравнении инструментов командной коммуникации).

Пакетные решения: Microsoft Teams и Slack

Microsoft Teams

• DPA: «Когда вы подписываетесь на Продукт на условиях сайта Product Terms, условия обработки и безопасности данных определяются в Microsoft Online Services Data Protection Addendum (DPA)».
• Расположение: данные Teams находятся «в географическом регионе, связанном с вашей организацией Microsoft 365 или Office 365»; резидентность по странам (Германия, Франция, Италия, Норвегия, Польша, Швеция, Швейцария и другие) действует «только для новых тенантов», существующие тенанты ЕС остаются в регионе EMEA. EU Data Boundary обязывает Microsoft хранить и обрабатывать данные клиентов Microsoft 365 в пределах ЕС/EFTA, «при ограниченных обстоятельствах» с документированными исключениями; клиенты с Multi-Geo в него не входят.
• Язык: сообщения в чатах и каналах переводятся по запросу или автоматически («Teams может автоматически переводить полученные сообщения»), 100+ языков, лицензия не названа; во встречах переведённые субтитры требуют лицензии Teams Premium или Copilot у организатора, а агент Interpreter (10 языков) требует лицензии Copilot на каждого слушателя, 20 часов в месяц. Подробнее: живой перевод в Teams.

Slack

• DPA: «Slack предлагает Data Processing Addendum, дополняющее Customer Terms of Service» — оформляется через форму, автоматически не включается.
• Расположение: резидентность данных начиная с Business+: Франкфурт, Париж, Стокгольм, Цюрих, Лондон. Охвачены сообщения, canvases, файлы и поисковый индекс; не охвачены профили участников и аналитика использования. Тариф Free хранит 90 дней истории сообщений.
• Язык: «Translate message» на Business+ и Enterprise+, по запросу для каждого сообщения; «переводы видны только вам, поэтому другие люди всегда будут видеть исходное сообщение».

InterMIND

Мы строим пространство для коммуникации, в котором каждый участник читает встречи, чат, документы и их историю на своём языке, и проверяем его теми же семью критериями:

1. DPA: подписывается с каждым клиентом: условия обработчика по ст. 28, уведомление о новых субпроцессорах за 30 дней и 72 часа на уведомление об утечке; подписанная копия доступна для закупок (/legal/dpa).
2. Юрлицо и расположение: оператор — эстонская OÜ; рантайм в ЕС на каждом участке: перевод голоса и чата на нашем собственном движке на выделенных серверах во Франции, оркестрация встреч в Париже, база данных во Франкфурте, хранилище и аналитика в ЕС. Карта по вендорам: где на самом деле работает одна встреча InterMIND.
3. Шифрование: транспортное шифрование: аудио и видео по DTLS/SRTP, чат и файлы по HTTPS/WSS, на наших серверах данные шифруются при хранении. Сквозного шифрования нет: перевод — это обработка, и она происходит на нашем движке, а не у третьей стороны. Если для вас E2EE важнее всего остального, лучше подойдут Element, Wire или Threema, и мы говорим об этом прямо.
4. Метаданные и адресная книга: адресная книга не загружается; участники подключаются по ссылке, без аккаунта и без номера телефона.
5. Удаление и хранение: критерий хранения прописан в политике конфиденциальности: данные хранятся, пока вы или владелец вашей команды их не удалите; удаление аккаунта удаляет его данные. Мы провели аудит собственного кода на соответствие обязанностям по GDPR и задокументировали, что закрыли: аудит GDPR.
6. Субпроцессоры: опубликованы, с указанием функции и юрисдикции каждого вендора. Шаги с языковыми моделями (рекап, краткие содержания документов, ассистент для письма, Ask AI) выполняются на AI-шлюзе, который выбирает организация: по умолчанию Azure OpenAI в EU Data Zone, по выбору Vertex AI EU или Amazon Bedrock во Франкфурте. Работа идёт в собственном тенанте InterMIND с нулевым хранением данных и без обучения на содержимом клиентов; вендоры — американские компании с европейскими регионами, это указано на странице доверия. Перевод документов выполняется через DeepL как названного субпроцессора в ЕС.
7. Язык для каждого участника: чат и заметки на 23 языках, документы на 30, живая речь для каждого участника на его языке — как поведение комнаты по умолчанию, без дополнений и лицензий на слушателя. Качество публикуется ежемесячно по каждой языковой паре: /benchmark.

Чего мы не заявляем: сертификата ISO, которого у нас пока нет. Наш ответ на чек-лист архитектурный и проверяемый по коду; сертификации есть в дорожной карте.

Сводная таблица

Какой мессенджер для какого случая

• Сквозное шифрование — ваш главный критерий, а перевод неважен: Threema Work (Швейцария, без номера телефона), Wire (MLS, включая звонки), Stackfield (немецкие дата-центры) или Element (self-hosted, бесплатно в редакции Community).
• Всё должно работать на ваших собственных серверах, и у вас есть для этого специалисты: Rocket.Chat (бесплатно до 50 пользователей, перевод через ключ вашего провайдера), Mattermost Enterprise Advanced (бета-перевод каналов на вашем LibreTranslate или LLM), Nextcloud Talk.
• Вы в любом случае клиент Microsoft или Slack: оба документируют DPA и резидентность в ЕС: Teams через регион тенанта и EU Data Boundary, Slack начиная с Business+. Перевод выполняется для каждого читателя по запросу; язык встречи в Teams зависит от лицензий Copilot.
• Команда работает в WhatsApp, Signal или Telegram: сервисы, документированные для личной переписки, частично со сквозным шифрованием, но без задокументированного DPA, с историей на устройствах или в облаке вендора, а в WhatsApp ещё и с передачей данных об использовании и устройствах компаниям Meta в США. У DPO появятся вопросы, на которые документация не отвечает.
• Сам канал многоязычный: коллеги и клиенты отвечают друг другу на трёх языках, гости приходят без ваших лицензий, а команда по комплаенсу хочет назвать расположение. Для такого случая мы и делаем InterMIND: каждый участник читает пространство на своём языке, гости заходят по ссылке без ваших лицензий; ЕС на каждом участке, DPA с каждым клиентом и опубликованные субпроцессоры — это одна строка для DPO.

Увидеть, а не читать

• Попробуйте живое демо — без регистрации; говорите и слушайте, как комната переводится для каждого слушателя на любой из 23 языков.
• Посмотрите бенчмарк — ежемесячное качество перевода по каждой паре на реальном трафике, с публичной методологией.
• Изучите субпроцессоров — функция и юрисдикция каждого вендора, запрос не нужен.

FAQ

Какие мессенджеры соответствуют GDPR?

Ни один сам по себе: обязанности лежат на компании. Проверить можно другое: делает ли вендор их выполнимыми. DPA задокументировано у Microsoft Teams (через Product Terms), Slack (через форму), Threema Work (вендор: обработка в соответствии с GDPR/DSG) и InterMIND (с каждым клиентом, ст. 28); Teamwire и Wire называют себя соответствующими GDPR. Для WhatsApp, Signal и Telegram в документации DPA не названо (проверено в августе 2026). Self-hosted сервисы — Element, Mattermost, Rocket.Chat, Nextcloud — переносят этот вопрос в вашу собственную эксплуатацию.

Соответствует ли Signal требованиям GDPR?

Signal документирует сквозное шифрование («Signal не может расшифровать содержимое ваших сообщений или звонков или иным образом получить к нему доступ») и технические данные, ограниченные минимумом; сторона по договору — Signal Messenger LLC в Калифорнии, регистрация по номеру телефона. В юридических документах не названо соглашение об обработке данных для компаний. Личное использование — это одна картина, корпоративное, которое должно удовлетворять ст. 28, — другая.

Соответствует ли WhatsApp требованиям GDPR для бизнеса?

WhatsApp Ireland документирует сквозное шифрование и удаление доставленных сообщений со своих серверов, а одновременно с этим данные об использовании и устройстве, необязательную загрузку адресной книги и передачу «компаниям Meta в Соединённых Штатах и Ирландии». В политике конфиденциальности для приложения DPA не названо; приложение Business, по словам вендора, создано для владельцев малого бизнеса. Тот, кто использует WhatsApp в компании, должен сам обосновывать эти моменты перед DPO.

Соответствует ли Telegram требованиям GDPR?

Telegram заявляет, что данные ЕС хранятся в Нидерландах, и называет представителя в ЕС (EDPO, Брюссель); облачные чаты шифруются на стороне сервера, ключи хранятся «в нескольких других дата-центрах в разных юрисдикциях», сквозное шифрование только в секретных чатах. DPA не задокументировано. Это задокументированная ситуация с данными, но не соответствие GDPR в смысле ст. 28.

Соответствует ли Microsoft Teams требованиям GDPR?

Microsoft документирует DPA как часть Product Terms, хранение данных Teams в регионе тенанта (резидентность по странам только для новых тенантов) и EU Data Boundary для клиентов Microsoft 365 из ЕС/EFTA, с документированными исключениями. Для компаний, которые и так работают в Teams, это надёжная основа; функции перевода во встречах зависят от лицензий Copilot у организатора и слушателей.

Что должен предлагать мессенджер для компаний, соответствующий GDPR?

Шесть задокументированных ответов вместо значка: DPA по ст. 28, названные юрлицо и расположение серверов без необъяснённой передачи в третьи страны, названная модель шифрования, контроль над адресной книгой и метаданными, концепция удаления, охватывающая уход сотрудника, и опубликованный список субпроцессоров, включая AI-сервисы и сервисы перевода. Для международных команд добавляется седьмой пункт: мессенджер, который хранит канал только в оригинале, перекладывает перевод на каждого отдельного человека.

Есть ли бесплатный мессенджер для компаний, соответствующий GDPR?

Бесплатные и self-hosted: Rocket.Chat Starter (до 50 пользователей) и Element Community; обязанности по GDPR при этом целиком ложатся на вашу собственную эксплуатацию. Threema Work предлагает 30 дней для 30 пользователей без платёжных данных. В InterMIND участие бесплатно для каждого участника — вход по ссылке без аккаунта, а живое демо не требует регистрации; за комнату платит хост.

Источники: BfDI — Критерии выбора мессенджеров (на немецком), WhatsApp — Политика конфиденциальности (EEA), WhatsApp — Политика конфиденциальности, Блог WhatsApp — Представляем переводы сообщений, Приложение WhatsApp Business, Signal — Условия и политика конфиденциальности, Telegram — Политика конфиденциальности, Блог Telegram — Перевод в реальном времени, Threema — Мессенджер, соответствующий GDPR (на немецком), Teamwire — Мессенджер, соответствующий GDPR (на немецком), Wire — Wire vs. MS Teams (на немецком), Stackfield — Альтернатива Microsoft Teams (на немецком), Element — Цены, Mattermost — Цены, Mattermost — Настройка автоперевода (бета), Rocket.Chat — Наши планы, Rocket.Chat — Автоперевод сообщений, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Расположение данных в Microsoft Teams, Microsoft Learn — Что такое EU Data Boundary?, Microsoft — Перевод сообщения в Microsoft Teams, Microsoft — Interpreter во встречах и звонках Teams, Slack — Data Processing Addendum, Slack — Резидентность данных в Slack, Slack — Цены, Slack — Руководство по AI-функциям в Slack. Вендоры со временем меняют тарифы, расположение, функции и самоописания; актуальное состояние смотрите на их страницах. Все факты проверены в августе 2026 года.