Мы завершили аудит GDPR. Вот что мы на самом деле закрыли.

Несколько недель назад мы писали, что «соответствие GDPR» на главной странице видеосервиса значит меньше, чем вам кажется: GDPR — это набор обязанностей для вас, контролёра данных, и вендор либо помогает вам их выполнить, либо молча оставляет их на вашем столе. Честный способ подтвердить это утверждение — сделать работу на своей стороне и показать её, пункт за пунктом.

Так мы и поступили. Мы провели полный аудит кодовой базы InterMIND на соответствие обязанностям, которые лежат на нас как на обработчике данных, исправили каждый пробел, за которым стоял код, и проверили каждое исправление на работающем продукте. Этот пост — итоговый отчёт: не бейдж, а чек-лист с нашими ответами.

Мы сознательно не заявляем «100% сертификацию GDPR». GDPR — это не сертификат, который можно получить, сдав экзамен, и мы не будем размахивать бейджем ISO, которого у нас пока нет. Что мы можем сказать: на архитектурные и процессные требования, которые разбирает DPO, теперь есть конкретные, проверяемые ответы, и каждый из них сверен с работающим кодом.

Что мы закрыли

Право на удаление (ст. 17): каскад действительно работает

Удаление аккаунта — это не просто его деактивация. POST /api/user/delete-account запускает настоящий каскад: удаляет ваши встречи → участников, сообщения, конференции, транскрипции; очищает ваши объекты в хранилище Tigris до каскада в базе данных, чтобы ничего не осталось «осиротевшим» — вложения чата и файлы видеозаписей, оба столбца; а также отменяет ваши подписки в Stripe и удаляет клиента в Stripe. Есть и удаление по запросу: удалите канал или сообщение в интерфейсе, и оно исчезнет. У анонимных (гостевых) аккаунтов есть собственный эндпоинт удаления и фоновая очистка каждые 6 часов под мониторингом cron. Аудит выявил здесь один пробел — блобы записей, которые каскад в базе данных удалял, а хранилище сохраняло, — и мы его закрыли: теперь после удаления в объектном хранилище ничего не остаётся.

Хранение (ст. 5(1)(e)): документированный критерий

Ст. 5(1)(e) не требует автоматического срока жизни данных (TTL). Она требует определённого критерия хранения. Наш теперь записан в Политике конфиденциальности: данные хранятся, пока вы или владелец вашей команды их не удалите, а удаление аккаунта стирает всё. Так работают и такие инструменты для совместной работы, как Slack и Notion: сохранность данных — ожидаемое поведение, и вы сами управляете ею. Критерий сформулирован явно, а не подразумевается.

Согласие на аналитику (ст. 6/7): по умолчанию отказ

Баннер согласия Usercentrics (его видят посетители из ЕС) ограничивает аналитику, а PostHog поставляется с opt_out_capturing_by_default: true: пока согласие не дано, ничего не фиксируется, а не наоборот.

Переносимость данных (ст. 20): настоящий экспорт

GET /api/user/export формирует ZIP-архив с вашими встречами, сообщениями, записями и переводами, с 7-дневным окном для скачивания и автоматической очисткой. Доступ, удаление и переносимость — это работающие инструменты, а не обещания в политике.

Содержимое встреч попадает в один AI-шлюз в ЕС, который выбирает организация

Самый крупный поток содержимого встреч — голосовой и чат-перевод в реальном времени — работает на нашем собственном движке во Франции, а не на сторонней LLM. Этапы с ИИ, которые действительно используют универсальную модель (дайджест, сводки документов, генеративные действия редактора заметок, Ask AI), работают через AI-шлюз, который выбирает организация: по умолчанию Azure OpenAI в EU Data Zone, по выбору Vertex AI EU или Amazon Bedrock Frankfurt, каждый в нашем собственном тенанте с нулевым хранением данных и без обучения на содержимом клиентов, либо собственная конечная точка организации; один резолвер в коде выбирает шлюз для каждой точки вызова, так что второго пути нет. Мы также убрали имена участников и текст реплик из браузерных логов конференции, которые мог бы захватывать PostHog session-recording. Полная карта по вендорам приведена в статье Где на самом деле работает одна встреча InterMIND.

Прозрачность: субпроцессоры и записи об обработке опубликованы

Список субпроцессоров опубликован: что делает каждый вендор и в какой юрисдикции он зарегистрирован, а не «предоставляется по запросу». За ним стоит реестр действий по обработке (ROPA), построенный по действующей схеме: 11 операций обработки, меры безопасности для каждой и пути удаления и переноса данных. Наши Политика конфиденциальности и Условия использования теперь действуют от имени нашего собственного юридического лица, с описанием реальной цепочки обработки.

EU runtime: закреплён, а не обещан

Каждый узел, через который проходит встреча, находится в ЕС: приложение и API на Vercel Frankfurt, сервер встреч на Fly Paris, данные приложения в Neon Postgres (AWS Frankfurt), ошибки в Sentry EU, аналитика в PostHog EU, почта через Resend Ireland. Объектное хранилище Tigris теперь закреплено за регионами ЕС (Франкфурт + Амстердам): каждая новая запись попадает в ЕС независимо от того, где находится пользователь. Полная архитектура описана на нашей странице о безопасности.

Почему это важно для ваших закупок

Для большинства покупателей из ЕС — немецкого Mittelstand, регулируемых команд со стандартными DPA по GDPR — вопрос о резидентности данных теперь имеет прямой ответ: во время работы данные не покидают ЕС, удаление работает, критерий хранения сформулирован, а список субпроцессоров открыт. Это куда более короткий разговор, чем «мы вернёмся к вам с ответом о том, куда уходят данные».

Для французского souveraineté numérique и закупок уровня SecNumCloud корпоративная юрисдикция вендора сама по себе является критерием. Это более глубокий разговор о топологии развёртывания, и мы проведём его честно, а не будем приукрашивать. И единственное, чего мы не сделаем, — не станем размахивать сертификатом ISO, которого у нас пока нет: сертификация есть в планах, но наш ответ на чек-лист архитектурный и проверяемый уже сегодня.

Убедитесь сами

• Видеоконференции, соответствующие GDPR: полный чек-лист для DPO — семь вопросов, на которые должен ответить любой вендор, и где в этом списке Zoom.
• Где на самом деле работает одна встреча InterMIND — карта вендоров с указанием пробелов.
• Конфиденциальна ли ваша встреча? — три вопроса, которые стоит задать до того, как появится чек-лист DPO.
• Безопасность и конфиденциальность · Субпроцессоры · Политика конфиденциальности · Условия использования
• Попробуйте живое демо — послушайте, как работает многоязычный конвейер в реальном времени на runtime в ЕС, на настоящей встрече — регистрация не нужна.

Соответствие GDPR — это не бейдж, который можно купить, а работа, которую вы делаете и можете показать. Это наша работа, пункт за пунктом. Если вашему DPO нужен ответ, которого в этом посте нет, напишите нам.

— Команда Mind.com

Источники: Regulation (EU) 2016/679 (GDPR) — статьи, по которым проводился аудит; внутренние утверждения проверены на кодовой базе InterMIND и работающем продукте; проверено в августе 2026 года.