Видеоконференции, соответствующие GDPR (2026): что для этого нужно на самом деле (и альтернатива Zoom, которая переводит)

Надпись «GDPR-compliant» на главной странице видеоплатформы почти ничего не значит. GDPR — это не сертификат, который можно получить, а набор обязанностей для вас, оператора персональных данных. Вендор либо помогает вам их выполнять, либо молча оставляет их на вашем столе. Полезный вопрос звучит не так: «Соответствует ли этот инструмент GDPR?» Он звучит так: «За что этот инструмент делает ответственным меня и куда на самом деле попадают данные моих встреч?»

🔒 Обновление — мы проверили сами себя. С момента публикации этого материала мы прогнали кодовую базу InterMIND через весь приведённый ниже чек-лист и закрыли каждый пункт: удаление данных, хранение, рантайм в ЕС, субобработчиков. Всё проверено по коду, а не заявлено на странице. → Читайте итоговый отчёт аудита по пунктам.

Этот материал — версия того же вопроса простым языком. Здесь собран чек-лист, по которому на самом деле работает DPO, показано, где по нему находится Zoom (честно: он более способен к соблюдению требований, чем принято думать), и где ответ меняет альтернатива с рантаймом в ЕС. Если вам нужна более широкая рамка «как должны работать встречи в реальном времени», это основное руководство; этот же материал посвящён именно уровню защиты данных.

Чек-лист простым языком

Если убрать маркетинг, «видеоконференции, соответствующие GDPR» сводятся к семи пунктам, которые можно проверить:

1. Подписанный DPA. Соглашение об обработке данных (Data Processing Addendum), где вендор назван вашим обработчиком, с задокументированными целями и инструкциями. Нет DPA — нет законной обработки, точка.
2. Реальный список субобработчиков. Каждая третья сторона, которая касается данных встречи (транскрибация, хранение, почта, аналитика, AI-функции), названа с указанием, что она делает и где зарегистрирована.
3. Где данные обрабатываются в рантайме. Физический регион, в котором обрабатываются ваше аудио, транскрипты, записи и метаданные. Именно об этом на самом деле большинство условий о резидентности данных.
4. Механизм международной передачи данных. Если какие-либо данные покидают EEA, то на каком правовом основании? Стандартные договорные условия (SCC), решение об адекватности или схема с резидентностью, которая вообще исключает передачу. Это вопрос Schrems II, и он не исчезает оттого, что на главной странице написано «compliant».
5. Аудируемая безопасность. ISO 27001, ISO 27701, SOC 2 — независимые аттестации, а не самооценка.
6. Инструменты для прав субъектов данных. Можете ли вы на практике выполнять запросы на доступ, удаление и перенос данных встреч, или только в теории?
7. Хранение и удаление под вашим контролем. Записи, транскрипты и AI-саммари удаляются по вашему графику, а не по умолчанию вендора.

Инструмент «соответствует GDPR» для ваших целей только тогда, когда у всех семи пунктов есть конкретные ответы. Большинство главных страниц не отвечают ни на один.

Где на самом деле находится Zoom (честно)

Zoom лучше приспособлен к GDPR, чем следует из его репутации, и важно сказать об этом точно, а не набирать дешёвые очки:

• Он публикует глобальный DPA со встроенными стандартными договорными условиями ЕС 2021 года.
• Он предлагает резидентность данных в ЕС («Zoom EU Infrastructure») для клиентов Enterprise и Education, охватывающую Meetings, Webinar, Chat, Phone и Contact Center.
• Он имеет ISO 27001 и, с февраля 2026 года, ISO 27701 (расширение для управления приватностью), а также опубликованные меры контроля суверенитета для госсектора ЕС.

Поэтому правильно настроенное развёртывание Zoom на подходящем тарифе может закрыть большую часть чек-листа. Честные оговорки касаются настроек по умолчанию и места регистрации, а не возможностей:

• Резидентность в ЕС — это дополнение, зависящее от тарифа и настройки, а не режим по умолчанию. Она есть в Enterprise/Education, и её нужно включить. Бесплатные и младшие платные тарифы её не получают. «Мы используем Zoom» и «мы используем Zoom, настроенный на резидентность в ЕС» — это разные факты для закупки.
• Zoom — компания, зарегистрированная в США. Даже при SCC и резидентности в ЕС корпоративная юрисдикция вендора входит в оценку по CLOUD Act и по критериям суверенитета. Для стандартного GDPR это решается через SCC; для французского souveraineté numérique или закупок уровня SecNumCloud сама корпоративная юрисдикция является критерием, и разговор тут сложнее.
• Встреча по-прежнему идёт на одном языке. Переведённые субтитры Zoom и AI Companion помогают, но комната не становится по-настоящему многоязычной, когда каждый участник слышит встречу вживую на своём языке. Если ваша проблема с комплаенсом — ещё и языковая (трансграничные аудиты, CAPA-ревью на нескольких площадках), этот пробел остаётся нерешённым независимо от того, где лежат данные.

Коротко: Zoom может соответствовать GDPR при правильной настройке. Достаточно ли этого, зависит от того, насколько ваш покупатель чувствителен к вопросам суверенитета и многоязычны ли ваши встречи.

Где на чек-листе находится InterMIND

InterMIND — это пространство, которое хост предоставляет своей команде и клиентам, каждому на его языке: встречи, чат, файлы, рекап. На чек-лист выше здесь отвечают по умолчанию, а не отдельным проектом по настройке. Структурная часть ответа (не обещание) — где работает встреча. Это одна строка для DPO, проверенная по реальному развёртыванию:

• Каждый шаг в рантайме проходит в ЕС. Приложение и серверные API на Vercel во Франкфурте (fra1); WebSocket-сервер встречи на Fly в Париже (cdg); данные приложения в Neon Postgres на AWS во Франкфурте (eu-central-1); записи на Tigris с возможностью закрепления за ЕС; ошибки и аналитика в Sentry EU и PostHog EU; транзакционная почта через Resend в Ирландии.
• Движок перевода — наш собственный код, во Франции (OVH), а не универсальная американская модель, которую мы перепродаём. Самый крупный поток содержимого встреч остаётся в ЕС и никогда не касается сторонних LLM. Перевод документов идёт в DeepL в Кёльне, тоже европейскую компанию.
• Список субобработчиков с данными о корпоративной юрисдикции поставляется вместе с DPA как стандартная практика, а не по запросу.

Содержимое встречи попадает в один AI-шлюз в ЕС, и выбирает его организация. Всё, что получено из встречи и требует языковой модели (пост-встречный AI-дайджест с темами, решениями и action items, саммари документов, генеративные действия AI-редактора заметок — исправить, расширить, упростить — и Ask AI), работает на AI-шлюзе, который выбирает ваша организация. По умолчанию это Azure OpenAI в EU Data Zone, по выбору — Vertex AI на мультирегиональной конечной точке ЕС или Amazon Bedrock во Франкфурте, каждый в нашем собственном тенанте, с нулевым хранением данных и без обучения на содержимом клиентов; либо ваша собственная OpenAI-совместимая конечная точка. Пост-встречное саммари и действие редактора «перевести» идут через тракт перевода, а не через языковую модель. Вендоры, стоящие за размещаемыми шлюзами, — американские компании, работающие в регионах ЕС. Мы говорим об этом прямо на странице доверия, а не скрываем. Корпоративная юрисдикция — это критерий, который закупки уровня суверенитета добавляют сверх GDPR, и к этому шагу он применяется точно так же, как к Zoom выше. Полная карта по вендорам есть в материале Где на самом деле работает одна встреча InterMIND, а взгляд «строить или покупать» — в материале Из чего собрана одна встреча InterMIND.

Одно мы не заявляем: мы не будем размахивать сертификатом ISO, которого у нас пока нет. Наш ответ на чек-лист архитектурный: рантайм в ЕС, собственный движок, прозрачные субобработчики, настоящий DPA. Мы предпочитаем, чтобы вы проверили это, а не доверяли значку. Сертификации есть в планах; рантайм реален уже сегодня. Мы прогнали собственную кодовую базу через именно этот чек-лист и закрыли каждый пункт по коду — итоговый отчёт по пунктам.

И то, чего настройки резидентности Zoom добавить не могут: встреча многоязычна по своей конструкции. Каждый участник слышит её вживую на своём языке среди 23 языков, включая голос, чат и заметки, а качество перевода публикуется открыто, а не просто заявляется. Как это работает, описано в основном руководстве; сценарий для регулируемых встреч разобран в материале многоязычные встречи по комплаенсу.

Чек-лист в виде таблицы

Семь пунктов в сравнении двух инструментов, о которых подробно говорится в этом материале. В ячейках указано только то, что каждый вендор документирует (ссылки на Zoom — в разделе «Источники» ниже; утверждения об InterMIND проверены по пунктам в итоговом отчёте аудита и карте рантайма). Для любого другого вендора добейтесь, чтобы он ответил в письменном виде на вопросы из левой колонки.

FAQ

Соответствует ли Zoom GDPR? Может соответствовать — на подходящем тарифе и при правильной настройке. Zoom публикует глобальный DPA с SCC ЕС 2021 года, предлагает резидентность данных в ЕС для клиентов Enterprise и Education и имеет ISO 27001 и (с февраля 2026 года) ISO 27701. Честные оговорки: резидентность в ЕС — это дополнение, зависящее от тарифа и настройки, а не режим по умолчанию, и Zoom остаётся компанией, зарегистрированной в США. Для стандартного GDPR это решается через SCC, но в закупках уровня суверенитета это реальный критерий.

Что делает инструмент для видеоконференций соответствующим GDPR? Семь проверяемых пунктов, а не значок на главной странице: подписанный DPA, реальный список субобработчиков, задокументированный регион в рантайме, законный механизм международной передачи, независимо аудированная безопасность, работающие инструменты для прав субъектов данных и хранение, которым вы управляете. Вендор соответствует требованиям для ваших целей, когда на все семь пунктов есть конкретные ответы в письменном виде.

Требует ли GDPR, чтобы видеовстречи оставались в ЕС? Нет. GDPR требует законного механизма передачи (SCC, решение об адекватности), когда данные покидают EEA, а не резидентности как таковой. Резидентность важна, потому что полностью снимает вопрос передачи: анализ после Schrems II становится коротким, когда данные никуда не уходят. В этом разница между «соответствием на бумаге» и «нечего оформлять бумагами».

Какие инструменты для видеоконференций работают целиком в ЕС? Попросите у любого вендора карту рантайма: регион для каждого шага — приложение, API, медиа встречи, база данных, записи, аналитика, почта, AI-функции. InterMIND публикует именно такую карту (каждый шаг, вендор за вендором): Vercel Франкфурт, Fly Париж, Neon Франкфурт, движок перевода на OVH во Франции, AI-функции на шлюзе, который выбирает организация, в регионе ЕС (по умолчанию Azure OpenAI EU Data Zone). Какой бы инструмент вы ни оценивали, ответом служит карта, а не маркетинговая страница.

Для какого хоста этот ответ

Для владельца или руководителя организации на 10–200 человек, чья команда или клиенты говорят на другом языке, которая уже работает в Teams или Workspace и настраивает пространство без IT-отдела. Для такого хоста чек-лист закрыт по умолчанию, а разговор с DPO получается коротким; остаётся решить, идёт ли сама встреча на языке каждого участника. Госзакупки уровня суверенитета, где юрисдикция вендора сама входит в спецификацию, — это другой разговор, и мы говорим об этом прямо, а не преувеличиваем.

Попробуйте, затем прочитайте карту данных

• Попробуйте живую демонстрацию — послушайте живой многоязычный конвейер на настоящей встрече и почувствуйте, каково это, когда «рантайм в ЕС и многоязычность» работают вместе. Регистрация не нужна.
• InterMIND и Zoom — функция за функцией, честно.
• Где на самом деле работает одна встреча InterMIND — полная карта вендоров, включая пробел.

«Видеоконференции, соответствующие GDPR» — это чек-лист, а не значок. Какой бы инструмент вы ни выбрали, наш или другой, добейтесь, чтобы вендор письменно ответил на все семь вопросов. Те, кто может, заслуживают вашего времени; те, кто не может, продают вам главную страницу.

— Команда Mind.com

Источники по Zoom: Zoom — GDPR, Zoom — резидентность данных в ЕС / приватность в Европе, Zoom — ISO 27701, проверено в августе 2026 года. Предложения и тарифы вендоров меняются; сверяйте актуальную конфигурацию со страницами доверия Zoom. Факты о рантайме InterMIND проверены по реальному развёртыванию, как описано в связанном материале о карте данных.