Видеоконференции, соответствующие GDPR: что для этого нужно на самом деле (и альтернатива Zoom с функцией перевода) — Блог

Надпись «соответствует GDPR» на главной странице видеоплатформы практически лишена смысла. GDPR — это не сертификат, который можно получить. Это набор обязательств для вас, как контролера данных, которые вендор либо помогает выполнить, либо тихо оставляет вам на стол. Правильный вопрос не «соответствует ли этот инструмент GDPR?», а «за что этот инструмент заставляет меня отвечать и куда на самом деле попадают данные моей встречи?»

🔒 Обновление — мы применили это к себе. С момента публикации этого поста мы пропустили кодовую базу InterMIND через полный чек-лист ниже и закрыли каждый пункт — стирание, хранение, рантайм в ЕС, субпроцессоры — проверив это по коду, а не просто заявив на странице. → Читайте отчет об аудите, строка за строкой.

Этот пост — понятное объяснение этого вопроса: чек-лист, по которому на самом деле работает DPO, где в нем находится Zoom (объективно — он более способен соответствовать требованиям, чем кажется в интернете), и где альтернатива с рантаймом в ЕС меняет ответ. Если вас интересует более широкий контекст «как должны работать встречи в реальном времени», обратитесь к руководству; этот пост посвящен конкретно уровню защиты данных.

Понятный чек-лист

Уберите маркетинг, и «соответствие видеоконференций GDPR» сводится к семи вещам, которые вы можете реально проверить:

Подписанный DPA. Приложение об обработке данных, в котором вендор указан как ваш процессор, с задокументированными целями и инструкциями. Нет DPA — нет законной обработки. Точка.
Реальный список субпроцессоров. Каждая третья сторона, имеющая доступ к данным встречи — транскрибация, хранение, email, аналитика, ИИ-функции — названа по имени, с указанием того, что они делают и где они зарегистрированы.
Где данные обрабатываются во время выполнения (в рантайме). Физический регион, в котором обрабатываются ваше аудио, транскрипты, записи и метаданные. Именно об этом на самом деле говорят большинство положений о резидентности данных.
Механизм международных трансферов. Если какие-либо данные покидают EEA, на какой правовой основе? Стандартные контрактные условия (SCCs), решение об адекватности или настройка резидентности, которая полностью исключает трансфер. Это вопрос Schrems II, и он не исчезает просто потому, что на главной странице написано «соответствует».
Уровень безопасности, который можно аудировать. ISO 27001, ISO 27701, SOC 2 — независимые подтверждения, а не самооценка.
Инструменты для прав субъектов данных. Можете ли вы на самом деле выполнять запросы на доступ, удаление и портативность данных встреч, или только в теории?
Хранение и удаление под вашим контролем. Записи, транскрипты и ИИ-резюме удаляются по вашему графику, а не по стандартным настройкам вендора.

Инструмент «соответствует GDPR» для ваших целей только тогда, когда у всех семи пунктов есть конкретные ответы. Большинство главных страниц не отвечают ни на один из них.

Где на самом деле стоит Zoom (объективно)

Zoom более способен соответствовать GDPR, чем гласит его репутация, и стоит быть точным в этом вопросе, а не искать дешевые очки:

Он публикует глобальный DPA со встроенными Стандартными контрактными условиями ЕС 2021 года.
Он предлагает резидентность данных в ЕС — «Zoom EU Infrastructure» — для клиентов Enterprise и Education, охватывая Meetings, Webinar, Chat, Phone и Contact Center.
Он имеет сертификаты ISO 27001 и, по состоянию на февраль 2026 года, ISO 27701 (расширение для управления конфиденциальностью), а также опубликованные элементы управления суверенитетом для государственного сектора ЕС.

Таким образом, правильно настроенное развертывание Zoom на нужном тарифе может удовлетворить большинство пунктов чек-листа. Честные оговорки касаются значений по умолчанию и юрисдикции регистрации, а не возможностей:

Резидентность в ЕС — это надстройка уровня и конфигурации, а не значение по умолчанию. Она доступна на Enterprise/Education, и ее нужно включить. Бесплатные и более дешевые платные тарифы ее не получают. «Мы используем Zoom» и «мы используем Zoom, настроенный на резидентность в ЕС» — это разные факты с точки зрения закупок.
Zoom — это компания, зарегистрированная в США. Даже с SCC и резидентностью в ЕС корпоративная юрисдикция вендора попадает в сферу действия CLOUD-Act и оценок уровня суверенитета. Для стандартного GDPR это решается с помощью SCC; для французского souveraineté numérique или закупок уровня SecNumCloud корпоративная юрисдикция сама по себе является критерием, и это более сложный разговор.
Встреча все равно проходит на одном языке. Переведенные субтитры Zoom и AI Companion помогают, но комната не становится по-настоящему мультиязычной — где каждый участник слушает встречу вживую на своем языке. Если ваша проблема соответствия требованиям также является языковой проблемой (трансграничные аудиты, многосайтовые CAPA-обзоры), этот пробел остается нерешенным независимо от того, где хранятся данные.

Короткая версия: Zoom может соответствовать GDPR при соответствующей настройке. Достаточно ли этого, зависит от того, насколько ваш покупатель чувствителен к вопросам суверенитета — и являются ли встречи мультиязычными.

Альтернатива с рантаймом в ЕС

Мы создали InterMIND так, чтобы ответ о резидентности данных был по умолчанию, а не проектом по настройке — и чтобы встреча действительно могла быть мультиязычной. В чек-листе выше та часть, которая является структурной, а не обещанной — это место выполнения встречи. Это проверено на действующем развертывании:

Каждый шаг рантайма находится в ЕС. API приложения и сервера на Vercel во Франкфурте (fra1); сервер WebSocket для встреч на Fly в Париже (cdg); данные приложения в Neon Postgres на AWS во Франкфурте (eu-central-1); записи на Tigris с возможностью привязки к ЕС; ошибки/аналитика на Sentry EU и PostHog EU; транзакционные email через Resend в Ирландии.
Движок перевода — наш собственный код во Франции (OVH) — а не американская модель общего назначения, которую мы перепродаем. Самый большой поток данных встреч остается резидентом ЕС и никогда не касается сторонней LLM. Перевод документов отправляется в DeepL в Кельне — также компанию в ЕС.
Список субпроцессоров с указанием корпоративной юрисдикции поставляется вместе с DPA в качестве стандартной практики, а не по запросу.

Ни один фрагмент данных встречи не попадает в модель, зарегистрированную в США. Все, что извлекается из встречи и требует языковой модели, остается на процессорах в ЕС: пост-встречный ИИ-дайджест (темы, решения, пункты действий) выполняется на размещенной в ЕС модели Mistral с нулевым хранением данных; пост-встречное резюме и ИИ-редактор заметок переводятся через наш собственный движок в ЕС, а генеративные действия редактора (исправить, расширить, упростить) выполняются на том же EU Mistral. Единственное место, где американская модель все еще используется, не касается данных встреч: наш публичный бенчмарк качества перевода оценивает машинные переводы эталонных предложений FLORES-200 — фиксированного публичного набора данных, а не чьих-либо звонков. Полная карта по каждому вендору находится в Где на самом деле выполняется одна встреча InterMIND, а взгляд на выбор между сборкой и покупкой — в Из чего состоит одна встреча InterMIND.

Чего мы не заявляем: мы не будем размахивать сертификатом ISO, которого у нас еще нет. Наш ответ на чек-лист — архитектурный: рантайм в ЕС, собственный движок, прозрачные субпроцессоры, настоящий DPA — и мы предпочитаем, чтобы вы проверили это, а не доверяли бейджу. Сертификации в roadmap; рантайм реален уже сегодня. Мы пропустили нашу собственную кодовую базу через этот самый чек-лист и закрыли каждый пункт по коду — отчет о закрытии, строка за строкой.

И то, что настройки резидентности Zoom не могут добавить: встреча мультиязычна по дизайну — каждый участник слушает вживую на своем языке среди 24 языков, голос, чат и заметки, с открыто опубликованным качеством перевода вместо голословных заявлений. Как это работает, описано в руководстве; сценарий использования для регулируемых встреч — в мультиязычные встречи по комплаенсу.

Для какого покупателя это

Немецкий Mittelstand и регулируемые команды в ЕС, использующие стандартные GDPR DPA: рантайм в ЕС на каждом шаге напрямую отвечает на вопрос о резидентности без повышения тарифа или проекта по резидентности. Разговор о механизмах трансфера становится намного короче, когда данные никуда не уходят.
Государственный сектор Франции и закупки уровня souveraineté, где корпоративная юрисдикция вендора сама по себе является частью спецификации: это более глубокий разговор о топологии развертывания, и мы проведем его честно, а не преувеличивая выгоды.
Покупатели внутри США и в APAC: резидентность обычно не является ограничением — ограничением является задержка из вашего региона. Другая проблема; скажите нам, и мы спланируем ее.

Попробуйте, а затем прочитайте карту данных

/demo — запустите живой мультиязычный конвейер на собственном аудио и услышьте, каково это на самом деле — «рантайм в ЕС и мультиязычность».
InterMIND против Zoom — честное сравнение функция за функцией.
Где на самом деле выполняется одна встреча InterMIND — полная карта вендоров, включая пробелы.

«Видеоконференции, соответствующие GDPR» — это чек-лист, а не бейдж. Какой бы инструмент вы ни выбрали — наш или другой — заставьте вендора ответить на все семь вопросов письменно. Те, кто может, стоят вашего времени; те, кто не может, продают вам главную страницу.

— Команда Mind.com

Источники по Zoom: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701. Предложения и тарифы вендоров меняются; проверяйте текущую конфигурацию на страницах безопасности Zoom. Факты о рантайме InterMIND проверены на действующем развертывании, как описано в связанном посте о карте данных.