Sporočilnik, skladen z GDPR, za podjetja (2026): kaj ponudniki dejansko dokumentirajo

„Kateri sporočilnik je skladen z GDPR?" je vprašanje, na katerega noben ponudnik ne more iskreno odgovoriti z „mi smo". GDPR nalaga obveznosti vam, upravljavcu: potrebujete pogodbo o obdelavi podatkov (28. člen), vedeti morate, kje podatki so in ali prehajajo v tretjo državo, znati jih morate izbrisati in odgovarjati na zahteve za dostop. Sporočilnik lahko te obveznosti naredi izpolnljive – ali pa ne. Značka na domači strani ne pove nič več od tega.

Zato ta vodnik počne nekaj drugega kot običajni seznami. Vzame šest preverjanj, ki jih pooblaščena oseba za varstvo podatkov (DPO) vseeno zahteva, in jih uporabi na dvanajstih storitvah: potrošniških sporočilnikih, v katerih podjetja dejansko delajo (WhatsApp, Signal, Telegram), poslovnih sporočilnikih iz Švice in Nemčije (Threema Work, Teamwire, Wire, Stackfield), platformah z lastnim gostovanjem (Element, Mattermost, Rocket.Chat) in obeh paketih (Microsoft Teams, Slack). Nato še InterMIND, ki ga gradimo mi – po enakih merilih in z enakim pravilom navajanja virov. Vsaka trditev izhaja iz javne dokumentacije ponudnika, preverjene avgusta 2026, in je povezana na koncu.

K njim se pridruži sedmo preverjanje, ki ga na seznamih GDPR ni nikoli in ki je v mednarodni ekipi pomembno vsak dan: v katerem jeziku vsak član bere kanal? Sporočilnik, ki sporočila hrani le v izvirniku, prevajanje prelaga na posameznika – in na storitve, ki podatke nato obdelajo še enkrat.

Šest preverjanj

Nemški zvezni pooblaščenec za varstvo podatkov (BfDI) objavlja merila za izbiro sporočilnih storitev, najuporabnejše javno merilo. Šifriranje od konca do konca opredeljuje kot sporočila, ki so „šifrirana na napravi pošiljatelja in ponovno dešifrirana šele na napravi prejemnika", našteva nastavitve zasebnosti, kot so dostop do imenika, vidnost profila, potrdila o branju, analitika uporabe in poročanje o napakah, ter zahteva izbris računa, pri katerem so podatki „takoj izbrisani". Za uporabo v podjetju se zraven dodajo obveznosti iz 28. člena. Skupaj:

1. Pogodba o obdelavi podatkov (DPA). Ali jo ponudnik ponuja – in ali je v njegovi dokumentaciji?
2. Pravna oseba in lokacija strežnikov. Kdo je vaša pogodbena stranka, kje so podatki, ali pride do prenosa v tretjo državo?
3. Šifriranje. Od konca do konca ali transportno in na strežniku? Oboje je legitimno – le poimenovati ga je treba.
4. Metapodatki in imenik. Ali se imenik naloži? Katere podatke o uporabi in napravi zbirajo in s kom jih delijo?
5. Brisanje in hramba. Kje živi zgodovina, kdo jo briše, kaj se zgodi, ko zaposleni odide?
6. Podobdelovalci. Ali so objavljeni – vključno s storitvami za funkcije umetne inteligence in prevajanje?

Plus sedmo: jezik za vsakega člana.

Potrošniški sporočilniki pri delu

WhatsApp (in aplikacija WhatsApp Business)

• Pogodbena stranka: za EGP „WhatsApp Ireland Limited".
• Šifriranje in shranjevanje: sporočila so šifrirana od konca do konca; „sporočil ne hranimo v okviru običajnega zagotavljanja naših storitev. Ko so vaša sporočila dostavljena, so izbrisana z naših strežnikov." Zgodovina zato živi na napravah zaposlenih in v njihovih varnostnih kopijah.
• Metapodatki: zbirajo se „informacije o vaši uporabi naših storitev", podatki o napravi („model strojne opreme, informacije o operacijskem sistemu, raven baterije, moč signala") in neobvezno imenik („nalaganje stikov … iz imenika vaše naprave na redni osnovi"). Podatki se delijo z „družbami Meta v Združenih državah in na Irskem" in prenašajo „po vsem svetu".
• DPA: pravilnik o zasebnosti aplikacije ne navaja pogodbe o obdelavi podatkov za podjetja (preverjeno avgusta 2026). Aplikacija Business „je zasnovana z mislijo na lastnika malega podjetja".
• Jezik: od septembra 2025 je mogoče sporočilo prevesti z dolgim pritiskom – na napravi („prevodi potekajo na vaši napravi, kjer jih WhatsApp ne vidi"); Android lahko samodejno prevaja cele klepete (ob uvedbi šest jezikov), iPhone uporablja Applov prevajalnik v več kot 19 jezikih. Glasovna sporočila in klici niso del objave.

Signal

• Pogodbena stranka: Signal Messenger LLC, Mountain View, Kalifornija – neprofitna organizacija.
• Šifriranje: „Signal ne more dešifrirati ali kako drugače dostopati do vsebine vaših sporočil ali klicev."
• Metapodatki: registracija s telefonsko številko; tehnični podatki so omejeni „na minimum, potreben za delovanje storitev".
• DPA: v pravnih dokumentih Signala ni dokumentirana (preverjeno avgusta 2026).
• Jezik: funkcija prevajanja ni dokumentirana.

Telegram

• Pogodbena stranka in lokacija: „Telegram Messenger Inc." s „Telegram FZ-LLC, članico skupine s sedežem v Dubaju"; za uporabnike v EU/EGP so „vaši podatki shranjeni v podatkovnih centrih na Nizozemskem". Predstavnik za GDPR je European Data Protection Office (EDPO) v Bruslju.
• Šifriranje: oblačni klepeti so šifrirani na strežniku – „vsi podatki so shranjeni z močnim šifriranjem, šifrirni ključi pa so v vsakem primeru shranjeni v več drugih podatkovnih centrih v različnih jurisdikcijah" – šifriranje od konca do konca imajo le skrivni klepeti: „Skrivni klepeti uporabljajo šifriranje od konca do konca."
• DPA: v pravilniku o zasebnosti ni dokumentirana (preverjeno avgusta 2026).
• Jezik: „Vsi uporabniki lahko prevajajo posamezna sporočila"; uporabniki Premium „lahko prevajajo cele klepete, skupine in kanale v realnem času s tapom na vrstico Translate na vrhu".

Vsi trije so orodja, v katerih ekipe resnično delajo. Skupno jim je: zgodovina pripada napravi ali oblaku ponudnika, ne podjetju – in pogodbe o obdelavi podatkov, ki jo zahteva 28. člen, ni v nobeni od treh dokumentacij.

Poslovni sporočilniki iz Švice in Nemčije

Threema Work

• Lokacija: Švica. Ponudnik navaja, da je prenos podatkov iz EU v Švico pravno dopusten brez dodatnega preverjanja.
• Metapodatki: Threema Work „ne zahteva osebnih podatkov (kot sta telefonska številka ali e-poštni naslov)" in „se lahko uporablja brez dostopa do imenika".
• DPA: po navedbah ponudnika Threema Work „izpolnjuje zahteve za obdelavo v imenu upravljavca, skladno z varstvom podatkov, po GDPR in švicarskem DSG".
• Preizkus: „30 dni, 30 uporabnikov. Brez samodejnega podaljšanja." Cene na uporabnika na strani niso navedene.
• Jezik: funkcija prevajanja ni dokumentirana.

Teamwire

• Lokacija: „nemški javni oblak (IONOS, certifikat C5)", „namenski zasebni oblak" ali „popolnoma lastno gostovanje (on-premise)"; „gostovanje v Nemčiji namesto v ZDA", „brez shranjevanja zunaj EU".
• Certifikati: „ISO 27001, BSI C5, certifikat TÜV"; navedeni so tudi EU GDPR, BDSG, BSI IT-Grundschutz, NIS-2, DORA in CER.
• Metapodatki: „brez dostopa do imenika" in „brez analize komunikacije".
• GDPR: ponudnik se opisuje kot „100-odstotno skladen z GDPR" – samoopis, ki ga mora DPA v vsakem primeru posebej podpreti. Cen na strani ni.
• Jezik: funkcija prevajanja ni dokumentirana.

Wire

• Lokacija: „oblak, on-premises ali hibridno".
• Šifriranje: protokol MLS; „sporočila, datoteke in klici so privzeto v celoti E2EE"; videoklici „z do 200 udeleženci", vsaka seja šifrirana od konca do konca.
• Certifikati: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: „v celoti skladen s strogimi predpisi o varstvu podatkov, vključno z GDPR" (samoopis). Cen na uporabnika na strani ni.
• Jezik: funkcija prevajanja ni dokumentirana.

Stackfield

• Lokacija: „vsa obdelava podatkov je omejena na EU, podatki sami pa se nahajajo izključno v nemških podatkovnih centrih"; podjetje je podvrženo „izključno jurisdikciji Nemčije in EU".
• Šifriranje: „pravo šifriranje od konca do konca" za sporočila, datoteke in naloge.
• Certifikati: ISO 27001, BSI C5.
• Sestanki: zvočne in video konference so vključene.
• Jezik: funkcija prevajanja ni dokumentirana.

Vsi štirje jasno odgovorijo na vprašanji o lokaciji in šifriranju, kolikor ponudnik to sploh lahko. Česar ne dokumentira nobeden: prevoda, ki poljskemu, portugalskemu in nemškemu sodelavcu omogoča, da berejo isti kanal vsak v svojem jeziku.

Platforme z lastnim gostovanjem

Element (Matrix)

• Šifriranje: „celotna platforma je privzeto šifrirana od konca do konca" – vključno z Element Call za glas in video.
• Delovanje: Community brezplačno, z lastnim gostovanjem; Enterprise na sedež na mesec, z lastnim gostovanjem; Sovereign na uvedbo, izolirano od omrežja (air-gapped).
• Jezik: funkcija prevajanja ni dokumentirana – ob šifriranju od konca do konca zanjo ni mesta na strežniku.

Mattermost

• Delovanje: Professional in Enterprise kot letni licenci z lastnim gostovanjem, cene na zahtevo; Mattermost Cloud Enterprise kot ponudba z enim najemnikom (single-tenant).
• Jezik: samodejno prevajanje kanalov (beta, od različice v11.5) v paketu Enterprise Advanced: zaledje je „LibreTranslate: samogostovan strojni prevajalnik z odprto kodo" ali „Agents: uporablja vtičnik Mattermost Agents s konfiguriranim zaledjem LLM"; ciljni jezik uporabnika „določa njegov prikazni jezik v Mattermostu". Prevajanje teče na vašem strežniku.

Rocket.Chat

• Delovanje: paket Starter je brezplačen, „samoupravljan, z lastnim gostovanjem", „za tehnično evalvacijo ali majhne ekipe do 50 uporabnikov"; plačljivi paketi so Commercial, Government in Defense – on-premises, zasebni oblak ali air-gapped, cene na zahtevo.
• Jezik: Auto-Translate po sobah – „vsak uporabnik prejme prevode glede na svoj izbrani jezik" – prek DeepL, Google Translate, Microsoft Translator ali LibreTranslate, s ključem API, ki ga priskrbi skrbnik. Besedilo sporočil zato gre ponudniku, ki ste ga izbrali – razen če je to LibreTranslate na vašem lastnem gostitelju.

Nextcloud Talk spada v isto skupino: „popolnoma samogostovana zvočna/video in klepetalna komunikacijska storitev v lastnih prostorih", z transkripcijo in prevajanjem v živo na vaši strojni opremi (podrobnosti v primerjavi orodij za komunikacijo v ekipi).

Paketa: Microsoft Teams in Slack

Microsoft Teams

• DPA: „Ko se naročite na izdelek pod pogoji strani Product Terms, so pogoji obdelave in varnosti podatkov opredeljeni v Microsoft Online Services Data Protection Addendum (DPA)."
• Lokacija: podatki Teams se nahajajo „v geografski regiji, povezani z vašo organizacijo Microsoft 365 ali Office 365"; rezidenca po državah (Nemčija, Francija, Italija, Norveška, Poljska, Švedska, Švica in druge) velja „samo za nove najemnike", obstoječi najemniki v EU ostanejo v regiji EMEA. EU Data Boundary zavezuje Microsoft, da podatke naročnikov za Microsoft 365 hrani in obdeluje znotraj EU/EFTA – „ob omejenih okoliščinah" z dokumentiranimi izjemami; naročniki z Multi-Geo so izven obsega.
• Jezik: sporočila v klepetu in kanalih se prevajajo na zahtevo ali samodejno („Teams lahko samodejno prevede prejeta sporočila"), več kot 100 jezikov, licenca ni navedena; na sestankih prevedeni podnapisi zahtevajo licenco Teams Premium ali Copilot organizatorja, agent Interpreter (10 jezikov) pa licenco Copilot za vsakega poslušalca, 20 ur na mesec. Podrobnosti: prevajanje v živo v Teams.

Slack

• DPA: „Slack ponuja Data Processing Addendum, ki dopolnjuje Customer Terms of Service" – sklene se prek obrazca, ne velja samodejno.
• Lokacija: rezidenca podatkov od paketa Business+: Frankfurt, Pariz, Stockholm, Zürich, London. Zajeta so: sporočila, platna (canvases), datoteke in iskalni indeks; nezajeti so: profili članov in analitika uporabe. Paket Free hrani 90 dni zgodovine sporočil.
• Jezik: „Translate message" v paketih Business+ in Enterprise+, na zahtevo za posamezno sporočilo; „prevodi so vidni samo vam, zato bodo drugi vedno videli izvirno sporočilo."

InterMIND

Gradimo komunikacijski prostor, v katerem vsak član bere sestanke, klepet, dokumente in svojo zgodovino v svojem jeziku – in ga preverjamo po istih sedmih merilih:

1. DPA: podpisana za vsakega naročnika – pogoji obdelovalca po 28. členu z 30-dnevnim obvestilom o novih podobdelovalcih in 72-urnim rokom za prijavo kršitve; podpisan izvod je na voljo za nabavo (/legal/dpa).
2. Pravna oseba in lokacija: upravlja jo estonska družba OÜ; izvajanje je v EU na vsakem koraku poti – glasovno in klepetalno prevajanje na lastnem pogonu na namenskih strežnikih v Franciji, orkestracija sestankov v Parizu, zbirka podatkov v Frankfurtu, shramba in analitika v EU. Zemljevid po ponudnikih: kje dejansko teče en sestanek InterMIND.
3. Šifriranje: transportno šifriranje – zvok in video prek DTLS/SRTP, klepet in datoteke prek HTTPS/WSS ter šifrirano v mirovanju na naših strežnikih. Brez šifriranja od konca do konca: prevajanje je obdelava in poteka na našem pogonu, ne pri tretji osebi. Če vam je E2EE pomembnejše od vsega drugega, so Element, Wire ali Threema boljša izbira – to povemo odkrito.
4. Metapodatki in imenik: brez nalaganja imenika; udeleženci se pridružijo prek povezave, brez računa in brez telefonske številke.
5. Brisanje in hramba: merilo hrambe je zapisano v pravilniku o zasebnosti – podatki ostanejo, dokler jih vi ali lastnik vaše ekipe ne izbrišete; z brisanjem računa se izbrišejo tudi njegovi podatki. Lastno kodo smo revidirali glede na obveznosti iz GDPR in dokumentirali, kaj smo zaprli: revizija GDPR.
6. Podobdelovalci: objavljeni, s funkcijo in sedežem za vsakega ponudnika. Koraki z jezikovnimi modeli (povzetek, povzetki dokumentov, pisalni pomočnik, Ask AI) tečejo na prehodu AI, ki ga izbere organizacija – privzeto Azure OpenAI v EU Data Zone, po izbiri Vertex AI EU ali Amazon Bedrock Frankfurt – v lastnem najemniku InterMIND, brez shranjevanja podatkov in brez učenja na vsebini naročnikov; ponudniki so ameriška podjetja z regijami v EU, kar je navedeno na strani o zaupanju. Prevajanje dokumentov poteka prek DeepL kot poimenovanega podobdelovalca v EU.
7. Jezik za vsakega člana: klepet in zapiski v 23 jezikih, dokumenti v 30, govor v živo za vsakega udeleženca v njegovem jeziku – kot privzeto vedenje prostora, brez dodatkov in licenc na poslušalca. Kakovost se objavlja mesečno za vsak jezikovni par: /benchmark.

Česa ne trdimo: certifikata ISO, ki ga še nimamo. Naš odgovor na kontrolni seznam je arhitekturen in preverljiv v kodi; certifikati so na načrtu.

Pregled

Kateri sporočilnik za kateri primer

• Šifriranje od konca do konca je vaše prvo merilo, prevajanje pa ni pomembno: Threema Work (Švica, brez telefonske številke), Wire (MLS, vključno s klici), Stackfield (nemški podatkovni centri) ali Element (lastno gostovanje, brezplačen v izdaji Community).
• Vse mora teči na vaših strežnikih in imate osebje za to: Rocket.Chat (brezplačen do 50 uporabnikov, prevajanje prek ključa vašega ponudnika), Mattermost Enterprise Advanced (beta prevajanje kanalov na vašem LibreTranslate ali LLM), Nextcloud Talk.
• Ste že naročnik Microsofta ali Slacka: oba dokumentirata DPA in rezidenco v EU – Teams prek regije najemnika in EU Data Boundary, Slack od paketa Business+. Prevajanje je po bralcu, na zahtevo; jezik sestanka v Teams je odvisen od licenc Copilot.
• Ekipa dela v WhatsAppu, Signalu ali Telegramu: storitve, dokumentirane za zasebno komunikacijo, delno šifrirane od konca do konca – vendar brez dokumentirane DPA, z zgodovino na napravah ali v oblaku ponudnika, pri WhatsAppu pa s podatki o uporabi in napravi, ki gredo družbam Meta v ZDA. DPO bo postavil vprašanja, na katera dokumentacija ne odgovarja.
• Sam kanal je večjezičen – sodelavci in stranke si odgovarjajo v treh jezikih, gostje brez vaših licenc, skladnostna ekipa pa želi poimenovati lokacijo: za to gradimo InterMIND – vsak član bere prostor v svojem jeziku, gostje vstopijo prek povezave brez vaših licenc; EU na vsakem koraku poti, DPA za vsakega naročnika in objavljeni podobdelovalci so ena vrstica za DPO.

Poglejte sami, namesto da berete

• Preizkusite demo v živo – brez registracije; govorite in poslušajte, kako se soba prevaja za vsakega poslušalca v katerem koli od 23 jezikov.
• Oglejte si primerjalni preizkus – mesečna kakovost prevajanja po jezikovnih parih na resnem prometu, z javno metodologijo.
• Preberite seznam podobdelovalcev – funkcija in sedež za vsakega ponudnika, brez zahteve.

Pogosta vprašanja

Kateri sporočilniki so skladni z GDPR?

Noben sam po sebi – obveznosti ležijo na podjetju. Preveriti je mogoče, ali jih ponudnik naredi izpolnljive: DPA dokumentirajo Microsoft Teams (prek Product Terms), Slack (prek obrazca), Threema Work (ponudnik: obdelava, skladna z GDPR/DSG) in InterMIND (za vsakega naročnika, 28. člen); Teamwire in Wire se opisujeta kot skladna z GDPR. Pri WhatsAppu, Signalu in Telegramu dokumentacija ne navaja nobene DPA (preverjeno avgusta 2026). Storitve z lastnim gostovanjem – Element, Mattermost, Rocket.Chat, Nextcloud – prenesejo vprašanje v vaše lastno delovanje.

Je Signal skladen z GDPR?

Signal dokumentira šifriranje od konca do konca („Signal ne more dešifrirati ali kako drugače dostopati do vsebine vaših sporočil ali klicev") in tehnične podatke, omejene na minimum; pogodbena stranka je Signal Messenger LLC v Kaliforniji, registracija poteka s telefonsko številko. Pravni dokumenti ne navajajo pogodbe o obdelavi podatkov za podjetja. Zasebna uporaba je drugačna slika kot uporaba v podjetju, ki mora izpolnjevati 28. člen.

Je WhatsApp skladen z GDPR za poslovno uporabo?

WhatsApp Ireland dokumentira šifriranje od konca do konca in da so dostavljena sporočila izbrisana z njegovih strežnikov – hkrati pa tudi podatke o uporabi in napravi, neobvezno nalaganje imenika ter deljenje z „družbami Meta v Združenih državah in na Irskem". Pravilnik o zasebnosti ne navaja DPA za aplikacijo; aplikacija Business je po navedbah ponudnika zasnovana za lastnike malih podjetij. Kdor v podjetju uporablja WhatsApp, mora te točke DPO utemeljiti sam.

Je Telegram skladen z GDPR?

Telegram navaja, da so podatki EU shranjeni na Nizozemskem, in imenuje predstavnika v EU (EDPO, Bruselj); oblačni klepeti so šifrirani na strežniku s ključi „v več drugih podatkovnih centrih v različnih jurisdikcijah", šifriranje od konca do konca imajo le skrivni klepeti. DPA ni dokumentirana. To je dokumentirano stanje podatkov, ne skladnost z GDPR v smislu 28. člena.

Je Microsoft Teams skladen z GDPR?

Microsoft dokumentira DPA kot del Product Terms, shranjevanje podatkov Teams v regiji najemnika – rezidenca po državah le za nove najemnike – in EU Data Boundary za stranke Microsoft 365 s sedežem v EU/EFTA, z dokumentiranimi izjemami. Za podjetja, ki so že na Teams, je to trdna osnova; funkcije prevajanja na sestankih so odvisne od licenc Copilot za organizatorja in poslušalce.

Kaj mora ponujati sporočilnik za podjetja, skladen z GDPR?

Šest dokumentiranih odgovorov namesto značke: DPA po 28. členu, poimenovano pravno osebo in lokacijo strežnikov brez nepojasnjenega prenosa v tretjo državo, poimenovan model šifriranja, nadzor nad imenikom in metapodatki, zasnovo brisanja, ki zajame odhod zaposlenega, ter objavljen seznam podobdelovalcev – vključno s storitvami AI in prevajanja. Za mednarodne ekipe se doda sedma točka: sporočilnik, ki kanal hrani le v izvirniku, prevajanje prelaga na vsakega posameznika.

Ali obstaja brezplačen sporočilnik za podjetja, skladen z GDPR?

Brezplačna in z lastnim gostovanjem sta Rocket.Chat Starter (do 50 uporabnikov) in Element Community – obveznosti iz GDPR so potem v celoti v vašem lastnem delovanju. Threema Work ponuja 30 dni za 30 uporabnikov brez podatkov o plačilu. Pri InterMIND je sodelovanje brezplačno za vsakega udeleženca – pridružite se prek povezave brez računa – in demo v živo ne zahteva registracije; gostitelj plača za sobo.

Viri: BfDI — Merila za izbiro sporočilnih storitev (nemško), WhatsApp — Pravilnik o zasebnosti (EGP), WhatsApp — Pravilnik o zasebnosti, Blog WhatsApp — Predstavitev prevajanja sporočil, Aplikacija WhatsApp Business, Signal — Pogoji in pravilnik o zasebnosti, Telegram — Pravilnik o zasebnosti, Blog Telegram — Prevajanje v realnem času, Threema — Sporočilnik, skladen z GDPR (nemško), Teamwire — Sporočilnik, skladen z GDPR (nemško), Wire — Wire proti MS Teams (nemško), Stackfield — Alternativa Microsoft Teams (nemško), Element — Cenik, Mattermost — Cenik, Mattermost — Nastavitev samodejnega prevajanja (beta), Rocket.Chat — Naši paketi, Rocket.Chat — Samodejno prevajanje sporočil, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Lokacija podatkov v Microsoft Teams, Microsoft Learn — Kaj je EU Data Boundary?, Microsoft — Prevod sporočila v Microsoft Teams, Microsoft — Interpreter v sestankih in klicih Teams, Slack — Data Processing Addendum, Slack — Rezidenca podatkov za Slack, Slack — Cenik, Slack — Vodnik po funkcijah AI v Slacku. Ponudniki sčasoma spreminjajo pakete, lokacije, funkcije in samoopise; za aktualno stanje preverite njihove strani. Vsa dejstva so preverjena avgusta 2026.