Vi har slutfört vår GDPR-granskning. Det här är vad vi faktiskt åtgärdade.

För några veckor sedan skrev vi att ”GDPR-kompatibel” på ett videoverktygs startsida betyder mindre än du tror. GDPR är en uppsättning skyldigheter för dig, den personuppgiftsansvarige, som en leverantör antingen hjälper dig att uppfylla eller i tysthet lämnar kvar på ditt skrivbord. Det ärliga sättet att styrka det påståendet är att göra jobbet på vår egen sida och visa det, rad för rad.

Så det gjorde vi. Vi granskade hela InterMIND-kodbasen mot de skyldigheter som faller på oss som personuppgiftsbiträde, åtgärdade varje brist som hade kod bakom sig och verifierade varje åtgärd mot den skarpa produkten. Det här inlägget är slutrapporten: ingen märkning, utan en checklista med våra svar.

Vi påstår medvetet inte att vi är ”100 % GDPR-certifierade”. GDPR är inget certifikat man klarar, och vi viftar inte med en ISO-märkning som vi ännu inte har. Det vi kan säga är att de arkitektoniska och processmässiga skyldigheter som ett dataskyddsombud (DPO) går igenom nu har konkreta, verifierbara svar, var och en kontrollerad mot den körande koden.

Vad vi åtgärdade

Rätten till radering (art. 17) — kaskaden körs på riktigt

Att radera ditt konto innebär inte bara att det inaktiveras. POST /api/user/delete-account kör en riktig kaskad: den rensar bort dina möten → deltagare, meddelanden, konferenser och transkriptioner. Den tömmer dina lagringsobjekt i Tigris före databaskaskaden så att inget blir föräldralöst, det gäller både chattbilagor och videoinspelningsfiler, i båda kolumnerna. Dessutom avslutar den dina Stripe-prenumerationer och raderar Stripe-kunden. Radering på begäran finns också: ta bort en kanal eller ett meddelande i gränssnittet och det är borta. Anonyma (gäst-)konton får en egen raderingsendpoint plus en bakgrundsstädning var sjätte timme, under ett övervakat cron-jobb. Granskningen hittade en brist här, nämligen inspelningsobjekt som databaskaskaden tog bort men som lagringen behöll, och vi har åtgärdat den: radering lämnar nu ingenting kvar i objektlagringen.

Lagring (art. 5.1 e) — ett dokumenterat kriterium

Art. 5.1 e kräver inte en automatisk livslängd (time-to-live). Den kräver ett definierat lagringskriterium. Vårt står nu i integritetspolicyn: data behålls tills du eller din teamägare raderar den, och när du raderar ditt konto raderas allt. Det är samma modell som samarbetsverktyg som Slack och Notion bygger på. Att data finns kvar är det förväntade beteendet, och du behåller kontrollen över det. Kriteriet är uttalat, inte underförstått.

Samtycke till analys (art. 6/7) — opt-out som standard

En samtyckesbanner från Usercentrics (visas för besökare i EU) styr analysen, och PostHog levereras med opt_out_capturing_by_default: true. Ingenting registreras förrän samtycke har getts, inte tvärtom.

Dataportabilitet (art. 20) — en riktig export

GET /api/user/export bygger en ZIP-fil med dina möten, meddelanden, inspelningar och översättningar, med 7 dagars nedladdningsfönster och automatisk rensning. Åtkomst, radering och portabilitet är fungerande verktyg, inte löften i en policy.

Mötesinnehåll går till en enda AI-gateway, i EU — vald av organisationen

Det största flödet av mötesinnehåll, översättning av tal och chatt i realtid, körs på vår egen motor i Frankrike, aldrig på en tredjeparts-LLM. De AI-steg som använder en generell modell (sammanfattningen, dokumentsammanfattningar, anteckningseditorns generativa åtgärder och Ask AI) körs på den AI-gateway som organisationen väljer. Som standard är det Azure OpenAI i EU Data Zone, och Vertex AI EU eller Amazon Bedrock Frankfurt kan väljas. Alla körs i vår egen tenant med noll datalagring och ingen träning på kundinnehåll, eller på organisationens egen endpoint. En enda resolver i koden väljer gateway för varje anropsställe, så det finns ingen andra väg. Vi har också rensat bort deltagarnamn och yttrandetext ur konferensens webbläsarloggar som PostHogs sessionsinspelning annars skulle kunna fånga. Hela kartan över leverantörer finns i Där ett InterMIND-möte faktiskt körs.

Transparens — underbiträden och behandlingsregister, publicerade

Listan över underbiträden är publicerad, med vad varje leverantör gör och var den har sitt säte, inte ”tillgänglig på begäran”. Bakom den ligger ett register över behandlingsåtgärder (ROPA) som byggts från det skarpa schemat: 11 behandlingsåtgärder, säkerhetsåtgärderna för var och en samt vägarna för radering och portabilitet. Vår integritetspolicy och våra villkor gäller nu under vår egen juridiska enhet och beskriver den faktiska behandlingskedjan.

EU-körmiljö — låst, inte utlovad

Varje steg i körmiljön som ett möte passerar ligger i EU: appen och API:erna på Vercel Frankfurt, mötesservern på Fly Paris, applikationsdata i Neon Postgres (AWS Frankfurt), fel på Sentry EU, analys på PostHog EU och e-post via Resend Irland. Objektlagringen på Tigris är nu låst till EU-regioner (Frankfurt + Amsterdam), så varje ny skrivning hamnar i EU oavsett var användaren befinner sig. Hela arkitekturen finns på vår säkerhetssida.

Därför spelar det roll för din upphandling

För de flesta europeiska köpare, som tyska Mittelstand och reglerade team med standardiserade GDPR-personuppgiftsbiträdesavtal, har frågan om dataresidens nu ett direkt svar: datan lämnar inte EU under körning, raderingen fungerar, lagringskriteriet är uttalat och listan över underbiträden ligger på bordet. Det är ett mycket kortare samtal än ”vi återkommer om vart datan tar vägen”.

För fransk souveraineté numérique och upphandling i SecNumCloud-klass är leverantörens juridiska säte i sig ett kriterium. Det kräver en djupare diskussion om driftsättningstopologi, som vi hellre för ärligt än överdriver. Och det enda vi inte gör är att vifta med ett ISO-certifikat som vi ännu inte har: certifieringar finns på färdplanen, men vårt svar på checklistan är arkitektoniskt och verifierbart redan i dag.

Se själv

• GDPR-kompatibla videokonferenser: den fullständiga checklistan för dataskyddsombud — de sju sakerna du ska få varje leverantör att svara på, och var Zoom står.
• Där ett InterMIND-möte faktiskt körs — leverantörskartan, med bristerna utpekade.
• Är ditt möte konfidentiellt? — de tre frågorna att ställa innan checklistan för dataskyddsombud tas fram.
• Säkerhet och integritet · Underbiträden · Integritetspolicy · Villkor
• Prova livedemon — hör den flerspråkiga pipelinen i EU-körmiljö, i realtid, på ett riktigt möte — ingen registrering behövs.

GDPR-efterlevnad är inte en märkning man köper, utan arbete man gör och kan visa. Det här är vårt, rad för rad. Om ditt dataskyddsombud behöver ett svar som det här inlägget inte ger, skriv till oss.

— Mind.com-teamet

Källor: Förordning (EU) 2016/679 (GDPR) — artiklarna som granskningen utgick från; interna påståenden verifierade mot InterMIND-kodbasen och den skarpa produkten; kontrollerat augusti 2026.