Месенджер для компаній, що відповідає GDPR (2026): що вендори справді документують

«Який месенджер відповідає GDPR?» — питання, на яке жоден вендор не може чесно відповісти «ми». GDPR покладає обов'язки на вас, контролера: потрібна угода про обробку даних (ст. 28), потрібно знати, де зберігаються дані і чи потрапляють вони до третьої країни, потрібно вміти видаляти дані та відповідати на запити щодо доступу. Месенджер може зробити ці обов'язки виконуваними — або ні. Значок на головній сторінці не говорить більше нічого.

Тому цей посібник робить інакше, ніж звичні добірки. Він бере шість перевірок, які уповноважений із захисту даних ставить у будь-якому разі, і застосовує їх до дванадцяти сервісів: споживчі месенджери, на яких компанії фактично працюють (WhatsApp, Signal, Telegram), бізнес-месенджери зі Швейцарії та Німеччини (Threema Work, Teamwire, Wire, Stackfield), платформи для самостійного розгортання (Element, Mattermost, Rocket.Chat) і два пакети (Microsoft Teams, Slack). Потім InterMIND, який створюємо ми, за тими самими критеріями і з тим самим правилом щодо джерел. Кожне твердження взято з публічної документації вендора, перевіреної в серпні 2026 року, із посиланнями в кінці.

До них додається сьома перевірка, якої ніколи немає в списках GDPR, але яка щодня важлива в міжнародній команді: якою мовою кожен учасник читає канал? Месенджер, що зберігає повідомлення лише в оригіналі, перекладає переклад на плечі окремої людини — і на сервіси, які потім обробляють дані ще раз.

Шість перевірок

Федеральний уповноважений Німеччини із захисту даних (BfDI) публікує критерії вибору месенджерів, найкорисніший публічний орієнтир. Наскрізне шифрування він визначає як повідомлення, «зашифровані на пристрої відправника і розшифровані знову лише на пристрої одержувача», перелічує налаштування приватності, як-от доступ до адресної книги, видимість профілю, підтвердження прочитання, аналітику використання та звіти про помилки, і вимагає, щоб при видаленні облікового запису дані «видалялися негайно». Для корпоративного використання зверху додаються обов'язки за ст. 28. Разом:

1. Угода про обробку даних (DPA). Чи пропонує її вендор — і чи є вона в його документації?
2. Юридична особа та розташування серверів. Яка компанія є вашою стороною договору, де зберігаються дані, чи є передача до третьої країни?
3. Шифрування. Наскрізне чи транспортне й серверне? Обидва варіанти легітимні — їх лише треба назвати.
4. Метадані та адресна книга. Чи завантажується адресна книга? Які дані про використання та пристрої збираються і кому передаються?
5. Видалення та зберігання. Де живе історія, хто її видаляє, що відбувається, коли співробітник іде з компанії?
6. Субобробники. Чи опубліковані вони — разом із сервісами, що використовуються для функцій ШІ та перекладу?

Плюс сьома: мова для кожного учасника.

Споживчі месенджери на роботі

WhatsApp (і застосунок WhatsApp Business)

• Сторона договору: для ЄЕП — «WhatsApp Ireland Limited».
• Шифрування та зберігання: повідомлення мають наскрізне шифрування; «ми не зберігаємо ваші повідомлення в ході звичайного надання вам наших Послуг. Щойно ваші повідомлення доставлено, їх видаляють з наших серверів». Тому історія живе на пристроях співробітників і в їхніх резервних копіях.
• Метадані: збираються «інформація про використання вами наших Послуг», дані про пристрій («модель апаратного забезпечення, інформація про операційну систему, рівень заряду батареї, потужність сигналу») і, за бажанням, адресна книга («завантаження контактів … з адресної книги вашого пристрою на регулярній основі»). Дані передаються «компаніям Meta у Сполучених Штатах та Ірландії» і пересилаються «по всьому світу».
• DPA: політика конфіденційності застосунку не називає жодної угоди про обробку даних для компаній (перевірено в серпні 2026 року). Застосунок Business «створено з думкою про власника малого бізнесу».
• Мова: з вересня 2025 року повідомлення можна перекласти довгим натисканням — на пристрої («переклади відбуваються на вашому пристрої, де WhatsApp не може їх бачити»); Android може автоматично перекладати цілі чати (шість мов на старті), iPhone використовує переклад Apple на 19+ мовах. Голосові повідомлення та дзвінки в анонс не входять.

Signal

• Сторона договору: Signal Messenger LLC, Маунтін-В'ю, Каліфорнія — некомерційна організація.
• Шифрування: «Signal не може розшифрувати чи іншим чином отримати доступ до вмісту ваших повідомлень або дзвінків».
• Метадані: реєстрація за номером телефону; технічні дані обмежені «мінімумом, потрібним для роботи Сервісів».
• DPA: у юридичних документах Signal не задокументовано (перевірено в серпні 2026 року).
• Мова: функції перекладу не задокументовано.

Telegram

• Сторона договору та розташування: «Telegram Messenger Inc.», а також «Telegram FZ-LLC, член групи, розташований у Дубаї»; для користувачів ЄС/ЄЕП «ваші дані зберігаються в центрах обробки даних у Нідерландах». Представник за GDPR — Європейське бюро із захисту даних (EDPO) у Брюсселі.
• Шифрування: хмарні чати шифруються на стороні сервера — «усі дані зберігаються у сильно зашифрованому вигляді, а ключі шифрування в кожному випадку зберігаються в кількох інших центрах обробки даних у різних юрисдикціях», — і лише секретні чати мають наскрізне шифрування: «Секретні чати використовують наскрізне шифрування».
• DPA: у політиці конфіденційності не задокументовано (перевірено в серпні 2026 року).
• Мова: «Усі користувачі можуть перекладати окремі повідомлення»; користувачі Premium «можуть перекладати цілі чати, групи та канали в реальному часі, торкнувшись панелі Translate вгорі».

Усі три — інструменти, у яких команди справді працюють. Спільне в них таке: історія належить пристрою або хмарі вендора, а не компанії, — а DPA, якого вимагає ст. 28, немає в документації жодного з трьох.

Бізнес-месенджери зі Швейцарії та Німеччини

Threema Work

• Розташування: Швейцарія. Вендор зазначає, що передача даних з ЄС до Швейцарії юридично допустима без додаткової перевірки.
• Метадані: Threema Work «не потребує жодних персональних даних (таких як номер телефону чи адреса електронної пошти)» і «може використовуватися без доступу до адресної книги».
• DPA: за словами вендора, Threema Work «відповідає вимогам щодо обробки даних від імені контролера згідно з GDPR та швейцарським DSG, що забезпечує захист даних».
• Пробний період: «30 днів, 30 користувачів. Без автоматичного продовження». Цін за користувача на сторінці немає.
• Мова: функції перекладу не задокументовано.

Teamwire

• Розташування: «німецька публічна хмара (IONOS, сертифікована C5)», «виділена приватна хмара» або «повноцінний хостинг on-premise»; «хостинг у Німеччині замість США», «жодного зберігання за межами ЄС».
• Сертифікації: «ISO 27001, BSI C5, сертифіковано TÜV»; названо EU GDPR, BDSG, BSI IT-Grundschutz, NIS-2, DORA та CER.
• Метадані: «жодного доступу до адресної книги» і «жодного аналізу комунікації».
• GDPR: вендор описує себе як «на 100 % сумісний з GDPR» — це самоопис, який DPA має підтвердити в кожному окремому випадку. Цін на сторінці немає.
• Мова: функції перекладу не задокументовано.

Wire

• Розташування: «хмара, on-premises або гібрид».
• Шифрування: протокол MLS; «повідомлення, файли та дзвінки за замовчуванням мають повне E2EE»; відеодзвінки «до 200 учасників», кожна сесія зі наскрізним шифруванням.
• Сертифікації: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: «повністю відповідає суворим нормам захисту даних, включно з GDPR» (самоопис). Цін за користувача на сторінці немає.
• Мова: функції перекладу не задокументовано.

Stackfield

• Розташування: «уся обробка даних обмежена ЄС, а самі дані зберігаються виключно в німецьких центрах обробки даних»; компанія підпадає «виключно під юрисдикцію Німеччини та ЄС».
• Шифрування: «справжнє наскрізне шифрування» повідомлень, файлів і завдань.
• Сертифікації: ISO 27001, BSI C5.
• Зустрічі: аудіо- та відеоконференції включено.
• Мова: функції перекладу не задокументовано.

Ці чотири відповідають на питання про розташування і шифрування так чітко, як тільки може вендор. Чого не документує жоден із них — переклад, завдяки якому польський, португальський та німецький колеги читають один і той самий канал своєю мовою.

Платформи для самостійного розгортання

Element (Matrix)

• Шифрування: «уся платформа за замовчуванням має наскрізне шифрування» — зокрема Element Call для голосу та відео.
• Експлуатація: Community безкоштовно, self-hosted; Enterprise за місце на місяць, self-hosted; Sovereign за розгортання, air-gapped.
• Мова: функції перекладу не задокументовано — за наскрізного шифрування для неї немає місця на сервері.

Mattermost

• Експлуатація: Professional та Enterprise як self-hosted річні ліцензії, ціни за запитом; Mattermost Cloud Enterprise як пропозиція з окремим середовищем для клієнта (single-tenant).
• Мова: автоматичний переклад каналів (бета, починаючи з v11.5) у Enterprise Advanced: бекенд — «LibreTranslate: рушій машинного перекладу з відкритим кодом, що розгортається самостійно» або «Agents: використовує плагін Mattermost Agents зі сконфігурованим бекендом LLM»; цільова мова користувача «визначається мовою інтерфейсу Mattermost». Переклад виконується на вашому сервері.

Rocket.Chat

• Експлуатація: план Starter безкоштовний, «самокерований, self-hosted», «для технічної оцінки або малих команд до 50 користувачів»; платні плани — Commercial, Government і Defense — on-premises, приватна хмара або air-gapped, ціни за запитом.
• Мова: Auto-Translate для кожної кімнати — «кожен користувач отримує переклади відповідно до обраної ним власної мови» — через DeepL, Google Translate, Microsoft Translator або LibreTranslate з API-ключем, який надає адміністратор. Тому текст повідомлень надходить до обраного вами провайдера — якщо це не LibreTranslate на вашому власному хості.

Nextcloud Talk належить до тієї самої групи: «повністю самостійно розгортаний локальний сервіс аудіо- й відеозв'язку та чатів», із живою транскрипцією та перекладом на вашому власному обладнанні (подробиці — у порівнянні інструментів для командної комунікації).

Пакети: Microsoft Teams і Slack

Microsoft Teams

• DPA: «Коли ви оформлюєте підписку на Продукт на умовах сайту Product Terms, умови обробки та безпеки даних визначені в Microsoft Online Services Data Protection Addendum (DPA)».
• Розташування: дані Teams зберігаються «в географічному регіоні, пов'язаному з вашою організацією Microsoft 365 або Office 365»; резидентність у країні (Німеччина, Франція, Італія, Норвегія, Польща, Швеція, Швейцарія та інші) діє «лише для нових тенантів», наявні тенанти ЄС залишаються в регіоні EMEA. EU Data Boundary зобов'язує Microsoft зберігати й обробляти дані клієнтів Microsoft 365 в межах ЄС/ЄАВТ — «з обмеженими винятками» із задокументованими винятками; клієнти з Multi-Geo не підпадають під дію.
• Мова: повідомлення в чатах і каналах перекладаються на запит або автоматично («Teams може автоматично перекладати отримані повідомлення»), 100+ мов, ліцензію не названо; на зустрічах для перекладених субтитрів потрібна ліцензія Teams Premium або Copilot організатора, а агент Interpreter (10 мов) потребує ліцензії Copilot на кожного слухача, 20 годин на місяць. Подробиці: живий переклад у Teams.

Slack

• DPA: «Slack пропонує Data Processing Addendum, що доповнює Умови надання послуг для клієнтів» — укладається через форму, не включається автоматично.
• Розташування: резидентність даних починаючи з Business+: Франкфурт, Париж, Стокгольм, Цюрих, Лондон. Охоплено: повідомлення, canvas, файли та пошуковий індекс; не охоплено: профілі учасників і аналітику використання. Безкоштовний план зберігає 90 днів історії повідомлень.
• Мова: «Translate message» у Business+ та Enterprise+, на запит для окремого повідомлення; «переклади видимі лише вам, тож інші люди завжди бачитимуть оригінальне повідомлення».

InterMIND

Ми створюємо простір для комунікації, у якому кожен учасник читає зустрічі, чат, документи та свою історію власною мовою, — і перевіряємо його за тими самими сімома критеріями:

1. DPA: підписується для кожного клієнта — умови обробника за ст. 28 із сповіщенням про нових субобробників за 30 днів і 72-годинним вікном для повідомлення про порушення; підписана копія доступна для закупівельників (/legal/dpa).
2. Юридична особа та розташування: працює естонське OÜ; середовище виконання — в ЄС на кожному етапі: голосовий і чат-переклад на нашому власному рушії на виділених серверах у Франції, оркестрація зустрічей у Парижі, база даних у Франкфурті, сховище й аналітика в ЄС. Карта, вендор за вендором: де насправді працює одна зустріч InterMIND.
3. Шифрування: транспортне шифрування — аудіо й відео через DTLS/SRTP, чат і файли через HTTPS/WSS та шифрування в стані спокою на наших серверах. Без наскрізного шифрування: переклад — це обробка, і вона відбувається на нашому рушії, а не в третьої сторони. Якщо E2EE для вас важливіше за все інше, Element, Wire або Threema підійдуть краще — ми говоримо про це прямо.
4. Метадані та адресна книга: без завантаження адресної книги; учасники приєднуються за посиланням, без облікового запису і без номера телефону.
5. Видалення та зберігання: критерій зберігання записано в політиці конфіденційності — дані зберігаються, доки ви або власник вашої команди їх не видалите; видалення облікового запису видаляє його дані. Ми провели аудит власного коду на відповідність обов'язкам GDPR і задокументували, що закрили: аудит GDPR.
6. Субобробники: опубліковані, із функцією та юрисдикцією для кожного вендора. Етапи мовних моделей (підсумок, резюме документів, асистент письма, Ask AI) виконуються на AI-шлюзі, який обирає організація — за замовчуванням Azure OpenAI в EU Data Zone, за вибором Vertex AI EU або Amazon Bedrock Франкфурт — у власному тенанті InterMIND з нульовим зберіганням даних і без навчання на вмісті клієнтів; ці вендори — американські компанії з регіонами в ЄС, про що сказано на сторінці довіри. Переклад документів виконується через DeepL як названого субобробника в ЄС.
7. Мова для кожного учасника: чат і нотатки 23 мовами, документи 30 мовами, жива мова для кожного учасника його власною мовою — як типова поведінка кімнати, без додатків і ліцензій на кожного слухача. Якість публікується щомісяця для кожної мовної пари: /benchmark.

Чого ми не стверджуємо: сертифіката ISO, якого в нас ще немає. Наша відповідь на цей чек-лист архітектурна й перевірювана в коді; сертифікації — у планах.

Огляд

Який месенджер для якого випадку

• Наскрізне шифрування — ваш перший критерій, а переклад не важливий: Threema Work (Швейцарія, без номера телефону), Wire (MLS, дзвінки включено), Stackfield (німецькі центри обробки даних) або Element (self-hosted, безкоштовно в редакції Community).
• Усе має працювати на ваших власних серверах, і у вас є для цього спеціалісти: Rocket.Chat (безкоштовно до 50 користувачів, переклад через ключ вашого провайдера), Mattermost Enterprise Advanced (бета-переклад каналів на вашому LibreTranslate або LLM), Nextcloud Talk.
• Ви все одно клієнт Microsoft або Slack: обидва документують DPA і резидентність у ЄС — Teams через регіон тенанта та EU Data Boundary, Slack від Business+. Переклад — для кожного читача, на запит; мова зустрічі в Teams залежить від ліцензій Copilot.
• Команда працює у WhatsApp, Signal або Telegram: сервіси, задокументовані для приватного спілкування, частково з наскрізним шифруванням — але без задокументованого DPA, з історією на пристроях або в хмарі вендора, а у WhatsApp ще й з передачею даних про використання та пристрої компаніям Meta у США. DPO поставить питання, на які документація не відповідає.
• Сам канал багатомовний — колеги та клієнти відповідають одне одному трьома мовами, гості без ваших ліцензій, а команда з комплаєнсу хоче назвати розташування: саме для цього ми створюємо InterMIND — кожен учасник читає простір власною мовою, гості заходять за посиланням без ваших ліцензій; ЄС на кожному етапі, DPA для кожного клієнта та опубліковані субобробники — єдиний рядок для DPO.

Побачте на ділі, а не читайте

• Спробуйте живу демонстрацію — без реєстрації; говоріть і чуйте, як кімнату перекладають для кожного слухача будь-якою з 23 мов.
• Перегляньте бенчмарк — щомісячна якість перекладу для кожної пари на реальному трафіку, з публічною методологією.
• Ознайомтеся із субобробниками — функція та юрисдикція для кожного вендора, без запиту.

FAQ

Які месенджери відповідають GDPR?

Жоден сам по собі — обов'язки лежать на компанії. Можна перевірити, чи робить вендор їх виконуваними: DPA задокументовано в Microsoft Teams (через Product Terms), Slack (через форму), Threema Work (вендор: обробка відповідно до GDPR/DSG) та InterMIND (для кожного клієнта, ст. 28); Teamwire і Wire описують себе як сумісні з GDPR. Для WhatsApp, Signal і Telegram документація не називає жодного DPA (перевірено в серпні 2026 року). Сервіси self-hosted — Element, Mattermost, Rocket.Chat, Nextcloud — переносять це питання у вашу власну експлуатацію.

Чи відповідає Signal вимогам GDPR?

Signal документує наскрізне шифрування («Signal не може розшифрувати чи іншим чином отримати доступ до вмісту ваших повідомлень або дзвінків») і технічні дані, обмежені мінімумом; сторона договору — Signal Messenger LLC у Каліфорнії, реєстрація за номером телефону. Юридичні документи не називають жодної угоди про обробку даних для компаній. Приватне використання — це інша картина, ніж корпоративне, яке має відповідати ст. 28.

Чи відповідає WhatsApp вимогам GDPR для бізнесу?

WhatsApp Ireland документує наскрізне шифрування і те, що доставлені повідомлення видаляються з його серверів — а водночас і дані про використання та пристрої, необов'язкове завантаження адресної книги та передачу «компаніям Meta у Сполучених Штатах та Ірландії». Політика конфіденційності не називає DPA для застосунку; застосунок Business, за словами вендора, створений для власників малого бізнесу. Той, хто використовує WhatsApp у компанії, має самостійно обґрунтувати ці пункти перед DPO.

Чи відповідає Telegram вимогам GDPR?

Telegram заявляє, що дані ЄС зберігаються в Нідерландах, і називає представника в ЄС (EDPO, Брюссель); хмарні чати шифруються на стороні сервера, ключі лежать «в кількох інших центрах обробки даних у різних юрисдикціях», лише секретні чати мають наскрізне шифрування. DPA не задокументовано. Це задокументована ситуація з даними, а не відповідність GDPR у розумінні ст. 28.

Чи відповідає Microsoft Teams вимогам GDPR?

Microsoft документує DPA як частину Product Terms, зберігання даних Teams у регіоні тенанта — резидентність у країні лише для нових тенантів — і EU Data Boundary для клієнтів Microsoft 365 з ЄС/ЄАВТ, із задокументованими винятками. Для компаній, які вже працюють у Teams, це надійна основа; функції перекладу на зустрічах залежать від ліцензій Copilot для організатора та кожного слухача.

Що має пропонувати месенджер для компаній, що відповідає GDPR?

Шість задокументованих відповідей замість значка: DPA за ст. 28, названа юридична особа та розташування серверів без нез'ясованої передачі до третьої країни, названа модель шифрування, контроль над адресною книгою та метаданими, концепція видалення, що охоплює відхід співробітника, і опублікований перелік субобробників — разом із сервісами ШІ та перекладу. Для міжнародних команд додається сьомий пункт: месенджер, що зберігає канал лише в оригіналі, перекладає переклад на плечі кожної окремої людини.

Чи є безкоштовний месенджер для компаній, що відповідає GDPR?

Безкоштовні та self-hosted: Rocket.Chat Starter (до 50 користувачів) і Element Community — обов'язки за GDPR тоді повністю лежать на вашій власній експлуатації. Threema Work пропонує 30 днів для 30 користувачів без платіжних даних. В InterMIND участь безкоштовна для кожного учасника — приєднуйтеся за посиланням без облікового запису — а жива демонстрація не потребує реєстрації; за кімнату платить організатор.

Джерела: BfDI — Критерії вибору месенджерів (нім.), WhatsApp — Політика конфіденційності (ЄЕП), WhatsApp — Політика конфіденційності, Блог WhatsApp — Представляємо переклад повідомлень, Застосунок WhatsApp Business, Signal — Умови та політика конфіденційності, Telegram — Політика конфіденційності, Блог Telegram — Переклад у реальному часі, Threema — Месенджер, що відповідає GDPR (нім.), Teamwire — Месенджер, що відповідає GDPR (нім.), Wire — Wire проти MS Teams (нім.), Stackfield — Альтернатива Microsoft Teams (нім.), Element — Ціни, Mattermost — Ціни, Mattermost — Налаштування автоперекладу (бета), Rocket.Chat — Наші плани, Rocket.Chat — Автопереклад повідомлень, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Розташування даних у Microsoft Teams, Microsoft Learn — Що таке EU Data Boundary?, Microsoft — Переклад повідомлення в Microsoft Teams, Microsoft — Interpreter на зустрічах і в дзвінках Teams, Slack — Data Processing Addendum, Slack — Резидентність даних у Slack, Slack — Ціни, Slack — Посібник із функцій ШІ в Slack. Вендори з часом змінюють плани, розташування, функції та самоописи; актуальний стан дивіться на їхніх сторінках. Усі факти перевірено в серпні 2026 року.