Месенджер, сумісний із GDPR, для компаній (2026): що насправді документують вендори

«Який месенджер відповідає вимогам GDPR?» — це питання, на яке жоден вендор не може чесно відповісти «ми відповідаємо». GDPR покладає обов'язки на вас, контролера даних: вам потрібна угода про обробку даних (ст. 28), вам потрібно знати, де зберігаються дані та чи перетинають вони межу третьої країни, вам потрібно мати змогу видаляти дані та відповідати на запити щодо доступу. Месенджер може зробити ці обов'язки виконуваними — або ні. Значок на головній сторінці не каже нічого більшого за це.

Тож цей гід робить не те, що звичні списки. Він бере шість перевірок, які й так ставить будь-який відповідальний за захист даних, і застосовує їх до дванадцяти сервісів: споживчих месенджерів, на яких компанії реально працюють (WhatsApp, Signal, Telegram), бізнес-месенджерів зі Швейцарії та Німеччини (Threema Work, Teamwire, Wire, Stackfield), самостійно розгортаних платформ (Element, Mattermost, Rocket.Chat) і двох комплексних рішень (Microsoft Teams, Slack). А потім InterMIND, який ми створюємо, — за тими самими критеріями й тим самим правилом джерел. Кожне твердження взято з публічної документації вендора, перевірено в серпні 2026 року, посилання — наприкінці.

До них додається сьома перевірка, яка ніколи не з'являється в списках GDPR, але має значення щодня в міжнародній команді: якою мовою кожен учасник читає канал? Месенджер, який зберігає повідомлення лише в оригіналі, перекладає це навантаження на кожну людину — і на сервіси, які потім знову обробляють дані.

Шість перевірок

Федеральний уповноважений Німеччини з питань захисту даних (BfDI) публікує критерії вибору для сервісів обміну повідомленнями — найбільш придатний для практики публічний орієнтир. Він визначає наскрізне шифрування як повідомлення, які «шифруються на пристрої відправника та розшифровуються лише на пристрої отримувача», перелічує налаштування приватності, як-от доступ до адресної книги, видимість профілю, підтвердження прочитання, аналітику використання та звітування про помилки, і вимагає видалення облікового запису, коли дані «видаляються негайно». Для використання в компаніях до цього додаються обов'язки за ст. 28. Разом:

1. Угода про обробку даних (DPA). Чи пропонує вендор таку угоду — і чи вона є в його документації?
2. Юридична особа та розташування серверів. Яка компанія є вашою стороною договору, де зберігаються дані, чи є передача в третю країну?
3. Шифрування. Наскрізне чи транспортне та на стороні сервера? Обидва варіанти легітимні — їх просто потрібно назвати.
4. Метадані та адресна книга. Чи завантажується адресна книга? Які дані про використання та пристрій збираються і з ким вони діляться?
5. Видалення та зберігання. Де зберігається історія, хто її видаляє, що відбувається, коли співробітник іде з компанії?
6. Субпроцесори. Чи опубліковані вони — включно з сервісами, що використовуються для функцій ШІ та перекладу?

Плюс сьома: мова для кожного учасника.

Споживчі месенджери в роботі

WhatsApp (і застосунок WhatsApp Business)

• Сторона договору: для ЄЕЗ — «WhatsApp Ireland Limited».
• Шифрування та зберігання: повідомлення шифруються наскрізно; «ми не зберігаємо ваші повідомлення в звичному порядку надання вам наших послуг. Після доставки повідомлення видаляються з наших серверів». Тож історія зберігається на пристроях співробітників та в їхніх резервних копіях.
• Метадані: збираються «інформація про використання наших послуг», дані про пристрій («модель обладнання, інформація про операційну систему, рівень заряду батареї, потужність сигналу») і, за бажанням, адресна книга («завантаження контактів … з адресної книги вашого пристрою на регулярній основі»). Дані передаються «компаніям Meta в США та Ірландії» і переносяться «глобально».
• DPA: політика конфіденційності застосунку не називає угоди про обробку даних для компаній (перевірено в серпні 2026 року). Застосунок Business «створений з думкою про власників малого бізнесу».
• Мова: з вересня 2025 року повідомлення можна перекласти довгим натисканням — на пристрої («переклади відбуваються на вашому пристрої, де WhatsApp не може їх бачити»); Android може автоматично перекладати цілі чати (шість мов на старті), iPhone використовує переклад Apple для 19+ мов. Голосові повідомлення та дзвінки в анонс не входять.

Signal

• Сторона договору: Signal Messenger LLC, Маунтін-В'ю, Каліфорнія — некомерційна організація.
• Шифрування: «Signal не може розшифрувати або в інший спосіб отримати доступ до змісту ваших повідомлень чи дзвінків».
• Метадані: реєстрація за номером телефону; технічні дані обмежені «мінімумом, необхідним для роботи сервісів».
• DPA: не задокументована в юридичних документах Signal (перевірено в серпні 2026 року).
• Мова: функція перекладу не задокументована.

Telegram

• Сторона договору та розташування: «Telegram Messenger Inc.» разом із «Telegram FZ-LLC, учасником групи, розташованим у Дубаї»; для користувачів з ЄС/ЄЕЗ «ваші дані зберігаються в дата-центрах у Нідерландах». Представником з питань GDPR є European Data Protection Office (EDPO) у Брюсселі.
• Шифрування: хмарні чати шифруються на стороні сервера — «всі дані зберігаються з посиленим шифруванням, а ключі шифрування в кожному випадку зберігаються в декількох інших дата-центрах у різних юрисдикціях» — і лише секретні чати мають наскрізне шифрування: «Секретні чати використовують наскрізне шифрування».
• DPA: не задокументована в політиці конфіденційності (перевірено в серпні 2026 року).
• Мова: «Усі користувачі можуть перекладати окремі повідомлення»; користувачі Premium «можуть перекладати цілі чати, групи та канали в реальному часі, натиснувши на панель перекладу зверху».

Усі три — інструменти, в яких команди реально працюють. Спільне для них: історія належить пристрою або хмарі вендора, а не компанії — і DPA, яку вимагає ст. 28, не з'являється в жодній з трьох документацій.

Бізнес-месенджери зі Швейцарії та Німеччини

Threema Work

• Розташування: Швейцарія. Вендор зазначає, що передача даних з ЄС до Швейцарії юридично дозволена без додаткової перевірки.
• Метадані: Threema Work «не потребує персональних даних (таких як номер телефону чи адреса електронної пошти)» і «може використовуватися без доступу до адресної книги».
• DPA: за словами вендора, Threema Work «відповідає вимогам щодо обробки даних від імені контролера відповідно до GDPR і швейцарського DSG».
• Тестовий період: «30 днів, 30 користувачів. Без автоматичного продовження». Цін за користувача на сторінці немає.
• Мова: функція перекладу не задокументована.

Teamwire

• Розташування: «німецька публічна хмара (IONOS, сертифікована за C5)», «виділена приватна хмара» або «повний хостинг на власній інфраструктурі»; «хостинг у Німеччині, а не в США», «жодного зберігання за межами ЄС».
• Сертифікації: «ISO 27001, BSI C5, сертифіковано TÜV»; названі EU GDPR, BDSG, BSI IT-Grundschutz, NIS-2, DORA і CER.
• Метадані: «жодного доступу до адресної книги» і «жодного аналізу комунікації».
• GDPR: вендор описує себе як «на 100 % відповідний GDPR» — самоопис, який DPA має підтверджувати в кожному конкретному випадку. Цін на сторінці немає.
• Мова: функція перекладу не задокументована.

Wire

• Розташування: «хмара, власна інфраструктура або гібридний варіант».
• Шифрування: протокол MLS; «повідомлення, файли та дзвінки повністю зашифровані наскрізно за замовчуванням»; відеодзвінки «до 200 учасників», кожна сесія з наскрізним шифруванням.
• Сертифікації: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: «повністю відповідає суворим нормам захисту даних, включно з GDPR» (самоопис). Цін за користувача на сторінці немає.
• Мова: функція перекладу не задокументована.

Stackfield

• Розташування: «вся обробка даних обмежена ЄС, а самі дані знаходяться виключно в німецьких дата-центрах»; компанія підпорядковується «виключно юрисдикції Німеччини та ЄС».
• Шифрування: «справжнє наскрізне шифрування» для повідомлень, файлів і завдань.
• Сертифікації: ISO 27001, BSI C5.
• Зустрічі: аудіо- та відеоконференції включені.
• Мова: функція перекладу не задокументована.

Ці чотири вендори відповідають на питання щодо розташування та шифрування настільки чітко, наскільки це можливо. Чого не документує жоден з них: переклад, який дозволяє польському, португальському та німецькому колезі читати той самий канал кожному своєю мовою.

Платформи для самостійного розгортання

Element (Matrix)

• Шифрування: «вся платформа наскрізно зашифрована за замовчуванням» — включно з Element Call для голосу та відео.
• Розгортання: Community — безкоштовно, самостійне розгортання; Enterprise — за місце на місяць, самостійне розгортання; Sovereign — за розгортання, ізольоване від мережі (air-gapped).
• Мова: функція перекладу не задокументована — з наскрізним шифруванням для неї немає місця на стороні сервера.

Mattermost

• Розгортання: Professional і Enterprise — як самостійно розгорнуті річні ліцензії, ціни за запитом; Mattermost Cloud Enterprise — як пропозиція для одного орендаря (single-tenant).
• Мова: автоматичний переклад каналу (бета, з версії v11.5) у Enterprise Advanced: у якості бекенду — «LibreTranslate: самостійно розгортаний, відкритий двигун машинного перекладу» або «Agents: використовує плагін Mattermost Agents з налаштованим LLM-бекендом»; цільова мова користувача «визначається мовою відображення Mattermost». Переклад виконується на вашому сервері.

Rocket.Chat

• Розгортання: тариф Starter безкоштовний, «самостійно керований, самостійно розгортаний», «для технічної оцінки або невеликих команд до 50 користувачів»; платні тарифи — Commercial, Government і Defense — на власній інфраструктурі, у приватній хмарі чи в ізольованому середовищі, ціни за запитом.
• Мова: автоматичний переклад для кожної кімнати — «кожен користувач отримує переклад відповідно до обраної ним мови» — через DeepL, Google Translate, Microsoft Translator або LibreTranslate, з ключом API, який надає адміністратор. Тож текст повідомлення потрапляє до провайдера, якого ви обрали, — окрім випадку з LibreTranslate на вашому власному хості.

Nextcloud Talk належить до тієї самої групи: «повністю самостійно розгортаний, локальний сервіс аудіо/відео та чат-комунікації» з живою транскрипцією та перекладом на вашому власному обладнанні (деталі в порівнянні інструментів командної комунікації).

Комплексні рішення: Microsoft Teams і Slack

Microsoft Teams

• DPA: «Коли ви підписуєтеся на продукт за умовами сайту Product Terms, умови обробки даних і безпеки визначаються в Microsoft Online Services Data Protection Addendum (DPA)».
• Розташування: дані Teams зберігаються «в географічному регіоні, пов'язаному з вашою організацією Microsoft 365 чи Office 365»; резидентність за країною (Німеччина, Франція, Італія, Норвегія, Польща, Швеція, Швейцарія та інші) діє «лише для нових орендарів», наявні орендарі в ЄС залишаються в регіоні EMEA. EU Data Boundary зобов'язує Microsoft зберігати й обробляти дані клієнтів для Microsoft 365 у межах ЄС/EFTA — «за винятком обмежених випадків» із задокументованими винятками; клієнти з Multi-Geo не входять до цього охоплення.
• Мова: повідомлення в чаті та каналах перекладаються за запитом або автоматично («Teams може автоматично перекладати отримані повідомлення»), 100+ мов, конкретна ліцензія не названа; на зустрічах перекладені субтитри потребують ліцензії Teams Premium або Copilot в організатора, а агент-перекладач Interpreter (10 мов) потребує ліцензії Copilot для кожного слухача, 20 годин на місяць. Деталі: Переклад у реальному часі в Teams.

Slack

• DPA: «Slack пропонує Data Processing Addendum, який доповнює Customer Terms of Service» — оформлюється через форму, а не приєднується автоматично.
• Розташування: резидентність даних доступна від тарифу Business+: Франкфурт, Париж, Стокгольм, Цюрих, Лондон. Охоплено: повідомлення, канваси, файли та пошуковий індекс; не охоплено: профілі учасників та аналітику використання. Безкоштовний тариф зберігає 90 днів історії повідомлень.
• Мова: функція «Translate message» доступна на Business+ і Enterprise+, за запитом для кожного повідомлення окремо; «переклади видимі лише вам, тож інші люди завжди бачитимуть оригінальне повідомлення».

InterMIND

Ми створюємо простір для комунікації, у якому кожен учасник читає зустрічі, чат, документи та їхню історію своєю мовою — і застосовуємо до нього ті самі сім перевірок:

1. DPA: підписується для кожного клієнта окремо — умови обробника за ст. 28 із 30-денним повідомленням про нових субпроцесорів і 72-годинним вікном для повідомлення про порушення; підписаний екземпляр доступний для відділу закупівель (/legal/dpa).
2. Юридична особа та розташування: оператор — естонська OÜ; середовище виконання перебуває в ЄС на кожному етапі — переклад голосу та чату працює на нашому власному движку на виділених серверах у Франції, оркестрація зустрічей — у Парижі, база даних — у Франкфурті, зберігання та аналітика — резидентні в ЄС. Карта, вендор за вендором: де насправді відбувається одна зустріч InterMIND.
3. Шифрування: транспортне шифрування — аудіо та відео через DTLS/SRTP, чат і файли через HTTPS/WSS, і зашифровано при зберіганні на наших серверах. Без наскрізного шифрування: переклад — це обробка, і вона відбувається на нашому движку, а не в третьої сторони. Якщо E2EE для вас важливіше за все інше, Element, Wire чи Threema підійдуть краще — і ми про це прямо кажемо.
4. Метадані та адресна книга: без завантаження адресної книги; учасники приєднуються за посиланням, без облікового запису та без номера телефону.
5. Видалення та зберігання: критерій зберігання прописаний у політиці конфіденційності — дані залишаються, доки ви або власник вашої команди їх не видалите; видалення облікового запису видаляє його дані. Ми перевірили власний код на відповідність обов'язкам GDPR і задокументували, що ми усунули: аудит GDPR.
6. Субпроцесори: опубліковано, із функцією та юрисдикцією для кожного вендора. Єдиний зовнішній провайдер мовної моделі (для короткого підсумку) — провайдер з ЄС на умовах нульового зберігання даних; переклад документів здійснюється через DeepL як названий субпроцесор з ЄС. Жодний контент зустрічі не потрапляє до моделі, що розташована в США.
7. Мова для кожного учасника: чат і нотатки — 23 мовами, документи — 30 мовами, живе мовлення для кожного учасника його мовою — це стандартна поведінка кімнати, без додаткових модулів чи ліцензій за кожного слухача. Якість публікується щомісяця для кожної мовної пари: /benchmark.

Чого ми не стверджуємо: сертифікат ISO, якого в нас ще немає. Наша відповідь на цей чек-лист — архітектурна і перевірювана в коді; сертифікації — у дорожній карті.

Загальний огляд

Який месенджер для якого випадку

• Наскрізне шифрування — ваш перший критерій, а переклад не має значення: Threema Work (Швейцарія, без номера телефону), Wire (MLS, включно з дзвінками), Stackfield (німецькі дата-центри) або Element (самостійне розгортання, безкоштовно в редакції Community).
• Усе має працювати на ваших власних серверах, і у вас є для цього персонал: Rocket.Chat (безкоштовно до 50 користувачів, переклад через ключ вашого провайдера), Mattermost Enterprise Advanced (бета-переклад каналу на вашому LibreTranslate чи LLM), Nextcloud Talk.
• Ви вже клієнт Microsoft чи Slack: обидва документують DPA і резидентність у ЄС — Teams через регіон орендаря та EU Data Boundary, Slack — від Business+. Переклад — для кожного читача, за запитом; мова зустрічі в Teams залежить від ліцензій Copilot.
• Команда працює у WhatsApp, Signal чи Telegram: сервіси, задокументовані для приватної комунікації, частково з наскрізним шифруванням — але без задокументованої DPA, з історією на пристроях або в хмарі вендора, а у WhatsApp — з даними про використання та пристрій, що йдуть до компаній Meta в США. Відповідальний за захист даних поставить питання, на які документація не відповідає.
• Сам канал багатомовний — колеги та клієнти відповідають одне одному трьома мовами, гості без ваших ліцензій, а команда з комплаєнсу хоче назвати конкретне розташування: саме для цього ми створюємо InterMIND — ЄС на кожному етапі, DPA для кожного клієнта, опубліковані субпроцесори, і кожен учасник читає простір своєю мовою.

Побачити замість того, щоб просто читати

• Спробувати живе демо — без реєстрації; говоріть — і чуйте кімнату перекладеною для кожного слухача будь-якою з 23 мов.
• Подивитися бенчмарк — якість перекладу для кожної мовної пари, щомісяця, на реальному трафіку, з публічною методологією.
• Переглянути список субпроцесорів — функція та юрисдикція для кожного вендора, без потреби надсилати запит.

FAQ

Які месенджери відповідають вимогам GDPR?

Жоден не є таким сам собою — обов'язки лежать на компанії. Що можна перевірити — чи робить вендор ці обов'язки виконуваними: DPA задокументовано в Microsoft Teams (через Product Terms), Slack (через форму), Threema Work (вендор: обробка відповідно до GDPR/DSG) і InterMIND (для кожного клієнта, ст. 28); Teamwire і Wire описують себе як такі, що відповідають GDPR. Для WhatsApp, Signal і Telegram документація не називає DPA (перевірено в серпні 2026 року). Самостійно розгортані сервіси — Element, Mattermost, Rocket.Chat, Nextcloud — переносять це питання на вашу власну експлуатацію.

Чи відповідає Signal вимогам GDPR?

Signal документує наскрізне шифрування («Signal не може розшифрувати або в інший спосіб отримати доступ до змісту ваших повідомлень чи дзвінків») і технічні дані, обмежені мінімумом; сторона договору — Signal Messenger LLC у Каліфорнії, реєстрація — за номером телефону. Юридичні документи не називають угоди про обробку даних для компаній. Приватне використання — це інша картина порівняно з використанням у компанії, яке має відповідати ст. 28.

Чи відповідає WhatsApp вимогам GDPR для використання в бізнесі?

WhatsApp Ireland документує наскрізне шифрування та те, що доставлені повідомлення видаляються з її серверів — і водночас дані про використання та пристрій, необов'язкове завантаження адресної книги та передачу «компаніям Meta в США та Ірландії». Політика конфіденційності не називає DPA для застосунку; застосунок Business, за словами вендора, створений для власників малого бізнесу. Хто використовує WhatsApp у компанії, має самостійно обґрунтувати ці моменти перед відповідальним за захист даних.

Чи відповідає Telegram вимогам GDPR?

Telegram стверджує, що дані ЄС зберігаються в Нідерландах, і називає представника в ЄС (EDPO, Брюссель); хмарні чати шифруються на стороні сервера з ключами «у декількох інших дата-центрах у різних юрисдикціях», лише секретні чати — наскрізно. DPA не задокументовано. Це задокументована ситуація з даними, а не відповідність GDPR у сенсі ст. 28.

Чи відповідає Microsoft Teams вимогам GDPR?

Microsoft документує DPA як частину Product Terms, зберігання даних Teams у регіоні орендаря — резидентність за країною лише для нових орендарів — та EU Data Boundary для клієнтів Microsoft 365, розташованих у ЄС/EFTA, із задокументованими винятками. Для компаній, які вже працюють у Teams, це надійна основа; функції перекладу на зустрічах залежать від ліцензій Copilot для організатора та слухачів.

Що має пропонувати месенджер для компаній, що відповідає вимогам GDPR?

Шість задокументованих відповідей замість значка: DPA за ст. 28, названа юридична особа й розташування серверів без нез'ясованої передачі в третю країну, названа модель шифрування, контроль над адресною книгою та метаданими, концепція видалення, яка охоплює звільнення співробітника, і опублікований список субпроцесорів — включно з сервісами ШІ та перекладу. Для міжнародних команд додається сьомий пункт: месенджер, який зберігає канал лише в оригіналі, перекладає це навантаження на кожну людину.

Чи є безкоштовний месенджер для компаній, що відповідає вимогам GDPR?

Безкоштовні та самостійно розгортані: Rocket.Chat Starter (до 50 користувачів) і Element Community — тоді обов'язки GDPR повністю лежать на вашій власній експлуатації. Threema Work пропонує 30 днів для 30 користувачів без реквізитів оплати. У InterMIND участь безкоштовна для кожного учасника — приєднання за посиланням без облікового запису — а живе демо не потребує реєстрації; за кімнату платить хост.

Джерела: BfDI — Критерії вибору сервісів обміну повідомленнями (німецькою), WhatsApp — Політика конфіденційності (ЄЕЗ), WhatsApp — Політика конфіденційності, Блог WhatsApp — Представляємо переклад повідомлень, Застосунок WhatsApp Business, Signal — Умови використання та політика конфіденційності, Telegram — Політика конфіденційності, Блог Telegram — Переклад у реальному часі, Threema — Месенджер, що відповідає GDPR (німецькою), Teamwire — Месенджер, що відповідає GDPR (німецькою), Wire — Wire проти MS Teams (німецькою), Stackfield — Альтернатива Microsoft Teams (німецькою), Element — Ціни, Mattermost — Ціни, Mattermost — Налаштування автоматичного перекладу (бета), Rocket.Chat — Наші тарифи, Rocket.Chat — Автоматичний переклад повідомлень, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Розташування даних у Microsoft Teams, Microsoft Learn — Що таке EU Data Boundary?, Microsoft — Переклад повідомлення в Microsoft Teams, Microsoft — Interpreter у зустрічах і дзвінках Teams, Slack — Data Processing Addendum, Slack — Резидентність даних для Slack, Slack — Ціни, Slack — Гід з функцій ШІ в Slack. Вендори час від часу змінюють тарифи, розташування, функції та самоописи; перевіряйте їхні сторінки для актуального стану. Усі факти перевірено в серпні 2026 року.