Відеоконференції, що відповідають вимогам GDPR (2026): що для цього справді потрібно (і альтернатива Zoom, яка перекладає)

«Відповідає GDPR» на головній сторінці відеоплатформи — майже порожні слова. GDPR — це не сертифікат, який можна здобути, а набір зобов'язань для вас, контролера даних, які постачальник або допомагає виконати, або тихо залишає на вашому столі. Корисне питання звучить не «чи цей інструмент відповідає GDPR?», а «за що цей інструмент робить мене відповідальним і куди насправді потрапляють дані моєї зустрічі?»

🔒 Оновлення — ми перевірили самих себе. Відтоді як вийшов цей допис, ми пропустили код самого InterMIND через увесь наведений нижче чекліст і закрили кожен пункт — стирання, зберігання, обробку в ЄС, субпроцесорів. Усе перевірено за кодом, а не просто заявлено на сторінці. → Читайте підсумок аудиту, рядок за рядком.

Цей допис — пояснення цього питання простими словами: чекліст, який насправді проходить DPO, місце Zoom у ньому (чесно — він більш готовий до відповідності вимогам, ніж прийнято думати) і те, де альтернатива з обробкою в ЄС змінює відповідь. Якщо вам потрібна ширша рамка «як мають працювати зустрічі в реальному часі», це посібник-огляд; цей допис — саме про рівень захисту даних.

Чекліст простими словами

Приберіть маркетинг, і «відеоконференції, що відповідають GDPR» зводяться до семи речей, які справді можна перевірити:

1. Підписаний DPA. Угода про обробку даних (Data Processing Addendum), яка називає постачальника вашим процесором, із задокументованими цілями та інструкціями. Немає DPA — немає законної обробки, крапка.
2. Справжній перелік субпроцесорів. Кожна третя сторона, що торкається даних зустрічі — транскрибування, зберігання, електронна пошта, аналітика, ШІ-функції — названа, із зазначенням, що вона робить і де зареєстрована.
3. Де дані обробляються під час роботи. Фізичний регіон, у якому обробляються ваше аудіо, транскрипти, записи та метадані. Саме про це здебільшого йдеться у вимогах щодо резидентності даних.
4. Механізм міжнародного передавання. Якщо будь-які дані залишають ЄЕП, то на якій правовій підставі? Стандартні договірні положення (SCC), рішення про адекватність або налаштування резидентності, що взагалі уникає передавання. Це питання Schrems II, і воно не зникає лише тому, що на головній сторінці написано «відповідає».
5. Безпека, яку можна перевірити аудитом. ISO 27001, ISO 27701, SOC 2 — незалежні атестації, а не самозаяви.
6. Інструменти для прав суб'єктів даних. Чи можете ви справді виконати запити на доступ, видалення та перенесення даних зустрічі, чи лише теоретично?
7. Зберігання та видалення, якими ви керуєте. Записи, транскрипти та ШІ-підсумки видаляються за вашим графіком, а не за типовими налаштуваннями постачальника.

Інструмент «відповідає GDPR» для ваших цілей лише тоді, коли на всі сім пунктів є конкретні відповіді. Більшість головних сторінок не відповідає на жоден.

Де насправді стоїть Zoom (чесно)

Zoom краще готовий до GDPR, ніж випливає з його репутації, і важливо бути точним у цьому, а не набирати дешеві очки:

• Він публікує глобальний DPA з вбудованими стандартними договірними положеннями ЄС 2021 року.
• Він пропонує резидентність даних в ЄС («Zoom EU Infrastructure») для клієнтів Enterprise та Education, що охоплює Meetings, Webinar, Chat, Phone і Contact Center.
• Він має ISO 27001 і, станом на лютий 2026 року, ISO 27701 (розширення для управління приватністю), а також опубліковані засоби контролю суверенітету для державного сектору ЄС.

Тож правильно налаштований Zoom на відповідному тарифі може задовольнити більшу частину чекліста. Чесні застереження стосуються типових налаштувань і юрисдикції, а не можливостей:

• Резидентність в ЄС — це додаток залежно від тарифу та налаштувань, а не типова поведінка. Вона є на Enterprise/Education і її потрібно ввімкнути. Безкоштовні та нижчі платні тарифи її не мають. «Ми користуємося Zoom» і «ми користуємося Zoom, налаштованим на резидентність в ЄС» — різні факти для закупівлі.
• Zoom — компанія, зареєстрована в США. Навіть із SCC і резидентністю в ЄС корпоративна юрисдикція вендора входить в обсяг оцінювання за CLOUD Act і за критеріями суверенітету. Для стандартного GDPR це можна врегулювати через SCC; для французької souveraineté numérique або закупівель рівня SecNumCloud корпоративна юрисдикція сама є критерієм, і це вже складніша розмова.
• Зустріч усе одно проходить однією мовою. Перекладені субтитри Zoom та AI Companion допомагають, але кімната не стає по-справжньому багатомовною — коли кожен учасник чує зустріч наживо своєю мовою. Якщо ваша проблема з відповідністю вимогам водночас є мовною (транскордонні аудити, багатомайданчикові CAPA-огляди), цей розрив залишається нерозв'язаним, де б не лежали дані.

Коротко: Zoom може відповідати GDPR, якщо його для цього налаштувати. Чи цього достатньо, залежить від того, наскільки чутливий до суверенітету ваш покупець — і від того, чи багатомовні ваші зустрічі.

Де стоїть InterMIND у чеклісті

InterMIND — це простір, який господар надає своїй команді та клієнтам, кожному їхньою мовою: зустрічі, чат, файли, підсумок. На чекліст вище відповідь дається за замовчуванням, а не через проєкт налаштування; частина, що є структурною, а не обіцяною, — це де працює зустріч, один рядок для DPO, перевірений за живим розгортанням:

• Кожен етап обробки під час роботи — в ЄС. Застосунок і серверні API на Vercel у Франкфурті (fra1); WebSocket-сервер зустрічі на Fly у Парижі (cdg); дані застосунку в Neon Postgres на AWS Франкфурт (eu-central-1); записи на Tigris, із можливістю закріплення за ЄС; помилки й аналітика на Sentry EU та PostHog EU; транзакційна пошта через Resend в Ірландії.
• Рушій перекладу — наш власний код, у Франції (OVH), а не універсальна модель із США, яку ми перепродуємо. Найбільший потік вмісту зустрічі залишається в ЄС і ніколи не торкається сторонніх LLM. Переклад документів іде до DeepL у Кельні — теж компанії з ЄС.
• Перелік субпроцесорів із відомостями про корпоративну юрисдикцію постачається разом із DPA як стандартна практика, а не на запит.

Вміст зустрічі йде до одного ШІ-шлюзу, в ЄС, і обирає його організація. Усе, що виробляється зі зустрічі та потребує мовної моделі — післязустрічний ШІ-дайджест (теми, рішення, action items), підсумки документів, генеративні дії ШІ-редактора нотаток (виправити, розширити, спростити), Ask AI — працює на ШІ-шлюзі, який обирає ваша організація: Azure OpenAI в EU Data Zone за замовчуванням, Vertex AI на мультирегіональній кінцевій точці ЄС або Amazon Bedrock у Франкфурті за вибором, кожен у нашому власному тенанті з нульовим зберіганням даних і без навчання на вмісті клієнтів; або ваша власна OpenAI-сумісна кінцева точка. Післязустрічний підсумок і дія перекладу в редакторі проходять через тракт перекладу, а не через мовну модель. Вендори хостингових шлюзів — американські компанії, що працюють у регіонах ЄС; ми кажемо про це прямо, а не приховуємо: корпоративна юрисдикція — це критерій, який закупівлі суверенного рівня додають поверх GDPR, і до цього етапу він застосовується так само, як до Zoom вище. Повна карта по вендорах — у Де насправді працює одна зустріч InterMIND, а погляд «будувати чи купувати» — у З чого складається одна зустріч InterMIND.

Щодо сертифікатів: ми маємо ISO/IEC 27001:2022 (сертифікат 26ISMS-1296, Glocert International, виданий 12 листопада 2026 року; сертифікат і перевірка — у Trust Center) і не маємо SOC 2 чи ISO 27701. Наша відповідь на чекліст залишається архітектурною — обробка в ЄС, власний рушій, прозорі субпроцесори, справжній DPA — і ми воліємо, щоб ви це перевірили, а не довірилися значку. Ми пропустили власну кодову базу через цей самий чекліст і закрили кожен пункт за кодом — підсумковий звіт, рядок за рядком.

І те, чого налаштування резидентності Zoom додати не можуть: зустріч багатомовна за задумом — кожен учасник наживо своєю мовою, 23 мови, голос, чат і нотатки, а якість перекладу опублікована відкрито, а не просто заявлена. Як це працює — у посібнику-огляді; сценарій регульованих зустрічей — у багатомовних зустрічах з комплаєнсу.

Чекліст у вигляді таблиці

Сім пунктів щодо двох інструментів, які детально розглядає цей допис. Клітинки містять лише те, що кожен вендор документує (посилання на Zoom — у Sources нижче; твердження про InterMIND перевірені рядок за рядком у підсумку аудиту і карті обробки) — для будь-якого іншого вендора змусьте його відповісти на лівий стовпець письмово.

FAQ

Чи відповідає Zoom вимогам GDPR? Може відповідати — на відповідному тарифі та за відповідної конфігурації: Zoom публікує глобальний DPA зі SCC ЄС 2021 року, пропонує резидентність даних в ЄС для клієнтів Enterprise та Education і має ISO 27001 та (з лютого 2026 року) ISO 27701. Чесні застереження: резидентність в ЄС — це додаток залежно від тарифу та налаштувань, а не типова поведінка, а Zoom залишається компанією, зареєстрованою в США, — що можна врегулювати за стандартним GDPR через SCC, але що є реальним критерієм у закупівлях суверенного рівня.

Що робить інструмент відеоконференцій таким, що відповідає GDPR? Сім перевірюваних речей, а не значок на головній сторінці: підписаний DPA, справжній перелік субпроцесорів, задокументований регіон обробки, законний механізм міжнародного передавання, незалежно аудійована безпека, робочі інструменти для прав суб'єктів даних і зберігання, яким ви керуєте. Вендор відповідає вимогам для ваших цілей, коли на всі сім пунктів є конкретні письмові відповіді.

Чи вимагає GDPR, щоб відеозустрічі залишалися в ЄС? Ні — GDPR вимагає законного механізму передавання (SCC, адекватність), коли дані залишають ЄЕП, а не резидентності як такої. Резидентність важлива тому, що вона знімає питання передавання повністю — аналіз після Schrems II стає коротким, коли дані ніколи не виходять за межі. У цьому різниця між «відповідає на папері» і «нічого залатувати паперами».

Які інструменти відеоконференцій працюють повністю в ЄС? Попросіть у будь-якого вендора карту обробки: регіон для кожного етапу — застосунок, API, медіа зустрічі, база даних, записи, аналітика, пошта, ШІ-функції. InterMIND публікує саме таку карту (кожен етап, вендор за вендором): Vercel Франкфурт, Fly Париж, Neon Франкфурт, рушій перекладу на OVH Франція, ШІ-функції на шлюзі, який обирає організація, в регіоні ЄС (Azure OpenAI EU Data Zone за замовчуванням). Який би інструмент ви не оцінювали, відповідь — це карта, а не маркетингова сторінка.

Кому це підходить

Власнику або керівнику організації на 10–200 людей, чия команда чи клієнти говорять іншою мовою, яка вже працює в Teams або Workspace і налаштовує простір без ІТ-відділу. Для такого господаря чекліст закритий за замовчуванням, а розмова з DPO коротка; решта рішення — чи проходить сама зустріч мовою кожного учасника. Публічні закупівлі суверенного рівня, де юрисдикція вендора сама є частиною специфікації, — це інша розмова, і ми кажемо про це, а не перебільшуємо.

Спробуйте, а потім прочитайте карту даних

• Спробуйте живу демонстрацію — почуйте живий багатомовний конвеєр на справжній зустрічі й відчуйте, як це насправді — «обробка в ЄС і багатомовність». Реєстрація не потрібна.
• InterMIND vs. Zoom — функція за функцією, чесно.
• Де насправді працює одна зустріч InterMIND — повна карта вендорів, разом із прогалиною.

«Відеоконференції, що відповідають GDPR» — це чекліст, а не значок. Який би інструмент ви не обрали — наш чи інший — змусьте вендора відповісти на всі сім питань письмово. Ті, хто може, варті вашого часу; ті, хто не може, продають вам головну сторінку.

— Команда Mind.com

Джерела щодо Zoom: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, перевірено у серпні 2026 року. Пропозиції та тарифи вендорів змінюються; звіряйте актуальну конфігурацію зі сторінками довіри Zoom. Факти про обробку в InterMIND перевірені за живим розгортанням, як описано в пов'язаному дописі з картою даних.