Відеоконференцзв'язок із дотриманням GDPR (2026): що для цього насправді потрібно (та альтернатива Zoom із перекладом)

Позначка «відповідає GDPR» на головній сторінці відеоплатформи майже нічого не означає. GDPR — це не сертифікат, який можна «скласти»: це набір зобов'язань для вас як контролера даних, які вендор або допомагає вам виконати, або тихо залишає на вашій відповідальності. Корисне запитання не «чи відповідає цей інструмент GDPR?», а «за що цей інструмент робить мене відповідальним і куди насправді потрапляють дані моїх нарад?»

🔒 Оновлення — ми зробили це для себе. Із моменту виходу цієї статті ми провели власну кодову базу InterMIND через повний контрольний список нижче і закрили кожен пункт — стирання, зберігання, виконання в ЄС, субпроцесори — з перевіркою по коду, а не твердженням на сторінці. → Читайте звіт про закриття аудиту, рядок за рядком.

Ця стаття — переклад цілком зрозумілою мовою того самого запитання: контрольний список, який DPO насправді опрацьовує, де в ньому міститься Zoom (чесно — він здатніший до дотримання GDPR, ніж здається в інтернеті), і де альтернатива з виконанням у ЄС змінює відповідь. Якщо вам потрібен ширший контекст «як мають працювати наради в реальному часі», то це основний посібник; ця стаття конкретно про рівень захисту даних.

Контрольний список зрозумілою мовою

Відкиньте маркетинг, і «відеоконференцзв'язок із дотриманням GDPR» зводиться до семи речей, які насправді можна перевірити:

1. Підписана DPA. Додаток про обробку даних, у якому вендор зазначений як ваш обробник, із задокументованими цілями та інструкціями. Без DPA немає законної обробки — крапка.
2. Реальний список субпроцесорів. Кожен третій бік, який має доступ до даних наради — транскрипція, зберігання, електронна пошта, аналітика, AI-функції — зазначений із описом, що саме він робить і де він зареєстрований.
3. Де обробляються дані під час виконання. Фізичний регіон, у якому обробляються ваше аудіо, транскрипції, записи та метадані. Саме про це насправді більшість положень про резидентність даних.
4. Механізм міжнародної передачі. Якщо якісь дані залишають EEA, на якій правовій підставі? Standard Contractual Clauses (SCCs), рішення про адекватність або конфігурація з резидентністю, яка взагалі уникає передачі. Це питання Schrems II, і воно не зникає лише тому, що на головній сторінці написано «відповідає вимогам».
5. Безпекова стійкість, яку можна перевірити. ISO 27001, ISO 27701, SOC 2 — незалежні підтвердження, а не власні твердження.
6. Інструменти для прав суб'єктів даних. Чи можете ви насправді виконувати запити на доступ, видалення та перенесення даних нарад, чи лише теоретично?
7. Зберігання та видалення під вашим контролем. Записи, транскрипції та AI-резюме видаляються за вашим графіком, а не за замовчуванням вендора.

Інструмент «відповідає GDPR» для ваших цілей лише тоді, коли на всі сім пунктів є конкретні відповіді. Більшість головних сторінок не дає жодної.

Де насправді міститься Zoom (чесно)

Zoom здатніший до дотримання GDPR, ніж свідчить його репутація, і варто бути точним у цьому, а не здобувати дешеві переваги:

• Він публікує глобальну DPA зі вбудованими Standard Contractual Clauses 2021 EU.
• Він пропонує EU Data Residency — «Zoom EU Infrastructure» — для клієнтів Enterprise та Education, охоплюючи Meetings, Webinar, Chat, Phone та Contact Center.
• Він має ISO 27001 і, станом на лютий 2026 року, ISO 27701 (розширення для управління приватністю), а також опубліковані контролі суверенітету для державного сектору EU.

Тож правильно налаштоване розгортання Zoom на відповідному тарифі може задовольнити більшість пунктів контрольного списку. Чесні застереження стосуються значень за замовчуванням і місця реєстрації, а не можливостей:

• Резидентність у ЄС — це додаток до тарифу й конфігурації, а не замовчування. Вона доступна на Enterprise/Education і її треба ввімкнути. Безкоштовні та нижчі платні тарифи її не мають. «Ми використовуємо Zoom» і «ми використовуємо Zoom, налаштований на резидентність у ЄС» — це різні факти для закупівлі.
• Zoom — це компанія, зареєстрована в США. Навіть зі SCC і резидентністю в ЄС місце реєстрації вендора потрапляє в рамки оцінок за CLOUD-Act і рівнем суверенітету. Для стандартного GDPR це можна вирішити за допомогою SCC; для французької souveraineté numérique або закупівель рівня SecNumCloud місце реєстрації само по собі є критерієм, і це складніша розмова.
• Нарада все одно відбувається однією мовою. Перекладені субтитри Zoom та AI Companion допомагають, але кімната не стає справді багатомовною — такою, де кожен учасник чує нараду наживо своєю мовою. Якщо ваша проблема комплаєнсу — це також мовна проблема (міжнародні аудити, CAPA-огляди на кількох майданчиках), ця прогалина залишається незалежно від того, де зберігаються дані.

Коротко: Zoom може відповідати GDPR, коли він налаштований для цього. Чи достатньо цього, залежить від того, наскільки чутливий до суверенітету ваш покупець — і чи є наради багатомовними.

Альтернатива з виконанням у ЄС

Ми створили InterMIND так, щоб відповідь на питання про резидентність даних була замовчуванням, а не проєктом конфігурації — і щоб нарада могла бути справді багатомовною. У контрольному списку вище те, що є структурним, а не обіцяним, — це де виконується нарада. Як перевірено проти живого розгортання:

• Кожен перехід під час виконання — у ЄС. App- та server-API на Vercel у Франкфурті (fra1); WebSocket-сервер наради на Fly у Парижі (cdg); дані застосунку в Neon Postgres на AWS у Франкфурті (eu-central-1); записи на Tigris із прив'язкою до ЄС; помилки/аналітика на Sentry EU та PostHog EU; транзакційна електронна пошта через Resend в Ірландії.
• Руший перекладу — наш власний код, у Франції (OVH) — а не американська універсальна модель, яку ми перепродаємо. Найбільший потік вмісту наради залишається в ЄС і ніколи не торкається стороннього LLM. Переклад документів іде до DeepL у Кельні — також EU-компанії.
• Список субпроцесорів з деталями про місце реєстрації постачається разом з DPA як стандартна практика, а не на запит.

Жоден вміст наради не потрапляє до моделі, зареєстрованої в США. Усе, що походить із наради й потребує мовної моделі, залишається на EU-процесорах: AI-дайджест після наради (теми, рішення, пункти дій) виконується на Mistral, розміщеному в ЄС, із нульовим зберіганням даних; резюме після наради та AI-редактор нотаток перекладаються через наш власний EU-рушій, а генеративні дії редактора (виправити, розширити, спростити) виконуються на тому ж EU Mistral. Єдине місце, де американська модель все ще в контурі, не торкається жодних даних наради: наш публічний бенчмарк якості перекладу оцінює машинні переклади еталонних речень FLORES-200 — фіксованого публічного набору даних, а не чийогось дзвінка. Повна карта по вендорах — у Де насправді виконується одна нарада InterMIND, а погляд «будувати чи купувати» — у З чого побудована одна нарада InterMIND.

Одна річ, яку ми не стверджуємо: ми не будемо махати сертифікатом ISO, якого в нас ще немає. Наша відповідь на контрольний список — архітектурна: виконання в ЄС, власний рушій, прозорі субпроцесори, справжня DPA — і ми радше, щоб ви це перевірили, ніж довіряли бейджу. Сертифікації в дорожній карті; виконання реально сьогодні. Ми пропустили власну кодову базу через цей самий контрольний список і закрили кожен пункт по коду — звіт про закриття, рядок за рядком.

І те, чого резидентні налаштування Zoom не можуть додати: нарада багатомовна за задумом — кожен учасник наживо своєю мовою для 24 мов, голос, чат і нотатки, з відкрито опублікованою якістю перекладу, а не просто заявленою. Як це працює — у основному посібнику; кейс регульованої наради — у багатомовні наради з комплаєнсу.

Контрольний список у вигляді таблиці

Сім пунктів проти двох інструментів, які ця стаття детально обговорює. Комірки містять лише те, що кожен вендор документує (посилання на Zoom у розділі «Джерела» нижче; твердження InterMIND перевірені рядок за рядком у звіті про закриття аудиту і карті виконання) — для будь-якого іншого вендора змусьте його відповісти на ліву колонку письмово.

FAQ

Чи відповідає Zoom вимогам GDPR? Це можливо, на відповідному тарифі й конфігурації: Zoom публікує глобальну DPA зі SCC 2021 EU, пропонує EU Data Residency для клієнтів Enterprise та Education і має ISO 27001 та (із лютого 2026) ISO 27701. Чесні застереження: резидентність у ЄС — це додаток до тарифу й конфігурації, а не замовчування, а Zoom залишається компанією, зареєстрованою в США — це можна вирішити в рамках стандартного GDPR за допомогою SCC, але в закупівлях рівня суверенітету це реальний критерій.

Що робить інструмент відеоконференцзв'язку відповідним GDPR? Сім перевірних речей, а не бейдж на головній сторінці: підписана DPA, реальний список субпроцесорів, задокументований регіон виконання, законний механізм міжнародної передачі, незалежно перевірена безпека, робочі інструменти прав суб'єктів даних і зберігання під вашим контролем. Вендор відповідає вимогам для ваших цілей, коли на всі сім пунктів є конкретні письмові відповіді.

Чи вимагає GDPR, щоб відеонаради залишалися в ЄС? Ні — GDPR вимагає законного механізму передачі (SCC, рішення про адекватність), коли дані залишають EEA, а не резидентність як таку. Резидентність має значення, бо вона повністю усуває питання передачі — аналіз після Schrems II стає коротким, коли дані ніколи не залишають ЄС. Це різниця між «відповідає вимогам на папері» і «нема чого замовчувати».

Які інструменти відеоконференцзв'язку повністю працюють у ЄС? Запитайте будь-якого вендора про його карту виконання: регіон на кожному переході — застосунок, API, медіа наради, база даних, записи, аналітика, електронна пошта, AI-функції. InterMIND публікує саме це (кожен перехід, вендор за вендором): Vercel у Франкфурті, Fly у Парижі, Neon у Франкфурті, рушій перекладу на OVH у Франції, дайджест на Mistral, розміщеному в ЄС, із нульовим зберіганням. Який би інструмент ви не оцінювали, карта — а не маркетингова сторінка — є відповіддю.

Для якого покупця це

• Німецький Mittelstand і регульовані EU-команди, які використовують стандартні DPA для GDPR: виконання в ЄС на кожному переході відповідає на питання резидентності напряму, без переходу на вищий тариф або проєкту резидентності. Розмова про механізм передачі стає набагато коротшою, коли дані не залишають ЄС.
• Французький державний сектор та закупівлі рівня souveraineté, де місце реєстрації вендора є частиною вимог: це глибша розмова про топологію розгортання, і ми проведемо її чесно, а не з перебільшеннями.
• Покупці в США та APAC: резидентність зазвичай не є обмеженням — латентність із вашого регіону є. Інша проблема; скажіть нам, і ми сплануємо під це.

Спробуйте, тоді читайте карту даних

• Спробуйте живу демо-версію — почуйте живий багатомовний контур на справжній нараді й почуйте, як насправді відчувається «виконання в ЄС і багатомовність». Без реєстрації.
• InterMIND проти Zoom — функція за функцією, чесно.
• Де насправді виконується одна нарада InterMIND — повна карта вендорів, включно з прогалиною.

«Відеоконференцзв'язок із дотриманням GDPR» — це контрольний список, а не бейдж. Який би інструмент ви не обрали — наш чи інший — змусьте вендора відповісти на всі сім запитань письмово. Ті, хто може, варті вашого часу; ті, хто не може, продають вам головну сторінку.

— Команда Mind.com

Джерела про Zoom: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, перевірено серпень 2026. Пропозиції та тарифи вендорів змінюються; перевіряйте поточну конфігурацію проти сторінок довіри Zoom. Факти про виконання InterMIND перевірені проти живого розгортання, як описано в пов'язаній статті з картою даних.