Відеоконференцзв'язок із відповідністю GDPR (2026): що для цього справді потрібно (і альтернатива Zoom, яка перекладає)

«GDPR-compliant» на головній сторінці відеоплатформи — це майже беззмістовне твердження. GDPR — це не сертифікат, який ви отримуєте. Це набір обов'язків на вас, контролера даних, які постачальник або допомагає вам виконати, або тихо залишає на ваш розсуд. Корисне запитання не «чи відповідає цей інструмент вимогам GDPR?». Воно звучить так: «за що цей інструмент робить мене відповідальним і куди насправді потрапляють дані моєї зустрічі?»

🔒 Оновлення — ми самі це зробили. Відколи ця стаття з'явилася, ми прогнали власну кодову базу InterMIND через повний чеклист нижче і закрили кожен пункт — стирання, зберігання, EU-runtime, субпроцесори — перевіряючи проти коду, а не стверджуючи на сторінці. → Прочитайте звіт про закриття аудиту, рядок за рядком.

Ця стаття — переклад простими термінами того запитання: чеклист, з яким реально працює DPO, де на ньому знаходиться Zoom (чесно — він більш спроможний до відповідності, ніж здається в інтернеті), і де альтернатива з EU-runtime змінює відповідь. Якщо вам потрібен ширший контекст «як мають працювати зустрічі в реальному часі» — це pillar guide; ця стаття спеціально про шар захисту даних.

Чеклист простими термінами

Приберіть маркетинг, і «відеоконференцзв'язок із відповідністю GDPR» зводиться до семи речей, які ви реально можете перевірити:

1. Підписаний DPA. Data Processing Addendum, який визначає постачальника вашим обробником, із задокументованими цілями та інструкціями. Без DPA немає законної обробки — крапка.
2. Справжній список субпроцесорів. Кожна третя сторона, яка торкається даних зустрічі — транскрипція, сховище, email, аналітика, AI-функції — названа, із зазначенням, що вони роблять і де вони зареєстровані.
3. Де дані обробляються під час виконання. Фізичний регіон, у якому обробляються ваше аудіо, транскрипти, записи та метадані. Саме про це насправді більшість умов про residency даних.
4. Механізм міжнародного перенесення. Якщо будь-які дані залишають EEA, на якій правовій основі? Standard Contractual Clauses (SCC), адекватність, або конфігурація residency, яка взагалі уникає перенесення. Це питання Schrems II, і воно не зникає лише тому, що на головній сторінці написано «compliant».
5. Безпекова позиція, яку можна перевірити. ISO 27001, ISO 27701, SOC 2 — незалежні підтвердження, а не самозаявлення.
6. Інструменти прав суб'єкта даних. Чи можете ви реально виконувати запити на доступ, видалення та переносимість для даних зустрічі, чи лише теоретично?
7. Зберігання та видалення під вашим контролем. Записи, транскрипти та AI-резюме видаляються за вашим графіком, а не за замовчуванням постачальника.

Інструмент «відповідає GDPR» для ваших потреб лише тоді, коли на всі сім пунктів є конкретні відповіді. Більшість головних сторінок не дає жодної.

Де насправді знаходиться Zoom (чесно)

Zoom має більшу спроможність до GDPR, ніж свідчить його репутація, і варто бути точним, а не заробляти дешеві бали:

• Він публікує глобальний DPA зі вбудованими EU Standard Contractual Clauses 2021.
• Він пропонує EU Data Residency — «Zoom EU Infrastructure» — для клієнтів Enterprise та Education, охоплюючи Meetings, Webinar, Chat, Phone і Contact Center.
• Він має ISO 27001 і, станом на лютий 2026, ISO 27701 (розширення з управління приватністю), а також опубліковані контролі суверенітету для європейського державного сектору.

Отже, правильно налаштоване розгортання Zoom, на відповідному тарифі, може задовольнити більшість пунктів чеклисту. Чесні застереження стосуються замовчувань і реєстрації, а не спроможності:

• EU residency — це додаток до тарифу та конфігурації, а не замовчування. Він доступний на Enterprise/Education і його треба вмикати. Безкоштовні та нижчі платні тарифи його не мають. «Ми використовуємо Zoom» і «ми використовуємо Zoom, налаштований для EU residency» — різні факти для закупівель.
• Zoom — компанія, зареєстрована в США. Навіть із SCC та EU residency, корпоративне місце реєстрації постачальника потрапляє в рамки оцінки CLOUD-Act і суверенного рівня. Для стандартного GDPR це можна керувати за допомогою SCC; для французької souveraineté numérique або закупівель рівня SecNumCloud, корпоративне місце реєстрації саме по собі є критерієм, і це складніша розмова.
• Зустріч усе одно відбувається однією мовою. Перекладені субтитри Zoom і AI Companion допомагають, але кімната не стає справді багатомовною — де кожен учасник чує зустріч наживо своєю мовою. Якщо ваша проблема комплаєнсу — також мовна проблема (міжкордонні аудити, CAPA-огляди на кількох майданчиках), цей розрив не розв'язується, незалежно від того, де знаходяться дані.

Коротко: Zoom може відповідати GDPR, якщо налаштований для цього. Чи це достатньо — залежить від того, наскільки чутливий до суверенітету ваш покупець, і чи є зустрічі багатомовними.

Альтернатива з EU-runtime

Ми створили InterMIND так, щоб відповідь на residency даних була замовчуванням, а не проєктом конфігурації — і щоб зустріч реально могла бути багатомовною. У чеклисті вище та частина, яка є структурною, а не обіцяною, — де працює зустріч. Як перевірено проти живого розгортання:

• Кожен перехід під час виконання — у ЄС. API застосунку та сервера на Vercel у Франкфурті (fra1); WebSocket-сервер зустрічі на Fly у Парижі (cdg); дані застосунку в Neon Postgres на AWS Франкфурт (eu-central-1); записи на Tigris, із закріпленням у ЄС; помилки та аналітика на Sentry EU і PostHog EU; транзакційний email через Resend в Ірландії.
• Рушій перекладу — наш власний код, у Франції (OVH) — а не американська модель загального призначення, яку ми перепродаємо. Найбільший потік контенту зустрічі залишається в ЄС і ніколи не торкається стороннього LLM. Переклад документів іде до DeepL у Кельні — також європейської компанії.
• Список субпроцесорів із деталями корпоративної реєстрації постачається разом із DPA як стандартна практика, а не на запит.

Контент зустрічі йде до одного AI-шлюзу, у ЄС, і організація його обирає. Усе, що походить із зустрічі й потребує мовної моделі — післянарадне AI-резюме (теми, рішення, завдання), резюме документів, генеративні дії AI-редактора нотаток (виправити, розширити, спростити), Ask AI — працює на AI-шлюзі, який обирає ваша організація: Azure OpenAI в EU Data Zone за замовчуванням, Vertex AI на EU multi-region endpoint або Amazon Bedrock у Франкфурті на вибір, у нашому власному тенанті з нульовим зберіганням даних і без навчання на контенті клієнта; або на власному OpenAI-сумісному endpoint. Післянарадне резюме та дія редактора перекласти проходять через тракт перекладу, а не через мовну модель. Постачальники за розміщеними шлюзами — американські компанії, що працюють у регіонах ЄС — це прямо зазначено на сторінці довіри, не приховано; корпоративне місце реєстрації — це критерій, який закупівлі суверенного рівня додають поверх GDPR, і він застосовується до цього переходу рівно так само, як до Zoom вище. Повна карта по кожному постачальнику — у Де насправді працює одна зустріч InterMIND, а погляд build-vs-buy — у З чого побудована одна зустріч InterMIND.

Одна річ, яку ми не стверджуємо: ми не будемо махати ISO-сертифікатом, якого ще не маємо. Наша відповідь на чеклист — архітектурна: EU-runtime, власний рушій, прозорі субпроцесори, реальний DPA — і ми краще, щоб ви це перевірили, ніж довіряли бейджу. Сертифікації в дорожній карті; runtime реальний сьогодні. Ми прогнали власну кодову базу через цей самий чеклист і закрили кожен пункт проти коду — звіт про закриття, рядок за рядком.

І та частина, яку налаштування residency Zoom додати не можуть: зустріч багатомовна за дизайном — кожен учасник наживо своєю мовою серед 23 мов, голос, чат і нотатки, із відкрито опублікованою якістю перекладу замість ствердження. Як це працює — у pillar guide; кейс регульованої зустрічі — у багатомовних нарадах із комплаєнсом.

Чеклист як таблиця

Сім пунктів проти двох інструментів, які ця стаття розглядає детально. Клітинки констатують лише те, що кожен постачальник документує (посилання Zoom у Sources нижче; твердження InterMIND перевірені рядок за рядком у звіті про закриття аудиту та карті runtime) — для будь-якого іншого постачальника змусьте його відповісти на ліву колонку письмово.

FAQ

Чи відповідає Zoom вимогам GDPR? Може, на правильному тарифі та конфігурації: Zoom публікує глобальний DPA з EU SCC 2021, пропонує EU Data Residency для клієнтів Enterprise та Education і має ISO 27001 та (з лютого 2026) ISO 27701. Чесні застереження: EU residency — це додаток до тарифу та конфігурації, а не замовчування, і Zoom залишається компанією, зареєстрованою в США — це можна керувати в рамках стандартного GDPR за допомогою SCC, але це реальний критерій у закупівлях суверенного рівня.

Що робить інструмент відеоконференцзв'язку відповідним GDPR? Сім перевірюваних речей, а не бейдж на головній сторінці: підписаний DPA, справжній список субпроцесорів, задокументований регіон runtime, законний механізм міжнародного перенесення, незалежно перевірена безпека, робочі інструменти прав суб'єкта даних і зберігання під вашим контролем. Постачальник відповідає вимогам для ваших потреб, коли на всі сім пунктів є конкретні відповіді письмово.

Чи вимагає GDPR, щоб відеозустрічі залишалися в ЄС? Ні — GDPR вимагає законного механізму перенесення (SCC, адекватність), коли дані залишають EEA, а не residency як таку. Residency важлива, бо вона повністю усуває питання перенесення — аналіз post-Schrems II стає коротким, коли дані ніколи не залишають території. Це різниця між «відповідає на папері» і «немає чого закривати на папері».

Які інструменти відеоконференцзв'язку працюють повністю в ЄС? Запитайте будь-якого постачальника про їхню карту runtime: регіон по кожному переході — застосунок, API, медіа зустрічі, база даних, записи, аналітика, email, AI-функції. InterMIND публікує саме це (кожен перехід, постачальник за постачальником): Vercel Франкфурт, Fly Париж, Neon Франкфурт, рушій перекладу на OVH Франція, AI-функції на шлюзі, який обирає організація, у регіоні ЄС (Azure OpenAI EU Data Zone за замовчуванням). Який би інструмент ви не оцінювали, карта — а не маркетингова сторінка — є відповіддю.

Для якого покупця це

• Німецький Mittelstand та регульовані команди ЄС, які ведуть стандартні GDPR DPA: runtime «ЄС на кожному переході» безпосередньо відповідає на питання residency, без апгрейду тарифу чи проєкту residency. Розмова про механізм перенесення стає значно коротшою, коли дані не залишають території.
• Французький державний сектор та закупівлі рівня souveraineté, де корпоративне місце реєстрації постачальника саме по собі є частиною специфікації: це глибша розмова про топологію розгортання, і ми проведемо її чесно, а не з перебільшенням.
• Покупці в США та APAC: residency зазвичай не є обмеженням — латентність із вашого регіону є. Інша проблема; скажіть нам, і ми сплануємо під неї.

Спробуйте, а потім прочитайте карту даних

• Спробуйте живе демо — почуйте живий багатомовний пайплайн на реальній зустрічі й відчуйте, як насправді виглядає «EU-runtime і багатомовність». Без реєстрації.
• InterMIND проти Zoom — функція за функцією, чесно.
• Де насправді працює одна зустріч InterMIND — повна карта постачальників, включно з розривами.

«Відеоконференцзв'язок із відповідністю GDPR» — це чеклист, а не бейдж. Який би інструмент ви не обрали — наш чи інший — змусьте постачальника письмово відповісти на всі сім питань. Ті, хто може, варті вашого часу; ті, хто не може, продають вам головну сторінку.

— Команда Mind.com

Джерела про Zoom: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, перевірено серпень 2026. Пропозиції та тарифи постачальників змінюються; перевірте поточну конфігурацію проти сторінок довіри Zoom. Факти про runtime InterMIND перевірені проти живого розгортання, як описано у пов'язаній статті з картою даних.