Відеоконференції, що відповідають GDPR (2026): що для цього справді потрібно (і альтернатива Zoom, яка перекладає)

«Відповідає GDPR» на головній сторінці відеоплатформи — майже порожні слова. GDPR — це не сертифікація, яку можна пройти, а набір обов'язків для вас, контролера даних, які вендор або допомагає виконати, або непомітно залишає на вашому столі. Корисне запитання не «чи відповідає цей інструмент GDPR?», а «за що цей інструмент робить відповідальним мене і куди насправді потрапляють дані моїх зустрічей?»

🔒 Оновлення: ми зробили це з собою. Відколи з'явився цей допис, ми пропустили кодову базу самого InterMIND через увесь наведений нижче чекліст і закрили кожен пункт: видалення, зберігання, роботу в ЄС, субпроцесорів. Усе перевірено за кодом, а не просто заявлено на сторінці. → Читайте підсумок аудиту, рядок за рядком.

Цей допис — виклад цього запитання простими словами. Тут є чекліст, яким насправді користується DPO, місце Zoom у ньому (чесно: він більш здатний відповідати вимогам, ніж прийнято думати) і те, де альтернатива з обробкою в ЄС змінює відповідь. Якщо вам потрібна ширша рамка про те, як мають працювати зустрічі в реальному часі, її дає головний посібник, а цей допис — саме про рівень захисту даних.

Чекліст простими словами

Приберіть маркетинг, і «відеоконференції, що відповідають GDPR» зводяться до семи речей, які можна перевірити:

1. Підписаний DPA. Додаток про обробку даних, що визначає вендора вашим процесором, із задокументованими цілями та інструкціями. Немає DPA — немає законної обробки, і крапка.
2. Справжній список субпроцесорів. Кожна третя сторона, яка торкається даних зустрічі (транскрипція, сховище, пошта, аналітика, AI-функції), названа, з описом того, що вона робить і де зареєстрована.
3. Де дані обробляються під час роботи. Фізичний регіон, у якому обробляються ваше аудіо, транскрипти, записи та метадані. Саме про це здебільшого йдеться в положеннях про резидентність даних.
4. Механізм міжнародного передавання. Якщо якісь дані залишають ЄЕЗ, то на якій правовій підставі? Стандартні договірні положення (SCC), рішення про адекватність або налаштування резидентності, що взагалі уникає передавання. Це питання Schrems II, і воно не зникає лише тому, що головна сторінка каже «відповідає».
5. Безпека, яку можна аудитувати. ISO 27001, ISO 27701, SOC 2: незалежні атестації, а не самозаяви.
6. Інструменти для прав суб'єктів даних. Чи можете ви справді виконувати запити на доступ, видалення і перенесення даних зустрічей, чи лише теоретично?
7. Зберігання та видалення, які ви контролюєте. Записи, транскрипти й AI-підсумки видаляються за вашим графіком, а не за налаштуваннями вендора за замовчуванням.

Інструмент «відповідає GDPR» для ваших цілей лише тоді, коли на всі сім пунктів є конкретні відповіді. Більшість головних сторінок не відповідає на жоден.

Де насправді стоїть Zoom (чесно)

Zoom більш здатний відповідати GDPR, ніж випливає з його репутації, і про це варто говорити точно, а не здобувати дешеві очки:

• Він публікує глобальний DPA зі стандартними договірними положеннями ЄС 2021 року у складі.
• Він пропонує резидентність даних в ЄС («Zoom EU Infrastructure») для клієнтів Enterprise та Education, що охоплює Meetings, Webinar, Chat, Phone і Contact Center.
• Він має ISO 27001 і, станом на лютий 2026 року, ISO 27701 (розширення для управління приватністю), а також опубліковані контролі суверенності для державного сектору ЄС.

Тож правильно налаштований Zoom на відповідному тарифі може задовольнити більшість пунктів чекліста. Чесні застереження стосуються типових налаштувань і юрисдикції, а не можливостей:

• Резидентність в ЄС — це надбудова залежно від тарифу та налаштувань, а не стан за замовчуванням. Вона є на Enterprise/Education, і її треба вмикати. Безкоштовні й нижчі платні тарифи її не мають. «Ми користуємося Zoom» і «ми користуємося Zoom, налаштованим на резидентність в ЄС» — різні факти для закупівлі.
• Zoom — компанія, зареєстрована в США. Навіть із SCC і резидентністю в ЄС корпоративна юрисдикція вендора входить у сферу оцінювання за CLOUD Act і за критеріями рівня суверенності. Для стандартного GDPR це можна врегулювати через SCC. Але для французької souveraineté numérique чи закупівель рівня SecNumCloud корпоративна юрисдикція сама є критерієм, і тут розмова складніша.
• Зустріч однаково проходить однією мовою. Перекладені субтитри Zoom та AI Companion допомагають, але кімната не стає по-справжньому багатомовною, де кожен учасник чує зустріч наживо своєю мовою. Якщо ваша проблема з відповідністю вимогам — це ще й мовна проблема (транскордонні аудити, багатомайданчикові CAPA-огляди), цей розрив лишається нерозв'язаним, хоч де зберігалися б дані.

Коротко: Zoom може відповідати GDPR, якщо його налаштувати для цього. Чи цього достатньо, залежить від того, наскільки чутливий до суверенності ваш покупець і чи багатомовні зустрічі.

Де стоїть InterMIND за чеклістом

InterMIND — це простір, який господар надає своїй команді та клієнтам, кожному їхньою мовою: зустрічі, чат, файли, підсумок. Чекліст вище закрито за замовчуванням, а не окремим проєктом налаштування. Структурна, а не обіцяна частина відповіді — це де працює зустріч. Це один рядок для DPO, перевірений за робочим розгортанням:

• Кожен етап обробки відбувається в ЄС. Застосунок і серверні API на Vercel у Франкфурті (fra1); WebSocket-сервер зустрічі на Fly у Парижі (cdg); дані застосунку в Neon Postgres на AWS у Франкфурті (eu-central-1); записи на Tigris із можливістю закріплення за ЄС; помилки й аналітика на Sentry EU та PostHog EU; транзакційна пошта через Resend в Ірландії.
• Рушій перекладу — наш власний код, у Франції (OVH), а не універсальна американська модель, яку ми перепродуємо. Найбільший потік вмісту зустрічі лишається в ЄС і ніколи не торкається сторонніх LLM. Переклад документів іде до DeepL у Кельні, теж компанії з ЄС.
• Список субпроцесорів із деталями корпоративної юрисдикції додається до DPA як стандартна практика, а не на запит.

Вміст зустрічі потрапляє до одного AI-шлюзу в ЄС, і його обирає організація. Усе, що виробляється зі зустрічі й потребує мовної моделі, працює на AI-шлюзі, який обирає ваша організація. Це післязустрічний AI-дайджест (теми, рішення, action items), підсумки документів, генеративні дії AI-редактора нотаток (виправити, розширити, спростити) та Ask AI. За замовчуванням це Azure OpenAI в EU Data Zone, а за вибором — Vertex AI на мультирегіональній точці доступу ЄС або Amazon Bedrock у Франкфурті, кожен у нашому власному тенанті з нульовим зберіганням даних і без навчання на вмісті клієнтів. Також можна підключити власну OpenAI-сумісну точку доступу. Післязустрічний підсумок і дія редактора перекласти проходять через тракт перекладу, а не через мовну модель. Вендори хостингових шлюзів — американські компанії, що працюють у регіонах ЄС. Ми прямо говоримо про це на сторінці довіри, а не ховаємо: корпоративна юрисдикція — це критерій, який закупівлі рівня суверенності додають понад GDPR, і до цього етапу він застосовується так само, як до Zoom вище. Повну карту за вендорами подано в Де насправді працює одна зустріч InterMIND, а погляд «будувати чи купувати» — у З чого складається одна зустріч InterMIND.

Одного ми не стверджуємо: не збираємося махати ISO-сертифікатом, якого ще не маємо. Наша відповідь на чекліст архітектурна: обробка в ЄС, власний рушій, прозорі субпроцесори, справжній DPA. Ми б хотіли, щоб ви це перевірили, а не довіряли бейджу. Сертифікації є в планах, а робота в ЄС реальна вже сьогодні. Ми пропустили власну кодову базу через цей самий чекліст і закрили кожен пункт за кодом: підсумковий звіт, рядок за рядком.

І те, чого не можуть додати налаштування резидентності Zoom: зустріч багатомовна за задумом. Кожен учасник чує її наживо своєю мовою, серед 23 мов, голос, чат і нотатки, а якість перекладу опубліковано відкрито, а не просто заявлено. Як це працює, описано в головному посібнику, а сценарій регульованих зустрічей розглянуто в багатомовних зустрічах з питань відповідності вимогам.

Чекліст у вигляді таблиці

Сім пунктів для двох інструментів, які детально розглядає цей допис. У клітинках лише те, що кожен вендор документує (посилання на Zoom — у джерелах нижче; твердження про InterMIND перевірено рядок за рядком у підсумку аудиту і карті обробки). Для будь-якого іншого вендора зробіть так, щоб він відповів на запитання з лівої колонки письмово.

FAQ

Чи відповідає Zoom вимогам GDPR? Може відповідати, на правильному тарифі й за правильного налаштування: Zoom публікує глобальний DPA зі SCC ЄС 2021 року, пропонує резидентність даних в ЄС для клієнтів Enterprise та Education і має ISO 27001 та (з лютого 2026 року) ISO 27701. Чесні застереження: резидентність в ЄС — це надбудова залежно від тарифу й налаштувань, а не стан за замовчуванням, а Zoom лишається компанією, зареєстрованою в США. За стандартним GDPR із SCC це врегульовується, але в закупівлях рівня суверенності це реальний критерій.

Що робить інструмент для відеоконференцій таким, що відповідає GDPR? Сім перевірюваних речей, а не бейдж на головній сторінці: підписаний DPA, справжній список субпроцесорів, задокументований регіон обробки, законний механізм міжнародного передавання, незалежно аудійована безпека, робочі інструменти для прав суб'єктів даних і зберігання, яким ви керуєте. Вендор відповідає вимогам для ваших цілей, коли на всі сім пунктів є конкретні письмові відповіді.

Чи вимагає GDPR, щоб відеозустрічі залишалися в ЄС? Ні. GDPR вимагає законного механізму передавання (SCC, рішення про адекватність), коли дані залишають ЄЕЗ, а не резидентності як такої. Резидентність важлива, бо знімає питання передавання повністю: аналіз після Schrems II стає коротким, коли дані ніколи не виходять за межі ЄС. Це різниця між «відповідністю з паперами» та «нічого закривати паперами».

Які інструменти для відеоконференцій працюють повністю в ЄС? Попросіть у будь-якого вендора карту обробки: регіон для кожного етапу: застосунок, API, медіа зустрічі, база даних, записи, аналітика, пошта, AI-функції. InterMIND публікує саме її (кожен етап, вендор за вендором): Vercel Франкфурт, Fly Париж, Neon Франкфурт, рушій перекладу на OVH Франція, AI-функції на шлюзі, який обирає організація, у регіоні ЄС (за замовчуванням Azure OpenAI EU Data Zone). Який би інструмент ви не оцінювали, відповідь — це карта, а не маркетингова сторінка.

Для якого господаря простору це підходить

Для власника чи керівника організації на 10–200 людей, чия команда або клієнти говорять іншою мовою, яка вже працює в Teams чи Workspace і налаштовує кімнату без ІТ-відділу. Для такого господаря чекліст закрито за замовчуванням, і розмова з DPO коротка, а решта рішення залежить від того, чи проходить сама зустріч мовою кожного учасника. Публічні закупівлі рівня суверенності, де юрисдикція вендора сама є частиною специфікації, — це інша розмова, і ми кажемо про це прямо, а не перебільшуємо.

Спробуйте, а потім прочитайте карту даних

• Спробуйте живу демонстрацію: почуйте багатомовний конвеєр наживо на справжній зустрічі й відчуйте, як звучить «обробка в ЄС і багатомовність». Реєстрація не потрібна.
• InterMIND проти Zoom: функція за функцією, чесно.
• Де насправді працює одна зустріч InterMIND: повна карта вендорів, разом із прогалиною.

«Відеоконференції, що відповідають GDPR» — це чекліст, а не бейдж. Який би інструмент ви не обрали, наш чи інший, змусьте вендора відповісти на всі сім запитань письмово. Ті, хто може, варті вашого часу, а ті, хто не може, продають вам головну сторінку.

— Команда Mind.com

Джерела щодо Zoom: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, перевірено у серпні 2026 року. Пропозиції та тарифи вендорів змінюються; звіряйте актуальне налаштування зі сторінками довіри Zoom. Факти про роботу InterMIND перевірено за робочим розгортанням, як описано в дописі з картою даних, на який є посилання.