GDPR کے مطابق ویڈیو کانفرنسنگ (2026): اصل میں کیا درکار ہے (اور ترجمہ کرنے والا Zoom کا متبادل)

کسی ویڈیو پلیٹ فارم کے ہوم پیج پر "GDPR-compliant" لکھا ہونا تقریباً بے معنی ہے۔ GDPR کوئی سرٹیفکیشن نہیں جسے آپ پاس کر لیں۔ یہ آپ پر، یعنی ڈیٹا کنٹرولر پر، عائد ذمہ داریوں کا مجموعہ ہے، جنہیں پورا کرنے میں وینڈر یا تو مدد کرتا ہے یا خاموشی سے آپ کی میز پر چھوڑ دیتا ہے۔ کام کا سوال یہ نہیں کہ "کیا یہ ٹول GDPR کے مطابق ہے؟" بلکہ یہ ہے: "یہ ٹول مجھے کس چیز کا ذمہ دار بناتا ہے، اور میری میٹنگ کا ڈیٹا اصل میں کہاں جاتا ہے؟"

🔒 اپڈیٹ — ہم نے یہ خود اپنے ساتھ کیا۔ اس پوسٹ کی اشاعت کے بعد ہم نے InterMIND کے اپنے کوڈ بیس کو نیچے دی گئی مکمل چیک لسٹ سے گزارا اور ہر نکتہ بند کیا: مٹانا (erasure)، ریٹنشن، EU رن ٹائم، سب پروسیسرز۔ سب کچھ کوڈ کے خلاف تصدیق شدہ ہے، کسی صفحے پر محض دعویٰ نہیں۔ → آڈٹ کی تکمیل کی رپورٹ، سطر بہ سطر پڑھیں۔

یہ پوسٹ اسی سوال کا سادہ زبان میں جواب ہے: وہ چیک لسٹ جس سے ایک DPO واقعی گزرتا ہے، اس پر Zoom کہاں کھڑا ہے (انصاف کے ساتھ، کیونکہ وہ انٹرنیٹ کے تاثر سے زیادہ compliance کے قابل ہے)، اور EU رن ٹائم والا متبادل جواب کو کہاں بدلتا ہے۔ اگر آپ "ریئل ٹائم میٹنگز کیسے کام کرنی چاہئیں" کا وسیع تر فریم دیکھنا چاہتے ہیں تو وہ بنیادی گائیڈ میں ہے۔ یہ پوسٹ خاص طور پر ڈیٹا پروٹیکشن کی تہہ کے بارے میں ہے۔

سادہ زبان میں چیک لسٹ

مارکیٹنگ ہٹا دیں تو "GDPR-compliant video conferencing" سات ایسی چیزوں پر آ ٹھہرتی ہے جنہیں آپ واقعی خود جانچ سکتے ہیں:

1. دستخط شدہ DPA۔ ایک Data Processing Addendum جو وینڈر کو آپ کا پروسیسر قرار دے، اور جس میں مقاصد اور ہدایات دستاویزی طور پر درج ہوں۔ DPA نہیں تو قانونی پروسیسنگ نہیں، بات ختم۔
2. حقیقی سب پروسیسر فہرست۔ ہر وہ تیسرا فریق جو میٹنگ کے ڈیٹا کو چھوتا ہے، یعنی ٹرانسکرپشن، اسٹوریج، ای میل، اینالیٹکس، AI فیچرز۔ ہر ایک کا نام، اس کا کام، اور وہ کہاں رجسٹرڈ ہے۔
3. رن ٹائم پر ڈیٹا کہاں پروسیس ہوتا ہے۔ وہ جسمانی خطہ جہاں آپ کی آڈیو، ٹرانسکرپٹس، ریکارڈنگز اور میٹا ڈیٹا ہینڈل ہوتے ہیں۔ ڈیٹا ریزیڈنسی کی بیشتر شقیں دراصل اسی کے بارے میں ہوتی ہیں۔
4. بین الاقوامی منتقلی کا طریقۂ کار۔ اگر کوئی بھی ڈیٹا EEA سے باہر جاتا ہے تو کس قانونی بنیاد پر؟ Standard Contractual Clauses (SCCs)، adequacy، یا ایسا ریزیڈنسی سیٹ اپ جو منتقلی کو سرے سے ختم کر دے۔ یہ Schrems II کا سوال ہے، اور ہوم پیج پر "compliant" لکھ دینے سے ختم نہیں ہوتا۔
5. قابلِ آڈٹ سکیورٹی پوزیشن۔ ISO 27001، ISO 27701، SOC 2، یعنی آزاد تصدیقات، خود ساختہ دعوے نہیں۔
6. ڈیٹا سبجیکٹ کے حقوق کا ٹول سیٹ۔ کیا آپ میٹنگ ڈیٹا کے لیے رسائی، حذف کرنے اور پورٹیبلٹی کی درخواستیں واقعی پوری کر سکتے ہیں، یا صرف نظریاتی طور پر؟
7. ریٹنشن اور حذف پر آپ کا کنٹرول۔ ریکارڈنگز، ٹرانسکرپٹس اور AI خلاصے آپ کے شیڈول پر حذف ہوں، وینڈر کے طے شدہ ڈیفالٹ پر نہیں۔

کوئی ٹول آپ کے مقصد کے لیے صرف تب "GDPR-compliant" ہے جب ساتوں نکات کے ٹھوس جوابات موجود ہوں۔ زیادہ تر ہوم پیجز ان میں سے ایک کا بھی جواب نہیں دیتے۔

Zoom اصل میں کہاں کھڑا ہے (انصاف کے ساتھ)

Zoom اپنی شہرت سے زیادہ GDPR کے قابل ہے، اور سستے پوائنٹ اسکور کرنے کے بجائے اس بارے میں درست رہنا بہتر ہے:

• وہ 2021 کے EU Standard Contractual Clauses کے ساتھ عالمی DPA شائع کرتا ہے۔
• وہ Enterprise اور Education صارفین کے لیے EU Data Residency ("Zoom EU Infrastructure") پیش کرتا ہے، جو Meetings، Webinar، Chat، Phone اور Contact Center کا احاطہ کرتی ہے۔
• اس کے پاس ISO 27001 ہے اور، فروری 2026 تک، ISO 27701 (پرائیویسی مینجمنٹ کی توسیع) بھی ہے، ساتھ ہی EU کے پبلک سیکٹر کے لیے شائع شدہ sovereignty کنٹرولز۔

چنانچہ درست ٹیر پر درست طریقے سے کنفیگر کیا گیا Zoom ڈیپلائمنٹ چیک لسٹ کا بیشتر حصہ پورا کر سکتا ہے۔ ایمانداری سے بتانے کی بات صلاحیت کی نہیں، ڈیفالٹس اور کارپوریٹ domicile کی ہے:

• EU ریزیڈنسی ڈیفالٹ نہیں، ٹیر اور کنفیگریشن کا اضافہ ہے۔ یہ Enterprise/Education پر ہے اور اسے آن کرنا پڑتا ہے۔ مفت اور نچلے ادائیگی والے ٹیرز کو یہ نہیں ملتی۔ "ہم Zoom استعمال کرتے ہیں" اور "ہم EU ریزیڈنسی کے لیے کنفیگر کیا ہوا Zoom استعمال کرتے ہیں" پروکیورمنٹ کے لحاظ سے دو مختلف حقائق ہیں۔
• Zoom امریکہ میں رجسٹرڈ کمپنی ہے۔ SCCs اور EU ریزیڈنسی کے باوجود وینڈر کا کارپوریٹ domicile CLOUD-Act اور sovereignty درجے کی جانچ میں زیرِ غور آتا ہے۔ معیاری GDPR کے لیے یہ SCCs کے ساتھ قابلِ انتظام ہے۔ فرانسیسی souveraineté numérique یا SecNumCloud درجے کی پروکیورمنٹ میں کارپوریٹ domicile خود ایک معیار ہے، اور وہ زیادہ مشکل گفتگو ہے۔
• میٹنگ پھر بھی ایک ہی زبان میں ہوتی ہے۔ Zoom کے ترجمہ شدہ کیپشنز اور AI Companion مدد کرتے ہیں، لیکن کمرہ حقیقی معنوں میں کثیر لسانی نہیں بنتا، یعنی ہر شریک میٹنگ کو لائیو اپنی زبان میں نہیں سنتا۔ اگر آپ کا compliance کا مسئلہ ساتھ ہی زبان کا مسئلہ بھی ہے (سرحد پار آڈٹس، کئی سائٹس کے CAPA جائزے)، تو ڈیٹا چاہے کہیں بھی ہو، یہ خلا حل نہیں ہوتا۔

مختصر یہ کہ: Zoom کنفیگر کیا جائے تو GDPR کے مطابق ہو سکتا ہے۔ یہ کافی ہے یا نہیں، اس کا انحصار اس پر ہے کہ آپ کا خریدار sovereignty کے معاملے میں کتنا حساس ہے، اور اس پر کہ میٹنگز کثیر لسانی ہیں یا نہیں۔

EU رن ٹائم والا متبادل

ہم نے InterMIND اس طرح بنایا ہے کہ ڈیٹا ریزیڈنسی کا جواب ڈیفالٹ ہو، کوئی کنفیگریشن پراجیکٹ نہیں، اور میٹنگ واقعی کثیر لسانی ہو سکے۔ اوپر کی چیک لسٹ میں جو حصہ وعدے کے بجائے ساخت (structure) کا ہے وہ میٹنگ کا چلنا کہاں ہے ہے۔ لائیو ڈیپلائمنٹ کے خلاف تصدیق کے مطابق:

• رن ٹائم کا ہر hop EU میں ہے۔ ایپ اور سرور APIs Frankfurt (fra1) میں Vercel پر؛ میٹنگ WebSocket سرور Paris (cdg) میں Fly پر؛ ایپلیکیشن ڈیٹا AWS Frankfurt (eu-central-1) پر Neon Postgres میں؛ ریکارڈنگز Tigris پر، جسے EU میں پن کیا جا سکتا ہے؛ ایرر/اینالیٹکس Sentry EU اور PostHog EU پر؛ ٹرانزیکشنل ای میل آئرلینڈ میں Resend کے ذریعے۔
• ترجمے کا انجن ہمارا اپنا کوڈ ہے، فرانس میں (OVH)، کوئی امریکی جنرل پرپز ماڈل نہیں جسے ہم آگے بیچ رہے ہوں۔ میٹنگ کے مواد کا سب سے بڑا بہاؤ EU ہی میں رہتا ہے اور کسی تیسرے فریق کے LLM کو کبھی نہیں چھوتا۔ دستاویز کا ترجمہ Cologne میں DeepL کو جاتا ہے، جو خود بھی ایک EU کمپنی ہے۔
• کارپوریٹ domicile کی تفصیل کے ساتھ سب پروسیسر فہرست DPA کے ساتھ آتی ہے، معیاری عمل کے طور پر، درخواست پر نہیں۔

میٹنگ کا مواد ایک AI گیٹ وے کو جاتا ہے، EU میں، اور اسے ادارہ خود منتخب کرتا ہے۔ میٹنگ سے اخذ ہونے والی ہر وہ چیز جسے لینگویج ماڈل درکار ہو، یعنی میٹنگ کے بعد کا AI ڈائجسٹ (موضوعات، فیصلے، ایکشن آئٹمز)، دستاویزی خلاصے، AI نوٹ ایڈیٹر کی جنریٹو کارروائیاں (درست کریں، بڑھائیں، آسان بنائیں)، Ask AI، آپ کے ادارے کے منتخب کردہ AI گیٹ وے پر چلتی ہے: بطور ڈیفالٹ EU Data Zone میں Azure OpenAI، یا انتخاب کی صورت میں EU multi-region اینڈ پوائنٹ پر Vertex AI یا Frankfurt میں Amazon Bedrock۔ ہر ایک ہمارے اپنے ٹیننٹ میں ہوتا ہے، صفر ڈیٹا ریٹنشن کے ساتھ اور کسٹمر کے مواد پر کسی تربیت کے بغیر؛ یا آپ کا اپنا OpenAI-compatible اینڈ پوائنٹ۔ میٹنگ کے بعد کا خلاصہ اور ایڈیٹر کی ترجمہ کارروائی لینگویج ماڈل سے نہیں بلکہ ترجمے کے راستے (translation tract) سے گزرتی ہیں۔ ہوسٹڈ گیٹ ویز کے پیچھے موجود وینڈرز امریکی کمپنیاں ہیں جو EU ریجنز چلاتی ہیں۔ یہ بات ٹرسٹ پیج پر صاف الفاظ میں بیان ہے، چھپائی نہیں گئی۔ کارپوریٹ domicile وہ معیار ہے جو sovereignty درجے کی پروکیورمنٹ GDPR کے اوپر شامل کرتی ہے، اور اس hop پر یہ بالکل اسی طرح لاگو ہوتا ہے جیسے اوپر Zoom پر ہوتا ہے۔ وینڈر بہ وینڈر مکمل نقشہ ایک InterMIND میٹنگ اصل میں کہاں چلتی ہے میں ہے، اور بنانے بمقابلہ خریدنے کا نقطۂ نظر ایک InterMIND میٹنگ کن چیزوں سے بنی ہے میں۔

ایک بات جس کا ہم دعویٰ نہیں کرتے: ہم ایسا ISO سرٹیفکیٹ لہرانے والے نہیں جو ہمارے پاس ابھی نہیں ہے۔ چیک لسٹ کا ہمارا جواب ساختی ہے: EU رن ٹائم، اپنا انجن، شفاف سب پروسیسرز، اور حقیقی DPA۔ ہم چاہیں گے کہ آپ بیج پر بھروسا کرنے کے بجائے اسے خود جانچیں۔ سرٹیفکیشنز روڈ میپ پر ہیں؛ رن ٹائم آج حقیقی ہے۔ ہم نے اپنا کوڈ بیس اسی چیک لسٹ سے گزارا اور ہر نکتہ کوڈ کے خلاف بند کیا: تکمیل کی رپورٹ، سطر بہ سطر۔

اور وہ حصہ جو Zoom کی ریزیڈنسی سیٹنگز شامل نہیں کر سکتیں: میٹنگ ڈیزائن ہی سے کثیر لسانی ہے۔ ہر شریک 23 زبانوں میں اپنی زبان میں لائیو ہوتا ہے، آواز، چیٹ اور نوٹس سمیت، اور ترجمے کا معیار کھلے عام شائع کیا جاتا ہے، محض دعویٰ نہیں۔ یہ کیسے کام کرتا ہے یہ بنیادی گائیڈ میں ہے؛ ریگولیٹڈ میٹنگز کا استعمال کثیر لسانی compliance میٹنگز میں۔

چیک لسٹ بطور جدول

ساتوں نکات ان دو ٹولز کے مقابل جن پر یہ پوسٹ تفصیل سے بات کرتی ہے۔ خانوں میں صرف وہی لکھا ہے جو ہر وینڈر خود دستاویزی طور پر بتاتا ہے (Zoom کے لنکس نیچے Sources میں ہیں؛ InterMIND کے دعوے آڈٹ کی تکمیل اور رن ٹائم میپ میں سطر بہ سطر تصدیق شدہ ہیں)۔ کسی بھی دوسرے وینڈر کے لیے، اسے بائیں کالم کے سوالات کا تحریری جواب دینے پر مجبور کریں۔

FAQ

کیا Zoom GDPR کے مطابق ہے؟ ہو سکتا ہے، درست ٹیر اور کنفیگریشن پر: Zoom 2021 EU SCCs کے ساتھ عالمی DPA شائع کرتا ہے، Enterprise اور Education صارفین کو EU Data Residency دیتا ہے، اور اس کے پاس ISO 27001 اور (فروری 2026 سے) ISO 27701 ہے۔ ایمانداری سے بتانے کی باتیں: EU ریزیڈنسی ڈیفالٹ کے بجائے ٹیر اور کنفیگریشن کا اضافہ ہے، اور Zoom امریکہ میں رجسٹرڈ کمپنی ہی رہتی ہے۔ معیاری GDPR کے تحت یہ SCCs کے ساتھ قابلِ انتظام ہے، لیکن sovereignty درجے کی پروکیورمنٹ میں ایک حقیقی معیار ہے۔

کسی ویڈیو کانفرنسنگ ٹول کو GDPR کے مطابق کیا بناتا ہے؟ سات قابلِ تصدیق چیزیں، ہوم پیج کا بیج نہیں: دستخط شدہ DPA، حقیقی سب پروسیسر فہرست، دستاویزی رن ٹائم ریجن، قانونی بین الاقوامی منتقلی کا طریقۂ کار، آزادانہ طور پر آڈٹ شدہ سکیورٹی، کام کرنے والا ڈیٹا سبجیکٹ حقوق کا ٹول سیٹ، اور آپ کے کنٹرول میں ریٹنشن۔ وینڈر آپ کے مقصد کے لیے تب compliant ہے جب ساتوں کے تحریری ٹھوس جوابات موجود ہوں۔

کیا GDPR تقاضا کرتا ہے کہ ویڈیو میٹنگز EU میں رہیں؟ نہیں۔ GDPR ڈیٹا کے EEA سے باہر جانے پر قانونی منتقلی کا طریقۂ کار (SCCs، adequacy) مانگتا ہے، ریزیڈنسی بذاتِ خود نہیں۔ ریزیڈنسی اس لیے اہم ہے کہ وہ منتقلی کا سوال ہی ختم کر دیتی ہے۔ جب ڈیٹا کبھی باہر جاتا ہی نہیں تو Schrems II کے بعد کا تجزیہ مختصر ہو جاتا ہے۔ یہی "کاغذی کارروائی کے ساتھ compliant" اور "کاغذ سے ڈھانپنے کو کچھ نہیں" کا فرق ہے۔

کون سے ویڈیو کانفرنسنگ ٹولز مکمل طور پر EU میں چلتے ہیں؟ کسی بھی وینڈر سے اس کا رن ٹائم میپ مانگیں: ہر hop کا ریجن، یعنی ایپ، APIs، میٹنگ میڈیا، ڈیٹا بیس، ریکارڈنگز، اینالیٹکس، ای میل، AI فیچرز۔ InterMIND بالکل یہی شائع کرتا ہے (ہر hop، وینڈر بہ وینڈر): Vercel Frankfurt، Fly Paris، Neon Frankfurt، ترجمے کا انجن OVH فرانس پر، اور AI فیچرز ادارے کے منتخب کردہ گیٹ وے پر، EU ریجن میں (بطور ڈیفالٹ Azure OpenAI EU Data Zone)۔ آپ جو بھی ٹول جانچیں، جواب مارکیٹنگ پیج نہیں بلکہ یہ نقشہ ہے۔

یہ کس خریدار کے لیے ہے

• جرمن Mittelstand اور ریگولیٹڈ EU ٹیمیں جو معیاری GDPR DPAs پر چلتی ہیں: ہر hop پر EU والا رن ٹائم ریزیڈنسی کے سوال کا براہِ راست جواب دیتا ہے، بغیر ٹیر اپ گریڈ یا ریزیڈنسی پراجیکٹ کے۔ جب ڈیٹا باہر نہیں جاتا تو منتقلی کے طریقۂ کار پر گفتگو کافی مختصر ہو جاتی ہے۔
• فرانسیسی پبلک سیکٹر اور souveraineté درجے کی پروکیورمنٹ، جہاں وینڈر کا کارپوریٹ domicile خود تصریحات کا حصہ ہے: یہ ڈیپلائمنٹ ٹوپولوجی پر گہری گفتگو ہے، اور ہم اسے مبالغے کے بجائے ایمانداری سے کریں گے۔
• امریکہ کے اندرونی اور APAC خریدار: عموماً رکاوٹ ریزیڈنسی نہیں بلکہ آپ کے ریجن سے لیٹنسی ہوتی ہے۔ مسئلہ مختلف ہے؛ ہمیں بتائیں اور ہم اس کے مطابق منصوبہ بنائیں گے۔

آزما کر دیکھیں، پھر ڈیٹا میپ پڑھیں

• لائیو ڈیمو آزمائیں — حقیقی میٹنگ پر لائیو، کثیر لسانی پائپ لائن سنیں اور محسوس کریں کہ "EU رن ٹائم اور کثیر لسانی" عملاً کیسا لگتا ہے۔ سائن اپ کی ضرورت نہیں۔
• InterMIND بمقابلہ Zoom — فیچر بہ فیچر، ایمانداری سے۔
• ایک InterMIND میٹنگ اصل میں کہاں چلتی ہے — مکمل وینڈر میپ، خلا سمیت۔

"GDPR-compliant video conferencing" ایک چیک لسٹ ہے، بیج نہیں۔ آپ جو بھی ٹول چنیں، ہمارا ہو یا کوئی اور، وینڈر سے ساتوں سوالوں کے جواب تحریری طور پر مانگیں۔ جو دے سکتے ہیں وہ آپ کے وقت کے لائق ہیں؛ جو نہیں دے سکتے وہ آپ کو ہوم پیج بیچ رہے ہیں۔

— Mind.com ٹیم

Zoom کے بارے میں ماخذ: Zoom — GDPR، Zoom — EU Data Residency / privacy in Europe، Zoom — ISO 27701، اگست 2026 میں جانچے گئے۔ وینڈر کی پیشکشیں اور ٹیرز بدلتے رہتے ہیں؛ موجودہ کنفیگریشن کو Zoom کے ٹرسٹ پیجز کے خلاف تصدیق کریں۔ InterMIND کے رن ٹائم حقائق لائیو ڈیپلائمنٹ کے خلاف تصدیق شدہ ہیں، جیسا کہ لنک کی گئی ڈیٹا میپ پوسٹ میں بیان ہے۔