Messenger tuân thủ GDPR cho doanh nghiệp (2026): các nhà cung cấp thực sự công bố những gì trong tài liệu

"Messenger nào tuân thủ GDPR?" là một câu hỏi mà không nhà cung cấp nào có thể trung thực trả lời bằng "chúng tôi có". GDPR đặt các nghĩa vụ lên bạn, bên kiểm soát dữ liệu: bạn cần một thỏa thuận xử lý dữ liệu (Điều 28), bạn cần biết dữ liệu nằm ở đâu và có bị chuyển sang nước thứ ba không, bạn cần có khả năng xóa dữ liệu và trả lời các yêu cầu truy cập. Một messenger có thể giúp những nghĩa vụ đó có thể thực hiện được — hoặc không. Một huy hiệu trên trang chủ không nói lên điều gì hơn thế.

Vì vậy, hướng dẫn này làm khác với các danh sách thông thường. Nó lấy sáu tiêu chí kiểm tra mà một nhân viên bảo vệ dữ liệu (DPO) vẫn thường hỏi và áp dụng chúng cho mười hai dịch vụ: các messenger dành cho người dùng cá nhân mà doanh nghiệp thực tế đang sử dụng (WhatsApp, Signal, Telegram), các messenger dành cho doanh nghiệp từ Thụy Sĩ và Đức (Threema Work, Teamwire, Wire, Stackfield), các nền tảng tự lưu trữ (Element, Mattermost, Rocket.Chat) và hai bộ giải pháp tích hợp (Microsoft Teams, Slack). Sau đó là InterMIND, sản phẩm chúng tôi xây dựng — theo cùng các tiêu chí và cùng quy tắc nguồn tham chiếu. Mọi phát biểu đều lấy từ tài liệu công khai của nhà cung cấp, được kiểm tra vào tháng 8/2026, có liên kết ở phần cuối.

Một tiêu chí thứ bảy được bổ sung, một tiêu chí không bao giờ xuất hiện trong các danh sách GDPR nhưng lại quan trọng mỗi ngày đối với một nhóm làm việc quốc tế: mỗi thành viên đọc kênh chat bằng ngôn ngữ nào? Một messenger chỉ lưu tin nhắn ở ngôn ngữ gốc sẽ đẩy việc dịch sang cho từng cá nhân — và sang cho các dịch vụ khác lại tiếp tục xử lý dữ liệu đó.

Sáu tiêu chí kiểm tra

Cơ quan Ủy viên Liên bang về Bảo vệ Dữ liệu của Đức (BfDI) công bố các tiêu chí lựa chọn cho dịch vụ messenger, đây là thước đo công khai dễ áp dụng nhất. Họ định nghĩa mã hóa đầu cuối (end-to-end) là tin nhắn được "mã hóa trên thiết bị của người gửi và chỉ được giải mã lại trên thiết bị của người nhận", liệt kê các cài đặt quyền riêng tư như quyền truy cập danh bạ, khả năng hiển thị hồ sơ, xác nhận đã đọc, phân tích sử dụng và báo cáo lỗi, và yêu cầu xóa tài khoản khi dữ liệu "được xóa ngay lập tức". Đối với việc sử dụng trong doanh nghiệp, các nghĩa vụ theo Điều 28 còn được bổ sung thêm. Gộp lại:

1. Thỏa thuận xử lý dữ liệu (DPA). Nhà cung cấp có cung cấp thỏa thuận này không — và nó có được ghi trong tài liệu của họ không?
2. Pháp nhân và vị trí máy chủ. Bên ký hợp đồng với bạn là công ty nào, dữ liệu nằm ở đâu, có việc chuyển dữ liệu sang nước thứ ba không?
3. Mã hóa. Đầu cuối (end-to-end), hay mã hóa trong quá trình truyền và trên máy chủ? Cả hai hình thức đều hợp lệ — chỉ cần được nêu rõ.
4. Dữ liệu meta và danh bạ. Danh bạ có bị tải lên không? Dữ liệu sử dụng và thiết bị nào được thu thập, và được chia sẻ với ai?
5. Xóa và lưu trữ dữ liệu. Lịch sử trò chuyện được lưu ở đâu, ai xóa nó, điều gì xảy ra khi một nhân viên rời công ty?
6. Nhà xử lý phụ (sub-processor). Danh sách này có được công bố không — bao gồm cả các dịch vụ dùng cho tính năng AI và dịch thuật?

Cộng thêm tiêu chí thứ bảy: ngôn ngữ theo từng thành viên.

Các messenger dành cho người dùng cá nhân khi áp dụng vào công việc

WhatsApp (và ứng dụng WhatsApp Business)

• Bên ký hợp đồng: đối với khu vực EEA, là "WhatsApp Ireland Limited".
• Mã hóa và lưu trữ: tin nhắn được mã hóa đầu cuối; "chúng tôi không lưu giữ tin nhắn của bạn trong quá trình cung cấp Dịch vụ thông thường cho bạn. Sau khi tin nhắn của bạn được gửi đi, chúng sẽ bị xóa khỏi máy chủ của chúng tôi." Do đó, lịch sử trò chuyện nằm trên thiết bị của nhân viên và trong các bản sao lưu của họ.
• Dữ liệu meta: được thu thập gồm "thông tin về cách bạn sử dụng Dịch vụ của chúng tôi", dữ liệu thiết bị ("kiểu máy phần cứng, thông tin hệ điều hành, mức pin, cường độ tín hiệu") và, nếu được cho phép, danh bạ ("tải lên danh sách liên hệ … từ danh bạ trên thiết bị của bạn theo định kỳ"). Dữ liệu được chia sẻ với "các Công ty Meta tại Hoa Kỳ và Ireland" và được chuyển "trên toàn cầu".
• DPA: chính sách quyền riêng tư của ứng dụng không nêu tên bất kỳ thỏa thuận xử lý dữ liệu nào cho doanh nghiệp (kiểm tra vào tháng 8/2026). Ứng dụng Business "được xây dựng dành cho các chủ doanh nghiệp nhỏ".
• Ngôn ngữ: từ tháng 9/2025, một tin nhắn có thể được dịch bằng cách nhấn giữ — ngay trên thiết bị ("việc dịch diễn ra trên thiết bị của bạn, nơi WhatsApp không thể thấy được"); Android có thể tự động dịch toàn bộ cuộc trò chuyện (sáu ngôn ngữ khi ra mắt), iPhone sử dụng công cụ dịch của Apple với hơn 19 ngôn ngữ. Ghi âm và cuộc gọi thoại không thuộc phạm vi thông báo này.

Signal

• Bên ký hợp đồng: Signal Messenger LLC, Mountain View, California — một tổ chức phi lợi nhuận.
• Mã hóa: "Signal không thể giải mã hoặc truy cập nội dung tin nhắn hay cuộc gọi của bạn theo bất kỳ cách nào khác."
• Dữ liệu meta: đăng ký bằng số điện thoại; dữ liệu kỹ thuật được giới hạn "ở mức tối thiểu cần thiết để vận hành Dịch vụ".
• DPA: không được ghi nhận trong các văn bản pháp lý của Signal (kiểm tra vào tháng 8/2026).
• Ngôn ngữ: không có tính năng dịch nào được ghi nhận.

Telegram

• Bên ký hợp đồng và vị trí: "Telegram Messenger Inc.", cùng với "Telegram FZ-LLC, một thành viên của nhóm công ty có trụ sở tại Dubai"; đối với người dùng EU/EEA, "dữ liệu của bạn được lưu trữ tại các trung tâm dữ liệu ở Hà Lan". Đại diện GDPR là Văn phòng Bảo vệ Dữ liệu Châu Âu (EDPO) tại Brussels.
• Mã hóa: các cuộc trò chuyện trên cloud được mã hóa trên máy chủ — "toàn bộ dữ liệu được lưu trữ với mức mã hóa cao và các khóa mã hóa trong mỗi trường hợp được lưu tại nhiều trung tâm dữ liệu khác nhau ở các khu vực pháp lý khác nhau" — và chỉ các cuộc trò chuyện bí mật (secret chats) mới được mã hóa đầu cuối: "Các cuộc trò chuyện bí mật sử dụng mã hóa đầu cuối."
• DPA: không được ghi nhận trong chính sách quyền riêng tư (kiểm tra vào tháng 8/2026).
• Ngôn ngữ: "Tất cả người dùng có thể dịch từng tin nhắn riêng lẻ"; người dùng Premium "có thể dịch toàn bộ cuộc trò chuyện, nhóm và kênh theo thời gian thực bằng cách nhấn vào thanh Dịch ở phía trên".

Cả ba đều là công cụ mà các nhóm thực sự sử dụng để làm việc. Điểm chung của chúng: lịch sử trò chuyện thuộc về thiết bị hoặc về cloud của nhà cung cấp, không thuộc về doanh nghiệp — và DPA mà Điều 28 yêu cầu không xuất hiện trong bất kỳ tài liệu nào của cả ba dịch vụ.

Các messenger doanh nghiệp từ Thụy Sĩ và Đức

Threema Work

• Vị trí: Thụy Sĩ. Nhà cung cấp lưu ý rằng việc chuyển dữ liệu từ EU sang Thụy Sĩ được pháp luật cho phép mà không cần xem xét thêm.
• Dữ liệu meta: Threema Work "không yêu cầu dữ liệu cá nhân (như số điện thoại hoặc địa chỉ email)" và "có thể sử dụng mà không cần quyền truy cập danh bạ".
• DPA: theo nhà cung cấp, Threema Work "đáp ứng các yêu cầu về xử lý dữ liệu tuân thủ bảo vệ dữ liệu thay mặt cho bên kiểm soát theo GDPR và luật DSG của Thụy Sĩ".
• Bản thử nghiệm: "30 ngày, 30 người dùng. Không tự động gia hạn." Giá theo từng người dùng không được công bố trên trang.
• Ngôn ngữ: không có tính năng dịch nào được ghi nhận.

Teamwire

• Vị trí: "cloud công cộng của Đức (IONOS, đạt chứng nhận C5)", "cloud riêng chuyên dụng" hoặc "lưu trữ toàn phần tại chỗ (on-premise)"; "lưu trữ tại Đức thay vì Hoa Kỳ", "không lưu trữ dữ liệu ngoài EU".
• Chứng nhận: "ISO 27001, BSI C5, chứng nhận TÜV"; các quy định EU GDPR, BDSG, BSI IT-Grundschutz, NIS-2, DORA và CER được nêu tên.
• Dữ liệu meta: "không truy cập danh bạ" và "không phân tích nội dung giao tiếp".
• GDPR: nhà cung cấp tự mô tả mình "tuân thủ GDPR 100%" — một tuyên bố tự nhận mà DPA phải chứng minh trong từng trường hợp cụ thể. Không có giá trên trang.
• Ngôn ngữ: không có tính năng dịch nào được ghi nhận.

Wire

• Vị trí: "cloud, tại chỗ (on-premises) hoặc kết hợp (hybrid)".
• Mã hóa: giao thức MLS; "tin nhắn, tệp và cuộc gọi được mã hóa đầu cuối hoàn toàn theo mặc định"; cuộc gọi video "với tối đa 200 người tham gia", mỗi phiên đều được mã hóa đầu cuối.
• Chứng nhận: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: "tuân thủ đầy đủ các quy định bảo vệ dữ liệu nghiêm ngặt, bao gồm GDPR" (tự mô tả). Không có giá theo từng người dùng trên trang.

Stackfield

• Vị trí: "toàn bộ việc xử lý dữ liệu chỉ giới hạn trong EU, và dữ liệu chỉ được lưu trữ tại các trung tâm dữ liệu ở Đức"; công ty chịu sự chi phối "chỉ duy nhất theo pháp luật của Đức và EU".
• Mã hóa: "mã hóa đầu cuối thực sự" cho tin nhắn, tệp và tác vụ.
• Chứng nhận: ISO 27001, BSI C5.
• Cuộc họp: bao gồm hội nghị âm thanh và video.
• Ngôn ngữ: không có tính năng dịch nào được ghi nhận.

Cả bốn dịch vụ đều trả lời các câu hỏi về vị trí và mã hóa một cách rõ ràng nhất có thể đối với một nhà cung cấp. Điều không dịch vụ nào trong số đó ghi nhận: một tính năng dịch cho phép một đồng nghiệp người Ba Lan, một người Bồ Đào Nha và một người Đức đọc cùng một kênh bằng ngôn ngữ riêng của mình.

Các nền tảng tự lưu trữ

Element (Matrix)

• Mã hóa: "toàn bộ nền tảng được mã hóa đầu cuối theo mặc định" — bao gồm cả Element Call cho thoại và video.
• Vận hành: Community miễn phí, tự lưu trữ; Enterprise tính theo mỗi ghế mỗi tháng, tự lưu trữ; Sovereign tính theo mỗi lần triển khai, cách ly hoàn toàn (air-gapped).
• Ngôn ngữ: không có tính năng dịch nào được ghi nhận — với mã hóa đầu cuối, không có chỗ nào trên máy chủ để thực hiện việc dịch.

Mattermost

• Vận hành: Professional và Enterprise dưới dạng giấy phép hàng năm tự lưu trữ, giá theo yêu cầu; Mattermost Cloud Enterprise dưới dạng gói single-tenant.
• Ngôn ngữ: dịch tự động theo kênh (bản beta, từ v11.5) trên Enterprise Advanced: phần back-end là "LibreTranslate: một công cụ dịch máy tự lưu trữ, mã nguồn mở" hoặc "Agents: sử dụng plugin Mattermost Agents với một LLM backend đã được cấu hình"; ngôn ngữ đích của người dùng "được xác định theo ngôn ngữ hiển thị Mattermost của họ". Việc dịch được chạy trên máy chủ của bạn.

Rocket.Chat

• Vận hành: gói Starter miễn phí, "tự quản lý, tự lưu trữ", "dùng để đánh giá kỹ thuật hoặc cho các nhóm nhỏ tối đa 50 người dùng"; các gói trả phí là Commercial, Government và Defense — tại chỗ, cloud riêng hoặc cách ly hoàn toàn (air-gapped), giá theo yêu cầu.
• Ngôn ngữ: Auto-Translate theo phòng — "mỗi người dùng nhận được bản dịch dựa trên ngôn ngữ họ đã chọn" — thông qua DeepL, Google Translate, Microsoft Translator hoặc LibreTranslate, với một khóa API do quản trị viên cung cấp. Do đó, nội dung tin nhắn sẽ được gửi đến nhà cung cấp bạn chọn — trừ khi đó là LibreTranslate chạy trên máy chủ riêng của bạn.

Nextcloud Talk cũng thuộc nhóm này: "một dịch vụ giao tiếp âm thanh/video và chat hoàn toàn tự lưu trữ, tại chỗ", với chức năng ghi phụ đề trực tiếp và dịch trên phần cứng riêng của bạn (chi tiết trong bài so sánh công cụ giao tiếp nhóm).

Các bộ giải pháp tích hợp: Microsoft Teams và Slack

Microsoft Teams

• DPA: "Khi bạn đăng ký một Sản phẩm theo các điều khoản của trang Product Terms, các điều khoản xử lý dữ liệu và an ninh được quy định trong Microsoft Online Services Data Protection Addendum (DPA)."
• Vị trí: dữ liệu Teams được lưu trữ "tại khu vực địa lý gắn với tổ chức Microsoft 365 hoặc Office 365 của bạn"; việc lưu trữ theo quốc gia (Đức, Pháp, Ý, Na Uy, Ba Lan, Thụy Điển, Thụy Sĩ và các nước khác) "chỉ áp dụng cho khách hàng mới (tenant mới)", các tenant EU hiện có vẫn nằm trong khu vực EMEA. EU Data Boundary ràng buộc Microsoft lưu trữ và xử lý Dữ liệu Khách hàng cho Microsoft 365 trong phạm vi EU/EFTA — "trừ một số trường hợp hạn chế" với các ngoại lệ được ghi nhận rõ; khách hàng dùng Multi-Geo không thuộc phạm vi này.
• Ngôn ngữ: tin nhắn chat và kênh được dịch theo yêu cầu hoặc tự động ("Teams có thể tự động dịch các tin nhắn nhận được"), hơn 100 ngôn ngữ, không yêu cầu giấy phép cụ thể; trong các cuộc họp, phụ đề đã dịch cần giấy phép Teams Premium hoặc Copilot của người tổ chức, và Interpreter agent (10 ngôn ngữ) cần giấy phép Copilot cho từng người nghe, 20 giờ mỗi tháng. Chi tiết: Dịch trực tiếp trong Teams.

Slack

• DPA: "Slack cung cấp một Data Processing Addendum bổ sung cho Customer Terms of Service" — được thực hiện qua một biểu mẫu, không được tự động tích hợp.
• Vị trí: vị trí lưu trữ dữ liệu từ gói Business+: Frankfurt, Paris, Stockholm, Zurich, London. Được bao gồm: tin nhắn, canvas, tệp và chỉ mục tìm kiếm; không bao gồm: hồ sơ thành viên và phân tích sử dụng. Gói Free giữ lịch sử tin nhắn trong 90 ngày.
• Ngôn ngữ: "Translate message" trên Business+ và Enterprise+, theo yêu cầu cho từng tin nhắn; "bản dịch chỉ hiển thị với riêng bạn, nên người khác sẽ luôn thấy tin nhắn gốc."

InterMIND

Chúng tôi xây dựng một không gian giao tiếp mà trong đó mọi thành viên đều đọc được cuộc họp, chat, tài liệu và lịch sử trò chuyện bằng ngôn ngữ riêng của mình — và tự áp dụng cùng bảy tiêu chí kiểm tra trên:

1. DPA: được ký cho từng khách hàng — các điều khoản xử lý theo Điều 28 với thời hạn báo trước 30 ngày khi có nhà xử lý phụ mới và thời hạn 72 giờ để thông báo vi phạm dữ liệu; bản đã ký sẵn có để bộ phận mua sắm sử dụng (/legal/dpa).
2. Pháp nhân và vị trí: được vận hành bởi một OÜ (công ty Estonia); toàn bộ luồng vận hành nằm trong EU ở mọi chặng xử lý — dịch giọng nói và chat trên engine riêng của chúng tôi trên các máy chủ chuyên dụng tại Pháp, điều phối cuộc họp tại Paris, cơ sở dữ liệu tại Frankfurt, lưu trữ và phân tích đặt tại EU. Bản đồ chi tiết, theo từng nhà cung cấp: một cuộc họp InterMIND thực sự chạy ở đâu.
3. Mã hóa: mã hóa trong quá trình truyền — âm thanh và video qua DTLS/SRTP, chat và tệp qua HTTPS/WSS và được mã hóa khi lưu trữ trên máy chủ của chúng tôi. Không có mã hóa đầu cuối: việc dịch là một quá trình xử lý, và nó diễn ra trên engine của chúng tôi, không phải ở bên thứ ba. Nếu mã hóa đầu cuối (E2EE) là ưu tiên hàng đầu của bạn, Element, Wire hoặc Threema sẽ phù hợp hơn — chúng tôi nói rõ điều này.
4. Dữ liệu meta và danh bạ: không tải lên danh bạ; người tham gia vào phòng qua liên kết, không cần tài khoản và không cần số điện thoại.
5. Xóa và lưu trữ dữ liệu: tiêu chí lưu trữ được viết rõ trong chính sách quyền riêng tư — dữ liệu vẫn được giữ đến khi bạn hoặc người sở hữu nhóm của bạn xóa nó; xóa tài khoản sẽ xóa toàn bộ dữ liệu của tài khoản đó. Chúng tôi đã tự kiểm tra mã nguồn của mình theo các nghĩa vụ GDPR và ghi lại những gì đã xử lý xong: Kiểm tra GDPR.
6. Nhà xử lý phụ: được công bố công khai, kèm chức năng và nơi đặt trụ sở của từng nhà cung cấp. Nhà cung cấp mô hình ngôn ngữ (language model) bên ngoài duy nhất (dùng cho tóm tắt cuộc họp) là một nhà cung cấp tại EU theo điều khoản không lưu giữ dữ liệu (zero-data-retention); việc dịch tài liệu chạy qua DeepL với tư cách nhà xử lý phụ tại EU được nêu tên. Không nội dung cuộc họp nào tiếp cận một mô hình có trụ sở tại Hoa Kỳ.
7. Ngôn ngữ theo từng thành viên: chat và ghi chú bằng 23 ngôn ngữ, tài liệu bằng 30 ngôn ngữ, giọng nói trực tiếp cho mỗi người tham gia bằng ngôn ngữ riêng của họ — là hành vi mặc định của phòng họp, không cần add-on hay giấy phép theo từng người nghe. Chất lượng được công bố hàng tháng theo từng cặp ngôn ngữ: /benchmark.

Điều chúng tôi không tuyên bố: một chứng nhận ISO mà chúng tôi chưa có. Câu trả lời của chúng tôi cho danh sách kiểm tra này nằm ở kiến trúc hệ thống và có thể kiểm chứng ngay trong mã nguồn; các chứng nhận đang nằm trong lộ trình phát triển.

Bảng tổng quan

Messenger nào phù hợp với trường hợp nào

• Mã hóa đầu cuối là tiêu chí hàng đầu và việc dịch không quan trọng: Threema Work (Thụy Sĩ, không cần số điện thoại), Wire (MLS, bao gồm cả cuộc gọi), Stackfield (trung tâm dữ liệu tại Đức) hoặc Element (tự lưu trữ, miễn phí ở bản Community).
• Mọi thứ phải chạy trên máy chủ của riêng bạn, và bạn có đủ nhân sự: Rocket.Chat (miễn phí đến 50 người dùng, dịch qua khóa nhà cung cấp của bạn), Mattermost Enterprise Advanced (dịch theo kênh bản beta trên LibreTranslate hoặc LLM của bạn), Nextcloud Talk.
• Bạn dù sao cũng đang là khách hàng của Microsoft hoặc Slack: cả hai đều ghi nhận DPA và vị trí lưu trữ tại EU — Teams qua khu vực tenant và EU Data Boundary, Slack từ gói Business+. Việc dịch được thực hiện theo từng người đọc, theo yêu cầu; ngôn ngữ cuộc họp trong Teams phụ thuộc vào giấy phép Copilot.
• Nhóm làm việc bằng WhatsApp, Signal hoặc Telegram: các dịch vụ được ghi nhận cho mục đích giao tiếp cá nhân, một phần được mã hóa đầu cuối — nhưng không có DPA được ghi nhận, lịch sử trò chuyện nằm trên thiết bị hoặc trên cloud của nhà cung cấp, và với WhatsApp, dữ liệu sử dụng và thiết bị được gửi đến các công ty Meta tại Hoa Kỳ. Một DPO sẽ đặt ra những câu hỏi mà tài liệu không trả lời được.
• Kênh giao tiếp bản thân đã đa ngôn ngữ — đồng nghiệp và khách hàng trả lời nhau bằng ba ngôn ngữ khác nhau, khách mời không có giấy phép của bạn, và một bộ phận tuân thủ muốn nêu rõ vị trí lưu trữ: đó chính là mục đích chúng tôi xây dựng InterMIND — nằm trong EU ở mọi chặng, DPA cho từng khách hàng, nhà xử lý phụ được công bố công khai, và mọi thành viên đều đọc không gian giao tiếp bằng ngôn ngữ riêng của mình.

Xem trực tiếp thay vì chỉ đọc về nó

• Thử bản demo trực tiếp — không cần đăng ký; nói, và nghe phòng họp được dịch riêng cho từng người nghe bằng bất kỳ ngôn ngữ nào trong số 23 ngôn ngữ.
• Xem benchmark — chất lượng dịch theo từng cặp ngôn ngữ, cập nhật hàng tháng dựa trên lưu lượng thực tế, với phương pháp được công bố công khai.
• Xem danh sách nhà xử lý phụ — chức năng và nơi đặt trụ sở của từng nhà cung cấp, không cần yêu cầu.

FAQ

Những messenger nào tuân thủ GDPR?

Không dịch vụ nào tự thân tuân thủ được — các nghĩa vụ thuộc về doanh nghiệp. Điều có thể kiểm tra là liệu nhà cung cấp có giúp các nghĩa vụ đó trở nên thực hiện được hay không: DPA được ghi nhận ở Microsoft Teams (qua Product Terms), Slack (qua biểu mẫu), Threema Work (nhà cung cấp: xử lý tuân thủ GDPR/DSG) và InterMIND (cho từng khách hàng, theo Điều 28); Teamwire và Wire tự mô tả mình là tuân thủ GDPR. Đối với WhatsApp, Signal và Telegram, tài liệu không nêu tên bất kỳ DPA nào (kiểm tra vào tháng 8/2026). Các dịch vụ tự lưu trữ — Element, Mattermost, Rocket.Chat, Nextcloud — chuyển câu hỏi này sang phía vận hành của riêng bạn.

Signal có tuân thủ GDPR không?

Signal ghi nhận mã hóa đầu cuối ("Signal không thể giải mã hoặc truy cập nội dung tin nhắn hay cuộc gọi của bạn theo bất kỳ cách nào khác") và dữ liệu kỹ thuật được giới hạn ở mức tối thiểu; bên ký hợp đồng là Signal Messenger LLC tại California, đăng ký bằng số điện thoại. Các văn bản pháp lý không nêu tên bất kỳ thỏa thuận xử lý dữ liệu nào cho doanh nghiệp. Sử dụng cá nhân là một bức tranh khác so với sử dụng trong doanh nghiệp, vốn phải thỏa mãn Điều 28.

WhatsApp có tuân thủ GDPR cho mục đích sử dụng doanh nghiệp không?

WhatsApp Ireland ghi nhận mã hóa đầu cuối và việc các tin nhắn đã gửi bị xóa khỏi máy chủ của họ — và, đồng thời, dữ liệu sử dụng và thiết bị, tùy chọn tải lên danh bạ và chia sẻ với "các Công ty Meta tại Hoa Kỳ và Ireland". Chính sách quyền riêng tư không nêu tên bất kỳ DPA nào cho ứng dụng; ứng dụng Business, theo nhà cung cấp, được xây dựng cho các chủ doanh nghiệp nhỏ. Bất kỳ ai sử dụng WhatsApp trong doanh nghiệp sẽ phải tự giải trình những điểm này với DPO của mình.

Telegram có tuân thủ GDPR không?

Telegram cho biết dữ liệu EU được lưu trữ tại Hà Lan và nêu tên một đại diện EU (EDPO, Brussels); các cuộc trò chuyện trên cloud được mã hóa trên máy chủ với các khóa "tại nhiều trung tâm dữ liệu khác nhau ở các khu vực pháp lý khác nhau", chỉ các cuộc trò chuyện bí mật mới được mã hóa đầu cuối. Không có DPA nào được ghi nhận. Đây là một tình trạng dữ liệu được ghi nhận, không phải là tuân thủ GDPR theo nghĩa Điều 28.

Microsoft Teams có tuân thủ GDPR không?

Microsoft ghi nhận DPA là một phần của Product Terms, việc lưu trữ dữ liệu Teams theo khu vực của tenant — lưu trữ theo quốc gia chỉ áp dụng cho tenant mới — và EU Data Boundary cho khách hàng Microsoft 365 có trụ sở tại EU/EFTA, với các ngoại lệ được ghi nhận rõ. Đối với các doanh nghiệp đã dùng Teams, đây là một cơ sở khá vững; các tính năng dịch trong cuộc họp phụ thuộc vào giấy phép Copilot cho từng người tổ chức và người nghe.

Một messenger tuân thủ GDPR cho doanh nghiệp cần cung cấp những gì?

Sáu câu trả lời được ghi nhận rõ ràng, thay vì một huy hiệu: một DPA theo Điều 28, một pháp nhân và vị trí máy chủ được nêu rõ mà không có việc chuyển dữ liệu sang nước thứ ba không được giải thích, một mô hình mã hóa được nêu rõ, quyền kiểm soát đối với danh bạ và dữ liệu meta, một cơ chế xóa dữ liệu bao gồm cả trường hợp nhân viên rời công ty, và một danh sách nhà xử lý phụ được công bố công khai — bao gồm cả các dịch vụ AI và dịch thuật. Đối với các nhóm quốc tế, điểm thứ bảy được bổ sung: một messenger chỉ lưu kênh ở ngôn ngữ gốc sẽ đẩy việc dịch sang cho từng cá nhân.

Có messenger tuân thủ GDPR miễn phí cho doanh nghiệp không?

Miễn phí và tự lưu trữ: Rocket.Chat Starter (tối đa 50 người dùng) và Element Community — khi đó, các nghĩa vụ GDPR nằm hoàn toàn ở phía vận hành của riêng bạn. Threema Work cung cấp 30 ngày cho 30 người dùng mà không cần thông tin thanh toán. Với InterMIND, việc tham gia miễn phí cho mọi người tham dự — vào phòng qua liên kết không cần tài khoản — và bản demo trực tiếp không cần đăng ký; người tổ chức trả phí cho phòng họp.

Nguồn: BfDI — Tiêu chí lựa chọn dịch vụ messenger (tiếng Đức), WhatsApp — Chính sách quyền riêng tư (EEA), WhatsApp — Chính sách quyền riêng tư, WhatsApp blog — Giới thiệu tính năng dịch tin nhắn, Ứng dụng WhatsApp Business, Signal — Điều khoản & Chính sách quyền riêng tư, Telegram — Chính sách quyền riêng tư, Telegram blog — Dịch thời gian thực, Threema — Messenger tuân thủ GDPR (tiếng Đức), Teamwire — Messenger tuân thủ GDPR (tiếng Đức), Wire — Wire so với MS Teams (tiếng Đức), Stackfield — Giải pháp thay thế Microsoft Teams (tiếng Đức), Element — Giá, Mattermost — Giá, Mattermost — Thiết lập Auto-translation (Beta), Rocket.Chat — Các gói của chúng tôi, Rocket.Chat — Tự động dịch tin nhắn, Nextcloud Talk, Microsoft — Phụ lục Bảo vệ Dữ liệu cho Sản phẩm và Dịch vụ, Microsoft Learn — Vị trí dữ liệu trong Microsoft Teams, Microsoft Learn — EU Data Boundary là gì?, Microsoft — Dịch tin nhắn trong Microsoft Teams, Microsoft — Interpreter trong các cuộc họp và cuộc gọi Teams, Slack — Phụ lục Xử lý Dữ liệu, Slack — Vị trí lưu trữ dữ liệu cho Slack, Slack — Giá, Slack — Hướng dẫn về các tính năng AI trong Slack. Các nhà cung cấp có thể thay đổi gói dịch vụ, vị trí, tính năng và các tuyên bố tự mô tả theo thời gian; hãy kiểm tra trang của họ để biết tình trạng hiện tại. Tất cả thông tin đã được kiểm tra vào tháng 8/2026.