Chúng tôi đã hoàn tất kiểm toán GDPR. Đây là những gì chúng tôi thực sự đã khắc phục.

Vài tuần trước, chúng tôi đã viết rằng dòng chữ "tuân thủ GDPR" trên trang chủ của một công cụ họp video có ý nghĩa ít hơn bạn nghĩ — rằng GDPR là một tập hợp các nghĩa vụ đặt lên bạn, bên kiểm soát dữ liệu, mà nhà cung cấp hoặc giúp bạn đáp ứng, hoặc lặng lẽ để lại trên bàn của bạn. Cách trung thực để chứng minh nhận định đó là làm phần việc của chính mình và trình bày nó, từng dòng một.

Vì vậy chúng tôi đã làm như thế. Chúng tôi đã kiểm toán toàn bộ mã nguồn InterMIND dựa trên các nghĩa vụ đặt lên chúng tôi với tư cách bên xử lý dữ liệu, khắc phục mọi lỗ hổng có mã nguồn đứng sau, và xác minh từng điểm trên sản phẩm đang chạy. Bài viết này là báo cáo kết thúc — không phải một huy hiệu, mà là một danh sách kiểm tra kèm câu trả lời của chúng tôi.

Chúng tôi chủ ý không tuyên bố "chứng nhận GDPR 100%". GDPR không phải là chứng chỉ để bạn thi đỗ — và chúng tôi sẽ không phô ra một huy hiệu ISO mà mình chưa có. Điều chúng tôi có thể nói: các nghĩa vụ về kiến trúc và quy trình mà một DPO phải rà soát nay đã có câu trả lời cụ thể, có thể kiểm chứng, mỗi câu đều được đối chiếu với mã nguồn đang chạy.

Những gì chúng tôi đã khắc phục

Quyền được xóa dữ liệu (Điều 17) — chuỗi xóa thực sự chạy

Xóa tài khoản không chỉ là vô hiệu hóa nó. POST /api/user/delete-account chạy một chuỗi xóa thật sự: nó xóa sạch các cuộc họp → người tham gia, tin nhắn, hội nghị, bản chép lời; nó dọn các blob lưu trữ của bạn khỏi Tigris trước khi chuỗi xóa trong cơ sở dữ liệu chạy để không còn gì bị bỏ sót — tệp đính kèm trong chat và tệp ghi hình video, cả hai cột; và nó hủy các gói đăng ký Stripe của bạn rồi xóa khách hàng Stripe. Xóa theo yêu cầu cũng có sẵn — bỏ một kênh hoặc một tin nhắn từ giao diện là nó biến mất. Tài khoản ẩn danh (khách) có endpoint xóa riêng cùng một tác vụ dọn nền cứ 6 giờ một lần, dưới một cron được giám sát. Cuộc kiểm toán phát hiện một lỗ hổng ở đây — các blob bản ghi mà chuỗi xóa trong cơ sở dữ liệu đã loại bỏ nhưng kho lưu trữ vẫn giữ — và chúng tôi đã khắc phục: việc xóa giờ không còn để lại gì trong kho lưu trữ đối tượng.

Lưu giữ (Điều 5(1)(e)) — một tiêu chí được ghi thành văn bản

Điều 5(1)(e) không yêu cầu thời hạn tự động hết hiệu lực (TTL). Nó yêu cầu một tiêu chí lưu giữ được xác định rõ. Tiêu chí của chúng tôi nay đã được ghi vào Chính sách quyền riêng tư: dữ liệu được giữ cho đến khi bạn hoặc chủ sở hữu nhóm của bạn xóa nó, và xóa tài khoản sẽ xóa mọi thứ. Đó cũng là mô hình mà các công cụ cộng tác như Slack và Notion vận hành — dữ liệu được lưu lại là hành vi được mong đợi, và bạn vẫn kiểm soát được nó. Tiêu chí được nêu rõ, không chỉ ngầm hiểu.

Đồng ý về phân tích (Điều 6/7) — mặc định là từ chối

Một biểu ngữ đồng ý của Usercentrics (hiển thị cho khách truy cập từ EU) kiểm soát việc phân tích, và PostHog được phát hành với opt_out_capturing_by_default: true — không có gì được ghi nhận cho đến khi có sự đồng ý, chứ không phải ngược lại.

Khả năng di chuyển dữ liệu (Điều 20) — một bản xuất thực sự

GET /api/user/export tạo một tệp ZIP gồm các cuộc họp, tin nhắn, bản ghi và bản dịch của bạn, với thời hạn tải xuống 7 ngày và tự động dọn dẹp. Truy cập, xóa và di chuyển dữ liệu là những công cụ hoạt động được, không phải lời hứa trong một chính sách.

Nội dung cuộc họp đi qua một cổng AI, trong EU — do tổ chức lựa chọn

Luồng lớn nhất của nội dung cuộc họp — dịch giọng nói và chat trực tiếp — chạy trên engine riêng của chúng tôi tại Pháp, không bao giờ qua LLM của bên thứ ba. Các bước AI có dùng mô hình đa dụng (digest, tóm tắt tài liệu, các thao tác sinh nội dung của trình soạn ghi chú, Ask AI) chạy trên cổng AI mà tổ chức chọn — mặc định là Azure OpenAI trong EU Data Zone, hoặc Vertex AI EU hay Amazon Bedrock Frankfurt nếu được chọn, mỗi loại nằm trong tenant riêng của chúng tôi, không lưu giữ dữ liệu và không huấn luyện trên nội dung của khách hàng, hoặc endpoint riêng của tổ chức; một bộ phân giải duy nhất trong mã nguồn chọn cổng cho mọi điểm gọi, nên không có đường đi thứ hai. Chúng tôi cũng đã loại bỏ tên người tham gia và nội dung lời nói khỏi nhật ký trình duyệt của hội nghị mà tính năng ghi phiên của PostHog có thể ghi lại. Sơ đồ đầy đủ theo từng nhà cung cấp nằm trong bài Một cuộc họp InterMIND thực sự chạy ở đâu.

Minh bạch — bên xử lý phụ và hồ sơ xử lý, được công bố

Danh sách bên xử lý phụ đã hoạt động, nêu rõ mỗi nhà cung cấp làm gì và đặt trụ sở ở đâu — không phải "cung cấp khi có yêu cầu". Phía sau là Hồ sơ các hoạt động xử lý (ROPA) được xây dựng từ lược đồ đang chạy: 11 hoạt động xử lý, các biện pháp bảo mật cho từng hoạt động, và các đường xóa / di chuyển dữ liệu. Chính sách quyền riêng tư và Điều khoản của chúng tôi nay được vận hành dưới pháp nhân riêng của chúng tôi, mô tả chuỗi xử lý thực tế.

Môi trường chạy trong EU — được cố định, không chỉ hứa hẹn

Mọi chặng chạy mà một cuộc họp đi qua đều ở EU: ứng dụng và API trên Vercel Frankfurt, máy chủ cuộc họp trên Fly Paris, dữ liệu ứng dụng trong Neon Postgres (AWS Frankfurt), lỗi trên Sentry EU, phân tích trên PostHog EU, email qua Resend Ireland. Kho lưu trữ đối tượng trên Tigris nay được cố định vào các vùng EU (Frankfurt + Amsterdam) — mọi lần ghi mới đều nằm trong EU bất kể người dùng ở đâu. Kiến trúc đầy đủ có trên trang bảo mật của chúng tôi.

Vì sao điều này quan trọng với quy trình mua sắm của bạn

Với đa số người mua ở EU — doanh nghiệp vừa (Mittelstand) của Đức, các nhóm chịu quản lý đang dùng DPA GDPR tiêu chuẩn — câu hỏi về nơi lưu trú dữ liệu nay đã có câu trả lời trực tiếp: dữ liệu không rời EU khi chạy, việc xóa hoạt động, tiêu chí lưu giữ được nêu rõ, và danh sách bên xử lý phụ được đặt lên bàn. Đó là một cuộc trao đổi ngắn hơn nhiều so với "để chúng tôi phản hồi lại bạn về việc dữ liệu đi đâu".

Với yêu cầu souveraineté numérique (chủ quyền số) của Pháp và quy trình mua sắm ở cấp SecNumCloud, nơi đặt trụ sở doanh nghiệp của nhà cung cấp tự nó là một tiêu chí — đó là cuộc trao đổi sâu hơn về cấu trúc triển khai mà chúng tôi sẽ trao đổi trung thực thay vì nói quá. Và điều duy nhất chúng tôi sẽ không làm là phô ra một chứng chỉ ISO mà mình chưa có: các chứng nhận nằm trong lộ trình, nhưng câu trả lời của chúng tôi cho danh sách kiểm tra là mang tính kiến trúc và có thể kiểm chứng ngay hôm nay.

Tự mình kiểm chứng

• Họp video tuân thủ GDPR: danh sách kiểm tra đầy đủ cho DPO — bảy điều cần yêu cầu bất kỳ nhà cung cấp nào trả lời, và vị trí của Zoom.
• Một cuộc họp InterMIND thực sự chạy ở đâu — sơ đồ nhà cung cấp, với các khoảng trống được nêu rõ.
• Cuộc họp của bạn có được giữ bí mật không? — ba câu hỏi cần đặt ra trước khi danh sách kiểm tra của DPO được đưa ra.
• Bảo mật & Quyền riêng tư · Bên xử lý phụ · Chính sách quyền riêng tư · Điều khoản
• Dùng thử bản demo trực tiếp — nghe quy trình đa ngôn ngữ trực tiếp, chạy trong EU trên một cuộc họp thật — không cần đăng ký.

Tuân thủ GDPR không phải là huy hiệu bạn mua được — đó là công việc bạn làm và có thể chứng minh. Đây là phần của chúng tôi, từng dòng một. Nếu DPO của bạn cần một câu trả lời mà bài viết này chưa đưa ra, hãy viết thư cho chúng tôi.

— Đội ngũ Mind.com

Nguồn: Quy định (EU) 2016/679 (GDPR) — các điều khoản được dùng làm căn cứ kiểm toán; các nhận định nội bộ được xác minh đối chiếu với mã nguồn InterMIND và sản phẩm đang chạy; kiểm tra tháng 8 năm 2026.