Hội nghị truyền hình tuân thủ GDPR (2026): thực sự cần những gì (và một giải pháp thay thế Zoom có dịch thuật)

"Tuân thủ GDPR" trên trang chủ của một nền tảng họp video gần như là một câu rỗng nghĩa. GDPR không phải chứng nhận để bạn thi đạt. Đó là một tập hợp nghĩa vụ đặt lên bạn, bên kiểm soát dữ liệu, mà nhà cung cấp hoặc giúp bạn đáp ứng, hoặc lặng lẽ để lại trên bàn bạn. Câu hỏi hữu ích không phải "công cụ này có tuân thủ GDPR không?" mà là "công cụ này khiến tôi phải chịu trách nhiệm về những gì, và dữ liệu cuộc họp của tôi thực sự đi đâu?"

🔒 Cập nhật — chúng tôi đã tự áp dụng điều này cho chính mình. Kể từ khi bài viết này được đăng, chúng tôi đã đưa toàn bộ mã nguồn của InterMIND qua danh mục kiểm tra bên dưới và đóng mọi hạng mục — xóa dữ liệu, lưu giữ, chạy trong EU, bên xử lý phụ — được đối chiếu với mã nguồn, không phải chỉ tuyên bố trên một trang web. → Đọc báo cáo khép kín kiểm toán, từng dòng một.

Bài viết này là phiên bản nói thẳng của câu hỏi đó: danh mục kiểm tra mà một DPO thực sự đi qua, vị trí của Zoom trên đó (công bằng — Zoom có khả năng tuân thủ cao hơn điều mà internet vẫn nghĩ), và chỗ một giải pháp thay thế chạy trong EU làm thay đổi câu trả lời. Nếu bạn muốn xem khung rộng hơn về việc các cuộc họp theo thời gian thực nên vận hành thế nào, hãy đọc hướng dẫn tổng quan; bài này chỉ nói riêng về lớp bảo vệ dữ liệu.

Danh mục kiểm tra nói thẳng

Bỏ lớp quảng cáo đi, "hội nghị truyền hình tuân thủ GDPR" quy về bảy điều bạn thực sự có thể kiểm chứng:

1. Một DPA đã ký. Một Phụ lục Xử lý Dữ liệu (Data Processing Addendum) xác định nhà cung cấp là bên xử lý của bạn, với mục đích và chỉ dẫn được ghi rõ. Không có DPA thì không có việc xử lý hợp pháp — chấm hết.
2. Một danh sách bên xử lý phụ thực sự. Mọi bên thứ ba chạm vào dữ liệu cuộc họp — phiên âm, lưu trữ, email, phân tích, tính năng AI — đều được nêu tên, kèm việc họ làm và nơi họ đặt trụ sở.
3. Nơi dữ liệu được xử lý khi chạy. Vùng vật lý nơi âm thanh, bản ghi chép, bản ghi hình và siêu dữ liệu của bạn được xử lý. Đây là điều mà hầu hết các điều khoản lưu trú dữ liệu thực sự nói đến.
4. Cơ chế chuyển dữ liệu quốc tế. Nếu bất kỳ dữ liệu nào rời khỏi EEA, thì dựa trên cơ sở pháp lý nào? Các Điều khoản Hợp đồng Tiêu chuẩn (SCCs), quyết định tương thích, hoặc một thiết lập lưu trú tránh hẳn việc chuyển dữ liệu. Đây là câu hỏi Schrems II, và nó không biến mất chỉ vì một trang chủ ghi "tuân thủ".
5. Mức độ bảo mật bạn có thể kiểm toán. ISO 27001, ISO 27701, SOC 2 — các chứng nhận độc lập, không phải tự khẳng định.
6. Công cụ cho quyền của chủ thể dữ liệu. Bạn có thực sự đáp ứng được các yêu cầu truy cập, xóa và di chuyển đối với dữ liệu cuộc họp không, hay chỉ trên lý thuyết?
7. Lưu giữ và xóa do bạn kiểm soát. Bản ghi hình, bản ghi chép và bản tóm tắt AI được xóa theo lịch của bạn, không theo mặc định của nhà cung cấp.

Một công cụ chỉ "tuân thủ GDPR" theo mục đích của bạn khi cả bảy điều đều có câu trả lời cụ thể. Hầu hết các trang chủ không trả lời được điều nào.

Zoom thực sự đứng ở đâu (công bằng)

Zoom có khả năng đáp ứng GDPR tốt hơn danh tiếng của nó, và cần chính xác về điều đó thay vì ghi điểm rẻ tiền:

• Zoom công bố một DPA toàn cầu tích hợp sẵn các Điều khoản Hợp đồng Tiêu chuẩn EU năm 2021.
• Zoom cung cấp EU Data Residency — "Zoom EU Infrastructure" — cho khách hàng Enterprise và Education, bao gồm Meetings, Webinar, Chat, Phone và Contact Center.
• Zoom có ISO 27001 và, từ tháng 2/2026, ISO 27701 (phần mở rộng về quản lý quyền riêng tư), cùng các biện pháp kiểm soát chủ quyền cho khu vực công EU đã được công bố.

Vì vậy, một triển khai Zoom được cấu hình đúng, ở gói phù hợp, có thể đáp ứng phần lớn danh mục kiểm tra. Những lưu ý trung thực nằm ở mặc định và nơi đặt trụ sở, không phải ở năng lực:

• Lưu trú tại EU là tính năng bổ sung theo gói và cấu hình, không phải mặc định. Nó có ở Enterprise/Education và phải được bật lên. Các gói miễn phí và trả phí thấp hơn không có. "Chúng tôi dùng Zoom" và "chúng tôi dùng Zoom được cấu hình lưu trú tại EU" là hai dữ kiện mua sắm khác nhau.
• Zoom là công ty có trụ sở tại Mỹ. Ngay cả với SCCs và lưu trú tại EU, nơi đặt trụ sở pháp lý của nhà cung cấp vẫn nằm trong phạm vi các đánh giá theo CLOUD-Act và cấp độ chủ quyền. Với GDPR tiêu chuẩn, điều này xử lý được bằng SCCs; còn với souveraineté numérique của Pháp hoặc mua sắm cấp độ SecNumCloud, nơi đặt trụ sở bản thân nó là một tiêu chí, và đó là cuộc trao đổi khó hơn.
• Cuộc họp vẫn diễn ra bằng một ngôn ngữ. Phụ đề dịch và AI Companion của Zoom có ích, nhưng căn phòng không trở thành đa ngôn ngữ thực sự — nơi mọi người tham gia nghe cuộc họp trực tiếp bằng ngôn ngữ của chính mình. Nếu vấn đề tuân thủ của bạn đồng thời là vấn đề ngôn ngữ (kiểm toán xuyên biên giới, các buổi rà soát CAPA nhiều địa điểm), thì khoảng trống đó chưa được giải quyết, bất kể dữ liệu nằm ở đâu.

Tóm lại: Zoom có thể tuân thủ GDPR khi được cấu hình cho việc đó. Việc điều đó có đủ hay không phụ thuộc vào mức độ nhạy cảm về chủ quyền của bên mua — và vào việc các cuộc họp có đa ngôn ngữ hay không.

InterMIND đứng ở đâu trên danh mục kiểm tra

InterMIND là một không gian mà người chủ trì dành cho đội ngũ và khách hàng của mình, mỗi người dùng ngôn ngữ của riêng họ — cuộc họp, chat, tệp, bản recap. Danh mục kiểm tra ở trên được trả lời theo mặc định chứ không qua một dự án cấu hình; phần mang tính cấu trúc thay vì lời hứa là nơi cuộc họp chạy — một dòng dành cho DPO, được đối chiếu với bản triển khai thực tế:

• Mọi chặng chạy đều nằm trong EU. App và API máy chủ trên Vercel tại Frankfurt (fra1); máy chủ WebSocket của cuộc họp trên Fly tại Paris (cdg); dữ liệu ứng dụng trong Neon Postgres trên AWS Frankfurt (eu-central-1); bản ghi hình trên Tigris, có thể ghim vào EU; lỗi/phân tích trên Sentry EU và PostHog EU; email giao dịch qua Resend tại Ireland.
• Công cụ dịch là mã nguồn của chính chúng tôi, đặt tại Pháp (OVH) — không phải một mô hình đa dụng của Mỹ mà chúng tôi bán lại. Luồng nội dung cuộc họp lớn nhất vẫn nằm trong EU và không bao giờ chạm vào LLM của bên thứ ba. Dịch tài liệu đi qua DeepL tại Cologne — cũng là một công ty EU.
• Danh sách bên xử lý phụ kèm chi tiết nơi đặt trụ sở được gửi cùng DPA như thông lệ tiêu chuẩn, không chỉ khi có yêu cầu.

Nội dung cuộc họp đi qua một cổng AI duy nhất, trong EU, do tổ chức lựa chọn. Mọi thứ được tạo ra từ cuộc họp cần đến mô hình ngôn ngữ — bản tóm tắt AI sau cuộc họp (chủ đề, quyết định, action items), tóm tắt tài liệu, các thao tác sinh nội dung của trình soạn ghi chú AI (sửa, mở rộng, đơn giản hóa), Ask AI — chạy trên cổng AI mà tổ chức của bạn chọn: mặc định là Azure OpenAI trong EU Data Zone, hoặc Vertex AI trên điểm cuối đa vùng EU, hoặc Amazon Bedrock tại Frankfurt nếu bạn chọn, mỗi loại nằm trong tenant riêng của chúng tôi, không lưu giữ dữ liệu và không huấn luyện trên nội dung khách hàng; hoặc điểm cuối tương thích OpenAI của chính bạn. Bản tóm tắt sau cuộc họp và thao tác dịch của trình soạn thảo đi qua đường dịch, không qua mô hình ngôn ngữ. Các nhà cung cấp đứng sau các cổng được lưu trữ là công ty Mỹ vận hành các vùng EU — được nêu thẳng trên trang tin cậy, không che giấu; nơi đặt trụ sở là tiêu chí mà mua sắm cấp độ chủ quyền bổ sung ngoài GDPR, và nó áp dụng cho chặng này đúng như áp dụng cho Zoom ở trên. Bản đồ đầy đủ theo từng nhà cung cấp nằm trong Một cuộc họp InterMIND thực sự chạy ở đâu, còn góc nhìn tự xây hay mua nằm trong Một cuộc họp InterMIND được xây từ những gì.

Có một điều chúng tôi không tuyên bố: chúng tôi sẽ không vẫy một chứng chỉ ISO mà chúng tôi chưa có. Câu trả lời của chúng tôi cho danh mục kiểm tra mang tính kiến trúc — chạy trong EU, công cụ riêng, bên xử lý phụ minh bạch, một DPA thực sự — và chúng tôi muốn bạn tự kiểm chứng hơn là tin vào một huy hiệu. Các chứng nhận nằm trong lộ trình; phần chạy thực tế đã có ngay hôm nay. Chúng tôi đã đưa mã nguồn của chính mình qua đúng danh mục kiểm tra này và đóng từng hạng mục đối chiếu với mã — báo cáo khép kín, từng dòng một.

Và phần mà các thiết lập lưu trú của Zoom không thể thêm vào: cuộc họp đa ngôn ngữ ngay từ thiết kế — mỗi người tham gia nghe trực tiếp bằng ngôn ngữ của mình qua 23 ngôn ngữ, gồm giọng nói, chat và ghi chú, với chất lượng dịch được công bố công khai thay vì chỉ tuyên bố. Cách hoạt động nằm trong hướng dẫn tổng quan; trường hợp sử dụng cho các cuộc họp có quy định nằm trong các cuộc họp tuân thủ đa ngôn ngữ.

Danh mục kiểm tra dưới dạng bảng

Bảy hạng mục đặt cạnh hai công cụ mà bài viết này bàn chi tiết. Các ô chỉ nêu những gì mỗi nhà cung cấp tài liệu hóa (liên kết về Zoom ở phần Nguồn bên dưới; các tuyên bố về InterMIND được đối chiếu từng dòng trong báo cáo khép kín kiểm toán và bản đồ chạy thực tế) — với bất kỳ nhà cung cấp nào khác, hãy yêu cầu họ trả lời bằng văn bản cho cột bên trái.

Câu hỏi thường gặp

Zoom có tuân thủ GDPR không? Có thể, ở gói và cấu hình phù hợp: Zoom công bố DPA toàn cầu với SCCs EU 2021, cung cấp EU Data Residency cho khách hàng Enterprise và Education, và có ISO 27001 cùng (từ tháng 2/2026) ISO 27701. Những lưu ý trung thực: lưu trú tại EU là tính năng bổ sung theo gói và cấu hình chứ không phải mặc định, và Zoom vẫn là công ty có trụ sở tại Mỹ — xử lý được theo GDPR tiêu chuẩn bằng SCCs, nhưng là tiêu chí thực sự trong mua sắm cấp độ chủ quyền.

Điều gì khiến một công cụ hội nghị truyền hình tuân thủ GDPR? Bảy điều có thể kiểm chứng, không phải một huy hiệu trên trang chủ: một DPA đã ký, danh sách bên xử lý phụ thực sự, vùng chạy được tài liệu hóa, cơ chế chuyển dữ liệu quốc tế hợp pháp, bảo mật được kiểm toán độc lập, công cụ cho quyền của chủ thể dữ liệu hoạt động được, và thời gian lưu giữ do bạn kiểm soát. Một nhà cung cấp tuân thủ theo mục đích của bạn khi cả bảy điều đều có câu trả lời cụ thể bằng văn bản.

GDPR có yêu cầu các cuộc họp video phải ở lại trong EU không? Không — GDPR yêu cầu một cơ chế chuyển dữ liệu hợp pháp (SCCs, quyết định tương thích) khi dữ liệu rời khỏi EEA, chứ không yêu cầu lưu trú như vậy. Lưu trú có ý nghĩa vì nó loại bỏ hoàn toàn câu hỏi về việc chuyển dữ liệu — phân tích hậu Schrems II trở nên ngắn gọn khi dữ liệu không bao giờ rời đi. Đó là sự khác biệt giữa "tuân thủ bằng giấy tờ" và "không có gì cần che đậy bằng giấy tờ".

Công cụ hội nghị truyền hình nào chạy hoàn toàn trong EU? Hãy yêu cầu bất kỳ nhà cung cấp nào cho xem bản đồ chạy thực tế: vùng theo từng chặng — app, API, luồng truyền thông cuộc họp, cơ sở dữ liệu, bản ghi hình, phân tích, email, tính năng AI. InterMIND công bố đúng điều đó (mọi chặng, theo từng nhà cung cấp): Vercel Frankfurt, Fly Paris, Neon Frankfurt, công cụ dịch trên OVH Pháp, tính năng AI trên cổng do tổ chức chọn, trong một vùng EU (mặc định là Azure OpenAI EU Data Zone). Dù bạn đánh giá công cụ nào, bản đồ — chứ không phải trang quảng cáo — mới là câu trả lời.

Câu trả lời này dành cho người chủ trì nào

Chủ sở hữu hoặc quản lý của một tổ chức 10–200 người, có đội ngũ hoặc khách hàng nói một ngôn ngữ khác, đã dùng Teams hoặc Workspace, tự thiết lập không gian mà không có bộ phận IT. Với người chủ trì như vậy, danh mục kiểm tra được trả lời theo mặc định và cuộc trao đổi với DPO ngắn gọn; phần còn lại của quyết định là liệu bản thân cuộc họp có chạy bằng ngôn ngữ của từng thành viên hay không. Mua sắm công cấp độ chủ quyền, nơi nơi đặt trụ sở của nhà cung cấp tự nó là một phần của đặc tả, là một cuộc trao đổi khác, và chúng tôi nói rõ như vậy thay vì khoa trương.

Dùng thử, rồi đọc bản đồ dữ liệu

• Dùng thử bản demo trực tiếp — nghe luồng xử lý đa ngôn ngữ trực tiếp trên một cuộc họp thật và cảm nhận "chạy trong EU và đa ngôn ngữ" thực sự như thế nào. Không cần đăng ký.
• InterMIND so với Zoom — từng tính năng một, một cách trung thực.
• Một cuộc họp InterMIND thực sự chạy ở đâu — bản đồ đầy đủ theo nhà cung cấp, kể cả khoảng trống.

"Hội nghị truyền hình tuân thủ GDPR" là một danh mục kiểm tra, không phải một huy hiệu. Dù bạn chọn công cụ nào — của chúng tôi hay của bên khác — hãy yêu cầu nhà cung cấp trả lời cả bảy câu hỏi bằng văn bản. Những bên làm được thì đáng để bạn dành thời gian; những bên không làm được thì chỉ đang bán cho bạn một trang chủ.

— Đội ngũ Mind.com

Nguồn về Zoom: Zoom — GDPR, Zoom — EU Data Residency / quyền riêng tư tại châu Âu, Zoom — ISO 27701, kiểm tra tháng 8/2026. Các sản phẩm và gói của nhà cung cấp có thể thay đổi; hãy đối chiếu cấu hình hiện tại với các trang tin cậy của Zoom. Các dữ kiện chạy thực tế của InterMIND được đối chiếu với bản triển khai thực tế như mô tả trong bài viết bản đồ dữ liệu được liên kết.