Một cuộc họp InterMIND thực sự chạy ở đâu

Sớm hay muộn, một người phía chủ trì, như bộ phận IT của khách hàng, một DPO hay một đối tác thận trọng, cũng sẽ hỏi cùng một câu: "Dữ liệu này đi đâu?" Họ muốn có danh sách sub-processor, nơi đăng ký pháp lý của các nhà cung cấp và một sơ đồ có mũi tên.

Chúng tôi muốn bạn có bức tranh đầy đủ, thay vì nhận từng mảnh qua email. Vì vậy, đây là đường đi dữ liệu của một cuộc họp: mọi dịch vụ bên ngoài mà nó chạm tới, mỗi dịch vụ thực thi ở đâu, và dữ liệu nào đi qua đó. Đã được đối chiếu với cấu hình triển khai thực tế vào ngày 2026-05-28.

Mọi đường đi chạm vào nội dung cuộc họp đều nằm trong EU tại thời điểm chạy. Điều này bao gồm cả các bước AI, vốn chạy trên cổng AI mà tổ chức của bạn chọn, trong một vùng EU thuộc tenant riêng của chúng tôi. Các nhà cung cấp đứng sau cổng đó là công ty Mỹ vận hành các vùng EU; chúng tôi nói rõ điều này ở bên dưới, và cũng nói rõ mô hình nào nằm hoàn toàn ngoài cuộc họp.

Bài viết này vẽ ra cuộc họp của bạn chạy ở đâu. Bài đồng hành, Một cuộc họp InterMIND được xây dựng từ những gì, vẽ ra nó được xây dựng từ những gì: lớp nào là mã của chính chúng tôi, lớp nào là mã nguồn mở, và chỗ nào chúng tôi thực dụng với SaaS độc quyền.

"Chạy ở đâu" thực sự nghĩa là gì

Có hai điều thường bị gộp lại trong các cuộc thảo luận về chủ quyền dữ liệu, trong khi chúng không phải là một:

1. Runtime / đường đi dữ liệu. Nơi các byte của cuộc họp được xử lý vật lý trong lúc thực hiện yêu cầu. Đây là điều mà các quy định về lưu trú dữ liệu và phần lớn các DPA thực sự đề cập đến.
2. Nơi đăng ký pháp lý của nhà cung cấp. Nơi nhà cung cấp SaaS được thành lập hợp pháp. Đây là điều mà các cuộc thảo luận về CLOUD Act đề cập đến: phạm vi tác động trên lý thuyết của một yêu cầu cưỡng chế từ Mỹ đối với công ty mẹ của nhà cung cấp, bất kể khối lượng công việc chạy ở đâu.

Hầu như câu hỏi "cái này có ở EU không?" nào cũng thực chất là một trong hai điều trên, chỉ là được hỏi chưa chính xác. Chúng tôi trả lời riêng từng điều cho mỗi nhà cung cấp bên dưới.

Đường đi dữ liệu của một cuộc họp

Theo dõi một cuộc gọi từ lúc tham gia đến email theo sau:

1. Trình duyệt mở trang cuộc họp. SSR chạy trên Vercel, cố định tại fra1 (Frankfurt). Mọi dữ liệu yêu cầu/phản hồi, gồm cookie phiên, payload API và HTML dựng phía máy chủ, đều được xử lý trong EU tại thời điểm chạy.
2. WebSocket kết nối tới máy chủ cuộc họp của chúng tôi ở Paris (cdg). Điều phối cuộc họp, trạng thái hiện diện, tín hiệu: tất cả đều trong EU.
3. Nhận dạng giọng nói chạy trên máy chủ media của chúng tôi. Âm thanh đến qua WebRTC tại engine của chính chúng tôi, tức Mind API trên OVH, Pháp, và được nhận dạng ngay tại đó, từng từ một, trên cùng máy chủ đang chuyển tải cuộc gọi; không có dịch vụ giọng nói bên thứ ba nào tham gia. Ghi chú giọng nói trong chat là ngoại lệ duy nhất: phần chuyển giọng nói thành văn bản của chúng chạy trên Azure AI Speech, dịch vụ giọng nói của cổng AI mặc định (xem bảng nhà cung cấp bên dưới). Bản thân quy trình được mô tả trong Bên trong bốn quy trình dịch.
4. Dịch giọng nói và chat đi qua engine của chính chúng tôi trên OVH Pháp. Đó là mind-sdk + Mind API: mã của chúng tôi, máy chủ của chúng tôi, tại Pháp. Không có mô hình bên thứ ba nào tham gia. Mỗi ngôn ngữ đích có mặt trong phòng được dịch một lần, và nằm trong EU ở mọi chặng.
5. Tài liệu thả vào chat (PDF, DOCX, DOC, PPTX, XLSX) được gửi phía máy chủ từ ws-server ở Paris tới DeepL ở Cologne. Công ty Đức, xử lý tại Đức. Giọng nói và chat không đi qua DeepL.
6. Dữ liệu ứng dụng, gồm người dùng, nhóm, tin nhắn, siêu dữ liệu cuộc họp, nằm trên Neon Postgres tại AWS Frankfurt (eu-central-1). Các bản snapshot ở cùng vùng.
7. Bản ghi, tệp đính kèm, bản xuất được lưu trên Tigris, bộ lưu trữ tương thích S3 chạy trên Fly. Được sao chép ở biên; bucket có thể cấu hình sang đa vùng EU cho các tenant cần ghim chặt hơn.
8. Lỗi và dữ liệu theo dõi hiệu năng đi tới instance EU của Sentry (de.sentry.io). Tổ chức Sentry ở Mỹ đã được ngừng sử dụng từ tháng Năm.
9. Phân tích sản phẩm đi tới PostHog EU (eu.i.posthog.com).
10. Email giao dịch (magic link, lời mời, biên nhận) được gửi qua Resend từ eu-west-1 (Ireland).

Mọi thứ ở trên đều nằm trong EU tại thời điểm chạy. Engine dịch, phần mà đa số dữ liệu của bạn thực sự đi qua, cũng là mã của chính chúng tôi chứ không phải của bên thứ ba. SDK phía client mà nó chạy trên đó là mã nguồn mở (BSD-3-Clause) và có thể kiểm toán ngay hôm nay; việc tự lưu trữ (self-host) chính engine nằm trong lộ trình dành cho khách hàng có nhu cầu.

Bản đồ nhà cung cấp

Hai luồng dữ liệu nặng nhất theo khối lượng, là dịch giọng nói/chat qua engine của chính chúng tôi trên OVH và dịch tài liệu qua DeepL, cũng tình cờ là hai nhà cung cấp có công ty mẹ ở EU. Điều đó bao trùm phần lớn nội dung cuộc họp. Danh sách sub-processor đầy đủ kèm chi tiết về nơi đăng ký pháp lý được đưa vào DPA như thông lệ chuẩn; bảng trên là góc nhìn theo runtime, vốn là điều mà phần lớn các điều khoản về lưu trú dữ liệu đề cập đến.

Các bước AI, nói rõ ràng

Sau khi cuộc gọi kết thúc, chúng tôi chạy một vài bước mô hình ngôn ngữ trên những gì đã được nói: AI digest (chủ đề, quyết định, action items, câu hỏi còn mở), bản tóm tắt sau cuộc họp, và trình chỉnh sửa ghi chú AI (dịch một ghi chú, hoặc sửa / mở rộng / đơn giản hóa nó). Trong cuộc gọi, cùng loại bước này viết ra bản tóm tắt cho mọi tài liệu thả vào chat và trả lời Ask AI cùng Mia. Đây là những nơi duy nhất mà một mô hình đa dụng chạm vào nội dung phát sinh từ cuộc họp, và tất cả đều đi đến cùng một nơi:

• Cổng AI mà tổ chức của bạn chọn. Một bộ phân giải duy nhất trong mã chọn cổng cho mọi điểm gọi; không có đường thứ hai. Mặc định là Azure OpenAI trong EU Data Zone; từ phần cài đặt của mình, tổ chức có thể chuyển sang Vertex AI trên endpoint đa vùng EU hoặc Amazon Bedrock ở Frankfurt, hoặc trỏ mọi tính năng AI tới endpoint tương thích OpenAI của riêng mình: vLLM trong trung tâm dữ liệu của chính họ, hay một triển khai trong tenant của họ. Mỗi cổng được lưu trữ (hosted) chạy trong tenant riêng của chúng tôi, được cấu hình để không lưu giữ dữ liệu và không huấn luyện trên nội dung của khách hàng; phương án dự phòng vẫn nằm trên cùng cổng, tức một vùng EU thứ hai hoặc một mô hình thứ hai của cùng nhà cung cấp, không bao giờ là nhà cung cấp khác. Tài liệu về tính năng AI liệt kê các cổng và vùng.
• Bản tóm tắt và hành động dịch của trình chỉnh sửa đi qua luồng dịch, không qua mô hình ngôn ngữ, cùng đường đi dịch chat trực tiếp.
• AI có thể được tắt cho toàn tổ chức: phiên âm và dịch vẫn hoạt động; AI digest, tóm tắt tài liệu, trợ lý viết và Ask AI sẽ dừng.

Giọng nói theo thời gian thực, chat theo thời gian thực, ghi chú và dịch tài liệu không bao giờ đi qua bất kỳ bước nào trong số này; chúng nằm trong EU ngay từ đầu.

Các nhà cung cấp nằm ở đâu: Microsoft, Google và Amazon là các công ty Mỹ vận hành các vùng EU. Điều đó được nêu rõ trên trang tin cậy, không hề giấu giếm; đó chính là câu hỏi về nơi đăng ký pháp lý ở đầu bài viết này, được trả lời cho chặng này theo cùng cách như với phần hạ tầng. Có một mô hình nằm hoàn toàn ngoài cuộc họp: benchmark chất lượng dịch công khai của chúng tôi dùng một LLM làm giám khảo (Gemini, với Claude làm phương án dự phòng, qua AI Gateway của Vercel) để chấm điểm các bản dịch máy của các câu tham chiếu FLORES-200. Đó là một bộ dữ liệu cố định, công khai, không phải cuộc họp của bất kỳ ai.

Điều này có ý nghĩa gì với DPA của bạn

Với phần lớn người mua ở EU, như Mittelstand của Đức hay các ngành được quản lý dùng DPA GDPR tiêu chuẩn, bức tranh trên trả lời trực tiếp câu hỏi về lưu trú dữ liệu: mọi chặng runtime mà cuộc họp của bạn đi qua đều ở trong EU. Nơi đăng ký pháp lý của nhà cung cấp được công bố trong danh sách sub-processor theo thông lệ thông thường; không có gì bất ngờ ở đó. Bản đồ lưu trú chỉ là một mảnh; với các nghĩa vụ bảo vệ dữ liệu còn lại, gồm xóa dữ liệu, lưu giữ, khả năng di chuyển, sự đồng ý, chúng tôi đã cho toàn bộ codebase chạy qua một cuộc kiểm toán đầy đủ và đóng từng hạng mục đối chiếu với mã.

Với souveraineté numérique của Pháp và các quy trình mua sắm đạt cấp SecNumCloud, nơi đăng ký pháp lý của nhà cung cấp tự nó là một phần của tiêu chí, không chỉ là vị trí runtime. Đó là một cuộc trao đổi khác: một cấu trúc triển khai thay thế giữ mọi thành phần dưới các nhà cung cấp thuộc thẩm quyền châu Âu. Chúng tôi không chạy cấu trúc đó theo mặc định; chúng tôi sẽ dựng nó cho tenant có nhu cầu và khi hợp đồng đủ biện minh cho việc xây dựng.

Với người mua ở Mỹ và phần lớn khu vực APAC, điều ngược lại thường đúng hơn: họ muốn độ trễ thấp từ khu vực của mình, đó là một vấn đề khác. Hiện nay chúng tôi chạy một vùng duy nhất tại fra1. Nếu lưu lượng của bạn đủ biện minh cho một điểm biên tại Mỹ, chúng tôi sẽ cùng bạn lên kế hoạch.

Bài viết này cam kết điều gì với chúng tôi

Đây là bức tranh vào ngày 2026-05-28. Chúng tôi sẽ cập nhật khi stack thay đổi: đổi nhà cung cấp, chuyển vùng, thêm dịch vụ bên ngoài mới. Cấu hình hiện tại có thể kiểm chứng trong vercel.json mở của chúng tôi, engine mind-sdk + Mind API chạy tại OVH Pháp, và dashboard của chính từng nhà cung cấp.

Nếu có điều gì ở đây trông chưa đúng, hoặc DPO của bạn cần một câu trả lời mà bản đồ này chưa đưa ra, hãy viết cho chúng tôi. Chúng tôi thà sửa một chi tiết còn thiếu còn hơn để bạn tự phát hiện ra nó trong lúc rà soát hợp đồng.

Nguồn: các vùng runtime và định tuyến mô hình được đối chiếu với cấu hình đã triển khai (vercel.json, fly.toml) và mã đã phát hành; Vercel AI Gateway (đường ghim nhà cung cấp của digest), FLORES-200; kiểm tra vào tháng 8 năm 2026.