我们完成了 GDPR 审计，以下是我们实际落实的整改项

几周前,我们写过一篇文章,指出视频工具主页上的"符合 GDPR"并不像您想的那样有分量——GDPR 是施加在您(数据控制者)身上的一系列义务,供应商要么帮助您履行,要么悄悄把它们留在您的案头。要证明这一观点,最诚实的方式就是在我们自己这一侧把工作做完,并逐条展示出来。

于是我们做了。我们针对作为数据处理者所承担的义务,对 InterMIND 代码库进行了完整审计,修复了所有有代码支撑的缺口,并在运行中的产品上逐一验证。这篇文章就是结项报告——不是徽章,而是附有我们答案的清单。

我们有意不宣称"100% 通过 GDPR 认证"。GDPR 不是一张通过考试就能拿到的证书——我们也不会挥舞一枚尚未持有的 ISO 徽章。我们能够说的是:DPO(数据保护官)需要逐项核查的架构与流程方面的义务,现在都有了具体、可验证的答案,并且每一项都已对照运行中的代码核实。

删除账号并不只是停用账号。POST /api/user/delete-account 会执行一次真正的级联删除:它会清除您的会议 → 参与者、消息、会议记录、转录内容;它会在数据库级联删除之前,先把您在 Tigris 中的存储 blob 清理干净,确保不留下任何孤立数据——包括聊天附件以及视频录制文件,两列均在其中;同时它会取消您的 Stripe 订阅并删除 Stripe 客户。按需删除同样可用——在界面中删掉一个频道或一条消息,它就消失了。匿名(访客)账号有专门的删除接口,并且每 6 小时会进行一次后台清理,由受监控的定时任务执行。审计在这一环节发现了一处缺口——数据库级联删除已丢弃、但存储仍保留的录制 blob——我们已将其修复:现在删除操作不会在对象存储中留下任何残余。

保留期限(第 5(1)(e) 条)——有文档记载的标准

第 5(1)(e) 条并不要求设置自动的生存时间(TTL)。它要求的是一个明确的保留标准。我们的标准现已写入隐私政策:数据会一直保留,直到您或您的团队所有者将其删除,而删除您的账号会清除所有数据。这与 Slack、Notion 等协作工具所采用的模式相同——持久保存是预期行为,而您始终掌控着它。这一标准是明文写出的,而不是隐含的。

分析统计同意(第 6/7 条)——默认退出

Usercentrics 同意横幅(向欧盟访客显示)控制着分析统计,并且 PostHog 以 opt_out_capturing_by_default: true 发布——在获得同意之前不会采集任何数据,而不是反过来。

数据可携权(第 20 条)——真正可用的导出

GET /api/user/export 会生成一个 ZIP 文件,包含您的会议、消息、录制内容和翻译,下载窗口为 7 天,并会自动清理。访问、删除和可携带,都是切实可用的工具,而不是写在政策里的承诺。

会议内容只进入一个位于欧盟的 AI 网关——由组织自行选择

会议内容中最大的一条数据流——实时语音和聊天翻译——运行在我们位于法国的自有引擎上,绝不使用第三方 LLM。确实使用通用模型的 AI 环节(摘要、文档总结、笔记编辑器的生成式操作、Ask AI)则运行在组织所选择的 AI 网关上——默认是欧盟数据区(EU Data Zone)内的 Azure OpenAI,也可选择 Vertex AI EU 或 Amazon Bedrock 法兰克福,每一种都部署在我们自己的租户中,零数据留存,且不使用客户内容进行训练;或者使用组织自己的端点。代码中由唯一的解析器为每个调用点选定网关,因此不存在第二条路径。我们还清除了会议浏览器日志中的参与者姓名和发言文本,否则 PostHog 的会话录制可能会采集到这些内容。逐一列出各供应商的完整图谱见一场 InterMIND 会议究竟在哪里运行。