我们完成了 GDPR 审计。以下是我们实际关闭的项目。
几周前我们写过,视频工具主页上的 "符合 GDPR" 字样的含义远不如您想象的那么多——GDPR 是落在您(数据控制者)身上的一组义务,供应商要么帮助您履行,要么悄悄把它们留在您的桌上。要诚实地支撑这个说法,办法就是我们自己把这份工作做完,并逐条展示出来。
于是我们做了。我们针对作为数据处理者所承担的义务,对 InterMIND 代码库进行了完整审计,修复了每一处有代码可循的缺口,并对照运行中的产品逐一核验。本文就是这份收尾报告——不是徽章,而是一份带有我们答案的清单。
我们刻意不声称 "100% GDPR 认证"。GDPR 不是一张可以通过的证书——我们也不会挥舞一张我们尚未持有的 ISO 徽章。我们可以说的是:DPO 关心的架构性和流程性义务,如今都有了具体的、可验证的答案,每一项都已对照运行中的代码核验过。
我们关闭的项目
删除权(第 17 条)——级联确实在运行
删除您的账户不只是停用它。POST /api/user/delete-account 会执行一次真正的级联:它会清除您的会议→参与者、消息、conferences、转写记录;在数据库级联之前就把您的存储 blob 从 Tigris 中扫除干净,所以不会留下任何孤儿——聊天附件以及视频录制文件,两个字段都包括;并且会取消您的 Stripe 订阅并删除 Stripe 客户。按需删除也已就位——在 UI 中删掉一个频道或一条消息,它就消失了。匿名(访客)账户有自己的删除端点,外加每 6 小时一次的后台清扫任务,由受监控的 cron 运行。审计在这里发现了一个缺口——数据库级联已删除但存储仍然保留的录制 blob——我们已将其关闭:删除操作现在不会在对象存储中留下任何残留。
保留期(第 5(1)(e) 条)——一项有文档记录的标准
第 5(1)(e) 条并不要求自动的存活时间。它要求有一项明确的保留标准。我们的标准现在已写入隐私政策:数据将一直保留,直到您或您的团队所有者将其删除;删除账户即清除一切。这与 Slack 和 Notion 等协作工具的运行模式一致——持久化是预期行为,您始终掌控着它。该标准是明示的,而非暗含的。
分析跟踪同意(第 6/7 条)——默认选择退出
Usercentrics 同意横幅(向欧盟访客展示)对分析跟踪进行了门控,PostHog 出厂即配置 opt_out_capturing_by_default: true——在用户给予同意之前不会采集任何数据,而不是反过来。
数据可携权(第 20 条)——真实的导出功能
GET /api/user/export 会构建一个包含您的会议、消息、录制和翻译内容的 ZIP 包,提供 7 天下载窗口和自动清理。访问、删除和可携——这些是真正可用的工具,而不是政策中的承诺。
没有任何会议内容流向位于美国的模型
会议内容最大的一条数据流——实时语音和聊天翻译——运行在我们位于法国的自有引擎上,从不经过第三方 LLM。会后确实使用通用模型的 AI 环节(摘要、笔记编辑器的生成式操作)运行在托管于欧盟的 Mistral,采用零数据保留,锁定得非常严格,以至于请求会直接失败而不会回退到非 ZDR 或美国主机。我们还从 PostHog 会话录制可能捕获的会议浏览器日志中清除了参与者姓名和发言文本。完整的逐家供应商映射见 一次 InterMIND 会议实际运行在哪些地方。
透明度——子处理者和处理记录,公开发布
子处理者清单已上线,列明了每家供应商做什么、注册地在哪里——而不是 "如有需要请索取"。其背后是一份基于实时 schema 构建的处理活动记录(ROPA):11 项处理操作,每项的安全措施,以及删除/可携路径。我们的隐私政策和服务条款现已在我们自己的法律实体下运行,并对真实的处理链路做了描述。
欧盟运行环境——锁定,而非承诺
会议经过的每一个运行时跳点都在欧盟内:应用与 API 在 Vercel Frankfurt 上,会议服务器在 Fly Paris 上,应用数据在 Neon Postgres(AWS Frankfurt)中,错误信息在 Sentry EU 上,分析跟踪在 PostHog EU 上,邮件通过 Resend Ireland 发送。Tigris 上的对象存储现在已锁定在欧盟区域(Frankfurt + Amsterdam)——无论用户身在何处,每一次新写入都落在欧盟。完整架构见我们的安全页面。
这对您的采购流程意味着什么
对于大多数欧盟买家——德国 Mittelstand、运行标准 GDPR DPA 的受监管团队——数据驻留问题现在有了直接的答案:数据在运行时不会离开欧盟,删除功能可用,保留标准已明示,子处理者清单已摆在桌面上。这比 "让我们晚些时候回复您数据流向哪里" 要短得多。
对于法国的 souveraineté numérique 和 SecNumCloud 级别的采购,供应商的公司注册地本身就是一项标准——关于部署拓扑的更深入对话,我们会诚实地展开,而不是过度承诺。我们绝不会做的一件事是挥舞一张我们尚未持有的 ISO 证书:认证已在路线图上,但我们对这份清单的回答今天就是架构性的,并且可验证的。
亲自验证
- 符合 GDPR 的视频会议:完整的 DPO 清单——要求任何供应商回答的七件事,以及 Zoom 处在什么位置。
- 一次 InterMIND 会议实际运行在哪些地方——供应商映射图,其中的缺口已明确标出。
- 安全与隐私 · 子处理者 · 隐私政策 · 服务条款
/demo—— 用您自己的音频运行实时、欧盟运行环境、多语言流水线。
GDPR 合规不是一枚可以购买的徽章——它是您所做的、并且能够展示出来的工作。这就是我们的工作,逐条列出。如果您的 DPO 需要的某个答案本文没有给出,请联系我们。
—— The Mind.com Team