符合 GDPR 的视频会议(2026):真正需要满足什么(以及一款可翻译的 Zoom 替代方案)

视频平台首页上的"符合 GDPR"几乎没有实际信息量。GDPR 不是一项通过即可获得的认证，而是施加在您（数据控制者）身上的一组义务，供应商要么帮助您履行，要么悄悄把它们留在您的桌上。真正有用的问题不是"这个工具符合 GDPR 吗？"，而是"这个工具让我承担哪些责任，我的会议数据究竟流向哪里？"

🔒 更新：我们对自己也做了这件事。 本文发布后，我们按下方完整清单检查了 InterMIND 自己的代码库，并关闭了每一项：数据删除、保留期限、欧盟运行时、子处理方。所有结论均以代码为依据验证，而非在页面上空口声明。→ 逐行阅读审计结案报告。

本文用通俗的语言回答这个问题：DPO 实际会逐项核对的清单；Zoom 在这份清单上的位置（客观地说，它的合规能力比网上的印象要强）；以及采用欧盟运行时的替代方案在哪些地方会改变答案。如果您想了解"实时会议应当如何运作"的整体框架，请看总览指南；本文专门讨论数据保护这一层。

通俗版清单

去掉营销话术，"符合 GDPR 的视频会议"归结起来是七件您可以实际核实的事：

已签署的 DPA。 数据处理附录（Data Processing Addendum），明确供应商为您的处理者，并写明处理目的和指示。没有 DPA，就没有合法的处理，没有例外。
真实的子处理方清单。 每一个接触会议数据的第三方（转写、存储、邮件、分析、AI 功能）都要列明，并说明其职能和注册地。
运行时的数据处理地点。 您的音频、转写文本、录制内容和元数据在哪个物理区域被处理。大多数数据驻留条款真正针对的就是这一点。
国际传输机制。 如果有数据离开 EEA，法律依据是什么？标准合同条款（SCCs）、充分性认定，还是完全避免传输的驻留方案。这就是 Schrems II 问题，不会因为首页写着"合规"就消失。
可审计的安全状况。 ISO 27001、ISO 27701、SOC 2：独立的鉴证，而不是自我声明。
数据主体权利工具。 您能否真正完成会议数据的访问、删除和可携带请求，还是只在理论上可以？
由您控制的保留与删除。 录制内容、转写文本和 AI 摘要按您的时间表删除，而不是按供应商的默认设置。

只有这七项都有具体答案，一个工具才算对您而言"符合 GDPR"。大多数首页一项也答不上。

Zoom 的实际情况（客观地看）

Zoom 的 GDPR 能力比它的名声要强，与其廉价地抓对手的错处，不如准确地说明这一点：

它发布了内置 2021 年欧盟标准合同条款的全球 DPA。
它为 Enterprise 和 Education 客户提供欧盟数据驻留（"Zoom EU Infrastructure"），覆盖会议、网络研讨会、聊天、电话和联络中心。
它持有 ISO 27001，并于 2026 年 2 月获得 ISO 27701（隐私管理扩展），还发布了面向欧盟公共部门的主权控制措施。

因此，在合适的套餐上正确配置的 Zoom 部署，可以满足清单中的大部分内容。需要坦率指出的保留意见涉及默认设置和注册地，而非能力：

欧盟驻留是套餐加配置的附加项，不是默认设置。 它只在 Enterprise/Education 上提供，并且需要手动开启。免费版和较低的付费套餐没有此项。"我们使用 Zoom"和"我们使用按欧盟驻留配置的 Zoom"是两个不同的采购事实。
Zoom 是一家注册地在美国的公司。 即使有 SCCs 和欧盟驻留，供应商的公司注册地仍在 CLOUD-Act 和主权级评估的范围内。对于一般的 GDPR 要求，这可以通过 SCCs 来应对；但对于法国的 souveraineté numérique 或 SecNumCloud 级别的采购，公司注册地本身就是一项标准，这是一场更难的谈话。
会议仍然只用一种语言进行。 Zoom 的翻译字幕和 AI Companion 有所帮助，但会议并没有真正变成多语言：每位参会者并不能实时以自己的语言听到会议。如果您的合规问题同时也是语言问题（跨境审计、多站点 CAPA 评审），无论数据存放在哪里，这个缺口都没有解决。

简而言之：Zoom 经过相应配置可以符合 GDPR。这是否足够，取决于您的采购方对主权问题有多敏感，以及会议是否涉及多种语言。

InterMIND 在清单上的位置

InterMIND 是主办方为团队和客户提供的空间，每个人都使用自己的语言：会议、聊天、文件和会后回顾。上述清单的答案是默认具备的，而不需要靠一个配置项目去实现；其中属于结构性而非承诺性的部分是会议在哪里运行，这是给 DPO 的一行结论，已对照线上部署验证：

运行时的每一跳都在欧盟。 应用和服务端 API 部署在法兰克福的 Vercel（fra1）；会议 WebSocket 服务器位于巴黎的 Fly（cdg）；应用数据存放在 AWS 法兰克福（eu-central-1）的 Neon Postgres；录制内容存放在 Tigris，可固定在欧盟；错误与分析数据使用 Sentry EU 和 PostHog EU；事务性邮件通过爱尔兰的 Resend 发送。
翻译引擎是我们自己的代码，运行在法国（OVH），而不是我们转售的美国通用模型。会议内容最大的一条数据流留在欧盟境内，从不接触第三方 LLM。文档翻译交给位于科隆的 DeepL，同样是一家欧盟公司。
含公司注册地详情的子处理方清单随 DPA 一并提供，这是标准做法，无需另行申请。

会议内容只进入一个 AI 网关，位于欧盟，并由组织自行选择。 所有从会议衍生、需要语言模型的内容，包括会后 AI 摘要（主题、决定、action items）、文档摘要、AI 笔记编辑器的生成类操作（修正、扩写、简化）以及 Ask AI，都运行在您的组织所选的 AI 网关上：默认是欧盟数据区（EU Data Zone）的 Azure OpenAI，也可选择欧盟多区域端点上的 Vertex AI 或法兰克福的 Amazon Bedrock，均部署在我们自己的租户中，零数据保留，且不使用客户内容进行训练；或者使用您自己的 OpenAI 兼容端点。会后摘要和编辑器的翻译操作走的是翻译通道，而不是语言模型。托管网关背后的供应商是在欧盟区域运营的美国公司，我们在信任页面中如实说明，并不隐瞒；公司注册地是主权级采购在 GDPR 之上增加的标准，它对这一跳的适用方式与上文对 Zoom 的适用方式完全相同。完整的逐供应商映射见 一场 InterMIND 会议究竟在哪里运行，自建与采购的对比见 一场 InterMIND 会议由什么构成。

有一点我们不会声称：我们不会挥舞一张尚未持有的 ISO 证书。我们对这份清单的回答是架构层面的：欧盟运行时、自有引擎、透明的子处理方、真实的 DPA。我们宁愿您去核实，也不愿您相信一枚徽章。认证已列入路线图；运行时今天就是真实存在的。我们已用这份清单逐项检查了自己的代码库，并对照代码关闭了每一项：逐行阅读结案报告。

还有 Zoom 的驻留设置无法补上的一点：会议天生就是多语言的：每位参会者都可以用自己的语言实时参与，覆盖 23 种语言的语音、聊天和笔记，并且公开发布翻译质量，而不是空口断言。其工作方式见总览指南；受监管会议的使用场景见 多语言合规会议。

以表格呈现的清单

七个检查项与本文详细讨论的两个工具逐项对照。单元格中只写各供应商公开记录的内容（Zoom 的链接见下方来源；InterMIND 的说明已在审计结案报告和运行时映射中逐行验证）。对于其他任何供应商，请让它们以书面形式回答左侧一列的问题。

检查项	Zoom（已公开记录）	InterMIND（已公开记录）
已签署的 DPA	含 2021 年欧盟 SCCs 的全球 DPA	DPA；子处理方清单随之提供
子处理方清单	已公开	随 DPA 提供，含每家供应商的公司注册地
运行时区域	Enterprise/Education 提供欧盟数据驻留，需手动启用	默认每一跳都在欧盟：法兰克福（应用/API/数据库）、巴黎（会议服务器）、位于法国的自有翻译引擎
国际传输机制	SCCs	会议数据留在 EEA 内，没有需要用文书去掩盖的传输
可审计的安全状况	ISO 27001；2026 年 2 月起获得 ISO 27701	尚无 ISO 证书：答案是架构层面的，可供核实，认证已列入路线图
AI 功能与会议内容	翻译字幕 / AI Companion（见我们对 Zoom 的分析）	AI 功能运行在组织所选的网关上：默认欧盟数据区的 Azure OpenAI，或欧盟的 Vertex AI、法兰克福的 Bedrock，或其自有端点，零数据保留且不用于训练；组织可以关闭 AI
多语言会议	字幕翻译文本；会议现场实时仍是单一语言	每位参会者可实时使用 23 种语言：语音、聊天、笔记

常见问题

Zoom 符合 GDPR 吗？ 在合适的套餐和配置下可以：Zoom 发布了含 2021 年欧盟 SCCs 的全球 DPA，为 Enterprise 和 Education 客户提供欧盟数据驻留，并持有 ISO 27001 和（自 2026 年 2 月起）ISO 27701。需要坦率指出的保留意见是：欧盟驻留是套餐加配置的附加项，而非默认设置；并且 Zoom 仍是注册地在美国的公司。在一般的 GDPR 要求下，这可以通过 SCCs 来应对，但在主权级采购中是一项真实的标准。

什么样的视频会议工具才算符合 GDPR？ 七件可验证的事，而不是首页上的一枚徽章：已签署的 DPA、真实的子处理方清单、有文档记录的运行时区域、合法的国际传输机制、经独立审计的安全性、可用的数据主体权利工具，以及由您控制的保留期限。当这七项都有书面的具体答案时，供应商才算对您而言合规。

GDPR 要求视频会议必须留在欧盟吗？ 不要求。GDPR 要求的是在数据离开 EEA 时具备合法的传输机制（SCCs、充分性认定），而不是数据驻留本身。驻留之所以重要，是因为它让传输问题彻底消失：数据从未离开，Schrems II 之后的分析就变得很简短。这就是"靠文书实现的合规"与"无需用文书掩盖任何事"之间的区别。

哪些视频会议工具完全运行在欧盟？ 请向任何供应商索取其运行时映射：每一跳所在的区域，包括应用、API、会议媒体、数据库、录制内容、分析、邮件、AI 功能。InterMIND 正是这样公开的（每一跳，逐供应商说明）：Vercel 法兰克福、Fly 巴黎、Neon 法兰克福、翻译引擎在 OVH 法国、AI 功能运行在组织所选的网关上并位于欧盟区域（默认为欧盟数据区的 Azure OpenAI）。无论您评估哪个工具，答案都是那张映射图，而不是营销页面。

这适合哪类主办方

适合 10 至 200 人规模组织的所有者或负责人：团队或客户使用另一种语言，已在使用 Teams 或 Workspace，且没有 IT 部门，需要自行搭建会议空间。对这样的主办方来说，清单的答案是默认具备的，与 DPO 的沟通会很简短；剩下需要决定的，是会议本身是否能以每位成员自己的语言进行。对于主权级的公共采购，供应商注册地本身就是规格的一部分，那是另一场谈话，我们会如实说明，而不是夸大其词。