指南
GDPR 合规的视频会议：实用清单
每家供应商都在横幅里宣称 GDPR 合规；能在架构里展示出来的寥寥无几。如果你处理欧盟个人数据——而每一场有姓名、声音和面孔的会议都是个人数据——这是在部署会议工具之前真正该核查的内容。
GDPR 对会议工具的真正要求
四件事：一个可以问责的数据控制者；录制的合法依据与透明度；与风险相称的技术措施（加密、访问控制、保留期限）；以及——大多数供应商含糊其辞的部分——对数据去向和管辖法律给出站得住脚的答案。
清单
向任何候选者提出这五个问题：
- 谁是控制者/处理者——不签企业合同也能拿到 DPA 吗？
- 录制和转写物理上放在哪里？是欧盟数据中心，还是"欧盟区域可应要求提供"？
- 对于根本不该被录制的会议，是否有真正的端到端加密？
- 主持人能否控制保留期限——用户不提工单也能行使删除权吗？
- 如果供应商是美资：他们如何回答 CLOUD Act 之问？
美国供应商传输问题，一段话讲清
自 Schrems II 以来，把欧盟个人数据交给美国服务商就意味着传输机制、影响评估，以及需要你的 DPO 兜底的残余风险——因为美国 CLOUD Act 可以强制美国公司披露数据，即使数据存储在欧洲。干净的出路是结构性的：受欧盟法律管辖的欧盟供应商。这个切换究竟改变了什么，我们在欧洲之选页面上写了出来。
Spotrum 如何落实
欧盟公司（爱沙尼亚注册，可公开查询）、承载媒体、录制与文件的欧盟服务器、以 GDPR 为本国法、任何企业客户均可索取 DPA、包括免费版在内所有套餐的 E2EE 私密房间、主持人可控的保留期限，以及内置的账户导出与删除。这里的每一项主张都记录在我们的安全页面上——包括诚实的边界。
在 GDPR 下录制会议合法吗？
合法，前提是有合法依据和透明度：参与者必须知情。Spotrum 的录制由主持人发起、对房间内所有人可见，而 E2EE 房间根本无法录制。
Spotrum 提供 DPA 吗？
提供——任何企业客户都可以发邮件至 legal@spotrum.com 索取。控制者是欧盟（爱沙尼亚）公司，因此核心数据无需任何跨境传输机制。
会议数据究竟存储在哪里？
媒体服务器、录制、转写和文件都运行在欧盟数据中心。可选 AI 功能使用列名的非欧盟子处理商，默认关闭，并在隐私政策中有记载。
让你的 DPO 放心签字的视频会议