FAQ cumplimiento y soberanía

En resumen

Esta FAQ responde, palabra por palabra, a las preguntas que un comprador profesional y su DPO se hacen antes de adquirir una herramienta de toma de notas IA. Diferencia tres niveles de fuerza legal, porque no son iguales: lo que exige la ley (RGPD, AI Act), lo que tus clientes piden sin obligación legal (ISO 27001, hosting europeo) y lo impuesto por sector (salud, público). Cada respuesta incluye su prueba. Ninguna afirmación de cumplimiento está sin respaldo. Los términos técnicos (DPA, circuito cerrado, diarización) se definen en el glosario de la herramienta de toma de notas IA.

Ni ISO 27001 ni hosting en Francia son obligaciones legales universales. Tus clientes los exigen, y dos sectores los imponen: salud y público.

Lo esencial en una respuesta: hosting AWS región París, opción Scaleway tras cierto volumen de licencias, LLM (OpenAI) ejecutado vía Azure Francia en circuito cerrado, no entrenamiento con datos cliente, cifrado en tránsito y reposo, ISO 27001 vigente, ISO 42001 en proceso, NIS2 finalizando, alineación EU AI Act, HDS vía socios, DPA y lista de subcontratistas y certificado ISO disponibles bajo demanda, unas 10 000 empresas usuarias en Europa, entidad franco-belga.

1. Localización y hosting de datos

¿Dónde se alojan y almacenan mis datos con Leexi?

En Francia. Tus grabaciones, transcripciones e informes se alojan en la región París, en infraestructura AWS. Tras cierto volumen de licencias, se ofrece opción de hosting en Scaleway (actor francés) [umbral exacto POR VERIFICAR]. El procesamiento por modelo de lenguaje se realiza vía Azure Francia, en circuito cerrado.

¿Mis datos salen de la Unión Europea?

No para almacenamiento y procesamiento, que permanecen en Francia. La diferencia está en el proveedor: la región de almacenamiento es europea, pero AWS es una empresa estadounidense (ver pregunta sobre Cloud Act). Para soberanía estricta (entidad no sujeta a leyes extraterritoriales), la opción Scaleway es la solución.

¿Qué es un hosting « soberano » exactamente?

Un comprador exigente verifica tres cosas: datacenters físicamente en Francia, entidad jurídica francesa o europea no sujeta a leyes extraterritoriales, y control accionarial europeo. Hosting AWS París cumple ubicación física pero no inmunidad a leyes extraeuropeas. Opción Scaleway cumple las tres.

¿Es obligatorio legalmente el hosting en Francia?

No, no en general. RGPD no exige que datos permanezcan en Francia o Europa para la mayoría de tratamientos. Hosting soberano es obligatorio solo para ciertos sectores: datos de salud (hosting certificado HDS) y sector público para datos sensibles (trayectoria SecNumCloud, ley SREN). Para el resto, es demanda creciente de compradores; la ley no lo impone.

2. Entrenamiento de la IA

¿Leexi entrena su IA con mis reuniones?

No. Tus conversaciones no se usan para entrenar modelos. Esta regla aplica a todas las cuentas por defecto. Es el primer chequeo técnico y razón por la que compradores descartan herramientas americanas y eligen Leexi.

¿Leexi está « basado en ChatGPT »? ¿Mis datos van a OpenAI?

El modelo de lenguaje es de OpenAI, pero se ejecuta vía Azure Francia, en circuito cerrado. Tus datos no se usan para entrenar el modelo ni se exponen a terceros. Circuito cerrado significa procesamiento en perímetro controlado, en Francia.

¿Cómo demostrarlo a mi DPO?

Leexi documenta esto en su dossier de cumplimiento, con DPA y lista de subcontratistas. El no entrenamiento está claramente indicado.

3. Certificaciones y normas

¿Leexi tiene certificación ISO 27001?

Sí. ISO 27001 vigente. Certificado disponible bajo demanda [número y alcance exacto POR VERIFICAR]. Nota: ISO 27001 no es obligación legal, es norma voluntaria. Se ha vuelto requisito en licitaciones B2B, grandes cuentas y sector público. Cliente no puede sancionar por ausencia, pero sí negarse a comprar.

¿Qué otras certificaciones tiene o prepara Leexi?

ISO 42001 (gestión IA) en curso. Cumplimiento NIS2 finalizando. Leexi se alinea con EU AI Act. Auditorías regulares, incluso por clientes.

¿NIS2 o ISO 27001 imponen la obligación legal de seguridad?

NIS2, no ISO 27001, impone obligación legal de seguridad para entidades « esenciales » y « importantes ». ISO 27001 es medio para cumplir, no obligación en sí.

¿Leexi tiene certificación HDS para datos de salud?

Leexi gestiona datos salud vía socios [alcance y modalidades POR VERIFICAR], no certificación HDS propia aún. Para estructura salud que maneja datos personales, hosting con proveedor HDS certificado es obligación legal: debe evaluarse caso a caso.

¿Leexi está calificado SecNumCloud?

No aún. SecNumCloud (ANSSI) certifica nivel superior de seguridad e inmunidad a leyes extraeuropeas, especialmente para sector público y datos sensibles (ley SREN). No es requisito para uso B2B estándar.

4. DPA, subcontratistas y pruebas de compra

¿Leexi firma acuerdo de procesamiento de datos (DPA)?

Sí. DPA proporcionado. Es documento que todo comprador profesional solicita para supervisar tratamiento.

¿Puedo obtener lista de subcontratistas?

Sí, lista proporcionada [lista nominativa POR VERIFICAR]. Es requisito estándar DPO: sin ella, comprador no puede mapear cadena de tratamiento.

¿Qué documentos facilita Leexi para compra o licitación?

DPA, lista de subcontratistas, certificado ISO 27001 y ubicación hosting. Son pruebas que comprador pide en 2026: DPA, derecho auditoría o informes terceros, ubicación, lista subcontratistas. Sin estas pruebas, proveedor es descartado.

¿Tengo derecho a auditar Leexi?

Leexi realiza auditorías clientes regularmente [modalidades derecho auditoría POR VERIFICAR]. EU AI Act impulsa a compradores a exigir derecho auditoría o informes terceros.

5. Conservación y eliminación

¿Cuánto tiempo se conservan grabaciones e informes?

Duraciones configurables [duraciones por defecto Leexi POR VERIFICAR]. CNIL recomienda máximo 6 meses para grabaciones comerciales y 12 meses para informes. Conservación controlada es obligación RGPD para herramienta IA.

¿Puedo eliminar grabación o informe?

Sí [modalidades exactas POR VERIFICAR]. Derecho de supresión es derecho RGPD; informe nunca se envía sin revisión y validación.

¿Quién ve qué informe en mi organización?

Control acceso a informes es tema de uso diario y compra: quién ve qué, validación antes de difusión, compartición controlada [detalle roles y permisos POR VERIFICAR según producto].

6. Consentimiento e información a participantes

¿Hay que avisar que reunión se graba?

Sí. RGPD y EU AI Act exigen informar que reunión se graba y asistente IA toma notas. Solo «esta reunión se graba» no basta: uso IA debe mencionarse en invitación, recordarse oral al inicio y mostrarse visible durante reunión.

¿Cómo gestiona Leexi el consentimiento?

Leexi impone por defecto comportamientos de consentimiento que herramientas americanas no imponen, y asistente es visible en reunión, como exige EU AI Act. Modalidades varían por país y contexto: información CSE en Francia, consentimiento externos en llamadas con terceros [mecánica exacta, timestamp POR VERIFICAR].

¿Cuál es base legal para grabar reunión?

Depende contexto. Internamente, empleador puede basarse en interés legítimo, con test balance intereses e información previa: consentimiento empleado rara vez es «libre» por relación jerárquica. En llamadas con clientes o externos, se requiere consentimiento explícito. Grabar y transcribir sin base legal, info previa y conservación controlada es ilegal.

7. Transferencias fuera UE y Cloud Act

¿Puede Cloud Act USA aplicarse a mis datos en Leexi?

Buena pregunta. Tus datos están en Francia, pero AWS es empresa estadounidense, expuesta teóricamente a Cloud Act. Para soberanía estricta e inmunidad a leyes extraterritoriales, opción Scaleway (francés) es respuesta. Leexi no afirma que hosting AWS París esté inmunizado a ley USA: ofrece alternativa para quienes la exigen.

¿En qué difiere de herramienta americana como Otter o Fireflies?

Herramienta que aloja y procesa todo en EEUU está sujeta a reglas post-Schrems II y debe usar Data Privacy Framework. Modelo consentimiento de varias herramientas americanas, donde un participante activa grabación para todos, es débil según artículos 6 y 7 RGPD. Leexi almacena y procesa en Francia e impone consentimiento por defecto. Comparativa solo frente a herramientas americanas, por ejemplo alternativas herramienta IA para Teams.

8. Seguridad técnica

¿Mis datos están cifrados?

Sí, en tránsito y reposo.

¿Quién accede a mis datos en Leexi?

Acceso regulado por política seguridad cubierta por ISO 27001 [detalle accesos internos y registro POR VERIFICAR]. Tema auditado regularmente en auditorías clientes.

9. EU AI Act

¿Qué cambia EU AI Act para elegir herramienta IA en 2026?

Elegir herramienta IA es decisión legal. Empresas deben mapear herramientas IA, hacer análisis impacto para usos sensibles y verificar cumplimiento proveedores. Proveedor debe probar cumplimiento y dar derecho auditoría o informes terceros. Es doble control con RGPD.

¿Leexi cumple EU AI Act?

Leexi se alinea con EU AI Act, especialmente transparencia (asistente visible, info participantes) y prepara ISO 42001 para gestión IA. Herramientas americanas no tienen estas obligaciones, diferenciación real.

10. Soberanía: demanda y discurso

¿Por qué soberanía datos es criterio de compra?

Porque dependencia inicial es masiva y decisores lo notaron. Un 70 % del mercado cloud europeo está en AWS, Azure y Google, casi 80 % del gasto cloud europeo va a proveedores americanos y un 70 % datos franceses están fuera UE. Esta dependencia es demanda para alternativa europea, y sector público favorece soluciones europeas certificadas.

¿Leexi es alternativa soberana creíble a herramientas americanas?

Leexi es entidad franco-belga, almacena y procesa en Francia, impone consentimiento por defecto, tiene ISO 27001 y ofrece opción hosting soberano con Scaleway. Para comprador que descartó herramienta americana por transferencia datos, suele ser puerta de entrada.

11. Por sector

Trabajo en salud. ¿Puedo usar Leexi?

Datos salud personales requieren hosting certificado HDS, obligación legal no comodidad. Leexi cubre necesidad vía socios [alcance POR VERIFICAR]. Caso debe evaluarse antes de compromiso; sector con exigencia más estricta.

Trabajo en sector público o con él. ¿Qué debo verificar?

Sector público sigue trayectoria SecNumCloud para datos sensibles, regulada por ley SREN, con territorialidad y cláusulas reforzadas. Leexi no está calificado SecNumCloud aún: para datos sensibles públicos es clave. Para uso administrativo común sin datos sensibles, hosting Francia e ISO 27001 cubren mayoría requisitos.

Soy abogado, consultor, RRHH o contable. ¿Me afecta?

Sí, por confidencialidad datos que manejas: expedientes clientes, datos candidatos, info financiera. Obligación RGPD (base legal, info, conservación) aplica plenamente, y clientes pueden exigir garantías de localización y no entrenamiento. Ahí hosting Francia, no entrenamiento y DPA de Leexi responden a tu necesidad.

12. Documentos para tu DPO

¿Qué entrego a mi DPO para validar Leexi?

Seis documentos que Leexi provee: ubicación hosting (Francia, AWS París, opción Scaleway), certificado no entrenamiento, certificado ISO 27001, DPA, lista subcontratistas y política conservación. Es el dossier que entregas a tu DPO. Mientras validación interna avanza, puedes probar Leexi en reunión real.

Reservas y datos pendientes

Estos puntos están basados en datos pero dependen confirmación Leexi antes de publicación. No publicar nada falso o impreciso en cumplimiento para no dañar credibilidad legal.

• Número y alcance exacto certificado ISO 27001.
• Lista nominativa subcontratistas.
• Duraciones por defecto y modalidades exactas de supresión y borrado.
• Umbral licencias que activa opción Scaleway.
• Alcance y modalidades HDS vía socios.
• Mecánica exacta consentimiento (timestamp, gestión multi-país).
• Modalidades contractuales derecho auditoría y gestión accesos internos.

La parte legal de esta FAQ es síntesis de fuentes y hechos comunicados por Leexi, no opinión legal. Para página pública que compromete a Leexi, validar con jurista.