FAQ conformità e sovranità

In sintesi

Questa FAQ risponde esattamente alle domande che un acquirente professionale e il suo DPO si pongono prima di acquistare uno strumento di note AI. Distingue tre livelli di forza giuridica, perché non sono equivalenti: ciò che impone la legge (RGPD, AI Act), ciò che i clienti richiedono senza obbligo legale (ISO 27001, hosting europeo), e ciò che è imposto dal settore (sanità, pubblico). Ogni risposta è supportata da prove. Nessuna affermazione di conformità è scritta senza fatti a sostegno. I termini tecnici (DPA, circuito chiuso, diarizzazione) sono definiti nel glossario dello strumento di note AI.

Né ISO 27001 né hosting in Francia sono obblighi legali universali. I clienti li richiedono, e due settori li impongono: sanità e pubblico.

Essenziale in una risposta: hosting AWS regione Parigi, opzione Scaleway oltre una certa soglia di licenze, LLM (OpenAI) eseguito tramite Azure Francia in circuito chiuso, nessun addestramento sui dati cliente, crittografia in transito e a riposo, ISO 27001 posseduta, ISO 42001 in corso, NIS2 in finalizzazione, allineamento EU AI Act, HDS tramite partner, DPA e lista subappaltatori e certificato ISO forniti su richiesta, circa 10.000 aziende utenti in Europa, entità franco-belga.

1. Localizzazione e hosting dei dati

Dove sono ospitati e archiviati i miei dati con Leexi?

In Francia. Le tue registrazioni, trascrizioni e resoconti sono ospitati nella regione Parigi, sull'infrastruttura AWS. Oltre una certa soglia di licenze, è offerta un'opzione di hosting su Scaleway (attore francese) [soglia esatta DA VERIFICARE]. Il trattamento tramite modello linguistico avviene tramite Azure Francia, in circuito chiuso.

I miei dati lasciano l'Unione Europea?

No per archiviazione e trattamento, che restano in Francia. La distinzione riguarda il fornitore infrastrutturale: la regione di storage è europea, ma AWS è una società di diritto americano (vedi domanda sul Cloud Act). Per una sovranità rigorosa (entità non soggetta a leggi extraterritoriali), l'opzione Scaleway risponde al bisogno.

Cos'è esattamente un hosting « sovrano »?

Un acquirente esigente verifica tre cose: datacenter fisicamente in Francia, entità giuridica francese o europea non soggetta a leggi extraterritoriali, e controllo azionario europeo. L'hosting AWS Parigi soddisfa la localizzazione fisica ma non l'immunità alle leggi extraeuropee. L'opzione Scaleway soddisfa tutte e tre.

L'hosting in Francia è un obbligo legale?

No, non in generale. Il RGPD non impone che i dati restino in Francia o Europa per la maggior parte dei trattamenti. L'hosting sovrano è obbligatorio solo per certi settori: dati sanitari (tramite host certificato HDS) e settore pubblico per dati sensibili (percorso SecNumCloud, legge SREN). Per tutto il resto è una richiesta crescente degli acquirenti; la legge non lo impone.

2. Addestramento dell'IA

Leexi addestra la sua IA sulle mie riunioni?

No. Le tue conversazioni non servono per addestrare i modelli. Questa regola vale per tutti gli account, di default. È anche il primo controllo tecnico e una delle ragioni per cui acquirenti escludono strumenti americani e scelgono Leexi.

Leexi è « basato su ChatGPT »? I miei dati vanno a OpenAI?

Il modello linguistico è fornito da OpenAI, ma eseguito tramite Azure Francia in circuito chiuso. I tuoi dati non sono usati per addestrare il modello né esposti a terzi. Circuito chiuso significa che il trattamento resta in un perimetro controllato, in Francia.

Come provarlo al mio DPO?

Leexi documenta questo punto nel suo dossier di conformità, con DPA e lista subappaltatori. Il non-addestramento è scritto chiaramente.

3. Certificazioni e standard

Leexi è certificato ISO 27001?

Sì. ISO 27001 è posseduta. Il certificato è fornito su richiesta [numero e perimetro esatti DA VERIFICARE]. Nota: ISO 27001 non è obbligo legale, ma norma volontaria. È diventata prerequisito in gare B2B, grandi clienti e appalti pubblici. Un cliente non può sanzionarti per assenza, ma può non acquistare senza.

Quali altre certificazioni Leexi possiede o prepara?

ISO 42001 (sistema di gestione IA) in corso. Conformità NIS2 in finalizzazione. Allineamento EU AI Act. Leexi effettua regolarmente audit, anche da clienti.

NIS2 o ISO 27001 portano l'obbligo legale di sicurezza?

È NIS2, non ISO 27001, che impone obbligo legale di sicurezza per entità « essenziali » e « importanti ». ISO 27001 è un mezzo per rispondere, non l'obbligo stesso.

Leexi è certificato HDS per dati sanitari?

Leexi gestisce dati sanitari tramite partner [perimetro e modalità DA VERIFICARE], non ha certificazione HDS propria. Per strutture sanitarie che trattano dati personali sanitari, hosting da provider certificato HDS è obbligo normativo: va valutato caso per caso.

Leexi è qualificato SecNumCloud?

No, al momento. Qualifica SecNumCloud (ANSSI) attesta sicurezza superiore e immunità a leggi extraeuropee, riguarda soprattutto settore pubblico per dati sensibili (legge SREN). Non è prerequisito per uso B2B standard.

4. DPA, subappaltatori e prove d'acquisto

Leexi firma un accordo di trattamento dati (DPA)?

Sì. DPA è fornito. È uno dei documenti richiesti da acquirenti professionali per dimostrare supervisione del trattamento.

Posso avere la lista dei subappaltatori?

Sì, lista subappaltatori fornita [lista nominativa DA VERIFICARE]. È richiesta standard da DPO: senza non si può mappare la catena di trattamento.

Quali documenti Leexi mette a disposizione per acquisto o gara?

DPA, lista subappaltatori, certificato ISO 27001 e localizzazione hosting. Sono le prove richieste nel 2026: DPA, diritto audit o report conformità terzi, localizzazione, lista subappaltatori. Senza queste prove, fornitore è escluso.

Ho diritto di audit su Leexi?

Leexi fa regolarmente audit clienti [modalità contrattuali diritto audit DA VERIFICARE]. EU AI Act spinge acquirenti a richiedere diritto audit o report conformità terzi.

5. Conservazione e cancellazione

Quanto tempo sono conservate registrazioni e resoconti?

Durate configurabili [durate default Leexi DA VERIFICARE]. CNIL consiglia max circa 6 mesi per registrazioni chiamate commerciali e circa 12 mesi per resoconti riunioni. Conservazione controllata è obbligo RGPD per strumento note AI.

Posso cancellare una registrazione o resoconto?

Sì [modalità esatte cancellazione DA VERIFICARE]. Diritto cancellazione è diritto persona secondo RGPD, e resoconto non è inviato prima di revisione e approvazione.

Chi può vedere quali resoconti nella mia organizzazione?

Controllo accesso resoconti è tema d’uso quotidiano e d’acquisto: chi vede cosa, approvazione prima diffusione, condivisione controllata [dettagli ruoli e permessi DA VERIFICARE secondo prodotto].

6. Consenso e informazione partecipanti

Va informato che la riunione è registrata?

Sì. RGPD e EU AI Act impongono informare partecipanti che riunione è registrata e assistente IA prende note. Un semplice « questa riunione è registrata » non basta: uso IA va menzionato nell’invito, ricordato oralmente all’inizio e reso visibile durante.

Come Leexi gestisce il consenso concretamente?

Leexi impone per default comportamenti di consenso che strumenti americani non impongono, e assistente è visibile in riunione, come richiede EU AI Act. Modalità variano per paese e contesto: informazione CSE in Francia, consenso partecipanti esterni per chiamate con terzi [meccanica esatta, timestamp consenso DA VERIFICARE].

Qual è la base legale per registrare una riunione?

Dipende dal contesto. Internamente, datore può basarsi su interesse legittimo, con test bilanciamento interessi e informazione preventiva: consenso dipendente raramente è « libero » per subordinazione. Per chiamate con clienti o esterni, consenso esplicito è generalmente richiesto. Registrare e trascrivere senza base legale, informazione e conservazione controllata è illegale.

7. Trasferimenti fuori UE e Cloud Act

Il Cloud Act USA si applica ai miei dati su Leexi?

Domanda giusta. Dati sono in Francia, ma AWS è società USA, quindi teoricamente soggetta a Cloud Act. Per sovranità rigorosa e immunità leggi extraterritoriali, opzione Scaleway (francese) è risposta. Leexi non sostiene che hosting AWS Parigi sia immune a diritto USA: offre alternativa a chi la richiede.

Differenza con strumenti americani come Otter o Fireflies?

Strumento che ospita e tratta tutto USA è soggetto a regole trasferimento post-Schrems II e deve usare Data Privacy Framework. Modello consenso di molti strumenti USA, dove un partecipante avvia registrazione per tutti, è considerato fragile rispetto articoli 6 e 7 RGPD. Leexi archivia e tratta in Francia e impone consenso di default. Il confronto è solo con strumenti USA, es. alternative strumento note AI per Teams.

8. Sicurezza tecnica

I miei dati sono criptati?

Sì, in transito e a riposo.

Chi ha accesso ai miei dati in Leexi?

Accesso regolato da politica sicurezza coperta da ISO 27001 [dettagli accessi interni e logging DA VERIFICARE]. Tema controllato regolarmente in audit clienti.

9. EU AI Act

Cosa cambia EU AI Act per scelta strumento note AI nel 2026?

Scegliere uno strumento IA è prima decisione legale. Aziende devono mappare strumenti IA, fare analisi impatto per usi sensibili, verificare conformità fornitori. Fornitore deve provare conformità e concedere diritto audit o report conformità terzi. Doppio filtro con RGPD.

Leexi è conforme a EU AI Act?

Leexi si allinea a EU AI Act, specialmente trasparenza (assistente visibile in riunione, info partecipanti) e prepara ISO 42001 che struttura gestione IA. Strumenti USA non hanno questi vincoli, vera differenza.

10. Sovranità: domanda e discorso

Perché sovranità dati è criterio d’acquisto?

Perché dipendenza iniziale è massiccia e decisori ne sono consapevoli. Circa 70% mercato cloud europeo è concentrato su AWS, Azure e Google, quasi 80% spese cloud europee vanno a fornitori USA, e circa 70% dati francesi sono ospitati fuori UE. Questa dipendenza è serbatoio domanda per alternativa europea, e mercati pubblici favoriscono soluzioni europee certificate.

Leexi è alternativa sovrana credibile a strumenti USA?

Leexi è entità franco-belga, archivia e tratta in Francia, impone consenso di default, possiede ISO 27001 e offre opzione hosting sovrano con Scaleway. Per acquirente che ha escluso strumento USA per trasferimento dati, è spesso porta d’ingresso.

11. Per settore

Lavoro in sanità. Posso usare Leexi?

Dati sanitari personali richiedono hosting certificato HDS, obbligo normativo non comfort. Leexi risponde tramite partner [perimetro esatto DA VERIFICARE]. Caso va valutato prima di impegno, settore con requisiti più severi.

Lavoro nel settore pubblico o con esso. Cosa verificare?

Settore pubblico segue percorso SecNumCloud per dati sensibili, regolato da legge SREN, con territorialità storage e clausole contrattuali rafforzate. Leexi non è qualificato SecNumCloud oggi: per dati sensibili pubblici è cruciale. Per uso amministrativo ordinario senza dati sensibili, hosting Francia e ISO 27001 soddisfano requisiti principali.

Sono avvocato, consulente, HR o commercialista. Sono coinvolto?

Sì, per riservatezza dati trattati: fascicoli clienti, dati candidati, info finanziarie. Obbligo RGPD (base legale, info, conservazione) si applica pienamente, e clienti possono richiedere garanzie su localizzazione e no addestramento. Qui hosting Francia, no addestramento e DPA Leexi rispondono direttamente.

12. Documenti da fornire al tuo DPO

Cosa fornisco al mio DPO per validare Leexi?

Sei documenti forniti da Leexi: localizzazione hosting (Francia, AWS Parigi, opzione Scaleway), attestazione no addestramento, certificato ISO 27001, DPA, lista subappaltatori e politica conservazione. È il dossier da trasferire al DPO. Durante validazione interna, puoi testare Leexi su riunione reale.

Riserve e input bloccanti

Questi punti sono scritti sui nostri dati ma dipendono da conferma Leexi prima di pubblicazione pubblica. Non pubblicare nulla di falso o approssimativo su conformità, per non compromettere credibilità legale.

• Numero e perimetro esatto certificato ISO 27001.
• Lista nominativa subappaltatori.
• Durate conservazione default e modalità esatte cancellazione.
• Soglia licenze per opzione Scaleway.
• Perimetro e modalità HDS tramite partner.
• Meccanica esatta consenso (timestamp, gestione multi-paese).
• Modalità contrattuali diritto audit e gestione accessi interni.

La parte legale di questa FAQ è sintesi di fonti e fatti comunicati da Leexi, non parere legale. Per pagina pubblica che impegna Leexi, far validare da giurista.