Beveiliging, privacy en compliance van Leexi

Uw vergadergegevens worden gehost in Frankrijk, in de AWS-regio Parijs. Ze worden versleuteld tijdens het transport en in rust, verwerkt door een taalmodel dat via Azure France in een gesloten omgeving wordt uitgevoerd, en nooit gebruikt om AI-modellen te trainen. De DPA is openbaar, de tien verwerkers zijn benoemd en de ISO 27001:2022-certificering is behaald. Op deze pagina vindt u het bewijs, in de volgorde waarin een DPO erom vraagt.

Neem contact op met ons beveiligingsteam · Bekijk onze documenten

De beveiligingstoezeggingen van Leexi

🇪🇺 Gegevenslokalisatie. Opnamen, transcripties en verslagen worden gehost in Frankrijk, in de AWS-regio Parijs, met een Scaleway-optie. Meer informatie

🔐 Beveiliging. Versleuteling tijdens transport en in rust, toegangscontroles en back-ups, ondersteund door de ISO 27001:2022-certificering (artikel 5.3 van de DPA). Meer informatie

🇪🇺 AVG. Een openbare DPA, van kracht sinds 6 juli 2026, die ook tijdens de gratis proefperiode van toepassing is. Standaard maximaal twee jaar bewaartermijn en melding van een datalek binnen 24 uur. Meer informatie

🤖 AI en gegevens. Uw vergaderingen worden niet gebruikt om modellen te trainen. Deze toezegging staat in het privacybeleid en op verzoek ontvangt u hiervan een verklaring. Meer informatie

📋 Verwerkers. Tien verwerkers, genoemd in artikel 6.1 van de DPA, met hun rol en hostingregio, bijgehouden in het Trust Center. Bekijk de lijst

Waar worden de Leexi-gegevens gehost?

Uw opnamen, transcripties en verslagen worden gehost in Frankrijk, in de regio Parijs, op de infrastructuur van AWS. De verwerking door het taalmodel gebeurt via Azure France, in een gesloten omgeving. Boven een bepaald aantal licenties wordt optioneel hosting bij Scaleway, een Franse aanbieder, aangeboden; de drempel wordt in het commerciële contract vastgelegd.

Laatste controle: 16/09/2026.

De volledige lijst van infrastructuurleveranciers, met hun hostingregio, staat in artikel 6.1 van de DPA en in het Trust Center.

Leexi en de AVG

Zodra een dienstverlener namens u persoonsgegevens verwerkt, verplicht artikel 28 van de AVG een schriftelijke overeenkomst en bepaalt het de inhoud ervan. Die overeenkomst is de DPA van Leexi: deze is openbaar, versie 2.0 geldt sinds 6 juli 2026 en de overeenkomst is van toepassing vanaf de online inschrijving, inclusief de gratis proefperiode.

Verantwoordelijkheden

U blijft de verwerkingsverantwoordelijke; Leexi is uw verwerker. Dat staat zo in de DPA.

DPA van Leexi, artikel 4.2 « Als verwerker van de gegevens verwerkt Leexi persoonsgegevens namens en volgens de instructies van de Verwerkingsverantwoordelijke. »

U bepaalt het doel van de opname, de bewaartermijn en wie toegang heeft tot de verslagen. Leexi voert dit uit.

Verwerkte persoonsgegevens

De reikwijdte staat beschreven in artikel 3 van de DPA.

DPA van Leexi, artikel 3 « Leexi verzamelt de volgende persoonsgegevens: achternaam, voornaam, e-mailadres, telefoonnummer, functie, bedrijfsnaam, videogesprek of VOIP-gesprek (audiosysteem), met de bijbehorende metadata. »

Volgens hetzelfde artikel zijn de betrokken personen werknemers, leveranciers en klanten van de klant. De gedekte handelingen zijn het verzamelen, doorgeven, bewaren en verwijderen.

Instructies van de klant

De AVG verbiedt de verwerker om buiten de instructies te handelen: hij « verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke » (artikel 28, lid 3, punt a). Het verwerken van uw vergaderingen voor een doel dat u niet hebt bepaald, bijvoorbeeld het trainen van een model, zou verwerking zonder instructie zijn.

Rechten van betrokkenen

Het recht op gegevenswissing (artikel 17 van de AVG) wordt uitgeoefend tegenover u, de verwerkingsverantwoordelijke. Leexi helpt u bij het antwoord (artikel 7 van de DPA). Het informeren van deelnemers blijft uw verplichting: de Leexi-assistent is zichtbaar in de vergadering om u daarbij te helpen.

Verwijdering van gegevens

Een opname of verslag kan vanuit de bibliotheek worden verwijderd. Aan het einde van het contract kiest u tussen teruggave en verwijdering van alle gegevens (artikel 11.2 van de DPA). Leexi verwijdert vervolgens overbodige back-ups, met redelijke inspanningen tot anonimisering.

Bewaartermijnen

DPA van Leexi, artikel 9.1 « Standaard worden de gegevens maximaal 2 jaar bewaard. De klant kan deze termijn op verzoek of via de instellingen van het Leexi-platform verkorten. »

Ter vergelijking: de CNIL hanteert zes maanden voor gespreksopnamen op de werkplek en één jaar voor analysedocumenten. De AVG vereist een beperkte termijn, niet langer dan noodzakelijk (artikel 5, lid 1, punt e).

Download de DPA in het Frans · Download de DPA in het Engels

De details per artikel staan op de pagina DPA: wat de wet vereist en wat Leexi levert. De regels voor het opnemen zelf — deelnemers informeren, rechtsgrond en bewaartermijn — staan op de pagina een zakelijke vergadering opnemen.

Hoe Leexi kunstmatige intelligentie gebruikt

Een vergadering doorloopt vijf stappen. Voor elke stap wordt de leverancier in de DPA genoemd, inclusief de hostingregio.

1. Audio-opname. De assistent neemt deel aan de vergadering en blijft zichtbaar voor de deelnemers, via videoconferentie, telefoon of fysiek met de mobiele app. Betrokken gegevens: de audiostroom van het gesprek en de metadata ervan (artikel 3 van de DPA).

2. Transcriptie. De audio wordt door de in de DPA genoemde speech-to-text-leveranciers omgezet in tekst: Gladia (hosting in de EU), Eleven Labs (hosting in Europa) en Microsoft Azure (hosting in de EU). Doel: de door u gevraagde transcriptie maken.

3. AI-model. Het taalmodel wordt geleverd door OpenAI en uitgevoerd via Azure France, in een gesloten omgeving: de verwerking blijft binnen een gecontroleerde omgeving in Frankrijk, zonder blootstelling aan gebruik door derden. Mistral wordt in de DPA eveneens genoemd voor generatieve AI (hosting in de EU). Doel: het verslag en de samenvatting opstellen en vragen beantwoorden die u aan Ask Leexi stelt over uw eigen vergaderingen. Geen van deze handelingen traint de modellen.

4. Samenvatting en analyse. Het verslag verschijnt in uw bibliotheek: beslissingen, acties en deadlines. U bepaalt of het wordt gedeeld met uw team of CRM.

5. Opslag. De gegevens worden bewaard op AWS, in de regio Parijs, versleuteld in rust, standaard maximaal twee jaar; u kunt deze termijn in de instellingen verkorten.

Elke verwerker in deze keten is gebonden aan verplichtingen die minstens even beschermend zijn als die van de DPA (artikel 6.3), de omzetting van artikel 28, lid 4 van de AVG.

Worden de gegevens van onze klanten gebruikt om modellen te trainen?

Nee. Deze toezegging staat in het privacybeleid, in de sectie « Beveiliging en training van AI-modellen »:

Leexi, privacybeleid « Wij gebruiken deze gegevens niet om algemene of niet-gepersonaliseerde AI/ML-modellen te trainen of te verbeteren. Elke toegepaste AI-verwerking is strikt beperkt tot de functies die u aanvraagt. »

Deze regel geldt standaard voor alle accounts. Op verzoek wordt via hello@leexi.ai een verklaring van niet-trainen verstrekt in het formaat dat uw DPO verwacht.

De exacte reikwijdte van de toezegging, de modellen die uw vergaderingen lezen en wat de AVG vereist, worden toegelicht op de pagina geen AI-training op uw vergaderingen.

Onze verwerkers

Tien verwerkers, genoemd in artikel 6.1 van de DPA met hun rol en hostingregio. Overgenomen uit de DPA:

Lijst overgenomen uit DPA-versie 2.0 en gecontroleerd in het Trust Center op 16/09/2026.

Als Leexi een verwerker toevoegt of vervangt, wordt u hiervan op de hoogte gebracht en hebt u vijftien dagen om gemotiveerd bezwaar te maken (artikel 6.2 van de DPA).

Volledige lijst van verwerkers

Hoe Leexi uw gegevens beschermt

De technische en organisatorische maatregelen zijn vastgelegd in artikel 5.3 van de DPA: versleuteling, toegangscontroles, regelmatige back-ups, opleiding van medewerkers en controle van hun achtergrond. Ze zijn volledig geïmplementeerd met de ISO 27001:2022-certificering.

Versleuteling

Uw gegevens worden versleuteld tijdens het transport en in rust.

Toegangsbeheer

Toegangscontroles maken deel uit van de maatregelen die in artikel 5.3 van de DPA zijn vastgelegd. Wat het gebruik betreft, bepaalt u welke personen binnen uw organisatie toegang hebben tot de verslagen. Aan de kant van Leexi worden medewerkers opgeleid en wordt hun achtergrond gecontroleerd (artikel 5.3).

Gegevensisolatie

Uw vergaderingen blijven binnen uw account. Ask Leexi leest uw vergaderingen om uw vragen te beantwoorden, binnen de grenzen van uw account. Een audit door een klant geeft geen toegang tot gegevens van andere klanten (artikel 10.1 van de DPA).

Back-ups

Regelmatige back-ups maken deel uit van de maatregelen van artikel 5.3. Aan het einde van het contract worden overbodige back-ups volgens een verwijderingsproces gewist, met redelijke inspanningen tot anonimisering (artikel 11.2).

Monitoring

De monitoring van applicatieprestaties wordt verzorgd door New Relic, met hosting in de EU (artikel 6.1 van de DPA).

Incidentbeheer

DPA van Leexi, artikel 5.4 « Leexi moet de klant per e-mail binnen maximaal vierentwintig (24) uur nadat het kennis heeft genomen van een inbreuk op persoonsgegevens, hiervan op de hoogte brengen. »

De melding beschrijft de aard van de inbreuk, de categorieën en het geschatte aantal betrokken personen, een contactpunt, de waarschijnlijke gevolgen en de genomen maatregelen. Zo beschikt u over de informatie voor uw eigen melding aan de toezichthoudende autoriteit binnen de 72 uur die de AVG voorschrijft.

Beveiligingstests

Leexi ondergaat regelmatig audits, ook audits die door eigen klanten worden uitgevoerd. Het auditrecht is contractueel vastgelegd: u kunt eenmaal per periode van twaalf maanden een onafhankelijke auditor aanstellen, met een opzegtermijn van minstens 20 dagen en een geheimhoudingsovereenkomst (artikel 10.1 van de DPA).

Alle beveiligingscontroles zijn per domein gedocumenteerd in het Trust Center.

Certificeringen en audits

ISO 27001:2022. Behaald. De DPA gebruikt deze certificering als referentie (artikel 5.3). Het certificaat wordt op verzoek verstrekt, samen met toegang tot het Trust Center.

ISO 42001. In uitvoering. De norm structureert het managementsysteem voor AI.

SOC 2 Type 2. In uitvoering (Trust Center, gecontroleerd op 16/09/2026).

NIS2. De naleving wordt afgerond. Het is NIS2, en niet ISO 27001, die de wettelijke beveiligingsverplichting oplegt aan « essentiële » en « belangrijke » entiteiten; ISO 27001 is een middel om hieraan te voldoen.

EU AI Act. Leexi stemt af op de Europese AI-verordening, met name op het gebied van transparantie: de assistent is zichtbaar in de vergadering en deelnemers worden geïnformeerd. De toezegging staat in bijlage 1.1 van de algemene voorwaarden, versie 2.0.

Audits door klanten. Het jaarlijkse auditrecht staat in artikel 10.1 van de DPA.

Voor u het dossier doorstuurt: Leexi beschikt momenteel niet over de kwalificatie SecNumCloud en heeft evenmin een eigen HDS-certificering. Voor gevoelige gegevens uit de publieke sector of gezondheidsgegevens wordt dit punt vóór elke verbintenis per geval beoordeeld.

Compliance-documenten

• DPA, versie 2.0 van 6 juli 2026: Franse versie, Engelse versie. Geaccepteerd bij inschrijving, inclusief de gratis proefperiode.
• Privacybeleid: leexi.ai/fr/politique-de-confidentialite. Bevat de toezegging om niet te trainen.
• Algemene voorwaarden, versie 2.0 van 6 juli 2026: terms_of_service_fr.pdf. Toezegging over de Europese AI-verordening in bijlage 1.1.
• Lijst van verwerkers: artikel 6.1 van de DPA en het Trust Center, bijgewerkt.
• ISO 27001:2022-certificaat: op verzoek verstrekt via hello@leexi.ai, samen met toegang tot het Trust Center.
• Verklaring van niet-trainen: op verzoek via hello@leexi.ai, binnen de door uw DPO verwachte reikwijdte (transcripties, logboeken, embeddings).
• Register van verwerkingsactiviteiten: de verplichting van artikel 30 van de AVG, waarvan de DPA in artikel 14.3 verklaart dat eraan wordt voldaan. Op verzoek.

Veelgestelde vragen

Waar worden mijn vergaderingen opgeslagen?

In Frankrijk. Uw opnamen, transcripties en verslagen worden gehost in de regio Parijs, op de infrastructuur van AWS. Boven een bepaald aantal licenties wordt optioneel hosting bij Scaleway, een Franse aanbieder, aangeboden.

Gebruikt Leexi mijn gegevens om zijn modellen te trainen?

Nee. Het privacybeleid sluit het trainen en verbeteren van algemene of niet-gepersonaliseerde modellen uit en beperkt elke AI-verwerking tot de functies die u aanvraagt. Deze regel geldt standaard voor alle accounts; op verzoek ontvangt u een verklaring voor uw dossier.

Welke verwerkers hebben toegang tot de gegevens?

De tien verwerkers die in artikel 6.1 van de DPA worden genoemd, elk met hun rol en hostingregio, allemaal in de EU, Europa of het Verenigd Koninkrijk. Elke toevoeging wordt aan u gemeld en u hebt vijftien dagen om bezwaar te maken (artikel 6.2).

Kan ik vragen om mijn gegevens te verwijderen?

Ja. Een opname of verslag kan vanuit de bibliotheek worden verwijderd. Aan het einde van het contract kiest u tussen teruggave en verwijdering van alle gegevens (artikel 11.2 van de DPA) en worden overbodige back-ups gewist. Het recht op gegevenswissing wordt uitgeoefend tegenover u, de verwerkingsverantwoordelijke, en Leexi helpt u bij het antwoord.

Voldoet Leexi aan de AVG?

Leexi voldoet aan de verplichtingen die artikel 28 van de AVG oplegt aan een verwerker, en elke verplichting kan met documenten worden gecontroleerd: een openbare DPA met gedocumenteerde instructies, tien genoemde verwerkers met recht op bezwaar, beveiligingsmaatregelen gebaseerd op ISO 27001:2022, melding van een inbreuk binnen 24 uur, een bewaartermijn van maximaal twee jaar, teruggave of verwijdering aan het einde van het contract en een jaarlijks auditrecht.

Verlaten de gegevens de Europese Unie?

Niet voor opslag en verwerking; die blijven in Frankrijk. Doorgifte buiten de EU is alleen mogelijk naar een land dat door de Europese Commissie als adequaat is erkend of op basis van standaardcontractbepalingen (artikel 6.4 van de DPA). AWS blijft een onderneming naar Amerikaans recht en valt theoretisch onder de Cloud Act. Voor een strikte soevereiniteitseis voldoet de Scaleway-optie aan de behoefte; artikel 15 van de DPA verplicht Leexi bovendien om u op de hoogte te brengen van elk verzoek van een autoriteit uit een derde land.

Hoe lang worden opnamen bewaard?

Standaard maximaal twee jaar. U kunt deze termijn op verzoek of via de instellingen van het platform verkorten (artikel 9.1 van de DPA). Ter vergelijking: de CNIL hanteert zes maanden voor gespreksopnamen op de werkplek.

Een vraag over beveiliging of compliance?

Schrijf naar hello@leexi.ai. Via dit kanaal kunt u een medeondertekend exemplaar van de DPA, de verklaring van niet-trainen, het ISO 27001:2022-certificaat of het register van verwerkingsactiviteiten verkrijgen.

De DPA is al tijdens de gratis proefperiode van toepassing: u kunt Leexi testen met een echte vergadering terwijl uw DPO het dossier beoordeelt.

Bronnen

Teksten afkomstig uit primaire bronnen, geraadpleegd op 2 en 16 september 2026.

• Leexi, Gegevensverwerkingsovereenkomst, versie 2.0 van kracht vanaf 6 juli 2026, dpa_fr.pdf
• Leexi, Privacybeleid, sectie « Beveiliging en training van AI-modellen », leexi.ai/fr/politique-de-confidentialite
• Leexi, Algemene verkoop- en gebruiksvoorwaarden, versie 2.0 van kracht op 6 juli 2026
• Leexi, Trust Center, trust.leexi.ai, geraadpleegd op 16 september 2026
• AVG, artikelen 5, 17, 28, 30 en 32, tekst gepubliceerd door de CNIL
• Europese verordening inzake kunstmatige intelligentie, artikel 50

Deze pagina beschrijft het toepasselijke kader. Ze vormt geen juridisch advies.

Probeer Leexi gratis