DPA: wat de wet voorschrijft en wat Leexi levert

De DPA van Leexi is een openbaar document. Het heet "Data Processing Agreement", is versie 2.0 sinds 6 juli 2026 en u kunt het lezen vóór het aanmaken van een account: Franse versie, Engelse versie. Het geldt vanaf online abonnement, inclusief gratis proef. Het noemt de tien verwerkers van Leexi, stelt standaard bewaartermijn op maximaal twee jaar, voorziet in melding van datalek binnen 24 uur en geeft u een auditrecht eenmaal per jaar.

Controleren wat de DPA dekt

De DPA bepaalt het kader waarin Leexi uw vergadergegevens verwerkt namens u. U blijft verantwoordelijk, Leexi is uw verwerker.

Het document zegt het zelf:

DPA Leexi, artikel 4.2 "Als verwerker verwerkt Leexi persoonsgegevens namens en volgens instructies van de Verwerkingsverantwoordelijke."

Wat betekent dit voor u: u bepaalt het doel van opname, bewaartermijn en wie toegang heeft tot de verslagen. Leexi voert uit.

Welke gegevens dekt de DPA?

De scope staat in artikel 3.

DPA Leexi, artikel 3 "Leexi verzamelt de volgende persoonsgegevens: naam, voornaam, e-mail, telefoonnummer, functie, bedrijfsnaam, videoconferentie- of VOIP-gesprekken met metadata."

Betrokkenen zijn volgens artikel 3 "werknemers, leveranciers en klanten van de klant". Handelingen zijn "verzameling, overdracht, bewaring en verwijdering".

Hoe vragen kopers de DPA op?

Tussen maart en mei 2026 vroegen zes kopers de DPA bij Leexi op. Een vermogensbeheerder vroeg in mei 2026 om "Data Processing Agreement (DPA) voor ons account, ondertekend exemplaar of schriftelijke bevestiging van de geldende versie". Een overheidsinstantie vroeg in maart 2026 om "beschikbaarheid van een DPA" als een van acht punten voor transcriptietoolkeuze. Een klant zocht in april 2026 het "ondertekende DPA" dat hij kwijt was. De DPO van een andere klant vroeg Leexi zijn eigen verwerkersbijlage in te vullen.

Deze vier verzoeken vatten samen in drie vragen: welke versie geldt voor mijn account, waar is de lijst met verwerkers, en hoe bewaar ik bewijs. Deze pagina beantwoordt ze.

Is de DPA wettelijk verplicht?

Ja. Zodra een dienstverlener persoonsgegevens namens u verwerkt, vereist GDPR een schriftelijk contract met verplichte inhoud.

GDPR, artikel 28, lid 3 "De verwerking door een verwerker wordt geregeld door een contract of ander juridisch instrument volgens EU- of lidstaatrecht, dat de verwerker bindt aan de verwerkingsverantwoordelijke, en de aard, duur, doel, soort persoonsgegevens en rechten en plichten vastlegt."

De verplichting geldt voor u en Leexi. De verwerkingsverantwoordelijke kiest een verwerker met garanties.

GDPR, artikel 28, lid 1 "De verwerkingsverantwoordelijke schakelt alleen verwerkers in die voldoende garanties bieden voor passende technische en organisatorische maatregelen om aan de verordening te voldoen en rechten van betrokkenen te beschermen."

Drie niveaus:

• Wettelijk verplicht: contract en minimale clausules (art. 28 lid 3 a-h: gedocumenteerde instructies, vertrouwelijkheid, beveiliging, onderverwerking, hulp bij rechten, verwijdering of teruggeven, audit).
• Gevraagd door kopers: ondertekend exemplaar of schriftelijke bevestiging, verwerkersbijlage in eigen format, reactietermijn. Niet wettelijk, maar gebruikelijk.
• Sectorvereisten: financiële en publieke sector eisen auditrecht en beleid over buitenlandse autoriteitsverzoeken. Leexi's DPA behandelt dit in art. 10 en 15.

Moet de DPA auditrecht bevatten?

Ja, art. 28 lid 3 h) verplicht dat.

GDPR, artikel 28, lid 3 h) "De verwerker stelt alle informatie ter beschikking om naleving aan te tonen en audits mogelijk te maken door de verwerkingsverantwoordelijke of diens auditor, en werkt daaraan mee."

Leexi's DPA verkrijgen

De DPA is online, in twee talen, en wordt geaccepteerd bij abonnement.

DPA Leexi, preambule "Deze Data Processing Agreement ('overeenkomst') is gesloten tussen klant en Leexi op de datum van online abonnement, inclusief gratis proef."

U hoeft dus niet te wachten op verzending. De geldende versie is die op uw abonnementsdatum, met datum op de eerste pagina.

Wie tekent?

De DPA noemt de entiteit: Leexi, naamloze vennootschap, zetel 2 avenue Herrmann Debroux, 1160 Brussel, België, vertegenwoordigd door Xavier Lombard, CEO. Belgisch recht, rechtbanken Brussel (art. 13).

Welke verwerkers noemt de DPA?

Tien, in art. 6.1, met rol en hostinglocatie. Uit de DPA:

• Amazon Web Services, infrastructuurhosting, EU
• Microsoft Azure, transcriptie en generatieve AI, EU
• Google Workspace, identiteitsprovider, EU
• Gladia, spraak-naar-tekst, EU
• New Relic, applicatieprestatiebewaking, EU
• Eleven Labs Inc., spraak-naar-tekst, Europa
• Scaleway SAS, cloudinfrastructuur, EU (Frankrijk)
• Cloudflare, perimeterbeveiliging, Europa / VK
• Mailgun, transactionele e-mail, EU (Frankfurt, Duitsland)
• Mistral, generatieve AI, EU

De actuele lijst staat op het Trust Center van Leexi, met tien verwerkers per 2 september 2026.

Wat als Leexi een verwerker wijzigt?

GDPR geeft u bezwaarrecht.

GDPR, artikel 28, lid 2 "De verwerker schakelt geen andere verwerker in zonder voorafgaande schriftelijke toestemming van de verantwoordelijke. Bij algemene toestemming informeert hij over wijzigingen, zodat de verantwoordelijke bezwaar kan maken."

De DPA stelt de termijn.

DPA Leexi, artikel 6.2 "De klant heeft 15 dagen na ontvangst om bezwaar te maken en te motiveren."

Er is een overleg vóór weigering. Bij weigering kan Leexi de dienst niet leveren.

Welke beveiligingsmaatregelen bevat de DPA?

Art. 32 GDPR noemt encryptie als maatregel.

GDPR, artikel 32, lid 1 "Verantwoordelijke en verwerker nemen passende technische en organisatorische maatregelen, waaronder pseudonimisering en encryptie."

Leexi's DPA voldoet aan art. 5.3.

DPA Leexi, artikel 5.3 "Leexi heeft passende maatregelen genomen voor beveiliging en vertrouwelijkheid, zoals encryptie, toegangscontrole, regelmatige back-ups, training en antecedentenonderzoek. Volledige implementatie na ISO 27001:2022 certificering."

Wanneer meldt Leexi een datalek?

DPA Leexi, artikel 5.4 "Leexi meldt een datalek binnen 24 uur per e-mail aan de klant."

De melding bevat aard, categorieën en geschat aantal betrokkenen, contactpunt, gevolgen en genomen maatregelen. Dit helpt uw eigen melding binnen 72 uur aan toezichthouder.

Hoe lang bewaart Leexi uw vergaderingen?

DPA Leexi, artikel 9.1 "Standaard bewaart Leexi data maximaal 2 jaar. Klant kan termijn verkorten via aanvraag of platforminstellingen."

Na contract einde kiest u tussen teruggeven of verwijderen. Leexi kan back-ups bewaren als verwijderen moeilijk is, met proces voor verwijderen en anonimiseren.

Mag u Leexi auditen?

DPA Leexi, artikel 10.1 "Klant kan onafhankelijke auditor mandateren met redelijke kennisgeving (minimaal 20 dagen). Maximaal 1 audit per 12 maanden. Kosten voor klant, behalve bij beveiligingsincident."

Audit vereist geheimhouding en geen toegang tot andermans data. Kennisgeving kan 30 dagen zijn eind jaar.

Wat doet Leexi bij verzoek buitenlandse autoriteit?

Art. 15 DPA behandelt Cloud Act vragen. Leexi meldt "zonder onredelijke vertraging" elke bindende aanvraag, zoekt ontheffing als melden verboden is, documenteert inspanningen en heeft schriftelijk beleid.

Grenzen van de DPA

De DPA is standaard. Het bevat niet alles, beter vooraf weten.

• Geen clausule over niet-trainen van AI-modellen op uw vergaderingen. Dit staat in de privacyverklaring en compliance FAQ, en op aparte pagina. Juridische eisen? Vraag clausule als bijlage.
• Geen handtekening: online geaccepteerd. DPO die ondertekend exemplaar wil of eigen bijlage, mailt hello@leexi.ai. Leexi heeft dit al gedaan.
• Vervangt geen SecNumCloud kwalificatie of HDS-certificaat voor gezondheidsdata.
• Audit beperkt tot 1x per 12 maanden, op uw kosten tenzij incident.
• Geen drempel voor wanneer Scaleway AWS vervangt; geregeld in commercieel contract.

Documenten voor uw DPO

Niet-trainen AI, niet in DPA, staat op niet-trainen AI op uw vergaderingen. Regels opname, deelnemersinformatie, rechtsgrond en bewaartermijn op professionele vergadering opnemen. Alle certificaten en audits op beveiliging en compliance.

Test Leexi op echte vergadering tijdens DPO-review: DPA geldt al bij gratis proef. Demo boeken

Veelgestelde vragen

Geldt de DPA tijdens gratis proef?

Ja. Preambule vermeldt dat het geldt vanaf online abonnement, "inclusief gratis proef". Opnames tijdens proef vallen onder dezelfde beveiligings-, bewaartermijn- en verwijderingsclausules als betaald account.

Moet DPA getekend worden of online geaccepteerd?

Online geaccepteerd bij abonnement, zonder handtekening. Als inkoopdienst ondertekend exemplaar of schriftelijke bevestiging wil, vraag via hello@leexi.ai met abonnementsdatum: geldende versie is die datum.

Wat als Leexi nieuwe verwerker toevoegt?

Leexi informeert u, u heeft 15 dagen om gemotiveerd bezwaar te maken (art. 6.2 DPA). Overleg volgt bij weigering. Bij weigering kan dienst niet geleverd worden.

Wanneer meldt Leexi datalek?

Binnen 24 uur na ontdekking per e-mail, met beschrijving, categorieën en geschat aantal betrokkenen, contactpunt en maatregelen (art. 5.4 DPA). Dit geeft u 48 uur voor eigen melding aan toezichthouder.

Kan ik Leexi door eigen kantoor laten auditen?

Ja, 1x per 12 maanden, met minstens 20 dagen kennisgeving, geheimhoudingsovereenkomst, op uw kosten tenzij beveiligingsincident (art. 10.1 DPA). U kunt ook vertrouwen op ISO 27001:2022 certificaat genoemd in art. 5.3.

Wat gebeurt er met mijn vergaderingen na contract?

U kiest tussen teruggeven of verwijderen van alle persoonsgegevens (art. 11.2 DPA). Leexi kan back-ups bewaren als verwijderen moeilijk is, met proces voor verwijderen en anonimiseren.

Staat DPA overdracht buiten EU toe?

Alleen naar landen met adequaatheidsbesluit of onder standaardcontractbepalingen juni 2021 (art. 6.4 DPA). De 10 verwerkers hosten in EU, Europa of VK. Bij verzoek buitenlandse autoriteit meldt Leexi zonder onredelijke vertraging (art. 15).

Samenvatting

Leexi's DPA bestaat, is openbaar en geldt vanaf gratis proef.

Het voldoet aan art. 28 GDPR: gedocumenteerde instructies, 10 verwerkers met bezwaarrecht binnen 15 dagen, beveiliging volgens ISO 27001:2022, melding datalek binnen 24 uur, standaard 2 jaar bewaring, teruggeven of verwijderen na contract, jaarlijkse audit.

Wat ontbreekt vraagt u als bijlage: niet-trainen clausule en ondertekend exemplaar.

Bronnen

Teksten geraadpleegd op 22 augustus en 2 september 2026.

• Leexi, Data Processing Agreement, versie 2.0 van 6 juli 2026, dpa_fr.pdf
• Leexi, Algemene voorwaarden verkoop en gebruik, versie 2.0 van 6 juli 2026
• Leexi, Privacybeleid, leexi.ai/fr/politique-de-confidentialite
• Leexi, Trust Center, trust.leexi.ai, geraadpleegd 2 september 2026
• GDPR, artikelen 5, 28, 30 en 32, gepubliceerd door CNIL

Deze pagina beschrijft het toepassingskader. Het is geen juridisch advies.