FAQ conformidade e soberania

Resumo

Esta FAQ responde, palavra por palavra, às perguntas que um comprador profissional e seu DPO fazem antes de adquirir uma ferramenta de notas com IA. Ela distingue três níveis de força jurídica, pois não são equivalentes: o que a lei exige (RGPD, AI Act), o que seus clientes demandam sem obrigação legal (ISO 27001, hospedagem europeia) e o que é imposto por setor (saúde, público). Cada resposta traz sua prova. Nenhuma afirmação de conformidade é feita sem respaldo. Termos técnicos (DPA, circuito fechado, diarização) são definidos no glossário da ferramenta de notas com IA.

Nem ISO 27001 nem hospedagem na França são obrigações legais universais. Seus clientes as exigem, e dois setores as impõem: saúde e setor público.

Essencial em uma resposta: hospedagem AWS região Paris, opção Scaleway para volumes maiores, LLM (OpenAI) executado via Azure França em circuito fechado, sem treinamento com dados do cliente, criptografia em trânsito e repouso, ISO 27001 obtida, ISO 42001 em andamento, NIS2 finalizando, alinhamento com EU AI Act, DPA e lista de subcontratados e certificado ISO disponíveis sob demanda, cerca de 10.000 empresas usuárias na Europa, empresa belga.

1. Localização e hospedagem dos dados

Meus dados saem da União Europeia?

Não para armazenamento e processamento, que permanecem na França. A nuance está no fornecedor de infraestrutura: a região de armazenamento é europeia, mas AWS é uma empresa americana (veja a questão do Cloud Act). Para soberania estrita (entidade não sujeita a leis extraterritoriais), a opção Scaleway atende.

O que é hospedagem “soberana” exatamente?

Um comprador exigente verifica três pontos: datacenters fisicamente na França, entidade jurídica francesa ou europeia não sujeita a leis extraterritoriais, e controle acionário europeu. Hospedagem AWS Paris cumpre localização física, mas não imunidade a leis extraeuropeias. Opção Scaleway cumpre os três.

Hospedagem na França é obrigação legal?

Não, em geral. RGPD não exige que dados fiquem na França ou Europa para a maioria dos tratamentos. Hospedagem soberana é obrigatória só para alguns setores: dados de saúde (via hospedagem certificada HDS) e setor público para dados sensíveis (trajetória SecNumCloud, lei SREN). Para o resto, é demanda crescente dos compradores; lei não obriga.

2. Treinamento da IA

Leexi treina sua IA com minhas reuniões?

Não. Suas conversas não são usadas para treinar modelos. Regra válida para todas as contas, por padrão. Também é o primeiro ponto verificado pelas equipes técnicas e motivo para compradores escolherem Leexi após descartar ferramentas americanas.

Leexi é “baseado no ChatGPT”? Meus dados vão para OpenAI?

O modelo de linguagem é fornecido pela OpenAI, mas executado via Azure França, em circuito fechado. Seus dados não são usados para treinar o modelo nem expostos a terceiros. Circuito fechado significa processamento em perímetro controlado, na França.

Como comprovar isso ao meu DPO?

Leexi documenta no seu dossiê de conformidade, com DPA e lista de subcontratados. O não-treinamento está escrito claramente.

3. Certificações e normas

Quais outras certificações Leexi possui ou prepara?

ISO 42001 (gestão de IA) em andamento. Conformidade NIS2 finalizando. Leexi se alinha ao EU AI Act. Passa auditorias regulares, inclusive por clientes.

NIS2 ou ISO 27001 impõem obrigação legal de segurança?

NIS2, não ISO 27001, impõe obrigação legal para entidades “essenciais” e “importantes”. ISO 27001 é meio para cumprir, não obrigação em si.

Leexi tem qualificação SecNumCloud?

Não ainda. SecNumCloud (ANSSI) atesta segurança superior e imunidade a leis extraeuropeias, focado no setor público para dados sensíveis (lei SREN). Não é pré-requisito para uso B2B padrão.

4. DPA, subcontratados e provas de compra

Leexi assina acordo de tratamento de dados (DPA)?

Sim. DPA fornecido. Documento que todo comprador profissional exige para comprovar supervisão do tratamento.

Quais documentos Leexi disponibiliza para compra ou licitação?

DPA, lista de subcontratados, certificado ISO 27001 e localização da hospedagem. São as provas exigidas em 2026: DPA, direito de auditoria ou relatórios terceiros, localização, lista de subcontratados. Sem essas provas, fornecedor é descartado.

5. Consentimento e informação dos participantes

É preciso avisar que reunião é gravada?

Sim. RGPD e EU AI Act exigem informar que reunião é gravada e que assistente IA toma notas. Apenas “esta reunião é gravada” não basta: uso da IA deve constar no convite, ser lembrado oralmente no início e visível durante a reunião.

Qual base legal para gravar reunião?

Depende do contexto. Internamente, empregador pode usar interesse legítimo, com teste de equilíbrio e aviso prévio: consentimento do empregado raramente é “livre” por subordinação. Para chamadas com clientes ou externos, consentimento explícito geralmente requerido. Gravar e transcrever sem base legal, aviso e controle de tempo é ilegal.

6. Transferências fora da UE e Cloud Act

Cloud Act americano pode atingir meus dados na Leexi?

Boa pergunta. Dados armazenados na França, mas AWS é empresa americana, sujeita teoricamente ao Cloud Act. Para soberania estrita e imunidade a leis extraterritoriais, opção Scaleway (francesa) é solução. Leexi não afirma que AWS Paris é imune à lei americana; oferece alternativa para quem exige.

Diferença para ferramentas americanas como Otter ou Fireflies?

Ferramenta que hospeda e processa tudo nos EUA segue regras pós-Schrems II e Data Privacy Framework. Modelo de consentimento de várias ferramentas americanas, onde um participante ativa gravação para todos, é frágil perante artigos 6 e 7 do RGPD. Leexi armazena e processa na França e exige consentimento por padrão. Comparação é só com ferramentas americanas, ex: alternativas de ferramenta de notas IA para Teams.

7. Segurança técnica

Meus dados são criptografados?

Sim, em trânsito e repouso.

8. EU AI Act

O que muda o EU AI Act para escolha de ferramenta IA em 2026?

Escolher ferramenta IA é decisão jurídica. Empresas devem mapear ferramentas IA, fazer análises de impacto para usos sensíveis e verificar conformidade dos fornecedores. Fornecedor deve provar conformidade e permitir auditoria ou relatórios terceiros. É dupla trava com RGPD.

Leexi está conforme o EU AI Act?

Leexi se alinha ao EU AI Act, especialmente transparência (assistente visível, informação aos participantes) e prepara ISO 42001 para gestão de IA. Ferramentas americanas não têm essas exigências, o que diferencia.

9. Soberania: demanda e discurso

Por que soberania de dados virou critério de compra?

Porque dependência inicial é grande e decisores perceberam. Cerca de 70% do mercado cloud europeu está em AWS, Azure e Google; quase 80% dos gastos cloud europeus vão a fornecedores americanos; cerca de 70% dos dados franceses estão fora da UE. Essa dependência gera demanda por alternativa europeia, e compras públicas favorecem soluções certificadas europeias.

Leexi é alternativa soberana confiável a ferramentas americanas?

Leexi é uma empresa belga, armazena e processa na França, exige consentimento padrão, tem ISO 27001 e oferece hospedagem soberana com Scaleway. Para comprador que descartou ferramenta americana por transferência de dados, é porta de entrada.

10. Por setor

Trabalho no setor público ou com ele. O que verificar?

Setor público segue trajetória SecNumCloud para dados sensíveis, regulada pela lei SREN, com territorialidade e cláusulas contratuais reforçadas. Leexi não tem qualificação SecNumCloud ainda: para dados sensíveis públicos, é ponto decisivo. Para uso administrativo comum, hospedagem na França e ISO 27001 atendem à maioria das exigências.

Sou advogado, consultor, RH ou contador. Me afeta?

Sim, pela confidencialidade dos dados: clientes, candidatos, finanças. Obrigação RGPD (base legal, informação, conservação) se aplica plenamente, e seus clientes podem exigir garantias de localização e não-treinamento. Hospedagem na França, não-treinamento e DPA da Leexi atendem diretamente.

11. Documentos para seu DPO

O que envio ao meu DPO para validar Leexi?

Seis documentos fornecidos por Leexi: localização da hospedagem (França, AWS Paris, opção Scaleway), atestado de não-treinamento, certificado ISO 27001, DPA, lista de subcontratados e política de conservação. É o dossiê para seu DPO. Enquanto validação interna ocorre, você pode testar Leexi numa reunião real.