FAQ conformidade e soberania

Resumo

Esta FAQ responde, palavra por palavra, às perguntas que um comprador profissional e seu DPO fazem antes de adquirir uma ferramenta de notas IA. Ela distingue três níveis de força jurídica, pois não são equivalentes: o que a lei exige (RGPD, AI Act), o que seus clientes exigem sem obrigação legal (ISO 27001, hospedagem europeia) e o que é imposto por setor (saúde, público). Cada resposta traz sua prova. Nenhuma afirmação de conformidade é feita sem o fato que a sustenta. Termos técnicos (DPA, circuito fechado, diarização) são definidos no glossário da ferramenta de notas IA.

Nem ISO 27001 nem hospedagem na França são obrigações legais universais. Seus clientes as exigem, e dois setores as impõem: saúde e setor público.

Essencial em uma resposta: hospedagem AWS região Paris, opção Scaleway além de certo volume de licenças, LLM (OpenAI) executado via Azure França em circuito fechado, sem treinamento com dados do cliente, criptografia em trânsito e repouso, ISO 27001 obtida, ISO 42001 em andamento, NIS2 em finalização, alinhamento com EU AI Act, HDS via parceiros, DPA e lista de subcontratados e certificado ISO fornecidos sob demanda, cerca de 10.000 empresas usuárias na Europa, entidade franco-belga.

1. Localização e hospedagem dos dados

Onde meus dados são hospedados e armazenados com Leexi?

Na França. Seus registros, transcrições e relatórios são hospedados na região de Paris, na infraestrutura AWS. Acima de certo volume de licenças, é oferecida opção de hospedagem na Scaleway (empresa francesa) [limite exato A VERIFICAR]. O processamento pelo modelo de linguagem ocorre via Azure França, em circuito fechado.

Meus dados saem da União Europeia?

Não para armazenamento e processamento, que permanecem na França. A nuance é o fornecedor da infraestrutura: a região de armazenamento é europeia, mas AWS é uma empresa americana (veja a questão do Cloud Act). Para soberania estrita (entidade não sujeita a leis extraterritoriais), a opção Scaleway atende.

O que é exatamente uma hospedagem "soberana"?

Um comprador exigente verifica três pontos: datacenters fisicamente na França, entidade jurídica francesa ou europeia não sujeita a leis extraterritoriais, e controle acionário europeu. Hospedagem AWS Paris cumpre a localização física, mas não imunidade a leis extraeuropeias. Opção Scaleway cumpre os três.

Hospedagem na França é obrigação legal?

Não, em geral não. RGPD não exige que dados fiquem na França ou Europa para a maioria dos tratamentos. Hospedagem soberana é obrigatória só para certos setores: dados de saúde (via hospedagem certificada HDS) e setor público para dados sensíveis (trajetória SecNumCloud, lei SREN). Para o resto, é demanda crescente dos compradores; lei não impõe.

2. Treinamento da IA

Leexi treina sua IA com minhas reuniões?

Não. Suas conversas não são usadas para treinar modelos. Esta regra vale para todas as contas, por padrão. É o primeiro ponto verificado pelas equipes técnicas e motivo pelo qual compradores descartam ferramentas americanas e escolhem Leexi.

Leexi é "baseado no ChatGPT"? Meus dados vão para OpenAI?

O modelo de linguagem é fornecido pela OpenAI, mas executado via Azure França, em circuito fechado. Seus dados não são usados para treinar o modelo nem expostos a terceiros. Circuito fechado significa processamento em perímetro controlado, na França.

Como provar isso ao meu DPO?

Leexi documenta isso em seu dossiê de conformidade, com DPA e lista de subcontratados. O não-treinamento está claro.

3. Certificações e normas

Leexi é certificado ISO 27001?

Sim. ISO 27001 obtida. Certificado fornecido sob demanda [número e escopo exatos A VERIFICAR]. ISO 27001 não é obrigação legal, é norma voluntária. Tornou-se requisito em licitações B2B, grandes contas e setor público. Cliente não pode punir ausência, mas pode recusar compra.

Quais outras certificações Leexi possui ou prepara?

ISO 42001 (gestão de IA) em andamento. Conformidade NIS2 em finalização. Alinhamento com EU AI Act. Auditorias regulares, inclusive por clientes.

NIS2 ou ISO 27001 impõem obrigação legal de segurança?

NIS2 impõe obrigação legal para entidades "essenciais" e "importantes". ISO 27001 é meio para atender, não obrigação em si.

Leexi é certificado HDS para dados de saúde?

Leexi trata dados de saúde via parceiros [escopo e condições A VERIFICAR], não tem certificação HDS própria. Hospedagem em provedor HDS é obrigação regulatória para dados pessoais de saúde; caso a caso antes de compromisso.

Leexi é qualificado SecNumCloud?

Não atualmente. SecNumCloud (ANSSI) atesta segurança superior e imunidade a leis extraeuropeias, focado no setor público para dados sensíveis (lei SREN). Não requisito para uso B2B padrão.

4. DPA, subcontratados e provas de compra

Leexi assina acordo de tratamento de dados (DPA)?

Sim. DPA fornecido. Documento padrão para comprovar supervisão do tratamento.

Posso obter lista de subcontratados?

Sim, lista nominal fornecida [A VERIFICAR]. Exigência padrão do DPO para mapear cadeia de tratamento.

Quais documentos Leexi disponibiliza para compra ou licitação?

DPA, lista de subcontratados, certificado ISO 27001 e localização da hospedagem. Provas exigidas em 2026: DPA, direito de auditoria ou relatórios de conformidade, localização, lista de subcontratados. Sem elas, fornecedor é excluído.

Tenho direito a auditoria da Leexi?

Leexi realiza auditorias regulares com clientes [condições contratuais A VERIFICAR]. EU AI Act incentiva compradores a exigir direito de auditoria ou relatórios.

5. Conservação e exclusão

Quanto tempo registros e relatórios são guardados?

Prazos configuráveis [padrões Leexi A VERIFICAR]. CNIL recomenda até 6 meses para gravações comerciais e 12 meses para relatórios. Conservação controlada é obrigação RGPD para ferramenta IA.

Posso excluir gravação ou relatório?

Sim [modalidades A VERIFICAR]. Direito de exclusão previsto no RGPD; relatório só enviado após revisão e validação.

Quem vê qual relatório na minha organização?

Controle de acesso é questão de uso e compra: quem vê o quê, validação antes de divulgar, compartilhamento controlado [detalhes A VERIFICAR].

6. Consentimento e informação dos participantes

É preciso avisar que reunião é gravada?

Sim. RGPD e EU AI Act exigem informar que reunião é gravada e assistente IA toma notas. "Esta reunião é gravada" não basta: uso da IA deve constar no convite, ser lembrado oralmente no início e visível durante.

Como Leexi gerencia consentimento?

Leexi impõe por padrão consentimento que ferramentas americanas não impõem; assistente visível na reunião, como exige EU AI Act. Modalidades variam por país e contexto: informação ao CSE na França, consentimento de externos em chamadas [mecânica, timestamp A VERIFICAR].

Qual base legal para gravar reunião?

Depende do contexto. Internamente, empregador pode usar interesse legítimo, com teste de equilíbrio e aviso prévio; consentimento do empregado raramente é "livre" por subordinação. Em chamadas com clientes ou externos, consentimento explícito geralmente obrigatório. Gravar e transcrever sem base legal, aviso e prazo controlado é ilegal.

7. Transferências fora da UE e Cloud Act

Cloud Act americano pode se aplicar aos meus dados na Leexi?

Pergunta certa. Dados armazenados na França, mas AWS é empresa americana, exposta ao Cloud Act. Para soberania estrita e imunidade, opção Scaleway (francesa) é solução. Leexi não afirma que AWS Paris é imune à lei americana, oferece alternativa para quem exige.

Como difere de ferramenta americana como Otter ou Fireflies?

Ferramenta que hospeda e processa tudo nos EUA segue regras pós-Schrems II e Data Privacy Framework. Modelo de consentimento de várias ferramentas americanas, onde um participante grava para todos, é frágil segundo artigos 6 e 7 do RGPD. Leexi armazena e processa na França e impõe consentimento padrão. Comparação só com ferramentas americanas, ex: alternativas de ferramenta de notas IA para Teams.

8. Segurança técnica

Meus dados são criptografados?

Sim, em trânsito e repouso.

Quem acessa meus dados na Leexi?

Acesso regulado por política de segurança ISO 27001 [detalhes A VERIFICAR]. Assunto auditado regularmente.

9. EU AI Act

O que muda o EU AI Act para escolher ferramenta IA em 2026?

Escolha é decisão jurídica. Empresas devem mapear ferramentas IA, fazer análises de impacto para usos sensíveis e verificar conformidade dos fornecedores. Fornecedor deve provar conformidade e dar direito de auditoria ou relatórios. Duplo controle com RGPD.

Leexi está conforme EU AI Act?

Leexi segue EU AI Act, transparência (assistente visível, informação), prepara ISO 42001 para gestão IA. Ferramentas americanas não têm essas obrigações, diferencial real.

10. Soberania: demanda e discurso

Por que soberania de dados virou critério de compra?

Porque dependência inicial é grande e decisores perceberam. Cerca de 70% do mercado cloud europeu está em AWS, Azure e Google; quase 80% dos gastos cloud europeus vão a fornecedores americanos; cerca de 70% dos dados franceses hospedados fora da UE. Essa dependência gera demanda por alternativa europeia; setor público favorece soluções europeias certificadas.

Leexi é alternativa soberana credível a ferramentas americanas?

Leexi é entidade franco-belga, armazena e processa na França, impõe consentimento padrão, tem ISO 27001 e opção de hospedagem soberana com Scaleway. Para comprador que descartou ferramenta americana por transferência, é porta de entrada.

11. Por setor

Trabalho em saúde. Posso usar Leexi?

Dados pessoais de saúde exigem hospedagem certificada HDS, obrigação regulatória. Leexi atende via parceiros [escopo A VERIFICAR]. Caso deve ser avaliado antes de compromisso; setor com exigência mais rigorosa.

Trabalho no setor público ou com ele. O que verificar?

Setor público segue trajetória SecNumCloud para dados sensíveis, lei SREN, armazenamento territorial e cláusulas reforçadas. Leexi não qualificado SecNumCloud hoje; para dados sensíveis públicos, ponto crucial. Para uso administrativo comum sem dados sensíveis, hospedagem na França e ISO 27001 atendem principais exigências.

Sou advogado, consultor, RH ou contador. Sou afetado?

Sim, pela confidencialidade dos dados tratados: clientes, candidatos, finanças. Obrigação RGPD (base legal, informação, conservação) aplica-se plenamente; clientes podem exigir garantias de localização e não-treinamento. Hospedagem na França, não-treinamento e DPA da Leexi atendem diretamente.

12. Documentos para seu DPO

O que envio ao meu DPO para validar Leexi?

Seis documentos fornecidos por Leexi: localização da hospedagem (França, AWS Paris, opção Scaleway), atestado de não-treinamento, certificado ISO 27001, DPA, lista de subcontratados e política de conservação. É o dossiê para seu DPO. Enquanto validação interna ocorre, você pode testar Leexi em reunião real.

Reservas e bloqueios

Pontos baseados em dados nossos, dependem de confirmação Leexi antes de publicação pública. Não publicar nada falso ou impreciso sobre conformidade para não comprometer credibilidade jurídica.

• Número e escopo exato do certificado ISO 27001.
• Lista nominal de subcontratados.
• Prazos padrão e modalidades de exclusão e apagamento.
• Limite de licenças para opção Scaleway.
• Escopo e condições do HDS via parceiros.
• Mecânica exata do consentimento (timestamp, multi-país).
• Condições contratuais de direito de auditoria e gestão de acessos.

Parte legal desta FAQ é síntese de fontes e fatos comunicados por Leexi, não parecer jurídico. Para página pública vinculando Leexi, validar com jurista.