Privacyverklaring

Laatst bijgewerkt: 8 oktober 2026

Notulist neemt vergaderingen op, schrijft ze uit en maakt er verslagen van. Daarbij komen veel persoonsgegevens voorbij: die van jou als gebruiker, maar ook die van iedereen die in een vergadering aan het woord is. In deze privacyverklaring lees je welke gegevens we verwerken, waarom, met wie we ze delen, hoe lang we ze bewaren en welke rechten je hebt.

1. Wie we zijn

Notulist is een dienst van KKX B.V., Keulenstraat 1, Deventer, ingeschreven bij de Kamer van Koophandel onder nummer 93019424 (“KKX”, “wij”). Vragen over privacy stel je via hello@notulist.io.

Deze verklaring geldt voor de website notulist.io, de webapp, de apps voor iPhone, Android en Mac, en de koppelingen met andere diensten (zoals Claude, ChatGPT en Siri).

2. Twee rollen: verantwoordelijke en verwerker

De AVG maakt onderscheid tussen de verwerkingsverantwoordelijke, die bepaalt waarom en hoe gegevens worden verwerkt, en de verwerker, die dat in opdracht doet.

KKX is verwerkingsverantwoordelijke voor je account, je inloggegevens, gegevens over je gebruik van Notulist, de beveiliging van de dienst en het contact met ons.
KKX is verwerker voor de inhoud van je vergaderingen: de opnames, transcripten, sprekers, verslagen, tags, personen en bedrijven in je bibliotheek, je woordenlijst, chats en zoekindex. Die gegevens verwerken we alleen om de dienst voor je te leveren, volgens jouw instructies. Gebruik je Notulist zakelijk, dan is jouw organisatie (of jijzelf als zelfstandige) de verwerkingsverantwoordelijke voor die inhoud, en geldt onze verwerkersovereenkomst. Hoort je account bij een organisatie in Notulist, dan is die organisatie verantwoordelijk voor de inhoud die je in haar opdracht vastlegt.

Ben je opgenomen in een vergadering van iemand anders? Dan beslist de gebruiker die de vergadering opnam (of diens organisatie) over die opname. Wil je inzage of verwijdering, neem dan eerst contact op met die gebruiker. Lukt dat niet, mail ons dan; we helpen je verder of geven je verzoek door.

3. Welke gegevens we verwerken en waarom

Gegevens	Waarvoor	Grondslag
Account: naam, e-mailadres, de ID van je account bij Microsoft, Google of Apple, taal- en andere instellingen, je aanvraag voor toegang tijdens de beta	Je account aanmaken, inloggen, de dienst instellen zoals jij wilt	Uitvoering van de overeenkomst
Organisatie: lidmaatschap, rol, uitnodigingen, geverifieerde domeinen, SCIM-koppeling, auditlog van beheerwijzigingen	Een organisatie beheren en haar leden toegang geven	Uitvoering van de overeenkomst; voor de organisatie haar gerechtvaardigd belang
Vergaderinhoud: audio, transcripten, sprekers en hun spreektijd, verslagen, tags, titels, personen en bedrijven (namen, e-mailadressen, beschrijvingen), woordenlijst, chats, zoekindex	De dienst leveren: opnemen, uitschrijven, verslagen maken, zoeken, delen	Als verwerker, in opdracht van de gebruiker of organisatie
Agenda (alleen als je die koppelt): afspraken met titel, tijden en genodigden (naam en e-mailadres), versleutelde toegangssleutels	Een opname aan een afspraak koppelen, de titel overnemen en sprekers voorstellen	Uitvoering van de overeenkomst; je kunt de koppeling altijd verbreken
Delen: met wie je een vergadering deelt en wanneer	Leestoegang geven en de ontvanger een e-mail sturen	Als verwerker, in opdracht van de gebruiker
Gekoppelde apps (zoals Claude of ChatGPT via MCP): welke app, welke rechten, sinds wanneer	Die app toegang geven tot je vergaderingen, zolang jij dat wilt	Uitvoering van de overeenkomst
Technische gegevens: inlogsessies met het type apparaat of browser, foutmeldingen, serverlogs	De dienst beveiligen, misbruik voorkomen en fouten oplossen	Gerechtvaardigd belang (een veilige en werkende dienst)
Gebruik: aantallen vergaderingen, opgenomen uren, laatste activiteit (geen inhoud)	De dienst beheren en verbeteren, capaciteit en kosten bewaken, organisaties hun gebruik laten zien	Gerechtvaardigd belang
Contact: je berichten aan ons	Je vraag beantwoorden	Gerechtvaardigd belang; uitvoering van de overeenkomst

We verkopen je gegevens niet, gebruiken ze niet voor advertenties en maken geen profielen voor marketing.

4. Opnemen, AI en automatische verwerking

Transcriptie. Na een opname sturen we de audio naar ElevenLabs, dat er een transcript met sprekers en tijdstempels van maakt. Je woordenlijst gaat mee, zodat namen en termen goed gespeld worden.
Verslagen, chat en suggesties. Voor verslagen, antwoorden in de chat, titels, tags, sprekers en correcties van je woordenlijst sturen we de benodigde tekst naar Anthropic (Claude). Voor sprekersuggesties gaan daarbij ook namen uit je bibliotheek en de genodigden van een gekoppelde afspraak mee.
Zoeken. Om op betekenis te kunnen zoeken, maken we met OpenAI een wiskundige weergave (embedding) van stukken transcript en verslag.
Geen training. KKX gebruikt je gegevens niet om AI-modellen te trainen, en onze AI-leveranciers doen dat op grond van hun voorwaarden voor zakelijke klanten evenmin.
Geen biometrie. Notulist onderscheidt sprekers aan de hand van het gesprek. We maken geen stemprofielen en herkennen niemand aan zijn stem; we verwerken dus geen biometrische gegevens.
Suggesties, geen besluiten. Voorstellen voor sprekers, tags en correcties worden nooit vanzelf toegepast; jij kiest. Notulist neemt geen besluiten over je die rechtsgevolgen hebben of je anderszins in aanzienlijke mate treffen.
Controleer de uitkomst. Transcripten en verslagen worden automatisch gemaakt en kunnen fouten bevatten.

5. Met wie we gegevens delen

We schakelen deze leveranciers (subverwerkers) in. Met elk van hen hebben we afspraken over de bescherming van je gegevens.

Leverancier	Waarvoor	Waar
Microsoft (Azure)	Hosting, database, opslag van audio	EU (Nederland)
ElevenLabs	Transcriptie	Verenigde Staten
Anthropic	Verslagen, chat en suggesties (Claude)	Verenigde Staten
OpenAI	Embeddings voor zoeken	Verenigde Staten
Lettermint	Versturen van e-mail	EU
Sentry	Foutmeldingen (met alleen een gebruikers-ID, geen inhoud)	EU (Duitsland)

Verder delen we gegevens alleen:

met wie jij kiest: collega’s met wie je een vergadering deelt, de beheerders van je organisatie (die gebruiksaantallen zien en accounts beheren, maar niet de inhoud van je vergaderingen) en apps die je zelf koppelt;
met Microsoft, Google en Apple voor zover jij via hen inlogt of je agenda koppelt; zij zijn daarvoor zelf verantwoordelijk;
als de wet ons daartoe verplicht, bijvoorbeeld op last van een rechter.

Medewerkers van KKX bekijken de inhoud van je vergaderingen niet, tenzij jij daar voor een specifieke supportvraag uitdrukkelijk om vraagt, of als de wet ons daartoe verplicht.

6. Doorgifte buiten de Europese Economische Ruimte

ElevenLabs, Anthropic en OpenAI verwerken gegevens in de Verenigde Staten. Die doorgifte vindt plaats op basis van het EU-VS-gegevensprivacykader (Data Privacy Framework), voor zover de leverancier daaronder is gecertificeerd, en anders op basis van de standaardcontractbepalingen van de Europese Commissie met aanvullende maatregelen. Je kunt via ons een kopie van die waarborgen opvragen.

7. Hoe lang we gegevens bewaren

Gegevens	Bewaartermijn
Account en vergaderinhoud	Zolang je account bestaat. Je kunt vergaderingen, verslagen en personen altijd zelf verwijderen.
Na verwijderen van je account	Je account wordt direct geblokkeerd en na 7 dagen definitief verwijderd. Back-ups en verwijderde audio verdwijnen uiterlijk 14 dagen later.
Onafgemaakte opnames die nooit zijn afgerond	30 dagen; daarna houden we 1 jaar een kenmerk bij, zodat je app weet dat de opname opnieuw moet worden geüpload
Downloadlink van een data-export	7 dagen
Inlogsessies	Maximaal 90 dagen; verlopen sessies verwijderen we na 7 dagen
Auditlog van een organisatie	1 jaar
Serverlogs	30 dagen
Foutmeldingen (Sentry)	Maximaal 90 dagen
Bij onze AI-leveranciers	Alleen zo lang als nodig om de verwerking uit te voeren en misbruik te controleren, bij Anthropic en OpenAI maximaal 30 dagen
Contact met ons	Zolang nodig om je vraag af te handelen, en daarna maximaal 2 jaar

Langer bewaren we gegevens alleen als de wet dat eist, bijvoorbeeld de fiscale bewaarplicht van 7 jaar voor facturen zodra er betaalde abonnementen zijn.

8. Beveiliging

We nemen passende technische en organisatorische maatregelen. Onder meer:

alle verbindingen zijn versleuteld (TLS), en gegevens worden versleuteld opgeslagen;
je logt in via Microsoft, Google of Apple; we bewaren geen wachtwoorden;
inlog- en toegangssleutels slaan we alleen gehasht of versleuteld op, en sessies zijn kortlevend en roteren;
hosting en opslag staan in de EU, met back-ups waarmee we tot 14 dagen terug kunnen herstellen;
toegang tot productiesystemen is beperkt tot de medewerkers die die nodig hebben.

Vermoed je een beveiligingsprobleem? Laat het ons weten via hello@notulist.io.

9. Je rechten

Je hebt het recht op inzage, correctie en verwijdering van je gegevens, op beperking van de verwerking, op overdraagbaarheid en om bezwaar te maken tegen verwerking op basis van gerechtvaardigd belang. Veel kun je zelf in de app:

in Instellingen download je op elk moment al je gegevens als zip, inclusief audio;
in Instellingen verwijder je je account (met 7 dagen bedenktijd);
vergaderingen, verslagen, personen en tags pas je aan of verwijder je zelf.

Voor andere verzoeken mail je hello@notulist.io. We reageren binnen een maand. Gaat het om de inhoud van een vergadering waarvoor iemand anders verantwoordelijk is, dan sturen we je verzoek door of helpen we die partij het af te handelen.

Ben je het niet eens met hoe we met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens of de toezichthouder in je eigen land. We horen het graag eerst zelf, dan lossen we het samen op.

10. Cookies en lokale opslag

Website (notulist.io): alleen een functionele cookie site_lang als je zelf een taal kiest. Geen analytische, tracking- of advertentiecookies, en we laden niets van derden.
Webapp: alleen noodzakelijke cookies voor je inlogsessie, je taal en de beveiliging van het inloggen. Opnames worden tijdens het opnemen tijdelijk in je browser bewaard, zodat er bij een crash niets verloren gaat.
Apps: opnames staan op je apparaat tot ze zijn geüpload. De apps vragen toegang tot je microfoon; de Mac-app ook tot de audio van belprogramma’s. De Mac-app ziet lokaal welk programma je microfoon gebruikt om een call te herkennen; die informatie verlaat je Mac niet.

11. Google-gebruikersgegevens

Als je je Google-agenda koppelt, vraagt Notulist alleen leesrechten (calendar.readonly). We gebruiken de agendagegevens alleen om opnames aan afspraken te koppelen, titels over te nemen en sprekers voor te stellen uit de genodigden. Voor die sprekersuggesties gaan namen en e-mailadressen van genodigden naar Anthropic, uitsluitend om die functie te leveren. We maken, wijzigen of verwijderen geen afspraken, gebruiken de gegevens niet voor advertenties en niet om AI-modellen te trainen, en medewerkers lezen ze niet zonder jouw uitdrukkelijke toestemming.

Het gebruik en de doorgifte van gegevens die Notulist via Google-API’s ontvangt, voldoen aan het Google API Services User Data Policy, inclusief de eisen voor beperkt gebruik (Limited Use). Je kunt de toegang altijd intrekken in Notulist of in je Google-account.

Inloggen met Google, Microsoft of Apple geeft ons alleen je naam, e-mailadres en een vaste account-ID.

12. Leeftijd

Notulist is bedoeld voor mensen van 16 jaar en ouder. We verwerken niet bewust gegevens van jongere kinderen als gebruiker.

13. Wijzigingen

We passen deze verklaring aan als de dienst of de wet verandert. Bij belangrijke wijzigingen laten we het je vooraf weten per e-mail of in de app. De datum bovenaan laat zien wanneer de tekst voor het laatst is gewijzigd.

Terug naar de homepage English