Privacyverklaring LegalPA

Versie 2.1 – Datum laatste wijziging: 18 september 2025

1. Wie zijn wij?

1.1. LegalPA is een handelsnaam van AI Innovations B.V., gevestigd en kantoorhoudende aan Spanjaardslaan 5, 2012 NR Haarlem, Nederland, ingeschreven bij de Kamer van Koophandel onder nummer 89774922.

1.2. LegalPA is verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens, zoals beschreven in deze privacyverklaring, voor zover LegalPA deze gegevens voor eigen doeleinden verwerkt.

1.3. Voor vragen over deze privacyverklaring of de verwerking van persoonsgegevens kan contact worden opgenomen via:

Contactgegevens:
LegalPA / AI Innovations B.V.
Spanjaardslaan 5
2012 NR Haarlem
Nederland
E-mail: info@legalpa.ai
KvK-nummer: 89774922
BTW-nummer: NL865104001B01

2. Wanneer is LegalPA verwerkingsverantwoordelijke en wanneer verwerker?

2.1. LegalPA verwerkt bepaalde persoonsgegevens als zelfstandig verwerkingsverantwoordelijke. Dit betreft in ieder geval persoonsgegevens die noodzakelijk zijn voor het aanbieden, beheren, beveiligen en administreren van de dienstverlening, zoals account-, contact-, abonnements-, facturatie-, betalings-, communicatie-, beveiligings- en gebruiksgegevens.

2.2. Voor persoonsgegevens en andere inhoudelijke gegevens die gebruikers zelf via LegalPA verwerken, bijvoorbeeld in chats, documenten, dossiers, prompts en AI-uitvoer, treedt LegalPA in beginsel op als verwerker namens de betreffende gebruiker of organisatie. De betreffende Gebruiker of Afnemer is dan verwerkingsverantwoordelijke. Op die verwerkingen is de Verwerkersovereenkomst tussen LegalPA als Verwerker en de Gebruiker of Afnemer als Verwerkingsverantwoordelijke van toepassing, inclusief de daarin opgenomen afspraken over onder meer geheimhouding, beveiliging, subverwerkers, doorgiften, bewaring en verwijdering.

3. Welke persoonsgegevens verwerken wij als verwerkingsverantwoordelijke?

Afhankelijk van het gebruik van de Software en Diensten van LegalPA verwerken wij onder meer de volgende persoonsgegevens:

• Naam, organisatie-, functie- en contactgegevens, waaronder e-mailadres en telefoonnummer
• Account- en registratiegegevens
• Inlog-, beveiligings- en loggegevens
• Gegevens over abonnementen en Eindgebruikersbeheer
• Facturatie- en betaalgegevens
• Communicatie met LegalPA, waaronder vragen, klachten en supportverzoeken
• Technische gegevens en metadata over het gebruik van LegalPA, waaronder apparaatgegevens, browsergegevens, foutmeldingen en gebruikslogs
• Gegevens die redelijkerwijs noodzakelijk zijn voor het beveiligen, onderhouden en verbeteren van de dienstverlening, zonder gebruik van inhoudelijke klantdata voor algemene AI-modeltraining

4. Voor welke doeleinden verwerken wij persoonsgegevens?

LegalPA verwerkt persoonsgegevens als zelfstandig verwerkingsverantwoordelijke voor zover noodzakelijk voor:

• Het aanmaken, beheren, verifiëren en beveiligen van accounts
• Het uitvoeren en administreren van abonnementen en overeenkomsten
• Facturatie, betalingsverwerking en debiteurenbeheer
• Communicatie met gebruikers en organisaties
• Het verlenen van klantenservice en technische ondersteuning
• Het beveiligen, onderhouden, verbeteren en technisch laten functioneren van LegalPA
• Het voorkomen, onderzoeken en afhandelen van misbruik, storingen, beveiligingsincidenten en fraude
• Het voldoen aan wettelijke verplichtingen
• Het behandelen van geschillen en het vaststellen, uitoefenen of verdedigen van rechtsvorderingen
• Het analyseren van geaggregeerde en, waar mogelijk, geanonimiseerde gebruiksgegevens ter verbetering van de dienstverlening

LegalPA gebruikt inhoudelijke klantdata, zoals chats, documenten, dossiers, prompts en AI-uitvoer, niet voor eigen marketingdoeleinden of voor het trainen, verbeteren, ontwikkelen of evalueren van algemene AI-modellen.

5. Op welke grondslagen verwerken wij persoonsgegevens?

LegalPA verwerkt persoonsgegevens uitsluitend indien daarvoor een geldige grondslag bestaat. Afhankelijk van de specifieke verwerking is dat:

• De uitvoering van een overeenkomst met de gebruiker of organisatie
• Toestemming, wanneer de verwerking daarop is gebaseerd
• Het voldoen aan een wettelijke verplichting
• Een gerechtvaardigd belang van LegalPA of een derde, bijvoorbeeld beveiliging, fraudepreventie, bedrijfsvoering, het behandelen van geschillen en het verbeteren van de technische werking van de dienstverlening

Wanneer een verwerking op toestemming is gebaseerd, kan deze toestemming te allen tijde worden ingetrokken. De intrekking heeft geen gevolgen voor de rechtmatigheid van de verwerking vóór de intrekking.

6. Inhoudelijke klantdata, AI en anonimisering

6.1. Gebruikers en Eindgebruikers kunnen via de Software en de Diensten van LegalPA gegevens invoeren, uploaden, schrijven of inspreken, bijvoorbeeld in chats, documenten en dossiers. Voor zover deze gegevens persoonsgegevens bevatten, verwerkt LegalPA deze als verwerker namens de betreffende Gebruiker of Afnemer.

6.2. LegalPA gebruikt kunstmatige intelligentie voor onder meer juridische analyse, documentverwerking, het beantwoorden van juridische vragen, het genereren van conceptteksten, zoekfunctionaliteiten en anonimisering.

6.3. De AI-functionaliteiten draaien binnen de beveiligde Europese Microsoft Azure-cloud op servers in Zweden.

6.4. De anonimiseringsfunctie draait binnen de beveiligde Microsoft Azure-omgeving op servers in Nederland, binnen de Europese Unie of de Europese Economische Ruimte. Wanneer een gebruiker de anonimiseringsfunctie voor een document inschakelt, wordt uitsluitend de door deze functie geproduceerde geanonimiseerde versie van dat document gebruikt bij de verwerking door de AI-functionaliteiten. Het oorspronkelijke, niet-geanonimiseerde document wordt in dat geval niet aan de AI-functionaliteiten aangeboden voor analyse, samenvatting of het genereren van uitvoer.

6.5. LegalPA gebruikt persoonsgegevens en overige inhoudelijke klantdata niet voor het trainen, verbeteren, ontwikkelen of evalueren van algemene AI-modellen. Dit geldt ook voor de door LegalPA ingeschakelde subverwerkers en AI-modelaanbieders.

6.6. De anonimiseringsfunctie is een technisch hulpmiddel. De Gebruiker of de Afnemer blijft verantwoordelijk voor de beoordeling of de anonimisering, gelet op de inhoud van het document en het beoogde gebruik, voldoende is. Technische anonimisering biedt geen absolute garantie dat iedere vorm van herleidbaarheid is uitgesloten.

6.7. LegalPA informeert Gebruikers, Afnemers en Eindgebruikers binnen de Software of de bijbehorende documentatie over relevante mogelijkheden, beperkingen en voorzienbare risico’s van de AI-functionaliteiten. AI-uitvoer kan onjuist, onvolledig, verouderd of niet passend voor de concrete situatie zijn en dient altijd professioneel te worden gecontroleerd.

7. Technische ondersteuning en toegang vanuit Kosovo

7.1. LegalPA maakt voor softwareontwikkeling en technische ondersteuning mede gebruik van een extern ontwikkel- en supportteam in Kosovo. Dit team heeft onder normale omstandigheden geen toegang tot inhoudelijke klantdata, waaronder chats, documenten, dossiers, prompts en AI-uitvoer.

7.2. Bij het indienen van een concreet supportverzoek kan een Eindgebruiker door middel van een afzonderlijk, niet vooraf aangevinkt selectievakje uitdrukkelijk ervoor kiezen en autoriseren dat het supportteam toegang krijgt tot de inhoudelijke klantdata die relevant zijn voor dat specifieke supportverzoek. Indien de Eindgebruiker geen autorisatie verleent, kan het supportteam uitsluitend technische gegevens, foutmeldingen en metadata raadplegen die noodzakelijk zijn voor het onderzoeken en afhandelen van het supportverzoek.

Indien de Eindgebruiker wel autorisatie verleent, is de toegang:

• Beperkt tot de gegevens die redelijkerwijs noodzakelijk zijn voor het concrete supportverzoek
• Beperkt tot bijvoorbeeld een opgegeven Chat ID, document of dossieronderdeel
• Tijdgebonden en beëindigd zodra het supportverzoek is afgehandeld of de autorisatie wordt ingetrokken
• Onderworpen aan logging en toegangscontrole

7.3. Het is het supportteam in Kosovo niet toegestaan om inhoudelijke klantdata lokaal op te slaan, te kopiëren, te downloaden, af te drukken of buiten de door LegalPA beheerde beveiligde omgeving te brengen.

7.4. Voor zover toegang door het ontwikkel- en supportteam een doorgifte van persoonsgegevens naar een derde land vormt, treft LegalPA de op grond van de AVG vereiste passende waarborgen. Dit omvat, waar vereist, het gebruik van door de Europese Commissie vastgestelde standaardcontractbepalingen, een beoordeling van de doorgifte en aanvullende technische en organisatorische maatregelen.

De specifieke afspraken over toegang van het ontwikkel- en supportteam en de toepasselijke doorgiftewaarborgen zijn opgenomen in de in artikel 2.2 bedoelde Verwerkersovereenkomst.

8. Met wie delen wij persoonsgegevens?

8.1. LegalPA deelt persoonsgegevens uitsluitend met derden indien dit noodzakelijk is voor de dienstverlening, het voldoen aan een wettelijke verplichting, het beschermen van onze rechten of belangen, of indien daarvoor een andere geldige grondslag bestaat. LegalPA maakt onder meer gebruik van externe dienstverleners voor:

• Cloudhosting en technische infrastructuur
• AI-functionaliteiten
• Anonimisering
• Betalingsverwerking
• Softwareontwikkeling en technische ondersteuning
• Beveiliging, monitoring en communicatie

Voor zover deze partijen persoonsgegevens in onze opdracht verwerken, sluiten wij passende contractuele afspraken over privacy, beveiliging, vertrouwelijkheid en, waar relevant, doorgifte naar derde landen.

8.2. Tot de voor LegalPA relevante technische dienstverleners behoren onder meer Microsoft Azure en, voor AI-functionaliteiten, OpenAI en Anthropic.

Voor de anonimisering maakt LegalPA gebruik van Qwen 2.5, een open-sourcemodel dat binnen de beveiligde Azure-omgeving van LegalPA draait. Voor zover geen gegevens aan de maker van Qwen 2.5 worden verstrekt, is de maker van Qwen 2.5 geen subverwerker.

Voor betalingen en automatische incasso’s kan LegalPA gebruikmaken van externe betaaldienstverleners, waaronder Mollie. Voor zover een betaaldienstverlener zelfstandig verwerkingsverantwoordelijke is, geldt de eigen privacyverklaring van die dienstverlener voor diens verwerking.

Een actuele lijst van subverwerkers en technische dienstverleners is opgenomen in of wordt beschikbaar gesteld in overeenstemming met de genoemde Verwerkersovereenkomst.

9. Verwerking buiten de Europese Economische Ruimte

9.1. De reguliere hosting en verwerking van inhoudelijke klantdata vinden plaats binnen de Europese Unie of de Europese Economische Ruimte. De AI-functionaliteiten draaien op servers in Zweden. De anonimiseringsfunctie draait op servers in Nederland, binnen de Europese Unie of de Europese Economische Ruimte.

9.2. In uitzonderlijke gevallen kan door het genoemde ontwikkel- en supportteam toegang worden verleend tot inhoudelijke klantdata voor een concreet supportverzoek, uitsluitend nadat een Eindgebruiker daarvoor uitdrukkelijk autorisatie heeft gegeven. Zonder die autorisatie is geen toegang tot inhoudelijke klantdata door dat team toegestaan.

Voor zover persoonsgegevens vanuit een land buiten de Europese Economische Ruimte worden verwerkt of toegankelijk worden gemaakt, past LegalPA passende waarborgen toe overeenkomstig de AVG, zoals nader beschreven in artikel 7 van deze privacyverklaring en in de genoemde Verwerkersovereenkomst.

10. Beveiliging

10.1. LegalPA treft passende technische en organisatorische maatregelen om persoonsgegevens en inhoudelijke klantdata te beschermen tegen verlies, onbevoegde toegang, ongeoorloofde wijziging, openbaarmaking en andere onrechtmatige verwerking. Daarbij houdt LegalPA rekening met de aard en omvang van de verwerking, de stand van de techniek, de uitvoeringskosten en de risico’s voor betrokkenen.

10.2. De maatregelen omvatten onder meer:

• Encryptie van gegevens tijdens transport en opslag
• Toegangsbeheer op basis van rollen en minimale noodzakelijke toegang
• Meerfactorauthenticatie voor accounts met bevoorrechte toegang
• Logische scheiding van klantomgevingen
• Logging en monitoring van relevante toegang en beveiligingsgebeurtenissen
• Procedures voor beveiligingsincidenten, back-up en herstel
• Periodieke evaluatie van toegangsrechten en beveiligingsmaatregelen
• Scheiding van ontwikkel-, test- en productieomgevingen

De nadere technische en organisatorische maatregelen zijn opgenomen in de genoemde Verwerkersovereenkomst.

11. Bewaartermijnen

11.1. LegalPA bewaart persoonsgegevens niet langer dan noodzakelijk voor het doel waarvoor deze zijn verzameld, tenzij een langere bewaartermijn noodzakelijk is op grond van een wettelijke verplichting of voor het behandelen van een geschil.

11.2. Voor persoonsgegevens die LegalPA als verwerkingsverantwoordelijke verwerkt, hangt de bewaartermijn af van de categorie persoonsgegevens, de duur van de klantrelatie, wettelijke fiscale en administratieve bewaarplichten, beveiligingsvereisten en de noodzaak om eventuele geschillen te behandelen.

11.3. Voor persoonsgegevens en inhoudelijke klantdata die LegalPA als verwerker namens een gebruiker of organisatie verwerkt, gelden de bewaartermijnen en verwijderingsafspraken uit de genoemde Verwerkersovereenkomst. Na beëindiging van de dienstverlening worden deze gegevens in beginsel binnen drie maanden verwijderd of geanonimiseerd, behoudens wettelijke bewaarplichten en beperkte, tijdelijke bewaring in back-ups voor beveiligings- en hersteldoeleinden.

12. Rechten van betrokkenen

12.1. Voor zover LegalPA verwerkingsverantwoordelijke is, heeft een betrokkene op grond van de AVG onder meer het recht om:

• Inzage te vragen in de persoonsgegevens die wij verwerken
• Onjuiste persoonsgegevens te laten corrigeren
• Persoonsgegevens te laten verwijderen, indien aan de wettelijke voorwaarden is voldaan
• Verwerking te laten beperken
• Bezwaar te maken tegen bepaalde verwerkingen
• Persoonsgegevens over te laten dragen, indien het recht op gegevensoverdraagbaarheid van toepassing is
• Een gegeven toestemming in te trekken
• Een klacht in te dienen bij de Autoriteit Persoonsgegevens

12.2. Een verzoek kan worden ingediend via info@legalpa.ai of de overige contactgegevens in artikel 1. LegalPA kan aanvullende informatie vragen indien dat noodzakelijk is om de identiteit van de verzoeker vast te stellen.

12.3. Wanneer een verzoek betrekking heeft op persoonsgegevens die LegalPA uitsluitend als verwerker namens een gebruiker of organisatie verwerkt, leidt LegalPA het verzoek waar nodig door naar of stemt zij dit af met de betreffende verwerkingsverantwoordelijke.

13. Geautomatiseerde besluitvorming

13.1. LegalPA neemt geen besluiten die uitsluitend zijn gebaseerd op geautomatiseerde verwerking, waaronder profilering, en die rechtsgevolgen voor betrokkenen hebben of hen anderszins in aanmerkelijke mate treffen.

13.2. De AI-functionaliteiten van LegalPA zijn bedoeld als ondersteunend hulpmiddel. De Gebruiker of Afnemer en de Eindgebruikers blijven verantwoordelijk voor professionele beoordeling, verificatie en het uiteindelijke gebruik van AI-uitvoer.

14. Datalekken en incidenten

14.1. Indien LegalPA kennisneemt van een inbreuk in verband met persoonsgegevens die zij als verwerker namens een Gebruiker of een Afnemer verwerkt, stelt LegalPA de betreffende verwerkingsverantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 24 uur na kennisneming daarvan op de hoogte, overeenkomstig de Verwerkersovereenkomst.

14.2. LegalPA onderzoekt beveiligingsincidenten en neemt redelijke maatregelen om de gevolgen daarvan te beperken en herhaling te voorkomen.

15. Klachten

15.1. Wie een vraag of klacht heeft over de verwerking van persoonsgegevens, kan contact opnemen via de contactgegevens in artikel 1.

15.2. Daarnaast bestaat het recht om een klacht in te dienen bij de bevoegde toezichthoudende autoriteit. In Nederland is dit de Autoriteit Persoonsgegevens.

Autoriteit Persoonsgegevens
Postbus 93374
2509 AJ Den Haag
www.autoriteitpersoonsgegevens.nl

16. Wijzigingen

16.1. LegalPA kan deze privacyverklaring van tijd tot tijd wijzigen, bijvoorbeeld wegens wijzigingen in de dienstverlening, de technische infrastructuur, de inzet van subverwerkers of wijzigingen in wet- en regelgeving.

16.2. De meest actuele versie wordt via LegalPA beschikbaar gesteld. Bij wezenlijke wijzigingen, waaronder relevante wijzigingen in verwerkingslocaties, internationale gegevensdoorgiften of de inzet van subverwerkers, informeert LegalPA de betrokken Gebruikers of Afnemers vooraf, voor zover dit redelijkerwijs mogelijk en wettelijk vereist is.