Vertrouwen

Europees advies verdient Europese infrastructuur.

De geheimhoudingsplicht ligt bij het kantoor, niet bij zijn leveranciers. Constat is zo gebouwd dat die plicht niet stilzwijgend wordt uitbesteed aan een verwerker op een ander continent.

Infrastructuur

Verwerking: EU-eigen, van begin tot eind
Taalmodel: Europees (Mistral), zero data retention, afgedwongen in code
Amerikaanse verwerkers: Geen enkele raakt cliënt- of dossiergegevens. De enige niet-EU-dienst is de botcontrole van Cloudflare op het publieke intakeformulier, die een browsercheck ziet en nooit inhoud.
Encryptie: Envelope-encryptie per record, sleutels bij het kantoor
Auditspoor: Hash-geketend, append-only
AVG / DPIA: Uitgevoerd met advocaat en FG

Praktijk

Dataminimalisatie

Geüploade originelen worden na tekstextractie niet bewaard. Het platform bewaart wat het dossier nodig heeft en benoemt wat het bewaart.

Sleutels bij het kantoor

Envelope-encryptie per record betekent dat een record alleen leesbaar is met het sleutelmateriaal van het kantoor, niet met één platformsleutel.

Append-only audit

Elke wezenlijke handeling in een dossier wordt naar een hash-geketend log geschreven. Regels kunnen achteraf niet worden gewijzigd of verwijderd, ook niet door ons.

Modeldiscipline

Zero data retention wordt in code afgedwongen op de integratiegrens, niet aangenomen op basis van een contractbepaling.

Gegevensbescherming

Gebouwd voor geprivilegieerde gegevens. De details.

—Envelopversleuteling per record (AES-256-GCM); de sleutels liggen bij het kantoor, op EU-eigen sleutelinfrastructuur buiten de applicatiecloud.
—DPIA afgerond met de advocaat van dienst en de FG (juli 2026); verwerkingsregister wordt bijgehouden.
—Cliëntgegevens verschijnen nooit in logbestanden; de publieke intake slaat inzendingen verzegeld en versleuteld op.
—Geautomatiseerde bewaartermijnen: vrijgegeven consulten worden na de ingestelde horizon gewist; auditregels behouden hun plaats in de manipulatiebestendige keten, met verwijdering van persoonsaanduidingen.
—Transportbeveiliging van begin tot eind, inclusief certificaat-geverifieerde databaseverbindingen.
—Multi-AZ database met versleutelde back-ups; sleutelverlies- en herstelprocedures zijn geoefend, niet theoretisch.
—Single sign-on (OIDC), autorisatie op bevoegdheid, een afgedwongen strikte content-security-policy, en een WAF met rate limiting en botcontrole op de publieke oppervlakken.
—Sitestatistieken zijn uitsluitend first-party: geaggregeerd uit onze eigen serverlogs met geanonimiseerde IP-adressen. Geen cookies, geen trackers van derden, geen cliëntidentificatoren.
—Vertrekken is een gedocumenteerde route: elk vrijgegeven dossier is als bundel te exporteren naar het eigen documentsysteem van het kantoor; dossiers kunnen vanuit het product worden verwijderd, waarbij de verwijdering zelf in het auditspoor wordt vastgelegd; en geautomatiseerde bewaartermijnen wissen vrijgegeven consulten na de ingestelde horizon. Versleutelde databaseback-ups verlopen op hun eigen vaste termijn.

Wie verwerkt wat

Subverwerkers, eerlijk.

De volledige lijst. Een nieuwe subverwerker wordt hier toegevoegd voordat die iets verwerkt.

Leverancier	Waar	Wat wordt verwerkt
Mistral AI	EU (Frankrijk)	Taalmodelinferentie, zero data retention, afgedwongen in code. Uitsluitend EU-endpoints.
Scaleway	EU (Frankrijk)	Bewaring van de versleutelingssleutels van het kantoor (KEK), op EU-eigen infrastructuur. Ziet sleutels, nooit inhoud.
Amazon Web Services	EU (Frankfurt, eu-central-1)	Applicatiehosting, database en back-ups. Cliëntinhoud staat er uitsluitend versleuteld; de sleutels die haar kunnen openen liggen buiten AWS (gedocumenteerde soevereiniteitsuitzondering).
Cloudflare	VS / wereldwijd	Turnstile-botcontrole uitsluitend op het publieke intakeformulier. Ziet de browsercheck van de bezoeker, nooit dossierinhoud.

Telefonie (bellen vanuit het platform) is in onboarding bij een EU-trunkprovider; die wordt met verwerkersovereenkomst aan deze lijst toegevoegd vóór het eerste live gesprek.

Dekking

Nederlands civiel recht, inclusief het Europese recht dat het beheerst.

De jurisdictie is de Nederlandse civiele praktijk. Europees recht is geen losse toevoeging: waar EU-recht een rechtsgebied beheerst, zit het in hetzelfde geverifieerde corpus en passeert het dezelfde renderpoort.

Nederlandse wetgeving en rechtspraak: Geverifieerd tegen wetten.overheid.nl en rechtspraak.nl, per rechtsgebied, door counsel bekrachtigd.
EU-wetgeving: Verordeningen en richtlijnen die de gedekte rechtsgebieden beheersen (consument, contract, arbeid, onderneming) worden tegen EUR-Lex geverifieerd, precies als een Nederlandse wet.
Rechtspraak van het Hof van Justitie: HvJ-arresten in de gedekte gebieden worden aangehaald en geverifieerd tegen hun EUR-Lex-bron, met dezelfde garantie als een arrest van de Hoge Raad.

Documentatie

Wat wij uw FG kunnen sturen.

DPIA, verwerkersovereenkomst, subverwerkerslijst, beschrijving van encryptie en sleutelbeheer, en de specificatie van het auditlog. Vraag ernaar en wij sturen de actuele set bij de bevestiging van uw demo.

Vraag de documentatie aan

Wat wij nog niet claimen

—Nog geen ISO/IEC 27001-certificering. Die staat op de roadmap voor de fase met meerdere kantoren; de inhoud die het certificaat toetst staat hierboven beschreven en is vandaag te inspecteren.
—Nog geen externe penetratietest. De interne beveiligingsaudit (blokkerende punten opgelost, verslag bewaard) is beschikbaar onder NDA.
—Bellen vanuit het platform is nog niet live; dat start pas nadat de verwerkersovereenkomst van de trunkprovider op deze pagina staat.

Verantwoorde melding

Een kwetsbaarheid gevonden? Meld die aan info@legal2u.ai; wij reageren binnen twee werkdagen. Onderzoek te goeder trouw op de publieke oppervlakken is welkom; benader geen gegevens die niet van u zijn en geef ons redelijke tijd om te herstellen vóór openbaarmaking. Een machineleesbaar contact staat op /.well-known/security.txt.

Constat ondersteunt de zorgvuldigheid van de behandelend advocaat. Het neemt geen beroepsverantwoordelijkheid over en vervangt niet het eigen toezicht en de compliance van het kantoor.