Privacyverklaring Zogezegd

Laatst bijgewerkt: 8 november 2026

Zogezegd is een iPhone-app en een webpagina, mijn.zogezegd.com, waarmee je een gesprek opneemt en er een transcript en een verslag van laat maken. Hier lees je welke gegevens daarbij ontstaan, waar ze staan, wie erbij kan en hoe lang ze blijven. Deze verklaring gaat alleen over Zogezegd. Voor de Windows-app Zogezegd geldt talktotype.com/privacy.

In het kort

Versleuteld voordat het de deur uitgaat. Je telefoon of browser versleutelt de opname, met een eigen sleutel per opname. Onze opslag bij Cloudflare bewaart alleen versleutelde bestanden en kan ze niet openen.
Kort leesbaar om te verwerken, in de EU. Voor het transcript en het verslag opent onze verwerkingsdienst bij Google Cloud in Nederland de opname in het werkgeheugen. Taalmodellen van Google in de EU horen dan wat er gezegd is. De verwerkingsdienst slaat niets op.
Daarna staat de sleutel niet meer op de server. Het resultaat gaat versleuteld terug en de server gooit de sleutel weg. Openen kan dan op je telefoon en op computers die je zelf koppelt. Een oude stand van de database kan de sleutel nog tot 30 dagen bevatten, zie Wissen.
Namen. Namen en titels die je zelf invult, staan niet leesbaar op de server. Namen die in het gesprek worden uitgesproken, horen bij de opname en gaan wel mee naar het taalmodel.
Geen account. Geen naam, e-mailadres of wachtwoord. Geen advertenties, geen analytics, geen tracking.
Bewaren. Standaard blijven audio en resultaat 30 dagen versleuteld op de server, zodat je kunt terugluisteren. Je kunt een gesprek altijd eerder wissen. Een school kan andere termijnen kiezen.
Scholen. Neem je op voor een school, dan bepaalt de school waarvoor dat gebeurt, en verwerken wij de opnames in opdracht van de school.

Wie wij zijn

Zogezegd is van Laurens van Leer B.V., een besloten vennootschap in Nederland.

Laurens van Leer B.V.
Diefdijk 23, 4145 MJ Schoonrewoerd, Nederland
info@talktotype.com

Wie er verantwoordelijk is

Dat hangt af van hoe je de app gebruikt.

Persoonlijk

Begin je in de app zonder koppelcode, dan krijg je een eigen plek onder "Persoonlijk". Laurens van Leer B.V. is dan verwerkingsverantwoordelijke voor de gegevens in deze verklaring.

Via een school of andere organisatie

Heb je je telefoon gekoppeld met een koppelcode van je school, dan bepaalt de school waarvoor er wordt opgenomen: welke soorten gesprekken, welke tekst je ziet voordat je opneemt, hoe lang alles blijft staan en wie een plek krijgt. De school is dan verwerkingsverantwoordelijke. Wij richten de omgeving voor de school in en verwerken de opnames in haar opdracht, zoals in deze verklaring staat. De school kan de inhoud van je gesprekken niet lezen: ze ziet wie een plek heeft en hoeveel minuten die gebruikt, en ze kan een plek blokkeren en de gegevens op afstand laten wissen.

Heb je een vraag over zo'n opname, of wil je iets laten inzien of wissen, ga dan eerst naar de school. Wij helpen de school daarbij. Opnames van voordat je telefoon aan de school werd gekoppeld, blijven onder Persoonlijk vallen, met de termijnen die daar gelden.

Welke gegevens er zijn

Het gesprek zelf

De audio, en wat daaruit komt: het transcript, het verslag of de samenvatting, de momenten die je als belangrijk markeerde, voorstellen voor de namen van sprekers en de titel. Dit is de inhoud. Op de server staat die alleen versleuteld, op een manier die wij niet kunnen openen.

Wat de server wel kan zien

Om de dienst te laten werken, houdt de server gegevens bij die geen inhoud zijn:

een willekeurig toestelnummer en de publieke sleutel waarmee je telefoon zich aanmeldt, wanneer het toestel begon en wanneer het voor het laatst contact had;
per opname: een willekeurig nummer, de soort gesprek (bijvoorbeeld "Oudergesprek"), begin, einde en duur, hoeveel stukken audio er zijn en hoe groot, of de verwerking loopt, klaar is of mislukte, en of de audio er nog is;
hoeveel minuten er deze maand zijn opgenomen, voor de limiet;
per gekoppelde computer: een grove omschrijving zoals "Chrome op Windows", en wanneer hij is gekoppeld en voor het laatst gebruikt;
een logboek per organisatie, met gebeurtenissen zoals "toestel gekoppeld", "computer gekoppeld" of "toestel ingetrokken";
bij een school: de naam van je plek zoals de school die opgeeft, bijvoorbeeld je eigen naam, en je mailadres om je uit te nodigen. Die staan versleuteld in de database, maar wij kunnen ze lezen, want we hebben ze nodig voor het beheer. Onder Persoonlijk heet je plek alleen "Toestel" met een nummer.

Je IP-adres

Om misbruik tegen te gaan, telt de server hoe vaak er vanaf hetzelfde IP-adres een nieuw toestel begint of wordt ingelogd. Dat telt per minuut, en het IP-adres komt niet in onze database. Cloudflare ziet je IP-adres wel, zoals elke partij die een website doorgeeft, en kan het in technische logboeken bijhouden.

Wat we niet verzamelen

Geen naam, e-mailadres, telefoonnummer of wachtwoord: er is geen account. Je telefoon meldt zich aan met een sleutelpaar dat de app zelf maakt.
Geen advertenties, geen analytics en geen trackers, in de app en op de webpagina. De webpagina laadt geen scripts of lettertypen van andere partijen.
Geen locatie, contacten of foto's. De app vraagt alleen om de microfoon, om de camera voor het scannen van een QR-code en om spraakherkenning voor de live tekst.

Hoe een opname wordt verwerkt

Op je telefoon

De app neemt op in stukken van een minuut en versleutelt elk stuk (AES-256) voordat het op de telefoon wordt opgeslagen. Elke opname heeft een eigen willekeurige sleutel. Die staat in de iOS-sleutelhanger, alleen op dit toestel: hij gaat niet mee in een iCloud-back-up en niet naar een andere telefoon. Komen de versleutelde bestanden in een back-up van je iPhone terecht, dan zijn ze daar niet te lezen.

Leesbare audio komt niet op de telefoon te staan, met één uitzondering: tijdens het terugluisteren staat de minuut die je hoort kort als tijdelijk bestand op de telefoon. Deel je een verslag als Word-bestand, dan maakt de app dat bestand tijdelijk aan. Waar het daarna heen gaat, kies je zelf.

Live tekst

De tekst die je tijdens het opnemen ziet, maakt de spraakherkenning van Apple op de telefoon zelf. De app eist dat dit op het toestel gebeurt, dus er gaat geen audio naar Apple. Kan je telefoon dat niet, dan is er geen live tekst. De live tekst wordt niet bewaard.

Naar de server

De versleutelde stukken gaan over een beveiligde verbinding naar onze server bij Cloudflare, ook al tijdens het opnemen. De sleutel van de opname gaat mee, maar alleen versleuteld voor een sleutel in een hardwarekluis van Google Cloud KMS in Nederland. De app kent die kluissleutel vooraf. Cloudflare kan de sleutel van de opname niet openen. De kluissleutel zelf verlaat de kluis nooit, en elke keer dat er iets mee wordt geopend, komt in een auditlog bij Google.

Verwerken

Is de opname compleet, dan zet de server een opdracht klaar voor onze verwerkingsdienst. Die draait bij Google Cloud Run in de regio europe-west4, in Nederland. De dienst laat de sleutel openen door de kluis, ontsleutelt de audio in het werkgeheugen en maakt dan:

het transcript, met een spraakmodel van Google (Gemini, via Vertex AI);
de herkenning van wie wanneer spreekt, met een model dat in onze eigen dienst draait;
het verslag, met een taalmodel van Google (Gemini, via Vertex AI).

Vertex AI wordt aangeroepen op de EU-locatie van Google, en de dienst weigert locaties buiten de EU. Volgens de voorwaarden van Google Cloud gebruikt Google deze gegevens niet om zijn modellen te trainen.

Het resultaat versleutelt de dienst met een sleutel die van de sleutel van de opname is afgeleid, en levert het af bij de server. De dienst bewaart niets: de audio staat alleen in het werkgeheugen, tijdelijke bestanden en sleutels worden na afloop gewist, en in de logboeken staan alleen het nummer van de opname, de stap, de duur en een eventuele foutcode. Nooit tekst, namen of titels.

Daarna

Zodra het resultaat binnen is, gooit de server de versleutelde sleutel van de opname weg. De audio gaat dan ook weg, of blijft versleuteld staan om terug te luisteren als dat zo is ingesteld (onder Persoonlijk 30 dagen). Vanaf dat moment staat er op de server geen sleutel meer om audio of resultaat te openen. Je telefoon heeft de sleutel nog, en computers die je koppelt krijgen hem van je telefoon.

Vraag je later een nieuwe samenvatting of een ander format, dan stuurt je telefoon of computer de sleutel opnieuw mee, weer versleuteld voor de kluis, en gebeurt hetzelfde met het bestaande transcript. Daar is geen audio voor nodig.

Namen

De verwerkingsdienst noemt sprekers "Spreker 1", "Spreker 2", enzovoort. Je telefoon zet daar de namen in die jij kiest. Die namen, en ook titels en mapnamen die je invult, worden versleuteld met een accountsleutel die alleen op je telefoon en op je gekoppelde computers staat. De server kan ze niet lezen.

Namen die in het gesprek zelf worden uitgesproken, horen bij de audio en het transcript. Het taalmodel hoort ze dus, en kan ze voorstellen als naam van een spreker, bijvoorbeeld als iemand zich voorstelt. Ook die voorstellen staan alleen versleuteld op de server.

Op je computer

Op mijn.zogezegd.com lees je je gesprekken op een computer, zonder account. Je koppelt de computer door met je telefoon een QR-code te scannen en een controlecode te vergelijken. Je telefoon geeft de accountsleutel dan versleuteld door aan die browser. De server geeft hem door, maar kan hem niet openen.

De browser bewaart de accountsleutel zo dat hij er niet uit te halen is. Wat de pagina ontsleutelt, staat alleen in het geheugen van het tabblad.
Een cookie houdt de computer gekoppeld, 30 dagen lang, en die termijn schuift op zolang je hem gebruikt. Dat is een noodzakelijke cookie: hij zegt alleen dat deze computer bij jouw telefoon hoort. Verder staat in de browseropslag alleen je taalkeuze.
Ontkoppelen kan op de telefoon onder Instellingen, of met Uitloggen op de computer.
Neem je in de browser op of upload je een bestand, dan versleutelt de browser de audio op dezelfde manier als de telefoon, voordat die de deur uitgaat. In de browser is er geen live tekst.
Op mijn.zogezegd.com/lees open je één verslag op een computer zonder te koppelen. Het gaat versleuteld van je telefoon naar dat tabblad, de server wist het zodra het is opgehaald, en sluit je het tabblad, dan is het weg.

Net als bij elke webpagina vertrouw je daarbij op de code die de pagina laadt. Wie onze server zou overnemen, zou andere code kunnen sturen die wel meeleest. Daarom laadt de pagina niets van andere partijen, en zie je op je telefoon welke computers gekoppeld zijn.

Partijen die we inschakelen

Deze partijen verwerken gegevens voor Zogezegd, alleen om de dienst te leveren.

Cloudflare: De webpagina, de server, de database (D1) en de opslag (R2). De opslag staat onder de EU-jurisdictie van Cloudflare: de bestanden blijven in de EU. De database staat in West-Europa, maar is niet vast aan de EU gebonden. Cloudflare heeft versleutelde bestanden en sleutels, de gegevens onder "Wat de server wel kan zien", en ziet als netwerk je IP-adres.
Google Cloud: De verwerkingsdienst (Cloud Run, europe-west4, Nederland), de sleutelkluis (Cloud KMS, europe-west4) en de taalmodellen (Vertex AI, EU-locatie). Google ziet de inhoud van een gesprek terwijl het wordt verwerkt.
Expo: App-updates. Bij het opstarten vraagt de app bij Expo (expo.dev) of er een nieuwe versie van de app-code is. Expo ziet daarbij je IP-adres, de versie van de app, dat het om een iPhone gaat en een willekeurig installatienummer. Geen opnames en geen andere inhoud.
AhaSend: Verstuurt de uitnodigingsmails voor een school: je naam, je mailadres en de link om je aan te melden. Niet de inhoud van je gesprekken.
Apple: Levert de app, via de App Store of TestFlight. Wat Apple daarbij verwerkt, valt onder het privacybeleid van Apple. Voor de live tekst gaat er niets naar Apple.

Buiten de EU

Cloudflare, Google en Expo zijn Amerikaanse bedrijven. Opslag en verwerking van de inhoud gebeuren in de EU, zoals hierboven staat, maar deze bedrijven vallen ook onder Amerikaans recht. Komen er persoonsgegevens buiten de Europese Economische Ruimte, zoals je IP-adres bij Expo, dan gebeurt dat op basis van de standaardcontractbepalingen van de Europese Commissie of het EU-VS Data Privacy Framework, afhankelijk van de partij.

Hoe lang we bewaren

Dit zijn de termijnen onder Persoonlijk. Een school kiest haar eigen termijnen, met als grens 90 dagen op de server en 365 dagen op de telefoon.

Audio op de server: Tot 30 dagen na het resultaat, versleuteld, om terug te luisteren. Zet een school terugluisteren uit, dan gaat de audio weg zodra het resultaat binnen is. Mislukt de verwerking: 7 dagen. Een opname die nooit is afgemaakt: 14 dagen na het laatste stuk.
Transcript en verslag op de server: 30 dagen na het laatste resultaat. Vraag je een nieuwe samenvatting, dan begint die termijn opnieuw. Daarna gaat alles van het gesprek weg, ook de versie voor je computers.
Sleutel van een opname op de server: Tot het resultaat binnen is of de verwerking mislukt. Komt de verwerking binnen 24 uur niet op gang, dan mislukt de opname en gaat de sleutel ook weg.
Op je telefoon: 30 dagen na het einde van de opname, en pas als die verwerkt is. Wat nog onderweg is, blijft staan.
Verslag voor één computer (/lees): Weg zodra de computer het heeft opgehaald, en anders binnen een kwartier.
Gekoppelde computer: 30 dagen na het laatste gebruik.
Toestel zonder opnames: Onder Persoonlijk: weg na 30 dagen zonder contact.
Dat er een opname was: Na het wissen blijft een korte regel staan: de soort, de tijden en de duur, zonder inhoud. Die is nodig voor het verbruik. Ook het logboek van de organisatie blijft staan. Voor deze twee is nog geen vaste eindtermijn.

Wissen, en wat een back-up nog kan

Een gesprek wissen in de app of op je computer: op de server gaan audio, resultaat, de versie voor je computers en de sleutel meteen weg. Op je telefoon gaat de sleutel uit de sleutelhanger, en zonder die sleutel zijn de bestanden niet meer te lezen.
Telefoon ontkoppelen onder Instellingen: de app vraagt de server alle gesprekken van deze telefoon te wissen, en wist daarna alles op de telefoon.
De app verwijderen: iOS haalt de bestanden van de app weg. Wat op de server staat, verdwijnt dan volgens de termijnen hierboven. Wil je dat eerder, wis dan eerst je gesprekken of ontkoppel de telefoon.
Intrekken door de school: de server weigert het toestel meteen. Vanaf 24 uur later wist de app de gesprekken op de telefoon, ook die van voor het koppelen, zodra die weer contact heeft.

Wat een back-up nog kan

Wissen op de server is niet in alle gevallen meteen onherroepelijk. Cloudflare kan onze database tot 30 dagen terugzetten, en in zo'n oude stand kan de versleutelde sleutel van een opname nog staan. Wie zo'n oude stand terugzet en ook bij onze sleutelkluis bij Google kan, kan openen wat op dat moment nog in de opslag staat, zoals audio die bewaard wordt om terug te luisteren. Wat al uit de opslag is gewist, komt daarmee niet terug.

Ook een sleutel in de kluis van Google is na vernietigen standaard nog 30 dagen te herstellen. We werken aan een nieuwe kluissleutel per periode, die daarna wordt vernietigd. Een termijn waarna ook een back-up gegarandeerd niets meer kan openen, beloven we pas als we dat hebben getest.

Op welke grond

Persoonlijk: we verwerken je gegevens om de dienst te leveren waar je om vraagt: opnemen, uitschrijven, een verslag maken en het bewaren zolang hierboven staat. Dat is de uitvoering van de overeenkomst met jou. Misbruik tegengaan, zoals de telling per IP-adres en het logboek, en de app bijwerken doen we op grond van ons gerechtvaardigd belang.

Via een school: de school bepaalt de grondslag en vertelt je die.

Je neemt ook anderen op. Vertel de aanwezigen vooraf dat je opneemt; de app herinnert je daaraan. Jij beslist wat je opneemt en met wie je het verslag deelt.

Beveiliging

Versleuteling met willekeurige sleutels (AES-256-GCM) op de telefoon en in de browser, voordat iets de deur uitgaat.
Alleen beveiligde verbindingen (HTTPS, met HSTS).
De webpagina laadt geen code van andere partijen en kan niet in een andere website worden ingebed.
Telefoons melden zich aan met een eigen sleutelpaar, zonder wachtwoord. Ons beheerscherm opent alleen met een passkey.
Geen inhoud, namen of titels in logboeken.

Je rechten

Je hebt het recht je gegevens in te zien, te laten verbeteren of wissen, de verwerking te laten beperken, bezwaar te maken en je gegevens mee te nemen. Ben je het niet eens met hoe we met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Veel kun je zelf: een gesprek wissen, een computer ontkoppelen of de telefoon ontkoppelen. Voor de rest mail je naar info@talktotype.com. De inhoud van je gesprekken kunnen wij niet lezen; die heb je zelf, op je telefoon. Inzage bij ons gaat dus over de gegevens onder "Wat de server wel kan zien". We hebben geen naam of e-mailadres van je, dus we vragen je te helpen aanwijzen welk toestel van jou is. Gebruik je de app via een school, ga dan eerst naar de school.

Kinderen en gevoelige gesprekken

De app is bedoeld voor volwassenen, zoals leerkrachten en andere professionals, en niet voor kinderen onder de 16. Gesprekken kunnen wel over kinderen gaan, of over gezondheid of de thuissituatie. Wees daar terughoudend mee. Bij een school bepaalt de school per soort gesprek of opnemen mag.

Wijzigingen en contact

Verandert er iets wezenlijks, dan passen we deze pagina aan en zetten we de datum bovenaan bij.

Vragen, verzoeken of een beveiligingsprobleem melden: Laurens van Leer B.V., Diefdijk 23, 4145 MJ Schoonrewoerd, Nederland, info@talktotype.com.

Privacy policy Zogezegd

Last updated: 8 November 2026

Zogezegd is an iPhone app and a web page, mijn.zogezegd.com, for recording a conversation and getting a transcript and a summary of it. This page explains what data that creates, where it is kept, who can access it and for how long. It covers Zogezegd only. For the Zogezegd Windows app, see talktotype.com/privacy.

In short

Encrypted before it leaves your device. Your phone or browser encrypts the recording, with a separate key for each recording. Our storage at Cloudflare holds only encrypted files and cannot open them.
Briefly readable for processing, in the EU. To make the transcript and the summary, our processing service at Google Cloud in the Netherlands opens the recording in working memory. Google language models in the EU then hear what was said. The processing service stores nothing.
Afterwards, the key is no longer on the server. The result goes back encrypted and the server throws the key away. From then on it can be opened on your phone and on computers you link yourself. An old copy of the database may still contain the key for up to 30 days, see Deleting.
Names. Names and titles you type yourself are not readable on the server. Names spoken during the conversation are part of the recording and do go to the language model.
No account. No name, email address or password. No advertising, no analytics, no tracking.
Retention. By default, audio and result stay encrypted on the server for 30 days so you can listen back. You can always delete a conversation sooner. A school can choose other periods.
Schools. If you record for a school, the school decides what the recordings are for, and we process them on the school's behalf.

Who we are

Zogezegd is operated by Laurens van Leer B.V., a private limited company in the Netherlands.

Laurens van Leer B.V.
Diefdijk 23, 4145 MJ Schoonrewoerd, Netherlands
info@talktotype.com

Who is responsible

That depends on how you use the app.

Personal

If you start in the app without a link code, you get your own place under "Personal". Laurens van Leer B.V. is then the controller for the data described here.

Through a school or other organisation

If you linked your phone with a link code from your school, the school decides what is recorded and why: which kinds of conversation, which text you see before you record, how long everything is kept and who gets a place. The school is then the controller. We set up the environment for the school and process the recordings on its behalf, as described on this page. The school cannot read the content of your conversations: it can see who has a place and how many minutes that place uses, and it can block a place and have its data deleted remotely.

If you have a question about such a recording, or want to see or delete something, go to the school first. We help the school with that. Recordings made before your phone was linked to the school stay under Personal, with the periods that apply there.

What data there is

The conversation itself

The audio, and what comes out of it: the transcript, the summary, the moments you marked as important, suggestions for speaker names and the title. This is the content. On the server it is stored only in encrypted form, in a way we cannot open.

What the server can see

To make the service work, the server keeps data that is not content:

a random device number and the public key your phone signs in with, when the device started and when it was last in contact;
for each recording: a random number, the kind of conversation (for example "Parent-teacher meeting"), start, end and duration, how many pieces of audio there are and their size, whether processing is running, finished or failed, and whether the audio is still there;
how many minutes were recorded this month, for the limit;
for each linked computer: a rough description such as "Chrome on Windows", and when it was linked and last used;
a log for each organisation, with events such as "device linked", "computer linked" or "device revoked";
for a school: the name of your place as the school gives it, for example your own name, and your email address to invite you. These are encrypted in the database, but we can read them, because we need them to manage the environment. Under Personal, your place is just called "Device" with a number.

Your IP address

To prevent abuse, the server counts how often a new device starts or signs in from the same IP address. It counts per minute, and the IP address does not go into our database. Cloudflare does see your IP address, like any service that delivers a website, and may keep it in technical logs.

What we do not collect

No name, email address, phone number or password: there is no account. Your phone signs in with a key pair the app creates itself.
No advertising, no analytics and no trackers, in the app or on the web page. The web page loads no scripts or fonts from other parties.
No location, contacts or photos. The app only asks for the microphone, the camera to scan a QR code, and speech recognition for the live text.

How a recording is processed

On your phone

The app records in pieces of one minute and encrypts each piece (AES-256) before it is saved on the phone. Each recording has its own random key. It is kept in the iOS keychain, on this device only: it is not included in an iCloud backup and does not move to another phone. If the encrypted files end up in a backup of your iPhone, they cannot be read there.

No readable audio is stored on the phone, with one exception: while you listen back, the minute you are hearing is briefly stored as a temporary file. If you share a summary as a Word file, the app creates that file temporarily. Where it goes after that is up to you.

Live text

The text you see while recording is produced by Apple's speech recognition on the phone itself. The app requires this to happen on the device, so no audio goes to Apple. If your phone cannot do that, there is no live text. The live text is not stored.

To the server

The encrypted pieces go over a secure connection to our server at Cloudflare, already during the recording. The key of the recording goes along, but only encrypted for a key in a hardware vault in Google Cloud KMS in the Netherlands. The app knows that vault key in advance. Cloudflare cannot open the recording key. The vault key itself never leaves the vault, and every time something is opened with it, this is recorded in an audit log at Google.

Processing

When the recording is complete, the server prepares a job for our processing service. It runs on Google Cloud Run in the europe-west4 region, in the Netherlands. The service has the vault open the key, decrypts the audio in working memory and then makes:

the transcript, with a Google speech model (Gemini, through Vertex AI);
the recognition of who speaks when, with a model that runs inside our own service;
the summary, with a Google language model (Gemini, through Vertex AI).

Vertex AI is called at Google's EU location, and the service refuses locations outside the EU. Under the Google Cloud terms, Google does not use this data to train its models.

The service encrypts the result with a key derived from the recording key, and delivers it to the server. The service stores nothing: the audio exists only in working memory, temporary files and keys are wiped afterwards, and the logs contain only the recording number, the step, the duration and any error code. Never text, names or titles.

Afterwards

As soon as the result is in, the server throws away the encrypted recording key. The audio is then deleted too, or stays encrypted so you can listen back if that is set up (30 days under Personal). From that moment, the server has no key to open the audio or the result. Your phone still has the key, and computers you link get it from your phone.

If you later ask for a new summary or a different format, your phone or computer sends the key along again, encrypted for the vault once more, and the same happens with the existing transcript. No audio is needed for that.

Names

The processing service calls speakers "Speaker 1", "Speaker 2" and so on. Your phone fills in the names you choose. Those names, and titles and folder names you type, are encrypted with an account key that exists only on your phone and your linked computers. The server cannot read them.

Names spoken in the conversation itself are part of the audio and the transcript. The language model therefore hears them, and may suggest them as a speaker's name, for example when someone introduces themselves. Those suggestions are also stored only in encrypted form on the server.

On your computer

At mijn.zogezegd.com you can read your conversations on a computer, without an account. You link the computer by scanning a QR code with your phone and comparing a check code. Your phone then passes the account key, encrypted, to that browser. The server passes it on but cannot open it.

The browser keeps the account key in a way that it cannot be taken out. Whatever the page decrypts exists only in the memory of the tab.
A cookie keeps the computer linked, for 30 days, and that period moves on as long as you use it. It is a strictly necessary cookie: it only says that this computer belongs to your phone. Otherwise, browser storage holds only your language choice.
You can unlink on your phone under Settings, or with Log out on the computer.
If you record in the browser or upload a file, the browser encrypts the audio the same way as the phone, before it leaves. There is no live text in the browser.
At mijn.zogezegd.com/lees you open a single summary on a computer without linking. It goes encrypted from your phone to that tab, the server deletes it as soon as it has been collected, and when you close the tab, it is gone.

As with any web page, you rely on the code the page loads. Someone who took over our server could send different code that does read along. That is why the page loads nothing from other parties, and why your phone shows which computers are linked.

Services we use

These services process data for Zogezegd, only to provide the service.

Cloudflare: The web page, the server, the database (D1) and the storage (R2). The storage is under Cloudflare's EU jurisdiction: the files stay in the EU. The database is located in Western Europe, but is not bound to the EU. Cloudflare holds encrypted files and keys, the data under "What the server can see", and sees your IP address as a network.
Google Cloud: The processing service (Cloud Run, europe-west4, Netherlands), the key vault (Cloud KMS, europe-west4) and the language models (Vertex AI, EU location). Google sees the content of a conversation while it is being processed.
Expo: App updates. When it starts, the app asks Expo (expo.dev) whether there is a new version of the app code. Expo sees your IP address, the app version, that it is an iPhone, and a random installation number. No recordings and no other content.
AhaSend: Sends the invitation emails for a school: your name, your email address and the link to sign up. Not the content of your conversations.
Apple: Delivers the app, through the App Store or TestFlight. What Apple processes for that falls under Apple's privacy policy. Nothing goes to Apple for the live text.

Outside the EU

Cloudflare, Google and Expo are American companies. Storage and processing of the content take place in the EU, as described above, but these companies are also subject to US law. Where personal data leaves the European Economic Area, such as your IP address at Expo, this is based on the European Commission's Standard Contractual Clauses or the EU-US Data Privacy Framework, depending on the service.

How long we keep data

These are the periods under Personal. A school chooses its own periods, up to 90 days on the server and 365 days on the phone.

Audio on the server: Up to 30 days after the result, encrypted, so you can listen back. If a school turns listening back off, the audio is deleted as soon as the result is in. If processing fails: 7 days. A recording that was never finished: 14 days after the last piece.
Transcript and summary on the server: 30 days after the latest result. If you ask for a new summary, that period starts again. After that, everything belonging to the conversation is deleted, including the copy for your computers.
Recording key on the server: Until the result is in or processing fails. If processing has not started within 24 hours, the recording fails and the key is deleted as well.
On your phone: 30 days after the end of the recording, and only once it has been processed. Anything still on its way stays.
Summary for one computer (/lees): Deleted as soon as the computer has collected it, and otherwise within a quarter of an hour.
Linked computer: 30 days after it was last used.
Device without recordings: Under Personal: deleted after 30 days without contact.
That a recording existed: After deletion, a short record remains: the kind, the times and the duration, without content. It is needed for usage. The organisation's log also remains. There is no fixed end date for these two yet.

Deleting, and what a backup can still do

Deleting a conversation in the app or on your computer: on the server, audio, result, the copy for your computers and the key are deleted straight away. On your phone, the key is removed from the keychain, and without it the files can no longer be read.
Unlinking the phone under Settings: the app asks the server to delete all conversations from this phone, and then deletes everything on the phone.
Removing the app: iOS removes the app's files. What is on the server then disappears according to the periods above. If you want that sooner, delete your conversations or unlink the phone first.
Revoked by the school: the server refuses the device straight away. From 24 hours later, the app deletes the conversations on the phone, including those from before linking, as soon as it is back in contact.

What a backup can still do

Deleting on the server is not always immediately irreversible. Cloudflare can restore our database to any point in the past 30 days, and such an old copy may still contain the encrypted key of a recording. Someone who restores such a copy and also has access to our key vault at Google could open whatever is still in storage at that moment, such as audio kept for listening back. Anything already deleted from storage does not come back that way.

A key in Google's vault can also be restored for 30 days after it is destroyed, by default. We are working on a new vault key for each period, destroyed afterwards. We will only promise a period after which even a backup can open nothing, once we have tested it.

Legal basis

Personal: we process your data to provide the service you ask for: recording, transcribing, making a summary and keeping it for the periods above. That is the performance of our agreement with you. Preventing abuse, such as the count per IP address and the log, and updating the app are based on our legitimate interest.

Through a school: the school determines the legal basis and tells you what it is.

You also record other people. Tell those present before you start recording; the app reminds you. You decide what you record and who you share the summary with.

Security

Encryption with random keys (AES-256-GCM) on the phone and in the browser, before anything leaves the device.
Secure connections only (HTTPS, with HSTS).
The web page loads no code from other parties and cannot be embedded in another website.
Phones sign in with their own key pair, without a password. Our management screen opens only with a passkey.
No content, names or titles in logs.

Your rights

You have the right to access your data, to have it corrected or deleted, to restrict processing, to object, and to take your data with you. If you disagree with how we handle your data, you can lodge a complaint with the Dutch Data Protection Authority, the Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Much of this you can do yourself: delete a conversation, unlink a computer or unlink the phone. For anything else, email info@talktotype.com. We cannot read the content of your conversations; you have that yourself, on your phone. Access requests to us are therefore about the data under "What the server can see". We have no name or email address for you, so we will ask you to help identify which device is yours. If you use the app through a school, go to the school first.

Children and sensitive conversations

The app is meant for adults, such as teachers and other professionals, and not for children under 16. Conversations may well be about children, or about health or someone's home situation. Be careful with that. With a school, the school decides for each kind of conversation whether recording is allowed.

Changes and contact

If something material changes, we update this page and the date at the top.

Questions, requests or reporting a security problem: Laurens van Leer B.V., Diefdijk 23, 4145 MJ Schoonrewoerd, Netherlands, info@talktotype.com.