Beoordeeld op 10 september 2026 door WAIMAKERS B.V.

1 Doel

HeyGen verwerkt tekst, afbeeldingen, video, stem en avatargegevens. De privacy-impact hangt af van functie, accounttype, toestemmingsproces en afgebeelde personen. Enterprise-gebruik kan een conditionele bedrijfsroute zijn nadat contractuele en biometrische beheersmaatregelen zijn ingericht; consumentenplannen zijn geen no-trainingwerkomgeving.

2 Vergelijking van HeyGen-privacycontrols (EU-focus)

Onderwerp	Actuele leveranciersdocumentatie	Inkoopimplicatie
Training	HeyGens privacybeleid zegt dat gebruikersinvoer kan worden gebruikt voor training en verbetering en biedt een e-mailopt-out. De Enterprise-pagina zegt dat Enterprise-inhoud niet wordt getraind.	Leg no-training vast in orderformulier/DPA en vertrouw niet alleen op een plannaam.
DPA	HeyGen publiceert een DPA voor verwerking van klantpersoonsgegevens onder geschikte dienstovereenkomsten. Deze behandelt bijzondere biometrische gezichtsgegevens en doorgiftevoorwaarden.	Sluit hem en bevestig rollen, subverwerkers, SCC-module en rangorde.
Residentie	De onderzochte openbare documenten beloven niet dat alle klantinhoud, back-ups, subverwerkers en supporttoegang in de EU blijven.	Vraag een schriftelijke locatie- en doorgiftekaart voor de gekozen functies.
Verwijdering	Het privacybeleid geeft doelgebonden bewaring en zegt dat back-ups na verwijdering 60 dagen kunnen blijven.	Definieer verwijdering afzonderlijk voor projecten, accountdata, avatars, biometrie, back-ups en wettelijke/beveiligingsdata.
Biometrische data	HeyGen kan gezichtsgeometrie en, afhankelijk van de dienst, een stemafdruk afleiden. Het vraagt toestemming en publiceert functiespecifieke verwijderregels.	Leg toestemming/bevoegdheid van iedere afgebeelde persoon vast en voer waar nodig een DPIA uit.

3 Is HeyGen GDPR-compliant?

Het privacybeleid, bijgewerkt op 11 augustus 2026, zegt dat gebruikersinvoer tekst, stem, afbeelding en video kan bevatten en kan worden gebruikt voor dienstverbetering en AI-modeltraining. Het geeft een opt-outcontact, legt controller-/processorrollen uit, verwijst Enterprise-klanten naar de DPA en zegt dat sommige verwijderde informatie maximaal 60 dagen in back-ups kan blijven.[1]

HeyGens Enterprise-pagina zegt dat Enterprise-inhoud niet wordt gebruikt om modellen te trainen en rapporteert SOC 2 Type II-assurance. Controleer toepassingsbereik in het actuele rapport en contract.[2]

4 Avatars, toestemming en biometrische gegevens

HeyGens biometrische mededeling, bijgewerkt op 5 mei 2026, beschrijft gezichtsgeometrie en mogelijke stemafdrukken. Voor EER-identiteitsverificatie zegt HeyGen dat biometrische verificatiegegevens direct, doorgaans binnen minuten, worden verwijderd. Geometrie voor een avatar blijft zolang die avatar actief is en wordt binnen 60 dagen na verwijdering van avatar of account vernietigd. Na intrekking van toestemming voor biometrische training verwijdert HeyGen identificeerbare biometrische data voor zover haalbaar binnen 60 dagen.[3]

Dit zijn verschillende bewaargebeurtenissen; de oudere algemene claim dat HeyGen EU-biometrie drie jaar bewaart wordt niet door de actuele mededeling ondersteund. Een gezichts- of stemopname is persoonsgegeven. Het is een bijzonder biometrisch persoonsgegeven onder de GDPR wanneer het technisch wordt verwerkt om iemand uniek te identificeren; ander uiterlijk- en stemgebruik kan nog steeds grote privacy-, portretrecht- en arbeidsrisico's geven.

HeyGens DPA behandelt klantpersoonsgegevens en benoemt biometrische gezichtsgegevens waar toepasselijk als bijzondere gegevens. Controleer vóór gebruik de actuele subverwerkerslijst in het securityportaal.[4]

5 Transparantie onder de AI Act

De transparantieplichten uit artikel 50 van de EU AI Act gelden sinds 2 augustus 2026. Aanbieders van systemen die synthetische audio, afbeeldingen, video of tekst genereren moeten onder de voorwaarden van de verordening machineleesbare markering ondersteunen. Gebruiksverantwoordelijken hebben een afzonderlijke openbaarmakingsplicht voor deepfakes en voor bepaalde tekst over onderwerpen van publiek belang. Voor de markeringsplicht van aanbieders geldt tot 2 december 2026 een overgang voor systemen die vóór 2 augustus 2026 op de markt zijn gebracht. Of avataroutput een “deepfake” is hangt af van de wettelijke definitie en context; niet iedere synthetische avatar valt automatisch zo te labelen.[5][6]

6 Aanbevelingen en EU-implementatiechecklist

Gebruik een geschikte bedrijfsovereenkomst en sluit de DPA.
Verbied training contractueel en controleer de instelling voor iedere werkomgeving.
Documenteer de locatie van bronmedia, gegenereerde video, avatarassets, back-ups en supporttoegang.
Leg toestemming of andere geldige bevoegdheid van de afgebeelde persoon en de intrekkings-/verwijderroute vast.
Voer een DPIA uit voor schaalbaar werknemer-, klant-, stem- of identiteitsgebruik.
Definieer mededelingen en machineleesbare markering per outputscenario.
Test verwijdering van avatar, account en back-ups.

Prijzen, credits en plannamen wijzigen en bewijzen geen privacygarantie. Controleer orderformulier en prijspagina bij aankoop.[7]

7 Eindoordeel

HeyGen verdient een conditionele bedrijfsroute voor een gecontracteerde Enterprise-implementatie met no-training-, toestemmings-, verwijder- en doorgiftecontrols. Openbare documentatie bevestigt geen algemene EU-residentie en invoer op consumentenplannen kan voor modelverbetering worden gebruikt tenzij de gedocumenteerde opt-out geldt.

8 Disclaimer

Dit is een redactionele inkoopbeoordeling, geen juridisch oordeel of juridisch advies.