Versie: 10 september 2026 - opgesteld door WAIMAKERS B.V.

1 Samenvatting

Notion AI kan onder Notion's zakelijke voorwaarden een AVG-conforme inzet ondersteunen, maar dit hangt af van abonnement, ingeschakelde AI-functies, subprocessors, rechten, bewaring en residentieconfiguratie. De dienst is zelf geen AVG-certificering.

2 Abonnementen in één oogopslag

Route	Training en AI-providers	Bewaring	Residentie	Praktische beoordeling
Niet-Enterprise-workspace	Notion zegt dat het bedrijf en zijn AI-subprocessors Customer Data standaard niet gebruiken om modellen te trainen. Notion gebruikt gehoste modellen en providers waaronder OpenAI en Anthropic.	LLM-providers bewaren Customer Data standaard 30 dagen of korter. Sommige functies vereisen databehoudende LLM's, maar Notion zegt dat die standaard uitstaan en beheerders een instelling krijgen. Voor External Agents gelden afzonderlijke praktijken.	Voor deze abonnementen is geen regionale opslagtoezegging van Notion gedocumenteerd; standaardhosting is in de Verenigde Staten.	Beoordeel het exacte abonnement en de ingeschakelde functies voordat gevoelige data wordt verwerkt.
Enterprise zonder afgeronde migratie	Dezelfde standaard zonder training; Enterprise-LLM-providers gebruiken standaard zero data retention.	Zero retention beschrijft de LLM-provider, niet alle Notion-opslag. Workspace-inhoud, embeddings, verwijderde pagina's en andere registraties hebben afzonderlijke levenscycli.	Workspace-data blijven in de Verenigde Staten totdat Notion bevestigt dat een aangevraagde migratie is voltooid.	Leid EU-residentie niet alleen uit het Enterprise-abonnement af.
Enterprise met bevestigde EU-residentie	Standaard zero-retention-LLM-providers; Customer Data blijven onder Notion's DPA en subprocessorlijst vallen.	Geselecteerde opgeslagen data volgen de workspacelevenscyclus. Verwijderde pagina's/workspaces zijn 30 dagen herstelbaar; embeddings worden binnen 60 dagen na verwijdering van pagina of workspace verwijderd.	Pagina-inhoud, geüploade bestanden, de zoekindex van Customer Data en opgeslagen berichten van derden/bots staan in Frankfurt, met back-up in Ierland. Accountinformatie, gebruiksdata, verwerking door subprocessors, Calendar, Mail en bètadiensten vallen buiten scope. Verwerking kan nog in de VS of andere landen plaatsvinden.	Sterkere controle over data in rust, met gedocumenteerde grenzen voor internationale verwerking en productscope.

Notion's actuele AI security and privacy practices beschrijven de providerarchitectuur en abonnementsafhankelijke bewaring. Ze vermelden dat Enterprise-LLM-providers standaard zero data retention gebruiken; niet-Enterprise-LLM-providers bewaren Customer Data standaard maximaal 30 dagen. ‘Zero retention’ mag daarom niet als een bewaartermijn voor de hele workspace worden gepresenteerd.

Dezelfde bron zegt dat Notion pagina-embeddings maakt met een zero-retention embeddings-API van OpenAI en de resulterende embeddings vervolgens in een vectordatabase opslaat. Embeddings worden als Customer Data behandeld en binnen 60 dagen verwijderd nadat de bijbehorende pagina of workspace is verwijderd. Een verwijderde pagina of workspace blijft 30 dagen herstelbaar voordat deze onherstelbaar wordt.

3 Grenzen van EU-residentie

Notion's documentatie over dataresidentie maakt de regionale toezegging alleen beschikbaar voor Enterprise-workspaces. Bestaande workspaces vereisen een aanvraag en voltooide migratie; totdat Notion de afronding bevestigt, blijven de gegevens in de Verenigde Staten gehost.

De EU-toezegging betreft genoemde Customer Data in rust in AWS Frankfurt, met back-up in Ierland. Account- en gebruiksgegevens, verwerking door subprocessors, Notion Calendar, Notion Mail en bètadiensten vallen erbuiten. Notion stelt dat andere data in de Verenigde Staten en andere internationale locaties opgeslagen en verwerkt blijven. Integraties en niet-Notion-diensten vallen eveneens buiten de toezegging.

4 Beveiliging en governance

⚠️ Notion AI respecteert bestaande workspacerechten. Te ruim gedeelde pagina's kunnen daardoor via AI vindbaar worden; beoordeel delen en groepstoegang vóór uitrol.
✅ Customer Data die naar AI-subprocessors gaan, worden tijdens transport versleuteld met TLS 1.2 of nieuwer.
✅ Notion zegt dat Notion AI binnen de scope van zijn SOC 2 Type 2-rapport en ISO 27001-certificering valt. Deze toetsen beheersmaatregelen; ze certificeren niet de AVG-compliance van een klantimplementatie.
✅ Notion publiceert actuele AI-subprocessors en biedt meldingen bij toevoegingen. Beoordeel de live lijst, doorgiftelocaties en contractuele waarborgen.
⚠️ Web search, connectors, Custom Agents en External Agents maken afzonderlijke gegevensstromen en beheerpunten. Neem ze op in de DPIA en het leveranciersregister.

5 EU-uitrolchecklist

Bevestig het abonnement, de actuele DPA, Master Subscription Agreement en subprocessorlijst.
Leg vast welke AI-functies, web search, connectors en agents zijn ingeschakeld.
Vraag, als EU-residentie nodig is, schriftelijke bevestiging dat de migratie is voltooid en leg de gedekte datacategorieën vast.
Documenteer de LLM-providerbewaring afzonderlijk van Notion-workspacebewaring, verwijdering en embeddingbewaring.
Herstel te ruime rechten en pas least privilege toe vóór workspacebrede zoekfuncties.
Test verwijder-, herstel- en exportprocessen, inclusief embeddings en geïntegreerde diensten.
Stel een beleid voor toegestane data vast en rond de rechtsgrond, transparantie, DPIA en doorgiftebeoordeling af die de toepassing vereist.

Openbare prijzen en AI-bundeling veranderen per markt, factureringsritme en contract. Controleer Notion's actuele prijzen en orderdocumenten direct voor aankoop; prijs bepaalt geen privacytoezegging.

6 Primaire bronnen

7 Disclaimer

Dit overzicht is een informatief hulpmiddel voor inkoop, geen juridisch advies of certificering van een workspace. Controleer vóór productiegebruik het actuele abonnement, contract, de instellingen en gegevensstromen. De klant blijft verantwoordelijk voor zijn AVG-verplichtingen.

Opgesteld en uitgegeven door WAIMAKERS B.V. - 10 september 2026.