Privacy

Bijgewerkt op 3 november 2026

Deze app draait op gesproken tekst. Dat is persoonlijker dan de meeste software: je zegt hardop wat je bezighoudt. Hieronder staat precies wat daarmee gebeurt — niet in juristentaal, maar in gewone zinnen.

De korte versie

Je geluidsopname wordt gewist zodra er tekst van gemaakt is.
Onze server staat in Amsterdam.
Voor spraakherkenning en het sorteren gaan je woorden naar twee AI-diensten. Verder gaan ze versleuteld mee in een dagelijkse back-up en in meldingen als je die aanzet. Maak je een abonnement, dan haalt de app die jij kiest (je agenda, Notion, Google Sheets of Slack) je acties op en bewaart die ze zelf — zie Wat naar buiten gaat.
We verkopen niets, we adverteren niet, en we trainen geen modellen op jouw gegevens.
We tellen wélke knoppen worden gebruikt, om te weten wat we moeten bouwen. Aantallen, nooit inhoud — geen tekst, geen titels, geen zoektermen. De beheerder ziet die aantallen per account.
Log je in met Google, dan krijgen wij van Google alleen wie je bent, je naam en je e-mailadres — geen toegang tot je mail, agenda of bestanden.
Je kunt alles downloaden, en je kunt je account met één knop volledig wissen. Wat je wist, staat daarna nog een tijd in de back-ups: op de server zelf meestal 30 dagen, en versleuteld buiten de server tot ongeveer acht weken — zie hieronder.

Updated on 3 November 2026

This app runs on spoken text. That is more personal than most software: you say out loud what is on your mind. Below is exactly what happens to it — not in legal language, but in ordinary sentences.

The short version

Your audio recording is deleted as soon as it has been turned into text.
Our server is in Amsterdam.
For speech recognition and sorting, your words go to two AI services. Beyond that, they go along, encrypted, in a daily backup and in notifications if you turn those on. If you create a subscription, the app you choose (your calendar, Notion, Google Sheets or Slack) fetches your actions and keeps them itself — see What leaves Lennie.
We sell nothing, we don’t advertise, and we don’t train models on your data.
We count which buttons get used, so we know what to build. Counts, never content — no text, no titles, no search terms. The administrator sees those counts per account.
If you sign in with Google, all we get from Google is who you are, your name and your email address — no access to your mail, calendar or files.
You can download everything, and you can erase your account completely with one button. What you erase then stays in the backups for a while: on the server itself usually 30 days, and encrypted outside the server up to about eight weeks — see below.

Wat we bewaren

Wat	Waarom	Hoe lang
E-mailadres en naam	Om je account te herkennen	Tot je je account verwijdert
Je wachtwoord	Om je te kunnen aanmelden	Niet leesbaar opgeslagen — alleen een versleutelde afdruk met een eigen willekeurige toevoeging per account
Als je met Google inlogt: het vaste nummer waaraan Google jou bij deze app herkent, het e-mailadres dat Google gaf toen je koppelde, en wanneer je koppelde en voor het laatst zo inlogde	Zodat Google jou herkent, ook als je adres bij Google verandert. We koppelen nooit alleen op e-mailadres: heeft een bestaand account hetzelfde adres, dan vraagt de app eerst het wachtwoord van dat account. Het staat niet in je download — het is een manier om binnen te komen, niet iets wat je maakte	Tot je Google ontkoppelt of je account verwijdert. Een aanmelding die halverwege blijft steken, ruimt de app na hooguit tien minuten zelf op
Je acties, notities, verbanden en categorieën	Dat is de app	Tot je ze weggooit
Je wensen voor de app (Instellingen › Een wens doorgeven), met de status en het antwoord dat de beheerder erbij zette	Zodat we ze kunnen lezen en jij ziet wat ermee gebeurde. Anders dan je acties en notities zijn ze bedoeld om gelezen te worden: de beheerder van de app ziet ze, met je e-mailadres en naam erbij. Ze gaan niet naar een AI	Tot je je account verwijdert
De letterlijke tekst van wat je insprak	Zodat je altijd terug kunt zien wat je écht zei, los van wat de AI ervan maakte	Tot je het láátste item weggooit dat eruit voortkwam. Eén opname wordt vaak meerdere acties en notities; zolang er nog één van over is, blijft de tekst staan als bewijs daarbij. Gooi je iets weg, dan gaat de tekst mee zodra het item definitief verdwijnt — meteen bij "definitief verwijderen", en anders na de 30 dagen van de prullenbak. Maakte de AI van een opname helemaal niets, dan hoort de tekst bij niets en blijft hij bewaard tot je je account verwijdert
Bij die tekst: wanneer je hem insprak, in welke tijdzone je stond, welke dag dat voor jou was, en of hij uit de app kwam, uit de offline-wachtrij, van de snelkoppeling op je telefoon of uit een herkansing	Een opname die offline mislukt, komt uren of dagen later bij ons binnen. Zonder deze vier zou hij op de verkeerde dag geboekt worden, en zou werk dat later op de achtergrond draait niet weten wat "morgen" voor jou betekent. De tijdzone is de naam van je zone (bijvoorbeeld `Europe/Amsterdam`) en niet je locatie — hij gaat nergens naartoe en wordt niet fijner opgeslagen dan dat. Stuurt je telefoon deze gegevens niet mee, dan blijven ze leeg; we vullen ze nooit in met onze eigen klok	Precies zolang als de tekst hierboven. Het moment van inspreken staat ook 30 dagen bij het briefje dat een opname binnenkwam (een briefje zonder iets van wat je zei, dat ervoor zorgt dat dezelfde opname nooit twee keer verwerkt wordt): blijft een opname halverwege steken, dan komt hij zo alsnog op de goede dag. Mislukte de opname, dan staat het ook bij het bewaarde geluid, tot dat weg is (hoogstens 90 dagen)
Geluidsopnames	Alleen om er tekst van te maken	Weg zodra de tekst er is. Lukt het omzetten niet, dan blijft het geluid staan zodat het niet verloren gaat — je ziet dat dan in de app en kunt het opnieuw proberen of weggooien. Doe je geen van beide, dan gaat het na 90 dagen alsnog weg
Aanmeldsessie, met de soort toestel en browser (bijvoorbeeld „iPhone · Safari”, niet je volledige browsergegevens) en wanneer hij het laatst gebruikt werd	Zodat je niet elke keer opnieuw hoeft in te loggen, en zodat je je toestellen herkent in Instellingen › Account › Waar je bent ingelogd	30 dagen
Wat de AI-aanroepen kostten (aantallen, geen inhoud)	Om te weten wat de app kost, en om één grens voor AI over alle gebruikers samen te bewaken	Tot je je account verwijdert. Alleen wat je verbruikte sinds de laatste middernacht in UTC (in Nederland 1 uur 's nachts, in de zomer 2 uur), blijft tot de volgende middernacht in UTC staan, en dan niet meer als van jou: wat voor aanroep het was, de aantallen en het tijdstip — geen tekst, geen account. Zo telt het die dag nog mee voor de grens van iedereen samen; anders zou verwijderen die grens weer openzetten. Binnen een dag daarna ruimt de app het op. Ouder verbruik gaat meteen mee
Welke handelingen je deed (aantallen, geen inhoud)	Om te weten wat er gebruikt wordt en wat niet — anders is elke nieuwe functie een gok. We tellen bijvoorbeeld dat je een scherm opende of een actie insprak, nooit wát erin stond. De volledige lijst met namen staat in de broncode (`GEBEURTENISSEN` in `db/usage.js`); wat daar niet in staat, wordt door de server weggegooid. De beheerder van de app ziet deze aantallen per account, met je e-mailadres erbij: wanneer je je aanmeldde en het laatst actief was, op hoeveel dagen, en hoe vaak je iets vastlegde, acties en notities maakte en een vraag stelde, en wat je AI-gebruik kostte. Nooit wát.	Tot je je account verwijdert
Openstaande vragen van de AI ("is deze actie af?"), met het zinnetje waar de vraag uit volgde	Zodat de AI je nooit ongevraagd iets afvinkt: hoort hij dat iets klaar is, dan wordt dat een vraag aan jou in plaats van een wijziging. Het zinnetje staat erbij zodat je kunt zien waaróm hij het vroeg.	Het zinnetje en de titel gaan weg zodra je de vraag met ja of nee beantwoordt, of hem uit de lijst van de bel haalt (dat telt als nee). Dat er iets gevraagd is, blijft staan tot je je account verwijdert
Wat de AI voor je deed: dat hij iets plaatste, een categorie koos, iets afvinkte, iets aan een notitie toevoegde of een notitie op jouw verzoek herschreef — met de titel van dat item, bij een toevoeging het toegevoegde stuk zelf (en, was de notitie nog platte tekst, die tekst zoals hij was), en bij een herschreven notitie de hele notitie zoals hij was en zoals hij werd (zodat Undo hem terug kan zetten)	Zodat je kunt zien wat de AI zelfstandig deed, en het met één tik ongedaan kunt maken	90 dagen. Blijft ook staan als het item zelf al weg is, zodat je ziet wat er gebeurde
Wat de AI leerde van je verplaatsingen: zet je een actie die de AI plaatste op een ander bord of in een andere categorie, dan onthoudt de app de titel van die actie en waar je hem neerzette (en waar de AI hem had gezet)	Zodat de AI het de volgende keer zelf goed doet. De twintig nieuwste regels gaan daarom mee naar de AI, elke keer dat hij acties voor je sorteert — ingesproken of getypt. Zet je in Instellingen › AI en tekst › Geleerd van je verplaatsingen de schakelaar Leren als ik een actie verplaats uit, dan leert hij niets meer en gaan er geen regels mee; de regels die er al zijn, blijven staan tot je ze vergeet	Tot je de regel daar vergeet, of de actie terugzet. Gooi je de actie zelf weg, dan blijft de regel — met de titel — staan tot je hem daar vergeet. Er staan er hoogstens 50; komt er een bij, dan wordt de oudste vergeten. Een vergeten regel is na 30 dagen helemaal weg
Wat je met een melding in de bel deed: tot morgen uitgesteld, of uit de lijst gehaald (alleen welke melding, geen inhoud)	Zodat een melding die je op je telefoon wegklikt ook op je computer weg is	Uitgesteld: 90 dagen na de dag waarop hij terugkwam. Uit de lijst gehaald: zolang het item bestaat — anders zou een weggeklikte herinnering na een tijd vanzelf terugkomen
Foto's die je in een notitie zet	Om ze in je notitie te laten zien. Je browser verkleint een foto (hooguit 1600 pixels) en tekent hem opnieuw, waardoor de locatie en de andere gegevens van je camera eraf zijn. De server weigert een foto waar zulke gegevens nog in staan, ook bij het terugzetten van een back-up — dus geen locatie, hoe een foto ook binnenkomt. Andere gebruikers kunnen ze niet zien. Foto's gaan nooit naar de AI-diensten.	Zolang ze in een notitie staan — ook in het archief of de prullenbak. Staat een foto in geen enkele notitie meer, dan is hij 30 dagen later weg; een foto in een notitie die je weggooit, is dus na ongeveer 60 dagen weg — en daarna nog een tijd in de back-ups, zie hieronder. Een foto die je toevoegde maar nooit bewaarde: na een tot twee dagen
Als je meldingen aanzet: per toestel het adres dat je browser ons gaf om meldingen naartoe te sturen, de sleutels om ze voor dat toestel te versleutelen, en je tijdzone	Om je herinneringen en je dagoverzicht op het juiste moment op dat toestel te laten verschijnen	Tot je meldingen uitzet, uitlogt of je aanmelding verloopt. Welke melding al verstuurd is (zonder de tekst): 30 dagen
Sleutels voor je snelkoppeling en voor Claude: de naam die je ze gaf, wat de sleutel mag (alleen de snelkoppeling, alleen lezen, of lezen en toevoegen), en wanneer hij laatst gebruikt of geweigerd werd	Zodat je in Instellingen ziet welke sleutels er zijn en er een kunt intrekken	Tot je de sleutel intrekt of je account verwijdert. De sleutel zelf bewaren we niet leesbaar — alleen een afdruk
Een voorstel van Claude: de tekst die Claude liet sorteren en wat eruit kwam	Zodat Claude, als jij het goedkeurt, precies dat voorstel plaatst	Een uur; daarna kan het niet meer geplaatst worden, en na een dag is het in elk geval weg
Als je in Instellingen › Gegevens Mijn agenda tonen gebruikt: de link naar je agenda, versleuteld; de naam die je hem gaf; en van elke afspraak tussen een week terug en twee maanden vooruit alleen de titel, het begin, het eind en of het de hele dag is. Nooit de beschrijving, de plaats, de deelnemers, de organisator of links in de afspraak — die worden al bij het lezen weggegooid. Van een privé-afspraak ook de titel niet: die heet dan Bezet	Om je afspraken naast je acties te laten zien: boven je acties in Jouw dag, en in de kalender. Ze gaan niet naar de AI-diensten, staan niet in Zoeken of Vragen, en gaan niet mee in de export. De sleutel van de versleuteling staat los van de database, op de server; de back-up buiten de server bevat de link dus alleen versleuteld	Zolang de link er staat. Oudere afspraken vallen er bij elke verversing af. Weghalen wist de link en al zijn afspraken meteen
Als je Mail doorsturen aanzet: je eigen adres om naartoe door te sturen, de afzenders die je toestaat, en van elke doorgestuurde mail de afzender, het onderwerp, de tekst (zonder bijlagen) en wanneer hij binnenkwam. Van een mail die niet werd binnengelaten alleen de afzender en de reden	Zodat de mail onder de bel wacht tot je hem bekijkt, en om dezelfde mail niet twee keer binnen te laten en een stortvloed af te remmen. Resend, dat de mail voor de app ontvangt, bewaart zelf een kopie volgens zijn eigen termijn; die is niet gepubliceerd	De tekst: weg zodra je de mail plaatst of wegklikt, en anders na 30 dagen. Zolang hij wacht, staat hij ook in de back-ups (zie De prullenbak en de back-ups). Afzender, onderwerp en datum zonder de tekst: 90 dagen. Uitzetten stopt je adres meteen
Storingen: foutmelding, welke pagina, welke browser	Om te merken wanneer er iets stuk is voordat jij het meldt	30 dagen

What we keep

What	Why	How long
Email address and name	To recognise your account	Until you delete your account
Your password	So you can sign in	Not stored in readable form — only an encrypted fingerprint, with a random addition of its own for each account
If you sign in with Google: the fixed number by which Google recognises you for this app, the email address Google gave when you linked, and when you linked and when you last signed in that way	So that Google recognises you, even if your address at Google changes. We never link on email address alone: if an existing account has the same address, the app first asks for that account’s password. It is not in your download — it is a way in, not something you made	Until you unlink Google or delete your account. A sign-in that gets stuck halfway is cleared up by the app itself after at most ten minutes
Your actions, notes, links and categories	That is the app	Until you throw them away
Your suggestions for the app (Settings › Suggest a feature), with the status and the reply the administrator added	So that we can read them and you can see what happened to them. Unlike your actions and notes, they are meant to be read: the app’s administrator sees them, with your email address and name. They do not go to an AI	Until you delete your account
The literal text of what you spoke	So that you can always look back at what you really said, apart from what the AI made of it	Until you throw away the very last item that came from it. One recording often becomes several actions and notes; as long as one of them is left, the text stays with it as evidence. If you throw something away, the text goes with it as soon as the item is gone for good — at once with “delete permanently”, and otherwise after the trash’s 30 days. If the AI made nothing at all of a recording, the text belongs to nothing and is kept until you delete your account
With that text: when you spoke it, which time zone you were in, which day that was for you, and whether it came from the app, from the offline queue, from the shortcut on your phone or from a retry	A recording that fails offline reaches us hours or days later. Without these four it would be booked on the wrong day, and work that runs later in the background would not know what “tomorrow” means for you. The time zone is the name of your zone (for example `Europe/Amsterdam`) and not your location — it goes nowhere and is not stored more precisely than that. If your phone does not send these details, they stay empty; we never fill them in with our own clock	Exactly as long as the text above. The moment you spoke is also kept for 30 days on the slip that says a recording came in (a slip with nothing of what you said, which makes sure the same recording is never processed twice): if a recording gets stuck halfway, it still lands on the right day that way. If the recording failed, it is also kept with the saved audio, until that is gone (at most 90 days)
Audio recordings	Only to turn them into text	Gone as soon as the text is there. If converting fails, the audio stays so that it is not lost — you then see that in the app and can try again or throw it away. If you do neither, it still goes after 90 days
Sign-in session, with the kind of device and browser (for example “iPhone · Safari”, not your full browser details) and when it was last used	So that you don’t have to sign in again every time, and so that you recognise your devices in Settings › Account › Where you’re signed in	30 days
What the AI calls cost (counts, no content)	To know what the app costs, and to watch one limit for AI across all users together	Until you delete your account. Only what you used since the last midnight in UTC (in the Netherlands 1 a.m., in summer 2 a.m.) stays until the next midnight in UTC, and then no longer as yours: what kind of call it was, the counts and the time — no text, no account. That way it still counts that day toward the limit for everyone together; otherwise deleting would open that limit up again. Within a day after that, the app clears it up. Older usage goes at once
Which things you did (counts, no content)	To know what gets used and what doesn’t — otherwise every new feature is a guess. For example, we count that you opened the Canvas or spoke an action, never what was in it. The full list of names is in the source code (`GEBEURTENISSEN` in `db/usage.js`); whatever is not in it, the server throws away. The app’s administrator sees these counts per account, with your email address: when you signed up and were last active, on how many days, and how often you captured something, made actions and notes and asked a question, and what your AI use cost. Never what.	Until you delete your account
Open questions from the AI (“is this action done?”), with the short sentence the question came from	So that the AI never ticks anything off without asking: if it hears that something is done, that becomes a question to you instead of a change. The sentence is kept with it so you can see why it asked.	The sentence and the title go as soon as you answer the question with yes or no, or take it out of the bell’s list (that counts as no). That something was asked stays until you delete your account
What the AI did for you: that it placed something, chose a category, ticked something off, added something to a note or rewrote a note at your request — with the title of that item, for an addition the added piece itself (and, if the note was still plain text, that text as it was), and for a rewritten note the whole note as it was and as it became (so that Undo can put it back)	So that you can see what the AI did on its own, and undo it with one tap	90 days. It stays even if the item itself is already gone, so that you see what happened
What the AI learned from your moves: if you move an action the AI placed to another board or another category, the app remembers the title of that action and where you put it (and where the AI had put it)	So that the AI gets it right by itself next time. That is why the twenty newest rules go along to the AI every time it sorts actions for you — spoken or typed. If you turn off the switch Learn when I move an action in Settings › AI & text › Learned from your moves, it learns nothing more and no rules go along; the rules that are already there stay until you forget them	Until you forget the rule there, or move the action back. If you throw the action itself away, the rule — with the title — stays until you forget it there. There are at most 50; when one is added, the oldest is forgotten. A forgotten rule is gone completely after 30 days
What you did with a notification in the bell: put off until tomorrow, or taken out of the list (only which notification, no content)	So that a notification you dismiss on your phone is also gone on your computer	Put off: 90 days after the day it came back. Taken out of the list: as long as the item exists — otherwise a dismissed reminder would come back by itself after a while
Photos you put in a note	To show them in your note. Your browser shrinks a photo (at most 1600 pixels) and redraws it, which takes the location and the other details from your camera off it. The server refuses a photo that still contains such details, also when a backup is restored — so no location, however a photo comes in. Other users cannot see them. Photos never go to the AI services.	As long as they are in a note — also in the archive or the trash. Once a photo is in no note any more, it is gone 30 days later; a photo in a note you throw away is therefore gone after about 60 days — and after that still in the backups for a while, see below. A photo you added but never saved: after one to two days
If you turn on notifications: for each device, the address your browser gave us to send notifications to, the keys to encrypt them for that device, and your time zone	To make your reminders and your daily summary appear on that device at the right moment	Until you turn notifications off, sign out or your sign-in expires. Which notification has already been sent (without the text): 30 days
Keys for your shortcut and for Claude: the name you gave them, what the key may do (only the shortcut, only read, or read and add), and when it was last used or refused	So that you can see in Settings which keys there are and revoke one	Until you revoke the key or delete your account. We don’t keep the key itself in readable form — only a fingerprint
A proposal from Claude: the text Claude had sorted and what came out of it	So that Claude, if you approve it, places exactly that proposal	One hour; after that it can no longer be placed, and after a day it is gone in any case
If you use Show my calendar in Settings › Data: the link to your calendar, encrypted; the name you gave it; and of each appointment between a week back and two months ahead only the title, the start, the end and whether it lasts all day. Never the description, the place, the attendees, the organiser or links in the appointment — those are thrown away as soon as it is read. For a private appointment not even the title: it is then called Busy	To show your appointments next to your actions: above your actions in Your day, and in the calendar. They do not go to the AI services, are not in Search or Ask, and do not go along in the export. The key of the encryption is kept apart from the database, on the server; the backup outside the server therefore holds the link only encrypted	As long as the link is there. Older appointments drop off at each refresh. Removing it erases the link and all its appointments at once
If you turn on Forward mail: your own address to forward to, the senders you allow, and of each forwarded mail the sender, the subject, the text (without attachments) and when it came in. Of a mail that was not let in, only the sender and the reason	So that the mail waits under the bell until you review it, and so that the same mail is not let in twice and a flood is slowed down. Resend, which receives the mail for the app, keeps a copy itself for a period of its own; that period is not published	The text: gone as soon as you place or dismiss the mail, and otherwise after 30 days. While it waits, it is also in the backups (see The trash and the backups). Sender, subject and date without the text: 90 days. Turning it off stops your address at once
Errors: error message, which page, which browser	To notice when something is broken before you report it	30 days

De prullenbak en de back-ups

Wat je weggooit gaat naar de prullenbak en blijft daar 30 dagen staan; daarna is het echt weg. Het opruimen draait elke dag, en ook telkens als de server opnieuw start.

Van de hele database — ook je foto's — worden kopieën gemaakt, op twee plekken. Dat is de prijs van beschermd zijn tegen een fout die níét van jou is: zolang iets in de database staat — ook de 30 dagen in de prullenbak — komt het in elke kopie mee, en het blijft in die kopieën staan tot ze zijn opgeruimd. De termijnen hieronder tellen dus vanaf het moment dat iets echt weg is.

Op de server zelf, bij elke start, daarna elke dag, en vlak voordat een account wordt verwijderd. Deze kopieën staan naast de database en zijn niet apart versleuteld. Een kopie wordt na 30 dagen opgeruimd, maar de tien nieuwste mogen ouder zijn — dat gebeurt als er een tijd weinig verandert.
Buiten de server, bij Koofr, een Sloveense opslagdienst met datacenters in Duitsland, zodat je gegevens een kapotte server overleven. Bij elke start en daarna elke dag een kopie, versleuteld voordat hij vertrekt (AES-256); de sleutel staat niet bij Koofr, dus daar kan niemand de kopie lezen. Er blijven de veertien nieuwste kopieën staan en, van de laatste acht weken, één per week. Iets wat echt weg is, staat dus nog tot ongeveer acht weken in een versleutelde kopie — en mogelijk nog even langer in de prullenbak van Koofr zelf, tot die geleegd wordt. Lukt het een tijd niet om een nieuwe kopie te versturen, dan blijven de kopieën die er staan in die tijd langer bewaard, tot de laatste die aankwam acht weken oud is; daarna blijft alleen die nog staan, ook als hij ouder wordt. Is Koofr in die tijd helemaal onbereikbaar, of staat de back-up uit, dan wordt er pas weer opgeruimd als dat weer kan.

Daarnaast kan wie de app beheert een kopie van de server downloaden, om hem zelf veilig te stellen. Zo'n gedownloade kopie is niet versleuteld, en de app ruimt hem niet op: de termijnen hierboven gelden alleen voor de kopieën die de app zelf bewaart. En zet wie de app beheert na een fout een oudere kopie terug, dan komt terug wat in die kopie stond — ook wat je sindsdien wiste. Behalve een account dat sindsdien verwijderd is: dat blijft weg. De app onthoudt daarvoor alleen het nummer van het account en wanneer het verwijderd is, geen naam, e-mailadres of inhoud. Eén uitzondering: gaat de server zelf verloren, dan gaat die lijst mee verloren. Een account dat verwijderd werd ná de kopie die dan teruggezet wordt, komt terug. Bij de nieuwste kopie bij Koofr gaat het meestal om hooguit een dag; bij een oudere of een gedownloade kopie om langer.

The trash and the backups

What you throw away goes to the trash and stays there for 30 days; after that it is really gone. The clean-up runs every day, and also each time the server restarts.

Copies are made of the whole database — your photos too — in two places. That is the price of being protected against a mistake that is not yours: as long as something is in the database — including the 30 days in the trash — it goes along in every copy, and it stays in those copies until they are cleared up. So the periods below count from the moment something is really gone.

On the server itself, at every start, then every day, and just before an account is deleted. These copies sit next to the database and are not separately encrypted. A copy is cleared up after 30 days, but the ten newest may be older — that happens when little changes for a while.
Outside the server, at Koofr, a Slovenian storage service with data centres in Germany, so that your data survives a broken server. At every start and then every day a copy, encrypted before it leaves (AES-256); the key is not at Koofr, so nobody there can read the copy. The fourteen newest copies are kept and, of the last eight weeks, one per week. Something that is really gone is therefore still in an encrypted copy for up to about eight weeks — and possibly a little longer in Koofr’s own trash, until that is emptied. If sending a new copy fails for a while, the copies that are there are kept longer during that time, until the last one that arrived is eight weeks old; after that only that one stays, even as it gets older. If Koofr cannot be reached at all during that time, or the backup is turned off, clearing up only starts again once that is possible again.

Besides that, whoever runs the app can download a copy from the server, to keep it safe themselves. Such a downloaded copy is not encrypted, and the app does not clear it up: the periods above only apply to the copies the app keeps itself. And if whoever runs the app puts back an older copy after a mistake, what was in that copy comes back — including what you erased since. Except an account that has been deleted since: that stays gone. For that, the app remembers only the number of the account and when it was deleted, no name, email address or content. One exception: if the server itself is lost, that list is lost with it. An account deleted after the copy that is then put back comes back. With the newest copy at Koofr that is usually a day at most; with an older or a downloaded copy, longer.

Waar het staat

Op een server in Amsterdam, bij Railway. Tot 29 juli 2026 stond die in de Verenigde Staten; dat is verhuisd omdat gegevens van Europese gebruikers in Europa horen. De versleutelde kopie buiten de server staat bij Koofr, in een datacenter in Duitsland.

Where it is stored

On a server in Amsterdam, at Railway. Until 29 July 2026 it was in the United States; it moved because the data of European users belongs in Europe. The encrypted copy outside the server is at Koofr, in a data centre in Germany.

Wat naar buiten gaat

Vier diensten doen werk dat wij niet zelf doen, en een vijfde alleen als je hem zelf kiest:

Dienst	Krijgt	Waarvoor
Groq	Je geluidsopname, plus je eigen woordenlijst als die is ingevuld	Spraak omzetten in tekst
Anthropic	De tekst van wat je zei of typte, je categorieën, je eigen instructies aan de AI en de twintig nieuwste regels die hij leerde van je verplaatsingen. Stel je een vraag aan je assistent, dan gaat er meer mee: de acties en notities die bij die vraag lijken te horen — met hun bord, categorie, status, deadline en aanmaakdatum — en de tekst van je 30 tot 100 recentste opnames. Zonder die context is een vraag over je eigen werk niet te beantwoorden. Een doorgestuurde mail gaat er pas heen als je hem onder de bel bekijkt. Druk je in een notitie op Doe wat deze notitie vraagt, dan gaan die notitie en de tekst van de pagina's waar ze naar linkt mee.	Er acties en notities van maken, vragen beantwoorden, notities opmaken
Resend	Je e-mailadres als je op “wachtwoord vergeten” drukt; en de mails die je zelf naar je app-adres doorstuurt	De herstel-link versturen; doorgestuurde mail ontvangen en aan de app geven
Koofr	Elke dag een kopie van de hele database, versleuteld voordat hij vertrekt. Koofr heeft de sleutel niet en kan hem dus niet lezen	Een kopie die een kapotte server overleeft (zie De prullenbak en de back-ups)
Google	Alleen als je met Google inlogt of Google koppelt: Google weet dan dat je deze app gebruikt. Wij krijgen van Google alleen wie je bent (een vast nummer), je naam en je e-mailadres, en of Google dat adres heeft bevestigd. Geen toegang tot je mail, agenda of bestanden, en er gaat niets van jouw werk naar Google	Inloggen zonder apart wachtwoord

Meldingen op je telefoon. Zet je in Instellingen meldingen aan, dan gaat elke melding via een pushdienst: op een iPhone of iPad altijd die van Apple, elders die van je browser — Google bij Chrome, Mozilla bij Firefox. Op je toestel zie je de titel van een herinnering (bij een notitie zonder titel: de eerste woorden), of in het dagoverzicht de titels van de eerste drie dingen van vandaag. De pushdienst bezorgt de melding maar kan hem niet lezen: hij is versleuteld volgens de webstandaard voor pushmeldingen, met een sleutel die alleen jouw toestel heeft. Wel ziet de dienst dát er een melding naar je toestel gaat, en wanneer. Meldingen staan uit tot je ze zelf aanzet; zet je ze uit of log je uit, dan krijgt dat toestel niets meer.

Abonnementen. Maak je in Instellingen › Gegevens een abonnement, dan haalt de app die jij kiest je open acties op via een geheim adres — standaard alleen de titels, van de borden die je koos. Een agenda-app (bijvoorbeeld Outlook, Google Agenda of de Agenda van Apple) krijgt de acties met een datum; Notion, Google Sheets, Slack en Zapier krijgen ze allemaal. Die dienst bewaart ze volgens zijn eigen voorwaarden. De app geeft ze alleen aan wie het geheime adres ophaalt; deel het met niemand. Elke app krijgt een eigen adres (een abonnement van vóór 11 oktober 2026 pas na Nieuw adres; tot dan opent zijn ene adres alles). Wie de Notion-pagina, het Sheet of het Slack-kanaal ziet waar je het adres plakte, ziet ook die acties en kan dat adres overnemen — maar niet de andere; stop het abonnement als dat niet meer de bedoeling is. Per dag telt de app hoe vaak elke soort app een abonnement ophaalt (bijvoorbeeld Google Agenda, 40 keer), zonder IP-adres of browsergegevens, zodat je ziet wie het gebruikt; die tellingen verdwijnen na acht dagen. Stop je het abonnement, dan worden je agenda, het Sheet en de Notion-pagina leeg zodra de dienst weer kijkt; wat Slack of Zapier al geplaatst heeft, blijft daar staan — haal het daar zelf weg. Wis je je account, haal het abonnement dan ook in die app weg.

Claude. Maak je in Instellingen › Koppelingen een sleutel voor Claude en zet je die in Claude Code of Claude Desktop, dan kan Claude je borden, acties en notities opvragen en erin zoeken — en, als de sleutel dat mag, acties toevoegen. Wat Claude opvraagt gaat naar Anthropic, onder jouw afspraken met Anthropic over Claude; de app stuurt zelf niets. Laat Claude een stuk tekst sorteren, dan gaat die tekst door dezelfde AI-stap als alles wat je typt. Trek je de sleutel in, dan stopt het meteen.

Je eigen agenda. Gebruik je Mijn agenda tonen, dan haalt onze server je agenda op bij de dienst van de link die je plakte (bijvoorbeeld Microsoft, Google of Apple) — als je de app opent, hooguit eens per kwartier. Er gaat niets van jou mee: geen cookie, geen naam. Die dienst ziet alleen dat je link wordt opgehaald, en wanneer.

Pagina's uit een notitie. Druk je in een notitie op Doe wat deze notitie vraagt, dan haalt onze server de adressen op die in die notitie staan — hooguit drie, alleen op dat moment. Er gaat niets van jou mee: geen cookie, geen inlog. De site ziet onze server, niet jou. Wat de server ophaalt, gaat met je notitie naar Anthropic (zie hierboven) en wordt niet bewaard; in je notitie komt alleen wat je zelf toepast.

Verder gaat er niets naar buiten: geen advertentienetwerken, geen bezoekersstatistieken, geen meetpixels. De app laadt niets van externe servers.

Wil je dit niet? Dan is deze app niets voor je — zonder die twee AI-stappen is er geen app. Dat is eerlijker dan doen alsof het optioneel is.

What leaves Lennie

Four services do work that we do not do ourselves, and a fifth only if you choose it yourself:

Service	Receives	What for
Groq	Your audio recording, plus your own word list if you filled one in	Turning speech into text
Anthropic	The text of what you said or typed, your categories, your own instructions to the AI and the twenty newest rules it learned from your moves. If you ask your assistant a question, more goes along: the actions and notes that seem to belong to that question — with their board, category, status, deadline and creation date — and the text of your 30 to 100 most recent recordings. Without that context, a question about your own work cannot be answered. A forwarded mail only goes there when you review it under the bell. If you press Do what this note asks in a note, that note and the text of the pages it links to go along.	Making actions and notes out of it, answering questions, formatting notes
Resend	Your email address when you press “Forgot password”; and the mails you forward to your app address yourself	Sending the recovery link; receiving forwarded mail and handing it to the app
Koofr	Every day a copy of the whole database, encrypted before it leaves. Koofr does not have the key and so cannot read it	A copy that survives a broken server (see The trash and the backups)
Google	Only if you sign in with Google or link Google: Google then knows that you use this app. All we get from Google is who you are (a fixed number), your name and your email address, and whether Google has confirmed that address. No access to your mail, calendar or files, and nothing of your work goes to Google	Signing in without a separate password

Notifications on your phone. If you turn on notifications in Settings, each notification goes through a push service: on an iPhone or iPad always Apple’s, elsewhere your browser’s — Google for Chrome, Mozilla for Firefox. On your device you see the title of a reminder (for a note without a title: the first words), or in the daily summary the titles of the first three things for today. The push service delivers the notification but cannot read it: it is encrypted following the web standard for push notifications, with a key that only your device has. The service does see that a notification is going to your device, and when. Notifications are off until you turn them on yourself; if you turn them off or sign out, that device gets nothing more.

Subscriptions. If you create a subscription in Settings › Data, the app you choose fetches your open actions through a secret address — by default only the titles, from the boards you chose. A calendar app (for example Outlook, Google Calendar or Apple’s Calendar) gets the actions that have a date; Notion, Google Sheets, Slack and Zapier get all of them. That service keeps them under its own terms. The app only gives them to whoever fetches the secret address; share it with no one. Each app gets an address of its own (a subscription from before 11 October 2026 only after New address; until then its one address opens everything). Whoever sees the Notion page, the Sheet or the Slack channel where you pasted the address also sees those actions and can take that address over — but not the others; stop the subscription when that is no longer what you want. Each day the app counts how often each kind of app fetches a subscription (for example Google Calendar, 40 times), without IP address or browser details, so that you see who uses it; those counts disappear after eight days. If you stop the subscription, your calendar, the Sheet and the Notion page become empty as soon as the service checks again; what Slack or Zapier has already posted stays there — remove it there yourself. If you erase your account, remove the subscription in that app too.

Claude. If you create a key for Claude in Settings › Integrations and put it in Claude Code or Claude Desktop, Claude can request your boards, actions and notes and search in them — and, if the key allows it, add actions. What Claude requests goes to Anthropic, under your agreements with Anthropic about Claude; the app itself sends nothing. If Claude has a piece of text sorted, that text goes through the same AI step as everything you type. If you revoke the key, it stops at once.

Your own calendar. If you use Show my calendar, our server fetches your calendar from the service of the link you pasted (for example Microsoft, Google or Apple) — when you open the app, at most once every fifteen minutes. Nothing of yours goes along: no cookie, no name. That service only sees that your link is being fetched, and when.

Pages from a note. If you press Do what this note asks in a note, our server fetches the addresses that are in that note — at most three, only at that moment. Nothing of yours goes along: no cookie, no sign-in. The site sees our server, not you. What the server fetches goes with your note to Anthropic (see above) and is not stored; only what you apply yourself ends up in your note.

Beyond that, nothing goes outside: no advertising networks, no visitor statistics, no tracking pixels. The app loads nothing from external servers.

Don’t want this? Then this app is not for you — without those two AI steps there is no app. That is more honest than pretending it is optional.

Wat er op je eigen apparaat staat

Twee cookies: sessie om je aangemeld te houden, en shell-switch met alleen het moment waarop de app voor het laatst naar een nieuwe versie overstapte — zodat je telefoon daarna geen oude stukken van de app meer gebruikt. De server leest die tweede niet. Geen volgcookies, geen cookies van anderen — dus ook geen cookiebanner.
Je voorkeuren: taal, thema, gekozen microfoon, zoomniveau, weergaven en sortering — en daarbij de namen van je borden, omdat sommige voorkeuren per bord gelden.
Uit het zoekvenster: de titels van de vijf items die je daar het laatst opende, en het laatste antwoord van de AI zolang het tabblad openstaat. Uitloggen of je account verwijderen haalt ze van het apparaat.
Opnames die nog niet verstuurd konden worden omdat je geen verbinding had. Die verdwijnen zodra ze aankomen.
Tekst die je typte maar nog niet bewaard is, zodat hij een herstart van de app overleeft. Uitloggen of je account verwijderen wist hem.
Een kopie van wat je het laatst zag — je acties (ook de afgevinkte), borden, herinneringen, notities, mappen en meldingen, en bij die meldingen wat de AI voor je deed en het begin van een opname die mislukte — zodat de app ook zonder verbinding opent. Uitloggen, je account verwijderen of een verlopen aanmelding wist hem.
Foto's die je in een notitie bekeek. Die bewaart je browser in zijn eigen geheugen om ze sneller te laten zien. Uitloggen of je account verwijderen vraagt de browser dat geheugen te legen, maar niet elke browser doet dat helemaal. Log je een toestel uit vanaf een ander toestel (in Waar je bent ingelogd), dan blijven ze op dat toestel staan. Deel je een toestel, wis dan ook de websitegegevens in je browser.

What is on your own device

Two cookies: sessie to keep you signed in, and shell-switch with only the moment the app last switched to a new version — so that your phone no longer uses old pieces of the app after that. The server does not read that second one. No tracking cookies, no cookies from others — so no cookie banner either.
Your preferences: language, theme, chosen microphone, zoom level, views and sorting — and with them the names of your boards, because some preferences apply per board.
From the search window: the titles of the five items you last opened there, and the AI’s last answer as long as the tab stays open. Signing out or deleting your account removes them from the device.
Recordings that could not be sent yet because you had no connection. They disappear as soon as they arrive.
Text you typed but that has not been saved yet, so that it survives a restart of the app. Signing out or deleting your account erases it.
A copy of what you last saw — your actions (including the ticked-off ones), boards, reminders, notes, folders and notifications, and with those notifications what the AI did for you and the beginning of a recording that failed — so that the app also opens without a connection. Signing out, deleting your account or an expired sign-in erases it.
Photos you looked at in a note. Your browser keeps them in its own memory to show them faster. Signing out or deleting your account asks the browser to empty that memory, but not every browser does that completely. If you sign a device out from another device (in Where you’re signed in), they stay on that device. If you share a device, also clear the website data in your browser.

Wat je kunt doen

Alles inzien en meenemen. In de instellingen download je je acties en notities als Markdown of Excel om te lezen, of je haalt met Volledige back-up één bestand op met werkelijk alles erin: acties, notities met hun foto's, archief, prullenbak, de letterlijke tekst van wat je insprak, de verbanden, de regels die de AI van je leerde, je instellingen en je wensen voor de app. Dat bestand kun je daar ook weer terugzetten (je wensen niet: die staan al bij de beheerder). Je inloggegevens zitten er bewust niet in — een bestand dat je inlogt hoort niet rond te gaan.
Alles wissen. In de instellingen, onderaan: Account verwijderen. Daarmee gaan je account, acties, notities, foto's, transcripten, geleerde regels, instellingen en eventuele geluidsbestanden er in één keer uit. We vragen je wachtwoord ter bevestiging. Er is geen weg terug — behalve dat het nog een tijd in de back-ups van de database voorkomt: op de server zelf meestal 30 dagen, versleuteld bij Koofr tot ongeveer acht weken, zoals hierboven beschreven. Wordt zo'n kopie teruggezet, dan blijft je account toch weg — behalve als de server zelf verloren gaat en alles terugkomt uit een kopie van vóór je verwijdering; zie hierboven.
Iets laten corrigeren of vragen stellen. Neem contact op met degene die je toegang tot de app gaf.

What you can do

See everything and take it with you. In Settings you download your actions and notes as Markdown or Excel to read, or with the full backup you get one file with truly everything in it: actions, notes with their photos, archive, trash, the literal text of what you spoke, the links, the rules the AI learned from you, your settings and your suggestions for the app. You can also restore that file there (not your suggestions: the administrator already has them). Your sign-in details are deliberately not in it — a file that signs you in should not be passed around.
Erase everything. In Settings, at the bottom: Delete account. That takes your account, actions, notes, photos, transcripts, learned rules, settings and any audio files out in one go. We ask for your password to confirm. There is no way back — except that it still turns up in the database backups for a while: on the server itself usually 30 days, encrypted at Koofr up to about eight weeks, as described above. If such a copy is put back, your account still stays gone — unless the server itself is lost and everything comes back from a copy from before your deletion; see above.
Having something corrected, or asking questions. Contact the person who gave you access to the app.

Waar we nog niet zijn

Dit is een vroege versie. We gebruiken de diensten hierboven met een gewoon account, en er is geen verwerkersovereenkomst voor zakelijk gebruik — en ook geen formeel vastgelegde contactpersoon voor privacyvragen. Zolang dat zo is: gebruik de app niet voor gegevens van klanten of patiënten waarvoor je zelf verwerkingsverantwoordelijke bent. Voor je eigen werk en gedachten is er geen bezwaar.

What is not in place yet

This is an early version. We use the services above with an ordinary account, and there is no data processing agreement for business use — and no formally appointed contact person for privacy questions either. As long as that is so: do not use the app for data of clients or patients for which you yourself are the data controller. For your own work and thoughts there is no objection.