‘Gehost in de EU’ is zo opgeschreven. Daarom staat op deze pagina niet ‘EU’, maar wie, wat, waar: met namen, vestigingsplaatsen en datacenter. Klopt een bewering hier niet, dan is dat een fout die we graag om de oren krijgen: support@memexa.ai.
Opgeslagen in Parijs
Bij Scaleway. Verwerkt door Mistral in Parijs en IONOS in Berlijn.
Niemand traint ermee
Wij niet en onze dienstverleners ook niet.
Alles is van jou
Exporteren met één klik. Zonder abonnement blijft alles leesbaar.
Voordat het over locaties gaat: je kunt altijd weg. Eén klik in de instellingen exporteert alles, volledig: notities als Markdown, documentteksten, koppelingen en alle overige gegevens als JSON, je originele bestanden als aparte ZIP. Formaten die elke tool kan lezen, en dat kan ook zonder lopend abonnement. De graaf is een index, geen lock-in. Een aanbieder die eerst over het datacenter praat en pas daarna over de export, heeft de volgorde omgedraaid.
Memexa draait bij Scaleway in de regio fr-par, Parijs: applicatieservers, managed PostgreSQL en objectopslag (documenten). Alle databaseverbindingen lopen via een privénetwerk; de database heeft geen openbaar adres. Beheerder is Scaleway SAS, een dochteronderneming van de Iliad-groep, Frankrijk.
De volledige lijst: elk bedrijf met vestigingsplaats en doel. Wat hier niet staat, krijgt je gegevens niet.
Scaleway SAS
Mistral AI SAS
IONOS SE
BunnyWay d.o.o.
Sendinblue SAS (Brevo)
Armitage Labs OÜ (Creem)
Migadu-Mail GmbH
Langfuse GmbH
Plausible Insights OÜ
Alle abonnementen lopen via Armitage Labs OÜ (Creem) in Tallinn als merchant of record. Creem werkt daarbij met onderaannemers in de VS, want zonder de kaartnetwerken en hun dienstverleners bestaat er geen kaartbetaling. Dat schrijven we liever op dan dat we het onder ‘EU’ laten verdwijnen. Deze keten krijgt wat een afrekening nodig heeft: e-mailadres, factuurland, bedrag, abonnementsstatus. Ze krijgt nooit: notities, documenten, zoekopdrachten, de graaf. Ze heeft geen toegang tot de database of de objectopslag en raakt je inhoud nergens aan. De doorgiften zijn afgedekt met de standaardcontractbepalingen van de EU; de actuele lijst van onderaannemers staat op creem.io/dpa.
support@ en privacy@ staan bij Migadu-Mail GmbH, gevestigd in Appenzell Ausserrhoden, Zwitserland; de servers staan bij OVH in de EU. Zwitserland is geen EU-lid, maar de Europese Commissie erkent dat het land een passend beschermingsniveau biedt. Voor een doorgifte daarheen is geen extra waarborg nodig. In deze postvakken staat wat je ons schrijft: supportmail. Geen inhoud uit je geheugen. Migadu is een betaalde mailhost zonder advertentiefinanciering. Inkomende mail naar je geheugen loopt hier niet via, maar via Brevo (een eigen regel in de tabel hierboven).
De verwerking van je inhoud loopt via modellen van Mistral AI, Parijs. Concreet: mistral-ocr-latest voor tekstherkenning, mistral-embed voor embeddings, mistral-small voor het samenvatten en voxtral-mini voor audiotranscriptie. Geen Amerikaanse modelaanbieder ziet je inhoud. En niemand traint er modellen mee: wij niet en deze diensten ook niet; ze verwerken je inhoud alleen voor hun eigen functie. Het taalmodel waarmee je praat (Claude, ChatGPT, …) komt van je eigen AI-app. Memexa levert het alleen de vindplaatsen. Daarnaast heeft één onderdeel een eigen aanbieder: het sorteren van de zoekresultaten.
Als een zoekopdracht meerdere ongeveer even goede resultaten oplevert, sorteert een extra model ze op relevantie (een zogeheten cross-encoder): Qwen/Qwen3-VL-Reranker-8B in de AI Model Hub van IONOS SE, gevestigd in Montabaur. Daarheen gaan tekstfragmenten van de kandidaten, via het endpoint openai.inference.de-txl.ionos.com (de naam komt van de OpenAI-compatibele interface; OpenAI zelf is er niet bij betrokken), verwerkt in het IONOS-datacenter in Berlijn. Vestigingsplaats en verwerkingslocatie liggen dus allebei in Duitsland. Bovendien draait de stap niet bij elke zoekopdracht, maar alleen als de resultaten dicht bij elkaar liggen en sorteren echt iets verandert. En hij krijgt fragmenten, geen hele documenten.
Foutregistratie draait op een zelf gehoste GlitchTip-instantie op onze eigen Scaleway-infrastructuur: crashrapporten verlaten onze servers niet. En ze bevatten jou niet: voordat een rapport wordt verstuurd, worden gebruikersidentiteit, IP-adres, cookies, headers, autorisatietokens, request-body en querystring verwijderd. De body is daarvan het belangrijkste deel, want daar zouden anders notitie-inhoud en zoekopdrachten in staan. Performance-tracing staat standaard uit. De bezoekersstatistieken van deze website werken zonder cookies (Plausible, EU) en in de app zijn er helemaal geen.
Toegangssleutels volgen het least-privilege-principe: elk systeem krijgt alleen de rechten die het echt nodig heeft. Voorbeeld: de automatische deploy van deze website heeft geen CDN-sleutel voor het hele account, alleen een token dat precies één ding kan: de cache van deze pagina's legen. De centrale sleutels zelf staan in de Secret Manager van Scaleway, niet in externe buildsystemen.
Bij de meeste diensten zorgt applicatiecode ervoor dat je andermans gegevens niet ziet. Eén vergeten ‘where user = …’ in één enkele query is dan genoeg voor een lek. Bij Memexa zit de scheiding een laag dieper: PostgreSQL dwingt die af met row-level security. Zonder ingestelde gebruikerscontext geeft de database geen rijen terug: niet de verkeerde, maar helemaal geen. De context wordt per transactie ingesteld en vervalt automatisch bij het afronden, en kan dus niet overspringen naar de volgende verbinding uit de pool. Om dat zo te houden, draait bij de tests een controle mee die alarm slaat zodra er een nieuwe tabel bijkomt zonder row-level security of zonder expliciete classificatie: de build faalt, in plaats van stilletjes door te gaan.
Claude, ChatGPT en Cursor krijgen geen loper. De toegang loopt via OAuth: voordat je toestemming geeft, zie je welke AI-app het vraagt en waar de toegang naartoe gaat, en je bevestigt het zelf. De browser-clipper en de volledige AI-toegang hebben aparte rechten: de clipper mag opslaan, niet in je verzameling zoeken. Verbonden AI-apps koppel je op elk moment los in Memexa; daarnaast kan een AI-app zijn toegang ook zelf teruggeven. En de toegangscontrole hangt niet aan één centrale plek: elke interface controleert de sessie zelf, zodat een fout op één plek niet alles openzet.
Je kunt je account zelf verwijderen, met bevestiging per e-mail. Wat er dan gebeurt, is bewust omgedraaid: eerst worden alle bestanden in de objectopslag verwijderd, over het volledige gebruikersprefix, dus inclusief verweesde bestanden die bij geen enkel item meer horen. Pas daarna verdwijnen de databaserecords. Mislukt het verwijderen van de bestanden, dan wordt het hele proces afgebroken en blijft je account bestaan, in plaats van dat de beheergegevens weg zijn en de documenten blijven liggen. Het proces kan veilig worden herhaald. Losse inhoud kun je op elk moment afzonderlijk verwijderen, zonder aan je account te komen.
Elk traject is versleuteld: TLS 1.2 en hoger aan de rand, oudere versies zijn uitgeschakeld; ook de databaseverbindingen controleren certificaat en hostnaam, niet alleen ‘op de een of andere manier versleuteld’. De database zit in een privénetwerk zonder openbaar adres. Daarvoor zitten een WAF en DDoS-bescherming, en de origin-server accepteert alleen verzoeken uit het netwerk van het CDN. Rechtstreeks kom je er niet bij. De applicatiecontainer draait zonder rootrechten, afhankelijkheden worden gebouwd uit een vastgezet lockfile, en het ene externe binaire programma dat we nodig hebben, is vastgepind op versie en checksum.
Een pagina die alleen sterke punten opsomt, is een advertentie. Daarom de tegenlijst. Elk punt is er een waarnaar we gevraagd zijn of gevraagd zouden worden:
‘Je gegevens verlaten nooit de EU.’
Zeggen we niet. Zodra je Claude of ChatGPT koppelt, stuur je vindplaatsen naar hun aanbieder. Dat is de bedoeling, maar het is jouw beslissing, niet onze toezegging. Daar komt de betaalketen bij, hierboven openlijk benoemd.
‘Alleen jij kunt je gegevens ontsleutelen.’
Zeggen we niet. Memexa is niet end-to-end versleuteld. Om tekstherkenning, zoeken en koppelen te laten werken, moeten de dienst en de genoemde verwerkers de inhoud kunnen lezen. Wie echte zero-knowledge-opslag nodig heeft, heeft een ander hulpmiddel nodig en zou niemand moeten geloven die allebei tegelijk belooft.
‘Gecertificeerd volgens ISO 27001 of SOC 2.’
Zijn we niet. We hebben getoetst aan OWASP-georiënteerde criteria; dat is iets anders dan een certificaat, en zo noemen we het ook niet.
‘Door onafhankelijke partijen gepentest.’
Nee. Er zijn meerdere gedocumenteerde securityreviews van de code in meerdere rondes, allemaal intern. Een externe pentest is iets anders, en zolang die er niet is, staat hier geen ander woord.
‘Hoge beschikbaarheid, 99,9%.’
Nee. De productiedatabase draait zonder failover. Er zijn back-ups en point-in-time-herstel, maar geen toegezegd beschikbaarheidsniveau. En zolang we geen geoefend herstel met datum kunnen laten zien, beloven we er ook geen.
Memexa is bootstrapped: geen investeerders, geen exitdruk. Je abonnementen zijn het verdienmodel, niet je gegevens.
Daarna vanaf € 2,99/maand · vooraf opzegbaar · betaalkaart vereist