Accord de sous-traitance des données (article 28 du RGPD)

Dernière mise à jour : 26 octobre 2026

Le présent Accord de sous-traitance (« DPA ») fait partie des Conditions générales conclues entre le Client, responsable de traitement, et LF14 (capital de 100 €, siège social au 36 rue Madame, 75006 Paris, France, RCS Paris 938 169 471), exerçant sous la marque WHATGO AI (« WHATGO AI »), sous-traitant. Il s’applique automatiquement dès l’acceptation des Conditions générales par le Client et couvre toutes les données personnelles du Contenu Client que WHATGO AI traite pour le compte du Client.

1. Définitions

Les termes « données personnelles », « responsable de traitement », « sous-traitant », « traitement », « personne concernée » et « violation de données personnelles » ont le sens que leur donne le Règlement (UE) 2016/679 (RGPD). Un « sous-traitant ultérieur » est un tiers auquel WHATGO AI fait appel pour traiter les données personnelles du Client.

2. Rôles et instructions

Le Client est responsable de traitement et WHATGO AI est sous-traitant. WHATGO AI ne traite les données personnelles que sur instruction documentée du Client, constituée par le Contrat, la configuration des agents et l’utilisation du Service par le Client, sauf si le droit de l’Union ou d’un État membre l’impose. Dans ce cas, WHATGO AI en informe le Client avant le traitement, sauf si la loi l’interdit. WHATGO AI informe le Client si elle estime qu’une instruction constitue une violation de la réglementation.

Le détail des traitements figure à l’annexe 1.

3. Confidentialité

WHATGO AI veille à ce que toute personne autorisée à traiter les données soit soumise à une obligation de confidentialité et n’y accède que lorsque c’est nécessaire au Service.

4. Sécurité

WHATGO AI met en œuvre les mesures techniques et organisationnelles décrites à l’annexe 2, en tenant compte des risques, de l’état de l’art et des coûts, conformément à l’article 32 du RGPD. Ces mesures peuvent évoluer, à condition que le niveau global de protection ne soit pas réduit.

5. Sous-traitants ultérieurs

Le Client donne une autorisation générale pour les sous-traitants ultérieurs listés à l’annexe 3. WHATGO AI informe le Client au moins 30 jours avant l’ajout ou le remplacement d’un sous-traitant ultérieur, par email ou dans la plateforme. Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données pendant ce délai. À défaut de solution, le Client peut résilier les services concernés et obtenir le remboursement des sommes payées d’avance pour la période non utilisée.

WHATGO AI impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes au présent DPA et reste responsable envers le Client de leur exécution.

6. Transferts hors de l’Union européenne

Lorsqu’un sous-traitant ultérieur traite des données personnelles du Client hors de l’Espace économique européen, le transfert repose sur une décision d’adéquation, notamment le Data Privacy Framework UE–États-Unis pour les destinataires certifiés, ou sur les clauses contractuelles types adoptées par la Commission européenne, avec des mesures complémentaires si nécessaire. Le Client autorise ces transferts ; les clauses contractuelles types sont intégrées par référence lorsqu’elles sont nécessaires.

7. Assistance au Client

Compte tenu de la nature du traitement, WHATGO AI aide le Client, par des mesures et outils adaptés disponibles dans le Service :

• à répondre aux demandes des personnes concernées : le tableau de bord permet notamment d’exporter ou de supprimer les données d’un contact, et WHATGO AI transmet au Client toute demande qu’elle reçoit, sans y répondre elle-même ;
• à respecter ses obligations en matière de sécurité, de notification des violations, d’analyses d’impact et de consultation préalable (articles 32 à 36 du RGPD).

L’assistance allant au-delà des fonctionnalités standard du Service peut être facturée à un tarif raisonnable convenu à l’avance.

8. Violations de données personnelles

WHATGO AI informe le Client dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, de toute violation de données personnelles affectant ses données. La notification décrit, dans la mesure où elles sont connues, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. WHATGO AI complète ces informations au fur et à mesure et coopère aux notifications du Client auprès des autorités et des personnes concernées.

9. Restitution et suppression

Le Client peut exporter ses données pendant la durée du Contrat et dans les 30 jours suivant sa fin. WHATGO AI supprime ensuite les données personnelles du Client dans un délai de 30 jours, puis les efface des sauvegardes dans un délai supplémentaire de 90 jours, sauf obligation légale de conservation. Sur demande, WHATGO AI confirme la suppression par écrit. Pendant le Contrat, le Client peut aussi fixer une durée de conservation dans son tableau de bord : les conversations plus anciennes sont alors supprimées automatiquement.

10. Audits et informations

WHATGO AI met à disposition les informations nécessaires pour démontrer le respect de l’article 28 du RGPD. Si elles ne suffisent pas, le Client peut réaliser un audit, lui-même ou par un auditeur indépendant tenu au secret, au plus une fois par an, sauf violation ou demande d’une autorité de contrôle. Le Client prévient au moins 30 jours à l’avance ; l’audit a lieu pendant les heures ouvrées, sans perturber l’activité, et à ses frais. WHATGO AI peut répondre à une demande en fournissant des rapports d’audit ou certifications récents de ses prestataires couvrant le même périmètre.

11. Responsabilités du Client

Le Client est responsable de la licéité des traitements qu’il ordonne : disposer d’une base légale valable, informer les personnes concernées, leur indiquer qu’elles échangent avec un système d’IA et que les conversations peuvent être transcrites et conservées, respecter les règles applicables au démarchage, et ne pas ordonner le traitement de catégories particulières de données. Le Client confirme que ses instructions sont conformes à la réglementation.

12. Responsabilité

La responsabilité au titre du présent DPA est soumise aux limites de l’article 13 des Conditions générales, dans la mesure permise par la loi.

13. Durée, contact et droit applicable

Le présent DPA s’applique tant que WHATGO AI traite des données personnelles du Client et prend fin avec ce traitement. Les questions relatives aux données peuvent être adressées à admin@whatgo.ai. Il est régi par le droit français, et l’article 20 des Conditions générales s’applique aux litiges.

Annexe 1 : Description des traitements

Objet	Fonctionnement d’agents IA qui échangent avec les contacts du Client, par chat et par la voix, et répondent à partir du contenu du Client
Durée	La durée du Contrat, plus la période de restitution et de suppression prévue à l’article 9
Nature des traitements	Réception, conservation, analyse et transmission de messages et de conversations vocales ; reconnaissance et synthèse vocales ; génération de réponses et de résumés ; réservation de rendez-vous ; envoi d’emails ; hébergement ; journalisation ; sauvegarde ; support
Finalité	Fournir le Service au Client tel que décrit dans les Conditions générales
Types de données	Messages du chat et pièces jointes (photos, fichiers) ; audio traité en temps réel, transcriptions et durée des conversations vocales ; numéro de téléphone de l’appelant ; nom, email, téléphone, besoin exprimé et rendez-vous réservés ; résumés générés ; métadonnées des conversations ; toute autre donnée fournie par les contacts ou par le Client dans les conversations ou la base de connaissances
Personnes concernées	Les contacts, clients et prospects du Client (visiteurs de son site, appelants), ainsi que son personnel et ses utilisateurs
Catégories particulières	Aucune n’est prévue. Le Client ne doit pas en ordonner le traitement
Fréquence	Continue, pendant la durée du Contrat

Annexe 2 : Mesures de sécurité

• Chiffrement : HTTPS (TLS) pour toutes les données en transit ; chiffrement au repos assuré par nos hébergeurs pour la base de données et les sauvegardes.
• Contrôle des accès : comptes individuels, mots de passe chiffrés, rôles distincts (administrateur, lecture seule), accès des équipes limité au strict nécessaire et retiré immédiatement en cas de départ.
• Séparation des environnements : séparation logique des données de chaque Client ; environnement de démonstration distinct de la production ; les données de production ne servent pas aux tests.
• Protection du contenu : masquage automatique des numéros de carte bancaire saisis dans le chat ; garde-fous limitant ce que les agents peuvent dire et détection des tentatives de détournement.
• Journalisation et suivi : journaux techniques et d’accès conservés 12 mois, surveillance des erreurs et des usages anormaux.
• Gestion des vulnérabilités : mises à jour régulières, suivi des dépendances logicielles et revue du code.
• Résilience : sauvegardes régulières de la base de données assurées par notre hébergeur.
• Contrôles propres à l’IA : utilisation des API des fournisseurs dans des conditions et réglages qui leur interdisent l’entraînement sur les données transmises, aucune utilisation du Contenu Client pour entraîner des modèles, et transmission aux modèles limitée à ce qui est nécessaire à la réponse.
• Minimisation et conservation : durée de conservation réglable par le Client, export et suppression des données d’un contact depuis le tableau de bord.
• Organisation : engagements de confidentialité, procédure de gestion des incidents et vérification préalable des sous-traitants ultérieurs.

Annexe 3 : Sous-traitants ultérieurs autorisés

Sous-traitant ultérieur	Service	Lieu de traitement
Render Services, Inc.	Hébergement du serveur applicatif et de la base de données (conversations, contacts, comptes)	[Région du serveur à confirmer] ; garanties de l’article 6 pour tout transfert hors UE
Groq LLC	Modèle de langage (réponses du chat) et transcription des messages vocaux	États-Unis, avec les garanties de l’article 6
Google LLC (API Gemini)	Modèle de langage (réponses de secours, analyse des pièces jointes, résumés)	États-Unis et infrastructure mondiale de Google, avec les garanties de l’article 6
Eleven Labs Inc. et Eleven Labs Poland sp. z o.o. (ElevenLabs)	Assistant vocal : reconnaissance vocale, synthèse vocale, conduite des conversations sur le site et au téléphone, transcriptions	États-Unis et Union européenne, avec les garanties de l’article 6
Twilio Ireland Limited, avec Twilio Inc.	Numéros de téléphone et acheminement des appels	Union européenne, avec un affilié aux États-Unis sous les garanties de l’article 6
Resend	Envoi des emails transactionnels (confirmations de rendez-vous, notifications, relances)	États-Unis, avec les garanties de l’article 6

Seuls les prestataires effectivement utilisés par l’offre et la configuration du Client traitent ses données. Netlify, qui héberge uniquement notre site vitrine, et Stripe, qui sert uniquement à facturer le Client, ne traitent pas le Contenu Client et ne sont pas des sous-traitants ultérieurs au sens du présent DPA. Les outils que le Client relie lui-même au Service (CRM, Make, Zapier, agenda…) relèvent de sa propre responsabilité. La plateforme WhatsApp Business de Meta sera ajoutée à cette liste, selon la procédure de l’article 5, lorsque le canal WhatsApp sera proposé. WHATGO AI tient cette liste à jour conformément à l’article 5.

Data Processing Agreement (GDPR Article 28)

Last updated: 26 October 2026

This Data Processing Agreement (“DPA”) is part of the Terms of Service between the Customer, as controller, and LF14 (share capital EUR 100, registered office 36 rue Madame, 75006 Paris, France, RCS Paris 938 169 471), operating as WHATGO AI (“WHATGO AI”), as processor. It applies automatically when the Customer accepts the Terms and covers all personal data in Customer Content that WHATGO AI processes on the Customer’s behalf.

1. Definitions

Terms such as “personal data”, “controller”, “processor”, “processing”, “data subject” and “personal data breach” have the meaning given in Regulation (EU) 2016/679 (GDPR). “Sub-processor” means a third party engaged by WHATGO AI to process Customer personal data.

2. Roles and instructions

The Customer is the controller and WHATGO AI is the processor. WHATGO AI processes personal data only on the Customer’s documented instructions, which are the Agreement, the configuration of the agents and the Customer’s use of the Service, unless EU or member-state law requires otherwise. In that case WHATGO AI informs the Customer before processing, unless the law prohibits it. WHATGO AI informs the Customer if it believes an instruction infringes data protection law.

The details of the processing are in Annex 1.

3. Confidentiality

WHATGO AI ensures that everyone authorised to process the data is bound by a confidentiality obligation and has access only where needed for the Service.

4. Security

WHATGO AI implements the technical and organisational measures in Annex 2, taking into account the risks, the state of the art and the costs, as required by Article 32 GDPR. These measures may evolve, provided that the overall level of protection is not reduced.

5. Sub-processors

The Customer gives general authorisation for the sub-processors in Annex 3. WHATGO AI informs the Customer at least 30 days before adding or replacing a sub-processor, by email or in the platform. The Customer may object on reasonable data protection grounds within that period. If the parties cannot agree on a solution, the Customer may terminate the affected services and receive a refund of prepaid fees for the unused period.

WHATGO AI binds each sub-processor by a contract imposing data protection obligations equivalent to this DPA and remains responsible to the Customer for their performance.

6. International transfers

Where a sub-processor processes Customer personal data outside the European Economic Area, the transfer relies on an adequacy decision, including the EU–US Data Privacy Framework for certified recipients, or on the Standard Contractual Clauses adopted by the European Commission, with supplementary measures where necessary. The Customer authorises these transfers, and the Standard Contractual Clauses are incorporated by reference where they are needed.

7. Assistance to the Customer

Taking into account the nature of the processing, WHATGO AI assists the Customer, through appropriate measures and tools available in the Service:

• in responding to requests from data subjects: the dashboard lets the Customer export or delete a contact’s data, and WHATGO AI forwards any request it receives to the Customer without answering it itself;
• in meeting its obligations on security, breach notification, data protection impact assessments and prior consultation under Articles 32 to 36 GDPR.

Assistance beyond the standard features of the Service may be charged at reasonable rates agreed in advance.

8. Personal data breaches

WHATGO AI notifies the Customer without undue delay, and within 48 hours of becoming aware of a personal data breach affecting Customer personal data. The notification describes, as far as known, the nature of the breach, the categories and approximate number of data subjects and records concerned, the likely consequences and the measures taken or proposed. WHATGO AI provides further information as it becomes available and cooperates with the Customer’s notifications to authorities and data subjects.

9. Return and deletion

The Customer can export its data during the term and for 30 days after termination. WHATGO AI then deletes the Customer personal data within 30 days, and removes it from backups within a further 90 days, unless EU or member-state law requires continued storage. On request, WHATGO AI confirms the deletion in writing. During the term, the Customer can also set a retention period in its dashboard, after which older conversations are deleted automatically.

10. Audits and information

WHATGO AI makes available the information needed to show compliance with Article 28 GDPR. Where this is not sufficient, the Customer may carry out an audit, itself or through an independent auditor bound by confidentiality, no more than once a year, unless a breach or a supervisory authority requires otherwise. The Customer gives at least 30 days’ notice, the audit takes place during business hours without disrupting operations, and the Customer bears the costs. WHATGO AI may satisfy a request by providing recent third-party audit reports or certifications from its providers, where they cover the same scope.

11. Customer responsibilities

The Customer is responsible for the lawfulness of the processing it instructs: having a valid legal basis, informing data subjects, disclosing to them that they are interacting with an AI system and that conversations may be transcribed and stored, complying with the rules that apply to telemarketing, and not instructing the processing of special categories of data. The Customer confirms that its instructions comply with data protection law.

12. Liability

Liability under this DPA is subject to the limitations in section 13 of the Terms of Service, to the extent permitted by law.

13. Duration, contact and governing law

This DPA lasts as long as WHATGO AI processes Customer personal data and ends when that processing ends. Data protection matters can be raised at admin@whatgo.ai. It is governed by French law, and section 20 of the Terms of Service applies to disputes.

Annex 1 — Description of the processing

Subject matter	Operation of AI agents that converse with the Customer’s contacts, by chat and by voice, and answer using the Customer’s content
Duration	The term of the Agreement, plus the return and deletion period in section 9
Nature of processing	Receiving, storing, analysing and transmitting messages and voice conversations; speech recognition and synthesis; generating responses and summaries; booking appointments; sending emails; hosting; logging; backup; support
Purpose	Providing the Service to the Customer as described in the Terms of Service
Types of personal data	Chat messages and attachments (photos, files); audio processed in real time, transcripts and duration of voice conversations; caller phone number; name, email, phone, stated need and booked appointments; generated summaries; conversation metadata; any other data that contacts or the Customer provide in conversations or knowledge bases
Data subjects	The Customer’s contacts, customers and prospects (website visitors, callers), and the Customer’s staff and users
Special categories	None intended. The Customer must not instruct their processing
Frequency	Continuous, for the term

Annex 2 — Security measures

• Encryption: HTTPS (TLS) for all data in transit; encryption at rest provided by our hosting providers for the database and backups.
• Access control: individual accounts, hashed passwords, separate roles (administrator, read-only), staff access limited to what is needed and revoked immediately on departure.
• Environment separation: logical separation of each Customer’s data; a demonstration environment separate from production; production data is not used for testing.
• Content protection: automatic masking of payment card numbers typed into the chat; guardrails limiting what agents can say and detection of manipulation attempts.
• Logging and monitoring: technical and access logs kept for 12 months, monitoring of errors and abnormal usage.
• Vulnerability management: regular updates, monitoring of software dependencies and code review.
• Resilience: regular database backups provided by our hosting provider.
• AI-specific controls: use of provider APIs under terms and settings that prohibit training on the data sent, no use of Customer Content for model training, and data sent to models limited to what is needed for the response.
• Data minimisation and retention: retention period set by the Customer, export and deletion of a contact’s data from the dashboard.
• Organisation: confidentiality commitments, an incident response procedure and due diligence on sub-processors.

Annex 3 — Authorised sub-processors

Sub-processor	Service	Processing location
Render Services, Inc.	Hosting of the application server and database (conversations, contacts, accounts)	[Server region to be confirmed]; section 6 safeguards for any transfer outside the EU
Groq LLC	Language model (chat responses) and transcription of voice messages	United States, under the safeguards in section 6
Google LLC (Gemini API)	Language model (fallback responses, analysis of attachments, summaries)	United States and Google’s global infrastructure, under the safeguards in section 6
Eleven Labs Inc. and Eleven Labs Poland sp. z o.o. (ElevenLabs)	Voice assistant: speech recognition, speech synthesis, running conversations on the website and over the phone, transcripts	United States and European Union, under the safeguards in section 6
Twilio Ireland Limited, with Twilio Inc.	Phone numbers and call routing	European Union, with a US affiliate under the safeguards in section 6
Resend	Sending transactional emails (appointment confirmations, notifications, follow-ups)	United States, under the safeguards in section 6

Only the providers that the Customer’s plan and configuration actually use process its data. Netlify, which only hosts our marketing website, and Stripe, which is only used to bill the Customer, do not process Customer Content and are not sub-processors under this DPA. Tools that the Customer connects to the Service itself (CRM, Make, Zapier, calendar…) are under its own responsibility. The WhatsApp Business Platform of Meta will be added to this list, under the procedure in section 5, when the WhatsApp channel becomes available. WHATGO AI keeps this list current under section 5.