Politique de confidentialité et RGPD

Dernière mise à jour : 26 octobre 2026

WHATGO AI traite des données personnelles dans deux rôles différents : en tant que responsable de traitement pour son propre site, les comptes et la facturation, et en tant que sous-traitant pour les conversations que les agents IA de ses clients mènent avec leurs contacts. Cette politique explique les deux, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés du 6 janvier 1978.

1. Qui sommes-nous et quel est notre rôle

LF14, société par actions simplifiée à associé unique (capital de 100 €, siège social au 36 rue Madame, 75006 Paris, France, RCS Paris 938 169 471), exerce sous la marque WHATGO AI (« WHATGO AI », « nous »). Nous fournissons aux entreprises (les « Clients ») des agents IA en mode SaaS : un chat sur leur site internet et un assistant vocal sur leur site et au téléphone. Une version WhatsApp est en préparation.

• En tant que responsable de traitement, nous décidons pourquoi et comment nous traitons les données des visiteurs de notre site, des prospects, des utilisateurs des comptes Clients et des contacts de facturation.
• En tant que sous-traitant, nous traitons le contenu des conversations et les données transmises par un Client uniquement sur ses instructions documentées, dans le cadre de l’Accord de sous-traitance (DPA). Le Client est le responsable de traitement de ces données.

Nous n’avons pas désigné de délégué à la protection des données, car nous ne remplissons pas les critères de désignation obligatoire de l’article 37 du RGPD. Les demandes relatives à vos données peuvent être adressées à admin@whatgo.ai.

2. Données que nous traitons en tant que responsable de traitement

Données	Finalité	Base légale (art. 6 RGPD)	Durée de conservation
Coordonnées et messages que vous nous envoyez (nom, email professionnel, entreprise, fonction, téléphone, adresse de votre site)	Répondre à vos demandes, organiser des démonstrations, gérer la relation commerciale	Intérêt légitime (prospection B2B et relation client)	3 ans après le dernier contact
Conversations avec l’assistant de notre propre site	Répondre à vos questions sur WHATGO AI, vous proposer une démonstration	Intérêt légitime	3 ans après le dernier contact
Données de compte des utilisateurs Clients (nom, email professionnel, rôle, identifiants, paramètres)	Créer et sécuriser les comptes, fournir le Service	Exécution du contrat	Durée du contrat, puis 1 an
Données de facturation (société, contact de facturation, factures, statut des paiements ; les données de carte restent chez Stripe)	Facturer, encaisser, respecter nos obligations comptables	Contrat et obligation légale	10 ans pour les pièces comptables
Données techniques et d’usage (adresse IP, appareil, journaux, volumes d’utilisation)	Sécurité, prévention de la fraude, mesure de la consommation, support	Intérêt légitime et contrat	12 mois pour les journaux ; durée du contrat pour les volumes
Statistiques agrégées sans contenu	Améliorer la fiabilité et les performances	Intérêt légitime	25 mois

Nous ne vendons pas de données personnelles. Nous n’utilisons pas le contenu des conversations de nos Clients pour notre propre prospection.

3. Données que nous traitons en tant que sous-traitant

Pour le compte de nos Clients, nous traitons :

• les messages du chat échangés entre les visiteurs du site du Client et son agent IA, y compris les photos et fichiers joints ;
• les conversations vocales, sur le site ou au téléphone : l’audio est traité en temps réel pour comprendre et répondre, et nous conservons la transcription, la durée et, pour les appels téléphoniques, le numéro de l’appelant ;
• les coordonnées et informations que les contacts laissent pendant la conversation (nom, email, téléphone, besoin exprimé, rendez-vous réservé) et le résumé généré automatiquement pour le Client ;
• les documents et instructions que le Client fournit pour configurer ses agents (base de connaissances, tarifs, horaires).

Nous utilisons ces données uniquement pour faire fonctionner les agents du Client, sécuriser le Service et fournir le support que le Client demande. Le Client décide de ce que font ses agents et de la durée de conservation : il peut la régler dans son tableau de bord, et y exporter ou supprimer les données d’un contact. Chaque Client est responsable de disposer d’une base légale pour ses traitements et d’informer ses propres contacts, notamment du fait qu’ils échangent avec une IA.

Le Service n’est pas conçu pour traiter des catégories particulières de données (article 9 du RGPD) ni des données relatives aux infractions. Les Clients ne doivent pas configurer leurs agents pour les collecter. Par défaut, les numéros de carte bancaire saisis dans le chat sont masqués avant tout enregistrement.

4. Notre utilisation de l’intelligence artificielle

Les agents s’appuient sur des modèles de langage et de voix fournis par des tiers (notamment Groq, Google et ElevenLabs), auxquels nous accédons par leurs interfaces professionnelles (API). Le contenu des conversations ne leur est transmis que pour produire les réponses.

• Nous n’utilisons pas le contenu de nos Clients pour entraîner ou affiner un modèle, qu’il soit le nôtre ou celui d’un tiers.
• Nous retenons les conditions et les réglages des prestataires qui leur interdisent d’entraîner leurs modèles sur ces données.
• Les réponses de l’IA sont produites automatiquement. WHATGO AI ne prend aucune décision produisant des effets juridiques ou significatifs similaires à l’égard des personnes. Les Clients qui configureraient leurs agents pour un tel usage restent responsables au titre de l’article 22 du RGPD.

5. Destinataires et sous-traitants

Nous ne partageons les données qu’avec les prestataires nécessaires au fonctionnement du Service, dans le cadre de contrats écrits conformes à l’article 28 du RGPD :

• Hébergement : Render (serveur applicatif et base de données) et Netlify (site internet) ;
• Modèles d’IA : Groq (réponses du chat et transcription audio) et Google, API Gemini (réponses de secours et analyse des pièces jointes) ;
• Voix et téléphonie : ElevenLabs (assistant vocal : reconnaissance et synthèse vocales) et Twilio (numéros de téléphone et acheminement des appels) ;
• Emails : Resend (confirmations, notifications et relances envoyées par email) ;
• Paiement : Stripe, pour la facturation des Clients.

La liste détaillée et à jour figure à l’annexe 3 de l’Accord de sous-traitance. Lorsqu’un Client relie le Service à ses propres outils (CRM, Make, Zapier, agenda…), les données sont envoyées à ces outils sur son instruction et sous sa responsabilité.

Stripe agit également comme responsable de traitement indépendant pour certaines de ses propres finalités (prévention de la fraude, obligations réglementaires) ; sa propre politique de confidentialité s’applique alors. Nous pouvons communiquer des données aux autorités lorsque la loi l’exige, ainsi qu’en cas de fusion ou de cession de l’activité, avec le même niveau de protection.

6. Transferts hors de l’Union européenne

La plupart de nos prestataires techniques sont établis aux États-Unis et peuvent traiter des données en dehors de l’Espace économique européen. Ces transferts reposent sur une décision d’adéquation (notamment le Data Privacy Framework UE–États-Unis pour les destinataires certifiés) ou sur les clauses contractuelles types de la Commission européenne, avec des garanties complémentaires si nécessaire. Une copie de ces garanties peut être demandée à admin@whatgo.ai.

7. Durées de conservation

Les durées applicables à nos propres données figurent à la section 2. Les données que nous traitons en tant que sous-traitant sont conservées selon la durée choisie par le Client dans son tableau de bord, et au plus pendant la durée du contrat. Elles sont supprimées dans les 30 jours suivant la fin du contrat, sauf si le Client demande d’abord un export, puis effacées des sauvegardes dans les 90 jours suivants. Elles ne sont conservées plus longtemps que si la loi l’impose.

8. Vos droits

Le RGPD vous donne le droit d’accéder à vos données, de les rectifier, de les faire effacer, d’en limiter le traitement ou de vous y opposer, de les recevoir dans un format portable et, lorsque le traitement repose sur votre consentement, de le retirer à tout moment. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès.

Pour exercer ces droits sur les données dont nous sommes responsables, écrivez à admin@whatgo.ai. Nous répondons dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes, et pouvons demander un justificatif d’identité.

Si vos données ont été collectées par l’agent IA d’un Client (par exemple en discutant sur le site d’une entreprise ou en l’appelant), ce Client est le responsable de traitement : contactez-le en priorité. Si vous nous contactez, nous transmettons votre demande au Client et l’aidons à y répondre.

9. Sécurité

Nous appliquons des mesures techniques et organisationnelles adaptées au risque, décrites à l’annexe 2 de l’Accord de sous-traitance, notamment le chiffrement des échanges, le contrôle des accès, la séparation des données de chaque Client, la journalisation et des sauvegardes régulières.

10. Violations de données

Nous informons les Clients concernés dans les meilleurs délais, et au plus tard 48 heures après avoir pris connaissance d’une violation affectant leurs données. Pour les violations concernant les données dont nous sommes responsables, nous notifions la CNIL dans les 72 heures lorsque c’est requis, et les personnes concernées lorsque le risque est élevé.

11. Cookies et technologies similaires

Notre site n’utilise ni cookie publicitaire, ni outil de mesure d’audience. Il utilise uniquement un stockage strictement nécessaire à son fonctionnement : la mémorisation de votre choix de langue sur votre appareil et, si vous utilisez notre assistant, la conservation de la conversation en cours pendant votre visite. Ces traceurs sont exemptés de consentement. Les polices d’écriture du site sont chargées depuis les serveurs de Google Fonts, qui reçoivent à cette occasion votre adresse IP.

Si nous ajoutons un jour un outil de mesure d’audience ou de marketing, il ne sera activé qu’après votre consentement, recueilli par un bandeau dédié, et vous pourrez le retirer aussi simplement que vous l’avez donné.

12. Mineurs

Le Service est destiné aux entreprises. Notre site ne s’adresse pas aux personnes de moins de 16 ans et nous ne collectons pas sciemment leurs données pour nos propres besoins.

13. Réclamations

Vous pouvez introduire une réclamation auprès de la CNIL (Commission nationale de l’informatique et des libertés), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr, ou auprès de l’autorité de contrôle de votre pays de résidence.

14. Modifications

Nous pouvons mettre à jour cette politique pour tenir compte de l’évolution du Service ou de la loi. La date en haut de page indique la dernière version ; nous informons les Clients des changements importants par email ou dans la plateforme.

Privacy Policy and GDPR Notice

Last updated: 26 October 2026

WHATGO AI processes personal data in two different roles: as a controller for its own website, account and billing data, and as a processor for the conversations that its customers’ AI agents hold with their contacts. This policy explains both, in line with Regulation (EU) 2016/679 (GDPR) and the French Data Protection Act of 6 January 1978.

1. Who we are and our roles

LF14, a French simplified joint-stock company with a sole shareholder (share capital EUR 100, registered office 36 rue Madame, 75006 Paris, France, RCS Paris 938 169 471), operates under the WHATGO AI brand (“WHATGO AI”, “we”). We provide AI agents to businesses (“Customers”) as a SaaS service: a chat on their website and a voice assistant on their website and over the phone. A WhatsApp version is in preparation.

• As controller, we decide why and how we process data about website visitors, prospects, Customer account users and billing contacts.
• As processor, we process the content of conversations and the data provided by a Customer only on that Customer’s documented instructions, under the Data Processing Agreement (DPA). The Customer is the controller of that data.

We have not appointed a Data Protection Officer, as we are not subject to the mandatory appointment criteria of Article 37 GDPR. Privacy requests can be sent to admin@whatgo.ai.

2. Data we process as controller

Data	Purpose	Legal basis (GDPR Art. 6)	Retention
Contact details and messages sent to us (name, business email, company, role, phone, website address)	Answer enquiries, provide demos, manage the commercial relationship	Legitimate interest (B2B prospecting and customer relations)	3 years after the last contact
Conversations with the assistant on our own website	Answer your questions about WHATGO AI, offer a demo	Legitimate interest	3 years after the last contact
Account data of Customer users (name, business email, role, credentials, settings)	Create and secure accounts, deliver the Service	Performance of a contract	Contract term, then 1 year
Billing data (company, billing contact, invoices, payment status; card data stays with Stripe)	Invoice, collect payment, meet accounting duties	Contract and legal obligation	10 years for accounting records
Technical and usage data (IP address, device, logs, usage volumes)	Security, fraud prevention, usage metering, support	Legitimate interest and contract	12 months for logs; contract term for usage volumes
Aggregated, non-content service metrics	Improve reliability and performance	Legitimate interest	25 months

We do not sell personal data. We do not use our Customers’ conversation content for our own marketing.

3. Data we process as processor

On behalf of Customers we process:

• chat messages exchanged between visitors to the Customer’s website and its AI agent, including attached photos and files;
• voice conversations, on the website or over the phone: audio is processed in real time to understand and respond, and we keep the transcript, the duration and, for phone calls, the caller’s number;
• contact details and information that contacts provide during the conversation (name, email, phone, stated need, booked appointment) and the summary generated automatically for the Customer;
• the documents and instructions the Customer provides to configure its agents (knowledge base, prices, opening hours).

We use this data only to run the Customer’s agents, to secure the Service and to provide support the Customer requests. The Customer decides what its agents do and how long data is kept: it can set the retention period in its dashboard, and export or delete a contact’s data there. Each Customer is responsible for having a legal basis for its processing and for informing its own contacts, in particular that they are talking to an AI.

The Service is not designed to process special categories of data (Article 9 GDPR) or criminal-offence data. Customers must not configure agents to collect them. By default, payment card numbers typed into the chat are masked before anything is stored.

4. How we use AI

The agents rely on language and voice models provided by third parties (including Groq, Google and ElevenLabs), accessed through their business APIs. Conversation content is sent to these providers only to generate responses.

• We do not use Customer content to train or fine-tune any model, ours or a third party’s.
• We select provider terms and settings that prohibit the provider from training on this data.
• AI-generated answers are produced automatically. WHATGO AI does not take decisions producing legal or similarly significant effects on individuals. Customers who configure agents for such uses remain responsible under Article 22 GDPR.

5. Recipients and sub-processors

We share data only with providers needed to run the Service, under written contracts that meet Article 28 GDPR:

• Hosting: Render (application server and database) and Netlify (website);
• AI models: Groq (chat responses and audio transcription) and Google, Gemini API (fallback responses and analysis of attachments);
• Voice and telephony: ElevenLabs (voice assistant: speech recognition and synthesis) and Twilio (phone numbers and call routing);
• Email: Resend (confirmations, notifications and follow-ups sent by email);
• Payments: Stripe, for billing Customers.

The detailed, current list is in Annex 3 of the Data Processing Agreement. When a Customer connects the Service to its own tools (CRM, Make, Zapier, calendar…), data is sent to those tools on its instructions and under its responsibility.

Stripe also acts as an independent controller for some of its own purposes (fraud prevention, regulatory compliance), and its own privacy policy applies to those purposes. We may disclose data to authorities where the law requires it, and in the event of a merger or sale of the business, subject to the same level of protection.

6. International transfers

Most of our technical providers are based in the United States and may process data outside the European Economic Area. These transfers rely on an adequacy decision (including the EU–US Data Privacy Framework for certified recipients) or on the European Commission’s Standard Contractual Clauses, with additional safeguards where needed. A copy of the safeguards can be requested at admin@whatgo.ai.

7. Retention

Retention periods for our own data are listed in section 2. Data we process as processor is kept for the period the Customer sets in its dashboard, and at most for the duration of the contract. It is deleted within 30 days after termination, unless the Customer asks for an export first, and purged from backups within 90 days after that. Data may be kept longer only where the law requires it.

8. Your rights

Under the GDPR you have the right to access your data, correct it, have it erased, restrict or object to its processing, receive it in a portable format and, where processing is based on consent, withdraw that consent at any time. You may also set directives on the fate of your data after your death under French law.

To exercise these rights for data we hold as controller, write to admin@whatgo.ai. We answer within one month, extendable by two months for complex requests, and may ask for proof of identity.

If your data was collected through a Customer’s AI agent (for example by chatting on a business’s website or calling it), that Customer is the controller. Please contact it first. If you contact us, we forward your request to the Customer and help it respond.

9. Security

We apply technical and organisational measures appropriate to the risk, described in Annex 2 of the Data Processing Agreement, including encryption in transit, access control, separation of each Customer’s data, logging and regular backups.

10. Personal data breaches

We notify affected Customers without undue delay, and in any case within 48 hours of becoming aware of a breach affecting their data. For breaches affecting data we control, we notify the French data protection authority (CNIL) within 72 hours where required, and affected individuals where the risk is high.

11. Cookies and similar technologies

Our website uses no advertising cookies and no audience measurement tools. It only uses storage that is strictly necessary for it to work: remembering your language choice on your device and, if you use our assistant, keeping the current conversation during your visit. These trackers are exempt from consent. The website’s fonts are loaded from Google Fonts servers, which receive your IP address when they do.

If we ever add an audience measurement or marketing tool, it will only be activated after you consent through a dedicated banner, and you will be able to withdraw that consent as easily as you gave it.

12. Children

The Service is intended for businesses. Our website is not directed at individuals under 16 and we do not knowingly collect their data for our own purposes.

13. Complaints

You can lodge a complaint with the CNIL (Commission Nationale de l’Informatique et des Libertés), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France, www.cnil.fr, or with the supervisory authority of your country of residence.

14. Changes to this policy

We may update this policy to reflect changes in the Service or the law. The date at the top shows the latest version, and we notify Customers of material changes by email or in the platform.