Dernière mise à jour : 10/05/2026
La présente politique décrit comment Chatbot Flow (édité par Winevizer SRL) traite les données à caractère personnel dans le cadre de la fourniture de son service. Elle s'applique aussi bien à nos clients (administrateurs WordPress qui souscrivent un abonnement) qu'aux visiteurs des sites où le widget est installé.
Winevizer SRL
Résidence de la Bascule, 33 — 7000 Mons (Belgique)
Numéro d'entreprise : BE 1034.941.894 — TVA : BE1034941894
Représentée par Sébastien Demoustiez, administrateur.
Contact général : contact@chatbot-flow.com
Contact RGPD / DPO : gdpr@chatbot-flow.com
Nous collectons uniquement les données nécessaires à la fourniture du service.
cf_session)Aucune donnée de tracking publicitaire, aucune empreinte numérique, aucun pixel tiers.
| Finalité | Base légale (RGPD art. 6) |
|---|---|
| Fournir le service souscrit | Exécution du contrat |
| Facturer l'abonnement | Exécution du contrat + obligation légale (comptabilité) |
| Indexation du contenu du site (RAG) | Exécution du contrat |
| Notifier l'admin (résumé quotidien, alerte de leads) | Intérêt légitime |
| Lutte contre la fraude / abus du service | Intérêt légitime |
| Recontact d'un visiteur ayant laissé ses coordonnées | Consentement (action volontaire du visiteur) |
Toutes les données applicatives (conversations, leads, base de connaissance vectorielle, configurations) sont hébergées chez OVHcloud, en France (Union européenne).
Chaque client dispose d'un espace logiquement isolé dans la base vectorielle (séparation par client_id) afin que vos contenus ne soient jamais mélangés à ceux d'un autre client.
Pour fonctionner, Chatbot Flow s'appuie sur les sous-traitants suivants. Tous sont liés à nous par un contrat de sous-traitance (DPA) conforme à l'article 28 RGPD.
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| OVH SAS | Hébergement serveur applicatif et base de données | France (UE) |
| OVH SAS (SMTP) | Envoi des emails transactionnels (notifications, factures) | France (UE) |
| Stripe Payments Europe Ltd | Traitement des paiements et facturation | Irlande (UE) — infrastructure mondiale |
| OpenAI Ireland Ltd | Modèles de langage (LLM) — clients sur plan Managed uniquement | Irlande (UE), avec sous-traitance possible vers les États-Unis |
| Google Ireland Ltd | reCAPTCHA / Gemini — protection anti-bot et alternative LLM | Irlande (UE), avec sous-traitance possible vers les États-Unis |
Bien que nos sous-traitants principaux aient leurs entités contractantes dans l'Union européenne, OpenAI et Google peuvent traiter techniquement certaines requêtes sur des infrastructures situées aux États-Unis.
Ces transferts sont encadrés par les clauses contractuelles types (SCC) de la Commission européenne et, pour OpenAI et Google, par leur certification au Data Privacy Framework (DPF) UE-USA. Aucune donnée n'est transférée vers un pays tiers ne disposant pas d'un niveau de protection adéquat.
Les contenus envoyés à OpenAI dans le cadre des appels API ne sont pas utilisés pour l'entraînement de leurs modèles, conformément à leurs conditions API en vigueur.
À l'expiration des durées ci-dessus, les données sont supprimées définitivement. À tout moment pendant l'abonnement, le client peut exporter ses conversations et ses leads depuis son tableau de bord WordPress.
Le widget chatbot dépose un seul cookie technique strictement nécessaire :
cf_session — identifiant de session anonyme permettant au visiteur de retrouver sa conversation s'il recharge la page. Durée : 30 jours. Pas de tracking, pas de partage.Aucun cookie publicitaire, analytique tiers ou de remarketing n'est déposé par Chatbot Flow.
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
Pour exercer ces droits, écrivez à gdpr@chatbot-flow.com. Nous répondons dans un délai d'un mois maximum, conformément à l'article 12.3 RGPD.
Si vous estimez qu'un traitement de vos données par nos soins n'est pas conforme au RGPD, vous avez le droit d'introduire une réclamation auprès de l'Autorité de protection des données (APD) en Belgique :
Autorité de protection des données
Rue de la Presse 35, 1000 Bruxelles
contact@apd-gba.be — www.autoriteprotectiondonnees.be
Vous pouvez également saisir l'autorité de contrôle de votre pays de résidence si vous résidez dans un autre État membre de l'Union européenne.
Nous mettons en œuvre des mesures techniques et organisationnelles raisonnables pour protéger vos données : chiffrement TLS pour tous les échanges, hash SHA-256 pour les clés API, signatures HMAC sur les webhooks, isolation logique par client, séparation des secrets, durcissement de l'infrastructure, journalisation et revue de sécurité régulière.
Nous pouvons être amenés à modifier la présente politique. Toute modification substantielle sera notifiée aux clients par email au moins 15 jours avant son entrée en vigueur. La date en haut de cette page reflète la dernière mise à jour.