Privacy Policy

Last updated: 21 October 2026. Provisional version during the beta.

WhatNxt is a team workspace (chat, tasks, documents, calls) operated by Three Four Sàrl, Lutry, Switzerland ("we"). This page explains what data we process, why, and where it goes. Contact: contact@whatnxt.dev.

What we collect

Account data: name, email address, profile photo, and sign-in details (email and password, or Google / Apple sign-in).
Content you and your group create: messages, threads, tasks, comments, documents, files, voice messages and their transcripts, video messages (the clip, a still image taken from it, and the transcript of its sound), link previews, call recordings and transcripts.
Agents and API: the agents you create and the group each belongs to, a hashed form of their API keys, the web address an agent's notifications are sent to, a record of which messages mention an agent (kept 30 days, without the text), a log of each agent's actions in the group's Activity, and the files agents send to a group.
Technical data: device type, app version, push notification tokens, and crash reports.

We do not sell your data and we do not show ads.

Who can see your content

Only members of a group can read that group's content in the app, together with any agents added to the group, within what a group admin allows (see Agents and the API). Private chats inside a group are narrower: only the people in the chat can read them. See below. Content is protected in transit (TLS) and encrypted at rest. It is not end-to-end encrypted. This means the service providers listed below can process the data they need to do their job.

Private chats inside a group

Français : cette section en français

Inside a group, members can open a private chat with one person, or with a few people (up to 20).

Only the people in a private chat can read its messages and files in the app. The other members of the group cannot. The group owner and admins cannot read it, moderate it or delete it. This is also true when the group belongs to your employer or your client.

Private chats are stored like the rest of your content: in the EU (Stockholm), encrypted in transit and at rest. They are not end-to-end encrypted. Three Four Sàrl does not read private chats. We open one only if a participant reports it to us, if we must answer a request about personal data, or if the law requires it.

AI and private chats. Nxt does not read private chats when it answers in the group. Text from a private chat is sent to Anthropic (United States) in two cases only: someone in that chat tags Nxt there, or someone in that chat asks for task suggestions there. Then only the messages of that chat are sent. This includes messages written by the other people in the chat, and the transcripts of voice and video messages in that chat (never the audio or the images). Anthropic does not use this content to train AI models. Nxt answers in a private chat only if the group owner has turned Nxt on for the group. Files shared in a private chat are not sent to the AI. Only a file's name can be sent, as part of its message.

Notifications. Only the people in a private chat are notified. Like other notifications, the text passes through Apple, Google and Expo unless you hide previews.

What leaves a private chat. A task created from a private chat is a normal task of the group. Everyone in the group sees it. The conversation it came from is shown on the task only to the people in that chat. "Save to Base" copies a file to the group. Everyone in the group then sees that copy. The app warns you first.

Leaving. If you leave the group, or are removed from it, you leave its private chats. Your messages stay visible to the people who remain, and you can no longer open them. Delete what you do not want to leave behind before you go, or write to us. When the last person leaves a private chat, or when the group is deleted, the chat and its messages are deleted.

Reporting a problem. Group owners and admins cannot see private chats, so they cannot act on them. To report abuse in a private chat, write to contact@whatnxt.dev. You can also leave a private chat at any time.

Where data is stored

Our database and file storage are in the European Union (Supabase, Stockholm region). This holds your profile and your groups' content: messages, tasks, comments, documents, files, voice and video messages and their transcripts, link preview titles and images, call recordings, transcripts and meeting summaries.

Some data also passes through, or is held by, providers outside the EU, mostly in the United States. Each provider and its location is listed below. Sign-in data is held by Clerk in the United States.

Calls

Live call audio and video are carried by LiveKit Cloud, run by LiveKit, a US company. Our LiveKit project uses the EU data region (Frankfurt) for the data LiveKit keeps about calls. Live audio and video go through the LiveKit server closest to each participant. For people in Europe this is normally a server in the EU, but calls are not locked to the EU, so a participant in another part of the world may connect through a server outside the EU. Live audio and video are not stored by LiveKit. Screen sharing from the Mac and Windows apps is carried by LiveKit in the same way as call video. Call recordings keep the audio only, so a shared screen is not recorded.

Background blur and virtual backgrounds are applied on your device before the video is sent. Only the processed video goes through LiveKit. We do not recognize faces or create face data. The background images you add stay on your device and are never uploaded.

When a call is recorded, LiveKit creates the recording and writes it to a storage bucket of ours in the EU. We then move it to our storage in the EU (Supabase, Stockholm) and delete it from that bucket. The recording is transcribed by AssemblyAI on its EU service. AssemblyAI deletes the call audio within 48 hours and the transcript within 30 days. The transcript and the meeting summary are stored in the EU.

Voice messages and dictation

Voice messages. A voice message is stored in the EU (Supabase, Stockholm) in private storage. Only the members of the group can listen to it. In a private chat, only the people in that chat can listen to it. Every voice message is transcribed automatically by AssemblyAI on its EU service. The transcript is saved with the message and shown with it. The audio and the transcript are kept as long as the message. If the message is deleted, the audio and the transcript are deleted too.

Dictation. When you use dictation, a short audio clip is sent to AssemblyAI on its EU service. The text comes back into the message field. Nothing is posted until you tap Send. WhatNxt does not keep the audio clip.

Deletion at AssemblyAI. Once the transcript of a voice message is saved with us, and once dictated text has come back, we ask AssemblyAI to delete its copy of the audio and the text.

No voice identification. Voice messages and dictation are transcribed without speaker identification. We do not use them to recognize who is speaking and we do not create voiceprints.

AI. The transcript of a voice or video message is treated like a written message in the group. If Nxt is on in the group, Nxt reads it and can find it when it searches. Task suggestions send it to Anthropic like other messages, including when you ask for the tasks of one voice or video message. Only the transcript is sent: never the audio, and never the images of a video. Agents allowed to read messages also receive it (see Agents and the API).

Video messages

Video messages. A video message is a short clip, up to 60 seconds, that you record in the app. The clip and a still image taken from it (shown before it plays) are stored in the EU (Supabase, Stockholm) in private storage. Only the members of the group can watch it. In a private chat, only the people in that chat can watch it.

Transcript. Every video message is transcribed automatically by AssemblyAI on its EU service. We send AssemblyAI the video file. It takes out the sound and transcribes it. We do not ask it to analyse the images. Once the transcript is saved with us, we ask AssemblyAI to delete its copy of the video and the text. The transcript is saved with the message and shown with it.

How long. The clip, the still image and the transcript are kept as long as the message. If the message is deleted, they are deleted too.

If you delete your account. The clips and still images of your video messages are deleted from our storage with your account. The removal runs in the background, usually within minutes. The transcripts stay in the chats as part of the group's history, shown under "Former member" with a "Video deleted" line in place of the clip.

No face or voice recognition. We do not use video messages to recognize faces or voices, and we do not create face or voice templates. On computers whose camera offers background blur, the blur is done by the computer itself and only the blurred video is sent. Blur can miss parts of the background.

AI. The transcript of a video message is treated like a written message in the group. If Nxt is on in the group, Nxt can read it. Task suggestions can send it to Anthropic, like other messages. The video and its still image are never sent to Anthropic. An agent allowed to read messages in the group can read the transcript too. It never receives the video.

Phone calendar

Phone calendar. If you turn it on, WhatNxt adds your tasks with a date and your planned calls to a calendar named WhatNxt on your phone. The entries show the task or call title, its time and its group. If your phone syncs calendars with an account such as iCloud, Google or Outlook, that account copies these entries to its servers and your other devices, under that provider's rules. WhatNxt also reads the events of your other calendars on your phone, to show them next to your tasks and to move one when you ask. Your own events are read on your phone only. They are never sent to WhatNxt or to our providers. When you turn this off, sign out or delete your account, the app removes the WhatNxt calendar from your phone. When you leave a group, its entries are removed.

Link previews

When a message contains a link, our servers in the EU (Supabase) open the public page of the first link to read its title, site name and image. The site sees our servers' address, not yours. The image is copied to our storage in the EU and shown from there, so your device does not contact the linked site unless you open the link. The preview cache stores a hashed form of the link's address. It does not store who sent the link or in which group. Links that look like they carry an access code, such as invite links, password-reset links and links with a token, are never opened for a preview.

Agents and the API

Any user can create agents (bots) and connect them to WhatNxt through our API or MCP. Each agent uses an API key. The key is shown once, when it is created. We store only a hashed form of it. You can revoke a key at any time.

One group, chosen by an admin. An agent belongs to one group only. It is created from inside that group by one of its members, its owner. A group owner or admin decides whether it joins and what it can do there: read messages, post messages, read the group's files and Base docs, send files in the chat, read tasks, create and change tasks, and take tasks for itself. If its owner is not an admin, the agent waits until an admin accepts it. Members who are not admins do not choose the agent.

Visible to all members. Every member sees the group's agents, with a badge, their owner and what they are allowed to do. A line in the chat shows when an agent joins. Everything an agent posts or changes, and every change to its rights, is logged in the group's Activity. What it reads is not listed one by one. To object to an agent, ask a group owner or admin to remove it, or leave the group.

Older messages. An admin can let an agent read the messages written before it joined. Otherwise it only reads messages written after it was accepted.

Files and Base docs. An admin can let an agent read the group's files: files sent in the group chat and the docs in Base, including the text of Base docs. It can then download them. For chat files, the same limit as messages applies (only files sent after it joined, unless an admin allows older ones). For Base, it sees every doc in the group, old ones included. Agents never read files from private chats or deleted messages. An agent can also be allowed to send files in the group chat. Those files are stored like a member's files, in our private storage in the EU, and are deleted under the same rules.

Voice and video messages. An agent allowed to read messages also reads the transcripts of voice and video messages, under the same rules as written messages. It never receives the audio or video of messages recorded in the app. Audio or video files sent as ordinary attachments are files (see Files and Base docs).

Private chats. Agents never read private chats and are never notified from one.

Mentions. When a member writes @ and the agent's name in the group chat or a thread, the agent is notified. If its owner has set a web address (webhook), WhatNxt sends the notification to that address right away. It contains ids (message, group, author) and, only if the agent may read messages in the group, the text of that message. It never contains names or email addresses. It is signed and only sent to a secure (https) address.

Where the content goes. Content and files an agent reads or downloads, or receives, leaves WhatNxt and goes wherever that agent runs: the computer, server or AI service its owner has chosen, in any country. WhatNxt does not control that place and cannot delete what an agent has already received. Where an agent runs is the choice and the responsibility of the person who connected it, as when someone copies text out of the app.

When an agent stops. An agent stops for good, and its key is revoked, when it is removed from the group, refused by an admin, deleted by its owner, or when its owner leaves the group or deletes their account. Notifications not yet sent are cancelled.

Where a task came from

A task can show what it came from: the conversation, the call excerpt, or Nxt's reasoning. This source is shown only to people who could already see it. For example, a task created from a private chat is visible to the whole group, but the conversation it came from is shown only to the people in that chat.

Activity: time in a project, Focus and the Nxt debrief

Time in a project: we count, per day, the time a group is open on your screen. We pause when the app is in the background, the phone is locked, or after 2 minutes without a touch. We never record what you read or write, only how long. Focus: we record your Focus sessions (start, end, planned length, linked task). Only you can see this data. Group owners and admins never see it, and it is never shown as a team total. Legal basis: legitimate interest in showing you your own activity. You can object at any time with the switch in Settings, which stops collection on all your devices, and delete your history with the button next to it. Retention: 90 days in detail, then weekly totals for 13 months. Hosting: EU (Stockholm).

Nxt debrief: when you ask for it, Nxt writes a short summary of your activity. It receives only numbers (counts, durations, progress) and the names of your groups and projects, never message text, task descriptions or call content. It is processed by Anthropic like the other AI features, and the debrief is kept for 13 months. Daily plan: if you turn it on, a notification lists your day (event times and task titles) at the hour you choose.

Service providers

Each provider receives only what it needs for its job.

Supabase: database, file storage and server functions, including fetching link previews. Holds account data and all group content, including voice messages, video messages and link preview images. Location: EU (Stockholm).
Clerk: sign-in and accounts. Receives your name, email address, sign-in method, and device and session details. Location: United States.
LiveKit (LiveKit Cloud): live audio and video calls, and creating call recordings. Receives call audio and video and your display name. Location: US company; EU data region (Frankfurt); live media goes through the LiveKit server closest to each participant, which is not guaranteed to be in the EU.
AssemblyAI: transcription of recorded calls (with speaker labels), voice messages, video messages and dictation. Receives the call recording, the voice message audio, the video message file (only its sound is transcribed) or the short dictated clip. Processing runs on its EU service. AssemblyAI does not use these files to train its models. For voice messages, video messages and dictation, we ask AssemblyAI to delete the file and the text as soon as we have the text. For call recordings, AssemblyAI deletes the audio within 48 hours and the text within 30 days. Location: EU.
Anthropic (Claude): AI features, see below. Receives the content each feature works on. Location: United States.
Resend: sends invitation emails. Receives the invited email address, the inviter's name and the group name. Location: United States.
Expo, Apple and Google: push notifications. Receive your device push token and the notification text. Unless you hide previews, that text can include the group name, the sender's name and the start of a message. Location: United States.
GIPHY: the GIF and sticker picker. When you use it, your phone sends your search text, your IP address and device information directly to GIPHY. When anyone in a group views a GIF, their phone loads it from GIPHY. GIPHY handles this data under its own privacy policy. Location: United States.
Unsplash: the photo picker for wallpapers, in the phone app and in the Mac and Windows app. When you use it, your device sends your search text, your IP address and device information directly to Unsplash, and loads the photos from Unsplash. When you pick a photo, Unsplash is told which photo was used (it asks for this to credit the photographer). Your wallpaper choice is not shared with your groups. Unsplash handles this data under its own privacy policy. Location: United States.
Sentry: crash reports. Receives technical details about the error and your device, without message content. Location: European Union (Germany).

Agents that users connect through the API or MCP are not our service providers. See Agents and the API.

AI features

AI features send the content they work on to Anthropic for processing in the United States. Anthropic does not use this content to train AI models. The results are stored in the EU.

Nxt, the AI teammate in a group, is off by default. A group owner can turn it on for that group; every member then sees a notice in the chat. When it is on, Nxt reads the group's shared content (group messages, including voice and video message transcripts, tasks, documents, files and call transcripts) to answer questions asked with @Nxt. It does not read private chats, except as described under Private chats. Text extracted from files is stored in the EU and is deleted if the owner turns Nxt off.
Talk to Nxt (voice or typed commands): what you say or type is sent to Anthropic, together with the names of your groups, the titles, statuses and due dates of their tasks, and the first names and last initials of their members, so Nxt understands who and what you mean. Groups you locked and groups where the owner turned Nxt off are left out. Nothing happens until you tap Confirm. If you speak in the app, AssemblyAI transcribes the audio on its EU service and does not keep it. We keep a record of the actions you confirmed (ids and the values needed to undo them, never text) so you can undo them for 15 minutes.
Talk to Nxt without opening the app (iPhone Control Center, Lock Screen, Action button and Siri; Android widget, Quick Settings tile): you turn it on per phone in Settings. Your voice is turned into text by the phone's own speech recognition: on the device when the phone supports it, otherwise by Apple (Siri dictation) or Google (speech recognition), under their own privacy terms. WhatNxt and AssemblyAI never receive this audio, only the text, which then goes to Anthropic as described above. Each phone gets its own access key; we store only a hashed form, with the phone's name and type and when it was last used. You can cut a phone's access at any time from any of your devices (Settings, Talk to Nxt), for example if it is lost; it stops working at once. Signing out on a phone cuts its access, and deleting your account deletes every key. With the app lock on, Talk to Nxt is refused unless you turn on "Talk to Nxt when the app is locked" for that phone; then Nxt can act, but its answer never shows group names, task titles, names or messages, only "Done" and a count. Groups you locked are always left out.
Task suggestions: the chat messages you ask about, including voice and video message transcripts (never the audio or the images), are sent to suggest tasks. This includes asking for the tasks of one voice or video message: its transcript and the nearby messages are sent, and nothing is created until you confirm. In a private chat, only that chat's messages are sent.
Meeting summaries: call transcripts are sent to write a summary and a list of action items.
Chat import: the imported conversation text, or the screenshots you choose, are sent only after you agree on the import screen. You can import without AI instead.

Leaving a group or deleting your account

You can delete your account in the app (Settings). Your profile and sign-in data are then deleted. Content you shared in a group stays in that group as part of its history and is shown as "Former member". This also applies to private chats: your messages stay for the people who remain in the chat. Video messages are the exception: their clips and still images are deleted with your account, and only their transcripts stay (see Video messages). If you want specific content removed, write to us.

Your rights

You can ask to access, correct, export or delete your personal data, or object to its processing, by writing to contact@whatnxt.dev. We apply the Swiss Federal Act on Data Protection and, for users in the EU, the GDPR.

Changes

We will update this page when the service changes and show the date above.

Français

Cette page est en anglais pour l'instant. Voici en français les sections sur les discussions privées, sur les messages vidéo, sur le calendrier du téléphone, sur l'activité, sur les fonctions d'IA, sur les agents et sur le flou d'arrière-plan des appels. Dernière mise à jour : 21 octobre 2026.

Discussions privées dans un groupe

Dans un groupe, les membres peuvent ouvrir une discussion privée avec une personne, ou avec quelques personnes (20 au maximum).

Seules les personnes de la discussion privée peuvent lire ses messages et ses fichiers dans l'app. Les autres membres du groupe ne le peuvent pas. Le propriétaire et les admins du groupe ne peuvent ni la lire, ni la modérer, ni la supprimer. C'est aussi vrai quand le groupe appartient à ton employeur ou à ton client.

Les discussions privées sont stockées comme le reste de ton contenu : dans l'UE (Stockholm), chiffrées en transit et au repos. Elles ne sont pas chiffrées de bout en bout. Three Four Sàrl ne lit pas les discussions privées. Nous en ouvrons une seulement si un participant nous la signale, si nous devons répondre à une demande sur des données personnelles, ou si la loi l'exige.

IA et discussions privées. Nxt ne lit pas les discussions privées quand il répond dans le groupe. Le texte d'une discussion privée est envoyé à Anthropic (États-Unis) dans deux cas seulement : quelqu'un de cette discussion y tague Nxt, ou quelqu'un de cette discussion y demande des suggestions de tâches. Seuls les messages de cette discussion sont alors envoyés. Cela inclut les messages écrits par les autres personnes de la discussion, et la transcription des messages vocaux et vidéo de cette discussion (jamais le son ni les images). Anthropic n'utilise pas ce contenu pour entraîner des modèles d'IA. Nxt répond dans une discussion privée seulement si le propriétaire a activé Nxt pour le groupe. Les fichiers partagés dans une discussion privée ne sont pas envoyés à l'IA. Seul le nom d'un fichier peut être envoyé, avec son message.

Notifications. Seules les personnes de la discussion privée sont notifiées. Comme pour les autres notifications, le texte passe par Apple, Google et Expo, sauf si tu masques les aperçus.

Ce qui sort d'une discussion privée. Une tâche créée depuis une discussion privée est une tâche normale du groupe. Tout le groupe la voit. La conversation d'où elle vient n'est montrée sur la tâche qu'aux personnes de cette discussion. « Enregistrer dans Base » copie le fichier dans le groupe. Tout le groupe voit alors cette copie. L'app te prévient avant.

Quitter. Si tu quittes le groupe, ou si tu en es retiré, tu quittes ses discussions privées. Tes messages restent visibles pour les personnes qui restent, et tu ne peux plus les ouvrir. Supprime avant de partir ce que tu ne veux pas laisser, ou écris-nous. Quand la dernière personne quitte une discussion privée, ou quand le groupe est supprimé, la discussion et ses messages sont supprimés.

Signaler un problème. Le propriétaire et les admins ne voient pas les discussions privées. Ils ne peuvent donc pas agir. Pour signaler un abus dans une discussion privée, écris à contact@whatnxt.dev. Tu peux aussi quitter une discussion privée à tout moment.

Messages vidéo

Messages vidéo. Un message vidéo est un court clip, de 60 secondes au plus, filmé dans l'app. Le clip et une image fixe tirée du clip (affichée avant la lecture) sont stockés dans l'UE (Supabase, Stockholm), dans un espace privé. Seuls les membres du groupe peuvent le regarder. Dans une discussion privée, seules les personnes de cette discussion peuvent le regarder.

Transcription. Chaque message vidéo est transcrit automatiquement par AssemblyAI, sur son service dans l'UE. Nous envoyons le fichier vidéo à AssemblyAI. Il en extrait le son et le transcrit. Nous ne lui demandons pas d'analyser les images. Dès que la transcription est enregistrée chez nous, nous demandons à AssemblyAI de supprimer sa copie de la vidéo et du texte.

Durée. Le clip, l'image fixe et la transcription sont conservés aussi longtemps que le message. Si le message est supprimé, ils sont supprimés aussi.

Si tu supprimes ton compte. Les clips et les images fixes de tes messages vidéo sont supprimés de notre stockage avec ton compte. La suppression se fait en arrière-plan, en général en quelques minutes. Les transcriptions restent dans les discussions, dans l'historique du groupe, sous « Ancien membre », avec la mention « Vidéo supprimée » à la place du clip.

Pas de reconnaissance du visage ni de la voix. Nous n'utilisons pas les messages vidéo pour reconnaître un visage ou une voix, et nous ne créons pas d'empreinte. Sur les ordinateurs dont la caméra propose le flou d'arrière-plan, le flou est fait par l'ordinateur lui-même et seule la vidéo floutée est envoyée. Le flou peut laisser voir une partie de l'arrière-plan.

IA. La transcription d'un message vidéo est traitée comme un message écrit. Si Nxt est activé dans le groupe, Nxt peut la lire. Les suggestions de tâches peuvent l'envoyer à Anthropic, comme les autres messages. La vidéo et son image fixe ne sont jamais envoyées à Anthropic. Un agent qui a le droit de lire les messages du groupe peut aussi lire la transcription. Il ne reçoit jamais la vidéo.

Calendrier du téléphone

Calendrier du téléphone. Si tu l'actives, WhatNxt ajoute tes tâches avec une date et tes appels prévus dans un calendrier nommé WhatNxt sur ton téléphone. Les entrées montrent le titre de la tâche ou de l'appel, son heure et son groupe. Si ton téléphone synchronise ses calendriers avec un compte comme iCloud, Google ou Outlook, ce compte copie ces entrées sur ses serveurs et sur tes autres appareils, selon les règles de ce fournisseur. WhatNxt lit aussi les événements de tes autres calendriers sur ton téléphone, pour les afficher à côté de tes tâches et en déplacer un quand tu le demandes. Tes propres événements sont lus seulement sur ton téléphone. Ils ne sont jamais envoyés à WhatNxt ni à nos prestataires. Quand tu désactives cette option, te déconnectes ou supprimes ton compte, l'app retire le calendrier WhatNxt de ton téléphone. Quand tu quittes un groupe, ses entrées sont retirées.

Flou d'arrière-plan et arrière-plans virtuels

Le flou d'arrière-plan et les arrière-plans virtuels sont appliqués sur ton appareil avant l'envoi de la vidéo. Seule la vidéo traitée passe par LiveKit. Nous ne reconnaissons pas les visages et ne créons pas de données faciales. Les images de fond que tu ajoutes restent sur ton appareil et ne sont jamais envoyées.

Activité : temps dans un projet, Focus et débrief Nxt

Temps dans un projet : nous comptons, par jour, le temps où un groupe est ouvert à l'écran. Le compteur s'arrête quand l'app passe en arrière-plan, quand le téléphone est verrouillé ou après 2 minutes sans toucher l'écran. Nous n'enregistrons jamais ce que tu lis ou écris, seulement la durée. Focus : nous enregistrons tes sessions Focus (début, fin, durée prévue, tâche liée). Toi seul vois ces données. Les propriétaires et admins de groupe ne les voient jamais, et elles ne sont jamais montrées en total d'équipe. Base légale : intérêt légitime à te montrer ta propre activité. Tu peux t'y opposer à tout moment avec l'interrupteur dans Réglages, qui arrête la collecte sur tous tes appareils, et effacer ton historique avec le bouton à côté. Conservation : 90 jours en détail, puis des totaux hebdomadaires pendant 13 mois. Hébergement : UE (Stockholm).

Débrief Nxt : quand tu le demandes, Nxt écrit un court résumé de ton activité. Il reçoit seulement des chiffres (nombres, durées, avancement) et les noms de tes groupes et projets, jamais le texte des messages, les descriptions de tâches ni le contenu des appels. Il est traité par Anthropic comme les autres fonctions d'IA, et le débrief est conservé 13 mois. Planning du jour : si tu l'actives, une notification liste ta journée (heures des rendez-vous et titres des tâches) à l'heure que tu choisis.

Fonctions d'IA

Les fonctions d'IA envoient le contenu qu'elles traitent à Anthropic, aux États-Unis. Anthropic n'utilise pas ce contenu pour entraîner des modèles d'IA. Les résultats sont stockés dans l'UE.

Nxt, le coéquipier IA d'un groupe, est désactivé par défaut. Le propriétaire d'un groupe peut l'activer pour ce groupe ; chaque membre voit alors un avis dans la discussion. Quand il est activé, Nxt lit le contenu partagé du groupe (messages du groupe, y compris la transcription des messages vocaux et vidéo, tâches, documents, fichiers et transcriptions d'appels) pour répondre aux questions posées avec @Nxt. Il ne lit pas les discussions privées, sauf comme décrit dans Discussions privées. Le texte extrait des fichiers est stocké dans l'UE et supprimé si le propriétaire désactive Nxt.
Parler à Nxt (commandes vocales ou écrites) : ce que tu dis ou écris est envoyé à Anthropic, avec le nom de tes groupes, le titre, le statut et l'échéance de leurs tâches, et le prénom et l'initiale du nom de leurs membres, pour que Nxt comprenne de qui et de quoi tu parles. Les groupes que tu as verrouillés et ceux où le propriétaire a désactivé Nxt sont exclus. Rien ne se fait avant que tu valides. Si tu parles dans l'app, AssemblyAI transcrit l'audio sur son service dans l'UE et ne le garde pas. Nous gardons une trace des actions validées (des identifiants et les valeurs nécessaires pour les annuler, jamais de texte) pour que tu puisses les annuler pendant 15 minutes.
Parler à Nxt sans ouvrir l'app (Centre de contrôle, écran verrouillé, bouton Action et Siri sur iPhone ; widget et tuile des réglages rapides sur Android) : tu l'actives téléphone par téléphone dans Réglages. Ta voix est transformée en texte par la reconnaissance vocale du téléphone : sur l'appareil quand le téléphone le permet, sinon par Apple (dictée Siri) ou Google (reconnaissance vocale), selon leurs propres règles de confidentialité. WhatNxt et AssemblyAI ne reçoivent jamais cet audio, seulement le texte, qui part ensuite à Anthropic comme décrit plus haut. Chaque téléphone a sa propre clé d'accès. Nous n'en gardons qu'une forme hachée, avec le nom et le type du téléphone et la date de dernière utilisation. Tu peux couper l'accès d'un téléphone à tout moment depuis n'importe lequel de tes appareils (Réglages, Parler à Nxt), par exemple s'il est perdu. Il ne marche plus tout de suite. Te déconnecter sur un téléphone coupe son accès, et supprimer ton compte supprime toutes les clés. Avec le verrouillage de l'app activé, Parler à Nxt est refusé, sauf si tu actives « Parler à Nxt quand l'app est verrouillée » pour ce téléphone. Nxt peut alors agir, mais sa réponse ne montre jamais de nom de groupe, de titre de tâche, de nom ni de message, seulement « Fait » et un nombre. Les groupes que tu as verrouillés restent toujours exclus.

Agents et API

Tout utilisateur peut créer des agents (des bots) et les connecter à WhatNxt par notre API ou par MCP. Chaque agent utilise une clé d'API. La clé n'est affichée qu'une fois, à sa création. Nous n'en gardons qu'une forme hachée. Tu peux révoquer une clé à tout moment.

Un seul groupe, choisi par un admin. Un agent appartient à un seul groupe. Il est créé depuis ce groupe par l'un de ses membres, son propriétaire. Un propriétaire ou un admin du groupe décide s'il entre et ce qu'il peut y faire : lire les messages, écrire des messages, lire les fichiers et les documents Base du groupe, envoyer des fichiers dans la discussion, lire les tâches, créer et modifier des tâches, et se charger d'une tâche. Si son propriétaire n'est pas admin, l'agent attend qu'un admin l'accepte. Les membres qui ne sont pas admins ne choisissent pas l'agent.

Visible par tous les membres. Chaque membre voit les agents du groupe, avec un badge, leur propriétaire et ce qu'ils ont le droit de faire. Une ligne dans la discussion indique l'arrivée d'un agent. Tout ce qu'un agent publie ou modifie, et chaque changement de ses droits, est noté dans l'Activité du groupe. Ce qu'il lit n'est pas listé un par un. Pour t'opposer à un agent, demande à un propriétaire ou à un admin du groupe de le retirer, ou quitte le groupe.

Anciens messages. Un admin peut permettre à un agent de lire les messages écrits avant son arrivée. Sinon, il ne lit que les messages écrits depuis qu'il a été accepté.

Fichiers et documents Base. Un admin peut permettre à un agent de lire les fichiers du groupe : les fichiers envoyés dans la discussion du groupe et les documents de la Base, y compris le texte des documents Base. Il peut alors les télécharger. Pour les fichiers de la discussion, la même limite que pour les messages s'applique (seulement les fichiers envoyés depuis son arrivée, sauf si un admin autorise les plus anciens). Pour la Base, il voit tous les documents du groupe, anciens compris. Les agents ne lisent jamais les fichiers des discussions privées ni des messages supprimés. Un agent peut aussi avoir le droit d'envoyer des fichiers dans la discussion du groupe. Ces fichiers sont stockés comme ceux d'un membre, dans notre stockage privé dans l'UE, et effacés selon les mêmes règles.

Messages vocaux et vidéo. Un agent qui a le droit de lire les messages lit aussi la transcription des messages vocaux et vidéo, avec les mêmes règles que les messages écrits. Il ne reçoit jamais le son ni la vidéo des messages enregistrés dans l'app. Les fichiers audio ou vidéo envoyés comme pièces jointes sont des fichiers (voir Fichiers et documents Base).

Discussions privées. Les agents ne lisent jamais les discussions privées et n'y sont jamais notifiés.

Mentions. Quand un membre écrit @ suivi du nom de l'agent dans la discussion du groupe ou dans un fil, l'agent est notifié. Si son propriétaire a indiqué une adresse web (webhook), WhatNxt y envoie la notification tout de suite. Elle contient des identifiants (message, groupe, auteur) et, seulement si l'agent a le droit de lire les messages du groupe, le texte de ce message. Jamais de nom ni d'adresse e-mail. L'envoi est signé et ne part que vers une adresse sécurisée (https).

Où va le contenu. Le contenu et les fichiers qu'un agent lit, télécharge ou reçoit quitte WhatNxt et va là où l'agent tourne : l'ordinateur, le serveur ou le service d'IA choisi par son propriétaire, dans n'importe quel pays. WhatNxt ne contrôle pas cet endroit et ne peut pas effacer ce que l'agent a déjà reçu. Ce choix est la responsabilité de la personne qui a connecté l'agent, comme quand quelqu'un copie du texte hors de l'app.

Fin d'un agent. Un agent s'arrête définitivement, et sa clé est révoquée, quand il est retiré du groupe, refusé par un admin, supprimé par son propriétaire, ou quand son propriétaire quitte le groupe ou supprime son compte. Les notifications pas encore envoyées sont annulées.