Datenschutzerklärung

Diese Datenschutzerklärung beschreibt, wie AI PRODUCTS LTDA, CNPJ 63.045.700/0001-12 („Weft“, „wir“, „uns“), personenbezogene Daten erhebt, nutzt, teilt und schützt, wenn du letsweft.com und die Weft-Anwendungen nutzt (zusammen der „Dienst“). Wir sind Verantwortlicher nach der EU-Datenschutz-Grundverordnung („DSGVO“), business nach dem California Consumer Privacy Act / California Privacy Rights Act („CCPA/CPRA“) und controlador nach der brasilianischen Lei Geral de Proteção de Dados („LGPD“ — Gesetz 13.709/2018).

1. Welche Daten wir erheben

• Kontodaten — dein Name, deine E-Mail-Adresse und ein gesalzener Passwort-Hash. Wir speichern dein Passwort nicht im Klartext.
• Inhalte, die du erstellst — Aufgaben, Sprints, Spalten, Kommentare, Anhänge, die Konfiguration des Boards und jeder Text, den du über die Web-App oder einen KI-Client hinzufügst. Wenn du einem gemeinsamen Workspace beitrittst oder einen anlegst (Team-Tarif), können alle Mitglieder dieses Workspace diese Inhalte sehen und bearbeiten. Abgerechnet wird nur bei der Inhaberin oder dem Inhaber des Workspace.
• Abrechnungsdaten — wir speichern eine Stripe-Kunden-ID und Metadaten zum Abo. Kartendaten werden direkt auf der PCI-DSS-konformen Infrastruktur von Stripe eingegeben und niemals auf unseren Servern gespeichert.
• KI-Client-/MCP-Metadaten — wenn du einen KI-Assistenten (Claude, Cursor, Codex, ChatGPT, Gemini usw.) über den MCP-Endpunkt verbindest, protokollieren wir den autorisierten Client, die OAuth-Tokens und die getätigten Tool-Aufrufe, damit der Zugriff prüfbar ist und auf Wunsch entzogen werden kann.
• Nutzungs- und technische Daten — IP-Adresse, Browser-/Gerätetyp, Betriebssystem, besuchte Seiten, Cookie-Kennungen und Zeitstempel, genutzt für Sicherheit, Analyse, Werbemessung und Fehlersuche.
• Support-Daten — der Inhalt deiner Nachrichten, wenn du uns schreibst.

2. Wie wir sie nutzen

• um den Dienst bereitzustellen, zu betreiben und zu warten;
• um Zahlungen abzuwickeln und dein Abo zu verwalten;
• um dich zu authentifizieren und dein Konto abzusichern;
• damit du und deine KI-Clients dein Board über den MCP-Endpunkt lesen und ändern können;
• um auf Support-Anfragen zu antworten;
• um transaktionale Nachrichten zu senden (Belege, Sicherheitshinweise, Richtlinienänderungen) und, wo nötig mit deiner Einwilligung, Produkt-Updates;
• um Betrug und Missbrauch zu erkennen, unsere Bedingungen durchzusetzen und gesetzliche Pflichten zu erfüllen;
• um Fehler zu beheben und den Dienst zu verbessern;
• um zu messen, wie Besucherinnen und Besucher letsweft.com nutzen und wie unsere Kampagnen laufen, und um mögliche Nutzerinnen und Nutzer mit Werbung zu erreichen — Analyse- und Werbe-Cookies setzen wir, wo erforderlich, nur mit deiner Einwilligung (siehe Abschnitt 12).

Wir verkaufen deine personenbezogenen Daten nicht, und wir nutzen deine Nutzerinhalte nicht, um gemeinsame oder fremde KI-Modelle zu trainieren.

3. Rechtsgrundlagen (DSGVO & LGPD)

• Vertrag — um den Dienst bereitzustellen, für den du dich angemeldet hast (Konto, Abrechnung, MCP-Zugang).
• Berechtigte Interessen — um den Dienst sicher zu halten, Betrug zu verhindern und die Zuverlässigkeit zu verbessern; abgewogen gegen deine Rechte.
• Rechtliche Verpflichtung — um Abrechnungsunterlagen aufzubewahren und auf rechtmäßige Anfragen zu reagieren.
• Einwilligung — für optionale Cookies, optionale Marketing-E-Mails oder jede andere Verarbeitung, die eine Einwilligung erfordert. Du kannst sie jederzeit widerrufen.

4. Mit wem wir Daten teilen

Wir teilen personenbezogene Daten nur mit den unten genannten Stellen. Die meisten sind Dienstleister (Auftragsverarbeiter), die auf Grundlage schriftlicher Vereinbarungen ausschließlich nach unseren Weisungen handeln; Google (Analyse) und Meta (Werbemessung) verarbeiten einige Daten zusätzlich für eigene Zwecke, wie in deren Datenschutzerklärungen beschrieben:

• Vercel, Inc. (USA) — Anwendungshosting, Edge-Netzwerk und Ausführung serverloser Funktionen für letsweft.com und unsere APIs.
• Neon, Inc. (USA) — verwaltete PostgreSQL-Datenbank, in der Konto-, Inhalts- und Abrechnungsdaten liegen.
• Upstash, Inc. (USA / EU) — verwaltetes Redis für Ratenbegrenzung und kurzlebigen Sitzungs-/MCP-Zustand.
• Stripe, Inc. (USA) — Zahlungen, Abo-Abrechnung und Kundenportal für Käufe im Web. Kartendaten werden direkt auf der PCI-DSS-konformen Infrastruktur von Stripe eingegeben.
• Google LLC (USA) — zwei Rollen: (a) wenn du ein Pro-Abo unter Android über Google Play Billing kaufst oder verwaltest, wickelt Google die Transaktion nach eigenen Bedingungen ab; (b) Google Analytics auf letsweft.com hilft uns zu verstehen, wie Besucherinnen und Besucher die Website nutzen (besuchte Seiten, Gerätetyp, ungefährer Ort aus der IP-Adresse). Analyse-Cookies werden nur wie in Abschnitt 12 beschrieben gesetzt.
• Meta Platforms, Inc. (USA) — Werbemessung über das Meta Pixel auf letsweft.com. Soweit nach Abschnitt 12 zulässig, erhält Meta Nutzungsereignisse (etwa Seitenaufrufe und Registrierungen), Cookie-Kennungen und — wenn du dich registrierst — eine gehashte (SHA-256) Fassung deiner E-Mail-Adresse und deines Namens, um Conversions Meta-Anzeigen zuzuordnen („Advanced Matching“). Vorbehaltlich derselben Einwilligung nach Abschnitt 12 können wir das Registrierungsereignis auch von unseren Servern aus an Meta melden („Conversions API“), beschränkt auf dieselben gehashten Kennungen (E-Mail, Konto-ID) und technischen Daten (IP-Adresse, Browser-Kennungen). Deine Board-Inhalte, dein Passwort oder deine Abrechnungsdaten senden wir Meta niemals.
• Apple Inc. (USA) — wenn du ein Pro-Abo unter iOS oder macOS über den In-App-Kauf von Apple kaufst oder verwaltest, wickelt Apple die Transaktion nach eigenen Bedingungen ab.
• E-Mail-Versanddienstleister (USA / EU) — versendet transaktionale Nachrichten (Bestätigung, Passwort-Reset, Abrechnungsbelege).
• KI-Clients, die du verbindest — wenn du einem KI-Client über MCP Zugriff auf dein Board erteilst, erhält dessen Anbieter die Daten, die du oder dein Client übermitteln. Jeder Anbieter verarbeitet diese Daten nach seinen eigenen Bedingungen.
• Recht & Sicherheit — wenn gesetzlich, durch Gerichtsbeschluss oder zum Schutz unserer oder fremder Rechte, Eigentums oder Sicherheit erforderlich.
• Rechtsnachfolger — im Rahmen einer Verschmelzung, Übernahme oder eines Verkaufs von Vermögenswerten, vorbehaltlich gleichwertiger Schutzmaßnahmen.

In der Mobil-App nutzen wir keine Analyse-SDKs, Werbe-SDKs oder Attributions-SDKs Dritter.

5. Internationale Übermittlungen

Unser Sitz ist in Brasilien, und unsere Dienstleister arbeiten in mehreren Regionen, darunter die Vereinigten Staaten und die Europäische Union. Wenn wir personenbezogene Daten aus deiner Region übermitteln, stützen wir uns auf zulässige Übermittlungsmechanismen wie Standardvertragsklauseln (DSGVO), Angemessenheitsbeschlüsse oder gleichwertige Garantien nach der LGPD.

6. Speicherdauer

Konto- und Inhaltsdaten bewahren wir auf, solange dein Konto aktiv ist. Wenn du dein Konto löschst, löschen oder anonymisieren wir personenbezogene Daten innerhalb von 30 Tagen, außer wo wir Unterlagen aus rechtlichen, steuerlichen, buchhalterischen Gründen oder zur Betrugsprävention aufbewahren müssen (in der Regel bis zu 5 Jahre nach brasilianischem Steuerrecht).

7. Sicherheit

Wir setzen branchenübliche technische und organisatorische Maßnahmen zum Schutz deiner Daten ein, darunter TLS-Verschlüsselung bei der Übertragung, verschlüsseltes Hashen von Passwörtern, Zugriffskontrollen und Audit-Protokolle. Keine Übertragungs- oder Speichermethode ist zu 100 % sicher; absolute Sicherheit können wir nicht garantieren.

8. Deine Rechte

8.1 Für alle

Du kannst jederzeit:

• über den Dienst auf die Daten in deinem Konto zugreifen;
• unrichtige Daten berichtigen;
• deine Daten (Aufgaben, Sprints, Kommentare) auf Anfrage in einem maschinenlesbaren Format exportieren;
• dein Konto auf der Seite zur Kontolöschung, im Einstellungsbildschirm der Weft-Mobil-App oder per E-Mail an uns löschen — damit werden auch die zugehörigen personenbezogenen Daten gelöscht.

8.2 Brasilien (LGPD)

Dir stehen die Rechte aus Art. 18 LGPD zu, darunter die Bestätigung der Verarbeitung, Auskunft, Berichtigung, Anonymisierung/Sperrung/Löschung nicht erforderlicher Daten, Datenübertragbarkeit, Information über die Weitergabe und der Widerruf der Einwilligung. Die brasilianische Datenschutzbehörde ist die ANPD — gov.br/anpd.

8.3 Europäischer Wirtschaftsraum & UK (DSGVO)

Dir stehen die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu (auch gegen eine Verarbeitung auf Grundlage berechtigter Interessen). Du hast das Recht, bei einer Aufsichtsbehörde in deinem Wohnsitzland Beschwerde einzulegen.

8.4 Kalifornien (CCPA/CPRA)

Einwohnerinnen und Einwohner Kaliforniens haben das Recht zu erfahren, welche personenbezogenen Informationen wir erheben und wie wir sie nutzen, Löschung zu verlangen, unrichtige Informationen zu berichtigen, die Nutzung sensibler personenbezogener Informationen zu beschränken und dem „Verkauf“ oder „Teilen“ personenbezogener Informationen zu widersprechen. Wir verkaufen deine personenbezogenen Informationen nicht. Unsere Nutzung von Werbe-Cookies (das Meta Pixel) kann ein „Teilen“ (kontextübergreifende verhaltensbezogene Werbung) im Sinne des CCPA/CPRA darstellen. Du kannst jederzeit widersprechen, indem du in unserem Cookie-Banner „Nur essenzielle“ wählst oder den Link „Cookie-Einstellungen“ im Seitenfuß nutzt; außerdem beachten wir das Browser-Signal Global Privacy Control (GPC) als wirksamen Widerspruch. Für die Ausübung deiner Rechte benachteiligen wir dich nicht.

8.5 So übst du deine Rechte aus

Um dein Konto zu löschen, nutze die Selbstbedienungsseite zur Löschung (Web) oder den Einstellungsbildschirm der Weft-Mobil-App. Für jede andere Anfrage (Auskunft, Berichtigung, Export, Widerspruch) schreib an support@letsweft.com. Wir antworten innerhalb der gesetzlich vorgesehenen Frist (in der Regel 15 Tage nach LGPD, 30 Tage nach DSGVO, 45 Tage nach CCPA/CPRA).

9. Berechtigungen der Mobil-App

Die Weft-Apps für Android und iOS fordern nur die Berechtigungen an, die zum Funktionieren nötig sind. Konkret deklariert die Android-App allein die Berechtigung INTERNET, mit der die App unsere API auf letsweft.com erreicht, um dein Board zu synchronisieren.

Weft fordert und nutzt unter Android keines der folgenden: genauen oder groben Standort, Kontakte, Kalender, SMS- oder Anrufprotokolle, Mikrofon, Kamera, Hintergrundstandort, Körpersensoren, Geräte in der Nähe, externen Speicher oder die Werbe-ID. Die iOS-App fordert keine Berechtigungen für Standort, Kontakte, Kalender, Mikrofon, Kamera, Fotos, Bewegung, Gesundheit oder Tracking an.

10. KI-Funktionen

Weft erzeugt keine Inhalte mit KI. Das Produkt ruft von sich aus kein großes Sprachmodell auf, enthält keinen eingebauten Chatbot und übermittelt deine Board-Daten an keinen KI-Anbieter.

Was Weft tut, ist einen Endpunkt nach dem Model Context Protocol (MCP) bereitzustellen, für den du externe KI-Clients (Claude Desktop, Cursor, ChatGPT Codex, Gemini CLI usw.) autorisieren kannst. Jeder KI-Client verbindet sich direkt mit unserem MCP-Endpunkt über ein OAuth-Token, das du erteilst; ausgetauscht werden die Daten, die du oder dein autorisierter Client lesen oder schreiben. Weft betreibt diese KI-Clients nicht und sendet ihnen deine Daten nicht — das tust du, indem du sie verbindest.

11. Kinder

Der Dienst richtet sich nicht an Kinder unter 13 Jahren (oder das entsprechende Mindestalter in deinem Land), und wir erheben ihre Daten nicht wissentlich. Wenn du glaubst, dass ein Kind personenbezogene Daten angegeben hat, kontaktier uns, und wir löschen sie.

12. Cookies & ähnliche Technologien

Wir nutzen unbedingt erforderliche Cookies, um dich angemeldet zu halten, deine Einstellungen zu merken und den Dienst abzusichern. Diese sind immer aktiv.

Außerdem nutzen wir nicht erforderliche Cookies für Analyse und Werbemessung: Google Analytics (_ga, _ga_*) und das Meta Pixel (_fbp, _fbc). Besucherinnen und Besucher aus dem EWR, dem Vereinigten Königreich und der Schweiz sehen ein Einwilligungsbanner, und diese Cookies werden erst gesetzt, nachdem sie „Alle akzeptieren“ gewählt haben. Browser, die das Signal Global Privacy Control senden, werden automatisch ausgenommen. Du kannst deine Wahl jederzeit über den Link „Cookie-Einstellungen“ im Seitenfuß ändern und Cookies außerdem in deinem Browser verwalten oder löschen.

13. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung aktualisieren. Über wesentliche Änderungen informieren wir mindestens 15 Tage vor ihrem Wirksamwerden per E-Mail oder im Produkt. Das Datum „Zuletzt aktualisiert“ oben zeigt die jeweils neueste Fassung.

14. Kontakt & Datenschutzbeauftragter

• Verantwortlicher: AI PRODUCTS LTDA — CNPJ 63.045.700/0001-12.
• Datenschutzkontakt / DSB: support@letsweft.com