Política de privacidad

Esta Política de privacidad describe cómo AI PRODUCTS LTDA, CNPJ 63.045.700/0001-12 («Weft», «nosotros»), recoge, usa, comparte y protege los datos personales cuando utilizas letsweft.com y las aplicaciones de Weft (en conjunto, el «Servicio»). Somos el responsable del tratamiento conforme al Reglamento General de Protección de Datos de la UE («RGPD»), la empresa (business) conforme a la Ley de Privacidad del Consumidor de California / Ley de Derechos de Privacidad de California («CCPA/CPRA») y el controlador conforme a la Lei Geral de Proteção de Dados de Brasil («LGPD», la ley brasileña de protección de datos, Ley 13.709/2018).

1. Datos que recogemos

• Datos de la cuenta: tu nombre, tu dirección de correo electrónico y un hash de tu contraseña con sal. No almacenamos tu contraseña en texto plano.
• Contenido que creas: tareas, sprints, columnas, comentarios, archivos adjuntos, configuración del tablero y cualquier texto que añadas desde la aplicación web o un cliente de IA. Si te unes a un espacio de trabajo compartido o creas uno (plan Team), todos los miembros de ese espacio pueden ver y editar este contenido. Solo se factura al propietario del espacio de trabajo.
• Datos de facturación: guardamos un ID de cliente de Stripe y los metadatos de la suscripción. Los datos de la tarjeta se introducen directamente en la infraestructura de Stripe, que cumple PCI-DSS, y nunca se almacenan en nuestros servidores.
• Metadatos de clientes de IA / MCP: cuando conectas un asistente de IA (Claude, Cursor, Codex, ChatGPT, Gemini, etc.) a través del endpoint MCP, registramos el cliente autorizado, los tokens OAuth y las llamadas a herramientas realizadas, de modo que el acceso pueda auditarse y retirarse a petición.
• Datos de uso y técnicos: dirección IP, tipo de navegador/dispositivo, sistema operativo, páginas visitadas, identificadores de cookies y marcas de tiempo, utilizados para seguridad, analítica, medición publicitaria y depuración.
• Datos de soporte: el contenido de tus mensajes cuando nos escribes por correo electrónico.

2. Cómo los usamos

• para prestar, operar y mantener el Servicio;
• para procesar pagos y gestionar tu suscripción;
• para autenticarte y proteger tu cuenta;
• para permitirte, a ti y a tus clientes de IA, leer y modificar tu tablero a través del endpoint MCP;
• para responder a las solicitudes de soporte;
• para enviar mensajes transaccionales (recibos, alertas de seguridad, actualizaciones de políticas) y, con tu consentimiento cuando sea necesario, novedades del producto;
• para detectar fraudes y abusos, hacer cumplir nuestros Términos y cumplir obligaciones legales;
• para corregir errores y mejorar el Servicio;
• para medir cómo usan los visitantes letsweft.com y qué rendimiento tienen nuestras campañas de marketing, y para llegar a posibles usuarios mediante publicidad, usando cookies analíticas y publicitarias solo con tu consentimiento cuando sea necesario (véase la sección 12).

No vendemos tus datos personales y no utilizamos tu Contenido del usuario para entrenar modelos de IA compartidos o de terceros.

3. Bases jurídicas (RGPD y LGPD)

• Contrato: para prestar el Servicio que has contratado (cuenta, facturación, acceso MCP).
• Interés legítimo: para mantener la seguridad del Servicio, prevenir el fraude y mejorar la fiabilidad; ponderado frente a tus derechos.
• Obligación legal: para conservar los registros de facturación y atender requerimientos legales.
• Consentimiento: para las cookies opcionales, los correos de marketing opcionales o cualquier otro tratamiento que requiera consentimiento. Puedes retirar tu consentimiento en cualquier momento.

4. Con quién compartimos los datos

Compartimos datos personales únicamente con las partes indicadas a continuación. La mayoría son proveedores de servicios (encargados del tratamiento) que actúan bajo acuerdos escritos que limitan su uso a nuestras instrucciones; Google (analítica) y Meta (medición publicitaria) también tratan algunos datos para sus propios fines, tal y como describen sus políticas de privacidad:

• Vercel, Inc. (Estados Unidos): alojamiento de la aplicación, red perimetral (edge) y ejecución de funciones sin servidor para letsweft.com y nuestras API.
• Neon, Inc. (Estados Unidos): base de datos PostgreSQL gestionada que almacena los datos de cuenta, contenido y facturación.
• Upstash, Inc. (Estados Unidos / UE): Redis gestionado, utilizado para limitar la frecuencia de peticiones y para el estado efímero de sesión/MCP.
• Stripe, Inc. (Estados Unidos): pagos, facturación de suscripciones y portal de clientes para las compras web. Los datos de la tarjeta se introducen directamente en la infraestructura de Stripe, que cumple PCI-DSS.
• Google LLC (Estados Unidos): dos funciones: (a) cuando compras o gestionas una suscripción Pro en Android a través de Google Play Billing, Google procesa la transacción conforme a sus propios términos; (b) Google Analytics en letsweft.com nos ayuda a entender cómo usan el sitio los visitantes (páginas visitadas, tipo de dispositivo, ubicación aproximada derivada de la IP). Las cookies analíticas se instalan solo tal y como se describe en la sección 12.
• Meta Platforms, Inc. (Estados Unidos): medición publicitaria mediante el píxel de Meta en letsweft.com. Cuando lo permite la sección 12, Meta recibe eventos de uso (como visitas a páginas y registros), identificadores de cookies y, cuando creas una cuenta, una versión en hash (SHA-256) de tu dirección de correo electrónico y de tu nombre, que se utiliza para atribuir conversiones a los anuncios de Meta («Advanced Matching»). Con el mismo consentimiento de la sección 12, también podemos comunicar el evento de registro a Meta desde nuestros servidores («Conversions API»), limitado a los mismos identificadores en hash (correo electrónico, ID de cuenta) y a datos técnicos (dirección IP, identificadores del navegador). Nunca enviamos a Meta el contenido de tu tablero, tu contraseña ni tus datos de facturación.
• Apple Inc. (Estados Unidos): cuando compras o gestionas una suscripción Pro en iOS o macOS mediante la compra integrada de Apple (In-App Purchase), Apple procesa la transacción conforme a sus propios términos.
• Proveedor de envío de correo electrónico (Estados Unidos / UE): envía los mensajes transaccionales (verificación, restablecimiento de contraseña, recibos de facturación).
• Clientes de IA que conectes: si autorizas a un cliente de IA a acceder a tu tablero a través de MCP, el proveedor de ese cliente recibe los datos que se le transmitan, por decisión tuya o de tu cliente. Cada proveedor trata esos datos conforme a sus propios términos.
• Obligaciones legales y seguridad: cuando lo exija la ley o una orden judicial, o para proteger nuestros derechos, bienes o seguridad, o los de terceros.
• Sucesores: en el marco de una fusión, adquisición o venta de activos, con sujeción a protecciones equivalentes.

No utilizamos SDK de analítica, de publicidad ni de atribución de terceros en la aplicación móvil.

5. Transferencias internacionales

Tenemos nuestra sede en Brasil y nuestros proveedores de servicios operan en varias regiones, incluidos Estados Unidos y la Unión Europea. Cuando transferimos datos personales fuera de tu región, nos basamos en mecanismos de transferencia lícitos, como las cláusulas contractuales tipo (RGPD), las decisiones de adecuación o garantías equivalentes en virtud de la LGPD.

6. Conservación de los datos

Conservamos los datos de la cuenta y el contenido mientras tu cuenta esté activa. Cuando eliminas tu cuenta, eliminamos o anonimizamos los datos personales en un plazo de 30 días, salvo cuando debamos conservar registros por motivos legales, fiscales, contables o de prevención del fraude (normalmente hasta 5 años conforme a la legislación fiscal brasileña).

7. Seguridad

Aplicamos medidas técnicas y organizativas conformes a los estándares del sector para proteger tus datos, incluidos el cifrado TLS en tránsito, el hash cifrado de contraseñas, controles de acceso y registros de auditoría. Ningún método de transmisión o almacenamiento es seguro al 100 %; no podemos garantizar una seguridad absoluta.

8. Tus derechos

8.1 Todas las personas

En cualquier momento puedes:

• acceder a los datos de tu cuenta a través del Servicio;
• corregir datos inexactos;
• exportar tus datos (tareas, sprints, comentarios) en un formato legible por máquina, previa solicitud;
• eliminar tu cuenta desde la página de eliminación de cuenta, desde la pantalla de ajustes de la aplicación móvil de Weft o escribiéndonos por correo electrónico; esto elimina también los datos personales asociados.

8.2 Brasil (LGPD)

Tienes los derechos previstos en el art. 18 de la LGPD, incluidos la confirmación del tratamiento, el acceso, la corrección, la anonimización/bloqueo/eliminación de datos innecesarios, la portabilidad, la información sobre con quién se comparten los datos y la revocación del consentimiento. La autoridad brasileña de protección de datos es la ANPD: gov.br/anpd.

8.3 Espacio Económico Europeo y Reino Unido (RGPD)

Tienes derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición (incluida la oposición al tratamiento basado en el interés legítimo). Tienes derecho a presentar una reclamación ante la autoridad de control de tu país de residencia.

8.4 California (CCPA/CPRA)

Los residentes en California tienen derecho a saber qué información personal recogemos y cómo la usamos, a solicitar su eliminación, a corregir información inexacta, a limitar el uso de información personal sensible y a oponerse a la «venta» o el «intercambio» (sharing) de información personal. No vendemos tu información personal. Nuestro uso de cookies publicitarias (el píxel de Meta) puede constituir un «intercambio» (publicidad conductual entre contextos) según la definición de la CCPA/CPRA. Puedes oponerte en cualquier momento eligiendo «Solo esenciales» en nuestro aviso de cookies o mediante el enlace «Configuración de cookies» del pie de página del sitio; también respetamos la señal de navegador Global Privacy Control (GPC) como solicitud de exclusión válida. No te discriminaremos por ejercer tus derechos.

8.5 Cómo ejercer tus derechos

Para eliminar tu cuenta, utiliza la página de eliminación en autoservicio (web) o la pantalla de Ajustes de la aplicación móvil de Weft. Para cualquier otra solicitud (acceso, corrección, exportación, oposición), escribe a support@letsweft.com. Responderemos en el plazo que exija la ley aplicable (normalmente 15 días conforme a la LGPD, 30 días conforme al RGPD y 45 días conforme a la CCPA/CPRA).

9. Permisos de la aplicación móvil

Las aplicaciones de Weft para Android e iOS solicitan los permisos mínimos necesarios para funcionar. En concreto, la aplicación de Android declara únicamente el permiso INTERNET, que le permite conectarse a nuestra API en letsweft.com para sincronizar tu tablero.

Weft no solicita ni utiliza nada de lo siguiente en Android: ubicación precisa o aproximada, contactos, calendario, SMS o registros de llamadas, micrófono, cámara, ubicación en segundo plano, sensores corporales, dispositivos cercanos, almacenamiento externo ni el identificador de publicidad. La aplicación de iOS no solicita permisos de ubicación, contactos, calendario, micrófono, cámara, fotos, movimiento, salud ni seguimiento.

10. Funciones de IA

Weft no genera contenido con IA. El producto no llama por sí mismo a ningún modelo de lenguaje de gran tamaño, no incluye un chatbot integrado y no transmite los datos de tu tablero a ningún proveedor de IA.

Lo que Weft sí hace es exponer un endpoint de Model Context Protocol (MCP) que puedes autorizar a usar a clientes de IA externos (Claude Desktop, Cursor, ChatGPT Codex, Gemini CLI, etc.). Cada cliente de IA se conecta directamente a nuestro endpoint MCP con un token OAuth que tú concedes; los datos intercambiados son los que se lean o escriban por decisión tuya o de tu cliente autorizado. Weft no es el operador de esos clientes de IA y no les envía tus datos: lo haces tú al conectarlos.

11. Menores

El Servicio no está dirigido a menores de 13 años (o la edad mínima equivalente en tu país) y no recogemos sus datos a sabiendas. Si crees que un menor nos ha facilitado datos personales, ponte en contacto con nosotros y los eliminaremos.

12. Cookies y tecnologías similares

Usamos cookies estrictamente necesarias para mantener tu sesión iniciada, recordar tus preferencias y proteger el Servicio. Están siempre activas.

También usamos cookies no esenciales para analítica y medición publicitaria: Google Analytics (_ga, _ga_*) y el píxel de Meta (_fbp, _fbc). Los visitantes del EEE, el Reino Unido y Suiza ven un aviso de consentimiento, y estas cookies solo se instalan después de que elijan «Aceptar todas». Los navegadores que envían la señal Global Privacy Control quedan excluidos automáticamente. Puedes cambiar tu elección en cualquier momento mediante el enlace «Configuración de cookies» del pie de página del sitio, y también puedes gestionar o eliminar las cookies en tu navegador.

13. Cambios en esta política

Podemos actualizar esta Política de privacidad. Los cambios sustanciales se notificarán por correo electrónico o dentro del producto al menos 15 días antes de que entren en vigor. La fecha de «Última actualización» que figura al principio refleja la versión más reciente.

14. Contacto y delegado de protección de datos

• Responsable del tratamiento: AI PRODUCTS LTDA — CNPJ 63.045.700/0001-12.
• Contacto de privacidad / DPO: support@letsweft.com