Politique de confidentialité

Cette politique de confidentialité décrit comment AI PRODUCTS LTDA, CNPJ 63.045.700/0001-12 (« Weft », « nous »), collecte, utilise, partage et protège les données personnelles lorsque vous utilisez letsweft.com et les applications Weft (ensemble, le « Service »). Nous sommes le responsable du traitement au sens du Règlement général sur la protection des données de l’UE (« RGPD »), la business au sens du California Consumer Privacy Act / California Privacy Rights Act (« CCPA/CPRA »), et le controlador au sens de la Lei Geral de Proteção de Dados brésilienne (« LGPD » — loi 13.709/2018).

1. Les données que nous collectons

• Données de compte — votre nom, votre adresse e-mail et une empreinte salée de votre mot de passe. Nous ne stockons pas votre mot de passe en clair.
• Contenus que vous créez — tâches, sprints, colonnes, commentaires, pièces jointes, configuration du tableau, et tout texte ajouté via l’application web ou un client IA. Si vous rejoignez ou créez un espace partagé (forfait Équipe), tous les membres de cet espace peuvent voir et modifier ces contenus. Seul le propriétaire de l’espace est facturé.
• Données de facturation — nous stockons un identifiant client Stripe et les métadonnées de l’abonnement. Les coordonnées bancaires sont saisies directement sur l’infrastructure conforme PCI-DSS de Stripe et ne sont jamais stockées sur nos serveurs.
• Métadonnées des clients IA / MCP — quand vous connectez un assistant IA (Claude, Cursor, Codex, ChatGPT, Gemini, etc.) via le point de terminaison MCP, nous journalisons le client autorisé, les jetons OAuth et les appels d’outils effectués, afin que l’accès puisse être audité et retiré sur demande.
• Données d’usage et techniques — adresse IP, type de navigateur et d’appareil, système d’exploitation, pages visitées, identifiants de cookies et horodatages, utilisés pour la sécurité, la mesure d’audience, la mesure publicitaire et le débogage.
• Données d’assistance — le contenu de vos messages lorsque vous nous écrivez.

2. Comment nous les utilisons

• pour fournir, exploiter et maintenir le Service ;
• pour traiter les paiements et gérer votre abonnement ;
• pour vous authentifier et sécuriser votre compte ;
• pour vous permettre, à vous et à vos clients IA, de lire et modifier votre tableau via le point de terminaison MCP ;
• pour répondre aux demandes d’assistance ;
• pour envoyer des messages transactionnels (reçus, alertes de sécurité, mises à jour des politiques) et, avec votre consentement lorsque nécessaire, des nouvelles du produit ;
• pour détecter la fraude et les abus, faire respecter nos Conditions et satisfaire à nos obligations légales ;
• pour corriger des bugs et améliorer le Service ;
• pour mesurer comment les visiteurs utilisent letsweft.com et comment nos campagnes marketing se comportent, et pour toucher des utilisateurs potentiels par la publicité — en utilisant les cookies de mesure d’audience et de publicité uniquement avec votre consentement lorsque cela est requis (voir section 12).

Nous ne vendons pas vos données personnelles, et nous n’utilisons pas vos Contenus Utilisateur pour entraîner des modèles d’IA partagés ou tiers.

3. Bases légales (RGPD et LGPD)

• Contrat — pour fournir le Service auquel vous avez souscrit (compte, facturation, accès MCP).
• Intérêts légitimes — pour garder le Service sûr, prévenir la fraude et améliorer la fiabilité ; mis en balance avec vos droits.
• Obligation légale — pour conserver les pièces de facturation et répondre aux demandes légales.
• Consentement — pour les cookies facultatifs, les e-mails marketing facultatifs, ou tout autre traitement qui exige un consentement. Vous pouvez le retirer à tout moment.

4. Avec qui nous partageons les données

Nous ne partageons de données personnelles qu’avec les parties ci-dessous. La plupart sont des prestataires (sous-traitants) agissant au titre d’accords écrits qui limitent leur usage à nos instructions ; Google (mesure d’audience) et Meta (mesure publicitaire) traitent aussi certaines données pour leurs propres finalités, comme décrit dans leurs politiques de confidentialité :

• Vercel, Inc. (États-Unis) — hébergement de l’application, réseau edge et exécution de fonctions serverless pour letsweft.com et nos API.
• Neon, Inc. (États-Unis) — base de données PostgreSQL managée stockant les données de compte, de contenu et de facturation.
• Upstash, Inc. (États-Unis / UE) — Redis managé utilisé pour la limitation de débit et l’état éphémère de session/MCP.
• Stripe, Inc. (États-Unis) — paiements, facturation des abonnements et portail client pour les achats sur le web. Les données de carte sont saisies directement sur l’infrastructure conforme PCI-DSS de Stripe.
• Google LLC (États-Unis) — deux rôles : (a) quand vous achetez ou gérez un abonnement Pro sur Android via Google Play Billing, Google traite la transaction selon ses propres conditions ; (b) Google Analytics sur letsweft.com nous aide à comprendre comment les visiteurs utilisent le site (pages visitées, type d’appareil, localisation approximative dérivée de l’IP). Les cookies de mesure d’audience ne sont déposés que comme décrit à la section 12.
• Meta Platforms, Inc. (États-Unis) — mesure publicitaire via le Meta Pixel sur letsweft.com. Lorsque la section 12 l’autorise, Meta reçoit des événements d’usage (comme les pages vues et les inscriptions), des identifiants de cookies et — à votre inscription — une version hachée (SHA-256) de votre adresse e-mail et de votre nom, servant à rattacher les conversions aux publicités Meta (« Advanced Matching »). Sous réserve du même consentement au titre de la section 12, nous pouvons aussi signaler l’événement d’inscription à Meta depuis nos serveurs (« Conversions API »), limité aux mêmes identifiants hachés (e-mail, identifiant de compte) et données techniques (adresse IP, identifiants de navigateur). Nous n’envoyons jamais à Meta le contenu de votre tableau, votre mot de passe ou vos données de facturation.
• Apple Inc. (États-Unis) — quand vous achetez ou gérez un abonnement Pro sur iOS ou macOS via l’achat intégré d’Apple, Apple traite la transaction selon ses propres conditions.
• Prestataire d’envoi d’e-mails (États-Unis / UE) — envoie les messages transactionnels (vérification, réinitialisation de mot de passe, reçus de facturation).
• Clients IA que vous connectez — si vous autorisez un client IA à accéder à votre tableau via MCP, le fournisseur de ce client reçoit les données que vous ou votre client choisissez de transmettre. Chaque fournisseur traite ces données selon ses propres conditions.
• Aspects légaux et sécurité — si la loi, une décision de justice ou la protection de nos droits ou de ceux d’autrui, de biens ou de la sécurité l’exigent.
• Successeurs — dans le cadre d’une fusion, d’une acquisition ou d’une cession d’actifs, sous réserve de protections équivalentes.

Nous n’utilisons aucun SDK tiers de mesure d’audience, de publicité ou d’attribution dans l’application mobile.

5. Transferts internationaux

Notre siège est au Brésil, et nos prestataires opèrent dans plusieurs régions, dont les États-Unis et l’Union européenne. Lorsque nous transférons des données personnelles hors de votre région, nous nous appuyons sur des mécanismes de transfert licites tels que les clauses contractuelles types (RGPD), des décisions d’adéquation, ou des garanties équivalentes au titre de la LGPD.

6. Durée de conservation

Nous conservons les données de compte et de contenu tant que votre compte est actif. Quand vous supprimez votre compte, nous supprimons ou anonymisons les données personnelles sous 30 jours, sauf lorsque nous devons conserver des pièces à des fins légales, fiscales, comptables ou de prévention de la fraude (en général jusqu’à 5 ans au titre du droit fiscal brésilien).

7. Sécurité

Nous utilisons des mesures techniques et organisationnelles conformes aux standards du secteur pour protéger vos données, dont le chiffrement TLS en transit, le hachage chiffré des mots de passe, des contrôles d’accès et une journalisation d’audit. Aucune méthode de transmission ou de stockage n’est sûre à 100 % ; nous ne pouvons pas garantir une sécurité absolue.

8. Vos droits

8.1 Pour tout le monde

Vous pouvez à tout moment :

• accéder aux données de votre compte via le Service ;
• corriger des données inexactes ;
• exporter vos données (tâches, sprints, commentaires) dans un format lisible par machine, sur demande ;
• supprimer votre compte depuis la page de suppression de compte, depuis l’écran des paramètres de l’application mobile Weft, ou en nous écrivant — cela supprime aussi les données personnelles associées.

8.2 Brésil (LGPD)

Vous disposez des droits de l’art. 18 de la LGPD, dont la confirmation du traitement, l’accès, la rectification, l’anonymisation/le blocage/la suppression des données inutiles, la portabilité, l’information sur les partages, et le retrait du consentement. L’autorité brésilienne de protection des données est l’ANPD — gov.br/anpd.

8.3 Espace économique européen et Royaume-Uni (RGPD)

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition (y compris aux traitements fondés sur les intérêts légitimes). Vous avez le droit d’introduire une réclamation auprès d’une autorité de contrôle dans votre pays de résidence.

8.4 Californie (CCPA/CPRA)

Les résidents de Californie ont le droit de savoir quelles informations personnelles nous collectons et comment nous les utilisons, de demander leur suppression, de corriger des informations inexactes, de limiter l’usage des informations personnelles sensibles, et de refuser la « vente » ou le « partage » d’informations personnelles. Nous ne vendons pas vos informations personnelles. Notre usage de cookies publicitaires (le Meta Pixel) peut constituer un « partage » (publicité comportementale inter-contextes) au sens du CCPA/CPRA. Vous pouvez vous y opposer à tout moment en choisissant « Essentiels uniquement » dans notre bandeau cookies ou via le lien « Paramètres des cookies » en pied de page ; nous respectons aussi le signal de navigateur Global Privacy Control (GPC) comme une demande d’opposition valide. Nous ne vous traiterons pas différemment parce que vous exercez vos droits.

8.5 Comment exercer vos droits

Pour supprimer votre compte, utilisez la page de suppression en libre-service (web) ou l’écran Paramètres de l’application mobile Weft. Pour toute autre demande (accès, rectification, export, opposition), écrivez à support@letsweft.com. Nous répondrons dans le délai exigé par la loi applicable (en général 15 jours sous LGPD, 30 jours sous RGPD, 45 jours sous CCPA/CPRA).

9. Autorisations de l’application mobile

Les applications Weft pour Android et iOS demandent le minimum d’autorisations nécessaires au fonctionnement. Concrètement, l’application Android ne déclare que l’autorisation INTERNET, qui lui permet de joindre notre API sur letsweft.com pour synchroniser votre tableau.

Weft ne demande ni n’utilise aucun des éléments suivants sur Android : localisation précise ou approximative, contacts, agenda, SMS ou journaux d’appels, microphone, caméra, localisation en arrière-plan, capteurs corporels, appareils à proximité, stockage externe, ou identifiant publicitaire. L’application iOS ne demande pas d’autorisation de localisation, de contacts, d’agenda, de microphone, de caméra, de photos, de mouvement, de santé ni de suivi.

10. Fonctions d’IA

Weft ne génère pas de contenu avec de l’IA. Le produit n’appelle de lui-même aucun grand modèle de langage, n’intègre aucun agent conversationnel, et ne transmet les données de votre tableau à aucun fournisseur d’IA.

Ce que Weft fait, c’est exposer un point de terminaison Model Context Protocol (MCP) que vous pouvez autoriser des clients IA externes (Claude Desktop, Cursor, ChatGPT Codex, Gemini CLI, etc.) à utiliser. Chaque client IA se connecte directement à notre point de terminaison MCP avec un jeton OAuth que vous accordez ; les données échangées sont celles que vous ou votre client autorisé choisissez de lire ou d’écrire. Weft n’est pas l’exploitant de ces clients IA et ne leur envoie pas vos données — c’est vous qui le faites, en les connectant.

11. Enfants

Le Service ne s’adresse pas aux enfants de moins de 13 ans (ou à l’âge minimum équivalent dans votre pays), et nous ne collectons pas sciemment leurs données. Si vous pensez qu’un enfant a fourni des données personnelles, contactez-nous et nous les supprimerons.

12. Cookies et technologies similaires

Nous utilisons des cookies strictement nécessaires pour vous garder connecté, mémoriser vos préférences et sécuriser le Service. Ils sont toujours actifs.

Nous utilisons aussi des cookies non essentiels pour la mesure d’audience et la mesure publicitaire : Google Analytics (_ga, _ga_*) et le Meta Pixel (_fbp, _fbc). Les visiteurs de l’EEE, du Royaume-Uni et de Suisse voient un bandeau de consentement, et ces cookies ne sont déposés qu’après avoir choisi « Tout accepter ». Les navigateurs qui envoient le signal Global Privacy Control sont exclus automatiquement. Vous pouvez changer votre choix à tout moment via le lien « Paramètres des cookies » en pied de page, et vous pouvez aussi gérer ou supprimer les cookies dans votre navigateur.

13. Modifications de cette politique

Nous pouvons mettre à jour cette politique de confidentialité. Les changements substantiels seront notifiés par e-mail ou dans le produit au moins 15 jours avant leur entrée en vigueur. La date de « dernière mise à jour » en haut de page indique la version la plus récente.

14. Contact et délégué à la protection des données

• Responsable du traitement : AI PRODUCTS LTDA — CNPJ 63.045.700/0001-12.
• Contact vie privée / DPO : support@letsweft.com