Pravila privatnosti

Ova Pravila privatnosti opisuju kako AI PRODUCTS LTDA, CNPJ 63.045.700/0001-12 („Weft“, „mi“, „nas“), prikuplja, koristi, dijeli i štiti osobne podatke kada koristiš letsweft.com i aplikacije Weft (zajedno: „Usluga“). Mi smo voditelj obrade u smislu Opće uredbe EU o zaštiti podataka („GDPR“), business u smislu California Consumer Privacy Act / California Privacy Rights Act („CCPA/CPRA“) te controlador u smislu brazilskog Lei Geral de Proteção de Dados („LGPD“ — Zakon 13.709/2018).

1. Koje podatke prikupljamo

• Podaci o računu — tvoje ime, adresa e-pošte i soljeni sažetak (hash) lozinke. Tvoju lozinku ne pohranjujemo kao čisti tekst.
• Sadržaj koji stvaraš — zadaci, sprintovi, stupci, komentari, privici, konfiguracija ploče i svaki tekst koji dodaš putem web-aplikacije ili AI klijenta. Ako se pridružiš zajedničkom radnom prostoru ili ga izradiš (plan Team), svi članovi tog radnog prostora mogu vidjeti i uređivati taj sadržaj. Naplaćuje se samo vlasniku radnog prostora.
• Podaci o naplati — pohranjujemo Stripe ID kupca i metapodatke pretplate. Podatke o kartici unosiš izravno u Stripeovu infrastrukturu usklađenu s PCI-DSS-om i nikada se ne pohranjuju na našim poslužiteljima.
• Metapodaci AI klijenta / MCP-a — kada povežeš AI asistenta (Claude, Cursor, Codex, ChatGPT, Gemini itd.) putem MCP endpointa, bilježimo autoriziranog klijenta, OAuth tokene i izvršene pozive alata kako bi se pristup mogao revidirati i opozvati na zahtjev.
• Podaci o korištenju i tehnički podaci — IP adresa, vrsta preglednika i uređaja, operativni sustav, posjećene stranice, identifikatori kolačića i vremenske oznake, koji se koriste za sigurnost, analitiku, mjerenje oglašavanja i otklanjanje pogrešaka.
• Podaci iz podrške — sadržaj tvojih poruka kada nam pišeš e-poštom.

2. Kako ih koristimo

• za pružanje, rad i održavanje Usluge;
• za obradu plaćanja i upravljanje tvojom pretplatom;
• za tvoju autentifikaciju i zaštitu tvog računa;
• kako bi ti i tvoji AI klijenti mogli čitati i mijenjati tvoju ploču putem MCP endpointa;
• za odgovaranje na zahtjeve za podršku;
• za slanje transakcijskih poruka (potvrde, sigurnosna upozorenja, izmjene pravila) te, uz tvoju privolu gdje je potrebna, novosti o proizvodu;
• za otkrivanje prijevara i zlouporaba, provođenje naših Uvjeta i ispunjavanje zakonskih obveza;
• za ispravljanje pogrešaka i poboljšanje Usluge;
• za mjerenje načina na koji posjetitelji koriste letsweft.com i uspješnosti naših marketinških kampanja te za dosezanje potencijalnih korisnika oglašavanjem — pri čemu analitičke i oglašivačke kolačiće koristimo samo uz tvoju privolu gdje je potrebna (vidi odjeljak 12).

Ne prodajemo tvoje osobne podatke i ne koristimo tvoj Korisnički sadržaj za treniranje zajedničkih ili tuđih AI modela.

3. Pravne osnove (GDPR & LGPD)

• Ugovor — za pružanje Usluge za koju si se registrirao (račun, naplata, MCP pristup).
• Legitimni interesi — za održavanje sigurnosti Usluge, sprječavanje prijevara i poboljšanje pouzdanosti; odmjereno u odnosu na tvoja prava.
• Zakonska obveza — za vođenje evidencije o naplati i odgovaranje na zakonite zahtjeve.
• Privola — za neobavezne kolačiće, neobavezne marketinške e-poruke ili svaku drugu obradu koja zahtijeva privolu. Privolu možeš povući u bilo kojem trenutku.

4. S kim dijelimo podatke

Osobne podatke dijelimo samo sa stranama navedenima u nastavku. Većina su pružatelji usluga (podizvršitelji obrade) koji djeluju na temelju pisanih ugovora koji njihovu upotrebu podataka ograničavaju na naše upute; Google (analitika) i Meta (mjerenje oglašavanja) dio podataka obrađuju i za vlastite svrhe, kako je opisano u njihovim pravilima privatnosti:

• Vercel, Inc. (Sjedinjene Američke Države) — hosting aplikacije, rubna mreža i izvršavanje serverless funkcija za letsweft.com i naše API-je.
• Neon, Inc. (Sjedinjene Američke Države) — upravljana baza podataka PostgreSQL u kojoj su pohranjeni podaci o računu, sadržaju i naplati.
• Upstash, Inc. (Sjedinjene Američke Države / EU) — upravljani Redis koji se koristi za ograničavanje broja zahtjeva i kratkotrajno stanje sesije / MCP-a.
• Stripe, Inc. (Sjedinjene Američke Države) — plaćanja, naplata pretplata i korisnički portal za kupnje na webu. Podatke o kartici unosiš izravno u Stripeovu infrastrukturu usklađenu s PCI-DSS-om.
• Google LLC (Sjedinjene Američke Države) — dvije uloge: (a) kada kupiš pretplatu Pro ili njome upravljaš na Androidu putem Google Play Billinga, Google obrađuje transakciju prema vlastitim uvjetima; (b) Google Analytics na letsweft.com pomaže nam razumjeti kako posjetitelji koriste stranicu (posjećene stranice, vrsta uređaja, približna lokacija izvedena iz IP adrese). Analitički kolačići postavljaju se samo kako je opisano u odjeljku 12.
• Meta Platforms, Inc. (Sjedinjene Američke Države) — mjerenje oglašavanja putem Meta Pixela na letsweft.com. Gdje to odjeljak 12 dopušta, Meta prima događaje korištenja (poput prikaza stranica i registracija), identifikatore kolačića te — kada se registriraš — hashiranu (SHA-256) verziju tvoje adrese e-pošte i imena, koja se koristi za povezivanje konverzija s Meta oglasima („Advanced Matching“). Uz istu privolu iz odjeljka 12 događaj registracije možemo prijaviti Meti i s naših poslužitelja („Conversions API“), ograničeno na iste hashirane identifikatore (e-pošta, ID računa) i tehničke podatke (IP adresa, identifikatori preglednika). Meti nikada ne šaljemo sadržaj tvoje ploče, lozinku ni podatke o naplati.
• Apple Inc. (Sjedinjene Američke Države) — kada kupiš pretplatu Pro ili njome upravljaš na iOS-u ili macOS-u putem Apple In-App Purchase, Apple obrađuje transakciju prema vlastitim uvjetima.
• Pružatelj usluge slanja e-pošte (Sjedinjene Američke Države / EU) — šalje transakcijske poruke (potvrda adrese, ponovno postavljanje lozinke, potvrde o plaćanju).
• AI klijenti koje povežeš — ako AI klijentu odobriš pristup svojoj ploči putem MCP-a, pružatelj tog klijenta prima one podatke koje ti ili tvoj klijent odlučite prenijeti. Svaki pružatelj te podatke obrađuje prema vlastitim uvjetima.
• Pravna pitanja i sigurnost — ako to zahtijeva zakon ili sudski nalog ili radi zaštite prava, imovine ili sigurnosti naših ili drugih osoba.
• Pravni sljednici — u sklopu spajanja, preuzimanja ili prodaje imovine, uz jednakovrijednu zaštitu.

U mobilnoj aplikaciji ne koristimo analitičke, oglašivačke ni atribucijske SDK-ove trećih strana.

5. Međunarodni prijenosi

Sjedište nam je u Brazilu, a naši pružatelji usluga posluju u više regija, uključujući Sjedinjene Američke Države i Europsku uniju. Kada osobne podatke prenosimo izvan tvoje regije, oslanjamo se na zakonite mehanizme prijenosa poput standardnih ugovornih klauzula (GDPR), odluka o primjerenosti ili jednakovrijednih zaštitnih mjera prema LGPD-u.

6. Čuvanje podataka

Podatke o računu i sadržaju čuvamo dok god je tvoj račun aktivan. Kada izbrišeš račun, osobne podatke brišemo ili anonimiziramo u roku od 30 dana, osim ako evidenciju moramo čuvati u pravne, porezne, računovodstvene svrhe ili radi sprječavanja prijevara (obično do 5 godina prema brazilskom poreznom pravu).

7. Sigurnost

Za zaštitu tvojih podataka koristimo tehničke i organizacijske mjere koje su standard u industriji, uključujući TLS enkripciju u prijenosu, kriptografsko hashiranje lozinki, kontrolu pristupa i revizijske zapise. Nijedna metoda prijenosa ni pohrane nije 100 % sigurna; ne možemo jamčiti apsolutnu sigurnost.

8. Tvoja prava

8.1 Svi korisnici

U bilo kojem trenutku možeš:

• pristupiti podacima na svom računu putem Usluge;
• ispraviti netočne podatke;
• na zahtjev izvesti svoje podatke (zadatke, sprintove, komentare) u strojno čitljivom formatu;
• izbrisati račun na stranici za brisanje računa, na zaslonu postavki u mobilnoj aplikaciji Weft ili slanjem e-poruke — time se brišu i povezani osobni podaci.

8.2 Brazil (LGPD)

Imaš prava iz čl. 18. LGPD-a, uključujući potvrdu obrade, pristup, ispravak, anonimizaciju/blokiranje/brisanje nepotrebnih podataka, prenosivost, informacije o dijeljenju i povlačenje privole. Brazilsko tijelo za zaštitu podataka je ANPD — gov.br/anpd.

8.3 Europski gospodarski prostor & UK (GDPR)

Imaš pravo na pristup, ispravak, brisanje, ograničenje obrade, prenosivost i prigovor (uključujući prigovor na obradu temeljenu na legitimnim interesima). Imaš pravo podnijeti pritužbu nadzornom tijelu u državi svog boravišta.

8.4 Kalifornija (CCPA/CPRA)

Stanovnici Kalifornije imaju pravo znati koje osobne informacije prikupljamo i kako ih koristimo, zatražiti brisanje, ispraviti netočne informacije, ograničiti upotrebu osjetljivih osobnih informacija te se usprotiviti „prodaji“ ili „dijeljenju“ osobnih informacija. Ne prodajemo tvoje osobne informacije. Naša upotreba oglašivačkih kolačića (Meta Pixel) može predstavljati „dijeljenje“ (bihevioralno oglašavanje u više konteksta) kako ga definira CCPA/CPRA. Tome se možeš usprotiviti u bilo kojem trenutku odabirom „Samo nužni“ na našem banneru o kolačićima ili putem poveznice „Postavke kolačića“ u podnožju stranice; signal preglednika Global Privacy Control (GPC) također poštujemo kao valjan zahtjev za isključenje. Zbog ostvarivanja svojih prava nećeš biti diskriminiran.

8.5 Kako ostvariti svoja prava

Za brisanje računa koristi stranicu za samostalno brisanje (web) ili zaslon Postavke u mobilnoj aplikaciji Weft. Za sve ostale zahtjeve (pristup, ispravak, izvoz, prigovor) piši na support@letsweft.com. Odgovorit ćemo u roku koji propisuje mjerodavno pravo (obično 15 dana prema LGPD-u, 30 dana prema GDPR-u, 45 dana prema CCPA/CPRA-u).

9. Dopuštenja mobilne aplikacije

Aplikacije Weft za Android i iOS traže samo minimalna dopuštenja potrebna za rad. Konkretno, aplikacija za Android deklarira samo dopuštenje INTERNET, koje joj omogućuje pristup našem API-ju na letsweft.com radi sinkronizacije tvoje ploče.

Weft na Androidu ne traži niti koristi ništa od sljedećeg: preciznu ili približnu lokaciju, kontakte, kalendar, SMS-ove ili zapise poziva, mikrofon, kameru, lokaciju u pozadini, tjelesne senzore, uređaje u blizini, vanjsku pohranu ni oglašivački ID. Aplikacija za iOS ne traži dopuštenja za lokaciju, kontakte, kalendar, mikrofon, kameru, fotografije, pokret, zdravlje ni praćenje.

10. AI značajke

Weft ne generira sadržaj pomoću umjetne inteligencije. Proizvod sam od sebe ne poziva nijedan veliki jezični model, nema ugrađeni chatbot i ne prenosi podatke tvoje ploče nijednom pružatelju AI usluga.

Ono što Weft radi jest da nudi Model Context Protocol (MCP) endpoint koji možeš odobriti vanjskim AI klijentima (Claude Desktop, Cursor, ChatGPT Codex, Gemini CLI itd.). Svaki AI klijent povezuje se izravno s našim MCP endpointom pomoću OAuth tokena koji mu dodijeliš; razmjenjuju se oni podaci koje ti ili tvoj autorizirani klijent odlučite pročitati ili zapisati. Weft nije operater tih AI klijenata i ne šalje im tvoje podatke — to činiš ti kada ih povežeš.

11. Djeca

Usluga nije namijenjena djeci mlađoj od 13 godina (ili odgovarajuće minimalne dobi u tvojoj zemlji) i svjesno ne prikupljamo njihove podatke. Ako smatraš da je dijete dostavilo osobne podatke, javi nam se i izbrisat ćemo ih.

12. Kolačići & slične tehnologije

Koristimo nužne kolačiće kako bismo te zadržali prijavljenim, zapamtili tvoje postavke i zaštitili Uslugu. Oni su uvijek uključeni.

Koristimo i kolačiće koji nisu nužni, za analitiku i mjerenje oglašavanja: Google Analytics (_ga, _ga_*) i Meta Pixel (_fbp, _fbc). Posjetitelji iz EGP-a, Ujedinjene Kraljevine i Švicarske vide banner za privolu, a ti se kolačići postavljaju tek nakon što odaberu „Prihvati sve“. Preglednici koji šalju signal Global Privacy Control automatski su isključeni. Svoj odabir možeš promijeniti u bilo kojem trenutku putem poveznice „Postavke kolačića“ u podnožju stranice, a kolačićima možeš upravljati ili ih izbrisati i u svom pregledniku.

13. Izmjene ovih Pravila

Ova Pravila privatnosti možemo ažurirati. O bitnim izmjenama obavijestit ćemo te e-poštom ili unutar proizvoda najmanje 15 dana prije njihova stupanja na snagu. Datum „Posljednje ažuriranje“ na vrhu odnosi se na najnoviju verziju.

14. Kontakt & službenik za zaštitu podataka

• Voditelj obrade: AI PRODUCTS LTDA — CNPJ 63.045.700/0001-12.
• Kontakt za privatnost / službenik za zaštitu podataka: support@letsweft.com