Informativa sulla privacy

Questa informativa sulla privacy descrive come AI PRODUCTS LTDA, CNPJ 63.045.700/0001-12 (“Weft”, “noi”), raccoglie, usa, condivide e protegge i dati personali quando utilizzi letsweft.com e le applicazioni Weft (insieme, il “Servizio”). Siamo il titolare del trattamento ai sensi del Regolamento generale sulla protezione dei dati dell’UE (“GDPR”), la business ai sensi del California Consumer Privacy Act / California Privacy Rights Act (“CCPA/CPRA”) e il controlador ai sensi della Lei Geral de Proteção de Dados brasiliana (“LGPD” — legge 13.709/2018).

1. I dati che raccogliamo

• Dati dell’account — nome, indirizzo email e un hash della password con salt. Non conserviamo la tua password in chiaro.
• Contenuti che crei — attività, sprint, colonne, commenti, allegati, configurazione della bacheca e qualsiasi testo aggiunto dall’app web o da un client IA. Se entri in uno spazio di lavoro condiviso o ne crei uno (piano Team), tutti i membri di quello spazio possono vedere e modificare questi contenuti. Viene addebitato solo chi possiede lo spazio di lavoro.
• Dati di fatturazione — conserviamo un ID cliente Stripe e i metadati dell’abbonamento. I dati della carta sono inseriti direttamente sull’infrastruttura conforme PCI-DSS di Stripe e non sono mai conservati sui nostri server.
• Metadati dei client IA / MCP — quando colleghi un assistente IA (Claude, Cursor, Codex, ChatGPT, Gemini ecc.) tramite l’endpoint MCP, registriamo il client autorizzato, i token OAuth e le chiamate agli strumenti effettuate, così l’accesso può essere verificato e revocato su richiesta.
• Dati d’uso e tecnici — indirizzo IP, tipo di browser/dispositivo, sistema operativo, pagine visitate, identificativi dei cookie e marche temporali, usati per sicurezza, analisi, misurazione pubblicitaria e debug.
• Dati di assistenza — il contenuto dei tuoi messaggi quando ci scrivi.

2. Come li usiamo

• per fornire, gestire e mantenere il Servizio;
• per elaborare i pagamenti e gestire il tuo abbonamento;
• per autenticarti e proteggere il tuo account;
• per permettere a te e ai tuoi client IA di leggere e modificare la tua bacheca tramite l’endpoint MCP;
• per rispondere alle richieste di assistenza;
• per inviare messaggi transazionali (ricevute, avvisi di sicurezza, aggiornamenti delle policy) e, con il tuo consenso dove richiesto, aggiornamenti di prodotto;
• per individuare frodi e abusi, far rispettare le nostre Condizioni e adempiere agli obblighi di legge;
• per correggere bug e migliorare il Servizio;
• per misurare come i visitatori usano letsweft.com e come vanno le nostre campagne di marketing, e per raggiungere potenziali utenti con la pubblicità — usando cookie di analisi e pubblicitari solo con il tuo consenso dove richiesto (vedi la sezione 12).

Non vendiamo i tuoi dati personali e non usiamo i tuoi Contenuti dell’Utente per addestrare modelli di IA condivisi o di terze parti.

3. Basi giuridiche (GDPR e LGPD)

• Contratto — per fornire il Servizio a cui ti sei iscritto (account, fatturazione, accesso MCP).
• Legittimi interessi — per mantenere sicuro il Servizio, prevenire le frodi e migliorarne l’affidabilità; bilanciati con i tuoi diritti.
• Obbligo di legge — per conservare i documenti di fatturazione e rispondere a richieste legittime.
• Consenso — per i cookie facoltativi, le email di marketing facoltative o qualsiasi altro trattamento che richieda il consenso. Puoi revocare il consenso in qualsiasi momento.

4. Con chi condividiamo i dati

Condividiamo dati personali solo con i soggetti elencati di seguito. Quasi tutti sono fornitori di servizi (sub-responsabili) che agiscono in base ad accordi scritti che ne limitano l’uso alle nostre istruzioni; Google (analisi) e Meta (misurazione pubblicitaria) trattano inoltre alcuni dati per finalità proprie, come descritto nelle loro informative sulla privacy:

• Vercel, Inc. (Stati Uniti) — hosting dell’applicazione, rete edge ed esecuzione di funzioni serverless per letsweft.com e le nostre API.
• Neon, Inc. (Stati Uniti) — database PostgreSQL gestito che conserva i dati di account, contenuti e fatturazione.
• Upstash, Inc. (Stati Uniti / UE) — Redis gestito, usato per i limiti di frequenza e per stato di sessione/MCP di breve durata.
• Stripe, Inc. (Stati Uniti) — pagamenti, fatturazione degli abbonamenti e portale clienti per gli acquisti sul web. I dati della carta sono inseriti direttamente sull’infrastruttura conforme PCI-DSS di Stripe.
• Google LLC (Stati Uniti) — due ruoli: (a) quando acquisti o gestisci un abbonamento Pro su Android tramite Google Play Billing, Google elabora la transazione secondo le proprie condizioni; (b) Google Analytics su letsweft.com ci aiuta a capire come i visitatori usano il sito (pagine visitate, tipo di dispositivo, posizione approssimativa ricavata dall’IP). I cookie di analisi vengono impostati solo come descritto nella sezione 12.
• Meta Platforms, Inc. (Stati Uniti) — misurazione pubblicitaria tramite il Meta Pixel su letsweft.com. Dove consentito ai sensi della sezione 12, Meta riceve eventi d’uso (come visualizzazioni di pagina e iscrizioni), identificativi dei cookie e — quando ti iscrivi — una versione con hash (SHA-256) del tuo indirizzo email e del tuo nome, usata per abbinare le conversioni agli annunci Meta (“Advanced Matching”). Con lo stesso consenso della sezione 12, possiamo anche riportare l’evento di iscrizione a Meta dai nostri server (“Conversions API”), limitatamente agli stessi identificativi con hash (email, ID account) e dati tecnici (indirizzo IP, identificativi del browser). Non inviamo mai a Meta il contenuto della tua bacheca, la tua password o i tuoi dati di fatturazione.
• Apple Inc. (Stati Uniti) — quando acquisti o gestisci un abbonamento Pro su iOS o macOS tramite gli acquisti in-app di Apple, Apple elabora la transazione secondo le proprie condizioni.
• Fornitore di consegna email (Stati Uniti / UE) — invia i messaggi transazionali (verifica, reimpostazione della password, ricevute di fatturazione).
• I client IA che colleghi — se autorizzi un client IA ad accedere alla tua bacheca via MCP, il fornitore di quel client riceve i dati che tu o il tuo client scegliete di trasmettere. Ogni fornitore tratta quei dati secondo le proprie condizioni.
• Aspetti legali e di sicurezza — se richiesto dalla legge, da un ordine del tribunale o per proteggere i diritti, i beni o la sicurezza nostri o di altri.
• Aventi causa — nell’ambito di una fusione, acquisizione o cessione di beni, con tutele equivalenti.

Non usiamo SDK di analisi, SDK pubblicitari o SDK di attribuzione di terze parti nell’app mobile.

5. Trasferimenti internazionali

Abbiamo sede in Brasile e i nostri fornitori di servizi operano in più regioni, tra cui gli Stati Uniti e l’Unione Europea. Quando trasferiamo dati personali fuori dalla tua regione ci basiamo su meccanismi di trasferimento legittimi come le clausole contrattuali tipo (GDPR), le decisioni di adeguatezza o garanzie equivalenti previste dalla LGPD.

6. Conservazione dei dati

Conserviamo i dati di account e contenuto finché il tuo account è attivo. Quando elimini il tuo account, cancelliamo o rendiamo anonimi i dati personali entro 30 giorni, salvo dove dobbiamo conservare documentazione per finalità legali, fiscali, contabili o di prevenzione delle frodi (di norma fino a 5 anni in base al diritto tributario brasiliano).

7. Sicurezza

Usiamo misure tecniche e organizzative conformi agli standard di settore per proteggere i tuoi dati, tra cui la cifratura TLS in transito, l’hashing cifrato delle password, i controlli di accesso e la registrazione degli audit. Nessun metodo di trasmissione o conservazione è sicuro al 100%; non possiamo garantire una sicurezza assoluta.

8. I tuoi diritti

8.1 Per tutti

In qualsiasi momento puoi:

• accedere ai dati del tuo account tramite il Servizio;
• correggere dati inesatti;
• esportare i tuoi dati (attività, sprint, commenti) in un formato leggibile da una macchina, su richiesta;
• eliminare il tuo account dalla pagina di eliminazione dell’account, dalla schermata delle impostazioni nell’app mobile di Weft o scrivendoci — questo cancella anche i relativi dati personali.

8.2 Brasile (LGPD)

Hai i diritti previsti dall’art. 18 della LGPD, tra cui la conferma del trattamento, l’accesso, la rettifica, l’anonimizzazione/il blocco/la cancellazione dei dati non necessari, la portabilità, l’informazione sulla condivisione e la revoca del consenso. L’autorità brasiliana per la protezione dei dati è l’ANPD — gov.br/anpd.

8.3 Spazio economico europeo e Regno Unito (GDPR)

Hai i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione (anche al trattamento basato sul legittimo interesse). Hai il diritto di presentare reclamo a un’autorità di controllo del tuo paese di residenza.

8.4 California (CCPA/CPRA)

I residenti in California hanno il diritto di sapere quali informazioni personali raccogliamo e come le usiamo, di chiederne la cancellazione, di correggere informazioni inesatte, di limitare l’uso di informazioni personali sensibili e di opporsi alla “vendita” o alla “condivisione” di informazioni personali. Non vendiamo le tue informazioni personali. Il nostro uso di cookie pubblicitari (il Meta Pixel) può costituire “condivisione” (pubblicità comportamentale tra contesti) come definita dal CCPA/CPRA. Puoi opporti in qualsiasi momento scegliendo “Solo essenziali” nel nostro banner dei cookie o tramite il link “Impostazioni cookie” nel piè di pagina del sito; rispettiamo inoltre il segnale del browser Global Privacy Control (GPC) come valida richiesta di opposizione. Non ti discrimineremo per aver esercitato i tuoi diritti.

8.5 Come esercitare i tuoi diritti

Per eliminare il tuo account, usa la pagina di eliminazione in autonomia (web) o la schermata Impostazioni nell’app mobile di Weft. Per qualsiasi altra richiesta (accesso, rettifica, esportazione, opposizione), scrivi a support@letsweft.com. Risponderemo entro i termini richiesti dalla legge applicabile (di norma 15 giorni secondo la LGPD, 30 giorni secondo il GDPR, 45 giorni secondo il CCPA/CPRA).

9. Permessi dell’app mobile

Le app Weft per Android e iOS chiedono i permessi minimi necessari a funzionare. Nello specifico, l’app Android dichiara solo il permesso INTERNET, che le consente di raggiungere la nostra API su letsweft.com per sincronizzare la tua bacheca.

Su Android Weft non chiede né usa nessuno dei seguenti: posizione precisa o approssimativa, contatti, calendario, SMS o registri delle chiamate, microfono, fotocamera, posizione in background, sensori corporei, dispositivi nelle vicinanze, memoria esterna o ID pubblicitario. L’app iOS non chiede permessi di posizione, contatti, calendario, microfono, fotocamera, foto, movimento, salute o tracciamento.

10. Funzioni IA

Weft non genera contenuti con l’IA. Il prodotto non chiama da sé alcun modello linguistico di grandi dimensioni, non include un chatbot integrato e non trasmette i dati della tua bacheca a nessun fornitore di IA.

Quello che Weft fa è esporre un endpoint Model Context Protocol (MCP) che puoi autorizzare a usare da client IA esterni (Claude Desktop, Cursor, ChatGPT Codex, Gemini CLI ecc.). Ogni client IA si collega direttamente al nostro endpoint MCP con un token OAuth che concedi tu; i dati scambiati sono quelli che tu o il tuo client autorizzato scegliete di leggere o scrivere. Weft non è l’operatore di quei client IA e non invia loro i tuoi dati — lo fai tu, collegandoli.

11. Minori

Il Servizio non è rivolto a minori di 13 anni (o all’età minima equivalente nel tuo paese), e non raccogliamo consapevolmente i loro dati. Se ritieni che un minore abbia fornito dati personali, contattaci e li cancelleremo.

12. Cookie e tecnologie simili

Usiamo cookie strettamente necessari per tenerti connesso, ricordare le tue preferenze e proteggere il Servizio. Sono sempre attivi.

Usiamo anche cookie non essenziali per l’analisi e la misurazione pubblicitaria: Google Analytics (_ga, _ga_*) e il Meta Pixel (_fbp, _fbc). I visitatori dal SEE, dal Regno Unito e dalla Svizzera vedono un banner di consenso, e questi cookie vengono impostati solo dopo che hanno scelto “Accetta tutto”. I browser che inviano il segnale Global Privacy Control sono esclusi automaticamente. Puoi cambiare la tua scelta in qualsiasi momento dal link “Impostazioni cookie” nel piè di pagina del sito, e puoi anche gestire o eliminare i cookie dal tuo browser.

13. Modifiche a questa informativa

Possiamo aggiornare questa informativa sulla privacy. Le modifiche sostanziali saranno comunicate via email o nel prodotto almeno 15 giorni prima che abbiano effetto. La data di “Ultimo aggiornamento” in alto indica la versione più recente.

14. Contatti e responsabile della protezione dei dati

• Titolare del trattamento: AI PRODUCTS LTDA — CNPJ 63.045.700/0001-12.
• Contatto privacy / DPO: support@letsweft.com