Privacybeleid

Dit privacybeleid beschrijft hoe AI PRODUCTS LTDA, CNPJ 63.045.700/0001-12 (“Weft”, “wij”, “ons”), persoonsgegevens verzamelt, gebruikt, deelt en beschermt wanneer je letsweft.com en de Weft-applicaties gebruikt (samen de “Dienst”). Wij zijn de verwerkingsverantwoordelijke onder de Algemene verordening gegevensbescherming van de EU (“GDPR”), de business onder de California Consumer Privacy Act / California Privacy Rights Act (“CCPA/CPRA”) en de controlador onder de Braziliaanse Lei Geral de Proteção de Dados (“LGPD” — wet 13.709/2018).

1. Welke gegevens we verzamelen

• Accountgegevens — je naam, e-mailadres en een gezouten hash van je wachtwoord. We bewaren je wachtwoord niet in leesbare vorm.
• Inhoud die je maakt — taken, sprints, kolommen, reacties, bijlagen, de configuratie van het bord en alle tekst die je via de webapp of een AI-client toevoegt. Word je lid van een gedeelde werkruimte of maak je er een aan (Team-plan), dan kunnen alle leden van die werkruimte deze inhoud zien en bewerken. Alleen de eigenaar van de werkruimte wordt gefactureerd.
• Factuurgegevens — we bewaren een Stripe-klant-ID en metadata over het abonnement. Kaartgegevens worden rechtstreeks ingevoerd op de PCI-DSS-conforme infrastructuur van Stripe en komen nooit op onze servers te staan.
• Metadata van AI-clients / MCP — als je een AI-assistent (Claude, Cursor, Codex, ChatGPT, Gemini, enzovoort) koppelt via het MCP-endpoint, leggen we de geautoriseerde client, de OAuth-tokens en de gedane toolaanroepen vast, zodat toegang controleerbaar is en op verzoek kan worden ingetrokken.
• Gebruiks- en technische gegevens — IP-adres, type browser/apparaat, besturingssysteem, bezochte pagina’s, cookie-identifiers en tijdstempels, gebruikt voor beveiliging, analytics, advertentiemeting en foutopsporing.
• Supportgegevens — de inhoud van je berichten als je ons mailt.

2. Hoe we ze gebruiken

• om de Dienst te leveren, te laten draaien en te onderhouden;
• om betalingen te verwerken en je abonnement te beheren;
• om je te authenticeren en je account te beveiligen;
• om jou en je AI-clients je bord te laten lezen en wijzigen via het MCP-endpoint;
• om op supportverzoeken te reageren;
• om transactieberichten te sturen (bonnen, beveiligingsmeldingen, beleidswijzigingen) en, met je toestemming waar vereist, productnieuws;
• om fraude en misbruik op te sporen, onze Voorwaarden af te dwingen en aan wettelijke verplichtingen te voldoen;
• om bugs op te lossen en de Dienst te verbeteren;
• om te meten hoe bezoekers letsweft.com gebruiken en hoe onze marketingcampagnes presteren, en om potentiële gebruikers met advertenties te bereiken — met cookies voor analytics en advertenties alleen met je toestemming waar die vereist is (zie paragraaf 12).

Wij verkopen je persoonsgegevens niet, en wij gebruiken je Gebruikersinhoud niet om gedeelde AI-modellen of AI-modellen van derden te trainen.

3. Rechtsgronden (GDPR & LGPD)

• Overeenkomst — om de Dienst te leveren waarvoor je je hebt aangemeld (account, facturatie, MCP-toegang).
• Gerechtvaardigde belangen — om de Dienst veilig te houden, fraude te voorkomen en de betrouwbaarheid te verbeteren; afgewogen tegen jouw rechten.
• Wettelijke verplichting — om factuuradministratie te bewaren en op rechtmatige verzoeken te reageren.
• Toestemming — voor optionele cookies, optionele marketingmails of andere verwerking waarvoor toestemming nodig is. Je kunt je toestemming op elk moment intrekken.

4. Met wie we gegevens delen

We delen persoonsgegevens alleen met de partijen hieronder. De meeste zijn dienstverleners (subverwerkers) die handelen onder schriftelijke overeenkomsten die hun gebruik beperken tot onze instructies; Google (analytics) en Meta (advertentiemeting) verwerken sommige gegevens ook voor hun eigen doeleinden, zoals beschreven in hun privacybeleid:

• Vercel, Inc. (Verenigde Staten) — hosting van de applicatie, edge-netwerk en uitvoering van serverless functies voor letsweft.com en onze API’s.
• Neon, Inc. (Verenigde Staten) — beheerde PostgreSQL-database waarin account-, inhouds- en factuurgegevens staan.
• Upstash, Inc. (Verenigde Staten / EU) — beheerde Redis, gebruikt voor rate limiting en kortlevende sessie- en MCP-staat.
• Stripe, Inc. (Verenigde Staten) — betalingen, abonnementsfacturatie en het klantportaal voor aankopen via het web. Kaartgegevens worden rechtstreeks ingevoerd op de PCI-DSS-conforme infrastructuur van Stripe.
• Google LLC (Verenigde Staten) — twee rollen: (a) als je een Pro-abonnement op Android koopt of beheert via Google Play Billing, verwerkt Google de transactie onder zijn eigen voorwaarden; (b) Google Analytics op letsweft.com helpt ons begrijpen hoe bezoekers de site gebruiken (bezochte pagina’s, type apparaat, locatie bij benadering afgeleid uit het IP-adres). Analytics-cookies worden alleen geplaatst zoals beschreven in paragraaf 12.
• Meta Platforms, Inc. (Verenigde Staten) — advertentiemeting via de Meta Pixel op letsweft.com. Waar paragraaf 12 dat toestaat, ontvangt Meta gebruiksgebeurtenissen (zoals paginaweergaven en aanmeldingen), cookie-identifiers en — als je je aanmeldt — een gehashte (SHA-256) versie van je e-mailadres en naam, gebruikt om conversies aan Meta-advertenties te koppelen (“Advanced Matching”). Onder dezelfde toestemming uit paragraaf 12 kunnen we de aanmeldgebeurtenis ook vanaf onze servers aan Meta melden (“Conversions API”), beperkt tot dezelfde gehashte identifiers (e-mail, account-ID) en technische gegevens (IP-adres, browser-identifiers). We sturen nooit de inhoud van je bord, je wachtwoord of je factuurgegevens naar Meta.
• Apple Inc. (Verenigde Staten) — als je een Pro-abonnement op iOS of macOS koopt of beheert via Apple In-App Purchase, verwerkt Apple de transactie onder zijn eigen voorwaarden.
• Aanbieder voor e-mailbezorging (Verenigde Staten / EU) — verstuurt transactieberichten (verificatie, wachtwoordherstel, factuurbonnen).
• AI-clients die je koppelt — als je een AI-client toestemming geeft om je bord via MCP te benaderen, ontvangt de aanbieder van die client alle gegevens die jij of je client besluit door te geven. Elke aanbieder verwerkt die gegevens onder zijn eigen voorwaarden.
• Recht & veiligheid — als de wet of een rechterlijk bevel dat vereist, of om onze rechten, eigendommen of veiligheid of die van anderen te beschermen.
• Rechtsopvolgers — als onderdeel van een fusie, overname of verkoop van activa, met gelijkwaardige bescherming.

We gebruiken geen analytics-SDK’s, advertentie-SDK’s of attributie-SDK’s van derden in de mobiele app.

5. Internationale doorgifte

Ons hoofdkantoor staat in Brazilië, en onze dienstverleners werken in meerdere regio’s, waaronder de Verenigde Staten en de Europese Unie. Als we persoonsgegevens buiten jouw regio doorgeven, steunen we op rechtmatige doorgiftemechanismen zoals standaardcontractbepalingen (GDPR), adequaatheidsbesluiten of gelijkwaardige waarborgen onder de LGPD.

6. Bewaartermijnen

We bewaren account- en inhoudsgegevens zolang je account actief is. Verwijder je je account, dan verwijderen of anonimiseren we persoonsgegevens binnen 30 dagen, behalve waar we gegevens moeten bewaren om juridische, fiscale, boekhoudkundige of fraudepreventieredenen (doorgaans tot 5 jaar onder het Braziliaanse belastingrecht).

7. Beveiliging

We gebruiken technische en organisatorische maatregelen die in de sector gangbaar zijn om je gegevens te beschermen, waaronder TLS-versleuteling tijdens transport, versleutelde hashing van wachtwoorden, toegangscontroles en auditlogging. Geen enkele manier van verzenden of opslaan is 100% veilig; absolute veiligheid kunnen we niet garanderen.

8. Je rechten

8.1 Iedereen

Je kunt op elk moment:

• de gegevens in je account inzien via de Dienst;
• onjuiste gegevens corrigeren;
• je gegevens (taken, sprints, reacties) op verzoek exporteren in een machineleesbaar formaat;
• je account verwijderen via de pagina voor accountverwijdering, via het instellingenscherm in de mobiele app van Weft, of door ons te mailen — daarmee worden ook de bijbehorende persoonsgegevens verwijderd.

8.2 Brazilië (LGPD)

Je hebt de rechten uit art. 18 van de LGPD, waaronder bevestiging van verwerking, inzage, correctie, anonimisering/blokkering/verwijdering van onnodige gegevens, overdraagbaarheid, informatie over het delen van gegevens, en het intrekken van toestemming. De Braziliaanse toezichthouder voor gegevensbescherming is ANPD — gov.br/anpd.

8.3 Europese Economische Ruimte & VK (GDPR)

Je hebt recht op inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar (ook tegen verwerking op grond van gerechtvaardigde belangen). Je hebt het recht een klacht in te dienen bij een toezichthoudende autoriteit in je land van verblijf.

8.4 Californië (CCPA/CPRA)

Inwoners van Californië hebben het recht te weten welke persoonlijke informatie we verzamelen en hoe we die gebruiken, om verwijdering te vragen, om onjuiste informatie te corrigeren, om het gebruik van gevoelige persoonlijke informatie te beperken, en om zich af te melden voor de “verkoop” of het “delen” van persoonlijke informatie. Wij verkopen je persoonlijke informatie niet. Ons gebruik van advertentiecookies (de Meta Pixel) kan “delen” vormen (gedragsgerichte advertenties over contexten heen) zoals de CCPA/CPRA dat omschrijft. Je kunt je op elk moment afmelden door “Alleen essentieel” te kiezen in onze cookiebanner of via de link “Cookie-instellingen” in de voettekst van de site; we honoreren ook het browsersignaal Global Privacy Control (GPC) als een geldig verzoek om afmelding. We zullen je niet benadelen omdat je je rechten uitoefent.

8.5 Hoe je je rechten uitoefent

Om je account te verwijderen, gebruik je de selfservicepagina voor verwijdering (web) of het scherm Instellingen in de mobiele app van Weft. Voor elk ander verzoek (inzage, correctie, export, bezwaar) mail je naar support@letsweft.com. We reageren binnen de termijn die het toepasselijke recht vereist (doorgaans 15 dagen onder de LGPD, 30 dagen onder de GDPR, 45 dagen onder de CCPA/CPRA).

9. Machtigingen van de mobiele app

De Android- en iOS-apps van Weft vragen de minimale machtigingen die nodig zijn om te werken. Concreet declareert de Android-app alleen de machtiging INTERNET, waarmee de app onze API op letsweft.com kan bereiken om je bord te synchroniseren.

Weft vraagt of gebruikt geen van het volgende op Android: nauwkeurige of benaderde locatie, contacten, agenda, sms- of gesprekslogboeken, microfoon, camera, locatie op de achtergrond, lichaamssensoren, apparaten in de buurt, externe opslag of de advertentie-ID. De iOS-app vraagt geen machtigingen voor locatie, contacten, agenda, microfoon, camera, foto’s, beweging, gezondheid of tracking.

10. AI-functies

Weft genereert geen inhoud met AI. Het product roept uit zichzelf geen enkel groot taalmodel aan, bevat geen ingebouwde chatbot en stuurt de gegevens van je bord naar geen enkele AI-aanbieder.

Wat Weft wel doet, is een endpoint volgens het Model Context Protocol (MCP) aanbieden dat je externe AI-clients (Claude Desktop, Cursor, ChatGPT Codex, Gemini CLI, enzovoort) kunt laten gebruiken. Elke AI-client verbindt rechtstreeks met ons MCP-endpoint met een OAuth-token dat jij verleent; de uitgewisselde gegevens zijn wat jij of je geautoriseerde client kiest te lezen of te schrijven. Weft is niet de beheerder van die AI-clients en stuurt je gegevens niet naar hen — dat doe jij, door ze te koppelen.

11. Kinderen

De Dienst is niet gericht op kinderen onder de 13 (of de gelijkwaardige minimumleeftijd in jouw land), en we verzamelen niet bewust hun gegevens. Denk je dat een kind persoonsgegevens heeft verstrekt, neem dan contact met ons op en we verwijderen ze.

12. Cookies & vergelijkbare technieken

We gebruiken strikt noodzakelijke cookies om je ingelogd te houden, je voorkeuren te onthouden en de Dienst te beveiligen. Die staan altijd aan.

We gebruiken ook niet-essentiële cookies voor analytics en advertentiemeting: Google Analytics (_ga, _ga_*) en de Meta Pixel (_fbp, _fbc). Bezoekers uit de EER, het Verenigd Koninkrijk en Zwitserland zien een toestemmingsbanner, en die cookies worden pas geplaatst nadat zij “Alles accepteren” kiezen. Browsers die het signaal Global Privacy Control sturen, worden automatisch afgemeld. Je kunt je keuze op elk moment wijzigen via de link “Cookie-instellingen” in de voettekst van de site, en je kunt cookies ook in je browser beheren of verwijderen.

13. Wijzigingen in dit beleid

We kunnen dit privacybeleid bijwerken. Wezenlijke wijzigingen melden we minstens 15 dagen voor de ingangsdatum per e-mail of in het product. De datum “Laatst bijgewerkt” bovenaan geeft de nieuwste versie aan.

14. Contact & functionaris voor gegevensbescherming

• Verwerkingsverantwoordelijke: AI PRODUCTS LTDA — CNPJ 63.045.700/0001-12.
• Privacycontact / DPO: support@letsweft.com