Política de Privacidade

Esta Política de Privacidade descreve como a AI PRODUCTS LTDA, CNPJ 63.045.700/0001-12 (“Weft”, “nós”), coleta, usa, compartilha e protege dados pessoais quando você usa o letsweft.com e os aplicativos Weft (em conjunto, o “Serviço”). Somos o controlador de dados (“data controller”) nos termos do Regulamento Geral de Proteção de Dados da UE (“GDPR”), a empresa (“business”) nos termos da California Consumer Privacy Act / California Privacy Rights Act (“CCPA/CPRA”) e o controlador nos termos da Lei Geral de Proteção de Dados (“LGPD” — Lei nº 13.709/2018).

1. Dados que Coletamos

• Dados da conta — seu nome, endereço de e-mail e um hash de senha com salt. Não armazenamos a sua senha em texto puro.
• Conteúdo que você cria — tarefas, sprints, colunas, comentários, anexos, configuração do quadro e qualquer texto que você adicione pelo aplicativo web ou por um cliente de IA. Se você entrar em um espaço de trabalho compartilhado ou criar um (plano Team), todos os membros desse espaço de trabalho podem ver e editar esse conteúdo. Apenas o dono do espaço de trabalho é cobrado.
• Dados de cobrança — armazenamos um ID de cliente da Stripe e metadados da assinatura. Os dados do cartão são inseridos diretamente na infraestrutura da Stripe, em conformidade com o PCI-DSS, e nunca são armazenados nos nossos servidores.
• Metadados de cliente de IA / MCP — quando você conecta um assistente de IA (Claude, Cursor, Codex, ChatGPT, Gemini etc.) pelo endpoint MCP, registramos o cliente autorizado, os tokens OAuth e as chamadas de ferramenta feitas, para que o acesso possa ser auditado e revogado mediante solicitação.
• Dados de uso e técnicos — endereço IP, tipo de navegador/dispositivo, sistema operacional, páginas visitadas, identificadores de cookies e carimbos de data/hora, usados para segurança, análise, mensuração de publicidade e depuração.
• Dados de suporte — o conteúdo das suas mensagens quando você nos escreve por e-mail.

2. Como Usamos os Dados

• para fornecer, operar e manter o Serviço;
• para processar pagamentos e gerenciar a sua assinatura;
• para autenticar você e proteger a sua conta;
• para permitir que você e os seus clientes de IA leiam e modifiquem o seu quadro pelo endpoint MCP;
• para responder a solicitações de suporte;
• para enviar mensagens transacionais (recibos, alertas de segurança, atualizações de políticas) e, com o seu consentimento quando exigido, novidades do produto;
• para detectar fraude e abuso, fazer cumprir os nossos Termos e cumprir obrigações legais;
• para corrigir bugs e melhorar o Serviço;
• para medir como os visitantes usam o letsweft.com e como as nossas campanhas de marketing performam, e para alcançar potenciais usuários com publicidade — usando cookies de análise e de publicidade apenas com o seu consentimento, quando exigido (veja a Seção 12).

Nós não vendemos os seus dados pessoais e não usamos o seu Conteúdo do Usuário para treinar modelos de IA compartilhados ou de terceiros.

3. Bases Legais (GDPR e LGPD)

• Contrato — para fornecer o Serviço que você contratou (conta, cobrança, acesso MCP).
• Legítimo interesse — para manter o Serviço seguro, prevenir fraudes e melhorar a confiabilidade; sempre ponderado em relação aos seus direitos.
• Obrigação legal — para manter registros de cobrança e responder a solicitações legítimas.
• Consentimento — para cookies opcionais, e-mails de marketing opcionais ou qualquer outro tratamento que exija consentimento. Você pode revogar o consentimento a qualquer momento.

4. Com Quem Compartilhamos Dados

Compartilhamos dados pessoais apenas com as partes abaixo. A maioria é de prestadores de serviço (suboperadores) que atuam sob contratos escritos que limitam o uso às nossas instruções; o Google (análise) e a Meta (mensuração de publicidade) também tratam alguns dados para fins próprios, conforme descrito em suas políticas de privacidade:

• Vercel, Inc. (Estados Unidos) — hospedagem da aplicação, rede de borda e execução de funções serverless para o letsweft.com e as nossas APIs.
• Neon, Inc. (Estados Unidos) — banco de dados PostgreSQL gerenciado que armazena dados de conta, conteúdo e cobrança.
• Upstash, Inc. (Estados Unidos / UE) — Redis gerenciado, usado para limitação de taxa e estado de sessão/MCP de curta duração.
• Stripe, Inc. (Estados Unidos) — pagamentos, cobrança de assinaturas e portal do cliente para compras pelo site. Os dados do cartão são inseridos diretamente na infraestrutura da Stripe, em conformidade com o PCI-DSS.
• Google LLC (Estados Unidos) — dois papéis: (a) quando você compra ou gerencia uma assinatura Pro no Android pelo Google Play Billing, o Google processa a transação sob seus próprios termos; (b) o Google Analytics no letsweft.com nos ajuda a entender como os visitantes usam o site (páginas visitadas, tipo de dispositivo, localização aproximada derivada do IP). Os cookies de análise são definidos apenas conforme descrito na Seção 12.
• Meta Platforms, Inc. (Estados Unidos) — mensuração de publicidade por meio do Meta Pixel no letsweft.com. Quando permitido nos termos da Seção 12, a Meta recebe eventos de uso (como visualizações de página e criações de conta), identificadores de cookies e — quando você cria uma conta — uma versão com hash (SHA-256) do seu endereço de e-mail e nome, usada para associar conversões a anúncios da Meta (“Advanced Matching”). Sujeito ao mesmo consentimento da Seção 12, também podemos reportar o evento de criação de conta à Meta a partir dos nossos servidores (“Conversions API”), limitado aos mesmos identificadores com hash (e-mail, ID da conta) e a dados técnicos (endereço IP, identificadores do navegador). Nunca enviamos à Meta o conteúdo do seu quadro, a sua senha ou os seus dados de cobrança.
• Apple Inc. (Estados Unidos) — quando você compra ou gerencia uma assinatura Pro no iOS ou macOS por compra dentro do app da Apple (In-App Purchase), a Apple processa a transação sob seus próprios termos.
• Provedor de entrega de e-mail (Estados Unidos / UE) — envia mensagens transacionais (verificação, redefinição de senha, recibos de cobrança).
• Clientes de IA que você conecta — se você autorizar um cliente de IA a acessar o seu quadro via MCP, o provedor desse cliente recebe os dados que você ou o seu cliente decidir transmitir. Cada provedor trata esses dados sob seus próprios termos.
• Jurídico e segurança — quando exigido por lei ou ordem judicial, ou para proteger os nossos direitos, propriedade ou segurança, ou os de terceiros.
• Sucessores — como parte de uma fusão, aquisição ou venda de ativos, sujeito a proteções equivalentes.

Nós não usamos SDKs de análise, SDKs de publicidade ou SDKs de atribuição de terceiros no aplicativo móvel.

5. Transferências Internacionais

Temos sede no Brasil, e os nossos prestadores de serviço operam em várias regiões, incluindo os Estados Unidos e a União Europeia. Quando transferimos dados pessoais para fora da sua região, nos baseamos em mecanismos de transferência lícitos, como as Cláusulas Contratuais Padrão (GDPR), decisões de adequação ou salvaguardas equivalentes nos termos da LGPD.

6. Retenção de Dados

Mantemos os dados da conta e do conteúdo enquanto a sua conta estiver ativa. Quando você exclui a sua conta, excluímos ou anonimizamos os dados pessoais em até 30 dias, exceto quando precisamos manter registros para fins legais, fiscais, contábeis ou de prevenção a fraudes (normalmente até 5 anos, conforme a legislação tributária brasileira).

7. Segurança

Usamos medidas técnicas e organizacionais padrão do setor para proteger os seus dados, incluindo criptografia TLS em trânsito, hash criptográfico de senhas, controles de acesso e registro de auditoria. Nenhum método de transmissão ou armazenamento é 100% seguro; não podemos garantir segurança absoluta.

8. Seus Direitos

8.1 Todos

Você pode, a qualquer momento:

• acessar os dados da sua conta por meio do Serviço;
• corrigir dados imprecisos;
• exportar os seus dados (tarefas, sprints, comentários) em formato legível por máquina, mediante solicitação;
• excluir a sua conta pela página de exclusão de conta, pela tela de configurações do aplicativo móvel do Weft ou por e-mail — isso também exclui os dados pessoais relacionados.

8.2 Brasil (LGPD)

Você tem os direitos previstos no Art. 18 da LGPD, incluindo confirmação da existência de tratamento, acesso, correção, anonimização/bloqueio/eliminação de dados desnecessários, portabilidade, informação sobre compartilhamento e revogação do consentimento. A autoridade brasileira de proteção de dados é a ANPD — gov.br/anpd.

8.3 Espaço Econômico Europeu e Reino Unido (GDPR)

Você tem os direitos de acesso, retificação, apagamento, limitação, portabilidade e oposição (inclusive ao tratamento baseado em legítimo interesse). Você tem o direito de apresentar reclamação a uma autoridade de controle no seu país de residência.

8.4 Califórnia (CCPA/CPRA)

Residentes da Califórnia têm o direito de saber quais informações pessoais coletamos e como as usamos, de solicitar a exclusão, de corrigir informações imprecisas, de limitar o uso de informações pessoais sensíveis e de optar por não participar da “venda” ou do “compartilhamento” de informações pessoais. Não vendemos as suas informações pessoais. O nosso uso de cookies de publicidade (o Meta Pixel) pode constituir “compartilhamento” (publicidade comportamental entre contextos) conforme definido pela CCPA/CPRA. Você pode optar por não participar a qualquer momento escolhendo “Apenas essenciais” no nosso banner de cookies ou pelo link “Configurações de cookies” no rodapé do site; também respeitamos o sinal de navegador Global Privacy Control (GPC) como uma solicitação válida de opt-out. Não discriminaremos você por exercer os seus direitos.

8.5 Como exercer os seus direitos

Para excluir a sua conta, use a página de exclusão por autoatendimento (web) ou a tela de Configurações no aplicativo móvel do Weft. Para qualquer outra solicitação (acesso, correção, exportação, oposição), escreva para support@letsweft.com. Responderemos dentro do prazo exigido pela lei aplicável (normalmente 15 dias pela LGPD, 30 dias pelo GDPR, 45 dias pela CCPA/CPRA).

9. Permissões do Aplicativo Móvel

Os aplicativos Weft para Android e iOS solicitam as permissões mínimas necessárias para funcionar. Especificamente, o aplicativo Android declara apenas a permissão INTERNET, que permite ao app acessar a nossa API em letsweft.com para sincronizar o seu quadro.

O Weft não solicita nem usa nada do seguinte no Android: localização precisa ou aproximada, contatos, agenda, SMS ou registros de chamadas, microfone, câmera, localização em segundo plano, sensores corporais, dispositivos por perto, armazenamento externo ou o ID de publicidade. O aplicativo iOS não solicita permissões de localização, contatos, agenda, microfone, câmera, fotos, movimento, saúde ou rastreamento.

10. Recursos de IA

O Weft não gera conteúdo com IA. O produto não chama nenhum modelo de linguagem de grande porte por conta própria, não inclui um chatbot integrado e não transmite os dados do seu quadro a nenhum provedor de IA.

O que o Weft faz é expor um endpoint Model Context Protocol (MCP) que você pode autorizar clientes de IA externos (Claude Desktop, Cursor, ChatGPT Codex, Gemini CLI etc.) a usar. Cada cliente de IA se conecta diretamente ao nosso endpoint MCP com um token OAuth que você concede; os dados trocados são o que você ou o seu cliente autorizado decidir ler ou gravar. O Weft não opera esses clientes de IA e não envia os seus dados a eles — quem envia é você, ao conectá-los.

11. Crianças

O Serviço não é direcionado a crianças menores de 13 anos (ou da idade mínima equivalente no seu país), e não coletamos os dados delas de forma consciente. Se você acredita que uma criança forneceu dados pessoais, entre em contato conosco e nós os excluiremos.

12. Cookies e Tecnologias Semelhantes

Usamos cookies estritamente necessários para manter você conectado, lembrar as suas preferências e proteger o Serviço. Eles estão sempre ativos.

Também usamos cookies não essenciais para análise e mensuração de publicidade: Google Analytics (_ga, _ga_*) e o Meta Pixel (_fbp, _fbc). Visitantes do EEE, do Reino Unido e da Suíça veem um banner de consentimento, e esses cookies só são definidos depois que escolhem “Aceitar todos”. Navegadores que enviam o sinal Global Privacy Control têm o opt-out aplicado automaticamente. Você pode mudar a sua escolha a qualquer momento pelo link “Configurações de cookies” no rodapé do site, e também pode gerenciar ou excluir cookies no seu navegador.

13. Alterações desta Política

Podemos atualizar esta Política de Privacidade. Alterações substanciais serão comunicadas por e-mail ou dentro do produto com pelo menos 15 dias de antecedência da entrada em vigor. A data de “Última atualização” no topo reflete a versão mais recente.

14. Contato e Encarregado de Proteção de Dados (DPO)

• Controlador: AI PRODUCTS LTDA — CNPJ 63.045.700/0001-12.
• Contato de privacidade / Encarregado (DPO): support@letsweft.com