Chính sách quyền riêng tư

Chính sách quyền riêng tư này mô tả cách AI PRODUCTS LTDA, CNPJ 63.045.700/0001-12 (“Weft”, “chúng tôi”), thu thập, sử dụng, chia sẻ và bảo vệ dữ liệu cá nhân khi bạn dùng letsweft.com và các ứng dụng Weft (gọi chung là “Dịch vụ”). Chúng tôi là bên kiểm soát dữ liệu theo Quy định chung về bảo vệ dữ liệu của EU (“GDPR”), là doanh nghiệp theo Đạo luật Quyền riêng tư của người tiêu dùng California / Đạo luật Quyền riêng tư California (“CCPA/CPRA”), và là controlador theo Lei Geral de Proteção de Dados của Brazil (“LGPD” — Luật 13.709/2018).

1. Dữ liệu chúng tôi thu thập

• Dữ liệu tài khoản — tên, địa chỉ email của bạn, và một bản băm mật khẩu có thêm muối. Chúng tôi không lưu mật khẩu của bạn ở dạng văn bản thuần.
• Nội dung bạn tạo ra — công việc, sprint, cột, bình luận, tệp đính kèm, cấu hình bảng, và mọi văn bản bạn thêm vào qua ứng dụng web hoặc qua một client AI. Nếu bạn tham gia hoặc tạo một không gian làm việc chung (gói Team), mọi thành viên của không gian đó có thể xem và sửa nội dung này. Chỉ chủ sở hữu không gian làm việc bị tính phí.
• Dữ liệu thanh toán — chúng tôi lưu một mã khách hàng Stripe và siêu dữ liệu về đăng ký. Thông tin thẻ được nhập trực tiếp trên hạ tầng tuân thủ PCI-DSS của Stripe và không bao giờ được lưu trên máy chủ của chúng tôi.
• Siêu dữ liệu về client AI / MCP — khi bạn kết nối một trợ lý AI (Claude, Cursor, Codex, ChatGPT, Gemini, v.v.) qua MCP endpoint, chúng tôi ghi lại client đã được cấp quyền, các token OAuth, và những lượt gọi công cụ đã thực hiện, để có thể kiểm toán và thu hồi quyền truy cập khi được yêu cầu.
• Dữ liệu sử dụng & kỹ thuật — địa chỉ IP, loại trình duyệt/thiết bị, hệ điều hành, các trang đã xem, mã định danh cookie, và các mốc thời gian, dùng cho bảo mật, phân tích, đo lường quảng cáo và gỡ lỗi.
• Dữ liệu hỗ trợ — nội dung các tin nhắn khi bạn gửi email cho chúng tôi.

2. Chúng tôi dùng dữ liệu đó thế nào

• để cung cấp, vận hành và duy trì Dịch vụ;
• để xử lý thanh toán và quản lý đăng ký của bạn;
• để xác thực bạn và bảo vệ tài khoản của bạn;
• để bạn và các client AI của bạn đọc và sửa bảng của bạn thông qua MCP endpoint;
• để trả lời các yêu cầu hỗ trợ;
• để gửi những thông báo giao dịch (biên lai, cảnh báo bảo mật, cập nhật chính sách) và, khi cần có sự đồng ý của bạn thì với sự đồng ý đó, các cập nhật về sản phẩm;
• để phát hiện gian lận và lạm dụng, thực thi Điều khoản của chúng tôi, và tuân thủ nghĩa vụ pháp lý;
• để sửa lỗi và cải thiện Dịch vụ;
• để đo lường cách khách truy cập dùng letsweft.com và hiệu quả các chiến dịch tiếp thị của chúng tôi, và để tiếp cận người dùng tiềm năng bằng quảng cáo — chỉ dùng cookie phân tích và quảng cáo khi có sự đồng ý của bạn ở những nơi pháp luật yêu cầu (xem Mục 12).

Chúng tôi không bán dữ liệu cá nhân của bạn, và không dùng Nội dung người dùng của bạn để huấn luyện các mô hình AI dùng chung hoặc của bên thứ ba.

3. Cơ sở pháp lý (GDPR & LGPD)

• Hợp đồng — để cung cấp Dịch vụ mà bạn đã đăng ký (tài khoản, thanh toán, truy cập MCP).
• Lợi ích hợp pháp — để giữ Dịch vụ an toàn, ngăn gian lận, và tăng độ tin cậy; được cân nhắc so với các quyền của bạn.
• Nghĩa vụ pháp lý — để lưu giữ hồ sơ thanh toán và đáp ứng các yêu cầu hợp pháp.
• Sự đồng ý — cho các cookie tùy chọn, email tiếp thị tùy chọn, hoặc bất kỳ hoạt động xử lý nào khác cần có sự đồng ý. Bạn có thể rút lại sự đồng ý bất cứ lúc nào.

4. Chúng tôi chia sẻ dữ liệu với ai

Chúng tôi chỉ chia sẻ dữ liệu cá nhân với những bên dưới đây. Phần lớn là các nhà cung cấp dịch vụ (bên xử lý phụ) hoạt động theo những thỏa thuận bằng văn bản giới hạn việc sử dụng của họ trong phạm vi chỉ dẫn của chúng tôi; Google (phân tích) và Meta (đo lường quảng cáo) còn xử lý một phần dữ liệu cho mục đích riêng của họ như mô tả trong chính sách quyền riêng tư của họ:

• Vercel, Inc. (Hoa Kỳ) — lưu trữ ứng dụng, mạng biên, và chạy các hàm serverless cho letsweft.com và các API của chúng tôi.
• Neon, Inc. (Hoa Kỳ) — cơ sở dữ liệu PostgreSQL được quản lý, lưu dữ liệu tài khoản, nội dung và thanh toán.
• Upstash, Inc. (Hoa Kỳ / EU) — Redis được quản lý, dùng cho giới hạn tần suất và trạng thái phiên/MCP ngắn hạn.
• Stripe, Inc. (Hoa Kỳ) — thanh toán, tính phí đăng ký, và cổng khách hàng cho các giao dịch mua trên web. Dữ liệu thẻ được nhập trực tiếp trên hạ tầng tuân thủ PCI-DSS của Stripe.
• Google LLC (Hoa Kỳ) — hai vai trò: (a) khi bạn mua hoặc quản lý một đăng ký Pro trên Android qua Google Play Billing, Google xử lý giao dịch theo điều khoản riêng của họ; (b) Google Analytics trên letsweft.com giúp chúng tôi hiểu khách truy cập dùng trang web thế nào (các trang đã xem, loại thiết bị, vị trí gần đúng suy ra từ IP). Cookie phân tích chỉ được đặt như mô tả ở Mục 12.
• Meta Platforms, Inc. (Hoa Kỳ) — đo lường quảng cáo qua Meta Pixel trên letsweft.com. Khi Mục 12 cho phép, Meta nhận các sự kiện sử dụng (như lượt xem trang và lượt đăng ký), mã định danh cookie, và — khi bạn đăng ký — bản băm (SHA-256) của địa chỉ email và tên bạn, dùng để đối chiếu chuyển đổi với quảng cáo Meta (“Advanced Matching”). Cũng theo sự đồng ý ở Mục 12, chúng tôi có thể báo sự kiện đăng ký cho Meta từ máy chủ của mình (“Conversions API”), giới hạn trong cùng những mã định danh đã băm đó (email, mã tài khoản) và dữ liệu kỹ thuật (địa chỉ IP, mã định danh trình duyệt). Chúng tôi không bao giờ gửi nội dung bảng, mật khẩu hay thông tin thanh toán của bạn cho Meta.
• Apple Inc. (Hoa Kỳ) — khi bạn mua hoặc quản lý một đăng ký Pro trên iOS hoặc macOS qua Apple In-App Purchase, Apple xử lý giao dịch theo điều khoản riêng của họ.
• Nhà cung cấp dịch vụ gửi email (Hoa Kỳ / EU) — gửi các thông báo giao dịch (xác minh, đặt lại mật khẩu, biên lai thanh toán).
• Những client AI bạn kết nối — nếu bạn cho phép một client AI truy cập bảng của bạn qua MCP, nhà cung cấp của client đó nhận bất kỳ dữ liệu nào mà bạn hoặc client của bạn chọn gửi đi. Mỗi nhà cung cấp xử lý dữ liệu đó theo điều khoản riêng của họ.
• Pháp lý & an toàn — khi pháp luật hoặc lệnh của tòa án yêu cầu, hoặc để bảo vệ quyền, tài sản hay sự an toàn của chúng tôi hoặc của người khác.
• Bên kế thừa — trong khuôn khổ một vụ sáp nhập, mua lại hoặc bán tài sản, với những biện pháp bảo vệ tương đương.

Chúng tôi không dùng SDK phân tích, SDK quảng cáo hay SDK quy kết nguồn của bên thứ ba trong ứng dụng di động.

5. Chuyển dữ liệu quốc tế

Chúng tôi đặt trụ sở tại Brazil, và các nhà cung cấp dịch vụ của chúng tôi hoạt động ở nhiều khu vực, trong đó có Hoa Kỳ và Liên minh châu Âu. Khi chuyển dữ liệu cá nhân ra ngoài khu vực của bạn, chúng tôi dựa vào những cơ chế chuyển dữ liệu hợp pháp như Điều khoản hợp đồng tiêu chuẩn (GDPR), các quyết định công nhận mức bảo vệ tương xứng, hoặc các biện pháp bảo đảm tương đương theo LGPD.

6. Thời hạn lưu giữ dữ liệu

Chúng tôi giữ dữ liệu tài khoản và nội dung chừng nào tài khoản của bạn còn hoạt động. Khi bạn xóa tài khoản, chúng tôi xóa hoặc ẩn danh dữ liệu cá nhân trong vòng 30 ngày, trừ những phần chúng tôi buộc phải lưu giữ vì mục đích pháp lý, thuế, kế toán hoặc phòng chống gian lận (thường là tối đa 5 năm theo luật thuế Brazil).

7. Bảo mật

Chúng tôi dùng các biện pháp kỹ thuật và tổ chức theo chuẩn ngành để bảo vệ dữ liệu của bạn, bao gồm mã hóa TLS khi truyền, băm mật khẩu có mã hóa, kiểm soát truy cập, và ghi nhật ký kiểm toán. Không có phương thức truyền hay lưu trữ nào an toàn 100%; chúng tôi không thể bảo đảm an toàn tuyệt đối.

8. Quyền của bạn

8.1 Mọi người

Bất cứ lúc nào bạn cũng có thể:

• truy cập dữ liệu trong tài khoản của bạn thông qua Dịch vụ;
• sửa những dữ liệu không chính xác;
• xuất dữ liệu của bạn (công việc, sprint, bình luận) ở định dạng máy đọc được khi yêu cầu;
• xóa tài khoản của bạn tại trang xóa tài khoản, tại màn hình cài đặt trong ứng dụng di động Weft, hoặc bằng cách gửi email cho chúng tôi — việc này cũng xóa luôn những dữ liệu cá nhân liên quan.

8.2 Brazil (LGPD)

Bạn có các quyền tại Điều 18 của LGPD, bao gồm xác nhận việc xử lý, truy cập, sửa, ẩn danh/chặn/xóa dữ liệu không cần thiết, khả năng chuyển dữ liệu, thông tin về việc chia sẻ, và rút lại sự đồng ý. Cơ quan bảo vệ dữ liệu của Brazil là ANPD — gov.br/anpd.

8.3 Khu vực kinh tế châu Âu & Anh (GDPR)

Bạn có các quyền truy cập, chỉnh sửa, xóa, hạn chế xử lý, chuyển dữ liệu, và phản đối (bao gồm phản đối việc xử lý dựa trên lợi ích hợp pháp). Bạn có quyền khiếu nại với một cơ quan giám sát tại nước bạn cư trú.

8.4 California (CCPA/CPRA)

Cư dân California có quyền biết chúng tôi thu thập thông tin cá nhân nào và dùng nó ra sao, yêu cầu xóa, sửa thông tin không chính xác, hạn chế việc sử dụng thông tin cá nhân nhạy cảm, và từ chối việc “bán” hay “chia sẻ” thông tin cá nhân. Chúng tôi không bán thông tin cá nhân của bạn. Việc chúng tôi dùng cookie quảng cáo (Meta Pixel) có thể cấu thành “chia sẻ” (quảng cáo theo hành vi xuyên ngữ cảnh) như CCPA/CPRA định nghĩa. Bạn có thể từ chối bất cứ lúc nào bằng cách chọn “Chỉ những cookie thiết yếu” trong biểu ngữ cookie của chúng tôi hoặc qua liên kết “Cài đặt cookie” ở chân trang; chúng tôi cũng tôn trọng tín hiệu trình duyệt Global Privacy Control (GPC) như một yêu cầu từ chối hợp lệ. Chúng tôi sẽ không phân biệt đối xử với bạn vì bạn thực hiện các quyền của mình.

8.5 Cách thực hiện các quyền của bạn

Để xóa tài khoản, hãy dùng trang tự xóa tài khoản (web) hoặc màn hình Cài đặt trong ứng dụng di động Weft. Với mọi yêu cầu khác (truy cập, sửa, xuất dữ liệu, phản đối), hãy gửi email tới support@letsweft.com. Chúng tôi sẽ phản hồi trong thời hạn mà pháp luật hiện hành yêu cầu (thường là 15 ngày theo LGPD, 30 ngày theo GDPR, 45 ngày theo CCPA/CPRA).

9. Quyền truy cập của ứng dụng di động

Ứng dụng Weft trên Android và iOS chỉ xin những quyền tối thiểu cần để hoạt động. Cụ thể, ứng dụng Android chỉ khai báo quyền INTERNET, cho phép ứng dụng kết nối tới API của chúng tôi tại letsweft.com để đồng bộ bảng của bạn.

Trên Android, Weft không xin và không dùng bất kỳ thứ nào sau đây: vị trí chính xác hay gần đúng, danh bạ, lịch, SMS hay nhật ký cuộc gọi, micro, máy ảnh, vị trí nền, cảm biến cơ thể, thiết bị ở gần, bộ nhớ ngoài, hay mã quảng cáo. Ứng dụng iOS không xin quyền vị trí, danh bạ, lịch, micro, máy ảnh, ảnh, chuyển động, sức khỏe, hay theo dõi.

10. Các tính năng AI

Weft không sinh nội dung bằng AI. Sản phẩm không tự gọi mô hình ngôn ngữ lớn nào, không có chatbot tích hợp sẵn, và không truyền dữ liệu bảng của bạn tới bất kỳ nhà cung cấp AI nào.

Điều Weft có làm là mở ra một endpoint Model Context Protocol (MCP) mà bạn có thể cho phép các client AI bên ngoài (Claude Desktop, Cursor, ChatGPT Codex, Gemini CLI, v.v.) sử dụng. Mỗi client AI kết nối thẳng tới MCP endpoint của chúng tôi bằng một token OAuth do bạn cấp; dữ liệu trao đổi là bất cứ thứ gì bạn hoặc client bạn đã cấp quyền chọn đọc hoặc ghi. Weft không phải là đơn vị vận hành các client AI đó và không gửi dữ liệu của bạn cho họ — chính bạn gửi, bằng việc kết nối chúng.

11. Trẻ em

Dịch vụ không hướng tới trẻ em dưới 13 tuổi (hoặc độ tuổi tối thiểu tương đương ở nước bạn), và chúng tôi không cố ý thu thập dữ liệu của các em. Nếu bạn cho rằng một trẻ em đã cung cấp dữ liệu cá nhân, hãy liên hệ chúng tôi và chúng tôi sẽ xóa dữ liệu đó.

12. Cookie & các công nghệ tương tự

Chúng tôi dùng những cookie thật sự cần thiết để giữ bạn đăng nhập, ghi nhớ tùy chọn của bạn, và bảo vệ Dịch vụ. Những cookie này luôn bật.

Chúng tôi cũng dùng các cookie không thiết yếu cho việc phân tích và đo lường quảng cáo: Google Analytics (_ga, _ga_*) và Meta Pixel (_fbp, _fbc). Khách truy cập từ Khu vực kinh tế châu Âu, Vương quốc Anh và Thụy Sĩ thấy một biểu ngữ xin sự đồng ý, và những cookie này chỉ được đặt sau khi họ chọn “Chấp nhận tất cả”. Những trình duyệt gửi tín hiệu Global Privacy Control được tự động coi là đã từ chối. Bạn có thể đổi lựa chọn của mình bất cứ lúc nào qua liên kết “Cài đặt cookie” ở chân trang, và bạn cũng có thể quản lý hoặc xóa cookie trong trình duyệt của mình.

13. Thay đổi chính sách này

Chúng tôi có thể cập nhật Chính sách quyền riêng tư này. Những thay đổi đáng kể sẽ được thông báo bằng email hoặc trong sản phẩm ít nhất 15 ngày trước khi có hiệu lực. Ngày “Cập nhật lần cuối” ở đầu trang phản ánh phiên bản mới nhất.

14. Liên hệ & Cán bộ bảo vệ dữ liệu

• Bên kiểm soát dữ liệu: AI PRODUCTS LTDA — CNPJ 63.045.700/0001-12.
• Liên hệ về quyền riêng tư / DPO: support@letsweft.com