隱私權政策

本隱私權政策說明 AI PRODUCTS LTDA（CNPJ 63.045.700/0001-12，以下稱「Weft」、「我們」）在你使用 letsweft.com 與 Weft 應用程式（合稱「本服務」）時，如何蒐集、使用、分享與保護個人資料。依歐盟一般資料保護規則（「GDPR」），我們是資料控管者；依加州消費者隱私法／加州隱私權法（「CCPA/CPRA」），我們是企業；依巴西一般個人資料保護法（「LGPD」— 第 13.709/2018 號法律），我們是 controlador。

1. 我們蒐集的資料

• 帳號資料 — 你的姓名、電子郵件地址，以及加鹽的密碼雜湊值。我們不以明文儲存你的密碼。
• 你建立的內容 — 任務、衝刺、欄位、留言、附件、看板設定，以及你透過網頁應用程式或 AI 客戶端加入的任何文字。若你加入或建立共用的工作區（Team 方案），該工作區的所有成員都能看到並編輯這些內容。只有工作區擁有者會被收費。
• 帳務資料 — 我們儲存一個 Stripe 客戶 ID 與訂閱的中繼資料。卡片資料直接輸入 Stripe 符合 PCI-DSS 的基礎設施，絕不儲存在我們的伺服器上。
• AI 客戶端／MCP 中繼資料 — 當你透過 MCP 端點連接 AI 助理（Claude、Cursor、Codex、ChatGPT、Gemini 等）時，我們會記錄取得授權的客戶端、OAuth 權杖與所發出的工具呼叫，以便稽核存取，並在你要求時撤銷。
• 使用與技術資料 — IP 位址、瀏覽器／裝置類型、作業系統、造訪的頁面、cookie 識別碼與時間戳記，用於安全、分析、廣告成效衡量與除錯。
• 支援資料 — 你寫信給我們時的訊息內容。

2. 我們如何使用這些資料

• 提供、營運與維護本服務；
• 處理付款並管理你的訂閱；
• 驗證你的身分並保護你的帳號；
• 讓你和你的 AI 客戶端透過 MCP 端點讀取與修改你的看板；
• 回覆支援請求；
• 寄送交易訊息（收據、安全警示、政策更新），以及在必要時取得你同意後寄送產品更新；
• 偵測詐欺與濫用、執行我們的條款，並遵循法律義務；
• 修正錯誤並改善本服務；
• 衡量訪客如何使用 letsweft.com、我們的行銷活動成效如何，並以廣告觸及潛在使用者 — 分析與廣告 cookie 僅在必要時取得你同意後才使用（見第 12 節）。

我們不會出售你的個人資料，也不會用你的使用者內容訓練共用的或第三方的 AI 模型。

3. 法律依據（GDPR 與 LGPD）

• 契約 — 為提供你所註冊的服務（帳號、帳務、MCP 存取）。
• 正當利益 — 為維持本服務的安全、防止詐欺並提升可靠性；並與你的權利權衡。
• 法律義務 — 為保存帳務紀錄並回應合法請求。
• 同意 — 用於非必要的 cookie、選擇性的行銷郵件，或其他需要同意的處理。你可以隨時撤回同意。

4. 我們與誰分享資料

我們僅與下列對象分享個人資料。其中多數是服務供應商（次處理者），依書面協議僅得依我們的指示使用；Google（分析）與 Meta（廣告成效衡量）亦依其隱私權政策所述，為其自身目的處理部分資料：

• Vercel, Inc.（美國）— letsweft.com 與我們 API 的應用程式託管、邊緣網路與無伺服器函式執行。
• Neon, Inc.（美國）— 代管的 PostgreSQL 資料庫，儲存帳號、內容與帳務資料。
• Upstash, Inc.（美國／歐盟）— 代管的 Redis，用於流量限制與短暫的工作階段／MCP 狀態。
• Stripe, Inc.（美國）— 網頁購買的付款、訂閱帳務與客戶入口。卡片資料直接輸入 Stripe 符合 PCI-DSS 的基礎設施。
• Google LLC（美國）— 兩種角色：(a) 當你在 Android 上透過 Google Play Billing 購買或管理 Pro 訂閱時，Google 依其自身條款處理該交易；(b) letsweft.com 上的 Google Analytics 協助我們了解訪客如何使用網站（造訪的頁面、裝置類型、由 IP 推得的概略位置）。分析 cookie 僅依第 12 節所述設定。
• Meta Platforms, Inc.（美國）— 透過 letsweft.com 上的 Meta Pixel 進行廣告成效衡量。在第 12 節允許的範圍內，Meta 會收到使用事件（例如頁面瀏覽與註冊）、cookie 識別碼，以及在你註冊時，你電子郵件地址與姓名的雜湊（SHA-256）版本，用於將轉換對應到 Meta 廣告（「進階配對」）。在同樣受第 12 節同意的前提下，我們也可能從我們的伺服器向 Meta 回報註冊事件（「Conversions API」），內容僅限相同的雜湊識別碼（電子郵件、帳號 ID）與技術資料（IP 位址、瀏覽器識別碼）。我們絕不會把你的看板內容、密碼或帳務明細送給 Meta。
• Apple Inc.（美國）— 當你在 iOS 或 macOS 上透過 Apple 的 App 內購買機制購買或管理 Pro 訂閱時，Apple 依其自身條款處理該交易。
• 電子郵件寄送服務商（美國／歐盟）— 寄送交易訊息（驗證、密碼重設、帳務收據）。
• 你連接的 AI 客戶端 — 若你授權某個 AI 客戶端透過 MCP 存取你的看板，該客戶端的供應商會收到你或你的客戶端選擇傳送的任何資料。每家供應商依其自身條款處理該資料。
• 法律與安全 — 在法律、法院命令要求時，或為保護我們或他人的權利、財產或安全時。
• 繼受人 — 作為合併、收購或資產出售的一部分，並以同等程度的保護為前提。

我們在行動應用程式中不使用任何第三方分析 SDK、廣告 SDK 或歸因 SDK。

5. 國際傳輸

我們總部位於巴西，我們的服務供應商在多個地區營運，包含美國與歐盟。當我們把個人資料傳出你所在的地區時，我們會依循合法的傳輸機制，例如標準契約條款（GDPR）、適足性認定，或 LGPD 下的同等保障措施。

6. 資料保存

只要你的帳號仍在使用中，我們就保存帳號與內容資料。當你刪除帳號時，我們會在 30 天內刪除或匿名化個人資料，但基於法律、稅務、會計或防詐目的必須保存的紀錄除外（依巴西稅法通常最長 5 年）。

7. 安全

我們採用業界標準的技術與組織措施保護你的資料，包含傳輸中的 TLS 加密、加密的密碼雜湊、存取控制與稽核紀錄。沒有任何傳輸或儲存方式是百分之百安全的；我們無法保證絕對的安全。

8. 你的權利

8.1 所有人

你隨時可以：

• 透過本服務存取你帳號中的資料；
• 更正不正確的資料；
• 依請求以機器可讀的格式匯出你的資料（任務、衝刺、留言）；
• 從帳號刪除頁面、Weft 行動應用程式的設定畫面，或寫信給我們來刪除你的帳號 — 這同時會刪除相關的個人資料。

8.2 巴西（LGPD）

你享有 LGPD 第 18 條所定的權利，包含確認處理情形、存取、更正、對不必要資料的匿名化／封鎖／刪除、可攜、取得分享相關資訊，以及撤回同意。巴西的資料保護主管機關是 ANPD — gov.br/anpd。

8.3 歐洲經濟區與英國（GDPR）

你享有存取、更正、刪除、限制處理、可攜與反對（包含反對基於正當利益的處理）等權利。你有權向你居住國的監理機關提出申訴。

8.4 加州（CCPA/CPRA）

加州居民有權知道我們蒐集哪些個人資訊以及如何使用、要求刪除、更正不正確的資訊、限制敏感個人資訊的使用，並選擇退出個人資訊的「出售」或「分享」。我們不出售你的個人資訊。我們對廣告 cookie（Meta Pixel）的使用，可能構成 CCPA/CPRA 所定義的「分享」（跨情境行為廣告）。你可以隨時在我們的 cookie 橫幅中選擇「僅必要」，或透過網站頁尾的「Cookie 設定」連結退出；我們也將 Global Privacy Control（GPC） 瀏覽器訊號視為有效的退出請求。我們不會因為你行使權利而差別對待你。

8.5 如何行使你的權利

要刪除帳號，請使用自助刪除頁面（網頁），或 Weft 行動應用程式的設定畫面。其他任何請求（存取、更正、匯出、反對），請寫信到 support@letsweft.com。我們會在適用法律要求的期限內回覆（依 LGPD 通常為 15 天，依 GDPR 為 30 天，依 CCPA/CPRA 為 45 天）。

9. 行動應用程式的權限

Weft 的 Android 與 iOS 應用程式只要求運作所需的最低權限。具體而言，Android 應用程式只宣告 INTERNET 權限，讓應用程式能連到我們位於 letsweft.com 的 API 以同步你的看板。

在 Android 上，Weft 不會要求或使用下列任何一項：精確或概略位置、聯絡人、行事曆、簡訊或通話紀錄、麥克風、相機、背景位置、身體感測器、鄰近裝置、外部儲存空間，或廣告 ID。iOS 應用程式不會要求位置、聯絡人、行事曆、麥克風、相機、照片、動作、健康或追蹤權限。

10. AI 功能

Weft 不用 AI 生成內容。本產品不會自行呼叫任何大型語言模型，不內建聊天機器人，也不會把你的看板資料傳給任何 AI 供應商。

Weft 所做的是開放一個 Model Context Protocol（MCP）端點，讓你授權外部的 AI 客戶端（Claude Desktop、Cursor、ChatGPT Codex、Gemini CLI 等）使用。每個 AI 客戶端都以你授予的 OAuth 權杖直接連到我們的 MCP 端點；交換的資料，就是你或你授權的客戶端選擇讀取或寫入的內容。Weft 不是那些 AI 客戶端的營運者，也不會把你的資料送給它們 — 是你在連接它們時送出的。

11. 兒童

本服務並非針對 13 歲以下（或你所在國家的相應最低年齡）的兒童，我們也不會在知情的情況下蒐集他們的資料。若你認為有兒童提供了個人資料，請聯絡我們，我們會將其刪除。

12. Cookie 與類似技術

我們使用嚴格必要的 cookie 來維持你的登入狀態、記住你的偏好，並保護本服務。這些一律開啟。

我們也為了分析與廣告成效衡量使用非必要的 cookie：Google Analytics（_ga、_ga_*）與 Meta Pixel（_fbp、_fbc）。來自歐洲經濟區、英國與瑞士的訪客會看到同意橫幅，這些 cookie 只在他們選擇「全部接受」之後才會設定。送出 Global Privacy Control 訊號的瀏覽器會自動視為退出。你可以隨時透過網站頁尾的「Cookie 設定」連結變更你的選擇，也可以在瀏覽器中管理或刪除 cookie。

13. 本政策的變更

我們可能更新本隱私權政策。重大變更會在生效前至少 15 天以電子郵件或產品內通知。頁首的「最後更新」日期反映最新的版本。

14. 聯絡方式與資料保護長

• 資料控管者： AI PRODUCTS LTDA — CNPJ 63.045.700/0001-12。
• 隱私聯絡窗口／DPO： support@letsweft.com