Política de Privacidade e Tratamento de Dados da Wefta

Quem é responsável pelos seus dados

O Wefta é operado por Felipe Venturini Apoio Administrativo, inscrita no Brasil sob o CNPJ 32.096.840/0001-96, com sede na Rua São Lourenço 331, Vila Alpina, São Paulo, SP, 03211-050, Brasil. Essa pessoa jurídica é a controladora do tratamento descrito nesta política, salvo quando a própria política disser o contrário.

Pedidos de privacidade de qualquer natureza vão para privacy@wefta.ai ou pela nossa página de suporte. Respondemos dentro do prazo exigido pela lei aplicável a você: 15 dias na LGPD, 1 mês no RGPD (prorrogável por mais dois meses em pedidos complexos), e 45 dias na CCPA (prorrogável uma vez por outros 45 dias).

Quando somos controlador e quando somos operador

Essa distinção define quem responde pelo quê, e não é enfeite. A mesma empresa pode ocupar os dois papéis sobre conjuntos diferentes de dados, e é o que acontece com o Wefta.

• O conteúdo do seu espaço de trabalho — tudo que você ou o seu time capturam em Espaços, Grupos e Temas, incluindo dados pessoais dos seus próprios clientes e da sua equipe: você é o controlador, e o Wefta é o operador. Agimos conforme as suas instruções documentadas e nunca para finalidades próprias.
• Os registros de conta, cobrança, segurança e suporte — quem se cadastrou, a administração de pagamentos, os logs de acesso, a prevenção a fraude, as mensagens que você nos envia: o Wefta é o controlador, porque somos nós que decidimos por que e como esses dados são tratados.
• As visitas ao wefta.ai — analytics e registros de consentimento: o Wefta é o controlador.
• Como controlador do conteúdo do seu espaço de trabalho, é você quem decide quem na sua organização tem acesso e em que nível, e é você que responde pela licitude das instruções que nos dá e dos dados que sobe. Exposição causada do seu lado — credencial compartilhada ou vazada, acesso mantido depois que alguém saiu, uma integração que você autorizou — é você quem responde, e nós vamos ajudar você a investigar.

Informações que coletamos

Coletamos o que você nos dá diretamente, o que o serviço necessariamente gera enquanto funciona, e o que as suas escolhas de consentimento permitem.

• Dados de conta: nome, e-mail e senha, que é armazenada com hash e nunca em forma legível.
• Conteúdo do espaço de trabalho: Espaços, Grupos, Temas e tudo que você captura neles, incluindo arquivos e textos escritos pelo seu time.
• Registros de uso e segurança: logs de acesso, data e hora, endereço IP, tipo de dispositivo e navegador, e os registros que comprovam quais termos você aceitou e quando.
• Sinais antiabuso: o Cloudflare Turnstile inspeciona o endereço IP e o comportamento do navegador de quem envia um formulário neste site, pra distinguir uma pessoa de um script automatizado. Esse tratamento é regido pelo Adendo de Privacidade do Turnstile da Cloudflare: https://www.cloudflare.com/turnstile-privacy-policy/
• Dados de cobrança: tratados pela Stripe. O Wefta recebe o status da transação e os dados da fatura, nunca o número completo do cartão.
• Analytics opcional: só depois que você aceita no banner de cookies.

Finalidade, base legal e retenção, por categoria

Cada categoria abaixo declara a finalidade que a justifica, a base legal em que nos apoiamos, e por quanto tempo ela sobrevive. Quando a finalidade se encerra, o dado é eliminado ou anonimizado, salvo se uma obrigação legal, fiscal, de segurança ou de litígio exigir guarda por mais tempo.

• Dados de identificação e contato — para criar e administrar a sua conta e para responder pedidos de vendas e suporte. Base: execução do contrato (RGPD art. 6(1)(b), LGPD art. 7, V). Guardados enquanto durar a relação e, depois, pelo prazo que a lei exigir.
• Conteúdo do espaço de trabalho — para prestar o serviço. Base: execução do contrato e, quanto a conteúdo sobre terceiros, as instruções do cliente que é o controlador. Guardado até você excluir ou encerrar a conta, observados os ciclos de backup, que expiram 7 dias depois da exclusão.
• Registros de uso e segurança — para manter o serviço disponível, investigar abusos e comprovar o aceite dos termos. Base: legítimo interesse em operar um serviço seguro (RGPD art. 6(1)(f), LGPD art. 7, IX). Guardados por 7 dias, salvo quando uma investigação de segurança em aberto ou uma obrigação legal exigir prazo maior.
• Sinais antiabuso — para barrar abuso automatizado dos formulários públicos. Base: legítimo interesse. Guardados apenas pelo tempo que a verificação exigir.
• Registros de cobrança e transações — para operar assinaturas, prevenir fraude e cumprir deveres fiscais e contábeis. Base: obrigação legal (RGPD art. 6(1)(c), LGPD art. 7, II). Guardados pelo prazo contábil legal.
• Analytics opcional e registros de consentimento — para medir e melhorar o site e o produto. Base: o seu consentimento (RGPD art. 6(1)(a), LGPD art. 7, I). Revogável a qualquer momento; o registro da própria escolha é mantido como prova de que a respeitamos.

Cookies e tecnologias semelhantes

Separamos os cookies pelo que eles fazem, porque só um dos dois grupos pode ser instalado licitamente antes de você decidir.

As tecnologias estritamente necessárias — autenticação de sessão, segurança, balanceamento de carga e a verificação antiabuso dos nossos formulários — funcionam sem consentimento, porque o serviço não pode ser entregue sem elas. Todo o resto é opcional e fica inativo até você aceitar.

O analytics opcional é o Google Analytics via Google Tag Manager, e o Microsoft Clarity. Eles ficam desligados até você aceitar no banner, e voltam a desligar no momento em que você mudar de ideia pelo link "Configurações de cookies" no rodapé. Não usamos cookies para publicidade, retargeting ou construção de perfil.

Quem trata dados em nosso nome

Não vendemos informação pessoal, não a compartilhamos para publicidade comportamental entre contextos, e não a licenciamos para ninguém. Usamos os operadores abaixo, cada um sob um contrato que repassa as nossas obrigações a eles, e cada um limitado à finalidade indicada.

• Cloudflare — hospedagem, entrega na borda, execução do Worker, o armazenamento chave-valor que deduplica envios de formulário, e as verificações antiabuso do Turnstile.
• Stripe — processamento de pagamentos, faturamento, reembolsos e verificações de fraude no pagamento.
• Attio — o CRM que recebe os pedidos de vendas e suporte enviados por este site.
• Google (Tag Manager e Analytics) — medição do site, ativo apenas depois do consentimento.
• Microsoft Clarity — analytics de produto e de site, ativo apenas depois do consentimento.

Mudanças nesta lista de operadores

Clientes empresariais são avisados com pelo menos 30 dias de antecedência antes de um novo operador começar a tratar os seus dados, e podem se opor por motivos documentados de conformidade. Se a oposição não for resolvida, o cliente pode rescindir o serviço afetado sem penalidade. O mecanismo completo está no nosso Adendo de Processamento de Dados.

Transferências internacionais de dados

O Wefta roda numa rede global, então os dados cruzam fronteiras por desenho, e não vamos fingir o contrário. O que importa é a salvaguarda aplicada a cada transferência.

Para transferências para fora do Brasil, nos apoiamos na Resolução CD/ANPD nº 19, de 23 de agosto de 2024: uma decisão de adequação onde ela existir, e, na falta dela, as Cláusulas-Padrão Contratuais editadas pela ANPD, anexas ao nosso Adendo de Processamento de Dados. Para transferências para fora do Espaço Econômico Europeu e do Reino Unido, nos apoiamos numa decisão de adequação onde ela existir e, na falta dela, nas Cláusulas Contratuais-Padrão da Comissão Europeia junto com o UK International Data Transfer Addendum, apoiados por uma avaliação de impacto da transferência.

Não afirmamos que os dados permanecem em um único país. O local de armazenamento e tratamento varia conforme o provedor, o serviço e a configuração.

Segurança

Aplicamos medidas técnicas e organizacionais proporcionais ao risco: criptografia em trânsito, acesso limitado às pessoas cujas funções exigem, autenticação multifator no acesso administrativo, registro de logs, backups revisados e procedimentos de resposta a incidentes.

O Wefta é multi-tenant, o que significa que clientes distintos compartilham a mesma infraestrutura, com isolamento lógico entre eles. A falha característica dessa arquitetura é um tenant alcançar os dados de outro por uma verificação de autorização ausente. Tratamos a autorização no nível do objeto como requisito de primeira classe, não como detalhe posterior, e testamos isso.

Se alguma coisa der errado

Se um incidente de segurança atingir dados pessoais, notificamos a autoridade de controle em até 72 horas a partir do momento em que tomamos conhecimento, onde o RGPD exige, e a ANPD e as pessoas afetadas em prazo razoável, onde a LGPD exige. Quando o Wefta é o operador, notificamos o cliente que é o controlador em até 24 horas da confirmação do incidente, para que ele tenha tempo de fazer a própria comunicação.

Os seus direitos

Onde quer que você esteja, pode pedir que a gente confirme o que temos sobre você, corrija, elimine, forneça uma cópia portável, e interrompa um uso ao qual você se opõe. Na LGPD e no RGPD você também pode limitar o tratamento, revogar o consentimento a qualquer momento sem afetar o que foi lícito antes, e se opor ao tratamento baseado em legítimo interesse. Exercer um direito nunca custa a você um preço pior ou um serviço degradado.

Você pode reclamar a uma autoridade de controle: a ANPD no Brasil, a autoridade nacional de proteção de dados do seu país na União Europeia, ou o Information Commissioner's Office no Reino Unido. Preferimos que você venha falar com a gente primeiro, mas o direito é seu de qualquer forma.

Residentes da Califórnia

Nos últimos 12 meses coletamos as categorias descritas acima: identificadores, informação comercial, atividade de internet e o conteúdo daquilo que você escolhe armazenar. Coletamos de você, do seu uso do serviço e dos nossos operadores. Usamos esses dados para as finalidades declaradas nesta política.

Não vendemos informação pessoal e não a compartilhamos para publicidade comportamental entre contextos, nos termos em que a CCPA define essas expressões. Não usamos nem divulgamos informação pessoal sensível além das finalidades permitidas sem direito de limitação.

Você pode pedir para saber, excluir ou corrigir, e pode usar um agente autorizado. Não vamos discriminar você por exercer esses direitos. Os pedidos vão para privacy@wefta.ai.

Decisões automatizadas e recursos de IA

O Wefta não toma decisões sobre você por meios automatizados que produzam efeitos jurídicos ou efeitos igualmente significativos. Se alguma avaliação automatizada vier a ser introduzida, você poderá pedir revisão por uma pessoa, como exigem o art. 22 do RGPD e o art. 20 da LGPD.

O seu conteúdo nunca é usado para treinar os nossos modelos nem os modelos de terceiros. Prompts, conteúdo do espaço de trabalho e saídas não são minerados, não são retidos para melhoria de modelo, e não são repassados a nenhum provedor com essa finalidade. Essa obrigação é repassada a todo operador que utilizamos.

Encarregado pelo tratamento de dados pessoais

Felipe Venturini é o encarregado pelo tratamento de dados pessoais do Wefta, disponível em privacy@wefta.ai. Por esse endereço você pode levantar qualquer dúvida sobre esta política, qualquer pedido sobre os seus dados, ou qualquer reclamação.

Crianças

O Wefta não é dirigido a crianças e não coletamos dados delas conscientemente. A idade mínima é 16 anos na União Europeia, salvo se um Estado-membro tiver fixado idade menor, 13 anos no Reino Unido, e 18 anos no Brasil para titulares de conta, exigido consentimento dos pais abaixo disso.

Mudanças nesta política

Podemos atualizar esta política conforme o produto ou a lei mudarem. A data no topo sempre reflete a versão atual e, em mudanças relevantes, fazemos um esforço razoável para avisar você diretamente antes de elas entrarem em vigor.