Wefta Datenschutzerklärung und Datenpraxis

Wer für deine Daten verantwortlich ist

Wefta wird von Felipe Venturini Apoio Administrativo betrieben, in Brasilien unter der CNPJ 32.096.840/0001-96 registriert, mit Sitz in der Rua São Lourenço 331, Vila Alpina, São Paulo, SP, 03211-050, Brasilien. Dieses Unternehmen ist der Verantwortliche für die in dieser Erklärung beschriebene Verarbeitung, soweit hier nichts anderes gesagt wird.

Datenschutzanfragen jeder Art gehen an privacy@wefta.ai oder über unsere Supportseite. Wir antworten innerhalb der Frist, die das für dich geltende Recht vorschreibt: 15 Tage nach der LGPD, ein Monat nach der DSGVO (bei komplexen Anfragen um zwei Monate verlängerbar) und 45 Tage nach dem CCPA (einmalig um weitere 45 Tage verlängerbar).

Wann wir Verantwortlicher sind und wann Auftragsverarbeiter

Diese Unterscheidung entscheidet, wer für was einsteht, und sie ist keine Formsache. Dasselbe Unternehmen kann über verschiedene Datenbestände beide Rollen einnehmen, und bei Wefta ist das so.

• Deine Arbeitsbereichsinhalte — alles, was du oder dein Team in Spaces, Groups und Topics erfasst, einschließlich personenbezogener Daten über deine eigenen Kunden und Mitarbeitenden: Du bist der Verantwortliche, Wefta ist der Auftragsverarbeiter. Wir handeln nach deinen dokumentierten Weisungen und nie für eigene Zwecke.
• Deine Konto-, Abrechnungs-, Sicherheits- und Supportdaten — wer sich registriert hat, Zahlungsverwaltung, Zugriffsprotokolle, Betrugsprävention, Nachrichten, die du uns schickst: Hier ist Wefta der Verantwortliche, weil wir über Zweck und Mittel dieser Verarbeitung entscheiden.
• Besuche auf wefta.ai — Analyse- und Einwilligungsdaten: Wefta ist der Verantwortliche.
• Als Verantwortlicher für deine Arbeitsbereichsinhalte entscheidest du, wer in deiner Organisation Zugriff hat und auf welcher Stufe, und du bist für die Rechtmäßigkeit der Weisungen, die du uns gibst, und der Daten, die du hochlädst, verantwortlich. Für eine Offenlegung, die auf deiner Seite entsteht — geteilte oder abgeflossene Zugangsdaten, Zugriff, der nach dem Austritt einer Person bestehen bleibt, eine von dir autorisierte Integration —, musst du einstehen, und wir helfen dir, sie aufzuklären.

Informationen, die wir erheben

Wir erheben, was du uns direkt gibst, was der Dienst im Betrieb zwangsläufig erzeugt und was deine Einwilligungen erlauben.

• Kontodaten: Name, E-Mail und Passwort, das als Hash und nie in lesbarer Form gespeichert wird.
• Arbeitsbereichsinhalte: Spaces, Groups, Topics und alles, was du darin erfasst, einschließlich der Dateien und Texte, die dein Team schreibt.
• Nutzungs- und Sicherheitsdaten: Zugriffsprotokolle, Zeitstempel, IP-Adresse, Geräte- und Browsertyp sowie die Nachweise darüber, welche Bedingungen du wann akzeptiert hast.
• Signale gegen Missbrauch: Cloudflare Turnstile prüft IP-Adresse und Browserverhalten aller, die auf dieser Website ein Formular absenden, um einen Menschen von einem automatisierten Skript zu unterscheiden. Diese Verarbeitung unterliegt dem Turnstile-Datenschutzzusatz von Cloudflare: https://www.cloudflare.com/turnstile-privacy-policy/
• Abrechnungsdaten: von Stripe verarbeitet. Wefta erhält den Transaktionsstatus und die Rechnungsdaten, nie die vollständige Kartennummer.
• Optionale Analyse: erst nachdem du sie im Cookie-Banner akzeptiert hast.

Zweck, Rechtsgrundlage und Aufbewahrung je Kategorie

Jede Kategorie unten nennt den Zweck, der sie rechtfertigt, die Rechtsgrundlage, auf die wir uns stützen, und wie lange sie bestehen bleibt. Endet der Zweck, werden die Daten gelöscht oder anonymisiert, sofern nicht eine rechtliche, steuerliche, sicherheitsbezogene oder streitbezogene Pflicht eine längere Aufbewahrung verlangt.

• Identitäts- und Kontaktdaten — um dein Konto anzulegen und zu verwalten und Anfragen aus Vertrieb und Support zu beantworten. Grundlage: Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO, Art. 7 Nr. V LGPD). Aufbewahrt, solange die Beziehung besteht, und danach für den gesetzlich vorgeschriebenen Zeitraum.
• Arbeitsbereichsinhalte — um den Dienst bereitzustellen. Grundlage: Erfüllung des Vertrags und, bei Inhalten über Dritte, die Weisungen des Kunden, der Verantwortlicher ist. Aufbewahrt, bis du sie löschst oder das Konto schließt, vorbehaltlich der Backup-Zyklen, die 7 Tage nach der Löschung auslaufen.
• Nutzungs- und Sicherheitsdaten — um den Dienst verfügbar zu halten, Missbrauch zu untersuchen und die Annahme der Bedingungen zu belegen. Grundlage: berechtigtes Interesse am Betrieb eines sicheren Dienstes (Art. 6 Abs. 1 lit. f DSGVO, Art. 7 Nr. IX LGPD). Aufbewahrt für 7 Tage, außer eine laufende Sicherheitsuntersuchung oder eine gesetzliche Pflicht verlangt länger.
• Signale gegen Missbrauch — um automatisierten Missbrauch öffentlicher Formulare zu stoppen. Grundlage: berechtigtes Interesse. Nur so lange aufbewahrt, wie die Prüfung es erfordert.
• Abrechnungs- und Transaktionsdaten — um Abonnements abzuwickeln, Betrug zu verhindern und steuerliche sowie buchhalterische Pflichten zu erfüllen. Grundlage: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO, Art. 7 Nr. II LGPD). Aufbewahrt für die gesetzliche Aufbewahrungsfrist der Buchhaltung.
• Optionale Analyse- und Einwilligungsdaten — um Website und Produkt zu messen und zu verbessern. Grundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, Art. 7 Nr. I LGPD). Jederzeit widerrufbar; der Nachweis der Auswahl selbst bleibt gespeichert, als Beleg dafür, dass wir sie beachtet haben.

Cookies und ähnliche Technologien

Wir trennen Cookies danach, was sie tun, denn nur eine der beiden Gruppen darf rechtmäßig gesetzt werden, bevor du entscheidest.

Unbedingt erforderliche Technologien — Sitzungsauthentifizierung, Sicherheit, Lastverteilung und die Missbrauchsprüfung in unseren Formularen — laufen ohne Einwilligung, weil der Dienst ohne sie nicht erbracht werden kann. Alles andere ist optional und inaktiv, bis du es akzeptierst.

Optional sind Google Analytics über Google Tag Manager und Microsoft Clarity. Sie bleiben aus, bis du sie im Banner akzeptierst, und sie schalten sich wieder ab, sobald du es dir über den Link „Cookie-Einstellungen“ in der Fußzeile anders überlegst. Wir verwenden keine Cookies für Werbung, Retargeting oder den Aufbau von Profilen.

Wer Daten in unserem Auftrag verarbeitet

Wir verkaufen keine personenbezogenen Daten, wir geben sie nicht für kontextübergreifende verhaltensbasierte Werbung weiter und wir lizenzieren sie an niemanden. Wir setzen die folgenden Auftragsverarbeiter ein, jeden auf Grundlage eines Vertrags, der unsere Pflichten an ihn weitergibt, und jeden begrenzt auf den genannten Zweck.

• Cloudflare — Hosting, Auslieferung am Edge, Ausführung der Worker, der Key-Value-Speicher, der doppelte Formularsendungen aussortiert, und die Turnstile-Prüfungen gegen Missbrauch.
• Stripe — Zahlungsabwicklung, Rechnungsstellung, Erstattungen und Prüfungen auf Zahlungsbetrug.
• Attio — das CRM, das die über diese Website gesendeten Anfragen aus Vertrieb und Support empfängt.
• Google (Tag Manager und Analytics) — Messung der Website, nur nach Einwilligung aktiv.
• Microsoft Clarity — Analyse von Produkt und Website, nur nach Einwilligung aktiv.

Änderungen an dieser Liste der Auftragsverarbeiter

Geschäftskunden werden mindestens 30 Tage bevor ein neuer Auftragsverarbeiter ihre Daten verarbeitet informiert und können aus dokumentierten Compliance-Gründen widersprechen. Lässt sich der Widerspruch nicht ausräumen, kann der Kunde den betroffenen Dienst ohne Strafzahlung beenden. Der vollständige Mechanismus steht in unserem Auftragsverarbeitungsvertrag.

Internationale Datenübermittlungen

Wefta läuft auf einem globalen Netzwerk, Daten überschreiten also von Anfang an Grenzen, und wir tun nicht, als wäre es anders. Entscheidend ist die Garantie, die an jeder Übermittlung hängt.

Für Übermittlungen aus Brasilien stützen wir uns auf die Resolution CD/ANPD nº 19 vom 23. August 2024: einen Angemessenheitsbeschluss, wo es einen gibt, und ansonsten die von der ANPD erlassenen Standardvertragsklauseln, die unserem Auftragsverarbeitungsvertrag als Anlage beiliegen. Für Übermittlungen aus dem Europäischen Wirtschaftsraum und dem Vereinigten Königreich stützen wir uns auf einen Angemessenheitsbeschluss, wo es einen gibt, und ansonsten auf die Standardvertragsklauseln der Europäischen Kommission zusammen mit dem UK International Data Transfer Addendum, gestützt auf eine Folgenabschätzung der Übermittlung.

Wir versichern nicht, dass Daten in einem einzigen Land bleiben. Der Ort der Speicherung und Verarbeitung hängt von Anbieter, Dienst und Konfiguration ab.

Sicherheit

Wir setzen technische und organisatorische Maßnahmen ein, die dem Risiko angemessen sind: Verschlüsselung bei der Übertragung, Zugriff nur für die Personen, deren Aufgaben ihn erfordern, Mehr-Faktor-Authentifizierung für administrative Zugänge, Protokollierung, geprüfte Backups und Verfahren zur Reaktion auf Vorfälle.

Wefta ist mandantenfähig, das heißt: Verschiedene Kunden teilen sich dieselbe Infrastruktur und sind logisch voneinander getrennt. Der typische Fehler dieser Architektur ist, dass ein Mandant über eine fehlende Berechtigungsprüfung an die Daten eines anderen Mandanten gelangt. Wir behandeln die Autorisierung auf Objektebene als Anforderung erster Klasse, nicht als Nachgedanken, und prüfen sie.

Wenn etwas schiefgeht

Betrifft ein Sicherheitsvorfall personenbezogene Daten, melden wir ihn der Aufsichtsbehörde innerhalb von 72 Stunden nachdem wir Kenntnis erlangt haben, wo die DSGVO es verlangt, und der ANPD sowie den betroffenen Personen innerhalb einer angemessenen Frist, wo die LGPD es verlangt. Ist Wefta der Auftragsverarbeiter, informieren wir den Kunden, der Verantwortlicher ist, innerhalb von 24 Stunden nach Bestätigung des Vorfalls, damit er Zeit für seine eigene Meldung hat.

Deine Rechte

Egal wo du bist: Du kannst von uns verlangen, zu bestätigen, was wir über dich gespeichert haben, es zu berichtigen, es zu löschen, dir eine übertragbare Kopie zu geben und eine Nutzung zu beenden, der du widersprichst. Nach DSGVO und LGPD kannst du außerdem die Verarbeitung einschränken, deine Einwilligung jederzeit widerrufen, ohne dass die vorher rechtmäßige Verarbeitung berührt wird, und einer Verarbeitung auf Grundlage eines berechtigten Interesses widersprechen. Die Ausübung eines Rechts kostet dich nie einen schlechteren Preis oder einen schlechteren Dienst.

Du kannst dich bei einer Aufsichtsbehörde beschweren: bei der ANPD in Brasilien, bei deiner nationalen Datenschutzbehörde in der EU oder beim Information Commissioner's Office im Vereinigten Königreich. Uns wäre lieber, du kommst zuerst zu uns, aber das Recht bleibt in jedem Fall deins.

Personen mit Wohnsitz in Kalifornien

In den letzten 12 Monaten haben wir die oben beschriebenen Kategorien erhoben: Identifikatoren, kommerzielle Informationen, Internetaktivität und die Inhalte, die du speicherst. Wir haben sie von dir, aus deiner Nutzung des Dienstes und von unseren Auftragsverarbeitern erhalten. Wir nutzen sie für die in dieser Erklärung genannten Zwecke.

Wir verkaufen keine personenbezogenen Daten und geben sie nicht für kontextübergreifende verhaltensbasierte Werbung weiter, wie der CCPA diese Begriffe definiert. Sensible personenbezogene Daten nutzen oder offenbaren wir nicht über die Zwecke hinaus, die ohne ein Recht auf Beschränkung zulässig sind.

Du kannst Auskunft, Löschung oder Berichtigung verlangen und dafür einen bevollmächtigten Vertreter einsetzen. Wir benachteiligen dich nicht dafür, dass du diese Rechte ausübst. Anfragen gehen an privacy@wefta.ai.

Automatisierte Entscheidungen und KI-Funktionen

Wefta trifft über dich keine automatisierten Entscheidungen, die rechtliche Wirkung oder eine vergleichbar erhebliche Wirkung haben. Sollte jemals eine automatisierte Bewertung eingeführt werden, kannst du eine Überprüfung durch einen Menschen verlangen, wie Art. 22 DSGVO und Art. 20 LGPD es vorschreiben.

Deine Inhalte werden nie zum Training unserer Modelle oder der Modelle Dritter verwendet. Prompts, Arbeitsbereichsinhalte und Ausgaben werden nicht ausgewertet, nicht zur Verbesserung von Modellen aufbewahrt und zu diesem Zweck an keinen Anbieter weitergegeben. Diese Pflicht geben wir an jeden Auftragsverarbeiter weiter, den wir einsetzen.

Datenschutzbeauftragter

Felipe Venturini ist der Datenschutzbeauftragte von Wefta, erreichbar unter privacy@wefta.ai. Über diese Adresse kannst du jede Frage zu dieser Erklärung, jede Anfrage zu deinen Daten und jede Beschwerde einbringen.

Kinder

Wefta richtet sich nicht an Kinder, und wir erheben ihre Daten nicht wissentlich. Das Mindestalter beträgt 16 Jahre in der Europäischen Union, sofern ein Mitgliedstaat es nicht niedriger festgelegt hat, 13 Jahre im Vereinigten Königreich und 18 Jahre in Brasilien für Kontoinhaber, darunter ist die Einwilligung der Eltern erforderlich.

Änderungen dieser Erklärung

Wir können diese Erklärung ändern, wenn sich das Produkt oder das Recht ändert. Das Datum oben entspricht immer der aktuellen Fassung, und bei wesentlichen Änderungen bemühen wir uns nach Kräften, dich vorab direkt zu informieren.