Política de privacidad y tratamiento de datos de Wefta

Quién responde por tus datos

Wefta es operada por Felipe Venturini Apoio Administrativo, inscrita en Brasil con el CNPJ 32.096.840/0001-96 y con domicilio social en Rua São Lourenço 331, Vila Alpina, São Paulo, SP, 03211-050, Brasil. Esa entidad es el responsable del tratamiento descrito en esta política, salvo cuando aquí se indique lo contrario.

Las solicitudes sobre privacidad, de cualquier tipo, van a privacy@wefta.ai o a nuestra página de soporte. Respondemos dentro del plazo que exige la ley aplicable a tu caso: 15 días bajo la LGPD, un mes bajo el RGPD (prorrogable por dos meses en solicitudes complejas) y 45 días bajo la CCPA (prorrogable una vez por otros 45 días).

Cuándo somos responsables del tratamiento y cuándo encargados

Esta distinción decide quién responde por qué, y no es cosmética. Una misma empresa puede ocupar los dos papeles sobre conjuntos de datos distintos, y Wefta lo hace.

• El contenido de tu espacio de trabajo —todo lo que tú o tu equipo capturan en Spaces, Groups y Topics, incluidos los datos personales de tus propios clientes y empleados—: eres el responsable del tratamiento y Wefta es el encargado. Actuamos según tus instrucciones documentadas y nunca para finalidades propias.
• Tu cuenta, la facturación, los registros de seguridad y los de soporte —quién se registró, la administración de los pagos, los registros de acceso, la prevención del fraude, los mensajes que nos llegan—: Wefta es el responsable del tratamiento, porque nosotros decidimos por qué y cómo se tratan.
• La navegación en wefta.ai —analítica y registros de consentimiento—: Wefta es el responsable del tratamiento.
• Como responsable del tratamiento del contenido de tu espacio de trabajo, eres tú quien decide quién accede dentro de tu organización y con qué nivel, y respondes por la licitud de las instrucciones que nos das y de los datos que incorporas. La exposición causada de tu lado —credenciales compartidas o filtradas, un acceso que siguió activo después de que alguien se fue, una integración que autorizaste— te corresponde a ti, y te ayudaremos a investigarla.

Información que recopilamos

Recopilamos tres cosas: lo que nos das directamente, lo que el servicio genera necesariamente mientras funciona y lo que permiten tus decisiones de consentimiento.

• Datos de la cuenta: nombre, correo electrónico y contraseña, que se almacena con hash y nunca en forma legible.
• Contenido del espacio de trabajo: Spaces, Groups, Topics y todo lo que se captura en ellos, incluidos los archivos y los textos que escribe tu equipo.
• Registros de uso y seguridad: registros de acceso, marcas de tiempo, dirección IP, tipo de dispositivo y navegador, y los registros que acreditan qué versión de las condiciones se mostró y cuándo fue aceptada.
• Señales antiabuso: Cloudflare Turnstile inspecciona la dirección IP y el comportamiento del navegador de quien envía un formulario en este sitio, para distinguir a una persona de un script automatizado. Este tratamiento se rige por el Anexo de Privacidad de Turnstile de Cloudflare: https://www.cloudflare.com/turnstile-privacy-policy/
• Datos de facturación: los gestiona Stripe. Wefta recibe el estado de la transacción y los datos de la factura, nunca el número completo de la tarjeta.
• Analítica opcional: solo después de que la aceptas en el banner de cookies.

Finalidad, base jurídica y conservación, por categoría

Cada categoría indica abajo la finalidad que la justifica, la base jurídica en la que nos apoyamos y cuánto tiempo sobrevive. Cuando la finalidad termina, los datos se eliminan o se anonimizan, salvo que una obligación legal, fiscal, de seguridad o derivada de una disputa exija conservarlos más tiempo.

• Identidad y datos de contacto: para crear y administrar tu cuenta y para responder a solicitudes de ventas y soporte. Base: ejecución del contrato (RGPD art. 6.1.b y LGPD art. 7, V). Se conservan mientras dure la relación y después durante el plazo que exige la ley.
• Contenido del espacio de trabajo: para prestar el servicio. Base: ejecución del contrato y, para el contenido sobre terceros, las instrucciones del cliente que actúa como responsable del tratamiento. Se conserva hasta su eliminación o hasta el cierre de la cuenta, sujeto a los ciclos de copia de seguridad, que expiran 7 días después de la eliminación.
• Registros de uso y seguridad: para mantener el servicio disponible, investigar abusos y acreditar la aceptación de las condiciones. Base: interés legítimo en operar un servicio seguro (RGPD art. 6.1.f y LGPD art. 7, IX). Se conservan 7 días, salvo que una investigación de seguridad abierta o una obligación legal exija más tiempo.
• Señales antiabuso: para frenar el abuso automatizado de los formularios públicos. Base: interés legítimo. Se conservan solo el tiempo que requiere la verificación.
• Facturación y registros de transacciones: para gestionar suscripciones, prevenir el fraude y cumplir deberes fiscales y contables. Base: obligación legal (RGPD art. 6.1.c y LGPD art. 7, II). Se conservan durante el período contable legal.
• Analítica opcional y registros de consentimiento: para medir y mejorar el sitio y el producto. Base: tu consentimiento (RGPD art. 6.1.a y LGPD art. 7, I). Se retira en cualquier momento; el registro de la elección se conserva como constancia de que la respetamos.

Cookies y tecnologías similares

Separamos las cookies por lo que hacen, porque solo uno de los dos grupos puede instalarse lícitamente antes de que decidas.

Las tecnologías estrictamente necesarias —autenticación de sesión, seguridad, balanceo de carga y la verificación antiabuso de nuestros formularios— funcionan sin consentimiento, porque sin ellas el servicio no puede prestarse. Todo lo demás es opcional y permanece inactivo hasta que lo aceptas.

La analítica opcional son Google Analytics a través de Google Tag Manager y Microsoft Clarity. Permanecen apagadas hasta que las aceptas en el banner, y puedes apagarlas de nuevo en cualquier momento mediante el enlace «Configuración de cookies» del pie de página. No usamos cookies para publicidad, retargeting ni construcción de perfiles.

Quién trata los datos por cuenta nuestra

No vendemos información personal, no la compartimos para publicidad conductual entre contextos y no la licenciamos a nadie. Utilizamos los siguientes encargados del tratamiento, cada uno bajo un contrato que traslada nuestras obligaciones hasta ellos y cada uno limitado a la finalidad indicada.

• Cloudflare: alojamiento, entrega en el borde, ejecución del Worker, el almacén clave-valor que elimina envíos duplicados de formularios y las verificaciones antiabuso de Turnstile.
• Stripe: procesamiento de pagos, facturación, reembolsos y controles de fraude en los pagos.
• Attio: el CRM que recibe las solicitudes de ventas y soporte enviadas desde este sitio.
• Google (Tag Manager y Analytics): medición del sitio, activa solo después del consentimiento.
• Microsoft Clarity: analítica de producto y de sitio, activa solo después del consentimiento.

Cambios en esta lista de encargados

Los clientes empresariales reciben aviso con al menos 30 días de antelación antes de que un nuevo encargado empiece a tratar sus datos, y pueden oponerse por motivos de cumplimiento documentados. Si la objeción no puede resolverse, el cliente puede rescindir el servicio afectado sin penalización. El mecanismo completo está en nuestro Anexo de tratamiento de datos.

Transferencias internacionales de datos

Wefta funciona sobre una red global, así que los datos cruzan fronteras por diseño y no vamos a fingir lo contrario. Lo que importa es la garantía asociada a cada transferencia.

Para las transferencias fuera de Brasil nos apoyamos en la Resolución CD/ANPD nº 19, de 23 de agosto de 2024: una decisión de adecuación cuando existe y, en su defecto, las cláusulas contractuales tipo emitidas por la ANPD, anexas a nuestro Anexo de tratamiento de datos. Para las transferencias fuera del Espacio Económico Europeo y del Reino Unido nos apoyamos en una decisión de adecuación cuando existe y, en su defecto, en las cláusulas contractuales tipo de la Comisión Europea junto con el Addendum de Transferencia Internacional de Datos del Reino Unido, respaldadas por una evaluación de impacto de la transferencia.

No afirmamos que los datos permanezcan en un único país. La ubicación de almacenamiento y de tratamiento varía según el proveedor, el servicio y la configuración.

Seguridad

Aplicamos medidas técnicas y organizativas proporcionadas al riesgo: cifrado en tránsito, acceso limitado a las personas cuyas funciones lo exigen, autenticación multifactor en los accesos administrativos, registro de eventos, copias de seguridad revisadas y procedimientos de respuesta a incidentes.

Wefta es multicliente, lo que significa que clientes distintos comparten la misma infraestructura con aislamiento lógico entre ellos. El fallo característico de esa arquitectura es que un cliente alcance los datos de otro por una verificación de autorización ausente. Tratamos la autorización a nivel de objeto como un requisito de primer orden, no como algo accesorio, y lo verificamos.

Si algo sale mal

Si un incidente de seguridad afecta a datos personales, notificamos a la autoridad de control dentro de las 72 horas siguientes a tener conocimiento de él cuando el RGPD lo exige, y a la ANPD y a las personas afectadas en un plazo razonable cuando la LGPD lo exige. Cuando Wefta es el encargado del tratamiento, notificamos al cliente que actúa como responsable dentro de las 24 horas siguientes a la confirmación del incidente, para que tenga tiempo de hacer su propia comunicación.

Tus derechos

Estés donde estés, puedes pedirnos que confirmemos qué datos tuyos tenemos, que los corrijamos, que los eliminemos, que te demos una copia portable y que cesemos un uso al que te opongas. Bajo el RGPD y la LGPD también puedes limitar el tratamiento, retirar el consentimiento en cualquier momento sin afectar a lo que fue lícito antes y oponerte al tratamiento basado en el interés legítimo. Ejercer un derecho nunca te cuesta un precio peor ni un servicio degradado.

También puedes reclamar ante una autoridad de control: la ANPD en Brasil, tu autoridad nacional de protección de datos en la Unión Europea o la Information Commissioner's Office en el Reino Unido. Preferimos que vengas antes a nosotros, pero el derecho es tuyo de todos modos.

Residentes de California

En los últimos 12 meses recopilamos las categorías descritas arriba: identificadores, información comercial, actividad en internet y el contenido que cada cliente decide almacenar. Los recopilamos directamente, a partir del uso del servicio y de nuestros encargados del tratamiento. Los utilizamos para las finalidades indicadas en esta política.

No vendemos información personal y no la compartimos para publicidad conductual entre contextos, según el significado que la CCPA da a esos términos. No utilizamos ni divulgamos información personal sensible más allá de las finalidades permitidas sin derecho a limitación.

También puedes solicitar conocer, eliminar o corregir tus datos, y puedes actuar mediante un agente autorizado. No te discriminaremos por ejercer estos derechos. Las solicitudes van a privacy@wefta.ai.

Decisiones automatizadas y funciones de IA

Wefta no toma decisiones automatizadas sobre las personas que produzcan efectos jurídicos o efectos significativos similares. Si alguna vez se introduce una evaluación automatizada, podrás pedir su revisión por una persona, como exigen el art. 22 del RGPD y el art. 20 de la LGPD.

Tu contenido nunca se utiliza para entrenar nuestros modelos ni los de terceros. Los prompts, el contenido del espacio de trabajo y las salidas no se explotan, no se conservan para mejorar modelos y no se entregan a un proveedor con esa finalidad. Esta obligación se traslada a todos los encargados del tratamiento que utilizamos.

Delegado de protección de datos

Felipe Venturini es el delegado de protección de datos de Wefta, disponible en privacy@wefta.ai. Por esa dirección puedes plantear cualquier duda sobre esta política, cualquier solicitud sobre tus datos y cualquier reclamación.

Menores

Wefta no está dirigido a menores y no recopilamos conscientemente sus datos. La edad mínima es de 16 años en la Unión Europea, salvo que un Estado miembro la haya fijado más abajo, de 13 años en el Reino Unido y de 18 años en Brasil para titulares de cuenta, con consentimiento de los padres exigido por debajo de esa edad.

Cambios en esta política

Podemos actualizar esta política cuando cambien el producto o la ley. La fecha de la parte superior siempre refleja la versión vigente y, para cambios relevantes, hacemos un esfuerzo razonable por avisarte directamente antes de que surtan efecto.