Política de Privacidade e Práticas de Dados da Wefta

Quem é responsável pelos seus dados

O Wefta é operado pela Felipe Venturini Apoio Administrativo, registada no Brasil sob o CNPJ 32.096.840/0001-96, com sede na Rua São Lourenço 331, Vila Alpina, São Paulo, SP, 03211-050, Brasil. Essa entidade é a responsável pelo tratamento descrito nesta política, salvo quando esta política disser o contrário.

Os pedidos sobre privacidade, seja qual for a sua natureza, são dirigidos a privacy@wefta.ai ou enviados através da nossa página de suporte. Respondemos dentro do prazo exigido pela lei que lhe é aplicável: 15 dias ao abrigo da LGPD, um mês ao abrigo do RGPD (prorrogável por dois meses em pedidos complexos), e 45 dias ao abrigo da CCPA (prorrogável uma vez por mais 45 dias).

Quando somos responsáveis pelo tratamento e quando somos subcontratante

Esta distinção decide quem responde por quê, e não é cosmética. A mesma empresa pode ocupar os dois papéis sobre conjuntos de dados diferentes, e a Wefta ocupa.

• O conteúdo do seu espaço de trabalho — tudo o que o cliente ou a sua equipa capturam em Espaços, Grupos e Temas, incluindo quaisquer dados pessoais dos seus próprios clientes e colaboradores: o responsável pelo tratamento é o cliente, e a Wefta é o subcontratante. Agimos segundo as instruções documentadas do cliente e nunca para finalidades próprias.
• Os registos de conta, faturação, segurança e suporte — quem se inscreveu, a administração dos pagamentos, os registos de acesso, a prevenção de fraude, as mensagens que nos envia: a responsável pelo tratamento é a Wefta, porque somos nós a decidir porquê e como são tratados.
• As visitas ao wefta.ai — analytics e registos de consentimento: a responsável pelo tratamento é a Wefta.
• Enquanto responsável pelo tratamento do conteúdo do seu espaço de trabalho, é o cliente que decide quem tem acesso dentro da sua organização e com que nível, e responde pela licitude das instruções que nos dá e dos dados que carrega. A exposição causada do seu lado — credenciais partilhadas ou divulgadas, acessos mantidos depois de alguém sair, uma integração que autorizou — é da sua responsabilidade, e vamos ajudá-lo a investigá-la.

Informação que recolhemos

Recolhemos o que nos dá diretamente, o que o serviço gera necessariamente enquanto funciona, e o que as suas escolhas de consentimento permitem.

• Dados de conta: nome, e-mail e palavra-passe, que é armazenada sob a forma de hash e nunca em texto legível.
• Conteúdo do espaço de trabalho: Espaços, Grupos, Temas e tudo o que captura neles, incluindo ficheiros e texto escrito pela sua equipa.
• Registos de utilização e de segurança: registos de acesso, data e hora, endereço IP, tipo de dispositivo e de navegador, e os registos que provam que termos aceitou e quando.
• Sinais antiabuso: o Cloudflare Turnstile inspeciona o endereço IP e o comportamento do navegador de quem submete um formulário neste site, para distinguir uma pessoa de um script automático. Este tratamento é regido pela Adenda de Privacidade do Turnstile da Cloudflare: https://www.cloudflare.com/turnstile-privacy-policy/
• Dados de faturação: tratados pela Stripe. A Wefta recebe o estado da transação e os dados da fatura, nunca o número completo do cartão.
• Analytics opcional: apenas depois de o aceitar no aviso de cookies.

Finalidade, base legal e retenção, por categoria

Cada categoria abaixo indica a finalidade que a justifica, a base legal em que nos apoiamos e durante quanto tempo sobrevive. Quando a finalidade termina, os dados são eliminados ou anonimizados, salvo se uma obrigação legal, fiscal, de segurança ou relacionada com um litígio exigir que os conservemos mais tempo.

• Dados de identificação e contacto — para criar e administrar a sua conta e para responder a pedidos de vendas e de suporte. Base: execução do contrato (RGPD art. 6.º, n.º 1, alínea b), LGPD art. 7.º, V). Conservados enquanto durar a relação e, depois, pelo período exigido por lei.
• Conteúdo do espaço de trabalho — para prestar o serviço. Base: execução do contrato e, quanto a conteúdo sobre terceiros, as instruções do cliente que é o responsável pelo tratamento. Conservado até o eliminar ou encerrar a conta, sem prejuízo dos ciclos de cópia de segurança, que expiram 7 dias depois da eliminação.
• Registos de utilização e de segurança — para manter o serviço disponível, investigar abusos e provar a aceitação dos termos. Base: interesse legítimo em operar um serviço seguro (RGPD art. 6.º, n.º 1, alínea f), LGPD art. 7.º, IX). Conservados durante 7 dias, exceto quando uma investigação de segurança em curso ou uma obrigação legal exigir mais tempo.
• Sinais antiabuso — para travar o abuso automatizado dos formulários públicos. Base: interesse legítimo. Conservados apenas durante o tempo que a verificação exige.
• Registos de faturação e de transação — para gerir subscrições, prevenir fraude e cumprir deveres fiscais e contabilísticos. Base: obrigação legal (RGPD art. 6.º, n.º 1, alínea c), LGPD art. 7.º, II). Conservados pelo prazo legal de arquivo contabilístico.
• Analytics opcional e registos de consentimento — para medir e melhorar o site e o produto. Base: o seu consentimento (RGPD art. 6.º, n.º 1, alínea a), LGPD art. 7.º, I). Retirável a qualquer momento; o registo da própria escolha é conservado como prova de que a respeitámos.

Cookies e tecnologias semelhantes

Separamos os cookies por aquilo que fazem, porque só um dos dois grupos pode ser instalado licitamente antes de o utilizador decidir.

As tecnologias estritamente necessárias — autenticação de sessão, segurança, balanceamento de carga e a verificação antiabuso nos nossos formulários — funcionam sem consentimento, porque sem elas o serviço não pode ser prestado. Tudo o resto é opcional e fica inativo até o aceitar.

O analytics opcional é o Google Analytics, através do Google Tag Manager, e o Microsoft Clarity. Ficam desligados até os aceitar no aviso, e voltam a desligar-se no momento em que mudar de ideias através da ligação "Definições de cookies" no rodapé. Não utilizamos cookies para publicidade, retargeting ou construção de perfis.

Quem trata dados por nossa conta

Não vendemos informação pessoal, não a partilhamos para publicidade comportamental entre contextos, e não a licenciamos a ninguém. Recorremos aos subcontratantes seguintes, cada um ao abrigo de um contrato que lhes transmite as nossas obrigações, e cada um limitado à finalidade indicada.

• Cloudflare — alojamento, entrega na edge, execução de Workers, o armazenamento chave-valor que elimina submissões duplicadas de formulários, e as verificações antiabuso do Turnstile.
• Stripe — processamento de pagamentos, faturação, reembolsos e verificações de fraude no pagamento.
• Attio — o CRM que recebe os pedidos de vendas e de suporte enviados através deste site.
• Google (Tag Manager e Analytics) — medição do site, ativa apenas depois do consentimento.
• Microsoft Clarity — analytics de produto e de site, ativo apenas depois do consentimento.

Alterações a esta lista de subcontratantes

Os clientes empresariais são avisados com pelo menos 30 dias de antecedência antes de um novo subcontratante começar a tratar os seus dados, e podem opor-se com fundamentos documentados de conformidade. Se a oposição não puder ser resolvida, o cliente pode cessar o serviço afetado sem penalização. O mecanismo completo está no nosso Adendo de Tratamento de Dados.

Transferências internacionais de dados

O Wefta funciona numa rede global, por isso os dados atravessam fronteiras por desenho, e não vamos fingir o contrário. O que importa é a salvaguarda associada a cada transferência.

Nas transferências a partir do Brasil apoiamo-nos na Resolução CD/ANPD n.º 19, de 23 de agosto de 2024: numa decisão de adequação quando exista e, na falta dela, nas Cláusulas Contratuais-Padrão emitidas pela ANPD, anexas ao nosso Adendo de Tratamento de Dados. Nas transferências a partir do Espaço Económico Europeu e do Reino Unido apoiamo-nos numa decisão de adequação quando exista e, na falta dela, nas Cláusulas Contratuais-Tipo da Comissão Europeia em conjunto com o Adendo de Transferência Internacional de Dados do Reino Unido, suportadas por uma avaliação de impacto da transferência.

Não afirmamos que os dados permanecem num único país. O local de armazenamento e de tratamento varia consoante o fornecedor, o serviço e a configuração.

Segurança

Aplicamos medidas técnicas e organizativas proporcionais ao risco: cifragem em trânsito, acesso limitado às pessoas cujas funções o exigem, autenticação multifator no acesso administrativo, registo de eventos, cópias de segurança revistas e procedimentos de resposta a incidentes.

O Wefta é multi-inquilino, o que significa que clientes distintos partilham a mesma infraestrutura, com isolamento lógico entre si. A falha característica dessa arquitetura é um inquilino alcançar os dados de outro por faltar uma verificação de autorização. Tratamos a autorização ao nível de cada objeto como um requisito de primeira ordem, não como um detalhe acrescentado no fim, e testamo-la.

Se algo correr mal

Se um incidente de segurança afetar dados pessoais, notificamos a autoridade de controlo no prazo de 72 horas a contar do momento em que dele tomamos conhecimento, quando o RGPD o exige, e a ANPD e as pessoas afetadas num prazo razoável, quando a LGPD o exige. Quando a Wefta é subcontratante, notificamos o cliente que é o responsável pelo tratamento no prazo de 24 horas a contar da confirmação do incidente, para que tenha tempo de fazer a sua própria comunicação.

Os seus direitos

Esteja onde estiver, pode pedir-nos que confirmemos o que temos sobre si, que o corrijamos, que o eliminemos, que lhe demos uma cópia portável, e que cessemos uma utilização a que se oponha. Ao abrigo do RGPD e da LGPD pode ainda limitar o tratamento, retirar o consentimento a qualquer momento sem afetar o que foi lícito antes, e opor-se ao tratamento fundado no interesse legítimo. Exercer um direito nunca lhe custa um preço pior nem um serviço degradado.

Pode apresentar queixa a uma autoridade de controlo: a ANPD no Brasil, a autoridade nacional de proteção de dados do seu país na União Europeia — em Portugal, a CNPD —, ou o Information Commissioner's Office no Reino Unido. Preferíamos que viesse falar connosco primeiro, mas o direito é seu de qualquer forma.

Residentes na Califórnia

Nos últimos 12 meses recolhemos as categorias descritas acima: identificadores, informação comercial, atividade na internet e o conteúdo daquilo que escolhe armazenar. Recolhemo-las de si, da sua utilização do serviço e dos nossos subcontratantes. Utilizamo-las para as finalidades indicadas nesta política.

Não vendemos informação pessoal e não a partilhamos para publicidade comportamental entre contextos, no sentido em que a CCPA define esses termos. Não utilizamos nem divulgamos informação pessoal sensível para além das finalidades permitidas sem direito a limitação.

Pode pedir para saber, para eliminar ou para corrigir, e pode recorrer a um agente autorizado. Não o discriminamos por exercer estes direitos. Os pedidos são dirigidos a privacy@wefta.ai.

Decisões automatizadas e funcionalidades de IA

A Wefta não toma decisões sobre si por meios automatizados que produzam efeitos jurídicos ou que o afetem de forma significativa equiparável. Caso venha a ser introduzida uma avaliação automatizada, poderá pedir a revisão por uma pessoa, como o art. 22.º do RGPD e o art. 20.º da LGPD exigem.

O seu conteúdo nunca é utilizado para treinar os nossos modelos nem os modelos de terceiros. Prompts, conteúdo do espaço de trabalho e resultados não são explorados, não são conservados para melhoria de modelos, nem são entregues a um fornecedor para esse fim. Esta obrigação é transmitida a todos os subcontratantes que utilizamos.

Encarregado de proteção de dados

Felipe Venturini é o encarregado de proteção de dados da Wefta, contactável em privacy@wefta.ai. Pode colocar por esse endereço qualquer questão sobre esta política, qualquer pedido sobre os seus dados ou qualquer reclamação.

Menores

O Wefta não é dirigido a menores e não recolhemos intencionalmente os seus dados. A idade mínima é de 16 anos na União Europeia, salvo se um Estado-Membro a tiver fixado num valor inferior, de 13 anos no Reino Unido, e de 18 anos no Brasil para titulares de conta, sendo exigido o consentimento dos pais abaixo dessa idade.

Alterações a esta política

Podemos atualizar esta política à medida que o produto ou a lei mudarem. A data no topo reflete sempre a versão atual e, para alterações relevantes, fazemos um esforço razoável para o informar diretamente antes de produzirem efeitos.