Weftas integritetspolicy och hantering av uppgifter

Vem som ansvarar för dina uppgifter

Wefta drivs av Felipe Venturini Apoio Administrativo, registrerat i Brasilien under CNPJ 32.096.840/0001-96, med säte på Rua São Lourenço 331, Vila Alpina, São Paulo, SP, 03211-050, Brasilien. Den enheten är personuppgiftsansvarig för den behandling som beskrivs i denna policy, utom där policyn anger något annat.

Förfrågningar om integritet av alla slag skickas till privacy@wefta.ai eller via vår supportsida. Vi svarar inom den tid som den lag som gäller för dig kräver: 15 dagar enligt LGPD, en månad enligt dataskyddsförordningen (GDPR), med möjlighet till förlängning med två månader för komplexa förfrågningar, och 45 dagar enligt CCPA, med möjlighet till en förlängning med ytterligare 45 dagar.

När vi är personuppgiftsansvariga och när vi är personuppgiftsbiträde

Den här skillnaden avgör vem som svarar för vad, och den är inte kosmetisk. Samma företag kan inneha båda rollerna för olika uppsättningar av uppgifter, och det gör Wefta.

• Innehållet i din arbetsyta — allt du eller ditt team registrerar i Spaces, Groups och Topics, inklusive personuppgifter om dina egna kunder och medarbetare: du är personuppgiftsansvarig och Wefta är personuppgiftsbiträde. Vi agerar enligt dina dokumenterade instruktioner och aldrig för våra egna ändamål.
• Dina konto-, faktura-, säkerhets- och supportuppgifter — vem som registrerade sig, betalningsadministration, åtkomstloggar, bedrägeribekämpning och meddelanden du skickar oss: Wefta är personuppgiftsansvarig, eftersom vi bestämmer varför och hur de behandlas.
• Besök på wefta.ai — analys och samtyckesuppgifter: Wefta är personuppgiftsansvarig.
• Som personuppgiftsansvarig för innehållet i din arbetsyta bestämmer du vilka i din organisation som har åtkomst och på vilken nivå, och du ansvarar för att de instruktioner du ger oss och de uppgifter du laddar upp är lagliga. Exponering som orsakas på din sida — delade eller läckta inloggningsuppgifter, åtkomst som lämnats kvar efter att någon slutat, en integration du har godkänt — är ditt ansvar, och vi hjälper dig att utreda den.

Uppgifter som vi samlar in

Vi samlar in det du lämnar direkt, det som tjänsten oundvikligen genererar när den körs och det som dina samtyckesval tillåter.

• Kontouppgifter: namn, e-postadress och lösenord, som lagras hashat och aldrig i läsbar form.
• Innehåll i arbetsytan: Spaces, Groups, Topics och allt du registrerar i dem, inklusive filer och text som ditt team skriver.
• Användnings- och säkerhetsuppgifter: åtkomstloggar, tidsstämplar, IP-adress, typ av enhet och webbläsare samt de uppgifter som visar vilka villkor du godkände och när.
• Signaler mot missbruk: Cloudflare Turnstile granskar IP-adressen och webbläsarbeteendet hos den som skickar in ett formulär på den här webbplatsen, för att skilja en person från ett automatiserat skript. Behandlingen omfattas av Cloudflares integritetstillägg för Turnstile: https://www.cloudflare.com/turnstile-privacy-policy/
• Faktureringsuppgifter: hanteras av Stripe. Wefta tar emot transaktionsstatus och fakturauppgifter, aldrig det fullständiga kortnumret.
• Valfri analys: endast efter att du har accepterat den i cookiebannern.

Ändamål, laglig grund och lagringstid per kategori

Varje kategori nedan anger det ändamål som motiverar den, den lagliga grund vi stödjer oss på och hur länge den bevaras. När ändamålet upphör raderas eller anonymiseras uppgifterna, om inte en rättslig, skattemässig, säkerhetsmässig eller tvistrelaterad skyldighet kräver att vi behåller dem längre.

• Identitets- och kontaktuppgifter — för att skapa och administrera ditt konto och för att besvara sälj- och supportförfrågningar. Laglig grund: fullgörande av avtalet (GDPR artikel 6.1 b, LGPD art. 7, V). Behålls medan relationen varar och därefter under den tid lagen kräver.
• Innehåll i arbetsytan — för att tillhandahålla tjänsten. Laglig grund: fullgörande av avtalet och, för innehåll om tredje part, instruktionerna från den kund som är personuppgiftsansvarig. Behålls tills du raderar det eller avslutar kontot, med förbehåll för säkerhetskopieringscyklerna, som löper ut 7 dagar efter raderingen.
• Användnings- och säkerhetsuppgifter — för att hålla tjänsten tillgänglig, utreda missbruk och styrka godkännandet av villkoren. Laglig grund: berättigat intresse av att driva en säker tjänst (GDPR artikel 6.1 f, LGPD art. 7, IX). Behålls i 7 dagar, utom där en pågående säkerhetsutredning eller en rättslig skyldighet kräver längre tid.
• Signaler mot missbruk — för att stoppa automatiserat missbruk av offentliga formulär. Laglig grund: berättigat intresse. Behålls endast så länge kontrollen kräver det.
• Fakturerings- och transaktionsuppgifter — för att hantera abonnemang, förhindra bedrägerier och uppfylla skatte- och bokföringsskyldigheter. Laglig grund: rättslig förpliktelse (GDPR artikel 6.1 c, LGPD art. 7, II). Behålls under den lagstadgade bokföringsperioden.
• Valfri analys och samtyckesuppgifter — för att mäta och förbättra webbplatsen och produkten. Laglig grund: ditt samtycke (GDPR artikel 6.1 a, LGPD art. 7, I). Kan återkallas när som helst; själva uppgiften om valet behålls som bevis på att vi respekterade det.

Cookies och liknande tekniker

Vi skiljer cookies åt efter vad de gör, eftersom bara den ena av de två grupperna lagligen får sättas innan du har bestämt dig.

Strikt nödvändiga tekniker — sessionsautentisering, säkerhet, lastbalansering och kontrollen mot missbruk i våra formulär — körs utan samtycke, eftersom tjänsten inte kan levereras utan dem. Allt annat är valfritt och inaktivt tills du accepterar det.

De valfria analysverktygen är Google Analytics via Google Tag Manager och Microsoft Clarity. De är avstängda tills du accepterar dem i bannern, och de stängs av igen i samma stund som du ändrar dig via länken "Cookieinställningar" i sidfoten. Vi använder inte cookies för annonsering, retargeting eller profilering.

Vilka som behandlar uppgifter för vår räkning

Vi säljer inte personuppgifter, vi delar dem inte för beteendebaserad annonsering över olika sammanhang och vi licensierar dem inte till någon. Vi anlitar följande personuppgiftsbiträden, var och en enligt ett avtal som för våra skyldigheter vidare till dem och var och en begränsad till det angivna ändamålet.

• Cloudflare — hosting, edge-leverans, körning av Workers, nyckelvärdeslagret som tar bort dubbletter av formulärinskick och kontroller mot missbruk med Turnstile.
• Stripe — betalningshantering, fakturering, återbetalningar och kontroller mot betalningsbedrägeri.
• Attio — det CRM som tar emot sälj- och supportförfrågningar som skickas via den här webbplatsen.
• Google (Tag Manager och Analytics) — mätning av webbplatsen, aktiv endast efter samtycke.
• Microsoft Clarity — analys av produkten och webbplatsen, aktiv endast efter samtycke.

Ändringar i denna lista över personuppgiftsbiträden

Företagskunder underrättas minst 30 dagar innan ett nytt personuppgiftsbiträde börjar hantera deras uppgifter och kan invända på dokumenterade efterlevnadsgrunder. Om invändningen inte kan lösas får kunden säga upp den berörda tjänsten utan påföljd. Hela mekanismen finns i vårt personuppgiftsbiträdesavtal.

Internationella överföringar av uppgifter

Wefta körs på ett globalt nätverk, så uppgifter passerar gränser som en del av konstruktionen och vi låtsas inte om något annat. Det som betyder något är den skyddsåtgärd som är knuten till varje överföring.

För överföringar ut ur Brasilien stödjer vi oss på ANPD:s resolution CD/ANPD nº 19 av den 23 augusti 2024: ett beslut om adekvat skyddsnivå där ett sådant finns, och i övrigt de standardavtalsklausuler som utfärdats av ANPD och som bifogas vårt personuppgiftsbiträdesavtal. För överföringar ut ur Europeiska ekonomiska samarbetsområdet och Storbritannien stödjer vi oss på ett beslut om adekvat skyddsnivå där ett sådant finns, och i övrigt på Europeiska kommissionens standardavtalsklausuler tillsammans med det brittiska International Data Transfer Addendum, med stöd av en konsekvensbedömning av överföringen.

Vi utfäster inte att uppgifterna stannar i ett enda land. Lagrings- och behandlingsplats varierar beroende på leverantör, tjänst och konfiguration.

Säkerhet

Vi tillämpar tekniska och organisatoriska åtgärder som står i proportion till risken: kryptering under överföring, åtkomst begränsad till de personer vars arbetsuppgifter kräver den, multifaktorautentisering för administrativ åtkomst, loggning, granskade säkerhetskopior och rutiner för incidenthantering.

Wefta är multi-tenant, vilket innebär att olika kunder delar samma infrastruktur med logisk isolering mellan sig. Det typiska felet i den arkitekturen är att en tenant når en annan tenants uppgifter genom en saknad behörighetskontroll. Vi behandlar behörighetskontroll på objektnivå som ett förstklassigt krav, inte som en eftertanke, och vi testar för det.

Om något går fel

Om en säkerhetsincident påverkar personuppgifter anmäler vi personuppgiftsincidenten till tillsynsmyndigheten inom 72 timmar från det att vi fick kännedom om den, där dataskyddsförordningen (GDPR) kräver det, och till ANPD och de berörda personerna inom skälig tid, där LGPD kräver det. När Wefta är personuppgiftsbiträde underrättar vi den kund som är personuppgiftsansvarig inom 24 timmar från det att incidenten har bekräftats, så att kunden hinner göra sin egen anmälan.

Dina rättigheter

Var du än befinner dig kan du be oss att bekräfta vilka uppgifter vi har om dig, att rätta dem, att radera dem, att ge dig en portabel kopia och att upphöra med en användning som du invänder mot. Enligt dataskyddsförordningen (GDPR) och LGPD kan du också begränsa behandlingen, återkalla ditt samtycke när som helst utan att det påverkar det som var lagligt dessförinnan och invända mot behandling som grundas på berättigat intresse. Att utöva en rättighet kostar dig aldrig ett sämre pris eller en försämrad tjänst.

Du kan klaga hos en tillsynsmyndighet: ANPD i Brasilien, din nationella dataskyddsmyndighet i EU eller Information Commissioner's Office i Storbritannien. Vi föredrar att du vänder dig till oss först, men rättigheten är din oavsett.

Boende i Kalifornien

Under de senaste 12 månaderna har vi samlat in de kategorier som beskrivs ovan: identifierare, kommersiell information, internetaktivitet och innehållet i det du väljer att lagra. Vi samlade in dem från dig, från din användning av tjänsten och från våra personuppgiftsbiträden. Vi använder dem för de ändamål som anges i denna policy.

Vi säljer inte personuppgifter och vi delar dem inte för beteendebaserad annonsering över olika sammanhang, så som dessa begrepp definieras i CCPA. Vi använder eller lämnar inte ut känsliga personuppgifter utöver de ändamål som är tillåtna utan rätt till begränsning.

Du kan begära att få veta, radera eller rätta, och du får använda ett auktoriserat ombud. Vi diskriminerar dig inte för att du utövar dessa rättigheter. Förfrågningar skickas till privacy@wefta.ai.

Automatiserade beslut och AI-funktioner

Wefta fattar inga beslut om dig på automatiserad väg som har rättsliga följder eller på liknande sätt betydande följder. Om en automatiserad bedömning någon gång införs kommer du att kunna begära att en människa granskar den, så som GDPR artikel 22 och LGPD art. 20 kräver.

Ditt innehåll används aldrig för att träna våra modeller eller någon tredje parts modeller. Prompter, innehåll i arbetsytan och resultat utvinns inte, sparas inte för modellförbättring och lämnas inte till någon leverantör för det ändamålet. Denna skyldighet förs vidare till varje personuppgiftsbiträde vi anlitar.

Dataskyddsombud

Felipe Venturini är Weftas dataskyddsombud och nås på privacy@wefta.ai. Du kan ta upp alla frågor om denna policy, alla önskemål om dina uppgifter och alla klagomål via den adressen.

Barn

Wefta riktar sig inte till barn och vi samlar inte medvetet in deras uppgifter. Åldersgränsen är 16 år i Europeiska unionen, om inte en medlemsstat har satt den lägre, 13 år i Storbritannien och 18 år i Brasilien för kontoinnehavare, med krav på vårdnadshavares samtycke under den åldern.

Ändringar av denna policy

Vi kan uppdatera denna policy när produkten eller lagen ändras. Datumet högst upp återspeglar alltid den aktuella versionen, och vid väsentliga ändringar gör vi rimliga ansträngningar för att berätta det direkt för dig innan de träder i kraft.