Política de Privacidade

1. Quem somos e os papéis de Controlador e Operador

Esta Política de Privacidade descreve como tratamos dados pessoais no âmbito da plataforma Sonarview® e dos seus Sistemas (Sonarview Flow, Sonarview CRM+, Sonarview Sign, Sonarview Boards, Sonarview Care, Sonarview Monitor e Sonarview People), do site institucional e dos canais de atendimento, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — “LGPD”), o Marco Civil da Internet (Lei nº 12.965/2014) e o Código de Defesa do Consumidor (Lei nº 8.078/1990), no que aplicável.

O Controlador dos dados é Sonar Labs Ltda, inscrita no CNPJ sob o nº 12.456.145/0001-80, com sede em Curitiba/PR, que atua sob as marcas Sonar Labs® (empresa) e Sonarview® (plataforma).

Quando atuamos como Operadora, o Parceiro/Consultor é responsável por estabelecer a base legal, prestar as informações aos titulares e atender às requisições destes em relação aos dados que ele insere. A Sonar Labs apoia o Parceiro/Consultor nessa atividade por meio dos recursos da Plataforma e dos termos do contrato de prestação de serviços.

2. Encarregado pela Proteção de Dados (DPO)

Em atenção ao Art. 41 da LGPD, indicamos como Encarregado pela Proteção de Dados Pessoais (DPO):

• Nome: Sonar Labs Ltda
• E-mail: dpo@sonarlabs.com.br

O Encarregado é o canal de comunicação entre o Controlador, os titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD). Para o exercício de direitos e dúvidas sobre privacidade, utilize também o canal do titular indicado na seção 12.

3. A quem esta Política se aplica e definições

Esta Política aplica-se a todos os titulares de dados pessoais tratados em razão da Plataforma e do Site, incluindo visitantes do Site, leads, Parceiros/Consultores, usuários convidados e, na medida em que figurem em dados inseridos pelos Parceiros/Consultores, Clientes Finais e terceiros (por exemplo, contatos e signatários).

Para fins desta Política, adotamos as seguintes definições:

4. Dados que coletamos, por categoria e origem

Coletamos as categorias de dados abaixo, conforme a origem. A coluna “Papel da Sonar Labs” indica se, naquele dado, atuamos como Controladora ou como Operadora (vide seção 1).

Observação sobre documentos enviados: arquivos carregados na Plataforma podem conter dados pessoais de terceiros (por exemplo, em propostas, contratos e relatórios). O Parceiro/Consultor é responsável por garantir base legal e adequação ao inserir tais documentos.

5. Finalidades e bases legais

Tratamos dados pessoais apenas para finalidades específicas e legítimas, sempre amparados em uma base legal da LGPD (Art. 7º e, quando aplicável, Art. 11). O quadro abaixo relaciona finalidade e base legal predominante. Quando atuamos como Operadora, a definição da base legal cabe ao Parceiro/Consultor, na qualidade de Controlador.

O CPF de signatários é tratado por ser elemento indispensável à vinculação do certificado digital ICP-Brasil ao titular na assinatura qualificada e à formação de evidência na assinatura avançada. O fornecimento do CPF, nesses fluxos, é necessário para que a assinatura tenha a validade jurídica pretendida.

6. Uso de inteligência artificial e decisões automatizadas

A Plataforma utiliza recursos de inteligência artificial (IA) para apoiar o trabalho do Parceiro/Consultor — por exemplo, na organização de informações, na geração de hipóteses estratégicas, na classificação de mensagens e na consulta a documentos indexados. A IA é fornecida pelo Google, por meio da API de desenvolvedor do Google Gemini.

Para a operação da IA, o conteúdo necessário ao processamento — que pode incluir texto de documentos do cliente e inputs estratégicos — é enviado ao provedor de IA, com servidores nos Estados Unidos (vide seções 7 e 8 sobre compartilhamento e transferência internacional).

Minimização antes da IA. Em fluxos específicos — especificamente no mapeamento de partes interessadas (stakeholders) — aplicamos, antes do envio à IA, a substituição de nomes de pessoas e empresas por codinomes, com verificação que bloqueia o envio caso um nome real escape. Trata-se de medida de minimização escopada a esse fluxo: ela NÃO mascara valores financeiros e NÃO cobre todos os fluxos de IA da Plataforma.

7. Compartilhamento de dados e suboperadores

Não vendemos dados pessoais. Compartilhamos dados apenas quando necessário às finalidades desta Política, com prestadores de serviço (suboperadores) que atuam sob instruções e obrigações de confidencialidade e segurança, e com autoridades quando exigido por lei. A lista nominal abaixo reflete os suboperadores confirmados; ela pode ser atualizada e o inventário completo pode ser solicitado pelo canal do titular.

Os serviços de validação de assinatura digital (ICP-Brasil/ITI e a fonte de hora legal do Observatório Nacional) figuram como autoridades e serviços de validação, e não como suboperadores que tratam dados pessoais por conta da Sonar Labs. A localização das operações realizadas no exterior é descrita na seção 8.

8. Transferência internacional de dados (Art. 33)

Essas transferências internacionais observam o Art. 33 da LGPD: ocorrem apenas na medida necessária às finalidades descritas, sob exigências contratuais de confidencialidade e segurança impostas aos suboperadores. Você pode solicitar informações adicionais sobre as salvaguardas pelo canal do titular indicado na seção 12.

9. Cookies e tecnologias de rastreamento

O Site e a Plataforma utilizam cookies e tecnologias semelhantes para autenticação, funcionamento, segurança, medição de uso e, quando consentido, marketing. O detalhamento das categorias de cookies, suas finalidades, prazos e a forma de gerenciar preferências está na nossa Política de Cookies, disponível em https://sonarlabs.com.br/cookies, que integra esta Política por referência.

10. Retenção e eliminação de dados

Conservamos os dados pessoais apenas pelo tempo necessário ao cumprimento das finalidades, ressalvadas as hipóteses legais de guarda obrigatória (por exemplo, registros de acesso a aplicação, nos termos do Marco Civil) e a defesa de direitos. Quando atuamos como Operadora, os prazos seguem as instruções do Parceiro/Consultor e o contrato.

Exclusão a pedido (erase). Ao processar a eliminação de dados de uma conta, mantemos apenas o mínimo necessário para preservar a integridade e a verificabilidade de documentos assinados — por exemplo, o registro da assinatura, o laudo e o manifesto, e o hash do documento — eliminando os demais dados associados, inclusive os arquivos correspondentes no armazenamento de objetos.

11. Segurança da informação

Adotamos medidas técnicas e administrativas para proteger os dados pessoais. Descrevemos abaixo medidas efetivamente implementadas, sem prometer recursos inexistentes.

• Criptografia em trânsito: comunicação protegida por TLS/HTTPS.
• Criptografia de credenciais de integração com AES-256-GCM (por exemplo, tokens de integração e credenciais de e-mail), com chave de criptografia gerida pela plataforma.
• Autenticação unificada (Sonar SSO) com controle de acesso baseado em papéis (RBAC) e diferentes níveis de permissão por usuário.
• Integridade de integrações por assinatura de webhooks (HMAC-SHA256, com comparação resistente a temporização) e rotação de segredos.
• Assinatura eletrônica no padrão ICP-Brasil, validada no validador oficial do ITI, com selo de integridade e laudo/manifesto verificáveis por hash; o certificado A1 do usuário é utilizado de forma transitória e não é armazenado.
• Isolamento de dados por cliente (multi-tenant), em processo contínuo de endurecimento; atualmente, parte da infraestrutura e da biblioteca é compartilhada entre clientes.
• Minimização de dados, incluindo a substituição de nomes por codinomes antes do envio à IA no fluxo de mapeamento de partes interessadas (medida escopada, conforme seção 6).
• Cópias de segurança (backups) do banco de dados e implantação com reversão rápida.

Nenhum sistema é totalmente imune a incidentes. Caso ocorra incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados nos prazos e na forma exigidos pela LGPD.

12. Direitos do titular e como exercê-los

Nos termos do Art. 18 da LGPD, o titular pode, a qualquer momento e gratuitamente, solicitar:

• Confirmação da existência de tratamento;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• Portabilidade dos dados a outro fornecedor, observados os segredos comercial e industrial;
• Eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses de guarda legal;
• Informação sobre as entidades públicas e privadas com as quais houve uso compartilhado;
• Informação sobre a possibilidade de não consentir e as consequências da negativa;
• Revogação do consentimento;
• Revisão de decisões tomadas unicamente com base em tratamento automatizado (Art. 20).

Para exercer esses direitos, contate o canal do titular pelo e-mail privacidade@sonarlabs.com.br ou o Encarregado indicado na seção 2. Poderemos solicitar informações para confirmar a sua identidade, como medida de segurança. Responderemos no prazo legal aplicável.

O titular também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), por meio dos canais oficiais disponíveis em gov.br/anpd.

13. Dados de crianças e adolescentes

A Plataforma e o Site são destinados a uso profissional por empresas e seus representantes, não se dirigindo a crianças e adolescentes. Não coletamos intencionalmente dados de menores de 18 anos. Caso tomemos conhecimento de tratamento inadvertido de dados de criança ou adolescente sem o devido amparo legal (Art. 14 da LGPD), adotaremos medidas para eliminá-los. Se você for responsável legal e identificar tal situação, contate-nos pelo canal do titular.

14. Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças legais, técnicas ou de negócio. A versão vigente é sempre a publicada nesta página, identificada pela data de “Última atualização”. Alterações relevantes poderão ser comunicadas por meios adequados (por exemplo, aviso na Plataforma ou e-mail). O uso continuado da Plataforma e do Site após a publicação implica ciência da versão então vigente.