Última atualização: 26 de julho de 2026 · Versão 1.0
Este Acordo de Tratamento de Dados Pessoais ("DPA") é parte integrante e inseparável dos Termos de Uso do Sonar e rege o tratamento de dados pessoais realizado pelo Sonar em nome do Cliente, em conformidade com a Lei nº 13.709/2018 (LGPD).
Partes:
• Controlador: o Cliente, pessoa física ou jurídica que contrata o Sonar e determina as finalidades e os meios do tratamento dos dados de seus Titulares.
• Operador: Orion Digital Ltda, CNPJ 67.736.996/0001-79, sede na Av. Alexandre Costa, 3886, Vila Lobão, Caxias/MA, CEP 65.605-515 ("Sonar"), que trata os dados pessoais exclusivamente em nome e segundo as instruções do Controlador.
Em caso de conflito entre este DPA e os Termos de Uso quanto à proteção de dados, prevalece este DPA.
1.1. Este DPA disciplina o tratamento, pelo Sonar (Operador), dos dados pessoais dos Titulares finais (visitantes e compradores dos sites do Controlador), coletados por meio do Serviço.
1.2. As partes reconhecem que, quanto a esses dados, o Cliente é o Controlador e o Sonar é o Operador. O Sonar tratará os dados apenas para prestar o Serviço e conforme as instruções documentadas do Controlador (art. 39).
1.3. Os Termos de Uso, a contratação do plano e a configuração do painel constituem as instruções documentadas iniciais do Controlador. Instruções adicionais devem ser formalizadas por escrito.
2.1. Natureza e finalidade: rastreamento server-side, atribuição e deduplicação de eventos, e envio de eventos de conversão às plataformas de anúncio do Controlador (notadamente Meta CAPI), além de registro de vendas via webhook.
2.2. Duração: enquanto vigente a contratação, observados os prazos de retenção da cláusula 8.
2.3. Categorias de Titulares: visitantes dos sites do Controlador e compradores/leads gerados por esses sites.
2.4. Categorias de dados pessoais tratados:
_sonar_id (400 dias), fbp, fbc, fbclid;2.5. Dados sensíveis (art. 11): o Serviço não se destina ao tratamento de dados sensíveis. Se o produto ou serviço anunciado pelo Controlador revelar dado sensível (ex.: dado de saúde), é responsabilidade do Controlador dispor de base legal específica (art. 11) e das salvaguardas exigidas.
O Sonar obriga-se a:
3.1. Tratar os dados somente conforme as instruções documentadas do Controlador, e não para finalidades próprias (art. 39). Caso uma instrução viole a LGPD, o Sonar informará o Controlador.
3.2. Garantir que as pessoas autorizadas a tratar os dados estejam sujeitas a dever de confidencialidade.
3.3. Implementar e manter as medidas de segurança técnicas e administrativas da cláusula 6 (arts. 46 a 49).
3.4. Auxiliar o Controlador, na medida do razoável e considerando a natureza do tratamento, a: (a) responder aos pedidos de exercício de direitos dos Titulares (art. 18); (b) cumprir os deveres de segurança, comunicação de incidentes, relatório de impacto (art. 38) e consulta prévia.
3.5. Disponibilizar ao Controlador as informações necessárias para demonstrar o cumprimento das obrigações deste DPA, nos termos da cláusula 9.
3.6. Manter registro das operações de tratamento que realiza como Operador (art. 37).
3.7. Não realizar uso compartilhado dos dados fora do previsto neste DPA.
O Controlador declara e obriga-se a:
4.1. Possuir base legal válida (art. 7º e, se aplicável, art. 11) para o tratamento e para o envio dos dados às plataformas de anúncio.
4.2. Cumprir os deveres de transparência perante os Titulares (art. 9º) e, quando a base for consentimento, coletar e gerenciar esse consentimento em seu site — inclusive o aviso/banner de cookies e o consentimento para compartilhamento com o Meta.
4.3. Fornecer instruções lícitas; responder, como ponto de contato primário, aos Titulares; e configurar o Serviço de acordo com sua base legal.
4.4. Não inserir no Serviço dados sensíveis ou de menores sem amparo legal.
4.5. Responder pelos danos decorrentes do descumprimento de suas obrigações como Controlador, observados os arts. 42 a 44 da LGPD.
5.1. O Controlador autoriza o Sonar a contratar sub-operadores para a prestação do Serviço. Sub-operadores atuais:
| Sub-operador | Função | Localização |
|---|---|---|
| Supabase | Banco de dados e hospedagem de dados | [A CONFIRMAR: região] |
| Vercel | Hospedagem da aplicação | [A CONFIRMAR: região] |
| Cloudflare | Proxy first-party (Worker) e certificados | Rede global |
| Meta Platforms, Inc. | Destinatário dos eventos de conversão (CAPI) | Estados Unidos |
Observação sobre o Meta: funcionalmente, o Meta é o destino dos dados definido pelo Controlador (é ele quem cadastra o pixel e o token). O advogado deve avaliar se, para os fins deste DPA, o Meta é tratado como sub-operador ou como controlador independente/receptor da transferência internacional (cláusula 7).
5.2. O Sonar impõe aos sub-operadores obrigações de proteção compatíveis com as deste DPA.
5.3. O Sonar informará o Controlador sobre alterações relevantes de sub-operadores, facultando ao Controlador opor-se por motivo legítimo relacionado à proteção de dados; a oposição não sanável pode ensejar rescisão.
5.4. O Sonar responde perante o Controlador pelos atos de seus sub-operadores nos mesmos limites de suas próprias obrigações.
O Sonar mantém, no mínimo:
6.1. Isolamento entre contas por Row Level Security (RLS) em todas as tabelas; leitura restrita ao usuário autenticado.
6.2. Cifragem de tokens de API (pgcrypto) e de tokens de webhook (cifrados e comparados por hash); hash SHA-256 de informação pessoal antes do envio ao Meta.
6.3. Restrição de credenciais privilegiadas (service_role) ao servidor; ausência de segredos expostos ao navegador.
6.4. Limitação de taxa nos endpoints públicos e filtragem de tráfego automatizado.
6.5. Liberação manual de contas e controle de acesso por papéis (dono, editor, leitor) e por escopo de projeto.
6.6. Minimização e retenção limitada (cláusula 8).
7.1. As partes reconhecem que o Serviço envolve transferência internacional de dados, especialmente ao Meta Platforms (Estados Unidos) e a provedores de infraestrutura com operação fora do Brasil.
7.2. Tais transferências observam o art. 33 da LGPD, com base em garantias adequadas — em especial cláusulas-padrão contratuais compatíveis com o regulamento de transferência internacional da ANPD [A CONFIRMAR: número/vigência da resolução] — e/ou nas demais hipóteses legais aplicáveis. Antes do envio ao Meta, aplica-se hash à PII e minimiza-se o dado transmitido.
8.1. Uma rotina automática executa a cada 2 horas e aplica os prazos:
| Dado | Prazo / regra |
|---|---|
Eventos que não sejam compra (events_log) | Teto FIFO de 1.000.000 de eventos; os mais antigos são descartados |
JSON técnico do evento (payload_meta/response_meta) | Removido após 14 dias |
Webhook bruto da venda (raw_webhook), nome, IP, user agent da venda | Removidos após 14 dias |
Registro do visitante (visitors) | Excluído após 30 dias |
E-mail e telefone da venda (purchases) | Anonimizados após 180 dias (a venda é mantida sem PII) |
8.2. Ao término da prestação, o Sonar, a critério do Controlador e conforme tecnicamente viável, elimina ou devolve os dados pessoais, salvo obrigação legal de conservação. Os dados sujeitos aos prazos automáticos acima seguirão seu ciclo de eliminação.
9.1. O Sonar disponibilizará ao Controlador, mediante solicitação razoável e não mais que [A PREENCHER: frequência, ex.: 1 vez por ano], informações necessárias para demonstrar o cumprimento deste DPA.
9.2. Auditorias presenciais, quando cabíveis, observarão aviso prévio razoável, horário comercial, dever de confidencialidade e não poderão comprometer a segurança de outros clientes nem o segredo de negócio do Sonar.
10.1. Ao tomar ciência de incidente de segurança que possa acarretar risco ou dano relevante aos Titulares, o Sonar notificará o Controlador sem demora injustificada, em prazo [A CONFIRMAR: prazo em horas/dias conforme regulamento da ANPD], fornecendo as informações disponíveis para que o Controlador cumpra seus deveres de comunicação à ANPD e aos Titulares.
10.2. O dever de comunicar a ANPD e os Titulares cabe ao Controlador (art. 48). O Sonar prestará a cooperação razoável.
11.1. Cada parte responde por suas obrigações na forma da LGPD. O Operador responde solidariamente quando descumprir as obrigações da lei ou não seguir as instruções lícitas do Controlador (art. 42, §1º, I).
11.2. Aplicam-se as limitações de responsabilidade dos Termos de Uso, ressalvado o que a lei considere inafastável.
Este DPA vigora enquanto o Sonar tratar dados pessoais em nome do Controlador e sobrevive à rescisão dos Termos no que for necessário à eliminação/devolução dos dados e ao cumprimento de obrigações legais.
Encarregado (DPO) do Sonar: Orion Digital — ajuda@sonartrack.pro
Operador: Orion Digital Ltda, CNPJ 67.736.996/0001-79, Av. Alexandre Costa, 3886, Vila Lobão, Caxias/MA, CEP 65.605-515. Contato de suporte: ajuda@sonartrack.pro.
Orion Digital Ltda · CNPJ 67.736.996/0001-79 · Av. Alexandre Costa, 3886, Vila Lobão, Caxias/MA · CEP 65.605-515