Política de Privacidade

Última atualização: 26 de julho de 2026 · Versão 1.0

Esta Política de Privacidade explica como a Orion Digital Ltda, CNPJ 67.736.996/0001-79, sede na Av. Alexandre Costa, 3886, Vila Lobão, Caxias/MA, CEP 65.605-515 ("Sonar", "nós"), trata dados pessoais em relação à plataforma Sonar, em conformidade com a Lei nº 13.709/2018 (LGPD).

Esta Política se aplica a dois grupos de dados, com papéis diferentes:

• Dados dos nossos Clientes (quem assina o Sonar) — aqui o Sonar é Controlador (art. 5º, VI, LGPD).

• Dados dos Titulares finais (visitantes e compradores dos sites dos Clientes) — aqui o Sonar é Operador (art. 5º, VII), e o Cliente é o Controlador. Detalhes na seção 8.

1. Definições rápidas (art. 5º da LGPD)

Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
Titular: a pessoa a quem os dados se referem.
Controlador: quem decide sobre o tratamento.
Operador: quem trata os dados em nome do Controlador.
Encarregado (DPO): canal de comunicação entre titulares, o Sonar e a ANPD.

2. Quem é o Controlador e como falar com o Encarregado

Para os dados descritos nas seções 3 a 7, o Controlador é a Orion Digital Ltda, CNPJ 67.736.996/0001-79, sede na Av. Alexandre Costa, 3886, Vila Lobão, Caxias/MA, CEP 65.605-515.

Encarregado pelo Tratamento de Dados (DPO):

Nome: Orion Digital
E-mail: ajuda@sonartrack.pro

Você pode usar esse canal para exercer seus direitos (seção 9) e esclarecer dúvidas sobre esta Política.

3. Dados que tratamos sobre nossos Clientes

Quando Você cria conta, contrata e usa o painel do Sonar, tratamos:

Categoria	Exemplos	Origem
Cadastro e conta	Nome, e-mail, identificador de usuário	Você, no cadastro (via Supabase Auth)
Cobrança	Dados necessários à cobrança da assinatura, processados pela Cakto	Você / processador de pagamento
Configuração	Projetos, pixels, domínios, tokens (armazenados cifrados), regras de evento	Você, no painel
Uso e técnicos	Logs de acesso ao painel, endereço IP, ações realizadas, dados de sessão	Automático, no uso
Equipe/compartilhamento	E-mails de membros e convidados que Você adiciona	Você

Senha: a autenticação é feita pelo provedor de identidade (Supabase Auth). O Sonar não vê nem armazena sua senha.

Cartão: o pagamento é processado pela Cakto. Não armazenamos dados completos de cartão — eles são tratados pelo processador.

4. Para que usamos esses dados e com que base legal

Finalidade	Base legal (LGPD)
Criar e manter sua conta; prestar o Serviço	Execução de contrato (art. 7º, V)
Cobrar a assinatura e cumprir obrigações fiscais	Obrigação legal/regulatória (art. 7º, II); execução de contrato (art. 7º, V)
Suporte e comunicação operacional	Execução de contrato (art. 7º, V)
Segurança, prevenção a fraude e abuso, isolamento entre contas	Legítimo interesse (art. 7º, IX)
Melhoria do Serviço com dados agregados/anonimizados	Legítimo interesse (art. 7º, IX)
Comunicações de marketing sobre o Sonar (se houver)	Consentimento (art. 7º, I) ou legítimo interesse, com opção de descadastro

5. Compartilhamento e operadores (sub-processadores)

Para operar o Serviço, o Sonar compartilha dados com prestadores que atuam como operadores/sub-operadores, apenas na medida necessária:

Prestador	Função	Localização
Supabase	Banco de dados e hospedagem de dados	[A CONFIRMAR: região]
Vercel	Hospedagem da aplicação	[A CONFIRMAR: região]
Cloudflare	Proxy first-party (Worker) e emissão de certificados	Rede global
Meta Platforms, Inc.	Recepção de eventos de conversão (CAPI)	Estados Unidos
Cakto	Processamento de pagamento da assinatura	Brasil [A CONFIRMAR]

Não vendemos dados pessoais. Podemos compartilhar dados quando exigido por lei, ordem judicial ou autoridade competente, e em caso de reorganização societária, preservadas as garantias desta Política.

6. Transferência internacional de dados

Parte do tratamento envolve transferência internacional (art. 33 da LGPD), sobretudo o envio de eventos ao Meta Platforms (Estados Unidos) e o uso de provedores de infraestrutura com operação fora do Brasil ([A CONFIRMAR: Supabase, Vercel, Cloudflare]).

Essas transferências são realizadas com fundamento no art. 33 da LGPD, mediante garantias adequadas — em especial cláusulas contratuais/cláusulas-padrão compatíveis com o regulamento da ANPD sobre transferência internacional [A CONFIRMAR: número e vigência da resolução da ANPD] — e/ou nas demais hipóteses legais aplicáveis. Antes de enviar dados a plataformas de anúncio como o Meta, minimizamos o dado transmitido e aplicamos hash à informação pessoal (seção 8).

7. Por quanto tempo guardamos os dados dos Clientes

Guardamos os dados da conta enquanto a assinatura estiver ativa e pelo prazo necessário para cumprir obrigações legais (ex.: fiscais e contábeis) e o exercício regular de direitos. Encerrada a relação, os dados são eliminados ou anonimizados, salvo obrigação legal de retenção. Os dados dos Titulares seguem os prazos da seção 8.4.

8. O papel do Sonar como Operador (dados dos Titulares finais)

Esta seção é informativa e de transparência. Em relação aos visitantes e compradores dos sites dos nossos Clientes, o Cliente é o Controlador e o Sonar é o Operador (art. 39 da LGPD). O tratamento detalhado é regido pelo DPA.

8.1. Dados de Titular tratados por meio do Serviço

Identificadores online: cookie first-party _sonar_id (validade de 400 dias, gravado no domínio do Cliente), e cookies do Facebook fbp, fbc e o parâmetro fbclid.
Contato: e-mail, telefone (com código do país), nome e sobrenome.
Técnicos: endereço IP e user agent.
Localização aproximada: país, estado e cidade (derivados do IP).
Marketing: parâmetros de UTM (source, medium, campaign, term, content).
Transação: valor, moeda, produto, identificador da transação e status (pago, recusado, não pago, reembolso, chargeback).

8.2. Para que servem

Atribuir conversões, deduplicar eventos entre navegador e servidor e enviar eventos de conversão às plataformas de anúncio do Cliente (Meta CAPI), a mando do Cliente.

8.3. Segurança e minimização

A informação pessoal (e-mail, telefone, nome, localização) é normalizada e submetida a hash (SHA-256) antes de ser transmitida ao Meta.
Tokens de API são armazenados cifrados (pgcrypto); tokens de webhook são cifrados e comparados por hash.
Isolamento entre contas por Row Level Security (RLS) em todas as tabelas.
Acesso privilegiado (service_role) restrito ao servidor.
Limitação de taxa nos endpoints públicos.
Filtro de tráfego automatizado/robô antes do envio ao Meta.

8.4. Retenção dos dados de Titular (prazos vigentes)

Uma rotina automática executa a cada 2 horas e aplica:

Dado	Prazo / regra
Eventos de rastreamento (exceto compras)	Teto de 1.000.000 de eventos (os mais recentes; os antigos são descartados)
Conteúdo técnico (JSON) dos eventos	Removido após 14 dias
Conteúdo bruto do webhook da venda, nome, IP e user agent da venda	Removidos após 14 dias
Registro do visitante (`visitors`)	Excluído após 30 dias
E-mail e telefone associados à venda	Anonimizados após 180 dias (a venda em si — valor, status, atribuição — é mantida)

8.5. Direitos do Titular final

Se Você é visitante/comprador de um site que usa o Sonar e quer exercer seus direitos (seção 9), o ponto de contato primário é o Controlador (o dono do site/Cliente). O Sonar, como Operador, apoia o Controlador no atendimento, conforme o DPA.

9. Direitos do Titular (art. 18 da LGPD)

Você pode, a qualquer momento e gratuitamente, requerer:

Confirmação da existência de tratamento (art. 18, I);
Acesso aos dados (art. 18, II);
Correção de dados incompletos, inexatos ou desatualizados (art. 18, III);
Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade (art. 18, IV);
Portabilidade a outro fornecedor (art. 18, V);
Eliminação dos dados tratados com base no consentimento (art. 18, VI);
Informação sobre com quem compartilhamos os dados (art. 18, VII);
Informação sobre a possibilidade de não consentir e as consequências (art. 18, VIII);
Revogação do consentimento (art. 18, IX);
Revisão de decisões automatizadas, quando aplicável (art. 20);
Peticionar perante a ANPD (art. 18, §1º).

Para exercê-los, contate o Encarregado (seção 2). Podemos solicitar informações para confirmar sua identidade e responderemos nos prazos legais. Titulares finais de sites de Clientes devem observar a seção 8.5.

10. Cookies

10.1. No painel do Sonar (para nossos Clientes) usamos cookies estritamente necessários à autenticação e à sessão.

10.2. Nos sites dos Clientes, o script do Sonar grava o cookie first-party _sonar_id e lê cookies do Facebook (fbp/fbc). A base legal e o aviso/banner de cookies desses sites são responsabilidade do Cliente (Controlador) — não do Sonar. Recomendamos aos Clientes exibir aviso de cookies e coletar consentimento quando essa for a base aplicável.

11. Segurança da informação (arts. 46 a 49 da LGPD)

Adotamos medidas técnicas e administrativas para proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas: cifragem de tokens (pgcrypto), hash de PII antes do envio ao Meta, RLS, restrição de credenciais privilegiadas ao servidor, limitação de taxa e liberação manual de contas. Nenhum sistema é 100% imune; em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos a ANPD e os titulares afetados na forma do art. 48 da LGPD.

12. Crianças e adolescentes

O Serviço não se destina a crianças e adolescentes. O Cliente é responsável por não inserir dados de menores sem o amparo do art. 14 da LGPD.

13. Alterações desta Política

Podemos atualizar esta Política. Mudanças materiais serão comunicadas por e-mail e/ou no painel. A data no topo indica a última revisão.

14. Contato

Encarregado (DPO): Orion Digital — ajuda@sonartrack.pro
Controlador: Orion Digital Ltda, CNPJ 67.736.996/0001-79, Av. Alexandre Costa, 3886, Vila Lobão, Caxias/MA, CEP 65.605-515. Suporte: ajuda@sonartrack.pro.
Autoridade: Autoridade Nacional de Proteção de Dados (ANPD) — gov.br/anpd

Orion Digital Ltda · CNPJ 67.736.996/0001-79 · Av. Alexandre Costa, 3886, Vila Lobão, Caxias/MA · CEP 65.605-515