Sumário
- Abrangência e prevalência
- Quem somos e nossos representantes
- Bases legais
- Categorias especiais de dados
- Crianças e idade do consentimento digital
- Seus direitos
- Decisões automatizadas (Art. 22)
- Transferências internacionais
- Reclamações às autoridades
- Direitos do consumidor
- Digital Services Act
- Transparência nos termos do AI Act
- Clientes empresariais: mudança de prestador nos termos do Data Act
- Idioma
1. Abrangência e prevalência
1.1. Este Suplemento aplica-se a você se estiver em um Estado-Membro do EEE (a UE, a Islândia, o Liechtenstein e a Noruega) ou no Reino Unido.
1.2. Ele complementa a Política de Privacidade, os Termos de Serviço e os demais documentos da Central Jurídica da SonhoLab. Não os repete.
1.3. Se este Suplemento conflitar com qualquer outro documento da SonhoLab, este Suplemento prevalece para você. "GDPR" significa o Regulation (EU) 2016/679 e, para o Reino Unido, o UK GDPR e o Data Protection Act 2018, conforme alterados pelo Data (Use and Access) Act 2025 (DUAA).
1.4. Nada nos Termos de Serviço ou em qualquer outro documento exclui ou limita direitos que não podem ser excluídos ou limitados nos termos da lei aplicável a você.
2. Quem somos e nossos representantes
2.1. Controlador. L. M. PEREZ MONTANA, nome fantasia SonhoLab, CNPJ 61.620.014/0001-00, Rua Fausto Cabral, 871, Casa A, Vicente Pinzon, Fortaleza-CE, CEP 60181-227, Brasil. E-mail contacto@sonholab.com. Telefone +55 85 99412-2292.
2.2. Encarregado da proteção de dados. Nosso encarregado da proteção de dados (encarregado pelo tratamento de dados pessoais, nos termos da lei brasileira) pode ser contatado em contacto@sonholab.com.
2.3. Representante na UE (Art. 27 do GDPR). A SonhoLab está nomeando um representante na União Europeia, estabelecido na Irlanda. Até que a nomeação seja publicada, você e qualquer autoridade de proteção de dados da UE podem entrar em contato conosco pelo e-mail contacto@sonholab.com sobre qualquer questão de proteção de dados.
2.4. Representante no Reino Unido (Art. 27 do UK GDPR). Atualmente a SonhoLab não direciona seus serviços ao Reino Unido e não tem representante no Reino Unido. Se passar a fazê-lo, nomeará um e o indicará aqui. Se você estiver no Reino Unido, mantém todos os seus direitos previstos no UK GDPR, e você e o Information Commissioner's Office (ICO) podem nos contatar diretamente em contacto@sonholab.com.
2.5. Nossos papéis. Somos o controlador do nosso site, do cadastro central, das contas, do faturamento, do suporte, do marketing, das ferramentas gratuitas e dos aplicativos para consumidores. Quando um cliente empresarial carrega dados pessoais em um Sistema, o cliente é o controlador e nós somos seu operador, nos termos do Adendo de Tratamento de Dados (DPA). Se seus dados estiverem no Sistema de um cliente, contate primeiro essa organização; encaminhamos as solicitações que recebemos e a ajudamos a responder.
3. Bases legais
3.1. Tratamos seus dados pessoais como controlador com base nos seguintes fundamentos (Art. 6 do GDPR). As categorias de dados e os prazos de retenção constam da Política de Privacidade e da Tabela de Retenção de Dados.
| Finalidade | Base legal |
|---|---|
| Criar e manter sua conta; cadastro central; fornecer os Sistemas que você seleciona | Contrato (Art. 6(1)(b)) |
| Faturamento e pagamento | Contrato (Art. 6(1)(b)) |
| Guardar notas fiscais e registros fiscais exigidos pela lei brasileira | Legítimo interesse em cumprir a lei do país em que estamos estabelecidos (Art. 6(1)(f)). A lei brasileira não é direito da UE nem de um Estado-Membro, de modo que o Art. 6(1)(c) não se aplica. |
| Guardar os registros de acesso exigidos pela lei brasileira (art. 15 do Marco Civil) | Legítimo interesse em cumprir essa lei e em manter nossos serviços seguros (Art. 6(1)(f)) |
| Segurança e prevenção de fraudes e abusos; limitação de requisições (rate limiting) | Legítimo interesse em proteger nossos usuários e serviços (Art. 6(1)(f)). No Reino Unido, podem aplicar-se os legítimos interesses reconhecidos (recognised legitimate interests) de segurança e prevenção de crimes. |
| Chamados de suporte e mensagens de serviço | Contrato (Art. 6(1)(b)) |
| E-mails de marketing | Consentimento (Art. 6(1)(a)); para clientes existentes, marketing de serviços similares nos termos do Art. 13(2) da Diretiva ePrivacy e do PECR, com opção de descadastramento em todas as mensagens |
| Análise de uso do site e outros cookies não essenciais | Consentimento (Art. 5(3) da Diretiva ePrivacy; Art. 6(1)(a)). Consulte a Política de Cookies. |
| Recursos de IA que você usa em nossos aplicativos para consumidores | Contrato (Art. 6(1)(b)) |
| Amostras de voz e modelos de voz do Hades | Consentimento explícito do titular da voz (Arts. 6(1)(a) e 9(2)(a)) |
| Registros de aceite jurídico e de consentimento; demandas judiciais | Legítimo interesse em comprovar a conformidade e em nos defender em demandas (Art. 6(1)(f)); Art. 9(2)(f) para dados de categorias especiais |
3.2. Legítimos interesses. Quando nos baseamos em legítimos interesses, nós os ponderamos com seus direitos e liberdades. Você pode pedir ao encarregado da proteção de dados mais informações sobre o teste de ponderação.
3.3. Requisitos contratuais e legais. Os dados marcados como obrigatórios no cadastro são necessários para criar sua conta e prestar o serviço. Sem eles, não podemos prestar o serviço. Você não tem obrigação legal de nos fornecer dados.
3.4. Retirada do consentimento. Você pode retirar o consentimento a qualquer momento, com a mesma facilidade com que o deu. A retirada não afeta o tratamento realizado antes dela.
4. Categorias especiais de dados
4.1. Como controlador, tratamos categorias especiais de dados (Art. 9) apenas no Hades:
- Voz. Tratamos amostras de voz e modelos de voz como dados de categorias especiais e só os tratamos com o consentimento explícito do titular da voz, dado separadamente dos Termos de Serviço. Quando o titular da voz retira o consentimento, a voz é removida para todos (o usuário que a criou e todos os demais usuários) e o áudio de origem e o modelo de voz são eliminados automaticamente de todos os nossos sistemas. Atualmente o Hades não é oferecido ao público; o acesso é restrito a testadores convidados.
- Biblioteca compartilhada de vozes. Uma voz só é incluída na biblioteca compartilhada se o titular da voz optar por isso. Para usuários no EEE, uma voz só fica disponível na biblioteca se o titular da voz tiver dado consentimento explícito para esse compartilhamento.
- As conversas podem revelar informações de saúde ou outras informações sensíveis. Nós as usamos apenas para oferecer a conversa que você solicita e para executar o protocolo de crise.
- As regras sobre vozes, memoriais e pessoas falecidas constam do Adendo Hades: Voz, Biometria, Memoriais e IA de Companhia. O GDPR não se aplica a pessoas falecidas (Considerando 27), mas regras nacionais podem se aplicar, e os dados de pessoas vivas contidos em gravações têm proteção integral.
4.2. Como operador, nossos Sistemas podem conter dados de categorias especiais carregados pelos clientes (por exemplo, dados de pacientes no Clínicas). O cliente escolhe a base legal, por exemplo o Art. 9(2)(h) para a prestação de cuidados de saúde. Consulte o Adendo de Dados de Saúde (Clínicas).
5. Crianças e idade do consentimento digital
5.1. Nossos aplicativos para consumidores não se destinam a crianças. O Hades e o SonhoLab Poker são para adultos (maiores de 18 anos).
5.2. Verita. No Verita, a escola é a controladora. Ela escolhe a base legal e, quando o consentimento é necessário, obtém-no dos pais. Consulte o Adendo de Dados de Crianças e Estudantes (Verita).
5.3. Idades do Art. 8. Quando o consentimento for a base legal para um serviço da sociedade da informação oferecido diretamente a uma criança, a criança deve ter pelo menos 16 anos, ou a idade inferior fixada pelo seu país. Abaixo dessa idade, o titular da responsabilidade parental deve dar ou autorizar o consentimento, e envidamos esforços razoáveis para verificá-lo (Art. 8(2)).
| Idade do consentimento digital | Países |
|---|---|
| 13 | Bélgica, Dinamarca, Estônia, Finlândia, Letônia, Malta, Portugal, Suécia; Islândia, Noruega |
| 13 | Reino Unido (Data Protection Act 2018, s. 9) |
| 14 | Áustria, Bulgária, Chipre, Itália, Lituânia, Espanha |
| 15 | Tchéquia, França, Grécia, Eslovênia |
| 16 | Croácia, Alemanha, Hungria, Irlanda, Luxemburgo, Países Baixos, Polônia, Romênia, Eslováquia; Liechtenstein |
5.4. Observações por país.
- Espanha: um projeto de lei elevaria a idade para 16 anos. Se ele entrar em vigor, aplica-se a nova idade.
- Itália: crianças menores de 14 anos precisam de consentimento parental para acessar tecnologias de IA (Lei 132/2025).
- Reino Unido: quando um serviço for de acesso provável por crianças, seguimos o Age Appropriate Design Code do ICO, inclusive configurações padrão de alta privacidade, geolocalização desativada e perfilamento desativado por padrão.
6. Seus direitos
6.1. Você tem direito de:
- acessar seus dados e receber uma cópia (Art. 15);
- retificar dados inexatos ou incompletos (Art. 16);
- apagar seus dados (Art. 17);
- limitar o tratamento (Art. 18);
- portar os dados que você nos forneceu, em formato estruturado e de leitura automática (Art. 20). A exportação de dados está sempre disponível na sua conta, em todos os planos;
- retirar o consentimento a qualquer momento (Art. 7(3));
- não ficar sujeito a determinadas decisões automatizadas (Art. 22; seção 7).
6.2. Como pedir. Escreva para contacto@sonholab.com ou use as ferramentas da sua conta. O procedimento consta de Seus Direitos de Privacidade e Como Exercê-los.
6.3. Prazos. Respondemos em até 1 mês após o recebimento da sua solicitação. Para solicitações complexas ou numerosas, podemos prorrogar o prazo por até mais 2 meses; nesse caso, informamos você dentro do primeiro mês e explicamos o motivo (Art. 12(3)). Se não dermos seguimento a uma solicitação, informamos o motivo e como apresentar reclamação (Art. 12(4)).
6.4. Gratuidade. As solicitações são gratuitas. Só podemos cobrar uma taxa razoável ou recusar a solicitação se ela for manifestamente infundada ou excessiva (Art. 12(5)).
6.5. Identidade. Se tivermos dúvidas razoáveis sobre sua identidade, podemos pedir as informações mínimas necessárias para confirmá-la.
6.6. Acesso do titular no Reino Unido. No Reino Unido, realizamos buscas razoáveis e proporcionais. Se precisarmos que você esclareça sua solicitação, o prazo fica suspenso até que você o faça.
7. Decisões automatizadas (Art. 22)
7.1. Você tem o direito de não ficar sujeito a uma decisão tomada exclusivamente com base em tratamento automatizado, incluindo a definição de perfis, que produza efeitos jurídicos em relação a você ou que o afete de forma similarmente significativa, salvo se se aplicar uma exceção do Art. 22(2). Quando uma exceção se aplicar, você pode obter revisão humana, manifestar seu ponto de vista e contestar a decisão.
7.2. Como controladora, a SonhoLab não suspende nem encerra contas apenas por meios automatizados (Termos de Serviço, Seção 13.3). Ferramentas automatizadas, como limites de taxa de requisições, podem bloquear uma solicitação específica, não a sua conta.
7.3. No Reino Unido, aplicam-se os Arts. 22A a 22D do UK GDPR, com as mesmas salvaguardas: informação sobre a decisão, direito de apresentar manifestações, intervenção humana e direito de contestar.
7.4. Quando um cliente usa recursos automatizados em um Sistema (por exemplo, uma estimativa de avaliação de imóvel), o cliente é o controlador e responde à solicitação. Nós o ajudamos.
8. Transferências internacionais
8.1. Hospedagem na UE. Nossa hospedagem principal é a Hetzner Online GmbH, em Helsinque, Finlândia, com backups automáticos de servidor da Hetzner na Finlândia.
8.2. Brasil. A SonhoLab está estabelecida no Brasil, e nossa equipe acessa os dados a partir do Brasil. Uma cópia externa de backup, criptografada antes de sair do servidor, é armazenada em equipamentos operados pela SonhoLab no Brasil.
- EEE: a Comissão Europeia reconheceu o Brasil como adequado (Commission Implementing Decision (EU) 2026/179; Art. 45 do GDPR).
- Reino Unido: o Reino Unido não reconheceu o Brasil como adequado. Para transferências do Reino Unido para a SonhoLab no Brasil, usamos o UK International Data Transfer Agreement (IDTA) ou o UK Addendum às cláusulas contratuais-tipo da UE. Para clientes empresariais, esses instrumentos integram o DPA.
8.3. Estados Unidos. Alguns suboperadores estão nos EUA (por exemplo, Stripe, Meta, Google para notificações push e análise de uso, e OpenAI para o chat do nosso próprio site e a nossa central de suporte). Os provedores de IA que um cliente empresarial conecta com sua própria chave são fornecedores desse cliente, e é o cliente quem organiza essas transferências. Para nossas próprias transferências:
- quando o destinatário for certificado no EU-US Data Privacy Framework (Decision (EU) 2023/1795), ou em sua Extensão para o Reino Unido (UK Extension), nós nos baseamos nele; e
- em todos os casos, também firmamos as cláusulas contratuais-tipo da UE de 2021 (Módulo 2 quando somos controlador, Módulo 3 quando somos operador), com o UK Addendum para dados do Reino Unido, e avaliamos a transferência.
8.4. Outros países. Nossos suboperadores e a salvaguarda aplicável a cada um estão relacionados em Suboperadores e Transferências Internacionais.
8.5. Cópia das salvaguardas. Você pode pedir uma cópia das salvaguardas que utilizamos em contacto@sonholab.com. Podemos ocultar termos comerciais.
9. Reclamações às autoridades
9.1. EEE. Você pode apresentar reclamação à autoridade de proteção de dados do Estado-Membro em que mora, em que trabalha ou em que considera ter ocorrido a infração (Art. 77). O Comitê Europeu para a Proteção de Dados (European Data Protection Board) relaciona todas as autoridades nacionais.
9.2. Reino Unido: nosso procedimento de reclamações. Antes de recorrer ao ICO, você pode reclamar conosco sobre a forma como usamos seus dados (Data Protection Act 2018, s. 164A):
- escreva para contacto@sonholab.com, com o assunto "Privacy request";
- confirmamos o recebimento da sua reclamação em até 30 dias;
- investigamos sem demora injustificada e mantemos você informado;
- informamos o resultado e seu direito de recorrer ao ICO.
9.3. Reino Unido: o ICO. Você pode reclamar ao Information Commissioner's Office a qualquer momento: https://ico.org.uk.
10. Direitos do consumidor
Esta seção aplica-se se você comprar de nós como consumidor. Ela prevalece sobre os Termos de Serviço.
10.1. Direito de arrependimento: 14 dias. Você pode desistir de um contrato celebrado on-line em até 14 dias, sem precisar justificar (Art. 9 da Diretiva de Direitos dos Consumidores da UE [Consumer Rights Directive]; UK Consumer Contracts Regulations 2013). O prazo começa no dia em que o contrato é celebrado.
10.2. Como desistir. Você pode desistir a qualquer momento durante o prazo de desistência por meio de qualquer declaração inequívoca enviada para contacto@sonholab.com, por exemplo, o modelo de declaração abaixo. Enviamos um aviso de recebimento em suporte duradouro (e-mail) sem demora injustificada.
10.3. Modelo de declaração. Você pode usar este texto: "Venho por meio desta comunicar que desisto do meu contrato relativo a [plano ou item], contratado em [data], e-mail da conta [e-mail]."
10.4. Reembolso. Reembolsamos todos os pagamentos em até 14 dias após o recebimento da sua desistência, pelo mesmo meio de pagamento.
10.5. Serviços iniciados imediatamente. Se você nos pedir para iniciar um plano pago durante o prazo de desistência e depois desistir, você paga apenas um valor proporcional ao serviço prestado até a desistência.
10.6. Conteúdo digital (por exemplo, fichas virtuais). Você só perde o direito de desistir de conteúdo digital se as três condições forem cumpridas: você nos pediu expressamente para iniciar a execução durante o prazo de desistência, reconheceu que perderia o direito, e nós confirmamos isso em suporte duradouro. Se faltar qualquer condição, você mantém o direito.
10.7. Compras em lojas de aplicativos. Se você comprou pelo Google Play ou pela Apple App Store, a loja trata da desistência e dos reembolsos conforme seus próprios termos.
10.8. Conformidade do conteúdo e dos serviços digitais. Nosso conteúdo e nossos serviços digitais devem estar em conformidade com o contrato e com os requisitos objetivos da lei, inclusive as atualizações de segurança necessárias (Diretiva de Conteúdos Digitais [Digital Content Directive] 2019/770; UK Consumer Rights Act 2015, Part 1, Chapter 3). Se não estiverem, você pode pedir que os ponhamos em conformidade, ou obter uma redução do preço ou rescindir o contrato. Esses direitos não podem ser excluídos.
10.9. Alterações em um serviço. Só alteramos um serviço digital pago por um motivo válido previsto nos Termos de Serviço e sem custo adicional para você. Se uma alteração afetar negativamente seu acesso ou uso além de uma medida mínima, informamos você com antecedência em suporte duradouro, e você pode rescindir o contrato gratuitamente em até 30 dias (Art. 19 da DCD).
10.10. Após a rescisão. Você pode recuperar seu conteúdo gratuitamente, em formato de uso corrente, em prazo razoável. A exportação fica disponível por 30 dias após a rescisão.
10.11. Responsabilidade. Nada em nossos documentos exclui ou limita nossa responsabilidade por morte ou lesão corporal causada por negligência, por fraude, por culpa grave ou dolo, ou por qualquer responsabilidade que sua lei não nos permita excluir. Nunca excluímos toda a responsabilidade perante consumidores.
10.12. Lei aplicável e tribunais. A lei brasileira rege nossos contratos, mas você mantém a proteção das normas imperativas do país em que mora (Art. 6(2) do Regulamento Roma I [Rome I Regulation]). Você pode propor ações nos tribunais do país em que mora, e nós só podemos processá-lo nesses tribunais (Arts. 17 a 19 do Regulamento Bruxelas I-A [Brussels Ia Regulation]). No Reino Unido, você pode propor ações nos tribunais da Inglaterra e País de Gales, da Escócia ou da Irlanda do Norte, conforme o local em que mora. A cláusula de arbitragem dos EUA e a renúncia a ações coletivas previstas nos Termos de Serviço não se aplicam a você.
10.13. Resolução extrajudicial de litígios. A plataforma de Resolução de Litígios em Linha da UE foi descontinuada em julho de 2025. A SonhoLab não é obrigada a participar, e não participa, de procedimentos de resolução de litígios perante uma entidade de resolução alternativa de litígios.
11. Digital Services Act
11.1. Abrangência. Alguns de nossos serviços armazenam informações fornecidas pelos usuários, e alguns disponibilizam conteúdo de usuários a outros usuários (por exemplo, a biblioteca compartilhada de vozes do Hades). O Digital Services Act (Regulation (EU) 2022/2065) aplica-se a esses serviços. A SonhoLab é uma microempresa.
11.2. Ponto de contato para autoridades (Art. 11) e para usuários (Art. 12). E-mail contacto@sonholab.com. Você pode escrever em inglês, português ou espanhol. Uma pessoa lê todas as mensagens; o canal não é exclusivamente automatizado.
11.3. Representante legal (Art. 13). A SonhoLab está nomeando um representante legal na União Europeia (Irlanda). Até que a nomeação seja publicada, as autoridades e os usuários podem entrar em contato pelo e-mail contacto@sonholab.com.
11.4. Notificação e ação (Arts. 16 e 17). Você pode denunciar conteúdo ilegal pelo procedimento previsto na Política de Direitos Autorais e Remoção de Conteúdo. Confirmamos o recebimento, decidimos de forma tempestiva e diligente e informamos o resultado. Se restringirmos o conteúdo ou a conta de um usuário, enviamos a esse usuário a exposição de motivos da decisão. As regras de conteúdo e de moderação constam da Política de Uso Aceitável.
12. Transparência nos termos do AI Act
12.1. Nos termos do AI Act (Regulation (EU) 2024/1689, Art. 50):
- nossos assistentes de IA informam, desde o início, que você está interagindo com um sistema de IA;
- áudios sintéticos, como as vozes do Hades, são identificados como gerados por IA e marcados em formato legível por máquina;
- a voz clonada de uma pessoa real é divulgada como gerada artificialmente.
12.2. Os detalhes, inclusive os provedores de IA que utilizamos e nossos compromissos de não treinamento, constam do Aviso de Transparência sobre IA.
12.3. Vulnerabilidades em aplicativos móveis. Para nossos aplicativos móveis, comunicamos vulnerabilidades ativamente exploradas e incidentes graves à ENISA dentro dos prazos do Cyber Resilience Act. Consulte Segurança e Resposta a Incidentes.
13. Clientes empresariais: mudança de prestador nos termos do Data Act
13.1. Se você for um cliente empresarial na UE, as regras de mudança de prestador do Data Act (Regulation (EU) 2023/2854, Capítulo VI) aplicam-se aos nossos Sistemas:
- você pode rescindir seu contrato e mudar para outro prestador, ou transferir seus dados para sua própria infraestrutura, com aviso prévio de no máximo 2 meses;
- após o prazo do aviso prévio, concedemos um período de transição de até 30 dias para você exportar seus dados;
- você pode exportar seus dados, em formato estruturado, de uso corrente e de leitura automática, a qualquer momento na sua conta;
- não cobramos taxas de mudança de prestador nem de saída de dados (egress).
13.2. Estas regras prevalecem sobre qualquer disposição conflitante dos Termos de Serviço ou do DPA.
13.3. Os direitos do consumidor da seção 10 não se aplicam a clientes empresariais.
14. Idioma
14.1. O texto-mestre dos nossos documentos jurídicos está em inglês. Quando a lei do seu país exigir informações no seu idioma, a versão nesse idioma prevalece para você.
Versão 0.9.0 (preliminar) · Vigente desde 26 de setembro de 2026 · © L. M. PEREZ MONTANA (SonhoLab), CNPJ 61.620.014/0001-00. Esta versão está em revisão jurídica; avisaremos sobre mudanças relevantes conforme descrito nestes documentos.
Tradução do original em inglês. Para consumidores no Brasil, esta versão em português prevalece; nos demais casos, prevalece a versão em inglês.