Sumário
- Abrangência e prevalência
- Informações pessoais que coletamos
- Fontes
- Finalidades
- Divulgações, venda e compartilhamento
- Informações pessoais sensíveis
- Retenção
- Seus direitos
- Como exercer seus direitos
- Recursos
- Política de privacidade de dados de saúde do consumidor (Washington, Nevada, Connecticut)
- Dados biométricos
- Crianças e adolescentes
- Divulgações sobre IA
- Outros avisos estaduais
- Violações de dados
- Disputas
- Contato
1. Abrangência e prevalência
1.1. Este Suplemento aplica-se a você se for residente nos Estados Unidos. Ele abrange as informações pessoais que tratamos como empresa (business) ou controlador (controller): em nosso site, cadastro central, contas, faturamento, suporte, marketing, ferramentas gratuitas e aplicativos para consumidores.
1.2. Leis estaduais abrangidas. Este Suplemento é nosso aviso nos termos do California Consumer Privacy Act, conforme alterado pelo California Privacy Rights Act (CCPA), e de sua regulamentação, e nos termos das leis abrangentes de privacidade dos demais estados que as possuem, incluindo Colorado, Connecticut, Delaware, Indiana, Iowa, Kentucky, Maryland, Minnesota, Montana, Nebraska, New Hampshire, Nova Jersey, Oregon, Rhode Island, Tennessee, Texas, Utah e Virgínia, e dos estados cujas leis entrarão em vigor posteriormente.
1.3. Padrão comum mais rigoroso. Muitas dessas leis só se aplicam acima de determinados limites de porte ou de volume. Não acompanhamos esses limites estado por estado. Aplicamos este Suplemento a residentes de todos os estados dos EUA, inclusive dos estados sem lei abrangente de privacidade, como Nova York.
1.4. Dados no Sistema de um cliente. Quando um cliente empresarial (uma escola, clínica ou empresa) carrega informações pessoais em um Sistema, atuamos como seu prestador de serviços (service provider) ou operador (processor). Aplica-se o aviso de privacidade do cliente, e as solicitações devem ser dirigidas ao cliente. Se você nos enviar uma solicitação, nós a encaminhamos e ajudamos o cliente a responder.
1.5. Este Suplemento complementa a Política de Privacidade e os demais documentos da Central Jurídica da SonhoLab. Se conflitar com eles, prevalece para você. Nada em qualquer documento da SonhoLab implica renúncia ou limitação de direitos que não podem ser renunciados ou limitados nos termos da lei aplicável a você.
2. Informações pessoais que coletamos
2.1. Nos 12 meses anteriores à data de "Última atualização" deste Suplemento, coletamos as categorias de informações pessoais abaixo. Coletamos apenas o que cada serviço precisa; você só compartilha grande parte dessas informações se usar o serviço correspondente.
| Categoria do CCPA | Exemplos | Serviços |
|---|---|---|
| A. Identificadores | Nome, endereço de e-mail, número de telefone, ID da conta, endereço IP, ID do dispositivo | Contas, cadastro, suporte, marketing, aplicativos |
| B. Registros de clientes (Cal. Civ. Code §1798.80(e)) | Nome, endereço, telefone, dados de faturamento; os dados de cartão de pagamento são tratados pela Stripe, não armazenados por nós | Faturamento |
| C. Características de classificações protegidas | Idade ou faixa etária (para confirmar que você é maior de 18 anos) | Hades, SonhoLab Poker |
| D. Informações comerciais | Planos, compras, histórico de assinaturas e de pagamentos | Faturamento, aplicativos |
| E. Informações biométricas | Amostras de voz e modelos de voz | Hades, apenas com o consentimento por escrito do titular da voz |
| F. Atividade na internet ou em rede | Registros de acesso, páginas visitadas, uso de recursos; análise de uso do site apenas com consentimento | Site, todos os serviços |
| G. Dados de geolocalização | Localização aproximada derivada do endereço IP. Não coletamos geolocalização precisa como empresa. | Todos os serviços |
| H. Dados sensoriais | Gravações de áudio (amostras de voz, mensagens de voz); fotos que você envia | Hades, suporte |
| I. Informações profissionais ou de emprego | Nome da empresa, cargo | Contas, suporte |
| J. Informações educacionais não públicas | Não as coletamos como empresa. O Verita as trata apenas como prestador de serviços das escolas. | — |
| K. Inferências | Não criamos perfis para prever suas preferências ou características. | — |
| L. Informações pessoais sensíveis | Credenciais de acesso à conta; dados de voz (biométricos); conteúdo das suas conversas no Hades e das mensagens de suporte; informações de saúde que você revela em conversas no Hades | Contas, Hades, suporte |
3. Fontes
3.1. Coletamos informações pessoais:
- de você, quando você se cadastra, usa um serviço, paga, nos escreve ou envia conteúdo;
- dos seus dispositivos, por meio de registros (logs) e, com consentimento, de cookies (consulte a Política de Cookies);
- da sua organização, quando ela convida você para a conta dela;
- do titular da voz, quando uma pessoa grava um consentimento para que sua voz seja clonada no Hades;
- de prestadores de serviços, como processadores de pagamento (status do pagamento) e lojas de aplicativos (status da compra);
- de fontes públicas, como registros de licitações públicas no Bidstream.
4. Finalidades
4.1. Usamos informações pessoais para estas finalidades comerciais:
- prestar, manter e dar suporte aos serviços que você solicita;
- processar pagamentos e manter registros financeiros;
- segurança, prevenção de fraudes e abusos, e depuração de erros;
- enviar mensagens de serviço e, com seu consentimento, marketing;
- medir o uso do nosso site, com seu consentimento;
- cumprir a lei e nos defender em demandas judiciais.
4.2. Não usamos suas informações pessoais para publicidade direcionada. Não as usamos para treinar modelos de IA. Nossos provedores de IA estão contratualmente proibidos de treinar modelos com elas. Consulte o Aviso de Transparência sobre IA.
5. Divulgações, venda e compartilhamento
5.1. Divulgações para uma finalidade comercial. Nos últimos 12 meses, divulgamos cada categoria da seção 2 às seguintes categorias de destinatários, apenas para as finalidades da seção 4:
- prestadores de serviços e operadores: hospedagem (Hetzner, na Finlândia), pagamentos (Stripe), IA para o chat do nosso site e a nossa central de suporte (OpenAI), mensageria (Meta WhatsApp Business Platform), notificações push (Google Firebase Cloud Messaging) e análise de uso do site com consentimento (Google Analytics 4). A lista completa consta de Suboperadores e Transferências Internacionais. O Hades, que não é oferecido ao público, usa os fornecedores relacionados em seu Adendo;
- controladores independentes que você usa para chegar até nós: Google Play, Apple App Store e as bandeiras de cartões de pagamento;
- autoridades, quando a lei o exige. Consulte Solicitações de Autoridades e Órgãos de Segurança.
5.2. Sem venda. Sem compartilhamento. Não vendemos informações pessoais e não as compartilhamos para publicidade comportamental entre contextos. Não fizemos nenhuma dessas coisas nos últimos 12 meses. Não temos conhecimento efetivo de venda ou compartilhamento de informações pessoais de consumidores menores de 16 anos. O Google Analytics 4 só funciona com consentimento, com o Google Signals e os recursos de publicidade desativados.
5.3. Publicidade direcionada e perfilamento. Não tratamos informações pessoais para publicidade direcionada.
6. Informações pessoais sensíveis
6.1. Usamos informações pessoais sensíveis apenas para as finalidades permitidas pela regulamentação do CCPA (§7027(m)): prestar o serviço que você solicita, proteger nossos serviços, prevenir fraudes e outras finalidades permitidas. Não as usamos para inferir características a seu respeito. Por esse motivo, não oferecemos o link "Limit the Use of My Sensitive Personal Information" (Limitar o Uso das Minhas Informações Pessoais Sensíveis).
6.2. Nos estados que exigem consentimento antes do tratamento de dados sensíveis (como Colorado, Connecticut, Texas e Virgínia), pedimos seu consentimento prévio (opt-in) antes de tratá-los, salvo quando a lei dispuser de outra forma.
7. Retenção
7.1. Conservamos cada categoria apenas pelo tempo necessário à sua finalidade; depois, nós a eliminamos ou desidentificamos:
| Dados | Retenção |
|---|---|
| Dados de conta e da organização | Vigência da conta + 30 dias após o cancelamento |
| Plano Gratuito inativo | Excluído após 90 dias de inatividade, com 2 avisos prévios |
| Registros de acesso e de aplicação | 6 meses; até 12 meses para investigações de segurança |
| Faturamento, notas fiscais e registros fiscais | 5 anos, ou mais, se a lei o exigir |
| Registros de consentimento e de aceite jurídico | 5 anos após o término da relação |
| Solicitações de privacidade e respostas | 24 meses |
| Chamados de suporte | 24 meses após o encerramento |
| Leads de marketing e lista de espera | Até você cancelar a inscrição, ou 24 meses sem interação |
| Perfis de voz e gravações do Hades | Até que o titular da voz ou o titular da conta revogue, ou exclusão da conta + 30 dias; os dados biométricos nunca são conservados por mais de 3 anos após o último uso |
| Histórico de conversas do Hades | Até você excluí-lo, ou exclusão da conta + 30 dias |
7.2. Os backups expiram em até 30 dias. A tabela completa consta da Tabela de Retenção de Dados.
8. Seus direitos
8.1. Observada a lei do seu estado, você tem direito de:
- saber e acessar as informações pessoais que coletamos sobre você, as categorias de fontes, as finalidades e os destinatários, e as informações específicas;
- excluir as informações pessoais que coletamos de você;
- corrigir informações pessoais inexatas;
- portabilidade: obter uma cópia dos seus dados em formato portátil e prontamente utilizável. A exportação de dados está sempre disponível na sua conta, em todos os planos;
- optar por não participar (opt out) da venda ou do compartilhamento de informações pessoais, da publicidade direcionada e do perfilamento destinado a decisões que produzam efeitos jurídicos ou similarmente significativos. Não fazemos nada disso, mas você ainda pode enviar um opt-out, e nós o registraremos;
- limitar o uso de informações pessoais sensíveis (consulte a seção 6);
- obter uma lista dos terceiros a quem divulgamos informações pessoais, quando seu estado o previr (por exemplo, Oregon e Minnesota);
- recorrer da nossa decisão sobre sua solicitação (seção 10);
- não discriminação: não negaremos serviços, não cobraremos preço diferente nem ofereceremos qualidade de serviço diferente porque você exerceu seus direitos.
9. Como exercer seus direitos
9.1. Como pedir. Envie um e-mail para contacto@sonholab.com com o assunto "US privacy request" ou use as ferramentas da sua conta. O procedimento completo consta de Seus Direitos de Privacidade e Como Exercê-los.
9.2. Global Privacy Control. Tratamos o sinal Global Privacy Control (GPC) do seu navegador como solicitação válida de opt-out da venda e do compartilhamento de informações pessoais e da publicidade direcionada, para aquele navegador e, se você estiver conectado, para sua conta. Ele também vale como recusa de cookies não essenciais. Não há padrão comum para sinais "Do Not Track"; em vez deles, respeitamos o GPC.
9.3. Verificação. Para proteger você, verificamos sua identidade antes de atender a uma solicitação de saber, excluir ou corrigir. Se você estiver conectado, seu login geralmente é suficiente. Caso contrário, pedimos que confirme informações que já possuímos, como o endereço de e-mail da conta. Para informações específicas ou dados sensíveis, podemos pedir mais. Não precisamos verificar solicitações de opt-out.
9.4. Agentes autorizados. Você pode usar um agente autorizado. O agente deve apresentar sua autorização por escrito e assinada ou uma procuração válida. Salvo se o agente tiver procuração, podemos pedir que você verifique sua identidade diretamente e confirme que concedeu a autorização.
9.5. Prazos. Confirmamos o recebimento em até 10 dias úteis e respondemos em até 45 dias. Se precisarmos de mais tempo, podemos prorrogar por até mais 45 dias e informamos o motivo dentro dos primeiros 45 dias. As solicitações de opt-out são processadas assim que possível e em até 15 dias úteis.
9.6. Gratuidade. As solicitações são gratuitas, até duas a cada 12 meses para acesso e portabilidade. Só podemos cobrar uma taxa razoável ou recusar uma solicitação se ela for manifestamente infundada ou excessiva.
9.7. Métricas. O CCPA só exige a publicação de métricas de solicitações das empresas que tratam informações pessoais de 10 milhões ou mais de californianos por ano. Hoje isso não se aplica a nós. Se passar a se aplicar, nós as publicaremos.
10. Recursos
10.1. Se recusarmos sua solicitação, no todo ou em parte, você pode recorrer. Envie um e-mail para contacto@sonholab.com com o assunto "Privacy appeal" e explique por que discorda.
10.2. Revisamos a decisão original e respondemos por escrito em até 45 dias, com nossas razões.
10.3. Se negarmos seu recurso, você pode contatar o Attorney General (Procurador-Geral) do seu estado. Os residentes na Califórnia também podem contatar a California Privacy Protection Agency (https://cppa.ca.gov).
11. Política de privacidade de dados de saúde do consumidor (Washington, Nevada, Connecticut)
11.1. Abrangência. Esta seção é nossa política de privacidade de dados de saúde do consumidor nos termos do Washington My Health My Data Act (RCW 19.373), do Nevada SB 370 e das disposições sobre dados de saúde do consumidor do Connecticut Data Privacy Act. Essas leis se aplicam independentemente do porte da empresa. Esta seção é publicada em nossa Central Jurídica.
11.2. Dados de saúde do consumidor que coletamos como entidade regulada.
- Hades: amostras de voz e modelos de voz (dados biométricos); e informações de saúde, de saúde mental ou emocionais que você revela em conversas, inclusive os sinais usados pelo protocolo de crise.
- Fora isso, não coletamos dados de saúde do consumidor como entidade regulada. O Clínicas mantém dados de saúde apenas como operador da clínica, que é a entidade regulada. Consulte o Adendo de Dados de Saúde (Clínicas).
11.3. Fontes e finalidades. Coletamos esses dados de você (e, no caso de vozes, do titular da voz) apenas para oferecer os recursos do Hades que você solicita, executar o protocolo de crise e manter o serviço seguro.
11.4. Consentimento separado. Pedimos seu consentimento para coletar dados de saúde do consumidor separadamente de qualquer outro consentimento e dos Termos de Serviço. Pedimos um segundo consentimento, separado, antes de compartilhá-los com qualquer terceiro que não seja um de nossos operadores.
11.5. Destinatários. Divulgamos esses dados apenas aos operadores que executam o Hades, relacionados na seção 14 do Adendo Hades: Voz, Biometria, Memoriais e IA de Companhia. Não os divulgamos a empresas afiliadas. Nunca vendemos dados de saúde do consumidor.
11.6. Sem cercas geográficas (geofencing). Não estabelecemos cercas geográficas em torno de estabelecimentos que prestam serviços presenciais de saúde para identificar, rastrear ou enviar mensagens a pessoas.
11.7. Seus direitos. Você pode:
- confirmar se coletamos, compartilhamos ou vendemos seus dados de saúde do consumidor, e acessá-los;
- obter uma lista de todos os terceiros e empresas afiliadas com os quais os compartilhamos, com seus dados de contato;
- retirar seu consentimento;
- obter a exclusão dos seus dados de saúde do consumidor, inclusive junto aos nossos operadores. Os dados excluídos deixam nossos backups quando estes expiram.
11.8. Como exercê-los. Aplicam-se as seções 9 e 10, inclusive o prazo de 45 dias e o processo de recurso.
12. Dados biométricos
12.1. Os dados de voz são tratados apenas no Hades. Antes de coletar uma impressão vocal, fornecemos ao titular da voz aviso por escrito sobre a finalidade e o prazo de retenção e obtemos uma autorização por escrito e assinada (assinatura eletrônica). Isso segue o Illinois Biometric Information Privacy Act (BIPA), o Texas Capture or Use of Biometric Identifier Act (CUBI) e o Washington RCW 19.375.
12.2. Não vendemos, alugamos, trocamos nem obtemos qualquer outro proveito de dados biométricos. A biblioteca compartilhada de vozes não está disponível para usuários nos Estados Unidos.
12.3. Destruímos os dados de voz quando a finalidade é cumprida ou quando o titular da voz revoga o consentimento, e nunca depois de 3 anos após seu último uso. Quando o titular da voz revoga o consentimento, a voz é removida para todos e eliminada automaticamente de todos os nossos sistemas. Atualmente o Hades não é oferecido ao público; o acesso é restrito a testadores convidados.
12.4. As regras completas, inclusive o consentimento do titular da voz e o procedimento para pessoas falecidas, constam do Adendo Hades: Voz, Biometria, Memoriais e IA de Companhia.
13. Crianças e adolescentes
13.1. COPPA. Nossos aplicativos para consumidores e nosso site não se destinam a crianças menores de 13 anos, e não coletamos conscientemente suas informações pessoais. O Hades e o SonhoLab Poker são para adultos (maiores de 18 anos). Se soubermos que coletamos informações pessoais de uma criança menor de 13 anos sem consentimento parental verificável, nós as eliminamos.
13.2. Escolas. No Verita, a escola autoriza a coleta exclusivamente para fins educacionais, no lugar dos pais, conforme permitido pela FTC. O uso comercial é proibido. Consulte o Adendo de Dados de Crianças e Estudantes (Verita).
13.3. Consentimento prévio para menores de 16 anos (Califórnia). A lei da Califórnia exige consentimento prévio (opt-in) antes da venda ou do compartilhamento de informações pessoais de consumidores menores de 16 anos. Não vendemos nem compartilhamos informações pessoais de ninguém.
14. Divulgações sobre IA
14.1. Nossos assistentes de IA informam, desde o início, que você está conversando com um sistema de IA. Mediante solicitação, confirmam isso novamente, conforme exige o Utah Artificial Intelligence Policy Act.
14.2. O Hades é um chatbot de companhia (companion chatbot) nos termos do California SB 243 e do Article 47 da New York General Business Law. Ele lembra que é uma IA no início de cada sessão e a cada 3 horas, e segue um protocolo de crise publicado. Consulte o Adendo Hades e o Aviso de Transparência sobre IA.
14.3. Colorado e outros estados. A lei do Colorado sobre tecnologia de tomada de decisão automatizada (SB 26-189) entra em vigor em 1º de janeiro de 2027. Quando qualquer recurso de IA for usado para tomar ou apoiar substancialmente uma decisão relevante (consequential decision) a seu respeito, forneceremos as divulgações exigidas antes do uso.
14.4. Mensagens. Nossos agentes de IA não enviam mensagens automatizadas de marketing para números de telefone dos EUA sem consentimento prévio, expresso e por escrito.
15. Outros avisos estaduais
15.1. Califórnia, "Shine the Light" (Cal. Civ. Code §1798.83). Não divulgamos informações pessoais a terceiros para fins de marketing direto próprio desses terceiros.
15.2. Califórnia, renovação automática. Os termos das nossas renovações automáticas, do seu consentimento e do cancelamento on-line constam dos Termos de Serviço.
15.3. Califórnia, serviços on-line (Cal. Civ. Code §1789.3). Os residentes na Califórnia podem contatar a Complaint Assistance Unit da Division of Consumer Services do California Department of Consumer Affairs, por meio de www.dca.ca.gov.
15.4. Nova York. Os residentes em Nova York têm os mesmos direitos que os residentes em outros estados nos termos deste Suplemento. Para escolas em Nova York, o Parents' Bill of Rights for Data Privacy and Security está anexado ao Adendo de Dados de Crianças e Estudantes (Verita).
15.5. Washington. O SonhoLab Poker não está disponível no Estado de Washington.
16. Violações de dados
16.1. Se uma violação afetar suas informações pessoais, notificamos você, e qualquer autoridade estadual exigida por lei, dentro do prazo previsto na lei do estado em que você mora. Consulte Segurança e Resposta a Incidentes.
17. Disputas
17.1. Os Termos de Serviço contêm uma convenção de arbitragem e uma renúncia a ações coletivas para usuários dos EUA, com opção de exclusão (opt-out) em 30 dias, exceção para causas de pequeno valor (small claims) e um protocolo para arbitragens em massa. Eles não implicam renúncia a medidas cautelares de interesse público (public injunctive relief). Leia a seção de resolução de disputas dos Termos de Serviço.
18. Contato
18.1. Solicitações de privacidade, recursos e dúvidas: contacto@sonholab.com.
18.2. L. M. PEREZ MONTANA (SonhoLab), CNPJ 61.620.014/0001-00, Rua Fausto Cabral, 871, Casa A, Vicente Pinzon, Fortaleza-CE, CEP 60181-227, Brasil. Telefone +55 85 99412-2292.
Versão 0.9.0 (preliminar) · Vigente desde 26 de setembro de 2026 · © L. M. PEREZ MONTANA (SonhoLab), CNPJ 61.620.014/0001-00. Esta versão está em revisão jurídica; avisaremos sobre mudanças relevantes conforme descrito nestes documentos.
Tradução do original em inglês. Para consumidores no Brasil, esta versão em português prevalece; nos demais casos, prevalece a versão em inglês.