Política de privacidade

Quem é o responsável

Por enquanto o Sonar é um serviço só com convite, mantido pela equipe que o opera em usesonarnow.com, e essa equipe é responsável pelos dados pessoais descritos aqui. A pessoa jurídica e um contato de privacidade específico serão indicados nesta página antes de o Sonar ser oferecido ao público. Até lá, envie pedidos de privacidade por meio de quem convidou você; essa pessoa pode falar diretamente com a equipe.

Dados da conta e do workspace

Quando você entra, tratamos o seu endereço de e-mail e o link de acesso de uso único que o nosso provedor de autenticação envia para ele. Para proprietários e operadores, também tratamos o cadastro do segundo fator (TOTP). Armazenamos o nome do seu workspace, a sua participação e função, as empresas e os hosts de sites que você adiciona e o perfil da empresa que você preenche, como mercados, idiomas e concorrentes.

Dados do site e de busca

• Resultados do rastreamento: o crawler do Sonar, que se identifica como SonarBot, busca as páginas públicas dos sites que você conecta e armazena as verificações, pontuações e dados de página que deriva delas.
• Conta Google (opcional): para os sites que você escolher, linhas diárias de desempenho do Search Console (consultas, páginas, cliques, impressões e posição média), relatórios do Google Analytics 4, locais do Perfil da Empresa e produtos do Merchant Center. O acesso é só de leitura, exceto quando você pede ao Sonar para adicionar uma verificação do Search Console para o seu domínio. Os tokens de acesso são guardados criptografados.
• Bing AI Performance: as linhas dos arquivos CSV que você envia, com o ID do usuário que os enviou.
• Contagem de tráfego no edge: se você instalar o edge worker do Sonar, ele conta por dia as visitas de robôs de IA conhecidos e as indicações de assistentes de IA conhecidos, com caminhos de página mascarados. Se você ligar a contagem de conversões, ele também conta conversões de visitantes que chegaram por um assistente de IA, como totais diários por página de entrada, usando um token de atribuição adicionado aos seus links internos. Ele não guarda endereços IP de visitantes, user agents completos, query strings, referrers completos nem IDs de pedidos, e visitas que não vêm de um robô ou assistente de IA não geram registro.
• Plugin do WordPress: o seu log de crawlers não armazena endereços IP, user agents completos nem cookies. Uma verificação opcional de DNS reverso mantém um hash com salt do endereço IP por 24 horas, e as linhas do log são mantidas por 30 dias.
• Contato pela caixa de e-mail (opcional): se você conectar uma caixa do Gmail ou do Microsoft 365, o Sonar envia por ela e-mails de contato com permissão apenas de envio e não consegue lê-la. As respostas vão para um endereço de resposta do Sonar, são classificadas (por exemplo, um pedido de descadastro) e encaminhadas para você. Para isso, guarda as pessoas contatadas (nomes e e-mails de trabalho publicados em páginas web públicas), as mensagens enviadas, uma classificação curta de cada resposta (não o texto) e uma lista permanente de não contatar.
• Conexões de publicação e hospedagem (opcional): a integração da Vercel, GitHub, Shopify, Webflow e outros provedores de CMS ou DNS que você conectar, para ler a configuração do seu site e aplicar as mudanças aprovadas; e os log drains da Vercel ou da Netlify, que enviam registros de visitas de robôs. As linhas por visita de robôs, que podem incluir o endereço IP do robô, são guardadas por até 400 dias; os totais diários são mantidos.

Consultas de busca, textos de páginas e contatos de divulgação podem conter dados pessoais de outras pessoas. Para esses dados, você decide o que é tratado, e o Sonar os trata em seu nome apenas para prestar o serviço a você.

Credenciais de conexão

As credenciais que você fornece ao Sonar para agir no seu site, como uma senha de aplicativo do WordPress, são criptografadas com AES-GCM usando uma chave de dados separada para cada workspace. Essa chave é envolvida por uma chave mestra guardada no armazenamento de segredos da Cloudflare, nunca no banco de dados, e a chave mestra não faz parte dos backups.

Dados das APIs do Google

O uso e a transferência, pelo Sonar, de informações recebidas das APIs do Google seguem a Google API Services User Data Policy, incluindo os requisitos de Limited Use. Os dados da sua conta Google são usados só para os recursos que você ativou. Eles não são vendidos, não são usados para publicidade nem para treinar modelos de IA gerais, e as pessoas do Sonar só os leem com a sua permissão, por segurança ou quando a lei exige.

Aprovações e trilha de auditoria

O Sonar registra quem aprovou, rejeitou ou reverteu cada mudança, e por quê. O log de auditoria é somente de acréscimo: as suas entradas não podem ser editadas nem excluídas, e ele é mantido quando um espaço de trabalho é encerrado (veja abaixo).

Análise gratuita e solicitações de relatório

A análise gratuita armazena o host analisado, o dia e o idioma que você usou, junto com o relatório indicativo. Ela não está vinculada a nenhuma pessoa. O seu endereço IP é usado apenas como um hash unidirecional para limitar quantas análises uma rede pode iniciar, e não é armazenado.

Se você pedir que enviemos um relatório por e-mail, guardamos o seu e-mail, o host analisado, o seu idioma, o momento em que você deu consentimento e a versão do texto de consentimento que você viu. Usamos esses dados só para enviar esse relatório e, de vez em quando, novidades sobre o Sonar. Você pode pedir a exclusão a qualquer momento pelo contato indicado em “Quem é o responsável”.

Cookies e armazenamento do navegador

O Sonar define quatro cookies próprios, todos SameSite=Lax e, em https, Secure. Depois que você entra: sonar_session guarda o seu token de acesso por uma hora, sonar_refresh o renova por até 30 dias e sonar_ws lembra por 30 dias o espaço de trabalho escolhido; os três são HttpOnly. sonar_lang lembra o idioma da interface por um ano e também é definido para visitantes sem sessão quando uma página abre num idioma escolhido. A sua escolha de tema fica no armazenamento local do navegador. O Sonar não usa cookies nem scripts de análise, publicidade ou rastreamento. As fontes do site vêm do Google Fonts, então o seu navegador envia o endereço IP dele ao Google ao buscá-las.

Prestadores de serviços

• Supabase: banco de dados, links de acesso e verificações do segundo fator, hospedados na região ap-south-1 (Mumbai, Índia). As chamadas à Bing Webmaster API passam por uma função do Supabase.
• Cloudflare: hospedagem deste site e do back end do Sonar (Workers e Workflows), armazenamento de arquivos e backups (R2), limitação de requisições, renderização de navegador para rastreamentos, embeddings de texto (Workers AI), hostnames personalizados para o edge worker opcional, consultas DNS e o AI Gateway pelo qual passa cada chamada a um provedor de IA. O AI Gateway guarda registros de prompts e respostas.
• OpenAI, Google (Gemini), Perplexity e Anthropic (Claude, via OpenRouter): respondem aos prompts de categoria e marca que medem com que frequência assistentes de IA citam o seu site. Esses prompts podem citar o seu negócio e a categoria dele.
• Google (Gemini) e OpenRouter (modelos da OpenAI e da Anthropic): redigem conteúdo e verificam a qualidade. Uma requisição pode incluir o endereço, o título e o texto principal de uma página, o nome da sua marca, fatos que você forneceu, concorrentes e trechos de fontes.
• As APIs do Google Search Console, Google Analytics, Perfil da Empresa, Merchant Center, YouTube Data, PageSpeed Insights e Chrome UX Report, a Bing Webmaster API e o IndexNow: para ler dados de busca e desempenho dos seus sites e avisar os buscadores sobre páginas alteradas.
• DataForSEO e Bright Data: resultados de busca, AI Overviews e respostas do AI Mode, volumes de palavras-chave e dados de backlinks para as consultas e domínios que o Sonar acompanha para os seus sites. As requisições contêm palavras-chave, domínios e mercados, não dados sobre você.
• Google (Gmail) e Microsoft (Microsoft 365): só se você conectar uma caixa de e-mail para contato, com permissão apenas de envio. Resend: entrega os e-mails enviados pelo próprio Sonar, como alertas operacionais, e recebe as respostas aos e-mails de contato para encaminhá-las a você.
• Vercel, Netlify, GitHub, Shopify, Webflow e outros provedores de publicação, hospedagem ou DNS: só os que você conectar, para ler a configuração do seu site, receber log drains e aplicar as mudanças aprovadas. A Vercel também pode hospedar este site; hoje ela só redireciona para este endereço.
• Slack e Microsoft Teams: só se um proprietário do espaço de trabalho adicionar um webhook; o Sonar então publica ali as notificações desse espaço de trabalho.
• Google Fonts: fornece as fontes deste site; o seu navegador as pede diretamente ao Google.
• Telegram: apenas mensagens operacionais para a equipe do Sonar.

Por quanto tempo mantemos os dados

Os backups do banco de dados são exportados semanalmente, com exportações incrementais diárias, e apagados após 90 dias. A Cloudflare guarda o histórico de execuções de workflows por 7 dias, e os registros de erros são mantidos por até 30 dias. Uma tarefa semanal apaga eventos operacionais após 180 dias, linhas por visita de robôs após 400 dias, linhas de posições de busca após 730 dias, arquivos brutos de tráfego do edge e documentos de scan antigos após 90 dias, e capturas de páginas guardadas como prova após 400 dias. Notas, medições de respostas de IA, registros de custos e o log de auditoria são mantidos enquanto o seu espaço de trabalho existir; o log de auditoria por mais tempo, como descrito abaixo. Pedidos de relatório do scan gratuito são mantidos até você pedir a exclusão.

Desconectar um site e encerrar um espaço de trabalho

Quando você desconecta um site, o Sonar interrompe toda a automação dele e exclui imediatamente as credenciais que armazenou para esse site. O histórico de medições do site e a trilha de auditoria são mantidos enquanto o seu espaço de trabalho existir.

Quando o proprietário encerra um espaço de trabalho, toda a automação para e todas as credenciais armazenadas são excluídas imediatamente, e o Sonar exporta os dados do espaço de trabalho como um arquivo JSON que o proprietário pode baixar. 30 dias depois, os dados do espaço de trabalho e a exportação são excluídos. As cópias em backups do banco de dados expiram junto com os próprios backups.

O log de auditoria de aprovações, mudanças e ações da conta não é apagado quando um espaço de trabalho é fechado: ele é guardado como prova por pelo menos quatro anos para cumprir deveres legais e contábeis de retenção.

Onde os dados são tratados

O banco de dados fica hospedado na Índia (região ap-south-1 do Supabase). A Cloudflare e os demais provedores listados acima tratam os dados nas próprias redes, que podem ficar fora do seu país. Hoje não há opção de residência de dados na UE. As salvaguardas dessas transferências serão descritas aqui depois da revisão jurídica.

As suas escolhas e direitos

Você pode pedir uma cópia dos seus dados, correções ou a exclusão pelo contato indicado em “Quem é o responsável”. Um proprietário do espaço de trabalho também pode exportar os dados e fechar o espaço de trabalho em Configurações. Respondemos no prazo exigido pela lei que se aplica a você.

Mudanças nesta política

Publicaremos as mudanças nesta página e, no caso de mudanças relevantes, avisaremos os usuários conectados antes que entrem em vigor.