Política de Privacidade

1. Sobre esta Política

Última atualização: 14 de setembro de 2026 — Versão 1.0.

A Sonic One (também Sonic One Solutions) é a marca comercial sob a qual a VITAVENA SAÚDE INTEGRATIVA LTDA oferece uma plataforma de tecnologia (Software como Serviço — SaaS) de atendimento por WhatsApp e gestão de relacionamento (CRM e agenda) para clínicas, laboratórios, academias, negócios de estética e de bem-estar. Esta Política de Privacidade descreve, de forma transparente, quais dados pessoais são tratados por meio da plataforma, como e para quais finalidades os tratamos, com quem os compartilhamos, por quanto tempo os mantemos, como os protegemos e quais são os direitos dos titulares.

Este documento observa a Lei Geral de Proteção de Dados — LGPD (Lei nº 13.709/2018), o Estatuto da Criança e do Adolescente — ECA (Lei nº 8.069/1990), o Marco Civil da Internet (Lei nº 12.965/2014) e o Código de Defesa do Consumidor (Lei nº 8.078/1990).

Como a plataforma opera sobre a WhatsApp Cloud API da Meta — sendo a Sonic One uma Provedora de Tecnologia (Tech Provider) verificada da Meta —, esta Política é mantida publicada e atualizada também em cumprimento aos Meta Platform Terms, aos WhatsApp Business Terms, aos Meta Business Messaging Technology Provider Terms e ao Global Data Protection Addendum da Meta, com os quais não conflita.

Ao utilizar a plataforma Sonic One, o usuário declara ter lido e compreendido esta Política. A versão vigente está sempre disponível em https://sonicone.com.br/privacidade/.

2. Definições

Aplicam-se as definições da LGPD, entre elas:

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre saúde, vida sexual, dado genético ou biométrico, origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político. Nesta plataforma, o conteúdo das conversas de WhatsApp e as transcrições de áudio podem conter dados de saúde, e por isso são tratados como potencialmente sensíveis.
• Titular: a pessoa natural a quem se referem os dados — aqui, tanto o paciente/cliente final da clínica quanto o usuário da plataforma (equipe da clínica).
• Tratamento: toda operação com dados pessoais (coleta, armazenamento, uso, compartilhamento, eliminação etc.).
• Controlador: quem decide as finalidades e os meios do tratamento.
• Operador: quem trata dados pessoais em nome e conforme as instruções do controlador.
• Encarregado (DPO): pessoa indicada para atuar como canal de comunicação entre o controlador, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD).

3. Papéis no tratamento de dados (controlador e operador)

O ponto central desta Política é a distinção clara e inequívoca entre dois papéis, que não se confundem:

3.1. Dados dos pacientes/clientes finais — a clínica cliente é a CONTROLADORA; a Sonic One é OPERADORA

Quanto aos dados dos pacientes e clientes finais atendidos por meio da plataforma (por exemplo, os pacientes de uma clínica cliente), a clínica (ou laboratório, academia, negócio de estética/bem-estar) contratante é a CONTROLADORA: é ela quem decide coletar tais dados, para quais finalidades e por quais meios, no exercício da sua própria atividade e da sua relação direta com o paciente.

A Sonic One (VITAVENA SAÚDE INTEGRATIVA LTDA) atua exclusivamente como OPERADORA desses dados, tratando-os em nome e conforme as instruções documentadas de cada cliente, por meio da plataforma. A Sonic One não decide finalidades próprias sobre os dados dos pacientes, não os utiliza para fins próprios (como treinar modelos de IA próprios, marketing, enriquecimento ou análise de negócio) e não os repassa a terceiros fora das instruções do controlador e das hipóteses legais. As obrigações recíprocas — inclusive as instruções documentadas de tratamento — constam de um Contrato de Tratamento de Dados (DPA) firmado com cada cliente.

3.2. Dados da própria plataforma — a Sonic One é CONTROLADORA

A Sonic One (VITAVENA) é CONTROLADORA apenas quanto aos dados de cadastro de conta, de uso, de segurança, técnicos/registros (logs) e de faturamento da própria plataforma — isto é, os dados dos usuários da plataforma (a equipe da clínica), pois somente sobre esses dados a Sonic One define as finalidades e os meios do tratamento.

Em resumo: sobre o conteúdo do atendimento ao paciente, a Sonic One é operadora e a clínica é controladora; sobre o funcionamento da plataforma para a equipe da clínica, a Sonic One é controladora.

4. Identificação e contato do Encarregado (DPO)

Controladora da plataforma: VITAVENA SAÚDE INTEGRATIVA LTDA, CNPJ 68.269.743/0001-03, com sede na Rua Rio de Janeiro, 254, Sala 02, Lote B, Caraguatatuba/SP, CEP 11660-670, Brasil, operando sob a marca Sonic One.

Encarregado pelo Tratamento de Dados (DPO): o Setor de Privacidade da Sonic One, com contato pelo e-mail privacidade@sonicone.com.br. Use esse canal para dúvidas sobre esta Política, para exercer os direitos previstos na Seção 12 e para solicitar a exclusão de dados (Seção 12-B).

5. Dados que tratamos

Os dados abaixo estão organizados segundo os dois papéis descritos na Seção 3.

5.1. Dados tratados COMO OPERADORA (dados do cliente/controlador)

Tratados em nome e conforme as instruções da clínica cliente:

• Dados de identificação e contato do paciente/cliente final: nome e número de telefone/WhatsApp.
• Conteúdo das mensagens: texto, imagens, áudios e demais mídias trocadas no atendimento.
• Transcrições de áudio geradas por inteligência artificial a partir das mensagens de voz.
• Dados de agendamento: horários, profissionais, procedimentos e afins.
• Eventual conteúdo de saúde presente nas conversas, imagens, mídias e transcrições — tratado como dado pessoal sensível (Seção 7).

5.2. Dados tratados COMO CONTROLADORA (dados da plataforma)

• Dados de cadastro dos usuários da plataforma (equipe da clínica): nome, e-mail, telefone e credenciais de acesso.
• Dados de login via Facebook Login for Business: perfil business, identificadores da conta de WhatsApp Business (WABA IDs) e os números de telefone conectados à plataforma.
• Dados de faturamento da assinatura da plataforma.
• Dados técnicos e registros de aplicação (logs): endereço IP, identificadores de dispositivo e data/hora de acesso.

5.3. Dados de responsável legal (menores)

Quando a clínica cliente atende crianças ou adolescentes, dados do responsável legal e do menor podem aparecer nas conversas, mídias e transcrições. O tratamento desses dados observa a Seção 8, e a definição da base legal e a coleta do consentimento do responsável cabem à clínica controladora.

6. Finalidades e bases legais

As bases legais abaixo referem-se aos dados da plataforma, dos quais a Sonic One é controladora. Quanto aos dados dos pacientes, a definição da base legal cabe à clínica controladora (ver observação após a tabela).

Contato apenas com opt-in. Os destinatários das mensagens no WhatsApp somente são contatados após opt-in (consentimento prévio) obtido pela clínica controladora, em conformidade com a WhatsApp Business Messaging Policy e os WhatsApp Business Terms. A Sonic One, como operadora, apenas fornece o meio técnico de envio.

Dados sensíveis (definidos pela clínica controladora): quando o tratamento envolver dados sensíveis de saúde que trafegam pelo atendimento, a base legal é definida pela clínica cliente, na condição de controladora, conforme o seu tipo de atividade:

• Clínicas, laboratórios e demais serviços ou profissionais de saúde: em regra, a tutela da saúde (Art. 11, II, "f"), hipótese exclusiva de procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.
• Clientes que não são serviço ou profissional de saúde (academias, negócios de estética e de bem-estar): não podem invocar a tutela da saúde; nesse caso, o eventual dado sensível fundamenta-se no consentimento específico e destacado do titular (Art. 11, I).

Para dados de crianças e adolescentes, observa-se ainda o Art. 14 da LGPD e o ECA (ver Seção 8). A Sonic One, como operadora, não escolhe essa base legal e não capta o consentimento do titular: apenas fornece os meios técnicos e a proteção reforçada, tratando os dados conforme as instruções do controlador.

7. Dados pessoais sensíveis (saúde)

Reconhecemos que o conteúdo das conversas de WhatsApp, as imagens/mídias e as transcrições de áudio podem conter dados pessoais sensíveis de saúde dos pacientes. Esses dados recebem proteção reforçada:

• Criptografia em trânsito (HTTPS/TLS) e em repouso.
• Controle de acesso por papéis (RBAC) e princípio do menor privilégio.
• Isolamento entre clientes (multi-tenant): os dados de uma clínica não se cruzam com os de outra.
• Registros de auditoria dos acessos.
• Tratamento estritamente limitado às finalidades instruídas pela clínica controladora, sem uso para finalidade própria da Sonic One.

O uso de inteligência artificial para transcrição de áudio é tratado como operação sobre dado potencialmente sensível. O provedor de IA será contratado como suboperador exclusivamente em modalidade (tier) que, por contrato, não utilize os dados para treinar seus modelos, coberto pela base legal do controlador e, se localizado fora do Brasil, pelas salvaguardas de transferência internacional (Seção 12-A). O fornecedor de transcrição por IA está em definição e será identificado na tabela da Seção 11 antes de sua ativação em produção; enquanto não identificado e contratado nessas condições, a transcrição por IA de dados sensíveis não é ativada.

8. Dados de crianças e adolescentes

Clínicas e demais clientes podem atender crianças e adolescentes, e dados de menores podem aparecer nas conversas, mídias e transcrições. O tratamento observa o melhor interesse do menor, nos termos do Art. 14 da LGPD e do ECA (Lei nº 8.069/1990).

• Criança (menor de 12 anos): o dado é tratado com consentimento específico e em destaque de ao menos um dos pais ou do responsável legal (Art. 14, §1º), cuja obtenção, registro e verificação cabem à clínica controladora.
• Adolescente (12 a 17 anos): o tratamento observa o seu melhor interesse, sem a exigência idêntica do §1º, cabendo à clínica controladora a definição da base legal aplicável.
• No atendimento em saúde, o dado sensível de saúde do menor apoia-se na base do Art. 11 aplicável ao controlador (tutela da saúde, para serviço de saúde; ou consentimento, para os demais), tendo o Art. 14 e o ECA como camada de garantia do melhor interesse — e não exclusivamente no consentimento parental.
• Aplica-se a minimização: não se condiciona o atendimento do menor ao fornecimento de dados desnecessários.
• Como operadora, a Sonic One fornece os meios técnicos e a proteção reforçada; a verificação do melhor interesse e a coleta do consentimento do responsável, quando exigível, são responsabilidade da clínica.

9. Uso de imagem e voz

Como as mensagens de WhatsApp incluem áudios (voz) e imagens/mídias, e como o armazenamento e a transcrição por IA vão além da mera transmissão da mensagem, o tratamento de imagem e voz que revele dados de saúde é tratado como dado sensível (Seção 7). A base legal e eventual consentimento específico e independente do titular ou do responsável — separável das demais autorizações e reforçado quando envolver menores — são definidos e obtidos pela clínica controladora, conforme o seu tipo de atividade (Seção 6). A Sonic One trata esses conteúdos apenas conforme as instruções do controlador.

10. Segurança da informação

Adotamos medidas técnicas e organizacionais compatíveis com a sensibilidade dos dados:

• Criptografia dos dados em trânsito (HTTPS/TLS) e dos dados sensíveis em repouso;
• Controle de acesso por papéis (RBAC) e autenticação forte;
• Isolamento multi-tenant entre clientes/controladores, para impedir vazamento cruzado de dados entre clínicas;
• Registros de auditoria e monitoramento;
• Transmissão sempre por HTTPS.

11. Compartilhamento e operadores

Não vendemos dados pessoais e não os compartilhamos para finalidades próprias de terceiros. O compartilhamento ocorre apenas na medida necessária, com: (a) a clínica cliente responsável (controladora dos dados dos pacientes); (b) operadores e suboperadores contratados, obrigados por contrato a proteger os dados e a tratá-los apenas conforme instruções; e (c) autoridades públicas, quando exigido por lei ou ordem judicial.

Em especial, os dados são compartilhados com a Meta Platforms, Inc. / WhatsApp para o envio e recebimento das mensagens via WhatsApp Cloud API. Nesse fluxo, a Meta processa o conteúdo das mensagens em nome do negócio — o negócio é o titular da conta de WhatsApp Business (a clínica cliente controladora) —, ressalvado que a Meta também trata determinados dados para finalidades próprias de operação, segurança e conformidade de sua plataforma, conforme os Meta Platform Terms, os WhatsApp Business Terms e o Global Data Protection Addendum. A existência de base legal e de opt-in para esse compartilhamento com o WhatsApp é assegurada pela clínica cliente, conforme os WhatsApp Business Terms.

Operadores e suboperadores reais da plataforma:

Todos os operadores e suboperadores são vinculados por contrato que os obriga aos mesmos deveres de proteção e ao tratamento exclusivamente conforme instruções. A inclusão ou substituição de operadores/suboperadores será comunicada aos clientes (controladores) com antecedência razoável, facultado o direito de objeção nos termos do DPA, e será refletida em nova versão desta Política.

12. Seus direitos e como exercê-los

Nos termos do Art. 18 da LGPD, o titular — ou o responsável, no caso de menor ou de titular não plenamente capaz — pode exercer os seguintes direitos: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade; eliminação dos dados tratados com base no consentimento; informação sobre as entidades com as quais os dados foram compartilhados; informação sobre a possibilidade de não fornecer consentimento e as consequências; e revogação do consentimento.

Como há uso de agentes de inteligência artificial, o titular também pode solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, nos termos do Art. 20 da LGPD.

Prazo de resposta. Responderemos aos pedidos de exercício de direitos de imediato, no caso de declaração simplificada, ou no prazo de até 15 (quinze) dias, no caso de declaração completa, informando as medidas adotadas ou, quando for o caso, as razões de fato ou de direito que impeçam o atendimento, nos termos do Art. 19 da LGPD.

12.1. Fluxo de exercício conforme o papel

• O paciente/cliente final exerce seus direitos primariamente junto à clínica cliente (controladora). Pedidos que cheguem à Sonic One serão encaminhados e apoiados à clínica controladora, a quem compete decidir sobre eles; não prometemos atender diretamente pedido de paciente que seja de competência do controlador.
• O usuário da plataforma (equipe da clínica) exerce seus direitos diretamente junto à Sonic One, pelo e-mail privacidade@sonicone.com.br.

12.2. Revogação do consentimento

A revogação é gratuita e facilitada, não afeta a licitude do tratamento realizado anteriormente e, quando relativa a dados essenciais, pode inviabilizar, no todo ou em parte, a prestação do serviço — o que será informado ao titular.

12.3. Autoridade Nacional

O titular pode peticionar, a qualquer tempo, perante a Autoridade Nacional de Proteção de Dados (ANPD), autoridade competente para fiscalizar o cumprimento da LGPD.

12-A. Transferência internacional de dados

Há transferência internacional de dados. A Meta Platforms, Inc. / WhatsApp processa dados nos Estados Unidos ao operar a WhatsApp Cloud API, e o provedor de IA de transcrição, se localizado fora do Brasil, também poderá processá-los no exterior.

Como os Estados Unidos não são objeto de decisão de adequação da ANPD, essas transferências apoiam-se nas cláusulas contratuais firmadas com os operadores (Art. 33, II, da LGPD), em conformidade com o modelo de cláusulas-padrão contratuais aprovado pela ANPD (Resolução CD/ANPD nº 19/2024) — incluindo, no caso da Meta, o Global Data Protection Addendum —, limitando-se ao estritamente necessário à finalidade e mantendo as salvaguardas exigidas pela legislação. No caso do provedor de IA de transcrição, as salvaguardas de transferência serão comprovadas antes de qualquer fluxo de dados sensíveis ao exterior, ou o fornecimento será restrito a fornecedor localizado no Brasil ou em país com adequação reconhecida.

12-B. Como solicitar a exclusão dos seus dados

Você tem o direito de solicitar a exclusão dos seus dados pessoais tratados por meio da plataforma Sonic One. Este é o caminho claro e acessível para fazê-lo:

• Passo 1 — Envie o pedido. Escreva para o Encarregado (DPO) da Sonic One pelo e-mail privacidade@sonicone.com.br, informando que deseja excluir seus dados e, se possível, o número de telefone/WhatsApp utilizado no atendimento, para localizarmos seus registros.
• Passo 2 — Confirmação e prazo. Confirmaremos o recebimento e responderemos à sua solicitação prontamente, no prazo de até 15 (quinze) dias a contar do pedido, informando as providências adotadas.
• Passo 3 — Se você é paciente/cliente de uma clínica. Se os seus dados foram tratados no âmbito do atendimento de uma clínica cliente (ou laboratório, academia, negócio de estética/bem-estar), essa organização é a controladora dos dados. Nesse caso, o pedido deve ser dirigido a ela; ao recebê-lo, encaminharemos e apoiaremos a solicitação junto à clínica controladora, a quem cabe a decisão final sobre a exclusão.
• Passo 4 — Se você é usuário da plataforma (equipe da clínica) ou administrador da conta. Você pode solicitar, pelo mesmo e-mail privacidade@sonicone.com.br e com o mesmo prazo de até 15 (quinze) dias, a exclusão da sua conta e dos dados obtidos por meio do Facebook Login for Business (perfil business, identificadores da conta de WhatsApp Business — WABA IDs — e números conectados) tratados pela Sonic One como controladora, ressalvadas as hipóteses de guarda obrigatória por lei.

A exclusão pode não abranger dados que a lei nos obriga a manter (por exemplo, registros fiscais ou logs de acesso pelos prazos legais indicados na Seção 13); nesses casos, os dados serão mantidos apenas pelo tempo e para a finalidade exigidos por lei e, então, eliminados ou anonimizados. Esta mesma instrução de exclusão está publicada e acessível em https://sonicone.com.br/privacidade/.

13. Prazos de retenção

Conservamos os dados apenas pelo tempo necessário às finalidades e às obrigações legais; encerrado o prazo, os dados são eliminados ou anonimizados, salvo hipóteses de guarda autorizadas em lei.

Ao término do contrato com cada clínica cliente, os dados dos pacientes tratados como operadora serão eliminados ou devolvidos conforme a instrução do controlador, salvo obrigação legal de guarda.

14. Cookies

A plataforma e o site utilizam cookies e tecnologias semelhantes. Os cookies estritamente necessários ao funcionamento e à segurança dispensam consentimento; os cookies não essenciais (por exemplo, analíticos) dependem de consentimento prévio, coletado por banner que permite aceitar, recusar e gerir as categorias de forma granular, em linha com o Guia de Cookies da ANPD.

Atualmente não utilizamos cookies analíticos de terceiros que impliquem transferência internacional. Caso venham a ser adotados, o respectivo fornecedor será incluído na tabela de operadores (Seção 11) e, se localizado fora do Brasil, na Seção 12-A, e seu uso continuará condicionado ao consentimento. O titular pode, a qualquer momento, revisar ou revogar o consentimento pelo banner e complementarmente pelas configurações do navegador.

15. Incidentes de segurança

Diante de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, adotaremos as medidas cabíveis e faremos as comunicações devidas:

• Como controladora (dados da plataforma), comunicaremos a ANPD e os titulares afetados em prazo razoável, observado o prazo de 3 (três) dias úteis fixado pela ANPD (Resolução CD/ANPD nº 15/2024) e a forma da legislação.
• Como operadora (dados dos pacientes), comunicaremos sem demora a clínica controladora, a quem compete decidir sobre a comunicação à ANPD e aos titulares.

16. Alterações desta Política

Esta Política pode ser atualizada a qualquer tempo. A versão vigente estará sempre disponível em https://sonicone.com.br/privacidade/, com indicação da data e do número de versão. Quando a alteração exigir, solicitaremos novo consentimento ou comunicaremos os titulares.

Histórico de versões:

• Versão 1.0 (14/09/2026): publicação inicial.

17. Legislação aplicável e foro

Esta Política é regida pelas leis brasileiras. Fica eleito o foro da comarca de Caraguatatuba/SP para dirimir eventuais controvérsias, sem prejuízo do direito de o consumidor demandar no foro de seu domicílio, nos termos do Art. 101, I, do Código de Defesa do Consumidor.

Dúvidas sobre esta Política: privacidade@sonicone.com.br. Versão 1.0 — vigente a partir de 14 de setembro de 2026.