Este documento descreve a operação geral da plataforma e pode ser complementado por contrato, proposta comercial, ordem de serviço, aviso específico de privacidade ou configuração própria do workspace.
1. Quem opera o Lumo
O Lumo é uma plataforma SaaS voltada à gestão de projetos, portfólios, propostas, contratos, financeiro e entregas para estúdios criativos, agências e produtoras. A operação da plataforma é vinculada a [Razão social da empresa], inscrita no CNPJ [CNPJ], com endereço em [endereço comercial].
Em dados de conta, cobrança, segurança, autenticação, comunicação comercial e suporte, [Razão social da empresa] atua, em regra, como controladora. Em conteúdos carregados por clientes dentro de seus próprios tenants, como materiais de projeto, mídia, propostas, contatos e documentos, o cliente contratante pode atuar como controlador, e o Lumo pode atuar como operador, conforme o contexto e o contrato aplicável.
2. Dados que podemos coletar
Coletamos apenas dados relacionados ao cadastro, uso, segurança e entrega do serviço. A natureza dos dados varia conforme o plano, os módulos ativados e as informações que cada tenant decide inserir no workspace.
- Dados de identificação e cadastro: nome, e-mail, telefone, CNPJ, razão social, nome fantasia, cargo ou vínculo com o tenant.
- Dados de autenticação e sessão: token de sessão, registros de login, data de uso, endereço IP, user agent e eventos de segurança.
- Dados operacionais do workspace: projetos, tarefas, calendários, propostas, orçamentos, contratos, contatos, informações financeiras, registros fiscais e histórico de alterações.
- Uploads e mídia: arquivos enviados para projetos, portfólio, propostas, revisões, entregáveis, documentos comerciais e identidade visual do tenant.
- Dados de links públicos: tokens de acesso, PINs quando configurados, decisões externas, comentários, aprovações, downloads e registros de auditoria associados a compartilhamentos.
- Dados de cobrança: plano contratado, periodicidade, status de assinatura, identificadores do cliente/assinatura no provedor de pagamento e eventos de pagamento.
- Comunicações: mensagens de suporte, solicitações administrativas, recuperação de senha e comunicações transacionais ligadas ao uso do Lumo.
3. Por que usamos esses dados
Tratamos dados pessoais para entregar o serviço contratado, manter o ambiente seguro, cumprir obrigações legais e permitir que o tenant organize sua operação criativa e administrativa.
- Criar e manter contas, tenants, memberships, permissões e sessões autenticadas.
- Disponibilizar módulos de projetos, portfólio, propostas, orçamento, contratos, financeiro, fiscal, arquivos, revisões e colaboração.
- Processar uploads, armazenar mídia, gerar links de acesso e exibir conteúdos autorizados pelo tenant.
- Processar assinaturas, testes gratuitos, pagamentos, inadimplência, cancelamentos e comunicações de cobrança.
- Prevenir abuso, fraude, acesso indevido, spam, violação de políticas e incidentes de segurança.
- Enviar mensagens transacionais, recuperação de senha, avisos operacionais e respostas a suporte.
- Cumprir obrigações legais, regulatórias, fiscais, contábeis e solicitações válidas de autoridades competentes.
4. Autenticação, sessões e cookies
O Lumo usa cookies necessários para login, manutenção de sessão e seleção do tenant ativo. Esses cookies são essenciais para diferenciar usuários autenticados, preservar o contexto de trabalho e reduzir risco de acesso indevido.
Os cookies de sessão são configurados com atributos de segurança compatíveis com a aplicação, como httpOnly, SameSite=Lax e Secure em produção. Links externos protegidos por PIN também podem usar cookies técnicos vinculados ao token do compartilhamento.
A plataforma não precisa de cookies de publicidade comportamental para funcionar. Cookies de analytics só devem ser utilizados se forem habilitados em ambiente específico e, quando aplicável, com base legal adequada e controles de preferência.
5. Uploads, mídia, propostas e links públicos
O Lumo permite que tenants enviem arquivos, vídeos, imagens, documentos e materiais comerciais. Esses conteúdos podem conter dados pessoais de clientes, colaboradores, fornecedores, freelancers, talentos, leads ou outros terceiros.
O tenant é responsável por garantir que possui base legal, autorizações, direitos de imagem, direitos autorais e legitimidade para inserir, compartilhar ou publicar conteúdos dentro do Lumo.
Quando um usuário gera link público ou compartilhado, como proposta, contrato, revisão, portfólio ou entrega, o conteúdo pode ficar acessível a pessoas que recebam o link, token ou PIN. O tenant deve compartilhar esses links com critério e revogá-los quando deixarem de ser necessários.
6. Integrações, pagamentos e fornecedores
Alguns recursos podem depender de fornecedores técnicos e integrações configuradas pelo tenant ou pela operação do Lumo. Entre eles podem estar provedor de pagamento, provedor de e-mail, assinatura eletrônica, serviços fiscais, hospedagem, banco de dados e armazenamento.
Quando Stripe estiver habilitado para cobrança, dados estritamente necessários para criar cliente, checkout, portal de cobrança, assinatura, status de pagamento e eventos de webhook serão compartilhados com esse provedor. O Lumo não deve solicitar que dados completos de cartão sejam digitados diretamente em páginas próprias fora do fluxo seguro do provedor de pagamento.
Integrações como Autentique e Notaas, quando configuradas pelo tenant, podem receber dados necessários para assinatura eletrônica, documentos, signatários, emissão fiscal, testes de conexão e webhooks. O uso dessas integrações depende da configuração feita pelo tenant e das regras próprias de cada fornecedor.
7. Segurança e armazenamento
Adotamos medidas técnicas e administrativas razoáveis para proteger contas, sessões, uploads, integrações e registros operacionais contra acesso não autorizado, perda, alteração indevida e uso abusivo.
Essas medidas incluem controles de autenticação, segregação por tenant, validação de uploads, sanitização de HTML rico, proteção de webhooks, cabeçalhos de segurança, rate limiting em fluxos sensíveis e armazenamento protegido de segredos de integrações quando cadastrados.
Nenhum sistema é imune a riscos. Por isso, usuários também devem proteger credenciais, revisar permissões internas, evitar compartilhamento indevido de links e comunicar suspeitas de incidente pelo canal de privacidade.
8. Direitos do titular pela LGPD
Nos termos da Lei Geral de Proteção de Dados Pessoais, titulares podem solicitar, conforme aplicável, confirmação da existência de tratamento, acesso aos dados, correção de dados incompletos ou desatualizados, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, portabilidade, informação sobre compartilhamentos e revogação do consentimento.
Também é possível solicitar eliminação de dados tratados com base em consentimento, respeitadas hipóteses legais de retenção, e apresentar questionamentos sobre decisões automatizadas quando existirem. O atendimento pode depender de validação de identidade, contexto do tenant e limites legais, contratuais, fiscais, regulatórios ou de segurança.
9. Retenção, encerramento e exclusão de conta
Mantemos dados pelo tempo necessário para prestar o serviço, cumprir contratos, preservar segurança, atender obrigações legais e proteger direitos em processos administrativos, arbitrais ou judiciais.
Pedidos de exclusão ou anonimização serão avaliados conforme a LGPD. Alguns registros podem ser mantidos quando necessários para cumprimento de obrigação legal ou regulatória, exercício regular de direitos, auditoria, prevenção a fraude, segurança do serviço ou preservação de histórico mínimo exigido pela legislação vigente.
Para solicitar encerramento, exclusão, exportação ou revisão de dados, entre em contato pelo canal [e-mail do encarregado/DPO ou canal de privacidade]. Solicitações gerais também podem ser enviadas para [e-mail de contato].