Este documento descreve a operação geral da plataforma e pode ser complementado por contrato, proposta comercial, ordem de serviço, aviso específico de privacidade ou configuração própria do workspace.
Para exercer um direito, abra uma solicitação com protocolo e verificação proporcional de identidade.
Abrir solicitação na Central de Privacidade1. Quem opera o Lumo
O Lumo é uma plataforma SaaS voltada à gestão de projetos, portfólios, propostas, contratos, financeiro e entregas para estúdios criativos, agências e produtoras.
Em dados de conta, cobrança, segurança, autenticação, comunicação comercial e suporte, o responsável pela operação do Lumo atua, em regra, como controlador. Em conteúdos carregados por clientes dentro de seus próprios tenants, como materiais de projeto, mídia, propostas, contatos e documentos, o cliente contratante pode atuar como controlador, e o Lumo pode atuar como operador, conforme o contexto e o contrato aplicável.
2. Dados que podemos coletar
Coletamos apenas dados relacionados ao cadastro, uso, segurança e entrega do serviço. A natureza dos dados varia conforme o plano, os módulos ativados e as informações que cada tenant decide inserir no workspace.
- Dados de identificação e cadastro: nome, e-mail, telefone, CNPJ, razão social, nome fantasia, cargo ou vínculo com o tenant.
- Dados de autenticação e sessão: token de sessão, registros de login, data de uso, endereço IP, user agent e eventos de segurança.
- Dados operacionais do workspace: projetos, tarefas, calendários, propostas, orçamentos, contratos, contatos, informações financeiras, registros fiscais e histórico de alterações.
- Uploads e mídia: arquivos enviados para projetos, portfólio, propostas, revisões, entregáveis, documentos comerciais e identidade visual do tenant.
- Dados de links públicos: tokens de acesso, PINs quando configurados, decisões externas, comentários, aprovações, downloads e registros de auditoria associados a compartilhamentos.
- Dados de cobrança: plano contratado, periodicidade, status de assinatura, identificadores do cliente/assinatura no provedor de pagamento e eventos de pagamento.
- Comunicações: mensagens de suporte, solicitações administrativas, recuperação de senha e comunicações transacionais ligadas ao uso do Lumo.
3. Por que usamos esses dados
Tratamos dados pessoais para entregar o serviço contratado, manter o ambiente seguro, cumprir obrigações legais e permitir que o tenant organize sua operação criativa e administrativa.
- Criar e manter contas, tenants, memberships, permissões e sessões autenticadas.
- Disponibilizar módulos de projetos, portfólio, propostas, orçamento, contratos, financeiro, fiscal, arquivos, revisões e colaboração.
- Processar uploads, armazenar mídia, gerar links de acesso e exibir conteúdos autorizados pelo tenant.
- Processar assinaturas, testes gratuitos, pagamentos, inadimplência, cancelamentos e comunicações de cobrança.
- Prevenir abuso, fraude, acesso indevido, spam, violação de políticas e incidentes de segurança.
- Enviar mensagens transacionais, recuperação de senha, avisos operacionais e respostas a suporte.
- Cumprir obrigações legais, regulatórias, fiscais, contábeis e solicitações válidas de autoridades competentes.
4. Bases legais
Cada operação precisa de uma base legal compatível com sua finalidade. A criação de conta, o workspace, a cobrança e o suporte normalmente se apoiam na execução de contrato ou em procedimentos preliminares; documentos fiscais e respostas a autoridades podem decorrer de obrigação legal; segurança, prevenção a fraude e melhoria estritamente necessária podem envolver legítimo interesse ou exercício regular de direitos, com avaliação de necessidade e balanceamento.
Consentimento é usado apenas quando uma escolha livre, específica e revogável for apropriada, como categorias opcionais de analytics, marketing ou mídia de terceiros. Criar conta ou aceitar os Termos de Uso não significa consentir genericamente com todo tratamento de dados.
5. Autenticação, sessões e cookies
O Lumo usa cookies necessários para login, manutenção de sessão e seleção do tenant ativo. Esses cookies são essenciais para diferenciar usuários autenticados, preservar o contexto de trabalho e reduzir risco de acesso indevido.
Os cookies de sessão são configurados com atributos de segurança compatíveis com a aplicação, como httpOnly, SameSite=Lax e Secure em produção. Links externos protegidos por PIN também podem usar cookies técnicos vinculados ao token do compartilhamento.
A plataforma não precisa de cookies de publicidade comportamental para funcionar. Analytics, marketing e mídia de terceiros ficam bloqueados até autorização por categoria. A escolha pode ser recusada ou revogada sem impedir as funções essenciais.
6. Uploads, mídia, propostas e links públicos
O Lumo permite que tenants enviem arquivos, vídeos, imagens, documentos e materiais comerciais. Esses conteúdos podem conter dados pessoais de clientes, colaboradores, fornecedores, freelancers, talentos, leads ou outros terceiros.
O tenant é responsável por garantir que possui base legal, autorizações, direitos de imagem, direitos autorais e legitimidade para inserir, compartilhar ou publicar conteúdos dentro do Lumo.
Quando um usuário gera link público ou compartilhado, como proposta, contrato, revisão, portfólio ou entrega, o conteúdo pode ficar acessível a pessoas que recebam o link, token ou PIN. O tenant deve compartilhar esses links com critério e revogá-los quando deixarem de ser necessários.
7. Integrações, pagamentos e fornecedores
Alguns recursos podem depender de fornecedores técnicos e integrações configuradas pelo tenant ou pela operação do Lumo. Entre eles podem estar provedor de pagamento, provedor de e-mail, assinatura eletrônica, serviços fiscais, hospedagem, banco de dados e armazenamento.
Quando Stripe estiver habilitado para cobrança, dados estritamente necessários para criar cliente, checkout, portal de cobrança, assinatura, status de pagamento e eventos de webhook serão compartilhados com esse provedor. O Lumo não deve solicitar que dados completos de cartão sejam digitados diretamente em páginas próprias fora do fluxo seguro do provedor de pagamento.
Integrações como Autentique e Notaas, quando configuradas pelo tenant, podem receber dados necessários para assinatura eletrônica, documentos, signatários, emissão fiscal, testes de conexão e webhooks. O uso dessas integrações depende da configuração feita pelo tenant e das regras próprias de cada fornecedor.
8. Segurança e armazenamento
Adotamos medidas técnicas e administrativas razoáveis para proteger contas, sessões, uploads, integrações e registros operacionais contra acesso não autorizado, perda, alteração indevida e uso abusivo.
Essas medidas incluem controles de autenticação, segregação por tenant, validação de uploads, sanitização de HTML rico, proteção de webhooks, cabeçalhos de segurança, rate limiting em fluxos sensíveis e armazenamento protegido de segredos de integrações quando cadastrados.
Nenhum sistema é imune a riscos. Por isso, usuários também devem proteger credenciais, revisar permissões internas, evitar compartilhamento indevido de links e comunicar suspeitas de incidente pelo canal de privacidade.
9. Direitos do titular pela LGPD
Nos termos da Lei Geral de Proteção de Dados Pessoais, titulares podem solicitar, conforme aplicável, confirmação da existência de tratamento, acesso aos dados, correção de dados incompletos ou desatualizados, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, portabilidade, informação sobre compartilhamentos e revogação do consentimento.
Também é possível solicitar eliminação de dados tratados com base em consentimento, respeitadas hipóteses legais de retenção, e apresentar questionamentos sobre decisões automatizadas quando existirem. O atendimento pode depender de validação proporcional de identidade, contexto do tenant e limites legais, contratuais, fiscais, regulatórios ou de segurança. O canal preferencial é a Central de Privacidade em /privacy/request.
10. Retenção, encerramento e exclusão de conta
Mantemos dados pelo tempo necessário para prestar o serviço, cumprir contratos, preservar segurança, atender obrigações legais e proteger direitos em processos administrativos, arbitrais ou judiciais.
Pedidos de exclusão ou anonimização serão avaliados conforme a LGPD. Alguns registros podem ser mantidos quando necessários para cumprimento de obrigação legal ou regulatória, exercício regular de direitos, auditoria, prevenção a fraude, segurança do serviço ou preservação de histórico mínimo exigido pela legislação vigente.
Para solicitar encerramento, exclusão, exportação ou revisão de dados, use /privacy/request ou o canal contato@lumospace.com.br. Solicitações gerais também podem ser enviadas para contato@lumospace.com.br.