Segurança

Resumo

O essencial sobre como cuidamos dos seus dados:

• Coletamos apenas os dados necessários para prestar o serviço.
• Os dados e prompts que você carrega ou monitora são seus. Nós os processamos somente para prestar o serviço a você.
• Não vendemos os seus dados.
• Os dados são criptografados em repouso e em trânsito.
• O acesso interno é restrito a pessoal autorizado, e registramos quem acessa e quando.
• Hospedamos na Supabase e na Vercel, provedores com certificação SOC 2 Type 2 que oferecem acordos de processamento de dados (DPA) para clientes sujeitos ao GDPR.
• Você pode nos pedir acesso, correção, eliminação ou exportação dos seus dados. Ao cancelar, eliminamos seus dados em até 30 dias.

Hospedagem e região

O banco de dados e a autenticação estão no Supabase, região us-east-2 (Ohio, na AWS). A aplicação roda na Vercel, com funções fixadas na região cle1 (Cleveland), na mesma zona do banco de dados. Os dados são armazenados e processados nos Estados Unidos. A lista completa de provedores está em Subprocessadores.

Criptografia

Todo o tráfego entre seu navegador e a Lumen é criptografado em trânsito (HTTPS/TLS). Os dados são armazenados criptografados e aplicamos criptografia conforme padrões aceitos pela indústria, técnicas de criptografia robustas e protocolos de segurança vigentes.

As credenciais das integrações (tokens OAuth do Google Search Console e GA4, e a chave de API do Bing Webmaster) são criptografadas em nível de aplicação com AES-256-GCM antes de serem gravadas no banco de dados.

Autenticação e acesso

• O acesso à Lumen é feito com Google OAuth 2.0 ou com um link de acesso (magic link) enviado por e-mail. A Lumen não armazena senhas.
• Os dados de cada conta e de cada cliente de uma agência são separados: somente os membros autorizados dessa conta têm acesso, com regras de acesso em nível de linha no banco de dados.
• As agências controlam quais membros da equipe acessam cada cliente.

Integrações e permissões

A Lumen pode ser usada apenas com domínio, marca, concorrentes e prompts: não é obrigatório conectar nenhuma conta.

• Google Search Console e Google Analytics 4 são conectados por OAuth com permissões somente leitura (webmasters.readonly e analytics.readonly). A Lumen não pode modificar sua conta do Search Console nem do Analytics.
• Bing Webmaster e IndexNow são opcionais e, a seu pedido, permitem notificar URLs a buscadores.
• Como revogar: em Integrações você pode desconectar cada serviço, o que elimina a conexão guardada na Lumen. Nas integrações do Google, você também pode retirar o acesso nas permissões de sua conta Google.

Uso dos dados

Os dados e prompts dos clientes são de sua propriedade. Não os usamos para treinar nenhum modelo de IA. Os textos dos prompts são enviados aos mecanismos de IA somente para obter suas respostas; o tratamento por cada provedor é regido por seus próprios termos (veja Subprocessadores). Podemos usar os prompts e os resultados de execução de forma agregada e anonimizada para calcular tendências de mercado, elaborar estudos e entender como os mecanismos de IA se comportam. Essas estatísticas e estudos não identificam nenhuma pessoa, conta, agência nem marca cliente. Não são usados para treinar modelos.

Retenção e eliminação

Mantemos seus dados enquanto sua conta estiver ativa. Ao cancelar a conta, os dados e prompts são eliminados em até 30 dias, salvo obrigação legal de conservá-los.

Gestão de incidentes

Se detectarmos um incidente de segurança que afete dados de clientes, a equipe da Lumen o investiga e o contém, e revoga as credenciais ou acessos comprometidos. Avisamos por e-mail os clientes afetados sem demora indevida e, no máximo, em até 72 horas após tomarmos conhecimento, indicando o que ocorreu, quais dados foram afetados, que medidas tomamos e um contato. Colaboramos com a agência para que possa notificar seus clientes e as autoridades quando necessário.

Acesso da equipe da Lumen aos dados

Somente pessoas autorizadas da equipe da Lumen podem acessar dados de clientes, e apenas para suporte, manutenção e segurança do serviço. Cada acesso é registrado (quem e quando). As contas da equipe nos serviços que hospedam os dados usam autenticação de dois fatores.

Contato de segurança

Para dúvidas de segurança ou para reportar uma vulnerabilidade, escreva para contact@getlumen.lat.