Segurança & Privacidade

🏫

Isolamento por escola

Os dados de cada escola são separados dos demais por padrão, no banco, em 217 tabelas — não só na tela.

🔐

Criptografia

Tudo trafega por HTTPS/TLS. Senhas nunca são guardadas em texto — só como hash forte.

🧒

Dados de menores

Tratamento conforme a LGPD com base no melhor interesse da criança e consentimento dos responsáveis.

💾

Backups diários

Cópia automática todos os dias, isolada por escola, para recuperação em caso de incidente.

1. Isolamento entre escolas (multi-tenancy)

Cada escola é um tenant independente. A separação não depende de um filtro na interface — ela é imposta no banco de dados:

217 tabelas carregam o identificador da escola e têm um gatilho (enforce_tenant_escola_id) que rejeita qualquer gravação sem escola válida.
Row Level Security (RLS) e filtros obrigatórios por escola em todas as listagens e relatórios sensíveis.
Uma visão de auditoria contínua (tenant_isolation_audit) monitora qualquer tabela que escape do padrão.

Aprendemos na prática. Em abril de 2026 identificamos internamente um vazamento visual entre um ambiente de demonstração e um cliente. Corrigimos em horas, eliminamos o comportamento de “primeira escola = padrão” que o causou, e blindamos a regressão com testes automáticos que falham o deploy se o padrão voltar. Contamos isso porque maturidade de segurança se mede por como se responde a incidentes — não por fingir que não existem.

2. Criptografia & autenticação

Em trânsito: HTTPS/TLS em todo o tráfego; HSTS para forçar conexões seguras.
Senhas: derivadas com PBKDF2 (100–120 mil iterações) — nunca armazenadas nem reversíveis.
Biometria / Face ID: login por WebAuthn e reconhecimento facial para responsáveis e controle de acesso, sem senha.
Sessões: tokens com expiração e revogação; ações sensíveis exigem reautenticação.
Segredos (chaves de banco, integrações) ficam em cofre de variáveis, fora do código.

3. Proteção da aplicação

Camada	O que faz
Validação & sanitização	Toda entrada é validada e limpa contra injeção e XSS antes de tocar o banco.
Rate limiting	Limite de requisições por origem, no banco, contra abuso e força bruta.
CSP · SRI · X-Frame DENY	Políticas que bloqueiam scripts não autorizados e impedem que o portal seja embutido em sites maliciosos.
CORS restrito	Só domínios *.lumied.com.br falam com a API.
Webhooks assinados	Integrações (banco, WhatsApp) verificam assinatura HMAC-SHA256 e rejeitam o que não bate — falha fechada.

Realizamos rodadas dedicadas de hardening de segurança, com auditoria de 100% das funções de servidor e dos workers, e correções rastreadas no histórico do projeto.

4. Dados de crianças e adolescentes

É o ponto mais delicado de uma plataforma escolar e o tratamos como prioridade:

Coletamos apenas o necessário para a gestão escolar e a comunicação com a família.
O acesso aos dados do aluno é restrito aos papéis que precisam dele (professora, secretaria, responsável) — nunca aberto por padrão.
O responsável legal pode solicitar acesso, correção, exportação e exclusão dos dados do filho.
Alertas operacionais sensíveis (ex.: bloqueios de acesso) vão para a recepção da escola, nunca para a família, evitando exposição indevida.

5. LGPD — seus direitos

O Lumied atua como operador dos dados que a escola (controladora) nos confia, nos termos da Lei 13.709/2018. Garantimos os mecanismos para que a escola e as famílias exerçam seus direitos:

Consentimento registrado e auditável.
Exportação dos dados em formato legível.
Anonimização / exclusão mediante solicitação.
Registro de operações (audit log) de quem acessou e alterou o quê.

Para detalhes formais, veja a Política de Privacidade e o Acordo de Tratamento de Dados (DPA), que sua escola assina conosco.

6. Disponibilidade, backups & monitoramento

Backups diários automáticos (03:00 BRT), isolados por escola.
Monitoramento de erros e desempenho em tempo real (Sentry + Better Stack), com verificação de saúde do banco e do armazenamento.
Compromissos formais de disponibilidade no nosso SLA e estado em tempo real na página de status.

7. Subprocessadores

Operamos sobre fornecedores de infraestrutura reconhecidos. Cada um trata apenas a parcela de dados necessária à sua função:

Fornecedor	Função	Dados
Supabase	Banco de dados & autenticação	Dados da aplicação
Vercel	Hospedagem do aplicativo	Tráfego web
Cloudflare	DNS & borda de rede	Metadados de rede
Resend	Envio de e-mails	E-mail & conteúdo da mensagem
Meta (WhatsApp)	Comunicação escola–família	Telefone & mensagens
Banco Inter	Boletos & PIX	Dados de cobrança

8. Em construção — sendo honestos

Não fingimos ter o que ainda não temos. Estas frentes estão no nosso roadmap: certificação formal de segurança por terceiros (auditoria externa / selo), relatório público de pentest independente e programa estruturado de divulgação responsável. Atualizaremos esta página à medida que cada uma for concluída.

9. Reporte uma vulnerabilidade

Encontrou um problema de segurança? Conte para nós com responsabilidade em seguranca@lumied.com.br. Investigamos todo relato de boa-fé e não tomamos medidas contra quem reporta de forma ética.

10. Perguntas frequentes

Outra escola pode ver os dados da minha?: Não. O isolamento é imposto no banco, não só na tela — e monitorado continuamente.
Vocês vendem ou usam os dados das famílias para anúncios?: Não. Os dados são da escola e usados apenas para operar a plataforma. Métricas agregadas e anonimizadas podem melhorar previsões, sem identificar pessoas.
Como peço a exclusão dos dados do meu filho?: Pela secretaria da escola (controladora) ou diretamente conosco; cumprimos os prazos da LGPD.
Onde ficam os dados?: Em infraestrutura de nuvem dos subprocessadores listados acima, com criptografia em trânsito.

Última atualização: 3 de junho de 2026 · Versão: 1.0 · Dúvidas: seguranca@lumied.com.br