Política de dados

Para a operação da Lumo: inventário, bases legais, retenção, operadores, incidente e encarregado. Rascunho até revisão jurídica.

1. Papéis

• Controladora: Lumo, para os dados da plataforma (cadastro, verificação, risco, auditoria).
• Controlador: cada locador, para os dados do próprio contrato de locação (termos, cobrança, vistoria, multa).
• Operadores: Didit, Google (Gemini, Cloud Storage), Resend, FusionAuth (infraestrutura própria), Nukk.
• Encarregado (DPO): privacidade@lumobr.com.br. Responde a titulares e à ANPD.

2. Inventário de dados pessoais

3. Bases legais por tratamento

1. Identificação e contrato (cadastro, CNH, endereço, locação, cobrança): execução de contrato, art. 7º, V.
2. Identificação do condutor em infração: obrigação legal (Código de Trânsito), art. 7º, II.
3. Prevenção à fraude (busca facial 1:N, duplicidade de documento, restrição interna): legítimo interesse, art. 7º, IX. Teste de balanceamento: finalidade legítima e concreta (fraude de identidade em locação de veículo), necessidade (não há meio menos invasivo para detectar o mesmo rosto sob outro CPF), expectativa do titular (informada no consentimento de biometria e na política), salvaguardas (resultado minimizado, locador não vê imagem, decisão humana).
4. Biometria (prova de vida ativa, comparação de rosto, busca 1:N): consentimento específico e destacado, art. 11, I, colhido em passo próprio do cadastro, com a versão do texto registrada; revogável a qualquer momento.
5. Compartilhamento do dossiê com outro locador: consentimento específico (tipo compartilhar_dossie); o reaproveitamento de verificações entre organizações entrega só o resultado.
6. Comunicações operacionais (convite, senha, fatura): execução de contrato. Marketing: consentimento, tipo comunicacao (não usado hoje).

4. Minimização

• O locador recebe resultado, nunca imagem nem vídeo (documento.visibilidade = plataforma).
• Da Didit guardamos o resultado minimizado em verificacao.evidencia (status, scores, id da sessão), não os dados brutos.
• O Gemini recebe o documento para leitura e a resposta guardada são os campos extraídos com confiança; o conteúdo não é usado para treinar modelos (configuração do fornecedor).
• CPF aparece mascarado nas listas; a chave do arquivo no storage nunca é URL pública.

5. Decisão automatizada (art. 20)

A política de risco é determinística e versionada; os fatores ficam abertos em avaliacao_risco. O agente só sugere; a decisão é humana e registra autor, justificativa comunicável e sobreposição. O titular pede revisão em pedido_titular (tipo revisao_de_decisao).

6. Direitos do titular (art. 18)

Canal: área Meus dados e privacidade@lumobr.com.br. Registro em pedido_titular com prazo de 15 dias (art. 19). Revogação de biometria: atendida na hora (consentimento.revogado_em, pessoa volta a documento, verificações biométricas deixam de valer para reaproveitamento). Eliminação: respeita a retenção por obrigação legal (multas, fiscal, prescrição) e é executada por anonimização quando cabível.

7. Retenção e descarte

Job diário (RetencaoDeDados): cadastro expirado perde dados pessoais e arquivos no storage; cadastro reprovado há mais de 90 dias, idem; tokens de senha e convites vencidos há mais de 90 dias são apagados. Os prazos de 5 anos passam a vencer a partir do encerramento das primeiras locações e entram no mesmo job. Toda eliminação fica em audit_log.

8. Operadores e transferência internacional

9. Incidente de segurança (art. 48)

Registro do incidente (data, dados afetados, titulares, causa, medidas), avaliação de risco pelo encarregado, comunicação à ANPD e aos titulares em prazo razoável quando houver risco ou dano relevante, e ação corretiva registrada em audit_log.

10. Relatório de impacto (RIPD)

A biometria e a busca facial 1:N têm relatório de impacto próprio, guardado em docs/lgpd/ripd-biometria.md no repositório, revisado a cada mudança material no fluxo de verificação.