Política de seguridad de la información

Última actualización: Febrero de 2026
Vigencia: Esta política cumple con la LGPD (Ley n.º 13.709/2018) y con las buenas prácticas de seguridad de la información.

1. Objetivo

Esta Política de Seguridad de la Información tiene como objetivo establecer directrices, responsabilidades y controles que garanticen la confidencialidad, integridad y disponibilidad de la información gestionada por Lumni Educação, y protejan los datos de clientes, colaboradores y socios frente a accesos no autorizados, pérdidas, filtraciones e incidentes de seguridad.

2. Alcance

Esta política se aplica a:

• Todos los colaboradores, pasantes y proveedores de servicios de Lumni Educação
• Todos los sistemas, plataformas y aplicaciones desarrollados o operados por Lumni
• Datos de clientes (escuelas y gestores) almacenados en nuestros sistemas
• Infraestructura de TI, incluidos servidores, bases de datos y servicios en la nube
• Integraciones con servicios de terceros (Google, Meta, WhatsApp, etc.)

3. Principios de seguridad

La seguridad de la información en Lumni se basa en tres pilares fundamentales:

4. Control de acceso

4.1. Principio de privilegio mínimo

Cada colaborador o sistema recibe únicamente los permisos estrictamente necesarios para desempeñar sus funciones. Los accesos se revisan periódicamente y se revocan de inmediato cuando termina la relación.

4.2. Autenticación

• Contraseñas con al menos 12 caracteres, combinando letras, números y símbolos
• Autenticación de dos factores (2FA) obligatoria para acceder a sistemas críticos
• Tokens JWT con vencimiento de 8 horas para sesiones autenticadas
• Bloqueo automático después de intentos de acceso inválidos consecutivos

4.3. Gestión de credenciales

• Las credenciales de producción nunca se almacenan en el código fuente ni en repositorios
• Uso obligatorio de variables de entorno para secretos y claves API
• Rotación periódica de contraseñas y llaves de acceso
• Prohibición de compartir credenciales entre colaboradores

5. Seguridad de la infraestructura

5.1. Comunicación y transmisión de datos

• Todo el tráfico está cifrado a través de TLS 1.2+ (HTTPS obligatorio)
• Certificados SSL gestionados y renovados automáticamente
• Redirección forzada de HTTP a HTTPS en todos los endpoints
• Encabezados de seguridad HTTP configurados (HSTS, CSP, X-Frame-Options)

5.2. Base de datos

• Datos almacenados en bases de datos PostgreSQL alojadas en proveedores certificados
• Acceso a la base de datos restringido por IP y con credenciales específicas para cada servicio
• Datos sensibles (contraseñas) almacenados con hash bcrypt
• Separación de bases de datos por contexto (datos principales, centro de ayuda, radar)

5.3. Protección contra ataques

• Limitación de solicitudes: límite por IP para prevenir abusos y DDoS
• CORS: control de los orígenes permitidos para solicitudes cross-origin
• Inyección SQL: uso de ORM con consultas parametrizadas
• XSS: sanitización de entradas y salidas en todos los formularios
• CSRF: tokens de protección en operaciones de escritura

6. Respaldo y recuperación

7. Desarrollo seguro

Lumni adopta prácticas de desarrollo seguro (Secure SDLC) en todos sus productos:

• Revisión obligatoria del código antes de su despliegue en producción
• Dependencias de terceros verificadas y actualizadas periódicamente
• Entornos de desarrollo, pruebas y producción estrictamente separados
• Secretos y ajustes gestionados por variables de entorno (nunca en código)
• Registros de auditoría para operaciones críticas (acceso, modificación y eliminación de datos)
• Pruebas de seguridad integradas en el proceso de desarrollo

8. Gestión de incidentes

8.1. Clasificación de incidentes

8.2. Notificación de incidentes

En caso de un incidente que involucre datos personales de clientes, Lumni se compromete a:

• Notificar a la ANPD (Autoridad Nacional de Protección de Datos) en un plazo máximo de 72 horas después de confirmar el incidente, según lo exige la LGPD
• Comunicar a los titulares afectados cuando el incidente pueda causar riesgos o daños relevantes
• Documentar el incidente, sus causas, sus impactos y las medidas correctivas adoptadas

9. Terceros y proveedores

Lumni utiliza servicios de terceros que se someten a una evaluación de seguridad antes de su contratación:

Todos los proveedores están contratados con cláusulas de protección de datos y están sujetos a acuerdos de procesamiento de datos (DPA) cuando proceda.

10. Responsabilidades

10.1. Lumni Educação

• Mantener y actualizar esta política periódicamente
• Implementar y supervisar los controles de seguridad descritos anteriormente
• Capacitar a los colaboradores en buenas prácticas de seguridad
• Responder a los incidentes y notificar a los afectados de conformidad con la ley
• Garantizar que los proveedores cumplan las normas de seguridad adecuadas

10.2. Clientes (escuelas y gestores)

• Mantener la confidencialidad de sus credenciales de acceso y no compartirlas
• Notificar inmediatamente a Lumni ante la sospecha de un acceso no autorizado
• Utilizar contraseñas seguras y activar la autenticación de dos factores cuando esté disponible
• No utilizar los sistemas de Lumni para fines ilícitos o no autorizados

11. Conformidad jurídica

Esta política se ajusta a las siguientes normas y leyes:

12. Reporte de vulnerabilidades

13. Cambios en esta política

Esta política se puede actualizar periódicamente para reflejar los cambios en nuestros sistemas, prácticas u obligaciones legales. La última versión siempre estará disponible en esta página, con la última fecha de actualización indicada en la parte superior.

14. Contacto