Política de Privacidade
1. Responsável pelo Tratamento
O tratamento de dados pessoais no Luma é realizado por Meu Luma, inscrita no CNPJ sob o nº 67.734.127/0001-05.
2. Encarregado de Dados (DPO)
O Encarregado de Dados (DPO) do Luma pode ser contactado pelo e-mail: privacidade@meuluma.com.br. Respondemos às solicitações em até 15 dias úteis.
3. Dados Coletados
Coletamos os seguintes dados pessoais: • E-mail e senha — para autenticação na conta • Login com Google (OAuth) — ao entrar com sua conta Google, coletamos seu nome de exibição, endereço de e-mail e identificador único da conta Google • Login com Apple (Sign in with Apple) — ao entrar com sua conta Apple, coletamos seu nome (quando você opta por compartilhá-lo), e-mail e identificador único da conta Apple • Nome materno — para personalização da experiência • Semanas pós-parto e informação sobre amamentação — para adequar as triagens ao seu momento • Nome e data de nascimento do filho(a) — para vinculação ao perfil • Foto de perfil da mãe e do bebê (opcional) — quando você escolhe adicioná-las • Respostas de triagem de sintomas e scores de saúde emocional (EPDS e burnout parental) — para orientação de saúde (dados sensíveis) • Token de sessão — para segurança da autenticação
4. Base Legal por Finalidade
O tratamento de cada dado tem a seguinte base legal na LGPD (Lei nº 13.709/2018): • E-mail e senha → Execução contratual (Art. 7º, V) • Login com Google (OAuth) → Execução contratual (Art. 7º, V) • Login com Apple → Execução contratual (Art. 7º, V) • Nome materno → Consentimento (Art. 7º, I) • Semanas pós-parto e amamentação → Consentimento (Art. 7º, I) • Nome e data de nascimento do filho(a) → Consentimento (Art. 7º, I) • Foto de perfil → Consentimento (Art. 7º, I) • Respostas de triagem e scores de saúde emocional → Consentimento explícito — dado sensível (Art. 11, I) • Token de sessão → Legítimo interesse em segurança (Art. 7º, IX)
5. Dados Sensíveis e Decisão Automatizada
Os dados de saúde materna (rastreio emocional, EPDS) e pediátrica (triagem de sintomas) são classificados como dados sensíveis nos termos do Art. 11 da LGPD. O tratamento desses dados tem como única base legal o consentimento explícito da titular. Os algoritmos de triagem do Luma são baseados em diretrizes científicas publicadas e revisadas por especialistas. A decisão clínica final é sempre do profissional de saúde — o aplicativo orienta e informa, mas não diagnostica. Nos termos do Art. 20 da LGPD, você tem direito de solicitar revisão de qualquer resultado gerado de forma automatizada que afete seus interesses. Entre em contato pelo e-mail do DPO para exercer esse direito.
6. Compartilhamento de Dados
Seus dados pessoais não são vendidos, alugados ou compartilhados com terceiros para fins comerciais. Os processadores técnicos que recebem dados são: • Supabase — fornecedora de infraestrutura de banco de dados, autenticação e armazenamento de arquivos. Não tem permissão contratual de usar seus dados para finalidades próprias. • RevenueCat — gestão de assinaturas; recebe um identificador da sua conta e o status da assinatura junto à App Store/Google Play. Não recebe dados de saúde. • Sentry — monitoramento de erros técnicos (armazenado na União Europeia); quando o aplicativo apresenta uma falha, recebe o relatório técnico do erro, o modelo do aparelho e um identificador anônimo da conta. Não recebe dados de saúde, nome ou e-mail.
7. Transferência Internacional de Dados
A Supabase Inc. é uma empresa com sede nos Estados Unidos da América. A infraestrutura técnica que armazena os dados do Luma está localizada na região AWS sa-east-1 (São Paulo, Brasil), mantendo os dados fisicamente no território nacional. Por ser operada por empresa americana, a relação com a Supabase Inc. é caracterizada como transferência internacional de dados nos termos da LGPD. Essa transferência é realizada com base em cláusulas contratuais padrão que garantem nível adequado de proteção aos dados.
8. Retenção de Dados
Seus dados são mantidos enquanto sua conta estiver ativa. Após a solicitação de exclusão de conta, os dados são removidos em até 30 dias úteis. Dados necessários para cumprimento de obrigações legais podem ser retidos pelo prazo exigido por lei.
9. Seus Direitos (Art. 18 e Art. 20 da LGPD)
Como titular de dados, nos termos do Art. 18 da LGPD, você tem os seguintes direitos: (I) Confirmação da existência de tratamento dos seus dados; (II) Acesso aos dados tratados; (III) Correção de dados incompletos, inexatos ou desatualizados; (IV) Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei; (V) Portabilidade dos dados a outro fornecedor de serviço; (VI) Eliminação dos dados tratados com base em consentimento; (VII) Informação sobre as entidades com as quais seus dados foram compartilhados; (VIII) Informação sobre a possibilidade de não fornecer consentimento e as consequências da recusa; (IX) Revogação do consentimento a qualquer momento. Nos termos do Art. 20 da LGPD, você também tem direito à revisão de decisões geradas exclusivamente por tratamento automatizado — ver seção 5.
10. Como Exercer seus Direitos
Para exercer seus direitos — incluindo a exclusão da sua conta ou de dados específicos — envie um e-mail para privacidade@meuluma.com.br a partir do e-mail cadastrado na sua conta. Respondemos em até 15 dias úteis. Veja o passo a passo da exclusão de conta e dados em: meuluma.com.br/excluir-conta
11. Segurança dos Dados
Adotamos as seguintes medidas de segurança: • Controle de acesso por linha (Row-Level Security) no banco de dados Supabase — cada usuária acessa apenas seus próprios dados • Token de sessão armazenado no keychain do iOS / keystore do Android via expo-secure-store • Nenhum dado de saúde armazenado localmente no dispositivo • Comunicação criptografada via HTTPS/TLS
12. Armazenamento Local
O aplicativo armazena localmente o token de sessão de autenticação (via expo-secure-store, equivalente ao keychain do iOS e keystore do Android) e preferências de uso do aplicativo, como flags de onboarding concluído, preferência de biometria e lembretes já lidos. Nenhum dado de saúde ou dado pessoal sensível é armazenado no dispositivo. Não utilizamos cookies de rastreamento.
13. Alterações desta Política
Esta Política de Privacidade pode ser atualizada periodicamente. Alterações que afetem materialmente o tratamento dos seus dados serão comunicadas com pelo menos 30 dias de antecedência por e-mail ou notificação push, e exigirão novo consentimento.