1. Responsável e escopo
Lumi é um serviço independente para estudantes. Não é produto oficial, afiliado, patrocinado ou aprovado pela PUCPR, Instructure/Canvas ou OpenAI/ChatGPT. O responsável pelo tratamento realizado pelo Lumi pode ser contatado pelo endereço informado na seção 10.
Esta política abrange o site lumistudent.com.br, a extensão de navegador, a conta, a biblioteca, o calendário e as funcionalidades de inteligência artificial que estiverem disponíveis. O tratamento varia conforme os recursos utilizados; criar uma conta não significa ativar todos eles.
2. Dados tratados
2.1 Conta e autenticação
Para criar ou acessar sua conta, utilizamos identificador de usuário, nome de exibição, e-mail, provedor de autenticação e dados técnicos da sessão. O Supabase Auth realiza a autenticação. O provedor social, se escolhido e habilitado, também trata os dados necessários à autenticação.
2.1.1 Dados do Google
No login Google, o Supabase Auth utiliza escopos básicos de identidade (openid, email e profile). O acesso opcional ao Google Agenda é uma integração separada, solicitada quando o aluno decide conectar o calendário; não é autorizado automaticamente pelo login Google.
2.2 Canvas/AVA
A extensão lê, na sessão acadêmica aberta pelo aluno, dados necessários aos recursos escolhidos, como identificadores, nomes e metadados de disciplinas, módulos, arquivos, tarefas, calendário e, quando habilitado, notas. Parte desses metadados pode ser sincronizada com a conta em nuvem. Informações de terceiros que constem dos materiais também podem estar presentes.
No site, o envio manual de PDFs e o acesso à biblioteca funcionam diretamente no navegador. A leitura do Canvas utiliza uma conexão opcional com a extensão Lumi instalada e com a sessão do AVA aberta pelo aluno. Essa conexão permite leituras acadêmicas específicas; não transmite cookies nem chaves de API do navegador ao site. Para integrar o Google Agenda por essa conexão, é necessário utilizar a mesma conta Lumi na extensão.
2.3 Geração por IA e conversas
O LUMI pode transmitir conteúdo extraído de PDFs, trechos escolhidos, perguntas e contexto de estudo a provedores de modelos de IA configurados para executar o pedido. Na geração hospedada, registros de solicitação e uso são guardados para execução, diagnóstico e controle de consumo. No chat contextual do material, podem ser armazenados perguntas, respostas, referências, modelos utilizados e histórico vinculados à conta. O conteúdo e a retenção sob responsabilidade do provedor externo seguem as condições do serviço e da rota efetivamente escolhidos.
Nas rotas de geração textual Azure e OpenRouter, o servidor extrai o texto do PDF e envia esse texto ao modelo. Outras integrações com suporte nativo a arquivos podem receber o próprio PDF. A seleção de fluxo e de complementos também compõe o pedido. Para recuperar uma geração interrompida sem repetir a chamada à IA, o backend pode guardar temporariamente a resposta estruturada do modelo, que pode reproduzir trechos do material enviado.
Na modalidade que abre o ChatGPT externo, a pessoa revisa e envia a mensagem naquele serviço. Nesse caso, o tratamento feito pelo ChatGPT segue também os termos e configurações da conta do próprio usuário; a experiência é diferente do chat hospedado do LUMI.
2.4 Biblioteca em nuvem
O banco e o armazenamento privado podem conter títulos, disciplinas, tópicos, módulos, favoritos, referências a fontes, versões e materiais HTML. Recursos de publicação/comunidade, quando utilizados, podem disponibilizar a terceiros os conteúdos que o usuário optar por publicar, de acordo com o alcance escolhido.
2.5 Calendário, dados locais e diagnósticos
Se o aluno conectar o Google Agenda, o LUMI pode ler informações necessárias ao vínculo e criar ou atualizar eventos de estudo mediante escolha do usuário. A sessão, preferências de fluxo e complementos, arquivos importados manualmente e caches também podem ficar no Chrome Storage, localStorage, sessionStorage ou IndexedDB. Atualizações de nome e de formato mantêm compatibilidade com dados anteriores e não apagam automaticamente esses conteúdos. Diagnósticos podem incluir identificadores de solicitação, tempos, contagem de tokens e códigos de erro; a métrica de duração não precisa do texto do PDF. Não envie segredos ou dados sensíveis por suporte.
2.6 Planos e pagamentos
Quando a cobrança estiver habilitada e for utilizada, o LUMI e o intermediador de pagamentos poderão tratar dados cadastrais e de cobrança, como nome, documento fiscal (CPF/CNPJ), identificadores de pedido, valores e estado de pagamento. A disponibilidade do checkout depende da versão e da configuração do serviço.
3. Finalidades e fundamentos jurídicos
- Prestação do serviço: autenticação, biblioteca, geração de estudo e sincronização solicitadas pelo usuário, conforme a hipótese de execução de contrato ou procedimentos preliminares (art. 7º, V, LGPD), quando adequada ao tratamento concreto.
- Obrigações legais: dados mínimos de faturamento, registros obrigatórios e resposta a requisições legais, quando cabível (art. 7º, II).
- Segurança e prevenção a fraudes: registros técnicos e controles de acesso mínimos, sujeitos à avaliação de necessidade, equilíbrio e fundamento aplicável, inclusive legítimo interesse quando justificável (art. 7º, IX).
- Funções opcionais: conexão do Google Agenda, publicação voluntária de materiais e outras escolhas independentes exigem informação clara e autorização apropriada para cada operação; consentimento LGPD, se utilizado como base, poderá ser revogado.
Uma mesma funcionalidade pode envolver operações e fundamentos distintos. Dados eventualmente sensíveis ou de terceiros identificados dentro dos arquivos exigem avaliação específica antes do processamento; não assumimos que uma autorização geral resolve todos os casos.
O Lumi não vende dados pessoais e não usa os dados para publicidade comportamental.
4. Serviços externos
- Supabase: autenticação, banco de dados, armazenamento de materiais e arquivos temporários da geração hospedada.
- Google: login social e, se conectado separadamente, Google Agenda; o segundo acesso depende de permissão específica.
- Canvas/AVA: origem dos dados acadêmicos que o usuário acessa na sua conta.
- Serviços de IA: o provedor efetivamente configurado para a geração ou chat pode receber texto, PDF ou contexto necessário. As integrações incluem Microsoft Azure AI, Google/Gemini, Groq e OpenRouter, que encaminha solicitações a provedores de modelos. A lista e as rotas podem variar. O ChatGPT externo segue a escolha do usuário.
- Asaas: potencial processador de pagamentos quando o checkout for disponibilizado.
- Cloudflare: hospedagem e distribuição do site público, segurança e registros técnicos de acesso e desempenho.
- Vercel: quando utilizada, hospedagem de páginas públicas e registros técnicos de acesso.
Na geração hospedada via OpenRouter, o Lumi solicita rotas que recusem coleta de conteúdo e exijam ausência de retenção pelo provedor final, sem troca automática de provedor nessa chamada. Essas restrições podem tornar uma rota indisponível. Elas não eliminam os registros técnicos de uso nem o armazenamento feito pelo próprio Lumi. Configurações da conta OpenRouter e condições de cada modelo precisam ser verificadas; não fazemos uma promessa geral sobre todos os modelos gratuitos ou em prévia. Consulte a documentação de coleta de dados e a documentação de retenção do OpenRouter.
Para modelos vendidos pelo Azure, a Microsoft informa que entradas e saídas não são usadas para treinar modelos generativos sem permissão ou instrução do cliente. Isso não significa ausência de todo armazenamento: monitoramento de abuso e recursos específicos podem ter tratamento próprio. Não foi confirmada uma isenção de monitoramento para a conta utilizada pelo Lumi nem uma garantia geral de processamento no Brasil. Consulte a documentação de privacidade do Azure.
Fornecedores podem processar informações em outros países. A transferência internacional exige finalidade informada, fundamento legal e mecanismo jurídico adequado; os países, rotas e cláusulas contratuais de cada prestador devem ser verificados antes de afirmar garantias específicas. Dados de conta e materiais não são vendidos para publicidade comportamental.
A configuração atual de geração do modelo Luna pelo OpenRouter seleciona o endpoint Azure US, que processa solicitações nos Estados Unidos. Essa escolha mantém as restrições de dados e de preço e integra o tratamento internacional descrito nesta política. A região do deployment Azure usado diretamente pode ser diferente.
5. Retenção, controle e exclusão
Dados locais ficam no perfil do navegador até a limpeza aplicável. A biblioteca mantém conteúdos associados à conta até exclusão ou outra finalidade legítima de conservação. Arquivos enviados para geração hospedada são temporários por finalidade: a aplicação tenta apagá-los ao encerrar a tarefa, e o sistema possui uma rotina administrativa de limpeza de fontes órfãs com execução separada, ainda dependente de operação/configuração. Não declaramos um prazo máximo geral verificado para essa limpeza.
As respostas estruturadas guardadas para recuperação têm uma janela de acesso de 24 horas no contrato do servidor. Após a expiração, uma rotina remove o conteúdo dessas respostas; em 14/10/2026, a rotina estava ativa, com execução bem-sucedida e sem conteúdo vencido pendente na consulta. Sua execução precisa continuar sendo monitorada, e a expiração de acesso não comprova eliminação física naquele mesmo instante. Identificadores, hashes e registros técnicos de execução podem permanecer. Essa janela não se aplica ao material já salvo na biblioteca, aos históricos de chat, aos backups ou a cópias de teste mantidas em ambiente local restrito.
Os históricos de chat, registros de geração, lançamentos de uso e cobrança podem ter ciclos de retenção diferentes. A exclusão visual de uma conversa pode ocultar dados sem removê-los imediatamente do banco. Cópias de segurança e registros que devam ser preservados por obrigação legal podem permanecer pelo período aplicável. O LUMI precisa concluir a definição e verificação operacional dos prazos por categoria antes de prometer exclusão definitiva automática.
6. Seus direitos e como solicitar
Conforme a LGPD, você pode solicitar confirmação de tratamento, acesso, correção, informações sobre uso e compartilhamento, anonimização, bloqueio ou eliminação quando aplicável, portabilidade nos termos regulatórios e revisão/informações nas hipóteses legais. Também pode se opor a tratamentos irregulares e revogar consentimentos quando esta for a base utilizada. Alguns pedidos dependem de verificação de identidade e podem ter limites legais de conservação.
Envie um e-mail para caio.ghinzelli@gmail.com com assunto LUMI — Solicitação LGPD, o e-mail vinculado à conta e o tipo de pedido (acesso, correção, exportação, exclusão, oposição ou dúvidas). Para sua segurança, não envie senha, tokens, PDFs, documentos pessoais nem dados financeiros no primeiro contato. Podemos verificar a titularidade pelo canal associado à conta antes de agir.
Pedidos são analisados conforme os prazos e condições legais vigentes. Quando um pedido não puder ser integralmente atendido, informaremos a justificativa cabível e, se pertinente, os dados retidos por dever legal.
7. Segurança
Utilizamos autenticação, regras de acesso por usuário e buckets privados em fluxos hospedados. A segurança depende também da configuração correta dos prestadores, das permissões da extensão e de testes regulares. Estudos HTML são exibidos em ambiente isolado.
Nenhum sistema é infalível. Em caso de suspeita de incidente, interrompa o uso, encerre a sessão e entre em contato pelo canal de suporte.
8. Crianças e adolescentes
O produto foi concebido para universitários. Se houver acesso de menores, o tratamento e o desenho dos recursos devem observar o melhor interesse, as regras específicas da LGPD e a legislação de proteção de crianças e adolescentes. A implementação de medidas de idade e consentimento compatíveis com esse público ainda exige avaliação adicional.
9. Alterações
Esta política pode ser atualizada quando as funcionalidades ou obrigações aplicáveis mudarem. A data da versão vigente será indicada no topo da página.
10. Contato
Solicitações sobre privacidade, suporte ou exclusão de conta podem ser enviadas para caio.ghinzelli@gmail.com.