Autenticação
Sessões opacas, scrypt, rate limit e MFA TOTP disponível
Luma Ultra Trust Center
Segurança, privacidade e continuidade
Estado público dos controles técnicos. Certificações, RLS, SSO ou objetivos operacionais não são apresentados como concluídos sem evidência correspondente.
Controles
Autorização
RBAC server-side e inventário automático de superfícies
Isolamento
Tenant-scoped com grants explícitos entre matriz e filiais; PostgreSQL RLS validado localmente
Auditoria
Append-only, hash encadeado, papel congelado e alertas de negação
Secure SDLC
Hooks Git locais bloqueantes: tipos, lint, testes, SAST/secret scan, SBOM e dependências
Continuidade
Backups verificados; RPO/RTO só declarados após restore drill medido
Acesso de suporte
Não existe acesso global permanente. O suporte exige solicitação explícita, aprovação maker-checker, prazo máximo, escopo concedido e auditoria; por padrão, é somente leitura.
Readiness enterprise
MFA está disponível. SSO OIDC/SAML, SCIM, SIEM externo, pentest independente e eventual certificação permanecem condicionados ao provedor e ao contrato do cliente; não estão sendo alegados como ativos.
Sub-processadores
O núcleo local não envia dados clínicos a sub-processadores por padrão. Serviços de hosting, identidade, e-mail, observabilidade ou armazenamento devem ser registrados em contrato e publicados aqui antes da ativação em produção.