1. Principios
- Mínimo necesario: pedimos y compartimos solo los datos que cada función requiere.
- Privacidad por diseño: la expectativa de renta nunca se muestra a empresas, la diversidad solo se ve en totales anónimos y las evaluaciones se comparten solo si la persona lo decide.
- Inteligencia en casa: Lumi procesa los datos en nuestros servidores, sin enviarlos a servicios externos de inteligencia artificial.
- Trazabilidad: las acciones sensibles quedan registradas en una bitácora de auditoría.
2. Cifrado en tránsito
Todo el tráfico usa HTTPS con TLS 1.2 o superior y HSTS (el navegador nunca se conecta sin cifrado). Las cookies de sesión son seguras (Secure, HttpOnly y SameSite) y la sesión va cifrada. Aplicamos una política de seguridad de contenido (CSP) estricta, protección contra clickjacking y permisos de cámara y micrófono solo para nuestras propias funciones.
3. Cifrado de datos y archivos
Los datos personales y confidenciales se cifran en la base de datos con AES-256-GCM: teléfono, RUT de personas, resumen y logros del perfil, respuestas y resultados de evaluaciones, mensajes, notas, documentos firmados, autodeclaraciones de diversidad, transcripciones y credenciales de integraciones, entre otros. Los archivos (CV, certificados, videos) se cifran en disco y se guardan fuera de la carpeta pública del sitio. Las contraseñas se guardan con un hash irreversible (bcrypt): nadie, ni nuestro equipo, puede verlas.
4. Control de acceso
- El equipo interno de Dreamlum entra con contraseña y verificación en dos pasos obligatoria, con roles y permisos mínimos para cada tarea.
- Las empresas administran los roles de su propio equipo (administrador, reclutador, aprobador, jefe de sucursal, solo lectura) y ven solo los datos de sus procesos.
- Ver la ficha de un postulante queda registrado y la persona puede saber qué empresas vieron su perfil.
5. Protección de tu cuenta
- Límite de intentos de ingreso y bloqueo temporal ante intentos repetidos.
- Verificación en dos pasos disponible para todas las cuentas, con una app autenticadora.
- Ingreso con Google, Microsoft, Apple o LinkedIn, que no requiere compartir una contraseña con Dreza.
- Avisos de ingresos nuevos para detectar accesos que no reconozcas.
6. Infraestructura
Dreza funciona en servidores privados dedicados. La base de datos solo acepta conexiones locales, con usuarios y claves distintos por entorno, y el entorno de demostración está separado del real. Los secretos (llaves de cifrado y credenciales) viven solo en el servidor, con permisos restringidos, y nunca en el código.
7. Respaldos y continuidad
Hacemos un respaldo diario de la base de datos y los archivos, cifrado con una llave distinta a la de la aplicación, y lo conservamos durante 14 días. Probamos periódicamente que los respaldos se puedan restaurar y monitoreamos de forma continua el estado del servicio.
8. Proveedores e integraciones
Seleccionamos proveedores con prácticas de seguridad reconocidas y les entregamos solo lo necesario. Las integraciones que configuran las empresas (API y webhooks) usan llaves propias, revocables, y los envíos se firman para que el destino pueda verificar que vienen de Dreza.
9. Respuesta a incidentes
Si ocurre un incidente de seguridad que afecte datos personales, lo contendremos, investigaremos su alcance y notificaremos a las personas afectadas y a la autoridad competente en los plazos que exige la ley, indicando qué ocurrió y qué medidas pueden tomar.
10. Reportar una vulnerabilidad
Si encuentras una posible vulnerabilidad, escríbenos a hola@dreamlum.cl con el asunto «Seguridad». Te pedimos no acceder a datos de otras personas ni afectar el servicio mientras lo revisamos; agradecemos y reconocemos los reportes responsables.