Dossier de seguridad. Hechos, no promesas.

1. Finalidad y naturaleza del dossier

El dossier reúne en un solo lugar las respuestas a las preguntas que una empresa o su asesor plantea antes de elegir una aplicación: dónde están los datos, quién tiene acceso a ellos, cómo se protegen y qué ocurre en caso de avería. El servicio lo presta MIVARE GROUP PROSTA SPÓŁKA AKCYJNA, con domicilio social en Krasnobród, KRS 0001268091, NIP 9223092251, REGON 545767254, que opera bajo la marca Mivare Sites, en adelante «Mivare».

El dossier tiene carácter meramente informativo y no crea obligaciones que vayan más allá de los documentos contractuales. Son vinculantes las Condiciones del servicio Mivare Sites (MWS-LEG-001), el Contrato de encargo del tratamiento de datos personales de Mivare Sites (MWS-LEG-003, en adelante el «DPA») y el Nivel de servicio de Mivare Sites (MWS-LEG-005, en adelante el «SLA»). En caso de discrepancia, prevalecen dichos documentos. El dossier describe únicamente las medidas de seguridad que se aplican efectivamente; cuando algo no está implantado, lo indica expresamente.

2. Dónde están los datos

• La Aplicación y su base de datos funcionan en un servidor de Contabo GmbH, en un centro de datos de la Unión Europea.
• Los archivos (fotografías, adjuntos) se almacenan en un almacén de archivos privado (Object Storage) en la Unión Europea, por separado para cada cuenta de empresa.
• Las copias de seguridad se almacenan en la Unión Europea, en un almacén independiente, separado del servidor de la Aplicación y del almacén de archivos.
• Los datos encargados no se transfieren fuera del Espacio Económico Europeo.

La lista completa de subencargados (Contabo, OVH, Mistral AI), con el alcance de su acceso a los datos, figura en la sección 8 del DPA. Informamos con antelación al administrador de la cuenta, por correo electrónico, de la incorporación o sustitución prevista de un subencargado, y la empresa puede oponerse en el plazo de 14 días.

3. Separación de los datos de las empresas

Los datos de cada cuenta de empresa están separados lógicamente de los datos de las demás empresas a nivel de aplicación y de base de datos. Los archivos se guardan por separado para cada cuenta y solo son accesibles a través de la Aplicación, previa comprobación de los permisos. No combinamos los datos de distintas empresas, no los vendemos y no los utilizamos para la elaboración de perfiles ni para entrenar modelos de inteligencia artificial.

4. Inicio de sesión y acceso de los usuarios

• Las contraseñas se almacenan exclusivamente en forma de hash con el algoritmo Argon2id; la Aplicación comprueba la robustez de la contraseña y rechaza las contraseñas ampliamente conocidas.
• La autenticación de dos factores (TOTP) está disponible para todos los usuarios, y el administrador de la cuenta puede exigirla a todos ellos.
• El número de intentos de inicio de sesión está limitado y, tras intentos fallidos, la cuenta se bloquea.
• Las sesiones inactivas caducan automáticamente.
• El administrador de la cuenta concede y retira el acceso y determina los permisos de cada usuario.
• Las acciones realizadas en la Aplicación quedan anotadas en el registro de actividad, que el administrador conserva durante el período que elija, de 30 a 180 días.

5. Protección de los datos en la Aplicación

Estado de las medidas de seguridad en la fecha de entrada en vigor del dossier:

• cifrado de las conexiones mediante el protocolo TLS: implantado;
• cifrado de los archivos por la Aplicación antes de su grabación en el almacén de archivos, con descifrado únicamente en el momento de la descarga por un usuario autorizado: implantado;
• análisis de cada archivo cargado con software antivirus antes de su almacenamiento: implantado;
• funciones públicas de la Aplicación accesibles únicamente mediante enlaces con una clave aleatoria y un plazo de validez, almacenada en la base de datos exclusivamente en forma de hash: implantadas;
• cifrado de las copias de seguridad antes de su grabación, con la clave conservada fuera del servidor y fuera del lugar de almacenamiento de las copias: implantado;
• actualizaciones y parches de seguridad: implantados;
• procedimiento de gestión de incidentes de seguridad: implantado;
• cifrado de la base de datos en el disco del servidor: no implantado, previsto. Hasta su implantación, los datos de la base de datos están protegidos mediante el control de acceso, el principio de privilegio mínimo y el registro de eventos.

No disponemos de certificaciones ISO ni SOC y no declaramos la conformidad con dichas normas.

6. Acceso del personal de Mivare

Solo tienen acceso a los datos personas autorizadas que se han comprometido a respetar la confidencialidad. El acceso a los datos de una cuenta de empresa concreta se produce únicamente en la medida necesaria para atender una solicitud del administrador de la cuenta, resolver una avería o garantizar la seguridad. Las cuentas administrativas de Mivare están protegidas mediante autenticación de dos factores y funcionan según el principio de privilegio mínimo.

7. Copias de seguridad y continuidad del servicio

• Una copia de la base de datos cada hora, conservada durante 7 días.
• Una copia completa de la base de datos una vez al día, conservada durante 3 días.
• Una copia continua de los archivos, en la que un archivo eliminado permanece como máximo 30 días.
• Pruebas periódicas de restauración de los datos.

El servicio se presta en la modalidad de mejores esfuerzos (best effort): no declaramos un porcentaje de disponibilidad ni un tiempo máximo de restauración ni un período máximo de pérdida de datos (RTO y RPO). Las interrupciones programadas de más de 15 minutos se anuncian con una antelación mínima de 48 horas. Los detalles, incluidas las prioridades de las solicitudes y los objetivos de atención, figuran en el SLA.

8. La asistente Mivi

La asistente Mivi está desactivada por defecto. El administrador de la cuenta la activa para toda la empresa y, a continuación, cada usuario decide por sí mismo si la utiliza. Las consultas las atiende Mistral AI en la Unión Europea, sin utilización de los datos para entrenar modelos; el proveedor conserva las consultas y las respuestas durante un máximo de 30 días únicamente con el fin de detectar abusos.

A la asistente solo se transmiten los datos necesarios para la respuesta a los que tenga acceso el usuario de que se trate. No se transmiten contraseñas, datos de autenticación, datos de tarjetas de pago, números PESEL ni números de documentos de identidad. La desactivación de la asistente detiene de inmediato la transmisión de datos. El alcance completo de los datos se describe en la sección 8 del DPA.

9. Incidentes y violaciones de la seguridad

Notificamos al administrador de la cuenta toda violación de la seguridad de los datos personales sin dilación indebida y, a más tardar, en un plazo de 48 horas desde que tengamos constancia de ella, y facilitamos la información necesaria para notificar la violación a la autoridad de control. Informamos a los administradores de las cuentas de toda avería que afecte a varios clientes y, una vez resuelta, indicamos su causa y las medidas adoptadas.

10. Los datos tras la finalización del contrato

La empresa puede descargar en cualquier momento una copia de sus datos mediante la función de exportación de la Aplicación (archivo ZIP con ficheros CSV y los archivos adjuntos). Tras la finalización del contrato, conservamos los datos durante 30 días para permitir su exportación o la reanudación del servicio y, a continuación, los suprimimos, a más tardar 60 días después de la finalización del contrato. Los datos contenidos en las copias de seguridad desaparecen en el ciclo de rotación, a más tardar 30 días después de su supresión de la Aplicación. A petición, confirmamos la supresión.

11. Preguntas y auditoría

Respondemos a las preguntas sobre la Aplicación, las medidas de seguridad y los subencargados en un plazo de 14 días; pueden enviarse a la dirección hello@mivaregroup.com. Si las respuestas no son suficientes, la empresa o un auditor independiente sujeto a una obligación de confidencialidad puede realizar una auditoría en los términos de la sección 13 del DPA, como máximo una vez cada 12 meses, salvo en el caso de una auditoría tras una violación de la seguridad de los datos personales.

Solicitudes técnicas y averías: support@mivaresites.com. No deben incluirse en la solicitud contraseñas ni códigos de autenticación.

El dossier está disponible en siete versiones lingüísticas; en caso de discrepancia, prevalecerá la versión polaca. La versión vigente está disponible en https://mivaregroup.com/es/legal/sites/security/

El dossier está vigente desde el 30 de octubre de 2026.