Contrato de encargo del tratamiento. Los datos de la empresa, bajo el control de la empresa.

1. Partes y celebración del contrato

El responsable del tratamiento es el Cliente del servicio Mivare Space, es decir, el empresario que ha registrado una Cuenta de empresa, en adelante el «Responsable».

El encargado del tratamiento es MIVARE GROUP PROSTA SPÓŁKA AKCYJNA, con domicilio social en Krasnobród, KRS 0001268091, NIP 9223092251, REGON 545767254, que opera bajo la marca Mivare Space, en adelante el «Encargado» o «Mivare».

El presente contrato de encargo del tratamiento de datos personales, en adelante el «DPA», es un contrato en el sentido del art. 28.3 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (RGPD). Se celebra en forma electrónica en el momento de la aceptación de las Condiciones del servicio Mivare Space (MSP-LEG-001) al registrar la Cuenta de empresa y está vigente durante la vigencia del Contrato y hasta la conclusión de las actuaciones descritas en la sección 12.

Los términos escritos con mayúscula inicial tienen el significado que se les atribuye en las Condiciones del servicio. En materia de protección de datos personales, el DPA prevalece sobre las Condiciones del servicio.

2. Objeto, naturaleza y finalidad del tratamiento

El Responsable encarga al Encargado el tratamiento de los datos personales introducidos en la Aplicación por el Responsable, los Usuarios y las Personas externas que utilizan las funciones públicas de la Aplicación (los clientes del Responsable, los arquitectos y las personas que actúan por cuenta de los socios B2B), exclusivamente con la finalidad de prestar el servicio Mivare Space.

El tratamiento comprende las operaciones necesarias para prestar el servicio: conservación, organización, estructuración, búsqueda, consulta, modificación y supresión de los datos por instrucción del Responsable, su visualización a los Usuarios y a las Personas externas en la medida configurada por el Responsable, la generación de documentos y resúmenes, el registro de la ubicación del dispositivo al registrar la asistencia, la eliminación de los metadatos de las fotografías subidas, el envío de correos electrónicos a los clientes del Responsable activados por los Usuarios o por la configuración de la Aplicación, la gestión de las funciones públicas de la Aplicación, la elaboración de resúmenes por la asistente Mivi, si la han activado el Administrador de la cuenta y el Usuario, la realización de copias de seguridad y el acceso en el marco del soporte técnico y de la resolución de averías.

El Encargado no trata los datos encargados para fines propios, no los combina con datos de otros clientes, no los vende y no los utiliza para la elaboración de perfiles ni para entrenar modelos de inteligencia artificial.

3. Categorías de interesados y de datos

Categorías de interesados:

• clientes del Responsable: personas físicas, incluidas las que ejercen una actividad empresarial, y personas de contacto de clientes que son empresas;
• empleados y colaboradores del Responsable, incluidos los Usuarios de la Aplicación;
• arquitectos y diseñadores invitados por el Responsable a los proyectos;
• socios B2B del Responsable, sus personas de contacto y los clientes cuyos datos facilita el socio en sus encargos;
• subcontratistas del Responsable y sus personas de contacto;
• personas de contacto de proveedores y otros contratistas del Responsable;
• otras personas cuyos datos introduzca el Responsable en la Aplicación conforme a la finalidad de esta.

Categorías de datos personales:

• datos identificativos y de contacto: nombre y apellidos, denominación de la empresa, dirección, dirección para correspondencia, número de teléfono, dirección de correo electrónico, canal de contacto e idioma preferidos;
• identificadores: NIP, REGON, KRS, número de IVA intracomunitario y, si el Responsable lo introduce, el número PESEL;
• datos de proyectos e inmuebles: direcciones y ubicación de los proyectos, locales y estancias, planos con contornos y marcadores, alcance de los trabajos, planificaciones, tareas, notas, conversaciones, presupuestos, selecciones de materiales y equipamiento junto con sus precios, cambios de alcance, actas de recepción, defectos y garantías;
• fotografías de interiores en las distintas fases de los trabajos, fotografías de variantes y de inspiraciones, fotografías de defectos enviadas por los clientes y otros archivos adjuntados por los Usuarios y las Personas externas;
• decisiones, aceptaciones y comentarios realizados en la Aplicación o en sus funciones públicas;
• datos de la colaboración con socios B2B: encargos, autorizaciones para adoptar decisiones, tarifas y liquidación de comisiones;
• consentimientos y preferencias de comunicación de los clientes del Responsable e historial de contactos;
• datos de empleados y colaboradores: datos de contacto, contacto de emergencia, puesto, competencias, modalidad y período de colaboración, registro de asistencia con la ubicación del dispositivo al inicio y al final del trabajo, partes de horas, tarifas de coste, equipo entregado;
• datos técnicos: dirección IP y marcas de tiempo de las acciones realizadas en la Aplicación o en sus funciones públicas.

La Aplicación no está destinada al tratamiento de categorías especiales de datos personales (art. 9 RGPD) ni de datos relativos a condenas penales (art. 10 RGPD), y el Responsable no los encarga. Si el Encargado constata que se han introducido tales datos, informará de ello al Responsable.

4. Obligaciones del Responsable

El Responsable responde de disponer de una base jurídica para el tratamiento, de la exactitud de los datos introducidos, del cumplimiento de las obligaciones de información frente a los interesados y de la obtención de los consentimientos necesarios para enviar mensajes a través de la Aplicación.

El Responsable decide si aplica el registro de asistencia con la ubicación del dispositivo y respecto de quién, y responde de la conformidad de dicho tratamiento con la legislación laboral, incluida la información a los empleados y colaboradores sobre su finalidad y alcance.

El Responsable decide a qué Personas externas y en qué medida pone a disposición las funciones públicas, en particular teniendo en cuenta que el arquitecto invitado a un proyecto ve sus estancias, planos y fotografías con independencia de la marca «visible para el cliente», y que el socio B2B facilita los datos de sus clientes tras confirmar en la Aplicación que dispone de una base para ello; el Responsable acuerda con el socio las reglas de esta colaboración.

El Responsable configura la Aplicación, incluidos los permisos de los Usuarios, el plazo de conservación del registro de actividad, la exigencia de autenticación de dos factores y las funciones públicas, de forma adecuada al riesgo de su tratamiento.

5. Instrucciones del Responsable

El Encargado trata los datos únicamente siguiendo instrucciones documentadas del Responsable. Constituyen instrucciones: las Condiciones del servicio y el DPA, la configuración de la Aplicación realizada por el Responsable y las acciones de los Usuarios y de las Personas externas en la Aplicación, así como las instrucciones enviadas desde la dirección de correo electrónico del Administrador de la cuenta a la dirección support@mivarespace.com.

El Encargado solo puede tratar los datos sin instrucción del Responsable cuando así lo exija el Derecho de la Unión o de un Estado miembro; en tal caso, informará al Responsable de esa exigencia legal antes de iniciar el tratamiento, salvo que dicho Derecho prohíba tal información.

Si, en opinión del Encargado, una instrucción infringe el RGPD u otras disposiciones en materia de protección de datos, el Encargado informará inmediatamente de ello al Responsable y podrá suspender su ejecución hasta que se aclare la cuestión.

6. Confidencialidad

El Encargado solo permite el acceso a los datos a personas autorizadas que necesiten dicho acceso para prestar el servicio, el soporte técnico o la resolución de averías y que se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de secreto.

El personal del Encargado accede a los datos de una Cuenta de empresa concreta únicamente en la medida necesaria para atender una solicitud del Responsable, resolver una avería o garantizar la seguridad.

7. Seguridad del tratamiento

El Encargado aplica las medidas técnicas y organizativas a que se refiere el art. 32 RGPD, adecuadas al riesgo. Estado de su implantación en la fecha de entrada en vigor del DPA:

• cifrado de la transmisión de datos mediante el protocolo TLS (estado: implantado);
• contraseñas almacenadas exclusivamente en forma de hash con el algoritmo Argon2id, requisitos de robustez de las contraseñas y verificación de contraseñas ampliamente conocidas (estado: implantado);
• autenticación de dos factores (TOTP) disponible para todos los Usuarios, con la posibilidad de que el Responsable la exija; autenticación de dos factores para las cuentas administrativas del Encargado (estado: implantado);
• limitación del número de intentos de inicio de sesión, bloqueo de la cuenta tras intentos fallidos y caducidad automática de las sesiones inactivas (estado: implantado);
• separación lógica de los datos de cada Cuenta de empresa a nivel de aplicación y de base de datos (estado: implantado);
• funciones públicas de la Aplicación accesibles únicamente mediante enlaces con una clave aleatoria y un plazo de validez, almacenada en la base de datos exclusivamente en forma de hash, con verificación adicional mediante datos conocidos por la persona autorizada, límite de intentos y registro de cada apertura (estado: implantado);
• eliminación de los metadatos, incluida la ubicación, de las fotografías subidas (estado: implantado);
• archivos almacenados en un almacén de archivos privado (Object Storage) en la Unión Europea, cifrados por la Aplicación antes de su envío al almacén, guardados por separado para cada cuenta de cliente y accesibles únicamente a través de la Aplicación previa autorización, y la Aplicación descifra el archivo en el momento de la descarga (estado: implantado);
• análisis de cada archivo cargado con software antivirus antes de su almacenamiento (estado: implantado);
• principio de privilegio mínimo para los Usuarios y el personal del Encargado, incluido un permiso específico para los costes y los márgenes (estado: implantado);
• registro de eventos en la Aplicación (registro de actividad) (estado: implantado);
• copias de seguridad automáticas: una copia de la base de datos cada hora, conservada durante 7 días, y una copia diaria completa de la base de datos, conservada durante 3 días, y una copia continua de los archivos, en la que un archivo eliminado permanece como máximo 30 días; las copias se cifran antes de su grabación, la clave necesaria para leerlas se conserva fuera del servidor y fuera del lugar de almacenamiento de las copias, y las propias copias se almacenan en la Unión Europea, en un contenedor de Object Storage independiente, separado del servidor de la Aplicación y del almacén de archivos; pruebas periódicas de restauración (estado: implantado);
• instalación de actualizaciones y parches de seguridad (estado: implantado);
• procedimiento de gestión de incidentes de seguridad (estado: implantado);
• cifrado de la base de datos en el disco del servidor (estado: no implantado, previsto); hasta su implantación, la protección de los datos de la base de datos se garantiza mediante el control de acceso, el principio de privilegio mínimo y el registro de eventos; los archivos y las copias de seguridad se cifran conforme a los puntos anteriores.

El Encargado no declara certificaciones ISO ni SOC. El Encargado puede modificar las medidas de seguridad, siempre que el cambio no reduzca el nivel general de protección.

8. Subencargo

El Responsable otorga al Encargado una autorización general para subencargar el tratamiento de los datos a subencargados. En la fecha de entrada en vigor del DPA, el Encargado recurre a los siguientes subencargados:

• Contabo GmbH (Alemania, Múnich): servidor en el que funciona la Aplicación junto con la base de datos, almacén de archivos y almacén de copias de seguridad (Object Storage); centros de datos en la Unión Europea; acceso a todas las categorías de datos en el marco de la prestación de servicios de infraestructura; los archivos del almacén de archivos y las copias de seguridad son cifrados por el Encargado antes de su grabación; sin transferencia fuera del Espacio Económico Europeo.
• OVH Sp. z o.o. (grupo OVHcloud): envío de correo electrónico desde la Aplicación, así como dominios y sitios web de Mivare; centros de datos en la Unión Europea; acceso a los datos contenidos en los mensajes de correo electrónico enviados desde la Aplicación, exclusivamente a efectos de su entrega; sin transferencia fuera del Espacio Económico Europeo.
• Mistral AI SAS (Francia, París): elaboración de los resúmenes, las respuestas y los borradores de documentos de la asistente Mivi, únicamente en las Cuentas de empresa en las que la haya activado el Administrador de la cuenta y para los Usuarios que la hayan activado; tratamiento y conservación en la Unión Europea, sin utilización de los datos para entrenar modelos; las consultas y las respuestas se conservan durante un máximo de 30 días únicamente con el fin de detectar abusos y, transcurrido ese plazo, se eliminan; acceso a los datos transmitidos en la consulta; sin transferencia de datos fuera del Espacio Económico Europeo.

La asistente Mivi está desactivada por defecto. Al activarla para la Cuenta de empresa, el Administrador de la cuenta actúa en nombre del Responsable y presta el consentimiento de este a la intervención de Mistral AI como subencargado en lo que respecta a esta función; a continuación, cada Usuario la activa o la desactiva por sí mismo para su propia cuenta. El Encargado transmite a Mistral AI exclusivamente los datos necesarios para elaborar el resumen o la respuesta destinados al Usuario que haya activado la asistente (entradas del registro de actividad y fragmentos de registros a los que dicho Usuario tenga acceso en la Aplicación) y no transmite contraseñas, datos de autenticación, datos de tarjetas de pago, números PESEL ni números de documentos de identidad. En el módulo Mivi+, este ámbito comprende también el contenido de los documentos y registros con los que el Usuario trabaja con la asistente, así como el historial de sus conversaciones con la asistente, que el Encargado conserva en la Aplicación durante 90 días, salvo que el Usuario lo elimine antes; las exclusiones establecidas en la frase anterior se aplican sin cambios. La desactivación de la asistente por el Administrador de la cuenta o por el Usuario detiene de inmediato la transmisión de datos en este ámbito.

El Encargado informa con antelación al Administrador de la cuenta, por correo electrónico, de la incorporación o sustitución prevista de un subencargado y publica la lista actualizada en el DPA. El Responsable puede formular una oposición motivada en el plazo de 14 días desde la recepción de la información. Si las partes no acuerdan una solución, el Responsable puede resolver el Contrato con efecto al día anterior al cambio y obtiene el reembolso de la cuota correspondiente al período no utilizado y pagado por anticipado.

El Encargado impone a cada subencargado obligaciones de protección de datos no menos protectoras que las derivadas del DPA y responde frente al Responsable del cumplimiento de las obligaciones por el subencargado.

El operador de pagos Stripe (Stripe Payments Europe, Limited) no es encargado del tratamiento: gestiona únicamente los pagos del Cliente por el servicio y no tiene acceso a los datos encargados. Tampoco es subencargado Google: el Usuario abre el servicio Google Maps mediante el botón «Navegar», con la dirección o la ubicación del proyecto como destino de la ruta, en las condiciones de Google.

9. Transferencias de datos fuera del Espacio Económico Europeo

El Encargado trata los datos encargados exclusivamente en el Espacio Económico Europeo. La transferencia de datos a un tercer país o a una organización internacional requiere informar previamente al Responsable conforme al procedimiento de la sección 8 y aplicar un mecanismo conforme con el capítulo V del RGPD.

10. Asistencia al Responsable

El Encargado asiste al Responsable en el cumplimiento de su obligación de responder a las solicitudes de los interesados. La Aplicación permite al Responsable consultar, rectificar, exportar y suprimir los datos por sí mismo, así como anonimizar los datos de un cliente. Si la solicitud de un interesado llega directamente al Encargado, este la remitirá sin dilación indebida al Responsable y no la responderá por sí mismo, salvo que el Responsable lo autorice para ello.

El Encargado, teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, asiste al Responsable en el cumplimiento de las obligaciones previstas en los arts. 32 a 36 RGPD, incluidas la evaluación de impacto relativa a la protección de datos y la consulta previa, facilitando la información de que disponga sobre la Aplicación y las medidas aplicadas.

11. Violación de la seguridad de los datos

El Encargado notifica al Responsable toda violación de la seguridad de los datos personales sin dilación indebida y, a más tardar, en un plazo de 48 horas desde que tenga constancia de ella, a la dirección de correo electrónico del Administrador de la cuenta.

La notificación incluye, en la medida en que se disponga de la información: la descripción de la naturaleza de la violación, incluidas las categorías y el número aproximado de interesados y de registros, las consecuencias probables, las medidas adoptadas o propuestas para remediarla y los datos de contacto de la persona que facilita la información. La información no disponible en el momento de la notificación la facilita el Encargado de forma gradual.

El Encargado documenta las violaciones y adopta medidas para mitigar sus efectos. La notificación de la violación a la autoridad de control y la comunicación a los interesados corresponden al Responsable; el Encargado le presta asistencia para ello.

12. Fin del tratamiento, devolución y supresión de los datos

El Responsable puede descargar en cualquier momento una copia de los datos mediante la función de exportación de la Aplicación (archivo ZIP con ficheros CSV y los archivos adjuntos). Tras la finalización del Contrato, el Encargado conserva los datos durante 30 días para permitir su exportación o la reanudación del servicio y, a petición del Responsable, le facilita durante ese período la exportación por vía electrónica.

A continuación, el Encargado suprime los datos encargados, a más tardar 60 días después de la finalización del Contrato. Las copias de los datos contenidas en las copias de seguridad se suprimen en el ciclo de rotación, a más tardar 30 días después de la supresión de los datos de la Aplicación. A petición del Responsable, el Encargado confirma la supresión por vía electrónica.

El registro de actividad se conserva durante el plazo fijado por el Responsable, de 30 a 180 días. Las copias de los registros suprimidos, conservadas para restaurar datos suprimidos por error, se conservan durante un máximo de 180 días y se suprimen junto con la supresión de la Cuenta de empresa.

El Encargado solo puede conservar los datos encargados durante más tiempo cuando así lo exija el Derecho de la Unión o de un Estado miembro, y únicamente en la medida derivada de dicha obligación.

13. Información y auditoría

El Encargado pone a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el art. 28 RGPD, en particular las respuestas a las preguntas sobre la Aplicación, las medidas de seguridad y los subencargados enviadas a la dirección hello@mivaregroup.com, en un plazo de 14 días.

Si la información facilitada no es suficiente, el Responsable o un auditor independiente sujeto a una obligación de confidencialidad podrá realizar una auditoría, como máximo una vez cada 12 meses, salvo en el caso de una auditoría tras una violación de la seguridad de los datos o a petición de la autoridad de control. La auditoría requiere un preaviso mínimo de 30 días, se realiza en días hábiles, no puede perturbar la prestación del servicio ni vulnerar la confidencialidad de los datos de otros clientes y corre a cargo del Responsable.

14. Responsabilidad y disposiciones finales

La responsabilidad de las partes derivada del DPA se rige por el art. 82 RGPD y por las Condiciones del servicio, con la salvedad de que las limitaciones de responsabilidad no se aplican a los casos en que la exclusión o la limitación no esté permitida por ley.

Las modificaciones del DPA, incluida la actualización de la lista de subencargados, se realizan conforme al procedimiento previsto en las Condiciones del servicio para la modificación de documentos, sin perjuicio de lo dispuesto en la sección 8.

El DPA se rige por la legislación polaca. Está disponible en siete versiones lingüísticas; en caso de discrepancia, prevalecerá la versión polaca. La versión vigente está disponible en https://mivaregroup.com/es/legal/space/dpa/

El DPA está vigente desde el 30 de octubre de 2026.