Política de privacidad Mivare Space. Sus datos, nuestras obligaciones.

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales descritos en la presente Política es MIVARE GROUP PROSTA SPÓŁKA AKCYJNA, con domicilio social en Krasnobród (22-440 Krasnobród; la dirección completa del domicilio social figura en el Registro Judicial Nacional, KRS), inscrita en el Registro de Empresarios llevado por el Sąd Rejonowy Lublin-Wschód w Lublinie z siedzibą w Świdniku, VI Wydział Gospodarczy KRS, con el número KRS 0001268091, NIP 9223092251, REGON 545767254, que opera bajo la marca Mivare Space, en adelante «Mivare».

Contacto en materia de datos personales: hello@mivaregroup.com o por escrito en la dirección del domicilio social que figura en el Registro Judicial Nacional (KRS). No se ha designado un delegado de protección de datos.

2. Ámbito de la Política

La Política se refiere a los datos cuyos fines y medios de tratamiento determina Mivare en relación con el servicio Mivare Space: los datos de las personas que crean una Cuenta de empresa y utilizan la Aplicación (Usuarios), de las personas designadas para la facturación y de las personas que se ponen en contacto con el servicio de atención, así como los datos técnicos relacionados con el uso de la Aplicación.

La Política no se refiere a los datos que la empresa (Cliente) introduce en la Aplicación sobre sus clientes, las viviendas y casas de estos, sus empleados, subcontratistas, arquitectos, socios y otras personas (incluidas las fotografías de interiores, los planos y el registro de asistencia junto con la ubicación del dispositivo al inicio y al final del trabajo), ni a los datos facilitados por los clientes de la empresa, los arquitectos y los socios en las funciones públicas de la Aplicación (portal del cliente, portal del arquitecto, portal del socio, estado del proyecto, aceptaciones). El responsable del tratamiento de esos datos es la empresa, y Mivare los trata exclusivamente por cuenta de esta, sobre la base del Contrato de encargo del tratamiento de datos personales de Mivare Space (MSP-LEG-003). Los interesados a los que se refieren esos datos deben dirigir sus solicitudes a la empresa; si una solicitud llega a Mivare, Mivare la remitirá a la empresa.

Los términos escritos con mayúscula inicial tienen el significado que se les atribuye en las Condiciones del servicio Mivare Space (MSP-LEG-001).

3. Finalidades, bases jurídicas y plazos de conservación

• Registro, gestión de la Cuenta de empresa y prestación del servicio (nombre y apellidos, dirección de correo electrónico, número de teléfono, si se ha facilitado, cargo, idioma, configuración de la cuenta): art. 6.1.b RGPD respecto de la persona que celebra el Contrato y, respecto de los demás Usuarios, art. 6.1.f RGPD (interés legítimo en la prestación del servicio al Cliente). Conservamos los datos durante la vigencia del Contrato y hasta la supresión de la Cuenta de empresa en los términos de las Condiciones del servicio.
• Autenticación y seguridad (contraseña en forma de hash, datos de la autenticación de dos factores, dispositivos de confianza, historial de inicios de sesión y de intentos fallidos de inicio de sesión, dirección IP, registro de actividad de la Aplicación): art. 6.1.f RGPD (interés legítimo en la protección de la Aplicación y de los datos). El registro de actividad se conserva durante el plazo fijado por el Cliente, de 30 a 180 días (90 días por defecto); los demás datos, hasta la supresión de la cuenta del Usuario.
• Lista «Abiertos recientemente» (tipo e identificador de los registros abiertos recientemente por el Usuario y momento de su apertura, sin el contenido de los registros): art. 6.1.f RGPD (interés legítimo en facilitar la vuelta al trabajo en curso). La lista solo es visible para ese Usuario; cada entrada se suprime 90 días después de la última apertura del registro, y la lista completa, de inmediato junto con la Cuenta de empresa.
• Constancia de la aceptación de documentos (persona, empresa, documento y su versión, fecha, dirección IP): art. 6.1.c y f RGPD (acreditación de la celebración del Contrato). La conservamos mientras dure el Contrato y, tras la supresión de la Cuenta de empresa, en un archivo durante 5 años.
• Facturación, pagos y facturas (datos de la empresa, número de IVA de la UE y resultado de su comprobación en el sistema VIES, dirección de correo electrónico de facturación, historial de pagos): art. 6.1.b y c RGPD. Conservamos los documentos de facturación durante el plazo exigido por la normativa tributaria y contable, por regla general 5 años desde el final del año natural en que venció el plazo de pago del impuesto.
• Gestión de solicitudes, reclamaciones y correspondencia: art. 6.1.b y f RGPD. Los datos se conservan hasta la conclusión del asunto y, posteriormente, hasta que transcurra el plazo de prescripción de las pretensiones, sin exceder de 3 años desde el último contacto.
• Mensajes de servicio relativos al servicio (seguridad, modificaciones de documentos, pagos, interrupciones técnicas): art. 6.1.b y f RGPD. No enviamos comunicaciones comerciales a los Usuarios sin un consentimiento independiente.
• Formulación, ejercicio o defensa de pretensiones: art. 6.1.f RGPD, hasta que transcurra el plazo de prescripción.

Facilitar los datos es voluntario, pero necesario para crear la cuenta y utilizar el servicio. Los datos de los Usuarios distintos de la persona que crea la cuenta los facilita el Administrador de la cuenta.

4. Destinatarios de los datos

• Contabo GmbH (Alemania): servidor de la Aplicación, base de datos, almacén de archivos y copias de seguridad (Object Storage), centros de datos en la Unión Europea; ciframos los archivos y las copias de seguridad antes de su grabación; actúa como encargado del tratamiento.
• OVH Sp. z o.o. (grupo OVHcloud): correo electrónico, dominios y sitios web de Mivare, centros de datos en la Unión Europea; actúa como encargado del tratamiento.
• Mistral AI SAS (Francia, París): elaboración de los resúmenes, las respuestas y los borradores de documentos de la asistente Mivi, únicamente en las Cuentas de empresa en las que la haya activado el Administrador de la cuenta y únicamente para los Usuarios que la hayan activado para su propia cuenta; actúa como encargado del tratamiento; las consultas se tratan y se conservan en la Unión Europea y no se utilizan para entrenar modelos; Mistral AI las conserva durante un máximo de 30 días únicamente con el fin de detectar abusos y, transcurrido ese plazo, las elimina.
• Stripe Payments Europe, Limited (Irlanda): gestión de los pagos de la Suscripción. Stripe recibe el nombre de la empresa, la dirección de correo electrónico de facturación, el país, el idioma y un identificador técnico de la cuenta; el Administrador de la cuenta introduce los datos de la tarjeta directamente en la página de Stripe, y Mivare no los recibe ni los conserva. En cuanto a los datos de pago, la prevención del fraude y sus propias obligaciones legales, Stripe actúa como responsable del tratamiento independiente sobre la base de su propia política de privacidad y, en lo demás, como encargado del tratamiento. Stripe no recibe los Datos del Cliente.
• Comisión Europea (sistema VIES): comprobación del número de IVA de la UE de un Cliente de otro Estado miembro de la Unión Europea, para determinar el régimen de tributación.
• Ministro de Finanzas de Polonia (Sistema Nacional de Facturación Electrónica de Polonia, KSeF): facturas emitidas por Mivare por el servicio, en la medida exigida por la normativa del impuesto sobre el valor añadido; actúa como responsable del tratamiento independiente.
• Asesores profesionales (jurídicos, fiscales, contables) sujetos a una obligación de confidencialidad: en la medida necesaria para la gestión de la facturación y de los asuntos jurídicos.
• Autoridades públicas: únicamente cuando la obligación de comunicar los datos derive de la ley.

Mivare no vende datos personales ni los comunica con fines de marketing.

5. Servicios externos

La Aplicación no carga en el navegador del Usuario ningún recurso procedente de servidores distintos de los de Mivare, salvo la página de pago de Stripe que abre el Administrador de la cuenta al efectuar el pago. Los mapas de los proyectos se generan a partir de datos almacenados en el servidor de Mivare, sin servicios cartográficos externos. Las tipografías, los iconos y las bibliotecas de la Aplicación se cargan desde el servidor de Mivare.

En la aplicación del trabajador, el botón «Navegar» abre, solo después de que el Usuario haga clic en él, el servicio Google Maps con la dirección o la ubicación del proyecto como destino de la ruta. A partir de ese momento, el uso de Google Maps se rige por las condiciones de Google; la Aplicación no transmite a Google ningún otro dato.

La Aplicación obtiene los tipos de cambio en el servidor a partir de las tablas públicas del Banco Nacional de Polonia y directamente del Banco Central Europeo (tipos de referencia); las consultas no contienen datos personales ni datos de la empresa.

La Aplicación no utiliza herramientas de analítica, publicidad ni seguimiento. Los datos llegan al servicio de inteligencia artificial (Mistral AI) únicamente cuando la asistente Mivi ha sido activada por el Administrador de la cuenta para la empresa y por el Usuario para su propia cuenta, y solo los datos a los que dicho Usuario tiene acceso. Cada Usuario decide por sí mismo si utiliza la asistente y puede desactivarla en cualquier momento en la configuración de su cuenta; el alcance de los datos transmitidos se describe en el Contrato de encargo. En el módulo Mivi+, el historial de conversaciones del Usuario con la asistente se conserva en la Aplicación durante 90 días, y el Usuario puede eliminarlo en cualquier momento.

6. Cookies y almacenamiento del navegador

La Aplicación utiliza exclusivamente cookies necesarias para su funcionamiento, que no requieren consentimiento:

• cookie de sesión de la Aplicación (nombre que comienza por «MIVARE»): mantenimiento de la sesión iniciada; se elimina al cerrar el navegador o al cerrar la sesión; inaccesible para los scripts y transmitida exclusivamente a través de una conexión cifrada;
• cookie de sesión de las páginas públicas (nombre que comienza por «MIVARE» y termina en «PUBSESSID»): mantenimiento del acceso al portal del cliente, del arquitecto o del socio, al estado del proyecto o a las aceptaciones tras la verificación, durante 30 minutos; se elimina al cerrar el navegador;
• mw_td: recordar un dispositivo de confianza tras la autenticación de dos factores, a petición del Usuario; válida durante 30 días;
• mw_viewport: anchura de la pantalla, que permite adaptar el diseño de la Aplicación al dispositivo; válida durante 12 meses; no contiene datos identificativos.

En el almacenamiento del navegador (localStorage), la Aplicación guarda únicamente el estado de despliegue del menú lateral, que no se transmite al servidor.

Las cookies pueden eliminarse en la configuración del navegador; su bloqueo impide iniciar sesión en la Aplicación y utilizar las funciones públicas.

7. Ubicación del dispositivo y fotografías

La Aplicación utiliza la ubicación del dispositivo únicamente en la pantalla del registro de asistencia de la aplicación del trabajador, previa autorización del Usuario en el navegador, para comprobar si se encuentra en el lugar de los trabajos. Se guarda una única ubicación al inicio y otra al final del trabajo; una vez cerrada dicha pantalla, la Aplicación no utiliza la ubicación, y entre dichas acciones no la guarda. Estos datos son Datos del Cliente y están comprendidos en el ámbito del Contrato de encargo.

La Aplicación elimina de las fotografías subidas los metadatos, incluidos la ubicación, la fecha y los datos del dispositivo registrados en ellas.

8. Transferencias de datos fuera del Espacio Económico Europeo

Mivare trata los datos descritos en la Política en servidores situados en la Unión Europea. Stripe, como operador de pagos, puede transferir datos de facturación a entidades de su grupo, entre ellas Stripe, Inc. en los Estados Unidos, sobre la base de la decisión de adecuación de la Comisión Europea (EU-U.S. Data Privacy Framework) y de cláusulas contractuales tipo. Cualquier otra transferencia de datos fuera del Espacio Económico Europeo se realizará únicamente mediante un mecanismo conforme con el capítulo V del RGPD, previa actualización de la Política.

9. Derechos de los interesados

Usted tiene derecho de acceso a sus datos, de rectificación, de supresión, de limitación del tratamiento y de portabilidad de los datos, así como derecho de oposición al tratamiento basado en el interés legítimo. Si el tratamiento se basa en el consentimiento, puede retirarlo en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior a su retirada.

Le rogamos que dirija sus solicitudes a hello@mivaregroup.com. Respondemos sin dilación indebida y, a más tardar, en el plazo de un mes desde la recepción de la solicitud; en casos justificados, el plazo puede prorrogarse de conformidad con el RGPD, de lo cual le informaremos.

Tiene derecho a presentar una reclamación ante el Presidente de la Oficina de Protección de Datos Personales (Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Varsovia) o ante la autoridad de control del Estado miembro de la Unión Europea de su residencia habitual, de su lugar de trabajo o del lugar de la infracción.

10. Decisiones automatizadas

Mivare no adopta respecto de los Usuarios decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos en ellos o les afecten significativamente de modo similar. La suspensión automática del acceso tras intentos de pago infructuosos se deriva de las Condiciones de pago y afecta al Cliente en su condición de empresario; la decisión puede aclararse en cualquier momento con el servicio de atención.

11. Seguridad

Mivare aplica medidas técnicas y organizativas adecuadas al riesgo, en particular el cifrado de las conexiones, el almacenamiento de las contraseñas exclusivamente en forma de hash criptográfico, la autenticación de dos factores, la separación lógica de los datos de cada empresa, el registro de eventos, el cifrado de los archivos antes de su grabación en el almacén de archivos y las copias de seguridad cifradas conservadas en la Unión Europea separadamente del servidor de la Aplicación. Los datos suprimidos de la Aplicación permanecen en las copias de seguridad durante un máximo de 30 días y, después, se suprimen con la rotación de las copias. El Contrato de encargo (MSP-LEG-003) contiene una descripción detallada.

12. Modificaciones de la Política

La Política se actualiza cuando cambian la forma de tratamiento de los datos, los destinatarios o la normativa. Informamos de los cambios sustanciales a los Administradores de las cuentas por correo electrónico y en la Aplicación. La versión vigente está disponible en https://mivaregroup.com/es/legal/space/privacy/

La Política está disponible en siete versiones lingüísticas; en caso de discrepancia, prevalecerá la versión polaca. La Política está vigente desde el 30 de octubre de 2026.