Dossier de seguridad. Hechos, no promesas.

1. Finalidad y naturaleza del dossier

El dossier reúne en un solo lugar las respuestas a las preguntas que un taller o su asesor plantea antes de elegir una aplicación: dónde están los datos, quién tiene acceso a ellos, cómo se protegen y qué ocurre en caso de avería. El servicio lo presta MIVARE GROUP PROSTA SPÓŁKA AKCYJNA, con domicilio social en Krasnobród, KRS 0001268091, NIP 9223092251, REGON 545767254, que opera bajo la marca Mivare Works, en adelante «Mivare».

El dossier tiene carácter meramente informativo y no crea obligaciones que vayan más allá de los documentos contractuales. Son vinculantes las Condiciones del servicio Mivare Works (MWK-LEG-001), el Contrato de encargo del tratamiento de datos personales de Mivare Works (MWK-LEG-003, en adelante el «DPA») y el Nivel de servicio de Mivare Works (MWK-LEG-005, en adelante el «SLA»). En caso de discrepancia, prevalecen dichos documentos. El dossier describe únicamente las medidas de seguridad que se aplican efectivamente; cuando algo no está implantado, lo indica expresamente.

2. Dónde están los datos

• La Aplicación y su base de datos funcionan en un servidor de Contabo GmbH, en un centro de datos de la Unión Europea.
• Los archivos (fotografías, adjuntos) se almacenan en un almacén de archivos privado (Object Storage) en la Unión Europea, por separado para cada cuenta del taller.
• Las copias de seguridad se almacenan en la Unión Europea, en un almacén independiente, separado del servidor de la Aplicación y del almacén de archivos.
• Los datos encargados no se transfieren fuera del Espacio Económico Europeo.

La lista completa de subencargados (Contabo, OVH, Mistral AI), con el alcance de su acceso a los datos, figura en la sección 8 del DPA. Informamos con antelación al administrador de la cuenta, por correo electrónico, de la incorporación o sustitución prevista de un subencargado, y el taller puede oponerse en el plazo de 14 días.

3. Separación de los datos de los talleres

Los datos de cada cuenta del taller están separados lógicamente de los datos de los demás talleres a nivel de aplicación y de base de datos. Los archivos se guardan por separado para cada cuenta y solo son accesibles a través de la Aplicación, previa comprobación de los permisos. No combinamos los datos de distintos talleres, no los vendemos y no los utilizamos para la elaboración de perfiles ni para entrenar modelos de inteligencia artificial.

4. Inicio de sesión y acceso de los usuarios

• Las contraseñas se almacenan exclusivamente en forma de hash con el algoritmo Argon2id; la Aplicación comprueba la robustez de la contraseña y rechaza las contraseñas ampliamente conocidas.
• La autenticación de dos factores (TOTP) está disponible para todos los usuarios, y el administrador de la cuenta puede exigirla a todos ellos.
• Tras 5 intentos fallidos de inicio de sesión en 15 minutos, el inicio de sesión en la cuenta de que se trate desde la dirección de que se trate queda suspendido durante 15 minutos.
• Las sesiones inactivas caducan automáticamente.
• El administrador de la cuenta concede y retira el acceso y determina los permisos de cada usuario.
• Las acciones realizadas en la Aplicación quedan anotadas en el registro de actividad, que el administrador conserva durante el período que elija, de 30 a 180 días.

5. Protección de los datos en la Aplicación

Estado de las medidas de seguridad en la fecha de entrada en vigor del dossier:

• cifrado de las conexiones mediante el protocolo TLS: implantado;
• cifrado de los archivos por la Aplicación antes de su grabación en el almacén de archivos, con descifrado únicamente en el momento de la descarga por un usuario autorizado: implantado;
• análisis de cada archivo cargado con software antivirus antes de su almacenamiento: implantado;
• funciones públicas de la Aplicación (estado de la reparación, aceptación del alcance de los trabajos, reserva de citas, inicio de sesión y registro) protegidas mediante un límite de intentos y un token de formulario; las páginas de estado y de aceptación exigen, además del enlace, datos que solo conoce el cliente del taller, conceden acceso durante 30 minutos y anotan cada apertura en el registro de actividad: implantadas;
• cifrado de las copias de seguridad antes de su grabación, con la clave conservada fuera del servidor y fuera del lugar de almacenamiento de las copias: implantado;
• actualizaciones y parches de seguridad: implantados;
• procedimiento de gestión de incidentes de seguridad: implantado;
• cifrado de la base de datos en el disco del servidor: no implantado, previsto. Hasta su implantación, los datos de la base de datos están protegidos mediante el control de acceso, el principio de privilegio mínimo y el registro de eventos.

No disponemos de certificaciones ISO ni SOC y no declaramos la conformidad con dichas normas.

6. Acceso del personal de Mivare

Solo tienen acceso a los datos personas autorizadas que se han comprometido a respetar la confidencialidad. El acceso a los datos de una cuenta del taller concreta se produce únicamente en la medida necesaria para atender una solicitud del administrador de la cuenta, resolver una avería o garantizar la seguridad. Las cuentas administrativas de Mivare están protegidas mediante autenticación de dos factores y funcionan según el principio de privilegio mínimo.

7. Copias de seguridad y continuidad del servicio

• Una copia de la base de datos cada hora, conservada durante 7 días.
• Una copia completa de la base de datos una vez al día, conservada durante 3 días.
• Una copia continua de los archivos, en la que un archivo eliminado permanece como máximo 30 días.
• Pruebas periódicas de restauración de los datos.

El servicio se presta en la modalidad de mejores esfuerzos (best effort): no declaramos un porcentaje de disponibilidad ni un tiempo máximo de restauración ni un período máximo de pérdida de datos (RTO y RPO). Las interrupciones programadas de más de 15 minutos se anuncian con una antelación mínima de 48 horas. Los detalles, incluidas las prioridades de las solicitudes y los objetivos de atención, figuran en el SLA.

8. La asistente Mivi

La asistente Mivi está desactivada por defecto. El administrador de la cuenta la activa para todo el taller y, a continuación, cada usuario decide por sí mismo si la utiliza. Las consultas las atiende Mistral AI en la Unión Europea, sin utilización de los datos para entrenar modelos; el proveedor conserva las consultas y las respuestas durante un máximo de 30 días únicamente con el fin de detectar abusos.

A la asistente solo se transmiten los datos necesarios para la respuesta a los que tenga acceso el usuario de que se trate. No se transmiten contraseñas, datos de autenticación, datos de tarjetas de pago, números PESEL ni números de documentos de identidad y, antes del envío, la Aplicación sustituye los números PESEL, de documento de identidad y de pasaporte reconocidos por la marca [ID]. La desactivación de la asistente detiene de inmediato la transmisión de datos. El alcance completo de los datos se describe en la sección 8 del DPA.

9. Incidentes y violaciones de la seguridad

Notificamos al administrador de la cuenta toda violación de la seguridad de los datos personales sin dilación indebida y, a más tardar, en un plazo de 48 horas desde que tengamos constancia de ella, y facilitamos la información necesaria para notificar la violación a la autoridad de control. Informamos a los administradores de las cuentas de toda avería que afecte a varios clientes y, una vez resuelta, indicamos su causa y las medidas adoptadas.

10. Los datos tras la finalización del contrato

El taller puede descargar en cualquier momento una copia de sus datos mediante la función de exportación de la Aplicación (archivo ZIP con ficheros CSV y los archivos adjuntos). Tras la finalización del contrato, conservamos los datos durante 30 días para permitir su exportación o la reanudación del servicio y, a continuación, los suprimimos, a más tardar 60 días después de la finalización del contrato. Los datos contenidos en las copias de seguridad desaparecen en el ciclo de rotación, a más tardar 30 días después de su supresión de la Aplicación. A petición, confirmamos la supresión.

11. Preguntas y auditoría

Respondemos a las preguntas sobre la Aplicación, las medidas de seguridad y los subencargados en un plazo de 14 días; pueden enviarse a la dirección hello@mivaregroup.com. Si las respuestas no son suficientes, el taller o un auditor independiente sujeto a una obligación de confidencialidad puede realizar una auditoría en los términos de la sección 13 del DPA, como máximo una vez cada 12 meses, salvo en el caso de una auditoría tras una violación de la seguridad de los datos personales.

Solicitudes técnicas y averías: support@mivareworks.com. No deben incluirse en la solicitud contraseñas ni códigos de autenticación.

El dossier está disponible en siete versiones lingüísticas; en caso de discrepancia, prevalecerá la versión polaca. La versión vigente está disponible en https://mivaregroup.com/es/legal/works/security/

El dossier está vigente desde el 30 de octubre de 2026.