Dossier de sécurité. Des faits, pas des promesses.

1. Objet et nature du dossier

Le dossier réunit en un seul endroit les réponses aux questions qu’une entreprise ou son conseiller pose avant de choisir une application : où se trouvent les données, qui y a accès, comment elles sont protégées et ce qui se passe en cas de panne. Le service est fourni par MIVARE GROUP PROSTA SPÓŁKA AKCYJNA, dont le siège est à Krasnobród, KRS 0001268091, NIP 9223092251, REGON 545767254, agissant sous la marque Mivare Sites, ci-après « Mivare ».

Le dossier a une valeur purement informative et ne crée aucune obligation au-delà des documents contractuels. Les documents qui engagent les parties sont : les Conditions générales du service Mivare Sites (MWS-LEG-001), le Contrat de sous-traitance des données personnelles Mivare Sites (MWS-LEG-003, ci-après le « DPA ») et le Niveau de service Mivare Sites (MWS-LEG-005, ci-après le « SLA »). En cas de divergence, ces documents prévalent. Le dossier ne décrit que les mesures de sécurité effectivement appliquées ; lorsqu’un élément n’est pas mis en œuvre, il l’indique clairement.

2. Où se trouvent les données

• L’Application et sa base de données fonctionnent sur un serveur de Contabo GmbH situé dans un centre de données de l’Union européenne.
• Les fichiers (photographies, pièces jointes) sont conservés dans un espace de stockage de fichiers privé (Object Storage) situé dans l’Union européenne, séparément pour chaque Compte entreprise.
• Les sauvegardes sont stockées dans l’Union européenne, dans un espace de stockage distinct, séparé du serveur de l’Application et de l’espace de stockage de fichiers.
• Les données confiées ne sont pas transférées hors de l’Espace économique européen.

La liste complète des sous-traitants ultérieurs (Contabo, OVH, Mistral AI), avec l’étendue de leur accès aux données, figure à la section 8 du DPA. Nous informons à l’avance l’Administrateur du compte, par e-mail, de tout ajout ou remplacement envisagé d’un sous-traitant ultérieur, et l’entreprise peut formuler une opposition dans un délai de 14 jours.

3. Séparation des données des entreprises

Les données de chaque Compte entreprise sont logiquement séparées des données des autres entreprises au niveau de l’application et de la base de données. Les fichiers sont enregistrés séparément pour chaque compte et mis à disposition uniquement par l’intermédiaire de l’Application, après vérification des droits. Nous ne combinons pas les données de différentes entreprises, ne les vendons pas et ne les utilisons ni à des fins de profilage ni pour l’entraînement de modèles d’intelligence artificielle.

4. Connexion et accès des Utilisateurs

• Les mots de passe sont conservés exclusivement sous forme d’empreinte au moyen de l’algorithme Argon2id ; l’Application vérifie la robustesse du mot de passe et refuse les mots de passe notoirement connus.
• L’authentification à deux facteurs (TOTP) est disponible pour chaque Utilisateur, et l’Administrateur du compte peut la rendre obligatoire pour tous.
• Le nombre de tentatives de connexion est limité, et le compte est bloqué après des tentatives infructueuses.
• Les sessions inactives expirent automatiquement.
• L’Administrateur du compte accorde et retire les accès et définit les droits de chaque Utilisateur.
• Les actions effectuées dans l’Application sont enregistrées dans le journal des événements, conservé pendant la durée choisie par l’Administrateur du compte, de 30 à 180 jours.

5. Protection des données dans l’Application

État des mesures de sécurité à la date d’entrée en vigueur du dossier :

• chiffrement des connexions au moyen du protocole TLS : mis en œuvre ;
• chiffrement des fichiers par l’Application avant leur écriture dans l’espace de stockage de fichiers, le déchiffrement n’ayant lieu qu’au moment du téléchargement par un Utilisateur habilité : mis en œuvre ;
• analyse de chaque fichier transféré au moyen d’un logiciel antivirus avant son enregistrement : mise en œuvre ;
• fonctions publiques de l’Application accessibles uniquement au moyen de liens comportant une clé aléatoire et une durée de validité, la clé étant conservée dans la base de données exclusivement sous forme d’empreinte : mises en œuvre ;
• chiffrement des sauvegardes avant leur écriture, la clé étant conservée en dehors du serveur et en dehors du lieu de stockage des sauvegardes : mis en œuvre ;
• installation des mises à jour et des correctifs de sécurité : mise en œuvre ;
• procédure de gestion des incidents de sécurité : mise en œuvre ;
• chiffrement de la base de données sur le disque du serveur : non mis en œuvre, prévu. Jusqu’à sa mise en œuvre, les données de la base sont protégées par le contrôle d’accès, le principe du moindre privilège et la journalisation des événements.

Nous ne détenons aucune certification ISO ni SOC et ne revendiquons pas la conformité à de telles normes.

6. Accès du personnel de Mivare

Seules des personnes habilitées, tenues à une obligation de confidentialité, ont accès aux données. L’accès aux données d’un Compte entreprise donné n’a lieu que dans la mesure nécessaire pour traiter une demande de l’Administrateur du compte, résoudre une panne ou assurer la sécurité. Les comptes d’administration de Mivare sont protégés par l’authentification à deux facteurs et fonctionnent selon le principe du moindre privilège.

7. Sauvegardes et continuité

• Une sauvegarde de la base de données toutes les heures, conservée pendant 7 jours.
• Une sauvegarde complète de la base de données une fois par jour, conservée pendant 3 jours.
• Une sauvegarde continue des fichiers, dans laquelle un fichier supprimé reste au plus 30 jours.
• Des tests périodiques de restauration des données.

Le service est fourni selon le modèle de l’obligation de moyens (best effort) : nous ne déclarons ni niveau de disponibilité exprimé en pourcentage, ni délai maximal de restauration, ni période maximale de perte de données (RTO et RPO). Les interruptions planifiées de plus de 15 minutes sont annoncées au moins 48 heures à l’avance. Les détails, notamment les priorités des demandes et les objectifs de traitement, figurent dans le SLA.

8. L’assistante Mivi

L’assistante Mivi est désactivée par défaut. L’Administrateur du compte l’active pour l’ensemble de l’entreprise, puis chaque Utilisateur décide lui-même de l’utiliser ou non. Les requêtes sont traitées par Mistral AI dans l’Union européenne, sans utilisation des données pour l’entraînement de modèles ; le fournisseur conserve les requêtes et les réponses au plus 30 jours, exclusivement aux fins de détection des abus.

Seules les données nécessaires à la réponse, auxquelles l’Utilisateur concerné a accès, sont transmises à l’assistante. Les mots de passe, les données d’authentification, les données de cartes de paiement, les numéros PESEL et les numéros de pièces d’identité ne sont pas transmis. La désactivation de l’assistante met immédiatement fin à la transmission des données. Le périmètre complet des données est décrit à la section 8 du DPA.

9. Incidents et violations

Nous notifions à l’Administrateur du compte toute violation de données personnelles sans retard injustifié, au plus tard dans les 48 heures après en avoir pris connaissance, et communiquons les informations nécessaires à la notification de la violation à l’autorité de contrôle. Nous informons les Administrateurs des comptes de toute panne affectant plusieurs clients et, après sa résolution, en indiquons la cause et les mesures prises.

10. Données après la fin du Contrat

L’entreprise peut à tout moment télécharger une copie de ses données au moyen de la fonction d’exportation de l’Application (archive ZIP contenant des fichiers CSV et les fichiers joints). Après la fin du Contrat, nous conservons les données pendant 30 jours afin de permettre leur exportation ou la reprise du service, puis nous les supprimons, au plus tard 60 jours après la fin du Contrat. Les données figurant dans les sauvegardes disparaissent selon le cycle de rotation, au plus tard 30 jours après leur suppression de l’Application. Sur demande, nous confirmons la suppression.

11. Questions et audit

Nous répondons aux questions relatives à l’Application, aux mesures de sécurité et aux sous-traitants ultérieurs dans un délai de 14 jours ; elles sont à adresser à hello@mivaregroup.com. Si les réponses ne sont pas suffisantes, l’entreprise ou un auditeur indépendant tenu à une obligation de confidentialité peut réaliser un audit selon les règles de la section 13 du DPA, au plus une fois tous les 12 mois, à l’exception d’un audit consécutif à une violation de données personnelles.

Demandes techniques et pannes : support@mivaresites.com. Aucun mot de passe ni code d’authentification ne doit être joint à la demande.

Le dossier est mis à disposition en sept versions linguistiques ; en cas de divergence, la version polonaise prévaut. La version en vigueur est disponible à l’adresse https://mivaregroup.com/fr/legal/sites/security/

Le présent dossier est en vigueur à compter du 30 octobre 2026.