Dossier sulla sicurezza. Fatti, non dichiarazioni.

1. Finalità e natura del dossier

Il dossier riunisce in un unico luogo le risposte alle domande che un’azienda o il suo consulente pone prima di scegliere un’applicazione: dove si trovano i dati, chi vi ha accesso, come sono protetti e che cosa accade in caso di guasto. Il servizio è prestato da MIVARE GROUP PROSTA SPÓŁKA AKCYJNA con sede legale a Krasnobród, KRS 0001268091, NIP 9223092251, REGON 545767254, che opera con il marchio Mivare Space, di seguito «Mivare».

Il dossier ha carattere esclusivamente informativo e non crea obblighi ulteriori rispetto ai documenti contrattuali. Sono vincolanti: le Condizioni del servizio Mivare Space (MSP-LEG-001), l’Accordo sul trattamento dei dati personali Mivare Space (MSP-LEG-003, di seguito «DPA») e il Livello di servizio Mivare Space (MSP-LEG-005, di seguito «SLA»). In caso di discrepanze prevalgono tali documenti. Il dossier descrive esclusivamente le misure di sicurezza effettivamente applicate; dove qualcosa non è attuato, lo dichiara apertamente.

2. Dove si trovano i dati

• L’Applicazione e la sua banca dati operano su un server di Contabo GmbH in un data center nell’Unione europea.
• I file (fotografie, allegati) sono conservati in un archivio di file privato (Object Storage) nell’Unione europea, separatamente per ciascun Account aziendale.
• Le copie di backup sono conservate nell’Unione europea, in un archivio separato, distinto dal server dell’Applicazione e dall’archivio di file.
• I dati affidati non sono trasferiti al di fuori dello Spazio economico europeo.

L’elenco completo dei sub-responsabili del trattamento (Contabo, OVH, Mistral AI), con l’ambito del loro accesso ai dati, è riportato nella sezione 8 del DPA. Informiamo in anticipo l’Amministratore dell’account, via posta elettronica, dell’aggiunta o della sostituzione prevista di un sub-responsabile e l’azienda può presentare opposizione entro 14 giorni.

3. Separazione dei dati delle aziende

I dati di ciascun Account aziendale sono separati logicamente dai dati delle altre aziende a livello di applicazione e di banca dati. I file sono salvati separatamente per ciascun account e resi disponibili esclusivamente tramite l’Applicazione, previa verifica dei permessi. Non combiniamo i dati di aziende diverse, non li vendiamo e non li utilizziamo per la profilazione né per l’addestramento di modelli di intelligenza artificiale.

4. Autenticazione e accesso degli Utenti

• Le password sono conservate esclusivamente in forma di hash con l’algoritmo Argon2id; l’Applicazione verifica la robustezza della password e rifiuta le password comunemente note.
• L’autenticazione a due fattori (TOTP) è disponibile per ogni Utente e l’Amministratore dell’account può renderla obbligatoria per tutti.
• Il numero di tentativi di accesso è limitato e l’account viene bloccato dopo tentativi non riusciti.
• La sessione inattiva scade automaticamente.
• L’Amministratore dell’account concede e revoca l’accesso e stabilisce i permessi di ciascun Utente.
• Le azioni nell’Applicazione sono registrate nel registro degli eventi, conservato per il periodo scelto dall’Amministratore, da 30 a 180 giorni.

5. Protezione dei dati nell’Applicazione

Stato delle misure di sicurezza alla data di entrata in vigore del dossier:

• cifratura delle connessioni con protocollo TLS: attuata;
• cifratura dei file da parte dell’Applicazione prima del salvataggio nell’archivio di file, con decifratura solo al momento del download da parte di un Utente autorizzato: attuata;
• scansione di ogni file caricato con software antivirus prima del salvataggio: attuata;
• funzioni pubbliche dell’Applicazione accessibili esclusivamente tramite link con chiave casuale e data di scadenza, la cui chiave è conservata nella banca dati esclusivamente in forma di hash, con verifica aggiuntiva mediante dati noti alla persona autorizzata, limite di tentativi e registrazione di ogni apertura: attuate;
• rimozione dei metadati, compresa la posizione, dalle fotografie caricate: attuata;
• permesso separato per i costi e i margini: attuato;
• cifratura delle copie di backup prima della scrittura, con la chiave conservata al di fuori del server e al di fuori del luogo di conservazione delle copie: attuata;
• aggiornamenti e patch di sicurezza: attuati;
• procedura di gestione degli incidenti di sicurezza: attuata;
• cifratura della banca dati sul disco del server: non attuata, pianificata. Fino alla sua attuazione i dati nella banca dati sono protetti dal controllo degli accessi, dal principio del privilegio minimo e dalla registrazione degli eventi.

Non disponiamo di certificazioni ISO né SOC e non dichiariamo la conformità a tali norme.

6. Accesso del personale di Mivare

L’accesso ai dati è consentito esclusivamente alle persone autorizzate e vincolate all’obbligo di riservatezza. L’accesso ai dati di uno specifico Account aziendale avviene esclusivamente nella misura necessaria a dare seguito a una segnalazione dell’Amministratore dell’account, a eliminare un guasto o a garantire la sicurezza. Gli account amministrativi di Mivare sono protetti dall’autenticazione a due fattori e operano secondo il principio del privilegio minimo.

7. Copie di backup e continuità del servizio

• Una copia della banca dati ogni ora, conservata per 7 giorni.
• Una copia completa della banca dati una volta al giorno, conservata per 3 giorni.
• Una copia continua dei file, nella quale un file cancellato rimane per non più di 30 giorni.
• Test periodici di ripristino dei dati.

Il servizio è prestato secondo il modello del massimo impegno (best effort): non dichiariamo un livello percentuale di disponibilità né un tempo massimo di ripristino e un periodo massimo di perdita dei dati (RTO e RPO). Le interruzioni programmate di durata superiore a 15 minuti sono comunicate con un preavviso di almeno 48 ore. I dettagli, comprese le priorità delle segnalazioni e gli obiettivi di gestione, sono contenuti nello SLA.

8. L’assistente Mivi

L’assistente Mivi è disattivata per impostazione predefinita. L’Amministratore dell’account la attiva per l’intera azienda e successivamente ciascun Utente decide autonomamente se utilizzarla. Le richieste sono gestite da Mistral AI nell’Unione europea, senza utilizzo dei dati per l’addestramento dei modelli; il fornitore conserva le richieste e le risposte per un massimo di 30 giorni esclusivamente ai fini del rilevamento degli abusi.

All’assistente sono trasmessi soltanto i dati necessari alla risposta ai quali l’Utente in questione ha accesso. Non sono trasmessi password, dati di autenticazione, dati delle carte di pagamento, numeri PESEL né numeri di documenti d’identità. La disattivazione dell’assistente interrompe immediatamente la trasmissione dei dati. L’ambito completo dei dati è descritto nella sezione 8 del DPA.

9. Incidenti e violazioni

Notifichiamo all’Amministratore dell’account la violazione dei dati personali senza ingiustificato ritardo, al più tardi entro 48 ore dal suo accertamento, e forniamo le informazioni necessarie per notificare la violazione all’autorità di controllo. Informiamo gli Amministratori degli account di un guasto che riguardi più clienti e, dopo la sua risoluzione, ne indichiamo la causa e le azioni intraprese.

10. I dati dopo la cessazione del Contratto

L’azienda può scaricare in qualsiasi momento una copia dei propri dati tramite la funzione di esportazione nell’Applicazione (archivio ZIP con file CSV e file allegati). Dopo la cessazione del Contratto conserviamo i dati per 30 giorni, per consentirne l’esportazione o la riattivazione del servizio, e successivamente li cancelliamo, non oltre 60 giorni dalla cessazione del Contratto. I dati contenuti nelle copie di backup sono cancellati secondo il ciclo di rotazione, non oltre 30 giorni dalla cancellazione dall’Applicazione. Su richiesta confermiamo la cancellazione.

11. Domande e audit

Rispondiamo alle domande relative all’Applicazione, alle misure di sicurezza e ai sub-responsabili entro 14 giorni; le domande vanno inviate all’indirizzo hello@mivaregroup.com. Se le risposte non sono sufficienti, l’azienda o un revisore indipendente vincolato dall’obbligo di riservatezza può effettuare un audit alle condizioni della sezione 13 del DPA, non più di una volta ogni 12 mesi, salvo l’audit successivo a una violazione dei dati personali.

Segnalazioni tecniche e guasti: support@mivarespace.com. Alla segnalazione non devono essere allegati password né codici di autenticazione.

Il dossier è reso disponibile in sette versioni linguistiche; in caso di discrepanze prevale la versione polacca. La versione attuale è disponibile all’indirizzo https://mivaregroup.com/it/legal/space/security/

Il dossier è in vigore dal 30 ottobre 2026.