Polityka prywatności Consilaris. Twoje dane, nasze obowiązki.

1. Administrator danych

Administratorem danych osobowych opisanych w tej Polityce jest MIVARE GROUP PROSTA SPÓŁKA AKCYJNA z siedzibą w Krasnobrodzie (22-440 Krasnobród; pełny adres siedziby jest ujawniony w Krajowym Rejestrze Sądowym), wpisana do rejestru przedsiębiorców prowadzonego przez Sąd Rejonowy Lublin-Wschód w Lublinie z siedzibą w Świdniku, VI Wydział Gospodarczy KRS, pod numerem KRS 0001268091, NIP 9223092251, REGON 545767254, działająca pod marką Consilaris, dalej „Mivare”.

Kontakt w sprawach danych osobowych: hello@mivaregroup.com albo pisemnie na adres siedziby ujawniony w Krajowym Rejestrze Sądowym. Inspektor ochrony danych nie został wyznaczony.

2. Zakres Polityki

Polityka dotyczy danych, o których celach i sposobach przetwarzania decyduje Mivare w związku z usługą Consilaris: danych osób zakładających Konto kancelarii i korzystających z Aplikacji (Użytkowników), osób wskazanych do rozliczeń, osób kontaktujących się z obsługą oraz danych technicznych związanych z korzystaniem z Aplikacji.

Polityka nie dotyczy danych, które kancelaria (Klient) wprowadza do Aplikacji o swoich klientach, ich przeciwnikach i pełnomocnikach, świadkach, pracownikach, współpracownikach i innych osobach, treści spraw i dokumentów ani ewidencji czasu pracy zespołu kancelarii wraz z opisami czynności. Administratorem tych danych jest kancelaria, a Mivare przetwarza je wyłącznie w jej imieniu, na podstawie Umowy powierzenia przetwarzania danych osobowych Consilaris (CNS-LEG-003), z zachowaniem zasad ochrony tajemnicy zawodowej określonych w Regulaminie i Umowie powierzenia. Osoby, których te dane dotyczą, powinny kierować żądania do kancelarii; jeżeli żądanie trafi do Mivare, Mivare przekaże je kancelarii i nie udzieli informacji o tym, czy kancelaria przetwarza dane tej osoby.

Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie usługi Consilaris (CNS-LEG-001).

3. Cele, podstawy prawne i okresy przechowywania

• Rejestracja, prowadzenie Konta kancelarii i świadczenie usługi (imię i nazwisko, adres e-mail, numer telefonu, jeżeli został podany, stanowisko, język, ustawienia konta): art. 6 ust. 1 lit. b RODO wobec osoby zawierającej Umowę, a wobec pozostałych Użytkowników art. 6 ust. 1 lit. f RODO (uzasadniony interes w świadczeniu usługi Klientowi). Dane przechowujemy przez czas trwania Umowy i do usunięcia Konta kancelarii na zasadach Regulaminu.
• Weryfikacja rejestracji (numer NIP, nazwa z rejestru REGON, numer wpisu do rejestru izby adwokackiej albo radcowskiej, wybrana metoda weryfikacji oraz oficjalny adres e-mail i numer telefonu kancelarii z rejestru izby, używane wyłącznie do weryfikacji): art. 6 ust. 1 lit. f RODO (uzasadniony interes w ograniczeniu usługi do adwokatów i radców prawnych oraz w ochronie kancelarii przed rejestracją w jej imieniu przez osobę nieuprawnioną). Niezweryfikowaną rejestrację usuwamy po upływie terminów z Regulaminu (do 48 godzin roboczych i kolejnych 72 godzin roboczych). O każdej weryfikacji zostaje zapis w dzienniku bez danych osobowych (skrót numeru NIP, data i wynik), przechowywany przez 12 miesięcy.
• Uwierzytelnianie i bezpieczeństwo (hasło w postaci skrótu, dane uwierzytelniania dwuskładnikowego, zaufane urządzenia, historia logowań i nieudanych prób logowania, adres IP, dziennik zdarzeń w Aplikacji): art. 6 ust. 1 lit. f RODO (uzasadniony interes w ochronie Aplikacji i danych). Dziennik zdarzeń jest przechowywany przez okres ustawiony przez Klienta, od 30 do 180 dni (domyślnie 90 dni); pozostałe dane przechowujemy do usunięcia konta Użytkownika.
• Lista „Ostatnio otwarte” (rodzaj i identyfikator rekordów ostatnio otwartych przez Użytkownika oraz czas ich otwarcia, bez treści rekordów): art. 6 ust. 1 lit. f RODO (uzasadniony interes w ułatwieniu powrotu do bieżącej pracy). Lista jest widoczna wyłącznie dla tego Użytkownika; każdy wpis jest usuwany po 90 dniach od ostatniego otwarcia rekordu, a cała lista natychmiast wraz z Kontem kancelarii.
• Zapis akceptacji dokumentów (wersja dokumentu, data, adres IP): art. 6 ust. 1 lit. c i f RODO (wykazanie zawarcia Umowy). Przechowujemy przez czas trwania Umowy, a po usunięciu Konta kancelarii w archiwum, przez 5 lat.
• Rozliczenia, płatności i faktury (dane kancelarii, numer VAT UE i wynik jego sprawdzenia w systemie VIES, adres e-mail do rozliczeń, historia płatności): art. 6 ust. 1 lit. b i c RODO. Dokumenty rozliczeniowe przechowujemy przez okres wymagany przepisami podatkowymi i rachunkowymi, co do zasady 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku.
• Obsługa zgłoszeń, reklamacji i korespondencji: art. 6 ust. 1 lit. b i f RODO. Przechowujemy do zakończenia sprawy, a następnie do upływu okresu przedawnienia roszczeń, nie dłużej niż 3 lata od ostatniego kontaktu.
• Wiadomości serwisowe dotyczące usługi (bezpieczeństwo, zmiany dokumentów, płatności, przerwy techniczne): art. 6 ust. 1 lit. b i f RODO. Nie wysyłamy Użytkownikom informacji handlowych bez odrębnej zgody.
• Ustalenie, dochodzenie lub obrona roszczeń: art. 6 ust. 1 lit. f RODO, do upływu okresu przedawnienia.

Podanie danych jest dobrowolne, ale niezbędne do założenia konta i korzystania z usługi. Dane Użytkowników innych niż osoba zakładająca konto przekazuje Administrator konta.

4. Odbiorcy danych

• Contabo GmbH (Niemcy): serwer Aplikacji, baza danych, magazyn plików i kopie zapasowe (Object Storage), centra danych w Unii Europejskiej; pliki i kopie zapasowe szyfrujemy przed zapisem; działa jako podmiot przetwarzający.
• OVH Sp. z o.o. (grupa OVHcloud): poczta elektroniczna, domeny i strony internetowe Mivare, centra danych w Unii Europejskiej; działa jako podmiot przetwarzający.
• Mistral AI SAS (Francja, Paryż): przygotowanie podsumowań, odpowiedzi i projektów dokumentów asystentki Mivi, wyłącznie w Kontach kancelarii, w których włączył ją Administrator konta, i wyłącznie dla Użytkowników, którzy włączyli ją dla swojego konta; działa jako podmiot przetwarzający; zapytania są przetwarzane i przechowywane w Unii Europejskiej i nie są wykorzystywane do trenowania modeli; Mistral AI przechowuje je najwyżej przez 30 dni wyłącznie w celu wykrywania nadużyć, po czym je usuwa.
• Stripe Payments Europe, Limited (Irlandia): obsługa płatności Subskrypcji. Stripe otrzymuje nazwę kancelarii, adres e-mail do rozliczeń, kraj, język i techniczne oznaczenie konta; dane karty Administrator konta wpisuje bezpośrednio na stronie Stripe, a Mivare ich nie otrzymuje ani nie przechowuje. W zakresie danych płatniczych, zapobiegania oszustwom i własnych obowiązków prawnych Stripe działa jako odrębny administrator na podstawie własnej polityki prywatności, a w pozostałym zakresie jako podmiot przetwarzający. Stripe nie otrzymuje Danych Kancelarii.
• Komisja Europejska (system VIES): sprawdzenie numeru VAT UE Klienta z innego państwa Unii Europejskiej, w celu ustalenia sposobu opodatkowania.
• Minister Finansów (Krajowy System e-Faktur): faktury wystawiane przez Mivare za usługę, w zakresie wymaganym przepisami o podatku od towarów i usług; działa jako odrębny administrator.
• Profesjonalni doradcy (prawni, podatkowi, księgowi) związani obowiązkiem poufności: w zakresie niezbędnym do obsługi rozliczeń i spraw prawnych.
• Organy publiczne: wyłącznie gdy obowiązek przekazania danych wynika z przepisów prawa.

Mivare nie sprzedaje danych osobowych i nie udostępnia ich w celach marketingowych.

5. Usługi zewnętrzne

Aplikacja nie wczytuje w przeglądarce Użytkownika żadnych zasobów z serwerów innych niż Mivare, z wyjątkiem strony płatności Stripe otwieranej przez Administratora konta przy płatności. Czcionki, ikony i biblioteki Aplikacji są ładowane z serwera Mivare.

Aplikacja nie korzysta z narzędzi analitycznych, reklamowych ani śledzących. Do usługi sztucznej inteligencji (Mistral AI) dane trafiają wyłącznie wtedy, gdy asystentkę Mivi włączy Administrator konta dla firmy, a Użytkownik dla swojego konta, i wyłącznie dane, do których ten Użytkownik ma dostęp. Każdy Użytkownik decyduje sam, czy korzysta z asystentki, i może ją w każdej chwili wyłączyć w ustawieniach swojego konta; zakres przekazywanych danych opisuje Umowa powierzenia. W module Mivi+ historia rozmów Użytkownika z asystentką jest przechowywana w Aplikacji przez 90 dni, a Użytkownik może ją w każdej chwili usunąć. Aplikacja nie odczytuje położenia urządzenia.

Jeżeli Administrator konta wprowadzi w Aplikacji token kancelarii do Krajowego Systemu e-Faktur (KSeF), Aplikacja przesyła do KSeF faktury wystawione przez kancelarię w Aplikacji (z danymi sprzedawcy i nabywcy, pozycjami i kwotami) w imieniu kancelarii i z jej uprawnienia. Kancelaria wykonuje w ten sposób swój obowiązek wynikający z przepisów o podatku od towarów i usług i jest administratorem tych danych; Minister Finansów, który prowadzi KSeF, przetwarza je jako organ władzy publicznej na podstawie tych przepisów, a Mivare działa wyłącznie jako narzędzie wysyłki na zlecenie kancelarii, na zasadach Umowy powierzenia. Token jest przechowywany wyłącznie w postaci zaszyfrowanej i służy tylko do tej wysyłki; to samo dotyczy certyfikatu kancelarii do trybu offline KSeF, którym Aplikacja podpisuje kod weryfikujący faktury wystawionej w tym trybie.

6. Pliki cookie i pamięć przeglądarki

Aplikacja używa wyłącznie plików cookie niezbędnych do jej działania, które nie wymagają zgody:

• sesyjny plik cookie Aplikacji (nazwa zaczynająca się od „MIVARE”): utrzymanie zalogowanej sesji; usuwany po zamknięciu przeglądarki lub wylogowaniu; niedostępny dla skryptów, przesyłany wyłącznie połączeniem szyfrowanym;
• mw_td: zapamiętanie zaufanego urządzenia po uwierzytelnieniu dwuskładnikowym, na życzenie Użytkownika; ważny 30 dni.

W pamięci przeglądarki (localStorage) Aplikacja zapisuje wyłącznie stan rozwinięcia menu bocznego; nie jest on przesyłany do serwera.

Pliki cookie można usunąć w ustawieniach przeglądarki; ich zablokowanie uniemożliwia zalogowanie się do Aplikacji.

7. Przekazywanie danych poza Europejski Obszar Gospodarczy

Mivare przetwarza dane opisane w Polityce na serwerach w Unii Europejskiej. Stripe, jako operator płatności, może przekazywać dane rozliczeniowe do podmiotów ze swojej grupy, w tym Stripe, Inc. w Stanach Zjednoczonych, na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-U.S. Data Privacy Framework) oraz standardowych klauzul umownych. Inne przekazanie danych poza Europejski Obszar Gospodarczy nastąpi wyłącznie z zastosowaniem mechanizmu zgodnego z rozdziałem V RODO, po uprzedniej aktualizacji Polityki.

8. Prawa osób, których dane dotyczą

Przysługuje Ci prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz prawo sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie. Jeżeli przetwarzanie odbywa się na podstawie zgody, możesz ją wycofać w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania przed jej wycofaniem.

Żądania prosimy kierować na adres hello@mivaregroup.com. Odpowiadamy bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania; w uzasadnionych przypadkach termin może zostać przedłużony zgodnie z RODO, o czym poinformujemy.

Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa) albo do organu nadzorczego w państwie członkowskim Unii Europejskiej swojego zwykłego pobytu, miejsca pracy lub miejsca naruszenia.

9. Zautomatyzowane decyzje

Mivare nie podejmuje wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, wywołujących skutki prawne lub w podobny sposób istotnie na nich wpływających. Automatyczne zawieszenie dostępu po bezskutecznych próbach płatności wynika z Warunków płatności i dotyczy Klienta jako przedsiębiorcy; decyzję można w każdej chwili wyjaśnić z obsługą.

10. Bezpieczeństwo

Mivare stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności szyfrowanie połączeń, przechowywanie haseł wyłącznie w postaci skrótu kryptograficznego, uwierzytelnianie dwuskładnikowe, logiczne oddzielenie danych każdej kancelarii, rejestrowanie zdarzeń, szyfrowanie plików przed zapisaniem w magazynie plików oraz szyfrowane kopie zapasowe przechowywane w Unii Europejskiej oddzielnie od serwera Aplikacji. Dane usunięte z Aplikacji pozostają w kopiach zapasowych najpóźniej przez 30 dni, po czym są usuwane wraz z rotacją kopii. Szczegółowy opis zawiera Umowa powierzenia (CNS-LEG-003).

11. Zmiany Polityki

Polityka jest aktualizowana przy zmianie sposobu przetwarzania danych, odbiorców lub przepisów. O istotnych zmianach informujemy Administratorów kont pocztą elektroniczną i w Aplikacji. Aktualna wersja jest dostępna pod adresem https://mivaregroup.com/pl/legal/consilaris/privacy/

Polityka jest udostępniana w językach polskim i angielskim; w razie rozbieżności rozstrzyga wersja polska. Polityka obowiązuje od 29 października 2026 r.