Pakiet bezpieczeństwa. Fakty, nie deklaracje.

1. Cel i charakter pakietu

Pakiet zbiera w jednym miejscu odpowiedzi na pytania, które kancelaria zadaje przed powierzeniem danych objętych tajemnicą zawodową: gdzie są dane, kto i kiedy może je zobaczyć, jak są chronione i co dzieje się w razie incydentu. Usługę świadczy MIVARE GROUP PROSTA SPÓŁKA AKCYJNA z siedzibą w Krasnobrodzie, KRS 0001268091, NIP 9223092251, REGON 545767254, działająca pod marką Consilaris, dalej „Mivare”.

Pakiet ma charakter informacyjny i nie tworzy zobowiązań ponad dokumenty umowy. Wiążące są: Regulamin usługi Consilaris (CNS-LEG-001), Umowa powierzenia przetwarzania danych osobowych (CNS-LEG-003, dalej „DPA”) i Poziom usług (CNS-LEG-005, dalej „SLA”). W razie rozbieżności pierwszeństwo mają te dokumenty. Pakiet opisuje wyłącznie zabezpieczenia faktycznie stosowane; tam, gdzie coś nie jest wdrożone, mówi to wprost.

2. Tajemnica zawodowa

• Wszystkie dane kancelarii traktujemy jako objęte tajemnicą adwokacką, radcowską albo inną tajemnicą prawnie chronioną, niezależnie od ich oznaczenia.
• Każda osoba dopuszczona do danych kancelarii, u Mivare i u podprocesora, zobowiązała się na piśmie, bezterminowo, do zachowania tajemnicy.
• Gdy sąd, prokurator albo inny organ zażąda danych, niezwłocznie zawiadamiamy kancelarię, jeżeli prawo tego nie zabrania, wskazujemy organowi, że dane mogą być objęte tajemnicą zawodową, i wydajemy je wyłącznie w zakresie wynikającym z przepisu prawa albo prawomocnego rozstrzygnięcia. Nie udostępniamy danych dobrowolnie ani na podstawie samego zapytania.
• Nie kontaktujemy się z klientami kancelarii i nie potwierdzamy osobom trzecim, czy kancelaria przetwarza dane określonej osoby.

3. Gdzie są dane

• Aplikacja wraz z bazą danych działa na serwerze Contabo GmbH w centrum danych w Unii Europejskiej.
• Pliki są przechowywane w prywatnym magazynie plików (Object Storage) w Unii Europejskiej, oddzielnie dla każdego konta kancelarii.
• Kopie zapasowe są przechowywane w Unii Europejskiej, w osobnym magazynie, oddzielonym od serwera Aplikacji i od magazynu plików.
• Powierzonych danych, w tym kopii zapasowych, nie przechowujemy ani nie przetwarzamy poza Unią Europejską.

Pełny wykaz podprocesorów (Contabo, OVH, Mistral AI) z zakresem ich dostępu do danych zawiera sekcja 9 DPA. O planowanym dodaniu albo zastąpieniu podprocesora informujemy administratora konta e-mailem co najmniej 30 dni przed zmianą, a kancelaria może zgłosić sprzeciw w ciągu 14 dni.

4. Kto i kiedy może zobaczyć dane

Personel Mivare zapoznaje się z treścią danych kancelarii wyłącznie:

• na zgłoszenie administratora konta albo upoważnionego użytkownika, w zakresie i na czas potrzebny do jego wykonania;
• gdy jest to niezbędne do usunięcia awarii, przywrócenia danych albo odparcia zagrożenia bezpieczeństwa; o takim dostępie, jego przyczynie i zakresie zawiadamiamy kancelarię nie później niż w ciągu 3 dni roboczych.

Każdy dostęp do treści danych dokumentujemy (osoba, data, przyczyna, zakres), a na żądanie kancelarii przekazujemy jej wykaz dostępów. Utrzymanie serwerów, aktualizacje i kopie zapasowe nie wymagają zapoznania się z treścią danych.

5. Logowanie i uprawnienia w kancelarii

• Hasła są przechowywane wyłącznie w postaci skrótu algorytmem Argon2id; Aplikacja sprawdza siłę hasła i odrzuca hasła powszechnie znane.
• Uwierzytelnianie dwuskładnikowe (TOTP) jest dostępne dla każdego użytkownika, a administrator konta może go wymagać od wszystkich.
• Liczba prób logowania jest ograniczona, a po nieudanych próbach konto jest blokowane; nieaktywna sesja wygasa automatycznie.
• Kancelaria nadaje uprawnienia użytkownikom, a każdy użytkownik widzi tylko sprawy, ich akta i pliki, do których kancelaria dała mu dostęp (podgląd albo edycja).
• Działania w Aplikacji trafiają do dziennika zdarzeń, który kancelaria przechowuje przez wybrany okres, od 30 do 180 dni.

6. Ochrona danych w Aplikacji

Stan zabezpieczeń na dzień obowiązywania pakietu:

• szyfrowanie połączeń protokołem TLS: wdrożone;
• logiczne oddzielenie danych każdego konta kancelarii na poziomie aplikacji i bazy danych: wdrożone;
• szyfrowanie plików przez Aplikację przed zapisem w magazynie plików, odszyfrowanie dopiero przy pobraniu przez uprawnionego użytkownika: wdrożone;
• skanowanie każdego przesyłanego pliku oprogramowaniem antywirusowym przed zapisem: wdrożone;
• token i certyfikat kancelarii do KSeF przechowywane wyłącznie w postaci zaszyfrowanej (AES-256-GCM, klucz poza bazą danych), klucz prywatny certyfikatu nigdy niewyświetlany, niepobierany i pomijany w eksporcie: wdrożone;
• szyfrowanie kopii zapasowych przed zapisem, z kluczem przechowywanym poza serwerem i poza miejscem przechowywania kopii: wdrożone;
• aktualizacje i poprawki bezpieczeństwa: wdrożone;
• procedura obsługi incydentów bezpieczeństwa: wdrożona;
• szyfrowanie bazy danych na dysku serwera: nie wdrożone, planowane. Do czasu wdrożenia dane w bazie chronią kontrola dostępu, zasada minimalnych uprawnień, pisemne zobowiązania do tajemnicy i rejestrowanie zdarzeń.

Nie posiadamy certyfikacji ISO ani SOC i nie deklarujemy zgodności z takimi normami.

7. Kopie zapasowe i ciągłość działania

• Kopia bazy danych co godzinę, przechowywana przez 7 dni.
• Pełna kopia bazy danych raz dziennie, przechowywana przez 3 dni.
• Bieżąca kopia plików, w której usunięty plik pozostaje najwyżej 30 dni.
• Okresowy test odtworzenia danych.

Usługa jest świadczona w modelu najlepszych starań: nie deklarujemy procentowego poziomu dostępności ani maksymalnego czasu odtworzenia i okresu utraty danych (RTO i RPO). Przerwy planowane dłuższe niż 15 minut zapowiadamy co najmniej 72 godziny wcześniej. Szczegóły, w tym priorytety zgłoszeń i cele obsługi, zawiera SLA.

8. Asystentka Mivi

Asystentka Mivi jest domyślnie wyłączona. Włącza ją administrator konta dla całej kancelarii, a następnie każdy użytkownik sam decyduje, czy z niej korzysta. Przed włączeniem kancelaria ocenia, czy takie przetwarzanie odpowiada jej obowiązkom dotyczącym tajemnicy zawodowej, i może wskazać, którzy użytkownicy z niej korzystają.

Zapytania obsługuje Mistral AI w Unii Europejskiej, bez wykorzystywania danych do trenowania modeli; dostawca przechowuje zapytania i odpowiedzi najwyżej 30 dni wyłącznie w celu wykrywania nadużyć. Do asystentki trafiają tylko dane potrzebne do odpowiedzi, do których dany użytkownik ma dostęp; nie trafiają hasła, dane uwierzytelniania, dane kart płatniczych, numery PESEL ani numery dokumentów tożsamości. Wyłączenie asystentki natychmiast zatrzymuje przekazywanie danych. Pełny zakres danych opisuje sekcja 9 DPA.

9. Incydenty i naruszenia

O naruszeniu ochrony danych osobowych oraz o każdym zdarzeniu, które mogło skutkować ujawnieniem informacji objętych tajemnicą zawodową, informujemy administratora konta bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia. Pomagamy kancelarii w zgłoszeniu organowi nadzorczemu i w obowiązkach wobec samorządu zawodowego. O awarii dotyczącej wielu klientów informujemy administratorów kont, a po jej usunięciu podajemy przyczynę i podjęte działania.

10. Dane po zakończeniu umowy

Kopię danych kancelaria pobiera w każdej chwili funkcją eksportu w Aplikacji (archiwum ZIP z plikami CSV i załączonymi plikami). Po zakończeniu umowy przechowujemy dane przez 30 dni, aby umożliwić eksport albo wznowienie usługi, a następnie je usuwamy, nie później niż 60 dni od zakończenia umowy. Dane w kopiach zapasowych znikają w cyklu rotacji, nie później niż 30 dni po usunięciu z Aplikacji. Na żądanie potwierdzamy usunięcie. Obowiązek tajemnicy trwa bez ograniczenia w czasie.

11. Pytania i audyt

Na pytania dotyczące Aplikacji, zabezpieczeń, podprocesorów i wykazu dostępów odpowiadamy w ciągu 14 dni; należy je kierować na adres hello@mivaregroup.com. Jeżeli odpowiedzi nie wystarczą, kancelaria albo niezależny audytor związany obowiązkiem poufności może przeprowadzić audyt na zasadach sekcji 14 DPA, nie częściej niż raz na 12 miesięcy, z wyjątkiem audytu po naruszeniu ochrony danych.

Zgłoszenia techniczne i awarie: biuro@consilaris.pl. Do zgłoszenia nie należy dołączać haseł ani kodów uwierzytelniania.

Pakiet jest udostępniany w języku polskim i angielskim; w razie rozbieżności rozstrzyga wersja polska. Aktualna wersja jest dostępna pod adresem https://mivaregroup.com/pl/legal/consilaris/security/

Pakiet obowiązuje od 29 października 2026 r.