Polityka prywatności Mivare Space. Twoje dane, nasze obowiązki.

1. Administrator danych

Administratorem danych osobowych opisanych w tej Polityce jest MIVARE GROUP PROSTA SPÓŁKA AKCYJNA z siedzibą w Krasnobrodzie (22-440 Krasnobród; pełny adres siedziby jest ujawniony w Krajowym Rejestrze Sądowym), wpisana do rejestru przedsiębiorców prowadzonego przez Sąd Rejonowy Lublin-Wschód w Lublinie z siedzibą w Świdniku, VI Wydział Gospodarczy KRS, pod numerem KRS 0001268091, NIP 9223092251, REGON 545767254, działająca pod marką Mivare Space, dalej „Mivare”.

Kontakt w sprawach danych osobowych: hello@mivaregroup.com albo pisemnie na adres siedziby ujawniony w Krajowym Rejestrze Sądowym. Inspektor ochrony danych nie został wyznaczony.

2. Zakres Polityki

Polityka dotyczy danych, o których celach i sposobach przetwarzania decyduje Mivare w związku z usługą Mivare Space: danych osób zakładających Konto firmy i korzystających z Aplikacji (Użytkowników), osób wskazanych do rozliczeń, osób kontaktujących się z obsługą oraz danych technicznych związanych z korzystaniem z Aplikacji.

Polityka nie dotyczy danych, które firma (Klient) wprowadza do Aplikacji o swoich klientach, ich mieszkaniach i domach, pracownikach, podwykonawcach, architektach, partnerach i innych osobach (w tym zdjęć wnętrz, rzutów, ewidencji obecności wraz z położeniem urządzenia przy rozpoczęciu i zakończeniu pracy), ani danych przekazywanych przez klientów firmy, architektów i partnerów w funkcjach publicznych Aplikacji (portal klienta, portal architekta, portal partnera, status realizacji, akceptacje). Administratorem tych danych jest firma, a Mivare przetwarza je wyłącznie w jej imieniu, na podstawie Umowy powierzenia przetwarzania danych osobowych Mivare Space (MSP-LEG-003). Osoby, których te dane dotyczą, powinny kierować żądania do firmy; jeżeli żądanie trafi do Mivare, Mivare przekaże je firmie.

Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie usługi Mivare Space (MSP-LEG-001).

3. Cele, podstawy prawne i okresy przechowywania

• Rejestracja, prowadzenie Konta firmy i świadczenie usługi (imię i nazwisko, adres e-mail, numer telefonu, jeżeli został podany, stanowisko, język, ustawienia konta): art. 6 ust. 1 lit. b RODO wobec osoby zawierającej Umowę, a wobec pozostałych Użytkowników art. 6 ust. 1 lit. f RODO (uzasadniony interes w świadczeniu usługi Klientowi). Dane przechowujemy przez czas trwania Umowy i do usunięcia Konta firmy na zasadach Regulaminu.
• Uwierzytelnianie i bezpieczeństwo (hasło w postaci skrótu, dane uwierzytelniania dwuskładnikowego, zaufane urządzenia, historia logowań i nieudanych prób logowania, adres IP, dziennik zdarzeń w Aplikacji): art. 6 ust. 1 lit. f RODO (uzasadniony interes w ochronie Aplikacji i danych). Dziennik zdarzeń jest przechowywany przez okres ustawiony przez Klienta, od 30 do 180 dni (domyślnie 90 dni); pozostałe dane przechowujemy do usunięcia konta Użytkownika.
• Lista „Ostatnio otwarte” (rodzaj i identyfikator rekordów ostatnio otwartych przez Użytkownika oraz czas ich otwarcia, bez treści rekordów): art. 6 ust. 1 lit. f RODO (uzasadniony interes w ułatwieniu powrotu do bieżącej pracy). Lista jest widoczna wyłącznie dla tego Użytkownika; każdy wpis jest usuwany po 90 dniach od ostatniego otwarcia rekordu, a cała lista natychmiast wraz z Kontem firmy.
• Zapis akceptacji dokumentów (osoba, firma, dokument i jego wersja, data, adres IP): art. 6 ust. 1 lit. c i f RODO (wykazanie zawarcia Umowy). Przechowujemy przez czas trwania Umowy, a po usunięciu Konta firmy w archiwum, przez 5 lat.
• Rozliczenia, płatności i faktury (dane firmy, numer VAT UE i wynik jego sprawdzenia w systemie VIES, adres e-mail do rozliczeń, historia płatności): art. 6 ust. 1 lit. b i c RODO. Dokumenty rozliczeniowe przechowujemy przez okres wymagany przepisami podatkowymi i rachunkowymi, co do zasady 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku.
• Obsługa zgłoszeń, reklamacji i korespondencji: art. 6 ust. 1 lit. b i f RODO. Przechowujemy do zakończenia sprawy, a następnie do upływu okresu przedawnienia roszczeń, nie dłużej niż 3 lata od ostatniego kontaktu.
• Wiadomości serwisowe dotyczące usługi (bezpieczeństwo, zmiany dokumentów, płatności, przerwy techniczne): art. 6 ust. 1 lit. b i f RODO. Nie wysyłamy Użytkownikom informacji handlowych bez odrębnej zgody.
• Ustalenie, dochodzenie lub obrona roszczeń: art. 6 ust. 1 lit. f RODO, do upływu okresu przedawnienia.

Podanie danych jest dobrowolne, ale niezbędne do założenia konta i korzystania z usługi. Dane Użytkowników innych niż osoba zakładająca konto przekazuje Administrator konta.

4. Odbiorcy danych

• Contabo GmbH (Niemcy): serwer Aplikacji, baza danych, magazyn plików i kopie zapasowe (Object Storage), centra danych w Unii Europejskiej; pliki i kopie zapasowe szyfrujemy przed zapisem; działa jako podmiot przetwarzający.
• OVH Sp. z o.o. (grupa OVHcloud): poczta elektroniczna, domeny i strony internetowe Mivare, centra danych w Unii Europejskiej; działa jako podmiot przetwarzający.
• Mistral AI SAS (Francja, Paryż): przygotowanie podsumowań, odpowiedzi i projektów dokumentów asystentki Mivi, wyłącznie w Kontach firmy, w których włączył ją Administrator konta, i wyłącznie dla Użytkowników, którzy włączyli ją dla swojego konta; działa jako podmiot przetwarzający; zapytania są przetwarzane i przechowywane w Unii Europejskiej i nie są wykorzystywane do trenowania modeli; Mistral AI przechowuje je najwyżej przez 30 dni wyłącznie w celu wykrywania nadużyć, po czym je usuwa.
• Stripe Payments Europe, Limited (Irlandia): obsługa płatności Subskrypcji. Stripe otrzymuje nazwę firmy, adres e-mail do rozliczeń, kraj, język i techniczne oznaczenie konta; dane karty Administrator konta wpisuje bezpośrednio na stronie Stripe, a Mivare ich nie otrzymuje ani nie przechowuje. W zakresie danych płatniczych, zapobiegania oszustwom i własnych obowiązków prawnych Stripe działa jako odrębny administrator na podstawie własnej polityki prywatności, a w pozostałym zakresie jako podmiot przetwarzający. Stripe nie otrzymuje Danych Klienta.
• Komisja Europejska (system VIES): sprawdzenie numeru VAT UE Klienta z innego państwa Unii Europejskiej, w celu ustalenia sposobu opodatkowania.
• Minister Finansów (Krajowy System e-Faktur): faktury wystawiane przez Mivare za usługę, w zakresie wymaganym przepisami o podatku od towarów i usług; działa jako odrębny administrator.
• Profesjonalni doradcy (prawni, podatkowi, księgowi) związani obowiązkiem poufności: w zakresie niezbędnym do obsługi rozliczeń i spraw prawnych.
• Organy publiczne: wyłącznie gdy obowiązek przekazania danych wynika z przepisów prawa.

Mivare nie sprzedaje danych osobowych i nie udostępnia ich w celach marketingowych.

5. Usługi zewnętrzne

Aplikacja nie wczytuje w przeglądarce Użytkownika żadnych zasobów z serwerów innych niż Mivare, z wyjątkiem strony płatności Stripe otwieranej przez Administratora konta przy płatności. Mapy projektów są rysowane z danych przechowywanych na serwerze Mivare, bez zewnętrznych serwisów mapowych. Czcionki, ikony i biblioteki Aplikacji są ładowane z serwera Mivare.

W aplikacji pracownika przycisk „Nawiguj” otwiera, dopiero po kliknięciu przez Użytkownika, serwis Mapy Google z adresem albo położeniem projektu jako celem trasy. Od tej chwili korzystanie z Map Google odbywa się na warunkach Google; Aplikacja nie przekazuje Google innych danych.

Kursy walut Aplikacja pobiera po stronie serwera z publicznych tabel Narodowego Banku Polskiego i bezpośrednio z Europejskiego Banku Centralnego (kursy referencyjne); zapytania nie zawierają danych osobowych ani danych firmy.

Aplikacja nie korzysta z narzędzi analitycznych, reklamowych ani śledzących. Do usługi sztucznej inteligencji (Mistral AI) dane trafiają wyłącznie wtedy, gdy asystentkę Mivi włączy Administrator konta dla firmy, a Użytkownik dla swojego konta, i wyłącznie dane, do których ten Użytkownik ma dostęp. Każdy Użytkownik decyduje sam, czy korzysta z asystentki, i może ją w każdej chwili wyłączyć w ustawieniach swojego konta; zakres przekazywanych danych opisuje Umowa powierzenia. W module Mivi+ historia rozmów Użytkownika z asystentką jest przechowywana w Aplikacji przez 90 dni, a Użytkownik może ją w każdej chwili usunąć.

6. Pliki cookie i pamięć przeglądarki

Aplikacja używa wyłącznie plików cookie niezbędnych do jej działania, które nie wymagają zgody:

• sesyjny plik cookie Aplikacji (nazwa zaczynająca się od „MIVARE”): utrzymanie zalogowanej sesji; usuwany po zamknięciu przeglądarki lub wylogowaniu; niedostępny dla skryptów, przesyłany wyłącznie połączeniem szyfrowanym;
• sesyjny plik cookie stron publicznych (nazwa zaczynająca się od „MIVARE” i kończąca na „PUBSESSID”): utrzymanie dostępu do portalu klienta, architekta lub partnera, statusu realizacji albo akceptacji po weryfikacji, przez 30 minut; usuwany po zamknięciu przeglądarki;
• mw_td: zapamiętanie zaufanego urządzenia po uwierzytelnieniu dwuskładnikowym, na życzenie Użytkownika; ważny 30 dni;
• mw_viewport: szerokość ekranu, pozwalająca dopasować układ Aplikacji do urządzenia; ważny 12 miesięcy; nie zawiera danych identyfikujących.

W pamięci przeglądarki (localStorage) Aplikacja zapisuje wyłącznie stan rozwinięcia menu bocznego; nie jest on przesyłany do serwera.

Pliki cookie można usunąć w ustawieniach przeglądarki; ich zablokowanie uniemożliwia zalogowanie się do Aplikacji i korzystanie z funkcji publicznych.

7. Położenie urządzenia i zdjęcia

Aplikacja korzysta z położenia urządzenia wyłącznie na ekranie ewidencji obecności w aplikacji pracownika, po zezwoleniu Użytkownika w przeglądarce, aby sprawdzić, czy Użytkownik znajduje się w miejscu prac. Zapisywane jest jedno położenie przy rozpoczęciu i jedno przy zakończeniu pracy; po zamknięciu tego ekranu Aplikacja nie korzysta z położenia, a między tymi czynnościami go nie zapisuje. Dane te są Danymi Klienta i należą do zakresu Umowy powierzenia.

Z przesyłanych zdjęć Aplikacja usuwa metadane, w tym zapisane w nich położenie, datę i dane urządzenia.

8. Przekazywanie danych poza Europejski Obszar Gospodarczy

Mivare przetwarza dane opisane w Polityce na serwerach w Unii Europejskiej. Stripe, jako operator płatności, może przekazywać dane rozliczeniowe do podmiotów ze swojej grupy, w tym Stripe, Inc. w Stanach Zjednoczonych, na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-U.S. Data Privacy Framework) oraz standardowych klauzul umownych. Inne przekazanie danych poza Europejski Obszar Gospodarczy nastąpi wyłącznie z zastosowaniem mechanizmu zgodnego z rozdziałem V RODO, po uprzedniej aktualizacji Polityki.

9. Prawa osób, których dane dotyczą

Przysługuje Ci prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz prawo sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie. Jeżeli przetwarzanie odbywa się na podstawie zgody, możesz ją wycofać w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania przed jej wycofaniem.

Żądania prosimy kierować na adres hello@mivaregroup.com. Odpowiadamy bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania; w uzasadnionych przypadkach termin może zostać przedłużony zgodnie z RODO, o czym poinformujemy.

Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa) albo do organu nadzorczego w państwie członkowskim Unii Europejskiej swojego zwykłego pobytu, miejsca pracy lub miejsca naruszenia.

10. Zautomatyzowane decyzje

Mivare nie podejmuje wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, wywołujących skutki prawne lub w podobny sposób istotnie na nich wpływających. Automatyczne zawieszenie dostępu po bezskutecznych próbach płatności wynika z Warunków płatności i dotyczy Klienta jako przedsiębiorcy; decyzję można w każdej chwili wyjaśnić z obsługą.

11. Bezpieczeństwo

Mivare stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności szyfrowanie połączeń, przechowywanie haseł wyłącznie w postaci skrótu kryptograficznego, uwierzytelnianie dwuskładnikowe, logiczne oddzielenie danych każdej firmy, rejestrowanie zdarzeń, szyfrowanie plików przed zapisaniem w magazynie plików oraz szyfrowane kopie zapasowe przechowywane w Unii Europejskiej oddzielnie od serwera Aplikacji. Dane usunięte z Aplikacji pozostają w kopiach zapasowych najpóźniej przez 30 dni, po czym są usuwane wraz z rotacją kopii. Szczegółowy opis zawiera Umowa powierzenia (MSP-LEG-003).

12. Zmiany Polityki

Polityka jest aktualizowana przy zmianie sposobu przetwarzania danych, odbiorców lub przepisów. O istotnych zmianach informujemy Administratorów kont pocztą elektroniczną i w Aplikacji. Aktualna wersja jest dostępna pod adresem https://mivaregroup.com/pl/legal/space/privacy/

Polityka jest udostępniana w siedmiu wersjach językowych; w razie rozbieżności rozstrzyga wersja polska. Polityka obowiązuje od 30 października 2026 r.