Pakiet bezpieczeństwa. Fakty, nie deklaracje.

1. Cel i charakter pakietu

Pakiet zbiera w jednym miejscu odpowiedzi na pytania, które warsztat albo jego doradca zadaje przed wyborem aplikacji: gdzie są dane, kto ma do nich dostęp, jak są chronione i co dzieje się w razie awarii. Usługę świadczy MIVARE GROUP PROSTA SPÓŁKA AKCYJNA z siedzibą w Krasnobrodzie, KRS 0001268091, NIP 9223092251, REGON 545767254, działająca pod marką Mivare Works, dalej „Mivare”.

Pakiet ma charakter informacyjny i nie tworzy zobowiązań ponad dokumenty umowy. Wiążące są: Regulamin usługi Mivare Works (MWK-LEG-001), Umowa powierzenia przetwarzania danych osobowych (MWK-LEG-003, dalej „DPA”) i Poziom usług (MWK-LEG-005, dalej „SLA”). W razie rozbieżności pierwszeństwo mają te dokumenty. Pakiet opisuje wyłącznie zabezpieczenia faktycznie stosowane; tam, gdzie coś nie jest wdrożone, mówi to wprost.

2. Gdzie są dane

• Aplikacja wraz z bazą danych działa na serwerze Contabo GmbH w centrum danych w Unii Europejskiej.
• Pliki (zdjęcia, załączniki) są przechowywane w prywatnym magazynie plików (Object Storage) w Unii Europejskiej, oddzielnie dla każdego konta warsztatu.
• Kopie zapasowe są przechowywane w Unii Europejskiej, w osobnym magazynie, oddzielonym od serwera Aplikacji i od magazynu plików.
• Powierzonych danych nie przekazujemy poza Europejski Obszar Gospodarczy.

Pełny wykaz podprocesorów (Contabo, OVH, Mistral AI) z zakresem ich dostępu do danych zawiera sekcja 8 DPA. O planowanym dodaniu albo zastąpieniu podprocesora informujemy administratora konta e-mailem z wyprzedzeniem, a warsztat może zgłosić sprzeciw w ciągu 14 dni.

3. Rozdzielenie danych warsztatów

Dane każdego konta warsztatu są logicznie oddzielone od danych innych warsztatów na poziomie aplikacji i bazy danych. Pliki są zapisywane oddzielnie dla każdego konta i udostępniane wyłącznie przez Aplikację, po sprawdzeniu uprawnień. Nie łączymy danych różnych warsztatów, nie sprzedajemy ich i nie wykorzystujemy do profilowania ani do trenowania modeli sztucznej inteligencji.

4. Logowanie i dostęp użytkowników

• Hasła są przechowywane wyłącznie w postaci skrótu algorytmem Argon2id; Aplikacja sprawdza siłę hasła i odrzuca hasła powszechnie znane.
• Uwierzytelnianie dwuskładnikowe (TOTP) jest dostępne dla każdego użytkownika, a administrator konta może go wymagać od wszystkich.
• Po 5 nieudanych próbach logowania w ciągu 15 minut logowanie na dane konto z danego adresu jest wstrzymane na 15 minut.
• Nieaktywna sesja wygasa automatycznie.
• Administrator konta nadaje i odbiera dostęp oraz ustala uprawnienia każdego użytkownika.
• Działania w Aplikacji trafiają do dziennika zdarzeń, który administrator przechowuje przez wybrany okres, od 30 do 180 dni.

5. Ochrona danych w Aplikacji

Stan zabezpieczeń na dzień obowiązywania pakietu:

• szyfrowanie połączeń protokołem TLS: wdrożone;
• szyfrowanie plików przez Aplikację przed zapisem w magazynie plików, odszyfrowanie dopiero przy pobraniu przez uprawnionego użytkownika: wdrożone;
• skanowanie każdego przesyłanego pliku oprogramowaniem antywirusowym przed zapisem: wdrożone;
• funkcje publiczne Aplikacji (status naprawy, akceptacja zakresu prac, rezerwacja wizyty, logowanie i rejestracja) chronione limitem prób i tokenem formularza; strony statusu i akceptacji wymagają poza linkiem danych znanych tylko klientowi, dają dostęp na 30 minut i zapisują każde otwarcie w dzienniku zdarzeń: wdrożone;
• szyfrowanie kopii zapasowych przed zapisem, z kluczem przechowywanym poza serwerem i poza miejscem przechowywania kopii: wdrożone;
• aktualizacje i poprawki bezpieczeństwa: wdrożone;
• procedura obsługi incydentów bezpieczeństwa: wdrożona;
• szyfrowanie bazy danych na dysku serwera: nie wdrożone, planowane. Do czasu wdrożenia dane w bazie chronią kontrola dostępu, zasada minimalnych uprawnień i rejestrowanie zdarzeń.

Nie posiadamy certyfikacji ISO ani SOC i nie deklarujemy zgodności z takimi normami.

6. Dostęp personelu Mivare

Do danych dopuszczamy wyłącznie osoby upoważnione, zobowiązane do zachowania poufności. Dostęp do danych konkretnego konta warsztatu następuje tylko w zakresie niezbędnym do wykonania zgłoszenia administratora konta, usunięcia awarii albo zapewnienia bezpieczeństwa. Konta administracyjne Mivare są chronione uwierzytelnianiem dwuskładnikowym i działają według zasady minimalnych uprawnień.

7. Kopie zapasowe i ciągłość działania

• Kopia bazy danych co godzinę, przechowywana przez 7 dni.
• Pełna kopia bazy danych raz dziennie, przechowywana przez 3 dni.
• Bieżąca kopia plików, w której usunięty plik pozostaje najwyżej 30 dni.
• Okresowy test odtworzenia danych.

Usługa jest świadczona w modelu najlepszych starań: nie deklarujemy procentowego poziomu dostępności ani maksymalnego czasu odtworzenia i okresu utraty danych (RTO i RPO). Przerwy planowane dłuższe niż 15 minut zapowiadamy co najmniej 48 godzin wcześniej. Szczegóły, w tym priorytety zgłoszeń i cele obsługi, zawiera SLA.

8. Asystentka Mivi

Asystentka Mivi jest domyślnie wyłączona. Włącza ją administrator konta dla całego warsztatu, a następnie każdy użytkownik sam decyduje, czy z niej korzysta. Zapytania obsługuje Mistral AI w Unii Europejskiej, bez wykorzystywania danych do trenowania modeli; dostawca przechowuje zapytania i odpowiedzi najwyżej 30 dni wyłącznie w celu wykrywania nadużyć.

Do asystentki trafiają tylko dane potrzebne do odpowiedzi, do których dany użytkownik ma dostęp. Nie trafiają hasła, dane uwierzytelniania, dane kart płatniczych, numery PESEL ani numery dokumentów tożsamości, a rozpoznane numery PESEL, dowodów osobistych i paszportów Aplikacja przed wysłaniem zastępuje znacznikiem [ID]. Wyłączenie asystentki natychmiast zatrzymuje przekazywanie danych. Pełny zakres danych opisuje sekcja 8 DPA.

9. Incydenty i naruszenia

O naruszeniu ochrony danych osobowych informujemy administratora konta bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, i przekazujemy informacje potrzebne do zgłoszenia naruszenia organowi nadzorczemu. O awarii dotyczącej wielu klientów informujemy administratorów kont, a po jej usunięciu podajemy przyczynę i podjęte działania.

10. Dane po zakończeniu umowy

Kopię danych warsztat pobiera w każdej chwili funkcją eksportu w Aplikacji (archiwum ZIP z plikami CSV i załączonymi plikami). Po zakończeniu umowy przechowujemy dane przez 30 dni, aby umożliwić eksport albo wznowienie usługi, a następnie je usuwamy, nie później niż 60 dni od zakończenia umowy. Dane w kopiach zapasowych znikają w cyklu rotacji, nie później niż 30 dni po usunięciu z Aplikacji. Na żądanie potwierdzamy usunięcie.

11. Pytania i audyt

Na pytania dotyczące Aplikacji, zabezpieczeń i podprocesorów odpowiadamy w ciągu 14 dni; należy je kierować na adres hello@mivaregroup.com. Jeżeli odpowiedzi nie wystarczą, warsztat albo niezależny audytor związany obowiązkiem poufności może przeprowadzić audyt na zasadach sekcji 13 DPA, nie częściej niż raz na 12 miesięcy, z wyjątkiem audytu po naruszeniu ochrony danych.

Zgłoszenia techniczne i awarie: support@mivareworks.com. Do zgłoszenia nie należy dołączać haseł ani kodów uwierzytelniania.

Pakiet jest udostępniany w siedmiu wersjach językowych; w razie rozbieżności rozstrzyga wersja polska. Aktualna wersja jest dostępna pod adresem https://mivaregroup.com/pl/legal/works/security/

Pakiet obowiązuje od 30 października 2026 r.