Pacote de segurança. Factos, não promessas.

1. Finalidade e natureza do pacote

O pacote reúne num só local as respostas às perguntas que a oficina ou o seu consultor coloca antes de escolher uma aplicação: onde estão os dados, quem tem acesso a eles, como são protegidos e o que acontece em caso de avaria. O serviço é prestado pela MIVARE GROUP PROSTA SPÓŁKA AKCYJNA, com sede em Krasnobród, KRS 0001268091, NIP 9223092251, REGON 545767254, que opera sob a marca Mivare Works, doravante «Mivare».

O pacote tem caráter meramente informativo e não cria obrigações para além dos documentos contratuais. São vinculativos os Termos do serviço Mivare Works (MWK-LEG-001), o Contrato de subcontratação do tratamento de dados pessoais Mivare Works (MWK-LEG-003, doravante «DPA») e o Nível de serviço Mivare Works (SLA) (MWK-LEG-005, doravante «SLA»). Em caso de divergência, prevalecem esses documentos. O pacote descreve apenas as medidas de segurança efetivamente aplicadas; quando algo não está implementado, di-lo claramente.

2. Onde estão os dados

• A Aplicação e a respetiva base de dados funcionam num servidor da Contabo GmbH, num centro de dados na União Europeia.
• Os ficheiros (fotografias, anexos) são conservados num repositório de ficheiros privado (Object Storage) na União Europeia, separadamente para cada conta de oficina.
• As cópias de segurança são conservadas na União Europeia, num repositório separado, distinto do servidor da Aplicação e do repositório de ficheiros.
• Os dados que nos são confiados não são transferidos para fora do Espaço Económico Europeu.

A lista completa dos subcontratantes ulteriores (Contabo, OVH, Mistral AI), com o âmbito do respetivo acesso aos dados, consta da secção 8 do DPA. Informamos antecipadamente o administrador da conta, por correio eletrónico, da intenção de acrescentar ou substituir um subcontratante ulterior, e a oficina pode apresentar oposição no prazo de 14 dias.

3. Separação dos dados das oficinas

Os dados de cada conta de oficina estão logicamente separados dos dados das outras oficinas ao nível da aplicação e da base de dados. Os ficheiros são guardados separadamente para cada conta e disponibilizados exclusivamente através da Aplicação, após verificação das permissões. Não combinamos os dados de diferentes oficinas, não os vendemos e não os utilizamos para a definição de perfis nem para o treino de modelos de inteligência artificial.

4. Início de sessão e acesso dos utilizadores

• As palavras-passe são conservadas exclusivamente sob a forma de hash com o algoritmo Argon2id; a Aplicação verifica a robustez da palavra-passe e rejeita palavras-passe amplamente conhecidas.
• A autenticação de dois fatores (TOTP) está disponível para todos os utilizadores, e o administrador da conta pode exigi-la a todos.
• Após 5 tentativas de início de sessão falhadas no espaço de 15 minutos, o início de sessão na conta em causa a partir do endereço em causa é suspenso durante 15 minutos.
• A sessão inativa expira automaticamente.
• O administrador da conta concede e retira o acesso e define as permissões de cada utilizador.
• As ações na Aplicação são registadas no diário de eventos, que o administrador conserva durante o período escolhido, entre 30 e 180 dias.

5. Proteção dos dados na Aplicação

Estado das medidas de segurança à data de entrada em vigor do pacote:

• cifragem das ligações através do protocolo TLS: implementada;
• cifragem dos ficheiros pela Aplicação antes da gravação no repositório de ficheiros, com decifragem apenas quando um utilizador autorizado os descarrega: implementada;
• análise de cada ficheiro carregado com software antivírus antes da gravação: implementada;
• funcionalidades públicas da Aplicação (estado da reparação, aceitação do âmbito dos trabalhos, marcação de visita, início de sessão e registo) protegidas por um limite de tentativas e por um token de formulário; as páginas de estado e de aceitação exigem, além da ligação, dados conhecidos apenas do cliente, concedem acesso durante 30 minutos e registam cada abertura no diário de eventos: implementadas;
• cifragem das cópias de segurança antes da gravação, sendo a chave conservada fora do servidor e fora do local de conservação das cópias: implementada;
• atualizações e correções de segurança: implementadas;
• procedimento de gestão de incidentes de segurança: implementado;
• cifragem da base de dados no disco do servidor: não implementada, planeada. Até à sua implementação, os dados na base de dados são protegidos pelo controlo de acessos, pelo princípio do privilégio mínimo e pelo registo de eventos.

Não dispomos de certificação ISO nem SOC e não declaramos conformidade com essas normas.

6. Acesso do pessoal da Mivare

Só permitimos o acesso aos dados a pessoas autorizadas, vinculadas a um dever de confidencialidade. O acesso aos dados de uma determinada conta de oficina ocorre exclusivamente na medida necessária para dar seguimento a um pedido do administrador da conta, resolver uma avaria ou garantir a segurança. As contas administrativas da Mivare estão protegidas por autenticação de dois fatores e funcionam segundo o princípio do privilégio mínimo.

7. Cópias de segurança e continuidade

• Uma cópia da base de dados de hora a hora, conservada durante 7 dias.
• Uma cópia integral da base de dados uma vez por dia, conservada durante 3 dias.
• Uma cópia contínua dos ficheiros, na qual um ficheiro apagado permanece, no máximo, 30 dias.
• Testes periódicos de restauro dos dados.

O serviço é prestado no modelo de melhores esforços (best effort): não declaramos um nível percentual de disponibilidade nem um tempo máximo de restauro e um período máximo de perda de dados (RTO e RPO). As interrupções planeadas superiores a 15 minutos são anunciadas com uma antecedência mínima de 48 horas. Os pormenores, incluindo as prioridades dos pedidos e os objetivos de atendimento, constam do SLA.

8. A assistente Mivi

A assistente Mivi está desativada por predefinição. O administrador da conta ativa-a para toda a oficina e, em seguida, cada utilizador decide se a utiliza. Os pedidos são tratados pela Mistral AI na União Europeia, sem utilização dos dados para o treino de modelos; o fornecedor conserva os pedidos e as respostas durante, no máximo, 30 dias, exclusivamente para efeitos de deteção de abusos.

À assistente são transmitidos apenas os dados necessários à resposta, aos quais o utilizador em causa tem acesso. Não são transmitidos palavras-passe, dados de autenticação, dados de cartões de pagamento, números PESEL nem números de documentos de identificação, e, antes do envio, a Aplicação substitui os números PESEL, de cartão de cidadão ou bilhete de identidade e de passaporte reconhecidos pelo marcador [ID]. A desativação da assistente interrompe imediatamente a transmissão de dados. O âmbito completo dos dados é descrito na secção 8 do DPA.

9. Incidentes e violações

Notificamos o administrador da conta de uma violação de dados pessoais sem demora injustificada, o mais tardar no prazo de 48 horas após dela termos tomado conhecimento, e transmitimos as informações necessárias para a notificação da violação à autoridade de controlo. Informamos os administradores das contas de uma avaria que afete vários clientes e, após a sua resolução, indicamos a causa e as medidas tomadas.

10. Dados após o termo do contrato

A oficina pode, a qualquer momento, descarregar uma cópia dos seus dados através da funcionalidade de exportação da Aplicação (arquivo ZIP com ficheiros CSV e os ficheiros anexados). Após o termo do contrato, conservamos os dados durante 30 dias, para permitir a sua exportação ou a retoma do serviço, e, em seguida, apagamo-los, o mais tardar 60 dias após o termo do contrato. Os dados constantes das cópias de segurança desaparecem no ciclo de rotação, o mais tardar 30 dias após o apagamento da Aplicação. A pedido, confirmamos o apagamento.

11. Perguntas e auditoria

Respondemos às perguntas relativas à Aplicação, às medidas de segurança e aos subcontratantes ulteriores no prazo de 14 dias; as perguntas devem ser enviadas para hello@mivaregroup.com. Se as respostas não forem suficientes, a oficina ou um auditor independente vinculado a um dever de confidencialidade pode realizar uma auditoria nos termos da secção 13 do DPA, no máximo uma vez em cada 12 meses, com exceção de uma auditoria na sequência de uma violação de dados pessoais.

Pedidos técnicos e avarias: support@mivareworks.com. Não devem ser incluídos no pedido palavras-passe nem códigos de autenticação.

O pacote é disponibilizado em sete versões linguísticas; em caso de divergência, prevalece a versão polaca. A versão atual está disponível em https://mivaregroup.com/pt/legal/works/security/

O presente pacote entra em vigor em 30 de outubro de 2026.