Umowa powierzenia przetwarzania danych (DPA)

W odniesieniu do danych osobowych, które Klient przekazuje do Usługi lub które Usługa zbiera dla Klienta (użytkownicy, materiały o marce, treść rozmów, pomiary dotyczące marki Klienta), Klient jest administratorem, a New Map podmiotem przetwarzającym. Do własnych celów (prowadzenie witryny, księgowość, własne działania kontaktowe) New Map jest niezależnym administratorem na zasadach opisanych w Polityce prywatności. Pojęcia użyte w niniejszej DPA mają znaczenie nadane im w art. 4 RODO.

New Map przetwarza dane osobowe wyłącznie na udokumentowane polecenie Klienta, którym są Regulamin, niniejsza DPA oraz korzystanie przez Klienta z funkcji Usługi, także w zakresie przekazywania danych do państw trzecich, chyba że prawo Unii lub państwa członkowskiego stanowi inaczej; w takim przypadku New Map informuje Klienta o tym obowiązku przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania. New Map niezwłocznie informuje Klienta, jeśli uzna, że polecenie narusza przepisy o ochronie danych. Polecenia wykraczające poza funkcje Usługi należy wydawać w formie tekstowej; jeśli powodują istotny dodatkowy nakład pracy, ich wykonanie może być rozliczane według rzeczywistych kosztów. Klient poleca New Map tworzenie zagregowanych, zanonimizowanych statystyk na podstawie korzystania z Usługi i danych pomiarowych, zgodnie z opisem w Regulaminie; statystyki te nie zawierają danych osobowych, nigdy nie służą do trenowania modelu AI podmiotu trzeciego, a dane Klienta umożliwiające identyfikację są wykorzystywane wyłącznie na potrzeby tego Klienta.

New Map: (a) zapewnia, że osoby upoważnione do przetwarzania danych są zobowiązane do zachowania poufności; (b) stosuje środki określone w Załączniku 2; (c) korzysta z usług dalszych podmiotów przetwarzających wyłącznie na zasadach punktu 6; (d) uwzględniając charakter przetwarzania, pomaga Klientowi odpowiadać na żądania osób, których dane dotyczą, na podstawie rozdziału III RODO, przekazując każde otrzymane żądanie w ciągu 3 dni roboczych oraz udostępniając potrzebne funkcje i informacje; (e) pomaga Klientowi wywiązać się z obowiązków określonych w art. 32-36 RODO, w tym przy ocenie skutków dla ochrony danych i uprzednich konsultacjach, o ile New Map dysponuje odpowiednimi informacjami; (f) usuwa lub zwraca dane na zasadach punktu 9; (g) udostępnia informacje niezbędne do wykazania przestrzegania art. 28 i umożliwia audyty na zasadach punktu 8; (h) prowadzi rejestr kategorii czynności przetwarzania zgodnie z art. 30 ust. 2 RODO.

New Map zawiadamia Klienta bez zbędnej zwłoki, a najpóźniej w ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych dotyczącego danych Klienta, na adres e-mail właściciela konta Klienta. Zawiadomienie zawiera informacje określone w art. 33 ust. 3 RODO w zakresie, w jakim są znane, i jest uzupełniane w miarę ustalania faktów. New Map dokumentuje naruszenia i współpracuje z Klientem przy zgłoszeniach, które Klient kieruje do organu nadzorczego, oraz przy zawiadamianiu osób, których dane dotyczą. New Map nie zawiadamia organów ani osób, których dane dotyczą, w imieniu Klienta, chyba że otrzyma takie polecenie.

Klient udziela ogólnej zgody na korzystanie z usług wymienionych poniżej dalszych podmiotów przetwarzających. Z każdym z nich zawarta jest pisemna umowa nakładająca obowiązki w zakresie ochrony danych zapewniające ochronę nie niższą niż niniejsza DPA, a New Map ponosi wobec Klienta pełną odpowiedzialność za wykonywanie przez nie obowiązków. New Map co najmniej 30 dni przed dodaniem lub zmianą dalszego podmiotu przetwarzającego zawiadamia o tym właściciela konta e-mailem; w tym terminie Klient może wnieść sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych, strony w dobrej wierze poszukają rozwiązania, a jeśli go nie znajdą, Klient może bez kar wypowiedzieć Usługę, której zmiana dotyczy, ze skutkiem na dzień upływu tego terminu. Dostawcy oznaczeni jako niezależni administratorzy nie są dalszymi podmiotami przetwarzającymi i zostali wymienieni dla kompletności. „DPF” oznacza ramy ochrony danych UE-USA (EU-US Data Privacy Framework); „niezweryfikowany” oznacza, że aktualna certyfikacja dostawcy nie została jeszcze sprawdzona przez New Map i do czasu jej sprawdzenia New Map opiera się na standardowych klauzulach umownych.

Zapytania i treści, które przesyłamy dostawcom AI, są przetwarzane na podstawie ich warunków API dla firm. Anthropic, OpenAI, Perplexity i xAI nie wykorzystują danych wejściowych ani wyjściowych API do trenowania swoich modeli, a Google stosuje do Gemini API dla deweloperów z siedzibą w EOG warunki dotyczące danych w wersji płatnej, zgodnie z którymi zapytania i odpowiedzi nie są wykorzystywane do ulepszania produktów Google. Nie zezwalamy żadnemu dostawcy na trenowanie publicznego modelu na Państwa danych.

Dane Klienta są przechowywane w UE (Załącznik 1, miejsce przechowywania). Jeśli dalszy podmiot przetwarzający znajduje się poza Europejskim Obszarem Gospodarczym i nie ma zastosowania decyzja stwierdzająca odpowiedni stopień ochrony, przekazanie odbywa się w przypadku certyfikowanych dostawców z USA na podstawie ram ochrony danych UE-USA (EU-US Data Privacy Framework; zweryfikowano na podstawie oficjalnej listy w dniu 13 października 2026; Załącznik 3 wskazuje zabezpieczenie dla każdego dalszego podmiotu przetwarzającego), a w przypadku dalszych podmiotów przetwarzających bez certyfikacji na podstawie standardowych klauzul umownych Komisji Europejskiej (decyzja (UE) 2021/914, moduły 2 i 3), uzupełnionych oceną skutków transferu i środkami określonymi w Załączniku 2. Do danych z Wielkiej Brytanii stosuje się brytyjski aneks dotyczący międzynarodowego przekazywania danych (UK International Data Transfer Addendum); do danych ze Szwajcarii stosuje się dostosowania wynikające z FADP. Klient upoważnia New Map do zawierania tych klauzul z dalszymi podmiotami przetwarzającymi w imieniu Klienta, jeśli jest to wymagane.

Na żądanie, nie częściej niż raz na 12 miesięcy, New Map udostępnia informacje niezbędne w uzasadnionym zakresie do wykazania przestrzegania art. 28: niniejszą DPA, aktualny Załącznik 2 oraz certyfikaty i raporty z audytów swoich dostawców infrastruktury (na przykład raporty SOC 2, którymi dysponują Vercel i Supabase). Jeśli to nie wystarczy, Klient lub niezależny audytor zobowiązany do zachowania poufności może przeprowadzić audyt odpowiednich systemów i dokumentacji New Map po zawiadomieniu z 30-dniowym wyprzedzeniem, w godzinach pracy, bez zakłócania działalności, na koszt Klienta; po potwierdzonym naruszeniu dotyczącym Klienta audyt odbywa się na koszt New Map i bez limitu 12 miesięcy.

Po zakończeniu świadczenia Usługi lub na wcześniejsze pisemne żądanie Klienta New Map w ciągu 30 dni zwraca dane Klienta w powszechnie używanym formacie nadającym się do odczytu maszynowego i usuwa je, w tym kopie u dalszych podmiotów przetwarzających, a na żądanie potwierdza usunięcie w formie tekstowej. Zaszyfrowane kopie zapasowe są nadpisywane w ramach cyklu rotacji kopii zapasowych trwającego najwyżej 30 dni. Dane, których przechowywanie nakazuje New Map prawo Unii lub państwa członkowskiego, są przechowywane wyłącznie w tym celu i przez wymagany okres.

• Poufność, kontrola dostępu: dostęp do systemów produkcyjnych wyłącznie dla imiennie wskazanych pracowników z indywidualnymi kontami i uwierzytelnianiem wieloskładnikowym; uwierzytelnianie dwuskładnikowe wymagane przy każdym logowaniu administratorów i zespołu New Map oraz dostępne dla każdego użytkownika Klienta; zasada najmniejszych uprawnień; przegląd dostępu przy zmianie ról; dane uwierzytelniające przechowywane w zaszyfrowanym magazynie zmiennych środowiskowych dostawcy hostingu, nigdy w kodzie.
• Poufność, separacja danych: zabezpieczenia na poziomie wierszy w bazie danych, dzięki którym rekordy każdego Klienta mogą odczytywać tylko jego użytkownicy oraz Usługa działająca w ich imieniu; ograniczenie zakresu do danego Klienta w każdym narzędziu agentów.
• Poufność, pseudonimizacja i szyfrowanie: TLS 1.2+ podczas przesyłania; szyfrowanie danych w spoczynku u dostawców bazy danych i przestrzeni dyskowej; tokeny integracji szyfrowane algorytmem AES-256-GCM kluczem przechowywanym wyłącznie w magazynie zmiennych środowiskowych; hasła przechowywane przez dostawcę uwierzytelniania jako solone skróty.
• Integralność: podpisane ścieżki API z limitem liczby zapytań; weryfikacja botów w publicznych formularzach logowania, rejestracji i kontaktu, o ile jest włączona; pola audytowe (kto, kiedy) w rekordach; rejestrowanie działań agenta; dziennik bezpieczeństwa logowań i sesji, który każdy Klient widzi w zakładce Bezpieczeństwo; automatyczna weryfikacja generowanych treści z danymi Klienta przed ich wyświetleniem.
• Dostępność i odporność: zarządzana infrastruktura z redundancją; baza danych i uwierzytelnianie hostowane w AWS w Irlandii (UE); automatyczne, zaszyfrowane kopie zapasowe bazy danych z możliwością odtworzenia stanu z wybranego momentu u dostawcy, nadpisywane w cyklu rotacji trwającym najwyżej 30 dni; limity liczby żądań chroniące przed nadużyciami; monitorowanie i alerty o awariach.
• Zarządzanie incydentami: udokumentowana procedura reagowania, ocena naruszeń, zawiadomienie zgodnie z punktem 5, przegląd po incydencie.
• Procesy: rejestr czynności przetwarzania; przegląd nowych funkcji i dostawców pod kątem ochrony danych; pracownicy przeszkoleni w zakresie ochrony danych; umowy z dalszymi podmiotami przetwarzającymi zgodne z art. 28 ust. 4.

New Map może aktualizować te środki, pod warunkiem że poziom ochrony nie zostanie obniżony. Aktualne środki opisuje również strona o bezpieczeństwie.

Odpowiedzialność na podstawie niniejszej DPA określa Regulamin, z zastrzeżeniem art. 82 RODO. Niniejsza DPA podlega prawu i jurysdykcji wskazanym w Regulaminie. W razie sprzeczności niniejsza DPA ma pierwszeństwo przed Regulaminem w zakresie przetwarzania danych osobowych, a standardowe klauzule umowne mają pierwszeństwo przed niniejszą DPA, jeśli mają zastosowanie.

Żądania osób, których dane dotyczą, zgłoszenia naruszeń, wnioski o audyt i sprzeciwy wobec dalszych podmiotów przetwarzających: privacy@thenewmap.ai.