Niniejsze tłumaczenie udostępniamy wyłącznie dla wygody. Wiążąca jest wersja angielska i to ona rozstrzyga w razie jakiejkolwiek sprzeczności lub różnicy znaczeniowej. Przeczytaj wersję angielską.
Bezpieczeństwo
Co robimy dziś, a nie co planujemy.
Ta strona opisuje środki stosowane według stanu na dzień 30 października 2026. Wiążącą wersją jest załącznik 2 do umowy powierzenia przetwarzania danych (DPA).
01
Hosting i dane
Aplikacja działa na platformie Vercel. Bazę danych klientów i uwierzytelnianie hostuje Supabase na AWS w Irlandii (UE): dane klientów są przechowywane w UE i szyfrowane w spoczynku, a zabezpieczenia na poziomie wierszy sprawiają, że rekordy każdego klienta mogą odczytać wyłącznie użytkownicy tego klienta oraz usługa działająca w ich imieniu. Funkcje Vercel i dostawcy AI działają poza UE, więc przetwarzanie nie odbywa się wyłącznie w UE; Polityka prywatności wymienia każdego dostawcę wraz z jego lokalizacją.
Kopie zapasowe wykonuje automatycznie dostawca, z możliwością odtworzenia stanu z dowolnego momentu. Są szyfrowane i rotowane w cyklu nie dłuższym niż 30 dni.
02
Dostęp
Pracownicy korzystają z indywidualnych kont z uwierzytelnianiem dwuskładnikowym; uwierzytelnianie dwuskładnikowe jest obowiązkowe przy każdym logowaniu administratora i zespołu oraz dostępne dla każdego użytkownika po stronie klienta. Sekrety produkcyjne są przechowywane wyłącznie w zaszyfrowanym magazynie zmiennych środowiskowych dostawcy hostingu, nigdy w kodzie. Tokeny integracji (na przykład Google Analytics) są szyfrowane algorytmem AES-256-GCM przy użyciu klucza przechowywanego wyłącznie w tym magazynie. Hasła przechowuje w postaci solonych skrótów dostawca uwierzytelniania; my ich nie przechowujemy.
03
Dane w trakcie przesyłania
Wszędzie stosujemy TLS 1.2 lub nowszy. Publiczne formularze i trasy API mają limity liczby żądań. Formularze logowania, rejestracji i kontaktowy chroni weryfikacja botów Cloudflare, tam gdzie jest włączona. Liczba prób logowania jest ograniczona dla każdego konta i każdego adresu.
04
Dostawcy AI
Zapytania trafiają do dostawców AI na biznesowych warunkach korzystania z API. Anthropic i OpenAI nie wykorzystują danych wejściowych z API do trenowania swoich modeli; jeśli nie zweryfikowaliśmy jeszcze warunków danego dostawcy, informuje o tym Polityka prywatności. Nie pozwalamy żadnemu dostawcy trenować publicznego modelu na danych klientów. Zanim klient zobaczy wygenerowane wersje robocze, automatyczny weryfikator porównuje je z danymi klienta, a każda wersja robocza jest oznaczona jako wygenerowana przez AI.
05
Incydenty
Powiadamiamy klientów, których to dotyczy, w ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych i współpracujemy z nimi przy zgłaszaniu naruszenia organom nadzorczym oraz zawiadamianiu osób, których dane dotyczą. Rejestrujemy zdarzenia bezpieczeństwa na każdym koncie; klienci widzą własną historię logowań i aktywne sesje w zakładce Bezpieczeństwo w panelu klienta. Pełne zobowiązanie zawiera umowa powierzenia przetwarzania danych (DPA), sekcja 5.
06
Certyfikaty
Nie mamy jeszcze własnego raportu SOC 2 ani ISO 27001. Mają je nasi dostawcy infrastruktury; ich raporty udostępniamy na życzenie na podstawie umowy o zachowaniu poufności (NDA), a umowa powierzenia przetwarzania danych (DPA) określa, jak klient może przeprowadzić u nas audyt.
07
Zgłaszanie podatności
Prosimy o e-mail na adres security@thenewmap.ai. Potwierdzamy otrzymanie zgłoszenia w ciągu 5 dni roboczych. Nie podejmiemy kroków prawnych wobec osób, które prowadzą badania w dobrej wierze: szanują dane innych klientów, nie pogarszają działania usługi i nie uzyskują dostępu do większej ilości danych, niż jest to konieczne do wykazania problemu. Prosimy o rozsądny czas na usunięcie problemu przed jego upublicznieniem. Nie prowadzimy programu nagród za znalezione błędy (bug bounty).
Pytania od działu zakupów lub inspektora ochrony danych: privacy@thenewmap.ai. Powiązane dokumenty: Polityka prywatności, Umowa powierzenia przetwarzania danych (DPA), Regulamin.
Ostatnia aktualizacja: .