Zmluva o spracúvaní osobných údajov

Pri osobných údajoch, ktoré klient vkladá do služby alebo ktoré služba získava pre klienta (používatelia, materiály o značke, obsah konverzácií, merania týkajúce sa značky klienta), je klient prevádzkovateľom a New Map sprostredkovateľom. Na vlastné účely (prevádzka webu, účtovníctvo, vlastné oslovovanie) je New Map samostatným prevádzkovateľom podľa svojich Zásad ochrany osobných údajov. Pojmy použité v tejto DPA majú význam uvedený v článku 4 GDPR.

New Map spracúva osobné údaje iba na základe zdokumentovaných pokynov klienta, ktorými sú Obchodné podmienky, táto DPA a používanie funkcií služby klientom, a to aj pokiaľ ide o prenosy do tretích krajín, ak právo Únie alebo členského štátu nevyžaduje inak; v takom prípade New Map o tejto požiadavke informuje klienta pred spracúvaním, ak to dané právo nezakazuje. New Map bezodkladne informuje klienta, ak sa domnieva, že pokyn porušuje predpisy o ochrane údajov. Pokyny nad rámec funkcií služby sa musia dať v textovej forme a ak spôsobia podstatnú dodatočnú prácu, môžu sa účtovať vo výške nákladov. Klient poveruje New Map, aby z používania služby a z údajov z meraní odvodzoval agregované, deidentifikované štatistiky, ako je opísané v Obchodných podmienkach; tieto štatistiky neobsahujú osobné údaje, nikdy sa nepoužívajú na trénovanie AI modelu tretej strany a identifikovateľné údaje klienta sa používajú výlučne pre tohto klienta.

New Map: a) zabezpečí, aby osoby oprávnené spracúvať údaje boli viazané mlčanlivosťou; b) prijme opatrenia uvedené v prílohe 2; c) zapája ďalších sprostredkovateľov iba podľa oddielu 6; d) s ohľadom na povahu spracúvania pomáha klientovi odpovedať na žiadosti dotknutých osôb podľa kapitoly III GDPR tým, že každú prijatú žiadosť postúpi do 3 pracovných dní a poskytne potrebné funkcie a informácie; e) pomáha klientovi pri plnení článkov 32 až 36 GDPR vrátane posúdenia vplyvu na ochranu údajov a predchádzajúcej konzultácie, a to v rozsahu informácií, ktoré má New Map k dispozícii; f) vymaže alebo vráti údaje podľa oddielu 9; g) poskytne informácie potrebné na preukázanie súladu s článkom 28 a umožní audity podľa oddielu 8; h) vedie záznamy o spracovateľských činnostiach podľa článku 30 ods. 2 GDPR.

New Map oznámi klientovi porušenie ochrany osobných údajov, ktoré sa týka údajov klienta, bez zbytočného odkladu, najneskôr do 48 hodín od zistenia, na e-mailovú adresu vlastníka účtu klienta. Oznámenie obsahuje informácie podľa článku 33 ods. 3 GDPR v rozsahu, v akom sú známe, a dopĺňa sa, keď vyjdú najavo ďalšie skutočnosti. New Map porušenia dokumentuje a spolupracuje pri oznámeniach klienta dozornému orgánu a dotknutým osobám. New Map neoznamuje porušenia orgánom ani dotknutým osobám v mene klienta, ak na to nedostane pokyn.

Klient udeľuje všeobecné povolenie na zapojenie ďalších sprostredkovateľov uvedených nižšie. Každý z nich je zapojený na základe písomnej zmluvy, ktorá ukladá povinnosti v oblasti ochrany údajov poskytujúce nie nižšiu ochranu ako táto DPA, a New Map voči klientovi plne zodpovedá za plnenie ich povinností. Pred pridaním alebo nahradením ďalšieho sprostredkovateľa to New Map oznámi vlastníkovi účtu e-mailom najmenej 30 dní vopred; klient môže v tejto lehote vzniesť námietku z opodstatnených dôvodov ochrany údajov, strany budú v dobrej viere hľadať riešenie, a ak ho nenájdu, klient môže dotknutú službu bez sankcie ukončiť ku koncu výpovednej lehoty. Poskytovatelia označení ako samostatní prevádzkovatelia nie sú ďalšími sprostredkovateľmi a uvádzame ich pre úplnosť. „DPF“ je rámec ochrany údajov EÚ a USA (EU-US Data Privacy Framework); „neoverené“ znamená, že New Map ešte neoveril aktuálnu certifikáciu dodávateľa a do jej overenia sa spolieha na štandardné zmluvné doložky.

Zadania a obsah, ktoré posielame poskytovateľom AI, sa spracúvajú podľa ich obchodných podmienok pre API. Anthropic, OpenAI, Perplexity a xAI nepoužívajú vstupy ani výstupy API na trénovanie svojich modelov a Google uplatňuje na Gemini API pre vývojárov usadených v EHP svoje podmienky pre údaje v platenej úrovni, podľa ktorých sa zadania a odpovede nepoužívajú na zlepšovanie produktov Google. Žiadnemu poskytovateľovi nepovoľujeme trénovať verejný model na Vašich údajoch.

Údaje klienta sa ukladajú v EÚ (príloha 1, miesto uloženia). Ak sa ďalší sprostredkovateľ nachádza mimo Európskeho hospodárskeho priestoru a nevzťahuje sa naň rozhodnutie o primeranosti, prenos sa pri certifikovaných poskytovateľoch z USA uskutočňuje na základe rámca ochrany údajov EÚ a USA (overené podľa oficiálneho zoznamu 13. októbra 2026; príloha 3 uvádza záruku pri každom ďalšom sprostredkovateľovi) a pri ďalších sprostredkovateľoch bez certifikácie na základe štandardných zmluvných doložiek Európskej komisie (rozhodnutie (EÚ) 2021/914, moduly 2 a 3), doplnených o posúdenie vplyvu prenosu a opatrenia uvedené v prílohe 2. Pri údajoch zo Spojeného kráľovstva sa uplatňuje dodatok UK o medzinárodnom prenose údajov (UK International Data Transfer Addendum); pri údajoch zo Švajčiarska sa uplatňujú úpravy podľa FADP. Klient splnomocňuje New Map, aby tieto doložky s ďalšími sprostredkovateľmi v prípade potreby uzatváral v jeho mene.

New Map na požiadanie, najviac raz za 12 mesiacov, poskytne informácie primerane potrebné na preukázanie súladu s článkom 28: túto DPA, aktuálnu prílohu 2 a certifikácie a audítorské správy svojich poskytovateľov infraštruktúry (napríklad správy SOC 2, ktoré majú Vercel a Supabase). Ak to nestačí, klient alebo nezávislý audítor viazaný mlčanlivosťou môže po oznámení 30 dní vopred vykonať audit príslušných systémov a záznamov New Map, a to v pracovnom čase, bez narušenia prevádzky a na náklady klienta; po potvrdenom porušení, ktoré sa týka klienta, na náklady New Map a bez obmedzenia na 12 mesiacov.

Po ukončení služby alebo skôr na písomnú žiadosť klienta New Map vráti údaje klienta v bežnom strojovo čitateľnom formáte a do 30 dní ich vymaže vrátane kópií u ďalších sprostredkovateľov; na požiadanie vymazanie potvrdí v textovej forme. Šifrované zálohy sa prepíšu v rámci rotácie záloh, ktorá trvá najviac 30 dní. Údaje, ktoré je New Map povinný uchovávať podľa práva Únie alebo členského štátu, sa uchovávajú iba na tento účel a počas tejto doby.

• Dôvernosť, riadenie prístupu: prístup k produkčným systémom iba pre menovite určených zamestnancov s individuálnymi účtami a viacfaktorovým overením; dvojfaktorové overenie je povinné pri každom prihlásení administrátora a člena tímu New Map a je dostupné každému používateľovi klienta; minimálne oprávnenia; kontrola prístupov pri zmene pozície; tajné kľúče uložené v šifrovanom úložisku prostredia poskytovateľa hostingu, nikdy v kóde.
• Dôvernosť, oddelenie údajov: zabezpečenie na úrovni riadkov v databáze, takže záznamy každého klienta môžu čítať iba používatelia tohto klienta a služba konajúca v ich mene; obmedzenie na konkrétneho klienta v každom nástroji agenta.
• Dôvernosť, pseudonymizácia a šifrovanie: TLS 1.2+ pri prenose; šifrovanie uložených údajov u poskytovateľov databázy a úložiska; integračné tokeny šifrované pomocou AES-256-GCM kľúčom uloženým výlučne v úložisku prostredia; heslá uložené poskytovateľom autentifikácie ako hašované hodnoty so soľou.
• Integrita: podpísané API trasy s obmedzením počtu požiadaviek; kontrola botov vo verejných formulároch na prihlásenie, registráciu a kontakt, ak je zapnutá; auditné polia (kto, kedy) pri záznamoch; zaznamenávanie akcií agentov; bezpečnostný denník prihlásení a relácií, ktorý každý klient vidí na karte Zabezpečenie; automatické overenie generovaného obsahu voči údajom klienta pred jeho zobrazením.
• Dostupnosť a odolnosť: spravovaná infraštruktúra s redundanciou; databáza a autentifikácia hostované na AWS v Írsku (EÚ); automatické šifrované zálohy databázy s obnovou k určitému okamihu u poskytovateľa, rotované do 30 dní; obmedzenie počtu požiadaviek proti zneužitiu; monitorovanie a upozornenia pri výpadkoch.
• Riadenie incidentov: zdokumentovaný postup reakcie, posúdenie porušenia, oznámenie podľa oddielu 5, vyhodnotenie po incidente.
• Procesy: záznamy o spracovateľských činnostiach; posúdenie nových funkcií a poskytovateľov z hľadiska ochrany údajov; zamestnanci poučení o ochrane údajov; zmluvy s ďalšími sprostredkovateľmi podľa článku 28 ods. 4.

New Map môže tieto opatrenia aktualizovať za predpokladu, že sa úroveň ochrany nezníži. Aktuálne opatrenia sú opísané aj na stránke o zabezpečení.

Zodpovednosť podľa tejto DPA sa riadi Obchodnými podmienkami s výhradou článku 82 GDPR. Táto DPA sa riadi právom a súdnou príslušnosťou uvedenými v Obchodných podmienkach. V prípade rozporu má pri spracúvaní osobných údajov táto DPA prednosť pred Obchodnými podmienkami a štandardné zmluvné doložky majú prednosť pred touto DPA, ak sa uplatňujú.

Žiadosti dotknutých osôb, hlásenia porušení, žiadosti o audit a námietky voči ďalším sprostredkovateľom: privacy@thenewmap.ai.