Polityka Prywatności

1. Administrator i zakres

Administratorem danych osobowych przetwarzanych w związku z serwisem przetargradar.pl („Serwis”) jest Operator serwisu przetargradar.pl („Administrator”). W sprawach prywatności i realizacji praw można kontaktować się pod adresem przetargradar@gmail.com.

Serwis służy użytkownikom m.in. do monitorowania przetargów w Polsce i Unii Europejskiej. Na podstawie kodu nie da się potwierdzić kraju ustanowienia Administratora ani kierowania Serwisu do Wielkiej Brytanii lub Stanów Zjednoczonych. Przed takim ukierunkowaniem należy zweryfikować dodatkowe wymogi lokalne. Niniejsza Polityka opisuje w szczególności przetwarzanie podlegające RODO, gdy ma ono zastosowanie.

2. Kategorie osób i danych

W zależności od sposobu korzystania z Serwisu możemy przetwarzać:

• dane odwiedzających: adres IP i dane techniczne przesyłane w żądaniu HTTP, przybliżone dane o przeglądarce, systemie, urządzeniu, czasie i adresie żądanej strony oraz dane niezbędne do ochrony Serwisu i prowadzenia logów;
• dane konta: adres e-mail, identyfikator użytkownika, techniczne dane sesji i zdarzenia uwierzytelnienia; hasło jest przekazywane dostawcy uwierzytelniania i nie jest przechowywane przez aplikację jako hasło jawne;
• dane organizacji i profilu dopasowania: nazwa firmy, NIP, strona WWW, liczba pracowników, obrót, zakres wartości kontraktów, kraje obsługi, usługi, technologie, certyfikaty, kody CPV, słowa wykluczające oraz informacje o gotowości do realizacji usług;
• dane aktywności w usłudze: zapisane ogłoszenia, oceny i statusy, elementy pipeline’u ofertowego, ustawienia alertów e-mail oraz zdarzenia związane z korzystaniem z funkcji Serwisu;
• dane rozliczeniowe: identyfikatory klienta i subskrypcji Stripe, plan, status i okres subskrypcji oraz podpisane zdarzenia Stripe. Adres rozliczeniowy, NIP podatkowy i dane instrumentu płatniczego są podawane na hostowanej stronie Stripe; zakres danych przetwarzanych przez Stripe wynika z wybranego przez użytkownika procesu płatności;
• dane komunikacyjne: adres odbiorcy, temat, treść i status e-maili usługowych oraz dane podane w wiadomości wysłanej do Administratora;
• dane integracji: adres i konfiguracja webhooka, zaszyfrowany sekret webhooka, dane zdarzenia wysłanego na wskazany endpoint oraz ograniczony zapis odpowiedzi tego endpointu.

Pola profilu firmy dotyczą co do zasady działalności gospodarczej, ale mogą zawierać dane osobowe (np. dane jednoosobowej działalności). Nie prosimy o dane szczególnych kategorii w rozumieniu art. 9 RODO ani o dane dzieci. Serwis nie jest projektowany dla dzieci; nie należy przekazywać takich danych w polach otwartych, notatkach ani webhookach.

3. Skąd pochodzą dane

• bezpośrednio od użytkownika — przy rejestracji, logowaniu, konfiguracji profilu, alertów, płatności i integracji;
• automatycznie z urządzenia i infrastruktury — przy wejściu na stronę, w logach bezpieczeństwa oraz w technicznej obsłudze sesji;
• od dostawców usług — w zakresie potwierdzenia konta i sesji, statusu płatności lub dostarczenia wiadomości;
• z publicznych źródeł przetargowych BZP/e-Zamówienia i TED — w zakresie opublikowanych ogłoszeń. Dane te nie pochodzą od użytkownika Serwisu.

3a. Dane z publicznych ogłoszeń przetargowych

Katalog Serwisu pobiera i utrwala publicznie opublikowane ogłoszenia z BZP/e-Zamówienia i TED, wraz z ich wersjami oraz danymi źródłowymi. Ogłoszenia mogą zawierać dane osób wskazanych przez zamawiającego lub wykonawcę, np. imię, nazwisko, służbowe dane kontaktowe, stanowisko, informacje o reprezentacji lub dane zawarte w treści postępowania. Źródłem tych danych są wyłącznie odpowiednie publiczne systemy zamówień.

Dane te są wykorzystywane do zbudowania wyszukiwalnego katalogu, zachowania historii publicznego ogłoszenia i umożliwienia użytkownikom przejścia do źródła. Podstawą jest art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora i użytkowników polegający na świadczeniu usługi informacji o rynku zamówień publicznych; zakres wykorzystania nie powinien wykraczać poza cel takiej usługi. Wobec osób, których dane pochodzą z tych źródeł, ta publiczna Polityka stanowi informację wymaganą przez art. 14 RODO. Administrator powinien udokumentować, czy indywidualne przekazanie informacji jest wymagane, czy zachodzą przesłanki odpowiedniego wyjątku przewidzianego w art. 14 ust. 5 RODO.

4. Cele i podstawy prawne

Zgoda na cookies nie jest warunkiem korzystania z podstawowych funkcji publicznej części Serwisu. Niezbędne technologie sesyjne działają tylko wtedy, gdy są konieczne do żądanej przez użytkownika funkcji, np. zalogowanej części aplikacji.

5. Okres przechowywania

Kod Serwisu nie ustanawia jednolitego automatycznego harmonogramu usuwania danych. Dlatego stosujemy następujące kryteria, a Administrator powinien wdrożyć i zatwierdzić odpowiadające im okresy operacyjne przed produkcyjnym uruchomieniem:

• dane konta, profilu i ustawień — przez okres aktywności konta i świadczenia usługi, a następnie przez okres wymagany do rozliczeń, obsługi roszczeń lub realizacji praw użytkownika;
• dane subskrypcji i zdarzeń płatniczych — przez okres potrzebny do rozliczeń, wyjaśnienia zdarzenia i obrony roszczeń, z uwzględnieniem obowiązków księgowych i podatkowych, jeśli mają zastosowanie;
• logi techniczne, bezpieczeństwa, dostaw i odpowiedzi webhooków — przez okres potrzebny do zapewnienia bezpieczeństwa, diagnostyki i rozpatrzenia incydentu, nie dłużej niż jest to uzasadnione tym celem;
• e-maile i statusy doręczeń — przez okres obsługi korespondencji lub alertu oraz niezbędny okres dowodowy;
• wybór cookies w lokalnym magazynie przeglądarki — do zmiany lub usunięcia przez użytkownika albo do zmiany wersji ustawień;
• dane publicznych ogłoszeń przetargowych — zgodnie z celem utrzymania katalogu, historią zmian oraz warunkami źródła; nie są one automatycznie usuwane wraz z kontem użytkownika.

Usunięcie danych może być ograniczone, gdy dalsze przechowywanie jest konieczne na podstawie prawa, do ustalenia, dochodzenia lub obrony roszczeń, albo gdy dane nie identyfikują już użytkownika. Kopie zapasowe i logi mogą zostać nadpisane w zwykłym cyklu technicznym dostawcy.

6. Odbiorcy i podmioty przetwarzające

Dostęp do danych mają upoważnione osoby Administratora oraz dostawcy, którzy wspierają działanie Serwisu w zakresie niezbędnym do ich usług:

Dodatkowo dane mogą zostać ujawnione organom publicznym lub innym uprawnionym podmiotom, gdy wynika to z obowiązku prawnego, oraz doradcom Administratora w zakresie niezbędnym do ochrony praw. Administrator powinien utrzymywać aktualne umowy powierzenia, instrukcje oraz listę regionów przetwarzania zgodną z rzeczywistą konfiguracją dostawców.

Administrator jest administratorem danych kont, własnej analityki, rozliczeń i komunikacji opisanych w tej Polityce. Rola Administratora wobec danych osobowych, które organizacja użytkownika umieszcza w notatkach, pipeline’ie lub przekazuje przez webhook, zależy od celu i instrukcji tej organizacji. Jeżeli w konkretnym przypadku Administrator działa wyłącznie jako podmiot przetwarzający, strony powinny zawrzeć właściwą umowę powierzenia zgodną z art. 28 RODO przed takim przetwarzaniem.

7. Transfery poza EOG

Vercel, Supabase, Stripe, Resend, Plerdy i Google mogą przetwarzać dane w EOG oraz poza nim, zależnie od wybranego planu, regionu projektu, infrastruktury i podwykonawców. Transfer może też nastąpić, gdy organizacja skonfiguruje webhook do odbiorcy poza EOG. Przed transferem Administrator powinien zapewnić właściwą podstawę rozdziału V RODO — w szczególności decyzję o odpowiednim stopniu ochrony albo standardowe klauzule umowne Komisji Europejskiej wraz z wymaganymi środkami uzupełniającymi. Jeżeli ma zastosowanie inny mechanizm (np. uznany mechanizm certyfikacji), będzie on wskazany w aktualnej informacji przekazanej na żądanie.

Z kodu nie można ustalić regionu projektu Supabase ani warunków umów zawartych przez Administratora z dostawcami. Nie należy interpretować tej sekcji jako zapewnienia, że konkretne dane zawsze pozostają w EOG.

8. Cookies, analityka i usługi zewnętrzne

Szczegółowy wykaz technologii zapisu lub odczytu informacji z urządzenia znajduje się w Polityce Cookies. Obecna wersja Serwisu korzysta z technicznych cookies sesyjnych Supabase po użyciu funkcji logowania oraz z Vercel Web Analytics, Plerdy i Google Analytics 4 wyłącznie po udzieleniu zgody analitycznej w banerze.

W aktualnym kodzie nie ma Google Tag Managera, Google Ads, Meta Pixel, TikTok Pixel, Hotjar, Microsoft Clarity, Afivio, Smartsupp, widgetów social media, map, YouTube, Vimeo ani osadzonych iframe’ów. Nie są one opisane jako aktywne usługi. Ich ewentualne wdrożenie wymaga uprzedniego ustalenia celu i dostawcy, przypisania kategorii zgody, zablokowania ładowania przed zgodą oraz aktualizacji dokumentów i wersji zgody.

9. E-maile, wsparcie i brak newslettera marketingowego

Serwis wysyła e-mail potwierdzający ukończenie onboardingu oraz alerty o dopasowanych ogłoszeniach zgodnie z ustawieniem użytkownika (natychmiast, codziennie, tygodniowo albo wyłączone). Ustawienie alertów można zmienić w zalogowanej części Serwisu. Nie znaleziono odrębnego newslettera marketingowego ani formularza zapisu na taki newsletter.

Aktualna wersja nie ma formularza kontaktowego, systemu CRM, czatu supportowego ani zewnętrznego narzędzia antyspamowego. Kontakt odbywa się przez wskazany adres e-mail. Nie ma też własnego ekranu resetowania hasła; jeżeli taki proces zostanie uruchomiony przez konfigurację lub kod, jego dane i dostawca zostaną dodane do tej Polityki.

Jeżeli użytkownik kontaktuje się z Administratorem, dane z wiadomości są wykorzystywane do odpowiedzi i obsługi sprawy. Adresem kontaktowym jest przetargradar@gmail.com. Dostawca tej skrzynki nie jest możliwy do ustalenia z repozytorium; należy go dodać do wykazu odbiorców przed publikacją.

10. Profilowanie i zautomatyzowane decyzje

Serwis tworzy wynik dopasowania (Fit Score), kwalifikację oraz uzasadnienia i ostrzeżenia na podstawie profilu organizacji oraz danych publicznego ogłoszenia. Jest to profilowanie w rozumieniu RODO, gdy dane dotyczą osoby fizycznej. Wynik ma charakter pomocniczy; aktualny kod nie podejmuje na jego podstawie decyzji wywołującej wobec użytkownika skutki prawne lub w podobny sposób istotnie na niego wpływającej. Użytkownik podejmuje decyzję biznesową samodzielnie i powinien weryfikować źródłową dokumentację przetargową.

11. Prawa osoby, której dane dotyczą

W granicach i na zasadach określonych w RODO użytkownik może żądać:

• dostępu do danych oraz otrzymania ich kopii;
• sprostowania danych;
• usunięcia danych;
• ograniczenia przetwarzania;
• przeniesienia danych, jeżeli przetwarzanie odbywa się na podstawie zgody lub umowy i w sposób zautomatyzowany;
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, z przyczyn związanych ze szczególną sytuacją;
• cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania przed jej cofnięciem.

Zgodę na technologię analityczną można cofnąć bezpośrednio przez „Ustawienia cookies”. Pozostałe żądania należy przesłać na przetargradar@gmail.com. Administrator może poprosić o informacje niezbędne do potwierdzenia tożsamości i zakresu żądania. Użytkownik ma także prawo wnieść skargę do właściwego organu nadzorczego; w Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych (uodo.gov.pl). Prawo skargi można wykonywać także wobec właściwego organu w państwie zwykłego pobytu, miejsca pracy lub domniemanego naruszenia — zgodnie z art. 77 RODO.

12. Bezpieczeństwo

W aktualnej architekturze zastosowano m.in. kontrolę dostępu i polityki RLS w bazie danych, serwerowe przechowywanie kluczy uprzywilejowanych, szyfrowanie sekretów webhooków, weryfikację podpisów webhooków Stripe, ograniczenia adresów webhooków oraz HTTPS. Są to środki adekwatne do charakteru danych i funkcji, lecz żadna transmisja ani infrastruktura nie daje absolutnej gwarancji bezpieczeństwa. Administrator powinien okresowo weryfikować konfigurację dostawców, dostęp, logi, aktualizacje i procedury reagowania na incydenty.

13. Zmiany Polityki

Polityka może zostać zaktualizowana, gdy zmienią się funkcje Serwisu, dostawcy, cele lub podstawy przetwarzania albo przepisy. Nowa wersja zostanie opublikowana pod tym adresem z nową datą aktualizacji. Jeżeli zmiana istotnie wpływa na prawa użytkownika lub wymaga nowej zgody, Administrator zastosuje odpowiedni sposób poinformowania lub ponownego zebrania zgody przed uruchomieniem zmienionej technologii.