Umowa powierzenia przetwarzania danych osobowych

Załącznik do Regulaminu. Wersja 1. Obowiązuje od 16.10.2026. Zawierana na podstawie art. 28 ust. 3 RODO.

§1. Strony i zawarcie

Administrator — Użytkownik Serwisu TenderPuls, który wprowadza do Profilu firmy dane osobowe osób fizycznych innych niż on sam.
Podmiot przetwarzający — Iveberg Tomasz Tatarewicz, ul. Dworcowa 14/7A, 85‑010 Bydgoszcz, NIP PL5562671104 („Usługodawca”).
Umowa zostaje zawarta z chwilą pierwszego wprowadzenia takich danych do Profilu firmy i obowiązuje przez czas trwania umowy o świadczenie usług (Regulamin). W Planie Biuro jest warunkiem korzystania z Planu.

Przedmiot: przechowywanie i wykorzystanie danych w Serwisie wyłącznie w celu porównania ich z warunkami udziału w postępowaniach o udzielenie zamówienia publicznego oraz przygotowania projektów dokumentów do oferty (np. wykazu osób) na polecenie Administratora.
Kategorie osób: pracownicy, współpracownicy i podwykonawcy Administratora, osoby wskazywane do realizacji zamówień, osoby reprezentujące podmioty udostępniające zasoby.
Rodzaje danych: imię i nazwisko, funkcja, rodzaj, specjalność, zakres i numer uprawnień zawodowych, doświadczenie zawodowe, informacje o podstawie dysponowania osobą — w zakresie wprowadzonym przez Administratora. Serwis nie służy do przetwarzania danych szczególnych kategorii (art. 9 RODO) ani danych o wyrokach (art. 10 RODO); Administrator ich nie wprowadza.
Czynności: zapisywanie, przechowywanie, przeglądanie, porównywanie z warunkami ogłoszeń, umieszczanie w generowanych dokumentach, usuwanie.

Przetwarza dane wyłącznie na udokumentowane polecenie Administratora — poleceniem jest korzystanie z funkcji Serwisu — także w odniesieniu do przekazywania danych do państwa trzeciego, chyba że obowiązek wynika z przepisów prawa.
Zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy.
Stosuje środki z art. 32 RODO: szyfrowanie transmisji (TLS), dostęp do serwera wyłącznie dla upoważnionych osób z kluczami SSH, separacja danych kont (dane jednego Użytkownika nie są widoczne dla innych), kopie zapasowe szyfrowane w spoczynku u dostawcy, logowanie dostępu administracyjnego.
Pomaga Administratorowi w realizacji praw osób (art. 15–22 RODO) i obowiązków z art. 32–36 RODO, w szczególności umożliwia samodzielne usunięcie i poprawienie danych w Profilu firmy.
Zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e‑mail Konta.
Udostępnia informacje niezbędne do wykazania spełnienia obowiązków i umożliwia audyt — w formie odpowiedzi na pisemne pytania, a w uzasadnionych przypadkach inspekcji, po uzgodnieniu terminu z 14‑dniowym wyprzedzeniem.
Po zakończeniu świadczenia usług usuwa dane w ciągu 30 dni (kopie zapasowe — zgodnie z ich cyklem, najdłużej 6 miesięcy), chyba że przepis prawa nakazuje ich przechowywanie.

Administrator udziela ogólnej zgody na korzystanie z podmiotów przetwarzających wymienionych w Polityce prywatności (pkt 5): Hetzner Online GmbH (hosting, Niemcy), Cloudflare, Inc. (kopie zapasowe R2, UE). Dane osób z Profilu firmy nie są przekazywane do dostawców modeli językowych ani usług poczty e‑mail.
O zamiarze zmiany lub dodania podprzetwarzającego Usługodawca informuje e‑mailem co najmniej 14 dni wcześniej; Administrator może zgłosić sprzeciw i wypowiedzieć umowę przed wejściem zmiany.
Podprzetwarzający są związani obowiązkami ochrony danych nie mniejszymi niż w tej umowie.

Administrator zapewnia podstawę prawną przetwarzania (zwykle art. 6 ust. 1 lit. b, c lub f RODO w związku z udziałem w postępowaniu o zamówienie) i wykonuje obowiązki informacyjne wobec osób, których dane wprowadza (art. 13/14 RODO).
Wprowadza tylko dane niezbędne do celu z §2.

Odpowiedzialność stron określa art. 82 RODO; w pozostałym zakresie stosuje się postanowienia Regulaminu o odpowiedzialności.
W sprawach nieuregulowanych stosuje się RODO i Regulamin. Kontakt: kontakt@tenderpuls.pl.