1. Administrator danych

Administratorem danych osobowych jest DAMIAN TOMALKA IT SOLUTIONS, prowadzący działalność gospodarczą wpisaną do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), NIP: 6793298002, REGON: 528507411, adres siedziby: ul. Leonida Teligi 13/30, 30-835 Kraków.

Kontakt w sprawie ochrony danych osobowych: kontakt@bzp-radar.pl.

2. Jakie dane zbieramy

Dane rejestracyjne: adres e-mail, hasło (przechowywane w formie haszowanej, bcrypt) i dobrowolny opis tego, czego szuka firma. Opis służy wyłącznie do przygotowania profilu firmy. Przy logowaniu przez konto Google otrzymujemy od Google imię i adres e-mail.
Dobrowolna prośba o telefon: numer telefonu, preferowana pora, data i cel prośby oraz status obsługi. Numer służy wyłącznie do oddzwonienia do osoby, która o to poprosiła, w sprawie ustawienia profilu i znalezienia pierwszych zleceń. Nie wykorzystujemy go do marketingu i nie przesyłamy go w powiadomieniach e-mail. Numer przechowujemy w bazie w postaci zaszyfrowanej. Numer i preferowaną porę usuwamy po wycofaniu prośby w panelu, po zakończeniu rozmowy albo po zamknięciu zgłoszenia, a najpóźniej po 90 dniach od zgłoszenia: usuwa je cotygodniowy proces czyszczący, więc może to nastąpić do 7 dni po upływie tego terminu. Po rozmowie albo próbie kontaktu zapisujemy krótką notatkę (czym zajmuje się firma, czego potrzebuje, co ustalono), żeby przy kolejnym kontakcie nie pytać o to samo. Notatkę widzi tylko administrator serwisu. Przed zapisem usuwamy z niej adresy e-mail i ciągi co najmniej 6 cyfr, np. numery telefonów, NIP lub PESEL. Inne dane, np. imię i nazwisko, zostają w treści. Notatki usuwamy po 12 miesiącach albo razem z kontem.
Profil firmy: opis działalności, preferowana lokalizacja, preferencje powiadomień
Możliwości i dokumenty firmy (opcjonalne): zadeklarowane certyfikaty, ubezpieczenia, doświadczenie oraz prywatne dokumenty przesłane przez użytkownika. Dokument jest analizowany przez AI wyłącznie po osobnym potwierdzeniu przy przesyłaniu.
Dokumenty zamówienia dodane przez użytkownika (opcjonalne): pliki PDF, DOCX lub ZIP ze specyfikacją warunków zamówienia (SWZ) i załącznikami, które użytkownik dodaje do wybranego zlecenia, oraz odczytany z nich tekst. Pliki widzi tylko konto, które je dodało. Dokumenty te mogą zawierać dane osobowe osób trzecich, np. imiona, nazwiska i dane kontaktowe pracowników zamawiającego. Należy dodawać wyłącznie dokumenty uzyskane zgodnie z prawem, np. pobrane ze strony zamawiającego.
Dane osób trzecich z dokumentów zamówienia otrzymujemy od użytkownika, który dodał plik. Są to zwykle imiona, nazwiska, stanowiska i dane kontaktowe podane przez zamawiającego. Nie kontaktujemy się z tymi osobami i nie używamy ich danych w innych celach. Indywidualne informowanie ich wymagałoby niewspółmiernie dużego wysiłku (art. 14 ust. 5 lit. b RODO), dlatego publikujemy te informacje w tej polityce. Przysługują im prawa opisane w punkcie 7, w tym prawo sprzeciwu.
Dane rejestrowe firmy (opcjonalne): NIP, REGON, nazwa firmy, miejscowość siedziby, główny kod PKD, pobierane z publicznego rejestru GUS (BIR API) po wpisaniu NIP przez użytkownika. Używamy ich wyłącznie do personalizacji interfejsu (nagłówek dashboardu) oraz dopasowania branży przy wypełnianiu profilu. Podanie NIP jest dobrowolne; profil można wypełnić ręcznie.
Dane o aktywności: zapisane zlecenia, historia wyszukiwań
Wyszukiwania w katalogu zleceń: zapisujemy treść wyszukiwania, wybrane filtry, liczbę wyników i godzinę wyszukiwania bez minut. Zapis nie zawiera identyfikatora konta, adresu IP ani danych urządzenia. Służy do ulepszania wyszukiwarki. Przed zapisem usuwamy z treści adresy e-mail i ciągi co najmniej 6 cyfr, np. NIP lub numer telefonu. Inne wpisane dane, np. imię i nazwisko, zostają w treści. Okres przechowywania podaje punkt 5.
Dane płatności: informacje o transakcjach (kwota, status, data). Dane karty i BLIK przetwarza wyłącznie operator płatności (Tpay); nie przechowujemy ich.

3. Cel przetwarzania danych

Dopasowanie zamówień publicznych z Biuletynu Zamówień Publicznych (BZP), a w planach Pro i Business także z TED, do profilu firmy użytkownika
Wysyłanie powiadomień e-mail o nowych zleceniach
Obsługa subskrypcji i płatności
Analiza AI: sztuczna inteligencja analizuje zlecenia pod kątem dopasowania. Treści generowane przez AI są oznaczone stosowną adnotacją.
Analiza wymagań zlecenia na podstawie dodanych przez użytkownika dokumentów zamówienia, wyłącznie na jego żądanie (przycisk „Przeanalizuj wymagania”), oraz odpowiedzi na pytania do tych dokumentów
Tworzenie na podstawie prywatnych dokumentów sugestii ustrukturyzowanych możliwości i doświadczenia firmy. Sugestie wymagają potwierdzenia użytkownika.
Oddzwonienie do osoby, która zostawiła numer telefonu w dobrowolnej prośbie o pomoc
Zapis notatki z rozmowy, żeby przy kolejnym kontakcie nie pytać o to samo
Wykrywanie i naprawa błędów oraz bezpieczeństwo serwisu
Ochrona przed nadużyciami: limity liczby prób logowania, rejestracji i zapytań
Statystyki korzystania z serwisu i nagrania sesji, wyłącznie po zgodzie na analitykę

4. Podstawa prawna

Art. 6 ust. 1 lit. b RODO: wykonanie umowy (świadczenie usługi) oraz działania podejmowane na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Na tej podstawie przechowujemy i, na żądanie użytkownika, analizujemy dodane przez niego dokumenty zamówienia oraz oddzwaniamy na dobrowolną prośbę o telefon. Numer służy wyłącznie do tej rozmowy, nigdy do marketingu, i jest usuwany najpóźniej po 90 dniach.
Art. 6 ust. 1 lit. a RODO: zgoda na powiadomienia e-mail, na analizę dobrowolnie przesłanego dokumentu firmy oraz na narzędzia analityczne i nagrania sesji uruchamiane po zgodzie w ustawieniach cookies (Microsoft Clarity, PostHog, Google Analytics 4, Vercel Web Analytics, nagrania sesji Sentry, zapis parametrów UTM). Zgodę można w każdej chwili wycofać, w przypadku analityki w ustawieniach cookies. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania przed jej wycofaniem.
Art. 6 ust. 1 lit. c RODO: obowiązek prawny przechowywania dokumentacji księgowej i podatkowej dotyczącej płatności
Art. 6 ust. 1 lit. f RODO: prawnie uzasadniony interes w zapewnieniu bezpieczeństwa i działania serwisu (raporty błędów Sentry, limity liczby zapytań) oraz w ulepszaniu wyszukiwarki na podstawie zapisanych wyszukiwań w katalogu zleceń oraz w ciągłości obsługi osoby, która prosiła o telefon (notatki z rozmów) oraz w przetwarzaniu danych osób trzecich zawartych w dokumentach zamówienia dodanych przez użytkownika (np. pracowników zamawiającego), w zakresie potrzebnym do analizy, o którą prosi użytkownik

5. Jak długo przechowujemy dane

Dane konta, profilu firmy, zapisanych zleceń i aktywności: do usunięcia konta. Usunięcie konta kasuje je z bazy razem z danymi powiązanymi i przesłanymi dokumentami firmy.
Dokumenty zamówienia dodane przez użytkownika, odczytany z nich tekst, przygotowane z nich wyniki analizy wymagań i odpowiedzi czatu z cytatami z tych dokumentów: do usunięcia pliku albo konta, najpóźniej 90 dni po terminie składania ofert w danym zleceniu. Terminy liczone od daty składania ofert realizuje cotygodniowy proces czyszczący, zwykle do 7 dni później.
Dokumentacja księgowa i podatkowa dotycząca płatności: przez okres przedawnienia zobowiązania podatkowego, co do zasady 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku (art. 70 § 1 i art. 86 § 1 Ordynacji podatkowej oraz art. 74 ustawy o rachunkowości w zakresie, w jakim ma zastosowanie).
Numer z prośby o telefon: jak opisano w punkcie 2.
Notatki z rozmów: 12 miesięcy od zapisania albo do usunięcia konta. Usuwa je cotygodniowy proces czyszczący, więc może to nastąpić do 7 dni później.
Wyszukiwania w katalogu zleceń: 90 dni. Usuwa je cotygodniowy proces czyszczący, więc wpis może zniknąć do 7 dni później.
Logi serwera w Vercel: do 30 dni. Raporty błędów i nagrania sesji w Sentry: do 90 dni. Liczniki limitów zapytań w Upstash wygasają po zakończeniu okna limitu.
Dane narzędzi analitycznych: przez okres przechowywania ustawiony w danym narzędziu. Identyfikatory zapisane w przeglądarce usuwamy po wycofaniu zgody.

6. Bezpieczeństwo danych

Dane są chronione na kilku poziomach:

Hasła przechowywane w formie haszowanej (bcrypt, 12 rund)
Izolacja danych na poziomie bazy danych (Row-Level Security w PostgreSQL): żaden użytkownik nie ma dostępu do danych innego użytkownika
Szyfrowane połączenie (HTTPS/TLS)
Dane płatności przetwarzane przez certyfikowanego operatora (Tpay)

7. Prawa użytkownika (RODO)

Użytkownikowi przysługuje prawo do:

Dostępu do danych (art. 15): kopię danych w formacie JSON można pobrać na stronie Konto. Notatki z rozmów przekazujemy na prośbę wysłaną na kontakt@bzp-radar.pl.
Przenoszenia danych (art. 20): eksport w formacie maszynowym (JSON)
Usunięcia danych (art. 17, „prawo do bycia zapomnianym”): konto można trwale usunąć na stronie Konto
Sprostowania danych (art. 16): edycja profilu firmy
Ograniczenia przetwarzania (art. 18)
Sprzeciwu (art. 21) wobec przetwarzania na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f), z przyczyn związanych ze szczególną sytuacją osoby, której dane dotyczą. Sprzeciw można zgłosić na adres kontakt@bzp-radar.pl.
Cofnięcia zgody: powiadomienia można wyłączyć w ustawieniach profilu, a zgodę na analitykę w ustawieniach cookies

8. Udostępnianie danych

Nie sprzedajemy danych użytkowników. Dane mogą być udostępniane wyłącznie dostawcom, z których korzystamy przy świadczeniu usługi:

Vercel: hosting aplikacji i prywatne przechowywanie dokumentów w usłudze Vercel Blob, w tym dokumentów firmy i dokumentów zamówienia dodanych przez użytkownika
Neon: hosting bazy danych PostgreSQL, w której przechowujemy dane konta, profilu firmy i zapisanych zleceń
Tpay (Krajowy Integrator Płatności S.A.): operator płatności (tylko dane transakcyjne)
Resend: dostawca usługi e-mail (adres e-mail do wysyłki powiadomień i wiadomości o koncie)
Anthropic: główny dostawca modeli AI. Przetwarza treść zleceń i dokumentów zamówienia (także dodanych przez użytkownika, gdy zleci analizę wymagań albo zada pytanie do tych dokumentów), dane profilu firmy potrzebne do analizy, pytania zadane do dokumentów oraz, po osobnym potwierdzeniu, treść przesłanego dokumentu firmy
OpenAI: tworzenie reprezentacji wektorowych (embeddingów) z treści zleceń, opisu profilu firmy i pytań do dokumentów na potrzeby wyszukiwania; także zapasowy dostawca modeli AI
Sentry: wykrywanie i diagnoza błędów, projekt w regionie UE. Do zgłoszenia błędu dołączamy pseudonimowy identyfikator konta, bez adresu e-mail i nazwy. Nagrania sesji opisujemy niżej, przy narzędziach działających po zgodzie.
Upstash: krótkotrwałe liczniki do limitów liczby prób logowania, rejestracji i zapytań. Klucz licznika zawiera adres IP, adres e-mail użyty przy logowaniu albo identyfikator konta.
Google: logowanie przez konto Google, jeśli użytkownik wybierze ten sposób logowania

Plik cookie polecenia (bzp_ref): niezbędny, działa bez zgody na analitykę. Po wejściu z linku polecającego zapisujemy w nim wyłącznie kod polecenia, na 30 dni. Służy tylko do przyznania obu osobom obiecanego bonusu za polecenie: przy rejestracji adresem e-mail albo przez Google kod jest odczytywany, polecenie zapisywane na koncie, a plik cookie usuwany. Podstawą jest art. 399 ust. 3 Prawa komunikacji elektronicznej (zapis niezbędny do usługi, o którą prosi osoba otwierająca link) oraz art. 6 ust. 1 lit. b RODO (wykonanie obiecanego bonusu). Nie wykorzystujemy go do analityki i nie przekazujemy go narzędziom analitycznym.

Poniższe narzędzia analityczne działają wyłącznie po zgodzie na analitykę w ustawieniach cookies. Zgodę można w każdej chwili wycofać w tych ustawieniach.

Sentry, nagrania sesji: część sesji zapisujemy jako nagranie przebiegu strony z zamaskowanym tekstem i zablokowanymi obrazami, aby odtworzyć przyczynę błędu. Nagrywanie zaczyna się dopiero po zgodzie, a jej wycofanie od razu je zatrzymuje.
Microsoft Clarity: analiza zachowania użytkowników (heatmapy, nagrania sesji). Clarity rejestruje interakcje z witryną w celu poprawy UX i wykrywania błędów. Dane mogą zawierać informacje o aktywności na stronie. Więcej: Microsoft Privacy Statement.
PostHog: analiza korzystania z funkcji aplikacji. Wysyłamy wybrane zdarzenia (np. ocenę dopasowania) i pseudonimowy identyfikator do projektu w regionie UE. Nie przekazujemy adresów e-mail, treści dokumentów ani pełnych adresów odwiedzanych stron. Pomiar odsłon obejmuje domenę i kategorię strony, bez parametrów adresu i identyfikatorów dokumentów, oraz samą domenę strony, z której nastąpiło wejście (np. google.com), bez jej ścieżki i parametrów, albo informację o wejściu bezpośrednim. Założenie konta i pierwsze zapisanie profilu firmy zgłasza serwer, z tym samym pseudonimowym identyfikatorem, jeśli przeglądarka ma zgodę analityczną. Mierzymy także czas ładowania, reakcję na interakcje i stabilność układu strony (Web Vitals), bez treści klikanych elementów. Zapisujemy w przeglądarce pseudonimowy identyfikator wizyty, aby łączyć odsłony w sesje i mierzyć czas korzystania ze strony; nie używamy do tego plików cookies. Sesja kończy się po 30 minutach bez aktywności, najpóźniej po 24 godzinach. Identyfikatory usuwamy po wycofaniu zgody lub zmianie konta. W tej integracji nie nagrywamy sesji.
Google Analytics 4 (Google LLC): analiza ruchu na stronie (liczba wizyt, źródła ruchu, zdarzenia konwersji). Adres strony wysyłamy bez parametrów i bez strony odsyłającej, z wyłączonymi Google Signals i personalizacją reklam. Więcej: Google Privacy Policy.
Vercel Web Analytics: odsłony stron wraz z czasem, przybliżoną lokalizacją (kraj, region, miasto), systemem, przeglądarką, typem urządzenia i stroną odsyłającą. Adres strony wysyłamy bez parametrów i fragmentu. Narzędzie nie używa plików cookies podmiotów trzecich; odwiedzającego rozpoznaje skrót tworzony z żądania, usuwany po 24 godzinach.
Parametry kampanii (UTM): jeśli adres strony zawiera parametry utm_*, zapisujemy je w pamięci sesji przeglądarki; znikają po zamknięciu karty. utm_source, utm_medium i utm_campaign dołączamy do pierwszej odsłony mierzonej w PostHog po wyrażeniu zgody lub zmianie konta. Pozostałych parametrów utm_* nie wysyłamy. Pierwsze utm_source zapisujemy też w pliku cookie bzp_utm na 30 dni. Przy rejestracji adresem e-mail albo przez Google ta wartość trafia do konta jako źródło rejestracji i do PostHog ze zdarzeniem założenia konta, a plik cookie usuwamy. Bez zgody na analitykę, także w chwili rejestracji, nie tworzymy tego pliku cookie i nie zapisujemy źródła rejestracji. Po wycofaniu zgody usuwamy ten plik cookie przy następnym wczytaniu strony, a parametry z pamięci sesji od razu.

Nie korzystamy z narzędzi marketingowych ani pikseli reklamowych, dlatego ustawienia cookies nie mają kategorii marketingowej.

9. Przekazywanie danych poza Europejski Obszar Gospodarczy

Bazę danych prowadzimy w UE (Neon, region Frankfurt). Projekty PostHog i Sentry działają w regionie UE. Jeśli któryś z tych dostawców przetwarza dane poza EOG, stosuje się podstawy opisane niżej.

Poza Europejskim Obszarem Gospodarczym, głównie w USA, dane mogą przetwarzać: Anthropic, OpenAI, Vercel, Resend, Upstash, Microsoft (Clarity) i Google (Google Analytics 4, logowanie przez konto Google). Przekazanie danych poza EOG opiera się na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) lub na standardowych klauzulach umownych zatwierdzonych przez Komisję. Kopię standardowych klauzul umownych można otrzymać na prośbę wysłaną na adres kontakt@bzp-radar.pl.

10. Sztuczna inteligencja (AI Act)

BZP-Radar wykorzystuje modele sztucznej inteligencji (głównie Anthropic, zapasowo OpenAI) do:

Analizy dopasowania zleceń do profilu firmy
Generowania streszczeń dokumentów przetargowych
Oceny ryzyk (wadium, wymagany sprzęt)
Analizy wymagań na podstawie dokumentów zamówienia dodanych przez użytkownika, na jego żądanie
Tworzenia sugestii na podstawie dokumentów firmy, jeżeli użytkownik wyraził zgodę przy przesyłaniu

Wszystkie treści wygenerowane przez AI są wyraźnie oznaczone. Sugestie z dokumentów firmy nie są automatycznie uznawane za potwierdzone: użytkownik może je zaakceptować albo odrzucić i otworzyć cytowane źródło.

11. Źródło danych o zleceniach

Dane o zamówieniach publicznych pochodzą z Biuletynu Zamówień Publicznych (BZP), publicznego rejestru prowadzonego przez Urząd Zamówień Publicznych, oraz z TED w zakresie ogłoszeń polskich zamawiających. Są to dane publiczne udostępniane na podstawie przepisów o zamówieniach publicznych.

12. Kontakt

W sprawach dotyczących ochrony danych osobowych prosimy o kontakt: kontakt@bzp-radar.pl

Użytkownikowi przysługuje również prawo wniesienia skargi do organu nadzorczego: Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

Polityka prywatności