Umowa powierzenia przetwarzania danych

Umowa powierzenia reguluje przetwarzanie danych osobowych, które firma wprowadza do AgentOfert.pl, np. wykazów osób i referencji. Zawierana jest na podstawie art. 28 RODO.

1. § 1. Strony i zawarcie umowy

   Administratorem danych jest Klient, czyli firma, która korzysta z serwisu AgentOfert.pl. Podmiotem przetwarzającym jest Patryk Filipiak, prowadzący działalność gospodarczą pod firmą Codity Patryk Filipiak, z siedzibą pod adresem Al. Łubieńskich 21, Ruchna, 07-100 Węgrów, NIP 8241813269.

   Umowę zawiera się w formie elektronicznej (art. 28 ust. 9 RODO): Klient akceptuje ją przy zakładaniu konta. Treść umowy jest dostępna w stopce serwisu. Serwis zapisuje, kto i kiedy zaakceptował umowę, w której wersji i z jakiego adresu IP.

2. § 2. Przedmiot i czas trwania

   Klient powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie potrzebnym do świadczenia usługi AgentOfert.pl: przechowywania danych, analizy dokumentacji postępowań i przygotowania dokumentów oferty.

   Umowa obowiązuje przez czas korzystania z serwisu przez Klienta.

3. § 3. Kategorie danych i osób

   Osoby: pracownicy i współpracownicy Klienta, osoby reprezentujące Klienta, osoby kontaktowe wskazane w referencjach.

   Dane: imię i nazwisko, stanowisko, kwalifikacje i uprawnienia zawodowe, doświadczenie, wykształcenie, dane z CV i dokumentów, które Klient doda do serwisu.

   Dokumenty, takie jak informacja z Krajowego Rejestru Karnego, mogą zawierać dane dotyczące wyroków skazujących (art. 10 RODO). Klient dodaje je do serwisu wyłącznie jako podmiotowe środki dowodowe wymagane w postępowaniach o udzielenie zamówienia publicznego (art. 10 RODO w związku z przepisami ustawy – Prawo zamówień publicznych i rozporządzenia w sprawie podmiotowych środków dowodowych), a Podmiot przetwarzający przetwarza je tylko w celu przygotowania ofert Klienta. Pliki, które w całości lub w części wyglądają na informację z Krajowego Rejestru Karnego, są w całości pomijane przy analizie archiwum ofert i nie są przekazywane do modeli AI. Dokumenty z Krajowego Rejestru Karnego są automatycznie usuwane po 6 miesiącach od dodania ich do serwisu, czyli po okresie, w którym informacja z Krajowego Rejestru Karnego może być złożona w postępowaniu.

4. § 4. Obowiązki Podmiotu przetwarzającego

   Podmiot przetwarzający przetwarza dane tylko na udokumentowane polecenie Klienta, także w zakresie przekazywania danych do państwa trzeciego. Za takie polecenie uznaje się korzystanie z funkcji serwisu oraz zaakceptowanie tej umowy, w tym przekazania danych opisanego w części „Miejsce przetwarzania”. Jeżeli zdaniem Podmiotu przetwarzającego polecenie narusza RODO lub inne przepisy o ochronie danych, niezwłocznie informuje o tym Klienta.

   Osoby, które mają dostęp do danych, są zobowiązane do zachowania ich w tajemnicy.

   Podmiot przetwarzający pomaga Klientowi w realizacji praw osób, których dane dotyczą, i w wypełnianiu obowiązków z art. 32–36 RODO.

   O naruszeniu ochrony danych Podmiot przetwarzający zawiadamia Klienta bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia.

   Podmiot przetwarzający udostępnia Klientowi informacje niezbędne do wykazania, że przestrzega umowy, i umożliwia audyt, w tym inspekcję. Audyt zaczyna się od pisemnych pytań Klienta, na które Podmiot przetwarzający odpowiada w ciągu 14 dni. Inspekcję Klient zapowiada co najmniej 14 dni wcześniej, nie częściej niż raz w roku, chyba że doszło do naruszenia ochrony danych. Koszty audytu ponosi Klient, chyba że audyt wykaże naruszenie umowy przez Podmiot przetwarzający.

5. § 5. Podprzetwarzający

   Klient wyraża ogólną zgodę na korzystanie z podprzetwarzających: dostawcy hostingu i poczty e-mail oraz dostawcy modeli AI.

   Aktualna lista podprzetwarzających, z zakresem i miejscem przetwarzania, znajduje się w polityce prywatności w części „Komu powierzamy dane”.

   Na każdego podprzetwarzającego Podmiot przetwarzający nakłada te same obowiązki ochrony danych, które wynikają z tej umowy (art. 28 ust. 4 RODO), i odpowiada za jego działania jak za własne.

   O planowanej zmianie podprzetwarzającego Podmiot przetwarzający informuje Klienta e-mailem co najmniej 14 dni wcześniej. Klient może w tym terminie wnieść sprzeciw. Jeśli strony nie uzgodnią rozwiązania, Klient może zrezygnować z usługi przed wprowadzeniem zmiany.

   Zgodnie z warunkami handlowymi dostawcy modeli AI (Anthropic) przesyłane treści nie są wykorzystywane do trenowania modeli. Zgodnie z zasadami ochrony prywatności dostawcy przesłane treści i odpowiedzi są usuwane w ciągu 30 dni, z wyjątkiem treści zatrzymanych w związku z podejrzeniem naruszenia zasad korzystania z usług dostawcy albo wtedy, gdy dłuższe przechowywanie wymagają przepisy.

6. § 6. Miejsce przetwarzania

   Powierzone dane i dokumenty są przechowywane na serwerach w Polsce.

   Dostawca modeli AI przetwarza część danych w Stanach Zjednoczonych. Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się na podstawie standardowych klauzul umownych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO), zawartych w umowie powierzenia przetwarzania danych z dostawcą.

7. § 7. Bezpieczeństwo danych

   Połączenia z serwisem są szyfrowane. Hasła przechowujemy jako skrót kryptograficzny, nie w jawnej postaci. Dane każdej firmy są oddzielone, a Użytkownik widzi tylko dane własnej firmy.

   Dostęp do danych Klientów ma tylko personel, który go potrzebuje do świadczenia usługi. Zmiany w serwisie przechodzą automatyczne testy, w tym testy oddzielenia danych firm.

   Dostawca hostingu codziennie wykonuje kopie zapasowe całej usługi hostingowej i przechowuje je w Polsce. Kopie obejmują dane z ostatnich 60 dni i pozwalają przywrócić dane po awarii.

   Dostęp administratorów Podmiotu przetwarzającego do danych w panelu administracyjnym jest rejestrowany (kto, kiedy i co otworzył), a wpisy są przechowywane przez 12 miesięcy. Dostawca hostingu przechowuje dane w centrum danych w Polsce. Dane na dyskach serwerów nie są domyślnie szyfrowane.

8. § 8. Zakończenie umowy

   Po zakończeniu korzystania z serwisu Klient może przez 30 dni pobrać swoje dane. Eksport, czyli archiwum ZIP z danymi w formacie JSON i dokumentami, zleca właściciel konta w zakładce Dane na stronie firmy. Po zleceniu usunięcia firmy serwis działa przez 30 dni tylko do odczytu, a potem dane są usuwane.

   Po upływie tego terminu Podmiot przetwarzający usuwa powierzone dane i ich kopie, chyba że przepisy wymagają ich dalszego przechowywania. Z kopii zapasowych dane znikają najpóźniej po 60 dniach. Na żądanie Klienta Podmiot przetwarzający potwierdza usunięcie e-mailem.

9. § 9. Postanowienia końcowe

   W sprawach nieuregulowanych stosuje się RODO, przepisy prawa polskiego i regulamin serwisu. Umowa obowiązuje od 30 października 2026 r.

Pytania dotyczące tego dokumentu: kontakt@agentofert.pl