Privacy notice
Draft for the owner's review: not yet reviewed by a lawyer.
English reading of the Norwegian notice
Who this notice is for
This notice is for people whose personal data TenderCapture may hold without having collected it from them (GDPR art. 14): people who work for public buyers, and for organisations named in public procurement notices, registers and journals.
Controller
The controller is Tusen AS. Questions and requests go to Tusen AS as an organisation (the contact address is added by the owner before this notice is published).
What is held, and what is not
Buyer contacts are recorded by role and office (for example the category manager for technical services), not by name. A person's name is recorded only after a meeting with that person, and only with a legitimate-interest assessment on file. Roles in Enhetsregisteret (general manager, board members) are never imported. Signals from public journals carry case titles only, never the names in a journal entry. Contact persons named in procurement notices are dropped when the notice is read. A winner that is a sole proprietorship is shown as "Sole proprietor (name withheld)", because its name is a person's name.
Purpose
Finding public tenders and preparing bids for them for the three partner firms of the consortium, and following up the contacts that work needs.
Legal basis
Legitimate interest, GDPR art. 6(1)(f): the partners' interest in taking part in public procurement, which is public by law. Where a name is recorded, a written legitimate-interest assessment is kept.
Where the data comes from
Public procurement notices (TED, the EU's Tenders Electronic Daily, and Doffin), public registers (Brønnøysundregistrene: Enhetsregisteret and Regnskapsregisteret) and public journals (eInnsyn and the buyers' own postlister).
Who sees it
The signed-in users of the three partner firms. Processors under a data processing agreement: Hetzner (hosting), the e-mail provider for sign-in links and notifications, and the language-model provider once one is chosen. Nothing is published.
How long it is kept
A buyer contact: 24 months after the last contact. A dropped signal: 12 months. The audit log: 24 months. A user who has left the partnership is anonymised after 24 months. Notices are public records and are kept.
Your rights
Access, rectification, erasure and restriction (GDPR art. 15 to 18), and the right to object to processing based on legitimate interest (art. 21); an objection is honoured on request. You may complain to Datatilsynet, the Norwegian Data Protection Authority: www.datatilsynet.no
Personvernerklæring (norsk tekst)
Hvem erklæringen gjelder
Denne erklæringen gjelder personer som TenderCapture kan ha personopplysninger om uten å ha samlet dem inn fra dem selv (personvernforordningen artikkel 14): ansatte hos offentlige oppdragsgivere og i virksomheter som er nevnt i offentlige kunngjøringer, registre og journaler.
Behandlingsansvarlig
Behandlingsansvarlig er Tusen AS. Spørsmål og henvendelser rettes til Tusen AS som virksomhet (kontaktadressen legges inn av eieren før erklæringen publiseres).
Hva som lagres, og hva som ikke lagres
Kontakter hos oppdragsgivere registreres med rolle og enhet (for eksempel innkjøpsrådgiver for tekniske tjenester), ikke med navn. Navnet på en person registreres først etter et møte med personen, og bare når en interesseavveining er dokumentert. Roller i Enhetsregisteret (daglig leder, styremedlemmer) hentes aldri inn. Signaler fra offentlige journaler inneholder bare sakstitler, aldri navnene i en journalpost. Kontaktpersoner som er oppgitt i kunngjøringer, fjernes når kunngjøringen leses inn. En vinner som er et enkeltpersonforetak, vises som «Enkeltpersonforetak (navn holdt tilbake)», fordi foretaksnavnet er et personnavn.
Formål
Å finne offentlige anbudskonkurranser og forberede tilbud for de tre partnerne i samarbeidet, og å følge opp kontaktene dette arbeidet krever.
Rettslig grunnlag
Berettiget interesse, personvernforordningen artikkel 6 nr. 1 bokstav f: partnernes interesse i å delta i offentlige anskaffelser, som etter loven er offentlige. Der et navn registreres, foreligger en skriftlig interesseavveining.
Hvor opplysningene kommer fra
Offentlige kunngjøringer (TED, EUs Tenders Electronic Daily, og Doffin), offentlige registre (Brønnøysundregistrene: Enhetsregisteret og Regnskapsregisteret) og offentlige journaler (eInnsyn og oppdragsgivernes egne postlister).
Hvem som ser opplysningene
De innloggede brukerne i de tre partnerne. Databehandlere med databehandleravtale: Hetzner (drift), e-postleverandøren for innloggingslenker og varsler, og leverandøren av språkmodell når en er valgt. Ingenting publiseres.
Hvor lenge opplysningene lagres
En kontakt hos en oppdragsgiver: 24 måneder etter siste kontakt. Et forkastet signal: 12 måneder. Revisjonsloggen: 24 måneder. En bruker som har sluttet i samarbeidet, anonymiseres etter 24 måneder. Kunngjøringer er offentlige dokumenter og beholdes.
Dine rettigheter
Innsyn, retting, sletting og begrensning (personvernforordningen artikkel 15 til 18), og retten til å protestere mot behandling som bygger på berettiget interesse (artikkel 21); en protest etterkommes på forespørsel. Du kan klage til Datatilsynet: www.datatilsynet.no