Zapytanie ofertowe nr 3/2026/FEPW-0924 — usługi programistyczne Senior .NET Developera (bezpieczeństwo aplikacji, ISMS i przygotowanie do certyfikacji ISO/IEC 27001, analityka produktowa, skalowanie w Microsoft Azure) w ramach projektu FEPW.01.01-IP.01-0924/26 „AI Therapy Support”

Zapytanie ofertowe nr 3/2026/FEPW-0924 — usługi programistyczne Senior .NET Developera (bezpieczeństwo aplikacji, ISMS i przygotowanie do certyfikacji ISO/IEC 27001, analityka produktowa, skalowanie w Microsoft Azure) w ramach projektu FEPW.01.01-IP.01-0924/26 „AI Therapy Support” Zapytanie ofertowe nr 3/2026/FEPW-0924. Przedmiotem zamówienia jest świadczenie usług programistycznych przez Senior .NET Developera na rzecz platformy Therapy Support (aplikacja SaaS dla psychoterapeutów, wspierająca prowadzenie dokumentacji terapeutycznej z wykorzystaniem AI) w ramach Zadania 2 „Certyfikacja bezpieczeństwa ISO/IEC 27001” i Zadania 3 „Ekspansja międzynarodowa” projektu FEPW.01.01-IP.01-0924/26. Usługi świadczy osobiście osoba wskazana w ofercie (Osoba skierowana), w wymiarze odpowiadającym pełnemu zaangażowaniu zawodowemu (średnio ok. 160 godzin w miesiącu), zdalnie, z dostępnością w godzinach 9:00–17:00 w dni robocze. Okres świadczenia: 6 miesięcy (planowany start: listopad 2026 r.). Wynagrodzenie ryczałtowe, miesięczne. Środowisko: .NET 8 (C#, ASP.NET Core Web API, EF Core), React z TypeScript, Azure SQL, Azure Container Apps, Azure Blob Storage, Azure Key Vault, Azure Speech Service, Application Insights, GitHub Actions. Platforma przetwarza dane dotyczące zdrowia (art. 9 RODO). ETAP I (miesiące 1–4, Zadanie 2): 1. Wdrożenie ISMS zgodnego z ISO/IEC 27001:2022 — inwentaryzacja aktywów, ocena ryzyka (ISO/IEC 27005), polityki i procedury wymagane przez Załącznik A. 2. Hardening aplikacji — audit trail z retencją i alertami, RBAC per moduł, szyfrowanie wrażliwych pól, zarządzanie sesją, rate limiting, Content Security Policy, zarządzanie sekretami. 3. Analityka produktowa — PostHog self-hosted (dane w EU), event tracking, dashboardy retencji, adopcji funkcji i lejka onboardingowego. 4. Testy penetracyjne — przygotowanie dokumentacji i środowiska staging, współpraca z zewnętrzną firmą testującą, remediacja podatności, wsparcie przy reteście. 5. Przygotowanie do audytu certyfikującego (Stage 1 i Stage 2). ETAP II (miesiące 5–6, Zadanie 3): 1. Skalowanie dla użytkowników zagranicznych — Azure Front Door, autoskalowanie Container Apps, replikacja bazy (read replicas). 2. Transkrypcja EN — integracja Azure Speech Service z modelami EN, cel WER ≤ 10%. 3. Poprawki na podstawie zgłoszeń klientów zagranicznych, utrzymanie kontroli ISMS. 4. DevOps i monitoring (CI/CD, Application Insights). Minimalne rezultaty, wymagania wspólne (praca z agentowymi narzędziami AI, np. Claude Code lub równoważnymi; pull requesty i przegląd kodu; umowa powierzenia danych) oraz pozostałe warunki — w zapytaniu ofertowym (załącznik). OGRANICZONY OPIS — TAJEMNICA PRZEDSIĘBIORSTWA (sekcja 3.2.2 pkt 11 Wytycznych): uzupełnienie opisu przedmiotu zamówienia (szczegółowa architektura, stan zabezpieczeń, harmonogram, model pracy, case do próbki pracy K2) Zamawiający udostępni każdemu wykonawcy, który złoży wniosek wraz z podpisanym Zobowiązaniem do zachowania poufności (Załącznik nr 4) — przez BK2021 albo na adres bartlomiej.glowacki@aitherapy.support — w dniu roboczym wpływu wniosku (wniosek po godz. 16:00 lub w dniu wolnym — do godz. 12:00 najbliższego dnia roboczego). Wnioski do 16.10.2026 r., godz. 12:00. Uzupełnienie jest niezbędne do przygotowania próbki pracy (K2). Warunek zawarcia umowy: umowa zostanie zawarta po zatwierdzeniu przez PARP zmiany harmonogramu rzeczowo-finansowego projektu obejmującej zakres zamówienia (pkt 3 ust. 3 zapytania). Warunki udziału: Osoby zdolne do wykonania zamówienia: Ocena spełnia / nie spełnia — na podstawie Wykazu doświadczenia (Załącznik nr 3) i dokumentów potwierdzających. W1. Doświadczenie zawodowe Osoby skierowanej — w okresie ostatnich 5 lat przed terminem składania ofert łącznie min. 3 lata pracy (etat, kontrakt, zlecenie) jako programista backend w technologii .NET (C#, ASP.NET Core). W2. Doświadczenie z chmurą Microsoft Azure — Osoba skierowana brała udział we wdrożeniu lub utrzymaniu co najmniej jednej aplikacji działającej produkcyjnie w Microsoft Azure (np. App Service lub Container Apps, Azure SQL, Key Vault, Blob Storage). W3. Doświadczenie w zabezpieczaniu aplikacji — Osoba skierowana brała udział w co najmniej jednym projekcie obejmującym zabezpieczenie aplikacji, np. wdrożenie kontroli dostępu (RBAC), szyfrowania danych, dziennika zdarzeń bezpieczeństwa, usunięcie podatności po teście penetracyjnym albo przygotowanie systemu do audytu ISO/IEC 27001 lub SOC 2. W4. Praktyczna praca z agentowymi narzędziami AI — Osoba skierowana w ramach pracy zawodowej korzysta z agentowego narzędzia AI (np. Claude Code lub równoważnego) — oświadczenie w Wykazie; weryfikacja również na podstawie próbki pracy. Dokumenty potwierdzające W1–W3: dla każdej pozycji Wykazu pisemna referencja albo poświadczenie pracodawcy lub zleceniodawcy (dopuszczalne: świadectwo pracy, protokół odbioru usług, umowa z opisem zakresu). Szczegóły — pkt 4 zapytania ofertowego. Dodatkowe warunki udziału: W5. Brak powiązań osobowych lub kapitałowych z Zamawiającym — oświadczenie (Załącznik nr 2). Zamówienie nie może zostać udzielone podmiotom powiązanym z Zamawiającym osobowo lub kapitałowo (sekcja 3.2.2 pkt 7 Wytycznych). Przez powiązania osobowe lub kapitałowe rozumie się powiązania między Zamawiającym lub osobami upoważnionymi do zaciągania zobowiązań w imieniu Zamawiającego lub osobami wykonującymi w imieniu Zamawiającego czynności związane z przygotowaniem i przeprowadzeniem postępowania a wykonawcą, polegające w szczególności na: a) uczestniczeniu w spółce jako wspólnik spółki cywilnej lub spółki osobowej, posiadaniu co najmniej 10% udziałów lub akcji, pełnieniu funkcji członka organu nadzorczego lub zarządzającego, prokurenta, pełnomocnika; b) pozostawaniu w związku małżeńskim, w stosunku pokrewieństwa lub powinowactwa w linii prostej, pokrewieństwa lub powinowactwa w linii bocznej do drugiego stopnia, lub związaniu z tytułu przysposobienia, opieki lub kurateli albo pozostawaniu we wspólnym pożyciu z wykonawcą, jego zastępcą prawnym lub członkami organów zarządzających lub nadzorczych; c) pozostawaniu z wykonawcą w takim stosunku prawnym lub faktycznym, że istnieje uzasadniona wątpliwość co do bezstronności lub niezależności w związku z postępowaniem. Wykonawca powiązany podlega wykluczeniu. W6. Brak podstaw wykluczenia na podstawie art. 7 ust. 1 ustawy z dnia 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego oraz art. 5k rozporządzenia Rady (UE) nr 833/2014 — oświadczenie (Załącznik nr 2). Lista wymaganych dokumentów/oświadczeń: Oferta składana wyłącznie przez BK2021, w języku polskim (próbka pracy — w języku polskim lub angielskim), obejmuje: a) Formularz ofertowy (Załącznik nr 1) — cena netto i brutto, miesięczna i łączna za 6 miesięcy; b) Oświadczenie o braku powiązań osobowych lub kapitałowych oraz o braku podstaw wykluczenia (Załącznik nr 2); c) Wykaz doświadczenia Osoby skierowanej (Załącznik nr 3) wraz z dokumentami potwierdzającymi (referencje, poświadczenia, świadectwa pracy, protokoły odbioru lub umowy z opisem zakresu); d) CV Osoby skierowanej; e) próbkę pracy (kryterium K2) — max. 4 strony A4, przygotowaną samodzielnie przez Osobę skierowaną na podstawie case'u z uzupełnienia opisu przedmiotu zamówienia (udostępnianego po złożeniu Załącznika nr 4 — wniosku z zobowiązaniem do zachowania poufności); f) pełnomocnictwo — jeżeli ofertę podpisuje pełnomocnik. Dokumenty podpisuje osoba uprawniona do reprezentowania wykonawcy (podpis kwalifikowany, zaufany, osobisty albo skan dokumentu podpisanego własnoręcznie). Termin związania ofertą: 30 dni od upływu terminu składania ofert. Kryteria oceny ofert: K1. Cena — waga 30 pkt. Łączna cena netto za 6 miesięcy z Formularza ofertowego. K1 = (najniższa cena spośród ofert niepodlegających odrzuceniu / cena ocenianej oferty) × 30. K2. Próbka pracy — 40 pkt. Na podstawie case'u z uzupełnienia opisu (pkt 1.6). 4 podkryteria po 0/5/10 pkt (pkt 5 zapytania): problemy w kodzie, jakość rozwiązań, wykonalność planu, zgodność z RODO/ISO 27001 i użycie AI. Poniżej 24 pkt — odrzucenie. K3. Doświadczenie ponad minimum — 30 pkt. K3a: każdy pełny rok jako programista backend .NET ponad 3 lata — 5 pkt (max 15). K3b: każdy kolejny projekt zabezpieczenia aplikacji lub aplikacji z danymi o zdrowiu (min. 3 mies.) ponad W3 — 5 pkt (max 15). Miejsce realizacji: Ciechanów