Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die Verarbeitung auf dieser Website und für den Betrieb der Plattform ist digitalify GmbH (siehe Impressum). Für die Fotos der Lernenden ist die jeweilige Schule verantwortlich; der Betreiber verarbeitet sie in ihrem Auftrag.

Fragen richten Sie an kontakt@validportrait.ch.

2. Welche Daten verarbeitet werden

Website: keine Konten, keine Tracker. Ein Cookie merkt sich die gewählte Sprache, wenn Sie sie umschalten. Registriert sich eine Schule, speichern wir den Namen der Schule, das Kürzel, die Sprache sowie Name und E-Mail-Adresse der Person, bis der Betrieb entscheidet, höchstens 30 Tage. Wird die Schule freigeschaltet, wird die Person ihre erste Admin.

Konsole der Schule: Benutzername, Anzeigename, Rolle, gegebenenfalls «Gültig bis» und ein Sitzungs-Cookie nach der Anmeldung; bei einer Einladung, wer sie wann ausgestellt hat und bis wann sie gilt, der Link selbst nur als Hash; dazu das Logo der Schule, wenn sie eines hochlädt. Wie auf der Website merkt sich ein Cookie die gewählte Sprache, wenn Sie sie umschalten. Logs enthalten Kennungen und Fehlercodes, keine Namen.

Lernende: Personalnummer, E-Mail-Adresse oder Mobilnummer, optional eine Bezeichnung, eine Klasse und die Sprache, wie die Schule sie erfasst. Dazu das aufgenommene oder von der Schule hochgeladene Foto, die daraus geschnittenen Zielformate und die Messwerte der Prüfung; bearbeitet die Schule das Foto oder lässt sie den Hintergrund ersetzen, auch die Werte der Bearbeitung und eine Maske des Hintergrunds.

Nachrichten: je Einladung oder Erinnerung Art, Kanal, Zeitpunkt und Zustand des Versands. Die Adresse steht nur beim Auftrag, der Text der Nachricht wird nicht gespeichert. Lässt sich eine Person ihren Link vom Handy an eine eigene E-Mail-Adresse senden, steht diese Adresse nur bis zum Versand beim Auftrag und wird danach gelöscht; die Schule sieht sie nicht.

3. Wozu

Die Daten dienen einem Zweck: das Porträtfoto einer Person im Auftrag ihrer Schule einzuholen, zu prüfen, zuzuschneiden, auf Wunsch der Schule nachzubearbeiten und an die Schule zu übergeben. Es findet keine Gesichtserkennung statt, es werden keine biometrischen Merkmale zum Wiedererkennen berechnet, und Gesichter werden nicht generativ verändert.

4. Prüfen und Nachbearbeiten

Freigabe: Die Schule kann einstellen, dass jedes Foto auf ihre Freigabe wartet. Lehnt sie ein Foto mit einem Grund ab, entsteht ein neuer Auftrag für dieselbe Person; auf Wunsch erhält die Person einen neuen Link mit einem Tipp.

Bearbeitung: Die Schule kann den Ausschnitt verschieben, das Foto drehen und die Tonwerte des ganzen Fotos anpassen. Gespeichert werden nur diese Werte; gerechnet wird immer vom Original aus.

Hintergrund: Wählt die Schule, den Hintergrund zu ersetzen, rechnet ein Modell auf dem Server des Betreibers eine Maske, die die Person vom Hintergrund trennt. Das Modell liefert nur diese Maske und kein Bild; es ist kein generatives Verfahren. Ersetzt wird mit einer einzigen Farbe; innerhalb der Kontur der Person bleibt jeder Bildpunkt das Original, nur am Rand wird übergeblendet. Der Dienst läuft ohne Verbindung nach aussen, kein Bild verlässt dafür den Betrieb.

5. Hochladen durch die Schule und Schnittstelle

Hochladen: Die Schule kann vorhandene Fotos selbst hochladen. Aus dem Dateinamen wird die Personalnummer gelesen; der Dateiname selbst erreicht den Server nicht. Jedes Foto wird geprüft wie eine Aufnahme, und die Schule bestätigt es an Stelle der Person.

Schnittstelle: Ob ein Schulverwaltungssystem angebunden wird, entscheidet die Schule. Sie stellt die Zugänge in der Konsole selbst aus und widerruft sie dort; jeder gilt nur für ihre Schule und nur für die Rechte, die sie beim Ausstellen wählt. Gespeichert werden der Name des Systems, ein Prüfwert jedes Zugangs und wann er zuletzt benutzt wurde, dazu je hochgeladenem Foto ein Prüfwert des Inhalts, der mit dem Foto gelöscht wird. Fotos holt das System über Links ab, die nach 10 Minuten verfallen. Benachrichtigungen an das System (Webhooks) gehen nur an die Adresse, die die Schule angibt. Was das angebundene System mit den Daten tut, verantwortet die Schule.

6. Wie lange

Ein persönlicher Link gilt 30 Tage, wenn die Schule keine andere Frist wählt. Das Rohbild einer Aufnahme verfällt in der Ablage nach einem Tag; für die Nachbearbeitung bleibt eine Kopie des Originals.

Das Originalfoto bleibt für die Bearbeitung, bis die Schule das Foto abgeholt hat. Danach wird es in der Regel innert 10 Minuten gelöscht, ebenso die Maske. Die fertigen Formate und die Angaben zur Person werden 30 Tage nach dem Abholen gelöscht. Zu den Angaben zur Person gehören Personalnummer, Empfänger und Bezeichnung. Läuft der Link ab oder storniert die Schule den Auftrag, wird alles 30 Tage danach gelöscht. Dasselbe gilt für ein abgelehntes Foto. Holt die Schule ein Foto nie ab, wird es 90 Tage nach dem Senden gelöscht. Diese Frist kann je Schule anders sein. Die Schule kann einen abgeschlossenen Auftrag auch sofort löschen.

Ein Protokoll mit Kennungen und Codes, ohne Namen und ohne Bild, bleibt zur Nachvollziehbarkeit erhalten, ebenso Stand und Klasse des Auftrags und die Zahlen der Berichte, die keine Personendaten enthalten.

7. Unterauftragsbearbeiter

Hetzner Online GmbH, Deutschland: Server für Datenbank, Bildablage, Prüfung, Zuschnitt und Nachbearbeitung, einschliesslich der Maske des Hintergrunds.

Infomaniak Network SA, Schweiz: nur wenn der Betreiber die ergänzende Prüfung einschaltet. Dann prüft ein Bildverständnis-Modell das Bild; übermittelt wird nur eine Vorschau mit 768 Pixeln Kantenlänge, ohne Personenbezug.

Twilio Ireland Limited, Irland: SMS, sobald der Betreiber sie einschaltet. Erhält die Mobilnummer und den Text der Nachricht, nie ein Foto. Beides liegt in der Region Irland und wird bei Twilio gelöscht, kurz nach dem Versand (in Sicherungen bis 30 Tage). Für Betrieb und Kundendienst kann die Muttergesellschaft Twilio Inc. in den USA darauf zugreifen, abgesichert durch das Data Privacy Framework EU–USA und Schweiz–USA und Standardvertragsklauseln.

mailXpert GmbH (Mailomat), Schweiz: E-Mails, sobald der Betreiber sie einschaltet. Erhält die E-Mail-Adresse und den Text der Nachricht, nie ein Foto. Hat eine Schule ihren eigenen Mailserver oder Microsoft 365 eingeschaltet, gehen ihre E-Mails an Lernende darüber.

Weitere Unterauftragsbearbeiter gibt es nicht. Bindet die Schule ihr eigenes System über die Schnittstelle an, erhält dieses System die Daten ihrer Schule, als Empfänger, den sie selbst bestimmt.

8. Keine Weitergabe, keine Tracker

Daten werden weder verkauft noch für Werbung verwendet. Die Seiten laden keine externen Schriften, Scripts oder Analysedienste, und die Plattform führt kein Zugriffsprotokoll mit IP-Adressen.

Der QR-Code, mit dem Lernende ihren Link vom Computer aufs Handy nehmen, entsteht auf dem Server des Betreibers; kein fremder Dienst sieht den Link. Das Logo einer Schule wird ohne Metadaten neu gespeichert und, auch in den E-Mails, von der Adresse der Plattform geladen.

9. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung und Löschung Ihrer Daten. Lernende wenden sich zuerst an ihre Schule, die den Auftrag erteilt hat; Schulen und alle anderen an kontakt@validportrait.ch.

10. Stand

Diese Erklärung beschreibt den Stand der Plattform in der Entwicklung. Sie wird angepasst, wenn sich die Verarbeitung ändert; die jeweils gültige Fassung steht auf dieser Seite.