Déclaration de protection des données

1. Responsable du traitement

Le responsable du traitement sur ce site web et de l'exploitation de la plateforme est digitalify GmbH (voir les mentions légales). L'école concernée est responsable des photos des personnes en formation ; l'exploitant les traite sur mandat de celle-ci.

Adressez vos questions à kontakt@validportrait.ch.

2. Quelles données sont traitées

Site web : pas de comptes, pas de traceurs. Un cookie retient la langue choisie lorsque vous la changez. Si une école s'inscrit, nous enregistrons le nom de l'école, l'abréviation, la langue ainsi que le nom et l'adresse e-mail de la personne, jusqu'à la décision de l'exploitant, au plus 30 jours. Si l'école est activée, la personne en devient la première admin.

Console de l'école : nom d'utilisateur, nom affiché, rôle, le cas échéant « Valable jusqu'au » et un cookie de session après la connexion ; pour une invitation, qui l'a émise, quand et jusqu'à quand elle est valable, le lien lui-même uniquement sous forme de hachage ; en plus, le logo de l'école si elle en téléverse un. Comme sur le site web, un cookie retient la langue choisie lorsque vous la changez. Les journaux contiennent des identifiants et des codes d'erreur, aucun nom.

Personnes en formation : numéro personnel, adresse e-mail ou numéro de mobile, en option un libellé, une classe et la langue, tels que l'école les saisit. En plus, la photo prise ou téléversée par l'école, les formats cibles qui en sont découpés et les mesures de la vérification ; si l'école retouche la photo ou fait remplacer le fond, aussi les valeurs de la retouche et un masque du fond.

Messages : pour chaque invitation ou rappel, le type, le canal, le moment et l'état de l'envoi. L'adresse ne figure que dans la demande, le texte du message n'est pas enregistré. Si une personne se fait envoyer son lien depuis son téléphone à sa propre adresse e-mail, cette adresse ne figure dans la demande que jusqu'à l'envoi, puis elle est supprimée. L'école ne la voit pas.

3. Dans quel but

Les données servent un seul but : recueillir la photo portrait d'une personne sur mandat de son école, la vérifier, la recadrer, la retoucher si l'école le souhaite et la remettre à l'école. Il n'y a pas de reconnaissance faciale, aucune caractéristique biométrique permettant de reconnaître quelqu'un n'est calculée, et les visages ne sont pas modifiés de manière générative.

4. Vérification et post-traitement

Validation : l'école peut régler que chaque photo attend sa validation. Si elle refuse une photo avec un motif, une nouvelle demande est créée pour la même personne ; sur demande, la personne reçoit un nouveau lien avec un conseil.

Retouche : l'école peut déplacer le cadrage, faire pivoter la photo et ajuster les tons de toute la photo. Seules ces valeurs sont enregistrées ; le calcul part toujours de l'original.

Fond : si l'école choisit de remplacer le fond, un modèle sur le serveur de l'exploitant calcule un masque qui sépare la personne du fond. Le modèle ne fournit que ce masque et aucune image ; ce n'est pas un procédé génératif. Le fond est remplacé par une seule couleur ; à l'intérieur du contour de la personne, chaque pixel reste l'original, seul le bord est fondu. Le service fonctionne sans connexion vers l'extérieur, aucune image ne quitte la plateforme pour cela.

5. Téléversement par l'école et interface

Téléversement : l'école peut téléverser elle-même des photos existantes. Le numéro personnel est lu dans le nom du fichier ; le nom du fichier lui-même n'atteint pas le serveur. Chaque photo est vérifiée comme une prise de vue, et l'école la confirme à la place de la personne.

Interface : l'école décide si un système de gestion scolaire est connecté. Elle délivre elle-même les accès dans la console et les y révoque ; chacun ne vaut que pour son école et que pour les droits qu'elle choisit lors de la délivrance. Sont enregistrés le nom du système, une valeur de contrôle de chaque accès et sa dernière utilisation, ainsi que, pour chaque photo téléversée, une valeur de contrôle du contenu, effacée avec la photo. Le système récupère les photos par des liens qui expirent après 10 minutes. Les notifications au système (webhooks) ne partent qu'à l'adresse que l'école indique. L'école répond de ce que le système connecté fait des données.

6. Combien de temps

Un lien personnel est valable 30 jours si l'école ne choisit pas un autre délai. L'image brute d'une prise de vue expire dans le stockage après un jour ; pour le post-traitement, une copie de l'original est conservée.

La photo originale est conservée pour la retouche jusqu'à ce que l'école ait récupéré la photo. Elle est ensuite supprimée, en règle générale dans les 10 minutes, de même que le masque. Les formats finis et les données de la personne sont supprimés 30 jours après la récupération. Les données de la personne sont le numéro personnel, le destinataire et le libellé. Si le lien expire ou si l'école annule la demande, tout est supprimé 30 jours plus tard. Il en va de même pour une photo refusée. Si l'école ne récupère jamais une photo, elle est supprimée 90 jours après l'envoi. Ce délai peut varier selon l'école. L'école peut aussi effacer immédiatement une demande terminée.

Un journal avec des identifiants et des codes, sans nom ni image, est conservé pour la traçabilité, de même que le statut et la classe de la demande et les chiffres des rapports, qui ne contiennent aucune donnée personnelle.

7. Sous-traitants

Hetzner Online GmbH, Allemagne : serveur pour la base de données, le stockage des images, la vérification, le recadrage et le post-traitement, y compris le masque du fond.

Infomaniak Network SA, Suisse : seulement si l'exploitant active la vérification complémentaire. Un modèle de compréhension d'image vérifie alors l'image ; seul un aperçu de 768 pixels de côté est transmis, sans lien avec la personne.

Twilio Ireland Limited, Irlande : les SMS, dès que l'exploitant les active. Il reçoit le numéro de mobile et le texte du message, jamais une photo. Les deux restent dans la région Irlande et sont supprimés chez Twilio peu après l'envoi (dans les sauvegardes jusqu'à 30 jours). Pour l'exploitation et le support, la société mère Twilio Inc. aux États-Unis peut y accéder, avec les garanties du Data Privacy Framework UE–États-Unis et Suisse–États-Unis et des clauses contractuelles types.

mailXpert GmbH (Mailomat), Suisse : les e-mails, dès que l'exploitant les active. Il reçoit l'adresse e-mail et le texte du message, jamais une photo. Si une école a activé son propre serveur de messagerie ou Microsoft 365, ses e-mails aux personnes en formation passent par celui-ci.

Il n'y a pas d'autres sous-traitants. Si l'école connecte son propre système par l'interface, ce système reçoit les données de son école, comme destinataire qu'elle détermine elle-même.

8. Aucune transmission, aucun traceur

Les données ne sont ni vendues ni utilisées à des fins publicitaires. Les pages ne chargent pas de polices, de scripts ou de services d'analyse externes, et la plateforme ne tient aucun journal d'accès avec des adresses IP.

Le code QR avec lequel les personnes en formation passent leur lien de l'ordinateur au téléphone est créé sur le serveur de l'exploitant ; aucun service tiers ne voit le lien. Le logo d'une école est réenregistré sans métadonnées et chargé depuis l'adresse de la plateforme, aussi dans les e-mails.

9. Vos droits

Vous avez le droit d'accéder à vos données, de les faire rectifier et de les faire effacer. Les personnes en formation s'adressent d'abord à leur école, qui a donné le mandat ; les écoles et toutes les autres personnes à kontakt@validportrait.ch.

10. Version

Cette déclaration décrit l'état de la plateforme en développement. Elle est adaptée lorsque le traitement change ; la version en vigueur figure sur cette page.