1. Părțile și rolurile
Prezentul acord face parte din Termenii profesionali dintre fotograf, în calitate de operator, și SC KALISTO SRL, CUI 17139780, nr. Registrul Comerțului J32/71/2005, cu sediul în Str. Ion Creangă nr. 51, Șelimbăr, județul Sibiu, cod poștal 557260, România, în calitate de persoană împuternicită pentru datele persoanelor fotografiate. Rolurile se stabilesc și după activitățile efective, nu numai prin denumirea contractuală.
Kalisto acționează ca operator independent pentru administrarea conturilor profesionale, securitate, dovada acceptării, apărarea drepturilor și propriile obligații legale.
2. Obiect, natură, scop și durată
Prelucrarea cuprinde primirea, stocarea, afișarea, organizarea, copierea tehnică, generarea derivatelor, sortarea facială atunci când este activă, realizarea machetarilor, suportul și folosirea fotografiilor pentru producția albumelor. Prelucrarea durează pe perioada folosirii serviciului și a retenției aplicabile.
3. Persoane și categorii de date
Persoanele vizate includ elevi, absolvenți, cadre didactice și alte persoane fotografiate, inclusiv minori între aproximativ 10 și 18 ani, precum și utilizatorii profesioniști ai platformei.
- fotografii originale, thumbnails și versiuni optimizate;
- nume, asocierea cu o clasă, școală, folder sau album;
- selecții, machetari, preferințe și metadate foto;
- reprezentări faciale și centroizi biometrici când AI este activ;
- date de cont, calendar, securitate și dovezi contractuale.
4. Instrucțiunile operatorului
Încărcarea conținutului, setările contului și clasei, acceptarea activării implicite AI, mutarea fotografiilor, comenzile și solicitările autentificate constituie instrucțiuni documentate. Kalisto prelucrează datele numai conform acestor instrucțiuni și legislației aplicabile și informează operatorul dacă apreciază că o instrucțiune încalcă legea.
5. Obligațiile fotografului
Fotograful garantează existența unui temei potrivit conform art. 6 GDPR și, pentru prelucrarea biometrică, a unei excepții aplicabile conform art. 9 GDPR, de regulă consimțământul explicit. El furnizează informările, gestionează retragerile și cererile persoanelor și păstrează dovezile necesare. Kalisto poate solicita confirmări sau dovezi rezonabile de conformitate, fără a prelua rolul operatorului.
6. Personal autorizat și securitate
Kalisto limitează accesul la personalul intern autorizat și obligat la confidențialitate. Măsurile confirmate includ HTTPS, criptarea discurilor/NAS-ului și backupurilor declarate, autentificare individuală pentru fotografi, autorizare pe roluri, firewall, actualizări ale infrastructurii și criptarea server-side a tokenurilor Google Calendar.
MFA, jurnalizarea individuală completă a fiecărei vizualizări și testarea formală periodică a restaurării backupurilor nu sunt declarate ca măsuri existente până la implementarea și documentarea lor.
7. Subîmputerniciți și transferuri
Operatorul acordă o autorizare generală pentru furnizorii enumerați în Politica de confidențialitate. Kalisto va informa despre modificări materiale și va permite obiecții motivate înainte ca un nou furnizor să prelucreze datele operatorului.
Google/Firebase poate implica transferuri în afara Spațiului Economic European. Baza de date Firestore este configurată în regiunea multi-regională nam5 din Statele Unite. Kalisto trebuie să mențină mecanismele contractuale și evaluările transferurilor aplicabile. Regiunea Firebase Storage trebuie confirmată din consola proiectului înainte de producție.
8. Asistență, incidente și drepturile persoanelor
Kalisto transmite fără întârzieri nejustificate fotografului cererile primite care privesc date operate de acesta și îl asistă, în limite rezonabile, pentru acces, rectificare, ștergere, restricționare, portabilitate, opoziție, evaluări de impact și consultări.
Kalisto notifică fotograful fără întârzieri nejustificate despre o încălcare a securității datelor sale și comunică informațiile disponibile necesare evaluării. Fotograful rămâne responsabil de notificările către persoanele vizate și autoritate, când acestea sunt necesare.
9. Ștergere, returnare și audit
La o instrucțiune valabilă, închiderea contului sau expirarea retenției, Kalisto șterge ori returnează datele din sistemele active, exceptând păstrarea impusă sau permisă de lege. Ștergerea din backup urmează ciclul documentat de rotație al backupurilor.
Kalisto pune la dispoziție informațiile necesare demonstrării respectării art. 28 GDPR și permite audituri rezonabile, cu protejarea securității altor clienți și a secretelor comerciale.