Forever Alive este serviciul care permite crearea și administrarea unor galerii cu fotografii, video, audio și mesaje, accesibile prin link sau cod QR. Identitatea juridică a entității care operează serviciul trebuie completată în caseta „Date operator” înainte ca această politică să intre în vigoare.

Pentru întrebări ori cereri privind datele personale poate fi folosită adresa contact@qrphoto.ro sau formularul general de contact. Canalul trebuie monitorizat și cererile trebuie înregistrate pentru a putea fi soluționate în termenul legal.

Pentru propriile operațiuni — autentificare, securitate, administrare și suport — entitatea Forever Alive poate acționa ca operator de date. Pentru conținutul unei galerii, rolul poate fi diferit: creatorul alege de regulă materialele, persoanele, audiența și perioada de publicare, iar platforma poate prelucra conținutul la instrucțiunile sale.

Împărțirea exactă a rolurilor trebuie stabilită contractual și validată juridic. Creatorul galeriei trebuie să se asigure că are un temei legal și drepturile necesare pentru materialele încărcate și pentru distribuirea lor. Această responsabilitate nu elimină obligațiile proprii ale entității care operează platforma.

Fotografiile, înregistrările video și vocile persoanelor identificabile pot fi date personale. Separat de GDPR, persoanele au un drept la propria imagine. Creatorul galeriei trebuie să stabilească înainte de încărcare pe ce temei poate fotografia, publica și distribui fiecare categorie de material și cum informează persoanele vizate.

• Folosirea materialelor pentru promovare, portofoliu sau rețele sociale este un scop separat de livrarea unei galerii private și necesită o analiză și o autorizare distincte.
• Pentru minori se aplică garanții suplimentare. Creatorul trebuie să implice titularul răspunderii părintești atunci când legea și temeiul ales o cer și să evite expunerea publică inutilă.
• Persoana care apare într-un material poate cere analizarea accesului, restricționarea sau eliminarea lui. Cererea se evaluează în funcție de rolurile și temeiurile aplicabile, precum și de drepturile celorlalte persoane din material.

Regulile privind protecția datelor nu înlocuiesc dreptul civil la viață privată și la propria imagine. Poți consulta Codul civil, articolele 71–76.

• Cont și autentificare: email sau număr de telefon, coduri de acces păstrate sub formă de hash, încercări, expirare și sesiuni.
• Galerii: titlu, descriere, proprietar, setări de acces, date de creare/expirare, chei de acces pentru linkurile publice, de administrare și pe niveluri.
• Materiale: fotografii, video și audio, numele original al fișierului, tip, dimensiune, cale de stocare, URL, vizibilitate, descriere și metadate incluse în fișier, dacă acestea nu au fost eliminate.
• Contribuții: nume și contact opționale, alegerea anonimatului, mesaj, fișier, nivel de vizibilitate și starea moderării. Opțiunea „anonim” ascunde numele față de public; dacă un contact este trimis, acesta poate fi păstrat de platformă și contribuția nu este anonimă față de operator.
• Contact și suport: subiect, nume opțional, email sau telefon, mesaj și starea internă a solicitării.
• Date tehnice: furnizorii de găzduire, bază de date, email și SMS pot prelucra adrese IP, antete, marcaje temporale, identificatori ai cererilor și jurnale de livrare/securitate potrivit configurației lor.

Datele sunt primite direct de la utilizator ori contribuitor, generate de sistem sau încărcate de creatorul galeriei despre alte persoane. Dacă apari într-un material fără să ai cont, poți folosi aceeași procedură de contact descrisă mai jos.

Emailul sau numărul de telefon este necesar pentru autentificarea cu cod unic; fără unul dintre acestea nu poate fi creată sesiunea de utilizator. Titlul și setarea de acces sunt necesare pentru crearea galeriei. Descrierea galeriei, numele și contactul contribuitorului sunt opționale, dacă interfața nu indică altfel pentru o funcție aleasă.

Temeiul se stabilește pentru fiecare scop. Lista de mai jos este o propunere care trebuie confirmată înainte de publicare:

Consimțământul va fi folosit numai acolo unde este cu adevărat liber, specific, informat și demonstrabil. Retragerea trebuie să fie la fel de ușoară ca acordarea. Nu folosim consimțământul ca explicație generică pentru toate operațiunile.

• O galerie publică poate fi văzută de orice persoană care deține linkul sau codul QR. Linkul poate fi copiat și redistribuit.
• O galerie cu PIN solicită codul în interfața aplicației, dar acest lucru nu este echivalent cu criptarea fișierelor.
• Linkurile pe niveluri funcționează ca acreditări: oricine le primește poate vedea materialele aferente până la revocare.
• Numele original al fișierului poate fi afișat audienței galeriei. Evită nume de fișiere care includ date personale inutile, locații ori alte informații sensibile.
• Ștergerea din platformă nu poate retrage copiile deja descărcate sau redistribuite de destinatari.

Nu încărca materiale intime, date privind sănătatea, religia, orientarea sau imagini cu minori fără o analiză clară a temeiului, informării, accesului și riscului. Pentru prelucrări cu risc ridicat poate fi necesară o evaluare de impact (DPIA).

Accesul intern trebuie limitat la persoanele autorizate care au nevoie de date pentru administrare, suport, securitate sau respectarea legii.

Regiunea proiectului Supabase, localizarea Vercel, furnizorul SMS, subprocessatorii și mecanismele pentru eventuale transferuri în afara Spațiului Economic European trebuie completate după verificarea conturilor și DPA-urilor. Până atunci nu afirmăm că datele rămân exclusiv în UE/SEE.

• Codurile OTP sunt valabile 10 minute. Codul încearcă să elimine înregistrările expirate cu mai mult de 24 de ore, dar curățarea programată trebuie încă implementată și verificată.
• Sesiunile utilizatorilor și cookie-ul aferent expiră după 30 de zile; cookie-ul administrativ expiră după 7 zile.
• La crearea galeriei este setată în prezent o dată de păstrare la 10 ani. Nu a fost confirmat un proces automat care șterge datele la acea dată, deci termenul final și mecanismul trebuie stabilite înainte de publicare.
• Termenele pentru contribuții respinse, mesaje de contact, linkuri revocate, jurnale, memorie cache și copii de siguranță sunt în curs de stabilire.

Datele vor fi păstrate numai cât este necesar pentru scopul declarat, pentru obligații legale sau pentru apărarea unor drepturi. O matrice finală de retenție trebuie aprobată și susținută de joburi de ștergere testate.

În condițiile GDPR, poți solicita informare și acces, rectificare, ștergere, restricționare, portabilitate și te poți opune anumitor prelucrări. Dacă un scop se bazează pe consimțământ, îl poți retrage fără a afecta prelucrarea realizată anterior retragerii.

Drepturile nu sunt absolute în orice situație. De exemplu, ștergerea poate fi limitată de o obligație legală ori de necesitatea apărării unui drept, iar accesul la o fotografie de grup trebuie echilibrat cu drepturile celorlalte persoane.

Răspundem fără întârzieri nejustificate și, în principiu, în cel mult o lună. Pentru cereri complexe sau numeroase, termenul poate fi prelungit cu până la două luni, cu informarea și motivarea prelungirii în prima lună.

Dacă nu ai cont, dar apari într-un material, trimite linkul galeriei, o descriere suficientă a materialului și dreptul pe care dorești să îl exerciți. Vom cere numai informațiile suplimentare necesare pentru verificarea identității și prevenirea cererilor frauduloase.

În codul verificat nu au fost identificate instrumente de analiză, publicitate sau module cookie de marketing. Trebuie verificat separat dacă asemenea servicii sunt activate în panourile furnizorilor de găzduire. Dacă adăugăm tehnologii neesențiale, vom informa utilizatorii și vom cere consimțământ înainte de activare, cu opțiune reală de refuz și retragere.

Aplicația folosește deja unele măsuri, precum amprente criptografice pentru coduri și cheile de sesiune din baza de date, module cookie HttpOnly și validări. Controalele tehnice și organizatorice trebuie finalizate, testate și adaptate riscului înainte ca această politică să intre în vigoare. Nicio măsură nu elimină complet riscul, iar configurația de producție trebuie verificată periodic.

Dacă apare o încălcare a securității, o documentăm, limităm expunerea și evaluăm riscul. Când Forever Alive este operator, notificarea către autoritate se face fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la luarea la cunoștință, cu excepția cazului în care este puțin probabil să existe un risc pentru drepturile și libertățile persoanelor. Când riscul este ridicat, poate fi necesară și informarea persoanelor.

În codul verificat nu există profilare și nici decizii exclusiv automate care să producă efecte juridice sau similare semnificative asupra persoanelor.

Pentru o întrebare sau o cerere privind datele personale, scrie la contact@qrphoto.ro sau consultă întrebările frecvente. În mesaj, indică dreptul solicitat și, dacă este vorba despre un material, linkul galeriei și suficiente detalii pentru identificare. Nu trimite PIN-uri, coduri OTP, chei de administrare ori copii de acte decât dacă îți sunt cerute în mod justificat și printr-un canal adecvat.

Ai dreptul să depui o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP). Recomandarea autorității este să te adresezi mai întâi operatorului; dacă nu primești răspuns în termenul aplicabil sau ești nemulțumit de răspuns, poți folosi procedura de plângere.

Politica va fi revizuită când se schimbă serviciul sau furnizorii. Modificările importante vor fi comunicate printr-un mijloc adecvat, iar data versiunii va fi actualizată.