Política de privadesa

Bercio t'ajuda a seguir el dia del teu nadó: el son, les preses i els bolquers que anotes, i l'hora probable de la propera migdiada. El seguiment requereix un compte, que permet compartir-lo amb l'altre progenitor o amb una persona propera i recuperar-lo en un telèfon nou.

El seguiment està xifrat d'extrem a extrem, als teus telèfons, amb una clau que l'editor no té mai. El seu servidor només en guarda blocs il·legibles: l'editor no pot llegir el que anotes, i el seguiment no es fa servir mai per a la publicitat.

Bercio també pot unir dos dels teus telèfons per vigilar el teu nadó: un es queda a l'habitació (dispositiu del nadó) i l'altre va amb tu (dispositiu dels pares). El vigilabebès funciona sense compte.

La imatge i el so passen d'un telèfon a l'altre, xifrats d'extrem a extrem: directament la majoria de les vegades, pel relé de l'editor quan la xarxa ho requereix. L'editor no els pot veure ni sentir, i no els enregistra.

L'aplicació és gratuïta i es finança amb publicitat de Google AdMob, que mai no es mostra a la pantalla de vigilància ni al dispositiu del nadó. La compra Prèmium, opcional, elimina tota la publicitat.

El responsable del tractament de les dades descrites aquí és l'editor de Bercio, Téqui Studio (Charles Grimont EI), l'adreça del qual figura a l'avís legal. Per a qualsevol pregunta sobre les teves dades: support@tequi.app.

El seguiment del nadó requereix un compte; el vigilabebès, mai: el dispositiu del nadó no inicia la sessió en cap compte. Inicies la sessió amb Apple (a l'iPhone i l'iPad), amb Google o amb un codi de 6 xifres rebut per correu electrònic, sense contrasenya. El servei de comptes de l'editor (api.tequi.app) guarda:

• la teva adreça electrònica, o l'adreça de reenviament d'Apple si tries amagar la teva, i l'identificador que t'assigna Apple o Google. Iniciar la sessió amb la mateixa adreça verificada, amb Apple, Google o per correu electrònic, porta al mateix compte;
• l'idioma de l'aplicació, per escriure't en el teu idioma, i les dates de creació i de darrer ús del compte;
• les versions del text de consentiment del seguiment que has acceptat, amb les dates de la primera i de la darrera acceptació de cadascuna (consulta «Bases jurídiques»);
• els telèfons del compte (20 com a màxim): el nom de cadascun (el model, o el nom que li hagis donat), una clau pública creada per l'aplicació, i les dates en què es va afegir i en què va iniciar la sessió per darrera vegada;
• per a cada telèfon connectat, una sessió: l'empremta criptogràfica d'un testimoni d'inici de sessió, vàlid durant 180 dies després del darrer ús;
• si inicies la sessió amb Apple, el testimoni que Apple lliura llavors a l'editor, desat xifrat: només serveix per revocar el teu inici de sessió a Apple quan suprimeixes el compte.

Apple i Google lliuren a l'aplicació un testimoni signat que demostra la teva identitat; el servei de comptes només en guarda la teva adreça electrònica i el teu identificador, mai el teu nom ni la teva foto.

Per iniciar la sessió per correu electrònic, el codi l'envia un proveïdor d'enviament de correus electrònics, que només rep la teva adreça i el missatge. El codi és vàlid durant 10 minuts, per a 5 intents; el servidor només en guarda l'empremta criptogràfica, a la memòria. El mateix proveïdor envia l'avís previ a la supressió d'un compte que no es fa servir.

Una llar reuneix els comptes que comparteixen el seguiment d'un o més infants: l'altre progenitor, un avi o una àvia, la mainadera. El servidor guarda la llista dels membres de cada llar i la data en què s'hi van unir, les invitacions pendents i les sol·licituds per unir-s'hi.

Per convidar algú, l'aplicació mostra un codi QR i un enllaç, vàlids durant 48 hores i per a una sola persona. El secret que contenen es queda entre els teus telèfons: no s'envia mai al servidor, i la pàgina del lloc web que rep l'enllaç no el transmet enlloc.

Els membres d'una llar veuen l'adreça electrònica dels altres membres, així com el nom dels seus telèfons i la seva darrera connexió. També veuen l'adreça electrònica i el nom del telèfon d'una persona que demana unir-se a la llar: això permet reconèixer qui ho demana abans d'acceptar-la.

Tots els membres són iguals: cadascun pot convidar, acceptar o rebutjar una sol·licitud, i treure un membre.

El seguiment (nom, data de naixement i, si escau, data prevista del part de cada infant; son, preses i bolquers) es xifra als teus telèfons amb la clau de la llar, que el servidor no rep mai en clar. Cada telèfon té la seva pròpia clau, que no en surt mai; la clau de la llar li arriba xifrada només per a ell, des d'un altre telèfon de la llar.

Del seguiment, el servidor només guarda blocs xifrats, numerats i datats, amb el telèfon que els hi ha dipositat i la seva mida. L'editor no els pot llegir: ni per tornar-te'ls, ni per transmetre'ls a ningú, ni per a la publicitat.

La clau de recuperació, que l'aplicació mostra perquè l'apuntis, obre el seguiment en un telèfon nou. El servidor guarda la clau de la llar xifrada amb ella, mai la clau de recuperació mateixa.

Aquestes anotacions poden revelar informació sobre la salut del teu fill, un naixement prematur per exemple: es tracten com a dades de salut, amb el teu consentiment explícit (consulta «Bases jurídiques»).

Al dispositiu del nadó, la càmera i el micròfon filmen i escolten l'habitació durant la vigilància. El flux es transmet en directe, xifrat d'extrem a extrem (WebRTC, DTLS-SRTP), només als dispositius dels pares que hagis vinculat. No s'enregistra res.

Al dispositiu dels pares, la càmera només serveix per escanejar el codi QR de vinculació, i el micròfon per al botó «Parla», mentre el mantens premut.

El reconeixement del plor (model YAMNet de Google, executat amb MediaPipe), la detecció de soroll i la detecció de moviment funcionen al dispositiu del nadó, sense connexió. Al dispositiu dels pares només s'envien resultats: nivell sonor, puntuacions de plor, balboteig o riure, puntuació de moviment. Mai l'àudio analitzat.

Perquè els teus dos telèfons es trobin a través d'internet, l'aplicació passa pel servei de connexió de l'editor, allotjat per IONOS a la Unió Europea i independent del servei de comptes. No rep ni el teu nom, ni la teva adreça electrònica, ni la imatge, ni el so, i no guarda cap rastre de les connexions:

• Connexió (peer.tequi.app): rep un identificador aleatori del dispositiu del nadó (i, durant la vinculació, un identificador derivat del codi que mostra) i l'adreça IP de cada dispositiu, mentre dura la connexió. Per limitar els abusos del relé, també compta les sol·licituds de cada adreça IP, a la memòria, durant una hora com a màxim.
• STUN (turn.tequi.app): veu l'adreça IP del dispositiu, per indicar-li la seva adreça pública.
• Relé TURN (turn.tequi.app): quan no és possible una connexió directa, el flux passa per aquest relé. Continua xifrat d'extrem a extrem: el relé no el pot veure ni sentir.
• Verificació de l'aplicació: perquè el relé quedi reservat a Bercio, l'aplicació demostra al servidor que és l'aplicació original, instal·lada des de l'App Store o de Google Play, en un telèfon real. Per fer-ho, utilitza App Attest d'Apple a l'iPhone i l'iPad, i Play Integrity de Google a Android, que verifiquen l'aplicació i el dispositiu segons les seves pròpies normes. El servidor no en guarda res: lliura a l'aplicació un passi d'una setmana, que no conté cap identificador del dispositiu.

Els anuncis els serveix Google AdMob: un bàner a les pantalles d'inici, de vinculació, de configuració, del diari de nits i del seguiment del nadó i, si tries veure'l, un vídeo que desbloqueja sons relaxants extra. No es mostra cap anunci a la pantalla de vigilància, ni al dispositiu del nadó un cop iniciat el Mode Nadó. Per mostrar-los, Google tracta:

• l'identificador de publicitat del dispositiu;
• l'adreça IP i la ubicació aproximada que se'n dedueix;
• les interaccions amb els anuncis i informació de diagnòstic.

El seguiment del nadó no es transmet mai a Google ni es fa servir per a la publicitat: està xifrat, i ni tan sols l'editor el pot llegir.

A l'Espai Econòmic Europeu, el Regne Unit i Suïssa, un formulari et demana el consentiment per a la publicitat personalitzada. Pots revisar les teves opcions en qualsevol moment: Configuració, «Gestiona les opcions d'anuncis». A iOS, l'aplicació també demana el permís de seguiment (App Tracking Transparency); sense aquest permís, els anuncis no es personalitzen.

Els anuncis no tenen so i es limiten a continguts aptes per a la majoria de públics amb orientació parental.

Amb la compra Prèmium, l'aplicació ja no mostra cap anunci i deixa de recórrer a Google AdMob.

Polítiques de Google: https://policies.google.com/technologies/partner-sites

La compra Prèmium, opcional, es fa a través de l'App Store d'Apple o de Google Play, que tracten el pagament segons les seves pròpies polítiques de privadesa. L'editor no rep ni les teves dades de pagament, ni el teu nom, ni la teva adreça electrònica.

Per saber si tens Prèmium, l'aplicació consulta la botiga des del teu telèfon, cada vegada que s'inicia; només en desa una còpia de la resposta al telèfon, per funcionar sense connexió. No s'envia cap dada de compra a l'editor.

El botó «Fes una foto» del dispositiu dels pares captura la imatge del moment. Es queda al telèfon, en una carpeta temporal de l'aplicació, fins que la comparteixis o la desis amb el menú de compartir del telèfon. Mai no s'envia a l'editor.

L'aplicació desa a cada telèfon:

• la teva configuració (idioma, sensibilitat, qualitat del vídeo, tema…);
• l'estat de la compra Prèmium i del desbloqueig dels sons relaxants extra amb un vídeo;
• al dispositiu del nadó, l'identificador i el nom de l'habitació, així com el nom i la clau secreta de cada dispositiu dels pares que has autoritzat;
• al dispositiu dels pares, les habitacions vinculades amb la seva clau secreta, i el diari de nits (plor, moviment, soroll i talls de les últimes 14 nits);
• si el fas servir, el seguiment del nadó complet, per funcionar sense connexió: el nom, la data de naixement i, en cas de naixement prematur, la data prevista del part de cada infant, i els períodes de son, les preses i els canvis de bolquer anotats a la llar. Les estimacions de migdiades es calculen al telèfon. Al servidor només se'n guarda una còpia xifrada (consulta «Seguiment xifrat d'extrem a extrem»);
• amb un compte, al clauer d'iOS o al Keystore d'Android: la clau privada del telèfon, la clau de la llar, la clau de recuperació i el testimoni d'inici de sessió.

• Càmera i micròfon: la vigilància, el codi QR, el botó «Parla».
• Notificacions: les alertes (plor, moviment, soroll, bateria baixa, connexió perduda), creades al mateix telèfon; a Android, la notificació permanent de la vigilància amb la pantalla apagada.
• Fotos (iOS, només afegir): desar una foto quan tu ho decideixis.
• Segon pla: continuar sentint el nadó quan la pantalla del dispositiu dels pares està apagada.

Cada tractament es fonamenta en una base prevista pel RGPD:

• El compte i la llar (adreça electrònica, telèfons del compte, membres, invitacions), així com la connexió i el relé del vigilabebès: l'execució del contracte que formen les condicions d'ús (article 6.1.b).
• El seguiment del teu fill, guardat xifrat al servidor i compartit amb els membres de la teva llar, que pot revelar informació sobre la seva salut: el teu consentiment explícit (articles 6.1.a i 9.2.a). El dones a cada inici de sessió marcant la casella prevista, mai marcada prèviament, com a titular de la potestat parental sobre l'infant (el seu progenitor o el seu tutor) o amb l'acord del titular. El pots retirar en qualsevol moment, a l'aplicació, sortint del seguiment o suprimint el teu compte (consulta «Conservació i supressió»); la retirada no afecta el que s'ha fet abans. El seguiment es queda llavors amb els altres membres de la llar, sobre la base del consentiment que cadascun ha donat; si n'eres l'únic membre, s'esborra del servidor. L'editor conserva la versió del text acceptat i les dates de la primera i de la darrera acceptació, per poder acreditar el teu consentiment.
• La seguretat del servei (limitar els abusos, tancar una sessió el testimoni de la qual s'hagi copiat, verificar l'aplicació): l'interès legítim de l'editor a protegir el servei i els seus usuaris (article 6.1.f).
• La publicitat: el teu consentiment per a la publicitat personalitzada, recollit mitjançant el formulari de Google; si no el dones, anuncis no personalitzats, en l'interès legítim de l'editor a finançar una aplicació gratuïta.

Les dades del compte i el seguiment xifrat es guarden al servidor de l'editor, a la Unió Europea. Hi intervenen:

• IONOS, que allotja aquest servidor (connexió, relé i servei de comptes), un servidor privat virtual situat a la Unió Europea, com a encarregat del tractament de l'editor;
• un proveïdor d'enviament de correus electrònics, encarregat del tractament de l'editor, per als codis d'inici de sessió i l'avís previ a la supressió d'un compte que no es fa servir;
• Apple i Google, quan tries iniciar la sessió amb ells: verifiquen la teva identitat segons les seves pròpies normes de privadesa, i saben que fas servir Bercio;
• Cloudflare, que allotja el lloc web de Bercio (bercio.tequi.app) i veu l'adreça IP dels visitants per servir-los les pàgines. La pàgina de supressió del compte envia la teva adreça i el teu codi directament al servei de comptes; la pàgina d'invitació no envia res.

El servidor de l'editor, que guarda les dades del compte i el seguiment xifrat, és a la Unió Europea. Google (publicitat, inici de sessió amb Google), Apple (inici de sessió amb Apple) i Cloudflare (lloc web) poden tractar dades fora de la Unió, en particular als Estats Units, amb les garanties previstes pel RGPD: la decisió d'adequació de la Comissió Europea relativa al Marc de privadesa de dades UE–EUA, o les seves clàusules contractuals tipus.

A banda del compte descrit més amunt, l'editor no recull cap dada sobre tu: no guarda ni contrasenya, ni nom, ni dades de pagament, ni estadístiques d'ús, ni imatge, ni so. Les imatges del teu fill només les veuen els dispositius que hagis vinculat.

El servei de comptes no guarda cap adreça IP: només les fa servir per limitar els abusos, a la memòria, durant una hora com a màxim. Els seus registres tècnics, conservats 7 dies, no contenen ni adreces electròniques, ni codis, ni identificadors.

Bercio està pensada per a adults; no està destinada a ser utilitzada per infants.

• El diari de nits només conserva les últimes 14 nits; «Esborra el diari» el buida a l'instant.
• El seguiment del nadó conserva el que anotes fins que ho suprimeixis: un registre («Suprimeix»), o tot el seguiment d'un infant, des del seu perfil; la supressió s'aplica a tots els telèfons de la llar. Al servidor, els blocs xifrats antics desapareixen quan un telèfon hi diposita un estat complet del seguiment, que els substitueix.
• Una sessió caduca 180 dies després del darrer ús, un codi d'inici de sessió al cap de 10 minuts, una invitació al cap de 48 hores o tan bon punt s'ha fet servir, juntament amb les sol·licituds fetes amb ella.
• Un compte que no s'ha fet servir des de fa dos anys rep un avís per correu electrònic i se suprimeix 30 dies després si ningú no hi torna a iniciar la sessió; un compte sense adreça electrònica, que no es pot avisar, se suprimeix 30 dies després d'aquests dos anys.
• Suprimir el teu compte: a l'aplicació (Seguiment del nadó, «Compartit amb», «Suprimeix el meu compte»), a https://bercio.tequi.app/delete-account amb un codi rebut per correu electrònic, o escrivint a support@tequi.app des de l'adreça del compte. El compte, els seus telèfons i les seves sessions s'esborren immediatament del servidor, i l'inici de sessió amb Apple es revoca a Apple. El seguiment es queda amb els altres membres de la llar; si n'eres l'únic membre, també s'esborra.
• «Tanca la sessió» esborra el seguiment d'aquest telèfon i el servidor oblida aquest telèfon; «Surt d'aquest seguiment» et treu de la llar i esborra el seguiment d'aquest telèfon. En tots dos casos, el seguiment es queda amb els altres membres de la llar.
• «Treu», a la pantalla de vinculació del dispositiu del nadó, oblida un dispositiu dels pares i el desconnecta.
• Desinstal·lar l'aplicació, o esborrar-ne les dades a la configuració del telèfon, elimina el que ha desat en aquest telèfon. A l'iPhone i l'iPad, iOS pot conservar les claus del compte després de la desinstal·lació: no serveixen de res sense l'aplicació, que les esborra la primera vegada que s'obre si es torna a instal·lar. El teu compte, en canvi, es queda al servidor fins que el suprimeixis.
• Les dades que Google tracta per a la publicitat segueixen les polítiques de Google; l'identificador de publicitat es pot restablir a la configuració del telèfon.

Tens dret d'accés, rectificació, supressió, limitació, oposició i portabilitat, dret a retirar el teu consentiment en qualsevol moment i dret a definir directrius sobre el destí de les teves dades després de la teva mort.

Els exerceixes a l'aplicació (corregir o suprimir un registre, sortir del seguiment, suprimir el teu compte) o escrivint a support@tequi.app des de l'adreça del teu compte; l'editor respon en el termini d'un mes. Com que l'editor no pot llegir el seguiment, el seu contingut es consulta i es copia des dels teus telèfons («Copia el resum»). Pel que fa a la publicitat, aquests drets s'exerceixen davant de Google.

També pots presentar una reclamació davant la CNIL, l'autoritat francesa de protecció de dades: https://www.cnil.fr

Aquesta política pot canviar amb l'aplicació. La data de la darrera actualització figura a continuació; la versió vigent es publica sempre a l'aplicació i al seu lloc web.

Per a qualsevol pregunta sobre aquesta política: support@tequi.app.