Zásady ochrany osobních údajů

Bercio vám pomáhá sledovat den vašeho miminka: spánek, krmení a pleny, které zapisujete, a pravděpodobný čas dalšího denního spánku. Deník miminka vyžaduje účet, díky kterému ho můžete sdílet s druhým rodičem nebo blízkou osobou a získat ho zpět v novém telefonu.

Deník miminka je koncově šifrovaný ve vašich telefonech, a to klíčem, který vydavatel nikdy nemá. Server vydavatele z něj uchovává jen nečitelné bloky: vydavatel nemůže číst, co zapisujete, a deník se nikdy nepoužívá pro reklamu.

Bercio může také propojit dva vaše telefony, abyste mohli hlídat své miminko: jeden zůstane v dětském pokoji (zařízení u miminka), druhý jde s vámi (zařízení rodiče). Chůvička funguje bez účtu.

Obraz a zvuk putují z jednoho telefonu do druhého, koncově šifrovaně: většinou přímo, a když to síť vyžaduje, přes přenosový server vydavatele. Vydavatel je nemůže vidět ani slyšet a nenahrává je.

Aplikace je zdarma a je financovaná reklamou Google AdMob, která se nikdy nezobrazuje na obrazovce hlídání ani na zařízení u miminka. Volitelný nákup Premium odstraní veškerou reklamu.

Správcem zde popsaných údajů je vydavatel aplikace Bercio, Téqui Studio (Charles Grimont EI), jehož adresa je uvedena v právních informacích. S jakýmkoli dotazem k vašim údajům pište na: support@tequi.app.

Deník miminka vyžaduje účet, chůvička nikdy: zařízení u miminka se nepřihlašuje k žádnému účtu. Přihlašujete se přes Apple (na zařízeních iPhone a iPad), přes Google nebo 6místným kódem zaslaným e-mailem, bez hesla. Služba účtů vydavatele (api.tequi.app) uchovává:

• vaši e-mailovou adresu, nebo přeposílací adresu společnosti Apple, pokud se rozhodnete svou adresu skrýt, a identifikátor, který vám přidělí Apple nebo Google. Přihlášení se stejnou ověřenou adresou, přes Apple, Google nebo e-mail, vede ke stejnému účtu;
• jazyk aplikace, aby vám vydavatel mohl psát ve vašem jazyce, a data vytvoření a posledního použití účtu;
• verze textu souhlasu s deníkem, které jste přijali, s daty prvního a posledního přijetí každé z nich (viz „Právní základy“);
• telefony účtu (nejvýše 20): název každého z nich (jeho model nebo název, který jste mu dali), veřejný klíč vytvořený aplikací a data jeho přidání a posledního přihlášení;
• pro každý přihlášený telefon relaci: otisk přihlašovacího tokenu, platného 180 dní od jeho posledního použití;
• pokud se přihlašujete přes Apple, token, který Apple při tom předá vydavateli, uchovávaný šifrovaně: slouží jen ke zrušení vašeho přihlášení u společnosti Apple, když svůj účet smažete.

Apple a Google předají aplikaci podepsaný token, který prokazuje vaši totožnost; služba účtů si z něj ponechá jen vaši e-mailovou adresu a váš identifikátor, nikdy vaše jméno ani fotku.

Při přihlášení e-mailem kód odesílá poskytovatel služby pro rozesílání e-mailů, který dostává jen vaši adresu a zprávu. Kód platí 10 minut a na 5 pokusů; server si z něj ponechá jen otisk, v paměti. Stejný poskytovatel odesílá upozornění, které předchází smazání nepoužívaného účtu.

Domácnost sdružuje účty, které sdílejí deník jednoho nebo více dětí: druhý rodič, prarodič, chůva. Server uchovává seznam členů každé domácnosti a datum jejich připojení, probíhající pozvánky a žádosti o připojení.

Abyste někoho pozvali, aplikace zobrazí QR kód a odkaz, platné 48 hodin a pro jedinou osobu. Tajemství, které obsahují, zůstává mezi vašimi telefony: nikdy se neodesílá na server a stránka webu, která odkaz přijme, ho nikam nepředává.

Členové domácnosti vidí e-mailovou adresu ostatních členů, a také názvy jejich telefonů a jejich poslední přihlášení. Vidí také e-mailovou adresu a název telefonu osoby, která žádá o připojení k domácnosti: díky tomu lze poznat, kdo žádá, ještě před přijetím.

Všichni členové jsou si rovni: každý může zvát, přijmout nebo odmítnout žádost a odebrat člena.

Deník miminka (jméno, datum narození a případně termín porodu každého dítěte; spánky, krmení a pleny) se šifruje ve vašich telefonech klíčem domácnosti, který server nikdy nedostane v nešifrované podobě. Každý telefon má vlastní klíč, který ho neopouští; klíč domácnosti k němu dorazí z jiného telefonu domácnosti, zašifrovaný jen pro něj.

Server z deníku uchovává jen šifrované bloky, očíslované a opatřené datem, spolu s údajem o telefonu, který je uložil, a s jejich velikostí. Vydavatel je nemůže číst: ani aby vám je vrátil, ani aby je komukoli předal, ani pro reklamu.

Obnovovací klíč, který aplikace zobrazí, abyste si ho zapsali, otevře deník v novém telefonu. Server uchovává klíč domácnosti zašifrovaný tímto klíčem, nikdy samotný obnovovací klíč.

Tyto záznamy mohou prozradit informace o zdraví vašeho dítěte, například předčasný porod: zpracovávají se jako údaje o zdraví, s vaším výslovným souhlasem (viz „Právní základy“).

Na zařízení u miminka kamera a mikrofon během hlídání snímají obraz a zvuk z pokoje. Přenos se odesílá živě, koncově šifrovaný (WebRTC, DTLS-SRTP), pouze do zařízení rodičů, která jste spárovali. Nic se nenahrává.

Na zařízení rodiče slouží kamera jen k naskenování párovacího QR kódu a mikrofon k tlačítku „Mluvit“, dokud ho držíte.

Rozpoznávání pláče (model YAMNet od Googlu, spouštěný pomocí MediaPipe), detekce hluku a detekce pohybu běží na zařízení u miminka, offline. Do zařízení rodiče se posílají jen výsledky: úroveň zvuku, skóre pláče, žvatlání nebo smíchu, skóre pohybu. Nikdy ne analyzovaný zvuk.

Aby se vaše dva telefony našly přes internet, využívá aplikace spojovací službu vydavatele hostovanou společností IONOS v Evropské unii a oddělenou od služby účtů. Ta nedostává vaše jméno, e-mailovou adresu, obraz ani zvuk a neuchovává o spojeních žádné záznamy:

• Propojení (peer.tequi.app): po dobu spojení přijímá náhodný identifikátor zařízení u miminka (a během párování identifikátor odvozený z kódu, který toto zařízení zobrazuje) a IP adresu každého zařízení. Aby se omezilo zneužívání přenosového serveru, počítá také požadavky z každé IP adresy, a to v paměti a nejvýše po dobu jedné hodiny.
• STUN (turn.tequi.app): vidí IP adresu zařízení, aby mu sdělil jeho veřejnou adresu.
• Přenosový server TURN (turn.tequi.app): když přímé spojení není možné, prochází přenos tímto serverem. Zůstává koncově šifrovaný: server ho nemůže vidět ani slyšet.
• Ověření aplikace: aby byl přenosový server vyhrazen pro Bercio, aplikace serveru prokazuje, že je původní aplikací nainstalovanou z App Store nebo Google Play na skutečném telefonu. K tomu využívá App Attest od společnosti Apple na zařízeních iPhone a iPad a Play Integrity od společnosti Google v systému Android, které aplikaci a zařízení ověřují podle svých vlastních pravidel. Server si z toho nic neuchovává: předá aplikaci propustku platnou jeden týden, která neobsahuje žádný identifikátor zařízení.

Reklamy zobrazuje Google AdMob: banner na úvodní obrazovce, na obrazovce párování, v nastavení, v nočním deníku a v deníku miminka, a pokud se ho rozhodnete zhlédnout, také video, které odemkne další uklidňující zvuky. Na obrazovce hlídání se nezobrazuje žádná reklama, a ani na zařízení u miminka po spuštění režimu Miminko. Aby je mohl zobrazit, Google zpracovává:

• reklamní identifikátor zařízení;
• IP adresu a z ní odvozenou přibližnou polohu;
• interakce s reklamami a diagnostické informace.

Deník miminka se nikdy nepředává Googlu ani nepoužívá pro reklamu: je šifrovaný a ani sám vydavatel ho nemůže číst.

V Evropském hospodářském prostoru, Spojeném království a Švýcarsku vás formulář požádá o souhlas s personalizovanou reklamou. Své volby můžete kdykoli změnit: Nastavení, „Spravovat předvolby reklam“. V iOS aplikace navíc žádá o povolení ke sledování (App Tracking Transparency); bez něj reklamy nejsou personalizované.

Reklamy jsou bez zvuku a omezené na obsah vhodný pro většinu publika s rodičovským dohledem.

S nákupem Premium aplikace nezobrazuje vůbec žádnou reklamu a Google AdMob už nevyužívá.

Zásady Googlu: https://policies.google.com/technologies/partner-sites

Volitelný nákup Premium probíhá přes App Store společnosti Apple nebo Google Play, které platbu zpracovávají podle svých vlastních zásad ochrany osobních údajů. Vydavatel nedostává vaše platební údaje, vaše jméno ani vaši e-mailovou adresu.

Aby zjistila, zda je Premium zakoupené, aplikace se při každém spuštění zeptá obchodu přímo z vašeho telefonu; kopii odpovědi si ponechá jen v telefonu, aby fungovala i offline. Vydavateli se neodesílají žádná data o nákupu.

Tlačítko „Vyfotit“ na zařízení rodiče zachytí aktuální obraz. Fotka zůstane v telefonu, v dočasné složce aplikace, dokud ji nesdílíte nebo neuložíte pomocí nabídky sdílení v telefonu. Nikdy se neodesílá vydavateli.

Aplikace ukládá do každého telefonu:

• vaše nastavení (jazyk, citlivost, kvalita videa, motiv…);
• stav nákupu Premium a odemčení dalších uklidňujících zvuků videem;
• na zařízení u miminka identifikátor a název pokoje, a také název a tajný klíč každého zařízení rodiče, které jste povolili;
• na zařízení rodiče spárované pokoje s jejich tajnými klíči a noční deník (pláč, pohyb, hluk a výpadky za posledních 14 nocí);
• pokud ho používáte, celý deník miminka, aby fungoval offline: jméno, datum narození a v případě předčasného narození termín porodu každého dítěte a spánky, krmení a přebalení zaznamenané v domácnosti. Odhady denních spánků se počítají v telefonu. Na serveru se uchovává jen jeho šifrovaná kopie (viz „Koncově šifrovaný deník“);
• s účtem, v klíčence iOS nebo v Keystore Androidu: soukromý klíč telefonu, klíč domácnosti, obnovovací klíč a přihlašovací token.

• Kamera a mikrofon: hlídání, QR kód, tlačítko „Mluvit“.
• Oznámení: upozornění (pláč, pohyb, hluk, slabá baterie, ztráta spojení) vytvářená přímo v telefonu; v Androidu trvalé oznámení hlídání při vypnuté obrazovce.
• Fotky (iOS, pouze přidávání): uložení fotky, když se tak rozhodnete.
• Běh na pozadí: aby bylo miminko slyšet i při vypnuté obrazovce zařízení rodiče.

Každé zpracování se opírá o právní základ stanovený GDPR:

• Účet a domácnost (e-mailová adresa, telefony účtu, členové, pozvánky), stejně jako propojení a přenosový server chůvičky: plnění smlouvy, kterou tvoří podmínky používání (článek 6.1.b).
• Deník vašeho dítěte, uchovávaný šifrovaně na serveru a sdílený se členy vaší domácnosti, který může prozradit informace o zdraví dítěte: váš výslovný souhlas (články 6.1.a a 9.2.a). Udělujete ho při každém přihlášení zaškrtnutím k tomu určeného políčka, které nikdy není předem zaškrtnuté, jako osoba s rodičovskou odpovědností k dítěti (jeho rodič nebo poručník), nebo s jejím souhlasem. Můžete ho kdykoli odvolat v aplikaci tím, že deník opustíte nebo smažete svůj účet (viz „Uchovávání a mazání“); odvolání nemá vliv na to, co bylo provedeno dříve. Deník pak zůstane ostatním členům domácnosti na základě souhlasu, který udělil každý z nich; pokud jste byli jediným členem domácnosti, smaže se ze serveru. Vydavatel uchovává verzi přijatého textu a data prvního a posledního přijetí, aby mohl váš souhlas prokázat.
• Bezpečnost služby (omezení zneužívání, ukončení relace, jejíž token byl zkopírován, ověření aplikace): oprávněný zájem vydavatele na ochraně služby a jejích uživatelů (článek 6.1.f).
• Reklama: váš souhlas s personalizovanou reklamou, získaný prostřednictvím formuláře Googlu; jinak nepersonalizované reklamy, v oprávněném zájmu vydavatele na financování bezplatné aplikace.

Údaje účtu a šifrovaný deník se uchovávají na serveru vydavatele v Evropské unii. Podílejí se:

• IONOS, poskytovatel hostingu tohoto serveru (propojení, přenosový server a služba účtů), virtuálního privátního serveru umístěného v Evropské unii, jako zpracovatel vydavatele;
• poskytovatel služby pro rozesílání e-mailů, zpracovatel vydavatele, pro přihlašovací kódy a upozornění před smazáním nepoužívaného účtu;
• Apple a Google, když se rozhodnete přihlásit jejich prostřednictvím: ověřují vaši totožnost podle svých vlastních pravidel ochrany soukromí a vědí, že používáte Bercio;
• Cloudflare, poskytovatel hostingu webu Bercio (bercio.tequi.app), který vidí IP adresu návštěvníků, aby jim mohl zobrazit stránky. Stránka pro smazání účtu odesílá vaši adresu a kód přímo službě účtů; stránka pozvánky nic neodesílá.

Server vydavatele, který uchovává údaje účtu a šifrovaný deník, je v Evropské unii. Google (reklama, přihlášení přes Google), Apple (přihlášení přes Apple) a Cloudflare (web) mohou zpracovávat údaje mimo Unii, zejména ve Spojených státech, se zárukami stanovenými GDPR: rozhodnutím Evropské komise o odpovídající ochraně pro rámec ochrany údajů EU–USA nebo jejími standardními smluvními doložkami.

Kromě výše popsaného účtu o vás vydavatel neshromažďuje žádná data: neuchovává žádné heslo, jméno, platební údaje, statistiky používání, obraz ani zvuk. Záběry vašeho dítěte vidí jen zařízení, která jste spárovali.

Služba účtů neuchovává žádnou IP adresu: používá ji jen k omezení zneužívání, v paměti, nejvýše hodinu. Její technické protokoly, uchovávané 7 dní, neobsahují e-mailovou adresu, kód ani identifikátor.

Aplikace Bercio je určena dospělým; není určena k tomu, aby ji používaly děti.

• Noční deník uchovává jen posledních 14 nocí; „Vymazat deník“ ho okamžitě vyprázdní.
• Deník miminka uchovává, co zaznamenáte, dokud to nesmažete: jeden záznam („Smazat“) nebo celý deník dítěte v jeho profilu; smazání platí pro všechny telefony domácnosti. Na serveru staré šifrované bloky zmizí, když tam některý telefon uloží úplný stav deníku, který je nahradí.
• Relace vyprší 180 dní po posledním použití, přihlašovací kód po 10 minutách, pozvánka po 48 hodinách nebo hned po použití, a to spolu s žádostmi, které byly jejím prostřednictvím podány.
• Účet nepoužívaný dva roky dostane upozornění e-mailem a 30 dní poté je smazán, pokud se k němu nikdo znovu nepřihlásí; účet bez e-mailové adresy, který nelze upozornit, je smazán 30 dní po uplynutí těchto dvou let.
• Smazání účtu: v aplikaci (Deník miminka, „Sdíleno s“, „Smazat můj účet“), na https://bercio.tequi.app/delete-account pomocí kódu zaslaného e-mailem, nebo napsáním na support@tequi.app z adresy účtu. Účet, jeho telefony a relace se ze serveru okamžitě vymažou a přihlášení přes Apple se u společnosti Apple zruší. Deník zůstane ostatním členům domácnosti; pokud jste byli jejím jediným členem, smaže se také.
• „Odhlásit se“ vymaže deník z tohoto telefonu a server tento telefon zapomene; „Opustit tento deník“ vás odebere z domácnosti a vymaže deník z tohoto telefonu. V obou případech deník zůstane ostatním členům domácnosti.
• „Odebrat“ na obrazovce párování zařízení u miminka zapomene zařízení rodiče a odpojí ho.
• Odinstalováním aplikace nebo vymazáním jejích dat v nastavení telefonu se smaže to, co aplikace v tomto telefonu uložila. Na zařízeních iPhone a iPad může iOS uchovat klíče účtu i po odinstalování aplikace: bez aplikace jsou nepoužitelné a ta je při prvním spuštění smaže, pokud bude znovu nainstalována. Váš účet však zůstane na serveru, dokud ho nesmažete.
• Data, která Google zpracovává pro reklamu, se řídí zásadami Googlu; reklamní identifikátor lze resetovat v nastavení telefonu.

Máte právo na přístup, opravu, výmaz, omezení zpracování, právo vznést námitku a právo na přenositelnost, právo kdykoli odvolat svůj souhlas a právo stanovit pokyny ohledně nakládání s vašimi údaji po vaší smrti.

Tato práva uplatňujete v aplikaci (oprava nebo smazání záznamu, opuštění deníku, smazání účtu) nebo napsáním na support@tequi.app z adresy vašeho účtu; vydavatel odpoví do jednoho měsíce. Protože vydavatel nemůže deník číst, jeho obsah si můžete prohlédnout a zkopírovat ve svých telefonech („Kopírovat souhrn“). V případě reklamy se tato práva uplatňují u Googlu.

Stížnost můžete podat také u CNIL, francouzského úřadu pro ochranu osobních údajů: https://www.cnil.fr

Tyto zásady se mohou měnit spolu s aplikací. Datum poslední aktualizace je uvedeno níže; platná verze je vždy zveřejněna v aplikaci a na jejím webu.

S jakýmkoli dotazem k těmto zásadám pište na: support@tequi.app.