Privatlivspolitik

Bercio hjælper dig med at følge din babys dag: den søvn, de måltider og bleer, du noterer, og hvornår næste lur sandsynligvis kommer. Babydagbogen kræver en konto, så du kan dele den med den anden forælder eller en nærtstående og få den tilbage på en ny telefon.

Babydagbogen er end-to-end-krypteret på dine telefoner med en nøgle, som udgiveren aldrig har. Udgiverens server gemmer kun ulæselige blokke af den: udgiveren kan ikke læse det, du noterer, og babydagbogen bruges aldrig til annoncer.

Bercio kan også forbinde to af dine telefoner, så du kan holde øje med din baby: den ene bliver i børneværelset (babyenheden), den anden følger med dig (forældreenheden). Babyalarmen virker uden konto.

Billede og lyd går fra den ene telefon til den anden, end-to-end-krypteret: som regel direkte og via udgiverens relæ, når netværket kræver det. Udgiveren kan hverken se eller høre dem og optager dem ikke.

Appen er gratis og finansieres af annoncer fra Google AdMob, som aldrig vises på overvågningsskærmen eller på babyenheden. Det valgfrie Premium-køb fjerner alle annoncer.

Dataansvarlig for behandlingen af de data, der er beskrevet her, er udgiveren af Bercio, Téqui Studio (Charles Grimont EI), hvis adresse fremgår af de juridiske oplysninger. Har du spørgsmål om dine data: support@tequi.app.

Babydagbogen kræver en konto; babyalarmen aldrig: babyenheden logger ikke ind på nogen konto. Du logger ind med Apple (på iPhone og iPad), med Google eller med en 6-cifret kode, du modtager på e-mail, uden adgangskode. Udgiverens kontotjeneste (api.tequi.app) gemmer:

• din e-mailadresse, eller Apples videresendelsesadresse, hvis du vælger at skjule din egen, og det id, som Apple eller Google tildeler dig. Et login med den samme bekræftede adresse, via Apple, Google eller e-mail, fører til den samme konto;
• appens sprog, så udgiveren kan skrive til dig på dit sprog, og datoerne for kontoens oprettelse og seneste brug;
• de versioner af samtykketeksten til babydagbogen, som du har accepteret, med datoerne for første og seneste accept af hver af dem (se »Retsgrundlag«);
• kontoens telefoner (højst 20): hver telefons navn (dens model eller det navn, du har givet den), en offentlig nøgle oprettet af appen, og datoerne for, hvornår den blev tilføjet og senest loggede ind;
• for hver telefon, der er logget ind, en session: hashværdien af et login-token, der er gyldigt i 180 dage efter seneste brug;
• hvis du logger ind med Apple, det token, som Apple i den forbindelse giver udgiveren, gemt krypteret: det bruges kun til at tilbagekalde dit login hos Apple, når du sletter din konto.

Apple og Google giver appen et signeret token, der beviser din identitet; kontotjenesten gemmer kun din e-mailadresse og dit id fra det, aldrig dit navn eller dit billede.

Ved login via e-mail sendes koden af en udbyder af e-mailudsendelser, som kun modtager din adresse og beskeden. Koden er gyldig i 10 minutter og til 5 forsøg; serveren gemmer kun en hashværdi af den, i hukommelsen. Den samme udbyder sender den advarsel, der går forud for sletningen af en ubrugt konto.

En husstand samler de konti, der deler babydagbogen for et eller flere børn: den anden forælder, en bedsteforælder, barnepigen. Serveren gemmer listen over medlemmerne af hver husstand og datoen for, hvornår de kom med, igangværende invitationer og anmodninger om at deltage.

For at invitere nogen viser appen en QR-kode og et link, der gælder i 48 timer og for én person. Hemmeligheden i dem forbliver mellem dine telefoner: den sendes aldrig til serveren, og den side på webstedet, der modtager linket, sender den ingen steder hen.

Medlemmerne af en husstand kan se de andre medlemmers e-mailadresse samt navnet på deres telefoner og deres seneste login. De kan også se e-mailadressen og telefonnavnet for en person, der anmoder om at deltage i husstanden: det gør det muligt at se, hvem der spørger, før anmodningen godkendes.

Alle medlemmer er ligestillede: alle kan invitere, godkende eller afvise en anmodning og fjerne et medlem.

Babydagbogen (fornavn, fødselsdato og i givet fald terminsdato for hvert barn; søvn, måltider og bleer) krypteres på dine telefoner med husstandens nøgle, som serveren aldrig modtager i klartekst. Hver telefon har sin egen nøgle, som aldrig forlader den; husstandens nøgle modtager den fra en anden telefon i husstanden, krypteret alene til den.

Serveren gemmer kun krypterede blokke af babydagbogen, nummererede og daterede, sammen med den telefon, der har uploadet dem, og deres størrelse. Udgiveren kan ikke læse dem: hverken for at give dig dem tilbage, for at videregive dem til nogen eller til annoncer.

Gendannelsesnøglen, som appen viser, så du kan skrive den ned, åbner babydagbogen på en ny telefon. Serveren gemmer husstandens nøgle krypteret med den, aldrig selve gendannelsesnøglen.

Disse noter kan afsløre oplysninger om dit barns helbred, for eksempel en for tidlig fødsel: de behandles som helbredsoplysninger, med dit udtrykkelige samtykke (se »Retsgrundlag«).

På babyenheden filmer kameraet og lytter mikrofonen til børneværelset under overvågningen. Streamen sendes live, end-to-end-krypteret (WebRTC, DTLS-SRTP), kun til de forældreenheder, du har parret. Intet optages.

På forældreenheden bruges kameraet kun til at scanne QR-koden til parring og mikrofonen til knappen »Tal«, mens du holder den nede.

Genkendelsen af gråd (Googles YAMNet-model, kørt af MediaPipe), lydregistreringen og bevægelsesregistreringen fungerer på babyenheden, offline. Kun resultater sendes til forældreenheden: lydniveau, scorer for gråd, pludren eller latter, bevægelsesscore. Aldrig den analyserede lyd.

For at dine to telefoner kan finde hinanden via internettet, går appen gennem udgiverens forbindelsestjeneste, der hostes af IONOS i Den Europæiske Union og er adskilt fra kontotjenesten. Den modtager hverken dit navn, din e-mailadresse, billedet eller lyden og gemmer ingen spor af forbindelserne:

• Forbindelse (peer.tequi.app): modtager et tilfældigt id for babyenheden (og under parringen et id, der er afledt af den kode, den viser) og hver enheds IP-adresse, så længe forbindelsen varer. For at begrænse misbrug af relæet tæller den også forespørgslerne fra hver IP-adresse, i hukommelsen, i højst én time.
• STUN (turn.tequi.app): ser enhedens IP-adresse for at fortælle den, hvilken offentlig adresse den har.
• TURN-relæ (turn.tequi.app): når en direkte forbindelse ikke er mulig, går streamen gennem dette relæ. Den forbliver end-to-end-krypteret: relæet kan hverken se eller høre den.
• Verificering af appen: for at forbeholde relæet til Bercio beviser appen over for serveren, at den er den originale app, installeret fra App Store eller Google Play, på en rigtig telefon. Det sker via Apples App Attest på iPhone og iPad og Googles Play Integrity på Android, som kontrollerer appen og enheden efter deres egne regler. Serveren gemmer intet af det: den giver appen et adgangsbevis, der gælder i en uge og ikke indeholder noget id for enheden.

Annoncerne leveres af Google AdMob: et banner på startskærmen og på skærmene for parring, indstillinger, natdagbog og babydagbog samt, hvis du vælger at se den, en video, der låser ekstra beroligende lyde op. Der vises ingen annonce på overvågningsskærmen og heller ikke på babyenheden, når Babytilstand er startet. For at vise dem behandler Google:

• enhedens annonce-id;
• IP-adressen og den omtrentlige placering, der udledes af den;
• interaktioner med annoncerne og diagnosticeringsoplysninger.

Babydagbogen sendes aldrig til Google og bruges aldrig til annoncer: den er krypteret, og selv udgiveren kan ikke læse den.

I Det Europæiske Økonomiske Samarbejdsområde, Storbritannien og Schweiz beder en formular om dit samtykke til personaliserede annoncer. Du kan til enhver tid gennemgå dine valg: Indstillinger, »Administrer annoncevalg«. På iOS beder appen desuden om tilladelse til sporing (App Tracking Transparency); uden den bliver annoncerne ikke personaliserede.

Annoncerne er uden lyd og begrænset til indhold, der egner sig for de fleste aldersgrupper med forældrevejledning.

Med Premium-købet viser appen slet ingen annoncer og gør ikke længere brug af Google AdMob.

Googles politikker: https://policies.google.com/technologies/partner-sites

Det valgfrie Premium-køb sker via Apples App Store eller Google Play, som behandler betalingen i henhold til deres egne privatlivspolitikker. Udgiveren modtager hverken dine betalingsoplysninger, dit navn eller din e-mailadresse.

For at vide, om Premium er købt, spørger appen appbutikken fra din telefon ved hver opstart; den gemmer kun en kopi af svaret på telefonen for at kunne fungere offline. Der sendes ingen købsdata til udgiveren.

Knappen »Tag et billede« på forældreenheden tager et billede af øjeblikket. Det bliver på telefonen, i en midlertidig mappe i appen, indtil du deler eller gemmer det via telefonens delingsmenu. Det sendes aldrig til udgiveren.

Appen gemmer på hver telefon:

• dine indstillinger (sprog, følsomhed, videokvalitet, tema…);
• status for Premium-købet og for de ekstra beroligende lyde, der er låst op med en video;
• på babyenheden: værelsets id og navn samt navnet og den hemmelige nøgle for hver forældreenhed, du har godkendt;
• på forældreenheden: de parrede værelser med deres hemmelige nøgler samt natdagbogen (gråd, bevægelser, lyde og afbrydelser i de seneste 14 nætter);
• hvis du bruger den, hele babydagbogen, så den virker offline: hvert barns fornavn, fødselsdato og, hvis barnet er født for tidligt, terminsdato samt den søvn, de måltider og de bleskift, der er noteret i husstanden. Skøn over lure beregnes på telefonen. Kun en krypteret kopi af den gemmes på serveren (se »End-to-end-krypteret babydagbog«);
• med en konto, i nøgleringen i iOS eller i Keystore i Android: telefonens private nøgle, husstandens nøgle, gendannelsesnøglen og login-tokenet.

• Kamera og mikrofon: overvågningen, QR-koden, knappen »Tal«.
• Notifikationer: alarmerne (gråd, bevægelse, lyd, lavt batteri, mistet forbindelse), der oprettes på selve telefonen; på Android den faste notifikation for overvågning med slukket skærm.
• Billeder (iOS, kun tilføjelse): gemme et billede, når du vælger det.
• Baggrund: blive ved med at afspille lyden fra babyen, når forældreenhedens skærm er slukket.

Hver behandling hviler på et grundlag, der er fastsat i GDPR:

• Kontoen og husstanden (e-mailadresse, kontoens telefoner, medlemmer, invitationer), ligesom forbindelsen og babyalarmens relæ: opfyldelse af den aftale, som brugsvilkårene udgør (artikel 6.1.b).
• Dit barns babydagbog, som opbevares krypteret på serveren og deles med medlemmerne af din husstand, og som kan afsløre oplysninger om barnets helbred: dit udtrykkelige samtykke (artikel 6.1.a og 9.2.a). Du giver det ved hvert login ved at sætte kryds i det dertil beregnede felt, der aldrig er afkrydset på forhånd, som indehaver af forældremyndigheden over barnet (forælder eller værge) eller med dennes accept. Du kan til enhver tid trække det tilbage i appen ved at forlade babydagbogen eller slette din konto (se »Opbevaring og sletning«); tilbagetrækningen berører ikke det, der er sket forinden. Babydagbogen bliver så hos de andre medlemmer af husstanden, på grundlag af det samtykke, som hver af dem har givet; hvis du var det eneste medlem, slettes den fra serveren. Udgiveren opbevarer versionen af den tekst, du accepterede, og datoerne for første og seneste accept, så dit samtykke kan dokumenteres.
• Tjenestens sikkerhed (begrænse misbrug, lukke en session, hvis token er blevet kopieret, verificere appen): udgiverens legitime interesse i at beskytte tjenesten og dens brugere (artikel 6.1.f).
• Annoncer: dit samtykke til personaliserede annoncer, indhentet via Googles formular; ellers ikke-personaliserede annoncer, ud fra udgiverens legitime interesse i at finansiere en gratis app.

Kontodata og den krypterede babydagbog gemmes på udgiverens server i Den Europæiske Union. Følgende er involveret:

• IONOS, der hoster denne server (forbindelse, relæ og kontotjeneste), en virtuel privat server i Den Europæiske Union, som databehandler for udgiveren;
• en udbyder af e-mailudsendelser, databehandler for udgiveren, til loginkoderne og advarslen før sletning af en ubrugt konto;
• Apple og Google, når du vælger at logge ind med dem: de verificerer din identitet efter deres egne privatlivsregler og ved, at du bruger Bercio;
• Cloudflare, der hoster webstedet for Bercio (bercio.tequi.app) og ser besøgendes IP-adresse for at kunne vise dem siderne. Siden til sletning af kontoen sender din adresse og din kode direkte til kontotjenesten; invitationssiden sender intet.

Udgiverens server, der gemmer kontodata og den krypterede babydagbog, står i Den Europæiske Union. Google (annoncer, login med Google), Apple (login med Apple) og Cloudflare (websted) kan behandle data uden for Unionen, navnlig i USA, med de garantier, som GDPR fastsætter: Europa-Kommissionens afgørelse om tilstrækkeligt beskyttelsesniveau for databeskyttelsesrammen mellem EU og USA eller dens standardkontraktbestemmelser.

Ud over den konto, der er beskrevet ovenfor, indsamler udgiveren ingen data om dig: udgiveren gemmer hverken adgangskode, navn, betalingsoplysninger, brugsstatistik, billede eller lyd. Billeder af dit barn ses kun af de enheder, du har parret.

Kontotjenesten gemmer ingen IP-adresser: den bruger dem kun til at begrænse misbrug, i hukommelsen, i højst én time. Dens tekniske logfiler, der gemmes i 7 dage, indeholder hverken e-mailadresse, kode eller id.

Bercio henvender sig til voksne; den er ikke beregnet til at blive brugt af børn.

• Natdagbogen gemmer kun de seneste 14 nætter; »Ryd dagbogen« tømmer den med det samme.
• Babydagbogen gemmer det, du noterer, indtil du sletter det: én registrering (»Slet«) eller et barns hele dagbog fra barnets profil; sletningen gælder for alle husstandens telefoner. På serveren forsvinder de gamle krypterede blokke, når en telefon uploader en komplet version af babydagbogen, som erstatter dem.
• En session udløber 180 dage efter seneste brug, en loginkode efter 10 minutter, en invitation efter 48 timer, eller så snart den er brugt, sammen med de anmodninger, der er sendt med den.
• En konto, der ikke har været brugt i to år, får en advarsel på e-mail og slettes 30 dage senere, hvis ingen logger ind på den igen; en konto uden e-mailadresse, som ikke kan advares, slettes 30 dage efter de to år.
• Slet din konto: i appen (Babydagbog, »Delt med«, »Slet min konto«), på https://bercio.tequi.app/delete-account med en kode, du modtager på e-mail, eller ved at skrive til support@tequi.app fra kontoens adresse. Kontoen, dens telefoner og sessioner slettes straks fra serveren, og login med Apple tilbagekaldes hos Apple. Babydagbogen bliver hos de andre medlemmer af husstanden; hvis du var det eneste medlem, slettes den også.
• »Log ud« sletter babydagbogen fra denne telefon og får serveren til at glemme telefonen; »Forlad denne babydagbog« fjerner dig fra husstanden og sletter babydagbogen fra denne telefon. I begge tilfælde bliver babydagbogen hos de andre medlemmer af husstanden.
• »Fjern« på babyenhedens parringsskærm glemmer en forældreenhed og afbryder forbindelsen til den.
• Hvis du afinstallerer appen eller rydder dens data i telefonens indstillinger, slettes det, den har gemt på denne telefon. På iPhone og iPad kan iOS beholde kontoens nøgler, efter at appen er afinstalleret: de kan ikke bruges til noget uden appen, og hvis appen installeres igen, sletter den dem ved første start. Din konto bliver derimod på serveren, indtil du sletter den.
• Data, som Google behandler til annoncer, følger Googles politikker; annonce-id'et kan nulstilles i telefonens indstillinger.

Du har ret til indsigt, berigtigelse, sletning, begrænsning, indsigelse og dataportabilitet, ret til når som helst at trække dit samtykke tilbage og ret til at fastsætte retningslinjer for, hvad der skal ske med dine data efter din død.

Du udøver dem i appen (rette eller slette en registrering, forlade babydagbogen, slette din konto) eller ved at skrive til support@tequi.app fra din kontos adresse; udgiveren svarer inden for en måned. Da udgiveren ikke kan læse babydagbogen, kan dens indhold ses og kopieres fra dine telefoner (»Kopiér oversigt«). For annoncer udøves disse rettigheder over for Google.

Du kan også indgive en klage til CNIL, den franske databeskyttelsesmyndighed: https://www.cnil.fr

Denne politik kan ændre sig i takt med appen. Datoen for den seneste opdatering står nedenfor; den gældende version er altid offentliggjort i appen og på dens websted.

Har du spørgsmål om denne politik: support@tequi.app.