Política de privacidad

Bercio te ayuda a seguir el día de tu bebé: el sueño, las tomas y los pañales que anotas, y la hora probable de su próxima siesta. El seguimiento requiere una cuenta, que permite compartirlo con el otro progenitor o con una persona cercana y recuperarlo en un teléfono nuevo.

El seguimiento está cifrado de extremo a extremo, en tus teléfonos, con una clave que el editor nunca tiene. Su servidor solo guarda de él bloques ilegibles: el editor no puede leer lo que anotas, y el seguimiento nunca se usa para la publicidad.

Bercio también puede unir dos de tus teléfonos para vigilar a tu bebé: uno se queda en la habitación (dispositivo bebé) y el otro va contigo (dispositivo padre). El vigilabebés funciona sin cuenta.

La imagen y el sonido pasan de un teléfono a otro, cifrados de extremo a extremo: directamente la mayoría de las veces, a través del relé del editor cuando la red lo exige. El editor no puede verlos ni oírlos, y no los graba.

La aplicación es gratuita y se financia con publicidad de Google AdMob, que nunca aparece en la pantalla de vigilancia ni en el dispositivo bebé. La compra Premium, opcional, elimina toda la publicidad.

El responsable del tratamiento de los datos descritos aquí es el editor de Bercio, Téqui Studio (Charles Grimont EI), cuya dirección figura en el aviso legal. Para cualquier pregunta sobre tus datos: support@tequi.app.

El seguimiento del bebé requiere una cuenta; el vigilabebés, nunca: el dispositivo bebé no inicia sesión en ninguna cuenta. Inicias sesión con Apple (en iPhone y iPad), con Google o con un código de 6 cifras recibido por correo electrónico, sin contraseña. El servicio de cuentas del editor (api.tequi.app) guarda:

• tu dirección de correo electrónico, o la dirección de reenvío de Apple si decides ocultar la tuya, y el identificador que te asigna Apple o Google. Iniciar sesión con la misma dirección verificada, mediante Apple, Google o correo electrónico, lleva a la misma cuenta;
• el idioma de la aplicación, para escribirte en tu idioma, y las fechas de creación y de último uso de la cuenta;
• las versiones del texto de consentimiento del seguimiento que has aceptado, con las fechas de la primera y la última aceptación de cada una (ver «Bases jurídicas»);
• los teléfonos de la cuenta (20 como máximo): el nombre de cada uno (su modelo, o el nombre que le hayas dado), una clave pública creada por la aplicación, y las fechas en que se añadió y en que inició sesión por última vez;
• para cada teléfono conectado, una sesión: la huella criptográfica de un token de inicio de sesión, válido durante 180 días tras su último uso;
• si inicias sesión con Apple, el token que Apple entrega entonces al editor, guardado cifrado: solo sirve para revocar tu inicio de sesión en Apple cuando eliminas tu cuenta.

Apple y Google entregan a la aplicación un token firmado que demuestra tu identidad; el servicio de cuentas solo guarda de él tu dirección de correo electrónico y tu identificador, nunca tu nombre ni tu foto.

Para iniciar sesión por correo electrónico, el código lo envía un proveedor de envío de correos electrónicos, que solo recibe tu dirección y el mensaje. El código es válido durante 10 minutos, para 5 intentos; el servidor solo guarda su huella criptográfica, en memoria. El mismo proveedor envía el aviso previo a la eliminación de una cuenta sin usar.

Una familia reúne las cuentas que comparten el seguimiento de uno o varios niños: el otro progenitor, un abuelo, la niñera. El servidor guarda la lista de los miembros de cada familia y su fecha de incorporación, las invitaciones pendientes y las solicitudes para unirse.

Para invitar a alguien, la aplicación muestra un código QR y un enlace, válidos durante 48 horas y para una sola persona. El secreto que contienen se queda entre tus teléfonos: nunca se envía al servidor, y la página del sitio web que recibe el enlace no lo transmite a ningún sitio.

Los miembros de una familia ven la dirección de correo electrónico de los demás miembros, así como el nombre de sus teléfonos y su última conexión. También ven la dirección de correo electrónico y el nombre del teléfono de una persona que pide unirse a la familia: así se puede reconocer quién lo pide antes de aceptarlo.

Todos los miembros son iguales: cada uno puede invitar, aceptar o rechazar una solicitud, y quitar a un miembro.

El seguimiento (nombre, fecha de nacimiento y, en su caso, fecha prevista de parto de cada niño; sueño, tomas y pañales) se cifra en tus teléfonos con la clave de la familia, que el servidor nunca recibe sin cifrar. Cada teléfono tiene su propia clave, que nunca sale de él; la clave de la familia le llega cifrada solo para él, desde otro teléfono de la familia.

Del seguimiento, el servidor solo guarda bloques cifrados, numerados y fechados, con el teléfono que los subió y su tamaño. El editor no puede leerlos: ni para devolvértelos, ni para transmitirlos a nadie, ni para la publicidad.

La clave de recuperación, que la aplicación muestra para que la apuntes, abre el seguimiento en un teléfono nuevo. El servidor guarda la clave de la familia cifrada con ella, nunca la propia clave de recuperación.

Estas anotaciones pueden revelar información sobre la salud de tu hijo, un nacimiento prematuro por ejemplo: se tratan como datos de salud, con tu consentimiento explícito (ver «Bases jurídicas»).

En el dispositivo bebé, la cámara y el micrófono graban en directo y escuchan la habitación durante la vigilancia. La señal se transmite en directo, cifrada de extremo a extremo (WebRTC, DTLS-SRTP), solo a los dispositivos padre que hayas emparejado. No se guarda nada.

En el dispositivo padre, la cámara solo sirve para escanear el código QR de emparejamiento, y el micrófono para el botón «Hablar», mientras lo mantienes pulsado.

El reconocimiento del llanto (modelo YAMNet de Google, ejecutado con MediaPipe), la detección de ruido y la detección de movimiento funcionan en el dispositivo bebé, sin conexión. Al dispositivo padre solo se envían resultados: nivel de sonido, puntuaciones de llanto, balbuceo o risa, puntuación de movimiento. Nunca el audio analizado.

Para que tus dos teléfonos se encuentren a través de Internet, la aplicación pasa por el servicio de conexión del editor, alojado por IONOS en la Unión Europea e independiente del servicio de cuentas. No recibe ni tu nombre, ni tu correo electrónico, ni la imagen, ni el sonido, y no guarda ningún rastro de las conexiones:

• Conexión (peer.tequi.app): recibe un identificador aleatorio del dispositivo bebé (y, durante el emparejamiento, un identificador derivado del código que muestra) y la dirección IP de cada dispositivo, mientras dura la conexión. Para limitar los abusos del relé, también cuenta las solicitudes de cada dirección IP, en memoria, durante una hora como máximo.
• STUN (turn.tequi.app): ve la dirección IP del dispositivo, para indicarle su dirección pública.
• Relé TURN (turn.tequi.app): cuando no es posible una conexión directa, la señal pasa por este relé. Sigue cifrada de extremo a extremo: el relé no puede verla ni oírla.
• Verificación de la aplicación: para reservar el relé a Bercio, la aplicación demuestra al servidor que es la aplicación original, instalada desde el App Store o Google Play, en un teléfono real. Para ello utiliza App Attest de Apple en iPhone y iPad, y Play Integrity de Google en Android, que verifican la aplicación y el dispositivo según sus propias normas. El servidor no guarda nada de ello: entrega a la aplicación un pase de una semana, que no contiene ningún identificador del dispositivo.

Los anuncios los sirve Google AdMob: un banner en las pantallas de inicio, de emparejamiento, de configuración, del diario de noches y del seguimiento del bebé y, si decides verlo, un vídeo que desbloquea sonidos relajantes adicionales. No aparece ningún anuncio en la pantalla de vigilancia, ni en el dispositivo bebé una vez iniciado el Modo Bebé. Para mostrarlos, Google trata:

• el identificador de publicidad del dispositivo;
• la dirección IP y la ubicación aproximada que se deduce de ella;
• las interacciones con los anuncios e información de diagnóstico.

El seguimiento del bebé nunca se transmite a Google ni se usa para la publicidad: está cifrado, y ni siquiera el editor puede leerlo.

En el Espacio Económico Europeo, el Reino Unido y Suiza, un formulario te pide tu consentimiento para la publicidad personalizada. Puedes revisar tus opciones en cualquier momento: Configuración, «Gestionar mis opciones de publicidad». En iOS, la aplicación pide además el permiso de seguimiento (App Tracking Transparency); sin él, los anuncios no se personalizan.

Los anuncios no tienen sonido y se limitan a contenidos aptos para la mayoría del público con orientación parental.

Con la compra Premium, la aplicación ya no muestra ningún anuncio y deja de recurrir a Google AdMob.

Políticas de Google: https://policies.google.com/technologies/partner-sites

La compra Premium, opcional, se realiza a través del App Store de Apple o de Google Play, que tratan el pago según sus propias políticas de privacidad. El editor no recibe ni tus datos de pago, ni tu nombre, ni tu correo electrónico.

Para saber si tienes Premium, la aplicación consulta a la tienda desde tu teléfono en cada inicio; solo guarda una copia de la respuesta en el teléfono, para funcionar sin conexión. No se envía ningún dato de compra al editor.

El botón «Hacer una foto» del dispositivo padre captura la imagen del momento. Se queda en el teléfono, en una carpeta temporal de la aplicación, hasta que la compartas o la guardes con el menú de compartir del teléfono. Nunca se envía al editor.

La aplicación guarda en cada teléfono:

• tus ajustes (idioma, sensibilidad, calidad de vídeo, tema…);
• el estado de la compra Premium y del desbloqueo de los sonidos relajantes adicionales mediante un vídeo;
• en el dispositivo bebé, el identificador y el nombre de la habitación, así como el nombre y la clave secreta de cada dispositivo padre que hayas autorizado;
• en el dispositivo padre, las habitaciones emparejadas con su clave secreta, y el diario de noches (llanto, movimiento, ruido y cortes de las últimas 14 noches);
• si lo usas, el seguimiento del bebé completo, para funcionar sin conexión: el nombre, la fecha de nacimiento y, si nació antes de tiempo, la fecha prevista de parto de cada niño, y los periodos de sueño, las tomas y los cambios de pañal anotados en la familia. Las estimaciones de siestas se calculan en el teléfono. En el servidor solo se guarda una copia cifrada (ver «Seguimiento cifrado de extremo a extremo»);
• con una cuenta, en el llavero de iOS o el Keystore de Android: la clave privada del teléfono, la clave de la familia, la clave de recuperación y el token de inicio de sesión.

• Cámara y micrófono: la vigilancia, el código QR, el botón «Hablar».
• Notificaciones: las alertas (llanto, movimiento, ruido, batería baja, conexión perdida), creadas en el propio teléfono; en Android, la notificación permanente de la vigilancia con la pantalla apagada.
• Fotos (iOS, solo añadir): guardar una foto cuando tú lo decides.
• Segundo plano: seguir oyendo al bebé cuando la pantalla del dispositivo padre está apagada.

Cada tratamiento se apoya en una base prevista por el RGPD:

• La cuenta y la familia (dirección de correo electrónico, teléfonos de la cuenta, miembros, invitaciones), así como la conexión y el relé del vigilabebés: la ejecución del contrato que forman las condiciones de uso (artículo 6.1.b).
• El seguimiento de tu hijo, guardado cifrado en el servidor y compartido con los miembros de tu familia, que puede revelar información sobre su salud: tu consentimiento explícito (artículos 6.1.a y 9.2.a). Lo das en cada inicio de sesión marcando la casilla prevista, nunca marcada de antemano, como titular de la patria potestad sobre el niño (su padre, su madre o su tutor) o con el permiso del titular. Puedes retirarlo en cualquier momento, en la aplicación, saliendo del seguimiento o eliminando tu cuenta (ver «Conservación y eliminación»); la retirada no afecta a lo realizado antes. El seguimiento sigue entonces con los demás miembros de la familia, sobre la base del consentimiento que cada uno ha dado; si eras su único miembro, se borra del servidor. El editor conserva la versión del texto aceptado y las fechas de la primera y la última aceptación, para poder acreditar tu consentimiento.
• La seguridad del servicio (limitar los abusos, cerrar una sesión cuyo token se haya copiado, verificar la aplicación): el interés legítimo del editor en proteger el servicio y a sus usuarios (artículo 6.1.f).
• La publicidad: tu consentimiento para la publicidad personalizada, recogido mediante el formulario de Google; en su defecto, anuncios no personalizados, por el interés legítimo del editor en financiar una aplicación gratuita.

Los datos de la cuenta y el seguimiento cifrado se guardan en el servidor del editor, en la Unión Europea. Intervienen:

• IONOS, que aloja este servidor (conexión, relé y servicio de cuentas), un servidor privado virtual situado en la Unión Europea, como encargado del tratamiento del editor;
• un proveedor de envío de correos electrónicos, encargado del tratamiento del editor, para los códigos de inicio de sesión y el aviso previo a la eliminación de una cuenta sin usar;
• Apple y Google, cuando decides iniciar sesión con ellos: verifican tu identidad según sus propias normas de privacidad, y saben que usas Bercio;
• Cloudflare, que aloja el sitio web de Bercio (bercio.tequi.app) y ve la dirección IP de los visitantes para servirles las páginas. La página de eliminación de la cuenta envía tu dirección y tu código directamente al servicio de cuentas; la página de invitación no envía nada.

El servidor del editor, que guarda los datos de la cuenta y el seguimiento cifrado, está en la Unión Europea. Google (publicidad, inicio de sesión con Google), Apple (inicio de sesión con Apple) y Cloudflare (sitio web) pueden tratar datos fuera de la Unión, en particular en Estados Unidos, con las garantías previstas por el RGPD: la decisión de adecuación de la Comisión Europea relativa al Marco de Privacidad de Datos UE–EE. UU., o sus cláusulas contractuales tipo.

Aparte de la cuenta descrita más arriba, el editor no recoge ningún dato sobre ti: no guarda ni contraseña, ni nombre, ni datos de pago, ni estadísticas de uso, ni imagen, ni sonido. Las imágenes de tu hijo solo las ven los dispositivos que hayas emparejado.

El servicio de cuentas no guarda ninguna dirección IP: solo la usa para limitar los abusos, en memoria, durante una hora como máximo. Sus registros técnicos, conservados 7 días, no contienen ni direcciones de correo electrónico, ni códigos, ni identificadores.

Bercio está pensada para adultos; no está destinada a ser utilizada por niños.

• El diario de noches solo guarda las últimas 14 noches; «Borrar el diario» lo vacía al instante.
• El seguimiento del bebé guarda lo que anotas hasta que lo elimines: un registro («Eliminar»), o todo el seguimiento de un bebé, desde su perfil; la eliminación se aplica a todos los teléfonos de la familia. En el servidor, los bloques cifrados antiguos desaparecen cuando un teléfono sube un estado completo del seguimiento, que los sustituye.
• Una sesión caduca 180 días después de su último uso, un código de inicio de sesión a los 10 minutos, una invitación a las 48 horas o en cuanto se ha usado, junto con las solicitudes hechas con ella.
• Una cuenta sin usar desde hace dos años recibe un aviso por correo electrónico y se elimina 30 días después si nadie vuelve a iniciar sesión en ella; una cuenta sin dirección de correo electrónico, a la que no se puede avisar, se elimina 30 días después de esos dos años.
• Eliminar tu cuenta: en la aplicación (Seguimiento del bebé, «Compartido con», «Eliminar mi cuenta»), en https://bercio.tequi.app/delete-account con un código recibido por correo electrónico, o escribiendo a support@tequi.app desde la dirección de la cuenta. La cuenta, sus teléfonos y sus sesiones se borran de inmediato del servidor, y el inicio de sesión con Apple se revoca en Apple. El seguimiento sigue con los demás miembros de la familia; si eras su único miembro, también se borra.
• «Cerrar sesión» borra el seguimiento de este teléfono y el servidor olvida este teléfono; «Salir de este seguimiento» te quita de la familia y borra el seguimiento de este teléfono. En ambos casos, el seguimiento sigue con los demás miembros de la familia.
• «Quitar», en la pantalla de emparejamiento del dispositivo bebé, olvida un dispositivo padre y lo desconecta.
• Desinstalar la aplicación, o borrar sus datos en los ajustes del teléfono, elimina lo que guardó en ese teléfono. En iPhone y iPad, iOS puede conservar las claves de la cuenta tras la desinstalación: no sirven de nada sin la aplicación, que las borra en su primer inicio si se vuelve a instalar. Tu cuenta, en cambio, sigue en el servidor hasta que la elimines.
• Los datos que Google trata para la publicidad siguen las políticas de Google; el identificador de publicidad se restablece en los ajustes del teléfono.

Tienes derecho de acceso, rectificación, supresión, limitación, oposición y portabilidad, derecho a retirar tu consentimiento en cualquier momento y derecho a establecer directrices sobre el destino de tus datos después de tu fallecimiento.

Los ejerces en la aplicación (corregir o eliminar un registro, salir del seguimiento, eliminar tu cuenta) o escribiendo a support@tequi.app desde la dirección de tu cuenta; el editor responde en el plazo de un mes. Como el editor no puede leer el seguimiento, su contenido se consulta y se copia desde tus teléfonos («Copiar resumen»). Para la publicidad, estos derechos se ejercen ante Google.

También puedes presentar una reclamación ante la CNIL, la autoridad francesa de protección de datos: https://www.cnil.fr

Esta política puede cambiar con la aplicación. La fecha de su última actualización figura más abajo; la versión vigente se publica siempre en la aplicación y en su sitio web.

Para cualquier pregunta sobre esta política: support@tequi.app.