Tietosuojakäytäntö

Bercio auttaa sinua seuraamaan vauvasi päivää: kirjaamiasi unia, ruokailuja ja vaippoja sekä seuraavien päiväunien todennäköistä ajankohtaa. Vauvapäiväkirja vaatii tilin, jonka avulla voit jakaa sen toisen vanhemman tai läheisen kanssa ja saada sen takaisin uudessa puhelimessa.

Vauvapäiväkirja on päästä päähän salattu puhelimissasi avaimella, jota julkaisijalla ei koskaan ole. Julkaisijan palvelin säilyttää siitä vain lukukelvottomia lohkoja: julkaisija ei voi lukea kirjaamiasi tietoja, eikä vauvapäiväkirjaa koskaan käytetä mainontaan.

Bercio voi myös yhdistää kaksi puhelintasi, jotta voit valvoa vauvaasi: toinen jää lastenhuoneeseen (vauvan laite), toinen kulkee mukanasi (vanhemman laite). Itkuhälytin toimii ilman tiliä.

Kuva ja ääni kulkevat puhelimesta toiseen päästä päähän salattuina: useimmiten suoraan ja julkaisijan välityspalvelimen kautta silloin, kun verkko sitä edellyttää. Julkaisija ei voi nähdä eikä kuulla niitä, eikä se tallenna niitä.

Sovellus on maksuton, ja se rahoitetaan Google AdMobin mainoksilla, joita ei koskaan näytetä valvontanäkymässä eikä vauvan laitteessa. Valinnainen Premium-osto poistaa kaikki mainokset.

Tässä kuvattujen tietojen käsittelystä vastaava rekisterinpitäjä on Bercio-sovelluksen julkaisija Téqui Studio (Charles Grimont EI), jonka osoite on mainittu oikeudellisissa tiedoissa. Jos sinulla on kysyttävää tiedoistasi: support@tequi.app.

Vauvapäiväkirja vaatii tilin, itkuhälytin ei koskaan: vauvan laite ei kirjaudu mihinkään tiliin. Kirjaudut sisään Applella (iPhonessa ja iPadissa), Googlella tai sähköpostitse saamallasi 6-numeroisella koodilla, ilman salasanaa. Julkaisijan tilipalvelu (api.tequi.app) säilyttää:

• sähköpostiosoitteesi tai Applen välitysosoitteen, jos päätät piilottaa omasi, sekä tunnisteen, jonka Apple tai Google antaa sinulle. Kirjautuminen samalla vahvistetulla osoitteella, Applen, Googlen tai sähköpostin kautta, johtaa samaan tiliin;
• sovelluksen kielen, jotta sinulle voidaan kirjoittaa omalla kielelläsi, sekä tilin luontipäivän ja viimeisimmän käyttöpäivän;
• hyväksymiesi vauvapäiväkirjan suostumustekstien versiot sekä kunkin ensimmäisen ja viimeisimmän hyväksymisen päivämäärät (ks. ”Oikeusperusteet”);
• tilin puhelimet (enintään 20): kunkin puhelimen nimen (sen mallin tai sille antamasi nimen), sovelluksen luoman julkisen avaimen sekä sen lisäyspäivän ja viimeisimmän kirjautumispäivän;
• kullekin kirjautuneelle puhelimelle istunnon: kirjautumistokenin tiivisteen, joka on voimassa 180 päivää viimeisimmästä käytöstä;
• jos kirjaudut Applella, tokenin, jonka Apple tällöin antaa julkaisijalle, salattuna säilytettynä: sitä käytetään vain kirjautumisesi peruuttamiseen Applen palvelussa, kun poistat tilisi.

Apple ja Google antavat sovellukselle allekirjoitetun tokenin, joka todistaa henkilöllisyytesi; tilipalvelu säilyttää siitä vain sähköpostiosoitteesi ja tunnisteesi, ei koskaan nimeäsi eikä kuvaasi.

Sähköpostikirjautumisessa koodin lähettää sähköpostien lähetyspalvelun tarjoaja, joka saa vain osoitteesi ja viestin. Koodi on voimassa 10 minuuttia ja enintään 5 yrityksen ajan; palvelin säilyttää siitä vain tiivisteen, muistissa. Sama palveluntarjoaja lähettää varoituksen, joka edeltää käyttämättömän tilin poistamista.

Perhe kokoaa yhteen tilit, jotka jakavat yhden tai useamman lapsen vauvapäiväkirjan: toisen vanhemman, isovanhemman, lastenhoitajan. Palvelin säilyttää kunkin perheen jäsenluettelon ja jäsenten liittymispäivät, avoimet kutsut ja liittymispyynnöt.

Kun kutsut jonkun, sovellus näyttää QR-koodin ja linkin, jotka ovat voimassa 48 tuntia ja yhdelle henkilölle. Niiden sisältämä salaisuus pysyy puhelinten välillä: sitä ei koskaan lähetetä palvelimelle, eikä linkin vastaanottava verkkosivuston sivu välitä sitä mihinkään.

Perheen jäsenet näkevät muiden jäsenten sähköpostiosoitteet sekä heidän puhelintensa nimet ja viimeisimmän kirjautumisen. He näkevät myös perheeseen liittymistä pyytävän henkilön sähköpostiosoitteen ja puhelimen nimen: näin pyytäjä voidaan tunnistaa ennen hyväksymistä.

Kaikki jäsenet ovat tasavertaisia: kukin voi kutsua, hyväksyä tai hylätä pyynnön ja poistaa jäsenen.

Vauvapäiväkirja (kunkin lapsen etunimi, syntymäaika ja tarvittaessa laskettu aika; unet, ruokailut ja vaipat) salataan puhelimissasi perheen avaimella, jota palvelin ei koskaan saa salaamattomana. Jokaisella puhelimella on oma avaimensa, joka ei poistu puhelimesta; perheen avain saapuu puhelimeen perheen toisesta puhelimesta, salattuna vain sille.

Palvelin säilyttää vauvapäiväkirjasta vain salattuja lohkoja numeroituina ja päivättyinä sekä tiedon niiden koosta ja puhelimesta, joka ne tallensi. Julkaisija ei voi lukea niitä: ei palauttaakseen niitä sinulle, ei välittääkseen niitä kenellekään eikä mainontaa varten.

Palautusavain, jonka sovellus näyttää, jotta voit kirjoittaa sen muistiin, avaa vauvapäiväkirjan uudessa puhelimessa. Palvelin säilyttää perheen avaimen sillä salattuna, ei koskaan itse palautusavainta.

Nämä kirjaukset voivat paljastaa tietoja lapsesi terveydestä, esimerkiksi ennenaikaisesta syntymästä: niitä käsitellään terveystietoina nimenomaisella suostumuksellasi (ks. ”Oikeusperusteet”).

Vauvan laitteessa kamera ja mikrofoni kuvaavat ja kuuntelevat lastenhuonetta valvonnan aikana. Lähetys välitetään suorana ja päästä päähän salattuna (WebRTC, DTLS-SRTP) vain niihin vanhempien laitteisiin, jotka olet pariliittänyt. Mitään ei tallenneta.

Vanhemman laitteessa kameraa käytetään vain pariliitoksen QR-koodin skannaamiseen ja mikrofonia ”Puhu”-painikkeeseen silloin, kun pidät sitä pohjassa.

Itkuntunnistus (Googlen YAMNet-malli, jota MediaPipe suorittaa), äänentunnistus ja liikkeentunnistus toimivat vauvan laitteessa ilman verkkoyhteyttä. Vanhemman laitteeseen lähetetään vain tulokset: äänitaso, itkun, jokeltelun tai naurun pisteet ja liikkeen pisteet. Ei koskaan analysoitua ääntä.

Jotta kaksi puhelintasi löytävät toisensa internetin kautta, sovellus käyttää julkaisijan yhteyspalvelua, jota IONOS isännöi Euroopan unionissa ja joka on erillinen tilipalvelusta. Se ei saa nimeäsi, sähköpostiosoitettasi, kuvaa eikä ääntä, eikä se säilytä yhteyksistä mitään jälkiä:

• Yhdistäminen (peer.tequi.app): vastaanottaa vauvan laitteen satunnaisen tunnisteen (ja pariliitoksen aikana tunnisteen, joka on johdettu laitteen näyttämästä koodista) sekä kunkin laitteen IP-osoitteen yhteyden ajaksi. Välityspalvelimen väärinkäytön rajoittamiseksi se laskee myös kunkin IP-osoitteen pyynnöt, muistissa ja enintään tunnin ajan.
• STUN (turn.tequi.app): näkee laitteen IP-osoitteen, jotta se voi kertoa laitteelle sen julkisen osoitteen.
• TURN-välityspalvelin (turn.tequi.app): kun suora yhteys ei ole mahdollinen, lähetys kulkee tämän välityspalvelimen kautta. Se pysyy päästä päähän salattuna: välityspalvelin ei näe eikä kuule sitä.
• Sovelluksen varmennus: jotta välityspalvelin olisi varattu Bercio-sovellukselle, sovellus todistaa palvelimelle olevansa alkuperäinen sovellus, joka on asennettu App Store- tai Google Play -kaupasta oikeaan puhelimeen. Se käyttää tähän Applen App Attest -palvelua iPhone- ja iPad-laitteissa sekä Googlen Play Integrity -palvelua Android-laitteissa, ja ne tarkistavat sovelluksen ja laitteen omien sääntöjensä mukaisesti. Palvelin ei säilytä tästä mitään: se antaa sovellukselle viikon voimassa olevan kulkuluvan, joka ei sisällä mitään laitteen tunnistetta.

Mainokset näyttää Google AdMob: banneri aloitus-, pariliitos-, asetus-, yöpäiväkirja- ja vauvapäiväkirjanäkymissä sekä, jos haluat katsoa sen, video, joka avaa rauhoittavia lisä-ääniä. Valvontanäkymässä ei näytetä mainoksia, eikä myöskään vauvan laitteessa, kun Vauvatila on käynnistetty. Niiden näyttämiseksi Google käsittelee:

• laitteen mainostunnistetta;
• IP-osoitetta ja siitä pääteltyä likimääräistä sijaintia;
• vuorovaikutusta mainosten kanssa sekä diagnostiikkatietoja.

Vauvapäiväkirjaa ei koskaan välitetä Googlelle eikä käytetä mainontaan: se on salattu, eikä julkaisijakaan voi lukea sitä.

Euroopan talousalueella, Yhdistyneessä kuningaskunnassa ja Sveitsissä lomake pyytää suostumustasi personoituun mainontaan. Voit tarkistaa valintasi milloin tahansa: Asetukset, ”Hallitse mainosvalintoja”. iOS:ssä sovellus pyytää lisäksi lupaa seurantaan (App Tracking Transparency); ilman sitä mainoksia ei personoida.

Mainokset ovat äänettömiä, ja ne on rajattu sisältöön, joka sopii useimmille ikäryhmille vanhempien ohjauksessa.

Premium-oston jälkeen sovellus ei näytä lainkaan mainoksia eikä enää käytä Google AdMobia.

Googlen käytännöt: https://policies.google.com/technologies/partner-sites

Valinnainen Premium-osto tehdään Applen App Storen tai Google Playn kautta, jotka käsittelevät maksun omien tietosuojakäytäntöjensä mukaisesti. Julkaisija ei saa maksutietojasi, nimeäsi eikä sähköpostiosoitettasi.

Selvittääkseen, onko Premium ostettu, sovellus kysyy sitä sovelluskaupalta puhelimestasi jokaisella käynnistyskerralla; se säilyttää vastauksesta vain kopion puhelimessa, jotta se toimii ilman verkkoyhteyttä. Julkaisijalle ei lähetetä ostotietoja.

Vanhemman laitteen ”Ota kuva” -painike tallentaa senhetkisen kuvan. Se pysyy puhelimessa sovelluksen väliaikaisessa kansiossa, kunnes jaat tai tallennat sen puhelimen jakovalikon kautta. Sitä ei koskaan lähetetä julkaisijalle.

Sovellus säilyttää kussakin puhelimessa:

• asetuksesi (kieli, herkkyys, videon laatu, teema…);
• Premium-oston ja videolla avattujen rauhoittavien lisä-äänten tilan;
• vauvan laitteessa huoneen tunnisteen ja nimen sekä jokaisen hyväksymäsi vanhemman laitteen nimen ja salaisen avaimen;
• vanhemman laitteessa pariliitetyt huoneet salaisine avaimineen sekä yöpäiväkirjan (itku, liike, äänet ja katkokset viimeisten 14 yön ajalta);
• jos käytät sitä, koko vauvapäiväkirjan, jotta se toimii ilman verkkoyhteyttä: kunkin lapsen etunimen, syntymäajan ja, jos lapsi syntyi ennenaikaisesti, lasketun ajan sekä perheessä kirjatut unet, ruokailut ja vaipanvaihdot. Päiväunien arviot lasketaan puhelimessa. Palvelimella säilytetään siitä vain salattu kopio (ks. ”Päästä päähän salattu vauvapäiväkirja”);
• tilin kanssa iOS:n avainnipussa tai Androidin Keystoressa: puhelimen yksityisen avaimen, perheen avaimen, palautusavaimen ja kirjautumistokenin.

• Kamera ja mikrofoni: valvonta, QR-koodi, ”Puhu”-painike.
• Ilmoitukset: hälytykset (itku, liike, ääni, akku vähissä, katkennut yhteys), jotka luodaan itse puhelimessa; Androidissa myös pysyvä ilmoitus valvonnasta näyttö sammutettuna.
• Kuvat (iOS, vain lisäys): kuvan tallentaminen, kun itse niin valitset.
• Tausta: vauvan äänen kuuluminen edelleen, kun vanhemman laitteen näyttö on sammutettu.

Jokainen käsittely perustuu GDPR:ssä säädettyyn oikeusperusteeseen:

• Tili ja perhe (sähköpostiosoite, tilin puhelimet, jäsenet, kutsut) sekä itkuhälyttimen yhdistäminen ja välitys: käyttöehtojen muodostaman sopimuksen täytäntöönpano (artikla 6.1.b).
• Lapsesi vauvapäiväkirja, jota säilytetään salattuna palvelimella, joka jaetaan perheesi jäsenten kanssa ja joka voi paljastaa tietoja hänen terveydestään: nimenomainen suostumuksesi (artiklat 6.1.a ja 9.2.a). Annat sen jokaisen kirjautumisen yhteydessä rastittamalla sitä varten olevan ruudun, jota ei koskaan ole rastitettu valmiiksi, lapsen huoltajana (vanhempana tai muuna huoltajana) tai huoltajan suostumuksella. Voit peruuttaa sen milloin tahansa sovelluksessa poistumalla vauvapäiväkirjasta tai poistamalla tilisi (ks. ”Säilytys ja poistaminen”); peruuttaminen ei vaikuta aiemmin tehtyyn. Vauvapäiväkirja jää tällöin perheen muille jäsenille kunkin heistä antaman suostumuksen perusteella; jos olit sen ainoa jäsen, se poistetaan palvelimelta. Julkaisija säilyttää hyväksymäsi tekstin version sekä ensimmäisen ja viimeisimmän hyväksymisen päivämäärät, jotta se voi osoittaa suostumuksesi.
• Palvelun turvallisuus (väärinkäytön rajoittaminen, sellaisen istunnon sulkeminen, jonka token on kopioitu, sovelluksen varmentaminen): julkaisijan oikeutettu etu suojata palvelua ja sen käyttäjiä (artikla 6.1.f).
• Mainonta: suostumuksesi personoituun mainontaan, joka pyydetään Googlen lomakkeella; muussa tapauksessa personoimattomat mainokset julkaisijan oikeutetun edun perusteella, jotta maksuton sovellus voidaan rahoittaa.

Tilin tiedot ja salattu vauvapäiväkirja säilytetään julkaisijan palvelimella Euroopan unionissa. Käsittelyyn osallistuvat:

• IONOS, joka isännöi tätä palvelinta (yhdistäminen, välitys ja tilipalvelu), Euroopan unionissa sijaitsevaa virtuaalista yksityispalvelinta, julkaisijan henkilötietojen käsittelijänä;
• sähköpostien lähetyspalvelun tarjoaja, julkaisijan henkilötietojen käsittelijä, kirjautumiskoodeja ja käyttämättömän tilin poistamista edeltävää varoitusta varten;
• Apple ja Google, kun valitset kirjautumisen niiden kautta: ne vahvistavat henkilöllisyytesi omien tietosuojasääntöjensä mukaisesti ja tietävät, että käytät Bercio-sovellusta;
• Cloudflare, joka isännöi Bercio-sovelluksen verkkosivustoa (bercio.tequi.app) ja näkee kävijöiden IP-osoitteen voidakseen näyttää heille sivut. Tilin poistosivu lähettää osoitteesi ja koodisi suoraan tilipalveluun; kutsusivu ei lähetä mitään.

Julkaisijan palvelin, joka säilyttää tilin tiedot ja salatun vauvapäiväkirjan, sijaitsee Euroopan unionissa. Google (mainonta, kirjautuminen Googlella), Apple (kirjautuminen Applella) ja Cloudflare (verkkosivusto) voivat käsitellä tietoja unionin ulkopuolella, erityisesti Yhdysvalloissa, GDPR:n mukaisin suojatoimin: Euroopan komission tietosuojan riittävyyttä koskeva päätös EU:n ja Yhdysvaltojen välisestä tietosuojakehyksestä tai komission vakiosopimuslausekkeet.

Edellä kuvattua tiliä lukuun ottamatta julkaisija ei kerää sinusta mitään tietoja: se ei säilytä salasanaa, nimeä, maksutietoja, käyttötilastoja, kuvaa eikä ääntä. Lapsesi kuvia näkevät vain laitteet, jotka olet pariliittänyt.

Tilipalvelu ei säilytä IP-osoitteita: se käyttää niitä vain väärinkäytön rajoittamiseen, muistissa ja enintään tunnin ajan. Sen teknisissä lokeissa, joita säilytetään 7 päivää, ei ole sähköpostiosoitteita, koodeja eikä tunnisteita.

Bercio on tarkoitettu aikuisille; sitä ei ole tarkoitettu lasten käyttöön.

• Yöpäiväkirja säilyttää vain viimeiset 14 yötä; ”Tyhjennä päiväkirja” tyhjentää sen heti.
• Vauvapäiväkirja säilyttää kirjaamasi tiedot, kunnes poistat ne: yksittäisen kirjauksen (”Poista”) tai lapsen koko päiväkirjan hänen profiilistaan; poisto koskee kaikkia perheen puhelimia. Palvelimella vanhat salatut lohkot katoavat, kun jokin puhelin tallentaa sinne vauvapäiväkirjan täydellisen tilan, joka korvaa ne.
• Istunto vanhenee 180 päivää viimeisimmän käytön jälkeen, kirjautumiskoodi 10 minuutin jälkeen ja kutsu 48 tunnin jälkeen tai heti, kun sitä on käytetty, yhdessä sen avulla tehtyjen pyyntöjen kanssa.
• Tilille, jota ei ole käytetty kahteen vuoteen, lähetetään varoitus sähköpostitse, ja se poistetaan 30 päivää myöhemmin, jos kukaan ei kirjaudu siihen uudelleen; tili, jolla ei ole sähköpostiosoitetta ja jota ei siksi voi varoittaa, poistetaan 30 päivää näiden kahden vuoden jälkeen.
• Tilisi poistaminen: sovelluksessa (Vauvapäiväkirja, ”Jaettu”, ”Poista tilini”), osoitteessa https://bercio.tequi.app/delete-account sähköpostitse saadulla koodilla tai kirjoittamalla osoitteeseen support@tequi.app tilin sähköpostiosoitteesta. Tili, sen puhelimet ja istunnot poistetaan palvelimelta välittömästi, ja kirjautuminen Applella peruutetaan Applen palvelussa. Vauvapäiväkirja jää perheen muille jäsenille; jos olit sen ainoa jäsen, myös se poistetaan.
• ”Kirjaudu ulos” poistaa vauvapäiväkirjan tästä puhelimesta, ja palvelin unohtaa puhelimen; ”Poistu tästä vauvapäiväkirjasta” poistaa sinut perheestä ja poistaa vauvapäiväkirjan tästä puhelimesta. Molemmissa tapauksissa vauvapäiväkirja jää perheen muille jäsenille.
• Vauvan laitteen pariliitosnäkymän ”Poista” unohtaa vanhemman laitteen ja katkaisee yhteyden siihen.
• Sovelluksen poistaminen tai sen tietojen tyhjentäminen puhelimen asetuksista poistaa sen, mitä sovellus on säilyttänyt tässä puhelimessa. iPhonessa ja iPadissa iOS voi säilyttää tilin avaimet sovelluksen poistamisen jälkeen: ilman sovellusta niistä ei ole mitään hyötyä, ja jos sovellus asennetaan uudelleen, se poistaa ne ensimmäisellä käynnistyskerralla. Tilisi sen sijaan säilyy palvelimella, kunnes poistat sen.
• Tietoihin, joita Google käsittelee mainontaa varten, sovelletaan Googlen käytäntöjä; mainostunnisteen voi nollata puhelimen asetuksista.

Sinulla on oikeus tutustua tietoihisi sekä oikeus tietojen oikaisemiseen, poistamiseen, käsittelyn rajoittamiseen, vastustamiseen ja siirtämiseen, oikeus peruuttaa suostumuksesi milloin tahansa sekä oikeus antaa ohjeita tietojesi kohtalosta kuolemasi jälkeen.

Käytät näitä oikeuksia sovelluksessa (kirjauksen korjaaminen tai poistaminen, vauvapäiväkirjasta poistuminen, tilin poistaminen) tai kirjoittamalla osoitteeseen support@tequi.app tilisi sähköpostiosoitteesta; julkaisija vastaa kuukauden kuluessa. Koska julkaisija ei voi lukea vauvapäiväkirjaa, sen sisältöä voi tarkastella ja kopioida puhelimistasi (”Kopioi yhteenveto”). Mainonnan osalta näitä oikeuksia käytetään Googlen kautta.

Voit myös tehdä valituksen CNIL:lle, Ranskan tietosuojaviranomaiselle: https://www.cnil.fr

Tämä käytäntö voi muuttua sovelluksen mukana. Viimeisimmän päivityksen päivämäärä näkyy alla; voimassa oleva versio julkaistaan aina sovelluksessa ja sen verkkosivustolla.

Jos sinulla on kysyttävää tästä käytännöstä: support@tequi.app.