Politique de confidentialité

Bercio vous aide à suivre la journée de votre bébé : les sommeils, repas et couches que vous notez, et l'heure probable de sa prochaine sieste. Le suivi demande un compte, qui permet de le partager avec l'autre parent ou un proche et de le retrouver sur un nouveau téléphone.

Le suivi est chiffré de bout en bout, sur vos téléphones, avec une clé que l'éditeur n'a jamais. Son serveur n'en garde que des blocs illisibles : l'éditeur ne peut pas lire ce que vous notez, et le suivi ne sert jamais à la publicité.

Bercio peut aussi relier deux de vos téléphones pour surveiller votre bébé : l'un reste dans la chambre (appareil bébé), l'autre vous suit (appareil parent). Le babyphone fonctionne sans compte.

L'image et le son passent d'un téléphone à l'autre, chiffrés de bout en bout : directement le plus souvent, par le relais de l'éditeur quand le réseau l'impose. L'éditeur ne peut ni les voir ni les écouter, et ne les enregistre pas.

L'application est gratuite, financée par la publicité Google AdMob, qui ne s'affiche jamais sur l'écran de surveillance ni sur l'appareil bébé. L'achat Premium, facultatif, retire toute publicité.

Le responsable du traitement des données décrites ici est l'éditeur de Bercio, Téqui Studio (Charles Grimont EI), dont l'adresse figure dans les mentions légales. Pour toute question sur vos données : support@tequi.app.

Le suivi de bébé demande un compte ; le babyphone, jamais : l'appareil bébé ne se connecte à aucun compte. Vous vous connectez avec Apple (sur iPhone et iPad), avec Google, ou par un code à 6 chiffres reçu par e-mail, sans mot de passe. Le service des comptes de l'éditeur (api.tequi.app) garde :

• votre adresse e-mail, ou l'adresse relais d'Apple si vous choisissez de masquer la vôtre, et l'identifiant que vous attribue Apple ou Google. Une connexion avec la même adresse vérifiée, par Apple, Google ou e-mail, mène au même compte ;
• la langue de l'application, pour vous écrire dans votre langue, et les dates de création et de dernière utilisation du compte ;
• les versions du texte de consentement au suivi que vous avez acceptées, avec les dates de la première et de la dernière acceptation de chacune (voir « Bases légales ») ;
• les téléphones du compte (20 au plus) : le nom de chacun (son modèle, ou le nom que vous lui avez donné), une clé publique créée par l'application, et ses dates d'ajout et de dernière connexion ;
• pour chaque téléphone connecté, une session : l'empreinte d'un jeton de connexion, valable 180 jours après sa dernière utilisation ;
• si vous vous connectez avec Apple, le jeton qu'Apple remet alors à l'éditeur, gardé chiffré : il ne sert qu'à révoquer votre connexion chez Apple quand vous supprimez votre compte.

Apple et Google remettent à l'application un jeton signé qui prouve votre identité ; le service des comptes n'en garde que votre adresse e-mail et votre identifiant, jamais votre nom ni votre photo.

Pour une connexion par e-mail, le code est envoyé par un prestataire d'envoi d'e-mails, qui ne reçoit que votre adresse et le message. Le code est valable 10 minutes, pour 5 essais ; le serveur n'en garde qu'une empreinte, en mémoire. Le même prestataire envoie l'avertissement qui précède la suppression d'un compte inutilisé.

Un foyer réunit les comptes qui partagent le suivi d'un ou plusieurs enfants : l'autre parent, un grand-parent, la nounou. Le serveur garde la liste des membres de chaque foyer et leur date d'arrivée, les invitations en cours et les demandes pour rejoindre.

Pour inviter quelqu'un, l'application affiche un code QR et un lien, valables 48 heures et pour une seule personne. Le secret qu'ils contiennent reste entre vos téléphones : il n'est jamais envoyé au serveur, et la page du site qui reçoit le lien ne le transmet nulle part.

Les membres d'un foyer voient l'adresse e-mail des autres membres, ainsi que le nom de leurs téléphones et leur dernière connexion. Ils voient aussi l'adresse e-mail et le nom du téléphone d'une personne qui demande à rejoindre le foyer : c'est ce qui permet de reconnaître qui demande avant de l'accepter.

Tous les membres sont égaux : chacun peut inviter, accepter ou refuser une demande, et retirer un membre.

Le suivi (prénom, date de naissance et, le cas échéant, date du terme de chaque enfant ; sommeils, repas et couches) est chiffré sur vos téléphones avec la clé du foyer, que le serveur ne reçoit jamais en clair. Chaque téléphone a sa propre clé, qui ne le quitte pas ; la clé du foyer lui parvient chiffrée pour lui seul, par un autre téléphone du foyer.

Le serveur ne garde du suivi que des blocs chiffrés, numérotés et datés, avec le téléphone qui les a déposés et leur taille. L'éditeur ne peut pas les lire : ni pour vous les rendre, ni pour les transmettre à qui que ce soit, ni pour la publicité.

La clé de secours, affichée par l'application pour que vous la notiez, ouvre le suivi sur un nouveau téléphone. Le serveur garde la clé du foyer chiffrée avec elle, jamais la clé de secours elle-même.

Ces notes peuvent révéler des informations sur la santé de votre enfant, une naissance prématurée par exemple : elles sont traitées comme des données de santé, avec votre consentement explicite (voir « Bases légales »).

Sur l'appareil bébé, la caméra et le micro filment et écoutent la chambre pendant la surveillance. Le flux est transmis en direct, chiffré de bout en bout (WebRTC, DTLS-SRTP), aux seuls appareils parents que vous avez appairés. Rien n'est enregistré.

Sur l'appareil parent, la caméra sert seulement à scanner le code QR d'appairage, et le micro au bouton « Parler », tant que vous le maintenez.

La reconnaissance des pleurs (modèle YAMNet de Google, exécuté par MediaPipe), la détection de bruit et la détection de mouvement fonctionnent sur l'appareil bébé, hors ligne. Seuls des résultats sont envoyés à l'appareil parent : niveau sonore, scores de pleurs, de babillage ou de rires, score de mouvement. Jamais l'audio analysé.

Pour que vos deux téléphones se trouvent sur Internet, l'application passe par le service de mise en relation de l'éditeur, hébergé par IONOS dans l'Union européenne et distinct du service des comptes. Il ne reçoit ni votre nom, ni votre adresse e-mail, ni l'image, ni le son, et ne garde aucune trace des connexions :

• Mise en relation (peer.tequi.app) : reçoit un identifiant aléatoire de l'appareil bébé (et, pendant l'appairage, un identifiant tiré du code qu'il affiche) et l'adresse IP de chaque appareil, le temps de la connexion. Pour limiter les abus du relais, il compte aussi les demandes de chaque adresse IP, en mémoire, pendant une heure au plus.
• STUN (turn.tequi.app) : voit l'adresse IP de l'appareil, pour lui indiquer son adresse publique.
• Relais TURN (turn.tequi.app) : quand une connexion directe est impossible, le flux passe par ce relais. Il reste chiffré de bout en bout : le relais ne peut ni le voir, ni l'écouter.
• Vérification de l'application : pour réserver le relais à Bercio, l'application prouve au serveur qu'elle est l'application d'origine, installée depuis l'App Store ou Google Play, sur un vrai téléphone. Elle passe pour cela par App Attest d'Apple sur iPhone et iPad, et par Play Integrity de Google sur Android, qui vérifient l'application et l'appareil selon leurs propres règles. Le serveur n'en garde rien : il remet à l'application un laissez-passer d'une semaine, qui ne contient aucun identifiant de l'appareil.

Les publicités sont diffusées par Google AdMob : une bannière sur l'accueil, l'appairage, les réglages, le journal des nuits et le suivi de bébé, et, si vous choisissez de la regarder, une vidéo qui débloque des sons apaisants en plus. Aucune annonce ne s'affiche sur l'écran de surveillance, ni sur l'appareil bébé une fois le Mode Bébé lancé. Pour les diffuser, Google traite :

• l'identifiant publicitaire de l'appareil ;
• l'adresse IP et la position approximative qui en découle ;
• les interactions avec les annonces et des informations de diagnostic.

Le suivi de bébé n'est jamais transmis à Google ni utilisé pour la publicité : il est chiffré, et l'éditeur lui-même ne peut pas le lire.

Dans l'Espace économique européen, au Royaume-Uni et en Suisse, un formulaire vous demande votre consentement à la publicité personnalisée. Vous pouvez revoir vos choix à tout moment : Paramètres, « Gérer mes choix publicitaires ». Sur iOS, l'application demande en plus l'autorisation de suivi (App Tracking Transparency) ; sans elle, les annonces ne sont pas personnalisées.

Les annonces sont muettes et limitées aux contenus tous publics avec accord parental.

Avec l'achat Premium, l'application n'affiche plus aucune publicité et ne fait plus appel à Google AdMob.

Règles de Google : https://policies.google.com/technologies/partner-sites

L'achat Premium, facultatif, se fait par l'App Store d'Apple ou Google Play, qui traitent le paiement selon leurs propres règles de confidentialité. L'éditeur ne reçoit ni vos coordonnées de paiement, ni votre nom, ni votre adresse e-mail.

Pour savoir si Premium est acquis, l'application interroge le store depuis votre téléphone, à chaque lancement ; elle n'en garde qu'une copie sur le téléphone, pour fonctionner hors ligne. Aucune donnée d'achat n'est envoyée à l'éditeur.

Le bouton « Prendre une photo » de l'appareil parent capture l'image du moment. Elle reste sur le téléphone, dans un dossier temporaire de l'application, jusqu'à ce que vous la partagiez ou l'enregistriez par le menu de partage du téléphone. Elle n'est jamais envoyée à l'éditeur.

L'application garde sur chaque téléphone :

• vos réglages (langue, sensibilité, qualité vidéo, thème…) ;
• l'état de l'achat Premium et du déblocage des sons apaisants en plus par une vidéo ;
• sur l'appareil bébé, l'identifiant et le nom de la chambre, ainsi que le nom et la clé secrète de chaque appareil parent que vous avez autorisé ;
• sur l'appareil parent, les chambres appairées avec leur clé secrète, et le journal des nuits (pleurs, mouvements, bruits et coupures des 14 dernières nuits) ;
• si vous l'utilisez, le suivi de bébé, complet, pour fonctionner hors ligne : le prénom, la date de naissance et, en cas de naissance prématurée, la date du terme de chaque enfant, et les sommeils, repas et changes notés dans le foyer. Les estimations de siestes sont calculées sur le téléphone. Seule une copie chiffrée en est gardée sur le serveur (voir « Suivi chiffré de bout en bout ») ;
• avec un compte, dans le trousseau d'iOS ou le Keystore d'Android : la clé privée du téléphone, la clé du foyer, la clé de secours et le jeton de connexion.

• Caméra et micro : la surveillance, le code QR, le bouton « Parler ».
• Notifications : les alertes (pleurs, mouvement, bruit, batterie faible, connexion perdue), créées sur le téléphone même ; sur Android, la notification permanente de la surveillance écran éteint.
• Photos (iOS, ajout seulement) : enregistrer une photo quand vous le choisissez.
• Arrière-plan : continuer à faire entendre le bébé quand l'écran de l'appareil parent est éteint.

Chaque traitement repose sur une base prévue par le RGPD :

• Le compte et le foyer (adresse e-mail, téléphones du compte, membres, invitations), comme la mise en relation et le relais du babyphone : l'exécution du contrat que forment les conditions d'utilisation (article 6.1.b).
• Le suivi de votre enfant, gardé chiffré sur le serveur et partagé avec les membres de votre foyer, qui peut révéler des informations sur sa santé : votre consentement explicite (articles 6.1.a et 9.2.a). Vous le donnez à chaque connexion en cochant la case prévue, jamais cochée d'avance, en tant que titulaire de l'autorité parentale sur l'enfant (son parent ou son tuteur) ou avec son accord. Vous le retirez à tout moment, dans l'application, en quittant le suivi ou en supprimant votre compte (voir « Conservation et suppression ») ; le retrait ne remet pas en cause ce qui a été fait avant. Le suivi reste alors aux autres membres du foyer, sur la base du consentement que chacun a donné ; si vous en étiez le seul membre, il est effacé du serveur. L'éditeur garde la version du texte accepté et les dates de la première et de la dernière acceptation, pour pouvoir apporter la preuve de votre consentement.
• La sécurité du service (limiter les abus, fermer une session dont le jeton a été copié, vérifier l'application) : l'intérêt légitime de l'éditeur à protéger le service et ses utilisateurs (article 6.1.f).
• La publicité : votre consentement pour la publicité personnalisée, recueilli par le formulaire de Google ; à défaut, des annonces non personnalisées, dans l'intérêt légitime de l'éditeur à financer une application gratuite.

Les données du compte et le suivi chiffré sont gardés sur le serveur de l'éditeur, dans l'Union européenne. Interviennent :

• IONOS, hébergeur de ce serveur (mise en relation, relais et service des comptes), un serveur privé virtuel situé dans l'Union européenne, comme sous-traitant de l'éditeur ;
• un prestataire d'envoi d'e-mails, sous-traitant de l'éditeur, pour les codes de connexion et l'avertissement avant la suppression d'un compte inutilisé ;
• Apple et Google, quand vous choisissez de vous connecter avec eux : ils vérifient votre identité selon leurs propres règles de confidentialité, et savent que vous utilisez Bercio ;
• Cloudflare, hébergeur du site de Bercio (bercio.tequi.app), qui voit l'adresse IP des visiteurs pour leur servir les pages. La page de suppression du compte envoie votre adresse et votre code directement au service des comptes ; la page d'invitation n'envoie rien.

Le serveur de l'éditeur, qui garde les données du compte et le suivi chiffré, est dans l'Union européenne. Google (publicité, connexion avec Google), Apple (connexion avec Apple) et Cloudflare (site) peuvent traiter des données hors de l'Union, notamment aux États-Unis, avec les garanties prévues par le RGPD : la décision d'adéquation de la Commission européenne pour le cadre de protection des données UE–États-Unis, ou ses clauses contractuelles types.

En dehors du compte décrit plus haut, l'éditeur ne collecte aucune donnée vous concernant : il ne garde ni mot de passe, ni nom, ni données de paiement, ni statistiques d'utilisation, ni image ni son. Les images de votre enfant ne sont vues que par les appareils que vous avez appairés.

Le service des comptes ne garde aucune adresse IP : il ne s'en sert que pour limiter les abus, en mémoire, une heure au plus. Ses journaux techniques, gardés 7 jours, ne contiennent ni adresse e-mail, ni code, ni identifiant.

Bercio s'adresse aux adultes ; elle n'est pas destinée à être utilisée par des enfants.

• Le journal des nuits ne garde que les 14 dernières nuits ; « Effacer le journal » le vide aussitôt.
• Le suivi de bébé garde ce que vous notez jusqu'à ce que vous l'effaciez : une entrée (« Supprimer »), ou tout le suivi d'un enfant, depuis sa fiche ; l'effacement vaut pour tous les téléphones du foyer. Sur le serveur, les anciens blocs chiffrés disparaissent quand un téléphone y dépose un état complet du suivi, qui les remplace.
• Une session expire 180 jours après sa dernière utilisation, un code de connexion après 10 minutes, une invitation après 48 heures ou dès qu'elle a servi, avec les demandes faites avec elle.
• Un compte inutilisé depuis deux ans est prévenu par e-mail, puis supprimé 30 jours plus tard si personne ne s'y reconnecte ; un compte sans adresse e-mail, qu'on ne peut pas prévenir, est supprimé 30 jours après ces deux ans.
• Supprimer votre compte : dans l'application (Suivi de bébé, « Partagé avec », « Supprimer mon compte »), sur https://bercio.tequi.app/delete-account avec un code reçu par e-mail, ou en écrivant à support@tequi.app depuis l'adresse du compte. Le compte, ses téléphones et ses sessions sont aussitôt effacés du serveur, et la connexion avec Apple est révoquée chez Apple. Le suivi reste aux autres membres du foyer ; si vous en étiez le seul membre, il est effacé aussi.
• « Se déconnecter » efface le suivi de ce téléphone et l'oublie sur le serveur ; « Quitter ce suivi » vous retire du foyer et efface le suivi de ce téléphone. Dans les deux cas, le suivi reste aux autres membres du foyer.
• « Retirer », sur l'écran d'appairage de l'appareil bébé, oublie un appareil parent et le déconnecte.
• Désinstaller l'application, ou effacer ses données dans les réglages du téléphone, supprime ce qu'elle a gardé sur ce téléphone. Sur iPhone et iPad, iOS peut garder les clés du compte après la désinstallation : elles ne servent à rien sans l'application, qui les efface au premier lancement si elle est réinstallée. Votre compte, lui, reste sur le serveur jusqu'à ce que vous le supprimiez.
• Les données traitées par Google pour la publicité suivent les règles de Google ; l'identifiant publicitaire se réinitialise dans les réglages du téléphone.

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, du droit de retirer votre consentement à tout moment, et de celui de définir des directives sur le sort de vos données après votre décès.

Vous les exercez dans l'application (corriger ou effacer une entrée, quitter le suivi, supprimer votre compte) ou en écrivant à support@tequi.app depuis l'adresse de votre compte ; l'éditeur répond dans un délai d'un mois. L'éditeur ne pouvant pas lire le suivi, son contenu se consulte et se copie depuis vos téléphones (« Copier le résumé »). Pour la publicité, ces droits s'exercent auprès de Google.

Vous pouvez aussi adresser une réclamation à la CNIL : https://www.cnil.fr

Cette politique peut évoluer avec l'application. La date de sa dernière mise à jour figure ci-dessous ; la version en vigueur est toujours publiée dans l'application et sur son site.

Pour toute question sur cette politique : support@tequi.app.