מדיניות פרטיות

Bercio עוזרת לכם לעקוב אחרי היום של התינוק: השינה, ההאכלות והחיתולים שאתם מתעדים, והשעה המשוערת של התנומה הבאה. יומן התינוק דורש חשבון, שמאפשר לשתף אותו עם ההורה השני או עם אדם קרוב ולשחזר אותו בטלפון חדש.

יומן התינוק מוצפן מקצה לקצה, בטלפונים שלכם, במפתח שאף פעם לא נמצא בידי המפתח. השרת של המפתח שומר ממנו רק בלוקים שאי אפשר לקרוא: המפתח לא יכול לקרוא את מה שאתם מתעדים, והיומן אף פעם לא משמש לפרסום.

Bercio יכולה גם לקשר בין שניים מהטלפונים שלכם כדי להשגיח על התינוק: אחד נשאר בחדר התינוק (מכשיר התינוק), והשני נשאר אתכם (מכשיר ההורה). המוניטור לתינוק עובד בלי חשבון.

התמונה והקול עוברים מטלפון אחד לשני, מוצפנים מקצה לקצה: ברוב המקרים ישירות, ודרך הממסר של המפתח כשהרשת מחייבת זאת. המפתח לא יכול לראות אותם או לשמוע אותם, והוא לא מקליט אותם.

האפליקציה חינמית, וממומנת באמצעות פרסומות של Google AdMob, שאף פעם לא מוצגות במסך הניטור או במכשיר התינוק. רכישת פרימיום, שהיא אופציונלית, מסירה את כל הפרסומות.

האחראי לעיבוד הנתונים המתוארים כאן הוא המפתח של Bercio, Téqui Studio (Charles Grimont EI), שכתובתו מופיעה במידע המשפטי. לכל שאלה על הנתונים שלכם: support@tequi.app.

יומן התינוק דורש חשבון; המוניטור לתינוק אף פעם לא: מכשיר התינוק לא מתחבר לשום חשבון. ההתחברות היא באמצעות Apple (ב-iPhone וב-iPad), באמצעות Google, או בקוד בן 6 ספרות שנשלח אליכם באימייל, בלי סיסמה. שירות החשבונות של המפתח (api.tequi.app) שומר:

• את כתובת האימייל שלכם, או את כתובת ההעברה של Apple אם תבחרו להסתיר את הכתובת שלכם, ואת המזהה ש-Apple או Google מקצות לכם. התחברות עם אותה כתובת מאומתת, דרך Apple, דרך Google או באימייל, מובילה לאותו חשבון;
• את שפת האפליקציה, כדי לכתוב לכם בשפה שלכם, ואת תאריך היצירה של החשבון ותאריך השימוש האחרון בו;
• את הגרסאות של נוסח ההסכמה ליומן שאישרתם, עם התאריכים של האישור הראשון והאחרון של כל אחת מהן (ראו "בסיסים חוקיים לעיבוד");
• את הטלפונים של החשבון (20 לכל היותר): השם של כל אחד מהם (הדגם שלו, או השם שנתתם לו), מפתח ציבורי שנוצר על ידי האפליקציה, ותאריך ההוספה ותאריך ההתחברות האחרונה שלו;
• עבור כל טלפון מחובר, סשן: ערך גיבוב (hash) של אסימון התחברות, שתקף 180 יום אחרי השימוש האחרון בו;
• אם אתם מתחברים באמצעות Apple, את האסימון ש-Apple מוסרת אז למפתח, שנשמר מוצפן: הוא משמש רק לביטול ההתחברות שלכם אצל Apple כשאתם מוחקים את החשבון.

Apple ו-Google מוסרות לאפליקציה אסימון חתום שמוכיח את זהותכם; שירות החשבונות שומר ממנו רק את כתובת האימייל ואת המזהה שלכם, אף פעם לא את השם או את התמונה שלכם.

בהתחברות באימייל, הקוד נשלח על ידי ספק לשליחת אימיילים, שמקבל רק את הכתובת שלכם ואת ההודעה. הקוד תקף ל-10 דקות ול-5 ניסיונות; השרת שומר ממנו רק ערך גיבוב, בזיכרון. אותו ספק שולח את האזהרה שלפני מחיקה של חשבון שאינו בשימוש.

משפחה מאגדת את החשבונות שמשתפים את היומן של ילד אחד או יותר: ההורה השני, סבא או סבתא, המטפלת. השרת שומר את רשימת המשתתפים בכל משפחה ואת תאריך ההצטרפות שלהם, את ההזמנות הפתוחות ואת הבקשות להצטרף.

כדי להזמין מישהו, האפליקציה מציגה קוד QR וקישור, שתקפים ל-48 שעות ולאדם אחד בלבד. הסוד שהם מכילים נשאר בין הטלפונים שלכם: הוא אף פעם לא נשלח לשרת, והדף באתר שמקבל את הקישור לא מעביר אותו לשום מקום.

המשתתפים במשפחה רואים את כתובת האימייל של שאר המשתתפים, וגם את שמות הטלפונים שלהם ואת ההתחברות האחרונה שלהם. הם רואים גם את כתובת האימייל ואת שם הטלפון של מי שמבקש להצטרף למשפחה: כך אפשר לזהות מי מבקש לפני שמאשרים אותו.

כל המשתתפים שווים: כל אחד יכול להזמין, לאשר או לדחות בקשה, ולהסיר משתתף.

יומן התינוק (השם הפרטי, תאריך הלידה ובמקרה הצורך גם תאריך הלידה המשוער של כל ילד; שינה, האכלות וחיתולים) מוצפן בטלפונים שלכם במפתח המשפחה, שהשרת אף פעם לא מקבל בגלוי. לכל טלפון יש מפתח משלו, שלא יוצא ממנו; מפתח המשפחה מגיע אליו מוצפן עבורו בלבד, מטלפון אחר של המשפחה.

השרת שומר מהיומן רק בלוקים מוצפנים, ממוספרים ומתוארכים, יחד עם הטלפון שהעלה אותם והגודל שלהם. המפתח לא יכול לקרוא אותם: לא כדי להחזיר לכם אותם, לא כדי להעביר אותם לאף אחד, ולא לצורכי פרסום.

מפתח השחזור, שהאפליקציה מציגה כדי שתרשמו אותו, פותח את היומן בטלפון חדש. השרת שומר את מפתח המשפחה מוצפן באמצעותו, ואף פעם לא את מפתח השחזור עצמו.

הרישומים האלה עלולים לחשוף מידע על הבריאות של הילד שלכם, למשל לידה מוקדמת: לכן הם מטופלים כנתוני בריאות, בהסכמתכם המפורשת (ראו "בסיסים חוקיים לעיבוד").

במכשיר התינוק, המצלמה והמיקרופון מצלמים את החדר ומאזינים לו בזמן הניטור. השידור מועבר בזמן אמת, בהצפנה מקצה לקצה (WebRTC, DTLS-SRTP), רק למכשירי ההורה שצימדתם. שום דבר לא מוקלט.

במכשיר ההורה, המצלמה משמשת רק לסריקת קוד ה-QR לצימוד, והמיקרופון משמש רק את הכפתור "דיבור", כל עוד אתם לוחצים עליו.

זיהוי הבכי (מודל YAMNet של Google, שמופעל באמצעות MediaPipe), זיהוי הרעש וזיהוי התנועה פועלים במכשיר התינוק, ללא חיבור לאינטרנט. רק התוצאות נשלחות למכשיר ההורה: עוצמת הקול, ציונים של בכי, מלמול או צחוק, ציון תנועה. אף פעם לא השמע שנותח.

כדי ששני הטלפונים שלכם ימצאו זה את זה דרך האינטרנט, האפליקציה עוברת דרך שירות התיווך של המפתח, שמאוחסן אצל IONOS באיחוד האירופי ונפרד משירות החשבונות. הוא לא מקבל את השם שלכם, את כתובת האימייל שלכם, את התמונה או את הקול, ולא שומר שום תיעוד של החיבורים:

• תיווך (peer.tequi.app): מקבל מזהה אקראי של מכשיר התינוק (ובזמן הצימוד, גם מזהה שנגזר מהקוד שהוא מציג) ואת כתובת ה-IP של כל מכשיר, למשך החיבור. כדי להגביל שימוש לרעה בממסר, הוא גם סופר את הבקשות מכל כתובת IP, בזיכרון, למשך שעה אחת לכל היותר.
• STUN (turn.tequi.app): רואה את כתובת ה-IP של המכשיר, כדי למסור לו את הכתובת הציבורית שלו.
• ממסר TURN (turn.tequi.app): כשאין אפשרות לחיבור ישיר, השידור עובר דרך הממסר הזה. הוא נשאר מוצפן מקצה לקצה: הממסר לא יכול לראות אותו או לשמוע אותו.
• אימות האפליקציה: כדי שהממסר ישמש רק את Bercio, האפליקציה מוכיחה לשרת שהיא האפליקציה המקורית, שהותקנה מ-App Store או מ-Google Play, בטלפון אמיתי. לשם כך היא נעזרת ב-App Attest של Apple ב-iPhone וב-iPad, וב-Play Integrity של Google ב-Android, שבודקים את האפליקציה ואת המכשיר לפי הכללים שלהם. השרת לא שומר מזה דבר: הוא נותן לאפליקציה אישור גישה תקף לשבוע, שלא מכיל שום מזהה של המכשיר.

הפרסומות מוגשות על ידי Google AdMob: באנר במסך הבית, בצימוד, בהגדרות, ביומן הלילות וביומן התינוק, ואם תבחרו לצפות בו, סרטון שפותח צלילים מרגיעים נוספים. אף מודעה לא מוצגת במסך הניטור, וגם לא במכשיר התינוק לאחר הפעלת מצב תינוק. כדי להציג אותן, Google מעבדת:

• את מזהה הפרסום של המכשיר;
• את כתובת ה-IP ואת המיקום המשוער שנגזר ממנה;
• אינטראקציות עם המודעות ומידע אבחוני.

יומן התינוק אף פעם לא מועבר ל-Google ולא משמש לפרסום: הוא מוצפן, וגם המפתח עצמו לא יכול לקרוא אותו.

באזור הכלכלי האירופי, בבריטניה ובשווייץ, טופס מבקש את הסכמתכם לפרסום מותאם אישית. אפשר לשנות את הבחירות בכל עת: הגדרות, "ניהול העדפות פרסום". ב-iOS, האפליקציה מבקשת גם הרשאת מעקב (App Tracking Transparency); בלעדיה, המודעות אינן מותאמות אישית.

המודעות שקטות ומוגבלות לתוכן המתאים לרוב הקהלים בהדרכת הורים.

עם רכישת פרימיום, האפליקציה לא מציגה שום פרסומת ולא פונה עוד ל-Google AdMob.

המדיניות של Google: https://policies.google.com/technologies/partner-sites

רכישת פרימיום, שהיא אופציונלית, מתבצעת דרך App Store של Apple או Google Play, שמעבדות את התשלום לפי כללי הפרטיות שלהן. המפתח לא מקבל את פרטי התשלום שלכם, את שמכם או את כתובת האימייל שלכם.

כדי לדעת אם פרימיום נרכש, האפליקציה פונה לחנות מהטלפון שלכם בכל הפעלה; היא שומרת רק עותק של התשובה בטלפון, כדי לפעול במצב לא מקוון. שום נתון רכישה לא נשלח למפתח.

הכפתור "צילום תמונה" במכשיר ההורה מצלם את התמונה הנוכחית. היא נשארת בטלפון, בתיקייה זמנית של האפליקציה, עד שתשתפו או תשמרו אותה דרך תפריט השיתוף של הטלפון. היא אף פעם לא נשלחת למפתח.

האפליקציה שומרת בכל טלפון:

• את ההגדרות שלכם (שפה, רגישות, איכות וידאו, ערכת נושא…);
• את מצב רכישת הפרימיום ואת מצב הצלילים המרגיעים הנוספים שנפתחו באמצעות סרטון;
• במכשיר התינוק, את המזהה ואת השם של החדר, וכן את השם ואת המפתח הסודי של כל מכשיר הורה שאישרתם;
• במכשיר ההורה, את החדרים המצומדים עם המפתחות הסודיים שלהם, ואת יומן הלילות (בכי, תנועה, רעש וניתוקים ב-14 הלילות האחרונים);
• אם אתם משתמשים בו, את יומן התינוק במלואו, כדי לפעול במצב לא מקוון: השם הפרטי ותאריך הלידה של כל ילד, ובלידה מוקדמת גם תאריך הלידה המשוער, וכן השינה, ההאכלות והחיתולים שתועדו במשפחה. הערכות התנומות מחושבות בטלפון. בשרת נשמר ממנו רק עותק מוצפן (ראו "יומן מוצפן מקצה לקצה");
• עם חשבון, בצרור המפתחות של iOS או ב-Keystore של Android: המפתח הפרטי של הטלפון, מפתח המשפחה, מפתח השחזור ואסימון ההתחברות.

• מצלמה ומיקרופון: הניטור, קוד ה-QR, הכפתור "דיבור".
• התראות: ההתראות (בכי, תנועה, רעש, סוללה חלשה, ניתוק), שנוצרות בטלפון עצמו; ב-Android, ההתראה הקבועה של הניטור כשהמסך כבוי.
• תמונות (iOS, הוספה בלבד): שמירת תמונה כשתבחרו בכך.
• רקע: המשך השמעת הקול מחדר התינוק כשהמסך של מכשיר ההורה כבוי.

כל עיבוד מבוסס על בסיס שקובע ה-GDPR:

• החשבון והמשפחה (כתובת האימייל, הטלפונים של החשבון, המשתתפים, ההזמנות), וכמוהם התיווך והממסר של המוניטור לתינוק: ביצוע החוזה שתנאי השימוש מהווים (סעיף 6.1.b).
• היומן של הילד שלכם, שנשמר מוצפן בשרת ומשותף עם המשתתפים במשפחה שלכם, ועלול לחשוף מידע על בריאותו: הסכמתכם המפורשת (סעיפים 6.1.a ו-9.2.a). אתם נותנים אותה בכל התחברות בסימון התיבה המיועדת לכך, שאף פעם אינה מסומנת מראש, כמי שנושאים באחריות ההורית על הילד (ההורה או האפוטרופוס שלו) או בהסכמת מי שנושא בה. אפשר לבטל אותה בכל עת, באפליקציה, על ידי יציאה מהיומן או מחיקת החשבון (ראו "שמירה ומחיקה"); הביטול אינו משפיע על מה שנעשה לפני כן. היומן נשאר אז אצל שאר המשתתפים במשפחה, על בסיס ההסכמה שכל אחד מהם נתן; אם אין במשפחה משתתפים אחרים, הוא נמחק מהשרת. המפתח שומר את גרסת הנוסח שאישרתם ואת התאריכים של האישור הראשון והאחרון, כדי שיוכל להוכיח את הסכמתכם.
• אבטחת השירות (הגבלת שימוש לרעה, סגירת סשן שהאסימון שלו הועתק, אימות האפליקציה): האינטרס הלגיטימי של המפתח להגן על השירות ועל המשתמשים בו (סעיף 6.1.f).
• פרסום: הסכמתכם לפרסום מותאם אישית, שנאספת בטופס של Google; בהיעדרה, מודעות שאינן מותאמות אישית, על בסיס האינטרס הלגיטימי של המפתח לממן אפליקציה חינמית.

נתוני החשבון והיומן המוצפן נשמרים בשרת של המפתח, באיחוד האירופי. הגורמים המעורבים:

• IONOS, ספקית האחסון של השרת הזה (תיווך, ממסר ושירות החשבונות), שרת פרטי וירטואלי שנמצא באיחוד האירופי, כמעבדת מידע עבור המפתח;
• ספק לשליחת אימיילים, מעבד מידע עבור המפתח, לקודי ההתחברות ולאזהרה שלפני מחיקה של חשבון שאינו בשימוש;
• Apple ו-Google, כשאתם בוחרים להתחבר באמצעותן: הן מאמתות את זהותכם לפי כללי הפרטיות שלהן, ויודעות שאתם משתמשים ב-Bercio;
• Cloudflare, ספקית האחסון של האתר של Bercio (bercio.tequi.app), שרואה את כתובת ה-IP של המבקרים כדי להגיש להם את הדפים. דף מחיקת החשבון שולח את כתובת האימייל ואת הקוד שלכם ישירות לשירות החשבונות; דף ההזמנה לא שולח דבר.

השרת של המפתח, ששומר את נתוני החשבון ואת היומן המוצפן, נמצא באיחוד האירופי. Google (פרסום, התחברות באמצעות Google), Apple (התחברות באמצעות Apple) ו-Cloudflare (אתר) עשויות לעבד נתונים מחוץ לאיחוד, בפרט בארצות הברית, עם הערובות שקובע ה-GDPR: החלטת ההלימה של הנציבות האירופית בנוגע למסגרת הגנת המידע בין האיחוד האירופי לארצות הברית, או הסעיפים החוזיים התקניים שלה.

מלבד החשבון שתואר למעלה, המפתח לא אוסף שום נתון עליכם: הוא לא שומר סיסמה, שם, פרטי תשלום, סטטיסטיקות שימוש, תמונה או קול. רק המכשירים שצימדתם רואים את התמונות של הילד שלכם.

שירות החשבונות לא שומר שום כתובת IP: הוא משתמש בה רק כדי להגביל שימוש לרעה, בזיכרון, לשעה אחת לכל היותר. קובצי הלוג הטכניים שלו, שנשמרים 7 ימים, לא מכילים כתובת אימייל, קוד או מזהה.

Bercio מיועדת למבוגרים; היא לא מיועדת לשימוש על ידי ילדים.

• יומן הלילות שומר רק את 14 הלילות האחרונים; "ניקוי היומן" מרוקן אותו מיד.
• יומן התינוק שומר את מה שתיעדתם עד שתמחקו אותו: רשומה אחת ("מחיקה"), או את כל היומן של ילד, מהפרופיל שלו; המחיקה חלה על כל הטלפונים של המשפחה. בשרת, הבלוקים המוצפנים הישנים נעלמים כשטלפון מעלה אליו מצב מלא של היומן, שמחליף אותם.
• תוקף הסשן פג 180 יום אחרי השימוש האחרון בו, תוקף קוד התחברות אחרי 10 דקות, ותוקף הזמנה אחרי 48 שעות או מיד אחרי שנעשה בה שימוש, יחד עם הבקשות שהוגשו באמצעותה.
• חשבון שלא היה בשימוש במשך שנתיים מקבל אזהרה באימייל, ונמחק 30 יום אחר כך אם אף אחד לא מתחבר אליו שוב; חשבון בלי כתובת אימייל, שאי אפשר להזהיר, נמחק 30 יום אחרי השנתיים האלה.
• מחיקת החשבון שלכם: באפליקציה (יומן התינוק, "משותף עם", "מחיקת החשבון שלי"), בכתובת https://bercio.tequi.app/delete-account עם קוד שנשלח באימייל, או בכתיבה אל support@tequi.app מכתובת החשבון. החשבון, הטלפונים שלו והסשנים שלו נמחקים מהשרת מיד, וההתחברות באמצעות Apple מבוטלת אצל Apple. היומן נשאר אצל שאר המשתתפים במשפחה; אם אין בה משתתפים אחרים, גם הוא נמחק.
• "התנתקות" מוחקת את היומן מהטלפון הזה, והשרת שוכח את הטלפון; "יציאה מיומן התינוק הזה" מסירה אתכם מהמשפחה ומוחקת את היומן מהטלפון הזה. בשני המקרים, היומן נשאר אצל שאר המשתתפים במשפחה.
• הכפתור "הסרה", במסך הצימוד של מכשיר התינוק, שוכח את מכשיר ההורה ומנתק אותו.
• הסרת האפליקציה, או מחיקת הנתונים שלה בהגדרות הטלפון, מוחקת את מה שהיא שמרה בטלפון הזה. ב-iPhone וב-iPad, מערכת iOS עשויה לשמור את מפתחות החשבון גם אחרי הסרת האפליקציה: הם חסרי תועלת בלי האפליקציה, שמוחקת אותם בהפעלה הראשונה שלה אם מתקינים אותה מחדש. החשבון שלכם, לעומת זאת, נשאר בשרת עד שתמחקו אותו.
• נתונים ש-Google מעבדת לצורכי פרסום כפופים למדיניות של Google; אפשר לאפס את מזהה הפרסום בהגדרות הטלפון.

יש לכם זכות עיון, תיקון, מחיקה, הגבלת עיבוד, התנגדות וניוד נתונים, הזכות לבטל את הסכמתכם בכל עת, והזכות לקבוע הנחיות לגבי מה שייעשה בנתונים שלכם לאחר מותכם.

אתם מממשים אותן באפליקציה (תיקון או מחיקה של רשומה, יציאה מהיומן, מחיקת החשבון) או בכתיבה אל support@tequi.app מכתובת החשבון שלכם; המפתח עונה תוך חודש. מאחר שהמפתח לא יכול לקרוא את היומן, את התוכן שלו אפשר לראות ולהעתיק מהטלפונים שלכם ("העתקת הסיכום"). בכל הנוגע לפרסום, את הזכויות האלה מממשים מול Google.

אפשר גם להגיש תלונה ל-CNIL, הרשות הצרפתית להגנת מידע: https://www.cnil.fr

מדיניות זו עשויה להשתנות יחד עם האפליקציה. תאריך העדכון האחרון שלה מופיע למטה; הגרסה התקפה מפורסמת תמיד באפליקציה ובאתר שלה.

לכל שאלה על מדיניות זו: support@tequi.app.