Pravila o privatnosti

Bercio vam pomaže pratiti dan vaše bebe: spavanje, hranjenja i pelene koje bilježite te vjerojatno vrijeme sljedećeg drijemanja. Za dnevnik je potreban račun, koji omogućuje da ga dijelite s drugim roditeljem ili bliskom osobom i da ga vratite na novom telefonu.

Dnevnik je sveobuhvatno šifriran na vašim telefonima, ključem koji izdavač nikada nema. Njegov poslužitelj od dnevnika čuva samo nečitljive blokove: izdavač ne može čitati ono što bilježite, a dnevnik se nikada ne koristi za oglašavanje.

Bercio također može povezati dva vaša telefona kako biste mogli paziti na bebu: jedan ostaje u dječjoj sobi (bebin uređaj), a drugi ide s vama (roditeljski uređaj). Monitor za bebe radi bez računa.

Slika i zvuk putuju s jednog telefona na drugi, sveobuhvatno šifrirani: najčešće izravno, a kada to mreža zahtijeva, putem izdavačevog releja. Izdavač ih ne može ni vidjeti ni čuti i ne snima ih.

Aplikacija je besplatna, a financira je oglašavanje Google AdMob, koje se nikada ne prikazuje na zaslonu nadzora ni na bebinom uređaju. Neobavezna kupnja Premiuma uklanja sve oglase.

Voditelj obrade ovdje opisanih podataka je izdavač aplikacije Bercio, Téqui Studio (Charles Grimont EI), čija je adresa navedena u pravnim napomenama. Za sva pitanja o vašim podacima: support@tequi.app.

Za bebin dnevnik potreban je račun; za monitor za bebe nikada: bebin uređaj ne prijavljuje se ni u kakav račun. Prijavljujete se putem Applea (na iPhoneu i iPadu), putem Googlea ili kodom od 6 znamenki primljenim e-poštom, bez lozinke. Izdavačeva usluga računa (api.tequi.app) čuva:

• vašu adresu e-pošte, ili Appleovu relejnu adresu ako odlučite sakriti svoju, te identifikator koji vam dodjeljuje Apple ili Google. Prijava s istom potvrđenom adresom, putem Applea, Googlea ili e-pošte, vodi do istog računa;
• jezik aplikacije, kako bi vam se moglo pisati na vašem jeziku, te datume izrade i posljednjeg korištenja računa;
• verzije teksta privole za dnevnik koje ste prihvatili, s datumima prvog i posljednjeg prihvaćanja svake od njih (vidi „Pravne osnove“);
• telefone na računu (najviše 20): naziv svakoga od njih (njegov model ili naziv koji ste mu dali), javni ključ koji je izradila aplikacija te datume dodavanja i posljednje prijave;
• za svaki prijavljeni telefon jednu sesiju: otisak tokena za prijavu, valjanog 180 dana od njegova posljednjeg korištenja;
• ako se prijavite putem Applea, token koji Apple tada predaje izdavaču, pohranjen šifrirano: služi samo za opoziv vaše prijave kod Applea kada izbrišete račun.

Apple i Google predaju aplikaciji potpisani token koji dokazuje vaš identitet; usluga računa od njega čuva samo vašu adresu e-pošte i vaš identifikator, nikada vaše ime ni fotografiju.

Kod prijave e-poštom kôd šalje pružatelj usluge slanja e-pošte, koji prima samo vašu adresu i poruku. Kôd vrijedi 10 minuta, za 5 pokušaja; poslužitelj od njega čuva samo otisak, u memoriji. Isti pružatelj šalje i upozorenje koje prethodi brisanju nekorištenog računa.

Kućanstvo okuplja račune koji dijele dnevnik jednog ili više djece: drugog roditelja, baku ili djeda, dadilju. Poslužitelj čuva popis članova svakog kućanstva i datum njihova pridruživanja, otvorene pozivnice i zahtjeve za pridruživanje.

Da biste nekoga pozvali, aplikacija prikazuje QR kôd i poveznicu, valjane 48 sati i samo za jednu osobu. Tajna koju sadrže ostaje između vaših telefona: nikada se ne šalje poslužitelju, a mrežna stranica koja prima poveznicu nikamo je ne prosljeđuje.

Članovi kućanstva vide adresu e-pošte ostalih članova, kao i nazive njihovih telefona i njihovu posljednju prijavu. Vide i adresu e-pošte i naziv telefona osobe koja traži pridruživanje kućanstvu: po tome se može prepoznati tko traži pridruživanje prije nego što ga se prihvati.

Svi su članovi ravnopravni: svatko može pozvati, prihvatiti ili odbiti zahtjev i ukloniti člana.

Dnevnik (ime, datum rođenja i, po potrebi, termin poroda svakog djeteta; spavanje, hranjenja i pelene) šifrira se na vašim telefonima ključem kućanstva, koji poslužitelj nikada ne prima nešifriran. Svaki telefon ima vlastiti ključ, koji ga ne napušta; ključ kućanstva stiže mu šifriran samo za njega, s drugog telefona iz kućanstva.

Poslužitelj od dnevnika čuva samo šifrirane blokove, numerirane i datirane, uz telefon koji ih je pohranio i njihovu veličinu. Izdavač ih ne može čitati: ni da bi vam ih vratio, ni da bi ih ikome proslijedio, ni za oglašavanje.

Ključ za oporavak, koji aplikacija prikazuje kako biste ga zapisali, otvara dnevnik na novom telefonu. Poslužitelj čuva ključ kućanstva šifriran njime, nikada sam ključ za oporavak.

Te bilješke mogu otkriti podatke o zdravlju vašeg djeteta, na primjer prijevremeno rođenje: s njima se postupa kao s podacima koji se odnose na zdravlje, uz vašu izričitu privolu (vidi „Pravne osnove“).

Na bebinom uređaju kamera i mikrofon tijekom nadzora prate sliku i zvuk iz sobe. Prijenos se šalje uživo, sveobuhvatno šifriran (WebRTC, DTLS-SRTP), samo na roditeljske uređaje koje ste uparili. Ništa se ne pohranjuje.

Na roditeljskom uređaju kamera služi samo za skeniranje QR koda za uparivanje, a mikrofon za tipku „Govori“, dok je držite pritisnutom.

Prepoznavanje plača (Googleov model YAMNet, koji pokreće MediaPipe), otkrivanje buke i otkrivanje pokreta rade na bebinom uređaju, bez internetske veze. Roditeljskom uređaju šalju se samo rezultati: razina zvuka, ocjene plača, gugutanja ili smijeha, ocjena pokreta. Nikada analizirani zvuk.

Kako bi se vaša dva telefona pronašla putem interneta, aplikacija se služi izdavačevom uslugom povezivanja, smještenom kod IONOS-a u Europskoj uniji i odvojenom od usluge računa. Ona ne prima ni vaše ime, ni vašu adresu e-pošte, ni sliku, ni zvuk te ne čuva nikakve zapise o vezama:

• Povezivanje (peer.tequi.app): dok traje veza, prima nasumični identifikator bebinog uređaja (i, tijekom uparivanja, identifikator izveden iz koda koji on prikazuje) i IP adresu svakog uređaja. Kako bi ograničio zlouporabu releja, poslužitelj broji i zahtjeve sa svake IP adrese, u memoriji i najdulje sat vremena.
• STUN (turn.tequi.app): vidi IP adresu uređaja kako bi mu javio njegovu javnu adresu.
• TURN relej (turn.tequi.app): kada izravna veza nije moguća, prijenos prolazi kroz ovaj relej. Ostaje sveobuhvatno šifriran: relej ga ne može ni vidjeti ni čuti.
• Provjera aplikacije: kako bi relej bio rezerviran za Bercio, aplikacija poslužitelju dokazuje da je izvorna aplikacija, instalirana iz trgovine App Store ili Google Play, na pravom telefonu. Za to se služi uslugom App Attest tvrtke Apple na uređajima iPhone i iPad te uslugom Play Integrity tvrtke Google na sustavu Android, koje provjeravaju aplikaciju i uređaj prema vlastitim pravilima. Poslužitelj od toga ništa ne čuva: aplikaciji daje propusnicu valjanu tjedan dana, koja ne sadrži nikakav identifikator uređaja.

Oglase prikazuje Google AdMob: banner na početnom zaslonu, zaslonu za uparivanje, u postavkama, u noćnom dnevniku i u bebinom dnevniku te, ako ga odlučite pogledati, video koji otključava dodatne umirujuće zvukove. Nijedan se oglas ne prikazuje na zaslonu nadzora, a ni na bebinom uređaju nakon pokretanja načina Beba. Da bi ih prikazao, Google obrađuje:

• oglasni identifikator uređaja;
• IP adresu i iz nje izvedenu približnu lokaciju;
• interakcije s oglasima i dijagnostičke podatke.

Bebin dnevnik nikada se ne prosljeđuje Googleu niti se koristi za oglašavanje: šifriran je i ni sam izdavač ga ne može čitati.

U Europskom gospodarskom prostoru, Ujedinjenoj Kraljevini i Švicarskoj obrazac od vas traži privolu za personalizirano oglašavanje. Svoje odabire možete u bilo kojem trenutku promijeniti: Postavke, „Upravljaj postavkama oglasa“. Na iOS-u aplikacija dodatno traži dopuštenje za praćenje (App Tracking Transparency); bez njega oglasi nisu personalizirani.

Oglasi su bez zvuka i ograničeni na sadržaj primjeren većini publike uz roditeljski nadzor.

Uz kupnju Premiuma aplikacija ne prikazuje nikakve oglase i više ne koristi Google AdMob.

Googleova pravila: https://policies.google.com/technologies/partner-sites

Neobavezna kupnja Premiuma obavlja se putem trgovine App Store tvrtke Apple ili trgovine Google Play, koje obrađuju plaćanje prema vlastitim pravilima o privatnosti. Izdavač ne prima ni vaše podatke o plaćanju, ni vaše ime, ni vašu adresu e-pošte.

Kako bi znala je li Premium kupljen, aplikacija pri svakom pokretanju s vašeg telefona provjerava trgovinu; odgovor čuva samo kao kopiju na telefonu, kako bi radila i izvan mreže. Izdavaču se ne šalju nikakvi podaci o kupnji.

Tipka „Fotografiraj“ na roditeljskom uređaju snima trenutačnu sliku. Fotografija ostaje na telefonu, u privremenoj mapi aplikacije, dok je ne podijelite ili spremite putem izbornika za dijeljenje na telefonu. Nikada se ne šalje izdavaču.

Aplikacija na svakom telefonu sprema:

• vaše postavke (jezik, osjetljivost, kvaliteta videa, tema…);
• stanje kupnje Premiuma i dodatnih umirujućih zvukova otključanih videom;
• na bebinom uređaju identifikator i naziv sobe te naziv i tajni ključ svakog roditeljskog uređaja koji ste odobrili;
• na roditeljskom uređaju uparene sobe s njihovim tajnim ključevima i noćni dnevnik (plač, pokreti, buka i prekidi u posljednjih 14 noći);
• ako ga koristite, cijeli bebin dnevnik, kako bi radio izvan mreže: ime, datum rođenja i, kod prijevremenog rođenja, termin poroda svakog djeteta te spavanje, hranjenja i presvlačenja pelena zabilježena u kućanstvu. Procjene drijemanja izračunavaju se na telefonu. Na poslužitelju se čuva samo njegova šifrirana kopija (vidi „Sveobuhvatno šifriran dnevnik“);
• uz račun, u privjesku ključeva iOS-a ili u Keystoreu Androida: privatni ključ telefona, ključ kućanstva, ključ za oporavak i token za prijavu.

• Kamera i mikrofon: nadzor, QR kôd, tipka „Govori“.
• Obavijesti: upozorenja (plač, pokret, buka, slaba baterija, prekid veze) koja nastaju na samom telefonu; na Androidu stalna obavijest nadzora s isključenim zaslonom.
• Fotografije (iOS, samo dodavanje): spremanje fotografije kada to odaberete.
• Pozadina: da se beba i dalje čuje kad je zaslon roditeljskog uređaja isključen.

Svaka se obrada temelji na pravnoj osnovi predviđenoj GDPR-om:

• Račun i kućanstvo (adresa e-pošte, telefoni na računu, članovi, pozivnice), kao i povezivanje i relej monitora za bebe: izvršavanje ugovora koji čine uvjeti korištenja (članak 6.1.b).
• Dnevnik vašeg djeteta, koji se čuva šifriran na poslužitelju i dijeli s članovima vašeg kućanstva te može otkriti podatke o zdravlju djeteta: vaša izričita privola (članci 6.1.a i 9.2.a). Dajete je pri svakoj prijavi označavanjem predviđenog okvira, koji nikada nije unaprijed označen, u svojstvu nositelja roditeljske skrbi za dijete (njegova roditelja ili skrbnika) ili uz njegov pristanak. Možete je povući u bilo kojem trenutku, u aplikaciji, tako da napustite dnevnik ili izbrišete račun (vidi „Čuvanje i brisanje“); povlačenje ne utječe na ono što je učinjeno prije. Dnevnik tada ostaje ostalim članovima kućanstva, na temelju privole koju je dao svaki od njih; ako ste bili jedini član kućanstva, briše se s poslužitelja. Izdavač čuva verziju prihvaćenog teksta te datume prvog i posljednjeg prihvaćanja kako bi mogao dokazati vašu privolu.
• Sigurnost usluge (ograničavanje zlouporabe, zatvaranje sesije čiji je token kopiran, provjera aplikacije): legitimni interes izdavača da zaštiti uslugu i njezine korisnike (članak 6.1.f).
• Oglašavanje: vaša privola za personalizirano oglašavanje, prikupljena putem Googleova obrasca; u suprotnom, nepersonalizirani oglasi, na temelju legitimnog interesa izdavača da financira besplatnu aplikaciju.

Podaci o računu i šifrirani dnevnik čuvaju se na izdavačevom poslužitelju, u Europskoj uniji. Sudjeluju:

• IONOS, pružatelj smještaja za taj poslužitelj (povezivanje, relej i usluga računa), virtualni privatni poslužitelj smješten u Europskoj uniji, kao izvršitelj obrade za izdavača;
• pružatelj usluge slanja e-pošte, izvršitelj obrade za izdavača, za kodove za prijavu i upozorenje prije brisanja nekorištenog računa;
• Apple i Google, kada se odlučite prijaviti putem njih: provjeravaju vaš identitet prema vlastitim pravilima o privatnosti i znaju da koristite Bercio;
• Cloudflare, pružatelj smještaja za mrežne stranice aplikacije Bercio (bercio.tequi.app), koji vidi IP adresu posjetitelja kako bi im posluživao stranice. Stranica za brisanje računa šalje vašu adresu i vaš kôd izravno usluzi računa; stranica s pozivnicom ne šalje ništa.

Izdavačev poslužitelj, koji čuva podatke o računu i šifrirani dnevnik, nalazi se u Europskoj uniji. Google (oglašavanje, prijava putem Googlea), Apple (prijava putem Applea) i Cloudflare (mrežne stranice) mogu obrađivati podatke izvan Unije, osobito u Sjedinjenim Američkim Državama, uz jamstva predviđena GDPR-om: odluku Europske komisije o primjerenosti za Okvir za privatnost podataka između EU-a i SAD-a ili njezine standardne ugovorne klauzule.

Osim gore opisanog računa, izdavač ne prikuplja nikakve podatke o vama: ne čuva ni lozinku, ni ime, ni podatke o plaćanju, ni statistiku korištenja, ni sliku ni zvuk. Slike vašeg djeteta vide samo uređaji koje ste uparili.

Usluga računa ne čuva nikakvu IP adresu: koristi je samo za ograničavanje zlouporabe, u memoriji i najdulje sat vremena. Njezini tehnički zapisi, koji se čuvaju 7 dana, ne sadrže ni adresu e-pošte, ni kôd, ni identifikator.

Aplikacija Bercio namijenjena je odraslima; nije namijenjena tome da je koriste djeca.

• Noćni dnevnik čuva samo posljednjih 14 noći; „Izbriši dnevnik“ odmah ga prazni.
• Bebin dnevnik čuva ono što zabilježite dok to ne izbrišete: jedan unos („Izbriši“) ili cijeli dnevnik djeteta, u njegovu profilu; brisanje vrijedi za sve telefone u kućanstvu. Na poslužitelju stari šifrirani blokovi nestaju kada neki telefon pohrani potpuno stanje dnevnika, koje ih zamjenjuje.
• Sesija istječe 180 dana nakon posljednjeg korištenja, kôd za prijavu nakon 10 minuta, a pozivnica nakon 48 sati ili čim se iskoristi, zajedno sa zahtjevima upućenima putem nje.
• Na račun koji se ne koristi dvije godine šalje se upozorenje e-poštom, a račun se briše 30 dana kasnije ako se nitko ponovno ne prijavi u njega; račun bez adrese e-pošte, koji nije moguće upozoriti, briše se 30 dana nakon isteka tih dviju godina.
• Brisanje računa: u aplikaciji (Bebin dnevnik, „Dijeljeno s“, „Izbriši moj račun“), na https://bercio.tequi.app/delete-account uz kôd primljen e-poštom ili slanjem poruke na support@tequi.app s adrese računa. Račun, njegovi telefoni i sesije odmah se brišu s poslužitelja, a prijava putem Applea opoziva se kod Applea. Dnevnik ostaje ostalim članovima kućanstva; ako ste bili njegov jedini član, i on se briše.
• „Odjavi se“ briše dnevnik s ovog telefona, a poslužitelj zaboravlja taj telefon; „Napusti ovaj dnevnik“ uklanja vas iz kućanstva i briše dnevnik s ovog telefona. U oba slučaja dnevnik ostaje ostalim članovima kućanstva.
• „Ukloni“ na zaslonu za uparivanje bebinog uređaja zaboravlja roditeljski uređaj i prekida vezu s njim.
• Deinstaliranje aplikacije ili brisanje njezinih podataka u postavkama telefona briše ono što je spremila na tom telefonu. Na iPhoneu i iPadu iOS može zadržati ključeve računa i nakon deinstaliranja aplikacije: bez aplikacije su beskorisni, a ona ih briše pri prvom pokretanju ako je ponovno instalirate. Vaš račun, međutim, ostaje na poslužitelju dok ga ne izbrišete.
• Na podatke koje Google obrađuje za oglašavanje primjenjuju se Googleova pravila; oglasni identifikator može se poništiti u postavkama telefona.

Imate pravo na pristup, ispravak, brisanje, ograničenje obrade, prigovor i prenosivost, pravo da u bilo kojem trenutku povučete privolu te pravo da odredite upute o tome što će biti s vašim podacima nakon vaše smrti.

Ta prava ostvarujete u aplikaciji (ispravak ili brisanje unosa, napuštanje dnevnika, brisanje računa) ili slanjem poruke na support@tequi.app s adrese svojeg računa; izdavač odgovara u roku od mjesec dana. Budući da izdavač ne može čitati dnevnik, njegov sadržaj pregledava se i kopira na vašim telefonima („Kopiraj sažetak“). Za oglašavanje se ta prava ostvaruju kod Googlea.

Pritužbu možete podnijeti i CNIL-u, francuskom tijelu za zaštitu podataka: https://www.cnil.fr

Ova se pravila mogu mijenjati zajedno s aplikacijom. Datum posljednjeg ažuriranja naveden je u nastavku; važeća verzija uvijek je objavljena u aplikaciji i na njezinim mrežnim stranicama.

Za sva pitanja o ovim pravilima: support@tequi.app.