Kebijakan privasi

Bercio membantu Anda mengikuti hari bayi Anda: tidur, makan, dan popok yang Anda catat, serta perkiraan waktu tidur siang berikutnya. Catatan bayi memerlukan akun, yang memungkinkan Anda membagikannya dengan orang tua yang lain atau kerabat dekat dan mendapatkannya kembali di ponsel baru.

Catatan bayi terenkripsi end-to-end, di ponsel Anda, dengan kunci yang tidak pernah dimiliki penerbit. Server penerbit hanya menyimpan blok-blok yang tidak dapat dibaca: penerbit tidak dapat membaca apa yang Anda catat, dan catatan bayi tidak pernah digunakan untuk iklan.

Bercio juga dapat menghubungkan dua ponsel Anda untuk memantau bayi Anda: satu tetap di kamar (perangkat bayi), yang lain ikut bersama Anda (perangkat orang tua). Pemantau bayi berfungsi tanpa akun.

Gambar dan suara dikirim dari satu ponsel ke ponsel lainnya dalam keadaan terenkripsi end-to-end: umumnya secara langsung, atau melalui relai milik penerbit jika jaringan mengharuskannya. Penerbit tidak dapat melihat maupun mendengarnya, dan tidak merekamnya.

Aplikasi ini gratis, didanai oleh iklan Google AdMob yang tidak pernah ditampilkan di layar pemantauan maupun di perangkat bayi. Pembelian Premium yang bersifat opsional menghapus semua iklan.

Pengendali pemrosesan data yang dijelaskan di sini adalah penerbit Bercio, Téqui Studio (Charles Grimont EI), yang alamatnya tercantum dalam informasi hukum. Untuk pertanyaan apa pun tentang data Anda: support@tequi.app.

Catatan bayi memerlukan akun; pemantau bayi tidak pernah memerlukannya: perangkat bayi tidak masuk ke akun mana pun. Anda masuk dengan Apple (di iPhone dan iPad), dengan Google, atau dengan kode 6 digit yang diterima melalui email, tanpa kata sandi. Layanan akun milik penerbit (api.tequi.app) menyimpan:

• alamat email Anda, atau alamat relai Apple jika Anda memilih untuk menyembunyikan alamat Anda, serta pengenal yang diberikan Apple atau Google kepada Anda. Masuk dengan alamat terverifikasi yang sama, melalui Apple, Google, atau email, akan mengarah ke akun yang sama;
• bahasa aplikasi, untuk menulis kepada Anda dalam bahasa Anda, serta tanggal pembuatan dan penggunaan terakhir akun;
• versi teks persetujuan catatan bayi yang Anda setujui, beserta tanggal persetujuan pertama dan terakhir untuk masing-masing (lihat “Dasar hukum”);
• ponsel di akun (paling banyak 20): nama masing-masing (modelnya, atau nama yang Anda berikan), kunci publik yang dibuat oleh aplikasi, serta tanggal penambahan dan koneksi terakhirnya;
• untuk setiap ponsel yang masuk, satu sesi: hash dari token masuk, yang berlaku 180 hari setelah penggunaan terakhirnya;
• jika Anda masuk dengan Apple, token yang saat itu diberikan Apple kepada penerbit, disimpan dalam keadaan terenkripsi: token ini hanya digunakan untuk mencabut koneksi Anda di Apple saat Anda menghapus akun.

Apple dan Google memberikan kepada aplikasi token bertanda tangan yang membuktikan identitas Anda; dari token itu, layanan akun hanya menyimpan alamat email dan pengenal Anda, tidak pernah nama atau foto Anda.

Untuk masuk melalui email, kode dikirim oleh penyedia layanan pengiriman email, yang hanya menerima alamat Anda dan pesannya. Kode berlaku 10 menit, untuk 5 kali percobaan; server hanya menyimpan hash-nya, di memori. Penyedia yang sama mengirimkan peringatan sebelum penghapusan akun yang tidak digunakan.

Sebuah keluarga menyatukan akun-akun yang berbagi catatan bayi untuk satu anak atau lebih: orang tua yang lain, kakek atau nenek, pengasuh. Server menyimpan daftar anggota setiap keluarga dan tanggal mereka bergabung, undangan yang masih berlaku, dan permintaan untuk bergabung.

Untuk mengundang seseorang, aplikasi menampilkan kode QR dan tautan, yang berlaku 48 jam dan hanya untuk satu orang. Rahasia yang terkandung di dalamnya tetap berada di antara ponsel-ponsel Anda: rahasia itu tidak pernah dikirim ke server, dan halaman situs web yang menerima tautan tidak meneruskannya ke mana pun.

Anggota keluarga dapat melihat alamat email anggota lainnya, serta nama ponsel dan koneksi terakhir mereka. Mereka juga dapat melihat alamat email dan nama ponsel orang yang meminta untuk bergabung dengan keluarga: dengan begitu, mereka dapat mengenali siapa yang meminta sebelum menerimanya.

Semua anggota setara: masing-masing dapat mengundang, menerima atau menolak permintaan, dan mengeluarkan anggota.

Catatan bayi (nama depan, tanggal lahir, dan jika ada, hari perkiraan lahir setiap anak; tidur, makan, dan popok) dienkripsi di ponsel Anda dengan kunci keluarga, yang tidak pernah diterima server dalam bentuk tidak terenkripsi. Setiap ponsel memiliki kuncinya sendiri, yang tidak pernah keluar dari ponsel itu; kunci keluarga sampai ke ponsel tersebut dari ponsel lain di keluarga, dalam keadaan terenkripsi khusus untuknya.

Dari catatan bayi, server hanya menyimpan blok-blok terenkripsi, bernomor dan bertanggal, beserta ponsel yang mengunggahnya dan ukurannya. Penerbit tidak dapat membacanya: tidak untuk mengembalikannya kepada Anda, tidak untuk meneruskannya kepada siapa pun, dan tidak untuk iklan.

Kunci pemulihan, yang ditampilkan aplikasi agar Anda mencatatnya, membuka catatan bayi di ponsel baru. Server menyimpan kunci keluarga yang dienkripsi dengan kunci pemulihan, tidak pernah kunci pemulihan itu sendiri.

Catatan ini dapat mengungkap informasi tentang kesehatan anak Anda, misalnya kelahiran prematur: catatan ini diperlakukan sebagai data kesehatan, dengan persetujuan eksplisit Anda (lihat “Dasar hukum”).

Di perangkat bayi, kamera dan mikrofon menangkap gambar dan suara kamar selama pemantauan. Aliran dikirim secara langsung, terenkripsi end-to-end (WebRTC, DTLS-SRTP), hanya ke perangkat orang tua yang telah Anda tautkan. Tidak ada yang direkam.

Di perangkat orang tua, kamera hanya digunakan untuk memindai kode QR penautan, dan mikrofon hanya untuk tombol “Bicara”, selama Anda menahannya.

Pengenalan tangisan (model YAMNet dari Google, dijalankan oleh MediaPipe), deteksi suara bising, dan deteksi gerakan bekerja di perangkat bayi, secara offline. Hanya hasilnya yang dikirim ke perangkat orang tua: level suara, skor tangisan, ocehan, atau tawa, serta skor gerakan. Audio yang dianalisis tidak pernah dikirim.

Agar kedua ponsel Anda dapat saling menemukan melalui Internet, aplikasi ini menggunakan layanan penghubung milik penerbit, yang di-hosting oleh IONOS di Uni Eropa dan terpisah dari layanan akun. Layanan tersebut tidak menerima nama Anda, alamat email Anda, gambar, maupun suara, dan tidak menyimpan catatan koneksi apa pun:

• Penghubung (peer.tequi.app): menerima pengenal acak perangkat bayi (dan, selama penautan, pengenal yang diturunkan dari kode yang ditampilkannya) serta alamat IP setiap perangkat, selama koneksi berlangsung. Untuk membatasi penyalahgunaan relai, server juga menghitung permintaan dari setiap alamat IP, di memori, paling lama satu jam.
• STUN (turn.tequi.app): melihat alamat IP perangkat untuk memberi tahu alamat publiknya.
• Relai TURN (turn.tequi.app): jika koneksi langsung tidak memungkinkan, aliran melewati relai ini. Aliran tetap terenkripsi end-to-end: relai tidak dapat melihat maupun mendengarnya.
• Verifikasi aplikasi: agar relai hanya digunakan oleh Bercio, aplikasi membuktikan kepada server bahwa aplikasi tersebut adalah aplikasi asli, yang diinstal dari App Store atau Google Play, di ponsel sungguhan. Untuk itu, aplikasi menggunakan App Attest dari Apple di iPhone dan iPad, serta Play Integrity dari Google di Android, yang memeriksa aplikasi dan perangkat sesuai aturan mereka sendiri. Server tidak menyimpan apa pun dari proses ini: server memberi aplikasi izin akses yang berlaku satu minggu dan tidak berisi pengenal perangkat apa pun.

Iklan ditayangkan oleh Google AdMob: banner di layar beranda, penautan, pengaturan, jurnal malam, dan catatan bayi, serta, jika Anda memilih untuk menontonnya, video yang membuka suara penenang tambahan. Tidak ada iklan yang ditampilkan di layar pemantauan, maupun di perangkat bayi setelah Mode Bayi dimulai. Untuk menayangkannya, Google memproses:

• ID iklan perangkat;
• alamat IP dan perkiraan lokasi yang diperoleh darinya;
• interaksi dengan iklan dan informasi diagnostik.

Catatan bayi tidak pernah dikirim ke Google maupun digunakan untuk iklan: catatan ini terenkripsi, dan penerbit sendiri pun tidak dapat membacanya.

Di Wilayah Ekonomi Eropa, Inggris Raya, dan Swiss, sebuah formulir meminta persetujuan Anda untuk iklan yang dipersonalisasi. Anda dapat meninjau pilihan Anda kapan saja: Pengaturan, “Kelola pilihan iklan”. Di iOS, aplikasi juga meminta izin pelacakan (App Tracking Transparency); tanpa izin tersebut, iklan tidak dipersonalisasi.

Iklan tidak bersuara dan dibatasi pada konten yang sesuai untuk sebagian besar pemirsa dengan bimbingan orang tua.

Dengan pembelian Premium, aplikasi sama sekali tidak menampilkan iklan dan tidak lagi menggunakan Google AdMob.

Kebijakan Google: https://policies.google.com/technologies/partner-sites

Pembelian Premium yang bersifat opsional dilakukan melalui App Store milik Apple atau Google Play, yang memproses pembayaran sesuai kebijakan privasi masing-masing. Penerbit tidak menerima detail pembayaran, nama, maupun alamat email Anda.

Untuk mengetahui apakah Premium sudah dibeli, aplikasi menanyakannya ke toko aplikasi dari ponsel Anda setiap kali dibuka; aplikasi hanya menyimpan salinan jawabannya di ponsel agar dapat berfungsi secara offline. Tidak ada data pembelian yang dikirim ke penerbit.

Tombol “Ambil foto” di perangkat orang tua mengambil gambar saat itu. Foto tetap berada di ponsel, dalam folder sementara aplikasi, hingga Anda membagikan atau menyimpannya melalui menu berbagi ponsel. Foto tidak pernah dikirim ke penerbit.

Aplikasi menyimpan data berikut di setiap ponsel:

• pengaturan Anda (bahasa, sensitivitas, kualitas video, tema…);
• status pembelian Premium dan suara penenang tambahan yang dibuka dengan menonton video;
• di perangkat bayi: pengenal dan nama kamar, serta nama dan kunci rahasia setiap perangkat orang tua yang Anda izinkan;
• di perangkat orang tua: kamar yang tertaut beserta kunci rahasianya, dan jurnal malam (tangisan, gerakan, suara bising, dan gangguan koneksi selama 14 malam terakhir);
• jika Anda menggunakannya, catatan bayi secara lengkap, agar dapat berfungsi secara offline: nama depan, tanggal lahir, dan (jika lahir prematur) hari perkiraan lahir setiap anak, serta tidur, makan, dan ganti popok yang dicatat dalam keluarga. Perkiraan tidur siang dihitung di ponsel. Hanya salinan terenkripsinya yang disimpan di server (lihat “Catatan bayi terenkripsi end-to-end”);
• jika Anda memiliki akun, di Rantai Kunci iOS atau Keystore Android: kunci privat ponsel, kunci keluarga, kunci pemulihan, dan token masuk.

• Kamera dan mikrofon: pemantauan, kode QR, tombol “Bicara”.
• Notifikasi: peringatan (tangisan, gerakan, suara bising, baterai lemah, koneksi terputus) yang dibuat di ponsel itu sendiri; di Android, notifikasi tetap untuk pemantauan saat layar mati.
• Foto (iOS, hanya menambahkan): menyimpan foto saat Anda memilih untuk melakukannya.
• Latar belakang: tetap memperdengarkan suara bayi saat layar perangkat orang tua mati.

Setiap pemrosesan didasarkan pada dasar hukum yang diatur oleh GDPR:

• Akun dan keluarga (alamat email, ponsel di akun, anggota, undangan), seperti halnya penghubung dan relai pemantau bayi: pelaksanaan kontrak yang dibentuk oleh ketentuan penggunaan (pasal 6.1.b).
• Catatan bayi anak Anda, yang disimpan terenkripsi di server dan dibagikan kepada anggota keluarga Anda, dan yang dapat mengungkap informasi tentang kesehatannya: persetujuan eksplisit Anda (pasal 6.1.a dan 9.2.a). Anda memberikannya setiap kali masuk dengan mencentang kotak yang disediakan, yang tidak pernah dicentang sebelumnya, sebagai pemegang kekuasaan orang tua atas anak tersebut (orang tua atau walinya) atau dengan persetujuan pemegang kekuasaan orang tua tersebut. Anda dapat menariknya kapan saja, di aplikasi, dengan meninggalkan catatan bayi atau menghapus akun Anda (lihat “Penyimpanan dan penghapusan”); penarikan tidak memengaruhi apa yang telah dilakukan sebelumnya. Catatan bayi kemudian tetap ada pada anggota keluarga lainnya, berdasarkan persetujuan yang telah diberikan masing-masing; jika Anda satu-satunya anggota, catatan bayi dihapus dari server. Penerbit menyimpan versi teks yang Anda setujui serta tanggal persetujuan pertama dan terakhir, agar dapat membuktikan persetujuan Anda.
• Keamanan layanan (membatasi penyalahgunaan, menutup sesi yang tokennya telah disalin, memverifikasi aplikasi): kepentingan sah penerbit untuk melindungi layanan dan penggunanya (pasal 6.1.f).
• Iklan: persetujuan Anda untuk iklan yang dipersonalisasi, yang dikumpulkan melalui formulir Google; jika tidak ada, iklan yang tidak dipersonalisasi, berdasarkan kepentingan sah penerbit untuk membiayai aplikasi gratis.

Data akun dan catatan bayi terenkripsi disimpan di server penerbit, di Uni Eropa. Pihak yang terlibat:

• IONOS, penyedia hosting server ini (penghubung, relai, dan layanan akun), sebuah server pribadi virtual yang berlokasi di Uni Eropa, sebagai pemroses data bagi penerbit;
• penyedia layanan pengiriman email, pemroses data bagi penerbit, untuk kode masuk dan peringatan sebelum penghapusan akun yang tidak digunakan;
• Apple dan Google, saat Anda memilih untuk masuk dengan mereka: mereka memverifikasi identitas Anda sesuai kebijakan privasi masing-masing, dan mengetahui bahwa Anda menggunakan Bercio;
• Cloudflare, penyedia hosting situs web Bercio (bercio.tequi.app), yang melihat alamat IP pengunjung untuk menyajikan halaman kepada mereka. Halaman penghapusan akun mengirimkan alamat email dan kode Anda langsung ke layanan akun; halaman undangan tidak mengirimkan apa pun.

Server penerbit, yang menyimpan data akun dan catatan bayi terenkripsi, berada di Uni Eropa. Google (iklan, masuk dengan Google), Apple (masuk dengan Apple), dan Cloudflare (situs web) dapat memproses data di luar Uni Eropa, khususnya di Amerika Serikat, dengan jaminan yang diatur oleh GDPR: keputusan kecukupan Komisi Eropa untuk Kerangka Privasi Data UE–AS, atau klausul kontrak standar Komisi Eropa.

Selain akun yang dijelaskan di atas, penerbit tidak mengumpulkan data apa pun tentang Anda: penerbit tidak menyimpan kata sandi, nama, data pembayaran, statistik penggunaan, gambar, maupun suara. Gambar anak Anda hanya dilihat oleh perangkat yang telah Anda tautkan.

Layanan akun tidak menyimpan alamat IP apa pun: layanan ini hanya menggunakannya untuk membatasi penyalahgunaan, di memori, paling lama satu jam. Log teknisnya, yang disimpan selama 7 hari, tidak berisi alamat email, kode, maupun pengenal.

Bercio ditujukan untuk orang dewasa; aplikasi ini tidak dimaksudkan untuk digunakan oleh anak-anak.

• Jurnal malam hanya menyimpan 14 malam terakhir; “Hapus jurnal” langsung mengosongkannya.
• Catatan bayi menyimpan apa yang Anda catat sampai Anda menghapusnya: satu catatan (“Hapus”), atau seluruh catatan seorang anak, dari profilnya; penghapusan berlaku untuk semua ponsel di keluarga. Di server, blok-blok terenkripsi lama hilang saat sebuah ponsel mengunggah status lengkap catatan bayi, yang menggantikannya.
• Sesi berakhir 180 hari setelah penggunaan terakhirnya, kode masuk setelah 10 menit, dan undangan setelah 48 jam atau segera setelah digunakan, bersama permintaan yang dibuat dengannya.
• Akun yang tidak digunakan selama dua tahun akan diberi peringatan melalui email, lalu dihapus 30 hari kemudian jika tidak ada yang masuk kembali; akun tanpa alamat email, yang tidak dapat diberi peringatan, dihapus 30 hari setelah dua tahun tersebut.
• Menghapus akun Anda: di aplikasi (Catatan bayi, “Dibagikan dengan”, “Hapus akun saya”), di https://bercio.tequi.app/delete-account dengan kode yang diterima melalui email, atau dengan menulis ke support@tequi.app dari alamat akun. Akun, ponselnya, dan sesinya langsung dihapus dari server, dan koneksi dengan Apple dicabut di Apple. Catatan bayi tetap ada pada anggota keluarga lainnya; jika Anda satu-satunya anggota, catatan juga dihapus.
• “Keluar” menghapus catatan bayi dari ponsel ini dan membuat server melupakan ponsel ini; “Tinggalkan catatan bayi ini” mengeluarkan Anda dari keluarga dan menghapus catatan bayi dari ponsel ini. Dalam kedua kasus, catatan bayi tetap ada pada anggota keluarga lainnya.
• “Hapus”, di layar penautan perangkat bayi, melupakan perangkat orang tua dan memutus koneksinya.
• Menghapus instalan aplikasi, atau menghapus datanya di pengaturan ponsel, akan menghapus apa yang disimpannya di ponsel ini. Di iPhone dan iPad, iOS dapat tetap menyimpan kunci akun setelah aplikasi dihapus instalannya: kunci tersebut tidak berguna tanpa aplikasi, yang akan menghapusnya saat pertama kali dibuka jika diinstal ulang. Adapun akun Anda tetap berada di server sampai Anda menghapusnya.
• Data yang diproses Google untuk iklan tunduk pada kebijakan Google; ID iklan dapat direset di pengaturan ponsel.

Anda memiliki hak akses, perbaikan, penghapusan, pembatasan, keberatan, dan portabilitas, hak untuk menarik persetujuan Anda kapan saja, serta hak untuk menetapkan arahan mengenai nasib data Anda setelah Anda meninggal dunia.

Anda menjalankan hak-hak ini di aplikasi (memperbaiki atau menghapus satu catatan, meninggalkan catatan bayi, menghapus akun Anda) atau dengan menulis ke support@tequi.app dari alamat akun Anda; penerbit menjawab dalam waktu satu bulan. Karena penerbit tidak dapat membaca catatan bayi, isinya dapat dilihat dan disalin dari ponsel Anda (“Salin ringkasan”). Untuk iklan, hak-hak ini dijalankan melalui Google.

Anda juga dapat mengajukan pengaduan kepada CNIL, otoritas perlindungan data Prancis: https://www.cnil.fr

Kebijakan ini dapat berubah seiring perkembangan aplikasi. Tanggal pembaruan terakhirnya tercantum di bawah; versi yang berlaku selalu dipublikasikan di aplikasi dan di situs webnya.

Untuk pertanyaan apa pun tentang kebijakan ini: support@tequi.app.