Informativa sulla privacy

Bercio ti aiuta a seguire la giornata del tuo bebè: il sonno, i pasti e i pannolini che annoti, e l'ora probabile del prossimo pisolino. Il registro richiede un account, che permette di condividerlo con l'altro genitore o con una persona cara e di ritrovarlo su un nuovo telefono.

Il registro è crittografato end-to-end, sui tuoi telefoni, con una chiave che l'editore non ha mai. Il suo server ne conserva solo blocchi illeggibili: l'editore non può leggere ciò che annoti, e il registro non viene mai usato per la pubblicità.

Bercio può anche collegare due dei tuoi telefoni per sorvegliare il tuo bebè: uno resta nella cameretta (dispositivo bebè), l'altro ti segue (dispositivo genitore). Il baby monitor funziona senza account.

Immagine e suono passano da un telefono all'altro, crittografati end-to-end: direttamente nella maggior parte dei casi, tramite il relay dell'editore quando la rete lo richiede. L'editore non può né vederli né ascoltarli, e non li registra.

L'app è gratuita, finanziata dalla pubblicità Google AdMob, che non compare mai sulla schermata di monitoraggio né sul dispositivo bebè. L'acquisto Premium, facoltativo, rimuove tutta la pubblicità.

Il titolare del trattamento dei dati qui descritti è l'editore di Bercio, Téqui Studio (Charles Grimont EI), il cui indirizzo è riportato nelle note legali. Per qualsiasi domanda sui tuoi dati: support@tequi.app.

Il registro del bebè richiede un account; il baby monitor, mai: il dispositivo bebè non accede ad alcun account. Accedi con Apple (su iPhone e iPad), con Google o con un codice a 6 cifre ricevuto via email, senza password. Il servizio account dell'editore (api.tequi.app) conserva:

• il tuo indirizzo email, o l'indirizzo di inoltro di Apple se scegli di nascondere il tuo, e l'identificativo che ti attribuisce Apple o Google. Un accesso con lo stesso indirizzo verificato, tramite Apple, Google o email, porta allo stesso account;
• la lingua dell'app, per scriverti nella tua lingua, e le date di creazione e di ultimo utilizzo dell'account;
• le versioni del testo del consenso al registro che hai accettato, con le date della prima e dell'ultima accettazione di ciascuna (vedi «Basi giuridiche»);
• i telefoni dell'account (20 al massimo): il nome di ciascuno (il suo modello, o il nome che gli hai dato), una chiave pubblica creata dall'app, e le date in cui è stato aggiunto e in cui ha effettuato l'ultimo accesso;
• per ogni telefono connesso, una sessione: l'hash di un token di accesso, valido per 180 giorni dopo l'ultimo utilizzo;
• se accedi con Apple, il token che Apple consegna in quel momento all'editore, conservato crittografato: serve solo a revocare il tuo accesso presso Apple quando elimini il tuo account.

Apple e Google consegnano all'app un token firmato che dimostra la tua identità; il servizio account ne conserva solo il tuo indirizzo email e il tuo identificativo, mai il tuo nome né la tua foto.

Per un accesso via email, il codice viene inviato da un fornitore di servizi di invio email, che riceve solo il tuo indirizzo e il messaggio. Il codice è valido 10 minuti, per 5 tentativi; il server ne conserva solo l'hash, in memoria. Lo stesso fornitore invia l'avviso che precede l'eliminazione di un account inutilizzato.

Una famiglia riunisce gli account che condividono il registro di uno o più bambini: l'altro genitore, un nonno, la tata. Il server conserva l'elenco dei membri di ogni famiglia e la loro data di ingresso, gli inviti in corso e le richieste di adesione.

Per invitare qualcuno, l'app mostra un codice QR e un link, validi 48 ore e per una sola persona. Il segreto che contengono resta tra i tuoi telefoni: non viene mai inviato al server, e la pagina del sito che riceve il link non lo trasmette da nessuna parte.

I membri di una famiglia vedono l'indirizzo email degli altri membri, nonché il nome dei loro telefoni e il loro ultimo accesso. Vedono anche l'indirizzo email e il nome del telefono di una persona che chiede di unirsi alla famiglia: è ciò che permette di riconoscere chi lo chiede prima di accettarlo.

Tutti i membri sono uguali: ciascuno può invitare, accettare o rifiutare una richiesta, e rimuovere un membro.

Il registro (nome, data di nascita e, se del caso, data presunta del parto di ogni bambino; sonno, pasti e pannolini) è crittografato sui tuoi telefoni con la chiave della famiglia, che il server non riceve mai in chiaro. Ogni telefono ha la propria chiave, che non lo lascia mai; la chiave della famiglia gli arriva crittografata solo per lui, da un altro telefono della famiglia.

Del registro, il server conserva solo blocchi crittografati, numerati e datati, con il telefono che li ha caricati e la loro dimensione. L'editore non può leggerli: né per restituirteli, né per trasmetterli a chicchessia, né per la pubblicità.

La chiave di recupero, mostrata dall'app perché tu la annoti, apre il registro su un nuovo telefono. Il server conserva la chiave della famiglia crittografata con essa, mai la chiave di recupero stessa.

Queste annotazioni possono rivelare informazioni sulla salute di tuo figlio, ad esempio una nascita prematura: sono trattate come dati sanitari, con il tuo consenso esplicito (vedi «Basi giuridiche»).

Sul dispositivo bebè, fotocamera e microfono riprendono e ascoltano la cameretta durante il monitoraggio. Il flusso viene trasmesso in diretta, crittografato end-to-end (WebRTC, DTLS-SRTP), solo ai dispositivi genitore che hai abbinato. Non viene registrato nulla.

Sul dispositivo genitore, la fotocamera serve solo a scansionare il codice QR di abbinamento, e il microfono al pulsante «Parla», finché lo tieni premuto.

Il riconoscimento del pianto (modello YAMNet di Google, eseguito da MediaPipe), il rilevamento del rumore e il rilevamento del movimento funzionano sul dispositivo bebè, offline. Al dispositivo genitore vengono inviati solo risultati: livello sonoro, punteggi di pianto, gorgheggi o risate, punteggio di movimento. Mai l'audio analizzato.

Perché i tuoi due telefoni si trovino su Internet, l'app passa dal servizio di collegamento dell'editore, ospitato da IONOS nell'Unione europea e distinto dal servizio account. Non riceve né il tuo nome, né il tuo indirizzo email, né l'immagine, né il suono, e non conserva alcuna traccia delle connessioni:

• Collegamento (peer.tequi.app): riceve un identificativo casuale del dispositivo bebè (e, durante l'abbinamento, un identificativo ricavato dal codice che mostra) e l'indirizzo IP di ciascun dispositivo, per la durata della connessione. Per limitare gli abusi del relay, conta anche le richieste di ciascun indirizzo IP, in memoria, per un'ora al massimo.
• STUN (turn.tequi.app): vede l'indirizzo IP del dispositivo, per comunicargli il suo indirizzo pubblico.
• Relay TURN (turn.tequi.app): quando una connessione diretta non è possibile, il flusso passa da questo relay. Resta crittografato end-to-end: il relay non può né vederlo né ascoltarlo.
• Verifica dell'app: per riservare il relay a Bercio, l'app dimostra al server di essere l'app originale, installata dall'App Store o da Google Play, su un vero telefono. Per farlo si affida ad App Attest di Apple su iPhone e iPad e a Play Integrity di Google su Android, che verificano l'app e il dispositivo secondo le proprie regole. Il server non ne conserva nulla: consegna all'app un lasciapassare di una settimana, che non contiene alcun identificativo del dispositivo.

Gli annunci sono forniti da Google AdMob: un banner sulle schermate iniziale, di abbinamento, delle impostazioni, del diario delle notti e del registro del bebè e, se scegli di guardarlo, un video che sblocca suoni rilassanti extra. Nessun annuncio compare sulla schermata di monitoraggio, né sul dispositivo bebè una volta avviata la Modalità Bebè. Per mostrarli, Google tratta:

• l'identificativo pubblicitario del dispositivo;
• l'indirizzo IP e la posizione approssimativa che ne deriva;
• le interazioni con gli annunci e informazioni di diagnostica.

Il registro del bebè non viene mai trasmesso a Google né usato per la pubblicità: è crittografato, e nemmeno l'editore può leggerlo.

Nello Spazio economico europeo, nel Regno Unito e in Svizzera, un modulo ti chiede il consenso alla pubblicità personalizzata. Puoi rivedere le tue scelte in qualsiasi momento: Impostazioni, «Gestisci le preferenze pubblicitarie». Su iOS, l'app chiede inoltre l'autorizzazione al tracciamento (App Tracking Transparency); senza di essa, gli annunci non sono personalizzati.

Gli annunci sono muti e limitati a contenuti adatti a tutti con la guida dei genitori.

Con l'acquisto Premium, l'app non mostra più alcun annuncio e non ricorre più a Google AdMob.

Norme di Google: https://policies.google.com/technologies/partner-sites

L'acquisto Premium, facoltativo, avviene tramite l'App Store di Apple o Google Play, che trattano il pagamento secondo le proprie norme sulla privacy. L'editore non riceve né i tuoi dati di pagamento, né il tuo nome, né il tuo indirizzo email.

Per sapere se Premium è stato acquistato, l'app interroga lo store dal tuo telefono, a ogni avvio; conserva solo una copia della risposta sul telefono, per funzionare offline. Nessun dato di acquisto viene inviato all'editore.

Il pulsante «Scatta una foto» del dispositivo genitore cattura l'immagine del momento. La foto resta sul telefono, in una cartella temporanea dell'app, finché non la condividi o la salvi tramite il menu di condivisione del telefono. Non viene mai inviata all'editore.

L'app conserva su ciascun telefono:

• le tue impostazioni (lingua, sensibilità, qualità video, tema…);
• lo stato dell'acquisto Premium e dello sblocco dei suoni rilassanti extra tramite un video;
• sul dispositivo bebè, l'identificativo e il nome della stanza, nonché il nome e la chiave segreta di ciascun dispositivo genitore che hai autorizzato;
• sul dispositivo genitore, le stanze abbinate con la loro chiave segreta, e il diario delle notti (pianto, movimenti, rumori e interruzioni delle ultime 14 notti);
• se lo usi, il registro del bebè completo, per funzionare offline: il nome, la data di nascita e, in caso di nascita prematura, la data presunta del parto di ogni bambino, e i periodi di sonno, le poppate e i cambi di pannolino annotati nella famiglia. Le stime dei pisolini sono calcolate sul telefono. Sul server ne viene conservata solo una copia crittografata (vedi «Registro crittografato end-to-end»);
• con un account, nel portachiavi di iOS o nel Keystore di Android: la chiave privata del telefono, la chiave della famiglia, la chiave di recupero e il token di accesso.

• Fotocamera e microfono: il monitoraggio, il codice QR, il pulsante «Parla».
• Notifiche: gli avvisi (pianto, movimento, rumore, batteria scarica, connessione persa), generati sul telefono stesso; su Android, la notifica permanente del monitoraggio a schermo spento.
• Foto (iOS, solo aggiunta): salvare una foto quando lo scegli tu.
• Background: continuare a sentire il bebè quando lo schermo del dispositivo genitore è spento.

Ogni trattamento si fonda su una base prevista dal GDPR:

• L'account e la famiglia (indirizzo email, telefoni dell'account, membri, inviti), così come il collegamento e il relay del baby monitor: l'esecuzione del contratto costituito dalle condizioni d'uso (articolo 6.1.b).
• Il registro di tuo figlio, conservato crittografato sul server e condiviso con i membri della tua famiglia, che può rivelare informazioni sulla sua salute: il tuo consenso esplicito (articoli 6.1.a e 9.2.a). Lo dai a ogni accesso spuntando l'apposita casella, mai preselezionata, in quanto titolare della responsabilità genitoriale sul bambino (il genitore o il tutore) o con l'accordo di quest'ultimo. Puoi revocarlo in qualsiasi momento, nell'app, lasciando il registro o eliminando il tuo account (vedi «Conservazione e cancellazione»); la revoca non pregiudica quanto fatto in precedenza. Il registro resta allora agli altri membri della famiglia, sulla base del consenso che ciascuno ha dato; se ne eri l'unico membro, viene cancellato dal server. L'editore conserva la versione del testo accettato e le date della prima e dell'ultima accettazione, per poter dimostrare il tuo consenso.
• La sicurezza del servizio (limitare gli abusi, chiudere una sessione il cui token è stato copiato, verificare l'app): il legittimo interesse dell'editore a proteggere il servizio e i suoi utenti (articolo 6.1.f).
• La pubblicità: il tuo consenso alla pubblicità personalizzata, raccolto tramite il modulo di Google; in mancanza, annunci non personalizzati, nel legittimo interesse dell'editore a finanziare un'app gratuita.

I dati dell'account e il registro crittografato sono conservati sul server dell'editore, nell'Unione europea. Intervengono:

• IONOS, che ospita questo server (collegamento, relay e servizio account), un server privato virtuale situato nell'Unione europea, in qualità di responsabile del trattamento per conto dell'editore;
• un fornitore di servizi di invio email, responsabile del trattamento per conto dell'editore, per i codici di accesso e l'avviso prima dell'eliminazione di un account inutilizzato;
• Apple e Google, quando scegli di accedere con loro: verificano la tua identità secondo le proprie norme sulla privacy, e sanno che usi Bercio;
• Cloudflare, che ospita il sito di Bercio (bercio.tequi.app) e vede l'indirizzo IP dei visitatori per fornire loro le pagine. La pagina di eliminazione dell'account invia il tuo indirizzo e il tuo codice direttamente al servizio account; la pagina di invito non invia nulla.

Il server dell'editore, che conserva i dati dell'account e il registro crittografato, si trova nell'Unione europea. Google (pubblicità, accesso con Google), Apple (accesso con Apple) e Cloudflare (sito) possono trattare dati al di fuori dell'Unione, in particolare negli Stati Uniti, con le garanzie previste dal GDPR: la decisione di adeguatezza della Commissione europea relativa al quadro UE–USA per la protezione dei dati personali, o le sue clausole contrattuali tipo.

Al di fuori dell'account descritto sopra, l'editore non raccoglie alcun dato che ti riguardi: non conserva né password, né nome, né dati di pagamento, né statistiche d'uso, né immagini né suoni. Le immagini di tuo figlio sono viste solo dai dispositivi che hai abbinato.

Il servizio account non conserva alcun indirizzo IP: li usa solo per limitare gli abusi, in memoria, per un'ora al massimo. I suoi log tecnici, conservati 7 giorni, non contengono né indirizzi email, né codici, né identificativi.

Bercio è rivolta agli adulti; non è destinata all'uso da parte di bambini.

• Il diario delle notti conserva solo le ultime 14 notti; «Cancella il diario» lo svuota subito.
• Il registro del bebè conserva ciò che annoti finché non lo elimini: una voce («Elimina»), o l'intero registro di un bebè, dalla sua scheda; l'eliminazione vale per tutti i telefoni della famiglia. Sul server, i vecchi blocchi crittografati scompaiono quando un telefono vi carica uno stato completo del registro, che li sostituisce.
• Una sessione scade 180 giorni dopo l'ultimo utilizzo, un codice di accesso dopo 10 minuti, un invito dopo 48 ore o non appena è stato usato, insieme alle richieste fatte con esso.
• Un account inutilizzato da due anni riceve un avviso via email, poi viene eliminato 30 giorni dopo se nessuno vi accede di nuovo; un account senza indirizzo email, che non può essere avvisato, viene eliminato 30 giorni dopo questi due anni.
• Eliminare il tuo account: nell'app (Registro del bebè, «Condiviso con», «Elimina il mio account»), su https://bercio.tequi.app/delete-account con un codice ricevuto via email, oppure scrivendo a support@tequi.app dall'indirizzo dell'account. L'account, i suoi telefoni e le sue sessioni vengono subito cancellati dal server, e l'accesso con Apple viene revocato presso Apple. Il registro resta agli altri membri della famiglia; se ne eri l'unico membro, viene cancellato anch'esso.
• «Esci» cancella il registro da questo telefono e il server dimentica questo telefono; «Lascia questo registro» ti rimuove dalla famiglia e cancella il registro da questo telefono. In entrambi i casi, il registro resta agli altri membri della famiglia.
• «Rimuovi», sulla schermata di abbinamento del dispositivo bebè, dimentica un dispositivo genitore e lo scollega.
• Disinstallare l'app, o cancellarne i dati nelle impostazioni del telefono, elimina ciò che ha conservato su quel telefono. Su iPhone e iPad, iOS può conservare le chiavi dell'account dopo la disinstallazione: non servono a nulla senza l'app, che le cancella al primo avvio se viene reinstallata. Il tuo account, invece, resta sul server finché non lo elimini.
• I dati trattati da Google per la pubblicità seguono le norme di Google; l'identificativo pubblicitario si reimposta nelle impostazioni del telefono.

Hai diritto di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità, il diritto di revocare il tuo consenso in qualsiasi momento e quello di definire disposizioni sulla sorte dei tuoi dati dopo la tua morte.

Li eserciti nell'app (correggere o eliminare una voce, lasciare il registro, eliminare il tuo account) o scrivendo a support@tequi.app dall'indirizzo del tuo account; l'editore risponde entro un mese. Poiché l'editore non può leggere il registro, il suo contenuto si consulta e si copia dai tuoi telefoni («Copia il riepilogo»). Per la pubblicità, questi diritti si esercitano presso Google.

Puoi anche presentare un reclamo alla CNIL, l'autorità francese per la protezione dei dati: https://www.cnil.fr

Questa informativa può evolvere con l'app. La data dell'ultimo aggiornamento è indicata qui sotto; la versione in vigore è sempre pubblicata nell'app e sul suo sito.

Per qualsiasi domanda su questa informativa: support@tequi.app.