プライバシーポリシー

Bercioは、赤ちゃんの1日を把握するお手伝いをします。記録した睡眠、授乳・食事、おむつを確認でき、次のお昼寝のおおよその時刻もわかります。育児記録の利用にはアカウントが必要です。アカウントがあれば、もう一人の親や身近な人と記録を共有でき、新しいスマートフォンでも記録を引き継げます。

育児記録は、運営者が一度も持つことのないキーを使って、お客様のスマートフォン上でエンドツーエンドで暗号化されます。運営者のサーバーに保存されるのは、読み取ることのできないデータブロックだけです。運営者はお客様の記録内容を読むことができず、育児記録が広告に使われることも一切ありません。

Bercioは、お手持ちのスマートフォン2台をつないで赤ちゃんを見守ることもできます。1台は子ども部屋に置き（赤ちゃん側の端末）、もう1台は持ち歩きます（親側の端末）。ベビーモニターはアカウントなしで使えます。

映像と音声はエンドツーエンドで暗号化され、スマートフォンから別のスマートフォンへ送られます。ほとんどの場合は直接届き、ネットワークの状況により必要な場合は運営者のリレーを経由します。運営者がそれらを見たり聞いたりすることはできず、記録することもありません。

本アプリは無料で、Google AdMobの広告によって運営されています。広告が見守り画面や赤ちゃん側の端末に表示されることはありません。任意で購入できるプレミアムを利用すると、広告はすべて表示されなくなります。

ここに記載するデータの処理の管理者は、Bercioの運営者であるTéqui Studio (Charles Grimont EI)です。所在地は法的情報に記載しています。お客様のデータに関するご質問はsupport@tequi.appまでお寄せください。

育児記録の利用にはアカウントが必要ですが、ベビーモニターには一切必要ありません。赤ちゃん側の端末がアカウントにログインすることはありません。ログインには、Apple（iPhoneとiPad）、Google、またはメールで届く6桁のコードを使い、パスワードは不要です。運営者のアカウントサービス（api.tequi.app）は、次の情報を保存します。

• お客様のメールアドレス（メールアドレスを非公開にすることを選んだ場合はAppleのリレー用アドレス）と、AppleまたはGoogleがお客様に割り当てる識別子。Apple、Google、メールのいずれでログインしても、確認済みの同じメールアドレスであれば同じアカウントにつながります。
• アプリの言語（お客様の言語でご連絡するため）と、アカウントの作成日および最終利用日
• 育児記録への同意文面のうちお客様が同意したバージョンと、それぞれに最初および最後に同意した日付（「法的根拠」をご覧ください）
• アカウントのスマートフォン（最大20台）：各スマートフォンの名前（機種名、またはお客様が付けた名前）、本アプリが作成した公開鍵、追加日と最終ログイン日
• ログイン中の各スマートフォンのセッション：ログイン用トークンのハッシュ値（最後に使用してから180日間有効）
• Appleでログインした場合に、Appleが運営者に渡すトークン（暗号化して保存）。このトークンは、お客様がアカウントを削除するときに、Apple側でのログイン連携を取り消すためだけに使用します。

AppleとGoogleは、お客様の本人確認を証明する署名付きトークンを本アプリに渡します。アカウントサービスがそこから保存するのはメールアドレスと識別子のみで、お名前や写真を保存することはありません。

メールでログインする場合、コードはメール配信事業者から送信されます。この事業者が受け取るのは、お客様のメールアドレスとメッセージのみです。コードの有効期限は10分で、入力できるのは5回までです。サーバーはコードのハッシュ値のみをメモリ上に保持します。使われていないアカウントを削除する前の事前通知も、同じ事業者から送信されます。

家族とは、1人または複数のお子さまの育児記録を共有するアカウントのまとまりで、もう一人の親、祖父母、ベビーシッターなどが参加します。サーバーは、各家族のメンバーの一覧とその参加日、有効な招待、参加リクエストを保存します。

誰かを招待するとき、本アプリはQRコードとリンクを表示します。どちらも有効期限は48時間で、使えるのは1人だけです。そこに含まれる秘密の情報はお客様のスマートフォンどうしの間にとどまり、サーバーに送信されることはありません。また、リンクを受け取るウェブサイトのページも、それをどこにも送信しません。

家族のメンバーには、ほかのメンバーのメールアドレスが表示されます。そのスマートフォンの名前と最終ログイン日時も表示されます。家族への参加をリクエストした人のメールアドレスとスマートフォンの名前も表示されるため、承認する前に誰からのリクエストかを確認できます。

メンバーはすべて同じ権限を持ちます。誰でも招待、リクエストの承認・拒否、メンバーの削除ができます。

育児記録（各お子さまの名前、生年月日、該当する場合は出産予定日、睡眠、授乳・食事、おむつ）は、お客様のスマートフォン上で家族のキーを使って暗号化されます。サーバーがこのキーを暗号化されていない状態で受け取ることはありません。各スマートフォンは端末の外に出ることのない固有のキーを持ち、家族のキーは、家族の別のスマートフォンから、そのスマートフォンだけが開けるよう暗号化されて届きます。

サーバーが保存する育児記録は、番号と日時が付いた暗号化されたデータブロックだけで、それをアップロードしたスマートフォンとそのサイズも記録されます。運営者はこれらを読むことができないため、お客様に内容をお戻しすることも、誰かに提供することも、広告に使うこともできません。

復元キーは、書き留めていただくために本アプリが表示するもので、新しいスマートフォンで育児記録を開くために使います。サーバーは、復元キーで暗号化した家族のキーを保存しますが、復元キーそのものを保存することはありません。

これらの記録から、早産などお子さまの健康に関する情報がわかる場合があります。そのため、これらは健康データとして扱い、お客様の明示的な同意にもとづいて処理します（「法的根拠」をご覧ください）。

赤ちゃん側の端末では、見守り中にカメラとマイクが部屋の映像と音を捉えます。ストリームはエンドツーエンドで暗号化され（WebRTC、DTLS-SRTP）、ペアリングした親側の端末にのみリアルタイムで送信されます。録画や録音は一切行いません。

親側の端末では、カメラはペアリング用QRコードの読み取りにのみ使用し、マイクは「話す」ボタンを押している間のみ使用します。

泣き声の認識（MediaPipeで実行するGoogleのYAMNetモデル）、物音の検知、動きの検知は、赤ちゃん側の端末上でオフラインで行われます。親側の端末に送られるのは結果のみです（音量レベル、泣き声・おしゃべり・笑い声のスコア、動きのスコア）。解析した音声そのものが送られることはありません。

2台のスマートフォンがインターネット上で互いを見つけられるよう、本アプリは、IONOSが欧州連合内でホスティングする運営者の接続サービスを経由します。このサービスはアカウントサービスとは別のものです。お名前、メールアドレス、映像、音声のいずれも受け取らず、接続の記録も一切残しません。

• 接続（peer.tequi.app）：接続している間、赤ちゃん側の端末のランダムな識別子（ペアリング中は、その端末に表示されるコードから生成した識別子も）と各端末のIPアドレスを受け取ります。リレーの悪用を抑えるため、IPアドレスごとのリクエスト数も、最長1時間、メモリ上でカウントします。
• STUN（turn.tequi.app）：端末に公開アドレスを知らせるため、端末のIPアドレスを確認します。
• TURNリレー（turn.tequi.app）：直接接続できない場合、ストリームはこのリレーを経由します。ストリームはエンドツーエンドで暗号化されたままなので、リレーが映像を見たり音声を聞いたりすることはできません。
• アプリの検証：リレーをBercio専用にするため、アプリは、App StoreまたはGoogle Playから実際のスマートフォンにインストールされた正規のアプリであることをサーバーに証明します。そのために、iPhoneとiPadではAppleのApp Attestを、AndroidではGoogleのPlay Integrityを利用します。これらのサービスは、それぞれ独自のルールに従ってアプリと端末を確認します。サーバーはその情報を一切保存せず、アプリに1週間有効な通行証を発行します。この通行証には、端末の識別子は一切含まれません。

広告はGoogle AdMobによって配信されます。ホーム、ペアリング、設定、夜の記録、育児記録の各画面に表示されるバナー広告と、ご自身で視聴を選んだ場合に追加の寝かしつけサウンドを利用可能にする動画広告です。見守り画面に広告が表示されることはなく、赤ちゃんモードを開始した後の赤ちゃん側の端末にも表示されません。広告を配信するため、Googleは次の情報を処理します。

• 端末の広告ID
• IPアドレスと、そこから推定されるおおよその位置情報
• 広告とのやり取りと診断情報

育児記録がGoogleに送信されたり、広告に使われたりすることはありません。育児記録は暗号化されており、運営者自身も読むことができません。

欧州経済領域、英国、スイスでは、パーソナライズド広告への同意を求めるフォームが表示されます。選択内容は、「設定」の「広告の設定」からいつでも見直せます。iOSでは、本アプリはトラッキングの許可（App Tracking Transparency）も求めます。許可しない場合、広告はパーソナライズされません。

広告は音が出ず、保護者の指導のもとで幅広い年齢層に適したコンテンツに限定されています。

プレミアムを購入すると、本アプリは広告を一切表示せず、Google AdMobも利用しなくなります。

Googleのポリシー：https://policies.google.com/technologies/partner-sites

プレミアムの購入は任意で、AppleのApp StoreまたはGoogle Playを通じて行われます。支払いは、それぞれのプライバシーポリシーに従って処理されます。運営者がお客様の支払い情報、名前、メールアドレスを受け取ることはありません。

プレミアムを購入済みかどうかを確認するため、本アプリは起動のたびにお客様のスマートフォンからストアに問い合わせます。オフラインでも動作するよう、その結果のコピーをスマートフォンに保存するだけです。購入に関するデータが運営者に送信されることはありません。

親側の端末の「写真を撮る」ボタンで、その時点の映像を撮影します。写真は、スマートフォンの共有メニューから共有または保存するまで、アプリの一時フォルダに残ります。運営者に送信されることはありません。

本アプリは、各スマートフォンに次のデータを保存します。

• 設定（言語、感度、画質、テーマなど）
• プレミアムの購入状況と、動画による追加の寝かしつけサウンドの利用状況
• 赤ちゃん側の端末：部屋の識別子と名前、許可した各親側の端末の名前と秘密鍵
• 親側の端末：ペアリングした部屋とその秘密鍵、夜の記録（直近14夜の泣き声、動き、物音、接続切れ）
• 育児記録（利用する場合）：オフラインでも使えるよう、記録全体を保存します。各お子さまの名前と生年月日（早産の場合は出産予定日も）、家族で記録した睡眠、授乳・食事、おむつ交換です。お昼寝の目安はスマートフォン上で計算されます。サーバーに保存されるのは、その暗号化されたコピーだけです（「エンドツーエンドで暗号化された育児記録」をご覧ください）。
• アカウントを利用する場合（iOSのキーチェーンまたはAndroidのKeystore内）：スマートフォンの秘密鍵、家族のキー、復元キー、ログイン用トークン

• カメラとマイク：見守り、QRコード、「話す」ボタン。
• 通知：スマートフォン上で作成されるアラート（泣き声、動き、物音、バッテリー残量低下、接続切れ）。Androidでは、画面オフでの見守り中に表示される常駐通知。
• 写真（iOS、追加のみ）：選んだときに写真を保存するため。
• バックグラウンド：親側の端末の画面がオフのときも、赤ちゃんの音を聞き続けるため。

それぞれの処理は、GDPRに定める次の法的根拠にもとづいています。

• アカウントと家族（メールアドレス、アカウントのスマートフォン、メンバー、招待）、およびベビーモニターの接続とリレー：利用規約という契約の履行（第6.1.b条）。
• お子さまの育児記録（サーバーに暗号化して保存され、家族のメンバーと共有されます。お子さまの健康に関する情報がわかる場合があります）：お客様の明示的な同意（第6.1.a条および第9.2.a条）。この同意は、お子さまに対して親権を行う者（親または未成年後見人）として、またはその者の同意を得たうえで、ログインのたびに、あらかじめチェックの入っていないチェックボックスにチェックを入れることで行います。同意は、アプリ内で、育児記録から抜けるか、アカウントを削除することで、いつでも撤回できます（「保存期間と削除」をご覧ください）。撤回前に行われた処理には影響しません。撤回後も、育児記録は、ほかの家族のメンバーがそれぞれ行った同意にもとづいて、そのメンバーのもとに残ります。お客様が唯一のメンバーだった場合は、育児記録はサーバーから消去されます。運営者は、お客様の同意を証明できるよう、同意いただいた文面のバージョンと、最初および最後に同意した日付を保存します。
• サービスのセキュリティ（不正利用の抑止、トークンがコピーされたセッションの終了、アプリの検証）：サービスとその利用者を保護するという運営者の正当な利益（第6.1.f条）。
• 広告：パーソナライズド広告については、Googleのフォームで取得するお客様の同意。同意がない場合は、無料アプリの運営費をまかなうという運営者の正当な利益にもとづき、パーソナライズされていない広告を表示します。

アカウントのデータと暗号化された育児記録は、欧州連合内にある運営者のサーバーに保存されます。関与する事業者は次のとおりです。

• IONOS：運営者の委託先として、このサーバー（接続、リレー、アカウントサービス）をホスティングします。このサーバーは、欧州連合内にある仮想プライベートサーバーです。
• メール配信事業者：運営者の委託先として、ログイン用コードと、使われていないアカウントを削除する前の事前通知を送信します。
• AppleとGoogle：お客様がこれらでログインすることを選んだ場合に関与します。それぞれ独自のプライバシールールに従ってお客様の本人確認を行い、お客様がBercioを利用していることを把握します。
• Cloudflare：Bercioのウェブサイト（bercio.tequi.app）のホスティング事業者で、ページを配信するために訪問者のIPアドレスを知ることができます。アカウント削除ページは、お客様のメールアドレスとコードをアカウントサービスに直接送信します。招待ページは何も送信しません。

アカウントのデータと暗号化された育児記録を保存する運営者のサーバーは、欧州連合内にあります。Google（広告、Googleでのログイン）、Apple（Appleでのログイン）、Cloudflare（ウェブサイト）は、米国をはじめとする欧州連合域外でデータを処理することがあります。その場合は、GDPRに定める保護措置、すなわちEU・米国データプライバシーフレームワークに関する欧州委員会の十分性認定、または欧州委員会の標準契約条項が適用されます。

上記のアカウントを除き、運営者はお客様に関するデータを一切収集しません。パスワード、名前、支払い情報、利用統計、映像、音声のいずれも保存しません。お子さまの映像を見られるのは、ペアリングした端末だけです。

アカウントサービスはIPアドレスを保存しません。IPアドレスは、不正利用を抑えるためだけに、最長1時間、メモリ上で使用します。技術ログは7日間保存されますが、メールアドレス、コード、識別子は含まれません。

Bercioは大人向けのアプリであり、お子さまによる使用を想定していません。

• 夜の記録は直近14夜分のみ保存されます。「記録を消去」ですぐに消去できます。
• 育児記録は、削除するまで記録した内容を保存します。記録は1件ずつ（「削除」）、またはお子さまのプロフィールからその子の記録をまとめて削除でき、削除は家族のすべてのスマートフォンに反映されます。サーバー上の古い暗号化データブロックは、いずれかのスマートフォンが育児記録の完全な状態をアップロードすると、それに置き換えられて消去されます。
• セッションは最後に使用してから180日後、ログイン用コードは10分後、招待は48時間後または使用された時点で失効します。招待が失効すると、その招待で行われたリクエストも失効します。
• 2年間使われていないアカウントには、メールで通知したうえで、その30日後までに誰もログインしなければ削除します。メールアドレスのないアカウントは通知できないため、2年が経過してから30日後に削除します。
• アカウントの削除：本アプリ内（「育児記録」→「共有メンバー」→「アカウントを削除」）、https://bercio.tequi.app/delete-account でメールに届くコードを使って、またはアカウントのメールアドレスからsupport@tequi.appに連絡することで削除できます。アカウント、そのスマートフォン、セッションはサーバーからただちに消去され、Appleでのログイン連携もApple側で取り消されます。育児記録はほかの家族のメンバーのもとに残ります。メンバーがお客様だけだった場合は、育児記録も消去されます。
• 「ログアウト」を使うと、このスマートフォンから育児記録が消去され、サーバー上でもこのスマートフォンの情報が削除されます。「この育児記録から抜ける」を使うと、お客様は家族から外れ、このスマートフォンから育児記録が消去されます。いずれの場合も、育児記録はほかの家族のメンバーのもとに残ります。
• 赤ちゃん側の端末のペアリング画面で「削除」を使うと、その親側の端末の情報が削除され、接続が切断されます。
• アプリをアンインストールするか、スマートフォンの設定でアプリのデータを消去すると、このスマートフォンに保存されていたデータが削除されます。iPhoneとiPadでは、アプリをアンインストールした後もiOSにアカウントのキーが残ることがあります。このキーはアプリがなければ何の役にも立たず、アプリを再インストールした場合は、初回起動時にアプリが消去します。一方、お客様のアカウントは、削除するまでサーバー上に残ります。
• Googleが広告のために処理するデータは、Googleのポリシーに従います。広告IDはスマートフォンの設定でリセットできます。

お客様には、アクセス、訂正、消去、処理の制限、異議申し立て、データポータビリティの権利があり、いつでも同意を撤回する権利、およびご自身の死後のデータの取り扱いについて指示を定める権利があります。

これらの権利は、本アプリ内で（記録の修正・削除、育児記録から抜ける、アカウントの削除）、またはアカウントのメールアドレスからsupport@tequi.appに連絡することで行使できます。運営者は1か月以内に回答します。運営者は育児記録を読むことができないため、その内容はお客様のスマートフォンで確認・コピーしてください（「概要をコピー」）。広告については、これらの権利はGoogleに対して行使してください。

また、フランスのデータ保護機関であるCNILに苦情を申し立てることもできます：https://www.cnil.fr

本ポリシーはアプリの更新に伴い変更されることがあります。最終更新日は下記のとおりです。最新版は常にアプリ内とウェブサイトで公開しています。

本ポリシーに関するご質問はsupport@tequi.appまでお寄せください。