Dasar privasi

Bercio membantu anda mengikuti hari bayi anda: tidur, makan dan lampin yang anda catat, serta anggaran waktu tidur siang seterusnya. Catatan bayi memerlukan akaun, yang membolehkan anda berkongsinya dengan ibu atau bapa yang seorang lagi atau orang terdekat dan mendapatkannya semula pada telefon baharu.

Catatan bayi disulitkan hujung ke hujung, pada telefon anda, dengan kunci yang tidak sekali-kali dimiliki oleh penerbit. Pelayan penerbit hanya menyimpan blok yang tidak boleh dibaca: penerbit tidak dapat membaca apa yang anda catat, dan catatan bayi tidak sekali-kali digunakan untuk pengiklanan.

Bercio juga boleh menghubungkan dua telefon anda untuk memantau bayi anda: satu kekal di bilik (peranti bayi), yang satu lagi ikut anda (peranti ibu bapa). Pemantau bayi berfungsi tanpa akaun.

Imej dan bunyi dihantar dari satu telefon ke telefon yang lain dalam keadaan disulitkan hujung ke hujung: biasanya secara terus, atau melalui geganti penerbit apabila rangkaian memerlukannya. Penerbit tidak dapat melihat atau mendengarnya, dan tidak merakamnya.

Aplikasi ini percuma, dibiayai oleh iklan Google AdMob yang tidak sekali-kali dipaparkan pada skrin pemantauan atau pada peranti bayi. Pembelian Premium, yang tidak wajib, menghapuskan semua iklan.

Pengawal bagi pemprosesan data yang diterangkan di sini ialah penerbit Bercio, Téqui Studio (Charles Grimont EI), yang alamatnya dinyatakan dalam notis undang-undang. Untuk sebarang pertanyaan tentang data anda: support@tequi.app.

Catatan bayi memerlukan akaun; pemantau bayi tidak sekali-kali memerlukannya: peranti bayi tidak log masuk ke mana-mana akaun. Anda log masuk dengan Apple (pada iPhone dan iPad), dengan Google, atau dengan kod 6 digit yang diterima melalui e-mel, tanpa kata laluan. Perkhidmatan akaun penerbit (api.tequi.app) menyimpan:

• alamat e-mel anda, atau alamat geganti Apple jika anda memilih untuk menyembunyikan alamat anda, dan pengecam yang diberikan kepada anda oleh Apple atau Google. Log masuk dengan alamat disahkan yang sama, melalui Apple, Google atau e-mel, membawa kepada akaun yang sama;
• bahasa aplikasi, untuk menulis kepada anda dalam bahasa anda, serta tarikh akaun dicipta dan kali terakhir digunakan;
• versi teks persetujuan catatan bayi yang anda terima, berserta tarikh penerimaan pertama dan terakhir bagi setiap satu (lihat “Asas undang-undang”);
• telefon dalam akaun (paling banyak 20): nama setiap satu (modelnya, atau nama yang anda berikan), kunci awam yang dicipta oleh aplikasi, serta tarikh ia ditambah dan kali terakhir ia disambungkan;
• bagi setiap telefon yang log masuk, satu sesi: cincangan token log masuk, yang sah selama 180 hari selepas kali terakhir digunakan;
• jika anda log masuk dengan Apple, token yang ketika itu diberikan oleh Apple kepada penerbit, disimpan dalam keadaan disulitkan: ia hanya digunakan untuk membatalkan log masuk anda di pihak Apple apabila anda memadamkan akaun anda.

Apple dan Google memberikan aplikasi token bertandatangan yang membuktikan identiti anda; daripada token itu, perkhidmatan akaun hanya menyimpan alamat e-mel dan pengecam anda, tidak sekali-kali nama atau foto anda.

Untuk log masuk melalui e-mel, kod dihantar oleh penyedia perkhidmatan penghantaran e-mel, yang hanya menerima alamat anda dan mesej tersebut. Kod sah selama 10 minit, untuk 5 percubaan; pelayan hanya menyimpan cincangannya, dalam memori. Penyedia yang sama menghantar amaran sebelum akaun yang tidak digunakan dipadamkan.

Sebuah keluarga menghimpunkan akaun yang berkongsi catatan bayi bagi seorang atau beberapa orang anak: ibu atau bapa yang seorang lagi, datuk atau nenek, pengasuh. Pelayan menyimpan senarai ahli setiap keluarga dan tarikh mereka menyertai, jemputan yang masih aktif dan permintaan untuk menyertai.

Untuk menjemput seseorang, aplikasi memaparkan kod QR dan pautan, yang sah selama 48 jam dan untuk seorang sahaja. Rahsia yang terkandung di dalamnya kekal antara telefon anda: ia tidak sekali-kali dihantar ke pelayan, dan halaman laman web yang menerima pautan itu tidak menghantarnya ke mana-mana.

Ahli keluarga dapat melihat alamat e-mel ahli lain, serta nama telefon mereka dan kali terakhir mereka disambungkan. Mereka juga dapat melihat alamat e-mel dan nama telefon seseorang yang meminta untuk menyertai keluarga: inilah yang membolehkan mereka mengenali siapa yang meminta sebelum menerimanya.

Semua ahli adalah setara: setiap orang boleh menjemput, menerima atau menolak permintaan, dan mengalih keluar ahli.

Catatan bayi (nama, tarikh lahir dan, jika berkenaan, tarikh jangkaan lahir setiap anak; tidur, makan dan lampin) disulitkan pada telefon anda dengan kunci keluarga, yang tidak sekali-kali diterima oleh pelayan dalam bentuk tidak disulitkan. Setiap telefon mempunyai kuncinya sendiri, yang tidak pernah meninggalkan telefon itu; kunci keluarga sampai kepadanya daripada telefon lain dalam keluarga, dalam keadaan disulitkan khusus untuknya sahaja.

Daripada catatan bayi, pelayan hanya menyimpan blok yang disulitkan, bernombor dan bertarikh, berserta telefon yang memuat naiknya dan saiznya. Penerbit tidak dapat membacanya: sama ada untuk mengembalikannya kepada anda, menyerahkannya kepada sesiapa pun, atau untuk pengiklanan.

Kunci pemulihan, yang dipaparkan oleh aplikasi supaya anda mencatatnya, membuka catatan bayi pada telefon baharu. Pelayan menyimpan kunci keluarga yang disulitkan dengan kunci pemulihan, tidak sekali-kali kunci pemulihan itu sendiri.

Catatan ini mungkin mendedahkan maklumat tentang kesihatan anak anda, contohnya kelahiran pramatang: ia dikendalikan sebagai data kesihatan, dengan persetujuan nyata anda (lihat “Asas undang-undang”).

Pada peranti bayi, kamera dan mikrofon menangkap imej dan bunyi bilik semasa pemantauan. Strim dihantar secara langsung, disulitkan hujung ke hujung (WebRTC, DTLS-SRTP), hanya kepada peranti ibu bapa yang telah anda gandingkan. Tiada apa-apa yang dirakam.

Pada peranti ibu bapa, kamera hanya digunakan untuk mengimbas kod QR gandingan, dan mikrofon untuk butang “Bercakap”, selagi anda menahannya.

Pengecaman tangisan (model YAMNet Google, dijalankan oleh MediaPipe), pengesanan bunyi bising dan pengesanan pergerakan berfungsi pada peranti bayi, di luar talian. Hanya keputusan yang dihantar kepada peranti ibu bapa: tahap bunyi, skor tangisan, celoteh atau ketawa, skor pergerakan. Audio yang dianalisis tidak sekali-kali dihantar.

Supaya kedua-dua telefon anda dapat mencari satu sama lain melalui Internet, aplikasi ini menggunakan perkhidmatan penghubung penerbit, yang dihoskan oleh IONOS di Kesatuan Eropah dan berasingan daripada perkhidmatan akaun. Perkhidmatan ini tidak menerima nama anda, alamat e-mel anda, imej mahupun bunyi, dan tidak menyimpan sebarang rekod sambungan:

• Penghubung (peer.tequi.app): menerima pengecam rawak peranti bayi (dan, semasa gandingan, pengecam yang diperoleh daripada kod yang dipaparkannya) serta alamat IP setiap peranti, sepanjang tempoh sambungan. Untuk mengehadkan penyalahgunaan geganti, pelayan juga mengira permintaan daripada setiap alamat IP, dalam memori, untuk tempoh tidak lebih daripada satu jam.
• STUN (turn.tequi.app): melihat alamat IP peranti untuk memberitahunya alamat awamnya.
• Geganti TURN (turn.tequi.app): apabila sambungan terus tidak dapat dibuat, strim melalui geganti ini. Strim kekal disulitkan hujung ke hujung: geganti tidak dapat melihat atau mendengarnya.
• Pengesahan aplikasi: supaya geganti hanya digunakan oleh Bercio, aplikasi membuktikan kepada pelayan bahawa ia ialah aplikasi asal, yang dipasang daripada App Store atau Google Play, pada telefon sebenar. Untuk itu, ia menggunakan App Attest daripada Apple pada iPhone dan iPad, serta Play Integrity daripada Google pada Android, yang menyemak aplikasi dan peranti mengikut peraturan mereka sendiri. Pelayan tidak menyimpan apa-apa daripadanya: ia memberikan aplikasi pas yang sah selama seminggu, yang tidak mengandungi sebarang pengecam peranti.

Iklan disajikan oleh Google AdMob: sepanduk pada skrin utama, gandingan, tetapan, jurnal malam dan catatan bayi serta, jika anda memilih untuk menontonnya, video yang membuka kunci bunyi menenangkan tambahan. Tiada iklan dipaparkan pada skrin pemantauan, mahupun pada peranti bayi sebaik sahaja Mod Bayi dimulakan. Untuk menyajikannya, Google memproses:

• pengecam pengiklanan peranti;
• alamat IP dan lokasi anggaran yang diperoleh daripadanya;
• interaksi dengan iklan dan maklumat diagnostik.

Catatan bayi tidak sekali-kali dihantar kepada Google atau digunakan untuk pengiklanan: ia disulitkan, dan penerbit sendiri pun tidak dapat membacanya.

Di Kawasan Ekonomi Eropah, United Kingdom dan Switzerland, satu borang meminta persetujuan anda untuk pengiklanan yang diperibadikan. Anda boleh menyemak semula pilihan anda pada bila-bila masa: Tetapan, “Urus pilihan iklan”. Pada iOS, aplikasi juga meminta kebenaran penjejakan (App Tracking Transparency); tanpanya, iklan tidak diperibadikan.

Iklan tidak berbunyi dan terhad kepada kandungan yang sesuai untuk kebanyakan penonton dengan bimbingan ibu bapa.

Dengan pembelian Premium, aplikasi tidak memaparkan sebarang iklan langsung dan tidak lagi menggunakan Google AdMob.

Dasar Google: https://policies.google.com/technologies/partner-sites

Pembelian Premium, yang tidak wajib, dibuat melalui App Store Apple atau Google Play, yang memproses pembayaran mengikut dasar privasi masing-masing. Penerbit tidak menerima butiran pembayaran, nama atau alamat e-mel anda.

Untuk mengetahui sama ada Premium telah dibeli, aplikasi bertanya kepada gedung aplikasi dari telefon anda setiap kali ia dilancarkan; ia hanya menyimpan salinan jawapan itu pada telefon, supaya dapat berfungsi di luar talian. Tiada data pembelian dihantar kepada penerbit.

Butang “Ambil foto” pada peranti ibu bapa menangkap imej semasa. Foto kekal dalam telefon, dalam folder sementara aplikasi, sehingga anda berkongsi atau menyimpannya melalui menu kongsi telefon. Foto tidak sekali-kali dihantar kepada penerbit.

Aplikasi menyimpan perkara berikut pada setiap telefon:

• tetapan anda (bahasa, kepekaan, kualiti video, tema…);
• status pembelian Premium dan bunyi menenangkan tambahan yang dibuka kunci dengan video;
• pada peranti bayi: pengecam dan nama bilik, serta nama dan kunci rahsia setiap peranti ibu bapa yang anda benarkan;
• pada peranti ibu bapa: bilik yang digandingkan beserta kunci rahsianya, dan jurnal malam (tangisan, pergerakan, bunyi bising dan gangguan sambungan bagi 14 malam terakhir);
• jika anda menggunakannya, catatan bayi secara lengkap, supaya dapat berfungsi di luar talian: nama, tarikh lahir dan (jika lahir pramatang) tarikh jangkaan lahir setiap anak, serta tidur, makan dan tukar lampin yang dicatat dalam keluarga. Anggaran tidur siang dikira pada telefon. Hanya salinan yang disulitkan disimpan pada pelayan (lihat “Catatan bayi disulitkan hujung ke hujung”);
• jika anda mempunyai akaun, dalam Rantai Kunci iOS atau Keystore Android: kunci peribadi telefon, kunci keluarga, kunci pemulihan dan token log masuk.

• Kamera dan mikrofon: pemantauan, kod QR, butang “Bercakap”.
• Pemberitahuan: amaran (tangisan, pergerakan, bunyi bising, bateri lemah, sambungan terputus) yang dicipta pada telefon itu sendiri; pada Android, pemberitahuan berterusan bagi pemantauan skrin mati.
• Foto (iOS, tambah sahaja): menyimpan foto apabila anda memilih untuk berbuat demikian.
• Latar belakang: terus memperdengarkan bunyi bayi apabila skrin peranti ibu bapa dimatikan.

Setiap pemprosesan berasaskan asas yang diperuntukkan oleh GDPR:

• Akaun dan keluarga (alamat e-mel, telefon dalam akaun, ahli, jemputan), seperti juga penghubung dan geganti pemantau bayi: pelaksanaan kontrak yang dibentuk oleh syarat penggunaan (perkara 6.1.b).
• Catatan bayi anak anda, yang disimpan dalam keadaan disulitkan pada pelayan dan dikongsi dengan ahli keluarga anda, dan yang mungkin mendedahkan maklumat tentang kesihatannya: persetujuan nyata anda (perkara 6.1.a dan 9.2.a). Anda memberikannya pada setiap log masuk dengan menanda kotak yang disediakan, yang tidak sekali-kali ditanda terlebih dahulu, sebagai pemegang tanggungjawab ibu bapa terhadap kanak-kanak itu (ibu atau bapanya, atau penjaganya) atau dengan persetujuan pemegang tersebut. Anda boleh menariknya balik pada bila-bila masa, dalam aplikasi, dengan meninggalkan catatan bayi atau memadamkan akaun anda (lihat “Penyimpanan dan pemadaman”); penarikan balik itu tidak menjejaskan apa yang telah dilakukan sebelumnya. Catatan bayi kemudiannya kekal dengan ahli keluarga yang lain, berasaskan persetujuan yang telah diberikan oleh setiap seorang daripada mereka; jika anda satu-satunya ahli, ia dipadamkan daripada pelayan. Penerbit menyimpan versi teks yang anda terima serta tarikh penerimaan pertama dan terakhir, supaya dapat membuktikan persetujuan anda.
• Keselamatan perkhidmatan (mengehadkan penyalahgunaan, menutup sesi yang tokennya telah disalin, mengesahkan aplikasi): kepentingan sah penerbit untuk melindungi perkhidmatan dan penggunanya (perkara 6.1.f).
• Pengiklanan: persetujuan anda untuk pengiklanan yang diperibadikan, yang diperoleh melalui borang Google; jika tiada, iklan yang tidak diperibadikan, atas kepentingan sah penerbit untuk membiayai aplikasi percuma.

Data akaun dan catatan bayi yang disulitkan disimpan pada pelayan penerbit, di Kesatuan Eropah. Pihak yang terlibat:

• IONOS, hos pelayan ini (penghubung, geganti dan perkhidmatan akaun), sebuah pelayan peribadi maya yang terletak di Kesatuan Eropah, sebagai pemproses data bagi pihak penerbit;
• penyedia perkhidmatan penghantaran e-mel, pemproses data bagi pihak penerbit, untuk kod log masuk dan amaran sebelum akaun yang tidak digunakan dipadamkan;
• Apple dan Google, apabila anda memilih untuk log masuk dengan mereka: mereka mengesahkan identiti anda mengikut dasar privasi mereka sendiri, dan mengetahui bahawa anda menggunakan Bercio;
• Cloudflare, hos laman web Bercio (bercio.tequi.app), yang melihat alamat IP pelawat untuk menyajikan halaman kepada mereka. Halaman pemadaman akaun menghantar alamat e-mel dan kod anda terus kepada perkhidmatan akaun; halaman jemputan tidak menghantar apa-apa.

Pelayan penerbit, yang menyimpan data akaun dan catatan bayi yang disulitkan, terletak di Kesatuan Eropah. Google (pengiklanan, log masuk dengan Google), Apple (log masuk dengan Apple) dan Cloudflare (laman web) mungkin memproses data di luar Kesatuan, terutamanya di Amerika Syarikat, dengan jaminan yang diperuntukkan oleh GDPR: keputusan kecukupan Suruhanjaya Eropah bagi Rangka Kerja Privasi Data EU–AS, atau fasal kontrak standard Suruhanjaya tersebut.

Selain akaun yang diterangkan di atas, penerbit tidak mengumpul sebarang data tentang anda: penerbit tidak menyimpan kata laluan, nama, butiran pembayaran, statistik penggunaan, imej atau bunyi. Imej anak anda hanya dilihat oleh peranti yang telah anda gandingkan.

Perkhidmatan akaun tidak menyimpan sebarang alamat IP: ia hanya menggunakannya untuk mengehadkan penyalahgunaan, dalam memori, untuk tempoh tidak lebih daripada satu jam. Log teknikalnya, yang disimpan selama 7 hari, tidak mengandungi alamat e-mel, kod atau pengecam.

Bercio ditujukan untuk orang dewasa; aplikasi ini tidak bertujuan untuk digunakan oleh kanak-kanak.

• Jurnal malam hanya menyimpan 14 malam terakhir; “Kosongkan jurnal” mengosongkannya serta-merta.
• Catatan bayi menyimpan apa yang anda catat sehingga anda memadamkannya: satu catatan (“Padam”), atau keseluruhan catatan seorang anak, daripada profilnya; pemadaman berkuat kuasa pada semua telefon dalam keluarga. Pada pelayan, blok lama yang disulitkan hilang apabila sebuah telefon memuat naik keadaan lengkap catatan bayi, yang menggantikannya.
• Sesi tamat tempoh 180 hari selepas kali terakhir digunakan, kod log masuk selepas 10 minit, dan jemputan selepas 48 jam atau sebaik sahaja ia digunakan, bersama permintaan yang dibuat dengannya.
• Akaun yang tidak digunakan selama dua tahun akan diberi amaran melalui e-mel, kemudian dipadamkan 30 hari selepas itu jika tiada sesiapa log masuk semula; akaun tanpa alamat e-mel, yang tidak dapat diberi amaran, dipadamkan 30 hari selepas tempoh dua tahun itu.
• Memadamkan akaun anda: dalam aplikasi (Catatan bayi, “Dikongsi dengan”, “Padam akaun saya”), di https://bercio.tequi.app/delete-account dengan kod yang diterima melalui e-mel, atau dengan menulis kepada support@tequi.app daripada alamat akaun. Akaun, telefonnya dan sesinya dipadamkan serta-merta daripada pelayan, dan log masuk dengan Apple dibatalkan di pihak Apple. Catatan bayi kekal dengan ahli keluarga yang lain; jika anda satu-satunya ahli, ia turut dipadamkan.
• “Log keluar” memadamkan catatan bayi daripada telefon ini dan pelayan melupakan telefon ini; “Tinggalkan catatan bayi ini” mengeluarkan anda daripada keluarga dan memadamkan catatan bayi daripada telefon ini. Dalam kedua-dua kes, catatan bayi kekal dengan ahli keluarga yang lain.
• “Alih keluar”, pada skrin gandingan peranti bayi, melupakan peranti ibu bapa dan memutuskan sambungannya.
• Menyahpasang aplikasi, atau mengosongkan datanya dalam tetapan telefon, memadamkan apa yang disimpannya pada telefon ini. Pada iPhone dan iPad, iOS mungkin terus menyimpan kunci akaun selepas aplikasi dinyahpasang: kunci itu tidak berguna tanpa aplikasi, yang akan memadamkannya pada pelancaran pertamanya jika dipasang semula. Akaun anda pula kekal pada pelayan sehingga anda memadamkannya.
• Data yang diproses oleh Google untuk pengiklanan tertakluk pada dasar Google; pengecam pengiklanan boleh ditetapkan semula dalam tetapan telefon.

Anda mempunyai hak akses, pembetulan, pemadaman, sekatan, bantahan dan kemudahalihan, hak untuk menarik balik persetujuan anda pada bila-bila masa, dan hak untuk menetapkan arahan tentang nasib data anda selepas kematian anda.

Anda melaksanakannya dalam aplikasi (membetulkan atau memadamkan satu catatan, meninggalkan catatan bayi, memadamkan akaun anda) atau dengan menulis kepada support@tequi.app daripada alamat akaun anda; penerbit menjawab dalam tempoh satu bulan. Oleh sebab penerbit tidak dapat membaca catatan bayi, kandungannya boleh dilihat dan disalin daripada telefon anda (“Salin ringkasan”). Bagi pengiklanan, hak ini dilaksanakan dengan Google.

Anda juga boleh membuat aduan kepada CNIL, pihak berkuasa perlindungan data Perancis: https://www.cnil.fr

Dasar ini mungkin berubah seiring dengan aplikasi. Tarikh kemas kini terakhirnya dinyatakan di bawah; versi yang berkuat kuasa sentiasa diterbitkan dalam aplikasi dan di laman webnya.

Untuk sebarang pertanyaan tentang dasar ini: support@tequi.app.