Personvernerklæring

Bercio hjelper deg å følge dagen til babyen din: søvnen, måltidene og bleiene du noterer, og når neste lur sannsynligvis kommer. Babydagboken krever en konto, som gjør det mulig å dele den med den andre forelderen eller en nærstående og få den tilbake på en ny telefon.

Babydagboken er ende-til-ende-kryptert på telefonene dine, med en nøkkel som utgiveren aldri har. Utgiverens server lagrer bare uleselige blokker av den: utgiveren kan ikke lese det du noterer, og babydagboken brukes aldri til reklame.

Bercio kan også koble sammen to av telefonene dine slik at du kan passe på babyen din: den ene blir på barnerommet (babyenheten), den andre følger med deg (foreldreenheten). Babycallen fungerer uten konto.

Bilde og lyd går fra den ene telefonen til den andre, ende-til-ende-kryptert: som regel direkte, og via utgiverens relé når nettverket krever det. Utgiveren kan verken se eller høre dem, og tar dem ikke opp.

Appen er gratis og finansieres av reklame fra Google AdMob, som aldri vises på overvåkingsskjermen eller på babyenheten. Det valgfrie Premium-kjøpet fjerner all reklame.

Behandlingsansvarlig for behandlingen av dataene som beskrives her, er utgiveren av Bercio, Téqui Studio (Charles Grimont EI), med adresse oppgitt i den juridiske informasjonen. Har du spørsmål om dataene dine: support@tequi.app.

Babydagboken krever en konto; babycallen aldri: babyenheten logger ikke på noen konto. Du logger inn med Apple (på iPhone og iPad), med Google eller med en 6-sifret kode du mottar på e-post, uten passord. Utgiverens kontotjeneste (api.tequi.app) lagrer:

• e-postadressen din, eller videresendingsadressen fra Apple hvis du velger å skjule din egen, og identifikatoren som Apple eller Google tildeler deg. En innlogging med den samme bekreftede adressen, via Apple, Google eller e-post, fører til den samme kontoen;
• språket i appen, for å kunne skrive til deg på ditt språk, og datoene da kontoen ble opprettet og sist brukt;
• versjonene av samtykketeksten for babydagboken som du har godtatt, med datoene for første og siste godkjenning av hver av dem (se «Behandlingsgrunnlag»);
• telefonene på kontoen (høyst 20): navnet på hver telefon (modellen, eller navnet du har gitt den), en offentlig nøkkel opprettet av appen, og datoene da den ble lagt til og sist logget inn;
• for hver innlogget telefon en økt: hashverdien av et innloggingstoken, gyldig i 180 dager etter siste bruk;
• hvis du logger inn med Apple, tokenet som Apple da gir utgiveren, lagret kryptert: det brukes bare til å trekke tilbake innloggingen din hos Apple når du sletter kontoen din.

Apple og Google gir appen et signert token som beviser identiteten din; kontotjenesten lagrer bare e-postadressen og identifikatoren din fra det, aldri navnet eller bildet ditt.

Ved innlogging med e-post sendes koden av en leverandør av e-postutsendelser, som bare mottar adressen din og meldingen. Koden er gyldig i 10 minutter, for 5 forsøk; serveren lagrer bare en hashverdi av den, i minnet. Den samme leverandøren sender varselet som kommer før en ubrukt konto slettes.

En husstand samler kontoene som deler babydagboken for ett eller flere barn: den andre forelderen, en besteforelder, barnevakten. Serveren lagrer listen over medlemmene i hver husstand og når de ble med, ventende invitasjoner og forespørsler om å bli med.

For å invitere noen viser appen en QR-kode og en lenke, gyldige i 48 timer og for én person. Hemmeligheten de inneholder, blir værende mellom telefonene dine: den sendes aldri til serveren, og siden på nettstedet som mottar lenken, sender den ikke videre noe sted.

Medlemmene i en husstand ser e-postadressen til de andre medlemmene, i tillegg til navnet på telefonene deres og når de sist logget inn. De ser også e-postadressen og telefonnavnet til en person som ber om å bli med i husstanden: slik kan man se hvem som spør, før man godtar.

Alle medlemmer er likestilte: hver av dem kan invitere, godta eller avvise en forespørsel og fjerne et medlem.

Babydagboken (fornavn, fødselsdato og eventuelt termindato for hvert barn; søvn, måltider og bleier) krypteres på telefonene dine med husstandens nøkkel, som serveren aldri mottar i klartekst. Hver telefon har sin egen nøkkel, som aldri forlater den; husstandens nøkkel får den fra en annen telefon i husstanden, kryptert bare for den.

Serveren lagrer bare krypterte blokker av babydagboken, nummererte og daterte, sammen med telefonen som lastet dem opp, og størrelsen deres. Utgiveren kan ikke lese dem: verken for å gi dem tilbake til deg, for å utlevere dem til noen eller til reklame.

Gjenopprettingsnøkkelen, som appen viser slik at du kan skrive den ned, åpner babydagboken på en ny telefon. Serveren lagrer husstandens nøkkel kryptert med den, aldri selve gjenopprettingsnøkkelen.

Disse notatene kan avsløre opplysninger om helsen til barnet ditt, for eksempel en for tidlig fødsel: de behandles som helseopplysninger, med ditt uttrykkelige samtykke (se «Behandlingsgrunnlag»).

På babyenheten filmer kameraet og lytter mikrofonen på barnerommet under overvåkingen. Strømmen sendes direkte, ende-til-ende-kryptert (WebRTC, DTLS-SRTP), bare til foreldreenhetene du har sammenkoblet. Ingenting tas opp.

På foreldreenheten brukes kameraet bare til å skanne QR-koden for sammenkobling, og mikrofonen til knappen «Snakk», mens du holder den inne.

Gråtgjenkjenningen (Googles YAMNet-modell, kjørt av MediaPipe), lydregistreringen og bevegelsesregistreringen fungerer på babyenheten, uten nett. Bare resultater sendes til foreldreenheten: lydnivå, poengsum for gråt, babling eller latter, bevegelsespoengsum. Aldri den analyserte lyden.

For at de to telefonene dine skal finne hverandre via internett, går appen gjennom utgiverens tilkoblingstjeneste, som hostes av IONOS i Den europeiske union og er atskilt fra kontotjenesten. Den mottar verken navnet ditt, e-postadressen din, bildet eller lyden, og lagrer ingen spor av forbindelsene:

• Tilkobling (peer.tequi.app): mottar en tilfeldig identifikator for babyenheten (og, under sammenkoblingen, en identifikator avledet fra koden den viser) og IP-adressen til hver enhet, så lenge forbindelsen varer. For å begrense misbruk av reléet teller den også forespørslene fra hver IP-adresse, i minnet, i høyst én time.
• STUN (turn.tequi.app): ser IP-adressen til enheten for å fortelle den hvilken offentlig adresse den har.
• TURN-relé (turn.tequi.app): når en direkte forbindelse ikke er mulig, går strømmen via dette reléet. Den forblir ende-til-ende-kryptert: reléet kan verken se eller høre den.
• Verifisering av appen: for å reservere reléet for Bercio beviser appen overfor serveren at den er den originale appen, installert fra App Store eller Google Play, på en ekte telefon. Til dette bruker den Apples App Attest på iPhone og iPad og Googles Play Integrity på Android, som kontrollerer appen og enheten etter sine egne regler. Serveren lagrer ingenting av dette: den gir appen et adgangsbevis som gjelder i en uke og ikke inneholder noen identifikator for enheten.

Annonsene leveres av Google AdMob: et banner på startskjermen og på skjermene for sammenkobling, innstillinger, nattdagbok og babydagbok, og, hvis du velger å se den, en video som låser opp ekstra beroligende lyder. Ingen annonse vises på overvåkingsskjermen, og heller ikke på babyenheten når Babymodus er startet. For å vise dem behandler Google:

• enhetens annonse-ID;
• IP-adressen og den omtrentlige posisjonen som utledes av den;
• interaksjoner med annonsene og diagnostikkinformasjon.

Babydagboken sendes aldri til Google og brukes aldri til reklame: den er kryptert, og selv utgiveren kan ikke lese den.

I Det europeiske økonomiske samarbeidsområdet, Storbritannia og Sveits ber et skjema om samtykket ditt til personlig tilpasset reklame. Du kan når som helst se over valgene dine: Innstillinger, «Administrer annonsevalg». På iOS ber appen i tillegg om tillatelse til sporing (App Tracking Transparency); uten den blir ikke annonsene personlig tilpasset.

Annonsene er uten lyd og begrenset til innhold som passer for de fleste aldersgrupper med foreldreveiledning.

Med Premium-kjøpet viser appen ingen reklame i det hele tatt og bruker ikke lenger Google AdMob.

Googles retningslinjer: https://policies.google.com/technologies/partner-sites

Det valgfrie Premium-kjøpet skjer via Apples App Store eller Google Play, som behandler betalingen etter sine egne personvernregler. Utgiveren mottar verken betalingsopplysningene dine, navnet ditt eller e-postadressen din.

For å vite om Premium er kjøpt, spør appen appbutikken fra telefonen din ved hver oppstart; den lagrer bare en kopi av svaret på telefonen, for å fungere uten nett. Ingen kjøpsdata sendes til utgiveren.

Knappen «Ta et bilde» på foreldreenheten tar et bilde av øyeblikket. Bildet blir på telefonen, i en midlertidig mappe i appen, til du deler eller lagrer det via telefonens delingsmeny. Det sendes aldri til utgiveren.

Appen lagrer på hver telefon:

• innstillingene dine (språk, følsomhet, videokvalitet, tema…);
• statusen for Premium-kjøpet og for de ekstra beroligende lydene som er låst opp med en video;
• på babyenheten: identifikatoren og navnet på rommet, og navnet og den hemmelige nøkkelen til hver foreldreenhet du har godkjent;
• på foreldreenheten: de sammenkoblede rommene med tilhørende hemmelige nøkler, og nattdagboken (gråt, bevegelser, lyder og brudd de siste 14 nettene);
• hvis du bruker den, hele babydagboken, for å fungere uten nett: fornavnet, fødselsdatoen og, ved for tidlig fødsel, termindatoen til hvert barn, og søvnen, måltidene og bleieskiftene som er registrert i husstanden. Anslagene for lurer beregnes på telefonen. Bare en kryptert kopi av den lagres på serveren (se «Ende-til-ende-kryptert babydagbok»);
• med en konto, i nøkkelringen i iOS eller Keystore i Android: telefonens private nøkkel, husstandens nøkkel, gjenopprettingsnøkkelen og innloggingstokenet.

• Kamera og mikrofon: overvåkingen, QR-koden, knappen «Snakk».
• Varslinger: varslene (gråt, bevegelse, lyd, lavt batteri, brutt forbindelse), som opprettes på selve telefonen; på Android den faste varslingen for overvåking med skjermen av.
• Bilder (iOS, bare legge til): lagre et bilde når du velger det.
• Bakgrunn: fortsette å la deg høre babyen når skjermen på foreldreenheten er av.

Hver behandling bygger på et grunnlag fastsatt i GDPR:

• Kontoen og husstanden (e-postadresse, telefonene på kontoen, medlemmer, invitasjoner), i likhet med tilkoblingen og reléet for babycallen: oppfyllelse av avtalen som bruksvilkårene utgjør (artikkel 6.1.b).
• Babydagboken til barnet ditt, som lagres kryptert på serveren og deles med medlemmene i husstanden din, og som kan avsløre opplysninger om helsen til barnet: ditt uttrykkelige samtykke (artikkel 6.1.a og 9.2.a). Du gir det ved hver innlogging ved å krysse av i boksen for dette, som aldri er forhåndsavkrysset, som den som har foreldreansvaret for barnet (forelder eller verge), eller med vedkommendes tillatelse. Du kan når som helst trekke det tilbake i appen ved å forlate babydagboken eller slette kontoen din (se «Lagring og sletting»); tilbaketrekkingen påvirker ikke det som er gjort tidligere. Babydagboken blir da værende hos de andre medlemmene i husstanden, på grunnlag av samtykket hver av dem har gitt; hvis du var det eneste medlemmet, slettes den fra serveren. Utgiveren lagrer versjonen av teksten du godtok og datoene for første og siste godkjenning, for å kunne dokumentere samtykket ditt.
• Tjenestens sikkerhet (begrense misbruk, avslutte en økt der tokenet er kopiert, verifisere appen): utgiverens berettigede interesse i å beskytte tjenesten og brukerne (artikkel 6.1.f).
• Reklame: samtykket ditt til personlig tilpasset reklame, innhentet via skjemaet fra Google; ellers ikke-personlig tilpassede annonser, ut fra utgiverens berettigede interesse i å finansiere en gratis app.

Kontodataene og den krypterte babydagboken lagres på utgiverens server, i Den europeiske union. Følgende er involvert:

• IONOS, som hoster denne serveren (tilkobling, relé og kontotjeneste), en virtuell privat server i Den europeiske union, som databehandler for utgiveren;
• en leverandør av e-postutsendelser, databehandler for utgiveren, for innloggingskodene og varselet før en ubrukt konto slettes;
• Apple og Google, når du velger å logge inn med dem: de verifiserer identiteten din etter sine egne personvernregler, og vet at du bruker Bercio;
• Cloudflare, som hoster nettstedet til Bercio (bercio.tequi.app) og ser IP-adressen til besøkende for å kunne vise dem sidene. Siden for sletting av kontoen sender adressen og koden din direkte til kontotjenesten; invitasjonssiden sender ingenting.

Utgiverens server, som lagrer kontodataene og den krypterte babydagboken, befinner seg i Den europeiske union. Google (reklame, innlogging med Google), Apple (innlogging med Apple) og Cloudflare (nettsted) kan behandle data utenfor unionen, særlig i USA, med garantiene som GDPR fastsetter: Europakommisjonens beslutning om tilstrekkelig beskyttelsesnivå for rammeverket for personvern mellom EU og USA, eller kommisjonens standard personvernbestemmelser.

Utover kontoen som er beskrevet ovenfor, samler utgiveren ikke inn noen data om deg: utgiveren lagrer verken passord, navn, betalingsopplysninger, bruksstatistikk, bilde eller lyd. Bilder av barnet ditt ses bare av enhetene du har sammenkoblet.

Kontotjenesten lagrer ingen IP-adresser: den bruker dem bare til å begrense misbruk, i minnet, i høyst én time. De tekniske loggene, som lagres i 7 dager, inneholder verken e-postadresse, kode eller identifikator.

Bercio er beregnet på voksne; den er ikke ment å brukes av barn.

• Nattdagboken lagrer bare de siste 14 nettene; «Tøm dagboken» tømmer den med én gang.
• Babydagboken lagrer det du registrerer, til du sletter det: én registrering («Slett») eller hele dagboken til et barn, fra barnets profil; slettingen gjelder alle telefonene i husstanden. På serveren forsvinner de gamle krypterte blokkene når en telefon laster opp en fullstendig versjon av babydagboken, som erstatter dem.
• En økt utløper 180 dager etter siste bruk, en innloggingskode etter 10 minutter, en invitasjon etter 48 timer eller så snart den er brukt, sammen med forespørslene som er sendt med den.
• En konto som ikke er brukt på to år, får et varsel på e-post og slettes 30 dager senere hvis ingen logger inn på den igjen; en konto uten e-postadresse, som ikke kan varsles, slettes 30 dager etter disse to årene.
• Slett kontoen din: i appen (Babydagbok, «Delt med», «Slett kontoen min»), på https://bercio.tequi.app/delete-account med en kode du mottar på e-post, eller ved å skrive til support@tequi.app fra kontoens adresse. Kontoen, telefonene og øktene dens slettes umiddelbart fra serveren, og innloggingen med Apple trekkes tilbake hos Apple. Babydagboken blir værende hos de andre medlemmene i husstanden; hvis du var det eneste medlemmet, slettes den også.
• «Logg ut» sletter babydagboken fra denne telefonen og får serveren til å glemme telefonen; «Forlat denne babydagboken» fjerner deg fra husstanden og sletter babydagboken fra denne telefonen. I begge tilfeller blir babydagboken værende hos de andre medlemmene i husstanden.
• «Fjern» på sammenkoblingsskjermen til babyenheten glemmer en foreldreenhet og kobler den fra.
• Hvis du avinstallerer appen, eller sletter dataene dens i telefonens innstillinger, slettes det den har lagret på denne telefonen. På iPhone og iPad kan iOS beholde nøklene til kontoen etter at appen er avinstallert: de er ubrukelige uten appen, og hvis appen installeres på nytt, sletter den dem første gang den startes. Kontoen din blir derimot værende på serveren til du sletter den.
• Data som Google behandler for reklame, følger Googles retningslinjer; annonse-ID-en kan tilbakestilles i telefonens innstillinger.

Du har rett til innsyn, retting, sletting, begrensning, protest og dataportabilitet, rett til når som helst å trekke tilbake samtykket ditt, og rett til å gi retningslinjer for hva som skal skje med dataene dine etter din død.

Du utøver dem i appen (rette eller slette en registrering, forlate babydagboken, slette kontoen din) eller ved å skrive til support@tequi.app fra adressen til kontoen din; utgiveren svarer innen én måned. Siden utgiveren ikke kan lese babydagboken, kan innholdet ses og kopieres fra telefonene dine («Kopier sammendrag»). For reklame utøves disse rettighetene overfor Google.

Du kan også klage til CNIL, det franske datatilsynet: https://www.cnil.fr

Denne erklæringen kan endres i takt med appen. Datoen for siste oppdatering står nedenfor; gjeldende versjon publiseres alltid i appen og på nettstedet.

Har du spørsmål om denne erklæringen: support@tequi.app.