Privacybeleid

Bercio helpt je de dag van je baby bij te houden: de slaap, voedingen en luiers die je noteert, en het waarschijnlijke tijdstip van het volgende dutje. Voor het babydagboek is een account nodig, waarmee je het kunt delen met de andere ouder of een naaste en het terugvindt op een nieuwe telefoon.

Het babydagboek is end-to-end versleuteld, op je telefoons, met een sleutel die de uitgever nooit heeft. Zijn server bewaart er alleen onleesbare blokken van: de uitgever kan niet lezen wat je noteert, en het babydagboek wordt nooit voor advertenties gebruikt.

Bercio kan ook twee van je telefoons verbinden om over je baby te waken: de ene blijft in de babykamer (babyapparaat), de andere gaat met je mee (ouderapparaat). De babyfoon werkt zonder account.

Beeld en geluid gaan end-to-end versleuteld van de ene telefoon naar de andere: meestal rechtstreeks, via de relay van de uitgever als het netwerk dat vereist. De uitgever kan ze niet zien en niet horen, en neemt ze niet op.

De app is gratis en wordt gefinancierd met advertenties van Google AdMob, die nooit op het bewakingsscherm of op het babyapparaat verschijnen. De optionele Premium-aankoop verwijdert alle advertenties.

De verwerkingsverantwoordelijke voor de hier beschreven gegevens is de uitgever van Bercio, Téqui Studio (Charles Grimont EI), wiens adres in de wettelijke informatie staat. Voor vragen over je gegevens: support@tequi.app.

Voor het babydagboek is een account nodig; voor de babyfoon nooit: het babyapparaat logt bij geen enkel account in. Je logt in met Apple (op iPhone en iPad), met Google of met een 6-cijferige code die je per e-mail ontvangt, zonder wachtwoord. De accountdienst van de uitgever (api.tequi.app) bewaart:

• je e-mailadres, of het doorstuuradres van Apple als je ervoor kiest het jouwe te verbergen, en de identificatiecode die Apple of Google je toekent. Inloggen met hetzelfde geverifieerde adres, via Apple, Google of e-mail, leidt naar hetzelfde account;
• de taal van de app, om je in je eigen taal te kunnen schrijven, en de datum waarop het account is aangemaakt en voor het laatst is gebruikt;
• de versies van de toestemmingstekst voor het babydagboek die je hebt geaccepteerd, met de data van de eerste en de laatste acceptatie van elke versie (zie ‘Rechtsgronden’);
• de telefoons van het account (hoogstens 20): de naam van elke telefoon (het model, of de naam die je hem hebt gegeven), een openbare sleutel die door de app is aangemaakt, en de datum waarop hij is toegevoegd en voor het laatst heeft ingelogd;
• voor elke ingelogde telefoon een sessie: de hash van een inlogtoken, geldig tot 180 dagen na het laatste gebruik;
• als je inlogt met Apple, het token dat Apple daarbij aan de uitgever geeft, versleuteld bewaard: het dient alleen om je inlog bij Apple in te trekken wanneer je je account verwijdert.

Apple en Google geven de app een ondertekend token dat je identiteit bewijst; de accountdienst bewaart daarvan alleen je e-mailadres en je identificatiecode, nooit je naam of je foto.

Bij inloggen per e-mail wordt de code verstuurd door een e-maildienstverlener, die alleen je adres en het bericht ontvangt. De code is 10 minuten geldig, voor 5 pogingen; de server bewaart er alleen een hash van, in het geheugen. Dezelfde dienstverlener verstuurt de waarschuwing die voorafgaat aan de verwijdering van een ongebruikt account.

Een gezin brengt de accounts samen die het babydagboek van een of meer kinderen delen: de andere ouder, opa of oma, de oppas. De server bewaart de ledenlijst van elk gezin en de datum waarop elk lid erbij kwam, de openstaande uitnodigingen en de verzoeken om lid te worden.

Om iemand uit te nodigen toont de app een QR-code en een link, 48 uur geldig en voor één persoon. Het geheim dat erin zit, blijft tussen je telefoons: het wordt nooit naar de server gestuurd, en de pagina van de website die de link ontvangt, geeft het nergens door.

De leden van een gezin zien het e-mailadres van de andere leden, en ook de naam van hun telefoons en wanneer ze voor het laatst hebben ingelogd. Ze zien ook het e-mailadres en de telefoonnaam van iemand die vraagt om lid te worden van het gezin: zo kun je herkennen wie het vraagt voordat je het verzoek accepteert.

Alle leden zijn gelijk: iedereen kan uitnodigen, een verzoek accepteren of weigeren, en een lid verwijderen.

Het babydagboek (voornaam, geboortedatum en zo nodig de uitgerekende datum van elk kind; slaap, voedingen en luiers) wordt op je telefoons versleuteld met de gezinssleutel, die de server nooit onversleuteld ontvangt. Elke telefoon heeft zijn eigen sleutel, die hem nooit verlaat; de gezinssleutel krijgt hij, alleen voor hem versleuteld, van een andere telefoon van het gezin.

Van het babydagboek bewaart de server alleen versleutelde blokken, genummerd en gedateerd, met de telefoon die ze heeft geüpload en hun grootte. De uitgever kan ze niet lezen: niet om ze aan je terug te geven, niet om ze aan wie dan ook door te geven, en niet voor advertenties.

De herstelsleutel, die de app toont zodat je hem kunt noteren, opent het babydagboek op een nieuwe telefoon. De server bewaart de gezinssleutel, daarmee versleuteld, maar nooit de herstelsleutel zelf.

Deze notities kunnen informatie over de gezondheid van je kind onthullen, bijvoorbeeld een vroeggeboorte: ze worden behandeld als gezondheidsgegevens, met je uitdrukkelijke toestemming (zie ‘Rechtsgronden’).

Op het babyapparaat filmen en beluisteren de camera en de microfoon de babykamer tijdens de bewaking. De stream wordt live en end-to-end versleuteld (WebRTC, DTLS-SRTP) alleen naar de ouderapparaten verzonden die je hebt gekoppeld. Er wordt niets opgenomen.

Op het ouderapparaat dient de camera alleen om de QR-code voor het koppelen te scannen, en de microfoon voor de knop ‘Praten’, zolang je die ingedrukt houdt.

De huilherkenning (YAMNet-model van Google, uitgevoerd door MediaPipe), de geluidsdetectie en de bewegingsdetectie werken offline op het babyapparaat. Alleen resultaten worden naar het ouderapparaat gestuurd: geluidsniveau, scores voor huilen, brabbelen of lachen, bewegingsscore. Nooit de geanalyseerde audio.

Om je twee telefoons elkaar via internet te laten vinden, maakt de app gebruik van de verbindingsdienst van de uitgever, gehost door IONOS in de Europese Unie en gescheiden van de accountdienst. Die ontvangt niet je naam, niet je e-mailadres en geen beeld of geluid, en bewaart geen enkel spoor van de verbindingen:

• Verbinding (peer.tequi.app): ontvangt een willekeurige identificatiecode van het babyapparaat (en, tijdens het koppelen, een identificatiecode die is afgeleid van de code die het toont) en het IP-adres van elk apparaat, zolang de verbinding duurt. Om misbruik van de relay te beperken, telt de server ook de verzoeken van elk IP-adres, in het geheugen en hoogstens een uur lang.
• STUN (turn.tequi.app): ziet het IP-adres van het apparaat, om het zijn openbare adres te laten weten.
• TURN-relay (turn.tequi.app): als een rechtstreekse verbinding niet mogelijk is, loopt de stream via deze relay. Hij blijft end-to-end versleuteld: de relay kan hem niet zien en niet horen.
• Verificatie van de app: om de relay voor Bercio te reserveren, bewijst de app aan de server dat het de originele app is, geïnstalleerd via de App Store of Google Play, op een echte telefoon. Daarvoor gebruikt ze App Attest van Apple op iPhone en iPad, en Play Integrity van Google op Android, die de app en het apparaat volgens hun eigen regels controleren. De server bewaart daar niets van: hij geeft de app een toegangspas van een week, die geen identificatiecode van het apparaat bevat.

Advertenties worden geleverd door Google AdMob: een banner op het startscherm en op de schermen voor koppelen, instellingen, nachtlogboek en babydagboek en, als je ervoor kiest hem te bekijken, een video die extra rustgevende geluiden ontgrendelt. Er verschijnt geen advertentie op het bewakingsscherm, en ook niet op het babyapparaat zodra Babymodus is gestart. Om ze te tonen, verwerkt Google:

• de advertentie-ID van het apparaat;
• het IP-adres en de daarvan afgeleide geschatte locatie;
• interacties met de advertenties en diagnostische gegevens.

Het babydagboek wordt nooit naar Google gestuurd en nooit voor advertenties gebruikt: het is versleuteld en zelfs de uitgever kan het niet lezen.

In de Europese Economische Ruimte, het Verenigd Koninkrijk en Zwitserland vraagt een formulier om je toestemming voor gepersonaliseerde advertenties. Je kunt je keuzes altijd herzien: Instellingen, ‘Advertentiekeuzes beheren’. Op iOS vraagt de app daarnaast toestemming voor tracking (App Tracking Transparency); zonder die toestemming worden advertenties niet gepersonaliseerd.

Advertenties zijn zonder geluid en beperkt tot inhoud die geschikt is voor een breed publiek onder ouderlijk toezicht.

Met de Premium-aankoop toont de app helemaal geen advertenties meer en maakt ze geen gebruik meer van Google AdMob.

Beleid van Google: https://policies.google.com/technologies/partner-sites

De optionele Premium-aankoop verloopt via de App Store van Apple of via Google Play, die de betaling verwerken volgens hun eigen privacybeleid. De uitgever ontvangt geen betaalgegevens, geen naam en geen e-mailadres van je.

Om te weten of je Premium hebt, vraagt de app dat bij elke start vanaf je telefoon aan de store; ze bewaart alleen een kopie van het antwoord op de telefoon, om offline te werken. Er worden geen aankoopgegevens naar de uitgever gestuurd.

De knop ‘Foto maken’ op het ouderapparaat legt het beeld van dat moment vast. De foto blijft op de telefoon, in een tijdelijke map van de app, tot je hem deelt of opslaat via het deelmenu van de telefoon. Hij wordt nooit naar de uitgever gestuurd.

De app bewaart op elke telefoon:

• je instellingen (taal, gevoeligheid, videokwaliteit, thema…);
• de status van de Premium-aankoop en van de extra rustgevende geluiden die met een video zijn ontgrendeld;
• op het babyapparaat de identificatiecode en de naam van de kamer, en de naam en de geheime sleutel van elk ouderapparaat dat je hebt toegestaan;
• op het ouderapparaat de gekoppelde kamers met hun geheime sleutel, en het nachtlogboek (huilen, beweging, geluid en onderbrekingen van de laatste 14 nachten);
• als je het gebruikt, het volledige babydagboek, om offline te werken: de voornaam, geboortedatum en, bij een vroeggeboorte, de uitgerekende datum van elk kind, en de slaapjes, voedingen en verschoningen die in het gezin zijn genoteerd. De schattingen van dutjes worden op de telefoon berekend. Op de server wordt er alleen een versleutelde kopie van bewaard (zie ‘End-to-end versleuteld babydagboek’);
• met een account, in de sleutelhanger van iOS of de Keystore van Android: de privésleutel van de telefoon, de gezinssleutel, de herstelsleutel en het inlogtoken.

• Camera en microfoon: de bewaking, de QR-code, de knop ‘Praten’.
• Meldingen: de alarmen (huilen, beweging, geluid, bijna lege batterij, verbroken verbinding), aangemaakt op de telefoon zelf; op Android de vaste melding van de bewaking met scherm uit.
• Foto's (iOS, alleen toevoegen): een foto opslaan als je daarvoor kiest.
• Achtergrond: de baby blijven horen als het scherm van het ouderapparaat uit staat.

Elke verwerking berust op een grondslag uit de AVG:

• Het account en het gezin (e-mailadres, telefoons van het account, leden, uitnodigingen), net als de verbinding en de relay van de babyfoon: de uitvoering van de overeenkomst die de gebruiksvoorwaarden vormen (artikel 6.1.b).
• Het babydagboek van je kind, dat versleuteld op de server wordt bewaard en met de leden van je gezin wordt gedeeld, en dat informatie over zijn gezondheid kan onthullen: je uitdrukkelijke toestemming (artikelen 6.1.a en 9.2.a). Je geeft die bij elke inlog door het daarvoor bedoelde vakje aan te vinken, dat nooit vooraf is aangevinkt, als degene die het ouderlijk gezag over het kind heeft (ouder of voogd) of met diens toestemming. Je trekt die op elk moment in, in de app, door het babydagboek te verlaten of je account te verwijderen (zie ‘Bewaring en verwijdering’); de intrekking doet niets af aan wat daarvoor is gebeurd. Het babydagboek blijft dan bij de andere leden van het gezin, op grond van de toestemming die ieder van hen heeft gegeven; was je het enige lid, dan wordt het van de server gewist. De uitgever bewaart de versie van de geaccepteerde tekst en de data van de eerste en de laatste acceptatie, om je toestemming te kunnen aantonen.
• De beveiliging van de dienst (misbruik beperken, een sessie afsluiten waarvan het token is gekopieerd, de app verifiëren): het gerechtvaardigd belang van de uitgever om de dienst en zijn gebruikers te beschermen (artikel 6.1.f).
• Advertenties: je toestemming voor gepersonaliseerde advertenties, gevraagd via het formulier van Google; zonder die toestemming niet-gepersonaliseerde advertenties, op grond van het gerechtvaardigd belang van de uitgever om een gratis app te financieren.

De accountgegevens en het versleutelde babydagboek worden bewaard op de server van de uitgever, in de Europese Unie. Daarbij zijn betrokken:

• IONOS, hostingprovider van deze server (verbinding, relay en accountdienst), een virtuele privéserver in de Europese Unie, als verwerker van de uitgever;
• een e-maildienstverlener, verwerker van de uitgever, voor de inlogcodes en de waarschuwing vóór de verwijdering van een ongebruikt account;
• Apple en Google, als je ervoor kiest met hen in te loggen: zij controleren je identiteit volgens hun eigen privacyregels en weten dat je Bercio gebruikt;
• Cloudflare, hostingprovider van de website van Bercio (bercio.tequi.app), die het IP-adres van bezoekers ziet om hun de pagina's te leveren. De pagina voor het verwijderen van het account stuurt je adres en je code rechtstreeks naar de accountdienst; de uitnodigingspagina stuurt niets.

De server van de uitgever, die de accountgegevens en het versleutelde babydagboek bewaart, staat in de Europese Unie. Google (advertenties, inloggen met Google), Apple (inloggen met Apple) en Cloudflare (website) kunnen gegevens buiten de Unie verwerken, met name in de Verenigde Staten, met de waarborgen van de AVG: het adequaatheidsbesluit van de Europese Commissie voor het EU-VS-kader voor gegevensbescherming, of haar standaardcontractbepalingen.

Buiten het hierboven beschreven account verzamelt de uitgever geen gegevens over jou: hij bewaart geen wachtwoord, geen naam, geen betaalgegevens, geen gebruiksstatistieken, geen beeld en geen geluid. Beelden van je kind worden alleen gezien door de apparaten die je hebt gekoppeld.

De accountdienst bewaart geen IP-adressen: hij gebruikt ze alleen om misbruik te beperken, in het geheugen, hoogstens een uur lang. Zijn technische logbestanden, die 7 dagen worden bewaard, bevatten geen e-mailadres, geen code en geen identificatiecode.

Bercio is bedoeld voor volwassenen; de app is niet bedoeld voor gebruik door kinderen.

• Het nachtlogboek bewaart alleen de laatste 14 nachten; ‘Logboek wissen’ maakt het meteen leeg.
• Het babydagboek bewaart wat je noteert totdat je het verwijdert: één registratie (‘Verwijderen’), of het hele dagboek van een kind, via het profiel van het kind; de verwijdering geldt voor alle telefoons van het gezin. Op de server verdwijnen de oude versleutelde blokken wanneer een telefoon er een volledige stand van het babydagboek uploadt, die ze vervangt.
• Een sessie verloopt 180 dagen na het laatste gebruik, een inlogcode na 10 minuten, een uitnodiging na 48 uur of zodra ze is gebruikt, samen met de verzoeken die ermee zijn gedaan.
• Een account dat twee jaar niet is gebruikt, krijgt een waarschuwing per e-mail en wordt 30 dagen later verwijderd als niemand er opnieuw op inlogt; een account zonder e-mailadres, dat niet gewaarschuwd kan worden, wordt 30 dagen na die twee jaar verwijderd.
• Je account verwijderen: in de app (Babydagboek, ‘Gedeeld met’, ‘Mijn account verwijderen’), op https://bercio.tequi.app/delete-account met een code die je per e-mail ontvangt, of door vanaf het adres van het account te schrijven naar support@tequi.app. Het account, de telefoons en de sessies ervan worden meteen van de server gewist, en de inlog met Apple wordt bij Apple ingetrokken. Het babydagboek blijft bij de andere leden van het gezin; was je het enige lid, dan wordt het ook gewist.
• ‘Uitloggen’ wist het babydagboek van deze telefoon en laat de server deze telefoon vergeten; ‘Dit babydagboek verlaten’ haalt je uit het gezin en wist het babydagboek van deze telefoon. In beide gevallen blijft het babydagboek bij de andere leden van het gezin.
• ‘Verwijderen’ op het koppelscherm van het babyapparaat vergeet een ouderapparaat en verbreekt de verbinding ermee.
• De app verwijderen, of de gegevens ervan wissen in de instellingen van de telefoon, verwijdert wat de app op deze telefoon heeft bewaard. Op iPhone en iPad kan iOS de sleutels van het account bewaren nadat de app is verwijderd: zonder de app hebben ze geen nut, en als de app opnieuw wordt geïnstalleerd, wist die ze bij de eerste keer opstarten. Je account blijft echter op de server staan totdat je het verwijdert.
• Gegevens die Google voor advertenties verwerkt, vallen onder het beleid van Google; de advertentie-ID kun je resetten in de instellingen van de telefoon.

Je hebt recht op inzage, rectificatie, wissing, beperking, bezwaar en overdraagbaarheid, het recht om je toestemming op elk moment in te trekken, en het recht om richtlijnen op te stellen over wat er na je overlijden met je gegevens gebeurt.

Je oefent ze uit in de app (een registratie corrigeren of verwijderen, het babydagboek verlaten, je account verwijderen) of door vanaf het adres van je account te schrijven naar support@tequi.app; de uitgever antwoordt binnen een maand. Omdat de uitgever het babydagboek niet kan lezen, kun je de inhoud ervan bekijken en kopiëren op je telefoons (‘Samenvatting kopiëren’). Voor advertenties oefen je deze rechten uit bij Google.

Je kunt ook een klacht indienen bij de CNIL, de Franse toezichthouder voor gegevensbescherming: https://www.cnil.fr

Dit beleid kan met de app mee veranderen. De datum van de laatste wijziging staat hieronder; de geldende versie wordt altijd gepubliceerd in de app en op de website ervan.

Voor vragen over dit beleid: support@tequi.app.