Polityka prywatności

Bercio pomaga ci śledzić dzień twojego dziecka: sen, karmienia i pieluszki, które zapisujesz, oraz prawdopodobną porę następnej drzemki. Dziennik dziecka wymaga konta, które pozwala udostępnić go drugiemu rodzicowi lub bliskiej osobie i odzyskać go na nowym telefonie.

Dziennik dziecka jest szyfrowany end-to-end na twoich telefonach kluczem, którego wydawca nigdy nie ma. Serwer wydawcy przechowuje z niego tylko nieczytelne bloki: wydawca nie może odczytać tego, co zapisujesz, a dziennik nigdy nie służy do celów reklamowych.

Bercio może też połączyć dwa twoje telefony, aby czuwać nad dzieckiem: jeden zostaje w pokoju dziecka (urządzenie dziecka), drugi jest z tobą (urządzenie rodzica). Niania elektroniczna działa bez konta.

Obraz i dźwięk płyną z jednego telefonu na drugi, szyfrowane end-to-end: najczęściej bezpośrednio, a przez przekaźnik wydawcy, gdy wymaga tego sieć. Wydawca nie może ich zobaczyć ani usłyszeć i ich nie nagrywa.

Aplikacja jest bezpłatna, finansowana przez reklamy Google AdMob, które nigdy nie są wyświetlane na ekranie monitorowania ani na urządzeniu dziecka. Opcjonalny zakup Premium usuwa wszystkie reklamy.

Administratorem opisanych tu danych jest wydawca Bercio, Téqui Studio (Charles Grimont EI), którego adres podano w nocie prawnej. W razie pytań dotyczących twoich danych: support@tequi.app.

Dziennik dziecka wymaga konta; niania elektroniczna nigdy: urządzenie dziecka nie łączy się z żadnym kontem. Logujesz się przez Apple (na urządzeniach iPhone i iPad), przez Google lub 6-cyfrowym kodem otrzymanym e-mailem, bez hasła. Usługa kont wydawcy (api.tequi.app) przechowuje:

• twój adres e-mail lub adres przekierowujący Apple, jeśli zdecydujesz się ukryć swój, oraz identyfikator przypisany ci przez Apple lub Google. Logowanie tym samym zweryfikowanym adresem, przez Apple, Google lub e-mail, prowadzi do tego samego konta;
• język aplikacji, aby pisać do ciebie w twoim języku, oraz daty utworzenia i ostatniego użycia konta;
• wersje tekstu zgody dotyczącej dziennika dziecka zaakceptowane przez ciebie, wraz z datami pierwszej i ostatniej akceptacji każdej z nich (patrz „Podstawy prawne”);
• telefony powiązane z kontem (najwyżej 20): nazwę każdego z nich (jego model lub nadaną przez ciebie nazwę), klucz publiczny utworzony przez aplikację oraz daty dodania i ostatniego logowania;
• dla każdego zalogowanego telefonu sesję: skrót tokenu logowania, ważnego przez 180 dni od ostatniego użycia;
• jeśli logujesz się przez Apple, token, który Apple przekazuje wtedy wydawcy, przechowywany w postaci zaszyfrowanej: służy wyłącznie do odwołania twojego logowania w Apple, gdy usuwasz konto.

Apple i Google przekazują aplikacji podpisany token potwierdzający twoją tożsamość; usługa kont zachowuje z niego tylko twój adres e-mail i identyfikator, nigdy imię i nazwisko ani zdjęcie.

Przy logowaniu e-mailem kod wysyła dostawca usługi wysyłki e-maili, który otrzymuje tylko twój adres i wiadomość. Kod jest ważny 10 minut i na 5 prób; serwer przechowuje tylko jego skrót, w pamięci. Ten sam dostawca wysyła ostrzeżenie poprzedzające usunięcie nieużywanego konta.

Rodzina skupia konta osób, które współdzielą dziennik jednego lub kilkorga dzieci: drugi rodzic, babcia lub dziadek, niania. Serwer przechowuje listę członków każdej rodziny i daty ich dołączenia, oczekujące zaproszenia oraz prośby o dołączenie.

Aby kogoś zaprosić, aplikacja wyświetla kod QR i link, ważne 48 godzin i dla jednej osoby. Zawarty w nich sekret pozostaje między waszymi telefonami: nigdy nie jest wysyłany na serwer, a strona internetowa, która odbiera link, nigdzie go nie przekazuje.

Członkowie rodziny widzą adresy e-mail pozostałych członków, a także nazwy ich telefonów i ich ostatnie logowanie. Widzą też adres e-mail i nazwę telefonu osoby, która prosi o dołączenie do rodziny: dzięki temu można rozpoznać, kto prosi, zanim się tę osobę zaakceptuje.

Wszyscy członkowie są równi: każdy może zapraszać, akceptować lub odrzucać prośby i usuwać członków.

Dziennik dziecka (imię, data urodzenia i, w stosownych przypadkach, termin porodu każdego dziecka; sen, karmienia i pieluszki) jest szyfrowany na twoich telefonach kluczem rodziny, którego serwer nigdy nie otrzymuje w postaci jawnej. Każdy telefon ma własny klucz, który go nie opuszcza; klucz rodziny trafia do niego zaszyfrowany tylko dla niego, z innego telefonu rodziny.

Serwer przechowuje z dziennika tylko zaszyfrowane bloki, numerowane i opatrzone datą, wraz z informacją o telefonie, który je przesłał, i o ich rozmiarze. Wydawca nie może ich odczytać: ani aby ci je zwrócić, ani aby je komukolwiek przekazać, ani do celów reklamowych.

Klucz odzyskiwania, który aplikacja wyświetla do zanotowania, otwiera dziennik na nowym telefonie. Serwer przechowuje klucz rodziny zaszyfrowany tym kluczem, nigdy sam klucz odzyskiwania.

Te wpisy mogą ujawniać informacje o zdrowiu twojego dziecka, na przykład o przedwczesnym porodzie: są traktowane jako dane dotyczące zdrowia, za twoją wyraźną zgodą (patrz „Podstawy prawne”).

Na urządzeniu dziecka kamera i mikrofon filmują pokój i nasłuchują go podczas monitorowania. Strumień jest przesyłany na żywo, szyfrowany end-to-end (WebRTC, DTLS-SRTP), wyłącznie do sparowanych przez ciebie urządzeń rodzica. Nic nie jest nagrywane.

Na urządzeniu rodzica kamera służy tylko do skanowania kodu QR parowania, a mikrofon do przycisku „Mów”, dopóki go przytrzymujesz.

Rozpoznawanie płaczu (model YAMNet od Google, uruchamiany przez MediaPipe), wykrywanie hałasu i wykrywanie ruchu działają na urządzeniu dziecka, offline. Do urządzenia rodzica wysyłane są tylko wyniki: poziom dźwięku, wskaźniki płaczu, gaworzenia lub śmiechu, wskaźnik ruchu. Nigdy analizowany dźwięk.

Aby twoje dwa telefony mogły się odnaleźć w internecie, aplikacja korzysta z usługi łączenia wydawcy, hostowanej przez IONOS w Unii Europejskiej i odrębnej od usługi kont. Nie otrzymuje ona ani twojego imienia i nazwiska, ani adresu e-mail, ani obrazu, ani dźwięku, nie przechowuje też żadnych śladów połączeń:

• Łączenie (peer.tequi.app): otrzymuje losowy identyfikator urządzenia dziecka (a podczas parowania także identyfikator utworzony z kodu, który ono wyświetla) oraz adres IP każdego urządzenia, na czas trwania połączenia. Aby ograniczyć nadużycia przekaźnika, serwer liczy też żądania z każdego adresu IP, w pamięci i najwyżej przez godzinę.
• STUN (turn.tequi.app): widzi adres IP urządzenia, aby podać mu jego adres publiczny.
• Przekaźnik TURN (turn.tequi.app): gdy połączenie bezpośrednie jest niemożliwe, strumień przechodzi przez ten przekaźnik. Pozostaje szyfrowany end-to-end: przekaźnik nie może go ani zobaczyć, ani usłyszeć.
• Weryfikacja aplikacji: aby zarezerwować przekaźnik dla Bercio, aplikacja udowadnia serwerowi, że jest oryginalną aplikacją, zainstalowaną z App Store lub Google Play, na prawdziwym telefonie. W tym celu korzysta z App Attest firmy Apple na urządzeniach iPhone i iPad oraz z Play Integrity firmy Google w systemie Android, które sprawdzają aplikację i urządzenie według własnych zasad. Serwer niczego z tego nie zachowuje: przekazuje aplikacji przepustkę ważną tydzień, która nie zawiera żadnego identyfikatora urządzenia.

Reklamy są wyświetlane przez Google AdMob: baner na ekranie głównym oraz na ekranach parowania, ustawień, dziennika nocy i dziennika dziecka, a także, jeśli zdecydujesz się go obejrzeć, film odblokowujący dodatkowe kojące dźwięki. Żadna reklama nie jest wyświetlana na ekranie monitorowania ani na urządzeniu dziecka po uruchomieniu trybu dziecka. Aby je wyświetlać, Google przetwarza:

• identyfikator reklamowy urządzenia;
• adres IP i ustalaną na jego podstawie przybliżoną lokalizację;
• interakcje z reklamami oraz dane diagnostyczne.

Dziennik dziecka nigdy nie jest przekazywany Google ani wykorzystywany do celów reklamowych: jest zaszyfrowany, a sam wydawca nie może go odczytać.

W Europejskim Obszarze Gospodarczym, Wielkiej Brytanii i Szwajcarii formularz prosi o twoją zgodę na reklamy spersonalizowane. W każdej chwili możesz zmienić swoje wybory: Ustawienia, „Zarządzaj ustawieniami reklam”. Na iOS aplikacja prosi dodatkowo o zgodę na śledzenie (App Tracking Transparency); bez niej reklamy nie są spersonalizowane.

Reklamy są wyciszone i ograniczone do treści odpowiednich dla większości odbiorców pod nadzorem rodziców.

Po zakupie Premium aplikacja nie wyświetla żadnych reklam i nie korzysta już z Google AdMob.

Zasady Google: https://policies.google.com/technologies/partner-sites

Opcjonalny zakup Premium odbywa się przez App Store firmy Apple lub Google Play, które przetwarzają płatność zgodnie z własnymi zasadami ochrony prywatności. Wydawca nie otrzymuje ani twoich danych płatniczych, ani imienia i nazwiska, ani adresu e-mail.

Aby sprawdzić, czy masz Premium, aplikacja przy każdym uruchomieniu wysyła zapytanie do sklepu z twojego telefonu; przechowuje jedynie kopię odpowiedzi w telefonie, aby działać offline. Żadne dane dotyczące zakupu nie są przesyłane wydawcy.

Przycisk „Zrób zdjęcie” na urządzeniu rodzica zapisuje bieżący obraz. Zdjęcie pozostaje w telefonie, w tymczasowym folderze aplikacji, dopóki go nie udostępnisz lub nie zapiszesz przez menu udostępniania telefonu. Nigdy nie jest wysyłane do wydawcy.

Aplikacja przechowuje na każdym telefonie:

• twoje ustawienia (język, czułość, jakość wideo, motyw…);
• stan zakupu Premium oraz odblokowania dodatkowych kojących dźwięków dzięki filmowi;
• na urządzeniu dziecka: identyfikator i nazwę pokoju oraz nazwę i tajny klucz każdego zatwierdzonego przez ciebie urządzenia rodzica;
• na urządzeniu rodzica: sparowane pokoje wraz z ich tajnymi kluczami oraz dziennik nocy (płacz, ruch, hałas i przerwy w połączeniu z ostatnich 14 nocy);
• jeśli z niego korzystasz, pełny dziennik dziecka, aby działał offline: imię, datę urodzenia i, w przypadku przedwczesnych narodzin, termin porodu każdego dziecka oraz zapisane w rodzinie okresy snu, karmienia i zmiany pieluszek. Szacowane pory drzemek są obliczane na telefonie. Na serwerze przechowywana jest tylko jego zaszyfrowana kopia (patrz „Dziennik szyfrowany end-to-end”);
• przy koncie, w pęku kluczy iOS lub w Keystore Androida: klucz prywatny telefonu, klucz rodziny, klucz odzyskiwania i token logowania.

• Kamera i mikrofon: monitorowanie, kod QR, przycisk „Mów”.
• Powiadomienia: alarmy (płacz, ruch, hałas, słaba bateria, utrata połączenia), tworzone na samym telefonie; na Androidzie stałe powiadomienie monitorowania przy wyłączonym ekranie.
• Zdjęcia (iOS, tylko dodawanie): zapisanie zdjęcia, gdy tego chcesz.
• Działanie w tle: dalsze słyszenie dziecka, gdy ekran urządzenia rodzica jest wyłączony.

Każde przetwarzanie opiera się na podstawie przewidzianej w RODO:

• Konto i rodzina (adres e-mail, telefony powiązane z kontem, członkowie, zaproszenia), podobnie jak łączenie i przekaźnik niani elektronicznej: wykonanie umowy, którą stanowią warunki korzystania (art. 6.1.b).
• Dziennik twojego dziecka, przechowywany w postaci zaszyfrowanej na serwerze i udostępniany członkom twojej rodziny, który może ujawniać informacje o zdrowiu dziecka: twoja wyraźna zgoda (art. 6.1.a i 9.2.a). Wyrażasz ją przy każdym logowaniu przez zaznaczenie przeznaczonego do tego pola, nigdy niezaznaczonego z góry, jako osoba sprawująca władzę rodzicielską nad dzieckiem (jego rodzic lub opiekun prawny) lub za zgodą takiej osoby. Możesz ją wycofać w dowolnym momencie w aplikacji, opuszczając dziennik lub usuwając konto (patrz „Przechowywanie i usuwanie”); wycofanie zgody nie wpływa na to, co zostało zrobione wcześniej. Dziennik pozostaje wtedy u pozostałych członków rodziny, na podstawie zgody wyrażonej przez każdego z nich; jeśli poza tobą nie było w rodzinie nikogo, zostaje usunięty z serwera. Wydawca przechowuje wersję zaakceptowanego tekstu oraz daty pierwszej i ostatniej akceptacji, aby móc udowodnić wyrażenie przez ciebie zgody.
• Bezpieczeństwo usługi (ograniczanie nadużyć, zamykanie sesji, której token został skopiowany, weryfikacja aplikacji): prawnie uzasadniony interes wydawcy polegający na ochronie usługi i jej użytkowników (art. 6.1.f).
• Reklamy: twoja zgoda na reklamy spersonalizowane, zbierana przez formularz Google; w przeciwnym razie reklamy niespersonalizowane, w prawnie uzasadnionym interesie wydawcy polegającym na finansowaniu bezpłatnej aplikacji.

Dane konta i zaszyfrowany dziennik są przechowywane na serwerze wydawcy, w Unii Europejskiej. Udział biorą:

• IONOS, dostawca hostingu tego serwera (łączenie, przekaźnik i usługa kont), wirtualnego serwera prywatnego zlokalizowanego w Unii Europejskiej, jako podmiot przetwarzający działający na zlecenie wydawcy;
• dostawca usługi wysyłki e-maili, podmiot przetwarzający działający na zlecenie wydawcy, do wysyłki kodów logowania i ostrzeżenia przed usunięciem nieużywanego konta;
• Apple i Google, gdy zdecydujesz się logować za ich pośrednictwem: weryfikują twoją tożsamość zgodnie z własnymi zasadami ochrony prywatności i wiedzą, że korzystasz z Bercio;
• Cloudflare, dostawca hostingu strony internetowej Bercio (bercio.tequi.app), który widzi adres IP odwiedzających, aby wyświetlać im strony. Strona usuwania konta wysyła twój adres i kod bezpośrednio do usługi kont; strona zaproszenia niczego nie wysyła.

Serwer wydawcy, który przechowuje dane konta i zaszyfrowany dziennik, znajduje się w Unii Europejskiej. Google (reklamy, logowanie przez Google), Apple (logowanie przez Apple) i Cloudflare (strona internetowa) mogą przetwarzać dane poza Unią, zwłaszcza w Stanach Zjednoczonych, z zabezpieczeniami przewidzianymi w RODO: decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony dla Ram ochrony danych UE–USA lub jej standardowymi klauzulami umownymi.

Poza opisanym wyżej kontem wydawca nie zbiera żadnych danych na twój temat: nie przechowuje ani hasła, ani imienia i nazwiska, ani danych płatniczych, ani statystyk użytkowania, ani obrazu, ani dźwięku. Obraz twojego dziecka widzą tylko sparowane przez ciebie urządzenia.

Usługa kont nie przechowuje żadnego adresu IP: używa go tylko do ograniczania nadużyć, w pamięci, najwyżej przez godzinę. Jej logi techniczne, przechowywane przez 7 dni, nie zawierają ani adresu e-mail, ani kodu, ani identyfikatora.

Aplikacja Bercio jest przeznaczona dla dorosłych; nie jest przeznaczona do używania przez dzieci.

• Dziennik nocy przechowuje tylko ostatnie 14 nocy; „Wyczyść dziennik” od razu go opróżnia.
• Dziennik dziecka przechowuje to, co zapisujesz, dopóki tego nie usuniesz: pojedynczy wpis („Usuń”) lub cały dziennik dziecka, z poziomu jego profilu; usunięcie obejmuje wszystkie telefony rodziny. Na serwerze stare zaszyfrowane bloki znikają, gdy któryś telefon prześle pełny stan dziennika, który je zastępuje.
• Sesja wygasa 180 dni po ostatnim użyciu, kod logowania po 10 minutach, a zaproszenie po 48 godzinach lub zaraz po wykorzystaniu, wraz z prośbami złożonymi za jego pomocą.
• Konto nieużywane od dwóch lat otrzymuje ostrzeżenie e-mailem, a następnie jest usuwane 30 dni później, jeśli nikt się na nie ponownie nie zaloguje; konto bez adresu e-mail, którego nie można ostrzec, jest usuwane 30 dni po upływie tych dwóch lat.
• Usunięcie konta: w aplikacji (Dziennik dziecka, „Udostępnianie”, „Usuń moje konto”), na stronie https://bercio.tequi.app/delete-account za pomocą kodu otrzymanego e-mailem lub pisząc na support@tequi.app z adresu konta. Konto, jego telefony i sesje są natychmiast usuwane z serwera, a logowanie przez Apple jest odwoływane w Apple. Dziennik pozostaje u pozostałych członków rodziny; jeśli nie było w niej nikogo poza tobą, również zostaje usunięty.
• „Wyloguj się” usuwa dziennik z tego telefonu, a serwer zapomina ten telefon; „Opuść ten dziennik” usuwa cię z rodziny i usuwa dziennik z tego telefonu. W obu przypadkach dziennik pozostaje u pozostałych członków rodziny.
• „Usuń” na ekranie parowania urządzenia dziecka zapomina urządzenie rodzica i je rozłącza.
• Odinstalowanie aplikacji lub wyczyszczenie jej danych w ustawieniach telefonu usuwa to, co przechowywała na tym telefonie. Na urządzeniach iPhone i iPad system iOS może zachować klucze konta po odinstalowaniu aplikacji: są one bezużyteczne bez aplikacji, która usuwa je przy pierwszym uruchomieniu, jeśli zostanie ponownie zainstalowana. Twoje konto natomiast pozostaje na serwerze, dopóki go nie usuniesz.
• Dane przetwarzane przez Google na potrzeby reklam podlegają zasadom Google; identyfikator reklamowy można zresetować w ustawieniach telefonu.

Masz prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, sprzeciwu i przenoszenia danych, prawo do wycofania zgody w dowolnym momencie oraz prawo do określenia wytycznych dotyczących losu twoich danych po twojej śmierci.

Wykonujesz je w aplikacji (poprawienie lub usunięcie wpisu, opuszczenie dziennika, usunięcie konta) lub pisząc na support@tequi.app z adresu swojego konta; wydawca odpowiada w ciągu miesiąca. Ponieważ wydawca nie może odczytać dziennika, jego treść można przeglądać i kopiować na twoich telefonach („Kopiuj podsumowanie”). W zakresie reklam prawa te wykonujesz wobec Google.

Możesz też złożyć skargę do CNIL, francuskiego organu ochrony danych: https://www.cnil.fr

Ta polityka może się zmieniać wraz z aplikacją. Data jej ostatniej aktualizacji znajduje się poniżej; obowiązująca wersja jest zawsze publikowana w aplikacji i na jej stronie internetowej.

W razie pytań dotyczących tej polityki: support@tequi.app.