Política de privacidade

O Bercio ajuda você a acompanhar o dia do seu bebê: o sono, as mamadas e as fraldas que você registra, e o horário provável da próxima soneca. O acompanhamento exige uma conta, que permite compartilhá-lo com o outro pai ou mãe ou com uma pessoa próxima e recuperá-lo em um novo celular.

O acompanhamento tem criptografia de ponta a ponta, nos seus celulares, com uma chave que o editor nunca tem. O servidor do editor guarda dele apenas blocos ilegíveis: o editor não consegue ler o que você registra, e o acompanhamento nunca é usado para publicidade.

O Bercio também pode conectar dois dos seus celulares para cuidar do seu bebê: um fica no quarto (aparelho do bebê), o outro acompanha você (aparelho dos pais). A babá eletrônica funciona sem conta.

A imagem e o som passam de um celular para o outro, criptografados de ponta a ponta: diretamente na maioria das vezes, pelo retransmissor do editor quando a rede exige. O editor não consegue vê-los nem ouvi-los, e não os grava.

O app é gratuito, financiado por anúncios do Google AdMob, que nunca aparecem na tela de monitoramento nem no aparelho do bebê. A compra Premium, opcional, remove todos os anúncios.

O responsável pelo tratamento dos dados descritos aqui é o editor do Bercio, Téqui Studio (Charles Grimont EI), cujo endereço consta no aviso legal. Em caso de dúvidas sobre seus dados: support@tequi.app.

O acompanhamento do bebê exige uma conta; a babá eletrônica, nunca: o aparelho do bebê não entra em nenhuma conta. Você entra com a Apple (no iPhone e no iPad), com o Google ou com um código de 6 dígitos recebido por e-mail, sem senha. O serviço de contas do editor (api.tequi.app) guarda:

• seu endereço de e-mail, ou o endereço de retransmissão da Apple se você escolher ocultar o seu, e o identificador que a Apple ou o Google atribui a você. Entrar com o mesmo endereço verificado, pela Apple, pelo Google ou por e-mail, leva à mesma conta;
• o idioma do app, para escrever para você no seu idioma, e as datas de criação e de último uso da conta;
• as versões do texto de consentimento do acompanhamento que você aceitou, com as datas da primeira e da última aceitação de cada uma (veja “Bases legais”);
• os celulares da conta (no máximo 20): o nome de cada um (o modelo, ou o nome que você deu a ele), uma chave pública criada pelo app, e as datas em que ele foi adicionado e em que se conectou pela última vez;
• para cada celular conectado, uma sessão: o hash de um token de login, válido por 180 dias após o último uso;
• se você entrar com a Apple, o token que a Apple entrega ao editor nesse momento, guardado criptografado: ele serve apenas para revogar seu login na Apple quando você exclui sua conta.

A Apple e o Google entregam ao app um token assinado que comprova sua identidade; o serviço de contas guarda dele apenas seu e-mail e seu identificador, nunca seu nome nem sua foto.

Para um login por e-mail, o código é enviado por um provedor de envio de e-mails, que recebe apenas seu endereço e a mensagem. O código vale por 10 minutos, para 5 tentativas; o servidor guarda apenas o hash dele, na memória. O mesmo provedor envia o aviso que antecede a exclusão de uma conta sem uso.

Uma família reúne as contas que compartilham o acompanhamento de uma ou mais crianças: o outro pai ou mãe, um dos avós, a babá. O servidor guarda a lista dos membros de cada família e a data de entrada deles, os convites pendentes e os pedidos para participar.

Para convidar alguém, o app mostra um QR code e um link, válidos por 48 horas e para uma única pessoa. O segredo que eles contêm fica entre seus celulares: ele nunca é enviado ao servidor, e a página do site que recebe o link não o transmite a lugar nenhum.

Os membros de uma família veem o e-mail dos outros membros, assim como o nome dos celulares deles e a última conexão. Eles também veem o e-mail e o nome do celular de uma pessoa que pede para participar da família: é isso que permite reconhecer quem está pedindo antes de aceitar.

Todos os membros são iguais: cada um pode convidar, aceitar ou recusar um pedido, e remover um membro.

O acompanhamento (nome, data de nascimento e, se for o caso, data prevista do parto de cada criança; sono, mamadas e fraldas) é criptografado nos seus celulares com a chave da família, que o servidor nunca recebe sem criptografia. Cada celular tem a própria chave, que nunca sai dele; a chave da família chega a ele criptografada só para ele, por outro celular da família.

Do acompanhamento, o servidor guarda apenas blocos criptografados, numerados e datados, com o celular que os enviou e o tamanho deles. O editor não consegue lê-los: nem para devolvê-los a você, nem para transmiti-los a quem quer que seja, nem para publicidade.

A chave de recuperação, exibida pelo app para você anotar, abre o acompanhamento em um novo celular. O servidor guarda a chave da família criptografada com ela, nunca a própria chave de recuperação.

Essas anotações podem revelar informações sobre a saúde do seu filho, um nascimento prematuro, por exemplo: elas são tratadas como dados de saúde, com seu consentimento explícito (veja “Bases legais”).

No aparelho do bebê, a câmera e o microfone filmam e escutam o quarto durante o monitoramento. O fluxo é transmitido ao vivo, com criptografia de ponta a ponta (WebRTC, DTLS-SRTP), somente para os aparelhos dos pais que você pareou. Nada é gravado.

No aparelho dos pais, a câmera serve apenas para escanear o QR code de pareamento, e o microfone, para o botão “Falar”, enquanto você o mantém pressionado.

O reconhecimento de choro (modelo YAMNet do Google, executado pelo MediaPipe), a detecção de barulho e a detecção de movimento funcionam no aparelho do bebê, offline. Somente resultados são enviados ao aparelho dos pais: nível sonoro, pontuações de choro, balbucio ou risada, pontuação de movimento. Nunca o áudio analisado.

Para que seus dois celulares se encontrem pela internet, o app passa pelo serviço de conexão do editor, hospedado pela IONOS na União Europeia e separado do serviço de contas. Ele não recebe nem seu nome, nem seu e-mail, nem a imagem, nem o som, e não guarda nenhum registro das conexões:

• Conexão (peer.tequi.app): recebe um identificador aleatório do aparelho do bebê (e, durante o pareamento, um identificador derivado do código que ele mostra) e o endereço IP de cada aparelho, enquanto durar a conexão. Para limitar abusos do retransmissor, ele também conta as solicitações de cada endereço IP, na memória, por no máximo uma hora.
• STUN (turn.tequi.app): vê o endereço IP do aparelho, para informar a ele seu endereço público.
• Retransmissor TURN (turn.tequi.app): quando uma conexão direta é impossível, o fluxo passa por esse retransmissor. Ele continua criptografado de ponta a ponta: o retransmissor não consegue vê-lo nem ouvi-lo.
• Verificação do app: para reservar o retransmissor ao Bercio, o app prova ao servidor que é o app original, instalado pela App Store ou pelo Google Play, em um celular de verdade. Para isso, ele usa o App Attest da Apple no iPhone e no iPad, e o Play Integrity do Google no Android, que verificam o app e o aparelho de acordo com suas próprias regras. O servidor não guarda nada disso: ele entrega ao app um passe de uma semana, que não contém nenhum identificador do aparelho.

Os anúncios são veiculados pelo Google AdMob: um banner nas telas inicial, de pareamento, de configurações, do diário das noites e do acompanhamento do bebê e, se você escolher assistir, um vídeo que desbloqueia sons relaxantes extras. Nenhum anúncio aparece na tela de monitoramento, nem no aparelho do bebê depois que o Modo Bebê é iniciado. Para exibi-los, o Google trata:

• o identificador de publicidade do aparelho;
• o endereço IP e a localização aproximada deduzida dele;
• as interações com os anúncios e informações de diagnóstico.

O acompanhamento do bebê nunca é transmitido ao Google nem usado para publicidade: ele é criptografado, e nem o próprio editor consegue lê-lo.

No Espaço Econômico Europeu, no Reino Unido e na Suíça, um formulário pede seu consentimento para a publicidade personalizada. Você pode rever suas escolhas a qualquer momento: Configurações, “Gerenciar opções de anúncios”. No iOS, o app também pede a permissão de rastreamento (App Tracking Transparency); sem ela, os anúncios não são personalizados.

Os anúncios são silenciosos e limitados a conteúdos adequados para a maioria dos públicos, com orientação dos pais.

Com a compra Premium, o app não exibe mais nenhum anúncio e deixa de recorrer ao Google AdMob.

Políticas do Google: https://policies.google.com/technologies/partner-sites

A compra Premium, opcional, é feita pela App Store da Apple ou pelo Google Play, que tratam o pagamento de acordo com suas próprias políticas de privacidade. O editor não recebe seus dados de pagamento, nem seu nome, nem seu e-mail.

Para saber se o Premium foi adquirido, o app consulta a loja a partir do seu celular, a cada abertura; ele guarda apenas uma cópia da resposta no celular, para funcionar off-line. Nenhum dado de compra é enviado ao editor.

O botão “Tirar foto” do aparelho dos pais captura a imagem do momento. Ela fica no celular, em uma pasta temporária do app, até você compartilhá-la ou salvá-la pelo menu de compartilhamento do celular. Ela nunca é enviada ao editor.

O app guarda em cada celular:

• suas configurações (idioma, sensibilidade, qualidade do vídeo, tema…);
• o estado da compra Premium e do desbloqueio dos sons relaxantes extras por um vídeo;
• no aparelho do bebê, o identificador e o nome do quarto, além do nome e da chave secreta de cada aparelho dos pais que você autorizou;
• no aparelho dos pais, os quartos pareados com a respectiva chave secreta, e o diário das noites (choro, movimentos, barulhos e quedas de conexão das últimas 14 noites);
• se você usar, o acompanhamento do bebê completo, para funcionar off-line: o nome, a data de nascimento e, se tiver nascido antes do tempo, a data prevista do parto de cada criança, e os períodos de sono, as mamadas e as trocas de fralda registrados na família. As estimativas de sonecas são calculadas no celular. Apenas uma cópia criptografada dele é guardada no servidor (veja “Acompanhamento com criptografia de ponta a ponta”);
• com uma conta, no keychain do iOS ou no Keystore do Android: a chave privada do celular, a chave da família, a chave de recuperação e o token de login.

• Câmera e microfone: o monitoramento, o QR code, o botão “Falar”.
• Notificações: os alertas (choro, movimento, barulho, bateria fraca, conexão perdida), criados no próprio celular; no Android, a notificação permanente do monitoramento com tela desligada.
• Fotos (iOS, apenas adicionar): salvar uma foto quando você quiser.
• Segundo plano: continuar ouvindo o bebê quando a tela do aparelho dos pais está desligada.

Cada tratamento se apoia em uma base prevista pelo RGPD:

• A conta e a família (endereço de e-mail, celulares da conta, membros, convites), assim como a conexão e o retransmissor da babá eletrônica: a execução do contrato formado pelos termos de uso (artigo 6.1.b).
• O acompanhamento do seu filho, guardado criptografado no servidor e compartilhado com os membros da sua família, que pode revelar informações sobre a saúde dele: seu consentimento explícito (artigos 6.1.a e 9.2.a). Você o dá a cada login ao marcar a caixa prevista para isso, nunca marcada de antemão, como titular do poder familiar sobre a criança (pai, mãe ou tutor) ou com a autorização do titular. Você pode retirá-lo a qualquer momento, no app, saindo do acompanhamento ou excluindo sua conta (veja “Conservação e exclusão”); a retirada não afeta o que foi feito antes. O acompanhamento fica então com os outros membros da família, com base no consentimento que cada um deu; se você era o único membro, ele é apagado do servidor. O editor guarda a versão do texto aceito e as datas da primeira e da última aceitação, para poder comprovar o seu consentimento.
• A segurança do serviço (limitar abusos, encerrar uma sessão cujo token tenha sido copiado, verificar o app): o legítimo interesse do editor em proteger o serviço e seus usuários (artigo 6.1.f).
• A publicidade: seu consentimento para a publicidade personalizada, obtido pelo formulário do Google; na falta dele, anúncios não personalizados, com base no legítimo interesse do editor em financiar um app gratuito.

Os dados da conta e o acompanhamento criptografado são guardados no servidor do editor, na União Europeia. Participam:

• a IONOS, que hospeda esse servidor (conexão, retransmissor e serviço de contas), um servidor privado virtual localizado na União Europeia, como subcontratada do editor;
• um provedor de envio de e-mails, subcontratado do editor, para os códigos de login e o aviso antes da exclusão de uma conta sem uso;
• a Apple e o Google, quando você escolhe entrar com eles: eles verificam sua identidade de acordo com as próprias regras de privacidade, e sabem que você usa o Bercio;
• a Cloudflare, que hospeda o site do Bercio (bercio.tequi.app) e vê o endereço IP dos visitantes para exibir as páginas a eles. A página de exclusão da conta envia seu endereço e seu código diretamente ao serviço de contas; a página de convite não envia nada.

O servidor do editor, que guarda os dados da conta e o acompanhamento criptografado, fica na União Europeia. O Google (publicidade, login com o Google), a Apple (login com a Apple) e a Cloudflare (site) podem tratar dados fora da União, especialmente nos Estados Unidos, com as garantias previstas pelo RGPD: a decisão de adequação da Comissão Europeia para o Quadro de Privacidade de Dados UE–EUA, ou suas cláusulas contratuais-padrão.

Fora a conta descrita acima, o editor não coleta nenhum dado sobre você: ele não guarda senha, nome, dados de pagamento, estatísticas de uso, imagem nem som. As imagens do seu filho só são vistas pelos aparelhos que você pareou.

O serviço de contas não guarda nenhum endereço IP: ele os usa apenas para limitar abusos, na memória, por no máximo uma hora. Os registros técnicos dele, guardados por 7 dias, não contêm e-mail, código nem identificador.

O Bercio é destinado a adultos; não foi feito para ser usado por crianças.

• O diário das noites guarda apenas as últimas 14 noites; “Apagar o diário” o esvazia na hora.
• O acompanhamento do bebê guarda o que você registra até que você o exclua: um registro (“Excluir”), ou todo o acompanhamento de uma criança, no perfil dela; a exclusão vale para todos os celulares da família. No servidor, os blocos criptografados antigos desaparecem quando um celular envia um estado completo do acompanhamento, que os substitui.
• Uma sessão expira 180 dias após o último uso, um código de login após 10 minutos, um convite após 48 horas ou assim que é usado, junto com os pedidos feitos com ele.
• Uma conta sem uso há dois anos recebe um aviso por e-mail e é excluída 30 dias depois se ninguém entrar nela de novo; uma conta sem e-mail, que não pode ser avisada, é excluída 30 dias depois desses dois anos.
• Excluir sua conta: no app (Acompanhamento do bebê, “Compartilhado com”, “Excluir minha conta”), em https://bercio.tequi.app/delete-account com um código recebido por e-mail, ou escrevendo para support@tequi.app a partir do e-mail da conta. A conta, os celulares e as sessões dela são apagados imediatamente do servidor, e o login com a Apple é revogado na Apple. O acompanhamento fica com os outros membros da família; se você era o único membro, ele também é apagado.
• “Sair da conta” apaga o acompanhamento deste celular e o servidor esquece este celular; “Sair deste acompanhamento” remove você da família e apaga o acompanhamento deste celular. Nos dois casos, o acompanhamento fica com os outros membros da família.
• “Remover”, na tela de pareamento do aparelho do bebê, esquece um aparelho dos pais e o desconecta.
• Desinstalar o app, ou apagar os dados dele nas configurações do celular, exclui o que ele guardou nesse celular. No iPhone e no iPad, o iOS pode manter as chaves da conta depois da desinstalação: elas não servem para nada sem o app, que as apaga na primeira abertura se for reinstalado. Já a sua conta continua no servidor até que você a exclua.
• Os dados tratados pelo Google para publicidade seguem as políticas do Google; o identificador de publicidade pode ser redefinido nas configurações do celular.

Você tem direito de acesso, retificação, apagamento, limitação, oposição e portabilidade, o direito de retirar seu consentimento a qualquer momento e o de definir diretrizes sobre o destino dos seus dados após a sua morte.

Você os exerce no app (corrigir ou apagar um registro, sair do acompanhamento, excluir sua conta) ou escrevendo para support@tequi.app a partir do e-mail da sua conta; o editor responde em até um mês. Como o editor não consegue ler o acompanhamento, o conteúdo dele pode ser consultado e copiado nos seus celulares (“Copiar resumo”). Para a publicidade, esses direitos são exercidos junto ao Google.

Você também pode apresentar uma reclamação à CNIL, a autoridade francesa de proteção de dados: https://www.cnil.fr

Esta política pode mudar com o app. A data da última atualização aparece abaixo; a versão em vigor é sempre publicada no app e no site dele.

Em caso de dúvidas sobre esta política: support@tequi.app.