Politica de confidențialitate

Bercio vă ajută să urmăriți ziua bebelușului: somnul, mesele și scutecele pe care le notați, precum și ora probabilă a următorului pui de somn. Agenda necesită un cont, care vă permite să o partajați cu celălalt părinte sau cu o persoană apropiată și să o regăsiți pe un telefon nou.

Agenda este criptată integral, pe telefoanele dumneavoastră, cu o cheie pe care editorul nu o are niciodată. Serverul său păstrează din ea doar blocuri ilizibile: editorul nu poate citi ce notați, iar agenda nu este folosită niciodată pentru publicitate.

Bercio poate, de asemenea, să lege două dintre telefoanele dumneavoastră pentru a vă supraveghea bebelușul: unul rămâne în camera copilului (dispozitivul bebelușului), celălalt vă însoțește (dispozitivul părintelui). Monitorul bebe funcționează fără cont.

Imaginea și sunetul trec de la un telefon la celălalt, criptate integral: de cele mai multe ori direct, prin releul editorului atunci când rețeaua impune acest lucru. Editorul nu le poate nici vedea, nici auzi și nici nu le înregistrează.

Aplicația este gratuită, finanțată prin publicitate Google AdMob, care nu apare niciodată pe ecranul de monitorizare și nici pe dispozitivul bebelușului. Achiziția Premium, opțională, elimină toate reclamele.

Operatorul datelor descrise aici este editorul aplicației Bercio, Téqui Studio (Charles Grimont EI), a cărui adresă figurează în mențiunile legale. Pentru orice întrebare despre datele dumneavoastră: support@tequi.app.

Agenda bebelușului necesită un cont; monitorul bebe, niciodată: dispozitivul bebelușului nu se conectează la niciun cont. Vă conectați cu Apple (pe iPhone și iPad), cu Google sau printr-un cod din 6 cifre primit prin e-mail, fără parolă. Serviciul de conturi al editorului (api.tequi.app) păstrează:

• adresa dumneavoastră de e-mail, sau adresa releu a Apple dacă alegeți să o ascundeți pe a dumneavoastră, și identificatorul pe care vi-l atribuie Apple sau Google. O conectare cu aceeași adresă verificată, prin Apple, Google sau e-mail, duce la același cont;
• limba aplicației, pentru a vă scrie în limba dumneavoastră, precum și datele creării și ale ultimei utilizări a contului;
• versiunile textului de consimțământ pentru agendă pe care le-ați acceptat, cu datele primei și ale ultimei acceptări a fiecăreia (vezi „Temeiuri juridice”);
• telefoanele contului (cel mult 20): numele fiecăruia (modelul său sau numele pe care i l-ați dat), o cheie publică creată de aplicație, precum și datele adăugării și ale ultimei conectări;
• pentru fiecare telefon conectat, o sesiune: amprenta unui token de conectare, valabil 180 de zile după ultima sa utilizare;
• dacă vă conectați cu Apple, tokenul pe care Apple îl transmite atunci editorului, păstrat criptat: servește doar la revocarea conectării dumneavoastră la Apple atunci când vă ștergeți contul.

Apple și Google transmit aplicației un token semnat care vă dovedește identitatea; serviciul de conturi păstrează din acesta doar adresa dumneavoastră de e-mail și identificatorul, niciodată numele sau fotografia dumneavoastră.

Pentru o conectare prin e-mail, codul este trimis de un furnizor de servicii de trimitere a e-mailurilor, care primește doar adresa dumneavoastră și mesajul. Codul este valabil 10 minute, pentru 5 încercări; serverul păstrează doar o amprentă a acestuia, în memorie. Același furnizor trimite avertismentul care precedă ștergerea unui cont neutilizat.

O familie reunește conturile care partajează agenda unuia sau mai multor copii: celălalt părinte, un bunic, bona. Serverul păstrează lista membrilor fiecărei familii și data la care s-au alăturat, invitațiile în curs și cererile de alăturare.

Pentru a invita pe cineva, aplicația afișează un cod QR și un link, valabile 48 de ore și pentru o singură persoană. Secretul pe care îl conțin rămâne între telefoanele dumneavoastră: nu este trimis niciodată serverului, iar pagina site-ului care primește linkul nu îl transmite nicăieri.

Membrii unei familii văd adresa de e-mail a celorlalți membri, precum și numele telefoanelor lor și ultima lor conectare. Văd, de asemenea, adresa de e-mail și numele telefonului unei persoane care cere să se alăture familiei: astfel se poate recunoaște cine face cererea înainte de a o accepta.

Toți membrii sunt egali: fiecare poate invita, accepta sau refuza o cerere și elimina un membru.

Agenda (prenumele, data nașterii și, dacă este cazul, data probabilă a nașterii fiecărui copil; perioadele de somn, mesele și scutecele) este criptată pe telefoanele dumneavoastră cu cheia familiei, pe care serverul nu o primește niciodată necriptată. Fiecare telefon are propria cheie, care nu îl părăsește; cheia familiei îi parvine criptată doar pentru el, de la un alt telefon al familiei.

Serverul păstrează din agendă doar blocuri criptate, numerotate și datate, împreună cu telefonul care le-a depus și dimensiunea lor. Editorul nu le poate citi: nici pentru a vi le restitui, nici pentru a le transmite cuiva, nici pentru publicitate.

Cheia de recuperare, afișată de aplicație pentru ca dumneavoastră să o notați, deschide agenda pe un telefon nou. Serverul păstrează cheia familiei criptată cu ea, niciodată cheia de recuperare însăși.

Aceste notițe pot dezvălui informații despre sănătatea copilului dumneavoastră, de exemplu o naștere prematură: sunt tratate ca date privind sănătatea, cu consimțământul dumneavoastră explicit (vezi „Temeiuri juridice”).

Pe dispozitivul bebelușului, camera și microfonul filmează și ascultă încăperea în timpul monitorizării. Fluxul este transmis în direct, criptat integral (WebRTC, DTLS-SRTP), numai către dispozitivele părinților pe care le-ați asociat. Nimic nu este înregistrat.

Pe dispozitivul părintelui, camera servește doar la scanarea codului QR de asociere, iar microfonul la butonul „Vorbiți”, cât timp îl țineți apăsat.

Recunoașterea plânsului (modelul YAMNet de la Google, rulat de MediaPipe), detectarea zgomotului și detectarea mișcării funcționează pe dispozitivul bebelușului, offline. Către dispozitivul părintelui sunt trimise doar rezultate: nivelul sonor, scorurile pentru plâns, gângurit sau râs, scorul de mișcare. Niciodată sunetul analizat.

Pentru ca cele două telefoane să se găsească prin Internet, aplicația trece prin serviciul de conectare al editorului, găzduit de IONOS în Uniunea Europeană și separat de serviciul de conturi. Acesta nu primește nici numele dumneavoastră, nici adresa de e-mail, nici imaginea, nici sunetul și nu păstrează nicio urmă a conexiunilor:

• Conectare (peer.tequi.app): primește un identificator aleatoriu al dispozitivului bebelușului (și, în timpul asocierii, un identificator derivat din codul pe care acesta îl afișează) și adresa IP a fiecărui dispozitiv, pe durata conexiunii. Pentru a limita folosirea abuzivă a releului, serverul numără și cererile fiecărei adrese IP, în memorie, timp de cel mult o oră.
• STUN (turn.tequi.app): vede adresa IP a dispozitivului, pentru a-i comunica adresa sa publică.
• Releu TURN (turn.tequi.app): când o conexiune directă nu este posibilă, fluxul trece prin acest releu. Fluxul rămâne criptat integral: releul nu îl poate nici vedea, nici auzi.
• Verificarea aplicației: pentru ca releul să fie rezervat aplicației Bercio, aplicația îi dovedește serverului că este aplicația originală, instalată din App Store sau Google Play, pe un telefon real. Pentru aceasta, folosește App Attest de la Apple pe iPhone și iPad și Play Integrity de la Google pe Android, care verifică aplicația și dispozitivul conform propriilor reguli. Serverul nu păstrează nimic din acestea: îi oferă aplicației un permis valabil o săptămână, care nu conține niciun identificator al dispozitivului.

Reclamele sunt difuzate de Google AdMob: un banner pe ecranul principal și pe ecranele de asociere, de setări, al jurnalului de noapte și al agendei bebelușului și, dacă alegeți să îl vizionați, un videoclip care deblochează sunete liniștitoare suplimentare. Nicio reclamă nu apare pe ecranul de monitorizare și nici pe dispozitivul bebelușului după pornirea Modului Bebeluș. Pentru a le difuza, Google prelucrează:

• identificatorul de publicitate al dispozitivului;
• adresa IP și localizarea aproximativă dedusă din aceasta;
• interacțiunile cu reclamele și informații de diagnosticare.

Agenda bebelușului nu este transmisă niciodată către Google și nici folosită pentru publicitate: este criptată, iar editorul însuși nu o poate citi.

În Spațiul Economic European, Regatul Unit și Elveția, un formular vă cere consimțământul pentru publicitatea personalizată. Vă puteți revizui opțiunile oricând: Setări, „Gestionați opțiunile pentru reclame”. Pe iOS, aplicația solicită în plus permisiunea de urmărire (App Tracking Transparency); fără aceasta, reclamele nu sunt personalizate.

Reclamele sunt fără sonor și limitate la conținut potrivit pentru majoritatea publicului, cu îndrumarea părinților.

Cu achiziția Premium, aplicația nu mai afișează nicio reclamă și nu mai apelează la Google AdMob.

Politicile Google: https://policies.google.com/technologies/partner-sites

Achiziția Premium, opțională, se face prin App Store de la Apple sau prin Google Play, care prelucrează plata conform propriilor politici de confidențialitate. Editorul nu primește nici datele dumneavoastră de plată, nici numele, nici adresa de e-mail.

Pentru a ști dacă Premium a fost achiziționat, aplicația interoghează magazinul de pe telefonul dumneavoastră, la fiecare pornire; păstrează doar o copie a răspunsului pe telefon, pentru a funcționa offline. Nicio dată de achiziție nu este trimisă editorului.

Butonul „Faceți o fotografie” de pe dispozitivul părintelui capturează imaginea din acel moment. Fotografia rămâne pe telefon, într-un dosar temporar al aplicației, până când o distribuiți sau o salvați prin meniul de distribuire al telefonului. Nu este trimisă niciodată editorului.

Aplicația păstrează pe fiecare telefon:

• setările dumneavoastră (limbă, sensibilitate, calitate video, temă…);
• starea achiziției Premium și a deblocării sunetelor liniștitoare suplimentare printr-un videoclip;
• pe dispozitivul bebelușului, identificatorul și numele camerei, precum și numele și cheia secretă a fiecărui dispozitiv al părintelui pe care l-ați autorizat;
• pe dispozitivul părintelui, camerele asociate împreună cu cheia lor secretă, și jurnalul de noapte (plâns, mișcări, zgomote și întreruperi din ultimele 14 nopți);
• dacă o folosiți, agenda bebelușului, completă, pentru a funcționa offline: prenumele, data nașterii și, în cazul unei nașteri premature, data probabilă a nașterii fiecărui copil, precum și perioadele de somn, mesele și schimbările de scutec notate în familie. Estimările pentru puii de somn sunt calculate pe telefon. Pe server se păstrează doar o copie criptată a acesteia (vezi „Agendă criptată integral”);
• cu un cont, în portcheiul iOS sau în Keystore-ul Android: cheia privată a telefonului, cheia familiei, cheia de recuperare și tokenul de conectare.

• Cameră și microfon: monitorizarea, codul QR, butonul „Vorbiți”.
• Notificări: alertele (plâns, mișcare, zgomot, baterie slabă, conexiune pierdută), create chiar pe telefon; pe Android, notificarea permanentă a monitorizării cu ecranul stins.
• Fotografii (iOS, doar adăugare): salvarea unei fotografii atunci când alegeți acest lucru.
• Fundal: redarea în continuare a sunetului bebelușului când ecranul dispozitivului părintelui este stins.

Fiecare prelucrare se întemeiază pe un temei prevăzut de GDPR:

• Contul și familia (adresa de e-mail, telefoanele contului, membrii, invitațiile), precum și conectarea și releul monitorului bebe: executarea contractului pe care îl constituie condițiile de utilizare (articolul 6.1.b).
• Agenda copilului dumneavoastră, păstrată criptată pe server, partajată cu membrii familiei dumneavoastră și care poate dezvălui informații despre sănătatea copilului: consimțământul dumneavoastră explicit (articolele 6.1.a și 9.2.a). Îl dați la fiecare conectare prin bifarea căsuței prevăzute, niciodată bifată în prealabil, în calitate de titular al autorității părintești asupra copilului (părintele sau tutorele său) ori cu acordul acestuia. Îl puteți retrage în orice moment, în aplicație, părăsind agenda sau ștergându-vă contul (vezi „Păstrare și ștergere”); retragerea nu afectează ceea ce s-a făcut înainte. Agenda rămâne atunci la ceilalți membri ai familiei, pe baza consimțământului dat de fiecare dintre ei; dacă erați singurul membru al familiei, este ștearsă de pe server. Editorul păstrează versiunea textului acceptat și datele primei și ale ultimei acceptări, pentru a putea dovedi consimțământul dumneavoastră.
• Securitatea serviciului (limitarea abuzurilor, închiderea unei sesiuni al cărei token a fost copiat, verificarea aplicației): interesul legitim al editorului de a proteja serviciul și utilizatorii săi (articolul 6.1.f).
• Publicitatea: consimțământul dumneavoastră pentru publicitatea personalizată, obținut prin formularul Google; în lipsa acestuia, reclame nepersonalizate, în temeiul interesului legitim al editorului de a finanța o aplicație gratuită.

Datele contului și agenda criptată sunt păstrate pe serverul editorului, în Uniunea Europeană. Intervin:

• IONOS, furnizorul de găzduire al acestui server (conectare, releu și serviciul de conturi), un server privat virtual situat în Uniunea Europeană, în calitate de persoană împuternicită de editor;
• un furnizor de servicii de trimitere a e-mailurilor, persoană împuternicită de editor, pentru codurile de conectare și avertismentul dinaintea ștergerii unui cont neutilizat;
• Apple și Google, atunci când alegeți să vă conectați prin intermediul lor: aceștia vă verifică identitatea conform propriilor reguli de confidențialitate și știu că folosiți Bercio;
• Cloudflare, furnizorul de găzduire al site-ului Bercio (bercio.tequi.app), care vede adresa IP a vizitatorilor pentru a le servi paginile. Pagina de ștergere a contului trimite adresa și codul dumneavoastră direct serviciului de conturi; pagina de invitație nu trimite nimic.

Serverul editorului, care păstrează datele contului și agenda criptată, se află în Uniunea Europeană. Google (publicitate, conectare cu Google), Apple (conectare cu Apple) și Cloudflare (site) pot prelucra date în afara Uniunii, în special în Statele Unite, cu garanțiile prevăzute de GDPR: decizia de adecvare a Comisiei Europene privind Cadrul de protecție a datelor UE–SUA sau clauzele contractuale standard ale acesteia.

În afara contului descris mai sus, editorul nu colectează nicio dată despre dumneavoastră: nu păstrează nici parolă, nici nume, nici date de plată, nici statistici de utilizare, nici imagine, nici sunet. Imaginile copilului dumneavoastră sunt văzute doar de dispozitivele pe care le-ați asociat.

Serviciul de conturi nu păstrează nicio adresă IP: o folosește doar pentru a limita abuzurile, în memorie, timp de cel mult o oră. Jurnalele sale tehnice, păstrate 7 zile, nu conțin nici adrese de e-mail, nici coduri, nici identificatori.

Bercio se adresează adulților; nu este destinată utilizării de către copii.

• Jurnalul de noapte păstrează doar ultimele 14 nopți; „Ștergeți jurnalul” îl golește imediat.
• Agenda bebelușului păstrează ceea ce notați până când le ștergeți: o înregistrare („Ștergeți”) sau întreaga agendă a unui copil, din profilul acestuia; ștergerea se aplică pe toate telefoanele familiei. Pe server, vechile blocuri criptate dispar atunci când un telefon depune acolo o stare completă a agendei, care le înlocuiește.
• O sesiune expiră la 180 de zile după ultima sa utilizare, un cod de conectare după 10 minute, o invitație după 48 de ore sau de îndată ce a fost folosită, împreună cu cererile făcute prin ea.
• Titularul unui cont neutilizat de doi ani este anunțat prin e-mail, iar contul este șters 30 de zile mai târziu dacă nimeni nu se reconectează la el; un cont fără adresă de e-mail, al cărui titular nu poate fi anunțat, este șters la 30 de zile după acești doi ani.
• Ștergerea contului: în aplicație (Agenda bebelușului, „Partajat cu”, „Ștergeți-mi contul”), pe https://bercio.tequi.app/delete-account cu un cod primit prin e-mail sau scriind la support@tequi.app de la adresa contului. Contul, telefoanele și sesiunile sale sunt șterse imediat de pe server, iar conectarea cu Apple este revocată la Apple. Agenda rămâne la ceilalți membri ai familiei; dacă erați singurul membru, este ștearsă și ea.
• „Deconectați-vă” șterge agenda de pe acest telefon și îl uită pe server; „Părăsiți această agendă” vă scoate din familie și șterge agenda de pe acest telefon. În ambele cazuri, agenda rămâne la ceilalți membri ai familiei.
• „Eliminați”, pe ecranul de asociere al dispozitivului bebelușului, uită un dispozitiv al părintelui și îl deconectează.
• Dezinstalarea aplicației sau ștergerea datelor sale din setările telefonului șterge ceea ce a păstrat aceasta pe telefonul respectiv. Pe iPhone și iPad, iOS poate păstra cheile contului după dezinstalare: acestea nu sunt de niciun folos fără aplicație, care le șterge la prima pornire dacă este reinstalată. Contul dumneavoastră, în schimb, rămâne pe server până când îl ștergeți.
• Datele prelucrate de Google pentru publicitate urmează politicile Google; identificatorul de publicitate se poate reseta din setările telefonului.

Aveți dreptul de acces, de rectificare, de ștergere, de restricționare, de opoziție și la portabilitatea datelor, dreptul de a vă retrage consimțământul în orice moment, precum și dreptul de a stabili directive privind soarta datelor dumneavoastră după deces.

Le exercitați în aplicație (corectarea sau ștergerea unei înregistrări, părăsirea agendei, ștergerea contului) sau scriind la support@tequi.app de la adresa contului dumneavoastră; editorul răspunde în termen de o lună. Întrucât editorul nu poate citi agenda, conținutul acesteia se consultă și se copiază de pe telefoanele dumneavoastră („Copiați rezumatul”). Pentru publicitate, aceste drepturi se exercită în raport cu Google.

Puteți depune și o plângere la CNIL, autoritatea franceză pentru protecția datelor: https://www.cnil.fr

Această politică poate evolua odată cu aplicația. Data ultimei actualizări este indicată mai jos; versiunea în vigoare este publicată întotdeauna în aplicație și pe site-ul acesteia.

Pentru orice întrebare despre această politică: support@tequi.app.