Политика конфиденциальности

Bercio помогает следить за днём вашего малыша: сон, кормления и подгузники, которые вы отмечаете, и вероятное время следующего дневного сна. Для дневника нужна учётная запись: с ней можно вести его вместе с другим родителем или близким человеком и вернуть его на новом телефоне.

Дневник защищён сквозным шифрованием на ваших телефонах с помощью ключа, которого у издателя никогда нет. Сервер издателя хранит лишь нечитаемые блоки: издатель не может прочитать ваши записи, а дневник никогда не используется для рекламы.

Bercio также может связать два ваших телефона, чтобы присматривать за малышом: один остаётся в детской (устройство малыша), другой всегда с вами (устройство родителя). Видеоняня работает без учётной записи.

Изображение и звук передаются с одного телефона на другой со сквозным шифрованием: чаще всего напрямую, а когда этого требует сеть — через ретранслятор издателя. Издатель не может их ни увидеть, ни услышать и не записывает их.

Приложение бесплатное и финансируется рекламой Google AdMob, которая никогда не показывается ни на экране наблюдения, ни на устройстве малыша. Необязательная покупка Премиум убирает всю рекламу.

Ответственным за обработку описанных здесь данных является издатель Bercio, Téqui Studio (Charles Grimont EI), адрес которого указан в правовой информации. По любым вопросам о ваших данных: support@tequi.app.

Для дневника малыша нужна учётная запись, для видеоняни — никогда: устройство малыша не входит ни в какую учётную запись. Вы входите через Apple (на iPhone и iPad), через Google или с помощью 6-значного кода, полученного по электронной почте, без пароля. Сервис учётных записей издателя (api.tequi.app) хранит:

• ваш адрес электронной почты или адрес для пересылки Apple, если вы решили скрыть свой, а также идентификатор, который вам присваивает Apple или Google. Вход с тем же подтверждённым адресом — через Apple, Google или по электронной почте — ведёт в одну и ту же учётную запись;
• язык приложения, чтобы писать вам на вашем языке, а также даты создания и последнего использования учётной записи;
• версии текста согласия на ведение дневника, которые вы приняли, с датами первого и последнего принятия каждой из них (см. «Правовые основания»);
• телефоны учётной записи (не более 20): название каждого (его модель или имя, которое вы ему дали), открытый ключ, созданный приложением, а также даты его добавления и последнего подключения;
• для каждого телефона, на котором выполнен вход, — сеанс: хеш токена входа, действительного 180 дней после последнего использования;
• если вы входите через Apple, — токен, который Apple при этом передаёт издателю; он хранится в зашифрованном виде и служит только для того, чтобы отозвать ваш вход через Apple, когда вы удаляете учётную запись.

Apple и Google передают приложению подписанный токен, подтверждающий вашу личность; сервис учётных записей сохраняет из него только ваш адрес электронной почты и идентификатор, но никогда — ваше имя или фото.

При входе по электронной почте код отправляет поставщик услуг отправки писем, который получает только ваш адрес и само сообщение. Код действителен 10 минут и даёт 5 попыток; сервер хранит только его хеш, в памяти. Тот же поставщик отправляет предупреждение перед удалением неиспользуемой учётной записи.

Семья объединяет учётные записи, которые совместно ведут дневник одного или нескольких детей: другой родитель, бабушка или дедушка, няня. Сервер хранит список участников каждой семьи и дату их присоединения, действующие приглашения и запросы на присоединение.

Чтобы пригласить кого-либо, приложение показывает QR-код и ссылку, действительные 48 часов и только для одного человека. Содержащийся в них секрет остаётся между вашими телефонами: он никогда не отправляется на сервер, а страница сайта, на которую ведёт ссылка, никуда его не передаёт.

Участники семьи видят адреса электронной почты других участников, а также названия их телефонов и время их последнего подключения. Они также видят адрес электронной почты и название телефона человека, который просит присоединиться к семье: так можно узнать, кто отправил запрос, прежде чем его принять.

Все участники равны: каждый может приглашать, принимать или отклонять запросы и удалять участников.

Дневник (имя, дата рождения и, если применимо, предполагаемая дата родов каждого ребёнка; сон, кормления и подгузники) шифруется на ваших телефонах ключом семьи, который сервер никогда не получает в открытом виде. У каждого телефона есть собственный ключ, который никогда его не покидает; ключ семьи поступает на телефон от другого телефона семьи, зашифрованным только для него.

Из дневника сервер хранит только зашифрованные блоки, пронумерованные и датированные, с указанием телефона, который их загрузил, и их размера. Издатель не может их прочитать: ни чтобы вернуть их вам, ни чтобы передать кому бы то ни было, ни для рекламы.

Ключ восстановления, который приложение показывает, чтобы вы его записали, открывает дневник на новом телефоне. Сервер хранит ключ семьи, зашифрованный ключом восстановления, но никогда — сам ключ восстановления.

Эти записи могут раскрывать сведения о здоровье вашего ребёнка, например о преждевременных родах: они обрабатываются как данные о здоровье, с вашего явно выраженного согласия (см. «Правовые основания»).

На устройстве малыша камера и микрофон снимают и слушают детскую во время наблюдения. Поток передаётся в реальном времени со сквозным шифрованием (WebRTC, DTLS-SRTP) только на сопряжённые вами устройства родителя. Ничего не записывается.

На устройстве родителя камера используется только для сканирования QR-кода сопряжения, а микрофон — для кнопки «Говорить», пока вы её удерживаете.

Распознавание плача (модель YAMNet от Google, которую выполняет MediaPipe), обнаружение шума и обнаружение движения работают на устройстве малыша без подключения к интернету. На устройство родителя передаются только результаты: уровень звука, оценки плача, лепета или смеха, оценка движения. Анализируемый звук не передаётся никогда.

Чтобы два ваших телефона нашли друг друга через интернет, приложение использует сервис соединения издателя, размещённый у IONOS в Европейском союзе и отдельный от сервиса учётных записей. Он не получает ни вашего имени, ни адреса электронной почты, ни изображения, ни звука и не хранит никаких следов соединений:

• Соединение (peer.tequi.app): получает случайный идентификатор устройства малыша (а во время сопряжения — идентификатор, созданный на основе кода, который оно показывает) и IP-адрес каждого устройства на время соединения. Чтобы ограничить злоупотребления ретранслятором, он также подсчитывает запросы с каждого IP-адреса — в памяти и не дольше одного часа.
• STUN (turn.tequi.app): видит IP-адрес устройства, чтобы сообщить ему его публичный адрес.
• Ретранслятор TURN (turn.tequi.app): когда прямое соединение невозможно, поток проходит через этот ретранслятор. Поток остаётся защищённым сквозным шифрованием: ретранслятор не может ни увидеть, ни услышать его.
• Проверка приложения: чтобы ретранслятор был доступен только для Bercio, приложение доказывает серверу, что оно — оригинальное приложение, установленное из App Store или Google Play на настоящий телефон. Для этого оно использует App Attest от Apple на iPhone и iPad и Play Integrity от Google на Android, которые проверяют приложение и устройство по своим собственным правилам. Сервер ничего из этого не хранит: он выдаёт приложению пропуск на одну неделю, который не содержит никакого идентификатора устройства.

Рекламу показывает Google AdMob: баннер на главном экране и на экранах сопряжения, настроек, журнала ночей и дневника малыша, а также, если вы решите его посмотреть, видеоролик, который разблокирует дополнительные успокаивающие звуки. Реклама не показывается ни на экране наблюдения, ни на устройстве малыша после запуска режима малыша. Для показа рекламы Google обрабатывает:

• рекламный идентификатор устройства;
• IP-адрес и определяемое по нему приблизительное местоположение;
• взаимодействия с объявлениями и диагностические данные.

Дневник малыша никогда не передаётся Google и не используется для рекламы: он зашифрован, и даже сам издатель не может его прочитать.

В Европейской экономической зоне, Великобритании и Швейцарии форма запрашивает ваше согласие на персонализированную рекламу. Вы можете в любой момент изменить свой выбор: «Настройки» → «Параметры рекламы». На iOS приложение также запрашивает разрешение на отслеживание (App Tracking Transparency); без него реклама не персонализируется.

Объявления беззвучны, а их содержание ограничено материалами, подходящими для большинства зрителей под контролем родителей.

С покупкой Премиум приложение не показывает никакой рекламы и больше не обращается к Google AdMob.

Правила Google: https://policies.google.com/technologies/partner-sites

Необязательная покупка Премиум совершается через App Store от Apple или Google Play, которые обрабатывают платёж в соответствии со своими правилами конфиденциальности. Издатель не получает ни ваших платёжных данных, ни вашего имени, ни адреса электронной почты.

Чтобы узнать, приобретён ли Премиум, приложение при каждом запуске обращается к магазину приложений с вашего телефона; оно хранит лишь копию ответа на телефоне, чтобы работать без интернета. Никакие данные о покупке издателю не передаются.

Кнопка «Сделать фото» на устройстве родителя сохраняет текущее изображение. Снимок остаётся на телефоне, во временной папке приложения, пока вы не поделитесь им или не сохраните его через системное меню «Поделиться». Он никогда не отправляется издателю.

Приложение хранит на каждом телефоне:

• ваши настройки (язык, чувствительность, качество видео, тема…);
• состояние покупки Премиум и разблокировки дополнительных успокаивающих звуков с помощью видео;
• на устройстве малыша — идентификатор и название комнаты, а также имя и секретный ключ каждого устройства родителя, которому вы дали разрешение;
• на устройстве родителя — сопряжённые комнаты с их секретными ключами и журнал ночей (плач, движение, шум и обрывы связи за последние 14 ночей);
• дневник малыша, если вы им пользуетесь, — полностью, чтобы работать без интернета: имя и дату рождения каждого ребёнка (при рождении раньше срока — и предполагаемую дату родов), а также записанные в семье сон, кормления и смены подгузников. Время дневного сна оценивается на самом телефоне. На сервере хранится только его зашифрованная копия (см. «Дневник со сквозным шифрованием»);
• при наличии учётной записи — в связке ключей iOS или в Keystore Android: закрытый ключ телефона, ключ семьи, ключ восстановления и токен входа.

• Камера и микрофон: наблюдение, QR-код, кнопка «Говорить».
• Уведомления: оповещения (плач, движение, шум, низкий заряд, потеря связи), которые создаются на самом телефоне; на Android — постоянное уведомление о наблюдении с выключенным экраном.
• Фото (iOS, только добавление): сохранение снимка, когда вы этого захотите.
• Фоновый режим: чтобы малыша было слышно, когда экран устройства родителя выключен.

Каждый вид обработки опирается на основание, предусмотренное GDPR:

• Учётная запись и семья (адрес электронной почты, телефоны учётной записи, участники, приглашения), как и соединение устройств и ретранслятор видеоняни: исполнение договора, которым являются условия использования (статья 6.1.b).
• Дневник вашего ребёнка, который хранится на сервере в зашифрованном виде, доступен участникам вашей семьи и может раскрывать сведения о здоровье ребёнка: ваше явно выраженное согласие (статьи 6.1.a и 9.2.a). Вы даёте его при каждом входе, отмечая специальный флажок (он никогда не отмечен заранее), как лицо, обладающее родительскими правами в отношении ребёнка (его родитель или опекун), или с согласия такого лица. Вы можете отозвать его в любой момент в приложении, покинув дневник или удалив учётную запись (см. «Хранение и удаление»); отзыв не затрагивает уже сделанного. Дневник при этом остаётся у других участников семьи на основании согласия, которое дал каждый из них; если вы были единственным участником семьи, он удаляется с сервера. Издатель хранит версию принятого текста и даты первого и последнего принятия, чтобы иметь возможность подтвердить ваше согласие.
• Безопасность сервиса (ограничение злоупотреблений, закрытие сеанса, токен которого был скопирован, проверка приложения): законный интерес издателя в защите сервиса и его пользователей (статья 6.1.f).
• Реклама: ваше согласие на персонализированную рекламу, полученное через форму Google; при его отсутствии — неперсонализированные объявления в рамках законного интереса издателя в финансировании бесплатного приложения.

Данные учётной записи и зашифрованный дневник хранятся на сервере издателя в Европейском союзе. В обработке участвуют:

• IONOS — хостинг-провайдер этого сервера (соединение устройств, ретранслятор и сервис учётных записей), виртуального частного сервера, расположенного в Европейском союзе, в качестве обработчика данных по поручению издателя;
• поставщик услуг отправки писем, обработчик данных по поручению издателя, — для кодов входа и предупреждения перед удалением неиспользуемой учётной записи;
• Apple и Google, если вы решите входить через них: они проверяют вашу личность по своим собственным правилам конфиденциальности и знают, что вы пользуетесь Bercio;
• Cloudflare — хостинг-провайдер сайта Bercio (bercio.tequi.app), который видит IP-адреса посетителей, чтобы отдавать им страницы. Страница удаления учётной записи отправляет ваш адрес электронной почты и код напрямую в сервис учётных записей; страница приглашения ничего не отправляет.

Сервер издателя, на котором хранятся данные учётной записи и зашифрованный дневник, находится в Европейском союзе. Google (реклама, вход через Google), Apple (вход через Apple) и Cloudflare (сайт) могут обрабатывать данные за пределами Союза, в частности в США, с гарантиями, предусмотренными GDPR: решением Европейской комиссии о достаточности защиты в рамках Рамочной программы конфиденциальности данных ЕС–США или её стандартными договорными условиями.

Помимо описанной выше учётной записи, издатель не собирает никаких данных о вас: он не хранит ни паролей, ни имени, ни платёжных данных, ни статистики использования, ни изображения, ни звука. Изображения вашего ребёнка видят только сопряжённые вами устройства.

Сервис учётных записей не хранит IP-адреса: он использует их только для ограничения злоупотреблений — в памяти и не дольше одного часа. Его технические журналы хранятся 7 дней и не содержат ни адресов электронной почты, ни кодов, ни идентификаторов.

Приложение Bercio предназначено для взрослых; оно не предназначено для использования детьми.

• Журнал ночей хранит только последние 14 ночей; кнопка «Очистить журнал» сразу его очищает.
• Дневник малыша хранит ваши записи, пока вы их не удалите: отдельную запись (кнопка «Удалить») или весь дневник ребёнка — в его профиле; удаление действует на всех телефонах семьи. На сервере старые зашифрованные блоки исчезают, когда какой-либо телефон загружает туда полное состояние дневника, которое их заменяет.
• Сеанс истекает через 180 дней после последнего использования, код входа — через 10 минут, приглашение — через 48 часов или сразу после использования, вместе с запросами, отправленными по нему.
• Владельца учётной записи, которая не использовалась два года, предупреждают по электронной почте, и через 30 дней она удаляется, если в неё никто снова не войдёт; учётная запись без адреса электронной почты, владельца которой невозможно предупредить, удаляется через 30 дней после истечения этих двух лет.
• Удаление учётной записи: в приложении (Дневник малыша, «Общий доступ», «Удалить мою учётную запись»), на https://bercio.tequi.app/delete-account с кодом, полученным по электронной почте, или письмом на support@tequi.app с адреса учётной записи. Учётная запись, её телефоны и сеансы сразу же удаляются с сервера, а вход через Apple отзывается на стороне Apple. Дневник остаётся у других участников семьи; если вы были её единственным участником, он тоже удаляется.
• «Выйти» стирает дневник с этого телефона, и сервер забывает этот телефон; «Покинуть этот дневник» исключает вас из семьи и стирает дневник с этого телефона. В обоих случаях дневник остаётся у других участников семьи.
• Кнопка «Удалить» на экране сопряжения устройства малыша удаляет устройство родителя из памяти и отключает его.
• Удаление приложения или очистка его данных в настройках телефона стирает то, что оно хранило на этом телефоне. На iPhone и iPad iOS может сохранить ключи учётной записи и после удаления приложения: без приложения они бесполезны, а если установить его снова, оно сотрёт их при первом запуске. Сама же учётная запись остаётся на сервере, пока вы её не удалите.
• Данные, которые Google обрабатывает для рекламы, подчиняются правилам Google; рекламный идентификатор можно сбросить в настройках телефона.

Вы имеете право на доступ, исправление, удаление, ограничение обработки, возражение и переносимость данных, право в любой момент отозвать своё согласие, а также право дать распоряжения о судьбе ваших данных после вашей смерти.

Вы осуществляете их в приложении (исправить или удалить запись, покинуть дневник, удалить учётную запись) или написав на support@tequi.app с адреса вашей учётной записи; издатель отвечает в течение одного месяца. Поскольку издатель не может прочитать дневник, его содержимое можно просмотреть и скопировать на ваших телефонах («Копировать сводку»). В отношении рекламы эти права осуществляются через Google.

Вы также можете подать жалобу в CNIL, французский орган по защите данных: https://www.cnil.fr

Эта политика может меняться вместе с приложением. Дата её последнего обновления указана ниже; действующая версия всегда опубликована в приложении и на его сайте.

По любым вопросам об этой политике: support@tequi.app.