Pravilnik o zasebnosti

Bercio vam pomaga spremljati dan vašega dojenčka: spanje, hranjenja in plenice, ki jih beležite, ter verjetni čas naslednjega dremeža. Za dnevnik je potreben račun, ki omogoča, da ga delite z drugim staršem ali bližnjo osebo in ga dobite nazaj na novem telefonu.

Dnevnik je šifriran od konca do konca, v vaših telefonih, s ključem, ki ga izdajatelj nikoli nima. Njegov strežnik od dnevnika hrani le neberljive bloke: izdajatelj ne more prebrati, kaj beležite, dnevnik pa se nikoli ne uporablja za oglaševanje.

Bercio lahko poveže tudi dva vaša telefona, da lahko bdite nad dojenčkom: eden ostane v otroški sobi (naprava pri dojenčku), drugi gre z vami (naprava starša). Varuška deluje brez računa.

Slika in zvok potujeta z enega telefona na drugega, šifrirano od konca do konca: največkrat neposredno, kadar to zahteva omrežje, pa prek posredovalnega strežnika izdajatelja. Izdajatelj ju ne more ne videti ne slišati in ju ne snema.

Aplikacija je brezplačna, financirajo jo oglasi Google AdMob, ki se nikoli ne prikažejo na zaslonu nadzora ali na napravi pri dojenčku. Neobvezni nakup Premium odstrani vse oglase.

Upravljavec tukaj opisanih podatkov je izdajatelj aplikacije Bercio, Téqui Studio (Charles Grimont EI), katerega naslov je naveden v pravnem obvestilu. Za vsa vprašanja o vaših podatkih: support@tequi.app.

Za dnevnik dojenčka je potreben račun, za varuško nikoli: naprava pri dojenčku se ne prijavi v noben račun. Prijavite se z Apple (v napravah iPhone in iPad), z Google ali s 6-mestno kodo, prejeto po e-pošti, brez gesla. Izdajateljeva storitev računov (api.tequi.app) hrani:

• vaš e-poštni naslov ali Applov posredovalni naslov, če se odločite svojega skriti, in identifikator, ki vam ga dodeli Apple ali Google. Prijava z istim preverjenim naslovom, prek Apple, Google ali e-pošte, vodi v isti račun;
• jezik aplikacije, da vam izdajatelj lahko piše v vašem jeziku, ter datuma ustvaritve in zadnje uporabe računa;
• različice besedila privolitve za dnevnik, ki ste jih sprejeli, z datumoma prvega in zadnjega sprejetja vsake od njih (glejte „Pravne podlage“);
• telefone računa (največ 20): ime vsakega (njegov model ali ime, ki ste mu ga dali), javni ključ, ki ga je ustvarila aplikacija, ter datuma dodajanja in zadnje prijave;
• za vsak prijavljen telefon sejo: prstni odtis žetona za prijavo, ki velja 180 dni po njegovi zadnji uporabi;
• če se prijavite z Apple, žeton, ki ga Apple takrat izroči izdajatelju, shranjen šifrirano: uporablja se samo za preklic vaše prijave pri družbi Apple, ko izbrišete račun.

Apple in Google aplikaciji izročita podpisan žeton, ki dokazuje vašo identiteto; storitev računov od njega hrani le vaš e-poštni naslov in identifikator, nikoli pa vašega imena ali fotografije.

Pri prijavi z e-pošto kodo pošlje ponudnik storitve pošiljanja e-pošte, ki prejme le vaš naslov in sporočilo. Koda velja 10 minut, za 5 poskusov; strežnik od nje hrani le prstni odtis, v pomnilniku. Isti ponudnik pošlje tudi opozorilo pred izbrisom neuporabljenega računa.

Gospodinjstvo združuje račune, ki delijo dnevnik enega ali več otrok: drugega starša, babico ali dedka, pestunjo. Strežnik hrani seznam članov vsakega gospodinjstva in datum njihove pridružitve, odprta povabila in prošnje za pridružitev.

Za povabilo nekoga aplikacija prikaže kodo QR in povezavo, ki veljata 48 ur in samo za eno osebo. Skrivnost, ki jo vsebujeta, ostane med vašimi telefoni: strežniku se nikoli ne pošlje, stran spletnega mesta, ki prejme povezavo, pa je ne posreduje nikamor.

Člani gospodinjstva vidijo e-poštni naslov drugih članov ter imena njihovih telefonov in njihovo zadnjo prijavo. Vidijo tudi e-poštni naslov in ime telefona osebe, ki prosi za pridružitev gospodinjstvu: tako lahko prepoznajo, kdo prosi, preden to osebo sprejmejo.

Vsi člani so enakopravni: vsak lahko povabi, sprejme ali zavrne prošnjo in odstrani člana.

Dnevnik (ime, datum rojstva in po potrebi predvideni datum poroda vsakega otroka; spanje, hranjenja in plenice) se šifrira v vaših telefonih s ključem gospodinjstva, ki ga strežnik nikoli ne prejme nešifriranega. Vsak telefon ima svoj ključ, ki ga ne zapusti; ključ gospodinjstva prejme od drugega telefona gospodinjstva, šifriran samo zanj.

Strežnik od dnevnika hrani le šifrirane bloke, oštevilčene in datirane, skupaj s telefonom, ki jih je naložil, in njihovo velikostjo. Izdajatelj jih ne more prebrati: ne da bi vam jih vrnil, ne da bi jih komur koli posredoval, ne za oglaševanje.

Obnovitveni ključ, ki ga aplikacija prikaže, da si ga zapišete, odpre dnevnik na novem telefonu. Strežnik hrani ključ gospodinjstva, šifriran z njim, nikoli pa samega obnovitvenega ključa.

Ti zapisi lahko razkrijejo podatke o zdravju vašega otroka, na primer prezgodnje rojstvo: obravnavajo se kot podatki v zvezi z zdravjem, z vašo izrecno privolitvijo (glejte „Pravne podlage“).

Na napravi pri dojenčku kamera in mikrofon med nadzorom zajemata sliko in zvok iz sobe. Prenos se pošilja v živo, šifriran od konca do konca (WebRTC, DTLS-SRTP), samo napravam staršev, ki ste jih seznanili. Nič se ne snema.

Na napravi starša se kamera uporablja samo za skeniranje kode QR za seznanitev, mikrofon pa za gumb „Govori“, dokler ga držite.

Prepoznavanje joka (Googlov model YAMNet, ki ga izvaja MediaPipe), zaznavanje hrupa in zaznavanje gibanja delujejo na napravi pri dojenčku, brez povezave. Napravi starša se pošiljajo samo rezultati: raven zvoka, ocene joka, čebljanja ali smeha, ocena gibanja. Nikoli analizirani zvok.

Da se vaša telefona najdeta prek interneta, aplikacija uporablja izdajateljevo storitev za povezovanje, ki jo gosti IONOS v Evropski uniji in je ločena od storitve računov. Ta ne prejme ne vašega imena ne e-poštnega naslova ne slike ne zvoka in o povezavah ne hrani nobene sledi:

• Povezovanje (peer.tequi.app): za čas povezave prejme naključni identifikator naprave pri dojenčku (in ob seznanjanju identifikator, izpeljan iz kode, ki jo ta naprava prikazuje) ter naslov IP vsake naprave. Da omeji zlorabe posredovalnega strežnika, šteje tudi zahteve z vsakega naslova IP, v pomnilniku in največ eno uro.
• STUN (turn.tequi.app): vidi naslov IP naprave, da ji sporoči njen javni naslov.
• Posredovalni strežnik TURN (turn.tequi.app): kadar neposredna povezava ni mogoča, gre prenos prek tega strežnika. Ostane šifriran od konca do konca: strežnik ga ne more ne videti ne slišati.
• Preverjanje aplikacije: da bi bil posredovalni strežnik pridržan za Bercio, aplikacija strežniku dokaže, da je izvirna aplikacija, nameščena iz trgovine App Store ali Google Play, na pravem telefonu. Za to uporablja storitev App Attest družbe Apple v napravah iPhone in iPad ter storitev Play Integrity družbe Google v sistemu Android, ki aplikacijo in napravo preverita po svojih pravilih. Strežnik od tega ne shrani ničesar: aplikaciji izda prepustnico, ki velja en teden in ne vsebuje nobenega identifikatorja naprave.

Oglase prikazuje Google AdMob: pasico na začetnem zaslonu, zaslonu za seznanitev, v nastavitvah, v nočnem dnevniku in v dnevniku dojenčka ter, če si ga odločite ogledati, videoposnetek, ki odklene dodatne pomirjujoče zvoke. Na zaslonu nadzora se ne prikaže noben oglas, prav tako ne na napravi pri dojenčku, ko je zagnan način Dojenček. Za njihov prikaz Google obdeluje:

• oglaševalski identifikator naprave;
• naslov IP in iz njega izpeljano približno lokacijo;
• interakcije z oglasi in diagnostične podatke.

Dnevnik dojenčka se nikoli ne posreduje Googlu in se ne uporablja za oglaševanje: šifriran je in ga ne more prebrati niti izdajatelj sam.

V Evropskem gospodarskem prostoru, Združenem kraljestvu in Švici vas obrazec prosi za privolitev v prilagojeno oglaševanje. Svoje izbire lahko kadar koli pregledate: Nastavitve, „Upravljaj nastavitve oglasov“. V sistemu iOS aplikacija dodatno zaprosi za dovoljenje za sledenje (App Tracking Transparency); brez njega oglasi niso prilagojeni.

Oglasi so brez zvoka in omejeni na vsebine, primerne za večino občinstva ob nadzoru staršev.

Z nakupom Premium aplikacija ne prikazuje nobenih oglasov in ne uporablja več storitve Google AdMob.

Googlovi pravilniki: https://policies.google.com/technologies/partner-sites

Neobvezni nakup Premium poteka prek trgovine App Store družbe Apple ali trgovine Google Play, ki plačilo obdelata v skladu s svojimi pravilniki o zasebnosti. Izdajatelj ne prejme niti vaših plačilnih podatkov niti vašega imena niti vašega e-poštnega naslova.

Da ugotovi, ali je Premium kupljen, aplikacija ob vsakem zagonu iz vašega telefona povpraša trgovino; v telefonu hrani le kopijo odgovora, da deluje tudi brez povezave. Izdajatelju se ne pošiljajo nobeni podatki o nakupu.

Gumb „Fotografiraj“ na napravi starša zajame trenutno sliko. Ta ostane v telefonu, v začasni mapi aplikacije, dokler je ne delite ali shranite prek menija za deljenje v telefonu. Izdajatelju se nikoli ne pošlje.

Aplikacija v vsakem telefonu hrani:

• vaše nastavitve (jezik, občutljivost, kakovost videa, tema…);
• stanje nakupa Premium in dodatnih pomirjujočih zvokov, odklenjenih z videoposnetkom;
• na napravi pri dojenčku identifikator in ime sobe ter ime in skrivni ključ vsake naprave starša, ki ste jo odobrili;
• na napravi starša seznanjene sobe z njihovimi skrivnimi ključi in nočni dnevnik (jok, gibanje, hrup in prekinitve v zadnjih 14 nočeh);
• če ga uporabljate, celoten dnevnik dojenčka, da deluje brez povezave: ime, datum rojstva in pri prezgodnjem rojstvu predvideni datum poroda vsakega otroka ter spanje, hranjenja in previjanja, zabeležena v gospodinjstvu. Ocene dremežev se izračunajo v telefonu. Na strežniku se hrani le njegova šifrirana kopija (glejte „Dnevnik, šifriran od konca do konca“);
• z računom, v obesku za ključe sistema iOS ali v shrambi Keystore sistema Android: zasebni ključ telefona, ključ gospodinjstva, obnovitveni ključ in žeton za prijavo.

• Kamera in mikrofon: nadzor, koda QR, gumb „Govori“.
• Obvestila: opozorila (jok, gibanje, hrup, skoraj prazna baterija, prekinjena povezava), ustvarjena v samem telefonu; v Androidu stalno obvestilo nadzora pri izklopljenem zaslonu.
• Fotografije (iOS, samo dodajanje): shranjevanje fotografije, ko se tako odločite.
• Ozadje: da je dojenček še naprej slišen, ko je zaslon naprave starša izklopljen.

Vsaka obdelava temelji na pravni podlagi, ki jo določa GDPR:

• Račun in gospodinjstvo (e-poštni naslov, telefoni računa, člani, povabila) ter povezovanje in posredovalni strežnik varuške: izvajanje pogodbe, ki jo sestavljajo pogoji uporabe (člen 6.1.b).
• Dnevnik vašega otroka, ki se hrani šifriran na strežniku in deli s člani vašega gospodinjstva ter lahko razkrije podatke o otrokovem zdravju: vaša izrecna privolitev (člena 6.1.a in 9.2.a). Dajete jo ob vsaki prijavi z označitvijo za to namenjenega polja, ki nikoli ni vnaprej označeno, kot nosilec starševske skrbi za otroka (njegov starš ali skrbnik) ali z njegovim soglasjem. Kadar koli jo lahko prekličete v aplikaciji, tako da zapustite dnevnik ali izbrišete račun (glejte „Hramba in brisanje“); preklic ne vpliva na tisto, kar je bilo storjeno prej. Dnevnik takrat ostane drugim članom gospodinjstva na podlagi privolitve, ki jo je dal vsak od njih; če ste bili edini član gospodinjstva, se izbriše s strežnika. Izdajatelj hrani različico sprejetega besedila ter datuma prvega in zadnjega sprejetja, da lahko dokaže vašo privolitev.
• Varnost storitve (omejevanje zlorab, zapiranje seje, katere žeton je bil kopiran, preverjanje aplikacije): zakoniti interes izdajatelja, da zaščiti storitev in njene uporabnike (člen 6.1.f).
• Oglaševanje: vaša privolitev v prilagojeno oglaševanje, pridobljena prek Googlovega obrazca; sicer neprilagojeni oglasi, na podlagi zakonitega interesa izdajatelja, da financira brezplačno aplikacijo.

Podatki računa in šifrirani dnevnik se hranijo na izdajateljevem strežniku v Evropski uniji. Sodelujejo:

• IONOS, ponudnik gostovanja tega strežnika (povezovanje, posredovanje in storitev računov), ki je navidezni zasebni strežnik v Evropski uniji, kot obdelovalec izdajatelja;
• ponudnik storitve pošiljanja e-pošte, obdelovalec izdajatelja, za kode za prijavo in opozorilo pred izbrisom neuporabljenega računa;
• Apple in Google, kadar se odločite prijaviti z njima: vašo identiteto preverita po svojih pravilih o zasebnosti in vesta, da uporabljate Bercio;
• Cloudflare, ponudnik gostovanja spletnega mesta Bercio (bercio.tequi.app), ki vidi naslov IP obiskovalcev, da jim lahko streže strani. Stran za izbris računa pošlje vaš naslov in kodo neposredno storitvi računov; stran za povabilo ne pošlje ničesar.

Izdajateljev strežnik, ki hrani podatke računa in šifrirani dnevnik, je v Evropski uniji. Google (oglaševanje, prijava z Google), Apple (prijava z Apple) in Cloudflare (spletno mesto) lahko obdelujejo podatke zunaj Unije, zlasti v Združenih državah, z jamstvi, ki jih določa GDPR: sklepom Evropske komisije o ustreznosti za okvir EU-ZDA za zasebnost podatkov ali njenimi standardnimi pogodbenimi klavzulami.

Razen zgoraj opisanega računa izdajatelj o vas ne zbira nobenih podatkov: ne hrani ne gesla ne imena ne plačilnih podatkov ne statistike uporabe ne slike ne zvoka. Slike vašega otroka vidijo le naprave, ki ste jih seznanili.

Storitev računov ne hrani nobenega naslova IP: uporablja ga le za omejevanje zlorab, v pomnilniku in največ eno uro. Njeni tehnični zapisi, ki se hranijo 7 dni, ne vsebujejo ne e-poštnega naslova ne kode ne identifikatorja.

Aplikacija Bercio je namenjena odraslim; ni namenjena temu, da bi jo uporabljali otroci.

• Nočni dnevnik hrani samo zadnjih 14 noči; „Počisti dnevnik“ ga takoj izprazni.
• Dnevnik dojenčka hrani, kar zabeležite, dokler tega ne izbrišete: posamezen vnos („Izbriši“) ali celoten dnevnik otroka v njegovem profilu; izbris velja za vse telefone gospodinjstva. Na strežniku stari šifrirani bloki izginejo, ko kateri od telefonov naloži celotno stanje dnevnika, ki jih nadomesti.
• Seja poteče 180 dni po zadnji uporabi, koda za prijavo po 10 minutah, povabilo po 48 urah ali takoj, ko je uporabljeno, skupaj s prošnjami, oddanimi z njim.
• Za račun, ki ni bil uporabljen dve leti, se pošlje opozorilo po e-pošti, nato pa se račun izbriše 30 dni pozneje, če se vanj nihče znova ne prijavi; račun brez e-poštnega naslova, o katerem ni mogoče opozoriti, se izbriše 30 dni po teh dveh letih.
• Izbris računa: v aplikaciji (Dnevnik dojenčka, „Deljeno z“, „Izbriši moj račun“), na https://bercio.tequi.app/delete-account s kodo, prejeto po e-pošti, ali s sporočilom na support@tequi.app z naslova računa. Račun, njegovi telefoni in seje se s strežnika takoj izbrišejo, prijava z Apple pa se prekliče pri družbi Apple. Dnevnik ostane drugim članom gospodinjstva; če ste bili njegov edini član, se izbriše tudi on.
• „Odjavi se“ izbriše dnevnik s tega telefona, strežnik pa ta telefon pozabi; „Zapusti ta dnevnik“ vas odstrani iz gospodinjstva in izbriše dnevnik s tega telefona. V obeh primerih dnevnik ostane drugim članom gospodinjstva.
• „Odstrani“ na zaslonu za seznanitev na napravi pri dojenčku pozabi napravo starša in prekine povezavo z njo.
• Odstranitev aplikacije ali brisanje njenih podatkov v nastavitvah telefona izbriše, kar je hranila v tem telefonu. V napravah iPhone in iPad lahko iOS ključe računa obdrži tudi po odstranitvi aplikacije: brez aplikacije so neuporabni, aplikacija pa jih ob prvem zagonu izbriše, če jo znova namestite. Vaš račun pa ostane na strežniku, dokler ga ne izbrišete.
• Za podatke, ki jih Google obdeluje za oglaševanje, veljajo Googlovi pravilniki; oglaševalski identifikator lahko ponastavite v nastavitvah telefona.

Imate pravico do dostopa, popravka, izbrisa, omejitve obdelave, ugovora in prenosljivosti, pravico, da kadar koli prekličete privolitev, in pravico, da določite navodila o tem, kaj naj se zgodi z vašimi podatki po vaši smrti.

Uveljavljate jih v aplikaciji (popravek ali izbris vnosa, zapustitev dnevnika, izbris računa) ali s sporočilom na support@tequi.app z naslova svojega računa; izdajatelj odgovori v enem mesecu. Ker izdajatelj dnevnika ne more prebrati, se njegova vsebina pregleduje in kopira v vaših telefonih („Kopiraj povzetek“). Za oglaševanje se te pravice uveljavljajo pri Googlu.

Pritožbo lahko vložite tudi pri CNIL, francoskem organu za varstvo podatkov: https://www.cnil.fr

Ta pravilnik se lahko spreminja skupaj z aplikacijo. Datum zadnje posodobitve je naveden spodaj; veljavna različica je vedno objavljena v aplikaciji in na njenem spletnem mestu.

Za vsa vprašanja o tem pravilniku: support@tequi.app.