Integritetspolicy

Bercio hjälper dig att följa din bebis dag: den sömn, de måltider och blöjbyten som du antecknar, och när nästa tupplur troligen infaller. Bebisdagboken kräver ett konto, som gör att du kan dela den med den andra föräldern eller någon närstående och få tillbaka den på en ny telefon.

Bebisdagboken är totalsträckskrypterad, på dina telefoner, med en nyckel som utgivaren aldrig har. Utgivarens server sparar bara oläsliga block av den: utgivaren kan inte läsa det du antecknar, och bebisdagboken används aldrig för annonser.

Bercio kan också koppla ihop två av dina telefoner så att du kan vaka över din bebis: den ena stannar i barnrummet (babyenheten), den andra följer med dig (föräldraenheten). Babyvakten fungerar utan konto.

Bild och ljud går från den ena telefonen till den andra, totalsträckskrypterat: oftast direkt och via utgivarens relä när nätverket kräver det. Utgivaren kan varken se eller höra dem och spelar inte in dem.

Appen är gratis och finansieras av annonser från Google AdMob, som aldrig visas på övervakningsskärmen eller på babyenheten. Det valfria Premium-köpet tar bort alla annonser.

Personuppgiftsansvarig för den behandling av uppgifter som beskrivs här är utgivaren av Bercio, Téqui Studio (Charles Grimont EI), vars adress anges i den juridiska informationen. Vid frågor om dina uppgifter: support@tequi.app.

Bebisdagboken kräver ett konto; babyvakten aldrig: babyenheten loggar inte in på något konto. Du loggar in med Apple (på iPhone och iPad), med Google eller med en 6-siffrig kod som du får via e-post, utan lösenord. Utgivarens kontotjänst (api.tequi.app) sparar:

• din e-postadress, eller Apples vidarebefordringsadress om du väljer att dölja din egen, och den identifierare som Apple eller Google tilldelar dig. En inloggning med samma verifierade adress, via Apple, Google eller e-post, leder till samma konto;
• appens språk, för att kunna skriva till dig på ditt språk, och datumen då kontot skapades och senast användes;
• de versioner av samtyckestexten för bebisdagboken som du har godkänt, med datumen för första och senaste godkännandet av var och en (se ”Rättslig grund”);
• kontots telefoner (högst 20): varje telefons namn (dess modell, eller det namn du har gett den), en offentlig nyckel som skapats av appen, och datumen då den lades till och senast loggade in;
• för varje inloggad telefon en session: hashvärdet av en inloggningstoken, som gäller i 180 dagar efter att den senast användes;
• om du loggar in med Apple, den token som Apple då lämnar till utgivaren, sparad krypterad: den används bara för att återkalla din inloggning hos Apple när du raderar ditt konto.

Apple och Google ger appen en signerad token som bevisar din identitet; kontotjänsten sparar bara din e-postadress och din identifierare från den, aldrig ditt namn eller din bild.

Vid inloggning via e-post skickas koden av en leverantör av e-postutskick, som bara får din adress och meddelandet. Koden gäller i 10 minuter och för 5 försök; servern sparar bara ett hashvärde av den, i minnet. Samma leverantör skickar den varning som föregår raderingen av ett oanvänt konto.

Ett hushåll samlar de konton som delar bebisdagboken för ett eller flera barn: den andra föräldern, en mor- eller farförälder, barnvakten. Servern sparar listan över medlemmarna i varje hushåll och när de gick med, pågående inbjudningar och förfrågningar om att gå med.

För att bjuda in någon visar appen en QR-kod och en länk, som gäller i 48 timmar och för en enda person. Hemligheten som de innehåller stannar mellan dina telefoner: den skickas aldrig till servern, och sidan på webbplatsen som tar emot länken skickar den ingenstans.

Medlemmarna i ett hushåll ser de andra medlemmarnas e-postadresser, samt namnen på deras telefoner och när de senast loggade in. De ser också e-postadressen och telefonnamnet för en person som ber om att få gå med i hushållet: på så sätt kan man se vem som frågar innan man godkänner.

Alla medlemmar är jämställda: var och en kan bjuda in, godkänna eller neka en förfrågan och ta bort en medlem.

Bebisdagboken (förnamn, födelsedatum och i förekommande fall beräknat förlossningsdatum för varje barn; sömn, måltider och blöjor) krypteras på dina telefoner med hushållets nyckel, som servern aldrig får i klartext. Varje telefon har sin egen nyckel, som aldrig lämnar den; hushållets nyckel får den från en annan telefon i hushållet, krypterad enbart för den.

Servern sparar bara krypterade block av bebisdagboken, numrerade och daterade, tillsammans med vilken telefon som laddade upp dem och deras storlek. Utgivaren kan inte läsa dem: varken för att ge tillbaka dem till dig, för att lämna ut dem till någon eller för annonser.

Återställningsnyckeln, som appen visar så att du kan anteckna den, öppnar bebisdagboken på en ny telefon. Servern sparar hushållets nyckel krypterad med den, aldrig själva återställningsnyckeln.

Dessa anteckningar kan avslöja uppgifter om ditt barns hälsa, till exempel en för tidig födsel: de behandlas som hälsouppgifter, med ditt uttryckliga samtycke (se ”Rättslig grund”).

På babyenheten filmar kameran och lyssnar mikrofonen på barnrummet under övervakningen. Strömmen skickas live, totalsträckskrypterad (WebRTC, DTLS-SRTP), bara till de föräldraenheter som du har parkopplat. Ingenting spelas in.

På föräldraenheten används kameran bara för att skanna QR-koden för parkoppling, och mikrofonen för knappen ”Prata”, medan du håller in den.

Gråtigenkänningen (Googles YAMNet-modell, som körs av MediaPipe), ljuddetekteringen och rörelsedetekteringen fungerar på babyenheten, offline. Bara resultat skickas till föräldraenheten: ljudnivå, poäng för gråt, joller eller skratt, rörelsepoäng. Aldrig det analyserade ljudet.

För att dina två telefoner ska hitta varandra via internet går appen genom utgivarens anslutningstjänst, som hostas av IONOS i Europeiska unionen och är skild från kontotjänsten. Den får varken ditt namn, din e-postadress, bilden eller ljudet och sparar inga spår av anslutningarna:

• Anslutning (peer.tequi.app): tar emot en slumpmässig identifierare för babyenheten (och, under parkopplingen, en identifierare som härleds från koden den visar) och varje enhets IP-adress, så länge anslutningen varar. För att begränsa missbruk av reläet räknar den också förfrågningarna från varje IP-adress, i minnet, i högst en timme.
• STUN (turn.tequi.app): ser enhetens IP-adress, för att tala om för den vilken publik adress den har.
• TURN-relä (turn.tequi.app): när en direkt anslutning inte är möjlig går strömmen via detta relä. Den förblir totalsträckskrypterad: reläet kan varken se eller höra den.
• Verifiering av appen: för att reservera reläet för Bercio bevisar appen för servern att den är originalappen, installerad från App Store eller Google Play, på en riktig telefon. För det använder den Apples App Attest på iPhone och iPad och Googles Play Integrity på Android, som kontrollerar appen och enheten enligt sina egna regler. Servern sparar ingenting av det: den ger appen ett passerkort som gäller i en vecka och som inte innehåller någon identifierare för enheten.

Annonserna visas av Google AdMob: en banner på start-, parkopplings-, inställnings-, nattdagboks- och bebisdagboksskärmarna och, om du väljer att titta på den, en video som låser upp lugnande extraljud. Ingen annons visas på övervakningsskärmen, och inte heller på babyenheten när Babyläge har startats. För att visa dem behandlar Google:

• enhetens annons-id;
• IP-adressen och den ungefärliga plats som härleds från den;
• interaktioner med annonserna samt diagnostikinformation.

Bebisdagboken skickas aldrig till Google och används aldrig för annonser: den är krypterad, och inte ens utgivaren kan läsa den.

I Europeiska ekonomiska samarbetsområdet, Storbritannien och Schweiz ber ett formulär om ditt samtycke till personanpassade annonser. Du kan när som helst se över dina val: Inställningar, ”Hantera annonsval”. På iOS ber appen dessutom om tillstånd till spårning (App Tracking Transparency); utan det är annonserna inte personanpassade.

Annonserna är ljudlösa och begränsade till innehåll som passar de flesta åldrar med föräldrars vägledning.

Med Premium-köpet visar appen inga annonser alls och anlitar inte längre Google AdMob.

Googles policyer: https://policies.google.com/technologies/partner-sites

Det valfria Premium-köpet görs via Apples App Store eller Google Play, som behandlar betalningen enligt sina egna integritetspolicyer. Utgivaren får varken dina betalningsuppgifter, ditt namn eller din e-postadress.

För att veta om Premium har köpts frågar appen appbutiken från din telefon vid varje start; den sparar bara en kopia av svaret på telefonen, för att fungera offline. Inga köpdata skickas till utgivaren.

Knappen ”Ta ett foto” på föräldraenheten fångar den aktuella bilden. Den stannar på telefonen, i en tillfällig mapp i appen, tills du delar eller sparar den via telefonens delningsmeny. Den skickas aldrig till utgivaren.

Appen sparar på varje telefon:

• dina inställningar (språk, känslighet, videokvalitet, tema…);
• statusen för Premium-köpet och för de lugnande extraljud som har låsts upp med en video;
• på babyenheten: rummets identifierare och namn, samt namnet och den hemliga nyckeln för varje föräldraenhet som du har godkänt;
• på föräldraenheten: de parkopplade rummen med tillhörande hemliga nycklar och nattdagboken (gråt, rörelser, ljud och avbrott under de senaste 14 nätterna);
• om du använder den, hela bebisdagboken, för att fungera offline: varje barns förnamn, födelsedatum och, vid för tidig födsel, beräknade förlossningsdatum samt de sovstunder, måltider och blöjbyten som har antecknats i hushållet. Uppskattningarna av tupplurar beräknas på telefonen. Bara en krypterad kopia av den sparas på servern (se ”Totalsträckskrypterad bebisdagbok”);
• med ett konto, i nyckelringen i iOS eller i Androids Keystore: telefonens privata nyckel, hushållets nyckel, återställningsnyckeln och inloggningstoken.

• Kamera och mikrofon: övervakningen, QR-koden, knappen ”Prata”.
• Aviseringar: larmen (gråt, rörelse, ljud, lågt batteri, bruten anslutning), som skapas på själva telefonen; på Android den permanenta aviseringen för övervakning med släckt skärm.
• Foton (iOS, bara lägga till): spara ett foto när du väljer det.
• Bakgrund: fortsätta att låta dig höra bebisen när föräldraenhetens skärm är släckt.

Varje behandling vilar på en rättslig grund som anges i GDPR:

• Kontot och hushållet (e-postadress, kontots telefoner, medlemmar, inbjudningar), liksom anslutningen och babyvaktens relä: fullgörande av det avtal som användarvillkoren utgör (artikel 6.1.b).
• Ditt barns bebisdagbok, som sparas krypterad på servern och delas med medlemmarna i ditt hushåll, och som kan avslöja uppgifter om barnets hälsa: ditt uttryckliga samtycke (artiklarna 6.1.a och 9.2.a). Du ger det vid varje inloggning genom att kryssa i den avsedda rutan, som aldrig är förkryssad, som vårdnadshavare för barnet (förälder eller särskilt förordnad vårdnadshavare) eller med vårdnadshavarens medgivande. Du återkallar det när som helst, i appen, genom att lämna bebisdagboken eller radera ditt konto (se ”Lagring och radering”); återkallelsen påverkar inte det som gjorts tidigare. Bebisdagboken finns då kvar hos de andra medlemmarna i hushållet, på grundval av det samtycke som var och en av dem har gett; om du var den enda medlemmen raderas den från servern. Utgivaren sparar versionen av den text du godkände och datumen för första och senaste godkännandet, för att kunna styrka ditt samtycke.
• Tjänstens säkerhet (begränsa missbruk, stänga en session vars token har kopierats, verifiera appen): utgivarens berättigade intresse av att skydda tjänsten och dess användare (artikel 6.1.f).
• Annonser: ditt samtycke till personanpassade annonser, som inhämtas via Googles formulär; annars icke personanpassade annonser, utifrån utgivarens berättigade intresse av att finansiera en gratis app.

Kontouppgifterna och den krypterade bebisdagboken sparas på utgivarens server, i Europeiska unionen. Inblandade är:

• IONOS, som hostar denna server (anslutning, relä och kontotjänst), en virtuell privat server i Europeiska unionen, som personuppgiftsbiträde åt utgivaren;
• en leverantör av e-postutskick, personuppgiftsbiträde åt utgivaren, för inloggningskoderna och varningen innan ett oanvänt konto raderas;
• Apple och Google, när du väljer att logga in med dem: de verifierar din identitet enligt sina egna integritetsregler och vet att du använder Bercio;
• Cloudflare, som hostar webbplatsen för Bercio (bercio.tequi.app) och ser besökarnas IP-adress för att kunna visa sidorna för dem. Sidan för att radera kontot skickar din adress och din kod direkt till kontotjänsten; inbjudningssidan skickar ingenting.

Utgivarens server, som sparar kontouppgifterna och den krypterade bebisdagboken, finns i Europeiska unionen. Google (annonser, inloggning med Google), Apple (inloggning med Apple) och Cloudflare (webbplats) kan behandla uppgifter utanför unionen, bland annat i USA, med de skyddsåtgärder som GDPR föreskriver: Europeiska kommissionens beslut om adekvat skyddsnivå för ramverket för dataskydd mellan EU och USA, eller kommissionens standardavtalsklausuler.

Utöver kontot som beskrivs ovan samlar utgivaren inte in några uppgifter om dig: utgivaren sparar varken lösenord, namn, betalningsuppgifter, användningsstatistik, bild eller ljud. Bilder på ditt barn ses bara av de enheter som du har parkopplat.

Kontotjänsten sparar inga IP-adresser: den använder dem bara för att begränsa missbruk, i minnet, i högst en timme. Dess tekniska loggar, som sparas i 7 dagar, innehåller varken e-postadress, kod eller identifierare.

Bercio riktar sig till vuxna; den är inte avsedd att användas av barn.

• Nattdagboken sparar bara de senaste 14 nätterna; ”Rensa dagboken” tömmer den direkt.
• Bebisdagboken sparar det du antecknar tills du raderar det: en händelse (”Radera”) eller ett barns hela dagbok, från barnets profil; raderingen gäller alla telefoner i hushållet. På servern försvinner de gamla krypterade blocken när en telefon laddar upp en fullständig version av bebisdagboken, som ersätter dem.
• En session går ut 180 dagar efter att den senast användes, en inloggningskod efter 10 minuter, en inbjudan efter 48 timmar eller så snart den har använts, tillsammans med de förfrågningar som gjorts med den.
• Ett konto som inte har använts på två år får en varning via e-post och raderas 30 dagar senare om ingen loggar in på det igen; ett konto utan e-postadress, som inte kan varnas, raderas 30 dagar efter dessa två år.
• Radera ditt konto: i appen (Bebisdagbok, ”Delas med”, ”Radera mitt konto”), på https://bercio.tequi.app/delete-account med en kod som du får via e-post, eller genom att skriva till support@tequi.app från kontots adress. Kontot, dess telefoner och sessioner raderas omedelbart från servern, och inloggningen med Apple återkallas hos Apple. Bebisdagboken finns kvar hos de andra medlemmarna i hushållet; om du var den enda medlemmen raderas den också.
• ”Logga ut” raderar bebisdagboken från den här telefonen och får servern att glömma telefonen; ”Lämna den här bebisdagboken” tar bort dig från hushållet och raderar bebisdagboken från den här telefonen. I båda fallen finns bebisdagboken kvar hos de andra medlemmarna i hushållet.
• ”Ta bort” på babyenhetens parkopplingsskärm glömmer en föräldraenhet och kopplar från den.
• Om du avinstallerar appen, eller rensar dess data i telefonens inställningar, raderas det den har sparat på den här telefonen. På iPhone och iPad kan iOS behålla kontots nycklar efter att appen har avinstallerats: de går inte att använda utan appen, och om appen installeras igen raderar den dem första gången den startas. Ditt konto finns däremot kvar på servern tills du raderar det.
• Data som Google behandlar för annonser följer Googles policyer; annons-id:t kan återställas i telefonens inställningar.

Du har rätt till tillgång, rättelse, radering, begränsning, invändning och dataportabilitet, rätt att när som helst återkalla ditt samtycke och rätt att lämna anvisningar om vad som ska hända med dina uppgifter efter din död.

Du utövar dem i appen (rätta eller radera en händelse, lämna bebisdagboken, radera ditt konto) eller genom att skriva till support@tequi.app från ditt kontos adress; utgivaren svarar inom en månad. Eftersom utgivaren inte kan läsa bebisdagboken går dess innehåll att se och kopiera från dina telefoner (”Kopiera sammanfattning”). För annonser utövas dessa rättigheter hos Google.

Du kan också lämna in ett klagomål till CNIL, den franska dataskyddsmyndigheten: https://www.cnil.fr

Denna policy kan ändras i takt med appen. Datumet för den senaste uppdateringen anges nedan; den gällande versionen publiceras alltid i appen och på dess webbplats.

Vid frågor om denna policy: support@tequi.app.