Політика конфіденційності

Bercio допомагає стежити за днем вашого малюка: сон, годування та підгузки, які ви позначаєте, і ймовірний час наступного денного сну. Для щоденника потрібен обліковий запис: з ним можна ділитися щоденником із другим із батьків або близькою людиною та повернути його на новому телефоні.

Щоденник захищено наскрізним шифруванням на ваших телефонах за допомогою ключа, якого видавець ніколи не має. Сервер видавця зберігає лише нечитабельні блоки: видавець не може прочитати ваші записи, а щоденник ніколи не використовується для реклами.

Bercio також може пов’язати два ваші телефони, щоб наглядати за малюком: один залишається в дитячій (пристрій малюка), інший завжди з вами (пристрій батьків). Відеоняня працює без облікового запису.

Зображення і звук передаються з одного телефона на інший з наскрізним шифруванням: здебільшого безпосередньо, а коли цього вимагає мережа — через ретранслятор видавця. Видавець не може їх ні побачити, ні почути і не записує їх.

Застосунок безкоштовний і фінансується рекламою Google AdMob, яка ніколи не показується ні на екрані спостереження, ні на пристрої малюка. Необов’язкова покупка Преміум прибирає всю рекламу.

Відповідальним за обробку описаних тут даних є видавець Bercio, Téqui Studio (Charles Grimont EI), адресу якого вказано в правовій інформації. З будь-яких питань щодо ваших даних: support@tequi.app.

Для щоденника малюка потрібен обліковий запис, для відеоняні — ніколи: пристрій малюка не входить у жоден обліковий запис. Ви входите через Apple (на iPhone та iPad), через Google або за допомогою 6-значного коду, отриманого електронною поштою, без пароля. Сервіс облікових записів видавця (api.tequi.app) зберігає:

• вашу адресу електронної пошти або адресу пересилання Apple, якщо ви вирішили приховати свою, а також ідентифікатор, який вам присвоює Apple або Google. Вхід із тією самою підтвердженою адресою — через Apple, Google або електронною поштою — веде до того самого облікового запису;
• мову застосунку, щоб писати вам вашою мовою, а також дати створення й останнього використання облікового запису;
• версії тексту згоди на ведення щоденника, які ви прийняли, з датами першого й останнього прийняття кожної з них (див. «Правові підстави»);
• телефони облікового запису (не більше 20): назву кожного (його модель або ім’я, яке ви йому дали), відкритий ключ, створений застосунком, а також дати його додавання й останнього підключення;
• для кожного телефона, на якому виконано вхід, — сеанс: хеш токена входу, дійсного протягом 180 днів після останнього використання;
• якщо ви входите через Apple, — токен, який Apple при цьому передає видавцеві; він зберігається в зашифрованому вигляді й слугує лише для того, щоб відкликати ваш вхід через Apple, коли ви видаляєте обліковий запис.

Apple і Google передають застосунку підписаний токен, який підтверджує вашу особу; сервіс облікових записів зберігає з нього лише вашу адресу електронної пошти та ідентифікатор, але ніколи — ваше ім’я чи фото.

Під час входу електронною поштою код надсилає постачальник послуг надсилання листів, який отримує лише вашу адресу й саме повідомлення. Код дійсний 10 хвилин і дає 5 спроб; сервер зберігає лише його хеш, у пам’яті. Той самий постачальник надсилає попередження перед видаленням невикористовуваного облікового запису.

Родина об’єднує облікові записи, які спільно ведуть щоденник однієї або кількох дітей: другий із батьків, бабуся чи дідусь, няня. Сервер зберігає список учасників кожної родини й дату їхнього приєднання, чинні запрошення та запити на приєднання.

Щоб когось запросити, застосунок показує QR-код і посилання, дійсні 48 годин і лише для однієї особи. Секрет, що міститься в них, залишається між вашими телефонами: він ніколи не надсилається на сервер, а сторінка сайту, на яку веде посилання, нікуди його не передає.

Учасники родини бачать адреси електронної пошти інших учасників, а також назви їхніх телефонів і час останнього підключення. Вони також бачать адресу електронної пошти й назву телефона людини, яка просить приєднатися до родини: так можна впізнати, хто надіслав запит, перш ніж його прийняти.

Усі учасники рівні: кожен може запрошувати, приймати або відхиляти запити та видаляти учасників.

Щоденник (ім’я, дата народження та, якщо застосовно, передбачувана дата пологів кожної дитини; сон, годування й підгузки) шифрується на ваших телефонах ключем родини, який сервер ніколи не отримує у відкритому вигляді. Кожен телефон має власний ключ, який ніколи його не залишає; ключ родини надходить на телефон від іншого телефона родини, зашифрованим лише для нього.

Зі щоденника сервер зберігає лише зашифровані блоки, пронумеровані й датовані, із зазначенням телефона, який їх завантажив, і їхнього розміру. Видавець не може їх прочитати: ні щоб повернути їх вам, ні щоб передати будь-кому, ні для реклами.

Ключ відновлення, який застосунок показує, щоб ви його записали, відкриває щоденник на новому телефоні. Сервер зберігає ключ родини, зашифрований ключем відновлення, але ніколи — сам ключ відновлення.

Ці записи можуть розкривати відомості про здоров’я вашої дитини, наприклад про передчасні пологи: вони обробляються як дані про здоров’я, з вашої явної згоди (див. «Правові підстави»).

На пристрої малюка камера й мікрофон знімають і слухають дитячу під час спостереження. Потік передається в реальному часі з наскрізним шифруванням (WebRTC, DTLS-SRTP) лише на підключені вами пристрої батьків. Нічого не записується.

На пристрої батьків камера використовується лише для сканування QR-коду підключення, а мікрофон — для кнопки «Говорити», поки ви її утримуєте.

Розпізнавання плачу (модель YAMNet від Google, яку виконує MediaPipe), виявлення шуму та виявлення руху працюють на пристрої малюка без підключення до інтернету. На пристрій батьків надсилаються лише результати: рівень звуку, оцінки плачу, белькотіння чи сміху, оцінка руху. Аналізований звук не надсилається ніколи.

Щоб два ваші телефони знайшли один одного через інтернет, застосунок використовує сервіс з’єднання видавця, розміщений на хостингу IONOS у Європейському Союзі й окремий від сервісу облікових записів. Він не отримує ні вашого імені, ні адреси електронної пошти, ні зображення, ні звуку і не зберігає жодних слідів з’єднань:

• З’єднання (peer.tequi.app): отримує випадковий ідентифікатор пристрою малюка (а під час підключення — ідентифікатор, створений на основі коду, який він показує) та IP-адресу кожного пристрою на час з’єднання. Щоб обмежити зловживання ретранслятором, він також підраховує запити з кожної IP-адреси — у пам’яті й не довше ніж одну годину.
• STUN (turn.tequi.app): бачить IP-адресу пристрою, щоб повідомити йому його публічну адресу.
• Ретранслятор TURN (turn.tequi.app): коли пряме з’єднання неможливе, потік проходить через цей ретранслятор. Потік залишається захищеним наскрізним шифруванням: ретранслятор не може ні побачити, ні почути його.
• Перевірка застосунку: щоб ретранслятор був доступний лише для Bercio, застосунок доводить серверу, що він — оригінальний застосунок, установлений з App Store або Google Play на справжній телефон. Для цього він використовує App Attest від Apple на iPhone та iPad і Play Integrity від Google на Android, які перевіряють застосунок і пристрій за власними правилами. Сервер нічого з цього не зберігає: він видає застосунку перепустку на тиждень, яка не містить жодного ідентифікатора пристрою.

Рекламу показує Google AdMob: банер на головному екрані та на екранах підключення, налаштувань, журналу ночей і щоденника малюка, а також, якщо ви вирішите його переглянути, відеоролик, що розблоковує додаткові заспокійливі звуки. Реклама не показується ні на екрані спостереження, ні на пристрої малюка після запуску режиму малюка. Для показу реклами Google обробляє:

• рекламний ідентифікатор пристрою;
• IP-адресу та визначене за нею приблизне місцезнаходження;
• взаємодії з оголошеннями й діагностичні дані.

Щоденник малюка ніколи не передається Google і не використовується для реклами: він зашифрований, і навіть сам видавець не може його прочитати.

У Європейській економічній зоні, Великій Британії та Швейцарії форма запитує вашу згоду на персоналізовану рекламу. Ви можете будь-коли змінити свій вибір: «Налаштування» → «Параметри реклами». В iOS застосунок також запитує дозвіл на відстеження (App Tracking Transparency); без нього реклама не персоналізується.

Оголошення беззвучні, а їхній вміст обмежено матеріалами, придатними для більшості глядачів під наглядом батьків.

З покупкою Преміум застосунок не показує жодної реклами й більше не звертається до Google AdMob.

Правила Google: https://policies.google.com/technologies/partner-sites

Необов’язкова покупка Преміум здійснюється через App Store від Apple або Google Play, які обробляють платіж відповідно до власних правил конфіденційності. Видавець не отримує ні ваших платіжних даних, ні вашого імені, ні адреси електронної пошти.

Щоб дізнатися, чи придбано Преміум, застосунок під час кожного запуску звертається до магазину застосунків з вашого телефона; він зберігає лише копію відповіді на телефоні, щоб працювати без інтернету. Жодні дані про покупку не надсилаються видавцеві.

Кнопка «Зробити фото» на пристрої батьків зберігає поточне зображення. Знімок залишається на телефоні, у тимчасовій папці застосунку, доки ви не поділитеся ним або не збережете його через системне меню «Поділитися». Його ніколи не надсилають видавцеві.

Застосунок зберігає на кожному телефоні:

• ваші налаштування (мова, чутливість, якість відео, тема…);
• стан покупки Преміум і розблокування додаткових заспокійливих звуків за допомогою відео;
• на пристрої малюка — ідентифікатор і назву кімнати, а також ім’я та секретний ключ кожного пристрою батьків, якому ви дали дозвіл;
• на пристрої батьків — підключені кімнати з їхніми секретними ключами та журнал ночей (плач, рух, шум і обриви зв’язку за останні 14 ночей);
• щоденник малюка, якщо ви ним користуєтеся, — повністю, щоб працювати без інтернету: ім’я та дату народження кожної дитини (при народженні раніше терміну — і передбачувану дату пологів), а також записані в родині сон, годування й заміни підгузків. Час денного сну оцінюється на самому телефоні. На сервері зберігається лише його зашифрована копія (див. «Щоденник із наскрізним шифруванням»);
• за наявності облікового запису — у зв’язці ключів iOS або в Keystore Android: закритий ключ телефона, ключ родини, ключ відновлення й токен входу.

• Камера і мікрофон: спостереження, QR-код, кнопка «Говорити».
• Сповіщення: сповіщення про події (плач, рух, шум, низький заряд, втрата зв’язку), які створюються на самому телефоні; в Android — постійне сповіщення про спостереження з вимкненим екраном.
• Фото (iOS, лише додавання): збереження знімка, коли ви цього захочете.
• Фоновий режим: щоб малюка було чути, коли екран пристрою батьків вимкнено.

Кожна обробка ґрунтується на підставі, передбаченій GDPR:

• Обліковий запис і родина (адреса електронної пошти, телефони облікового запису, учасники, запрошення), як і з’єднання пристроїв та ретранслятор відеоняні: виконання договору, яким є умови використання (стаття 6.1.b).
• Щоденник вашої дитини, який зберігається на сервері в зашифрованому вигляді, доступний учасникам вашої родини й може розкривати відомості про здоров’я дитини: ваша явна згода (статті 6.1.a та 9.2.a). Ви надаєте її під час кожного входу, позначаючи спеціальний прапорець (він ніколи не позначений заздалегідь), як особа, що має батьківські права щодо дитини (один із її батьків або її опікун), або за згодою такої особи. Ви можете будь-коли відкликати її в застосунку, покинувши щоденник або видаливши обліковий запис (див. «Зберігання та видалення»); відкликання не впливає на зроблене раніше. Щоденник тоді залишається в інших учасників родини на підставі згоди, яку надав кожен із них; якщо ви були єдиним учасником родини, його буде стерто із сервера. Видавець зберігає версію прийнятого тексту та дати першого й останнього прийняття, щоб мати змогу підтвердити вашу згоду.
• Безпека сервісу (обмеження зловживань, закриття сеансу, токен якого було скопійовано, перевірка застосунку): законний інтерес видавця в захисті сервісу та його користувачів (стаття 6.1.f).
• Реклама: ваша згода на персоналізовану рекламу, отримана через форму Google; за її відсутності — неперсоналізовані оголошення в межах законного інтересу видавця у фінансуванні безкоштовного застосунку.

Дані облікового запису та зашифрований щоденник зберігаються на сервері видавця в Європейському Союзі. До обробки залучені:

• IONOS — хостинг-провайдер цього сервера (з’єднання пристроїв, ретранслятор і сервіс облікових записів), віртуального приватного сервера, розташованого в Європейському Союзі, як обробник даних за дорученням видавця;
• постачальник послуг надсилання листів, обробник даних за дорученням видавця, — для кодів входу й попередження перед видаленням невикористовуваного облікового запису;
• Apple і Google, якщо ви вирішите входити через них: вони перевіряють вашу особу за власними правилами конфіденційності й знають, що ви користуєтеся Bercio;
• Cloudflare — хостинг-провайдер сайту Bercio (bercio.tequi.app), який бачить IP-адреси відвідувачів, щоб надавати їм сторінки. Сторінка видалення облікового запису надсилає вашу адресу електронної пошти й код безпосередньо до сервісу облікових записів; сторінка запрошення нічого не надсилає.

Сервер видавця, на якому зберігаються дані облікового запису та зашифрований щоденник, розташований у Європейському Союзі. Google (реклама, вхід через Google), Apple (вхід через Apple) і Cloudflare (сайт) можуть обробляти дані за межами Союзу, зокрема у США, з гарантіями, передбаченими GDPR: рішенням Європейської комісії про адекватність щодо Рамкової програми конфіденційності даних ЄС–США або її стандартними договірними умовами.

Окрім описаного вище облікового запису, видавець не збирає жодних даних про вас: він не зберігає ні паролів, ні імені, ні платіжних даних, ні статистики використання, ні зображення, ні звуку. Зображення вашої дитини бачать лише підключені вами пристрої.

Сервіс облікових записів не зберігає IP-адрес: він використовує їх лише для обмеження зловживань — у пам’яті й не довше ніж одну годину. Його технічні журнали зберігаються 7 днів і не містять ні адрес електронної пошти, ні кодів, ні ідентифікаторів.

Застосунок Bercio призначений для дорослих; він не призначений для використання дітьми.

• Журнал ночей зберігає лише останні 14 ночей; кнопка «Очистити журнал» одразу його очищає.
• Щоденник малюка зберігає ваші записи, доки ви їх не видалите: окремий запис (кнопка «Видалити») або весь щоденник дитини — у її профілі; видалення діє на всіх телефонах родини. На сервері старі зашифровані блоки зникають, коли якийсь телефон завантажує туди повний стан щоденника, який їх замінює.
• Сеанс спливає через 180 днів після останнього використання, код входу — через 10 хвилин, запрошення — через 48 годин або одразу після використання, разом із запитами, надісланими за ним.
• Власника облікового запису, який не використовувався два роки, попереджають електронною поштою, і через 30 днів запис видаляється, якщо ніхто в нього знову не ввійде; обліковий запис без адреси електронної пошти, власника якого неможливо попередити, видаляється через 30 днів після спливу цих двох років.
• Видалення облікового запису: у застосунку (Щоденник малюка, «Спільний доступ», «Видалити мій обліковий запис»), на https://bercio.tequi.app/delete-account за допомогою коду, отриманого електронною поштою, або листом на support@tequi.app з адреси облікового запису. Обліковий запис, його телефони й сеанси одразу стираються із сервера, а вхід через Apple відкликається на боці Apple. Щоденник залишається в інших учасників родини; якщо ви були її єдиним учасником, його теж буде стерто.
• «Вийти» стирає щоденник із цього телефона, і сервер забуває цей телефон; «Покинути цей щоденник» вилучає вас із родини й стирає щоденник із цього телефона. В обох випадках щоденник залишається в інших учасників родини.
• Кнопка «Видалити» на екрані підключення пристрою малюка забуває пристрій батьків і від’єднує його.
• Видалення застосунку або очищення його даних у налаштуваннях телефона стирає те, що він зберігав на цьому телефоні. На iPhone та iPad iOS може зберегти ключі облікового запису й після видалення застосунку: без застосунку вони марні, а якщо встановити його знову, він зітре їх під час першого запуску. А ваш обліковий запис залишається на сервері, доки ви його не видалите.
• Дані, які Google обробляє для реклами, підпадають під правила Google; рекламний ідентифікатор можна скинути в налаштуваннях телефона.

Ви маєте право на доступ, виправлення, видалення, обмеження обробки, заперечення та перенесення даних, право будь-коли відкликати свою згоду, а також право визначити розпорядження щодо долі ваших даних після вашої смерті.

Ви здійснюєте їх у застосунку (виправити чи видалити запис, покинути щоденник, видалити обліковий запис) або написавши на support@tequi.app з адреси вашого облікового запису; видавець відповідає протягом одного місяця. Оскільки видавець не може прочитати щоденник, його вміст можна переглянути та скопіювати на ваших телефонах («Копіювати підсумок»). Щодо реклами ці права здійснюються через Google.

Ви також можете подати скаргу до CNIL, французького органу із захисту даних: https://www.cnil.fr

Ця політика може змінюватися разом із застосунком. Дату її останнього оновлення вказано нижче; чинна версія завжди опублікована в застосунку та на його сайті.

З будь-яких питань щодо цієї політики: support@tequi.app.