Chính sách quyền riêng tư

Bercio giúp bạn theo dõi một ngày của bé: các giấc ngủ, cữ ăn và tã mà bạn ghi lại, cùng thời điểm nhiều khả năng đến giấc ngủ ngày tiếp theo. Nhật ký bé cần một tài khoản, giúp bạn chia sẻ nhật ký với cha hoặc mẹ còn lại hay một người thân và lấy lại nhật ký trên điện thoại mới.

Nhật ký bé được mã hóa đầu cuối ngay trên điện thoại của bạn, bằng một khóa mà nhà phát hành không bao giờ có. Máy chủ của nhà phát hành chỉ lưu các khối dữ liệu không thể đọc được: nhà phát hành không thể đọc những gì bạn ghi, và nhật ký bé không bao giờ được dùng cho quảng cáo.

Bercio cũng có thể liên kết hai điện thoại của bạn để trông chừng bé: một chiếc ở lại trong phòng (thiết bị của bé), chiếc còn lại đi cùng bạn (thiết bị của cha mẹ). Máy báo khóc hoạt động không cần tài khoản.

Hình ảnh và âm thanh được truyền từ điện thoại này sang điện thoại kia và được mã hóa đầu cuối: thường thì truyền trực tiếp, còn khi điều kiện mạng bắt buộc thì đi qua máy chủ chuyển tiếp của nhà phát hành. Nhà phát hành không thể xem hay nghe được nội dung này và cũng không ghi lại.

Ứng dụng miễn phí, được tài trợ bằng quảng cáo Google AdMob, không bao giờ hiển thị trên màn hình theo dõi hay trên thiết bị của bé. Bạn có thể mua Premium (không bắt buộc) để loại bỏ mọi quảng cáo.

Bên kiểm soát việc xử lý dữ liệu được mô tả tại đây là nhà phát hành Bercio, Téqui Studio (Charles Grimont EI), có địa chỉ ghi trong thông tin pháp lý. Mọi thắc mắc về dữ liệu của bạn xin gửi về: support@tequi.app.

Nhật ký bé cần một tài khoản; máy báo khóc thì không bao giờ cần: thiết bị của bé không đăng nhập vào tài khoản nào. Bạn đăng nhập bằng Apple (trên iPhone và iPad), bằng Google, hoặc bằng mã 6 chữ số nhận qua email, không cần mật khẩu. Dịch vụ tài khoản của nhà phát hành (api.tequi.app) lưu giữ:

• địa chỉ email của bạn, hoặc địa chỉ chuyển tiếp của Apple nếu bạn chọn ẩn địa chỉ của mình, và mã định danh mà Apple hoặc Google cấp cho bạn. Đăng nhập bằng cùng một địa chỉ đã xác minh, qua Apple, Google hay email, đều dẫn đến cùng một tài khoản;
• ngôn ngữ của ứng dụng, để viết cho bạn bằng ngôn ngữ của bạn, cùng ngày tạo và ngày sử dụng gần nhất của tài khoản;
• các phiên bản văn bản đồng ý cho nhật ký bé mà bạn đã chấp nhận, cùng ngày chấp nhận lần đầu và lần gần nhất của từng phiên bản (xem “Cơ sở pháp lý”);
• các điện thoại của tài khoản (tối đa 20): tên của từng chiếc (kiểu máy, hoặc tên bạn đã đặt), một khóa công khai do ứng dụng tạo ra, cùng ngày thêm vào và ngày kết nối gần nhất của điện thoại đó;
• với mỗi điện thoại đã đăng nhập, một phiên: mã băm của một mã thông báo đăng nhập, có hiệu lực 180 ngày kể từ lần sử dụng gần nhất;
• nếu bạn đăng nhập bằng Apple, mã thông báo mà Apple khi đó trao cho nhà phát hành, được lưu ở dạng mã hóa: mã này chỉ dùng để thu hồi việc đăng nhập của bạn tại Apple khi bạn xóa tài khoản.

Apple và Google trao cho ứng dụng một mã thông báo có chữ ký chứng minh danh tính của bạn; từ mã đó, dịch vụ tài khoản chỉ giữ lại địa chỉ email và mã định danh của bạn, không bao giờ giữ tên hay ảnh của bạn.

Khi đăng nhập bằng email, mã được gửi bởi một nhà cung cấp dịch vụ gửi email, bên này chỉ nhận địa chỉ của bạn và nội dung thư. Mã có hiệu lực 10 phút, cho 5 lần thử; máy chủ chỉ lưu mã băm của mã, trong bộ nhớ. Cũng nhà cung cấp này gửi thông báo trước khi xóa một tài khoản không được sử dụng.

Một gia đình gồm các tài khoản cùng chia sẻ nhật ký của một hoặc nhiều bé: cha hoặc mẹ còn lại, ông bà, bảo mẫu. Máy chủ lưu danh sách thành viên của mỗi gia đình và ngày họ tham gia, các lời mời đang chờ và các yêu cầu tham gia.

Để mời ai đó, ứng dụng hiển thị một mã QR và một liên kết, có hiệu lực 48 giờ và chỉ dành cho một người. Bí mật chứa trong đó chỉ nằm giữa các điện thoại của bạn: bí mật này không bao giờ được gửi lên máy chủ, và trang web nhận liên kết không chuyển nó đi đâu cả.

Các thành viên trong gia đình thấy địa chỉ email của các thành viên khác, cũng như tên điện thoại và lần kết nối gần nhất của họ. Họ cũng thấy địa chỉ email và tên điện thoại của người xin tham gia gia đình: nhờ đó có thể nhận ra ai đang xin tham gia trước khi chấp nhận.

Mọi thành viên đều ngang nhau: ai cũng có thể mời, chấp nhận hoặc từ chối yêu cầu, và xóa một thành viên.

Nhật ký bé (tên, ngày sinh và, nếu có, ngày dự sinh của từng bé; giấc ngủ, cữ ăn và tã) được mã hóa trên điện thoại của bạn bằng khóa gia đình, mà máy chủ không bao giờ nhận được ở dạng không mã hóa. Mỗi điện thoại có khóa riêng, không bao giờ rời khỏi điện thoại đó; khóa gia đình đến với điện thoại từ một điện thoại khác trong gia đình, ở dạng được mã hóa chỉ dành riêng cho nó.

Từ nhật ký bé, máy chủ chỉ lưu các khối dữ liệu đã mã hóa, được đánh số và ghi ngày, kèm điện thoại đã tải chúng lên và kích thước của chúng. Nhà phát hành không thể đọc chúng, dù là để trả lại cho bạn, để chuyển cho bất kỳ ai hay để phục vụ quảng cáo.

Khóa khôi phục, do ứng dụng hiển thị để bạn ghi lại, mở nhật ký bé trên một điện thoại mới. Máy chủ lưu khóa gia đình được mã hóa bằng khóa khôi phục, không bao giờ lưu chính khóa khôi phục.

Những ghi chép này có thể tiết lộ thông tin về sức khỏe của con bạn, ví dụ như việc sinh non: chúng được xử lý như dữ liệu sức khỏe, với sự đồng ý rõ ràng của bạn (xem “Cơ sở pháp lý”).

Trên thiết bị của bé, camera và micrô quan sát và lắng nghe căn phòng trong khi theo dõi. Luồng dữ liệu được truyền trực tiếp, mã hóa đầu cuối (WebRTC, DTLS-SRTP), chỉ đến các thiết bị của cha mẹ mà bạn đã ghép nối. Không có gì được ghi lại.

Trên thiết bị của cha mẹ, camera chỉ được dùng để quét mã QR ghép nối, còn micrô chỉ dùng cho nút “Nói”, trong lúc bạn giữ nút.

Tính năng nhận diện tiếng khóc (mô hình YAMNet của Google, chạy bằng MediaPipe), phát hiện tiếng ồn và phát hiện chuyển động hoạt động trên thiết bị của bé, không cần kết nối mạng. Chỉ có kết quả được gửi đến thiết bị của cha mẹ: mức âm thanh, điểm số tiếng khóc, tiếng bi bô hoặc tiếng cười, điểm số chuyển động. Âm thanh đã phân tích không bao giờ được gửi đi.

Để hai điện thoại của bạn tìm thấy nhau qua Internet, ứng dụng sử dụng dịch vụ kết nối của nhà phát hành, do IONOS lưu trữ tại Liên minh Châu Âu và tách biệt với dịch vụ tài khoản. Dịch vụ này không nhận tên, địa chỉ email, hình ảnh hay âm thanh của bạn, và không lưu lại bất kỳ dấu vết nào của các kết nối:

• Kết nối (peer.tequi.app): nhận một mã định danh ngẫu nhiên của thiết bị của bé (và, trong lúc ghép nối, một mã định danh suy ra từ mã mà thiết bị đó hiển thị) cùng địa chỉ IP của từng thiết bị, trong suốt thời gian kết nối. Để hạn chế việc lạm dụng máy chủ chuyển tiếp, máy chủ này cũng đếm số yêu cầu của từng địa chỉ IP, trong bộ nhớ và trong tối đa một giờ.
• STUN (turn.tequi.app): thấy địa chỉ IP của thiết bị để cho thiết bị biết địa chỉ công khai của mình.
• Máy chủ chuyển tiếp TURN (turn.tequi.app): khi không thể kết nối trực tiếp, luồng dữ liệu đi qua máy chủ chuyển tiếp này. Luồng vẫn được mã hóa đầu cuối: máy chủ chuyển tiếp không thể xem hay nghe được nội dung.
• Xác minh ứng dụng: để dành riêng máy chủ chuyển tiếp cho Bercio, ứng dụng chứng minh với máy chủ rằng đó là ứng dụng gốc, được cài đặt từ App Store hoặc Google Play, trên một chiếc điện thoại thật. Để làm việc này, ứng dụng sử dụng App Attest của Apple trên iPhone và iPad, và Play Integrity của Google trên Android; các dịch vụ này kiểm tra ứng dụng và thiết bị theo quy tắc riêng của họ. Máy chủ không lưu lại gì từ quá trình này: máy chủ cấp cho ứng dụng một giấy thông hành có hiệu lực một tuần, không chứa bất kỳ mã định danh nào của thiết bị.

Quảng cáo do Google AdMob phân phát: một biểu ngữ trên các màn hình chính, ghép nối, cài đặt, nhật ký đêm và nhật ký bé, và, nếu bạn chọn xem, một video giúp mở khóa thêm âm thanh êm dịu. Không có quảng cáo nào hiển thị trên màn hình theo dõi, cũng như trên thiết bị của bé sau khi Chế độ Bé được bật. Để phân phát quảng cáo, Google xử lý:

• mã nhận dạng quảng cáo của thiết bị;
• địa chỉ IP và vị trí gần đúng suy ra từ địa chỉ đó;
• các tương tác với quảng cáo và thông tin chẩn đoán.

Nhật ký bé không bao giờ được gửi cho Google hay dùng cho quảng cáo: nhật ký được mã hóa, và chính nhà phát hành cũng không thể đọc được.

Tại Khu vực Kinh tế Châu Âu, Vương quốc Anh và Thụy Sĩ, một biểu mẫu sẽ hỏi bạn có đồng ý với quảng cáo được cá nhân hóa hay không. Bạn có thể xem lại lựa chọn của mình bất cứ lúc nào: Cài đặt, “Quản lý lựa chọn quảng cáo”. Trên iOS, ứng dụng còn xin quyền theo dõi (App Tracking Transparency); nếu không có quyền này, quảng cáo sẽ không được cá nhân hóa.

Quảng cáo không có âm thanh và chỉ giới hạn ở nội dung phù hợp với hầu hết khán giả khi có hướng dẫn của cha mẹ.

Khi đã mua Premium, ứng dụng hoàn toàn không hiển thị quảng cáo và không còn sử dụng Google AdMob.

Chính sách của Google: https://policies.google.com/technologies/partner-sites

Việc mua Premium, không bắt buộc, được thực hiện qua App Store của Apple hoặc Google Play; các nền tảng này xử lý thanh toán theo chính sách quyền riêng tư của riêng họ. Nhà phát hành không nhận thông tin thanh toán, tên hay địa chỉ email của bạn.

Để biết Premium đã được mua hay chưa, ứng dụng hỏi cửa hàng ứng dụng từ điện thoại của bạn mỗi lần khởi động; ứng dụng chỉ lưu một bản sao của câu trả lời trên điện thoại để hoạt động khi không có mạng. Không có dữ liệu mua hàng nào được gửi cho nhà phát hành.

Nút “Chụp ảnh” trên thiết bị của cha mẹ chụp lại hình ảnh tại thời điểm đó. Ảnh nằm trên điện thoại, trong một thư mục tạm của ứng dụng, cho đến khi bạn chia sẻ hoặc lưu ảnh qua menu chia sẻ của điện thoại. Ảnh không bao giờ được gửi cho nhà phát hành.

Ứng dụng lưu những dữ liệu sau trên mỗi điện thoại:

• các cài đặt của bạn (ngôn ngữ, độ nhạy, chất lượng video, giao diện…);
• trạng thái của giao dịch mua Premium và của các âm thanh êm dịu bổ sung được mở khóa bằng video;
• trên thiết bị của bé: mã định danh và tên phòng, cùng tên và khóa bí mật của từng thiết bị của cha mẹ mà bạn đã cho phép;
• trên thiết bị của cha mẹ: các phòng đã ghép nối cùng khóa bí mật của chúng, và nhật ký đêm (tiếng khóc, chuyển động, tiếng ồn và các lần mất kết nối trong 14 đêm gần nhất);
• nếu bạn sử dụng, toàn bộ nhật ký bé, để hoạt động khi không có mạng: tên, ngày sinh và ngày dự sinh (nếu bé sinh non) của từng bé, cùng các giấc ngủ, cữ ăn và lần thay tã được ghi trong gia đình. Ước tính giấc ngủ ngày được tính trên điện thoại. Chỉ có một bản sao đã mã hóa được lưu trên máy chủ (xem “Nhật ký bé mã hóa đầu cuối”);
• khi có tài khoản, trong Chuỗi khóa của iOS hoặc Keystore của Android: khóa riêng tư của điện thoại, khóa gia đình, khóa khôi phục và mã thông báo đăng nhập.

• Camera và micrô: theo dõi, mã QR, nút “Nói”.
• Thông báo: các cảnh báo (tiếng khóc, chuyển động, tiếng ồn, pin yếu, mất kết nối) được tạo ngay trên điện thoại; trên Android, thông báo thường trực của tính năng theo dõi khi tắt màn hình.
• Ảnh (iOS, chỉ thêm): lưu ảnh khi bạn chọn làm vậy.
• Chạy nền: tiếp tục phát âm thanh của bé khi màn hình thiết bị của cha mẹ tắt.

Mỗi hoạt động xử lý đều dựa trên một cơ sở do GDPR quy định:

• Tài khoản và gia đình (địa chỉ email, các điện thoại của tài khoản, thành viên, lời mời), cũng như việc kết nối và máy chủ chuyển tiếp của máy báo khóc: việc thực hiện hợp đồng được hình thành bởi điều khoản sử dụng (điều 6.1.b).
• Nhật ký của con bạn, được lưu ở dạng mã hóa trên máy chủ và chia sẻ với các thành viên trong gia đình bạn, có thể tiết lộ thông tin về sức khỏe của bé: sự đồng ý rõ ràng của bạn (điều 6.1.a và 9.2.a). Bạn đưa ra sự đồng ý này ở mỗi lần đăng nhập bằng cách đánh dấu vào ô dành cho việc này, không bao giờ được đánh dấu sẵn, với tư cách là người có quyền của cha mẹ đối với bé (cha, mẹ hoặc người giám hộ của bé) hoặc với sự đồng ý của người đó. Bạn có thể rút lại sự đồng ý bất cứ lúc nào, ngay trong ứng dụng, bằng cách rời nhật ký bé hoặc xóa tài khoản (xem “Lưu giữ và xóa”); việc rút lại không ảnh hưởng đến những gì đã thực hiện trước đó. Khi đó nhật ký bé vẫn ở lại với các thành viên khác trong gia đình, trên cơ sở sự đồng ý mà mỗi người đã đưa ra; nếu bạn là thành viên duy nhất, nhật ký bé sẽ bị xóa khỏi máy chủ. Nhà phát hành lưu phiên bản văn bản bạn đã chấp nhận cùng ngày chấp nhận lần đầu và lần gần nhất, để có thể chứng minh sự đồng ý của bạn.
• Bảo mật dịch vụ (hạn chế lạm dụng, đóng một phiên có mã thông báo đã bị sao chép, xác minh ứng dụng): lợi ích hợp pháp của nhà phát hành trong việc bảo vệ dịch vụ và người dùng (điều 6.1.f).
• Quảng cáo: sự đồng ý của bạn đối với quảng cáo được cá nhân hóa, được thu thập qua biểu mẫu của Google; nếu không có, quảng cáo không được cá nhân hóa, dựa trên lợi ích hợp pháp của nhà phát hành trong việc tài trợ cho một ứng dụng miễn phí.

Dữ liệu tài khoản và nhật ký bé đã mã hóa được lưu trên máy chủ của nhà phát hành, tại Liên minh Châu Âu. Các bên tham gia:

• IONOS, đơn vị lưu trữ máy chủ này (kết nối, máy chủ chuyển tiếp và dịch vụ tài khoản), một máy chủ riêng ảo đặt tại Liên minh Châu Âu, với tư cách là bên xử lý dữ liệu cho nhà phát hành;
• một nhà cung cấp dịch vụ gửi email, bên xử lý dữ liệu cho nhà phát hành, cho các mã đăng nhập và thông báo trước khi xóa một tài khoản không được sử dụng;
• Apple và Google, khi bạn chọn đăng nhập bằng họ: họ xác minh danh tính của bạn theo chính sách quyền riêng tư của riêng họ, và biết rằng bạn sử dụng Bercio;
• Cloudflare, đơn vị lưu trữ trang web của Bercio (bercio.tequi.app), thấy địa chỉ IP của khách truy cập để phục vụ các trang cho họ. Trang xóa tài khoản gửi địa chỉ email và mã của bạn trực tiếp đến dịch vụ tài khoản; trang mời không gửi gì cả.

Máy chủ của nhà phát hành, nơi lưu dữ liệu tài khoản và nhật ký bé đã mã hóa, đặt tại Liên minh Châu Âu. Google (quảng cáo, đăng nhập bằng Google), Apple (đăng nhập bằng Apple) và Cloudflare (trang web) có thể xử lý dữ liệu bên ngoài Liên minh, đặc biệt là tại Hoa Kỳ, với các biện pháp bảo đảm do GDPR quy định: quyết định về mức độ bảo vệ tương xứng của Ủy ban Châu Âu đối với Khung bảo mật dữ liệu EU–Hoa Kỳ, hoặc các điều khoản hợp đồng mẫu của Ủy ban.

Ngoài tài khoản được mô tả ở trên, nhà phát hành không thu thập dữ liệu nào về bạn: không lưu mật khẩu, tên, thông tin thanh toán, thống kê sử dụng, hình ảnh hay âm thanh. Hình ảnh của con bạn chỉ được xem trên các thiết bị mà bạn đã ghép nối.

Dịch vụ tài khoản không lưu bất kỳ địa chỉ IP nào: dịch vụ chỉ dùng địa chỉ IP để hạn chế lạm dụng, trong bộ nhớ, tối đa một giờ. Các tệp nhật ký kỹ thuật của dịch vụ, được lưu 7 ngày, không chứa địa chỉ email, mã hay mã định danh nào.

Bercio dành cho người lớn; ứng dụng không dành cho trẻ em sử dụng.

• Nhật ký đêm chỉ lưu 14 đêm gần nhất; “Xóa nhật ký” sẽ xóa sạch nhật ký ngay lập tức.
• Nhật ký bé giữ những gì bạn ghi lại cho đến khi bạn xóa: từng mục (“Xóa”), hoặc toàn bộ nhật ký của một bé, từ hồ sơ của bé; việc xóa áp dụng cho mọi điện thoại trong gia đình. Trên máy chủ, các khối dữ liệu mã hóa cũ biến mất khi một điện thoại tải lên trạng thái đầy đủ của nhật ký bé để thay thế chúng.
• Một phiên hết hạn 180 ngày sau lần sử dụng gần nhất, một mã đăng nhập sau 10 phút, một lời mời sau 48 giờ hoặc ngay khi đã được dùng, cùng với các yêu cầu được gửi bằng lời mời đó.
• Tài khoản không được sử dụng trong hai năm sẽ được báo trước qua email, rồi bị xóa 30 ngày sau đó nếu không ai đăng nhập lại; tài khoản không có địa chỉ email, không thể báo trước, sẽ bị xóa 30 ngày sau hai năm đó.
• Xóa tài khoản của bạn: trong ứng dụng (Nhật ký bé, “Chia sẻ với”, “Xóa tài khoản của tôi”), tại https://bercio.tequi.app/delete-account bằng một mã nhận qua email, hoặc bằng cách viết thư đến support@tequi.app từ địa chỉ của tài khoản. Tài khoản, các điện thoại và các phiên của tài khoản bị xóa ngay khỏi máy chủ, và việc đăng nhập bằng Apple bị thu hồi tại Apple. Nhật ký bé vẫn ở lại với các thành viên khác trong gia đình; nếu bạn là thành viên duy nhất, nhật ký cũng bị xóa.
• “Đăng xuất” xóa nhật ký bé khỏi điện thoại này và máy chủ sẽ quên điện thoại này; “Rời nhật ký bé này” đưa bạn ra khỏi gia đình và xóa nhật ký bé khỏi điện thoại này. Trong cả hai trường hợp, nhật ký bé vẫn ở lại với các thành viên khác trong gia đình.
• “Xóa”, trên màn hình ghép nối của thiết bị của bé, sẽ quên một thiết bị của cha mẹ và ngắt kết nối thiết bị đó.
• Gỡ cài đặt ứng dụng, hoặc xóa dữ liệu của ứng dụng trong cài đặt điện thoại, sẽ xóa những gì ứng dụng đã lưu trên điện thoại này. Trên iPhone và iPad, iOS có thể giữ lại các khóa của tài khoản sau khi gỡ cài đặt ứng dụng: các khóa này không có tác dụng gì nếu không có ứng dụng, và ứng dụng sẽ xóa chúng ở lần khởi động đầu tiên nếu được cài đặt lại. Còn tài khoản của bạn vẫn ở trên máy chủ cho đến khi bạn xóa nó.
• Dữ liệu do Google xử lý cho quảng cáo tuân theo chính sách của Google; bạn có thể đặt lại mã nhận dạng quảng cáo trong cài đặt điện thoại.

Bạn có quyền truy cập, chỉnh sửa, xóa, hạn chế xử lý, phản đối và di chuyển dữ liệu, quyền rút lại sự đồng ý bất cứ lúc nào, và quyền đưa ra chỉ dẫn về việc xử lý dữ liệu của bạn sau khi bạn qua đời.

Bạn thực hiện các quyền này trong ứng dụng (sửa hoặc xóa một mục, rời nhật ký bé, xóa tài khoản) hoặc bằng cách viết thư đến support@tequi.app từ địa chỉ tài khoản của bạn; nhà phát hành sẽ trả lời trong vòng một tháng. Vì nhà phát hành không thể đọc nhật ký bé, bạn xem và sao chép nội dung nhật ký từ điện thoại của mình (“Sao chép tóm tắt”). Đối với quảng cáo, các quyền này được thực hiện với Google.

Bạn cũng có thể gửi khiếu nại đến CNIL, cơ quan bảo vệ dữ liệu của Pháp: https://www.cnil.fr

Chính sách này có thể thay đổi cùng với ứng dụng. Ngày cập nhật gần nhất được ghi bên dưới; phiên bản hiện hành luôn được công bố trong ứng dụng và trên trang web của ứng dụng.

Mọi thắc mắc về chính sách này xin gửi về: support@tequi.app.