隐私政策

Bercio 帮你掌握宝宝的一天：你记录的睡眠、喂养和尿布情况，以及下次小睡的大致时间。宝宝记录需要账号，有了账号就可以与另一位家长或亲友共享记录，并在新手机上找回记录。

宝宝记录在你的手机上端到端加密，所用的密钥发布者从未持有。发布者的服务器上只保存无法读取的数据块：发布者无法读取你记录的内容，宝宝记录也绝不会用于广告。

Bercio 还可以将你的两部手机连接起来看护宝宝：一部留在宝宝房间（宝宝端），另一部随身携带（家长端）。宝宝监控无需账号即可使用。

画面和声音从一部手机传到另一部，全程端到端加密：大多数情况下直接传输，网络条件需要时则经由发布者的中继。发布者无法查看或收听这些内容，也不会录制。

本应用免费使用，由 Google AdMob 广告提供资金支持，广告绝不会显示在看护页面或宝宝端上。可选购的高级版会移除所有广告。

本文所述数据处理的控制者是 Bercio 的发布者 Téqui Studio (Charles Grimont EI)，其地址见法律声明。有关你的数据的任何问题：support@tequi.app。

宝宝记录需要账号；宝宝监控则永远不需要：宝宝端不会登录任何账号。你可以通过 Apple（在 iPhone 和 iPad 上）、Google 或电子邮件收到的 6 位数验证码登录，无需密码。发布者的账号服务（api.tequi.app）会保存：

• 你的电子邮件地址（如果你选择隐藏自己的地址，则为 Apple 的中转地址），以及 Apple 或 Google 分配给你的标识符。无论通过 Apple、Google 还是电子邮件，只要使用同一个已验证的地址登录，都会进入同一个账号；
• 应用的语言（以便用你的语言与你联系），以及账号的创建日期和最后使用日期；
• 你接受过的宝宝记录同意文本的各个版本，以及每个版本首次和最近一次接受的日期（见“法律依据”）；
• 账号中的手机（最多 20 部）：每部手机的名称（其型号，或你为它取的名称）、由应用生成的公钥，以及添加日期和最后登录日期；
• 每部已登录手机的会话：登录令牌的哈希值，自最后一次使用起 180 天内有效；
• 如果你通过 Apple 登录，Apple 此时交给发布者的令牌，以加密方式保存：它仅用于在你删除账号时，在 Apple 处撤销你的登录授权。

Apple 和 Google 会向应用提供一个证明你身份的签名令牌；账号服务只从中保存你的电子邮件地址和标识符，绝不保存你的姓名或照片。

通过电子邮件登录时，验证码由一家电子邮件发送服务商发送，该服务商只会收到你的地址和邮件内容。验证码有效期为 10 分钟，最多可尝试 5 次；服务器只在内存中保存其哈希值。删除长期未使用的账号之前发出的提醒，也由同一家服务商发送。

家庭由共享一个或多个孩子宝宝记录的账号组成：另一位家长、祖父母、保姆。服务器保存每个家庭的成员名单及其加入日期、进行中的邀请和加入请求。

邀请他人时，应用会显示一个二维码和一个链接，有效期 48 小时，且仅限一人使用。其中包含的秘密信息只在你的手机之间传递：它绝不会发送到服务器，接收该链接的网站页面也不会将其传往任何地方。

家庭成员可以看到其他成员的电子邮件地址，以及他们手机的名称和最后登录时间。他们还能看到请求加入家庭者的电子邮件地址和手机名称：这样在接受之前就能认出是谁在请求。

所有成员权限相同：每个人都可以邀请他人、接受或拒绝请求，以及移除成员。

宝宝记录（每个孩子的名字、出生日期，以及适用时的预产期；睡眠、喂养和尿布）在你的手机上用家庭密钥加密，服务器永远不会收到该密钥的明文。每部手机都有自己的密钥，且从不离开该手机；家庭密钥由家庭中的另一部手机加密后传给它，只有它能解开。

服务器只保存宝宝记录的加密数据块，带有编号和日期，以及上传它们的手机和数据块大小。发布者无法读取这些数据块：既不能把内容还给你，也不能转交给任何人，更不能用于广告。

恢复密钥由应用显示，供你记下，可在新手机上打开宝宝记录。服务器保存用它加密的家庭密钥，但绝不保存恢复密钥本身。

这些记录可能透露孩子的健康信息，例如早产：因此它们被视为健康数据，并基于你的明确同意进行处理（见“法律依据”）。

在宝宝端，看护期间摄像头和麦克风会拍摄并收听宝宝房间。视频流实时传输，采用端到端加密（WebRTC、DTLS-SRTP），只发送给你已配对的家长端。不会录制任何内容。

在家长端，摄像头仅用于扫描配对二维码，麦克风仅在你按住“对讲”按钮时使用。

哭声识别（Google 的 YAMNet 模型，由 MediaPipe 运行）、声音检测和动作检测均在宝宝端离线进行。只有结果会发送到家长端：音量、哭声、咿呀声或笑声的评分、动作评分。被分析的音频绝不会发送。

为了让你的两部手机在互联网上找到彼此，本应用会经由发布者的连接服务，该服务由 IONOS 托管于欧盟境内，并与账号服务相互独立。它不会收到你的姓名、电子邮件地址、画面或声音，也不会保留任何连接记录：

• 连接服务（peer.tequi.app）：在连接期间，接收宝宝端的一个随机标识符（配对期间，还有由宝宝端显示的配对码生成的标识符）以及每台设备的 IP 地址。为了限制对中继的滥用，它还会在内存中统计每个 IP 地址的请求次数，最长保留一小时。
• STUN（turn.tequi.app）：获知设备的 IP 地址，以便告知设备其公网地址。
• TURN 中继（turn.tequi.app）：无法直接连接时，视频流会经过此中继。视频流仍保持端到端加密：中继既看不到画面，也听不到声音。
• 应用验证：为确保中继只供 Bercio 使用，应用会向服务器证明自己是从 App Store 或 Google Play 安装到真实手机上的正版应用。为此，它在 iPhone 和 iPad 上使用 Apple 的 App Attest，在 Android 上使用 Google 的 Play Integrity，二者按照各自的规则验证应用和设备。服务器不会保留其中任何信息：它会向应用发放一张有效期为一周的通行证，其中不含任何设备标识符。

广告由 Google AdMob 投放：首页、配对、设置、夜间记录和宝宝记录页面上的横幅广告，以及在你选择观看时用于解锁额外安抚音效的视频广告。看护页面上不会显示任何广告，宝宝端在启动宝宝模式后也不会显示。为投放广告，Google 会处理：

• 设备的广告标识符；
• IP 地址及由此推断的大致位置；
• 与广告的互动以及诊断信息。

宝宝记录绝不会传给 Google，也不会用于广告：它经过加密，连发布者本身也无法读取。

在欧洲经济区、英国和瑞士，会有一份表单征求你对个性化广告的同意。你可以随时重新查看自己的选择：“设置”中的“管理广告选项”。在 iOS 上，本应用还会请求跟踪权限（App Tracking Transparency）；未获授权时，广告不会个性化。

广告均为静音，内容仅限适合大多数观众、需家长指导的级别。

购买高级版后，本应用将不再显示任何广告，也不再调用 Google AdMob。

Google 的政策：https://policies.google.com/technologies/partner-sites

高级版为可选购买，通过 Apple 的 App Store 或 Google Play 进行，付款由它们按照各自的隐私政策处理。发布者不会收到你的付款信息、姓名或电子邮件地址。

为确认是否已购买高级版，本应用每次启动时都会从你的手机向应用商店查询；它只会在手机上保存一份查询结果的副本，以便离线使用。不会向发布者发送任何购买数据。

家长端的“拍照”按钮会截取当前画面。照片保存在手机上本应用的临时文件夹中，直到你通过手机的分享菜单分享或保存。照片绝不会发送给发布者。

本应用在每部手机上保存以下数据：

• 你的设置（语言、灵敏度、画质、主题等）；
• 高级版的购买状态，以及通过视频解锁额外安抚音效的状态；
• 在宝宝端：房间的标识符和名称，以及你允许的每台家长端的名称和密钥；
• 在家长端：已配对的房间及其密钥，还有夜间记录（最近 14 晚的哭声、动作、声音和连接中断）；
• 如果你使用宝宝记录，为了能离线使用，会保存完整的宝宝记录：每个孩子的名字和出生日期（早产宝宝还包括预产期），以及家庭中记录的睡眠、喂养和换尿布情况。小睡时间的估算在手机上完成。服务器上只保存其加密副本（见“端到端加密的宝宝记录”）；
• 使用账号时，保存在 iOS 钥匙串或 Android 的 Keystore 中：手机的私钥、家庭密钥、恢复密钥和登录令牌。

• 摄像头和麦克风：看护、二维码、“对讲”按钮。
• 通知：提醒（哭声、动作、声音、电量低、连接中断），由手机本身生成；在 Android 上，还包括熄屏看护的常驻通知。
• 照片（iOS，仅添加）：在你选择时保存照片。
• 后台运行：家长端屏幕关闭时仍能继续听到宝宝的声音。

每项处理都基于 GDPR 规定的一项法律依据：

• 账号和家庭（电子邮件地址、账号中的手机、成员、邀请），以及宝宝监控的连接服务和中继：履行由使用条款构成的合同（第 6.1.b 条）。
• 你孩子的宝宝记录，加密保存在服务器上并与你的家庭成员共享，可能透露其健康信息：你的明确同意（第 6.1.a 条和第 9.2.a 条）。你以孩子的法定监护人（孩子的父母或其他监护人）的身份，或在征得孩子父母或监护人同意后，在每次登录时勾选专门的复选框（从不预先勾选）作出同意。你可以随时在应用中通过离开宝宝记录或删除账号撤回同意（见“保存期限与删除”）；撤回不影响此前已进行的处理。此后宝宝记录仍保留给其他家庭成员，依据的是他们各自作出的同意；如果你是唯一的成员，宝宝记录将从服务器上删除。发布者会保存你所接受文本的版本，以及首次和最近一次接受的日期，以便能够证明你的同意。
• 服务安全（限制滥用、关闭令牌被复制的会话、验证应用）：发布者保护服务及其用户的正当利益（第 6.1.f 条）。
• 广告：对于个性化广告，基于通过 Google 的表单征得的你的同意；未获同意时，基于发布者为免费应用筹措资金的正当利益，展示非个性化广告。

账号数据和加密的宝宝记录保存在发布者位于欧盟境内的服务器上。参与处理的有：

• IONOS，该服务器（连接服务、中继和账号服务）的托管商，作为发布者的处理者，提供一台位于欧盟境内的虚拟专用服务器；
• 一家电子邮件发送服务商，作为发布者的处理者，负责发送登录验证码以及删除长期未使用账号前的提醒；
• Apple 和 Google，在你选择通过它们登录时：它们按照各自的隐私规则验证你的身份，并会知道你在使用 Bercio；
• Cloudflare，Bercio 网站（bercio.tequi.app）的托管商，为了向访问者提供页面，会看到其 IP 地址。账号删除页面会将你的地址和验证码直接发送给账号服务；邀请页面不发送任何内容。

保存账号数据和加密宝宝记录的发布者服务器位于欧盟境内。Google（广告、通过 Google 登录）、Apple（通过 Apple 登录）和 Cloudflare（网站）可能在欧盟境外（尤其是美国）处理数据，并采用 GDPR 规定的保障措施：欧盟委员会针对欧盟–美国数据隐私框架作出的充分性认定，或欧盟委员会的标准合同条款。

除上文所述的账号外，发布者不收集任何关于你的数据：不保存密码、姓名、付款信息、使用统计，也不保存画面和声音。你孩子的画面只有你已配对的设备才能看到。

账号服务不保存任何 IP 地址：仅为限制滥用而在内存中使用，最长一小时。其技术日志保留 7 天，不包含电子邮件地址、验证码或标识符。

Bercio 面向成年人，不适合儿童使用。

• 夜间记录只保留最近 14 晚；“清除记录”会立即将其清空。
• 宝宝记录会保留你记录的内容，直到你将其删除：可删除单条记录（“删除”），也可在孩子的资料中删除其全部记录；删除对家庭中的所有手机生效。在服务器上，当某部手机上传宝宝记录的完整状态时，它会取代旧的加密数据块，旧数据块随之消失。
• 会话在最后一次使用 180 天后过期，登录验证码在 10 分钟后过期，邀请在 48 小时后或一经使用即过期，通过该邀请发出的请求也随之过期。
• 连续两年未使用的账号会收到电子邮件提醒，如果此后 30 天内无人重新登录，则将其删除；没有电子邮件地址的账号无法提醒，会在满两年后 30 天删除。
• 删除你的账号：在应用中（“宝宝记录”→“共享成员”→“删除我的账号”），在 https://bercio.tequi.app/delete-account 使用通过电子邮件收到的验证码，或使用账号的电子邮件地址写信至 support@tequi.app。账号及其手机和会话会立即从服务器上删除，通过 Apple 的登录授权也会在 Apple 处撤销。宝宝记录会保留给其他家庭成员；如果你是唯一的成员，记录也会被删除。
• “退出登录”会从这部手机上清除宝宝记录，并让服务器忘记这部手机；“离开这份宝宝记录”会将你移出家庭，并从这部手机上清除宝宝记录。在这两种情况下，宝宝记录都会保留给其他家庭成员。
• 宝宝端配对页面上的“移除”会忘记该家长端并断开其连接。
• 卸载本应用，或在手机设置中清除其数据，会删除它在这部手机上保存的内容。在 iPhone 和 iPad 上，卸载应用后 iOS 可能仍会保留账号的密钥：没有本应用，这些密钥毫无用处；如果重新安装，应用会在首次启动时将其清除。而你的账号会一直保留在服务器上，直到你将其删除。
• Google 为广告而处理的数据遵循 Google 的政策；广告标识符可在手机设置中重置。

你享有访问、更正、删除、限制处理、反对处理和数据可携带的权利，有权随时撤回同意，也有权就你去世后数据的处置作出指示。

你可以在应用中行使这些权利（更正或删除一条记录、离开宝宝记录、删除账号），或使用账号的电子邮件地址写信至 support@tequi.app；发布者将在一个月内答复。由于发布者无法读取宝宝记录，其内容可在你的手机上查看和复制（“复制摘要”）。广告相关的权利则向 Google 行使。

你也可以向法国数据保护机构 CNIL 投诉：https://www.cnil.fr

本政策可能随应用更新而变化。最近一次更新的日期见下方；现行版本始终发布在应用内及其网站上。

关于本政策的任何问题：support@tequi.app。