隱私權政策

Bercio 幫你掌握寶寶的一天：你記錄的睡眠、餵食和尿布情形，以及下次小睡的大概時間。寶寶紀錄需要帳號，有了帳號就能與另一位家長或親友共享紀錄，並在新手機上找回紀錄。

寶寶紀錄在你的手機上端對端加密，所用的金鑰發行者從未持有。發行者的伺服器只保存無法讀取的資料區塊：發行者無法讀取你記錄的內容，寶寶紀錄也絕不會用於廣告。

Bercio 也能將你的兩支手機連接起來監看寶寶：一支留在寶寶房間（寶寶端），另一支隨身攜帶（家長端）。寶寶監視器不需要帳號即可使用。

畫面和聲音從一支手機傳到另一支，全程端對端加密：大多數情況下直接傳送，網路環境需要時則經由發行者的中繼。發行者無法觀看或收聽這些內容，也不會錄製。

本 App 免費使用，由 Google AdMob 廣告提供資金，廣告絕不會顯示在監看畫面或寶寶端上。可選購的進階版會移除所有廣告。

本文所述資料處理的控制者為 Bercio 的發行者 Téqui Studio (Charles Grimont EI)，其地址列於法律聲明。關於你的資料的任何問題：support@tequi.app。

寶寶紀錄需要帳號；寶寶監視器則永遠不需要：寶寶端不會登入任何帳號。你可以透過 Apple（在 iPhone 和 iPad 上）、Google 或電子郵件收到的 6 位數驗證碼登入，不需要密碼。發行者的帳號服務（api.tequi.app）會保存：

• 你的電子郵件地址（若你選擇隱藏自己的地址，則為 Apple 的轉寄地址），以及 Apple 或 Google 指派給你的識別碼。無論透過 Apple、Google 或電子郵件，只要使用同一個已驗證的地址登入，都會進入同一個帳號；
• App 的語言（以便用你的語言與你聯絡），以及帳號的建立日期和最後使用日期；
• 你接受過的寶寶紀錄同意文本的各個版本，以及每個版本首次和最近一次接受的日期（見「法律依據」）；
• 帳號中的手機（最多 20 支）：每支手機的名稱（其型號，或你為它取的名稱）、由 App 產生的公開金鑰，以及加入日期和最後登入日期；
• 每支已登入手機的工作階段：登入權杖的雜湊值，自最後一次使用起 180 天內有效；
• 若你透過 Apple 登入，Apple 此時交給發行者的權杖，以加密方式保存：它僅用於在你刪除帳號時，於 Apple 端撤銷你的登入授權。

Apple 和 Google 會向 App 提供一個證明你身分的簽署權杖；帳號服務只從中保存你的電子郵件地址和識別碼，絕不保存你的姓名或照片。

透過電子郵件登入時，驗證碼由一家電子郵件寄送服務商寄出，該服務商只會收到你的地址和郵件內容。驗證碼有效期為 10 分鐘，最多可嘗試 5 次；伺服器只在記憶體中保存其雜湊值。刪除長期未使用的帳號之前寄出的通知，也由同一家服務商寄送。

家庭由共享一個或多個孩子寶寶紀錄的帳號組成：另一位家長、祖父母、保母。伺服器會保存每個家庭的成員名單及其加入日期、進行中的邀請和加入要求。

邀請他人時，App 會顯示一個 QR 碼和一個連結，有效期 48 小時，且僅限一人使用。其中包含的秘密資訊只在你的手機之間傳遞：它絕不會傳送到伺服器，接收該連結的網站頁面也不會將其傳往任何地方。

家庭成員可以看到其他成員的電子郵件地址，以及他們手機的名稱和最後登入時間。他們也能看到要求加入家庭者的電子郵件地址和手機名稱：這樣在接受之前就能認出是誰提出要求。

所有成員的權限相同：每個人都可以邀請他人、接受或拒絕要求，以及移除成員。

寶寶紀錄（每個孩子的名字、出生日期，以及適用時的預產期；睡眠、餵食和尿布）會在你的手機上用家庭金鑰加密，伺服器永遠不會收到該金鑰的明文。每支手機都有自己的金鑰，且從不離開該手機；家庭金鑰由家庭中的另一支手機加密後傳給它，只有它能解開。

伺服器只保存寶寶紀錄的加密資料區塊，附有編號和日期，以及上傳它們的手機和區塊大小。發行者無法讀取這些區塊：既不能把內容還給你，也不能轉交給任何人，更不能用於廣告。

復原金鑰由 App 顯示，供你抄寫保存，可在新手機上開啟寶寶紀錄。伺服器保存以它加密的家庭金鑰，但絕不保存復原金鑰本身。

這些紀錄可能透露孩子的健康資訊，例如早產：因此它們被視為健康資料，並依據你的明確同意進行處理（見「法律依據」）。

在寶寶端，監看期間相機和麥克風會拍攝並收聽寶寶房間。串流會即時傳送，並採端對端加密（WebRTC、DTLS-SRTP），只會傳送至你已配對的家長端。不會錄製任何內容。

在家長端，相機僅用於掃描配對 QR 碼，麥克風僅在你按住「對講」按鈕時使用。

哭聲辨識（Google 的 YAMNet 模型，由 MediaPipe 執行）、聲音偵測和動作偵測都在寶寶端離線進行。只有結果會傳送到家長端：音量、哭聲、咿呀聲或笑聲的分數、動作分數。絕不傳送所分析的音訊。

為了讓你的兩支手機在網際網路上找到彼此，本 App 會經由發行者的連線服務，該服務由 IONOS 託管於歐盟境內，並與帳號服務彼此獨立。它不會收到你的姓名、電子郵件地址、畫面或聲音，也不會保留任何連線紀錄：

• 連線服務（peer.tequi.app）：在連線期間，接收寶寶端的一個隨機識別碼（配對期間，還有由寶寶端顯示的配對碼產生的識別碼）以及每台裝置的 IP 位址。為了限制對中繼的濫用，它還會在記憶體中統計每個 IP 位址的請求次數，最長保留一小時。
• STUN（turn.tequi.app）：取得裝置的 IP 位址，以便告知裝置其公用位址。
• TURN 中繼（turn.tequi.app）：無法直接連線時，串流會經過此中繼。串流仍維持端對端加密：中繼既看不到畫面，也聽不到聲音。
• App 驗證：為確保中繼只供 Bercio 使用，App 會向伺服器證明自己是從 App Store 或 Google Play 安裝到真實手機上的正版 App。為此，它在 iPhone 和 iPad 上使用 Apple 的 App Attest，在 Android 上使用 Google 的 Play Integrity，兩者依各自的規則驗證 App 和裝置。伺服器不會保留其中任何資訊：它會向 App 發放一張有效期為一週的通行證，其中不含任何裝置識別碼。

廣告由 Google AdMob 提供：首頁、配對、設定、夜間紀錄和寶寶紀錄畫面上的橫幅廣告，以及在你選擇觀看時用來解鎖額外安撫音效的影片廣告。監看畫面上不會顯示任何廣告，寶寶端在啟動寶寶模式後也不會顯示。為了提供廣告，Google 會處理：

• 裝置的廣告識別碼；
• IP 位址及據此推算的大略位置；
• 與廣告的互動以及診斷資訊。

寶寶紀錄絕不會傳給 Google，也不會用於廣告：它經過加密，連發行者本身也無法讀取。

在歐洲經濟區、英國和瑞士，會有一份表單徵求你對個人化廣告的同意。你可以隨時重新檢視自己的選擇：「設定」中的「管理廣告選項」。在 iOS 上，本 App 還會請求追蹤權限（App Tracking Transparency）；未獲授權時，廣告不會個人化。

廣告皆為靜音，內容僅限適合大多數觀眾、需家長指導的級別。

購買進階版後，本 App 將不再顯示任何廣告，也不再使用 Google AdMob。

Google 的政策：https://policies.google.com/technologies/partner-sites

進階版為選購項目，透過 Apple 的 App Store 或 Google Play 購買，付款由它們依各自的隱私權政策處理。發行者不會收到你的付款資訊、姓名或電子郵件地址。

為了確認是否已購買進階版，本 App 每次啟動時都會從你的手機向商店查詢；它只會在手機上保存一份查詢結果的副本，以便離線使用。不會傳送任何購買資料給發行者。

家長端的「拍照」按鈕會擷取當下的畫面。照片會留在手機上本 App 的暫存資料夾中，直到你透過手機的分享選單分享或儲存。照片絕不會傳送給發行者。

本 App 會在每支手機上儲存以下資料：

• 你的設定（語言、靈敏度、畫質、主題等）；
• 進階版的購買狀態，以及透過影片解鎖額外安撫音效的狀態；
• 在寶寶端：房間的識別碼和名稱，以及你允許的每台家長端的名稱和金鑰；
• 在家長端：已配對的房間及其金鑰，還有夜間紀錄（最近 14 晚的哭聲、動作、聲音和連線中斷）；
• 若你使用寶寶紀錄，為了能離線使用，會儲存完整的寶寶紀錄：每個孩子的名字和出生日期（早產寶寶還包括預產期），以及家庭中記錄的睡眠、餵食和換尿布情況。小睡時間的估算在手機上完成。伺服器上只保存其加密副本（見「端對端加密的寶寶紀錄」）；
• 使用帳號時，儲存在 iOS 鑰匙圈或 Android 的 Keystore 中：手機的私密金鑰、家庭金鑰、復原金鑰和登入權杖。

• 相機和麥克風：監看、QR 碼、「對講」按鈕。
• 通知：提醒（哭聲、動作、聲音、電量不足、連線中斷），由手機本身產生；在 Android 上，還包括關閉螢幕時監看的常駐通知。
• 照片（iOS，僅限加入）：在你選擇時儲存照片。
• 背景執行：家長端螢幕關閉時仍能繼續聽到寶寶的聲音。

每項處理都依據 GDPR 所規定的一項法律依據：

• 帳號和家庭（電子郵件地址、帳號中的手機、成員、邀請），以及寶寶監視器的連線服務和中繼：履行由使用條款構成的契約（第 6.1.b 條）。
• 你孩子的寶寶紀錄，加密保存在伺服器上並與你的家庭成員共享，可能透露其健康資訊：你的明確同意（第 6.1.a 條及第 9.2.a 條）。你以對孩子行使親權或監護權者（孩子的父母或監護人）的身分，或在徵得孩子父母或監護人同意後，於每次登入時勾選專用的核取方塊（絕不預先勾選）表示同意。你可以隨時在 App 中透過離開寶寶紀錄或刪除帳號撤回同意（見「保存期限與刪除」）；撤回不影響先前已進行的處理。之後寶寶紀錄仍會保留給其他家庭成員，依據的是他們各自表示的同意；如果你是唯一的成員，寶寶紀錄將從伺服器上刪除。發行者會保存你所接受文本的版本，以及首次和最近一次接受的日期，以便能夠證明你的同意。
• 服務安全（限制濫用、關閉權杖遭複製的工作階段、驗證 App）：發行者保護服務及其使用者的正當利益（第 6.1.f 條）。
• 廣告：就個人化廣告而言，依據透過 Google 的表單取得的你的同意；未獲同意時，則依據發行者為免費 App 籌措資金的正當利益，顯示非個人化廣告。

帳號資料和加密的寶寶紀錄保存在發行者位於歐盟境內的伺服器上。參與處理的有：

• IONOS，該伺服器（連線服務、中繼和帳號服務）的託管商，作為發行者的處理者，提供一台位於歐盟境內的虛擬專屬伺服器；
• 一家電子郵件寄送服務商，作為發行者的處理者，負責寄送登入驗證碼以及刪除長期未使用帳號前的通知；
• Apple 和 Google，在你選擇透過它們登入時：它們依各自的隱私權規則驗證你的身分，並會知道你在使用 Bercio；
• Cloudflare，Bercio 網站（bercio.tequi.app）的託管商，為了向訪客提供網頁，會看到其 IP 位址。帳號刪除頁面會將你的地址和驗證碼直接傳送給帳號服務；邀請頁面不會傳送任何內容。

保存帳號資料和加密寶寶紀錄的發行者伺服器位於歐盟境內。Google（廣告、透過 Google 登入）、Apple（透過 Apple 登入）和 Cloudflare（網站）可能在歐盟境外（尤其是美國）處理資料，並採用 GDPR 所規定的保障措施：歐盟執委會針對歐盟–美國資料隱私框架作出的適足性認定，或歐盟執委會的標準契約條款。

除上文所述的帳號外，發行者不會收集任何與你相關的資料：不保存密碼、姓名、付款資訊、使用統計，也不保存畫面和聲音。你孩子的畫面只有你已配對的裝置才能看到。

帳號服務不保存任何 IP 位址：僅為限制濫用而在記憶體中使用，最長一小時。其技術日誌保留 7 天，不包含電子郵件地址、驗證碼或識別碼。

Bercio 供成年人使用，並非設計給兒童使用。

• 夜間紀錄只保留最近 14 晚；「清除紀錄」會立即將其清空。
• 寶寶紀錄會保留你記錄的內容，直到你將其刪除：可刪除單筆紀錄（「刪除」），也可在孩子的資料頁刪除其全部紀錄；刪除會套用到家庭中的所有手機。在伺服器上，當某支手機上傳寶寶紀錄的完整狀態時，它會取代舊的加密資料區塊，舊區塊隨之消失。
• 工作階段在最後一次使用 180 天後失效，登入驗證碼在 10 分鐘後失效，邀請在 48 小時後或一經使用即失效，透過該邀請提出的要求也隨之失效。
• 連續兩年未使用的帳號會收到電子郵件通知，若之後 30 天內無人重新登入，即予以刪除；沒有電子郵件地址的帳號無法通知，會在滿兩年後 30 天刪除。
• 刪除你的帳號：在 App 中（「寶寶紀錄」→「共享成員」→「刪除我的帳號」），在 https://bercio.tequi.app/delete-account 使用透過電子郵件收到的驗證碼，或使用帳號的電子郵件地址寫信至 support@tequi.app。帳號及其手機和工作階段會立即從伺服器上刪除，透過 Apple 的登入授權也會在 Apple 端撤銷。寶寶紀錄會保留給其他家庭成員；如果你是唯一的成員，紀錄也會被刪除。
• 「登出」會從這支手機上清除寶寶紀錄，並讓伺服器忘記這支手機；「離開這份寶寶紀錄」會將你移出家庭，並從這支手機上清除寶寶紀錄。在這兩種情況下，寶寶紀錄都會保留給其他家庭成員。
• 寶寶端配對畫面上的「移除」會忘記該家長端並中斷其連線。
• 解除安裝本 App，或在手機設定中清除其資料，會刪除它在這支手機上儲存的內容。在 iPhone 和 iPad 上，解除安裝 App 後 iOS 可能仍會保留帳號的金鑰：沒有本 App，這些金鑰毫無用處；如果重新安裝，App 會在首次啟動時將其清除。而你的帳號會一直保留在伺服器上，直到你將其刪除。
• Google 為廣告而處理的資料遵循 Google 的政策；廣告識別碼可在手機設定中重設。

你享有存取、更正、刪除、限制處理、反對處理及資料可攜的權利，有權隨時撤回同意，也有權針對你過世後資料的處置訂定指示。

你可以在 App 中行使這些權利（更正或刪除一筆紀錄、離開寶寶紀錄、刪除帳號），或使用帳號的電子郵件地址寫信至 support@tequi.app；發行者會在一個月內回覆。由於發行者無法讀取寶寶紀錄，其內容可在你的手機上查看和複製（「複製摘要」）。與廣告相關的權利則向 Google 行使。

你也可以向法國資料保護機關 CNIL 提出申訴：https://www.cnil.fr

本政策可能隨 App 更新而變動。最近一次更新的日期列於下方；現行版本一律公布於 App 內及其網站上。

關於本政策的任何問題：support@tequi.app。