Zásady ochrany osobních údajů

1. Kdo jsme a co tyto zásady pokrývají

Paweł Milewski Software Development (Provozovatel, „my“, „nás“, „náš“) poskytuje glumea (Aplikaci), mobilní aplikaci pro samoléčbu diabetu, a glumea.com (Web). Tyto zásady vysvětlují, jaké údaje shromažďujeme, proč, kde jsou uložené, kdo k nim má přístup, jak dlouho se uchovávají, co smazání odstraní a jaká práva a možnosti máte.

Jsou také informací, kterou vám dlužíme podle evropského práva na ochranu osobních údajů: obsahují informace požadované články 13 a 14 obecného nařízení o ochraně osobních údajů (nařízení (EU) 2016/679), kterému dále říkáme GDPR, a to jak o údajích, které nám sami poskytnete, tak o údajích, které k nám přicházejí odjinud.

Tyto zásady se vztahují na:

Aplikaci: mobilní aplikaci glumea pro iOS a Android.
Web: web glumea.com včetně stránek, na nichž jsou tyto právní dokumenty.

Web shromažďuje téměř nic a má níže vlastní oddíl.

Provozovatel je správcem odpovědným za vaše osobní údaje:

Správce: Paweł Milewski Software Development
Identifikační číslo společnosti: NIP PL6751782526 (fyzická osoba podnikající, zapsaná v CEIDG, polské Centrální evidenci a informacích o podnikání)
Poštovní adresa: ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polsko
E-mail: [email protected]
Země usazení: Polsko

Pokud se uplatní:

Zástupce v EU: nepoužije se (jsme usazeni v Evropské unii)
Zástupce ve Spojeném království: nejmenován
Pověřenec pro ochranu osobních údajů: nejmenován; dotazy k ochraně osobních údajů posílejte na [email protected]

„Správce“ znamená stranu, která rozhoduje o tom, jak a proč se vaše osobní údaje zpracovávají, ve smyslu GDPR.

Spolu s těmito zásadami platí další dva dokumenty a měli byste je číst společně s nimi:

naše Podmínky služby, které upravují vaše používání Aplikace a Webu, a
naše Lékařské upozornění, které stanoví zdravotní hranice toho, co Aplikace dělá.

Pokud jste obyvatelem státu Washington, platí pro vás konkrétně čtvrtý dokument: naše Zásady ochrany údajů o zdraví spotřebitelů, které nám právo státu Washington ukládá zveřejnit samostatně. Pokud jste v Nevadě, odpovídajícím dokumentem je naše Oznámení o ochraně údajů o zdraví spotřebitelů v Nevadě.

2. Souhrn

Stručná verze toho, co následuje. Každý bod uvádí oddíl, který ho rozebírá celý, a rozhoduje tento oddíl.

Kdo jsme. Paweł Milewski Software Development rozhoduje o tom, jak a proč se vaše údaje zpracovávají. Oddíly 1 a 21.
Co shromažďujeme. Vaši e-mailovou adresu a heslo; profil, který zadáte při úvodním nastavení; deník, který vedete: glykémii, jídlo, inzulin, další léky, hmotnost, léky a připomenutí; přihlašovací tokeny a záznamy o připojení k serveru. Záznamy z Apple Health nebo Health Connect, pokud je propojíte, a informace o předplatném, pokud si ho předplatíte. Oddíl 3.
Údaje o zdraví. Deník, typ diabetu, způsob léčby a nastavení terapie jsou zvláštní kategorie údajů podle článku 9 GDPR. Cloudová synchronizace má pro deník samostatné potvrzení. Současné úvodní nastavení před uložením zdravotního profilu a nastavení terapie nesbírá samostatný výslovný souhlas. Oddíly 3.3 a 4.
Kde jsou. Část vašich údajů je na našich serverech od okamžiku, kdy si vytvoříte účet: údaje o účtu, váš profil včetně typu diabetu a léčby a nastavení terapie. Váš deník tam není: nejprve se zapisuje do šifrované databáze ve vašem telefonu, Aplikace funguje offline a na naše servery se dostane, jen když zapnete Cloudovou synchronizaci, funkci glumea+, která je vypnutá, dokud ji nezapnete, a volba se uchovává u vašeho účtu, ne v telefonu. Úplnou tabulku najdete v oddílu 10.
Kdo je dostává. Náš poskytovatel hostingu v EU; poskytovatel e-mailů, je-li doručování e-mailů zapnuto; PostHog a Sentry, každý jen poté, co s tím vyjádříte souhlas; obchod, pokud si předplatíte; a RevenueCat bez ohledu na to, zda si předplatíte. Vaše údaje neprodáváme a Aplikace neobsahuje žádnou reklamu. Oddíly 5, 7, 8 a 9.
Vaše možnosti. Analytika a hlášení chyb jsou vypnuté, dokud s každou z nich nevyjádříte souhlas, a každá má vlastní přepínač; odhlášení nezastaví SDK, které už v dané relaci běží. V Aplikaci můžete vypnout synchronizaci, smazat serverovou kopii svého deníku, smazat svůj účet a použít implementované exporty. Oddíly 5 a 13.
Vaše práva. Přístup, oprava, výmaz, omezení zpracování, přenositelnost, námitka, odvolání souhlasu a stížnost u úřadu na ochranu osobních údajů; ve Spojených státech práva, která vám dává právo vašeho státu. Svůj účet můžete smazat v Aplikaci nebo požádat o jeho smazání e-mailem na [email protected] bez Aplikace. Oddíly 13, 14 a 17.
Co smazání nezasáhne. Smazání účtu odstraní jeho záznamy z produkční databáze a požádá o smazání záznamů propojených s účtem u RevenueCat a PostHog. Stávající zálohy, serverové a diagnostické logy, fakturační záznamy obchodů a exportované kopie mohou zůstat, jak je popsáno v oddílu 12.

3. Údaje, které shromažďujeme

Většinu toho, co je zde uvedeno, poskytujete přímo vy. Dvě kategorie ne: měření, která importujete z Apple Health nebo Health Connect, a informace o předplatném, které k nám přicházejí od Apple, Google a RevenueCat. Obě jsou popsány níže.

3.1 Údaje o účtu

E-mailová adresa a heslo. Vaše heslo se na našich serverech hashuje pomocí bcrypt, nikdy se neukládá jako prostý text a nikdy se neukládá ve vašem zařízení. Vaše e-mailová adresa je také obsažena v přihlašovacím tokenu, který Aplikace používá.
Jednorázové kódy pro ověření e-mailu, obnovení hesla, změnu hesla a změnu e-mailu. Kód vyprší 10 minut po vydání a pět chybných pokusů ho zneplatní.

3.2 Údaje o profilu

Shromažďované při úvodním nastavení:

Jméno a příjmení (uložené jako přezdívka), věk, pohlaví (nepovinné) a výška.
Typ diabetu (1. typ, 2. typ, těhotenský, nebo jiný), způsoby léčby (inzulin, tablety, injekční léky, dieta) a způsob aplikace inzulinu.

Váš typ diabetu, vaše způsoby léčby a váš způsob aplikace inzulinu jsou údaje o zdraví, „zvláštní kategorie“ osobních údajů podle článku 9 GDPR, přestože je tyto zásady řadí pod „profil“. Podmínku, o kterou se u nich opíráme, uvádí níže oddíl o právních základech.

3.3 Údaje o zdraví, které zaznamenáváte (údaje zvláštní kategorie)

Následující údaje jsou údaje o zdraví, „zvláštní kategorie“ osobních údajů podle článku 9 GDPR. Na našich serverech je uchováváme jen s vaším výslovným souhlasem. Oddíl o právních základech níže uvádí, jak se tento souhlas uděluje a které z těchto údajů se dostanou na naše servery, jen když je zapnutá cloudová synchronizace:

Hodnoty glykémie s volitelnými kontextovými štítky (načasování jídla, fyziologie, aktivita, léky a technika a také štítky, které napíšete sami) a poznámkami ve volném textu.
Záznamy o jídle: sacharidy, plus volitelně bílkoviny, tuky, kalorie a název, který napíšete.
Dávky inzulinu: počet jednotek, propojený s inzulinem, který jste nastavili; bolusový, bazální nebo směsný.
Dávky injekčních léků (například agonisté GLP-1).
Počty užitých pilulek a tablet.
Záznamy o tělesné hmotnosti, každý s časem, kdy jste ho zaznamenali.
Vaše katalogy léků: inzulin, tablety a injekční léky, které nastavíte, včetně názvů léčiv (například Fiasp, Lantus, Metformin, Ozempic) a farmakokinetických parametrů (nástup, vrchol, trvání) a časy připomenutí, které pro ně nastavíte.
Nastavení léčby, které zadáte: cílové rozmezí glykémie (ve výchozím nastavení 3,9–10,0 mmol/L, při těhotenském diabetu, prediabetu nebo bez diagnózy diabetu 3,9–7,8 mmol/L), poměr inzulinu ke sacharidům (ICR) a faktor citlivosti na inzulin (ISF). Aplikace žádný z nich nikdy nepoužívá k výpočtu ani doporučení dávky. Váš poměr inzulinu ke sacharidům se ukládá pro vaši informaci a nic jiného ho nečte. Vaše cílové rozmezí se ukládá a také určuje, jak se vykreslí pásmo v rozmezí u Času v cílovém rozmezí, nastavuje vnitřní hranice štítku Dobré / Hraniční / Kritické a rozhoduje, kdy se změní formulace rizika hypoglykémie. Váš faktor citlivosti na inzulin se používá k určení formulace rizika hypoglykémie a přibližného rozsahu snížení zobrazeného vedle aktivního inzulinu. Lékařské upozornění to všechno popisuje.
Hodnoty, které Aplikace odvozuje ve vašem zařízení z toho, co zaznamenáte: odhadovaný aktivní inzulin (odhad jen pro informaci: nedoporučuje ani nepočítá dávku), formulace rizika hypoglykémie a přibližný rozsah snížení zobrazený vedle ní, trendy, průměrná glykémie a její rozptyl, Čas v cílovém rozmezí, odhad HbA1c (GMI), navržený čas dalšího měření a štítek Dobré / Hraniční / Kritické u vašeho posledního měření. Lékařské upozornění uvádí, čím každá z těchto hodnot je a čím není.

Několik z těchto polí je volný text: poznámky ke glykémii, štítky, které napíšete sami, názvy jídel, vlastní názvy léků, název vlastního připomenutí. Cokoli sem napíšete, se uloží, a pokud je synchronizace zapnutá, i synchronizuje, přesně tak, jak jste to napsali.

3.4 Údaje, které získáváme z jiných zdrojů

Apple Health a Health Connect. Pokud je propojíte, Aplikace čte ze zdravotní platformy ve vašem telefonu záznamy glykémie, tělesné hmotnosti a sacharidů ve stravě. Je to jen čtení: Aplikace nikdy nic nezapisuje zpět. V iOS žádá systém jen o přístup ke čtení a neuvádí žádný důvod k zápisu, který by zápis vyžadoval; v Androidu má jen oprávnění ke čtení pro tyto tři typy záznamů. Záznamy, které původně pocházely z glukometru, CGM nebo jiné aplikace, se proto k glumea dostávají přes zdravotní platformu. Importované záznamy se ve vašem zařízení ukládají jako běžné záznamy, označené platformou, ze které přišly, a identifikátorem záznamu. To, zda se importovaný záznam kopíruje i na naše servery, závisí na tom, zda je zapnutá Cloudová synchronizace, stejným způsobem jako u záznamu, který jste zadali sami. Propojení je vypnuté, dokud ho nezapnete, a můžete ho kdykoli odpojit nebo vypnout jednotlivé typy dat v Nastavení → Propojení.
Apple, Google a RevenueCat. Pokud si předplatíte glumea+, informace o tomto předplatném k nám přicházejí z obchodu a od RevenueCat. Přesně které, viz níže oddíl o glumea+.

3.5 Technické údaje

Autentizační tokeny, uložené v zabezpečeném úložišti vašeho zařízení, abyste zůstali přihlášeni. Vaše relace na našich serverech je záznam obsahující identifikátor relace, vaše ID uživatele a čas vypršení.
Když je zapnutá cloudová synchronizace, naše servery zpracovávají údaje, které synchronizujete, spolu s evidencí potřebnou k provozu synchronizační služby, například časovými značkami synchronizace.
Když Aplikace komunikuje s našimi servery, servery dostávají běžné informace o spojení, například vaši IP adresu, požadovanou cestu a čas, používané pro zabezpečení a provoz služby.
Dokud je zapnutá analytika nebo diagnostika, každé SDK odesílá údaje popsané v oddílu 5. Obě jsou vypnuté, dokud s nimi nevyjádříte souhlas.

3.6 Údaje, které zůstávají ve vašem zařízení, a údaje, které ne

Některé věci se na naše servery nedostanou nikdy: nastavení oznámení, časy připomenutí kontroly glykémie, Tichý režim, volba podrobností v oznámeních, místní stav oznámení, stav propojení se zdravotní platformou, předvolby aplikace, předvolby telemetrie a evidence synchronizace. Jedno upřesnění: dokud je zapnutá analytika, jazyk, motiv a nastavení jednotek se odesílají do PostHog jako atributy profilu. Nic jiného z tohoto seznamu naším backendem zařízení neopustí.

Vaše rozvrhy léků jsou výjimka: patří k deníku, takže se kopírují na naše servery, když je zapnutá Cloudová synchronizace, protože připomenutí léku musí přežít přechod na nový telefon.

Ani samotný přepínač cloudové synchronizace není jen v zařízení. Vaše odpověď na něj se uchovává u vašeho účtu na našich serverech, aby vás následovala na nový telefon a přežila odhlášení; oddíl 10 uvádí, co to znamená v praxi.

Soubory, které vytvoříte sami, archiv zálohy .glumea nebo CSV či PDF zpráva o glykémii, se zapíšou do vašeho zařízení a předají se aplikaci, kterou si zvolíte ke sdílení nebo uložení. To, kam se dostanou potom, je mimo naši kontrolu a CSV nebo PDF zpráva není šifrovaná.

4. Proč vaše údaje zpracováváme a naše právní základy

Podle GDPR potřebuje každé použití právní základ podle článku 6 a údaje zvláštní kategorie potřebují navíc podmínku podle článku 9. Zamýšlené základy jsou uvedeny níže. Níže popsaný chybějící krok souhlasu u profilu neposkytuje výslovný souhlas, který zpracování vyžaduje.

Poskytování vašeho účtu a Aplikace: vytvoření a zabezpečení vašeho účtu, autentizace, ověření e-mailu, obnovení hesla, provoz cloudové synchronizace, poskytování glumea+, pokud si ji předplatíte, a vedení záznamu o oznámeních o předplatném, která nám obchod a RevenueCat posílají, abychom poznali, zda je glumea+ aktivní, a mohli vyřešit problém s fakturací: plnění smlouvy, čl. 6 odst. 1 písm. b) GDPR.
Uchovávání údajů o zdraví na našich serverech: zamýšlenými základy jsou čl. 6 odst. 1 písm. b) pro službu a výslovný souhlas podle čl. 9 odst. 2 písm. a) pro údaje o zdraví. Deník se na naše servery kopíruje jen po samostatném potvrzení Cloudové synchronizace. Současné úvodní nastavení ukládá profil a nastavení terapie k účtu bez samostatného kroku výslovného souhlasu. Přijetí smlouvy není automaticky výslovným souhlasem se zpracováním zvláštní kategorie, takže současný průběh úvodního nastavení tuto podmínku podle článku 9 neposkytuje. Smazání účtu je jediný implementovaný způsob, jak tato pole profilu a terapie odstranit z produkční databáze.
Produktová analytika: souhlas podle čl. 6 odst. 1 písm. a), výslovný souhlas podle čl. 9 odst. 2 písm. a), protože používání aplikace pro diabetes vypovídá o zdraví, a souhlas podle čl. 5 odst. 3 směrnice o soukromí a elektronických komunikacích pro úložiště SDK. Oddíl 5 popisuje, jak se o tento souhlas žádá.
Diagnostika a hlášení pádů: zamýšleným základem je souhlas podle čl. 6 odst. 1 písm. a), výslovný souhlas podle čl. 9 odst. 2 písm. a), protože používání aplikace pro diabetes vypovídá o zdraví, a souhlas podle čl. 5 odst. 3 směrnice o soukromí a elektronických komunikacích pro úložiště SDK, vyžádaný stejným způsobem jako u analytiky (oddíl 5).
Zabezpečení služby a předcházení zneužití: omezování četnosti požadavků na naše API a vyšetřování podezření ze zneužití: naše oprávněné zájmy, čl. 6 odst. 1 písm. f) GDPR. Konkrétním zájmem je ochrana vašeho účtu i účtů jiných lidí před neoprávněným přístupem a udržení dostupnosti služby. Opíráme se o to jen tam, kde vaše práva naše zájmy nepřeváží.
Plnění zákonné povinnosti: kde nám právo Polska ukládá uchovat nebo zpřístupnit určité záznamy, činíme tak na základě čl. 6 odst. 1 písm. c) GDPR. Na tento základ se u údajů o zdraví, které zaznamenáváte, neopíráme. Vaši platbu nepřijímáme a nikdy nedostáváme vaše platební údaje, takže platební a fakturační záznamy k vašemu nákupu uchovává obchod, nikoli my.

Nepřijímáme o vás rozhodnutí, která by měla právní účinky nebo podobně významné účinky a vycházela by výhradně z automatizovaného zpracování, a neprofilujeme vás pro taková rozhodnutí. V glumea neexistuje automatizované rozhodování ve smyslu článku 22 GDPR. Odhady, které Aplikace zobrazuje, aktivní inzulin, trendy, Čas v cílovém rozmezí, jsou aritmetika prováděná ve vašem zařízení nad údaji, které jste zadali, a prezentovaná jen pro vaši informaci. Nedoporučují ani nepočítají žádnou dávku inzulinu či léku a nejsou lékařskou radou.

Je poskytnutí údajů požadavkem? Zákon po vás poskytnutí údajů nevyžaduje. Pro účet je nutná e-mailová adresa a heslo. Pole profilu a terapie požadovaná při úvodním nastavení se ukládají k účtu, s výhradou omezení souhlasu popsaného výše. Zaznamenávání záznamů, propojení s Apple Health nebo Health Connect a cloudová synchronizace jsou nepovinné. Analytika a diagnostika jsou nepovinné a vypnuté, dokud s nimi nevyjádříte souhlas.

5. Analytika a diagnostika

Aplikace obsahuje dvě SDK třetích stran pro tyto účely: jedno pro produktovou analytiku a jedno pro hlášení pádů a chyb. Tento oddíl uvádí, čím každé z nich je a co dostává.

Obě jsou vypnutá, dokud s nimi nevyjádříte souhlas, a žádné SDK se před tím nespouští. Aplikace se ptá na konci úvodního nastavení, s odděleným přepínačem pro každé z nich. Přepínače jsou zobrazeny v poloze zapnuto, ale nic se neshromažďuje, dokud nepokračujete klepnutím, a jedno klepnutí na tlačítko odmítnutí dokončí úvodní nastavení s oběma vypnutými. Pokud se přihlásíte k existujícímu účtu bez průchodu úvodním nastavením, obě zůstanou vypnutá, dokud je nezapnete. Obě nastavení jsou nezávislá a lze je kdykoli změnit v Nastavení → Data a soukromí → Soukromí a diagnostika. Odhlášení smaže obě odpovědi spolu s vašimi dalšími předvolbami, ale SDK, které už běží, běží dál, dokud se Aplikace nezavře.

5.1 Produktová analytika: PostHog

Používáme PostHog (EU Cloud, eu.i.posthog.com), abychom pochopili, jak se Aplikace používá, a mohli ji zlepšovat.

Co PostHog může dostávat, dokud je analytika zapnutá:

Identifikátor vašeho účtu glumea: interní UUID vašeho účtu. Ne váš e-mail, ne vaše jméno. Jakmile jste přihlášeni, události jsou s tímto identifikátorem spojeny, takže tyto události nejsou anonymní. Události, které mohou nastat před přihlášením nebo po odhlášení, první spuštění, spuštění aplikace, registrace a ověření kódu zaslaného e-mailem, nesou místo toho pseudonymní identifikátor zařízení, který se obnoví, když Aplikace SDK resetuje.
Pevný seznam názvů událostí, asi 28 z nich, týkajících se věcí, jako je otevření aplikace, registrace, dokončení úvodního nastavení, uložení záznamu, import z Apple Health, udělení nebo odmítnutí oprávnění k oznámením, vytvoření exportu, otevření obrazovky předplatného a výsledek nákupu nebo obnovení.
Malý počet vlastností, každá z uzavřeného seznamu nebo s omezeným počtem: jaký druh záznamu byl uložen (glykémie, jídlo, lék nebo hmotnost), kolik řádků jedno uložení zapsalo, zda byl záznam pořízen v daném okamžiku, nebo zpětně, zda šlo o export CSV, nebo PDF, který krok úvodního nastavení byl dokončen, obecná kategorie připomenutí, na které jste klepli, a podobně. Žádná vlastnost nikde v systému nepřijímá volný text.
Obrazovka, na které jste, jako šablona trasy, například /settings/privacy. Číslice se odmítají, takže se v ní nemůže přenést identifikátor záznamu. Obrazovka, na kterou se dostane jen jeden druh léčby, například nastavení inzulinu, se hlásí jako obrazovka nad ní.
Několik atributů profilu: váš jazyk, váš motiv, vaše jednotky glykémie, hmotnosti a sacharidů a zda máte glumea+.
Co SDK PostHog přidává samo, mimo naši kontrolu: model zařízení, operační systém a verze, verze aplikace, verze SDK, časové pásmo, místní nastavení, typ sítě a identifikátor relace. PostHog také dostává IP adresu, ze které váš požadavek přichází, jako každá webová služba, a zjišťuje podle ní přibližnou polohu. Možnost PostHogu tuto adresu zahazovat jsme nezapnuli, takže se ukládá spolu s událostí.

Co PostHog dostávat nemůže: hodnotu glykémie, dávku inzulinu, název léku, jaký druh léku užíváte, poznámku, název jídla, e-mailovou adresu ani jiný volný text. Filtr, který to zajišťuje, je typu fail-closed: událost, která není na seznamu, se zahodí celá, vlastnost, která není deklarována, se odstraní, a deklarovaná vlastnost, jejíž hodnota neodpovídá očekávanému tvaru, se odstraní také. V systému neexistuje vlastnost „libovolný řetězec“. Neexistuje žádný záznam relace, žádné nahrávání obrazovky, žádné průzkumy, žádné automatické zachytávání klepnutí a žádný push token.

Události jsou postaveny tak, aby neprozrazovaly vaši léčbu ani vaše hodnoty. Inzulin, tablety i injekční léky se hlásí všechny jako záznam léku. Klepnutí na upozornění na nízkou nebo vysokou glykémii se neeviduje vůbec, stejně jako krok úvodního nastavení, který vidí jen uživatelé inzulinu. Import z Apple Health nebo Health Connect hlásí, že proběhl a co ho spustilo, nikdy ne kolik záznamů přečetl. Události jsou však po dobu, kdy jste přihlášeni, stále spojeny s vaším účtem a používání aplikace pro diabetes samo o sobě vypovídá o zdraví, proto analytika čeká na váš souhlas.

SDK analytiky ukládá do vašeho zařízení vlastní identifikátor spolu s frontou událostí čekajících na odeslání. Z fungování SDK vyplývají dvě omezení. Odvolání souhlasu zaznamená jednu poslední vlastní událost, že jste souhlas odvolali. A tato událost spolu se vším, co už bylo shromážděno, dokud jste souhlas dávali, se doručí poté, podle vlastního rozvrhu SDK, a ne v okamžiku odvolání. Poté se už nic nového neshromažďuje.

5.2 Diagnostika a hlášení pádů: Sentry

Používáme Sentry (region Evropské unie), abychom zjistili, kdy Aplikace spadne nebo hlásí chybu, a mohli to opravit.

Každá část hlášení, kterou Aplikace sestaví a která nese obsah, se před odesláním sestaví znovu od začátku ze seznamu polí, která jsou povolena, nikoli ze seznamu polí k odstranění. Asi tucet zbývajících polí nejvyšší úrovně se místo toho maže podle názvu, takže pole nově přidané budoucí verzí SDK by tímto mazáním nebylo zachyceno, dokud ho nepřidáme. Co toto sestavení přežije:

Typ výjimky a vypočtený popisek místo původní chybové zprávy.
Zásobník volání, s názvy souborů zkrácenými na základní název a v produkčních sestaveních s obfuskovanými názvy symbolů; čitelnými se stávají jen na straně Sentry pomocí mapování, které nahráváme při sestavení.
Rodina zařízení, model, architektura, zda jde o simulátor, a orientace.
Název, verze a sestavení operačního systému; název, verze a sestavení aplikace; verze běhového prostředí Dart.
Identifikátory ladicích obrazů, potřebné k tomu, aby byly nativní pády čitelné.
Tvar stopy drobečků, kategorie, typ, úroveň a časová značka nedávných událostí, ale nikdy jejich obsah.
Dva popisky: která oblast Aplikace selhala a zda se to stalo v popředí, nebo v enginu oznámení na pozadí.
Vydání, číslo sestavení, prostředí a náhodně vygenerované ID události.

Co se odstraňuje úplně: chybová zpráva, jakákoli data požadavku, jakýkoli objekt uživatele, název serveru, název transakce, seznamy vláken, seznamy modulů, hodnoty lokálních proměnných, kontext zdrojového kódu, absolutní cesty, jedinečné ID a název zařízení, hash aplikace vázaný na instalaci, zprávy a data drobečků, snímky obrazovky, hierarchie zobrazení a jakákoli příloha. Snímky obrazovky, zachytávání hierarchie zobrazení, záznam relace, trasování výkonu, protokolování a těla požadavků jsou všechny vypnuty. Aplikace k události Sentry nepřipojuje žádný identifikátor uživatele: žádné ID účtu, žádnou e-mailovou adresu, žádné ID zařízení.

Dvě omezení k výše uvedenému:

Nativní pády, události nereagování aplikace a ukončení iOS watchdogem se mohou dostat do Sentry, aniž by prošly tímto sestavením, protože je vytváří obslužná rutina pádů operačního systému, nikoli vlastní kód Aplikace. Stejně tak pravidelný signál „relace aplikace začala / skončila“, který Sentry používá pro zdraví vydání. Tyto události ve vašem zařízení nemůžeme zkontrolovat a neznáme všechna pole, která platformní SDK do některé z nich vkládá. Nenastavujeme žádný identifikátor, který by některou z nich spojil s vámi.
Sentry dostává IP adresu, ze které se hlášení odesílá.

Dokud s diagnostikou nevyjádříte souhlas, Sentry se nespouští. Vypnutí přepínače zavře reportéry, které tento ovládací prvek zasáhne, ale odhlášení spolehlivě nevypne již inicializované SDK v běžícím procesu. Současný životní cyklus proto nelze ve všech stavech popsat jako okamžité odvolání.

6. glumea+ a údaje o předplatném

glumea+ je předplatné prodávané pouze jako nákup v aplikaci přes Apple App Store a Google Play. Neexistuje žádný jiný způsob, jak ho koupit, žádná webová pokladna a nikde v Aplikaci žádný formulář pro platební kartu.

K nám se nedostanou žádné platební údaje. Platbu přijímá Apple nebo Google. Nikdy nevidíme číslo vaší karty, vaše bankovní údaje ani vaši fakturační adresu. Zrušení a vrácení peněz se řeší přes váš účet v obchodě, Podmínky služby vysvětlují kde.
RevenueCat je služba, kterou používáme, abychom věděli, zda je vaše předplatné aktivní. Aplikace sděluje RevenueCat o vás jedinou věc: identifikátor vašeho účtu glumea, použitý jako ID uživatele předplatného. Naše servery se také RevenueCat ptají, zda má tento identifikátor aktivní předplatné, a to i tehdy, když jste se nikdy nepředplatili, protože tak zjišťujeme, že ne. Nenastavujeme žádnou e-mailovou adresu, žádné zobrazované jméno, žádné telefonní číslo, žádný push token a nežádáme, aby shromažďoval reklamní identifikátory zařízení. SDK RevenueCat také samo shromažďuje některé informace o zařízení a síti pro provoz služby RevenueCat, popsané v jeho vlastním oznámení o ochraně soukromí. Toto shromažďování nenastavujeme a to, co vzniká, nedostáváme.
Co si Aplikace uchovává lokálně je jediná hodnota pravda/nepravda: zda je glumea+ aktivní. Aplikace do vašeho zařízení neukládá žádnou cenu, žádné ID produktu, žádné datum vypršení, žádné ID transakce. Tato hodnota se při odhlášení nastaví na nepravda, takže další účet v zařízení začíná bez předplatného a musí se ověřit u obchodu samostatně.
Co ukládají naše servery. RevenueCat posílá našemu backendu oznámení, když se u předplatného něco změní, nákup, obnovení, zrušení, problém s fakturací. Každé takové oznámení zaznamenáme tak, jak přišlo: ID a typ události, prostředí, identifikátor vašeho účtu glumea a úplnou zprávu, kterou RevenueCat poslal, uloženou přesně tak, jak dorazila, ne pole po poli. Tato zpráva obvykle obsahuje identifikátor produktu, cenu, měnu, obchod, zemi a data nákupu a vypršení. Protože ji ukládáme celou, může nést i jakékoli atributy odběratele, které o vás RevenueCat drží, mimo jiné e-mailovou adresu: přestože naše Aplikace žádné vlastní nenastavuje. Zprávu nikdy nepřepisujeme; opakované doručení stejné události aktualizuje jen náš počet, kolikrát dorazila.
Dokud je zapnutá analytika, výše popsané události trychtýře jdou do PostHog spolu s atributem profilu, který zaznamenává, zda je glumea+ aktivní. Do analytiky se neposílá žádná cena, identifikátor produktu ani identifikátor obchodu.

Z toho plynou dva důsledky. Protokol webhooků nese identifikátor vašeho účtu glumea, ale nemá žádný databázový vztah k řádku vašeho účtu. Při smazání účtu náš backend tyto záznamy odstraní samostatně a požádá o smazání záznamu odběratele u RevenueCat pod stejným identifikátorem. Jinak každý záznam webhooku odstraní naplánovaná úloha 90 dní po jeho příchodu. Oddíl 12 popisuje, co může zůstat.

7. Co neděláme

Nic z následujícího se v glumea neděje:

Žádná reklama jakéhokoli druhu. Žádné reklamní SDK, žádné atribuční SDK, žádný reklamní identifikátor. Aplikace nemůže zobrazit výzvu iOS „Požádat aplikaci, aby nesledovala“, protože neobsahuje položku, která by ji umožnila, a nedeklaruje žádné sítě pro atribuci reklam.
Žádný prodej vašich údajů. Osobní údaje neprodáváme ani nepronajímáme a neprodáváme údaje o zdraví. Nesdílíme je pro behaviorální reklamu napříč kontexty.
Žádné použití vašich údajů o zdraví pro reklamu, marketing ani pro vytváření profilu o vás pro někoho jiného.
Žádné údaje o poloze. Žádný přístup ke kontaktům, fotoaparátu, mikrofonu, fotografiím ani kalendáři, Aplikace nežádá ani jedno z těchto oprávnění na žádné platformě.
Žádný Firebase v Aplikaci: žádná Firebase Analytics, žádný Crashlytics, žádné Firebase Cloud Messaging. (Firebase Hosting Web, včetně této stránky, obsluhuje, to je jiná služba Google a je uvedena níže.)
Žádná push oznámení a žádný push token zařízení. Připomenutí plánuje a zobrazuje vaše vlastní zařízení; neexistuje vůbec žádný kanál ze serveru do zařízení.
Žádné snímky obrazovky, žádné nahrávání obrazovky, žádný záznam relace, žádné zachytávání hierarchie zobrazení, od žádného ze dvou výše popsaných SDK.
Kromě PostHog a Sentry není v Aplikaci žádné další analytické, telemetrické ani sledovací SDK. Jediné součásti, které otevírají síťové spojení, jsou vlastní spojení Aplikace s našimi servery, PostHog, Sentry a RevenueCat.

8. Kdo vaše údaje dostává

Údaje sdílíme s níže uvedenými poskytovateli služeb, abychom mohli glumea provozovat. Toto zpracování se řídí jejich rolemi, jejich vlastními oznámeními o ochraně soukromí a smluvními podmínkami platnými pro naše používání jednotlivých služeb. SDK RevenueCat také samo shromažďuje informace o zařízení a síti. Toto shromažďování nenastavujeme a jeho výstup nedostáváme, takže jeho popis pochází z oznámení o ochraně soukromí RevenueCat, nikoli z našich systémů.

Google (Google Cloud Run a Google Cloud SQL, region europe-west1), hostuje náš backend a databázi, která uchovává vše, co synchronizujete, včetně vašich údajů o zdraví. Google Secret Manager uchovává přístupové údaje našich serverů a Google Cloud Logging uchovává naše logy serverových požadavků.
Google (Firebase Hosting), obsluhuje glumea.com a tyto právní dokumenty.
Sentry (region Evropské unie), dostává výše popsaná diagnostická hlášení, dokud je diagnostika zapnutá podle chování současného nastavení.
PostHog (EU Cloud), dostává výše popsané analytické události, dokud je analytika zapnutá podle chování současného nastavení.
RevenueCat (Spojené státy), dostává identifikátor vašeho účtu glumea a stav vašeho předplatného, bez ohledu na to, zda si předplácíte: ověření, že nejste předplatitel, používá stejný identifikátor jako potvrzení, že jste. Jak je uvedeno výše, jeho SDK navíc shromažďuje informace o zařízení a síti, které nenastavujeme a nedostáváme; popisuje je vlastní oznámení o ochraně soukromí RevenueCat.
Zoho ZeptoMail: je-li zapnuto produkční doručování e-mailů, tento poskytovatel dostává cílovou e-mailovou adresu a ověřovací zprávu nebo zprávu o obnovení hesla potřebnou k jejímu doručení. Žádný poskytovatel e-mailů tyto zprávy nedostává, dokud je doručování vypnuto.

Apple a Google nejsou našimi zpracovateli. Provozují obchody, v nichž se glumea+ prodává, přijímají platbu a jsou nezávislými správci údajů o nákupu, které o vás drží. To, co shromažďují, se řídí jejich vlastními zásadami ochrany osobních údajů, nikoli těmito.

Kromě toho osobní údaje zpřístupňujeme, jen pokud to vyžaduje zákon, například závazný příkaz soudu nebo úřadu, nebo na váš pokyn.

Pokud by Paweł Milewski Software Development byl někdy zapojen do fúze, akvizice nebo prodeje aktiv, vaše údaje by zůstaly chráněny těmito zásadami a my bychom vás informovali dříve, než se vaše údaje stanou předmětem jiných zásad ochrany osobních údajů.

9. Mezinárodní předávání

Kde jednotlivý příjemce vaše údaje zpracovává:

Váš účet, profil a synchronizované údaje o zdraví jsou uloženy v EU: Google Cloud, europe-west1 (Belgie). Místo uložení není celá odpověď. Google se k těmto údajům může dostat zvenčí EHP, pro podporu a provoz platformy, a to je samostatné předání. Opírá se o standardní smluvní doložky v Dodatku Google Cloud o zpracování údajů.
Analytika jde do EU Cloud PostHog, který ji ukládá v EU. Kde se k ní PostHog může dostat zvenčí Evropského hospodářského prostoru, předání se opírá o standardní smluvní doložky ve smlouvě o zpracování údajů PostHog.
Diagnostika jde do Sentry v jeho regionu Evropské unie. Kde je to mimo Evropský hospodářský prostor, předání se opírá o standardní smluvní doložky v dodatku Sentry o zpracování údajů.
Web obsluhuje Firebase Hosting ze sítě pro doručování obsahu Google, takže požadavek na stránku může být obsloužen a zaznamenán v místě mimo Evropský hospodářský prostor. Kde k tomu dojde, předání se opírá o standardní smluvní doložky v Dodatku Google Cloud o zpracování údajů.
Stav předplatného jde do RevenueCat ve Spojených státech. Kde je to mimo Evropský hospodářský prostor, předání se opírá o standardní smluvní doložky v dodatku RevenueCat o zpracování údajů.
Je-li zapnuto produkční doručování e-mailů, ověřovací e-maily a e-maily k obnovení hesla doručuje Zoho ZeptoMail, který cílovou e-mailovou adresu zpracovává v Evropské unii (Zoho Corporation B.V., datová centra Zoho v EU v Nizozemsku a Irsku). Kde je to mimo Evropský hospodářský prostor, použitelným mechanismem předání jsou standardní smluvní doložky v dodatku Zoho o zpracování údajů.
Apple a Google zpracovávají údaje o nákupu podle vlastních ujednání, jako nezávislí správci.

Kde poskytovatel může k údajům přistupovat zvenčí EHP, včetně podpory, je i takový přístup předáním a musí mít vhodnou záruku podle kapitoly V GDPR. Mechanismus pro každého příjemce je uveden výše. Pro uživatele ve Spojeném království je ekvivalentním mechanismem Dodatek Spojeného království ke standardním smluvním doložkám EU, nebo IDTA, kde poskytovatel používá tuto formu podle GDPR Spojeného království. Obecný kontakt pro ochranu osobních údajů: [email protected]. Žádný samostatný automatizovaný postup pro vyžádání kopie záruk není v současnosti implementován.

10. Kde jsou vaše údaje uložené

glumea je offline-first. Tento oddíl je úplnou odpovědí na otázku „co z mých údajů je na vašich serverech?“: všechno ostatní v těchto zásadách odkazuje sem.

Co	V telefonu	Na našich serverech	Od kdy	Jak to odstranit
Váš deník, záznamy, katalogy léků, rozvrhy léků	Vždy	Jen při zapnuté Cloudové synchronizaci	Od okamžiku, kdy přepínač zapnete	Vypněte přepínač, pak Smazat data ze serveru; nebo smažte svůj účet
Váš profil, jméno, věk, výška, typ diabetu, způsoby léčby, způsob aplikace inzulinu	Ano	Vždy	Od úvodního nastavení, ať synchronizaci používáte, nebo ne	Smažte svůj účet
Vaše nastavení terapie, cílové rozmezí, poměr inzulinu ke sacharidům, faktor citlivosti na inzulin	Ano	Vždy	Od okamžiku, kdy je zadáte	Smažte svůj účet
Váš účet, e-mailová adresa, hashované heslo, přihlašovací relace	Jen přihlašovací údaje	Vždy	Od okamžiku, kdy účet vytvoříte	Smažte svůj účet
Všechno v oddílu 3.6, připomenutí, Tichý režim, předvolby aplikace	Ano	Nikdy	Nepoužije se	Odhlaste se nebo odinstalujte

Zbytek tohoto oddílu je podrobnost k této tabulce.

Všechny údaje, které zadáte, se nejprve zapisují do místní databáze ve vašem zařízení. Aplikace je plně použitelná bez připojení k internetu.
Tato místní databáze je šifrovaná. Otevírá se 32bajtovým klíčem uloženým v úložišti klíčů vašeho zařízení, v nastavení, které se nepřenáší do jiného zařízení. Důsledky, které byste měli znát dřív, než vyměníte telefon: v Androidu jsme pro Aplikaci vypnuli cloudovou zálohu i přenos mezi zařízeními, takže se nevytváří žádná nová záložní kopie; v iOS se kopie databáze může stále dostat do zálohy iCloud, ale bez klíče je nečitelná a klíč zařízení nikdy neopustí. Obnovení této zálohy do nového telefonu proto váš deník nepřenese: Aplikace najde databázi, pro kterou nemá klíč, odmítne ji otevřít, místo aby tiše začala prázdná, a v tom telefonu nepoběží, dokud ji nepřeinstalujete nebo nevymažete její data. Přechod na nový telefon vede přes cloudovou synchronizaci nebo přes archiv .glumea, který si sami exportujete a importujete.
Váš účet na našich serverech existuje od okamžiku, kdy ho vytvoříte. Obsahuje údaje o účtu, váš profil, včetně typu diabetu, způsobů léčby a způsobu aplikace inzulinu, a vaše nastavení terapie: vaše cílové rozmezí, poměr inzulinu ke sacharidům a faktor citlivosti na inzulin. Ty jsou na našich serverech uloženy, ať cloudovou synchronizaci používáte, nebo ne, a jak je odstranit, je smazat svůj účet.
Cloudová synchronizace je funkce glumea+ a je vypnutá, dokud ji nezapnete. Řídí to, zda se váš deník kopíruje i na naše servery: vaše záznamy, vaše katalogy léků a vaše rozvrhy léků. Zapnutí má dva kroky a u kteréhokoli se můžete zastavit. Bez aktivního předplatného glumea+ vám Aplikace místo zapnutí čehokoli ukáže obrazovku předplatného. S předplatným vás Aplikace v samostatném kroku požádá o potvrzení, že souhlasíte s tím, aby se vaše údaje o zdraví, hodnoty glykémie, záznamy o inzulinu a lécích, záznamy o jídle a hmotnosti a cokoli, co jste napsali do poznámky, ukládaly na našich serverech. Ptá se na to při každém zapnutí přepínače, nejen poprvé. Toto potvrzení je váš výslovný souhlas podle čl. 9 odst. 2 písm. a) GDPR pro deník. Můžete ho kdykoli odvolat vypnutím Cloudové synchronizace a odstranit to, co už máme, odkazem Smazat data ze serveru ve stejném listu. Při vypnuté synchronizaci zůstává vše, co zaznamenáte, jen ve vašem zařízení.
Když je synchronizace zapnutá, vaše údaje jsou uloženy na našem backendu na api.glumea.app, který běží na Google Cloud Run s databází Google Cloud SQL PostgreSQL, v regionu Google europe-west1 (Belgie).

Přepínač patří vašemu účtu, ne telefonu. Vaši odpověď uchováváme na našich serverech a Aplikace si ji odtud přečte zpět, když se přihlásíte a když se znovu připojí. Přežije tedy odhlášení a následuje vás: zapněte synchronizaci, přihlaste se na jiném telefonu a synchronizace je zapnutá i tam, aniž by se na to znovu ptala. Vypnutí se zaznamenává stejným způsobem. Pokud ji vypnete offline, Aplikace si tuto odpověď ponechá a při nejbližší příležitosti ji doručí našim serverům, odvolání se nikdy nevrátí zpět proto, že selhal požadavek. Na sdíleném zařízení to funguje opačně než přepínač jen v zařízení: ten, kdo se přihlásí, dostane odpověď svého vlastního účtu, ne tu, kterou tam nechal poslední člověk.

Pokud glumea+ skončí, nové záznamy se přestanou zálohovat, neodvolá to váš souhlas a nic se nesmaže. Když předplatné vyprší, je zrušeno nebo vráceno, Aplikace přestane kopírovat nové záznamy na naše servery. Úpravy a smazání záznamů, které už tam jsou, na naše servery dál doputují a Aplikace z nich dál stahuje. List Cloudová synchronizace zobrazí Úpravy a odstranění se stále synchronizují · Nové záznamy zůstávají v tomto zařízení. To, co už je na našich serverech, tam zůstává, to, co je ve vašem zařízení, tam zůstává, a vaše uložená odpověď na otázku souhlasu se nemění, takže když se předplatíte znovu, plná záloha se na základě této uložené odpovědi obnoví, aniž by se vás podruhé zeptala. Pokud byste to nechtěli, vypněte přepínač: jeho vypnutí i odkaz Smazat data ze serveru vedle něj zůstávají k dispozici, ať je předplatné živé, nebo ne. Ukončení předplatného vám nikdy nebere možnost odvolat souhlas nebo nechat serverovou kopii vymazat.

Synchronizace se může zastavit i bez toho, že byste se přepínače dotkli. Vaše přihlašovací relace může vypršet, a když se to stane, neodhlásíme vás a nic nesmažeme: Aplikace ponechá každý záznam ve vašem zařízení, pozastaví zálohu a čeká. List Cloudová synchronizace pak zobrazí Pozastaveno a sdělí, že se nic nesynchronizuje, dokud se znovu nepřihlásíte, a obrazovka Souhrn nese banner o vypršené relaci. Všechno, co mezitím zaznamenáte, zůstává ve vašem zařízení a na naše servery se dostane, až když se znovu přihlásíte. Pokud spoléháte na serverovou kopii pro případ ztráty telefonu, právě tento banner je to, na co je třeba reagovat.

Kopie na našich serverech je chráněna šifrováním přenosu, šifrováním úložiště Google a našimi přístupovými kontrolami. Není šifrovaná od konce ke konci a my ji můžeme číst. glumea není služba s nulovou znalostí. Jediný artefakt v celém systému, který otevřít nemůžeme, je archiv .glumea, protože je zašifrovaný heslem, které znáte jen vy.

11. Jak dlouho vaše údaje uchováváme

Vaše údaje uchováváme po níže uvedené doby.

Údaje o účtu, profil a nastavení terapie: uchovávány na našich serverech, dokud váš účet existuje.
Záznamy o zdraví a katalogy léků, které jste synchronizovali: uchovávány, dokud váš účet existuje, nebo dokud nesmažete serverovou kopii či svůj účet. Smazání jednoho záznamu funguje jinak: zmizí ze zařízení, na kterém jste ho smazali, a jen z tohoto zařízení. Kopie na našich serverech zůstává, takže se záznam může vrátit po přeinstalaci, v novém telefonu nebo po odhlášení a opětovném přihlášení. Tyto řádky z našich serverů odstraní jen Smazat data ze serveru nebo smazání vašeho účtu.
Náhrobky pro záznamy, které jste smazali: kde smazání jednoho záznamu na naše servery dorazí, řádek se uchovává jako značka, která stále nese svou hodnotu, své štítky a své poznámky, aby smazání mohlo dorazit do vašich dalších zařízení. Nemáme žádnou úlohu, která by je mazala, takže zůstávají, dokud váš účet existuje. Použití Smazat data ze serveru nebo smazání vašeho účtu je odstraní.
Přihlašovací relace: přístupový token platí 15 minut. Záznam relace na našich serverech vyprší po 90 dnech bez použití. Odhlášení ji okamžitě odvolá, takže ji už nelze nikdy použít, ale samotný řádek odstraní každou hodinu spouštěná úloha, jakmile uplyne toto 90denní okno. Smazání vašeho účtu ji odstraní okamžitě.
Jednorázové kódy: vyprší 10 minut po vydání a každou hodinu spouštěná úloha označí prošlé jako nepoužitelné. Samotné záznamy nemažeme: zůstávají, dokud nesmažete svůj účet, který je odstraní se vším ostatním.
Zálohy serveru: 7 dní. Údaje smazané z živé databáze zůstávají v zálohách, dokud se nepřepíšou.
Logy serverových požadavků, které zahrnují IP adresy: 30 dní.
Analytické události v PostHog: 12 měsíců.
Diagnostická hlášení v Sentry: 90 dní.
Záznamy o oznámeních o předplatném: až 90 dní od okamžiku, kdy každá zpráva dorazí k nám, pokud je dříve neodstraní smazání účtu. Naplánovaná úloha počítá stáří a nezadržuje řádek kvůli otevřenému sporu o fakturaci.
Údaje uložené jen ve vašem zařízení: zůstávají tam, dokud je nesmažete, neodhlásíte se, nepoužijete ovládací prvek pro smazání účtu v aplikaci nebo neodinstalujete Aplikaci. Žádost o smazání účtu e-mailem nemůže zařízení vzdáleně vymazat.

12. Smazání: co se stane a kde

Než začnete. Dvě věci jsou důležitější než cokoli níže a obě jsou v Podmínkách služby: nejprve zrušte předplatné glumea+ v obchodě, protože smazání vašeho účtu glumea neukončí strhávání plateb (oddíl 13.1 tam), a nejprve exportujte, protože až budou vaše řádky pryč, export vám už vytvořit nemůžeme (oddíl 13.3 tam).

Tři různé ovládací prvky, tři různé výsledky. Snadno se pletou, proto:

Ovládací prvek	Kde je	Co odstraní	Co ponechá	Co to může vrátit zpět
Smazání jednoho záznamu	Tam, kde jste ho zaznamenali	Ten záznam, jen v tom zařízení	Serverovou kopii, která ho může vrátit	Přeinstalace, nový telefon, nebo odhlášení a opětovné přihlášení
Smazat data ze serveru	List Cloudová synchronizace, otevřený cloudovým tlačítkem na obrazovce Souhrn nebo Historie, ne v Nastavení	Serverovou kopii vašich záznamů, katalogů léků a rozvrhů	Váš účet, váš profil, vaše nastavení terapie a vše ve vašem telefonu	Opětovné zapnutí synchronizace znovu nahraje data z vašeho telefonu
Smazat účet	Nastavení → Účet, nebo e-mail na [email protected], pokud nemůžete Aplikaci použít	Váš účet a související produkční data na našich serverech; cesta v aplikaci vymaže i toto zařízení	Stávající zálohy, některé záznamy poskytovatelů a veškerá data v zařízeních, kterých se vymazání v aplikaci nedotkne	Nic smazaný účet neobnoví

Smazat data ze serveru vyžaduje aktivní přihlášení a nejprve vypnutý přepínač Synchronizace; proč, vysvětlují tři poznámky na konci tohoto oddílu.

Smazání účtu v Aplikaci ho z naší produkční databáze odstraní okamžitě. Ověřená žádost e-mailem používá stejnou serverovou cestu mazání. Takto to vypadá u jednotlivých cílů.

Naše produkční databáze: smazání účtu provede úplné smazání vašeho záznamu uživatele, když ho potvrdíte v Aplikaci nebo když provozovatel dokončí ověřenou žádost e-mailem. Vše, co je k němu připojeno, se s ním odstraní kaskádou databáze: váš profil, vaše nastavení terapie, každý synchronizovaný záznam glykémie, jídla, hmotnosti, inzulinu, tablet a injekčních léků, vaše katalogy léků a rozvrhy, vaše relace a vaše čekající ověřovací kódy a kódy k obnovení. Neexistuje žádný příznak měkkého smazání a žádná obnova.
Záznamy o oznámeních o předplatném: každý řádek obsahuje identifikátor vašeho účtu glumea a úplnou zprávu, kterou RevenueCat poslal. Není propojen s řádkem vašeho účtu, takže ho automatická kaskáda nezasáhne, ale služba mazání ho odstraní samostatně ve stejné transakci. Bez smazání účtu každý řádek po 90 dnech odstraní naplánovaná úloha.
RevenueCat: smazání účtu zařadí do fronty žádost o odstranění záznamu odběratele pod identifikátorem vašeho účtu. Žádost zkoušíme odeslat okamžitě a opakujeme ji, pokud je poskytovatel nedostupný. Historie fakturace v obchodě zůstává mimo naši kontrolu.
PostHog: smazání účtu zařadí do fronty žádost o odstranění analytického profilu propojeného s účtem a jeho událostí a nahrávek. Zkoušíme okamžitě a opakujeme, pokud je poskytovatel nedostupný. PostHog může přijaté hromadné smazání dokončit asynchronně. Události před přihlášením používají samostatný pseudonymní identifikátor zařízení.
Zálohy serveru: kopie toho, co bylo smazáno, zůstává v automatických zálohách databáze našeho poskytovatele hostingu, dokud se tyto zálohy nepřepíšou: 7 dní, a v žádném případě ne déle než šest měsíců po autentizaci tam, kde se tento zákonný limit uplatní. Jednotlivé záznamy se uvnitř zálohy neupravují. Obnova po havárii proto může dočasně znovu zavést řádky, které byly z produkce smazány.
Logy serveru: smazání účtu zpětně nevymaže logy serverových požadavků, které se uchovávají 30 dní.
Sentry: Aplikace k diagnostickému hlášení nepřipojuje žádný identifikátor účtu, e-mailovou adresu ani záznam uživatele. Neexistuje proto podporovaný způsob, jak hlášení jednotlivého uživatele najít nebo smazat. Hlášení vytvořená obslužnou rutinou pádů operačního systému filtrem Aplikace neprocházejí a neznáme všechna pole, která platformní SDK přidává. Hlášení vyprší podle uchovávání Sentry: 90 dní. Článek 11 odst. 2 GDPR se týká údajů, u nichž správce skutečně nemůže subjekt údajů identifikovat.
Apple a Google: vaše záznamy o nákupech a předplatném patří obchodu, ne nám. Smazání vašeho účtu glumea neruší předplatné a nesmaže nic u Apple ani Google. Zrušte v nastavení účtu v obchodě; jejich záznamy se řídí jejich zásadami a daňovým právem.
Vaše vlastní zařízení: smazání účtu uvnitř Aplikace, odhlášení nebo přepnutí účtů vymaže ze zařízení místní databázi, přihlašovací údaje relace a uložené předvolby. Žádost e-mailem nemůže zařízení vzdáleně vymazat. Vymazání předvolby telemetrie spolehlivě nevypne SDK, které je v běžícím procesu už inicializované. Příznak první instalace a šifrovací klíč databáze mohou vymazání v aplikaci přežít, ale ani jeden neobsahuje data deníku. Záloha zařízení do iCloud může obsahovat nečitelnou zašifrovanou kopii databáze; záloha Androidu je pro Aplikaci vypnutá.
Kopie, které jste vytvořili sami: archiv .glumea, CSV, zpráva PDF, cokoli, co jste sdíleli nebo uložili jinam: ty jsou vaše a jsou mimo náš dosah. Smažte je tam, kam jste je uložili.

Shrnutí časování: smazání produkční databáze nastane, když ho potvrdíte v Aplikaci, nebo když provozovatel dokončí ověřenou žádost e-mailem. Žádosti o smazání u RevenueCat a PostHog se zkoušejí okamžitě a při selhání se zařadí k opakování. Kopie může v zálohách hostingu zůstat, dokud se nepřepíšou, do 7 dnů.

Samotná kaskáda databáze nezasáhne logy serverových požadavků, hlášení Sentry, záznamy o oznámeních o předplatném ani záznamy poskytovatelů. Služba mazání samostatně odstraní oznámení o předplatném a požádá o výmaz záznamů u RevenueCat a PostHog. Logy serveru a hlášení Sentry vyprší podle nastavených dob uchovávání.

Smazání je trvalé. Smazaná data nelze obnovit, takže pokud byste své záznamy mohli později potřebovat, například pro svůj zdravotnický tým, nejprve si pořiďte kopii pomocí možností exportu popsaných u vašich práv.

Můžete také požádat o smazání účtu e-mailem bez Aplikace. Před zpracováním ověřujeme vlastnictví.

Ještě tři věci o užším ovládacím prvku Smazat data ze serveru, který odstraní serverovou kopii vašich záznamů, vašich katalogů léků a vašich rozvrhů léků, ale ponechá váš účet, váš profil, vaše nastavení terapie a vše ve vašem zařízení:

Vyžaduje aktivní přihlášení. Pokud vaše relace vypršela, což je stav popsaný v oddílu 10, kdy list zobrazuje Pozastaveno: odkaz vám řekne, abyste se znovu přihlásili, a do té doby nic neudělá. Stačí se znovu přihlásit; nic se mezitím neztratí.
Vyžaduje, aby byla nejprve vypnutá Cloudová synchronizace. Pokud synchronizaci potom znovu zapnete, záznamy, které jsou ještě ve vašem zařízení, se zařadí do fronty a nahrají znovu, smazání na serveru zruší vaše vlastní zařízení.
Nešíří se do vašich dalších zařízení. Ta si ponechají své místní kopie a nejsou upozorněna.

13. Vaše ovládací prvky v Aplikaci

Abyste mohli své údaje spravovat, nemusíte nám psát e-mail. Aplikace vám dává tyto vestavěné ovládací prvky:

Smazat účet: v Nastavení → Účet, poté co napíšete potvrzovací slovo. Provede serverové úplné smazání popsané výše a vymaže z tohoto zařízení místní databázi Aplikace, přihlašovací údaje relace a předvolby. O serverové smazání účtu můžete také požádat na [email protected], pokud Aplikaci použít nemůžete. Oddíl 12 uvádí, co zůstává.
Smazat data ze serveru: odkaz je smazat v řádku pod přepínačem Synchronizace v listu Cloudová synchronizace, který se otevírá cloudovým tlačítkem nahoře na obrazovce Souhrn nebo Historie, a ne z Nastavení. Úplně smaže serverovou kopii vašich záznamů, vašich katalogů léků a vašich rozvrhů léků, přičemž ponechá váš účet a data ve vašem zařízení. Nesahá dál: váš profil a vaše nastavení terapie zůstávají na našich serverech, dokud nesmažete svůj účet. Odkaz je zobrazen vždy, ale funguje, až když je přepínač vypnutý. Přečtěte si tři poznámky těsně nad tím.
Cloudová synchronizace: přepínač Synchronizace v tomtéž listu a funkce glumea+. Kdykoli ji vypněte, aby se na naše servery nedostávala nová data, což je také způsob, jak odvoláte souhlas s tím, abychom je ukládali; vypnutí nikdy nevyžaduje aktivní předplatné. Data, která už byla synchronizována, zůstávají na našich serverech, dokud nepoužijete Smazat data ze serveru nebo Smazat účet. Vaše odpověď na tento přepínač se uchovává u vašeho účtu, takže přežije odhlášení a následuje vás na nový telefon.
Analytika používání a Hlášení chyb: dva nezávislé přepínače v Nastavení → Data a soukromí → Soukromí a diagnostika. Oba jsou vypnuté, dokud je nezapnete. Vypnutí jednoho aktualizuje předvolbu, ale data ve frontě mohou být stále doručena a odhlášení spolehlivě nezavře SDK již inicializované v běžícím procesu.
Apple Health / Health Connect: připojte, odpojte nebo vypněte jednotlivé typy dat v Nastavení → Propojení. Oprávnění můžete také odvolat v samotné zdravotní platformě.
Zobrazovat podrobnosti v oznámeních (Nastavení → Oznámení): vypnuto, dokud to nezapnete. Dokud to neuděláte, oznámení zobrazují obecný text.
Odhlásit se: vymaže z vašeho zařízení místní databázi Aplikace, přihlašovací údaje relace a vaše předvolby, včetně vašich voleb analytiky a diagnostiky. Nic, co jste zaznamenali, a žádná volba, kterou jste učinili, se nezadržuje; oddíl o smazání jmenuje dvě technické hodnoty, které přežijí.
Export: archiv .glumea chráněný heslem s vašimi záznamy, léky, profilem, cíli terapie a připomenutími, z Nastavení → Data a soukromí → Import a export dat. Zprávy o glykémii ve formátu CSV a PDF jsou něco jiného, vytvářejí se z vlastního exportního listu obrazovky glykémie; archiv a CSV jsou zdarma a zpráva PDF je funkce glumea+.

[email protected] přijímá žádosti o smazání účtu bez Aplikace. Posílat tam lze i jiné žádosti o práva mimo aplikaci, ale cesta smazání účtu neposkytuje samostatný automatizovaný nástroj pro export ani opravu.

14. Vaše práva

Podle GDPR máte právo:

Na přístup ke svým osobním údajům a na jejich kopii.
Na opravu nepřesných nebo neúplných údajů. Záznamy a léky můžete upravit tam, kde jste je zaznamenali, svůj profil v Nastavení → Účet a nastavení terapie tam, kde jste je zadali. Žádný samostatný postup opravy mimo aplikaci není v současnosti implementován.
Na výmaz svých údajů („právo být zapomenut“). Oddíl o smazání výše vám přesně říká, čeho se výmaz týká a čeho ne.
Na omezení zpracování v určitých situacích.
Na přenositelnost údajů: získat údaje, které jste poskytli, ve strukturovaném, běžně používaném a strojově čitelném formátu, kde toto právo zákon poskytuje. Export glykémie CSV v aplikaci je strojově čitelný a nešifrovaný. Archiv .glumea obsahuje záznamy, léky, profil, cíle terapie a připomenutí, ale je zašifrovaný heslem, které znáte jen vy, a lze ho importovat jen do účtu glumea, který ho vytvořil. Žádný další vlastní export není v současnosti dostupný přes [email protected].
Vznést námitku proti zpracování založenému na našich oprávněných zájmech.
Odvolat souhlas kdykoli. Odvolání se nedotýká zpracování, které bylo před odvoláním zákonné. U synchronizovaných údajů deníku vypněte Cloudovou synchronizaci a použijte Smazat data ze serveru, nebo smažte svůj účet. U analytiky a diagnostiky použijte dva přepínače v Nastavení → Data a soukromí → Soukromí a diagnostika. Neexistuje ovládací prvek pro odstranění jen profilu nebo jen nastavení terapie a žádný takový postup není v současnosti dostupný přes [email protected]. Smazání účtu je jediný implementovaný způsob, jak tato pole odstranit z naší produkční databáze.
Podat stížnost u dozorového úřadu. Naším vedoucím dozorovým úřadem je předseda Úřadu pro ochranu osobních údajů (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Varšava, Polsko. Stížnost můžete podat také u úřadu pro ochranu osobních údajů v členském státě EU, kde žijete, kde pracujete, nebo kde se domníváte, že došlo k porušení. Pokud jste ve Spojeném království, můžete podat stížnost u Information Commissioner’s Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF.

Používejte ovládací prvky v aplikaci popsané v oddílu 13, kde pokrývají požadovanou akci. Pro smazání účtu bez Aplikace pište na [email protected]. Tam lze posílat i jiné žádosti o práva; tato cesta smazání účtu sama o sobě neposkytuje samostatný nástroj pro přístup, export ani opravu.

Pokud správce na žádost podle GDPR nereaguje, článek 12 vyžaduje, aby do jednoho měsíce vysvětlil důvod a uvedl dostupné cesty ke stížnosti a soudní ochraně. Tyto cesty zůstávají dostupné, ať už se na správce znovu obrátíte, nebo ne.

Ověření totožnosti. Smazání v aplikaci se opírá o vaši ověřenou relaci. U žádosti e-mailem potvrzujeme, že ovládáte e-mail propojený s účtem. Pokud k němu nemáte přístup, posoudíme, zda je možný jiný způsob ověření vlastnictví, než účet smažeme. K vyřízení žádosti nepožadujeme vaše heslo ani vaše záznamy o zdraví.

15. Jak vaše údaje chráníme

Hesla se hashují pomocí bcrypt, nikdy se neukládají jako prostý text a nikdy se neukládají ve vašem zařízení.
Místní databáze ve vašem zařízení je šifrovaná, s klíčem uloženým v úložišti klíčů platformy, který se nepřenáší do jiného zařízení.
Autentizační tokeny se uchovávají v zabezpečeném úložišti vašeho zařízení, v Klíčence iOS nebo v úložišti Androidu podporovaném Keystore.
Aplikace komunikuje s našimi servery přes HTTPS a obě platformy ve výchozím nastavení blokují nešifrovaná spojení, žádnou výjimku jsme nepřidali ani v iOS, ani v Androidu.
Naše databáze běží uvnitř Google Cloud, dosažitelná jen přes soukromý socket Cloud SQL, s přístupovými údaji uloženými v Google Secret Manager.
Hodnoty, které zaznamenáváte, hodnoty glykémie, dávky inzulinu, do našich aplikačních logů nezapisujeme. Řádek chybového logu zaznamenává stavový kód, cestu, čas a chybovou zprávu, která u odmítnutého požadavku jmenuje pole, jež neprošla validací. Neobsahuje tělo požadavku.
Oznámení mají ve výchozím nastavení obecný text, takže oznámení nevystavuje vaše údaje o zdraví na zamčené obrazovce.
Přístup k produkční databázi je omezen na lidi, kteří službu provozují, což znamená, že ji můžeme číst. Před všemi ostatními ji chrání řízení přístupu a šifrování při přenosu a v klidu.

Žádný systém není dokonale bezpečný. Výše uvedená opatření jsou to, co děláme pro omezení toho, jak daleko jsou citlivé části vašich údajů vystaveny.

Incident týkající se osobních údajů může vyvolat oznámení dozorovým úřadům nebo dotčeným osobám podle článků 33 a 34 GDPR, pravidla FTC pro oznamování porušení zabezpečení zdravotních údajů nebo jiného použitelného práva. Každý režim má svůj rozsah a lhůtu a tyto zákonné povinnosti platí nezávisle na těchto zásadách.

16. Děti

glumea není určena dětem. K používání Aplikace musíte být starší 16 let. To je podmínka služby bez ohledu na místo. Nenabízíme žádnou cestu rodičovského souhlasu. Proces smazání účtu v aplikaci a omezení v oddílu 12 se uplatní u každého účtu, o němž se zjistí, že patří osobě mladší 16 let. Obavy ohledně účtu nezletilé osoby lze posílat na [email protected].

17. Poznámky pro uživatele ve Spojených státech

Právo na ochranu soukromí v USA se liší podle státu a použitelnost závisí na bydlišti, zákonných prazích a typu dotčených údajů. Ovládací prvky v aplikaci popsané v oddílu 13 jsou dostupné nezávisle na těchto prazích. Použitelná zákonná práva zůstávají v platnosti i tam, kde současnému produktu chybí samostatný postup žádostí.

HIPAA: glumea je produkt přímo pro spotřebitele. Neposkytujeme zdravotní péči, nezpracováváme nároky a nemáme žádnou smlouvu se zdravotním plánem ani poskytovatelem zdravotní péče o nakládání s údaji jejich jménem, takže nejednáme v žádné z rolí, které HIPAA reguluje, „kryté entity“ ani „obchodního partnera“, a netvrdíme, že HIPAA splňujeme. Záznamy, které o vás vede váš lékař, jsou v jeho rukou pokryty HIPAA; to je oddělené od kopie, kterou si uchováváte v glumea. Pravidla USA, podle kterých pro glumea postupujeme, jsou pravidlo FTC pro oznamování porušení zabezpečení zdravotních údajů a níže uvedené státní zákony o ochraně zdravotního soukromí.
Kalifornie (CCPA/CPRA): použitelnost závisí na zákonných obchodních prazích. Zde popsané údaje mohou zahrnovat citlivé osobní informace. Osobní informace neprodáváme ani je nesdílíme pro behaviorální reklamu napříč kontexty. Pokud se CCPA uplatní, jeho pravidla o přístupu, opravě, výmazu, přenositelnosti, odhlášení a zákazu diskriminace platí nezávisle na těchto zásadách. Ovládací prvky v aplikaci a žádost o smazání účtu e-mailem zůstávají dostupné bez ohledu na práh.
Washington (My Health My Data Act): údaje, které zaznamenáváte, jsou „údaje o zdraví spotřebitelů“. Washington pro ně vyžaduje samostatné zásady; viz Zásady ochrany údajů o zdraví spotřebitelů. Popisují kategorie, zdroje, účely, příjemce, zákonná práva a současná provozní omezení procesu žádostí a odvolání.
Nevada (zákon o údajích o zdraví spotřebitelů, SB 370 z roku 2023): údaje, které zaznamenáváte, jsou „údaje o zdraví spotřebitelů“ i podle práva Nevady. Máte právo potvrdit, zda je shromažďujeme, sdílíme nebo prodáváme, získat seznam třetích stran, s nimiž byly sdíleny nebo kterým byly prodány, nechat je smazat a odvolat svůj souhlas, který Nevada považuje za dva samostatné souhlasy, jeden se shromažďováním a jeden se sdílením. Zákon Nevady vymáhá generální prokurátor. Naše Oznámení o ochraně údajů o zdraví spotřebitelů v Nevadě uvádí tato práva, lhůty, které se na ně vztahují a které jsou u smazání kratší než ve Washingtonu, a čtyři zveřejnění, která Nevada vyžaduje.
Žádosti a odvolání. Použitelné státní právo může vyžadovat písemné vysvětlení, cestu odvolání a informace o podání stížnosti u generálního prokurátora státu. Na [email protected] není v současnosti implementován žádný samostatný postup odvolání e-mailem, takže současný proces tuto cestu neposkytuje tam, kde se vyžaduje. Požadavky Washingtonu jsou popsány v Zásadách ochrany údajů o zdraví spotřebitelů.
Další použitelná práva podle státního práva tyto zásady neomezují.

18. Web glumea.com

Web je statický web, který obsahuje informace o glumea a tyto právní dokumenty. Je záměrně minimální:

Žádné cookies.
Žádná analytika a žádné požadavky na zdroje třetích stran. Vše, co stránka potřebuje, včetně písem a skriptů, se obsluhuje ze samotného glumea.com a zásady zabezpečení obsahu webu jakýkoli jiný zdroj úplně blokují. Samotnou stránku doručuje náš hostitel, který žádost nutně vidí; poslední odrážka tohoto seznamu říká, kdo to je a co zaznamenává. Web spouští malé množství vlastního JavaScriptu: dva vložené úryvky, které použijí váš motiv a pošlou vás na správný jazyk, a několik přibalených souborů za navigační nabídkou, přepínači motivu a jazyka a animací, která odhaluje bloky při rolování. Nic z toho nikam nic neposílá.
Žádné sledování napříč weby, a proto nic, co by signál Do Not Track nebo Global Privacy Control mohl vypnout. Web nenastavuje žádné reklamní ani analytické cookies, nedělá žádné požadavky třetích stran a osobní údaje neprodáváme ani nesdílíme.
Úložiště localStorage prohlížeče se používá jen pro funkční předvolby (vaši volbu motivu a jazyka). Tyto hodnoty zůstávají ve vašem prohlížeči a nepřenášejí se k nám. Nastavují se jen proto, že jste si zvolili motiv nebo jazyk, a proto pro ně není potřeba banner se souhlasem.
Web obsluhuje Firebase Hosting (Google). Jako většina webových hostitelů může poskytovatel zaznamenávat běžné logy serveru, IP adresu, čas požadavku, typ prohlížeče, pro zabezpečení a provoz služby. Opíráme se zde o oprávněné zájmy (čl. 6 odst. 1 písm. f) GDPR), konkrétně udržení dostupnosti webu a jeho ochranu před zneužitím, a logy se uchovávají jen tak dlouho, jak je pro tyto účely potřeba.

19. Změny těchto zásad

Aktuální verze je zde zveřejněna s datem účinnosti. O tom, zda změna vyžaduje předchozí oznámení, obnovený souhlas nebo jiný krok, rozhoduje použitelné právo. Zveřejnění aktualizovaných zásad samo o sobě neopravňuje nový účel, který vyžaduje souhlas nebo jiný právní základ.

20. Jazyk

Tyto zásady jsou zveřejněny v angličtině. Právně závazná je anglická verze. Překlady do jiných jazyků jsou zveřejňovány proto, abyste si zásady mohli přečíst ve svém jazyce. Kde se překlad a anglický text liší, rozhoduje anglický text.

Výjimkou je samotné právo. Kde země, v níž žijete, přiznává jazyku, v němž jste byli osloveni, samostatné postavení, jak to dělá spotřebitelské právo několika zemí, uplatní se toto pravidlo místo tohoto a nic zde vám neodebírá právo, které podle něj máte.

Překlad se zveřejní, až když je hotový, takže po aktualizaci může za anglickým textem zaostávat. Pokud najdete místo, kde překlad a anglický text říkají něco jiného, dejte nám vědět na [email protected].

21. Kontaktujte nás

Otázky, obavy nebo žádosti týkající se vašich údajů:

E-mail: [email protected]
Pošta: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polsko

Související dokumenty: Podmínky služby, Lékařské upozornění a pro obyvatele Washingtonu naše Zásady ochrany údajů o zdraví spotřebitelů, nebo pro obyvatele Nevady naše Oznámení o ochraně údajů o zdraví spotřebitelů v Nevadě.