Privatlivspolitik

1. Hvem vi er, og hvad denne politik dækker

Paweł Milewski Software Development (Udbyderen, “vi”, “os”, “vores”) leverer glumea (Appen), en mobilapp til selvmonitorering af diabetes, og glumea.com (Hjemmesiden). Denne politik forklarer, hvilke data vi indsamler, hvorfor, hvor de opbevares, hvem der har adgang til dem, hvor længe de opbevares, hvad sletning fjerner, og hvilke rettigheder og kontroller du har.

Den er også den information, vi skylder dig efter europæisk databeskyttelseslovgivning: de oplysninger, som artikel 13 og 14 i databeskyttelsesforordningen (forordning (EU) 2016/679), som vi herefter kalder GDPR, kræver, både om de data, du selv giver os, og om de data, der når os fra anden side.

Denne politik dækker:

Appen: glumea-mobilappen til iOS og Android.
Hjemmesiden: hjemmesiden glumea.com, herunder de sider, der rummer disse juridiske dokumenter.

Hjemmesiden indsamler næsten ingenting, og den har sit eget afsnit nedenfor.

Udbyderen er den dataansvarlige for dine personoplysninger:

Dataansvarlig: Paweł Milewski Software Development
Virksomhedsregistreringsnummer: NIP PL6751782526 (enkeltmandsvirksomhed registreret i CEIDG, det polske centrale register og informationssystem for virksomheder)
Postadresse: ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polen
E-mail: [email protected]
Etableringsland: Polen

Hvis det er relevant:

Repræsentant i EU: ikke relevant (vi er etableret i Den Europæiske Union)
Repræsentant i Storbritannien: ikke udpeget
Databeskyttelsesrådgiver: ikke udpeget; spørgsmål om databeskyttelse sendes til [email protected]

“Dataansvarlig” betyder den part, der afgør, hvordan og hvorfor dine personoplysninger behandles, som defineret i GDPR.

To andre dokumenter gælder sammen med denne politik, og du bør læse dem sammen med den:

vores Servicevilkår, som regulerer din brug af Appen og Hjemmesiden, og
vores Medicinsk ansvarsfraskrivelse, som fastlægger de medicinske grænser for, hvad Appen gør.

Hvis du er bosiddende i Washington, gælder der et fjerde dokument specifikt for dig: vores Privatlivspolitik for forbrugersundhedsdata, som lovgivningen i Washington kræver, at vi offentliggør særskilt. Hvis du er i Nevada, er det tilsvarende dokument vores Privatlivsmeddelelse for forbrugersundhedsdata i Nevada.

2. Oversigt

En kort version af det, der følger. Hvert punkt nævner det afsnit, der gennemgår det fuldt ud, og det afsnit er det, der gælder.

Hvem vi er. Paweł Milewski Software Development afgør, hvordan og hvorfor dine data behandles. Afsnit 1 og 21.
Hvad vi indsamler. Din e-mailadresse og din adgangskode; den profil, du angiver under introduktionen; den dagbog, du fører, blodsukker, mad, insulin, anden medicin, vægt, medicin og påmindelser; login-tokens og registreringer af serverforbindelser. Registreringer fra Apple Health eller Health Connect, hvis du forbinder dem, og abonnementsoplysninger, hvis du tegner abonnement. Afsnit 3.
Sundhedsdata. Dagbogen, diabetestypen, behandlingsformen og behandlingsindstillingerne er særlige kategorier af oplysninger efter artikel 9 i GDPR. Cloud-synkronisering har en separat bekræftelse for dagbogen. Den nuværende introduktion indhenter ikke et separat udtrykkeligt samtykke, før sundhedsprofilen og behandlingsindstillingerne gemmes. Afsnit 3.3 og 4.
Hvor det er. Nogle af dine data ligger på vores servere fra det øjeblik, du opretter en konto: dine kontooplysninger, din profil med din diabetestype og behandling og dine behandlingsindstillinger. Din dagbog gør ikke: den skrives først til en krypteret database på din telefon, Appen virker offline, og dagbogen når kun vores servere, hvis du slår Cloud-synkronisering til, en glumea+-funktion, som er slået fra, indtil du slår den til, og et valg, der er knyttet til din konto og ikke til telefonen. Afsnit 10 har den fulde tabel.
Hvem der modtager det. Vores EU-hostingudbyder; en e-mailudbyder, hvis e-mailudsendelse er aktiveret; PostHog og Sentry, hver især først efter at du har sagt ja til det; app-butikken, hvis du tegner abonnement; og RevenueCat, uanset om du tegner abonnement eller ej. Vi sælger ikke dine data, og Appen indeholder ingen reklamer. Afsnit 5, 7, 8 og 9.
Dine valg. Analyse og fejlrapportering er slået fra, indtil du siger ja til hver af dem, og hver har sin egen kontakt; hvis du logger ud, stopper det ikke en SDK, der allerede kører i den session. I Appen kan du slå synkronisering fra, slette serverkopien af din dagbog, slette din konto og bruge de eksportfunktioner, der er implementeret. Afsnit 5 og 13.
Dine rettigheder. Indsigt, berigtigelse, sletning, begrænsning, dataportabilitet, indsigelse, tilbagetrækning af samtykke og klage til en databeskyttelsesmyndighed; i USA de rettigheder, din stats lovgivning giver dig. Du kan slette din konto i Appen eller anmode om sletning af kontoen ved at skrive til [email protected] uden at bruge Appen. Afsnit 13, 14 og 17.
Hvad sletning ikke når. Når du sletter din konto, fjernes kontoens poster i produktionsdatabasen, og der anmodes om sletning af de kontotilknyttede poster hos RevenueCat og PostHog. Eksisterende sikkerhedskopier, server- og diagnostiklogs, butikkernes faktureringsposter og eksporterede kopier kan fortsat eksistere som beskrevet i afsnit 12.

3. Data, vi indsamler

Det meste af det, der er opført her, giver du os direkte. To kategorier gør ikke: målinger, du importerer fra Apple Health eller Health Connect, og abonnementsoplysninger, der når os fra Apple, Google og RevenueCat. Begge er beskrevet nedenfor.

3.1 Kontodata

E-mailadresse og adgangskode. Din adgangskode hashes på vores servere med bcrypt, gemmes aldrig i klartekst og gemmes aldrig på din enhed. Din e-mailadresse indgår også i det login-token, som Appen bruger.
Engangskoder til bekræftelse af e-mail, nulstilling af adgangskode, skift af adgangskode og skift af e-mail. En kode udløber 10 minutter efter, at den er udstedt, og fem forkerte forsøg gør den ugyldig.

3.2 Profildata

Indsamles under introduktionen:

For- og efternavn (gemt som et kaldenavn), alder, køn (valgfrit) og højde.
Diabetestype (type 1, type 2, graviditetsdiabetes eller andet), behandlingsformer (insulin, tabletter, injicerbare lægemidler, kost) og insulinleveringsmetode.

Din diabetestype, dine behandlingsformer og din insulinleveringsmetode er sundhedsdata, en “særlig kategori” af personoplysninger efter artikel 9 i GDPR, selv om denne politik grupperer dem under “profil”. Afsnittet om retsgrundlag nedenfor angiver, hvilken betingelse vi støtter os til for dem.

3.3 Sundhedsdata, du logger (data i en særlig kategori)

Følgende er sundhedsdata, en “særlig kategori” af personoplysninger efter artikel 9 i GDPR. Vi opbevarer dem kun på vores servere med dit udtrykkelige samtykke. Afsnittet om retsgrundlag nedenfor angiver, hvordan samtykket gives, og hvilke af disse data der kun når vores servere, når Cloud-synkronisering er slået til:

Blodsukkermålinger med valgfrie kontekst-tags (måltidstidspunkt, fysiologi, aktivitet, medicin og teknologi samt tags, du selv skriver) og noter i fri tekst.
Madregistreringer: kulhydrater samt valgfrit protein, fedt, kalorier og et navn, du selv skriver.
Insulindoser: antallet af enheder, knyttet til den insulinmedicin, du har konfigureret, bolus, basal eller præblandet.
Doser af injicerbar medicin (for eksempel GLP-1-agonister).
Antal indtagne piller og tabletter.
Vægtregistreringer, hver med det tidspunkt, du registrerede dem.
Dine medicinkataloger: insulin, piller og injicerbar medicin, du konfigurerer, herunder lægemiddelnavne (for eksempel Fiasp, Lantus, Metformin, Ozempic) og farmakokinetiske parametre (indtræden, top, varighed) samt de påmindelsestidspunkter, du angiver for dem.
Behandlingsindstillinger, du konfigurerer: dit målområde for blodsukker (som standard 3,9–10,0 mmol/L eller 3,9–7,8 mmol/L ved svangerskabsdiabetes, prædiabetes eller ingen diagnose), kulhydratratio (ICR) og insulinfølsomhed (ISF). Appen bruger aldrig nogen af dem til at beregne eller anbefale en dosis. Din kulhydratratio gemmes til din egen reference, og intet andet læser den. Dit målområde gemmes og er også det, der tegner målområdebåndet i Tid i målområde, fastsætter de indre kanter af etiketten God / Moderat / Kritisk og afgør, hvornår formuleringen om risiko for lavt blodsukker ændres. Din insulinfølsomhed bruges til at udlede formuleringen om risiko for lavt blodsukker og det omtrentlige faldinterval, der vises ved siden af aktivt insulin. Medicinsk ansvarsfraskrivelse beskriver det hele.
Værdier, som Appen udleder på din enhed ud fra det, du logger: estimeret aktivt insulin (et estimat, der kun er til orientering: det anbefaler eller beregner ikke en dosis), formuleringen om risiko for lavt blodsukker og det omtrentlige faldinterval, der vises ved siden af, tendenser, gennemsnitligt blodsukker og dets spredning, Tid i målområde, det estimerede HbA1c (GMI), det foreslåede tidspunkt for din næste måling og etiketten God / Moderat / Kritisk på din seneste måling. Medicinsk ansvarsfraskrivelse angiver, hvad hver af dem er, og hvad de ikke er.

Flere af disse felter er fri tekst: blodsukkernoter, tags, du selv skriver, madnavne, brugerdefinerede medicinnavne og navnet på et brugerdefineret påmindelsesfelt. Det, du skriver der, gemmes, og synkroniseres, hvis synkronisering er slået til, præcis som du skrev det.

3.4 Data, vi modtager fra andre kilder

Apple Health og Health Connect. Hvis du forbinder dem, læser Appen blodsukker-, kropsvægt- og kostkulhydratregistreringer fra sundhedsplatformen på din telefon. Det er skrivebeskyttet: Appen skriver aldrig noget tilbage. På iOS beder den kun systemet om læseadgang og angiver ingen begrundelse for at skrive, hvilket en skrivning ville kræve; på Android har den kun læsetilladelser til de tre registreringstyper. Registreringer, der oprindeligt stammer fra et måleapparat, en CGM eller en anden app, når derfor glumea gennem sundhedsplatformen. Importerede registreringer gemmes på din enhed som almindelige registreringer, mærket med den platform, de kom fra, og postens identifikator. Om en importeret registrering også kopieres til vores servere, afhænger af, om Cloud-synkronisering er slået til, på præcis samme måde som for en registrering, du selv har skrevet ind. Forbindelsen er slået fra, indtil du slår den til, og du kan til enhver tid afbryde den eller slå enkelte datatyper fra i Indstillinger → Integrationer.
Apple, Google og RevenueCat. Hvis du tegner abonnement på glumea+, når oplysninger om det abonnement os fra butikken og fra RevenueCat. Se afsnittet om glumea+ nedenfor for præcis hvilke.

3.5 Tekniske data

Godkendelsestokens, gemt i din enheds sikre lager, så du forbliver logget ind. Din session på vores servere er en post, der rummer et sessions-id, dit bruger-id og sessionens udløbstidspunkt.
Når Cloud-synkronisering er slået til, behandler vores servere de data, du synkroniserer, sammen med den bogføring, der skal til for at drive synkroniseringstjenesten, f.eks. synkroniseringstidsstempler.
Når Appen kommunikerer med vores servere, modtager serverne almindelige forbindelsesoplysninger som din IP-adresse, den anmodede sti og tidspunktet, som bruges til sikkerhed og til at drive tjenesten.
Mens analyse eller diagnostik er aktiveret, sender hver SDK de data, der er beskrevet i afsnit 5. Begge er slået fra, indtil du siger ja til dem.

3.6 Data, der kun ligger på din enhed, og data, der ikke gør

Nogle ting når aldrig vores servere: notifikationsindstillinger, tidspunkter for påmindelser om blodsukkermåling, Stille timer, valget af detaljer i notifikationer, lokal notifikationstilstand, tilstanden for forbindelsen til sundhedsplatformen, appindstillinger, telemetriindstillinger og synkroniseringens bogføring. Ét forbehold: Mens analyse er aktiveret, sendes sprog-, tema- og enhedsindstillinger til PostHog som profilattributter. Intet andet på denne liste forlader enheden gennem vores backend.

Dine medicinplaner er undtagelsen: De hører til dagbogen, så de kopieres til vores servere, når Cloud-synkronisering er slået til, en medicinpåmindelse skal kunne overleve en ny telefon.

Selve kontakten til cloud-synkronisering er heller ikke kun på enheden. Dit svar på den er knyttet til din konto på vores servere, så det følger med dig til en ny telefon og overlever, at du logger ud; afsnit 10 beskriver, hvad det betyder i praksis.

Filer, du selv opretter, et .glumea-sikkerhedsarkiv eller en CSV- eller PDF-blodsukkerrapport, skrives på din enhed og overdrages til den app, du vælger at dele eller gemme dem med. Hvor de havner derefter, er uden for vores kontrol, og en CSV- eller PDF-rapport er ikke krypteret.

4. Hvorfor vi behandler dine data, og vores retsgrundlag

Efter GDPR kræver hver anvendelse et grundlag efter artikel 6, og oplysninger i særlige kategorier kræver desuden en betingelse efter artikel 9. De tilsigtede grundlag er opført nedenfor. Det manglende samtykketrin for profilen, som er beskrevet nedenfor, giver ikke det udtrykkelige samtykke, som behandlingen kræver.

Levering af din konto og Appen: oprettelse og sikring af din konto, godkendelse, bekræftelse af e-mail, nulstilling af adgangskode, drift af cloud-synkronisering, levering af glumea+, hvis du tegner abonnement, og opbevaring af en oversigt over de abonnementsnotifikationer, som butikken og RevenueCat sender os, så vi kan se, om glumea+ er aktivt, og løse et faktureringsproblem: opfyldelse af en kontrakt, artikel 6, stk. 1, litra b, i GDPR.
Opbevaring af sundhedsdata på vores servere: de tilsigtede grundlag er artikel 6, stk. 1, litra b, for tjenesten og udtrykkeligt samtykke efter artikel 9, stk. 2, litra a, for sundhedsdataene. Dagbogen kopieres kun til vores servere efter den separate bekræftelse af Cloud-synkronisering. Den nuværende introduktion gemmer profil og behandlingsindstillinger på kontoen uden et separat trin med udtrykkeligt samtykke. Accept af en kontrakt er ikke automatisk et udtrykkeligt samtykke til behandling af oplysninger i særlige kategorier, så den nuværende introduktion giver ikke den betingelse efter artikel 9. Sletning af kontoen er den eneste implementerede måde at fjerne disse profil- og behandlingsfelter fra produktionsdatabasen.
Produktanalyse: samtykke efter artikel 6, stk. 1, litra a, udtrykkeligt samtykke efter artikel 9, stk. 2, litra a, fordi brug af en diabetesapp afslører oplysninger om helbred, og samtykke efter artikel 5, stk. 3, i e-databeskyttelsesdirektivet for lagring i SDK’en. Afsnit 5 beskriver, hvordan der bedes om det samtykke.
Diagnostik og nedbrudsrapporter: det tilsigtede grundlag er samtykke efter artikel 6, stk. 1, litra a, udtrykkeligt samtykke efter artikel 9, stk. 2, litra a, fordi brug af en diabetesapp afslører oplysninger om helbred, og samtykke efter artikel 5, stk. 3, i e-databeskyttelsesdirektivet for lagring i SDK’en, indhentet på samme måde som for analyse (afsnit 5).
Sikring af tjenesten og forebyggelse af misbrug: hastighedsbegrænsning på vores API og undersøgelse af mistanke om misbrug: vores legitime interesser, artikel 6, stk. 1, litra f, i GDPR. Den konkrete interesse er at beskytte din konto og andres konti mod uautoriseret adgang og at holde tjenesten tilgængelig. Vi støtter os kun til dette, hvor dine rettigheder ikke går forud for vores interesser.
Overholdelse af en retlig forpligtelse: hvor polsk ret kræver, at vi opbevarer eller videregiver bestemte oplysninger, gør vi det på grundlag af artikel 6, stk. 1, litra c, i GDPR. Vi støtter os ikke til dette grundlag for de sundhedsdata, du logger. Vi tager ikke imod din betaling, og vi modtager aldrig dine betalingsoplysninger, så betalings- og faktureringsposterne for dit køb opbevares af butikken og ikke af os.

Vi træffer ikke afgørelser om dig, der har retsvirkning eller på tilsvarende vis betydeligt påvirker dig, udelukkende baseret på automatisk behandling, og vi laver ikke profilering af dig til sådanne afgørelser. Der er ingen automatiske afgørelser i glumea i den forstand, der er omhandlet i artikel 22 i GDPR. De estimater, Appen viser, aktivt insulin, tendenser, Tid i målområde, er aritmetik, der udføres på din enhed på de data, du har indtastet, og som kun præsenteres til din orientering. De anbefaler eller beregner ingen insulin- eller medicindosis, og de er ikke medicinsk rådgivning.

Er det et krav at give data? Du er ikke ved lov forpligtet til at give data. En e-mailadresse og en adgangskode kræves for at have en konto. De profil- og behandlingsfelter, der bedes om under introduktionen, gemmes på kontoen, med forbehold for den begrænsning i samtykket, der er beskrevet ovenfor. Det er valgfrit at logge registreringer, at forbinde Apple Health eller Health Connect og at bruge cloud-synkronisering. Analyse og diagnostik er valgfrie og slået fra, indtil du siger ja til dem.

5. Analyse og diagnostik

Appen indeholder to tredjeparts-SDK’er til disse formål: én til produktanalyse og én til nedbruds- og fejlrapporter. Dette afsnit beskriver, hvad hver af dem er, og hvad den modtager.

Begge er slået fra, indtil du siger ja til dem, og ingen af SDK’erne startes før da. Appen spørger i slutningen af introduktionen med en separat kontakt for hver. Kontakterne vises i positionen til, men intet indsamles, før du trykker for at fortsætte, og ét tryk på afvisningsknappen afslutter introduktionen med begge slået fra. Hvis du logger ind på en eksisterende konto uden at gennemgå introduktionen, forbliver begge slået fra, indtil du slår dem til. De to indstillinger er uafhængige og kan til enhver tid ændres i Indstillinger → Data og privatliv → Privatliv og diagnostik. Når du logger ud, ryddes begge svar sammen med dine øvrige indstillinger, men en SDK, der allerede kører, bliver ved med at køre, indtil Appen lukkes.

5.1 Produktanalyse: PostHog

Vi bruger PostHog (EU Cloud, eu.i.posthog.com) til at forstå, hvordan Appen bruges, så vi kan forbedre den.

Hvad PostHog kan modtage, mens analyse er aktiveret:

Din glumea-kontoidentifikator: kontoens interne UUID. Ikke din e-mail og ikke dit navn. Når du er logget ind, knyttes hændelser til denne identifikator, så de hændelser er ikke anonyme. De hændelser, der kan ske, før du logger ind, eller efter du har logget ud, første start, appstart, tilmelding og bekræftelse af en kode sendt på e-mail, bærer i stedet en pseudonym enhedsidentifikator, og den identifikator genereres påny, når Appen nulstiller SDK’en.
En fast liste af hændelsesnavne, omkring 28 i alt, som dækker ting som at Appen åbnes, tilmelding, gennemførelse af introduktionen, gemning af en registrering, import fra Apple Health, tildeling eller afvisning af en notifikationstilladelse, oprettelse af en eksport, åbning af betalingsskærmen og udfaldet af et køb eller en gendannelse.
Et lille antal egenskaber, hver fra en lukket liste eller et afgrænset antal: hvilken slags registrering der blev gemt (blodsukker, mad, medicin eller vægt), hvor mange rækker ét gem skrev, om en registrering blev logget i øjeblikket eller med tilbagevirkende dato, om en eksport var CSV eller PDF, hvilket introduktionstrin der blev gennemført, den overordnede kategori af en påmindelse, du trykkede på, og lignende. Ingen egenskab noget sted i systemet accepterer fri tekst.
Den skærm, du er på, som en rutetemplate som /settings/privacy. Cifre afvises, så en postidentifikator ikke kan rejse med i en. En skærm, som kun én slags behandling når, f.eks. insulinindstillingerne, rapporteres som skærmen over den.
En håndfuld profilattributter: dit sprog, dit tema, dine enheder for blodsukker, vægt og kulhydrater, og om du har glumea+.
Det, PostHog-SDK’en selv tilføjer, uden for vores kontrol: enhedsmodel, operativsystem og version, appversion, SDK-version, tidszone, landestandard, netværkstype og en sessionsidentifikator. PostHog modtager også den IP-adresse, din anmodning kommer fra, som enhver webtjeneste gør, og udleder en omtrentlig placering ud fra den. Vi har ikke slået PostHogs mulighed for at kassere den adresse til, så den gemmes sammen med hændelsen.

Hvad PostHog ikke kan modtage: en blodsukkerværdi, en insulindosis, et medicinnavn, hvilken slags medicin du tager, en note, et madnavn, en e-mailadresse eller anden fri tekst. Det filter, der sikrer dette, er fail-closed: en hændelse, der ikke står på listen, kasseres helt, en egenskab, der ikke er deklareret, fjernes, og en deklareret egenskab, hvis værdi ikke svarer til den forventede form, fjernes også. Der findes ingen “vilkårlig streng”-egenskab i systemet. Der er ingen sessionsgengivelse, ingen skærmoptagelse, ingen spørgeskemaer, ingen automatisk indfangning af tryk og intet push-token.

Hændelserne er bygget, så de ikke afslører din behandling eller dine målinger. Insulin, tabletter og injicerbare lægemidler rapporteres alle som en medicinregistrering. Et tryk på en alarm om lavt eller højt blodsukker registreres slet ikke, og det gør det introduktionstrin heller ikke, som kun insulinbrugere ser. En import fra Apple Health eller Health Connect rapporterer, at den kørte, og hvad der udløste den, aldrig hvor mange poster den læste. Hændelserne er stadig knyttet til din konto, mens du er logget ind, og brug af en diabetesapp afslører i sig selv oplysninger om helbred, hvilket er grunden til, at analyse venter på dit samtykke.

Analyse-SDK’en gemmer sin egen identifikator på din enhed sammen med en kø af hændelser, der venter på at blive sendt. To begrænsninger følger af den måde, SDK’en fungerer på. Når du trækker samtykket tilbage, registreres én sidste hændelse af sig selv, nemlig at du fravalgte. Og den hændelse leveres sammen med alt, der allerede var indsamlet, mens du havde givet samtykke, bagefter efter SDK’ens egen tidsplan og ikke i det øjeblik, du trækker samtykket tilbage. Efter det indsamles intet nyt.

5.2 Diagnostik og nedbrudsrapporter: Sentry

Vi bruger Sentry (EU-region) til at finde ud af, hvornår Appen går ned eller fejler, så vi kan rette det.

Hver indholdsbærende del af en rapport, som Appen opbygger, bygges op påny fra bunden, før den sendes, ud fra en liste over felter, der er tilladt, og ikke en liste over felter, der skal fjernes. Et dusin eller deromkring resterende topniveaufelter ryddes i stedet ved navn, så et felt, som en fremtidig version af SDK’en nyligt tilføjer, ikke ville blive fanget af den rydning, før vi tilføjer det. Det, der overlever den genopbygning, er:

Undtagelsestypen og en beregnet etiket i stedet for den oprindelige fejlmeddelelse.
Stakken, med filnavne reduceret til deres basisnavn og, i releasebuilds, symbolnavne gjort uigenkendelige, de gøres kun læsbare hos Sentry ved hjælp af den mapping, vi uploader ved build.
Enhedsfamilie, model, arkitektur, om det er en simulator, og orientering.
Operativsystemets navn, version og build; appens navn, version og build; Dart-runtime-versionen.
Identifikatorer for debug-images, som skal bruges for at gøre native nedbrud læsbare.
Formen på brødkrummesporet, kategori, type, niveau og tidsstempel for de seneste hændelser, men aldrig deres indhold.
To etiketter: hvilket område af Appen der fejlede, og om det skete i forgrunden eller i baggrundsmotoren for notifikationer.
Udgivelsen, buildnummeret, miljøet og et tilfældigt genereret hændelses-id.

Det, der fjernes helt: fejlmeddelelsen, alle anmodningsdata, ethvert brugerobjekt, servernavnet, transaktionsnavnet, trådlister, modullister, værdier af lokale variabler, kildekodekontekst, absolutte stier, enhedens unikke id og navn, den installationsspecifikke apphash, brødkrummemeddelelser og -data, skærmbilleder, visningshierarkier og alle vedhæftninger. Skærmbilleder, optagelse af visningshierarki, sessionsgengivelse, ydelsessporing, logning og anmodningsindhold er alle slået fra. Appen knytter ingen brugeridentifikator til en Sentry-hændelse: intet konto-id, ingen e-mailadresse, intet enheds-id.

To begrænsninger af ovenstående:

Native nedbrud, hændelser hvor appen ikke svarer, og iOS-watchdog-afslutninger kan nå Sentry uden at passere gennem den genopbygning, fordi de produceres af operativsystemets nedbrudshåndtering og ikke af Appens egen kode. Det samme gælder det periodiske signal “appsession startet / afsluttet”, som Sentry bruger til udgivelsessundhed. Vi kan ikke inspicere dem på enheden, og vi kender ikke alle de felter, platforms-SDK’en lægger i en. Vi sætter ingen identifikator, der ville forbinde en af dem med dig.
Sentry modtager den IP-adresse, rapporten sendes fra.

Indtil du siger ja til diagnostik, er Sentry ikke startet. Når du slår kontakten fra, lukkes de rapportører, som den kontrol når, men at logge ud deaktiverer ikke pålideligt en allerede initialiseret SDK i den kørende proces. Den nuværende livscyklus kan derfor ikke beskrives som en øjeblikkelig tilbagetrækning i enhver tilstand.

6. glumea+ og abonnementsdata

glumea+ er et abonnement, der kun sælges som et køb i appen gennem Apple App Store og Google Play. Der er ingen anden måde at købe det på, ingen betaling på nettet og ingen kortformular nogen steder i Appen.

Ingen betalingsoplysninger når os. Apple eller Google tager imod betalingen. Vi ser aldrig dit kortnummer, dine bankoplysninger eller din faktureringsadresse. Opsigelse og refusion håndteres gennem din butikskonto, Servicevilkår forklarer hvor.
RevenueCat er den tjeneste, vi bruger til at vide, om dit abonnement er aktivt. Appen fortæller RevenueCat én ting om dig: din glumea-kontoidentifikator, brugt som abonnementets bruger-id. Vores servere spørger også RevenueCat, om den identifikator har et aktivt abonnement, også når du aldrig har tegnet abonnement, fordi det er sådan, vi finder ud af, at du ikke har. Vi angiver ingen e-mailadresse, intet visningsnavn, intet telefonnummer, intet push-token, og vi beder den ikke om at indsamle enheders reklameidentifikatorer. RevenueCats egen SDK indsamler også nogle enheds- og netværksoplysninger til driften af RevenueCat-tjenesten, beskrevet i dens egen privatlivsmeddelelse. Vi konfigurerer ikke den indsamling, og vi modtager ikke det, den frembringer.
Det, Appen gemmer lokalt, er én enkelt sand/falsk-værdi: om glumea+ er aktivt. Ingen pris, intet produkt-id, ingen udløbsdato og intet transaktions-id gemmes på din enhed af Appen. Den værdi sættes til falsk, når du logger ud, så den næste konto på enheden starter uden abonnement og skal kontrolleres mod butikken på egen hånd.
Det, vores servere gemmer. RevenueCat sender vores backend en notifikation, når noget ændrer sig ved et abonnement, et køb, en fornyelse, en opsigelse, et faktureringsproblem. Vi registrerer hver af de notifikationer, som de blev modtaget: hændelses-id og -type, miljøet, din glumea-kontoidentifikator og den komplette meddelelse, RevenueCat sendte, gemt præcis som den ankom og ikke felt for felt. Den meddelelse omfatter typisk produktidentifikatoren, prisen, valutaen, butikken, landet og købs- og udløbsdatoerne. Fordi vi gemmer den hel, kan den også bære de abonnentattributter, RevenueCat har om dig, herunder en e-mailadresse: selv om vores app ikke selv angiver nogen. Vi omskriver aldrig meddelelsen; en gentagen levering af den samme hændelse opdaterer kun vores optælling af, hvor mange gange den ankom.
Mens analyse er aktiveret, går de tragthændelser, der er beskrevet ovenfor, til PostHog sammen med en profilattribut, der registrerer, om glumea+ er aktivt. Ingen pris, intet produkt-id og ingen butiksidentifikator sendes til analyse.

To konsekvenser følger. Webhook-loggen bærer din glumea-kontoidentifikator, men har ingen databaserelation til din kontopost. Ved sletning af kontoen fjerner vores backend de poster separat og anmoder om sletning af RevenueCats abonnentpost under den samme identifikator. Ellers fjerner et planlagt job hver webhook-post 90 dage efter, at den ankommer. Afsnit 12 beskriver, hvad der kan blive tilbage.

7. Hvad vi ikke gør

Intet af følgende sker i glumea:

Ingen reklamer af nogen art. Ingen reklame-SDK, ingen attributions-SDK, ingen reklameidentifikator. Appen kan ikke vise iOS-forespørgslen “Bed appen om ikke at spore”, fordi den ikke bærer den indgang, der ville gøre det muligt, og den angiver ingen netværk til reklameattribution.
Intet salg af dine data. Vi sælger eller udlejer ikke personoplysninger, og vi sælger ikke sundhedsdata. Vi deler dem ikke til adfærdsbaseret reklame på tværs af kontekster.
Ingen brug af dine sundhedsdata til reklame, markedsføring eller til at opbygge en profil af dig for andre.
Ingen lokationsdata. Ingen adgang til dine kontakter, dit kamera, din mikrofon, dine fotos eller din kalender, Appen anmoder ikke om nogen af de tilladelser på nogen af platformene.
Ingen Firebase i Appen: ingen Firebase Analytics, ingen Crashlytics, ingen Firebase Cloud Messaging. (Firebase Hosting leverer Hjemmesiden, herunder denne side, det er en anden Google-tjeneste, og den er nævnt nedenfor.)
Ingen push-notifikationer og intet push-token på enheden. Påmindelser planlægges og vises af din egen enhed; der er slet ingen kanal fra server til enhed.
Ingen skærmbilleder, ingen skærmoptagelse, ingen sessionsgengivelse, ingen optagelse af visningshierarki, fra nogen af de to SDK’er, der er beskrevet ovenfor.
Ud over PostHog og Sentry er der ingen anden analyse-, telemetri- eller sporings-SDK i Appen. De eneste komponenter, der åbner en netværksforbindelse, er Appens egen forbindelse til vores servere, PostHog, Sentry og RevenueCat.

8. Hvem der modtager dine data

Vi deler data med nedenstående tjenesteudbydere for at drive glumea. Deres roller, deres egne privatlivsmeddelelser og de kontraktvilkår, der gælder for vores brug af hver tjeneste, regulerer den behandling. RevenueCats SDK indsamler også selv enheds- og netværksoplysninger. Vi konfigurerer ikke den indsamling og modtager ikke dens output, så beskrivelsen af den stammer fra RevenueCats privatlivsmeddelelse og ikke fra vores systemer.

Google (Google Cloud Run og Google Cloud SQL, region europe-west1) hoster vores backend og den database, der rummer alt, hvad du synkroniserer, herunder dine sundhedsdata. Google Secret Manager rummer vores serveroplysninger, og Google Cloud Logging rummer vores serveranmodningslogs.
Google (Firebase Hosting) leverer glumea.com og disse juridiske dokumenter.
Sentry (EU-region) modtager de diagnostikrapporter, der er beskrevet ovenfor, mens diagnostik er aktiveret efter den nuværende indstillingsadfærd.
PostHog (EU Cloud) modtager de analysehændelser, der er beskrevet ovenfor, mens analyse er aktiveret efter den nuværende indstillingsadfærd.
RevenueCat (USA) modtager din glumea-kontoidentifikator og din abonnementstilstand, uanset om du tegner abonnement eller ej: kontrollen af, at du ikke er abonnent, bruger den samme identifikator som bekræftelsen af, at du er. Som nævnt ovenfor indsamler dens SDK desuden enheds- og netværksoplysninger, som vi ikke konfigurerer og ikke modtager; RevenueCats egen privatlivsmeddelelse beskriver dem.
Zoho ZeptoMail: hvis e-mailudsendelse i produktion er aktiveret, modtager denne udbyder destinationens e-mailadresse og den bekræftelses- eller nulstillingsmeddelelse, der skal til for at levere den. Ingen e-mailudbyder modtager de meddelelser, mens udsendelse er deaktiveret.

Apple og Google er ikke vores databehandlere. De driver de butikker, som glumea+ sælges gennem, de tager imod betalingen, og de er selvstændige dataansvarlige for de købsdata, de har om dig. Det, de indsamler, er reguleret af deres egne privatlivspolitikker og ikke af denne.

Ud over det videregiver vi kun personoplysninger, hvis loven kræver det, for eksempel ved en bindende kendelse fra en domstol eller en myndighed, eller efter din anvisning.

Hvis Paweł Milewski Software Development nogensinde er involveret i en fusion, en overtagelse eller et salg af aktiver, vil dine data fortsat være beskyttet af denne politik, og vi ville underrette dig, før dine data bliver omfattet af en anden privatlivspolitik.

9. Internationale overførsler

Hvor hver modtager behandler dine data:

Din konto, din profil og dine synkroniserede sundhedsdata opbevares i EU: Google Cloud, europe-west1 (Belgien). Opbevaringsstedet er ikke hele svaret. Google kan få adgang til de data fra uden for EØS, til support og for at drive platformen, og det er en overførsel i sig selv. Den bygger på standardkontraktbestemmelserne i Googles Cloud Data Processing Addendum.
Analyse går til PostHogs EU Cloud, som opbevarer den i EU. Hvor PostHog kan få adgang til den fra uden for Det Europæiske Økonomiske Samarbejdsområde, bygger overførslen på standardkontraktbestemmelserne i PostHogs databehandleraftale.
Diagnostik går til Sentry i dens EU-region. Hvor det er uden for Det Europæiske Økonomiske Samarbejdsområde, bygger overførslen på standardkontraktbestemmelserne i Sentrys databehandlertillæg.
Hjemmesiden leveres af Firebase Hosting fra Googles indholdsleveringsnetværk, så en anmodning om en side kan blive leveret fra og logget på et sted uden for Det Europæiske Økonomiske Samarbejdsområde. Hvor det sker, bygger overførslen på standardkontraktbestemmelserne i Googles Cloud Data Processing Addendum.
Abonnementstilstand går til RevenueCat i USA. Hvor det er uden for Det Europæiske Økonomiske Samarbejdsområde, bygger overførslen på standardkontraktbestemmelserne i RevenueCats databehandlertillæg.
Hvis e-mailudsendelse i produktion er aktiveret, leveres bekræftelses- og nulstillingse-mails af Zoho ZeptoMail, som behandler destinationens e-mailadresse i Den Europæiske Union (Zoho Corporation B.V., Zohos EU-datacentre i Nederlandene og Irland). Hvor det er uden for Det Europæiske Økonomiske Samarbejdsområde, er den gældende overførselsmekanisme standardkontraktbestemmelserne i Zohos databehandlertillæg.
Apple og Google behandler købsdata efter deres egne ordninger som selvstændige dataansvarlige.

Hvor en udbyder kan få adgang til data fra uden for EØS, også til support, er den adgang også en overførsel og skal have et passende sikkerhedsgrundlag efter kapitel V i GDPR. Mekanismen for hver modtager er nævnt ovenfor. For brugere i Storbritannien er den tilsvarende mekanisme UK-tillægget til EU’s standardkontraktbestemmelser eller IDTA, hvor en udbyder bruger den form efter UK GDPR. Generel kontakt vedrørende databeskyttelse: [email protected]. Der er i øjeblikket ikke implementeret nogen separat automatiseret arbejdsgang til anmodning om kopi af sikkerhedsgarantier.

10. Hvor dine data opbevares

glumea er offline-first. Dette afsnit er det fulde svar på “hvad af mit ligger på jeres servere?”: alt andet i denne politik peger hertil.

Hvad	På din telefon	På vores servere	Fra hvornår	Sådan fjerner du det
Din dagbog, registreringer, medicinkataloger, medicinplaner	Altid	Kun med Cloud-synkronisering slået til	Fra det øjeblik, du slår kontakten til	Slå kontakten fra, og Slet serverdata; eller slet din konto
Din profil, navn, alder, højde, diabetestype, behandlingsformer, insulinlevering	Ja	Altid	Fra introduktionen, uanset om du bruger synkronisering	Slet din konto
Dine behandlingsindstillinger, målområde, kulhydratratio, insulinfølsomhed	Ja	Altid	Fra det øjeblik, du angiver dem	Slet din konto
Din konto, e-mailadresse, hashet adgangskode, loginsessioner	Kun legitimationsoplysninger	Altid	Fra det øjeblik, du opretter kontoen	Slet din konto
Alt i afsnit 3.6, påmindelser, Stille timer, appindstillinger	Ja	Aldrig	Ikke relevant	Log ud, eller afinstaller

Resten af dette afsnit er detaljerne bag den tabel.

Alle data, du indtaster, skrives først til en lokal database på din enhed. Appen kan bruges fuldt ud uden internetforbindelse.
Den lokale database er krypteret. Den åbnes med en 32-byte nøgle, der opbevares i din enheds nøglelager, under en indstilling, der ikke migrerer til en anden enhed. Konsekvenser, du bør kende, før du skifter telefon: på Android har vi slået cloud-sikkerhedskopiering og overførsel mellem enheder fra for Appen, så der ikke laves nogen ny sikkerhedskopi af den; på iOS kan en kopi af databasen stadig havne i en iCloud-sikkerhedskopi, men den er ulæselig uden nøglen, og nøglen forlader aldrig enheden. Gendannelse af den sikkerhedskopi på en ny telefon medbringer derfor ikke din dagbog: Appen finder en database, den ikke har nogen nøgle til, nægter at åbne den i stedet for stille og roligt at starte tom og kører ikke på den telefon, før du geninstallerer den eller rydder dens data. Flytning til en ny telefon sker gennem cloud-synkronisering eller gennem et .glumea-arkiv, som du selv eksporterer og importerer.
Der findes en konto til dig på vores servere fra det øjeblik, du opretter en. Den rummer dine kontodata, din profil, herunder din diabetestype, dine behandlingsformer og din insulinleveringsmetode, og dine behandlingsindstillinger: dit målområde, din kulhydratratio og din insulinfølsomhed. De opbevares på vores servere, uanset om du bruger cloud-synkronisering, og måden at fjerne dem på er at slette din konto.
Cloud-synkronisering er en glumea+-funktion, og den er slået fra, indtil du slår den til. Den styrer, om din dagbog også kopieres til vores servere: dine registreringer, dine medicinkataloger og dine medicinplaner. At slå den til sker i to trin, og du kan stoppe ved begge. Uden et aktivt glumea+-abonnement viser Appen dig abonnementsskærmen i stedet for at slå noget til. Med et abonnement beder Appen dig derefter bekræfte i et trin for sig, at du accepterer, at dine sundhedsdata, blodsukkermålinger, insulin- og medicinregistreringer, mad- og vægtregistreringer og alt, hvad du har skrevet i en note, opbevares på vores servere. Den spørger hver gang kontakten slås til, ikke kun første gang. Den bekræftelse er dit udtrykkelige samtykke efter artikel 9, stk. 2, litra a, i GDPR for dagbogen. Du kan trække det tilbage når som helst ved at slå Cloud-synkronisering fra og fjerne det, vi allerede har, med linket Slet serverdata i samme ark. Med synkronisering slået fra bliver alt, hvad du logger, kun på din enhed.
Når synkronisering er slået til, opbevares dine data på vores backend på api.glumea.app, som kører på Google Cloud Run med en Google Cloud SQL PostgreSQL-database, i Googles region europe-west1 (Belgien).

Kontakten hører til din konto og ikke til telefonen. Vi opbevarer dit svar på vores servere, og Appen læser det tilbage derfra, når du logger ind, og når den genopretter forbindelsen. Så det overlever, at du logger ud, og det følger med dig: slå synkronisering til, log ind på en anden telefon, og synkronisering er også slået til der uden at blive spurgt igen. At slå den fra registreres på samme måde. Hvis du slår den fra, mens du er offline, beholder Appen det svar og leverer det til vores servere ved første lejlighed, en tilbagetrækning rulles aldrig tilbage, fordi en anmodning mislykkedes. På en delt enhed virker det modsat af en kontakt, der kun er på enheden: Den, der logger ind, får sin egen kontos svar og ikke det, den forrige person efterlod.

Hvis glumea+ udløber, bliver nye registreringer ikke længere sikkerhedskopieret, det trækker ikke dit samtykke tilbage, og det sletter ingenting. Når et abonnement udløber, opsiges eller refunderes, holder Appen op med at kopiere nye registreringer til vores servere. Rettelser og sletninger af registreringer, der allerede ligger der, når stadig vores servere, og Appen henter stadig fra dem. Cloud-synkroniseringsarket viser Rettelser og sletninger synkroniseres stadig · Nye registreringer bliver på denne enhed. Det, der allerede ligger på vores servere, bliver der, det, der ligger på din enhed, bliver der, og dit gemte svar på samtykkespørgsmålet efterlades, som det var, så hvis du tegner abonnement igen, genoptages fuld backup på det gemte svar uden at spørge dig en gang til. Hvis du hellere vil have, at det ikke sker, så slå kontakten fra: at slå den fra og linket Slet serverdata ved siden af forbliver begge tilgængelige, uanset om et abonnement er aktivt. Ophør af et abonnement fratager dig aldrig muligheden for at trække samtykke tilbage eller få serverkopien slettet.

Synkronisering kan også stoppe, uden at du rører den kontakt. Din loginsession kan udløbe, og når den gør, logger vi dig ikke ud, og vi sletter ingenting: Appen beholder hver registrering på din enhed, sætter backup på pause og venter. Cloud-synkroniseringsarket viser så Sat på pause og fortæller, at intet synkroniseres, før du logger ind igen, og Oversigt-skærmen bærer et banner om den udløbne session. Alt, hvad du logger i mellemtiden, bliver på enheden og når først vores servere, når du har logget ind igen. Hvis du regner med serverkopien for at overleve en tabt telefon, er det banneret, du skal handle på.

Kopien på vores servere er beskyttet af transportkryptering, af Googles lagringskryptering og af vores adgangskontroller. Den er ikke end-to-end-krypteret, og vi kan læse den. glumea er ikke en zero-knowledge-tjeneste. Det eneste artefakt i hele systemet, som vi ikke kan åbne, er et .glumea-arkiv, fordi det er krypteret med en adgangskode, som kun du kender.

11. Hvor længe vi opbevarer dine data

Vi opbevarer dine data i nedenstående perioder.

Kontodata, profil og behandlingsindstillinger: opbevares på vores servere, så længe din konto findes.
Sundhedsregistreringer og medicinkataloger, du har synkroniseret: opbevares, så længe din konto findes, eller indtil du sletter serverkopien eller sletter din konto. Sletning af en enkelt registrering fungerer anderledes: den forsvinder fra den enhed, du slettede den på, og kun fra den enhed. Kopien på vores servere bliver, så registreringen kan komme tilbage ved en geninstallation, på en ny telefon eller efter at du har logget ud og ind igen. Kun Slet serverdata eller sletning af din konto fjerner de rækker fra vores servere.
Gravsten for registreringer, du har slettet: hvor en sletning af en enkelt registrering når vores servere, bevares rækken som en markør, der stadig bærer sin værdi, sine tags og sine noter, så sletningen kan rejse videre til dine andre enheder. Vi har intet job, der rydder dem, så de bliver, så længe din konto findes. Brug af Slet serverdata eller sletning af din konto fjerner dem.
Loginsessioner: et adgangstoken varer 15 minutter. Sessionsposten på vores servere udløber efter 90 dage uden brug. Når du logger ud, tilbagekaldes den med det samme, så den aldrig kan bruges igen, men selve rækken fjernes af et job hver time, når 90-dagesvinduet er løbet ud. Sletning af din konto fjerner den med det samme.
Engangskoder: udløber 10 minutter efter, at de er udstedt, og et job hver time markerer udløbne som ubrugelige. Vi rydder ikke selve posterne: De bliver, indtil du sletter din konto, som fjerner dem sammen med alt andet.
Serversikkerhedskopier: 7 dage. Data, der er slettet fra den levende database, består i sikkerhedskopier, indtil de rulles over.
Serveranmodningslogs, som omfatter IP-adresser: 30 dage.
Analysehændelser hos PostHog: 12 måneder.
Diagnostikrapporter hos Sentry: 90 dage.
Poster om abonnementsnotifikationer: op til 90 dage fra det øjeblik, hver meddelelse når os, medmindre sletning af kontoen fjerner dem før. Det planlagte job tæller alder og holder ikke en række tilbage for en åben faktureringstvist.
Data, der kun opbevares på din enhed: bliver der, indtil du sletter dem, logger ud, bruger sletningen af kontoen i Appen eller afinstallerer Appen. En anmodning om sletning af konto pr. e-mail kan ikke fjernslette en enhed.

12. Sletning: hvad der sker, og hvor

Før du begynder. To ting betyder mere end noget af det følgende, og begge står i Servicevilkår: opsig dit glumea+-abonnement i butikken først, fordi sletning af din glumea-konto ikke stopper betalingerne (afsnit 13.1 dér), og eksportér først, fordi vi ikke kan lave en eksport til dig, når dine rækker er væk (afsnit 13.3 dér).

Tre forskellige kontroller, tre forskellige resultater. De er lette at forveksle, så:

Kontrol	Hvor den er	Hvad den fjerner	Hvad den beholder	Hvad der kan fortryde den
Sletning af en enkelt registrering	Det sted, hvor du loggede den	Den registrering, kun på den enhed	Serverkopien, som kan bringe den tilbage	En geninstallation, en ny telefon eller at logge ud og ind igen
Slet serverdata	Cloud-synkroniseringsarket, åbnet fra cloud-knappen på Oversigt eller Historik, ikke Indstillinger	Serverkopien af dine registreringer, medicinkataloger og planer	Din konto, din profil, dine behandlingsindstillinger og alt på din telefon	Hvis du slår synkronisering til igen, uploades det påny fra din telefon
Slet konto	Indstillinger → Konto, eller skriv til [email protected], hvis du ikke kan bruge Appen	Din konto og tilknyttede produktionsdata på vores servere; vejen i Appen rydder også denne enhed	Eksisterende sikkerhedskopier, nogle udbyderposter og alle data på enheder, som sletningen i Appen ikke når	Intet gendanner den slettede konto

Slet serverdata kræver et aktivt login og at kontakten Synkronisering først er slået fra; de tre noter i slutningen af dette afsnit forklarer hvorfor.

Når du sletter din konto i Appen, fjernes den med det samme fra vores produktionsdatabase. En verificeret anmodning pr. e-mail bruger den samme sletning på serversiden. Sådan sker det ved hver destination.

Vores produktionsdatabase: sletning af din konto udfører en hård sletning af din brugerpost, når du bekræfter det i Appen, eller en operatør gennemfører en verificeret anmodning pr. e-mail. Alt, der hænger på den, fjernes med den ved databasekaskade: din profil, dine behandlingsindstillinger, hver synkroniseret blodsukker-, mad-, vægt-, insulin-, pille- og injektionsregistrering, dine medicinkataloger og -planer, dine sessioner og dine afventende bekræftelses- og nulstillingskoder. Der er intet flag for blød sletning og ingen genskabelse.
Poster om abonnementsnotifikationer: hver række rummer din glumea-kontoidentifikator og den fulde meddelelse, RevenueCat sendte. Den er ikke knyttet til din kontorække, så den automatiske kaskade når den ikke, men sletningstjenesten fjerner den separat i samme transaktion. Uden sletning af kontoen fjerner et planlagt job hver række efter 90 dage.
RevenueCat: sletning af din konto stiller en anmodning i kø om at fjerne abonnentposten under din kontoidentifikator. Vi forsøger anmodningen med det samme og forsøger igen, hvis udbyderen ikke er tilgængelig. Butikkens faktureringshistorik forbliver uden for vores kontrol.
PostHog: sletning af din konto stiller en anmodning i kø om at fjerne den kontotilknyttede analyseprofil og dens hændelser og optagelser. Vi forsøger med det samme og forsøger igen, hvis udbyderen ikke er tilgængelig. PostHog kan gennemføre en accepteret masseletning asynkront. Hændelser før login bruger en separat pseudonym enhedsidentifikator.
Serversikkerhedskopier: en kopi af det slettede består i vores hostingudbyders automatiske databasesikkerhedskopier, indtil de rulles over: 7 dage, og under ingen omstændigheder længere end seks måneder efter godkendelse, hvor den lovbestemte grænse gælder. Enkelte poster redigeres ikke inde i en sikkerhedskopi. En gendannelse efter en katastrofe kan derfor midlertidigt genindføre rækker, der blev slettet fra produktionen.
Serverlogs: sletning af din konto sletter ikke serveranmodningslogs med tilbagevirkende kraft, som opbevares i 30 dage.
Sentry: Appen knytter ingen kontoidentifikator, e-mailadresse eller brugerpost til en diagnostikrapport. Der er derfor ingen understøttet måde at finde eller slette en enkelt brugers rapporter. Rapporter, der frembringes af operativsystemets nedbrudshåndtering, passerer ikke Appens filter, og vi kender ikke alle de felter, platforms-SDK’en tilføjer. Rapporter udløber efter Sentrys opbevaring: 90 dage. Artikel 11, stk. 2, i GDPR omhandler data, hvor den dataansvarlige reelt ikke kan identificere den registrerede.
Apple og Google: dine købs- og abonnementsposter tilhører butikken og ikke os. Sletning af din glumea-konto opsiger ikke et abonnement og sletter ikke noget hos Apple eller Google. Opsig i dine butikskontoindstillinger; deres poster er reguleret af deres politikker og af skatteretten.
Din egen enhed: sletning af kontoen i Appen, at logge ud eller at skifte konto sletter den lokale database, sessionsoplysninger og gemte indstillinger fra den enhed. En anmodning pr. e-mail kan ikke fjernslette en enhed. At rydde en telemetriindstilling deaktiverer ikke pålideligt en SDK, der allerede er initialiseret i den kørende proces. Et flag for første installation og databasens krypteringsnøgle kan overleve en sletning i Appen, men ingen af dem indeholder dagbogsdata. En iCloud-enhedssikkerhedskopi kan indeholde en ulæselig krypteret databasekopi; Android-sikkerhedskopiering er deaktiveret for Appen.
Kopier, du selv har lavet: et .glumea-arkiv, en CSV, en PDF-rapport, alt hvad du delte eller gemte andre steder: de er dine og uden for vores rækkevidde. Slet dem, hvor du har lagt dem.

For at opsummere tidspunkterne: Sletningen i produktionsdatabasen sker, når du bekræfter den i Appen, eller når en operatør gennemfører en verificeret anmodning pr. e-mail. Sletningsanmodninger til RevenueCat og PostHog forsøges med det samme og stilles i kø til nyt forsøg ved fejl. En kopi kan bestå i hostingens sikkerhedskopier, indtil de rulles over, inden for 7 dage.

Selve databasekaskaden når ikke serveranmodningslogs, Sentry-rapporter, poster om abonnementsnotifikationer eller udbyderposter. Sletningstjenesten fjerner separat abonnementsnotifikationerne og anmoder om sletning af RevenueCat- og PostHog-posterne. Serverlogs og Sentry-rapporter udløber efter deres konfigurerede opbevaringsperioder.

Sletning er permanent. Slettede data kan ikke gendannes, så hvis du kan få brug for dine poster senere, for eksempel til dit behandlerteam, så tag en kopi først med de eksportmuligheder, der er beskrevet under dine rettigheder.

Du kan også anmode om sletning af konto pr. e-mail uden at bruge Appen. Vi verificerer ejerskabet, før vi behandler den.

Tre ting mere om den snævrere kontrol Slet serverdata, som fjerner serverkopien af dine registreringer, dine medicinkataloger og dine medicinplaner, men beholder din konto, din profil, dine behandlingsindstillinger og alt på din enhed:

Den kræver et aktivt login. Hvis din session er udløbet, den tilstand, afsnit 10 beskriver, hvor arket viser Sat på pause: linket beder dig logge ind igen og gør ikke noget, før du gør det. Det er nok at logge ind igen; intet går tabt i mellemtiden.
Den kræver, at Cloud-synkronisering først er slået fra. Hvis du slår synkronisering til igen bagefter, stilles de registreringer, der stadig er på din enhed, i kø og uploades igen, sletningen på serveren fortrydes af din egen enhed.
Den forplanter sig ikke til dine andre enheder. De beholder deres lokale kopier og får ikke besked.

13. Dine kontroller i Appen

Du behøver ikke skrive til os for at kontrollere dine data. Appen giver dig disse indbyggede kontroller:

Slet konto: i Indstillinger → Konto, efter at du har skrevet et bekræftelsesord. Udfører den hårde sletning på serversiden, der er beskrevet ovenfor, og sletter Appens lokale database, sessionsoplysninger og indstillinger fra den enhed. Du kan også anmode om sletning af kontoen på serversiden hos [email protected], hvis du ikke kan bruge Appen. Afsnit 12 angiver, hvad der består.
Slet serverdata: linket slette dem i linjen under kontakten Synkronisering i Cloud-synkroniseringsarket, som åbnes fra cloud-knappen øverst på skærmen Oversigt eller Historik og ikke fra Indstillinger. Linket vises altid, men virker først, når kontakten er slået fra. Hårdsletter serverkopien af dine registreringer, dine medicinkataloger og dine medicinplaner, mens din konto og dataene på din enhed beholdes. Den rækker ikke længere end det: din profil og dine behandlingsindstillinger bliver på vores servere, indtil du sletter din konto. Læs de tre noter lige ovenfor.
Cloud-synkronisering: kontakten Synkronisering i det samme ark og en glumea+-funktion. Slå den fra når som helst for at stoppe nye data i at nå vores servere, hvilket også er sådan, du trækker dit samtykke til, at vi opbevarer dem, tilbage; at slå den fra kræver aldrig et aktivt abonnement. Data, der allerede er synkroniseret, bliver på vores servere, indtil du bruger Slet serverdata eller Slet konto. Dit svar på denne kontakt er knyttet til din konto, så det overlever, at du logger ud, og følger med dig til en ny telefon.
Brugsanalyse og Fejlrapportering: to uafhængige kontakter i Indstillinger → Data og privatliv → Privatliv og diagnostik. Begge er slået fra, indtil du slår dem til. Når du slår en fra, opdateres indstillingen, men data i kø kan stadig blive leveret, og at logge ud lukker ikke pålideligt en SDK, der allerede er initialiseret i den kørende proces.
Apple Health / Health Connect: forbind, afbryd eller slå enkelte datatyper fra i Indstillinger → Integrationer. Du kan også tilbagekalde tilladelsen i selve sundhedsplatformen.
Vis detaljer i notifikationer (Indstillinger → Notifikationer): slået fra, medmindre du slår det til. Indtil du gør, viser notifikationer generisk tekst.
Log ud: sletter Appens lokale database, dine sessionsoplysninger og dine indstillinger fra enheden, herunder dine valg om analyse og diagnostik. Intet, du har logget, og intet valg, du har truffet, holdes tilbage; sletningsafsnittet nævner de to tekniske værdier, der overlever.
Eksport: et adgangskodebeskyttet .glumea-arkiv med dine registreringer, medicin, profil, behandlingsmål og påmindelser, fra Indstillinger → Data og privatliv → Dataimport og -eksport. CSV- og PDF-blodsukkerrapporterne er noget andet, frembragt fra blodsukkerskærmens eget eksportark; arkivet og CSV’en er gratis, og PDF-rapporten er en glumea+-funktion.

[email protected] modtager anmodninger om sletning af konto uden brug af Appen. Andre anmodninger om rettigheder uden for Appen kan også sendes dertil, men vejen til sletning af konto giver ikke et separat automatiseret værktøj til eksport eller berigtigelse.

14. Dine rettigheder

Efter GDPR har du ret til at:

Få indsigt i dine personoplysninger og få en kopi af dem.
Berigtige unøjagtige eller ufuldstændige data. Du kan redigere registreringer og medicin, hvor du loggede dem, din profil i Indstillinger → Konto og behandlingsindstillinger, hvor du angav dem. Der er i øjeblikket ikke implementeret nogen separat arbejdsgang til berigtigelse uden for Appen.
Slette dine data (“retten til at blive glemt”). Sletningsafsnittet ovenfor fortæller dig præcis, hvad sletning når, og hvad den ikke gør.
Begrænse behandlingen i visse situationer.
Dataportabilitet: modtage de data, du har givet, i et struktureret, almindeligt anvendt og maskinlæsbart format, hvor loven giver den ret. Den CSV-blodsukkereksport, der findes i Appen, er maskinlæsbar og ukrypteret. .glumea-arkivet indeholder registreringer, medicin, profil, behandlingsmål og påmindelser, men det er krypteret med en adgangskode, som kun du kender, og kan kun importeres i den glumea-konto, der oprettede det. Der er i øjeblikket ingen yderligere tilpasset eksport tilgængelig gennem [email protected].
Gøre indsigelse mod behandling, der bygger på vores legitime interesser.
Trække samtykke tilbage når som helst. Tilbagetrækning påvirker ikke den behandling, der var lovlig før tilbagetrækningen. For synkroniserede dagbogsdata skal du slå Cloud-synkronisering fra og bruge Slet serverdata eller slette din konto. For analyse og diagnostik skal du bruge de to kontakter i Indstillinger → Data og privatliv → Privatliv og diagnostik. Der er ingen kontrol, der kun fjerner profilen eller kun behandlingsindstillingerne, og ingen sådan arbejdsgang er i øjeblikket tilgængelig gennem [email protected]. Sletning af kontoen er den eneste implementerede måde at fjerne disse felter fra vores produktionsdatabase.
Klage til en tilsynsmyndighed. Vores ledende tilsynsmyndighed er formanden for det polske datatilsyn (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warszawa, Polen. Du kan også klage til databeskyttelsesmyndigheden i den EU-medlemsstat, hvor du bor, hvor du arbejder, eller hvor du mener, at en overtrædelse fandt sted. Hvis du er i Storbritannien, kan du klage til Information Commissioner’s Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF.

Brug kontrollerne i Appen, som er beskrevet i afsnit 13, hvor de dækker den ønskede handling. For sletning af konto uden Appen skal du skrive til [email protected]. Andre anmodninger om rettigheder kan også sendes dertil; denne vej til sletning af konto giver ikke i sig selv et separat værktøj til indsigt, eksport eller berigtigelse.

Hvis en dataansvarlig ikke følger op på en GDPR-anmodning, kræver artikel 12, at den forklarer årsagen inden for en måned og angiver de tilgængelige klage- og retsmidler. Disse veje forbliver tilgængelige, uanset om du kontakter den dataansvarlige igen.

Identitetsverifikation. Sletning i Appen bygger på din godkendte session. Ved en anmodning pr. e-mail bekræfter vi, at du har kontrol over den e-mail, der er knyttet til kontoen. Hvis du ikke har adgang til den, vurderer vi, om der er en anden måde at verificere ejerskab på, før vi sletter kontoen. Vi beder ikke om din adgangskode eller dine sundhedsposter for at behandle anmodningen.

15. Sådan beskytter vi dine data

Adgangskoder hashes med bcrypt, gemmes aldrig i klartekst og gemmes aldrig på din enhed.
Den lokale database på din enhed er krypteret med en nøgle, der opbevares i platformens nøglelager og ikke migrerer til en anden enhed.
Godkendelsestokens opbevares i din enheds sikre lager, iOS Keychain eller det Android Keystore-baserede lager.
Appen taler med vores servere over HTTPS, og begge platforme blokerer som standard forbindelser i klartekst, vi har ikke tilføjet nogen undtagelse til det på hverken iOS eller Android.
Vores database kører inde i Google Cloud og kan kun nås over en privat Cloud SQL-socket, med legitimationsoplysninger opbevaret i Google Secret Manager.
Vi skriver ikke de værdier, du logger, blodsukkermålinger, insulindoser, i vores applikationslogs. En fejllogpost registrerer statuskoden, stien, tidspunktet og fejlmeddelelsen, som for en afvist anmodning nævner de felter, der fejlede valideringen. Den indeholder ikke anmodningens indhold.
Notifikationer viser som standard generisk tekst, så en notifikation ikke lægger dine sundhedsdata på din låseskærm.
Adgang til produktionsdatabasen er begrænset til de personer, der driver tjenesten, hvilket betyder, at vi kan læse den. Det, der beskytter den mod alle andre, er adgangskontrol og kryptering under transport og i hvile.

Intet system er perfekt sikkert. Ovenstående foranstaltninger er det, vi gør for at begrænse, hvor langt de følsomme dele af dine data udsættes.

En hændelse, der involverer personoplysninger, kan udløse underretning af tilsynsmyndigheder eller berørte personer efter artikel 33 og 34 i GDPR, FTC’s Health Breach Notification Rule eller anden gældende lovgivning. Hver ordning har sit eget anvendelsesområde og sin egen frist, og de lovbestemte pligter gælder uafhængigt af denne politik.

16. Børn

glumea er ikke rettet mod børn. Du skal være mindst 16 år gammel for at bruge Appen. Det er en betingelse for tjenesten uanset placering. Vi tilbyder ingen vej til forældresamtykke. Processen for sletning af konto i Appen og grænserne i afsnit 12 gælder for enhver konto, der er identificeret som tilhørende en person under 16 år. Bekymringer om en konto tilhørende en mindreårig kan sendes til [email protected].

17. Bemærkninger til brugere i USA

Amerikansk privatlivslovgivning varierer fra stat til stat, og anvendelsen afhænger af bopæl, lovbestemte tærskler og typen af data. Kontrollerne i Appen, som er beskrevet i afsnit 13, er tilgængelige uafhængigt af disse tærskler. Gældende lovbestemte rettigheder består, selv hvor det nuværende produkt mangler en separat arbejdsgang for anmodninger.

HIPAA: glumea er et direct-to-consumer-produkt. Vi leverer ikke sundhedsydelser, vi behandler ikke refusionskrav, og vi har ingen kontrakt med en sundhedsplan eller en sundhedsudbyder om at håndtere data på deres vegne, så vi optræder ikke i nogen af de roller, HIPAA regulerer, “covered entity” eller “business associate”, og vi påstår ikke at overholde HIPAA. Poster, som din egen behandler har om dig, er omfattet af HIPAA hos behandleren; det er adskilt fra den kopi, du har i glumea. De amerikanske regler, vi arbejder efter for glumea, er FTC’s regel om underretning ved brud på sundhedsdata og de nedenstående delstatslove om sundhedsprivatliv.
Californien (CCPA/CPRA): anvendelsen afhænger af de lovbestemte tærskler for virksomheder. De data, der er beskrevet her, kan omfatte følsomme personoplysninger. Vi sælger ikke personoplysninger og deler dem ikke til adfærdsbaseret reklame på tværs af kontekster. Hvis CCPA gælder, gælder dens regler om indsigt, berigtigelse, sletning, portabilitet, fravalg og forbud mod forskelsbehandling uafhængigt af denne politik. Kontrollerne i Appen og anmodningen om sletning af konto pr. e-mail er fortsat tilgængelige uanset tærskel.
Washington (My Health My Data Act): de data, du logger, er “forbrugersundhedsdata”. Washington kræver en separat politik for dem; se Privatlivspolitik for forbrugersundhedsdata. Den beskriver kategorierne, kilderne, formålene, modtagerne, de lovbestemte rettigheder og de nuværende operationelle begrænsninger i processen for anmodninger og klager.
Nevada (lov om forbrugersundhedsdata, SB 370 af 2023): de data, du logger, er også “forbrugersundhedsdata” efter Nevadas lov. Du har ret til at få bekræftet, om vi indsamler, deler eller sælger dem, til at få en liste over de tredjeparter, de er blevet delt med eller solgt til, til at få dem slettet og til at trække dit samtykke tilbage, hvilket Nevada behandler som to separate samtykker, ét til indsamling og ét til deling. Nevadas lov håndhæves af Attorney General. Vores Privatlivsmeddelelse for forbrugersundhedsdata i Nevada angiver disse rettigheder, de frister, der gælder for dem, som er kortere end Washingtons for en sletning, og de fire oplysninger, Nevada beder om.
Anmodninger og klager. Gældende delstatslovgivning kan kræve en skriftlig forklaring, en klagevej og oplysninger om indgivelse af en klage til delstatens Attorney General. Der er i øjeblikket ikke implementeret nogen separat arbejdsgang for klager pr. e-mail hos [email protected], så den nuværende proces giver ikke den vej, hvor den kræves. Kravene i Washington er beskrevet i Privatlivspolitik for forbrugersundhedsdata.
Andre gældende rettigheder efter delstatslovgivning begrænses ikke af denne politik.

18. Hjemmesiden glumea.com

Hjemmesiden er et statisk websted, der rummer information om glumea og disse juridiske dokumenter. Den er bevidst minimal:

Ingen cookies.
Ingen analyse og ingen anmodninger til tredjepartsoprindelser. Alt, siden har brug for, skrifttyper og scripts inklusive, leveres fra glumea.com selv, og webstedets indholdssikkerhedspolitik blokerer enhver anden oprindelse helt. Selve siden leveres af vores vært, som nødvendigvis ser anmodningen; det sidste punkt på denne liste siger, hvem det er, og hvad de logger. Webstedet kører en smule eget JavaScript: to inline-uddrag, der anvender dit tema og sender dig til det rette sprog, plus nogle få bundtede filer bag navigationsmenuen, tema- og sprogskifterne og den animation, der afslører blokke, når du ruller. Intet af det sender noget nogen steder hen.
Ingen sporing på tværs af websteder og derfor intet for et Do Not Track- eller Global Privacy Control-signal at slå fra. Hjemmesiden sætter ingen reklame- eller analysecookies, laver ingen tredjepartsanmodninger, og vi sælger eller deler ikke personoplysninger.
Browserens localStorage bruges kun til funktionelle indstillinger (dit valg af tema og sprog). Disse værdier bliver i din browser og sendes ikke til os. De sættes kun, fordi du valgte et tema eller et sprog, hvorfor der ikke er brug for et samtykkebanner til dem.
Webstedet leveres af Firebase Hosting (Google). Som de fleste webhoteller kan udbyderen registrere almindelige serverlogs, IP-adresse, anmodningstidspunkt og browsertype, af hensyn til sikkerhed og for at drive tjenesten. Vi støtter os til legitime interesser (artikel 6, stk. 1, litra f, i GDPR) for dette, nærmere bestemt at holde webstedet tilgængeligt og beskytte det mod misbrug, og logs opbevares kun, så længe der er brug for dem til de formål.

19. Ændringer af denne politik

Den gældende version offentliggøres her med sin ikrafttrædelsesdato. Gældende lov afgør, om en ændring kræver forudgående varsel, et fornyet samtykke eller en anden handling. Offentliggørelse af en opdateret politik giver ikke i sig selv ret til et nyt formål, der kræver samtykke eller et andet retsgrundlag.

20. Sprog

Denne politik er offentliggjort på engelsk. Den engelske version er den juridisk bindende. Oversættelser til andre sprog offentliggøres, så du kan læse politikken på dit eget sprog. Hvor en oversættelse og den engelske tekst afviger, er det den engelske tekst, der gælder.

Undtagelsen er selve loven. Hvor det land, du bor i, giver det sprog, du blev tiltalt på, en status for sig, som forbrugerbeskyttelsesloven i flere lande gør, gælder den regel i stedet for denne, og intet her fratager dig en ret, du har efter den.

En oversættelse offentliggøres, når den er klar, så den kan halte bagefter den engelske tekst efter en opdatering. Hvis du finder et sted, hvor en oversættelse og den engelske tekst siger noget forskelligt, så fortæl os det på [email protected].

21. Kontakt os

Spørgsmål, bekymringer eller anmodninger om dine data:

E-mail: [email protected]
Post: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polen

Relaterede dokumenter: Servicevilkår, Medicinsk ansvarsfraskrivelse og, for borgere i Washington, vores Privatlivspolitik for forbrugersundhedsdata, eller for borgere i Nevada vores Privatlivsmeddelelse for forbrugersundhedsdata i Nevada.