Datenschutzerklärung zu Verbrauchergesundheitsdaten

Welche Fragen dieses Dokument beantwortet

Dies ist die Richtlinie zu Verbrauchergesundheitsdaten, die der My Health My Data Act von Washington verlangt. Sie ist bewusst schmal gehalten, weil dieses Gesetz ein eigenständiges Dokument verlangt, das nur enthält, was es fordert.

Was zählt hier als meine Gesundheitsdaten? Abschnitte 2 und 3.
Woher stammen sie, und wer sieht sie sonst noch? Abschnitte 4 und 5.
Was kann ich ausschalten? Abschnitt 7.
Welche Rechte habe ich, und wie lange haben Sie Zeit? Abschnitte 8.1 und 8.2.
Was erreicht eine Löschung tatsächlich? Abschnitt 9.
Was, wenn Sie Nein sagen? Abschnitt 10.

Wenn Sie sich in Nevada befinden, sind Ihre Rechte und Fristen andere, und sie stehen in unseren Datenschutzhinweisen zu Verbrauchergesundheitsdaten in Nevada. Alles in den Abschnitten 2 bis 5 und 9 unten gilt auch für Sie, und diese Hinweise verweisen dafür hierher.

Alles Übrige zu Ihren Daten, Rechtsgrundlagen, Sicherheit, Kindern, internationalen Übermittlungen und der Website steht in der Datenschutzerklärung, die ebenfalls für Sie gilt.

1. Wer wir sind und was diese Richtlinie abdeckt

Dieses Dokument handelt nur von Verbrauchergesundheitsdaten. Das Recht von Washington verlangt, dass es von unserer allgemeinen Datenschutzerklärung getrennt gehalten wird, daher ist es schmaler: Es wiederholt nicht die Abschnitte der Datenschutzerklärung zu Rechtsgrundlagen, Sicherheit, Kindern, internationalen Übermittlungen oder der Website glumea.com. Dafür lesen Sie die Datenschutzerklärung.

Es deckt die App glumea ab: was sie erhebt, wohin das gelangt und was Sie ausschalten oder löschen lassen können. Paweł Milewski Software Development (der Betreiber, „wir“, „uns“, „unser“) stellt glumea (die App) und glumea.com (die Website) bereit; diese Richtlinie betrifft die App. Unsere Postanschrift und E-Mail-Adresse stehen in Abschnitt 13.

Zwei weitere Dokumente gelten neben dieser Richtlinie und der Datenschutzerklärung: die Nutzungsbedingungen und der Medizinische Haftungsausschluss.

Sie gilt für Sie, wenn Sie in Washington wohnen oder wenn Ihre Verbrauchergesundheitsdaten erhoben wurden, während Sie sich in Washington befanden (My Health My Data Act, RCW 19.373).

Nevada hat eigene Hinweise. Das Gesetz von Nevada (NRS 603A.400 ff.) gibt Ihnen andere Rechte mit anderen Fristen und verlangt von uns vier Angaben, die Washington nicht verlangt, deshalb stehen diese in den Datenschutzhinweisen zu Verbrauchergesundheitsdaten in Nevada und nicht hier. Die Abschnitte 2 bis 5 und 9 dieses Dokuments beschreiben, was glumea mit Gesundheitsdaten tut, und sie gelten, wo auch immer Sie leben.

2. Was wir unter Verbrauchergesundheitsdaten verstehen

Nach dem My Health My Data Act von Washington sind Verbrauchergesundheitsdaten personenbezogene Informationen, die mit Ihnen verknüpft oder vernünftigerweise verknüpfbar sind und die Ihren früheren, gegenwärtigen oder künftigen körperlichen oder psychischen Gesundheitszustand erkennen lassen, ausdrücklich einschließlich Körperfunktionen, Vitalzeichen, Messwerte, Diagnosen, Behandlung und Medikation.

Das meiste, was glumea aufzeichnet, fällt unter diese Definition. Ein Blutzuckermesswert, eine Insulindosis und der Name eines Medikaments sind klare Beispiele.

Weil glumea eine Diabetes-App ist, verrät schon die Tatsache, dass Sie ein Konto haben, etwas über Ihre Gesundheit. Deshalb behandeln wir Ihre Kontokennung und die E-Mail-Adresse Ihres Kontos für die Zwecke dieser Richtlinie als Verbrauchergesundheitsdaten, obwohl sie keine Gesundheitsmesswerte sind. Aus demselben Grund behandeln wir die pseudonyme Gerätekennung und die unten beschriebenen Server-Anfrageprotokolle als Verbrauchergesundheitsdaten.

3. Die Kategorien, die wir erheben, und warum

Kategorie	Was darin enthalten ist	Warum wir sie erheben
Blutzuckermesswerte	Wert, Datum und Uhrzeit, Kontexte (auch solche, die Sie selbst eintippen), Freitext-Notizen	Um Ihnen Ihre Messwerte, Diagramme und Statistiken zur Zeit im Zielbereich anzuzeigen und die im Medizinischen Haftungsausschluss beschriebenen Erinnerungen zur erneuten Messung zu planen
Mahlzeiten- und Kohlenhydrateinträge	Kohlenhydrate, optional Eiweiß, Fett und Kalorien, und der Name, den Sie eintippen	Damit Sie protokollieren und neben Ihren Messwerten nachsehen können, was Sie gegessen haben
Insulin-, Tabletten- und Injektionsdosen	Einheiten, Anzahl, Zeitpunkte der Dosen und zu welchem Medikament sie gehören	Damit Sie Ihre Behandlung protokollieren und nachsehen können
Ihre Medikamentenkataloge	Medikamentennamen (zum Beispiel eine Insulinmarke), Art, Wirkstärke, Dosierintervall und pharmakokinetische Parameter	Damit Dosen gegen ein reales Medikament protokolliert werden können und die App sie korrekt anzeigen kann
Medikamentenpläne	Welches Medikament, die Tageszeit, die Wochentage und ob die Erinnerung während der Ruhezeiten ausgelöst werden darf	Um die Medikamentenerinnerungen zuzustellen, die Sie eingerichtet haben
Messerinnerungen und Benachrichtigungseinstellungen	Die Zeiten und Wochentage Ihrer Erinnerungen zur Glukosemessung, Ihr Zeitfenster für Ruhezeiten und ob Benachrichtigungen Details zeigen	Um die Erinnerungen zuzustellen, um die Sie gebeten haben, und um die Einstellungen für Erinnerungen zu halten, die noch nicht gebaut sind. Geplante Erinnerungen zur Glukosemessung werden heute nicht zugestellt: Sie können die Zeiten festlegen, und es kommt nichts an. Medikamentenerinnerungen und die Erinnerungen zur erneuten Messung nach einem sehr niedrigen oder sehr hohen Messwert werden zugestellt. Ihre Ruhezeiten und die Einstellungen für Details in Benachrichtigungen bleiben auf Ihrem Gerät
Körpermaße	Gewichtsverlauf und Körpergröße	Um das Gewicht im Zeitverlauf anzuzeigen und Ihre Einträge in den von Ihnen gewählten Einheiten darzustellen
Diabetes- und Behandlungsprofil	Der Spitzname, den Sie wählen, Ihr Alter, Ihr Geschlecht, wenn Sie es angeben, Diabetestyp, Art der Insulingabe und ob Sie mit Tabletten, Injektionen oder Ernährung behandeln	Um die App auf die Art einzurichten, wie Sie Ihren Diabetes tatsächlich managen
Therapieeinstellungen	Ihr Glukose-Zielbereich, Korrekturfaktor (ISF) und Kohlenhydrat-Insulin-Verhältnis (ICR)	Um Ihren Zielbereich in Diagrammen anzuzeigen und Ihre Angaben an einem Ort zu halten. Ihr Zielbereich wird in den PDF-Glukosebericht geschrieben, wenn Sie einen erstellen, und Ihr Kohlenhydrat-Insulin-Verhältnis ebenfalls, wenn das Zeitfenster des Berichts eine Insulindosis enthält. Der CSV-Export enthält keines von beiden, und der Korrekturfaktor steht weder in der CSV-Datei noch im PDF, er steht im verschlüsselten `.glumea`-Archiv, das Ihr gesamtes Konto enthält. Die App verwendet sie nie, um eine Dosis zu berechnen oder zu empfehlen. Der Korrekturfaktor wird allerdings für eine weitere Sache verwendet: die Formulierung zum Hypo-Risiko neben dem aktiven Insulin, wie der Medizinische Haftungsausschluss beschreibt
Aus Apple Health oder Health Connect importierte Daten	Blutzucker-, Gewichts- und Kohlenhydrataufzeichnungen	Nur wenn Sie es verbinden: damit Sie Messwerte nicht neu eintippen müssen, die Ihre anderen Geräte bereits aufgezeichnet haben. Importierte Aufzeichnungen werden gewöhnliche Einträge und nehmen denselben Weg wie alles, was Sie eintippen, auch zu unseren Servern, wenn die Cloud-Synchronisierung eingeschaltet ist
Werte, die die App auf Ihrem Gerät ableitet	Geschätztes aktives Insulin und die Formulierung zum Hypo-Risiko und der ungefähre Senkungsbereich daneben; durchschnittliche Glukose und ihre Streuung; Zeit im Zielbereich; geschätzter HbA1c (GMI); der vorgeschlagene Zeitpunkt für Ihre nächste Messung; und die Angabe Gut / Grenzwertig / Kritisch zu Ihrem letzten Messwert	Um Ihnen eine Zusammenfassung dessen zu zeigen, was Sie protokolliert haben. Sie werden auf Ihrem Gerät berechnet, und der Medizinische Haftungsausschluss legt dar, was jeder davon ist und was nicht
Kontokennung und E-Mail-Adresse	Die UUID Ihres Kontos und Ihre E-Mail-Adresse für die Anmeldung	Um Ihnen ein Konto zu geben und Ihre Einträge damit zu synchronisieren
Abonnementstatus	Ihre Kontokennung und ob glumea+ aktiv ist, wie von Apple oder Google über RevenueCat gemeldet	Um freizuschalten, was Sie bezahlt haben. Sie enthält keine Messwerte, Medikamente oder Einträge
Produktanalyse-Ereignisse	Dass ein Eintrag einer bestimmten Art gespeichert wurde (Glukose, Mahlzeit, Medikament oder Gewicht; Insulin, Tabletten und Injektionen zählen alle als Medikament), ob Sie ihn über das Formular oder über die Aktionsschaltfläche einer Erinnerung gespeichert haben, wie viele Zeilen dieses Speichern geschrieben hat und ob Sie ihn innerhalb von etwa fünfzehn Minuten nach dem Zeitpunkt, später am selben Tag oder rückdatiert eingetragen haben; dass Sie das Eingabeformular geöffnet haben und für welche Art; dass die App gestartet wurde und gesondert, dass sie nach der Installation zum ersten Mal gestartet wurde; dass Sie die Registrierung oder Anmeldung abgeschlossen haben und dass ein per E-Mail gesendeter Code bestätigt oder abgelehnt wurde, mit dem zugehörigen Ablauf; welche Schritte der Einführung Sie abgeschlossen haben, einschließlich der zu Diabetestyp und Behandlung, aber nicht des Schritts, den nur Insulinnutzer sehen, und dass Sie Ihr Profil abgeschlossen haben; welche Bildschirme Sie geöffnet haben, als feste Routennamen, wobei ein Bildschirm, den nur eine Behandlungsart erreicht, als der darüberliegende Bildschirm gemeldet wird; dass Sie auf eine Erinnerung getippt haben, und deren allgemeine Kategorie, nie eine Glukosewarnung; dass Sie um die Benachrichtigungsberechtigung gebeten wurden und ob Sie sie erteilt haben; ob Sie Apple Health oder Health Connect verbunden haben, ob das Betriebssystem die Berechtigung erteilt oder verweigert hat, dass Sie einen Import angefordert haben und dass ein Import mit dem jeweiligen Auslöser lief, nie wie viele Aufzeichnungen er gelesen hat; dass Sie einen Export erstellt haben, in welchem Format und ob Sie ihn geteilt haben; dass Sie die Analyse ausgeschaltet haben; Abonnement- und Kaufereignisse; und Ihre Sprache, Ihr Design, Ihre Einheiteneinstellungen und Ihr Abonnementstatus. Nie ein Wert, ein Name, eine Notiz oder irgendetwas anderes, das Sie eingetippt haben. Ereignisse nach der Anmeldung verwenden die Kontokennung; Ereignisse vor der Anmeldung verwenden eine pseudonyme Gerätekennung	Um zu verstehen, welche Teile der App genutzt werden. Sie sagen nicht, welches Medikament Sie nehmen, welche Behandlung Sie verwenden oder ob eine Glukosewarnung ausgelöst wurde, aber sie sind mit Ihrer Nutzung einer Diabetes-App verknüpft. Nur erhoben, nachdem Sie der Analyse zugestimmt haben
Technische und Geräteinformationen	Die pseudonyme Gerätekennung für die Analyse vor der Anmeldung; Gerätemodell, Betriebssystem, App-Version, Release, Build und ähnliche Werte, die von den SDKs von PostHog, Sentry und RevenueCat hinzugefügt werden; und die Netzwerkadresse, die ihre Server sehen	Die SDKs erheben diese Werte, und zwar erst, nachdem Sie der Analyse oder der Diagnose zugestimmt haben. Keines dieser Felder ist ein Messwert, ein Medikament oder ein Wert, den Sie eingetippt haben
Server-Anfrageprotokolle	Die Adresse, der Pfad und die Zeit der Anfragen, die Ihr Gerät an unsere Server richtet, und, wenn eine Anfrage fehlschlägt, der Status, der Pfad, die Zeit und die Fehlermeldung	Um das Backend zu betreiben und Fehler zu untersuchen. Sie enthalten keine Einträge, Medikamente oder Messwerte und nichts, was Sie eingetippt haben. Sie sind hier aufgeführt, weil eine Anfrage an das Backend von glumea mit Ihrer Nutzung einer Diabetes-App verknüpft ist

Wir verwenden Verbrauchergesundheitsdaten für diese Zwecke und für keine anderen. Wir verwenden sie nicht für Werbung, Ad-Targeting, Profiling, Kredit- oder Versicherungsentscheidungen oder Forschung, und wir verwenden sie nicht, um automatisierte Entscheidungen über Sie zu treffen.

Einiges davon verlässt Ihr Gerät überhaupt nie: Die Zeiten Ihrer Messerinnerungen, Ihre Ruhezeiten, Ihre Einstellung für Details in Benachrichtigungen und Ihre Einstellungen der Gesundheitsverbindungen werden nur lokal gespeichert und nicht an unsere Server gesendet. Ihre Medikamentenpläne sind die Ausnahme: Sie gehören zum Tagebuch und werden daher auf unsere Server kopiert, wenn Cloud-Synchronisierung eingeschaltet ist, weil eine Medikamentenerinnerung ein neues Telefon überstehen muss.

4. Woher sie stammen

Es gibt sechs Quellen:

Sie, wenn Sie Einträge in die App eintippen oder Ihr Profil, Ihre Medikamente und Erinnerungen einrichten.
Die Gesundheitsplattform Ihres Geräts: Apple Health oder Health Connect, wenn Sie sie verbinden und die Berechtigung des Betriebssystems erteilen. Das ist schreibgeschützt: glumea schreibt nie etwas in Apple Health oder Health Connect zurück, und unter iOS hat es keine Berechtigung, die ihm das erlauben würde.
Die App selbst, wenn sie auf Ihrem Gerät Werte aus dem ableitet, was Sie eingegeben haben.
Apple, Google und RevenueCat, die uns mitteilen, ob Ihr Abonnement von glumea+ aktiv ist. Das ist eine Zahlungstatsache, die an Ihre Kontokennung geknüpft ist; sie enthält keine Messwerte, Medikamente oder Einträge. Sie erreicht uns sowohl in der App als auch als Server-zu-Server-Nachricht von RevenueCat an unser Backend.
Die SDKs von PostHog, Sentry und RevenueCat in der App, die die in Abschnitt 3 aufgeführten Geräte- und Netzwerkwerte von selbst erheben. Wir legen sie nicht fest.
Unsere Hosting-Plattform und unser Backend, die die in Abschnitt 3 beschriebenen Server-Anfrageprotokolle aufzeichnen.

Apple Health und Health Connect zählen als Quelle. Die Messwerte, die sie enthalten, wurden von etwas anderem aufgezeichnet, und ihr Import bringt sie als gewöhnliche Einträge in glumea, auch auf unsere Server, wenn die Cloud-Synchronisierung eingeschaltet ist.

Wir kaufen keine Verbrauchergesundheitsdaten. Abgesehen von der Gesundheitsplattform, die Sie verbinden, und dem Abonnementsignal erhalten wir sie von niemandem, nicht von Datenhändlern, Werbenetzwerken, Gesundheitsdienstleistern oder Versicherern.

5. Wer sie sonst noch verarbeitet und was er erhält

Nichts in diesem Abschnitt ist ein Verkauf. Die Tabelle nennt die Unternehmen, die Teile von glumea betreiben, und die Daten, die jeder Dienst erhalten kann. Apple und Google sind der Vollständigkeit halber aufgeführt: Sie betreiben die Stores, halten ihre eigenen Kaufaufzeichnungen und handeln für diese Store-Daten unabhängig. Ein SDK eines Anbieters in der App kann außerdem Geräte- und Netzwerkinformationen erheben, die wir weder konfigurieren noch erhalten. Das SDK von RevenueCat tut dies, und RevenueCat beschreibt diese Verarbeitung in seinen eigenen Datenschutzhinweisen.

Wer	Was er erhält	Warum	Kontakt
Google Cloud (Google), Cloud Run und Cloud SQL, Region `europe-west1`	Die E-Mail-Adresse Ihres Kontos, Ihr Profil und Ihre Therapieeinstellungen, die auf unseren Servern liegen, unabhängig davon, ob Sie die Cloud-Synchronisierung nutzen; und, wenn Cloud-Synchronisierung eingeschaltet ist, zusätzlich Ihr Tagebuch: Einträge, Medikamentenkataloge und Medikamentenpläne	Sie hosten unser Backend und unsere Datenbank. Hier liegt die Serverkopie Ihrer Daten. Google Cloud Logging enthält außerdem unsere in Abschnitt 3 beschriebenen Server-Anfrageprotokolle	support.google.com/policies/contact/general_privacy_form
Zoho ZeptoMail	Wenn der E-Mail-Versand in der Produktion aktiviert ist: die Ziel-E-Mail-Adresse und die Nachricht zur Bestätigung, zum Zurücksetzen des Passworts oder zur Änderung der E-Mail-Adresse. Keine Einträge, Medikamente oder Messwerte	Um Konto-E-Mails zuzustellen, wenn diese Funktion aktiviert ist	[email protected]
PostHog (EU Cloud)	Solange die Analyse aktiviert ist: die oben aufgeführten Ereignisse, die Kontokennung nach der Anmeldung oder eine pseudonyme Gerätekennung vor der Anmeldung, ausgewählte Einstellungsattribute, vom SDK hinzugefügte technische Eigenschaften und die Netzwerkadresse: PostHog erhält sie mit jeder Anfrage und leitet daraus einen ungefähren Standort ab; wir haben die Option von PostHog, sie zu verwerfen, nicht eingeschaltet, daher wird sie mit dem Ereignis gespeichert	Produktanalyse	[email protected]
Sentry (Diagnose, Region Europäische Union)	Solange die Diagnose aktiviert ist: gefilterte Absturz- und Fehlerberichte, vom SDK hinzugefügte Geräte- und App-Daten, die Netzwerkadresse (die App ist so konfiguriert, dass sie sie nicht sendet, sodass dem Bericht keine IP-Adresse beigefügt ist, aber die Server von Sentry sehen zwangsläufig die Adresse, von der der Bericht eintrifft), und Release-Health-Signale der Plattform, die den Filter der App umgehen können	Um Abstürze zu finden und zu beheben	[email protected]
RevenueCat	Ihre Kontokennung und Ihren Kauf- und Abonnementstatus von glumea+. Unser Code hängt nichts anderes daran: Wir setzen keine E-Mail-Adresse, keinen Namen, keine Gerätekennung und kein eigenes Abonnentenattribut. RevenueCat kann eigene Abonnentenattribute über Sie halten, und wo es das tut, kommen sie in den Nachrichten, die es an unser Backend sendet, zu uns zurück und werden von uns so gespeichert, wie sie eintreffen; was damit geschieht, sagt Abschnitt 9. Das eigene SDK von RevenueCat erhebt von selbst einige Geräte- und Netzwerkinformationen, die unser Code weder setzt noch unterdrückt: die Netzwerkadresse, aus der es einen ungefähren Standort ableitet, den Gerätetyp, das Betriebssystem und die App-Version, und den Kaufverlauf des Stores, den es liest; unser Code schaltet seine Erhebung einer Gerätekennung nicht ein, sodass keine Werbekennung angehängt wird. Keine Einträge, keine Medikamente, keine Messwerte	Um der App mitzuteilen, ob Ihr Abonnement aktiv ist	[email protected]
Apple und Google, die die Stores betreiben, über die glumea+ verkauft wird	Kauf- und Abonnementaufzeichnungen. Keine Einträge, keine Medikamente, keine Messwerte	Sie nehmen die Zahlung entgegen und halten die Abrechnungsbeziehung mit Ihnen; wer der Verkäufer ist, hängt vom Store und Ihrem Gebiet ab, wie die Nutzungsbedingungen erklären. Wir sehen Ihre Kartendaten nie	apple.com/legal/privacy/contact · support.google.com/policies/contact/general_privacy_form

Kein Konzernunternehmen von Paweł Milewski Software Development erhält Verbrauchergesundheitsdaten, und wir legen sie nicht gegenüber Werbetreibenden, Datenhändlern, Versicherern oder Arbeitgebern offen. Eine verbindliche gerichtliche oder behördliche Anordnung kann eine Offenlegung verlangen. Für jede Mitteilung über eine solche Offenlegung gilt das geltende Recht.

Die Tabelle nennt, warum jeder Dienst verwendet wird und was er erhalten kann. Die App hat keinen gesonderten Schalter für die Weitergabe je Anbieter; die verfügbaren Kontrollen sind in Abschnitt 7 beschrieben. Die Bedingungen und Datenschutzhinweise der Anbieter regeln auch Daten, die ein SDK unabhängig von Feldern erhebt, die unser Code konfiguriert.

Zwei Punkte dazu, was Analyse und Diagnose tragen können und was nicht:

Die Analyse kann über das Ereignisschema der App weder einen Messwert noch eine Notiz, einen Medikamentennamen, einen vom Nutzer eingegebenen Kontext oder eine E-Mail-Adresse erhalten. Die App verwendet feste Positivlisten für Ereignisse und Eigenschaften. Medikamenteneinträge aller Art werden als eine Art gemeldet, und Tippen auf Glukosewarnungen wird nicht aufgezeichnet, sodass die Ereignisse weder Ihre Behandlung noch Ihre Messwerte verraten. Die Analyse erhebt nichts, bis Sie zustimmen.
Diagnoseberichte werden vor dem Senden aus einer Positivliste neu aufgebaut, und der Bericht enthält keinen Nutzer, keine Kontokennung und keinen Nachrichtentext. Zwei Grenzen: Die Bezeichnung, die den fehlgeschlagenen Vorgang benennt, kann verraten, welche Kategorie von Daten ein Vorgang betraf (zum Beispiel ein Glukoseimport), nie einen Wert; und native Absturz-, App-reagiert-nicht- und Watchdog-Ereignisse werden vom Absturzhandler des Betriebssystems erzeugt und können Sentry erreichen, ohne diesen Filter zu durchlaufen.

5.1 Kopien, die Sie selbst anlegen

Die PDF- und CSV-Glukoseberichte und das verschlüsselte .glumea-Archiv gehen dorthin, wohin Sie sie senden. Sobald Sie eine Datei an eine andere App, eine E-Mail oder eine Person übergeben, liegt sie außerhalb unserer Kontrolle. Das .glumea-Archiv ist mit einem Passwort verschlüsselt, das nur Sie kennen, wir können es nicht öffnen, und niemand, dem Sie das Passwort nicht geben, kann es.

5.2 Gerätesicherungen

Die lokale Datenbank der App ist auf Ihrem Gerät mit einem Schlüssel verschlüsselt, der im Schlüsselspeicher der Plattform liegt und dieses Gerät nie verlässt. Unter Android sind Sicherung und Übertragung von Gerät zu Gerät für glumea vollständig ausgeschaltet. Unter iOS kann eine Kopie der Datenbankdatei weiterhin in Ihrer iCloud-Sicherung enthalten sein, sie lässt sich aber ohne den Schlüssel nicht lesen. Apple und Google erhalten über diesen Weg daher keine lesbaren Verbrauchergesundheitsdaten, und der Umzug auf ein neues Telefon muss über die Cloud-Synchronisierung oder ein .glumea-Archiv erfolgen.

6. Wir verkaufen keine Verbrauchergesundheitsdaten

Wir verkaufen keine Verbrauchergesundheitsdaten und haben sie nie verkauft. Das Recht von Washington verlangt vor jedem Verkauf eine gesonderte unterschriebene „gültige Einwilligung“ von Ihnen; wir haben keine und haben Sie auch nicht darum gebeten. Ein Verkauf könnte nur über eine Einwilligung stattfinden, die Sie freiwillig erteilen, die genau angeben muss, was an wen verkauft wird, und die Sie widerrufen können.

glumea enthält kein Werbe-SDK, keine Werbekennung, kein Attributions- oder Mess-SDK und kein Standort-SDK. glumea fragt nie nach einer Standortberechtigung und erhebt keine genauen Standortdaten: Keiner der Builds für die beiden Plattformen deklariert eine Standortberechtigung, sodass die App den Standort Ihres Geräts überhaupt nicht lesen kann. Das Einzige, was ein geografisches Signal trägt, ist die Netzwerkadresse, von der aus sich Ihr Gerät verbindet und die unsere Server und die Anbieter aus Abschnitt 5 wie bei jedem Webdienst sehen und aus der sich eine ungefähre Region ableiten lässt. Wir verwenden sie nicht, um Sie zu orten, und wir leiten daraus keinen Standort ab und speichern keinen. Wir verarbeiten Verbrauchergesundheitsdaten nicht für Werbung, wir geben sie nicht für kontextübergreifende verhaltensbasierte Werbung weiter, und wir betreiben kein Geofencing um irgendeine Gesundheitseinrichtung und könnten es auch nicht.

7. Warum wir sie erheben und was Sie ausschalten können

Die meisten Gesundheitseinträge werden bewusst durch Eintippen oder Importieren bereitgestellt. Analyse und Diagnose sind ebenfalls optional: Beide sind ausgeschaltet, bis Sie am Ende der Einführung zustimmen oder sie in den Einstellungen einschalten, und keines der beiden SDKs wird vorher gestartet.

Cloud-Synchronisierung, also ob Ihre Einträge überhaupt auf unsere Server kopiert werden, ist eine Funktion von glumea+ und ausgeschaltet, bis Sie sie einschalten. Das Einschalten erfolgt in zwei Schritten. Ohne ein aktives Abonnement von glumea+ zeigt Ihnen die App den Abonnementbildschirm, statt etwas einzuschalten. Mit einem Abonnement bittet sie Sie dann, in einem eigenen Schritt zu bestätigen, dass Sie damit einverstanden sind, dass Ihre Gesundheitsdaten auf unseren Servern gespeichert werden. Diese Bestätigung ist Ihre Einwilligung, sie wird jedes Mal abgefragt, wenn der Schalter eingeschaltet wird, nicht nur beim ersten Mal, und das erneute Ausschalten widerruft sie. Sie finden sie im Fenster Cloud-Synchronisierung, das sich über die Cloud-Schaltfläche oben auf dem Bildschirm Übersicht oder Verlauf öffnet; der Schalter darin heißt Synchronisierung. Ist er ausgeschaltet, bleiben neue Einträge auf Ihrem Gerät. Einträge, die bereits auf unseren Servern liegen, bleiben dort, bis Sie sie löschen, und beim erneuten Einschalten der Synchronisierung werden die auf Ihrem Gerät gehaltenen Einträge erneut hochgeladen.

Ihre Antwort auf diesen Schalter wird in Ihrem Konto auf unseren Servern gehalten, nicht auf dem Telefon. Sie übersteht das Abmelden und folgt Ihnen auf ein neues Gerät, und das Ausschalten wird auf dieselbe Weise aufgezeichnet: Wenn Sie ihn offline ausschalten, behält die App diese Antwort und übermittelt sie bei der nächsten Gelegenheit, statt sie zu verwerfen. Wenn glumea+ endet, werden neue Einträge nicht mehr auf unsere Server kopiert, während Bearbeitungen und Löschungen von Einträgen, die dort bereits liegen, weiterhin synchronisiert werden, und das Fenster zeigt Bearbeitungen und Löschungen werden weiterhin synchronisiert · Neue Einträge bleiben auf diesem Gerät: Es wird nichts gelöscht, Ihre gespeicherte Antwort bleibt, wie sie war, und ein erneutes Abonnement setzt die vollständige Sicherung mit dieser Antwort fort, ohne Sie ein zweites Mal zu fragen. Das Ausschalten des Schalters und der Link Serverdaten löschen daneben bleiben verfügbar, unabhängig davon, ob ein Abonnement aktiv ist.

Drei Dinge können Sie in der App jederzeit ausschalten:

Apple Health / Health Connect: ausgeschaltet, bis Sie es verbinden, und jede der drei Datenarten lässt sich einzeln ausschalten. Einstellungen → Integrationen → Apple Health (auf dem iPhone) oder Health Connect (unter Android).
Nutzungsanalyse: Einstellungen → Daten & Datenschutz → Datenschutz & Diagnosedaten. Ausgeschaltet, bis Sie zustimmen. Das Ausschalten ändert die gespeicherte Einstellung, aber bereits in die Warteschlange gestellte Ereignisse können weiterhin nach dem Zeitplan des SDK zugestellt werden.
Fehlerberichte: der gesonderte Schalter auf demselben Bildschirm. Ebenfalls ausgeschaltet, bis Sie zustimmen. Das Abmelden löscht beide Antworten, aber ein bereits laufendes SDK läuft weiter, bis die App geschlossen wird.

Die Funktion Serverdaten löschen in der App erfordert eine bestehende Anmeldung. Wenn die Sitzung abgelaufen ist, zeigt das Fenster Cloud-Synchronisierung Pausiert und die Funktion verlangt eine Anmeldung, bevor sie ausgeführt werden kann. Zwingende Vorschriften verbieten es, einen gültigen Widerruf der Einwilligung zu sanktionieren.

Ihr Diabetes- und Behandlungsprofil und Ihre Therapieeinstellungen werden von den obigen Schaltern nicht erfasst. Das Löschen des Kontos ist der einzige umgesetzte Weg, sie aus unserer Produktionsdatenbank zu entfernen. Über [email protected] ist derzeit kein Ablauf verfügbar, der nur das Profil entfernt.

8. Ihre Rechte

Abschnitt 8.1 legt die Rechte dar, die Washington Ihnen gibt, und Abschnitt 8.2 beschreibt, wie Sie sie ausüben. Wenn Sie sich in Nevada befinden, stehen Ihre Rechte und Fristen stattdessen in den Datenschutzhinweisen zu Verbrauchergesundheitsdaten in Nevada.

8.1 Wenn Sie sich in Washington befinden

Nach dem My Health My Data Act haben Sie das Recht,

zu bestätigen, ob wir Ihre Verbrauchergesundheitsdaten erheben, weitergeben oder verkaufen, und Zugang dazu zu erhalten, einschließlich der Dritten und verbundenen Unternehmen, mit denen sie geteilt wurden, und einer Möglichkeit, sie zu kontaktieren. Die derzeit veröffentlichte Empfänger- und Kontaktliste ist die Tabelle in Abschnitt 5.
Ihre Einwilligung zu widerrufen zur Erhebung Ihrer Verbrauchergesundheitsdaten und zu deren Weitergabe (Abschnitt 7).
Ihre Verbrauchergesundheitsdaten zu löschen.

Das Recht von Washington verlangt eine Antwort innerhalb von 45 Tagen nach Eingang einer Anfrage. Es erlaubt einen weiteren Zeitraum von 45 Tagen, wo vernünftigerweise erforderlich, mit Mitteilung und Begründung während des ersten Zeitraums. Es legt außerdem die Regeln zu Gebühren und zu offenkundig unbegründeten, übermäßigen oder wiederholten Anfragen fest. Diese gesetzlichen Anforderungen gelten unabhängig von dieser Richtlinie.

8.2 So üben Sie diese Rechte aus

In der App: Konto löschen (Einstellungen → Konto) löscht Ihr Konto und alles, was damit synchronisiert wurde, endgültig von unseren Servern und leert die lokale Datenbank auf Ihrem Gerät. Der Link Serverdaten löschen (im Fenster Cloud-Synchronisierung; er funktioniert, sobald die Synchronisierung ausgeschaltet ist) löscht die Serverkopie Ihrer Einträge, Ihrer Medikamentenkataloge und Ihrer Medikamentenpläne und behält dabei Ihr Konto und die Kopie auf Ihrem Gerät. Er reicht nicht weiter: Ihr Diabetes- und Behandlungsprofil und Ihre Therapieeinstellungen bleiben auf unseren Servern, bis Sie Ihr Konto löschen.
Per E-Mail: Beantragen Sie die Kontolöschung unter [email protected], auch wenn Sie die App nicht mehr haben. Wir prüfen die Inhaberschaft, bevor wir das Konto löschen. Ihr glumea-Konto löschen beschreibt beide Wege. Ein gesondertes, eigenes Verfahren für Auskunft oder Widerspruch außerhalb der App ist noch nicht umgesetzt, sodass dieser E-Mail-Weg für sich allein nicht jedes Anfragerecht nach dem Recht von Washington erfüllt.

Wenn Sie in der App löschen, erfolgt die Löschung aus den Tabellen des Produktionskontos, wenn Sie sie bestätigen. Abschnitt 9 nennt, wohin diese Löschung reicht und was sie übersteht.

9. Was eine Löschung tatsächlich erreicht

Die folgende Tabelle legt dar, wie eine Löschung in jedem System und bei jedem Dienstleister angewendet wird.

Ziel	Was geschieht
Ihr Gerät	Das Löschen eines Eintrags entfernt ihn von diesem Gerät und nur von diesem Gerät. Die Serverkopie bleibt, sodass der Eintrag bei einer Neuinstallation, auf einem neuen Telefon oder nach dem Abmelden und erneuten Anmelden zurückkehren kann. Nur Serverdaten löschen oder das Löschen Ihres Kontos leert den Server. Aus Apple Health oder Health Connect importierte Messwerte können in der App nicht einzeln gelöscht werden. Die Kontolöschung in der App und das Abmelden leeren die lokale Datenbank auf diesem Gerät; eine Anfrage per E-Mail kann sie nicht aus der Ferne leeren. Die Datenbank ist mit einem gerätegebundenen Schlüssel verschlüsselt, sodass jede Kopie davon, die dieses Gerät verlässt, unlesbar ist
Unsere Produktionsdatenbank (Google Cloud, `europe-west1`)	Wenn Sie Ihr Konto löschen, werden die Kontozeile und alles, was daran hängt, sofort endgültig gelöscht, ohne Wiederherstellung. Ein einzelner Eintrag ist anders: Wenn die Löschung eines einzelnen Eintrags unsere Server erreicht, bleibt die Zeile als Löschmarkierung erhalten, die ihren Wert, ihre Kontexte und Notizen weiter trägt, damit die Löschung zu Ihren anderen Geräten gelangen kann
Unsere Server-Sicherungen	Kopien bereits gelöschter Zeilen bleiben bestehen, bis die Sicherungen ablaufen, höchstens 7 Tage und nicht länger als sechs Monate nach der Authentifizierung, wo die gesetzliche Grenze von Washington gilt. Einzelne Datensätze werden innerhalb einer Sicherung nicht bearbeitet. Eine Wiederherstellung nach einem Katastrophenfall kann gelöschte Zeilen vorübergehend wieder einführen, weil kein Job vergangene Löschungen erneut abspielt
Unsere Server-Protokolle	Unsere Hosting-Plattform zeichnet die Adresse, den Pfad und die Zeit der Anfragen auf, die Ihr Gerät an uns richtet, und unser Backend schreibt eine eigene Zeile, wenn eine Anfrage fehlschlägt: den Status, den Pfad, die Zeit und die Fehlermeldung. Keines enthält Einträge, Medikamente oder Messwerte. Aufbewahrung: 30 Tage
Zoho ZeptoMail	Wenn der E-Mail-Versand aktiviert ist, kann es Zustellprotokolle für Bestätigungs- und Zurücksetzungsnachrichten halten. Aufbewahrung: bis zu 60 Tage Zustellprotokolle, die Standardaufbewahrung von ZeptoMail. Der derzeitige Löschablauf sendet keine Löschanfrage an den Anbieter
PostHog (Analyse)	Die Kontolöschung stellt eine Anfrage in die Warteschlange, das mit dem Konto verknüpfte Profil und seine Ereignisse und Aufzeichnungen zu löschen. Wir versuchen es sofort und wiederholen eine fehlgeschlagene Anfrage. PostHog kann eine angenommene Massenlöschung asynchron abschließen. Ereignisse vor der Anmeldung verwenden eine separate Gerätekennung
Sentry (Diagnose)	Die App hängt keinem Diagnosebericht eine Kontokennung, E-Mail-Adresse oder einen Nutzerdatensatz an. Native Berichte können den Filter der App umgehen, und es gibt keine unterstützte Kennung, um die Berichte eines einzelnen Nutzers zu finden und zu löschen
RevenueCat	Hält einen Abonnentendatensatz unter der Kontokennung, aber keine Einträge, Medikamente oder Messwerte. Die Kontolöschung stellt eine Anfrage in die Warteschlange, diesen Datensatz zu löschen. Wir versuchen es sofort und wiederholen eine fehlgeschlagene Anfrage
Unser Protokoll der Abonnementereignisse	Unser Backend speichert jede Abonnementnachricht, die RevenueCat sendet, einschließlich der Kontokennung und aller Abonnentenattribute in dieser Nachricht. Die Zeilen sind nicht an den Kontodatensatz geknüpft, daher entfernt der Löschdienst sie gesondert, wenn er das Konto löscht. Andernfalls entfernt ein geplanter Job jede Zeile 90 Tage nach Eingang
Abonnementaufzeichnungen von Apple / Google	Von ihnen nach ihren eigenen Richtlinien gehalten, außerhalb unserer Kontrolle
Kopien, die Sie selbst exportiert haben	Außerhalb unserer Reichweite, siehe „Kopien, die Sie selbst anlegen“ oben

Beide Wege der Kontolöschung nutzen denselben serverseitigen Dienst. Er entfernt das Konto und das Protokoll der Abonnementereignisse aus unserer Produktionsdatenbank und stellt Anfragen an RevenueCat und PostHog in die Warteschlange. Er identifiziert die Sentry-Berichte eines einzelnen Nutzers nicht und löscht keine Zustellprotokolle von Zoho ZeptoMail. Das Recht von Washington verlangt außerdem ein Widerspruchsverfahren für abgelehnte Anfragen; dieses gesonderte Verfahren ist noch nicht umgesetzt.

10. Wenn wir Nein sagen

Das Recht von Washington verlangt eine schriftliche Erklärung und ein Widerspruchsverfahren, wenn eine Anfrage abgelehnt wird. Es verlangt außerdem eine schriftliche Entscheidung über den Widerspruch innerhalb von 45 Tagen und, nach einem abgelehnten Widerspruch, eine Möglichkeit, den Attorney General von Washington zu kontaktieren.

Unter [email protected] ist derzeit kein gesonderter Widerspruchsablauf umgesetzt, sodass das derzeitige Verfahren den von Washington verlangten Widerspruchsweg nicht bietet. Nichts in dieser Richtlinie schränkt eine Beschwerde beim Office of the Attorney General des Bundesstaates Washington oder ein anderes Recht nach dem Recht von Washington ein.

11. Änderungen dieser Richtlinie

Die aktuelle Version beschreibt die Kategorien und Zwecke, die derzeit verwendet werden. Das Recht von Washington kann eine aktualisierte Richtlinie, eine vorherige Mitteilung oder eine Einwilligung verlangen, bevor eine neue Kategorie oder ein neuer Zweck eingeführt wird. Die Veröffentlichung einer aktualisierten Richtlinie ersetzt keine Einwilligung, wo eine Einwilligung erforderlich ist.

12. Sprache

Diese Richtlinie wird auf Englisch veröffentlicht. Die englische Fassung ist die rechtlich verbindliche. Übersetzungen in andere Sprachen werden veröffentlicht, damit Sie die Richtlinie in Ihrer eigenen Sprache lesen können. Wo eine Übersetzung und der englische Text voneinander abweichen, gilt der englische Text.

Die Ausnahme ist das Gesetz selbst. Wo das Land, in dem Sie leben, der Sprache, in der man sich an Sie gewandt hat, einen eigenen Status einräumt, wie es das Verbraucherschutzrecht mehrerer Länder tut, gilt stattdessen diese Regel, und nichts hier nimmt Ihnen ein Recht, das Sie danach haben.

Eine Übersetzung wird veröffentlicht, wenn sie fertig ist, sodass sie nach einer Aktualisierung hinter dem englischen Text zurückliegen kann. Wenn Sie eine Stelle finden, an der eine Übersetzung und der englische Text Unterschiedliches sagen, teilen Sie es uns unter [email protected] mit.

13. Kontakt

E-Mail: [email protected]
Post: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polen