Datenschutzerklärung

1. Wer wir sind und was diese Erklärung abdeckt

Paweł Milewski Software Development (der Betreiber, „wir“, „uns“, „unser“) stellt glumea (die App) bereit, eine mobile Anwendung zur Diabetes-Selbstkontrolle, sowie glumea.com (die Website). Diese Erklärung beschreibt, welche Daten wir erheben, warum, wo sie gespeichert werden, wer Zugriff darauf hat, wie lange sie aufbewahrt werden, was eine Löschung entfernt und welche Rechte und Kontrollmöglichkeiten Sie haben.

Sie ist außerdem die Information, die wir Ihnen nach dem europäischen Datenschutzrecht schulden: die Angaben, die die Artikel 13 und 14 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) verlangen, die wir von hier an DSGVO nennen und die sowohl die Daten abdecken, die Sie uns selbst geben, als auch die Daten, die uns von anderer Seite erreichen.

Diese Erklärung gilt für:

Die App: die mobile App glumea für iOS und Android.
Die Website: die Website glumea.com, einschließlich der Seiten, auf denen diese rechtlichen Dokumente stehen.

Die Website erhebt fast nichts, und sie hat unten einen eigenen Abschnitt.

Der Betreiber ist der Verantwortliche für Ihre personenbezogenen Daten:

Verantwortlicher: Paweł Milewski Software Development
Firmenregisternummer: NIP PL6751782526 (Einzelunternehmen, eingetragen in der CEIDG, dem polnischen Zentralregister und der Informationsstelle für Gewerbetreibende)
Postanschrift: ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polen
E-Mail: [email protected]
Land der Niederlassung: Polen

Falls zutreffend:

Vertreter in der EU: nicht zutreffend (wir sind in der Europäischen Union niedergelassen)
Vertreter im Vereinigten Königreich: nicht bestellt
Datenschutzbeauftragter: nicht bestellt; Fragen zum Datenschutz richten Sie an [email protected]

„Verantwortlicher“ bezeichnet die Stelle, die über die Zwecke und Mittel der Verarbeitung Ihrer personenbezogenen Daten entscheidet, wie in der DSGVO definiert.

Zwei weitere Dokumente gelten neben dieser Erklärung, und Sie sollten sie zusammen mit ihr lesen:

unsere Nutzungsbedingungen, die Ihre Nutzung der App und der Website regeln, und
unseren Medizinischen Haftungsausschluss, der die medizinischen Grenzen dessen darlegt, was die App tut.

Wenn Sie in Washington wohnen, gilt für Sie speziell ein viertes Dokument: unsere Datenschutzerklärung zu Verbrauchergesundheitsdaten, die wir nach dem Recht von Washington gesondert veröffentlichen müssen. Wenn Sie sich in Nevada befinden, ist das Entsprechende unsere Datenschutzhinweise zu Verbrauchergesundheitsdaten in Nevada.

2. Zusammenfassung

Eine Kurzfassung dessen, was folgt. Jeder Punkt nennt den Abschnitt, der ihn vollständig darlegt, und dieser Abschnitt ist maßgeblich.

Wer wir sind. Paweł Milewski Software Development entscheidet, wie und warum Ihre Daten verarbeitet werden. Abschnitte 1 und 21.
Was wir erheben. Ihre E-Mail-Adresse und Ihr Passwort; das Profil, das Sie bei der Einführung eingeben; das Tagebuch, das Sie führen: Glukose, Mahlzeiten, Insulin, andere Medikamente, Gewicht, Medikamente und Erinnerungen; Anmelde-Token und Aufzeichnungen der Serververbindungen. Aufzeichnungen aus Apple Health oder Health Connect, wenn Sie sie verbinden, und Abonnementinformationen, wenn Sie ein Abonnement abschließen. Abschnitt 3.
Gesundheitsdaten. Das Tagebuch, der Diabetestyp, die Behandlungsmethode und die Therapieeinstellungen sind besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO. Die Cloud-Synchronisierung hat für das Tagebuch eine eigene Bestätigung. Die derzeitige Einführung holt vor dem Speichern des Gesundheitsprofils und der Therapieeinstellungen keine gesonderte ausdrückliche Einwilligung ein. Abschnitte 3.3 und 4.
Wo sie liegen. Ein Teil Ihrer Daten liegt ab dem Moment, in dem Sie ein Konto anlegen, auf unseren Servern: Ihre Kontodaten, Ihr Profil einschließlich Diabetestyp und Behandlung und Ihre Therapieeinstellungen. Ihr Tagebuch nicht: Es wird zuerst in eine verschlüsselte Datenbank auf Ihrem Telefon geschrieben, die App funktioniert offline, und es erreicht unsere Server nur, wenn Sie Cloud-Synchronisierung einschalten, eine Funktion von glumea+, ausgeschaltet, bis Sie sie einschalten, und eine Entscheidung, die in Ihrem Konto gehalten wird und nicht auf dem Telefon. Abschnitt 10 enthält die vollständige Tabelle.
Wer sie erhält. Unser Hosting-Anbieter in der EU; ein E-Mail-Anbieter, wenn der E-Mail-Versand aktiviert ist; PostHog und Sentry, jeweils erst nachdem Sie zugestimmt haben; der Store, wenn Sie ein Abonnement abschließen; und RevenueCat, unabhängig davon, ob Sie ein Abonnement abschließen. Wir verkaufen Ihre Daten nicht, und die App enthält keine Werbung. Abschnitte 5, 7, 8 und 9.
Ihre Wahlmöglichkeiten. Analyse und Fehlerberichte sind ausgeschaltet, bis Sie jeweils zustimmen, und jede hat einen eigenen Schalter; das Abmelden stoppt kein SDK, das in dieser Sitzung bereits läuft. In der App können Sie die Synchronisierung ausschalten, die Serverkopie Ihres Tagebuchs löschen, Ihr Konto löschen und die umgesetzten Exporte nutzen. Abschnitte 5 und 13.
Ihre Rechte. Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf der Einwilligung und eine Beschwerde bei einer Datenschutzbehörde; in den Vereinigten Staaten die Rechte, die das Recht Ihres Bundesstaates Ihnen gibt. Sie können Ihr Konto in der App löschen oder die Kontolöschung per E-Mail an [email protected] ohne die App beantragen. Abschnitte 13, 14 und 17.
Was eine Löschung nicht erfasst. Das Löschen Ihres Kontos entfernt dessen Datensätze in der Produktionsdatenbank und beantragt die Löschung der mit dem Konto verknüpften Datensätze bei RevenueCat und PostHog. Bestehende Sicherungen, Server- und Diagnoseprotokolle, Abrechnungsdaten der Stores und exportierte Kopien können bestehen bleiben, wie in Abschnitt 12 beschrieben.

3. Daten, die wir erheben

Das meiste, was hier aufgeführt ist, stellen Sie uns selbst zur Verfügung. Zwei Kategorien nicht: Messwerte, die Sie aus Apple Health oder Health Connect importieren, und Abonnementinformationen, die uns von Apple, Google und RevenueCat erreichen. Beide werden unten beschrieben.

3.1 Kontodaten

E-Mail-Adresse und Passwort. Ihr Passwort wird auf unseren Servern mit bcrypt gehasht, nie im Klartext gespeichert und nie auf Ihrem Gerät abgelegt. Ihre E-Mail-Adresse steckt außerdem im Anmelde-Token, das die App verwendet.
Einmalcodes zur Bestätigung der E-Mail-Adresse, zum Zurücksetzen des Passworts, zur Passwortänderung und zur Änderung der E-Mail-Adresse. Ein Code läuft 10 Minuten nach der Ausstellung ab, und fünf falsche Versuche machen ihn ungültig.

3.2 Profildaten

Bei der Einführung erhoben:

Vor- und Nachname (als Spitzname gespeichert), Alter, Geschlecht (optional) und Körpergröße.
Diabetestyp (Typ 1, Typ 2, Schwangerschaftsdiabetes oder anderer), Behandlungsmethoden (Insulin, Tabletten, Injektionen, Ernährung) und Art der Insulingabe.

Ihr Diabetestyp, Ihre Behandlungsmethoden und Ihre Art der Insulingabe sind Gesundheitsdaten, eine „besondere Kategorie“ personenbezogener Daten nach Artikel 9 der DSGVO, auch wenn diese Erklärung sie unter „Profil“ zusammenfasst. Der Abschnitt zu den Rechtsgrundlagen unten nennt die Bedingung, auf die wir uns dafür stützen.

3.3 Gesundheitsdaten, die Sie protokollieren (Daten besonderer Kategorien)

Das Folgende sind Gesundheitsdaten, eine „besondere Kategorie“ personenbezogener Daten nach Artikel 9 der DSGVO. Wir halten sie auf unseren Servern nur mit Ihrer ausdrücklichen Einwilligung. Der Abschnitt zu den Rechtsgrundlagen unten legt dar, wie diese Einwilligung erteilt wird und welche davon unsere Server nur erreichen, wenn die Cloud-Synchronisierung eingeschaltet ist:

Blutzuckermesswerte, mit optionalen Kontexten (Zeitpunkt zur Mahlzeit, Physiologie, Aktivität, Medikation und Technik, sowie Kontexte, die Sie selbst schreiben) und Freitext-Notizen.
Mahlzeiteneinträge: Kohlenhydrate, dazu optional Eiweiß, Fett, Kalorien und ein Name, den Sie eintippen.
Insulindosen: die Zahl der Einheiten, verknüpft mit dem von Ihnen eingerichteten Insulinmedikament, Bolus, Basal oder Mischinsulin.
Dosen injizierbarer Medikamente (zum Beispiel GLP-1-Agonisten).
Anzahl der eingenommenen Pillen und Tabletten.
Einträge zum Körpergewicht, jeweils mit dem Zeitpunkt, zu dem Sie sie aufgezeichnet haben.
Ihre Medikamentenkataloge: Insulin, Tabletten und injizierbare Medikamente, die Sie einrichten, einschließlich Arzneimittelnamen (zum Beispiel Fiasp, Lantus, Metformin, Ozempic) und pharmakokinetischer Parameter (Wirkeintritt, Wirkmaximum, Wirkdauer), und die Erinnerungszeiten, die Sie dafür festlegen.
Behandlungseinstellungen, die Sie festlegen: Ihr Glukose-Zielbereich (standardmäßig 3,9 bis 10,0 mmol/L, bei Schwangerschaftsdiabetes, Prädiabetes oder ohne Diagnose 3,9 bis 7,8 mmol/L), Kohlenhydrat-Insulin-Verhältnis (ICR) und Korrekturfaktor (ISF). Die App verwendet keine davon, um eine Dosis zu berechnen oder zu empfehlen. Ihr Kohlenhydrat-Insulin-Verhältnis wird zu Ihrer Orientierung gespeichert, und nichts anderes liest es. Ihr Zielbereich wird gespeichert und zeichnet außerdem den Bereich „im Zielbereich“ der Zeit im Zielbereich, legt die inneren Grenzen der Angabe Gut / Grenzwertig / Kritisch fest und entscheidet, wann sich die Formulierung zum Hypo-Risiko ändert. Ihr Korrekturfaktor wird verwendet, um die Formulierung zum Hypo-Risiko und den ungefähren Senkungsbereich neben dem aktiven Insulin zu berechnen. Der Medizinische Haftungsausschluss beschreibt all das.
Werte, die die App auf Ihrem Gerät aus dem ableitet, was Sie protokollieren: geschätztes aktives Insulin (eine Schätzung nur zur Information: Sie empfiehlt oder berechnet keine Dosis), die Formulierung zum Hypo-Risiko und der ungefähre Senkungsbereich daneben, Trends, durchschnittliche Glukose und ihre Streuung, Zeit im Zielbereich, der geschätzte HbA1c (GMI), der vorgeschlagene Zeitpunkt für Ihre nächste Messung und die Angabe Gut / Grenzwertig / Kritisch zu Ihrem letzten Messwert. Der Medizinische Haftungsausschluss legt dar, was jeder davon ist und was nicht.

Mehrere dieser Felder sind Freitext: Glukose-Notizen, Kontexte, die Sie selbst schreiben, Mahlzeitennamen, eigene Medikamentennamen, der Name eines eigenen Erinnerungsplatzes. Was Sie dort eintippen, wird genau so gespeichert, wie Sie es eingetippt haben, und synchronisiert, wenn die Synchronisierung eingeschaltet ist.

3.4 Daten, die wir aus anderen Quellen erhalten

Apple Health und Health Connect. Wenn Sie sie verbinden, liest die App Blutzucker-, Körpergewichts- und Kohlenhydrataufzeichnungen aus der Gesundheitsplattform auf Ihrem Telefon. Das ist schreibgeschützt: Die App schreibt nie etwas zurück. Unter iOS fragt sie das System nur nach Lesezugriff und deklariert keinen Grund zum Schreiben, den ein Schreibzugriff erfordern würde; unter Android hat sie nur Leseberechtigungen für die drei Aufzeichnungsarten. Aufzeichnungen, die ursprünglich von einem Messgerät, einem CGM oder einer anderen App stammen, erreichen glumea daher über die Gesundheitsplattform. Importierte Einträge werden auf Ihrem Gerät als gewöhnliche Einträge gespeichert, versehen mit der Plattform, von der sie stammen, und der Kennung der Aufzeichnung. Ob ein importierter Eintrag auch auf unsere Server kopiert wird, hängt davon ab, ob Cloud-Synchronisierung eingeschaltet ist, genau wie bei einem Eintrag, den Sie selbst eingetippt haben. Die Verbindung ist ausgeschaltet, bis Sie sie einschalten, und Sie können sie jederzeit in den Einstellungen unter Einstellungen → Integrationen trennen oder einzelne Datenarten ausschalten.
Apple, Google und RevenueCat. Wenn Sie glumea+ abonnieren, erreichen uns Informationen zu diesem Abonnement vom Store und von RevenueCat. Was genau, steht im Abschnitt zu glumea+ unten.

3.5 Technische Daten

Authentifizierungs-Token, die im sicheren Speicher Ihres Geräts abgelegt werden, damit Sie angemeldet bleiben. Ihre Sitzung auf unseren Servern ist ein Datensatz mit einer Sitzungskennung, Ihrer Nutzerkennung und ihrem Ablaufdatum.
Wenn die Cloud-Synchronisierung eingeschaltet ist, verarbeiten unsere Server die Daten, die Sie synchronisieren, zusammen mit der Buchführung, die für den Betrieb des Synchronisierungsdienstes nötig ist, etwa Zeitstempel der Synchronisierung.
Wenn die App mit unseren Servern kommuniziert, erhalten die Server übliche Verbindungsinformationen wie Ihre IP-Adresse, den angeforderten Pfad und die Zeit, die der Sicherheit und dem Betrieb des Dienstes dienen.
Solange Analyse oder Diagnose aktiviert ist, sendet jedes SDK die in Abschnitt 5 beschriebenen Daten. Beide sind ausgeschaltet, bis Sie zustimmen.

3.6 Daten, die auf Ihrem Gerät bleiben, und Daten, die es nicht tun

Manches erreicht unsere Server überhaupt nie: Benachrichtigungseinstellungen, Zeiten für Erinnerungen zur Glukosemessung, Ruhezeiten, Auswahl der Einzelheiten in Benachrichtigungen, lokaler Benachrichtigungsstatus, Verbindungsstatus der Gesundheitsplattform, App-Einstellungen, Telemetrie-Einstellungen und Buchführung der Synchronisierung. Eine Einschränkung: Solange die Analyse aktiviert ist, werden Sprache, Design und Einheiteneinstellungen als Profilattribute an PostHog gesendet. Nichts anderes in dieser Liste verlässt das Gerät über unser Backend.

Ihre Medikamentenpläne sind die Ausnahme: Sie gehören zum Tagebuch und werden daher auf unsere Server kopiert, wenn Cloud-Synchronisierung eingeschaltet ist, denn eine Medikamentenerinnerung muss ein neues Telefon überstehen.

Auch der Schalter der Cloud-Synchronisierung selbst ist nicht nur auf dem Gerät. Ihre Antwort darauf wird in Ihrem Konto auf unseren Servern gehalten, damit sie Ihnen auf ein neues Telefon folgt und das Abmelden übersteht; Abschnitt 10 legt dar, was das in der Praxis bedeutet.

Dateien, die Sie selbst erstellen, ein .glumea-Sicherungsarchiv oder ein CSV- oder PDF-Glukosebericht, werden auf Ihrem Gerät geschrieben und an die App übergeben, mit der Sie sie teilen oder speichern. Wohin sie danach gelangen, liegt außerhalb unserer Kontrolle, und ein CSV- oder PDF-Bericht ist nicht verschlüsselt.

4. Warum wir Ihre Daten verarbeiten und unsere Rechtsgrundlagen

Nach der DSGVO braucht jede Verwendung eine Grundlage nach Artikel 6, und Daten besonderer Kategorien brauchen außerdem eine Bedingung nach Artikel 9. Die beabsichtigten Grundlagen sind unten aufgeführt. Der unten beschriebene fehlende Schritt einer Einwilligung zum Profil liefert nicht die ausdrückliche Einwilligung, die die Verarbeitung erfordert.

Bereitstellung Ihres Kontos und der App: Anlegen und Sichern Ihres Kontos, Authentifizierung, Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Betrieb der Cloud-Synchronisierung, Bereitstellung von glumea+, wenn Sie ein Abonnement abschließen, und Führen einer Aufzeichnung der Abonnementbenachrichtigungen, die der Store und RevenueCat uns senden, damit wir feststellen können, ob glumea+ aktiv ist, und ein Abrechnungsproblem klären können: Vertragserfüllung, Artikel 6 Absatz 1 Buchstabe b DSGVO.
Halten von Gesundheitsdaten auf unseren Servern: Die beabsichtigten Grundlagen sind Artikel 6 Absatz 1 Buchstabe b für den Dienst und die ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a für die Gesundheitsdaten. Das Tagebuch wird erst nach der gesonderten Bestätigung der Cloud-Synchronisierung auf unsere Server kopiert. Die derzeitige Einführung speichert Profil und Therapieeinstellungen im Konto ohne gesonderten Schritt einer ausdrücklichen Einwilligung. Die Annahme eines Vertrags ist nicht automatisch eine ausdrückliche Einwilligung in die Verarbeitung besonderer Kategorien, sodass der derzeitige Ablauf der Einführung diese Bedingung nach Artikel 9 nicht erfüllt. Das Löschen des Kontos ist der einzige umgesetzte Weg, diese Profil- und Therapiefelder aus der Produktionsdatenbank zu entfernen.
Produktanalyse: Einwilligung nach Artikel 6 Absatz 1 Buchstabe a, ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a, weil die Nutzung einer Diabetes-App Rückschlüsse auf die Gesundheit zulässt, und Einwilligung nach Artikel 5 Absatz 3 der ePrivacy-Richtlinie für die Speicherung durch das SDK. Abschnitt 5 beschreibt, wie diese Einwilligung eingeholt wird.
Diagnose und Absturzberichte: Die beabsichtigte Grundlage ist die Einwilligung nach Artikel 6 Absatz 1 Buchstabe a, die ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a, weil die Nutzung einer Diabetes-App Rückschlüsse auf die Gesundheit zulässt, und die Einwilligung nach Artikel 5 Absatz 3 der ePrivacy-Richtlinie für die Speicherung durch das SDK, auf dieselbe Weise eingeholt wie für die Analyse (Abschnitt 5).
Die Sicherheit des Dienstes gewährleisten und Missbrauch verhindern: Ratenbegrenzung an unserer API und Untersuchung vermuteten Missbrauchs: unsere berechtigten Interessen, Artikel 6 Absatz 1 Buchstabe f DSGVO. Das besondere Interesse ist, Ihr Konto und die Konten anderer vor unbefugtem Zugriff zu schützen und den Dienst verfügbar zu halten. Wir stützen uns darauf nur, wo unsere Interessen nicht durch Ihre Rechte überwogen werden.
Erfüllung einer rechtlichen Verpflichtung: Wo das Recht Polens von uns verlangt, bestimmte Aufzeichnungen aufzubewahren oder offenzulegen, tun wir das auf der Grundlage von Artikel 6 Absatz 1 Buchstabe c DSGVO. Für die Gesundheitsdaten, die Sie protokollieren, stützen wir uns nicht auf diese Grundlage. Wir nehmen Ihre Zahlung nicht entgegen und erhalten Ihre Zahlungsdaten nie, sodass die Zahlungs- und Abrechnungsdaten Ihres Kaufs vom Store gehalten werden und nicht von uns.

Wir treffen keine Entscheidungen über Sie, die rechtliche Wirkung oder ähnlich erhebliche Auswirkungen auf Sie haben und ausschließlich auf einer automatisierten Verarbeitung beruhen, und wir erstellen kein Profil von Ihnen für solche Entscheidungen. In glumea gibt es keine automatisierte Entscheidungsfindung im Sinne von Artikel 22 DSGVO. Die Schätzungen, die die App anzeigt, aktives Insulin, Trends, Zeit im Zielbereich, sind Arithmetik, die auf Ihrem Gerät mit den Daten durchgeführt wird, die Sie eingegeben haben, und nur zu Ihrer Information dargestellt. Sie empfehlen oder berechnen keine Insulin- oder Medikamentendosis, und sie sind keine medizinische Beratung.

Ist die Bereitstellung von Daten erforderlich? Das Gesetz verpflichtet Sie nicht, Daten bereitzustellen. Für ein Konto sind eine E-Mail-Adresse und ein Passwort erforderlich. Die Profil- und Therapiefelder, nach denen bei der Einführung gefragt wird, werden im Konto gespeichert, vorbehaltlich der oben beschriebenen Einschränkung bei der Einwilligung. Das Protokollieren von Einträgen, das Verbinden von Apple Health oder Health Connect und die Cloud-Synchronisierung sind optional. Analyse und Diagnose sind optional und ausgeschaltet, bis Sie zustimmen.

5. Analyse und Diagnose

Die App enthält zu diesem Zweck zwei SDKs von Drittanbietern: eines für die Produktanalyse und eines für Absturz- und Fehlerberichte. Dieser Abschnitt legt dar, was jedes davon ist und was es erhält.

Beide sind ausgeschaltet, bis Sie zustimmen, und keines der beiden SDKs wird vorher gestartet. Die App fragt am Ende der Einführung, mit einem eigenen Schalter für jedes. Die Schalter werden in der eingeschalteten Stellung angezeigt, aber es wird nichts erhoben, bis Sie auf „Weiter“ tippen, und ein Tippen auf die Schaltfläche zum Ablehnen beendet die Einführung mit beiden ausgeschaltet. Wenn Sie sich bei einem bestehenden Konto anmelden, ohne die Einführung zu durchlaufen, bleiben beide ausgeschaltet, bis Sie sie einschalten. Die beiden Einstellungen sind unabhängig voneinander und können jederzeit unter Einstellungen → Daten & Datenschutz → Datenschutz & Diagnosedaten geändert werden. Das Abmelden löscht beide Antworten zusammen mit Ihren anderen Einstellungen, aber ein SDK, das bereits läuft, läuft weiter, bis die App geschlossen wird.

5.1 Produktanalyse: PostHog

Wir verwenden PostHog (EU Cloud, eu.i.posthog.com), um zu verstehen, wie die App genutzt wird, damit wir sie verbessern können.

Was PostHog erhalten kann, solange die Analyse aktiviert ist:

Die Kennung Ihres glumea-Kontos: die interne UUID Ihres Kontos. Nicht Ihre E-Mail-Adresse, nicht Ihr Name. Sobald Sie angemeldet sind, sind Ereignisse an diese Kennung gebunden, diese Ereignisse sind also nicht anonym. Die Ereignisse, die vor der Anmeldung oder nach dem Abmelden stattfinden können, der erste Start, App-Starts, die Registrierung und die Bestätigung eines per E-Mail gesendeten Codes, tragen stattdessen eine pseudonyme Gerätekennung, und diese Kennung wird neu erzeugt, wenn die App das SDK zurücksetzt.
Eine feste Liste von Ereignisnamen, etwa 28, die Dinge wie das Öffnen der App, die Registrierung, den Abschluss der Einführung, das Speichern eines Eintrags, den Import aus Apple Health, das Erteilen oder Verweigern einer Benachrichtigungsberechtigung, das Erstellen eines Exports, das Öffnen des Abonnementbildschirms und das Ergebnis eines Kaufs oder einer Wiederherstellung abdecken.
Eine kleine Zahl von Eigenschaften, jeweils aus einer geschlossenen Liste oder als begrenzte Zahl: welche Art von Eintrag gespeichert wurde (Glukose, Mahlzeit, Medikament oder Gewicht), wie viele Zeilen ein Speichern geschrieben hat, ob ein Eintrag im Moment oder rückdatiert eingetragen wurde, ob ein Export CSV oder PDF war, welcher Schritt der Einführung abgeschlossen wurde, die allgemeine Kategorie einer Erinnerung, auf die Sie getippt haben, und Ähnliches. Keine Eigenschaft irgendwo im System akzeptiert Freitext.
Der Bildschirm, auf dem Sie sich befinden, als Routenvorlage wie /settings/privacy. Ziffern werden abgelehnt, sodass keine Datensatzkennung darin mitreisen kann. Ein Bildschirm, den nur eine Behandlungsart erreicht, etwa die Insulineinstellungen, wird als der darüberliegende Bildschirm gemeldet.
Eine Handvoll Profilattribute: Ihre Sprache, Ihr Design, Ihre Einheiten für Glukose, Gewicht und Kohlenhydrate und ob Sie glumea+ haben.
Was das PostHog-SDK von selbst hinzufügt, außerhalb unserer Kontrolle: Gerätemodell, Betriebssystem und Version, App-Version, SDK-Version, Zeitzone, Gebietsschema, Netzwerktyp und eine Sitzungskennung. PostHog erhält außerdem die IP-Adresse, von der Ihre Anfrage kommt, wie jeder Webdienst, und leitet daraus einen ungefähren Standort ab. Wir haben die Option von PostHog, diese Adresse zu verwerfen, nicht eingeschaltet, sodass sie mit dem Ereignis gespeichert wird.

Was PostHog nicht erhalten kann: einen Glukosewert, eine Insulindosis, einen Medikamentennamen, welche Art von Medikament Sie nehmen, eine Notiz, einen Mahlzeitennamen, eine E-Mail-Adresse oder sonstigen Freitext. Der Filter, der dies sicherstellt, ist fail-closed: Ein Ereignis, das nicht auf der Liste steht, wird vollständig verworfen, eine Eigenschaft, die nicht deklariert ist, wird entfernt, und eine deklarierte Eigenschaft, deren Wert nicht zur erwarteten Form passt, wird ebenfalls entfernt. Im System gibt es keine Eigenschaft für „beliebige Zeichenkette“. Es gibt keine Sitzungsaufzeichnung, keine Bildschirmaufnahme, keine Umfragen, keine automatische Erfassung von Tipps und kein Push-Token.

Die Ereignisse sind so aufgebaut, dass sie weder Ihre Behandlung noch Ihre Messwerte verraten. Insulin, Tabletten und Injektionen werden alle als Medikamenteneintrag gemeldet. Ein Tippen auf eine Warnung bei niedriger oder hoher Glukose wird überhaupt nicht aufgezeichnet, ebenso wenig der Schritt der Einführung, den nur Insulinnutzer sehen. Ein Import aus Apple Health oder Health Connect meldet, dass er lief und was ihn ausgelöst hat, nie wie viele Aufzeichnungen er gelesen hat. Die Ereignisse sind weiterhin mit Ihrem Konto verknüpft, solange Sie angemeldet sind, und die Nutzung einer Diabetes-App lässt für sich genommen Rückschlüsse auf die Gesundheit zu, weshalb die Analyse auf Ihre Einwilligung wartet.

Das Analyse-SDK speichert seine eigene Kennung auf Ihrem Gerät, zusammen mit einer Warteschlange von Ereignissen, die auf das Senden warten. Aus der Funktionsweise des SDK ergeben sich zwei Einschränkungen. Der Widerruf zeichnet ein letztes eigenes Ereignis auf, dass Sie sich abgemeldet haben. Und dieses Ereignis wird zusammen mit allem, was bereits erhoben wurde, während Sie eingewilligt hatten, danach nach dem eigenen Zeitplan des SDK zugestellt und nicht in dem Moment, in dem Sie widerrufen. Danach wird nichts Neues erhoben.

5.2 Diagnose und Absturzberichte: Sentry

Wir verwenden Sentry (Region Europäische Union), um zu erfahren, wann die App abstürzt oder Fehler auftreten, damit wir sie beheben können.

Jeder inhaltstragende Teil eines Berichts, den die App erstellt, wird vor dem Senden von Grund auf neu aufgebaut, aus einer Liste zulässiger Felder und nicht aus einer Liste zu entfernender Felder. Ein Dutzend oder so übrig gebliebener Felder auf oberster Ebene wird stattdessen namentlich geleert, sodass ein Feld, das eine künftige Version des SDK neu hinzufügt, von dieser Leerung nicht erfasst würde, bis wir es ergänzen. Was diesen Neuaufbau übersteht, ist:

Der Ausnahmetyp und eine berechnete Bezeichnung anstelle der ursprünglichen Fehlermeldung.
Der Stack-Trace, mit auf den Basisnamen gekürzten Dateinamen und, in Release-Builds, verschleierten Symbolnamen; lesbar werden sie nur auf Seiten von Sentry mithilfe der Zuordnung, die wir beim Build hochladen.
Gerätefamilie, Modell, Architektur, ob es ein Simulator ist, und Ausrichtung.
Name, Version und Build des Betriebssystems; Name, Version und Build der App; die Version der Dart-Laufzeit.
Kennungen von Debug-Images, die nötig sind, um native Abstürze lesbar zu machen.
Die Form der Breadcrumb-Spur, Kategorie, Typ, Stufe und Zeitstempel jüngster Ereignisse, aber nie deren Inhalt.
Zwei Bezeichnungen: welcher Bereich der App fehlgeschlagen ist und ob es im Vordergrund oder in der Benachrichtigungs-Engine im Hintergrund geschah.
Das Release, die Build-Nummer, die Umgebung und eine zufällig erzeugte Ereigniskennung.

Was vollständig entfernt wird: die Fehlermeldung, alle Anfragedaten, jedes Nutzerobjekt, der Servername, der Transaktionsname, Thread-Listen, Modul-Listen, Werte lokaler Variablen, Quellcode-Kontext, absolute Pfade, die eindeutige Kennung und der Name des Geräts, der installationsbezogene App-Hash, Breadcrumb-Nachrichten und -Daten, Screenshots, View-Hierarchien und jeder Anhang. Screenshots, Erfassung der View-Hierarchie, Sitzungsaufzeichnung, Performance-Tracing, Logging und Anfragetexte sind alle ausgeschaltet. Die App hängt keinem Sentry-Ereignis eine Nutzerkennung an: keine Kontokennung, keine E-Mail-Adresse, keine Gerätekennung.

Zwei Grenzen dazu:

Native Abstürze, Ereignisse vom Typ App-reagiert-nicht und Watchdog-Beendigungen unter iOS können Sentry erreichen, ohne diesen Neuaufbau zu durchlaufen, weil sie vom Absturzhandler des Betriebssystems erzeugt werden und nicht vom eigenen Code der App. Dasselbe gilt für das periodische Signal „App-Sitzung gestartet / beendet“, das Sentry für die Release-Health verwendet. Wir können diese auf dem Gerät nicht prüfen und kennen nicht jedes Feld, das das Plattform-SDK hineinlegt. Wir setzen keine Kennung, die eines davon mit Ihnen verbinden würde.
Sentry erhält die IP-Adresse, von der der Bericht gesendet wird.

Bis Sie der Diagnose zustimmen, wird Sentry nicht gestartet. Das Ausschalten des Schalters schließt die Reporter, die von dieser Kontrolle erreicht werden, aber das Abmelden deaktiviert ein bereits initialisiertes SDK im laufenden Prozess nicht zuverlässig. Der derzeitige Lebenszyklus lässt sich daher nicht in jedem Zustand als sofortiger Widerruf beschreiben.

6. glumea+ und Abonnementdaten

glumea+ ist ein Abonnement, das ausschließlich als In-App-Kauf über den Apple App Store und Google Play verkauft wird. Es gibt keinen anderen Weg, es zu kaufen, keinen Web-Checkout und nirgends in der App ein Kartenformular.

Es erreichen uns keine Zahlungsdaten. Apple oder Google nimmt die Zahlung entgegen. Wir sehen nie Ihre Kartennummer, Ihre Bankdaten oder Ihre Rechnungsadresse. Kündigung und Erstattungen laufen über Ihr Store-Konto, die Nutzungsbedingungen erklären, wo.
RevenueCat ist der Dienst, mit dem wir erfahren, ob Ihr Abonnement aktiv ist. Die App teilt RevenueCat eine einzige Sache über Sie mit: die Kennung Ihres glumea-Kontos, verwendet als Nutzerkennung des Abonnements. Unsere Server fragen RevenueCat außerdem, ob diese Kennung ein aktives Abonnement hat, auch wenn Sie nie ein Abonnement abgeschlossen haben, denn so erfahren wir, dass Sie keines haben. Wir setzen keine E-Mail-Adresse, keinen Anzeigenamen, keine Telefonnummer, kein Push-Token, und wir bitten es nicht, Werbekennungen von Geräten zu erheben. Das eigene SDK von RevenueCat erhebt außerdem einige Geräte- und Netzwerkinformationen für den Betrieb des Dienstes von RevenueCat, beschrieben in dessen eigenen Datenschutzhinweisen. Wir konfigurieren diese Erhebung nicht und erhalten nicht, was sie erzeugt.
Was die App lokal behält, ist ein einziger Wahr-/Falsch-Wert: ob glumea+ aktiv ist. Kein Preis, keine Produktkennung, kein Ablaufdatum und keine Transaktionskennung werden von der App auf Ihrem Gerät gespeichert. Dieser Wert wird auf falsch gesetzt, wenn Sie sich abmelden, sodass das nächste Konto auf dem Gerät ohne Abonnement beginnt und für sich beim Store geprüft werden muss.
Was unsere Server speichern. RevenueCat sendet unserem Backend eine Benachrichtigung, wenn sich etwas an einem Abonnement ändert, ein Kauf, eine Verlängerung, eine Kündigung, ein Abrechnungsproblem. Wir zeichnen jede dieser Benachrichtigungen so auf, wie sie eingeht: die Ereigniskennung und den Typ, die Umgebung, die Kennung Ihres glumea-Kontos und die vollständige Nachricht, die RevenueCat gesendet hat, genau so gespeichert, wie sie eintraf, und nicht Feld für Feld. Diese Nachricht enthält typischerweise die Produktkennung, den Preis, die Währung, den Store, das Land und die Kauf- und Ablaufdaten. Weil wir sie vollständig speichern, kann sie auch alle Abonnentenattribute tragen, die RevenueCat über Sie hält, darunter eine E-Mail-Adresse: obwohl unsere App selbst keine setzt. Wir schreiben die Nachricht nie um; eine wiederholte Zustellung desselben Ereignisses aktualisiert nur unseren Zähler, wie oft sie eingetroffen ist.
Solange die Analyse aktiviert ist, gehen die oben beschriebenen Funnel-Ereignisse an PostHog, zusammen mit einem Profilattribut, das festhält, ob glumea+ aktiv ist. An die Analyse werden kein Preis, keine Produktkennung und keine Store-Kennung gesendet.

Daraus folgen zwei Konsequenzen. Das Webhook-Protokoll trägt die Kennung Ihres glumea-Kontos, hat aber keine Datenbankbeziehung zu Ihrer Kontozeile. Bei der Kontolöschung entfernt unser Backend diese Datensätze gesondert und beantragt die Löschung des Abonnentendatensatzes von RevenueCat unter derselben Kennung. Andernfalls entfernt ein geplanter Job jeden Webhook-Datensatz 90 Tage nach seinem Eingang. Abschnitt 12 beschreibt, was bestehen bleiben kann.

7. Was wir nicht tun

Nichts von Folgendem geschieht in glumea:

Keine Werbung, welcher Art auch immer. Kein Werbe-SDK, kein Attributions-SDK, keine Werbekennung. Die App kann die iOS-Abfrage „App bitten, mich nicht zu tracken“ nicht anzeigen, weil sie den Eintrag nicht trägt, der das erlauben würde, und sie deklariert keine Netzwerke zur Werbeattribution.
Kein Verkauf Ihrer Daten. Wir verkaufen oder vermieten keine personenbezogenen Daten, und wir verkaufen keine Gesundheitsdaten. Wir geben sie nicht für kontextübergreifende verhaltensbasierte Werbung weiter.
Keine Verwendung Ihrer Gesundheitsdaten für Werbung, Marketing oder um ein Profil von Ihnen für jemand anderen zu erstellen.
Keine Standortdaten. Kein Zugriff auf Ihre Kontakte, Kamera, Ihr Mikrofon, Ihre Fotos oder Ihren Kalender, die App fordert keine dieser Berechtigungen auf einer der beiden Plattformen an.
Kein Firebase in der App: kein Firebase Analytics, kein Crashlytics, kein Firebase Cloud Messaging. (Firebase Hosting liefert die Website aus, einschließlich dieser Seite, das ist ein anderer Google-Dienst, und er wird unten genannt.)
Keine Push-Benachrichtigungen und kein Push-Token des Geräts. Erinnerungen werden von Ihrem eigenen Gerät geplant und angezeigt; es gibt überhaupt keinen Kanal vom Server zum Gerät.
Keine Screenshots, keine Bildschirmaufnahme, keine Sitzungsaufzeichnung, keine Erfassung der View-Hierarchie, von keinem der beiden oben beschriebenen SDKs.
Über PostHog und Sentry hinaus ist kein weiteres Analyse-, Telemetrie- oder Tracking-SDK in der App. Die einzigen Komponenten, die eine Netzwerkverbindung öffnen, sind die eigene Verbindung der App zu unseren Servern, PostHog, Sentry und RevenueCat.

8. Wer Ihre Daten erhält

Wir geben Daten an die unten genannten Dienstleister weiter, um glumea zu betreiben. Ihre Rollen, ihre eigenen Datenschutzhinweise und die vertraglichen Bedingungen, die für unsere Nutzung jedes Dienstes gelten, regeln diese Verarbeitung. Das SDK von RevenueCat erhebt außerdem von selbst Geräte- und Netzwerkinformationen. Wir konfigurieren diese Erhebung nicht und erhalten ihr Ergebnis nicht, sodass die Beschreibung davon aus den Datenschutzhinweisen von RevenueCat stammt und nicht aus unseren Systemen.

Google (Google Cloud Run und Google Cloud SQL, Region europe-west1) hostet unser Backend und die Datenbank, die alles enthält, was Sie synchronisieren, einschließlich Ihrer Gesundheitsdaten. Google Secret Manager hält unsere Server-Zugangsdaten, und Google Cloud Logging hält unsere Server-Anfrageprotokolle.
Google (Firebase Hosting) liefert glumea.com und diese rechtlichen Dokumente aus.
Sentry (Region Europäische Union) erhält die oben beschriebenen Diagnoseberichte, solange die Diagnose nach dem derzeitigen Verhalten der Einstellung aktiviert ist.
PostHog (EU Cloud) erhält die oben beschriebenen Analyseereignisse, solange die Analyse nach dem derzeitigen Verhalten der Einstellung aktiviert ist.
RevenueCat (Vereinigte Staaten) erhält die Kennung Ihres glumea-Kontos und Ihren Abonnementstatus, unabhängig davon, ob Sie ein Abonnement abschließen: Die Prüfung, dass Sie kein Abonnent sind, verwendet dieselbe Kennung wie die Bestätigung, dass Sie einer sind. Wie oben erwähnt, erhebt sein SDK zusätzlich Geräte- und Netzwerkinformationen, die wir weder konfigurieren noch erhalten; die eigenen Datenschutzhinweise von RevenueCat beschreiben sie.
Zoho ZeptoMail: Wenn der E-Mail-Versand in der Produktion aktiviert ist, erhält dieser Anbieter die Ziel-E-Mail-Adresse und die Nachricht zur Bestätigung oder zum Zurücksetzen des Passworts, die zur Zustellung nötig ist. Kein E-Mail-Anbieter erhält diese Nachrichten, solange der Versand deaktiviert ist.

Apple und Google sind nicht unsere Auftragsverarbeiter. Sie betreiben die Stores, über die glumea+ verkauft wird, sie nehmen die Zahlung entgegen, und sie sind eigenständige Verantwortliche für die Kaufdaten, die sie über Sie halten. Was sie erheben, regeln ihre eigenen Datenschutzerklärungen und nicht diese.

Darüber hinaus legen wir personenbezogene Daten nur offen, wenn das Recht es verlangt, zum Beispiel aufgrund einer verbindlichen Anordnung eines Gerichts oder einer Behörde, oder auf Ihre Anweisung.

Sollte Paweł Milewski Software Development jemals an einer Fusion, einer Übernahme oder einem Verkauf von Vermögenswerten beteiligt sein, blieben Ihre Daten durch diese Erklärung geschützt, und wir würden Sie benachrichtigen, bevor Ihre Daten einer anderen Datenschutzerklärung unterliegen.

9. Internationale Übermittlungen

Wo jeder Empfänger Ihre Daten verarbeitet:

Ihr Konto, Ihr Profil und die synchronisierten Gesundheitsdaten werden in der EU gespeichert: Google Cloud, europe-west1 (Belgien). Der Speicherort ist nicht die ganze Antwort. Google kann von außerhalb des EWR auf diese Daten zugreifen, für den Support und den Betrieb der Plattform, und das ist für sich genommen eine Übermittlung. Sie stützt sich auf die Standardvertragsklauseln im Cloud Data Processing Addendum von Google.
Analysedaten gehen an die EU Cloud von PostHog, die sie in der EU speichert. Wo PostHog von außerhalb des Europäischen Wirtschaftsraums darauf zugreifen kann, stützt sich die Übermittlung auf die Standardvertragsklauseln in der Auftragsverarbeitungsvereinbarung von PostHog.
Diagnosedaten gehen an Sentry in dessen Region Europäische Union. Wo diese außerhalb des Europäischen Wirtschaftsraums liegt, stützt sich die Übermittlung auf die Standardvertragsklauseln im Data Processing Addendum von Sentry.
Die Website wird von Firebase Hosting über das Content Delivery Network von Google ausgeliefert, sodass eine Anfrage nach einer Seite von einem Standort außerhalb des Europäischen Wirtschaftsraums bedient und dort protokolliert werden kann. Wo das geschieht, stützt sich die Übermittlung auf die Standardvertragsklauseln im Cloud Data Processing Addendum von Google.
Der Abonnementstatus geht an RevenueCat in den Vereinigten Staaten. Wo das außerhalb des Europäischen Wirtschaftsraums liegt, stützt sich die Übermittlung auf die Standardvertragsklauseln im Data Processing Addendum von RevenueCat.
Wenn der E-Mail-Versand in der Produktion aktiviert ist, werden Bestätigungs- und Passwort-Zurücksetzen-E-Mails von Zoho ZeptoMail zugestellt, das die Ziel-E-Mail-Adresse in der Europäischen Union verarbeitet (Zoho Corporation B.V., die EU-Rechenzentren von Zoho in den Niederlanden und in Irland). Wo das außerhalb des Europäischen Wirtschaftsraums liegt, ist der anwendbare Übermittlungsmechanismus die Standardvertragsklauseln im Data Processing Addendum von Zoho.
Apple und Google verarbeiten Kaufdaten nach ihren eigenen Vereinbarungen als eigenständige Verantwortliche.

Wo ein Anbieter von außerhalb des EWR auf Daten zugreifen kann, auch für den Support, ist dieser Zugriff ebenfalls eine Übermittlung und braucht eine geeignete Garantie nach Kapitel V der DSGVO. Der Mechanismus für jeden Empfänger ist oben benannt. Für Nutzer im Vereinigten Königreich ist der entsprechende Mechanismus das UK Addendum zu den EU-Standardvertragsklauseln oder das IDTA, wo ein Anbieter diese Form nach der UK GDPR verwendet. Allgemeiner Kontakt zum Datenschutz: [email protected]. Ein gesonderter automatisierter Ablauf zur Anforderung von Kopien der Garantien ist derzeit nicht umgesetzt.

10. Wo Ihre Daten gespeichert sind

glumea ist offline-first. Dieser Abschnitt ist die vollständige Antwort auf „Was von mir liegt auf Ihren Servern?“: Alles andere in dieser Erklärung verweist hierher.

Was	Auf Ihrem Telefon	Auf unseren Servern	Ab wann	So entfernen Sie es
Ihr Tagebuch, Einträge, Medikamentenkataloge, Medikamentenpläne	Immer	Nur wenn Cloud-Synchronisierung eingeschaltet ist	Ab dem Moment, in dem Sie den Schalter einschalten	Den Schalter ausschalten, dann Serverdaten löschen; oder Ihr Konto löschen
Ihr Profil, Name, Alter, Körpergröße, Diabetestyp, Behandlungsmethoden, Art der Insulingabe	Ja	Immer	Ab der Einführung, unabhängig davon, ob Sie die Synchronisierung nutzen	Ihr Konto löschen
Ihre Therapieeinstellungen, Zielbereich, Kohlenhydrat-Insulin-Verhältnis, Korrekturfaktor	Ja	Immer	Ab dem Moment, in dem Sie sie eingeben	Ihr Konto löschen
Ihr Konto, E-Mail-Adresse, gehashtes Passwort, Anmeldesitzungen	Nur Zugangsdaten	Immer	Ab dem Moment, in dem Sie das Konto anlegen	Ihr Konto löschen
Alles in Abschnitt 3.6, Erinnerungen, Ruhezeiten, App-Einstellungen	Ja	Nie	Nicht zutreffend	Abmelden oder deinstallieren

Der Rest dieses Abschnitts enthält die Einzelheiten zu dieser Tabelle.

Alle Daten, die Sie eingeben, werden zuerst in eine lokale Datenbank auf Ihrem Gerät geschrieben. Die App ist ohne Internetverbindung voll nutzbar.
Diese lokale Datenbank ist verschlüsselt. Sie wird mit einem 32-Byte-Schlüssel geöffnet, der im Schlüsselspeicher Ihres Geräts liegt, unter einer Einstellung, die nicht auf ein anderes Gerät übertragen wird. Folgen, die Sie kennen sollten, bevor Sie das Telefon wechseln: Unter Android haben wir die Cloud-Sicherung und die Übertragung von Gerät zu Gerät für die App ausgeschaltet, sodass keine neue Sicherungskopie davon erstellt wird; unter iOS kann eine Kopie der Datenbank dennoch in einer iCloud-Sicherung landen, sie ist aber ohne den Schlüssel unlesbar, und der Schlüssel verlässt das Gerät nie. Das Zurückspielen dieser Sicherung auf ein neues Telefon bringt Ihr Tagebuch daher nicht mit: Die App findet eine Datenbank, für die sie keinen Schlüssel hat, weigert sich, sie zu öffnen, statt stillschweigend leer zu starten, und läuft auf diesem Telefon nicht, bis Sie sie neu installieren oder ihre Daten löschen. Der Umzug auf ein neues Telefon läuft über die Cloud-Synchronisierung oder über ein .glumea-Archiv, das Sie selbst exportieren und importieren.
Ein Konto von Ihnen existiert auf unseren Servern ab dem Moment, in dem Sie eines anlegen. Es enthält Ihre Kontodaten, Ihr Profil, einschließlich Diabetestyp, Behandlungsmethoden und Art der Insulingabe, und Ihre Therapieeinstellungen: Ihren Zielbereich, Ihr Kohlenhydrat-Insulin-Verhältnis und Ihren Korrekturfaktor. Diese liegen auf unseren Servern, unabhängig davon, ob Sie die Cloud-Synchronisierung nutzen, und der Weg, sie zu entfernen, ist das Löschen Ihres Kontos.
Die Cloud-Synchronisierung ist eine Funktion von glumea+ und ausgeschaltet, bis Sie sie einschalten. Sie steuert, ob Ihr Tagebuch zusätzlich auf unsere Server kopiert wird: Ihre Einträge, Ihre Medikamentenkataloge und Ihre Medikamentenpläne. Das Einschalten erfolgt in zwei Schritten, und Sie können bei jedem aufhören. Ohne ein aktives Abonnement von glumea+ zeigt Ihnen die App den Abonnementbildschirm, statt etwas einzuschalten. Mit einem Abonnement bittet die App Sie dann, in einem eigenen Schritt zu bestätigen, dass Sie damit einverstanden sind, dass Ihre Gesundheitsdaten, Glukosemesswerte, Insulin- und Medikamentenaufzeichnungen, Mahlzeiten- und Gewichtseinträge und alles, was Sie in eine Notiz getippt haben, auf unseren Servern gespeichert werden. Sie fragt das jedes Mal, wenn der Schalter eingeschaltet wird, nicht nur beim ersten Mal. Diese Bestätigung ist Ihre ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a DSGVO für das Tagebuch. Sie können sie jederzeit widerrufen, indem Sie Cloud-Synchronisierung ausschalten, und das, was wir bereits halten, mit dem Link Serverdaten löschen im selben Fenster entfernen. Bei ausgeschalteter Synchronisierung bleibt alles, was Sie protokollieren, nur auf Ihrem Gerät.
Wenn die Synchronisierung eingeschaltet ist, werden Ihre Daten in unserem Backend unter api.glumea.app gespeichert, das auf Google Cloud Run mit einer Google-Cloud-SQL-PostgreSQL-Datenbank in der Region europe-west1 von Google (Belgien) läuft.

Der Schalter gehört zu Ihrem Konto, nicht zum Telefon. Wir halten Ihre Antwort auf unseren Servern, und die App liest sie von dort zurück, wenn Sie sich anmelden und wenn sie sich wieder verbindet. Sie übersteht also das Abmelden und folgt Ihnen: Schalten Sie die Synchronisierung ein, melden Sie sich auf einem anderen Telefon an, und die Synchronisierung ist dort ebenfalls eingeschaltet, ohne erneut gefragt zu werden. Das Ausschalten wird auf dieselbe Weise aufgezeichnet. Wenn Sie ihn ausschalten, während Sie offline sind, behält die App diese Antwort und übermittelt sie bei der nächsten Gelegenheit an unsere Server, ein Widerruf wird nie zurückgenommen, weil eine Anfrage fehlgeschlagen ist. Auf einem gemeinsam genutzten Gerät wirkt das umgekehrt wie bei einem Schalter, der nur auf dem Gerät gilt: Die Person, die sich anmeldet, erhält die Antwort ihres eigenen Kontos, nicht die, die die letzte Person hinterlassen hat.

Wenn glumea+ endet, werden neue Einträge nicht mehr gesichert, es widerruft Ihre Einwilligung nicht, und sie löscht nichts. Wenn ein Abonnement ausläuft, gekündigt oder erstattet wird, hört die App auf, neue Einträge auf unsere Server zu kopieren. Bearbeitungen und Löschungen von Einträgen, die dort bereits liegen, erreichen unsere Server weiterhin, und die App lädt weiterhin von dort herunter. Das Fenster Cloud-Synchronisierung zeigt Bearbeitungen und Löschungen werden weiterhin synchronisiert · Neue Einträge bleiben auf diesem Gerät. Was bereits auf unseren Servern liegt, bleibt dort, was auf Ihrem Gerät liegt, bleibt dort, und Ihre gespeicherte Antwort auf die Frage der Einwilligung bleibt, wie sie war, sodass die vollständige Sicherung bei einem erneuten Abonnement mit dieser gespeicherten Antwort fortgesetzt wird, ohne Sie ein zweites Mal zu fragen. Wenn Sie das nicht möchten, schalten Sie den Schalter aus: Das Ausschalten und der Link Serverdaten löschen daneben bleiben beide verfügbar, unabhängig davon, ob ein Abonnement aktiv ist. Das Beenden eines Abonnements nimmt Ihnen nie die Möglichkeit, die Einwilligung zu widerrufen oder die Serverkopie löschen zu lassen.

Die Synchronisierung kann auch stoppen, ohne dass Sie diesen Schalter anfassen. Ihre Anmeldesitzung kann ablaufen, und wenn das geschieht, melden wir Sie nicht ab und löschen nichts: Die App behält jeden Eintrag auf Ihrem Gerät, parkt die Sicherung und wartet. Das Fenster Cloud-Synchronisierung zeigt dann Pausiert und teilt Ihnen mit, dass nichts synchronisiert wird, bis Sie sich wieder anmelden, und der Bildschirm Übersicht trägt ein Banner zur abgelaufenen Sitzung. Alles, was Sie in der Zwischenzeit protokollieren, bleibt auf dem Gerät und erreicht unsere Server erst, wenn Sie sich wieder angemeldet haben. Wenn Sie sich darauf verlassen, dass die Serverkopie den Verlust eines Telefons überdauert, ist dieses Banner das, worauf Sie reagieren sollten.

Die Kopie auf unseren Servern ist durch Transportverschlüsselung, durch die Speicherverschlüsselung von Google und durch unsere Zugriffskontrollen geschützt. Sie ist nicht Ende-zu-Ende-verschlüsselt, und wir können sie lesen. glumea ist kein Zero-Knowledge-Dienst. Das einzige Artefakt im gesamten System, das wir nicht öffnen können, ist ein .glumea-Archiv, weil es mit einem Passwort verschlüsselt ist, das nur Sie kennen.

11. Wie lange wir Ihre Daten aufbewahren

Wir bewahren Ihre Daten für die unten genannten Zeiträume auf.

Kontodaten, Profil und Therapieeinstellungen: auf unseren Servern gehalten, solange Ihr Konto existiert.
Gesundheitseinträge und Medikamentenkataloge, die Sie synchronisiert haben: gehalten, solange Ihr Konto existiert oder bis Sie die Serverkopie oder Ihr Konto löschen. Das Löschen eines einzelnen Eintrags funktioniert anders: Er verschwindet von dem Gerät, auf dem Sie ihn gelöscht haben, und nur von diesem Gerät. Die Kopie auf unseren Servern bleibt, sodass der Eintrag bei einer Neuinstallation, auf einem neuen Telefon oder nach dem Abmelden und erneuten Anmelden zurückkehren kann. Nur Serverdaten löschen oder das Löschen Ihres Kontos entfernt diese Zeilen von unseren Servern.
Löschmarkierungen für Einträge, die Sie gelöscht haben: Wo die Löschung eines einzelnen Eintrags unsere Server erreicht, bleibt die Zeile als Markierung erhalten, die ihren Wert, ihre Kontexte und ihre Notizen weiter trägt, damit die Löschung zu Ihren anderen Geräten gelangen kann. Wir haben keinen Job, der sie bereinigt, sodass sie bestehen bleiben, solange Ihr Konto existiert. Serverdaten löschen oder das Löschen Ihres Kontos entfernt sie.
Anmeldesitzungen: Ein Zugriffstoken gilt 15 Minuten. Der Sitzungsdatensatz auf unseren Servern läuft nach 90 Tagen ohne Nutzung ab. Das Abmelden widerruft ihn sofort, sodass er nie wieder verwendet werden kann, aber die Zeile selbst wird von einem stündlichen Job entfernt, sobald dieses Fenster von 90 Tagen abgelaufen ist. Das Löschen Ihres Kontos entfernt ihn sofort.
Einmalcodes: laufen 10 Minuten nach der Ausstellung ab, und ein stündlicher Job markiert abgelaufene als unbrauchbar. Wir bereinigen die Datensätze selbst nicht: Sie bleiben, bis Sie Ihr Konto löschen, was sie mit allem anderen entfernt.
Server-Sicherungen: 7 Tage. Daten, die aus der Live-Datenbank gelöscht wurden, bleiben in Sicherungen bestehen, bis diese rotieren.
Server-Anfrageprotokolle, die IP-Adressen enthalten: 30 Tage.
Analyseereignisse bei PostHog: 12 Monate.
Diagnoseberichte bei Sentry: 90 Tage.
Aufzeichnungen der Abonnementbenachrichtigungen: bis zu 90 Tage ab dem Moment, in dem jede Nachricht uns erreicht, sofern die Kontolöschung sie nicht früher entfernt. Der geplante Job zählt das Alter und hält eine Zeile nicht wegen einer offenen Abrechnungsstreitigkeit zurück.
Daten, die nur auf Ihrem Gerät gespeichert sind: bleiben dort, bis Sie sie löschen, sich abmelden, die Funktion zur Kontolöschung in der App verwenden oder die App deinstallieren. Eine Anfrage zur Kontolöschung per E-Mail kann ein Gerät nicht aus der Ferne löschen.

12. Löschung: was geschieht und wo

Bevor Sie beginnen. Zwei Dinge sind wichtiger als alles Folgende, und beide stehen in den Nutzungsbedingungen: kündigen Sie Ihr Abonnement von glumea+ zuerst im Store, weil das Löschen Ihres glumea-Kontos die Abbuchungen nicht stoppt (dort Abschnitt 13.1), und exportieren Sie zuerst, weil wir keinen Export für Sie erstellen können, sobald Ihre Zeilen weg sind (dort Abschnitt 13.3).

Drei verschiedene Kontrollen, drei verschiedene Ergebnisse. Sie sind leicht zu verwechseln, deshalb:

Kontrolle	Wo sie ist	Was sie entfernt	Was sie behält	Was sie rückgängig machen kann
Einen einzelnen Eintrag löschen	Wo immer Sie ihn protokolliert haben	Diesen Eintrag, nur auf diesem Gerät	Die Serverkopie, die ihn zurückbringen kann	Eine Neuinstallation, ein neues Telefon oder Abmelden und erneutes Anmelden
Serverdaten löschen	Das Fenster Cloud-Synchronisierung, geöffnet über die Cloud-Schaltfläche auf Übersicht oder Verlauf, nicht Einstellungen	Die Serverkopie Ihrer Einträge, Medikamentenkataloge und Pläne	Ihr Konto, Ihr Profil, Ihre Therapieeinstellungen und alles auf Ihrem Telefon	Das erneute Einschalten der Synchronisierung lädt von Ihrem Telefon erneut hoch
Konto löschen	Einstellungen → Konto, oder E-Mail an [email protected], wenn Sie die App nicht nutzen können	Ihr Konto und die zugehörigen Produktionsdaten auf unseren Servern; der Weg in der App leert auch dieses Gerät	Bestehende Sicherungen, einige Aufzeichnungen von Dienstleistern und alle Daten auf Geräten, die die Löschung in der App nicht erreicht	Nichts stellt das gelöschte Konto wieder her

Serverdaten löschen erfordert eine bestehende Anmeldung und dass der Schalter Synchronisierung zuvor ausgeschaltet wurde; die drei Hinweise am Ende dieses Abschnitts erklären, warum.

Das Löschen Ihres Kontos in der App entfernt es sofort aus unserer Produktionsdatenbank. Eine geprüfte Anfrage per E-Mail nutzt denselben serverseitigen Löschweg. Das geschieht an jedem Ziel.

Unsere Produktionsdatenbank: Das Löschen Ihres Kontos führt eine endgültige Löschung Ihres Nutzerdatensatzes durch, wenn Sie es in der App bestätigen oder ein Mitarbeiter eine geprüfte Anfrage per E-Mail abschließt. Alles, was daran hängt, wird durch eine Kaskade der Datenbank mit entfernt: Ihr Profil, Ihre Therapieeinstellungen, jeder synchronisierte Glukose-, Mahlzeiten-, Gewichts-, Insulin-, Tabletten- und Injektionseintrag, Ihre Medikamentenkataloge und -pläne, Ihre Sitzungen und Ihre ausstehenden Bestätigungs- und Zurücksetzungscodes. Es gibt keine Markierung zum vorläufigen Löschen und keine Wiederherstellung.
Aufzeichnungen der Abonnementbenachrichtigungen: Jede Zeile enthält die Kennung Ihres glumea-Kontos und die vollständige Nachricht, die RevenueCat gesendet hat. Sie ist nicht mit Ihrer Kontozeile verknüpft, sodass die automatische Kaskade sie nicht erreicht, aber der Löschdienst entfernt sie gesondert in derselben Transaktion. Ohne Kontolöschung entfernt ein geplanter Job jede Zeile nach 90 Tagen.
RevenueCat: Das Löschen Ihres Kontos stellt eine Anfrage in die Warteschlange, den Abonnentendatensatz unter Ihrer Kontokennung zu entfernen. Wir versuchen die Anfrage sofort und wiederholen sie, wenn der Anbieter nicht verfügbar ist. Der Abrechnungsverlauf der Stores bleibt außerhalb unserer Kontrolle.
PostHog: Das Löschen Ihres Kontos stellt eine Anfrage in die Warteschlange, das mit dem Konto verknüpfte Analyseprofil und seine Ereignisse und Aufzeichnungen zu entfernen. Wir versuchen es sofort und wiederholen, wenn der Anbieter nicht verfügbar ist. PostHog kann eine angenommene Massenlöschung asynchron abschließen. Ereignisse vor der Anmeldung verwenden eine separate pseudonyme Gerätekennung.
Server-Sicherungen: Eine Kopie dessen, was gelöscht wurde, bleibt in den automatisierten Datenbanksicherungen unseres Hosting-Anbieters bestehen, bis diese Sicherungen rotieren: 7 Tage, und in keinem Fall länger als sechs Monate nach der Authentifizierung, wo diese gesetzliche Grenze gilt. Einzelne Datensätze werden innerhalb einer Sicherung nicht bearbeitet. Eine Wiederherstellung nach einem Katastrophenfall kann daher Zeilen, die aus der Produktion gelöscht wurden, vorübergehend wieder einführen.
Server-Protokolle: Das Löschen Ihres Kontos löscht Server-Anfrageprotokolle nicht rückwirkend, sie werden 30 Tage aufbewahrt.
Sentry: Die App hängt keinem Diagnosebericht eine Kontokennung, E-Mail-Adresse oder einen Nutzerdatensatz an. Es gibt daher keinen unterstützten Weg, die Berichte eines einzelnen Nutzers zu finden oder zu löschen. Berichte, die vom Absturzhandler des Betriebssystems erzeugt werden, durchlaufen den Filter der App nicht, und wir kennen nicht jedes Feld, das das Plattform-SDK hinzufügt. Berichte verfallen nach der Aufbewahrung von Sentry: 90 Tage. Artikel 11 Absatz 2 DSGVO betrifft Daten, bei denen der Verantwortliche die betroffene Person tatsächlich nicht identifizieren kann.
Apple und Google: Ihre Kauf- und Abonnementaufzeichnungen gehören dem Store, nicht uns. Das Löschen Ihres glumea-Kontos kündigt kein Abonnement und löscht nichts bei Apple oder Google. Kündigen Sie in den Einstellungen Ihres Store-Kontos; ihre Aufzeichnungen unterliegen ihren Richtlinien und dem Steuerrecht.
Ihr eigenes Gerät: Das Löschen des Kontos in der App, das Abmelden oder der Kontowechsel leert die lokale Datenbank, die Sitzungs-Zugangsdaten und die gespeicherten Einstellungen auf diesem Gerät. Eine Anfrage per E-Mail kann ein Gerät nicht aus der Ferne leeren. Das Löschen einer Telemetrie-Einstellung deaktiviert ein bereits im laufenden Prozess initialisiertes SDK nicht zuverlässig. Ein Merker der Erstinstallation und der Schlüssel der Datenbankverschlüsselung können ein Leeren in der App überstehen, aber keiner von beiden enthält Tagebuchdaten. Eine iCloud-Gerätesicherung kann eine unlesbare verschlüsselte Kopie der Datenbank enthalten; die Android-Sicherung ist für die App deaktiviert.
Kopien, die Sie selbst angelegt haben: ein .glumea-Archiv, eine CSV-Datei, ein PDF-Bericht, alles, was Sie geteilt oder anderswo gespeichert haben: Diese gehören Ihnen und liegen außerhalb unserer Reichweite. Löschen Sie sie dort, wo Sie sie abgelegt haben.

Zusammengefasst zum Zeitpunkt: Die Löschung in der Produktionsdatenbank geschieht, wenn Sie sie in der App bestätigen oder wenn ein Mitarbeiter eine geprüfte Anfrage per E-Mail abschließt. Löschanfragen an RevenueCat und PostHog werden sofort versucht und bei einem Fehler zur Wiederholung in die Warteschlange gestellt. Eine Kopie kann in den Hosting-Sicherungen bestehen bleiben, bis diese rotieren, innerhalb von 7 Tagen.

Die Kaskade der Datenbank selbst erreicht weder Server-Anfrageprotokolle noch Sentry-Berichte, Aufzeichnungen der Abonnementbenachrichtigungen oder Aufzeichnungen von Dienstleistern. Der Löschdienst entfernt die Abonnementbenachrichtigungen gesondert und beantragt die Löschung der Datensätze bei RevenueCat und PostHog. Server-Protokolle und Sentry-Berichte verfallen nach ihren konfigurierten Aufbewahrungszeiträumen.

Die Löschung ist endgültig. Gelöschte Daten lassen sich nicht wiederherstellen. Wenn Sie Ihre Aufzeichnungen also später brauchen könnten, zum Beispiel für Ihr Behandlungsteam, holen Sie sich zuerst eine Kopie mit den Exportmöglichkeiten, die unter Ihren Rechten beschrieben sind.

Sie können auch die Kontolöschung per E-Mail beantragen, ohne die App. Wir prüfen die Inhaberschaft, bevor wir sie bearbeiten.

Drei weitere Dinge zur engeren Funktion Serverdaten löschen, die die Serverkopie Ihrer Einträge, Ihrer Medikamentenkataloge und Ihrer Medikamentenpläne entfernt, aber Ihr Konto, Ihr Profil, Ihre Therapieeinstellungen und alles auf Ihrem Gerät behält:

Sie erfordert eine bestehende Anmeldung. Wenn Ihre Sitzung abgelaufen ist, in dem Zustand, den Abschnitt 10 beschreibt, in dem das Fenster Pausiert zeigt: Der Link fordert Sie auf, sich erneut anzumelden, und tut nichts, bis Sie es tun. Die erneute Anmeldung genügt; in der Zwischenzeit geht nichts verloren.
Sie erfordert, dass Cloud-Synchronisierung zuvor ausgeschaltet wurde. Wenn Sie die Synchronisierung danach wieder einschalten, werden die Einträge, die noch auf Ihrem Gerät liegen, in die Warteschlange gestellt und erneut hochgeladen, die Löschung auf dem Server wird von Ihrem eigenen Gerät rückgängig gemacht.
Sie wirkt sich nicht auf Ihre anderen Geräte aus. Diese behalten ihre lokalen Kopien und werden nicht benachrichtigt.

13. Ihre Kontrollmöglichkeiten in der App

Sie müssen uns nicht per E-Mail schreiben, um Ihre Daten zu kontrollieren. Die App gibt Ihnen diese eingebauten Kontrollen:

Konto löschen: unter Einstellungen → Konto, nachdem Sie ein Bestätigungswort eingetippt haben. Führt die oben beschriebene serverseitige endgültige Löschung durch und leert die lokale Datenbank, die Sitzungs-Zugangsdaten und die Einstellungen der App auf diesem Gerät. Sie können die serverseitige Kontolöschung auch unter [email protected] beantragen, wenn Sie die App nicht nutzen können. Abschnitt 12 nennt, was bestehen bleibt.
Serverdaten löschen: der Link löschen in der Zeile unter dem Schalter Synchronisierung im Fenster Cloud-Synchronisierung, das sich über die Cloud-Schaltfläche oben auf dem Bildschirm Übersicht oder Verlauf öffnet und nicht über die Einstellungen. Der Link wird immer angezeigt, funktioniert aber erst, wenn der Schalter ausgeschaltet ist. Löscht die Serverkopie Ihrer Einträge, Ihrer Medikamentenkataloge und Ihrer Medikamentenpläne endgültig und behält dabei Ihr Konto und die Daten auf Ihrem Gerät. Er reicht nicht weiter: Ihr Profil und Ihre Therapieeinstellungen bleiben auf unseren Servern, bis Sie Ihr Konto löschen. Lesen Sie die drei Hinweise direkt oben.
Cloud-Synchronisierung: der Schalter Synchronisierung in demselben Fenster und eine Funktion von glumea+. Schalten Sie ihn jederzeit aus, damit keine neuen Daten mehr unsere Server erreichen, was zugleich der Weg ist, Ihre Einwilligung zu widerrufen, dass wir sie speichern; das Ausschalten erfordert nie ein aktives Abonnement. Bereits synchronisierte Daten bleiben auf unseren Servern, bis Sie Serverdaten löschen oder Konto löschen verwenden. Ihre Antwort auf diesen Schalter wird in Ihrem Konto gehalten, sodass sie das Abmelden übersteht und Ihnen auf ein neues Telefon folgt.
Nutzungsanalyse und Fehlerberichte: zwei unabhängige Schalter unter Einstellungen → Daten & Datenschutz → Datenschutz & Diagnosedaten. Beide sind ausgeschaltet, bis Sie sie einschalten. Das Ausschalten eines Schalters aktualisiert die Einstellung, aber Daten in der Warteschlange können weiterhin zugestellt werden, und das Abmelden schließt ein bereits im laufenden Prozess initialisiertes SDK nicht zuverlässig.
Apple Health / Health Connect: verbinden, trennen oder einzelne Datenarten ausschalten unter Einstellungen → Integrationen. Sie können die Berechtigung auch in der Gesundheitsplattform selbst widerrufen.
Details in Benachrichtigungen anzeigen (Einstellungen → Benachrichtigungen): ausgeschaltet, sofern Sie es nicht einschalten. Bis Sie es tun, zeigen Benachrichtigungen allgemeinen Text.
Abmelden: leert die lokale Datenbank der App, Ihre Sitzungs-Zugangsdaten und Ihre Einstellungen auf dem Gerät, einschließlich Ihrer Entscheidungen zu Analyse und Diagnose. Nichts, was Sie protokolliert haben, und keine Entscheidung, die Sie getroffen haben, wird zurückbehalten; der Abschnitt zur Löschung nennt die zwei technischen Werte, die bestehen bleiben.
Export: ein passwortgeschütztes .glumea-Archiv Ihrer Einträge, Medikamente, Ihres Profils, Ihrer Therapieziele und Erinnerungen, unter Einstellungen → Daten & Datenschutz → Datenimport & -export. Die CSV- und PDF-Glukoseberichte sind etwas anderes und werden über das eigene Exportfenster des Glukosebildschirms erstellt; das Archiv und die CSV-Datei sind kostenlos, und der PDF-Bericht ist eine Funktion von glumea+.

[email protected] nimmt Anfragen zur Kontolöschung ohne die App entgegen. Andere Anfragen zu Rechten außerhalb der App können ebenfalls dorthin gesendet werden, aber der Weg der Kontolöschung bietet kein gesondertes automatisiertes Werkzeug für Export oder Berichtigung.

14. Ihre Rechte

Nach der DSGVO haben Sie das Recht,

Auskunft über Ihre personenbezogenen Daten zu erhalten und eine Kopie davon zu bekommen.
unrichtige oder unvollständige Daten berichtigen zu lassen. Sie können Einträge und Medikamente dort bearbeiten, wo Sie sie protokolliert haben, Ihr Profil unter Einstellungen → Konto und Therapieeinstellungen dort, wo Sie sie festgelegt haben. Ein gesonderter Ablauf zur Berichtigung außerhalb der App ist derzeit nicht umgesetzt.
Ihre Daten löschen zu lassen („Recht auf Vergessenwerden“). Der Abschnitt zur Löschung oben sagt Ihnen genau, was die Löschung erreicht und was nicht.
die Verarbeitung in bestimmten Situationen einschränken zu lassen.
auf Datenübertragbarkeit: die Daten, die Sie bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, soweit das Recht dieses Recht vorsieht. Der CSV-Glukoseexport in der App ist maschinenlesbar und unverschlüsselt. Das .glumea-Archiv enthält Einträge, Medikamente, Profil, Therapieziele und Erinnerungen, ist aber mit einem Passwort verschlüsselt, das nur Sie kennen, und kann nur in das glumea-Konto importiert werden, das es erstellt hat. Über [email protected] ist derzeit kein zusätzlicher eigener Export verfügbar.
der Verarbeitung, die auf unseren berechtigten Interessen beruht, zu widersprechen.
Ihre Einwilligung jederzeit zu widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung. Für synchronisierte Tagebuchdaten schalten Sie Cloud-Synchronisierung aus und verwenden Serverdaten löschen, oder löschen Ihr Konto. Für Analyse und Diagnose verwenden Sie die beiden Schalter unter Einstellungen → Daten & Datenschutz → Datenschutz & Diagnosedaten. Es gibt keine Kontrolle, die nur das Profil oder nur die Therapieeinstellungen entfernt, und über [email protected] ist derzeit kein solcher Ablauf verfügbar. Das Löschen des Kontos ist der einzige umgesetzte Weg, diese Felder aus unserer Produktionsdatenbank zu entfernen.
sich bei einer Aufsichtsbehörde zu beschweren. Unsere federführende Aufsichtsbehörde ist der Präsident des Amtes für den Schutz personenbezogener Daten (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warschau, Polen. Sie können sich auch bei der Datenschutzbehörde des EU-Mitgliedstaats beschweren, in dem Sie leben, in dem Sie arbeiten oder in dem Ihrer Ansicht nach ein Verstoß stattgefunden hat. Wenn Sie sich im Vereinigten Königreich befinden, können Sie sich beim Information Commissioner’s Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF, beschweren.

Nutzen Sie die in Abschnitt 13 beschriebenen Kontrollen in der App, wo sie die gewünschte Maßnahme abdecken. Für die Kontolöschung ohne die App schreiben Sie an [email protected]. Andere Anfragen zu Rechten können ebenfalls dorthin gesendet werden; dieser Weg der Kontolöschung bietet für sich kein gesondertes Werkzeug für Auskunft, Export oder Berichtigung.

Wenn ein Verantwortlicher auf eine Anfrage nach der DSGVO nicht tätig wird, verlangt Artikel 12, dass er den Grund innerhalb eines Monats erläutert und die verfügbaren Beschwerde- und Rechtsbehelfswege benennt. Diese Wege stehen Ihnen offen, unabhängig davon, ob Sie sich erneut an den Verantwortlichen wenden.

Identitätsprüfung. Die Löschung in der App stützt sich auf Ihre authentifizierte Sitzung. Bei einer Anfrage per E-Mail bestätigen wir, dass Sie die mit dem Konto verknüpfte E-Mail-Adresse kontrollieren. Wenn Sie darauf nicht zugreifen können, prüfen wir, ob eine andere Möglichkeit besteht, die Inhaberschaft zu belegen, bevor wir das Konto löschen. Wir verlangen weder Ihr Passwort noch Gesundheitsdaten, um die Anfrage zu bearbeiten.

15. Wie wir Ihre Daten schützen

Passwörter werden mit bcrypt gehasht, nie im Klartext gespeichert und nie auf Ihrem Gerät abgelegt.
Die lokale Datenbank auf Ihrem Gerät ist verschlüsselt, mit einem Schlüssel im Schlüsselspeicher der Plattform, der nicht auf ein anderes Gerät übertragen wird.
Authentifizierungs-Token werden im sicheren Speicher Ihres Geräts abgelegt, in der iOS-Schlüsselbund-Funktion Keychain oder im Speicher auf Basis des Android Keystore.
Die App spricht mit unseren Servern über HTTPS, und beide Plattformen blockieren Klartextverbindungen standardmäßig, wir haben dafür weder unter iOS noch unter Android eine Ausnahme hinzugefügt.
Unsere Datenbank läuft in Google Cloud, nur über einen privaten Cloud-SQL-Socket erreichbar, mit Zugangsdaten im Google Secret Manager.
Wir schreiben die Werte, die Sie protokollieren, Glukosemesswerte und Insulindosen, nicht in unsere Anwendungsprotokolle. Eine Zeile im Fehlerprotokoll hält den Statuscode, den Pfad, die Zeit und die Fehlermeldung fest, die bei einer abgelehnten Anfrage die Felder nennt, bei denen die Prüfung fehlgeschlagen ist. Sie enthält nicht den Anfragetext.
Benachrichtigungen zeigen standardmäßig allgemeinen Text, sodass eine Benachrichtigung Ihre Gesundheitsdaten nicht auf den Sperrbildschirm bringt.
Der Zugriff auf die Produktionsdatenbank ist auf die Personen beschränkt, die den Dienst betreiben, das heißt, wir können sie lesen. Was sie vor allen anderen schützt, sind Zugriffskontrolle und Verschlüsselung bei der Übertragung und im Ruhezustand.

Kein System ist vollkommen sicher. Die obigen Maßnahmen sind das, was wir tun, um zu begrenzen, wie weit die sensiblen Teile Ihrer Daten offengelegt werden.

Ein Vorfall mit personenbezogenen Daten kann nach den Artikeln 33 und 34 DSGVO, der Health Breach Notification Rule der FTC oder anderem anwendbarem Recht eine Mitteilung an Aufsichtsbehörden oder betroffene Personen auslösen. Jede Regelung hat ihren eigenen Anwendungsbereich und ihre eigene Frist, und diese gesetzlichen Pflichten gelten unabhängig von dieser Erklärung.

16. Kinder

glumea richtet sich nicht an Kinder. Sie müssen mindestens 16 Jahre alt sein, um die App zu nutzen. Das ist unabhängig vom Standort eine Bedingung des Dienstes. Wir bieten keinen Weg einer Genehmigung durch Eltern an. Der Ablauf der Kontolöschung in der App und die Grenzen in Abschnitt 12 gelten für jedes Konto, das als einer Person unter 16 zugehörig erkannt wird. Bedenken zu einem Konto einer minderjährigen Person können an [email protected] gesendet werden.

17. Hinweise für Nutzer in den Vereinigten Staaten

Das Datenschutzrecht der USA unterscheidet sich je nach Bundesstaat, und die Anwendbarkeit hängt vom Wohnsitz, von gesetzlichen Schwellenwerten und der Art der betroffenen Daten ab. Die in Abschnitt 13 beschriebenen Kontrollen in der App stehen unabhängig von diesen Schwellenwerten zur Verfügung. Anwendbare gesetzliche Rechte bleiben in Kraft, auch wo dem derzeitigen Produkt ein gesonderter Anfrageablauf fehlt.

HIPAA: glumea ist ein Produkt, das direkt an Verbraucher gerichtet ist. Wir erbringen keine Gesundheitsversorgung, wir bearbeiten keine Leistungsanträge, und wir haben keinen Vertrag mit einem Krankenversicherungsplan oder einem Gesundheitsdienstleister, Daten in deren Auftrag zu verarbeiten, sodass wir in keiner der beiden Rollen handeln, die HIPAA regelt, „Covered Entity“ oder „Business Associate“, und wir behaupten keine HIPAA-Konformität. Aufzeichnungen, die Ihre eigene behandelnde Person über Sie hält, fallen in deren Händen unter HIPAA; das ist von der Kopie, die Sie in glumea führen, getrennt. Die Regeln der USA, nach denen wir bei glumea arbeiten, sind die Health Breach Notification Rule der FTC und die unten genannten Gesundheitsdatenschutzgesetze der Bundesstaaten.
Kalifornien (CCPA/CPRA): Die Anwendbarkeit hängt von den gesetzlichen Schwellenwerten für Unternehmen ab. Die hier beschriebenen Daten können sensible personenbezogene Informationen umfassen. Wir verkaufen personenbezogene Informationen nicht und geben sie nicht für kontextübergreifende verhaltensbasierte Werbung weiter. Wenn der CCPA anwendbar ist, gelten seine Regeln zu Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerspruch und Nichtdiskriminierung unabhängig von dieser Erklärung. Die Kontrollen in der App und die Anfrage zur Kontolöschung per E-Mail stehen unabhängig vom Schwellenwert zur Verfügung.
Washington (My Health My Data Act): Die Daten, die Sie protokollieren, sind „Verbrauchergesundheitsdaten“. Washington verlangt dafür eine gesonderte Richtlinie; siehe die Datenschutzerklärung zu Verbrauchergesundheitsdaten. Sie beschreibt die Kategorien, Quellen, Zwecke, Empfänger, gesetzlichen Rechte und die derzeitigen betrieblichen Grenzen des Anfrage- und Widerspruchsverfahrens.
Nevada (Gesetz zu Verbrauchergesundheitsdaten, SB 370 von 2023): Die Daten, die Sie protokollieren, sind auch nach dem Recht von Nevada „Verbrauchergesundheitsdaten“. Sie haben die Rechte, zu bestätigen, ob wir sie erheben, weitergeben oder verkaufen, eine Liste der Dritten zu erhalten, mit denen sie geteilt oder an die sie verkauft wurden, sie löschen zu lassen und Ihre Einwilligung zu widerrufen, die Nevada als zwei gesonderte Einwilligungen behandelt, eine zur Erhebung und eine zur Weitergabe. Das Gesetz von Nevada wird vom Attorney General durchgesetzt. Unsere Datenschutzhinweise zu Verbrauchergesundheitsdaten in Nevada legen diese Rechte dar, die Fristen, die für sie gelten und die bei einer Löschung kürzer sind als die von Washington, und die vier Angaben, die Nevada verlangt.
Anfragen und Widersprüche. Das anwendbare Recht des Bundesstaates kann eine schriftliche Erklärung, einen Widerspruchsweg und Informationen über die Einreichung einer Beschwerde beim Attorney General des Bundesstaates verlangen. Unter [email protected] ist derzeit kein gesonderter Widerspruchsablauf per E-Mail umgesetzt, sodass das derzeitige Verfahren diesen Weg dort, wo er verlangt wird, nicht bietet. Die Anforderungen von Washington sind in der Datenschutzerklärung zu Verbrauchergesundheitsdaten beschrieben.
Andere anwendbare Rechte nach dem Recht der Bundesstaaten werden durch diese Erklärung nicht beschränkt.

18. Die Website glumea.com

Die Website ist eine statische Seite, die Informationen über glumea und diese rechtlichen Dokumente bereithält. Sie ist bewusst minimal:

Keine Cookies.
Keine Analyse und keine Anfragen an Drittanbieter. Alles, was die Seite braucht, Schriften und Skripte eingeschlossen, wird von glumea.com selbst ausgeliefert, und die Content Security Policy der Seite blockiert jeden anderen Ursprung vollständig. Die Seite selbst wird von unserem Host ausgeliefert, der die Anfrage zwangsläufig sieht; der letzte Punkt dieser Liste sagt, wer das ist und was er protokolliert. Die Seite führt etwas eigenes JavaScript aus: zwei Inline-Schnipsel, die Ihr Design anwenden und Sie zur richtigen Sprache weiterleiten, sowie einige gebündelte Dateien hinter dem Navigationsmenü, den Umschaltern für Design und Sprache und der Animation, die Blöcke beim Scrollen einblendet. Nichts davon sendet irgendetwas irgendwohin.
Kein Tracking über Websites hinweg, und deshalb nichts, was ein Signal „Do Not Track“ oder Global Privacy Control abschalten könnte. Die Website setzt keine Werbe- oder Analyse-Cookies, stellt keine Anfragen an Dritte, und wir verkaufen oder teilen keine personenbezogenen Informationen.
Der localStorage des Browsers wird nur für funktionale Einstellungen verwendet (Ihre Wahl von Design und Sprache). Diese Werte bleiben in Ihrem Browser und werden nicht an uns übermittelt. Sie werden nur gesetzt, weil Sie ein Design oder eine Sprache gewählt haben, weshalb dafür kein Einwilligungsbanner nötig ist.
Die Seite wird von Firebase Hosting (Google) ausgeliefert. Wie die meisten Webhoster kann der Anbieter übliche Serverprotokolle, IP-Adresse, Zeit der Anfrage, Browsertyp, für die Sicherheit und den Betrieb des Dienstes aufzeichnen. Wir stützen uns dafür auf berechtigte Interessen (Artikel 6 Absatz 1 Buchstabe f DSGVO), konkret die Verfügbarkeit der Seite und ihren Schutz vor Missbrauch, und Protokolle werden nur so lange aufbewahrt, wie es für diese Zwecke nötig ist.

19. Änderungen dieser Erklärung

Die aktuelle Version wird hier mit ihrem Datum des Inkrafttretens veröffentlicht. Das anwendbare Recht bestimmt, ob eine Änderung eine vorherige Mitteilung, eine erneute Einwilligung oder eine andere Maßnahme erfordert. Die Veröffentlichung einer aktualisierten Erklärung berechtigt für sich genommen nicht zu einem neuen Zweck, der eine Einwilligung oder eine andere Rechtsgrundlage erfordert.

20. Sprache

Diese Erklärung wird auf Englisch veröffentlicht. Die englische Fassung ist die rechtlich verbindliche. Übersetzungen in andere Sprachen werden veröffentlicht, damit Sie die Erklärung in Ihrer eigenen Sprache lesen können. Wo eine Übersetzung und der englische Text voneinander abweichen, gilt der englische Text.

Die Ausnahme ist das Gesetz selbst. Wo das Land, in dem Sie leben, der Sprache, in der man sich an Sie gewandt hat, einen eigenen Status einräumt, wie es das Verbraucherschutzrecht mehrerer Länder tut, gilt stattdessen diese Regel, und nichts hier nimmt Ihnen ein Recht, das Sie danach haben.

Eine Übersetzung wird veröffentlicht, wenn sie fertig ist, sodass sie nach einer Aktualisierung hinter dem englischen Text zurückliegen kann. Wenn Sie eine Stelle finden, an der eine Übersetzung und der englische Text Unterschiedliches sagen, teilen Sie es uns unter [email protected] mit.

21. Kontakt

Fragen, Bedenken oder Anfragen zu Ihren Daten:

E-Mail: [email protected]
Post: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polen

Verwandte Dokumente: Nutzungsbedingungen, Medizinischer Haftungsausschluss und, für Einwohner von Washington, unsere Datenschutzerklärung zu Verbrauchergesundheitsdaten oder, für Einwohner von Nevada, unsere Datenschutzhinweise zu Verbrauchergesundheitsdaten in Nevada.