Política de privacidad

1. Quiénes somos y qué cubre esta política

Paweł Milewski Software Development (el Operador, «nosotros», «nos», «nuestro») ofrece glumea (la App), una aplicación móvil para el autocontrol de la diabetes, y glumea.com (el Sitio web). Esta política explica qué datos recogemos, por qué, dónde se almacenan, quién puede acceder a ellos, cuánto tiempo se conservan, qué elimina el borrado y qué derechos y controles tienes.

También es el aviso que te debemos según la normativa europea de protección de datos: la información que exigen los artículos 13 y 14 del Reglamento General de Protección de Datos (Reglamento (UE) 2016/679), al que llamamos RGPD a partir de aquí, tanto para los datos que nos das tú mismo como para los que nos llegan de otra fuente.

Esta política cubre:

La App: la app móvil glumea para iOS y Android.
El Sitio web: el sitio web glumea.com, incluidas las páginas que alojan estos documentos legales.

El Sitio web recoge casi nada y tiene su propia sección más abajo.

El Operador es el responsable del tratamiento de tus datos personales:

Responsable: Paweł Milewski Software Development
Número de registro de la empresa: NIP PL6751782526 (empresario individual inscrito en el CEIDG, el Registro Central e Información sobre la Actividad Económica de Polonia)
Dirección postal: ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polonia
Correo electrónico: [email protected]
País de establecimiento: Polonia

Si procede:

Representante en la UE: no procede (estamos establecidos en la Unión Europea)
Representante en el Reino Unido: no designado
Delegado de protección de datos: no designado; las preguntas sobre protección de datos van a [email protected]

«Responsable del tratamiento» es la parte que decide cómo y por qué se tratan tus datos personales, según el RGPD.

Otros dos documentos se aplican junto con esta política y debes leerlos a la vez:

nuestras Condiciones del servicio, que rigen tu uso de la App y del Sitio web, y
nuestro Aviso médico, que expone los límites médicos de lo que hace la App.

Si resides en Washington, se te aplica un cuarto documento: nuestra Política de privacidad de datos de salud del consumidor, que la ley de Washington nos obliga a publicar por separado. Si estás en Nevada, el equivalente es nuestro Aviso de privacidad de datos de salud del consumidor de Nevada.

2. Resumen

Una versión corta de lo que sigue. Cada punto indica la sección que lo expone por completo, y esa sección prevalece.

Quiénes somos. Paweł Milewski Software Development decide cómo y por qué se tratan tus datos. Secciones 1 y 21.
Qué recogemos. Tu correo electrónico y tu contraseña; el perfil que introduces al empezar; el diario que llevas (glucosa, comida, insulina, otros medicamentos, peso, medicamentos y recordatorios); tokens de inicio de sesión y registros de conexión con el servidor. Registros de Apple Health o Health Connect si los conectas, e información de la suscripción si te suscribes. Sección 3.
Datos de salud. El diario, el tipo de diabetes, el método de tratamiento y los ajustes de la terapia son datos de categoría especial según el artículo 9 del RGPD. La sincronización en la nube tiene una confirmación aparte para el diario. El proceso de inicio actual no recoge un consentimiento explícito aparte antes de almacenar el perfil de salud y los ajustes de la terapia. Secciones 3.3 y 4.
Dónde están. Algunos de tus datos están en nuestros servidores desde el momento en que creas una cuenta: los datos de la cuenta, tu perfil, con tu tipo de diabetes y tu tratamiento, y los ajustes de tu terapia. Tu diario no: se escribe primero en una base de datos cifrada en tu teléfono, la App funciona sin conexión y solo llega a nuestros servidores si activas la Sincronización en la nube, una función de glumea+, desactivada hasta que la actives, y una elección que se guarda en tu cuenta y no en el teléfono. La sección 10 tiene la tabla completa.
Quién los recibe. Nuestro proveedor de alojamiento en la UE; un proveedor de correo electrónico si el envío de correos está activado; PostHog y Sentry, cada uno solo después de que lo aceptes; la tienda si te suscribes; y RevenueCat, te suscribas o no. No vendemos tus datos y la App no contiene publicidad. Secciones 5, 7, 8 y 9.
Tus opciones. El análisis y los informes de errores están desactivados hasta que aceptes cada uno, y cada uno tiene su propio interruptor; cerrar sesión no detiene un SDK que ya se esté ejecutando en esa sesión. En la App puedes desactivar la sincronización, eliminar la copia de tu diario en el servidor, eliminar tu cuenta y usar las exportaciones disponibles. Secciones 5 y 13.
Tus derechos. Acceso, rectificación, supresión, limitación, portabilidad, oposición, retirada del consentimiento y reclamación ante una autoridad de protección de datos; en Estados Unidos, los derechos que te da la ley de tu estado. Puedes eliminar tu cuenta en la App o solicitar su eliminación por correo a [email protected] sin usar la App. Secciones 13, 14 y 17.
Lo que no cubre el borrado. Eliminar tu cuenta borra sus registros de la base de datos de producción y solicita la eliminación de los registros de RevenueCat y PostHog vinculados a la cuenta. Las copias de seguridad existentes, los registros del servidor y de diagnóstico, los registros de facturación de la tienda y las copias exportadas pueden persistir como se describe en la sección 12.

3. Datos que recogemos

La mayor parte de lo que se enumera aquí lo proporcionas tú directamente. Dos categorías no: las lecturas que importas desde Apple Health o Health Connect, y la información de suscripción que nos llega de Apple, Google y RevenueCat. Ambas se describen más abajo.

3.1 Datos de la cuenta

Correo electrónico y contraseña. Tu contraseña se convierte en un hash con bcrypt en nuestros servidores, nunca se almacena en texto plano y nunca se guarda en tu dispositivo. Tu correo electrónico también va incluido en el token de inicio de sesión que usa la App.
Códigos de un solo uso para la verificación del correo, el restablecimiento de la contraseña, el cambio de contraseña y el cambio de correo. Un código caduca 10 minutos después de emitirse, y cinco intentos erróneos lo invalidan.

3.2 Datos del perfil

Se recogen durante el inicio:

Nombre y apellidos (guardados como apodo), edad, género (opcional) y altura.
Tipo de diabetes (tipo 1, tipo 2, gestacional u otro), métodos de tratamiento (insulina, comprimidos, inyectables, dieta) y método de administración de insulina.

Tu tipo de diabetes, tus métodos de tratamiento y tu método de administración de insulina son datos de salud, una «categoría especial» de datos personales según el artículo 9 del RGPD, aunque esta política los agrupe bajo «perfil». La sección de bases jurídicas, más abajo, expone la condición en la que nos apoyamos para ellos.

3.3 Datos de salud que registras (datos de categoría especial)

Lo siguiente son datos de salud, una «categoría especial» de datos personales según el artículo 9 del RGPD. Los guardamos en nuestros servidores solo con tu consentimiento explícito. La sección de bases jurídicas, más abajo, expone cómo se da ese consentimiento y cuáles de estos datos llegan a nuestros servidores únicamente cuando la sincronización en la nube está activada:

Lecturas de glucosa en sangre, con etiquetas de contexto opcionales (horario de comidas, fisiología, actividad, medicación y tecnología, además de las etiquetas que escribas tú) y notas de texto libre.
Registros de comida: carbohidratos, más proteínas, grasas y calorías opcionales, y un nombre que escribes tú.
Dosis de insulina: el número de unidades, vinculado a la insulina que configuraste, bolo, basal o premezclada.
Dosis de medicamentos inyectables (por ejemplo, agonistas del GLP-1).
Recuentos de toma de píldoras y comprimidos.
Registros de peso corporal, cada uno con la hora en que lo registraste.
Tus catálogos de medicamentos: los medicamentos de insulina, de comprimidos y de inyectables que configuras, con los nombres de los fármacos (por ejemplo, Fiasp, Lantus, Metformin, Ozempic) y los parámetros farmacocinéticos (inicio, pico, duración), y los horarios de recordatorio que defines para ellos.
Los ajustes de tratamiento que configuras: tu rango objetivo de glucosa (por defecto 3,9–10,0 mmol/L, o 3,9–7,8 mmol/L para diabetes gestacional, prediabetes o sin diagnóstico), la ratio insulina/carbohidratos (ICR) y el factor de sensibilidad a la insulina (ISF). La App nunca usa ninguno de ellos para calcular ni recomendar una dosis. Tu ratio insulina/carbohidratos se guarda para tu referencia y nada más la lee. Tu rango objetivo se guarda y es también lo que dibuja la banda en rango del Tiempo en rango, fija los bordes interiores de la etiqueta Buena / Aceptable / Crítica y decide cuándo cambia el texto de riesgo de hipoglucemia. Tu factor de sensibilidad a la insulina se usa para elaborar el texto de riesgo de hipoglucemia y el rango aproximado de descenso que se muestra junto a la insulina activa. El Aviso médico lo describe todo.
Valores que la App calcula en tu dispositivo a partir de lo que registras: la insulina activa estimada (una estimación solo para tu conocimiento: no recomienda ni calcula una dosis), el texto de riesgo de hipoglucemia y el rango aproximado de descenso que se muestra junto a él, las tendencias, la glucosa media y su dispersión, el Tiempo en rango, la HbA1c estimada (GMI), la hora sugerida para tu próxima lectura y la etiqueta Buena / Aceptable / Crítica de tu última lectura. El Aviso médico expone qué es y qué no es cada uno.

Varios de estos campos son de texto libre: notas de glucosa, etiquetas que escribes tú, nombres de comidas, nombres de medicamentos personalizados, el nombre de un horario de recordatorio personalizado. Lo que escribas ahí se almacena, y se sincroniza si la sincronización está activada, exactamente como lo escribiste.

3.4 Datos que recibimos de otras fuentes

Apple Health y Health Connect. Si los conectas, la App lee de la plataforma de salud de tu teléfono los registros de glucosa en sangre, peso corporal y carbohidratos de la dieta. Es solo lectura: la App nunca escribe nada de vuelta. En iOS solicita al sistema únicamente acceso de lectura y no declara ningún motivo de escritura, que es lo que exigiría una escritura; en Android solo tiene permisos de lectura para los tres tipos de registro. Por tanto, los registros que proceden originalmente de un medidor, un CGM u otra app llegan a glumea a través de la plataforma de salud. Las entradas importadas se guardan en tu dispositivo como entradas normales, marcadas con la plataforma de la que vienen y el identificador del registro. Que una entrada importada se copie también a nuestros servidores depende de si la Sincronización en la nube está activada, exactamente igual que una entrada que escribiste tú. La conexión está desactivada hasta que la actives, y puedes desconectarla o desactivar tipos de datos concretos en cualquier momento en Configuración → Integraciones.
Apple, Google y RevenueCat. Si te suscribes a glumea+, la información sobre esa suscripción nos llega de la tienda y de RevenueCat. Consulta la sección de glumea+ más abajo para saber exactamente cuál.

3.5 Datos técnicos

Tokens de autenticación, guardados en el almacenamiento seguro de tu dispositivo para que sigas con la sesión iniciada. Tu sesión en nuestros servidores es un registro que contiene un identificador de sesión, tu identificador de usuario y su caducidad.
Cuando la sincronización en la nube está activada, nuestros servidores tratan los datos que sincronizas junto con el control interno necesario para operar el servicio de sincronización, como las marcas de tiempo de sincronización.
Cuando la App se comunica con nuestros servidores, estos reciben información de conexión estándar, como tu dirección IP, la ruta solicitada y la hora, que se usa por seguridad y para operar el servicio.
Mientras el análisis o el diagnóstico estén activados, cada SDK envía los datos descritos en la sección 5. Ambos están desactivados hasta que los aceptes.

3.6 Datos que se quedan en tu dispositivo y datos que no

Algunas cosas no llegan nunca a nuestros servidores: los ajustes de notificaciones, los horarios de los recordatorios de medición de glucosa, las Horas de silencio, la elección del nivel de detalle de las notificaciones, el estado local de las notificaciones, el estado de la conexión con la plataforma de salud, las preferencias de la app, las preferencias de telemetría y el control interno de la sincronización. Una salvedad: mientras el análisis está activado, el idioma, el tema y los ajustes de unidades se envían a PostHog como atributos del perfil. Nada más de esta lista sale del dispositivo a través de nuestro backend.

Tus horarios de medicación son la excepción: pertenecen al diario, así que se copian a nuestros servidores cuando la Sincronización en la nube está activada; un recordatorio de medicación tiene que sobrevivir a un teléfono nuevo.

El propio interruptor de la sincronización en la nube tampoco es solo del dispositivo. Tu respuesta se guarda en tu cuenta en nuestros servidores, para que te siga a un teléfono nuevo y sobreviva al cierre de sesión; la sección 10 expone lo que eso significa en la práctica.

Los archivos que creas tú mismo, un archivo de copia de seguridad .glumea o un informe de glucosa en CSV o PDF, se escriben en tu dispositivo y se entregan a la app con la que elijas compartirlos o guardarlos. Adónde van después queda fuera de nuestro control, y un informe en CSV o PDF no está cifrado.

4. Por qué tratamos tus datos y nuestras bases jurídicas

Según el RGPD, cada uso necesita una base del artículo 6 y los datos de categoría especial necesitan además una condición del artículo 9. Las bases previstas se enumeran a continuación. El paso de consentimiento del perfil que falta, descrito más abajo, no aporta el consentimiento explícito que exige el tratamiento.

Prestarte tu cuenta y la App: crear y proteger tu cuenta, la autenticación, la verificación del correo, el restablecimiento de la contraseña, el funcionamiento de la sincronización en la nube, ofrecer glumea+ si te suscribes y conservar un registro de las notificaciones de suscripción que nos envían la tienda y RevenueCat para saber si glumea+ está activo y resolver un problema de facturación: ejecución de un contrato, artículo 6(1)(b) del RGPD.
Conservar datos de salud en nuestros servidores: las bases previstas son el artículo 6(1)(b) para el servicio y el consentimiento explícito del artículo 9(2)(a) para los datos de salud. El diario se copia a nuestros servidores solo después de la confirmación aparte de la Sincronización en la nube. El proceso de inicio actual guarda el perfil y los ajustes de la terapia en la cuenta sin un paso de consentimiento explícito aparte. Aceptar un contrato no es automáticamente consentimiento explícito para el tratamiento de categorías especiales, así que el proceso de inicio actual no aporta esa condición del artículo 9. Eliminar la cuenta es la única forma implementada de quitar esos campos de perfil y de terapia de la base de datos de producción.
Análisis de producto: consentimiento según el artículo 6(1)(a), consentimiento explícito según el artículo 9(2)(a) porque el uso de una app de diabetes revela datos de salud, y consentimiento según el artículo 5(3) de la Directiva ePrivacy para el almacenamiento del SDK. La sección 5 describe cómo se pide ese consentimiento.
Diagnóstico e informes de fallos: la base prevista es el consentimiento según el artículo 6(1)(a), el consentimiento explícito según el artículo 9(2)(a) porque el uso de una app de diabetes revela datos de salud, y el consentimiento del artículo 5(3) de la ePrivacy para el almacenamiento del SDK, que se pide igual que para el análisis (sección 5).
Mantener el servicio seguro y prevenir abusos: la limitación de frecuencia en nuestra API y la investigación de usos indebidos sospechados: nuestros intereses legítimos, artículo 6(1)(f) del RGPD. El interés concreto es proteger tu cuenta y las de otras personas frente a accesos no autorizados y mantener el servicio disponible. Nos apoyamos en esto solo cuando tus derechos no prevalecen sobre nuestros intereses.
Cumplir una obligación legal: cuando la ley de Polonia nos obliga a conservar o a comunicar determinados registros, lo hacemos con base en el artículo 6(1)(c) del RGPD. No nos apoyamos en esta base para los datos de salud que registras. No cobramos tu pago y nunca recibimos tus datos de pago, así que los registros de pago y facturación de tu compra los conserva la tienda y no nosotros.

No tomamos decisiones sobre ti que produzcan efectos jurídicos o te afecten significativamente de modo similar basadas únicamente en un tratamiento automatizado, y no elaboramos perfiles tuyos para tales decisiones. No hay decisiones automatizadas en glumea en el sentido del artículo 22 del RGPD. Las estimaciones que muestra la App (insulina activa, tendencias, Tiempo en rango) son aritmética hecha en tu dispositivo con los datos que introdujiste, presentada solo para tu conocimiento. No recomiendan ni calculan ninguna dosis de insulina ni de medicamento, y no son consejo médico.

¿Es obligatorio proporcionar datos? La ley no te obliga a proporcionar datos. Para una cuenta se necesitan un correo electrónico y una contraseña. Los campos de perfil y de terapia que se piden durante el inicio se guardan en la cuenta, con la limitación de consentimiento descrita arriba. Registrar entradas, conectar Apple Health o Health Connect y la sincronización en la nube son opcionales. El análisis y el diagnóstico son opcionales y están desactivados hasta que los aceptes.

5. Análisis y diagnóstico

La App incluye dos SDK de terceros para estos fines: uno para el análisis de producto y otro para los informes de fallos y errores. Esta sección expone qué es cada uno y qué recibe.

Ambos están desactivados hasta que los aceptes, y ninguno de los dos SDK se inicia antes. La App lo pregunta al final del inicio, con un interruptor aparte para cada uno. Los interruptores se muestran en la posición activada, pero no se recoge nada hasta que tocas para continuar, y un toque en el botón de rechazar termina el inicio con ambos desactivados. Si inicias sesión en una cuenta existente sin pasar por el inicio, ambos siguen desactivados hasta que los actives. Los dos ajustes son independientes y se pueden cambiar en cualquier momento en Configuración → Datos y privacidad → Privacidad y diagnóstico. Cerrar sesión borra ambas respuestas junto con tus demás preferencias, pero un SDK que ya se esté ejecutando sigue ejecutándose hasta que se cierre la App.

5.1 Análisis de producto: PostHog

Usamos PostHog (EU Cloud, eu.i.posthog.com) para entender cómo se usa la App y poder mejorarla.

Lo que PostHog puede recibir mientras el análisis está activado:

Tu identificador de cuenta de glumea: el UUID interno de tu cuenta. No tu correo, no tu nombre. Una vez que has iniciado sesión, los eventos se vinculan a ese identificador, por lo que esos eventos no son anónimos. Los eventos que pueden ocurrir antes de iniciar sesión, o después de cerrarla (primer inicio, aperturas de la app, registro y verificación de un código enviado por correo), llevan en su lugar un identificador pseudónimo del dispositivo, y ese identificador se regenera cuando la App restablece el SDK.
Una lista fija de nombres de evento, unos 28, que abarcan cosas como abrir la app, registrarse, completar el inicio, guardar una entrada, importar desde Apple Health, conceder o rechazar un permiso de notificaciones, generar una exportación, abrir la pantalla de pago y el resultado de una compra o una restauración.
Un pequeño número de propiedades, cada una de una lista cerrada o un recuento acotado: qué tipo de entrada se guardó (glucosa, comida, medicamento o peso), cuántas filas escribió un guardado, si una entrada se registró en el momento o con fecha anterior, si una exportación fue CSV o PDF, qué paso del inicio se completó, la categoría general de un recordatorio que tocaste y similares. Ninguna propiedad del sistema acepta texto libre.
La pantalla en la que estás, como una plantilla de ruta del tipo /settings/privacy. Se rechazan los dígitos, de modo que un identificador de registro no puede viajar dentro de una. Una pantalla a la que solo llega un tipo de tratamiento, como los ajustes de insulina, se notifica como la pantalla superior.
Un puñado de atributos del perfil: tu idioma, tu tema, tus unidades de glucosa, peso y carbohidratos, y si tienes glumea+.
Lo que el SDK de PostHog añade por sí mismo, fuera de nuestro control: modelo del dispositivo, sistema operativo y versión, versión de la app, versión del SDK, zona horaria, configuración regional, tipo de red y un identificador de sesión. PostHog también recibe la dirección IP desde la que llega tu solicitud, como cualquier servicio web, y deduce de ella una ubicación aproximada. No hemos activado la opción de PostHog para descartar esa dirección, así que se almacena con el evento.

Lo que PostHog no puede recibir: un valor de glucosa, una dosis de insulina, el nombre de un medicamento, qué tipo de medicamento tomas, una nota, el nombre de una comida, un correo electrónico ni ningún otro texto libre. El filtro que lo garantiza es de cierre seguro: un evento que no está en la lista se descarta entero, una propiedad que no está declarada se elimina, y una propiedad declarada cuyo valor no coincide con la forma esperada también se elimina. No existe en el sistema ninguna propiedad de «cualquier cadena». No hay reproducción de sesión, ni grabación de pantalla, ni encuestas, ni captura automática de toques, ni token de notificaciones push.

Los eventos están construidos para que no revelen tu tratamiento ni tus lecturas. La insulina, los comprimidos y los inyectables se notifican todos como una entrada de medicamento. Un toque en una alerta de glucosa baja o alta no se registra en absoluto, ni tampoco el paso del inicio que solo ven los usuarios de insulina. Una importación desde Apple Health o Health Connect notifica que se ejecutó y qué la inició, nunca cuántos registros leyó. Los eventos siguen vinculados a tu cuenta mientras tienes la sesión iniciada, y usar una app de diabetes revela por sí mismo datos de salud, por lo que el análisis espera tu consentimiento.

El SDK de análisis guarda su propio identificador en tu dispositivo, junto con una cola de eventos pendientes de envío. De la forma en que funciona el SDK se derivan dos limitaciones. Retirar el consentimiento registra un último evento propio, que indica que lo retiraste. Y ese evento, junto con todo lo que ya se hubiera recogido mientras consentías, se entrega después según el calendario propio del SDK y no en el momento en que retiras el consentimiento. Después de eso no se recoge nada nuevo.

5.2 Diagnóstico e informes de fallos: Sentry

Usamos Sentry (región de la Unión Europea) para saber cuándo la App falla o da errores y poder corregirlo.

Toda parte de un informe que lleve contenido y que construye la App se reconstruye desde cero antes de enviarse, a partir de una lista de campos permitidos y no de una lista de campos que quitar. Una docena aproximada de campos de nivel superior restantes se borran por nombre, de modo que un campo añadido por una versión futura del SDK no quedaría cubierto por ese borrado hasta que lo añadamos. Lo que sobrevive a esa reconstrucción es:

El tipo de excepción y una etiqueta calculada en lugar del mensaje de error original.
La traza de la pila, con los nombres de archivo reducidos a su nombre base y, en las compilaciones de lanzamiento, los nombres de símbolos ofuscados: solo se hacen legibles en Sentry, con la correspondencia que subimos al compilar.
Familia del dispositivo, modelo, arquitectura, si es un simulador y orientación.
Nombre, versión y compilación del sistema operativo; nombre, versión y compilación de la app; la versión del entorno de ejecución de Dart.
Identificadores de imágenes de depuración, necesarios para que los fallos nativos sean legibles.
La forma del rastro de migas de pan: la categoría, el tipo, el nivel y la marca de tiempo de los eventos recientes, pero nunca su contenido.
Dos etiquetas: qué área de la App falló y si ocurrió en primer plano o en el motor de notificaciones en segundo plano.
La versión de lanzamiento, el número de compilación, el entorno y un identificador de evento generado al azar.

Lo que se elimina por completo: el mensaje de error, cualquier dato de solicitud, cualquier objeto de usuario, el nombre del servidor, el nombre de la transacción, las listas de hilos, las listas de módulos, los valores de variables locales, el contexto del código fuente, las rutas absolutas, el identificador único y el nombre del dispositivo, el hash de la app asociado a la instalación, los mensajes y datos de las migas de pan, las capturas de pantalla, las jerarquías de vistas y cualquier archivo adjunto. Las capturas de pantalla, la captura de la jerarquía de vistas, la reproducción de sesión, el rastreo de rendimiento, el registro de logs y los cuerpos de las solicitudes están todos desactivados. La App no adjunta ningún identificador de usuario a un evento de Sentry: ni identificador de cuenta, ni correo electrónico, ni identificador de dispositivo.

Dos límites a lo anterior:

Los fallos nativos, los eventos de la app sin respuesta y las terminaciones por watchdog de iOS pueden llegar a Sentry sin pasar por esa reconstrucción, porque los produce el gestor de fallos del sistema operativo y no el propio código de la App. Lo mismo ocurre con la señal periódica de «sesión de la app iniciada / finalizada» que Sentry usa para la salud de las versiones. No podemos inspeccionarlos en el dispositivo y no conocemos todos los campos que el SDK de la plataforma incluye en uno. No establecemos ningún identificador que conecte uno de ellos contigo.
Sentry recibe la dirección IP desde la que se envía el informe.

Hasta que aceptes el diagnóstico, Sentry no se inicia. Desactivar el interruptor cierra los emisores de informes a los que llega ese control, pero cerrar sesión no desactiva de forma fiable un SDK ya inicializado en el proceso en ejecución. Por tanto, el ciclo de vida actual no puede describirse como una retirada inmediata en todos los estados.

6. glumea+ y datos de suscripción

glumea+ es una suscripción que se vende solo como compra dentro de la app a través de Apple App Store y Google Play. No hay otra forma de comprarla, ni pago web ni formulario de tarjeta en ninguna parte de la App.

No nos llegan datos de pago. Apple o Google cobra el pago. Nunca vemos tu número de tarjeta, tus datos bancarios ni tu dirección de facturación. La cancelación y los reembolsos se gestionan a través de tu cuenta de la tienda; las Condiciones del servicio explican dónde.
RevenueCat es el servicio que usamos para saber si tu suscripción está activa. La App le dice a RevenueCat una sola cosa sobre ti: tu identificador de cuenta de glumea, usado como identificador de usuario de la suscripción. Nuestros servidores también preguntan a RevenueCat si ese identificador tiene una suscripción activa, incluso cuando nunca te has suscrito, porque así es como sabemos que no lo has hecho. No establecemos ningún correo electrónico, ni nombre visible, ni número de teléfono, ni token push, y no le pedimos que recoja identificadores publicitarios del dispositivo. El propio SDK de RevenueCat también recoge cierta información del dispositivo y de la red para el funcionamiento del servicio de RevenueCat, descrita en su propio aviso de privacidad. No configuramos esa recogida y no recibimos lo que produce.
Lo que la App guarda localmente es un único valor verdadero/falso: si glumea+ está activo. La App no guarda en tu dispositivo ningún precio, identificador de producto, fecha de caducidad ni identificador de transacción. Ese valor se pone en falso cuando cierras sesión, de modo que la siguiente cuenta en el dispositivo empieza sin suscripción y tiene que comprobarse por sí misma con la tienda.
Lo que guardan nuestros servidores. RevenueCat envía una notificación a nuestro backend cuando cambia algo de una suscripción: una compra, una renovación, una cancelación, un problema de facturación. Registramos cada una de esas notificaciones tal como se recibe: el identificador y el tipo del evento, el entorno, tu identificador de cuenta de glumea y el mensaje completo que envió RevenueCat, almacenado exactamente como llegó y no campo por campo. Ese mensaje suele incluir el identificador del producto, el precio, la moneda, la tienda, el país y las fechas de compra y de caducidad. Como lo guardamos entero, también puede llevar los atributos de suscriptor que RevenueCat tenga sobre ti, entre ellos un correo electrónico, aunque nuestra App no establece ninguno por su cuenta. Nunca reescribimos el mensaje; una entrega repetida del mismo evento solo actualiza nuestro recuento de cuántas veces llegó.
Mientras el análisis está activado, los eventos del embudo descritos arriba van a PostHog, junto con un atributo del perfil que indica si glumea+ está activo. Al análisis no se envía ningún precio, identificador de producto ni identificador de tienda.

De ahí se derivan dos consecuencias. El registro de webhooks lleva tu identificador de cuenta de glumea pero no tiene ninguna relación de base de datos con la fila de tu cuenta. Durante la eliminación de la cuenta, nuestro backend elimina esos registros por separado y solicita la eliminación del registro de suscriptor de RevenueCat con el mismo identificador. En los demás casos, una tarea programada elimina cada registro de webhook 90 días después de que llegue. La sección 12 describe lo que puede permanecer.

7. Lo que no hacemos

Nada de lo siguiente ocurre en glumea:

Ninguna publicidad, de ningún tipo. Ningún SDK de publicidad, ningún SDK de atribución, ningún identificador publicitario. La App no puede mostrar el aviso «Pedir a la app que no rastree» de iOS, porque no incluye la entrada que lo permitiría, y no declara ninguna red de atribución publicitaria.
Ninguna venta de tus datos. No vendemos ni alquilamos datos personales, y no vendemos datos de salud. No los compartimos para publicidad conductual entre contextos.
Ningún uso de tus datos de salud para publicidad, marketing o para elaborar un perfil tuyo para otros.
Ningún dato de ubicación. Ningún acceso a tus contactos, cámara, micrófono, fotos ni calendario: la App no solicita ninguno de esos permisos en ninguna de las dos plataformas.
Ningún Firebase en la App: ni Firebase Analytics, ni Crashlytics, ni Firebase Cloud Messaging. (Firebase Hosting sí sirve el Sitio web, incluida esta página; es un servicio de Google distinto y se nombra más abajo.)
Ninguna notificación push ni token push del dispositivo. Los recordatorios los programa y los muestra tu propio dispositivo; no existe ningún canal del servidor al dispositivo.
Ninguna captura de pantalla, ninguna grabación de pantalla, ninguna reproducción de sesión, ninguna captura de la jerarquía de vistas, de ninguno de los dos SDK descritos arriba.
Aparte de PostHog y Sentry, la App no contiene ningún otro SDK de análisis, telemetría o rastreo. Los únicos componentes que abren una conexión de red son la propia conexión de la App con nuestros servidores, PostHog, Sentry y RevenueCat.

8. Quién recibe tus datos

Compartimos datos con los proveedores de servicios que figuran abajo para operar glumea. Sus funciones, sus propios avisos de privacidad y los términos contractuales aplicables a nuestro uso de cada servicio rigen ese tratamiento. El SDK de RevenueCat también recoge por sí mismo información del dispositivo y de la red. No configuramos esa recogida y no recibimos su resultado, por lo que su descripción procede del aviso de privacidad de RevenueCat y no de nuestros sistemas.

Google (Google Cloud Run y Google Cloud SQL, región europe-west1) aloja nuestro backend y la base de datos que contiene todo lo que sincronizas, incluidos tus datos de salud. Google Secret Manager guarda nuestras credenciales del servidor y Google Cloud Logging guarda los registros de solicitudes de nuestro servidor.
Google (Firebase Hosting) sirve glumea.com y estos documentos legales.
Sentry (región de la Unión Europea) recibe los informes de diagnóstico descritos arriba mientras el diagnóstico está activado según el comportamiento actual del ajuste.
PostHog (EU Cloud) recibe los eventos de análisis descritos arriba mientras el análisis está activado según el comportamiento actual del ajuste.
RevenueCat (Estados Unidos) recibe tu identificador de cuenta de glumea y el estado de tu suscripción, te suscribas o no: comprobar que no eres suscriptor usa el mismo identificador que confirmar que lo eres. Como se indicó arriba, su SDK recoge además información del dispositivo y de la red que no configuramos y no recibimos; el aviso de privacidad de RevenueCat la describe.
Zoho ZeptoMail: si el envío de correos en producción está activado, este proveedor recibe la dirección de correo de destino y el mensaje de verificación o de restablecimiento de contraseña necesario para entregarlo. Ningún proveedor de correo recibe esos mensajes mientras el envío está desactivado.

Apple y Google no son nuestros encargados del tratamiento. Operan las tiendas a través de las cuales se vende glumea+, cobran el pago y son responsables independientes de los datos de compra que tienen sobre ti. Lo que recogen se rige por sus propias políticas de privacidad y no por esta.

Fuera de eso, solo comunicamos datos personales si la ley lo exige, por ejemplo mediante una orden vinculante de un tribunal o una autoridad, o por indicación tuya.

Si Paweł Milewski Software Development llegara a participar en una fusión, adquisición o venta de activos, tus datos seguirían protegidos por esta política, y te avisaríamos antes de que tus datos quedaran sujetos a una política de privacidad distinta.

9. Transferencias internacionales

Dónde trata tus datos cada destinatario:

Tu cuenta, tu perfil y los datos de salud sincronizados se almacenan en la UE: Google Cloud, europe-west1 (Bélgica). El lugar de almacenamiento no es toda la respuesta. Google puede acceder a esos datos desde fuera del EEE, para soporte y para operar la plataforma, y eso es una transferencia por sí misma. Se apoya en las Cláusulas Contractuales Tipo del Anexo de Tratamiento de Datos de Google Cloud.
Los datos de análisis van a la EU Cloud de PostHog, que los almacena en la UE. Cuando PostHog puede acceder a ellos desde fuera del Espacio Económico Europeo, la transferencia se apoya en las Cláusulas Contractuales Tipo del acuerdo de tratamiento de datos de PostHog.
Los datos de diagnóstico van a Sentry en su región de la Unión Europea. Cuando eso queda fuera del Espacio Económico Europeo, la transferencia se apoya en las Cláusulas Contractuales Tipo del anexo de tratamiento de datos de Sentry.
El Sitio web lo sirve Firebase Hosting desde la red de distribución de contenido de Google, por lo que una solicitud de página puede atenderse, y registrarse, en una ubicación fuera del Espacio Económico Europeo. Cuando ocurre, la transferencia se apoya en las Cláusulas Contractuales Tipo del Anexo de Tratamiento de Datos de Google Cloud.
El estado de la suscripción va a RevenueCat en Estados Unidos. Cuando eso queda fuera del Espacio Económico Europeo, la transferencia se apoya en las Cláusulas Contractuales Tipo del anexo de tratamiento de datos de RevenueCat.
Si el envío de correos en producción está activado, los correos de verificación y de restablecimiento de contraseña los entrega Zoho ZeptoMail, que trata la dirección de correo de destino en la Unión Europea (Zoho Corporation B.V., centros de datos de Zoho en la UE, en los Países Bajos e Irlanda). Cuando eso queda fuera del Espacio Económico Europeo, el mecanismo de transferencia aplicable son las Cláusulas Contractuales Tipo del anexo de tratamiento de datos de Zoho.
Apple y Google tratan los datos de compra con sus propios acuerdos, como responsables independientes.

Cuando un proveedor puede acceder a los datos desde fuera del EEE, incluso para soporte, ese acceso también es una transferencia y debe tener una garantía adecuada según el capítulo V del RGPD. El mecanismo de cada destinatario se nombra arriba. Para los usuarios del Reino Unido, el mecanismo equivalente es el Anexo del Reino Unido a las Cláusulas Contractuales Tipo de la UE, o el IDTA cuando un proveedor usa ese formato según el RGPD del Reino Unido. Contacto general de protección de datos: [email protected]. Actualmente no está implementado ningún flujo automatizado aparte para solicitar una copia de las garantías.

10. Dónde se almacenan tus datos

glumea funciona primero sin conexión. Esta sección es la respuesta completa a «¿qué es mío y está en vuestros servidores?»: todo lo demás en esta política remite aquí.

Qué	En tu teléfono	En nuestros servidores	Desde cuándo	Cómo eliminarlo
Tu diario: entradas, catálogos de medicamentos, horarios de medicación	Siempre	Solo con la Sincronización en la nube activada	Desde el momento en que activas el interruptor	Desactiva el interruptor y luego usa Eliminar los datos del servidor; o elimina tu cuenta
Tu perfil: nombre, edad, altura, tipo de diabetes, métodos de tratamiento, administración de insulina	Sí	Siempre	Desde el inicio, uses o no la sincronización	Elimina tu cuenta
Los ajustes de tu terapia: rango objetivo, ratio insulina/carbohidratos, factor de sensibilidad a la insulina	Sí	Siempre	Desde el momento en que los introduces	Elimina tu cuenta
Tu cuenta: correo electrónico, contraseña con hash, sesiones de inicio de sesión	Solo las credenciales	Siempre	Desde el momento en que creas la cuenta	Elimina tu cuenta
Todo lo de la sección 3.6: recordatorios, Horas de silencio, preferencias de la app	Sí	Nunca	No aplica	Cierra sesión o desinstala

El resto de esta sección es el detalle que hay detrás de esa tabla.

Todos los datos que introduces se escriben primero en una base de datos local de tu dispositivo. La App se puede usar por completo sin conexión a internet.
Esa base de datos local está cifrada. Se abre con una clave de 32 bytes guardada en el almacén de claves de tu dispositivo, con un ajuste que impide que migre a otro dispositivo. Consecuencias que debes conocer antes de cambiar de teléfono: en Android hemos desactivado la copia de seguridad en la nube y la transferencia entre dispositivos para la App, así que no se crea ninguna copia de seguridad nueva de ella; en iOS, una copia de la base de datos puede acabar en una copia de seguridad de iCloud, pero es ilegible sin la clave, y la clave nunca sale del dispositivo. Por tanto, restaurar esa copia en un teléfono nuevo no trae tu diario: la App encuentra una base de datos para la que no tiene clave, se niega a abrirla en lugar de empezar vacía sin avisar y no funcionará en ese teléfono hasta que la reinstales o borres sus datos. Para pasar a un teléfono nuevo se usa la sincronización en la nube, o un archivo .glumea que exportas e importas tú mismo.
Existe una cuenta tuya en nuestros servidores desde el momento en que creas una. Contiene los datos de tu cuenta, tu perfil, incluidos tu tipo de diabetes, tus métodos de tratamiento y tu método de administración de insulina, y los ajustes de tu terapia: tu rango objetivo, tu ratio insulina/carbohidratos y tu factor de sensibilidad a la insulina. Esos datos están en nuestros servidores uses o no la sincronización en la nube, y la forma de eliminarlos es eliminar tu cuenta.
La sincronización en la nube es una función de glumea+ y está desactivada hasta que la actives. Lo que controla es si tu diario se copia también a nuestros servidores: tus entradas, tus catálogos de medicamentos y tus horarios de medicación. Activarla requiere dos pasos, y puedes parar en cualquiera. Sin una suscripción activa a glumea+, la App te muestra la pantalla de suscripción en lugar de activar nada. Con una, la App te pide entonces que confirmes, en un paso aparte, que aceptas que tus datos de salud, tus lecturas de glucosa, tus registros de insulina y medicación, tus entradas de comida y peso y todo lo que hayas escrito en una nota se almacenen en nuestros servidores. Lo pide cada vez que se activa el interruptor, no solo la primera. Esa confirmación es tu consentimiento explícito según el artículo 9(2)(a) del RGPD para el diario. Puedes retirarlo en cualquier momento desactivando la Sincronización en la nube, y eliminar lo que ya tenemos con el enlace Eliminar los datos del servidor de la misma hoja. Con la sincronización desactivada, todo lo que registras queda únicamente en tu dispositivo.
Cuando la sincronización está activada, tus datos se almacenan en nuestro backend en api.glumea.app, que funciona en Google Cloud Run con una base de datos PostgreSQL de Google Cloud SQL, en la región europe-west1 de Google (Bélgica).

El interruptor pertenece a tu cuenta, no al teléfono. Guardamos tu respuesta en nuestros servidores, y la App la vuelve a leer de ahí cuando inicias sesión y cuando se reconecta. Por eso sobrevive al cierre de sesión y te sigue: activa la sincronización, inicia sesión en otro teléfono y la sincronización también estará activada allí sin volver a preguntarte. Desactivarla se registra de la misma manera. Si la desactivas sin conexión, la App conserva esa respuesta y la entrega a nuestros servidores en la primera ocasión; una retirada nunca se revierte porque una solicitud falle. En un dispositivo compartido esto funciona al revés que un interruptor solo del dispositivo: quien inicia sesión recibe la respuesta de su propia cuenta, no la que dejó la última persona.

Si glumea+ termina, las entradas nuevas dejan de copiarse a la copia de seguridad; no retira tu consentimiento ni elimina nada. Cuando una suscripción caduca, se cancela o se reembolsa, la App deja de copiar entradas nuevas a nuestros servidores. Las ediciones y eliminaciones de entradas que ya están allí siguen llegando a nuestros servidores, y la App sigue descargando de ellos. La hoja de Sincronización en la nube muestra Las ediciones y eliminaciones siguen sincronizándose · Los registros nuevos permanecen en este dispositivo. Lo que ya está en nuestros servidores se queda ahí, lo que está en tu dispositivo se queda ahí, y tu respuesta guardada a la pregunta del consentimiento se deja como estaba, de modo que si te vuelves a suscribir, la copia de seguridad completa se reanuda con esa respuesta guardada sin volver a preguntarte. Si prefieres que no sea así, desactiva el interruptor: desactivarlo y el enlace Eliminar los datos del servidor que hay junto a él siguen disponibles haya o no una suscripción vigente. Terminar una suscripción nunca te quita la posibilidad de retirar el consentimiento ni de que se borre la copia del servidor.

La sincronización también puede detenerse sin que toques ese interruptor. Tu sesión de inicio de sesión puede caducar, y cuando lo hace no cerramos tu sesión ni eliminamos nada: la App conserva todas las entradas en tu dispositivo, aparca la copia de seguridad y espera. La hoja de Sincronización en la nube muestra entonces En pausa y te dice que no se está sincronizando nada hasta que vuelvas a iniciar sesión, y la pantalla Resumen muestra un aviso sobre la sesión caducada. Todo lo que registres entretanto se queda en el dispositivo y llega a nuestros servidores solo cuando hayas vuelto a iniciar sesión. Si cuentas con la copia del servidor para sobrevivir a la pérdida del teléfono, ese aviso es lo que debes atender.

La copia en nuestros servidores está protegida por cifrado en tránsito, por el cifrado de almacenamiento de Google y por nuestros controles de acceso. No está cifrada de extremo a extremo y podemos leerla. glumea no es un servicio de conocimiento cero. El único elemento de todo el sistema que no podemos abrir es un archivo .glumea, porque está cifrado con una contraseña que solo conoces tú.

11. Cuánto tiempo conservamos tus datos

Conservamos tus datos durante los periodos siguientes.

Datos de la cuenta, perfil y ajustes de la terapia: se conservan en nuestros servidores mientras exista tu cuenta.
Entradas de salud y catálogos de medicamentos que has sincronizado: se conservan mientras exista tu cuenta, o hasta que elimines la copia del servidor o elimines tu cuenta. Eliminar una sola entrada funciona de otra manera: desaparece del dispositivo en el que la eliminaste, y solo de ese dispositivo. La copia en nuestros servidores se queda, así que la entrada puede volver al reinstalar, en un teléfono nuevo o después de cerrar sesión y volver a iniciarla. Solo Eliminar los datos del servidor o eliminar tu cuenta quita esas filas de nuestros servidores.
Marcas de eliminación de las entradas que borraste: cuando la eliminación de una sola entrada sí llega a nuestros servidores, la fila se conserva como una marca que sigue llevando su valor, sus etiquetas y sus notas, para que la eliminación pueda viajar a tus otros dispositivos. No tenemos ninguna tarea que las depure, así que permanecen mientras exista tu cuenta. Usar Eliminar los datos del servidor o eliminar tu cuenta las quita.
Sesiones de inicio de sesión: un token de acceso dura 15 minutos. El registro de la sesión en nuestros servidores caduca tras 90 días sin uso. Cerrar sesión lo revoca de inmediato, de modo que no se puede volver a usar, pero la fila en sí la elimina una tarea horaria una vez agotada esa ventana de 90 días. Eliminar tu cuenta la quita al instante.
Códigos de un solo uso: caducan 10 minutos después de emitirse, y una tarea horaria marca los caducados como inutilizables. No depuramos los registros en sí: permanecen hasta que eliminas tu cuenta, que los quita junto con todo lo demás.
Copias de seguridad del servidor: 7 días. Los datos eliminados de la base de datos activa persisten en las copias de seguridad hasta que se renuevan.
Registros de solicitudes del servidor, que incluyen direcciones IP: 30 días.
Eventos de análisis en PostHog: 12 meses.
Informes de diagnóstico en Sentry: 90 días.
Registros de notificaciones de suscripción: hasta 90 días desde el momento en que cada mensaje nos llega, salvo que la eliminación de la cuenta los quite antes. La tarea programada cuenta la antigüedad y no retiene una fila por una disputa de facturación abierta.
Datos almacenados solo en tu dispositivo: permanecen ahí hasta que los eliminas, cierras sesión, usas el control de eliminación de cuenta de la app o desinstalas la App. Una solicitud de eliminación de cuenta por correo no puede borrar un dispositivo de forma remota.

12. Eliminación: qué ocurre y dónde

Antes de empezar. Dos cosas importan más que todo lo que sigue, y las dos están en las Condiciones del servicio: cancela primero tu suscripción a glumea+ en la tienda, porque eliminar tu cuenta de glumea no detiene los cobros (sección 13.1 de las Condiciones), y exporta primero, porque una vez que tus filas hayan desaparecido no podemos generarte una exportación (sección 13.3 de las Condiciones).

Tres controles distintos, tres resultados distintos. Es fácil confundirlos, así que:

Control	Dónde está	Qué elimina	Qué conserva	Qué puede deshacerlo
Eliminar una sola entrada	Dondequiera que la registraste	Esa entrada, solo en ese dispositivo	La copia del servidor, que puede devolverla	Una reinstalación, un teléfono nuevo, o cerrar sesión y volver a iniciarla
Eliminar los datos del servidor	La hoja de Sincronización en la nube, que se abre desde el botón de la nube en Resumen o Historial, no en Configuración	La copia en el servidor de tus entradas, catálogos de medicamentos y horarios	Tu cuenta, tu perfil, los ajustes de tu terapia y todo lo que hay en tu teléfono	Volver a activar la sincronización lo vuelve a subir desde tu teléfono
Eliminar cuenta	Configuración → Cuenta, o por correo a [email protected] si no puedes usar la App	Tu cuenta y los datos de producción asociados en nuestros servidores; la vía dentro de la app también borra este dispositivo	Las copias de seguridad existentes, algunos registros de proveedores y cualquier dato en dispositivos a los que no llegue el borrado de la app	Nada restaura la cuenta eliminada

Eliminar los datos del servidor necesita un inicio de sesión activo y que el interruptor Sincronización esté desactivado antes; las tres notas del final de esta sección explican por qué.

Eliminar tu cuenta en la App la quita de nuestra base de datos de producción de inmediato. Una solicitud verificada por correo usa la misma vía de eliminación en el servidor. Esto es lo que ocurre en cada destino.

Nuestra base de datos de producción: eliminar tu cuenta realiza un borrado definitivo de tu registro de usuario cuando lo confirmas en la App o cuando un operador completa una solicitud verificada por correo. Todo lo vinculado a él se elimina con él por cascada de base de datos: tu perfil, los ajustes de tu terapia, cada entrada sincronizada de glucosa, comida, peso, insulina, comprimidos e inyectables, tus catálogos y horarios de medicamentos, tus sesiones y tus códigos de verificación y de restablecimiento pendientes. No hay marca de borrado lógico ni recuperación.
Registros de notificaciones de suscripción: cada fila contiene tu identificador de cuenta de glumea y el mensaje completo que envió RevenueCat. No está vinculada a la fila de tu cuenta, así que la cascada automática no la alcanza, pero el servicio de eliminación la quita por separado en la misma transacción. Sin eliminación de cuenta, una tarea programada quita cada fila a los 90 días.
RevenueCat: eliminar tu cuenta pone en cola una solicitud para quitar el registro de suscriptor con tu identificador de cuenta. Intentamos la solicitud de inmediato y la reintentamos si el proveedor no está disponible. El historial de facturación de la tienda queda fuera de nuestro control.
PostHog: eliminar tu cuenta pone en cola una solicitud para quitar el perfil de análisis vinculado a la cuenta, con sus eventos y grabaciones. Lo intentamos de inmediato y reintentamos si el proveedor no está disponible. PostHog puede completar de forma asíncrona una eliminación masiva aceptada. Los eventos previos al inicio de sesión usan un identificador pseudónimo del dispositivo distinto.
Copias de seguridad del servidor: una copia de lo eliminado persiste en las copias de seguridad automáticas de la base de datos de nuestro proveedor de alojamiento hasta que se renuevan: 7 días, y en ningún caso más de seis meses después de la autenticación cuando ese límite legal se aplique. Los registros individuales no se editan dentro de una copia de seguridad. Por tanto, una restauración de recuperación ante desastres puede reintroducir temporalmente filas que se habían eliminado de producción.
Registros del servidor: eliminar tu cuenta no borra con carácter retroactivo los registros de solicitudes del servidor, que se conservan 30 días.
Sentry: la App no adjunta ningún identificador de cuenta, correo electrónico ni registro de usuario a un informe de diagnóstico. Por tanto, no hay una forma admitida de localizar ni eliminar los informes de un usuario concreto. Los informes producidos por el gestor de fallos del sistema operativo no pasan por el filtro de la App, y no conocemos todos los campos que añade el SDK de la plataforma. Los informes caducan según la retención de Sentry: 90 días. El artículo 11(2) del RGPD trata los datos respecto de los cuales el responsable realmente no puede identificar al interesado.
Apple y Google: tus registros de compra y suscripción pertenecen a la tienda, no a nosotros. Eliminar tu cuenta de glumea no cancela una suscripción y no elimina nada en Apple ni en Google. Cancela en los ajustes de tu cuenta de la tienda; sus registros se rigen por sus políticas y por la ley tributaria.
Tu propio dispositivo: eliminar la cuenta dentro de la App, cerrar sesión o cambiar de cuenta borra de ese dispositivo la base de datos local, las credenciales de sesión y las preferencias guardadas. Una solicitud por correo no puede borrar un dispositivo de forma remota. Borrar una preferencia de telemetría no desactiva de forma fiable un SDK ya inicializado en el proceso en ejecución. Un indicador de primera instalación y la clave de cifrado de la base de datos pueden sobrevivir a un borrado dentro de la app, pero ninguno contiene datos del diario. Una copia de seguridad del dispositivo en iCloud puede contener una copia cifrada ilegible de la base de datos; la copia de seguridad de Android está desactivada para la App.
Copias que hiciste tú mismo: un archivo .glumea, un CSV, un informe PDF, cualquier cosa que compartiste o guardaste en otro sitio: son tuyos y quedan fuera de nuestro alcance. Elimínalos donde los pusiste.

Resumen del calendario: la eliminación en la base de datos de producción ocurre cuando la confirmas en la App, o cuando un operador completa una solicitud verificada por correo. Las solicitudes de eliminación a RevenueCat y PostHog se intentan de inmediato y se ponen en cola para reintento si fallan. Una copia puede persistir en las copias de seguridad del alojamiento hasta que se renuevan, en un plazo de 7 días.

La propia cascada de la base de datos no alcanza los registros de solicitudes del servidor, los informes de Sentry, los registros de notificaciones de suscripción ni los registros de proveedores. El servicio de eliminación quita por separado las notificaciones de suscripción y solicita el borrado de los registros de RevenueCat y PostHog. Los registros del servidor y los informes de Sentry caducan según sus periodos de retención configurados.

La eliminación es permanente. Los datos eliminados no se pueden recuperar, así que si puedes necesitar tus registros más adelante, para tu equipo médico, por ejemplo, haz primero una copia con las opciones de exportación descritas en tus derechos.

También puedes solicitar la eliminación de la cuenta por correo sin usar la App. Verificamos la titularidad antes de tramitarla.

Tres cosas más sobre el control más limitado Eliminar los datos del servidor, que quita la copia en el servidor de tus entradas, tus catálogos de medicamentos y tus horarios de medicación, pero conserva tu cuenta, tu perfil, los ajustes de tu terapia y todo lo que hay en tu dispositivo:

Necesita un inicio de sesión activo. Si tu sesión ha caducado, el estado que describe la sección 10, en el que la hoja muestra En pausa: el enlace te dice que vuelvas a iniciar sesión y no hace nada hasta que lo hagas. Basta con volver a iniciar sesión; mientras tanto no se pierde nada.
Requiere que la Sincronización en la nube esté desactivada antes. Si después vuelves a activar la sincronización, las entradas que aún están en tu dispositivo se ponen en cola y se suben de nuevo: tu propio dispositivo deshace la eliminación en el servidor.
No se propaga a tus otros dispositivos. Conservan sus copias locales y no reciben ningún aviso.

13. Tus controles en la App

No necesitas escribirnos para controlar tus datos. La App te da estos controles integrados:

Eliminar cuenta: en Configuración → Cuenta, tras escribir una palabra de confirmación. Realiza el borrado definitivo en el servidor descrito arriba y borra de ese dispositivo la base de datos local de la App, las credenciales de sesión y las preferencias. También puedes solicitar la eliminación de la cuenta en el servidor en [email protected] si no puedes usar la App. La sección 12 indica lo que persiste.
Eliminar los datos del servidor: el enlace eliminarlos en la línea bajo el interruptor Sincronización de la hoja de Sincronización en la nube, que se abre desde el botón de la nube en la parte superior de la pantalla Resumen o Historial y no desde Configuración. El enlace se muestra siempre, pero solo funciona cuando el interruptor está desactivado. Elimina definitivamente la copia en el servidor de tus entradas, tus catálogos de medicamentos y tus horarios de medicación, y conserva tu cuenta y los datos de tu dispositivo. No llega más lejos: tu perfil y los ajustes de tu terapia permanecen en nuestros servidores hasta que elimines tu cuenta. Lee las tres notas justo encima.
Sincronización en la nube: el interruptor Sincronización de esa misma hoja, y una función de glumea+. Desactívalo en cualquier momento para que no lleguen datos nuevos a nuestros servidores, que es también como retiras tu consentimiento para que los almacenemos; desactivarlo nunca requiere una suscripción activa. Los datos ya sincronizados permanecen en nuestros servidores hasta que uses Eliminar los datos del servidor o Eliminar cuenta. Tu respuesta a este interruptor se guarda en tu cuenta, así que sobrevive al cierre de sesión y te sigue a un teléfono nuevo.
Análisis de uso e Informes de errores: dos interruptores independientes en Configuración → Datos y privacidad → Privacidad y diagnóstico. Ambos están desactivados hasta que los actives. Desactivar uno actualiza la preferencia, pero los datos en cola aún pueden entregarse y cerrar sesión no cierra de forma fiable un SDK ya inicializado en el proceso en ejecución.
Apple Health / Health Connect: conéctalos, desconéctalos o desactiva tipos de datos concretos en Configuración → Integraciones. También puedes revocar el permiso en la propia plataforma de salud.
Mostrar detalles en las notificaciones (Configuración → Notificaciones): desactivado salvo que lo actives. Hasta entonces, las notificaciones muestran un texto genérico.
Cerrar sesión: borra del dispositivo la base de datos local de la App, tus credenciales de sesión y tus preferencias, incluidas tus elecciones de análisis y diagnóstico. No se retiene nada de lo que registraste ni ninguna elección que hicieras; la sección de eliminación nombra los dos valores técnicos que sobreviven.
Exportación: un archivo .glumea protegido con contraseña con tus entradas, medicamentos, perfil, objetivos de terapia y recordatorios, desde Configuración → Datos y privacidad → Importación y exportación de datos. Los informes de glucosa en CSV y PDF son otra cosa, generados desde la hoja de exportación de la propia pantalla de glucosa; el archivo y el CSV son gratuitos, y el informe en PDF es una función de glumea+.

[email protected] acepta solicitudes de eliminación de cuenta sin usar la App. También se pueden enviar ahí otras solicitudes de derechos fuera de la app, pero la vía de eliminación de cuenta no ofrece una herramienta automatizada aparte de exportación ni de corrección.

14. Tus derechos

Según el RGPD tienes derecho a:

Acceder a tus datos personales y obtener una copia.
Rectificar los datos inexactos o incompletos. Puedes editar las entradas y los medicamentos donde los registraste, tu perfil en Configuración → Cuenta y los ajustes de la terapia donde los estableciste. Actualmente no hay implementado ningún flujo de corrección aparte fuera de la app.
Suprimir tus datos («derecho al olvido»). La sección de eliminación de arriba te dice exactamente lo que alcanza la supresión y lo que no.
Limitar el tratamiento en determinadas situaciones.
Portabilidad de los datos: recibir los datos que proporcionaste en un formato estructurado, de uso común y legible por máquina cuando la ley prevé ese derecho. La exportación de glucosa en CSV de la app es legible por máquina y no está cifrada. El archivo .glumea contiene entradas, medicamentos, perfil, objetivos de terapia y recordatorios, pero está cifrado con una contraseña que solo conoces tú y solo puede importarse en la cuenta de glumea que lo creó. Actualmente no hay ninguna exportación personalizada adicional disponible a través de [email protected].
Oponerte al tratamiento basado en nuestros intereses legítimos.
Retirar el consentimiento en cualquier momento. La retirada no afecta al tratamiento que fue lícito antes de retirarla. Para los datos del diario sincronizados, desactiva la Sincronización en la nube y usa Eliminar los datos del servidor, o elimina tu cuenta. Para el análisis y el diagnóstico, usa los dos interruptores de Configuración → Datos y privacidad → Privacidad y diagnóstico. No hay un control para quitar solo el perfil o solo los ajustes de la terapia, y actualmente no hay un flujo así disponible a través de [email protected]. Eliminar la cuenta es la única forma implementada de quitar esos campos de nuestra base de datos de producción.
Reclamar ante una autoridad de control. Nuestra autoridad de control principal es el Presidente de la Oficina de Protección de Datos Personales (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Varsovia, Polonia. También puedes reclamar ante la autoridad de protección de datos del Estado miembro de la UE donde vives, donde trabajas o donde crees que se produjo una infracción. Si estás en el Reino Unido, puedes reclamar ante la Information Commissioner’s Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF.

Usa los controles de la app descritos en la sección 13 cuando cubran la acción solicitada. Para eliminar la cuenta sin usar la App, escribe a [email protected]. También se pueden enviar ahí otras solicitudes de derechos; esta vía de eliminación de cuenta no ofrece por sí misma una herramienta aparte de acceso, exportación o corrección.

Si un responsable no atiende una solicitud del RGPD, el artículo 12 le obliga a explicar el motivo en el plazo de un mes y a indicar las vías de reclamación y de recurso judicial disponibles. Esas vías siguen disponibles aunque no vuelvas a ponerte en contacto con el responsable.

Verificación de identidad. La eliminación dentro de la app se basa en tu sesión autenticada. Para una solicitud por correo, confirmamos que controlas el correo vinculado a la cuenta. Si no puedes acceder a él, estudiamos si es posible otra forma de verificar la titularidad antes de eliminar la cuenta. No te pedimos tu contraseña ni tus registros de salud para tramitar la solicitud.

15. Cómo protegemos tus datos

Las contraseñas se convierten en hash con bcrypt, nunca se almacenan en texto plano y nunca se guardan en tu dispositivo.
La base de datos local de tu dispositivo está cifrada, con una clave guardada en el almacén de claves de la plataforma que no migra a otro dispositivo.
Los tokens de autenticación se guardan en el almacenamiento seguro de tu dispositivo, el llavero de iOS o el almacén respaldado por Android Keystore.
La App habla con nuestros servidores por HTTPS, y ambas plataformas bloquean por defecto las conexiones sin cifrar; no hemos añadido ninguna excepción a eso ni en iOS ni en Android.
Nuestra base de datos funciona dentro de Google Cloud, accesible solo a través de un socket privado de Cloud SQL, con las credenciales guardadas en Google Secret Manager.
No escribimos en nuestros registros de aplicación los valores que registras: lecturas de glucosa, dosis de insulina. Una línea de registro de error anota el código de estado, la ruta, la hora y el mensaje de error, que en una solicitud rechazada nombra los campos que no pasaron la validación. No contiene el cuerpo de la solicitud.
Las notificaciones muestran por defecto un texto genérico, de modo que una notificación no pone tus datos de salud en la pantalla de bloqueo.
El acceso a la base de datos de producción está limitado a las personas que operan el servicio, lo que significa que podemos leerla. Lo que la protege frente a todos los demás es el control de acceso y el cifrado en tránsito y en reposo.

Ningún sistema es perfectamente seguro. Las medidas anteriores son lo que hacemos para limitar hasta dónde quedan expuestas las partes sensibles de tus datos.

Un incidente que afecte a datos personales puede dar lugar a una notificación a las autoridades de control o a las personas afectadas según los artículos 33 y 34 del RGPD, la Health Breach Notification Rule de la FTC u otra ley aplicable. Cada régimen tiene su propio ámbito y plazo, y esas obligaciones legales se aplican con independencia de esta política.

16. Menores

glumea no está dirigida a menores. Debes tener al menos 16 años para usar la App. Es una condición del servicio sea cual sea el lugar. No ofrecemos ninguna vía de autorización parental. El proceso de eliminación de cuenta de la app y los límites de la sección 12 se aplican a cualquier cuenta identificada como perteneciente a una persona menor de 16 años. Las dudas sobre una cuenta de un menor pueden enviarse a [email protected].

17. Notas para usuarios en Estados Unidos

La ley de privacidad de EE. UU. varía según el estado, y su aplicabilidad depende de la residencia, de los umbrales legales y del tipo de datos. Los controles de la app descritos en la sección 13 están disponibles con independencia de esos umbrales. Los derechos legales aplicables siguen vigentes aunque el producto actual carezca de un flujo de solicitudes aparte.

HIPAA: glumea es un producto directo al consumidor. No prestamos asistencia sanitaria, no tramitamos reclamaciones y no tenemos ningún contrato con un plan de salud ni con un profesional sanitario para tratar datos en su nombre, así que no actuamos en ninguna de las dos funciones que regula la HIPAA, la de «entidad cubierta» o la de «socio comercial» («business associate»), y no afirmamos cumplir la HIPAA. Los registros que tu propio médico tiene sobre ti están cubiertos por la HIPAA en sus manos; eso es independiente de la copia que guardas en glumea. Las normas de EE. UU. que seguimos para glumea son la norma de notificación de brechas de salud de la FTC y las leyes estatales de privacidad de la salud que se indican a continuación.
California (CCPA/CPRA): la aplicabilidad depende de los umbrales legales de la empresa. Los datos aquí descritos pueden incluir información personal sensible. No vendemos información personal ni la compartimos para publicidad conductual entre contextos. Si se aplica la CCPA, sus normas de acceso, corrección, eliminación, portabilidad, exclusión voluntaria y no discriminación se aplican con independencia de esta política. Los controles de la app y la solicitud de eliminación de cuenta por correo siguen disponibles sea cual sea el umbral.
Washington (My Health My Data Act): los datos que registras son «datos de salud del consumidor». Washington exige una política aparte para ellos; consulta la Política de privacidad de datos de salud del consumidor. Describe las categorías, las fuentes, los fines, los destinatarios, los derechos legales y los límites operativos actuales del proceso de solicitudes y recursos.
Nevada (ley de datos de salud del consumidor, SB 370 de 2023): los datos que registras son también «datos de salud del consumidor» según la ley de Nevada. Tienes derecho a confirmar si los recogemos, los compartimos o los vendemos, a obtener una lista de los terceros con quienes se han compartido o a quienes se han vendido, a que se eliminen y a retirar tu consentimiento, que Nevada trata como dos consentimientos separados, uno para la recogida y otro para la comunicación. La ley de Nevada la aplica el Fiscal General. Nuestro Aviso de privacidad de datos de salud del consumidor de Nevada expone esos derechos, los plazos que se les aplican, que para una eliminación son más cortos que los de Washington, y las cuatro divulgaciones que pide Nevada.
Solicitudes y recursos. La ley estatal aplicable puede exigir una explicación por escrito, una vía de recurso e información sobre cómo presentar una queja ante el fiscal general del estado. Actualmente no hay implementado en [email protected] ningún flujo de recurso por correo aparte, así que el proceso actual no ofrece esa vía donde se exige. Los requisitos de Washington se describen en la Política de privacidad de datos de salud del consumidor.
Otros derechos aplicables según la ley estatal no quedan limitados por esta política.

18. El sitio web glumea.com

El Sitio web es un sitio estático que aloja información sobre glumea y estos documentos legales. Es deliberadamente mínimo:

Sin cookies.
Sin análisis y sin solicitudes a orígenes de terceros. Todo lo que la página necesita, fuentes y scripts incluidos, se sirve desde el propio glumea.com, y la política de seguridad de contenido del sitio bloquea de plano cualquier otro origen. La propia página la entrega nuestro proveedor de alojamiento, que necesariamente ve la solicitud; el último punto de esta lista dice quién es y qué registra. El sitio sí ejecuta un poco de JavaScript propio: dos fragmentos en línea que aplican tu tema y te envían al idioma correcto, además de unos pocos archivos empaquetados detrás del menú de navegación, los selectores de tema y de idioma, y la animación que revela bloques al desplazarte. Nada de eso envía nada a ninguna parte.
Sin rastreo entre sitios y, por tanto, nada que una señal de No rastrear o de Global Privacy Control pueda desactivar. El Sitio web no establece cookies de publicidad ni de análisis, no hace solicitudes a terceros y no vendemos ni compartimos información personal.
El localStorage del navegador se usa solo para preferencias funcionales (tu elección de tema y de idioma). Esos valores permanecen en tu navegador y no se nos transmiten. Solo se establecen porque elegiste un tema o un idioma, y por eso no hace falta un banner de consentimiento para ellos.
El sitio lo sirve Firebase Hosting (Google). Como la mayoría de los proveedores de alojamiento web, el proveedor puede registrar registros de servidor estándar, dirección IP, hora de la solicitud, tipo de navegador, por seguridad y para operar el servicio. Nos apoyamos en el interés legítimo (artículo 6(1)(f) del RGPD) para ello, en concreto mantener el sitio disponible y protegerlo de abusos, y los registros se conservan solo el tiempo necesario para esos fines.

19. Cambios en esta política

La versión vigente se publica aquí con su fecha de entrada en vigor. La ley aplicable determina si un cambio requiere un aviso previo, un nuevo consentimiento u otra acción. Publicar una política actualizada no autoriza por sí mismo un nuevo fin que requiera consentimiento u otra base jurídica.

20. Idioma

Esta política se publica en inglés. La versión en inglés es la jurídicamente vinculante. Las traducciones a otros idiomas se publican para que puedas leer la política en tu propio idioma. Cuando una traducción y el texto en inglés difieren, prevalece el texto en inglés.

La excepción es la propia ley. Cuando el país en el que vives otorga un estatus propio al idioma en el que se te informó, como hace la legislación de protección de los consumidores de varios países, se aplica esa norma en lugar de esta, y nada de lo aquí dicho te quita un derecho que tengas según ella.

Una traducción se publica cuando está lista, por lo que puede ir por detrás del texto en inglés tras una actualización. Si encuentras un lugar donde una traducción y el texto en inglés dicen cosas distintas, avísanos en [email protected].

21. Contacto

Preguntas, dudas o solicitudes sobre tus datos:

Correo electrónico: [email protected]
Correo postal: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polonia

Documentos relacionados: Condiciones del servicio, Aviso médico y, para residentes en Washington, nuestra Política de privacidad de datos de salud del consumidor, o para residentes en Nevada nuestro Aviso de privacidad de datos de salud del consumidor de Nevada.