Politique de confidentialité des données de santé des consommateurs

À quelles questions ce document répond

Voici la politique sur les données de santé des consommateurs qu’exige le Washington My Health My Data Act. Elle est volontairement restreinte, car cette loi demande un document autonome qui ne contienne que ce qu’elle exige.

• Qu’est-ce qui compte comme mes données de santé ici ? Sections 2 et 3.
• D’où viennent-elles, et qui d’autre les voit ? Sections 4 et 5.
• Que puis-je désactiver ? Section 7.
• Quels sont mes droits, et de combien de temps disposez-vous ? Sections 8.1 et 8.2.
• Qu’atteint réellement la suppression ? Section 9.
• Et si vous refusez ? Section 10.

Si vous êtes dans le Nevada, vos droits et vos délais sont différents et sont exposés dans notre Avis de confidentialité des données de santé des consommateurs du Nevada. Tout ce que contiennent les sections 2 à 5 et 9 ci-dessous s’applique aussi à vous, et cet avis y renvoie.

Tout le reste concernant vos données, bases juridiques, sécurité, enfants, transferts internationaux, site web, figure dans la Politique de confidentialité, qui s’applique aussi à vous.

1. Qui nous sommes et ce que couvre cette politique

Ce document ne porte que sur les données de santé de consommateur. La loi de l’État de Washington exige qu’il soit tenu à part de notre Politique de confidentialité générale, il est donc plus restreint : il ne reprend pas les sections de la Politique de confidentialité sur les bases juridiques, la sécurité, les enfants, les transferts internationaux ou le site web glumea.com. Pour tout cela, lisez la Politique de confidentialité.

Ce qu’il couvre, c’est l’application glumea : ce qu’elle collecte, où cela va, et ce que vous pouvez désactiver ou faire supprimer. Paweł Milewski Software Development (l’Exploitant, « nous », « notre », « nos ») fournit glumea (l’Application) et glumea.com (le Site web) ; cette politique porte sur l’Application. Notre adresse postale et notre adresse e-mail figurent à la section 13.

Deux autres documents s’appliquent en parallèle de cette politique et de la Politique de confidentialité : les Conditions d’utilisation et l’Avertissement médical.

Elle s’applique à vous si vous résidez dans l’État de Washington, ou si vos données de santé de consommateur ont été collectées alors que vous vous trouviez dans l’État de Washington (My Health My Data Act, RCW 19.373).

Le Nevada a son propre avis. La loi du Nevada (NRS 603A.400 et suivants) vous donne des droits différents, avec des délais différents, et nous demande quatre informations que Washington ne demande pas, c’est pourquoi elles figurent dans l’Avis de confidentialité des données de santé des consommateurs du Nevada plutôt qu’ici. Les sections 2 à 5 et 9 de ce document décrivent ce que glumea fait des données de santé, et elles s’appliquent où que vous viviez.

2. Ce que nous entendons par données de santé de consommateur

Selon le Washington My Health My Data Act, les données de santé de consommateur sont des informations personnelles qui sont liées ou raisonnablement susceptibles d’être liées à vous et qui identifient votre état de santé physique ou mentale passé, présent ou futur, y compris expressément les fonctions corporelles, les signes vitaux, les mesures, les diagnostics, le traitement et les médicaments.

La plupart de ce que glumea enregistre entre dans cette définition. Une mesure de glycémie, une dose d’insuline et le nom d’un médicament en sont des exemples évidents.

Parce que glumea est une application pour le diabète, le fait que vous ayez un compte révèle lui-même des informations de santé. Nous traitons donc l’identifiant de votre compte et l’adresse e-mail de votre compte comme des données de santé de consommateur pour les besoins de cette politique, même s’il ne s’agit pas de mesures de santé. Pour la même raison, nous traitons comme des données de santé de consommateur l’identifiant d’appareil pseudonymisé et les journaux de requêtes du serveur décrits plus bas.

3. Les catégories que nous collectons, et pourquoi

Catégorie	Ce qu’elle contient	Pourquoi nous la collectons
Mesures de glycémie	Valeur, date et heure, étiquettes de contexte (y compris les étiquettes que vous saisissez vous-même), notes en texte libre	Pour vous montrer vos mesures, vos graphiques et vos statistiques de Temps dans la cible, et pour programmer les rappels de nouveau contrôle décrits dans l’Avertissement médical
Entrées d’alimentation et de glucides	Glucides, protéines, lipides et calories facultatifs, et le nom que vous saisissez	Pour vous permettre de noter et de relire ce que vous avez mangé à côté de vos mesures
Doses d’insuline, de comprimés et de médicaments injectables	Unités, nombres, heures de prise, et médicament auquel elles se rapportent	Pour vous permettre de noter et de relire votre traitement
Vos catalogues de médicaments	Noms de médicaments (par exemple une marque d’insuline), type, dosage, intervalle de prise et paramètres pharmacocinétiques	Pour que les doses puissent être notées pour un médicament réel et que l’Application puisse les afficher correctement
Programmes de médicaments	Quel médicament, l’heure de la journée, les jours de la semaine, et si le rappel peut se déclencher pendant les Heures silencieuses	Pour délivrer les rappels de médicaments que vous configurez
Rappels de contrôle et réglages de notification	Les heures et les jours de la semaine de vos rappels de contrôle de glycémie, votre plage d’Heures silencieuses, et si les notifications affichent les détails	Pour délivrer les rappels que vous avez demandés, et pour conserver les réglages des rappels qui ne sont pas encore développés. Les rappels de contrôle de glycémie programmés ne sont pas délivrés aujourd’hui : vous pouvez régler les heures, et rien n’arrive. Les rappels de médicaments et les rappels de nouveau contrôle après une mesure très basse ou très élevée sont délivrés. Vos réglages d’Heures silencieuses et de détail des notifications restent sur votre appareil
Mesures corporelles	Historique du poids et taille	Pour montrer le poids dans le temps et afficher vos entrées dans les unités que vous avez choisies
Profil de diabète et de traitement	Le pseudonyme que vous choisissez, votre âge, votre sexe si vous l’indiquez, le type de diabète, le mode d’administration de l’insuline, et si vous vous traitez avec des comprimés, des injectables ou un régime alimentaire	Pour configurer l’Application selon la façon dont vous gérez réellement votre diabète
Réglages thérapeutiques	Votre plage cible de glycémie, votre facteur de sensibilité à l’insuline (ISF) et votre ratio insuline/glucides (ICR)	Pour afficher votre plage cible sur les graphiques et garder vos chiffres au même endroit. Votre plage cible est inscrite dans le rapport de glycémie PDF si vous en générez un, et votre ratio insuline/glucides l’est aussi lorsque la période du rapport contient une dose d’insuline. L’export CSV ne contient ni l’un ni l’autre, et le facteur de sensibilité à l’insuline ne figure ni dans le CSV ni dans le PDF, il figure dans l’archive .glumea chiffrée, qui contient tout votre compte. L’Application ne les utilise jamais pour calculer ou recommander une dose. Le facteur de sensibilité à l’insuline sert toutefois à une autre chose : la formulation sur le risque d’hypo affichée à côté de l’insuline active, comme le décrit l’Avertissement médical
Données importées depuis Apple Health ou Health Connect	Enregistrements de glycémie, de poids et de glucides	Uniquement si vous les connectez : pour vous éviter de ressaisir des mesures que vos autres appareils ont déjà enregistrées. Les enregistrements importés deviennent des entrées ordinaires et suivent le même chemin que tout ce que vous saisissez, y compris vers nos serveurs lorsque la synchronisation cloud est activée
Valeurs que l’Application calcule sur votre appareil	Insuline active estimée, ainsi que la formulation sur le risque d’hypo et la fourchette approximative de baisse affichées à côté ; glycémie moyenne et sa dispersion ; Temps dans la cible ; HbA1c estimée (GMI) ; l’heure suggérée pour votre prochaine mesure ; et l’étiquette Bonne / Acceptable / Critique de votre dernière mesure	Pour vous montrer un résumé de ce que vous avez noté. Elles sont calculées sur votre appareil, et l’Avertissement médical expose ce qu’est et n’est pas chacune d’elles
Identifiant de compte et e-mail	L’UUID de votre compte et l’adresse e-mail de connexion	Pour vous donner un compte et y synchroniser vos entrées
Statut d’abonnement	L’identifiant de votre compte et si glumea+ est actif, tel que signalé par Apple ou Google via RevenueCat	Pour débloquer ce que vous avez payé. Il ne contient ni mesures, ni médicaments, ni entrées
Événements d’analyse produit	Qu’une entrée d’un type donné a été enregistrée (glycémie, alimentation, médicament ou poids ; l’insuline, les comprimés et les injectables comptent tous comme médicament), si vous l’avez enregistrée depuis le formulaire ou depuis le bouton d’action d’un rappel, combien de lignes cet enregistrement a écrites, et si vous l’avez notée dans les quinze minutes environ suivant le moment, plus tard le même jour, ou avec une date antérieure ; que vous avez ouvert le formulaire d’entrée, et sur quel type il s’est ouvert ; que l’Application a été lancée, et séparément qu’elle a été lancée pour la première fois après l’installation ; que vous avez terminé l’inscription ou la connexion, et qu’un code envoyé par e-mail a été vérifié ou refusé, avec le parcours auquel il appartenait ; quelles étapes d’accueil vous avez terminées, y compris celles sur le type de diabète et le traitement mais pas l’étape que seuls voient les utilisateurs d’insuline, et que vous avez terminé votre profil ; quels écrans vous avez ouverts, sous forme de noms de routes fixes, un écran que seul un type de traitement atteint étant signalé comme l’écran qui le précède ; que vous avez appuyé sur un rappel, et sa catégorie générale, jamais une alerte de glycémie ; que l’autorisation de notification vous a été demandée, et si vous l’avez accordée ; si vous avez connecté Apple Health ou Health Connect, si le système d’exploitation a accordé ou refusé l’autorisation, que vous avez demandé un import, et qu’un import a eu lieu avec ce qui l’a déclenché, jamais le nombre d’enregistrements lus ; que vous avez généré un export, dans quel format, et si vous l’avez partagé ; que vous avez désactivé l’analyse ; les événements d’abonnement et d’achat ; et votre langue, votre thème, vos préférences d’unités et votre statut d’abonnement. Jamais une valeur, un nom, une note, ni rien d’autre de ce que vous avez saisi. Les événements après connexion utilisent l’identifiant du compte ; les événements avant connexion utilisent un identifiant d’appareil pseudonymisé	Pour comprendre quelles parties de l’Application sont utilisées. Ils ne disent pas quel médicament vous prenez, quel traitement vous utilisez ni si une alerte de glycémie s’est déclenchée, mais ils sont liés à votre utilisation d’une application pour le diabète. Collectés uniquement après que vous avez accepté l’analyse
Informations techniques et sur l’appareil	L’identifiant d’appareil pseudonymisé utilisé pour l’analyse avant connexion ; le modèle de l’appareil, le système d’exploitation, la version de l’application, la release, le build et des valeurs similaires ajoutés par les SDK de PostHog, Sentry et RevenueCat ; et l’adresse réseau vue par leurs serveurs	Les SDK collectent ces valeurs, et seulement après que vous avez accepté l’analyse ou les diagnostics. Aucun de ces champs n’est une mesure, un médicament ou une valeur que vous avez saisis
Journaux de requêtes du serveur	L’adresse, le chemin et l’heure des requêtes que votre appareil envoie à nos serveurs, et, lorsqu’une requête échoue, le statut, le chemin, l’heure et le message d’erreur	Pour exploiter le serveur et enquêter sur les échecs. Ils ne contiennent ni entrées, ni médicaments, ni mesures, ni rien de ce que vous avez saisi. Ils sont énumérés ici parce qu’une requête vers le serveur de glumea est liée à votre utilisation d’une application pour le diabète

Nous utilisons les données de santé de consommateur pour ces finalités et aucune autre. Nous ne les utilisons pas à des fins de publicité, de ciblage publicitaire, de profilage, de décisions de crédit ou d’assurance, ni de recherche, et nous ne les utilisons pas pour prendre des décisions automatisées vous concernant.

Une partie de ce qui précède ne quitte jamais votre appareil : les heures de vos rappels de contrôle, vos Heures silencieuses, votre réglage du détail des notifications et vos réglages de connexion santé sont stockés localement uniquement et ne sont pas envoyés à nos serveurs. Vos programmes de médicaments font exception : ils appartiennent au carnet, ils sont donc copiés sur nos serveurs lorsque Synchronisation cloud est activée, parce qu’un rappel de médicament doit survivre à un changement de téléphone.

4. D’où elles viennent

Il y a six sources :

• Vous, lorsque vous saisissez des entrées dans l’Application ou configurez votre profil, vos médicaments et vos rappels.
• La plateforme de santé de votre appareil : Apple Health ou Health Connect, lorsque vous la connectez et accordez l’autorisation du système d’exploitation. C’est en lecture seule : glumea n’écrit jamais rien en retour dans Apple Health ni dans Health Connect, et sur iOS il ne dispose d’aucune autorisation (entitlement) qui le lui permettrait.
• L’Application elle-même, lorsqu’elle calcule des valeurs sur votre appareil à partir de ce que vous avez saisi.
• Apple, Google et RevenueCat, qui nous indiquent si votre abonnement glumea+ est actif. C’est un fait de paiement rattaché à l’identifiant de votre compte ; il ne contient ni mesures, ni médicaments, ni entrées. Il nous parvient à la fois dans l’Application et sous la forme d’un message de serveur à serveur de RevenueCat vers notre serveur.
• Les SDK de PostHog, Sentry et RevenueCat à l’intérieur de l’Application, qui collectent d’eux-mêmes les valeurs d’appareil et de réseau énumérées à la section 3. Nous ne les définissons pas.
• Notre plateforme d’hébergement et notre serveur, qui enregistrent les journaux de requêtes du serveur décrits à la section 3.

Apple Health et Health Connect comptent comme une source. Les mesures qu’elles contiennent ont été enregistrées par autre chose, et les importer les fait entrer dans glumea comme des entrées ordinaires, y compris vers nos serveurs lorsque la synchronisation cloud est activée.

Nous n’achetons pas de données de santé de consommateur. En dehors de la plateforme de santé que vous connectez et de ce signal d’abonnement, nous n’en recevons de personne, ni de courtiers en données, ni de réseaux publicitaires, ni de prestataires de soins, ni d’assureurs.

5. Qui d’autre les traite, et ce qu’ils reçoivent

Rien dans cette section n’est une vente. Le tableau identifie les entreprises qui exploitent des parties de glumea et les données que chaque service peut recevoir. Apple et Google y figurent par souci d’exhaustivité : elles exploitent les boutiques, détiennent leurs propres enregistrements d’achat et agissent de façon indépendante pour ces données de boutique. Un SDK de prestataire à l’intérieur de l’Application peut aussi collecter des informations sur l’appareil et le réseau que nous ne configurons ni ne recevons. Le SDK de RevenueCat le fait, et RevenueCat décrit ce traitement dans sa propre politique de confidentialité.

Qui	Ce qu’ils reçoivent	Pourquoi	Contact
Google Cloud (Google), Cloud Run et Cloud SQL, région europe-west1	L’adresse e-mail de votre compte, votre profil et vos réglages thérapeutiques, qui sont conservés sur nos serveurs que vous utilisiez ou non la synchronisation cloud ; et, lorsque Synchronisation cloud est activée, votre carnet également : entrées, catalogues de médicaments et programmes de médicaments	Ils hébergent notre serveur et notre base de données. C’est là que se trouve la copie serveur de vos données. Google Cloud Logging conserve aussi nos journaux de requêtes du serveur, décrits à la section 3	support.google.com/policies/contact/general_privacy_form
Zoho ZeptoMail	Si l’envoi d’e-mails en production est activé : l’adresse e-mail du destinataire et le message de vérification, de réinitialisation de mot de passe ou de changement d’e-mail. Aucune entrée, aucun médicament, aucune mesure	Pour délivrer les e-mails de compte lorsque cette fonction est activée	[email protected]
PostHog (EU Cloud)	Tant que l’analyse est activée : les événements énumérés plus haut, l’identifiant du compte après la connexion ou un identifiant d’appareil pseudonymisé avant la connexion, des attributs de préférence sélectionnés, les propriétés techniques ajoutées par le SDK, et l’adresse réseau : PostHog la reçoit avec chaque requête et en déduit une localisation approximative ; nous n’avons pas activé l’option de PostHog pour la supprimer, elle est donc stockée avec l’événement	Analyse produit	[email protected]
Sentry (diagnostics, région Union européenne)	Tant que les diagnostics sont activés : des rapports de plantage et d’erreur filtrés, des données d’appareil et d’application ajoutées par le SDK, l’adresse réseau (l’Application est configurée pour ne pas l’envoyer, aucune adresse IP n’est donc jointe au rapport, mais les serveurs de Sentry voient nécessairement l’adresse d’où le rapport arrive), et des signaux de santé de release de la plateforme qui peuvent contourner le filtre de l’Application	Pour trouver et corriger les plantages	[email protected]
RevenueCat	L’identifiant de votre compte et l’état de votre achat et de votre abonnement glumea+. Notre code n’y joint rien d’autre : nous ne définissons ni adresse e-mail, ni nom, ni identifiant d’appareil, ni attribut d’abonné propre. RevenueCat peut détenir ses propres attributs d’abonné vous concernant, et lorsque c’est le cas ils nous reviennent dans les messages qu’il envoie à notre serveur, que nous stockons à leur arrivée, la section 9 dit ce qu’il en advient. Leur propre SDK collecte de lui-même certaines informations sur l’appareil et le réseau que notre code ne définit ni ne supprime : l’adresse réseau, dont il déduit une localisation approximative, le type d’appareil, le système d’exploitation et la version de l’application, et l’historique d’achats de la boutique qu’il lit ; notre code n’active pas sa collecte d’identifiant d’appareil, aucun identifiant publicitaire n’est donc joint. Aucune entrée, aucun médicament, aucune mesure	Pour indiquer à l’Application si votre abonnement est actif	[email protected]
Apple et Google, qui exploitent les boutiques par lesquelles glumea+ est vendu	Enregistrements d’achat et d’abonnement. Aucune entrée, aucun médicament, aucune mesure	Ils encaissent le paiement et détiennent la relation de facturation avec vous ; qui est le vendeur officiel dépend de la boutique et de votre territoire, comme l’expliquent les Conditions d’utilisation. Nous ne voyons jamais les données de votre carte	apple.com/legal/privacy/contact · support.google.com/policies/contact/general_privacy_form

Aucune société affiliée de Paweł Milewski Software Development ne reçoit de données de santé de consommateur, et nous ne les communiquons ni aux annonceurs, ni aux courtiers en données, ni aux assureurs, ni aux employeurs. Une décision de justice ou administrative contraignante peut exiger une communication. Toute notification concernant une telle communication est régie par la loi applicable.

Le tableau indique pourquoi chaque service est utilisé et ce qu’il peut recevoir. L’Application n’a pas d’interrupteur de partage distinct prestataire par prestataire ; les contrôles disponibles sont décrits à la section 7. Les conditions et les politiques de confidentialité des prestataires régissent aussi les données qu’un SDK collecte indépendamment des champs configurés par notre code.

Deux points sur ce que l’analyse et les diagnostics peuvent et ne peuvent pas transporter :

• L’analyse ne peut pas recevoir une mesure, une note, un nom de médicament, une étiquette saisie par l’utilisateur ni un e-mail via le schéma d’événements de l’Application. L’Application utilise des listes autorisées fixes d’événements et de propriétés. Les entrées de médicaments de toute sorte sont signalées comme un seul type, et les appuis sur les alertes de glycémie ne sont pas enregistrés, de sorte que les événements ne révèlent ni votre traitement ni vos mesures. L’analyse ne collecte rien tant que vous ne l’avez pas acceptée.
• Les rapports de diagnostic sont reconstruits à partir d’une liste autorisée avant d’être envoyés, et le rapport ne contient aucun utilisateur, aucun identifiant de compte et aucun texte de message. Deux limites : l’étiquette qui nomme l’opération échouée peut révéler quelle catégorie de données une opération concernait (par exemple un import de glycémie), jamais une valeur ; et les événements de plantage natif, d’application qui ne répond plus et de watchdog sont produits par le gestionnaire de plantage du système d’exploitation et peuvent atteindre Sentry sans passer par ce filtre.

5.1 Les copies que vous faites vous-même

Les rapports de glycémie PDF et CSV, et l’archive .glumea chiffrée, vont là où vous les envoyez. Dès que vous confiez un fichier à une autre application, à un e-mail ou à une personne, il échappe à notre contrôle. L’archive .glumea est chiffrée avec un mot de passe que vous seul connaissez, nous ne pouvons pas l’ouvrir, et personne d’autre non plus à qui vous ne donnez pas le mot de passe.

5.2 Sauvegardes de l’appareil

La base de données locale de l’Application est chiffrée sur votre appareil avec une clé conservée dans le trousseau de clés de la plateforme, qui ne quitte jamais cet appareil. Sur Android, la sauvegarde et le transfert d’appareil à appareil sont entièrement désactivés pour glumea. Sur iOS, une copie du fichier de base de données peut tout de même être incluse dans votre sauvegarde iCloud, mais elle ne peut pas être lue sans la clé. Apple et Google ne reçoivent donc pas de données de santé de consommateur lisibles par ce chemin, et passer à un nouveau téléphone doit se faire par la synchronisation cloud ou une archive .glumea.

6. Nous ne vendons pas les données de santé de consommateur

Nous ne vendons pas de données de santé de consommateur et nous n’en avons jamais vendu. La loi de l’État de Washington exige de vous une « autorisation valide » signée distincte avant toute vente ; nous n’en détenons aucune et ne vous en avons pas demandé. Une vente ne pourrait avoir lieu que par une autorisation que vous choisiriez de donner, qui doit dire exactement ce qui est vendu et à qui, et que vous pouvez révoquer.

glumea ne contient aucun SDK publicitaire, aucun identifiant publicitaire, aucun SDK d’attribution ou de mesure, et aucun SDK de localisation. glumea ne demande jamais l’autorisation de localisation et ne collecte aucune donnée de localisation précise : aucune des deux versions pour les plateformes ne déclare d’autorisation de localisation, l’Application ne peut donc pas lire du tout la position de votre appareil. La seule chose qui porte un signal géographique est l’adresse réseau d’où votre appareil se connecte, que nos serveurs et les prestataires de la section 5 voient comme tout service web, et dont on peut déduire une région approximative. Nous ne l’utilisons pas pour vous localiser et nous n’en tirons ni ne stockons de localisation. Nous ne traitons pas les données de santé de consommateur à des fins de publicité, nous ne les partageons pas pour de la publicité comportementale inter-contextes, et nous n’exploitons pas, et ne pourrions pas exploiter, de géorepérage autour d’un établissement de santé.

7. Pourquoi nous les collectons, et ce que vous pouvez désactiver

La plupart des entrées de santé sont fournies délibérément, en les saisissant ou en les important. L’analyse et les diagnostics sont aussi facultatifs : les deux sont désactivés jusqu’à ce que vous les acceptiez à la fin de l’accueil ou les activiez dans les Paramètres, et aucun des deux SDK n’est démarré avant.

Synchronisation cloud : le fait que vos entrées soient ou non copiées sur nos serveurs est une fonction glumea+, et elle est désactivée tant que vous ne l’activez pas. L’activer demande deux étapes. Sans abonnement glumea+ actif, l’Application vous montre l’écran d’abonnement au lieu d’activer quoi que ce soit. Avec un abonnement, elle vous demande ensuite de confirmer, dans une étape distincte, que vous acceptez que vos données de santé soient stockées sur nos serveurs. Cette confirmation est votre consentement, elle est demandée chaque fois que l’interrupteur est activé et pas seulement la première fois, et désactiver à nouveau l’interrupteur le retire. Vous la trouverez dans la feuille Synchronisation cloud, qui s’ouvre depuis le bouton cloud en haut de l’écran Résumé ou Historique ; l’interrupteur qu’elle contient s’appelle Synchronisation. Lorsqu’il est désactivé, les nouvelles entrées restent sur votre appareil. Les entrées déjà présentes sur nos serveurs y restent jusqu’à ce que vous les supprimiez, et réactiver la synchronisation renvoie les entrées conservées sur votre appareil.

Votre réponse à cet interrupteur est conservée sur votre compte, sur nos serveurs, plutôt que sur le téléphone. Elle survit à la déconnexion et vous suit sur un nouvel appareil, et la désactivation est enregistrée de la même façon, si vous la désactivez hors connexion, l’Application garde cette réponse et la transmet à la première occasion au lieu de l’abandonner. Si glumea+ se termine, les nouvelles entrées cessent d’être copiées vers nos serveurs tandis que les modifications et suppressions d’entrées déjà présentes continuent d’être synchronisées, et la feuille indique Les modifications et suppressions continuent d’être synchronisées · Les nouvelles entrées restent sur cet appareil : rien n’est supprimé, votre réponse enregistrée est laissée telle quelle, et vous réabonner reprend la sauvegarde complète sur cette réponse sans vous le demander une seconde fois. Désactiver l’interrupteur, et le lien Supprimer les données du serveur à côté, restent disponibles qu’un abonnement soit en cours ou non.

Trois choses sont à vous de décider, dans l’Application, à tout moment :

• Apple Health / Health Connect : désactivé tant que vous ne le connectez pas, et chacun des trois types de données peut être désactivé individuellement. Paramètres → Intégrations → Apple Health (sur iPhone) ou Health Connect (sur Android).
• Statistiques d’utilisation : Paramètres → Données et confidentialité → Confidentialité et diagnostics. Désactivées tant que vous ne les acceptez pas. Les désactiver change la préférence enregistrée, mais des événements déjà en file d’attente peuvent encore être transmis selon le calendrier du SDK.
• Rapports d’erreur : l’interrupteur distinct sur le même écran. Également désactivés tant que vous ne les acceptez pas. Se déconnecter efface les deux réponses, mais un SDK déjà en cours d’exécution continue de fonctionner jusqu’à la fermeture de l’Application.

La commande Supprimer les données du serveur de l’Application exige une connexion active. Si la session a expiré, la feuille Synchronisation cloud indique En pause et la commande exige une connexion avant de pouvoir s’exécuter. Des règles impératives interdisent de sanctionner un retrait valide du consentement.

Votre profil de diabète et de traitement et vos réglages thérapeutiques ne sont pas couverts par les interrupteurs ci-dessus. Supprimer le compte est le seul moyen mis en œuvre de les retirer de notre base de production. Aucune procédure de suppression du seul profil n’est actuellement disponible via [email protected].

8. Vos droits

La section 8.1 énonce les droits que vous donne l’État de Washington, et la section 8.2 explique comment les exercer. Si vous êtes dans le Nevada, vos droits et vos délais figurent plutôt dans l’Avis de confidentialité des données de santé des consommateurs du Nevada.

8.1 Si vous êtes dans l’État de Washington

En vertu du My Health My Data Act, vous avez le droit de :

• Confirmer si nous collectons, partageons ou vendons vos données de santé de consommateur, et d’y accéder, y compris aux tiers et sociétés affiliées avec lesquels elles ont été partagées et à un moyen de les contacter. La liste actuellement publiée des destinataires et de leurs contacts est le tableau de la section 5.
• Retirer votre consentement à la collecte de vos données de santé de consommateur et à leur partage (section 7).
• Supprimer vos données de santé de consommateur.

La loi de l’État de Washington exige une réponse dans les 45 jours suivant la réception d’une demande. Elle permet une période supplémentaire de 45 jours lorsque c’est raisonnablement nécessaire, avec notification et motif pendant la première période. Elle fixe aussi les règles sur les frais et sur les demandes manifestement infondées, excessives ou répétitives. Ces exigences légales s’appliquent indépendamment de cette politique.

8.2 Comment exercer ces droits

• Dans l’Application : Supprimer le compte (Paramètres → Compte) supprime définitivement votre compte et tout ce qui y est synchronisé de nos serveurs, et efface la base de données locale de votre appareil. Le lien Supprimer les données du serveur (dans la feuille Synchronisation cloud ; il fonctionne une fois la synchronisation désactivée) supprime la copie serveur de vos entrées, de vos catalogues de médicaments et de vos programmes de médicaments, tout en conservant votre compte et la copie présente sur votre appareil. Il ne va pas plus loin que cela : votre profil de diabète et de traitement et vos réglages thérapeutiques restent sur nos serveurs jusqu’à ce que vous supprimiez votre compte.
• Par e-mail : demandez la suppression du compte à [email protected], même si vous n’avez plus l’Application. Nous vérifions que le compte est bien le vôtre avant de le supprimer. Supprimer votre compte glumea décrit les deux démarches. Aucune procédure distincte et personnalisée d’accès ou de recours hors de l’Application n’est encore mise en œuvre, cette démarche par e-mail ne satisfait donc pas à elle seule tous les droits de demande prévus par l’État de Washington.

Lorsque vous supprimez dans l’Application, la suppression dans les tables de comptes de production a lieu au moment où vous la confirmez. La section 9 indique jusqu’où va cette suppression et ce qui lui survit.

9. Ce qu’atteint réellement la suppression

Le tableau ci-dessous expose comment une suppression est appliquée dans chaque système et chez chaque prestataire de services.

Destination	Ce qui se passe
Votre appareil	Supprimer une entrée la retire de cet appareil, et de cet appareil seulement. La copie serveur reste, l’entrée peut donc revenir après une réinstallation, sur un nouveau téléphone, ou après que vous vous êtes déconnecté puis reconnecté. Seuls Supprimer les données du serveur ou la suppression de votre compte vident le serveur. Les mesures importées depuis Apple Health ou Health Connect ne peuvent pas être supprimées une par une dans l’Application. La suppression du compte dans l’Application et la déconnexion effacent la base de données locale de cet appareil ; une demande par e-mail ne peut pas l’effacer à distance. La base de données est chiffrée avec une clé liée à l’appareil, toute copie qui quitte cet appareil est donc illisible
Notre base de données de production (Google Cloud, europe-west1)	Lorsque vous supprimez votre compte, la ligne du compte et tout ce qui y est rattaché sont supprimés définitivement et immédiatement, sans récupération possible. Une entrée isolée est différente : si la suppression d’une entrée atteint un jour nos serveurs, la ligne est conservée comme pierre tombale qui contient encore sa valeur, ses étiquettes et ses notes, afin que la suppression puisse se propager à vos autres appareils
Nos sauvegardes de serveur	Les copies de lignes déjà supprimées subsistent jusqu’à l’expiration des sauvegardes, au plus 7 jours, et pas plus de six mois après l’authentification lorsque la limite légale de Washington s’applique. Les enregistrements individuels ne sont pas modifiés à l’intérieur d’une sauvegarde. Une restauration après sinistre peut réintroduire temporairement des lignes supprimées, car aucune tâche ne rejoue les suppressions passées
Nos journaux de serveur	Notre plateforme d’hébergement enregistre l’adresse, le chemin et l’heure des requêtes que votre appareil nous envoie, et notre serveur écrit sa propre ligne chaque fois qu’une requête échoue, le statut, le chemin, l’heure et le message d’erreur. Ni l’un ni l’autre ne contient d’entrées, de médicaments ou de mesures. Conservation : 30 jours
Zoho ZeptoMail	Si l’envoi d’e-mails est activé, il peut conserver des journaux de livraison des messages de vérification et de réinitialisation. Conservation : jusqu’à 60 jours de journaux de livraison, conservation standard de ZeptoMail. Le processus de suppression actuel n’envoie pas de demande de suppression au prestataire
PostHog (analyse)	La suppression du compte met en file d’attente une demande d’effacement du profil lié au compte, de ses événements et de ses enregistrements. Nous l’essayons immédiatement et retentons une demande échouée. PostHog peut terminer de façon asynchrone une suppression en masse acceptée. Les événements antérieurs à la connexion utilisent un identifiant d’appareil distinct
Sentry (diagnostics)	L’Application ne joint à un rapport de diagnostic ni identifiant de compte, ni adresse e-mail, ni fiche d’utilisateur. Les rapports natifs peuvent contourner le filtre de l’Application, et il n’existe aucun identifiant pris en charge permettant de retrouver et de supprimer les rapports d’un utilisateur donné
RevenueCat	Conserve une fiche d’abonné sous l’identifiant du compte mais aucune entrée, aucun médicament, aucune mesure. La suppression du compte met en file d’attente une demande d’effacement de cette fiche. Nous l’essayons immédiatement et retentons une demande échouée
Notre journal d’événements d’abonnement	Notre serveur stocke chaque message d’abonnement envoyé par RevenueCat, y compris l’identifiant du compte et les attributs d’abonné présents dans ce message. Les lignes ne sont pas rattachées à la fiche du compte, le service de suppression les retire donc séparément lorsqu’il supprime le compte. Sinon, une tâche planifiée retire chaque ligne 90 jours après son arrivée
Enregistrements d’abonnement d’Apple / Google	Conservés par eux selon leurs propres politiques, hors de notre contrôle
Copies que vous avez exportées vous-même	Hors de notre portée, voir « Les copies que vous faites vous-même » plus haut

Les deux démarches de suppression de compte utilisent le même service côté serveur. Il retire le compte et le journal d’événements d’abonnement de notre base de production et met en file d’attente des demandes vers RevenueCat et PostHog. Il n’identifie pas les rapports Sentry d’un utilisateur donné et n’efface pas les journaux de livraison de Zoho ZeptoMail. La loi de l’État de Washington exige aussi une procédure de recours pour les demandes refusées ; cette procédure distincte n’est pas encore mise en œuvre.

10. Si nous refusons

La loi de l’État de Washington exige une explication écrite et une procédure de recours lorsqu’une demande est refusée. Elle exige aussi une décision écrite sur le recours dans un délai de 45 jours et, après un recours rejeté, un moyen de contacter le procureur général de l’État de Washington.

Aucune procédure de recours distincte n’est actuellement mise en œuvre à [email protected], la procédure actuelle ne fournit donc pas la voie de recours exigée par l’État de Washington. Rien dans cette politique ne limite une plainte auprès du Bureau du procureur général de l’État de Washington ni aucun autre droit prévu par la loi de l’État de Washington.

11. Modifications de cette politique

La version actuelle décrit les catégories et finalités actuellement utilisées. La loi de l’État de Washington peut exiger une politique mise à jour, un préavis ou un consentement avant l’introduction d’une nouvelle catégorie ou finalité. La publication d’une politique mise à jour ne remplace pas le consentement lorsque celui-ci est exigé.

12. Langue

Cette politique est publiée en anglais. La version anglaise est la seule juridiquement contraignante. Des traductions dans d’autres langues sont publiées pour que vous puissiez lire la politique dans votre langue. En cas de différence entre une traduction et le texte anglais, c’est le texte anglais qui prévaut.

L’exception est la loi elle-même. Lorsque le pays où vous vivez accorde à la langue dans laquelle on s’est adressé à vous un statut propre, comme le fait le droit de la consommation de plusieurs pays, cette règle s’applique à la place de celle-ci, et rien ici ne vous retire un droit que vous tenez d’elle.

Une traduction est publiée lorsqu’elle est prête, elle peut donc être en retard sur le texte anglais après une mise à jour. Si vous trouvez un endroit où une traduction et le texte anglais disent des choses différentes, dites-le-nous à [email protected].

13. Nous contacter

• E-mail : [email protected]
• Courrier : Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Pologne

Documents liés : Avis de confidentialité des données de santé des consommateurs du Nevada, Politique de confidentialité, Conditions d’utilisation et Avertissement médical.