Politique de confidentialité

1. Qui nous sommes et ce que couvre cette politique

Paweł Milewski Software Development (l’Exploitant, « nous », « notre », « nos ») fournit glumea (l’Application), une application mobile d’autogestion du diabète, et glumea.com (le Site web). Cette politique explique quelles données nous collectons, pourquoi, où elles sont stockées, qui peut y accéder, combien de temps elles sont conservées, ce que la suppression retire, ainsi que les droits et les contrôles dont vous disposez.

C’est aussi l’information que nous vous devons au titre du droit européen de la protection des données : les informations exigées par les articles 13 et 14 du règlement général sur la protection des données (règlement (UE) 2016/679), que nous appelons le RGPD dans la suite, qui couvrent à la fois les données que vous nous donnez vous-même et celles qui nous parviennent d’ailleurs.

Cette politique couvre :

L’Application : l’application mobile glumea pour iOS et Android.
Le Site web : le site web glumea.com, y compris les pages qui hébergent ces documents juridiques.

Le Site web ne collecte presque rien, et il a sa propre section plus bas.

L’Exploitant est le responsable du traitement de vos données personnelles :

Responsable du traitement : Paweł Milewski Software Development
Numéro d’enregistrement de l’entreprise : NIP PL6751782526 (entreprise individuelle inscrite au CEIDG, le registre central polonais d’enregistrement et d’information sur les entreprises)
Adresse postale : ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Pologne
E-mail : [email protected]
Pays d’établissement : Pologne

Le cas échéant :

Représentant dans l’UE : sans objet (nous sommes établis dans l’Union européenne)
Représentant au Royaume-Uni : non désigné
Délégué à la protection des données : non désigné ; les questions de protection des données sont à adresser à [email protected]

« Responsable du traitement » désigne la partie qui décide comment et pourquoi vos données personnelles sont traitées, au sens du RGPD.

Deux autres documents s’appliquent en parallèle de cette politique, et vous devriez les lire avec elle :

nos Conditions d’utilisation, qui régissent votre utilisation de l’Application et du Site web, et
notre Avertissement médical, qui expose les limites médicales de ce que fait l’Application.

Si vous résidez dans l’État de Washington, un quatrième document s’applique à vous en particulier : notre Politique de confidentialité des données de santé des consommateurs, que la loi de l’État de Washington nous oblige à publier séparément. Si vous êtes dans le Nevada, l’équivalent est notre Avis de confidentialité des données de santé des consommateurs du Nevada.

2. Résumé

Une version courte de ce qui suit. Chaque point nomme la section qui l’expose en détail, et c’est cette section qui fait foi.

Qui nous sommes. Paweł Milewski Software Development décide comment et pourquoi vos données sont traitées. Sections 1 et 21.
Ce que nous collectons. Votre adresse e-mail et votre mot de passe ; le profil que vous saisissez lors de l’accueil ; le carnet que vous tenez, glycémie, alimentation, insuline, autres médicaments, poids, médicaments et rappels ; les jetons de connexion et les enregistrements de connexion au serveur. Les enregistrements d’Apple Health ou de Health Connect si vous les connectez, et les informations d’abonnement si vous vous abonnez. Section 3.
Données de santé. Le carnet, le type de diabète, le mode de traitement et les réglages thérapeutiques sont des données de catégorie particulière au titre de l’article 9 du RGPD. La synchronisation cloud demande une confirmation distincte pour le carnet. L’accueil actuel ne recueille pas de consentement explicite distinct avant de stocker le profil de santé et les réglages thérapeutiques. Sections 3.3 et 4.
Où elles se trouvent. Une partie de vos données est sur nos serveurs dès la création d’un compte : les informations de votre compte, votre profil y compris votre type de diabète et votre traitement, et vos réglages thérapeutiques. Votre carnet ne l’est pas : il est d’abord écrit dans une base de données chiffrée sur votre téléphone, l’Application fonctionne hors connexion, et il n’atteint nos serveurs que si vous activez Synchronisation cloud, une fonction glumea+, désactivée tant que vous ne l’activez pas, et un choix conservé sur votre compte plutôt que sur le téléphone. La section 10 donne le tableau complet.
Qui les reçoit. Notre hébergeur dans l’UE ; un prestataire d’e-mail si l’envoi d’e-mails est activé ; PostHog et Sentry, chacun seulement après que vous l’avez accepté ; la boutique si vous vous abonnez ; et RevenueCat, que vous vous abonniez ou non. Nous ne vendons pas vos données, et l’Application ne contient aucune publicité. Sections 5, 7, 8 et 9.
Vos choix. L’analyse et le signalement d’erreurs sont désactivés tant que vous ne les acceptez pas, chacun a son propre interrupteur ; se déconnecter n’arrête pas un SDK déjà en cours d’exécution dans cette session. Dans l’Application, vous pouvez désactiver la synchronisation, supprimer la copie serveur de votre carnet, supprimer votre compte et utiliser les exports mis en œuvre. Sections 5 et 13.
Vos droits. Accès, rectification, effacement, limitation, portabilité, opposition, retrait du consentement, et réclamation auprès d’une autorité de protection des données ; aux États-Unis, les droits que vous donne la loi de votre État. Vous pouvez supprimer votre compte dans l’Application ou en demander la suppression par e-mail à [email protected] sans l’Application. Sections 13, 14 et 17.
Ce que la suppression ne couvre pas. Supprimer votre compte retire ses enregistrements de la base de données de production et demande la suppression des enregistrements RevenueCat et PostHog liés au compte. Les sauvegardes existantes, les journaux de serveur et de diagnostic, les enregistrements de facturation des boutiques et les copies exportées peuvent subsister, comme décrit à la section 12.

3. Données que nous collectons

La plupart de ce qui figure ici est fourni directement par vous. Deux catégories ne le sont pas : les mesures que vous importez depuis Apple Health ou Health Connect, et les informations d’abonnement qui nous parviennent d’Apple, de Google et de RevenueCat. Les deux sont décrites ci-dessous.

3.1 Données de compte

Adresse e-mail et mot de passe. Votre mot de passe est haché sur nos serveurs avec bcrypt, n’est jamais stocké en clair et n’est jamais enregistré sur votre appareil. Votre adresse e-mail est aussi transportée dans le jeton de connexion qu’utilise l’Application.
Codes à usage unique pour la vérification de l’e-mail, la réinitialisation du mot de passe, le changement de mot de passe et le changement d’e-mail. Un code expire 10 minutes après son émission, et cinq tentatives erronées l’invalident.

3.2 Données de profil

Collectées lors de l’accueil :

Prénom et nom (stockés sous forme de pseudonyme), âge, sexe (facultatif) et taille.
Type de diabète (type 1, type 2, gestationnel ou autre), modes de traitement (insuline, comprimés, injectables, régime alimentaire) et mode d’administration de l’insuline.

Votre type de diabète, vos modes de traitement et votre mode d’administration de l’insuline sont des données de santé, une « catégorie particulière » de données personnelles au titre de l’article 9 du RGPD, même si cette politique les regroupe sous « profil ». La section sur les bases juridiques ci-dessous expose la condition sur laquelle nous nous appuyons pour elles.

3.3 Données de santé que vous notez (données de catégorie particulière)

Ce qui suit constitue des données de santé, une « catégorie particulière » de données personnelles au titre de l’article 9 du RGPD. Nous ne les conservons sur nos serveurs que sur la base de votre consentement explicite. La section sur les bases juridiques ci-dessous expose comment ce consentement est donné, et lesquelles de ces données n’atteignent nos serveurs que lorsque la synchronisation cloud est activée :

Mesures de glycémie, avec des étiquettes de contexte facultatives (moment du repas, physiologie, activité, médicaments et matériel, ainsi que les étiquettes que vous écrivez vous-même) et des notes en texte libre.
Entrées d’alimentation : glucides, ainsi que protéines, lipides, calories facultatifs et un nom que vous saisissez.
Doses d’insuline : le nombre d’unités, rattaché à l’insuline que vous avez configurée, bolus, basale ou prémélangée.
Doses de médicaments injectables (par exemple les agonistes du GLP-1).
Nombre de prises de pilules et de comprimés.
Entrées de poids corporel, chacune avec l’heure à laquelle vous l’avez enregistrée.
Vos catalogues de médicaments : les insulines, pilules et médicaments injectables que vous configurez, y compris les noms de médicaments (par exemple Fiasp, Lantus, Metformin, Ozempic) et les paramètres pharmacocinétiques (début d’action, pic, durée), ainsi que les heures de rappel que vous définissez pour eux.
Les réglages de traitement que vous configurez : votre plage cible de glycémie (par défaut 3,9–10,0 mmol/L, ou 3,9–7,8 mmol/L pour un diabète gestationnel, un prédiabète ou l’absence de diagnostic de diabète), votre ratio insuline/glucides (ICR) et votre facteur de sensibilité à l’insuline (ISF). L’Application n’en utilise aucun pour calculer ou recommander une dose. Votre ratio insuline/glucides est enregistré pour votre référence et rien d’autre ne le lit. Votre plage cible est enregistrée et sert aussi à tracer la bande dans la cible du Temps dans la cible, à fixer les bords intérieurs de l’étiquette Bonne / Acceptable / Critique, et à décider quand la formulation sur le risque d’hypo change. Votre facteur de sensibilité à l’insuline sert à établir la formulation sur le risque d’hypo et la fourchette approximative de baisse affichées à côté de l’insuline active. L’Avertissement médical décrit tout cela.
Les valeurs que l’Application calcule sur votre appareil à partir de ce que vous notez : l’insuline active estimée (une estimation à titre de sensibilisation uniquement : elle ne recommande ni ne calcule de dose), la formulation sur le risque d’hypo et la fourchette approximative de baisse affichée à côté, les tendances, la glycémie moyenne et sa dispersion, le Temps dans la cible, l’HbA1c estimée (GMI), l’heure suggérée pour votre prochaine mesure, et l’étiquette Bonne / Acceptable / Critique de votre dernière mesure. L’Avertissement médical expose ce qu’est et n’est pas chacune d’elles.

Plusieurs de ces champs sont en texte libre : notes de glycémie, étiquettes que vous écrivez vous-même, noms d’aliments, noms de médicaments personnalisés, nom d’un créneau de rappel personnalisé. Tout ce que vous y saisissez est stocké, et synchronisé si la synchronisation est activée, exactement tel que vous l’avez saisi.

3.4 Données que nous recevons d’autres sources

Apple Health et Health Connect. Si vous les connectez, l’Application lit les enregistrements de glycémie, de poids corporel et de glucides alimentaires de la plateforme de santé de votre téléphone. C’est en lecture seule : l’Application n’écrit jamais rien en retour. Sur iOS, elle ne demande au système qu’un accès en lecture et ne déclare aucun motif d’écriture, ce que supposerait une écriture ; sur Android, elle ne détient que des autorisations de lecture pour les trois types d’enregistrements. Les enregistrements provenant à l’origine d’un lecteur de glycémie, d’un CGM ou d’une autre application atteignent donc glumea par la plateforme de santé. Les entrées importées sont stockées sur votre appareil comme des entrées ordinaires, étiquetées avec la plateforme dont elles proviennent et l’identifiant de l’enregistrement. Qu’une entrée importée soit aussi copiée sur nos serveurs dépend de l’activation de Synchronisation cloud, exactement comme pour une entrée que vous avez saisie vous-même. La connexion est désactivée tant que vous ne l’activez pas, et vous pouvez la déconnecter ou désactiver des types de données individuels à tout moment dans Paramètres → Intégrations.
Apple, Google et RevenueCat. Si vous vous abonnez à glumea+, des informations sur cet abonnement nous parviennent de la boutique et de RevenueCat. Voir la section glumea+ ci-dessous pour le détail exact.

3.5 Données techniques

Les jetons d’authentification, stockés dans le stockage sécurisé de votre appareil pour que vous restiez connecté. Votre session sur nos serveurs est un enregistrement qui contient un identifiant de session, votre identifiant d’utilisateur et son expiration.
Lorsque la synchronisation cloud est activée, nos serveurs traitent les données que vous synchronisez avec les données de gestion nécessaires au service de synchronisation, comme les horodatages de synchronisation.
Lorsque l’Application communique avec nos serveurs, ceux-ci reçoivent des informations de connexion standard comme votre adresse IP, le chemin demandé et l’heure, utilisées pour la sécurité et pour faire fonctionner le service.
Tant que l’analyse ou les diagnostics sont activés, chaque SDK envoie les données décrites à la section 5. Les deux sont désactivés tant que vous ne les acceptez pas.

3.6 Données qui restent sur votre appareil et données qui n’y restent pas

Certaines choses n’atteignent jamais nos serveurs : réglages de notification, heures des rappels de contrôle de glycémie, Heures silencieuses, choix du détail des notifications, état local des notifications, état de la connexion à la plateforme de santé, préférences de l’application, préférences de télémétrie et gestion de la synchronisation. Une réserve : tant que l’analyse est activée, les réglages de langue, de thème et d’unités sont envoyés à PostHog comme attributs de profil. Rien d’autre dans cette liste ne quitte l’appareil via notre serveur.

Vos programmes de médicaments font exception : ils appartiennent au carnet, ils sont donc copiés sur nos serveurs lorsque Synchronisation cloud est activée, un rappel de médicament doit survivre à un changement de téléphone.

L’interrupteur de synchronisation cloud lui-même n’est pas non plus réservé à l’appareil. Votre réponse est conservée sur votre compte, sur nos serveurs, afin qu’elle vous suive sur un nouveau téléphone et survive à la déconnexion ; la section 10 expose ce que cela signifie en pratique.

Les fichiers que vous créez vous-même, une archive de sauvegarde .glumea, ou un rapport de glycémie CSV ou PDF, sont écrits sur votre appareil et remis à l’application avec laquelle vous choisissez de les partager ou de les enregistrer. Ce qu’il en advient ensuite échappe à notre contrôle, et un rapport CSV ou PDF n’est pas chiffré.

4. Pourquoi nous traitons vos données et nos bases juridiques

Au titre du RGPD, chaque utilisation exige une base de l’article 6, et les données de catégorie particulière exigent en outre une condition de l’article 9. Les bases visées sont énumérées ci-dessous. L’étape de consentement de profil manquante décrite ci-dessous ne fournit pas le consentement explicite que le traitement exige.

Fournir votre compte et l’Application : créer et sécuriser votre compte, l’authentification, la vérification de l’e-mail, la réinitialisation du mot de passe, faire fonctionner la synchronisation cloud, fournir glumea+ si vous vous abonnez, et conserver une trace des notifications d’abonnement que la boutique et RevenueCat nous envoient afin de savoir si glumea+ est actif et de régler un problème de facturation : exécution d’un contrat, article 6, paragraphe 1, point b), du RGPD.
Conserver des données de santé sur nos serveurs : les bases visées sont l’article 6, paragraphe 1, point b), pour le service et le consentement explicite au titre de l’article 9, paragraphe 2, point a), pour les données de santé. Le carnet n’est copié sur nos serveurs qu’après la confirmation distincte de Synchronisation cloud. L’accueil actuel stocke le profil et les réglages thérapeutiques sur le compte sans étape de consentement explicite distincte. L’acceptation d’un contrat n’est pas automatiquement un consentement explicite pour le traitement de données de catégorie particulière, le parcours d’accueil actuel ne fournit donc pas cette condition de l’article 9. Supprimer le compte est le seul moyen mis en œuvre de retirer ces champs de profil et de réglages thérapeutiques de la base de données de production.
Analyse produit : consentement au titre de l’article 6, paragraphe 1, point a), consentement explicite au titre de l’article 9, paragraphe 2, point a), parce que l’utilisation d’une application pour le diabète révèle des informations de santé, et consentement au titre de l’article 5, paragraphe 3, de la directive ePrivacy pour le stockage par les SDK. La section 5 décrit comment ce consentement est demandé.
Diagnostics et rapports de plantage : la base visée est le consentement au titre de l’article 6, paragraphe 1, point a), le consentement explicite au titre de l’article 9, paragraphe 2, point a), parce que l’utilisation d’une application pour le diabète révèle des informations de santé, et le consentement au titre de l’article 5, paragraphe 3, de la directive ePrivacy pour le stockage par les SDK, demandés de la même manière que pour l’analyse (section 5).
Maintenir la sécurité du service et prévenir les abus : limitation de débit sur notre API, et enquête sur les usages abusifs présumés : nos intérêts légitimes, article 6, paragraphe 1, point f), du RGPD. L’intérêt précis est de protéger votre compte et ceux d’autrui contre les accès non autorisés, et de maintenir le service disponible. Nous ne nous appuyons sur cette base que lorsque nos intérêts ne sont pas supplantés par vos droits.
Respecter une obligation légale : lorsque le droit polonais exige que nous conservions ou communiquions des enregistrements particuliers, nous le faisons sur la base de l’article 6, paragraphe 1, point c), du RGPD. Nous ne nous appuyons pas sur cette base pour les données de santé que vous notez. Nous n’encaissons pas votre paiement et ne recevons jamais vos données de paiement, les enregistrements de paiement et de facturation de votre achat sont donc conservés par la boutique et non par nous.

Nous ne prenons pas de décisions vous concernant qui produisent des effets juridiques ou vous affectent de manière significative de façon similaire sur le seul fondement d’un traitement automatisé, et nous ne vous profilons pas pour de telles décisions. Il n’y a dans glumea aucune prise de décision automatisée au sens de l’article 22 du RGPD. Les estimations que l’Application montre, insuline active, tendances, Temps dans la cible, sont de l’arithmétique effectuée sur votre appareil à partir des données que vous avez saisies, présentée à titre de sensibilisation uniquement. Elles ne recommandent ni ne calculent aucune dose d’insuline ou de médicament, et ne constituent pas un conseil médical.

La fourniture de données est-elle obligatoire ? La loi ne vous oblige pas à fournir des données. Une adresse e-mail et un mot de passe sont nécessaires pour un compte. Les champs de profil et de réglages thérapeutiques demandés lors de l’accueil sont stockés sur le compte, sous réserve de la limite de consentement décrite ci-dessus. Noter des entrées, connecter Apple Health ou Health Connect et la synchronisation cloud sont facultatifs. L’analyse et les diagnostics sont facultatifs et désactivés tant que vous ne les acceptez pas.

5. Analyse et diagnostics

L’Application inclut deux SDK tiers à ces fins : un pour l’analyse produit et un pour les rapports de plantage et d’erreur. Cette section expose ce qu’est chacun d’eux et ce qu’il reçoit.

Les deux sont désactivés tant que vous ne les acceptez pas, et aucun des deux SDK n’est démarré avant. L’Application le demande à la fin de l’accueil, avec un interrupteur distinct pour chacun. Les interrupteurs sont affichés en position activée, mais rien n’est collecté tant que vous n’appuyez pas pour continuer, et un seul appui sur le bouton de refus termine l’accueil avec les deux désactivés. Si vous vous connectez à un compte existant sans passer par l’accueil, les deux restent désactivés jusqu’à ce que vous les activiez. Les deux réglages sont indépendants et peuvent être modifiés à tout moment dans Paramètres → Données et confidentialité → Confidentialité et diagnostics. Se déconnecter efface les deux réponses avec vos autres préférences, mais un SDK déjà en cours d’exécution continue de fonctionner jusqu’à la fermeture de l’Application.

5.1 Analyse produit : PostHog

Nous utilisons PostHog (EU Cloud, eu.i.posthog.com) pour comprendre comment l’Application est utilisée afin de l’améliorer.

Ce que PostHog peut recevoir tant que l’analyse est activée :

L’identifiant de votre compte glumea : l’UUID interne de votre compte. Ni votre e-mail, ni votre nom. Une fois que vous êtes connecté, les événements sont rattachés à cet identifiant, ils ne sont donc pas anonymes. Les événements qui peuvent survenir avant votre connexion, ou après votre déconnexion, premier lancement, lancements de l’application, inscription et vérification d’un code envoyé par e-mail, portent à la place un identifiant d’appareil pseudonymisé, et cet identifiant est régénéré lorsque l’Application réinitialise le SDK.
Une liste fixe de noms d’événements, environ 28, couvrant des choses comme l’ouverture de l’application, l’inscription, la fin de l’accueil, l’enregistrement d’une entrée, l’import depuis Apple Health, l’octroi ou le refus d’une autorisation de notification, la génération d’un export, l’ouverture de l’écran d’abonnement, et l’issue d’un achat ou d’une restauration.
Un petit nombre de propriétés, chacune issue d’une liste fermée ou d’un compte borné : quel type d’entrée a été enregistré (glycémie, alimentation, médicament ou poids), combien de lignes un enregistrement a écrites, si une entrée a été notée sur le moment ou avec une date antérieure, si un export était en CSV ou en PDF, quelle étape d’accueil a été terminée, la catégorie générale d’un rappel sur lequel vous avez appuyé, et des éléments similaires. Aucune propriété nulle part dans le système n’accepte de texte libre.
L’écran sur lequel vous êtes, sous forme d’un modèle de route comme /settings/privacy. Les chiffres sont refusés, un identifiant d’enregistrement ne peut donc pas y figurer. Un écran que seul un type de traitement atteint, comme les réglages d’insuline, est signalé comme l’écran qui le précède.
Une poignée d’attributs de profil : votre langue, votre thème, vos unités de glycémie, de poids et de glucides, et si vous avez glumea+.
Ce que le SDK de PostHog ajoute de lui-même, hors de notre contrôle : modèle de l’appareil, système d’exploitation et version, version de l’application, version du SDK, fuseau horaire, paramètres régionaux, type de réseau et identifiant de session. PostHog reçoit aussi l’adresse IP d’où provient votre requête, comme tout service web, et en déduit une localisation approximative. Nous n’avons pas activé l’option de PostHog qui supprime cette adresse, elle est donc stockée avec l’événement.

Ce que PostHog ne peut pas recevoir : une valeur de glycémie, une dose d’insuline, un nom de médicament, le type de médicament que vous prenez, une note, un nom d’aliment, une adresse e-mail, ni aucun autre texte libre. Le filtre qui l’assure est à échec fermé, un événement qui n’est pas sur la liste est abandonné en entier, une propriété qui n’est pas déclarée est retirée, et une propriété déclarée dont la valeur ne correspond pas à la forme attendue est elle aussi retirée. Il n’y a aucune propriété « n’importe quelle chaîne » dans le système. Il n’y a ni relecture de session, ni enregistrement d’écran, ni enquêtes, ni capture automatique des appuis, ni jeton de notification push.

Les événements sont conçus pour ne pas révéler votre traitement ni vos mesures. L’insuline, les comprimés et les injectables sont tous signalés comme une entrée de médicament. Un appui sur une alerte de glycémie basse ou élevée n’est pas enregistré du tout, pas plus que l’étape d’accueil que seuls voient les utilisateurs d’insuline. Un import depuis Apple Health ou Health Connect signale qu’il a eu lieu et ce qui l’a déclenché, jamais le nombre d’enregistrements lus. Les événements restent liés à votre compte tant que vous êtes connecté, et l’utilisation d’une application pour le diabète révèle elle-même des informations de santé, c’est pourquoi l’analyse attend votre consentement.

Le SDK d’analyse stocke son propre identifiant sur votre appareil, ainsi qu’une file d’événements en attente d’envoi. Deux limites découlent du fonctionnement du SDK. Le retrait enregistre un dernier événement qui lui est propre, indiquant que vous avez refusé. Et cet événement, avec tout ce qui a déjà été collecté pendant que vous consentiez, est transmis ensuite selon le calendrier propre au SDK et non au moment où vous retirez votre consentement. Rien de nouveau n’est collecté après cela.

5.2 Diagnostics et rapports de plantage : Sentry

Nous utilisons Sentry (région Union européenne) pour savoir quand l’Application plante ou génère des erreurs, afin de les corriger.

Chaque partie d’un rapport que construit l’Application et qui porte du contenu est reconstruite de zéro avant l’envoi, à partir d’une liste de champs autorisés plutôt que d’une liste de champs à retirer. Une douzaine environ de champs de premier niveau restants sont effacés par leur nom, de sorte qu’un champ nouvellement ajouté par une future version du SDK ne serait pas pris par cet effacement tant que nous ne l’aurions pas ajouté. Ce qui survit à cette reconstruction est :

Le type d’exception, et une étiquette calculée à la place du message d’erreur d’origine.
La trace de la pile, avec des noms de fichiers réduits à leur nom de base et, dans les versions de production, des noms de symboles obfusqués, ils ne deviennent lisibles que du côté de Sentry grâce à la table de correspondance que nous envoyons à la compilation.
La famille d’appareil, le modèle, l’architecture, s’il s’agit d’un simulateur, et l’orientation.
Le nom, la version et le build du système d’exploitation ; le nom, la version et le build de l’application ; la version du runtime Dart.
Les identifiants d’images de débogage, nécessaires pour rendre lisibles les plantages natifs.
La forme de la piste de fil d’Ariane (breadcrumbs), la catégorie, le type, le niveau et l’horodatage des événements récents, mais jamais leur contenu.
Deux étiquettes : quelle zone de l’Application a échoué, et si cela s’est produit au premier plan ou dans le moteur de notification en arrière-plan.
La release, le numéro de build, l’environnement et un identifiant d’événement généré aléatoirement.

Ce qui est retiré purement et simplement : le message d’erreur, toute donnée de requête, tout objet utilisateur, le nom du serveur, le nom de la transaction, les listes de threads, les listes de modules, les valeurs des variables locales, le contexte du code source, les chemins absolus, l’identifiant unique et le nom de l’appareil, le hachage de l’application propre à l’installation, les messages et données du fil d’Ariane, les captures d’écran, les hiérarchies de vues et toute pièce jointe. Les captures d’écran, la capture de hiérarchie de vues, la relecture de session, le traçage de performance, la journalisation et les corps de requêtes sont tous désactivés. L’Application ne joint aucun identifiant d’utilisateur à un événement Sentry : ni identifiant de compte, ni adresse e-mail, ni identifiant d’appareil.

Deux limites à ce qui précède :

Les plantages natifs, les événements d’application qui ne répond plus et les arrêts watchdog d’iOS peuvent atteindre Sentry sans passer par cette reconstruction, parce qu’ils sont produits par le gestionnaire de plantage du système d’exploitation et non par le code propre de l’Application. Il en va de même du signal périodique « session d’application démarrée / terminée » que Sentry utilise pour la santé des releases. Nous ne pouvons pas les inspecter sur l’appareil et nous ne connaissons pas tous les champs que le SDK de la plateforme y place. Nous ne définissons aucun identifiant qui les relierait à vous.
Sentry reçoit l’adresse IP d’où le rapport est envoyé.

Tant que vous n’avez pas accepté les diagnostics, Sentry n’est pas démarré. Désactiver l’interrupteur ferme les rapporteurs atteints par ce contrôle, mais se déconnecter ne désactive pas de façon fiable un SDK déjà initialisé dans le processus en cours. Le cycle de vie actuel ne peut donc pas être décrit comme un retrait immédiat dans tous les états.

6. glumea+ et données d’abonnement

glumea+ est un abonnement, vendu uniquement sous forme d’achat intégré via l’App Store d’Apple et Google Play. Il n’existe aucun autre moyen de l’acheter, ni paiement sur le web, ni formulaire de carte nulle part dans l’Application.

Aucune donnée de paiement ne nous parvient. Apple ou Google encaisse le paiement. Nous ne voyons jamais votre numéro de carte, vos coordonnées bancaires ni votre adresse de facturation. L’annulation et les remboursements passent par votre compte de boutique, les Conditions d’utilisation expliquent où.
RevenueCat est le service que nous utilisons pour savoir si votre abonnement est actif. L’Application indique à RevenueCat une seule chose à votre sujet : l’identifiant de votre compte glumea, utilisé comme identifiant d’utilisateur de l’abonnement. Nos serveurs demandent aussi à RevenueCat si cet identifiant a un abonnement actif, y compris lorsque vous ne vous êtes jamais abonné, car c’est ainsi que nous apprenons que vous ne l’êtes pas. Nous ne définissons ni adresse e-mail, ni nom d’affichage, ni numéro de téléphone, ni jeton de notification push, et nous ne lui demandons pas de collecter les identifiants publicitaires de l’appareil. Le SDK propre à RevenueCat collecte aussi certaines informations sur l’appareil et le réseau pour le fonctionnement du service RevenueCat, décrites dans sa propre politique de confidentialité. Nous ne configurons pas cette collecte et nous ne recevons pas ce qu’elle produit.
Ce que l’Application conserve localement est une seule valeur vrai/faux : si glumea+ est actif. Aucun prix, aucun identifiant de produit, aucune date d’expiration, aucun identifiant de transaction n’est stocké sur votre appareil par l’Application. Cette valeur passe à faux lorsque vous vous déconnectez, de sorte que le compte suivant sur l’appareil démarre sans abonnement et doit être vérifié auprès de la boutique pour son propre compte.
Ce que nos serveurs stockent. RevenueCat envoie à notre serveur une notification lorsque quelque chose change dans un abonnement, un achat, un renouvellement, une annulation, un problème de facturation. Nous enregistrons chacune de ces notifications telle que reçue : l’identifiant et le type d’événement, l’environnement, l’identifiant de votre compte glumea, et le message complet envoyé par RevenueCat, stocké exactement tel qu’il est arrivé et non champ par champ. Ce message comprend généralement l’identifiant du produit, le prix, la devise, la boutique, le pays et les dates d’achat et d’expiration. Comme nous le stockons en entier, il peut aussi contenir les attributs d’abonné que RevenueCat détient à votre sujet, dont une adresse e-mail : même si notre Application n’en définit aucun de son propre chef. Nous ne réécrivons jamais le message ; une nouvelle livraison du même événement ne met à jour que notre compteur du nombre de fois où il est arrivé.
Tant que l’analyse est activée, les événements d’entonnoir décrits plus haut vont à PostHog, avec un attribut de profil indiquant si glumea+ est actif. Aucun prix, identifiant de produit ni identifiant de boutique n’est envoyé à l’analyse.

Deux conséquences en découlent. Le journal des webhooks porte l’identifiant de votre compte glumea mais n’a aucune relation de base de données avec la ligne de votre compte. Lors de la suppression du compte, notre serveur retire ces enregistrements séparément et demande la suppression de la fiche d’abonné de RevenueCat sous le même identifiant. Sinon, une tâche planifiée retire chaque enregistrement de webhook 90 jours après son arrivée. La section 12 décrit ce qui peut subsister.

7. Ce que nous ne faisons pas

Rien de ce qui suit n’a lieu dans glumea :

Aucune publicité, d’aucune sorte. Aucun SDK publicitaire, aucun SDK d’attribution, aucun identifiant publicitaire. L’Application ne peut pas afficher l’invite iOS « Demander à l’app de ne pas suivre », parce qu’elle ne contient pas l’entrée qui le permettrait, et elle ne déclare aucun réseau d’attribution publicitaire.
Aucune vente de vos données. Nous ne vendons ni ne louons de données personnelles, et nous ne vendons pas de données de santé. Nous ne les partageons pas pour de la publicité comportementale inter-contextes.
Aucune utilisation de vos données de santé pour de la publicité, du marketing, ou pour constituer un profil de vous au bénéfice de quelqu’un d’autre.
Aucune donnée de localisation. Aucun accès à vos contacts, à l’appareil photo, au microphone, aux photos ni au calendrier, l’Application ne demande aucune de ces autorisations sur aucune des deux plateformes.
Pas de Firebase dans l’Application : ni Firebase Analytics, ni Crashlytics, ni Firebase Cloud Messaging. (Firebase Hosting sert bien le Site web, y compris cette page, c’est un autre service de Google et il est nommé plus bas.)
Aucune notification push, et aucun jeton push d’appareil. Les rappels sont programmés et affichés par votre propre appareil ; il n’existe aucun canal de serveur à appareil.
Aucune capture d’écran, aucun enregistrement d’écran, aucune relecture de session, aucune capture de hiérarchie de vues, par aucun des deux SDK décrits ci-dessus.
En dehors de PostHog et de Sentry, aucun autre SDK d’analyse, de télémétrie ou de suivi n’est dans l’Application. Les seuls composants qui ouvrent une connexion réseau sont la connexion propre de l’Application à nos serveurs, PostHog, Sentry et RevenueCat.

8. Qui reçoit vos données

Nous partageons des données avec les prestataires de services ci-dessous pour faire fonctionner glumea. Leurs rôles, leurs propres politiques de confidentialité et les conditions contractuelles applicables à notre utilisation de chaque service régissent ce traitement. Le SDK de RevenueCat collecte aussi de lui-même des informations sur l’appareil et le réseau. Nous ne configurons pas cette collecte et ne recevons pas ce qu’elle produit, la description qui en est faite provient donc de la politique de confidentialité de RevenueCat et non de nos systèmes.

Google (Google Cloud Run et Google Cloud SQL, région europe-west1) héberge notre serveur et la base de données qui contient tout ce que vous synchronisez, y compris vos données de santé. Google Secret Manager conserve les identifiants de notre serveur, et Google Cloud Logging conserve nos journaux de requêtes du serveur.
Google (Firebase Hosting) sert glumea.com et ces documents juridiques.
Sentry (région Union européenne) reçoit les rapports de diagnostic décrits plus haut tant que les diagnostics sont activés selon le comportement actuel des réglages.
PostHog (EU Cloud) reçoit les événements d’analyse décrits plus haut tant que l’analyse est activée selon le comportement actuel des réglages.
RevenueCat (États-Unis) reçoit l’identifiant de votre compte glumea et l’état de votre abonnement, que vous vous abonniez ou non : vérifier que vous n’êtes pas abonné utilise le même identifiant que confirmer que vous l’êtes. Comme indiqué plus haut, son SDK collecte en outre des informations sur l’appareil et le réseau que nous ne configurons pas et ne recevons pas ; la politique de confidentialité de RevenueCat les décrit.
Zoho ZeptoMail : si l’envoi d’e-mails en production est activé, ce prestataire reçoit l’adresse e-mail du destinataire et le message de vérification ou de réinitialisation du mot de passe nécessaire à sa livraison. Aucun prestataire d’e-mail ne reçoit ces messages tant que l’envoi est désactivé.

Apple et Google ne sont pas nos sous-traitants. Elles exploitent les boutiques par lesquelles glumea+ est vendu, elles encaissent le paiement, et elles sont des responsables du traitement indépendants pour les données d’achat qu’elles détiennent à votre sujet. Ce qu’elles collectent est régi par leurs propres politiques de confidentialité, pas par celle-ci.

Au-delà, nous ne communiquons de données personnelles que si la loi l’exige, par exemple une décision contraignante d’un tribunal ou d’une autorité, ou sur votre instruction.

Si Paweł Milewski Software Development est un jour impliqué dans une fusion, une acquisition ou une vente d’actifs, vos données resteraient protégées par cette politique, et nous vous préviendrions avant que vos données ne deviennent soumises à une autre politique de confidentialité.

9. Transferts internationaux

Là où chaque destinataire traite vos données :

Votre compte, votre profil et vos données de santé synchronisées sont stockés dans l’UE : Google Cloud, europe-west1 (Belgique). Le lieu de stockage n’est pas toute la réponse. Google peut accéder à ces données depuis l’extérieur de l’EEE, pour l’assistance et pour exploiter la plateforme, et c’est un transfert à part entière. Il s’appuie sur les clauses contractuelles types de l’avenant de traitement des données de Google Cloud.
L’analyse va vers l’EU Cloud de PostHog, qui la stocke dans l’UE. Lorsque PostHog peut y accéder depuis l’extérieur de l’Espace économique européen, le transfert s’appuie sur les clauses contractuelles types de l’accord de traitement des données de PostHog.
Les diagnostics vont vers Sentry dans sa région Union européenne. Lorsque celle-ci se trouve hors de l’Espace économique européen, le transfert s’appuie sur les clauses contractuelles types de l’avenant de traitement des données de Sentry.
Le Site web est servi par Firebase Hosting depuis le réseau de diffusion de contenu de Google, de sorte qu’une requête pour une page peut être servie, et journalisée, depuis un lieu situé hors de l’Espace économique européen. Lorsque c’est le cas, le transfert s’appuie sur les clauses contractuelles types de l’avenant de traitement des données de Google Cloud.
L’état de l’abonnement va vers RevenueCat aux États-Unis. Lorsque ce lieu se trouve hors de l’Espace économique européen, le transfert s’appuie sur les clauses contractuelles types de l’avenant de traitement des données de RevenueCat.
Si l’envoi d’e-mails en production est activé, les e-mails de vérification et de réinitialisation du mot de passe sont envoyés par Zoho ZeptoMail, qui traite l’adresse e-mail du destinataire dans l’Union européenne (Zoho Corporation B.V., centres de données de Zoho dans l’UE aux Pays-Bas et en Irlande). Lorsque ce lieu se trouve hors de l’Espace économique européen, le mécanisme de transfert applicable est constitué des clauses contractuelles types de l’avenant de traitement des données de Zoho.
Apple et Google traitent les données d’achat selon leurs propres dispositifs, en tant que responsables du traitement indépendants.

Lorsqu’un prestataire peut accéder aux données depuis l’extérieur de l’EEE, y compris pour l’assistance, cet accès est aussi un transfert et doit être assorti d’une garantie appropriée au titre du chapitre V du RGPD. Le mécanisme pour chaque destinataire est nommé ci-dessus. Pour les utilisateurs au Royaume-Uni, le mécanisme équivalent est l’addendum britannique aux clauses contractuelles types de l’UE, ou l’IDTA lorsqu’un prestataire utilise cette forme au titre du RGPD britannique. Contact général pour la protection des données : [email protected]. Aucune procédure automatisée distincte de demande de copie des garanties n’est actuellement mise en œuvre.

10. Où vos données sont stockées

glumea fonctionne d’abord hors connexion. Cette section est la réponse complète à « qu’est-ce qui m’appartient sur vos serveurs ? » : tout le reste de cette politique renvoie ici.

Quoi	Sur votre téléphone	Sur nos serveurs	À partir de quand	Comment le retirer
Votre carnet, entrées, catalogues de médicaments, programmes de médicaments	Toujours	Uniquement avec Synchronisation cloud activée	Dès que vous activez l’interrupteur	Désactivez l’interrupteur, puis Supprimer les données du serveur ; ou supprimez votre compte
Votre profil, nom, âge, taille, type de diabète, modes de traitement, administration de l’insuline	Oui	Toujours	Dès l’accueil, que vous utilisiez ou non la synchronisation	Supprimez votre compte
Vos réglages thérapeutiques, plage cible, ratio insuline/glucides, facteur de sensibilité à l’insuline	Oui	Toujours	Dès que vous les saisissez	Supprimez votre compte
Votre compte, adresse e-mail, mot de passe haché, sessions de connexion	Identifiants uniquement	Toujours	Dès que vous créez le compte	Supprimez votre compte
Tout ce qui figure à la section 3.6, rappels, Heures silencieuses, préférences de l’application	Oui	Jamais	Sans objet	Déconnectez-vous, ou désinstallez

Le reste de cette section donne le détail qui se trouve derrière ce tableau.

Toutes les données que vous saisissez sont d’abord écrites dans une base de données locale sur votre appareil. L’Application est pleinement utilisable sans connexion à Internet.
Cette base de données locale est chiffrée. Elle est ouverte avec une clé de 32 octets conservée dans le trousseau de clés de votre appareil, avec un réglage qui ne la migre pas vers un autre appareil. Conséquences à connaître avant de changer de téléphone : sur Android, nous avons désactivé pour l’Application la sauvegarde cloud et le transfert d’appareil à appareil, aucune nouvelle copie de sauvegarde n’en est donc faite ; sur iOS, une copie de la base de données peut tout de même se retrouver dans une sauvegarde iCloud, mais elle est illisible sans la clé, et la clé ne quitte jamais l’appareil. Restaurer cette sauvegarde sur un nouveau téléphone n’y ramène donc pas votre carnet : l’Application trouve une base de données pour laquelle elle n’a pas de clé, refuse de l’ouvrir plutôt que de repartir silencieusement à vide, et ne fonctionnera pas sur ce téléphone tant que vous ne l’aurez pas réinstallée ou n’en aurez pas effacé les données. Passer à un nouveau téléphone se fait par la synchronisation cloud, ou par une archive .glumea que vous exportez et importez vous-même.
Un compte à votre nom existe sur nos serveurs dès que vous en créez un. Il contient les données de votre compte, votre profil, y compris votre type de diabète, vos modes de traitement et votre mode d’administration de l’insuline, et vos réglages thérapeutiques : votre plage cible, votre ratio insuline/glucides et votre facteur de sensibilité à l’insuline. Ces données sont conservées sur nos serveurs que vous utilisiez ou non la synchronisation cloud, et le moyen de les retirer est de supprimer votre compte.
La synchronisation cloud est une fonction glumea+, et elle est désactivée tant que vous ne l’activez pas. Ce qu’elle contrôle, c’est si votre carnet est aussi copié sur nos serveurs : vos entrées, vos catalogues de médicaments et vos programmes de médicaments. L’activer demande deux étapes, et vous pouvez vous arrêter à chacune. Sans abonnement glumea+ actif, l’Application vous montre l’écran d’abonnement au lieu d’activer quoi que ce soit. Avec un abonnement, l’Application vous demande ensuite de confirmer, dans une étape distincte, que vous acceptez que vos données de santé, mesures de glycémie, enregistrements d’insuline et de médicaments, entrées d’alimentation et de poids, et tout ce que vous avez saisi dans une note, soient stockées sur nos serveurs. Elle le demande chaque fois que l’interrupteur est activé, pas seulement la première fois. Cette confirmation est votre consentement explicite au titre de l’article 9, paragraphe 2, point a), du RGPD pour le carnet. Vous pouvez le retirer à tout moment en désactivant Synchronisation cloud, et retirer ce que nous détenons déjà avec le lien Supprimer les données du serveur de la même feuille. Lorsque la synchronisation est désactivée, tout ce que vous notez reste uniquement sur votre appareil.
Lorsque la synchronisation est activée, vos données sont stockées sur notre serveur à api.glumea.app, qui fonctionne sur Google Cloud Run avec une base de données PostgreSQL Google Cloud SQL, dans la région europe-west1 de Google (Belgique).

L’interrupteur appartient à votre compte, pas au téléphone. Nous conservons votre réponse sur nos serveurs, et l’Application la relit à partir de là lorsque vous vous connectez et lorsqu’elle se reconnecte. Elle survit donc à la déconnexion, et elle vous suit : activez la synchronisation, connectez-vous sur un autre téléphone, et la synchronisation y est aussi activée sans qu’on vous le redemande. La désactivation est enregistrée de la même façon. Si vous la désactivez hors connexion, l’Application garde cette réponse et la transmet à nos serveurs à la première occasion, un retrait n’est jamais annulé parce qu’une requête a échoué. Sur un appareil partagé, cela joue dans l’autre sens qu’un interrupteur propre à l’appareil : la personne qui se connecte obtient la réponse de son propre compte, pas celle que la dernière personne a laissée.

Si glumea+ se termine, les nouvelles entrées cessent d’être sauvegardées, cela ne retire pas votre consentement et ne supprime rien. Lorsqu’un abonnement prend fin, est annulé ou est remboursé, l’Application cesse de copier de nouvelles entrées vers nos serveurs. Les modifications et suppressions d’entrées déjà présentes continuent d’atteindre nos serveurs, et l’Application continue d’en télécharger. La feuille Synchronisation cloud indique Les modifications et suppressions continuent d’être synchronisées · Les nouvelles entrées restent sur cet appareil. Ce qui est déjà sur nos serveurs y reste, ce qui est sur votre appareil y reste, et votre réponse enregistrée à la question du consentement est laissée telle quelle, de sorte que si vous vous abonnez à nouveau, la sauvegarde complète reprend sur cette réponse enregistrée sans vous le demander une seconde fois. Si vous préférez qu’il n’en soit pas ainsi, désactivez l’interrupteur : le désactiver, et le lien Supprimer les données du serveur à côté, restent tous deux disponibles qu’un abonnement soit en cours ou non. Mettre fin à un abonnement ne vous retire jamais la possibilité de retirer votre consentement ni de faire effacer la copie serveur.

La synchronisation peut aussi s’arrêter sans que vous touchiez à cet interrupteur. Votre session de connexion peut expirer, et lorsque c’est le cas nous ne vous déconnectons pas et ne supprimons rien : l’Application conserve chaque entrée sur votre appareil, met la sauvegarde en pause et attend. La feuille Synchronisation cloud indique alors En pause et vous dit que rien n’est synchronisé tant que vous ne vous êtes pas reconnecté, et l’écran Résumé affiche une bannière sur la session expirée. Tout ce que vous notez entre-temps reste sur l’appareil et n’atteint nos serveurs qu’une fois que vous vous êtes reconnecté. Si vous comptez sur la copie serveur pour survivre à la perte d’un téléphone, c’est cette bannière qui demande d’agir.

La copie sur nos serveurs est protégée par le chiffrement du transport, par le chiffrement du stockage de Google et par nos contrôles d’accès. Elle n’est pas chiffrée de bout en bout, et nous pouvons la lire. glumea n’est pas un service à connaissance nulle. Le seul artefact de tout le système que nous ne pouvons pas ouvrir est une archive .glumea, car elle est chiffrée avec un mot de passe que vous seul connaissez.

11. Combien de temps nous conservons vos données

Nous conservons vos données pendant les durées ci-dessous.

Données de compte, profil et réglages thérapeutiques : conservés sur nos serveurs aussi longtemps que votre compte existe.
Entrées de santé et catalogues de médicaments que vous avez synchronisés : conservés aussi longtemps que votre compte existe, ou jusqu’à ce que vous supprimiez la copie serveur ou supprimiez votre compte. Supprimer une entrée isolée fonctionne différemment : elle disparaît de l’appareil sur lequel vous l’avez supprimée, et de cet appareil seulement. La copie sur nos serveurs reste, l’entrée peut donc revenir après une réinstallation, sur un nouveau téléphone, ou après que vous vous êtes déconnecté puis reconnecté. Seuls Supprimer les données du serveur ou la suppression de votre compte retirent ces lignes de nos serveurs.
Pierres tombales des entrées que vous avez supprimées : lorsque la suppression d’une entrée isolée atteint bien nos serveurs, la ligne est conservée comme marqueur qui porte encore sa valeur, ses étiquettes et ses notes, afin que la suppression puisse se propager à vos autres appareils. Nous n’avons aucune tâche qui les purge, elles restent donc aussi longtemps que votre compte existe. Utiliser Supprimer les données du serveur, ou supprimer votre compte, les retire.
Sessions de connexion : un jeton d’accès dure 15 minutes. L’enregistrement de session sur nos serveurs expire après 90 jours sans utilisation. Se déconnecter le révoque immédiatement, il ne peut donc jamais être réutilisé, mais la ligne elle-même est retirée par une tâche horaire une fois cette fenêtre de 90 jours écoulée. Supprimer votre compte la retire sur-le-champ.
Codes à usage unique : expirent 10 minutes après leur émission, et une tâche horaire marque les codes expirés comme inutilisables. Nous ne purgeons pas les enregistrements eux-mêmes : ils restent jusqu’à ce que vous supprimiez votre compte, ce qui les retire avec tout le reste.
Sauvegardes de serveur : 7 jours. Les données supprimées de la base de données active subsistent dans les sauvegardes jusqu’à leur renouvellement.
Journaux de requêtes du serveur, qui comprennent les adresses IP : 30 jours.
Événements d’analyse chez PostHog : 12 mois.
Rapports de diagnostic chez Sentry : 90 jours.
Enregistrements de notifications d’abonnement : jusqu’à 90 jours à compter du moment où chaque message nous parvient, sauf si la suppression du compte les retire plus tôt. La tâche planifiée compte l’ancienneté et ne retient pas une ligne pour un litige de facturation en cours.
Données stockées uniquement sur votre appareil : elles y restent jusqu’à ce que vous les supprimiez, vous vous déconnectiez, utilisiez la commande de suppression de compte dans l’Application, ou désinstalliez l’Application. Une demande de suppression de compte par e-mail ne peut pas effacer un appareil à distance.

12. Suppression : ce qui se passe et où

Avant de commencer. Deux choses comptent plus que tout ce qui suit, et elles figurent toutes deux dans les Conditions d’utilisation : annulez d’abord votre abonnement glumea+ dans la boutique, car supprimer votre compte glumea n’arrête pas les prélèvements (section 13.1 de ces conditions), et exportez d’abord, car une fois vos lignes disparues nous ne pouvons plus établir d’export pour vous (section 13.3 de ces conditions).

Trois contrôles différents, trois résultats différents. Ils se confondent facilement, voici donc :

Contrôle	Où il se trouve	Ce qu’il retire	Ce qu’il conserve	Ce qui peut l’annuler
Supprimer une entrée isolée	Là où vous l’avez notée	Cette entrée, sur cet appareil seulement	La copie serveur, qui peut la faire revenir	Une réinstallation, un nouveau téléphone, ou une déconnexion puis reconnexion
Supprimer les données du serveur	La feuille Synchronisation cloud, ouverte depuis le bouton cloud de Résumé ou Historique, pas les Paramètres	La copie serveur de vos entrées, catalogues de médicaments et programmes	Votre compte, votre profil, vos réglages thérapeutiques, et tout ce qui est sur votre téléphone	Réactiver la synchronisation renvoie le contenu depuis votre téléphone
Supprimer le compte	Paramètres → Compte, ou écrivez à [email protected] si vous ne pouvez pas utiliser l’Application	Votre compte et les données de production associées sur nos serveurs ; la démarche dans l’Application efface aussi cet appareil	Les sauvegardes existantes, certains enregistrements de prestataires et toute donnée sur des appareils non atteints par l’effacement dans l’Application	Rien ne restaure le compte supprimé

Supprimer les données du serveur exige une connexion active et que l’interrupteur Synchronisation soit d’abord désactivé ; les trois remarques à la fin de cette section en expliquent la raison.

Supprimer votre compte dans l’Application le retire immédiatement de notre base de données de production. Une demande vérifiée par e-mail suit le même chemin de suppression côté serveur. Voici ce qui se passe à chaque destination.

Notre base de données de production : supprimer votre compte effectue une suppression définitive de votre fiche d’utilisateur lorsque vous la confirmez dans l’Application ou qu’un opérateur termine une demande vérifiée par e-mail. Tout ce qui y est rattaché est retiré avec elle par cascade de base de données : votre profil, vos réglages thérapeutiques, chaque entrée synchronisée de glycémie, d’alimentation, de poids, d’insuline, de pilules et d’injectables, vos catalogues et programmes de médicaments, vos sessions, et vos codes de vérification et de réinitialisation en attente. Il n’y a aucun indicateur de suppression logique et aucune récupération.
Enregistrements de notifications d’abonnement : chaque ligne contient l’identifiant de votre compte glumea et le message complet envoyé par RevenueCat. Elle n’est pas liée à la ligne de votre compte, la cascade automatique ne l’atteint donc pas, mais le service de suppression la retire séparément dans la même transaction. Sans suppression de compte, une tâche planifiée retire chaque ligne après 90 jours.
RevenueCat : supprimer votre compte met en file d’attente une demande de retrait de la fiche d’abonné sous l’identifiant de votre compte. Nous essayons la demande immédiatement et la retentons si le prestataire est indisponible. L’historique de facturation des boutiques reste hors de notre contrôle.
PostHog : supprimer votre compte met en file d’attente une demande de retrait du profil d’analyse lié au compte, de ses événements et de ses enregistrements. Nous essayons immédiatement et retentons si le prestataire est indisponible. PostHog peut terminer de façon asynchrone une suppression en masse acceptée. Les événements antérieurs à la connexion utilisent un identifiant d’appareil pseudonymisé distinct.
Sauvegardes de serveur : une copie de ce qui a été supprimé subsiste dans les sauvegardes automatiques de base de données de notre hébergeur jusqu’à leur renouvellement : 7 jours, et en aucun cas plus de six mois après l’authentification lorsque cette limite légale s’applique. Les enregistrements individuels ne sont pas modifiés à l’intérieur d’une sauvegarde. Une restauration après sinistre peut donc réintroduire temporairement des lignes supprimées de la production.
Journaux de serveur : supprimer votre compte n’efface pas rétroactivement les journaux de requêtes du serveur, qui sont conservés 30 jours.
Sentry : l’Application ne joint à un rapport de diagnostic ni identifiant de compte, ni adresse e-mail, ni fiche d’utilisateur. Il n’existe donc aucun moyen pris en charge de retrouver ou de supprimer les rapports d’un utilisateur donné. Les rapports produits par le gestionnaire de plantage du système d’exploitation ne passent pas par le filtre de l’Application, et nous ne connaissons pas tous les champs que le SDK de la plateforme ajoute. Les rapports expirent selon la conservation de Sentry : 90 jours. L’article 11, paragraphe 2, du RGPD traite des données pour lesquelles le responsable du traitement ne peut véritablement pas identifier la personne concernée.
Apple et Google : vos enregistrements d’achat et d’abonnement appartiennent à la boutique, pas à nous. Supprimer votre compte glumea n’annule pas un abonnement et ne supprime rien chez Apple ni chez Google. Annulez dans les réglages de votre compte de boutique ; leurs enregistrements sont régis par leurs politiques et par le droit fiscal.
Votre propre appareil : supprimer le compte dans l’Application, se déconnecter ou changer de compte efface de cet appareil la base de données locale, les identifiants de session et les préférences enregistrées. Une demande par e-mail ne peut pas effacer un appareil à distance. Effacer une préférence de télémétrie ne désactive pas de façon fiable un SDK déjà initialisé dans le processus en cours. Un indicateur de première installation et la clé de chiffrement de la base de données peuvent survivre à un effacement dans l’Application, mais aucun des deux ne contient de données du carnet. Une sauvegarde d’appareil iCloud peut contenir une copie chiffrée et illisible de la base de données ; la sauvegarde Android est désactivée pour l’Application.
Copies que vous avez faites vous-même : une archive .glumea, un CSV, un rapport PDF, tout ce que vous avez partagé ou enregistré ailleurs : elles vous appartiennent et sont hors de notre portée. Supprimez-les là où vous les avez mises.

Pour résumer le calendrier : la suppression de la base de données de production a lieu lorsque vous la confirmez dans l’Application, ou lorsqu’un opérateur termine une demande vérifiée par e-mail. Les demandes de suppression auprès de RevenueCat et de PostHog sont tentées immédiatement et mises en file d’attente pour une nouvelle tentative en cas d’échec. Une copie peut subsister dans les sauvegardes de l’hébergeur jusqu’à leur renouvellement, dans un délai de 7 jours.

La cascade de base de données elle-même n’atteint pas les journaux de requêtes du serveur, les rapports Sentry, les enregistrements de notifications d’abonnement ni les enregistrements des prestataires. Le service de suppression retire séparément les notifications d’abonnement et demande l’effacement des enregistrements RevenueCat et PostHog. Les journaux de serveur et les rapports Sentry expirent selon les durées de conservation configurées.

La suppression est définitive. Les données supprimées ne peuvent pas être récupérées, donc si vous pouvez avoir besoin de vos enregistrements plus tard, par exemple pour votre équipe soignante, faites-en d’abord une copie avec les options d’export décrites dans la partie sur vos droits.

Vous pouvez aussi demander la suppression du compte par e-mail sans l’Application. Nous vérifions que le compte est bien le vôtre avant de la traiter.

Trois autres choses sur le contrôle plus restreint Supprimer les données du serveur, qui retire la copie serveur de vos entrées, de vos catalogues de médicaments et de vos programmes de médicaments mais conserve votre compte, votre profil, vos réglages thérapeutiques et tout ce qui est sur votre appareil :

Il exige une connexion active. Si votre session a expiré, dans l’état que décrit la section 10, où la feuille indique En pause : le lien vous dit de vous reconnecter et ne fait rien tant que vous ne l’avez pas fait. Se reconnecter suffit ; rien n’est perdu entre-temps.
Il exige que Synchronisation cloud soit d’abord désactivée. Si vous réactivez ensuite la synchronisation, les entrées encore présentes sur votre appareil sont mises en file d’attente et envoyées à nouveau, la suppression sur le serveur est annulée par votre propre appareil.
Il ne se propage pas à vos autres appareils. Ils gardent leurs copies locales et ne sont pas prévenus.

13. Vos contrôles dans l’Application

Vous n’avez pas besoin de nous écrire pour contrôler vos données. L’Application vous donne ces contrôles intégrés :

Supprimer le compte : dans Paramètres → Compte, après que vous avez saisi un mot de confirmation. Effectue la suppression définitive côté serveur décrite plus haut et efface de cet appareil la base de données locale de l’Application, les identifiants de session et les préférences. Vous pouvez aussi demander la suppression du compte côté serveur à [email protected] si vous ne pouvez pas utiliser l’Application. La section 12 indique ce qui subsiste.
Supprimer les données du serveur : le lien supprimer vos données dans la ligne sous l’interrupteur Synchronisation de la feuille Synchronisation cloud, qui s’ouvre depuis le bouton cloud en haut de l’écran Résumé ou Historique et non depuis les Paramètres. Le lien est toujours affiché, mais il ne fonctionne qu’une fois l’interrupteur désactivé. Supprime définitivement la copie serveur de vos entrées, de vos catalogues de médicaments et de vos programmes de médicaments, tout en conservant votre compte et les données de votre appareil. Il ne va pas plus loin que cela : votre profil et vos réglages thérapeutiques restent sur nos serveurs jusqu’à ce que vous supprimiez votre compte. Lisez les trois remarques juste au-dessus.
Synchronisation cloud : l’interrupteur Synchronisation de cette même feuille, et une fonction glumea+. Désactivez-le à tout moment pour empêcher que de nouvelles données n’atteignent nos serveurs, ce qui est aussi la façon de retirer votre consentement à ce que nous les stockions ; le désactiver n’exige jamais un abonnement actif. Les données déjà synchronisées restent sur nos serveurs jusqu’à ce que vous utilisiez Supprimer les données du serveur ou Supprimer le compte. Votre réponse à cet interrupteur est conservée sur votre compte, elle survit donc à la déconnexion et vous suit sur un nouveau téléphone.
Statistiques d’utilisation et Rapports d’erreur : deux interrupteurs indépendants dans Paramètres → Données et confidentialité → Confidentialité et diagnostics. Les deux sont désactivés tant que vous ne les activez pas. En désactiver un met à jour la préférence, mais des données en file d’attente peuvent encore être transmises et la déconnexion ne ferme pas de façon fiable un SDK déjà initialisé dans le processus en cours.
Apple Health / Health Connect : connectez, déconnectez, ou désactivez des types de données individuels dans Paramètres → Intégrations. Vous pouvez aussi révoquer l’autorisation dans la plateforme de santé elle-même.
Afficher les détails dans les notifications (Paramètres → Notifications) : désactivé tant que vous ne l’activez pas. Jusque-là, les notifications affichent un texte générique.
Se déconnecter : efface de l’appareil la base de données locale de l’Application, vos identifiants de session et vos préférences, y compris vos choix d’analyse et de diagnostics. Rien de ce que vous avez noté et aucun choix que vous avez fait n’est conservé ; la section sur la suppression nomme les deux valeurs techniques qui subsistent.
Export : une archive .glumea protégée par mot de passe de vos entrées, médicaments, profil, objectifs thérapeutiques et rappels, depuis Paramètres → Données et confidentialité → Import et export des données. Les rapports de glycémie CSV et PDF sont une chose distincte, produits depuis la feuille d’export propre à l’écran de glycémie ; l’archive et le CSV sont gratuits, et le rapport PDF est une fonction glumea+.

[email protected] accepte les demandes de suppression de compte sans l’Application. D’autres demandes de droits hors de l’Application peuvent aussi y être envoyées, mais la démarche de suppression du compte ne fournit pas d’outil automatisé distinct d’export ou de correction.

14. Vos droits

Au titre du RGPD, vous avez le droit de :

Accéder à vos données personnelles et d’en obtenir une copie.
Rectifier les données inexactes ou incomplètes. Vous pouvez modifier les entrées et les médicaments là où vous les avez notés, votre profil dans Paramètres → Compte, et les réglages thérapeutiques là où vous les avez définis. Aucune procédure de correction distincte hors de l’Application n’est actuellement mise en œuvre.
Effacer vos données (« droit à l’oubli »). La section sur la suppression ci-dessus vous dit exactement ce que l’effacement atteint et ce qu’il n’atteint pas.
Limiter le traitement dans certaines situations.
Portabilité des données : recevoir les données que vous avez fournies dans un format structuré, couramment utilisé et lisible par machine, lorsque la loi prévoit ce droit. L’export de glycémie CSV dans l’Application est lisible par machine et non chiffré. L’archive .glumea contient les entrées, les médicaments, le profil, les objectifs thérapeutiques et les rappels, mais elle est chiffrée avec un mot de passe que vous seul connaissez et ne peut être importée que dans le compte glumea qui l’a créée. Aucun export personnalisé supplémentaire n’est actuellement disponible via [email protected].
Vous opposer au traitement fondé sur nos intérêts légitimes.
Retirer votre consentement à tout moment. Le retrait n’affecte pas le traitement qui était licite avant le retrait. Pour les données de carnet synchronisées, désactivez Synchronisation cloud et utilisez Supprimer les données du serveur, ou supprimez votre compte. Pour l’analyse et les diagnostics, utilisez les deux interrupteurs de Paramètres → Données et confidentialité → Confidentialité et diagnostics. Il n’existe aucun contrôle de retrait du seul profil ou des seuls réglages thérapeutiques, et aucune procédure de ce type n’est actuellement disponible via [email protected]. Supprimer le compte est le seul moyen mis en œuvre de retirer ces champs de notre base de données de production.
Introduire une réclamation auprès d’une autorité de contrôle. Notre autorité de contrôle chef de file est le président de l’Office de protection des données personnelles (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Varsovie, Pologne. Vous pouvez aussi introduire une réclamation auprès de l’autorité de protection des données de l’État membre de l’UE où vous vivez, où vous travaillez ou où vous estimez qu’une violation a eu lieu. Si vous êtes au Royaume-Uni, vous pouvez introduire une réclamation auprès de l’Information Commissioner’s Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF.

Utilisez les contrôles de l’Application décrits à la section 13 lorsqu’ils couvrent l’action demandée. Pour une suppression de compte sans l’Application, écrivez à [email protected]. D’autres demandes de droits peuvent aussi y être envoyées ; cette démarche de suppression du compte ne fournit pas elle-même d’outil distinct d’accès, d’export ou de correction.

Si un responsable du traitement ne donne pas suite à une demande fondée sur le RGPD, l’article 12 exige qu’il en explique la raison dans un délai d’un mois et qu’il indique les voies de réclamation et de recours juridictionnel disponibles. Ces voies restent ouvertes que vous contactiez ou non à nouveau le responsable du traitement.

Vérification de l’identité. La suppression dans l’Application repose sur votre session authentifiée. Pour une demande par e-mail, nous confirmons que vous contrôlez l’adresse e-mail liée au compte. Si vous n’y avez pas accès, nous examinons s’il est possible de vérifier autrement que le compte est le vôtre avant de le supprimer. Nous ne demandons ni votre mot de passe ni vos données de santé pour traiter la demande.

15. Comment nous protégeons vos données

Les mots de passe sont hachés avec bcrypt, jamais stockés en clair, et jamais stockés sur votre appareil.
La base de données locale de votre appareil est chiffrée, avec une clé conservée dans le trousseau de clés de la plateforme qui ne migre pas vers un autre appareil.
Les jetons d’authentification sont conservés dans le stockage sécurisé de votre appareil, le Trousseau iOS ou le stockage adossé à l’Android Keystore.
L’Application communique avec nos serveurs en HTTPS, et les deux plateformes bloquent par défaut les connexions en clair, nous n’avons ajouté aucune exception à cela ni sur iOS ni sur Android.
Notre base de données fonctionne dans Google Cloud, accessible uniquement par un socket privé Cloud SQL, avec des identifiants conservés dans Google Secret Manager.
Nous n’écrivons pas dans nos journaux applicatifs les valeurs que vous notez, mesures de glycémie, doses d’insuline. Une ligne de journal d’erreur enregistre le code d’état, le chemin, l’heure et le message d’erreur, qui, pour une requête rejetée, nomme les champs qui ont échoué à la validation. Elle ne contient pas le corps de la requête.
Les notifications affichent par défaut un texte générique, une notification ne place donc pas vos données de santé sur votre écran verrouillé.
L’accès à la base de données de production est limité aux personnes qui exploitent le service, ce qui signifie que nous pouvons la lire. Ce qui la protège de tous les autres, ce sont le contrôle d’accès et le chiffrement en transit et au repos.

Aucun système n’est parfaitement sûr. Les mesures ci-dessus sont ce que nous faisons pour limiter l’exposition des parties sensibles de vos données.

Un incident touchant des données personnelles peut entraîner une notification aux autorités de contrôle ou aux personnes concernées au titre des articles 33 et 34 du RGPD, de la Health Breach Notification Rule de la FTC ou d’une autre loi applicable. Chaque régime a son propre champ d’application et son propre délai, et ces obligations légales s’appliquent indépendamment de cette politique.

16. Enfants

glumea ne s’adresse pas aux enfants. Vous devez avoir au moins 16 ans pour utiliser l’Application. C’est une condition du service, quel que soit le lieu. Nous ne proposons aucune voie d’autorisation parentale. La procédure de suppression de compte dans l’Application et les limites de la section 12 s’appliquent à tout compte identifié comme appartenant à une personne de moins de 16 ans. Les préoccupations concernant un compte de mineur peuvent être envoyées à [email protected].

17. Remarques pour les utilisateurs aux États-Unis

Le droit américain de la vie privée varie selon les États, et son applicabilité dépend de la résidence, des seuils légaux et du type de données concerné. Les contrôles de l’Application décrits à la section 13 sont disponibles indépendamment de ces seuils. Les droits légaux applicables restent en vigueur même lorsque le produit actuel ne dispose pas d’une procédure de demande distincte.

HIPAA : glumea est un produit destiné directement aux consommateurs. Nous ne délivrons pas de soins de santé, nous ne traitons pas de demandes de remboursement, et nous n’avons aucun contrat avec un régime de santé ou un prestataire de soins pour traiter des données pour leur compte, nous n’agissons donc dans aucun des deux rôles que réglemente la HIPAA, celui d’« entité couverte » ou d’« associé commercial », et nous ne revendiquons pas la conformité à la HIPAA. Les dossiers que votre propre clinicien détient sur vous sont couverts par la HIPAA entre ses mains ; c’est distinct de la copie que vous conservez dans glumea. Les règles américaines auxquelles nous nous conformons pour glumea sont la règle de notification des violations de données de santé de la FTC et les lois des États sur la confidentialité de la santé ci-dessous.
Californie (CCPA/CPRA) : l’applicabilité dépend des seuils légaux d’activité. Les données décrites ici peuvent comprendre des informations personnelles sensibles. Nous ne vendons pas d’informations personnelles et ne les partageons pas pour de la publicité comportementale inter-contextes. Si le CCPA s’applique, ses règles d’accès, de correction, de suppression, de portabilité, d’opposition et de non-discrimination s’appliquent indépendamment de cette politique. Les contrôles de l’Application et la demande de suppression de compte par e-mail restent disponibles quel que soit le seuil.
Washington (My Health My Data Act) : les données que vous notez sont des « données de santé de consommateur ». L’État de Washington exige une politique distincte pour elles ; consultez la Politique de confidentialité des données de santé des consommateurs. Elle décrit les catégories, les sources, les finalités, les destinataires, les droits prévus par la loi et les limites opérationnelles actuelles de la procédure de demande et de recours.
Nevada (loi sur les données de santé des consommateurs, SB 370 de 2023) : les données que vous notez sont aussi des « données de santé de consommateur » au regard de la loi du Nevada. Vous avez le droit de confirmer si nous les collectons, les partageons ou les vendons, d’obtenir la liste des tiers avec lesquels elles ont été partagées ou auxquels elles ont été vendues, de les faire supprimer et de retirer votre consentement, que le Nevada traite comme deux consentements distincts, l’un pour la collecte et l’autre pour le partage. La loi du Nevada est appliquée par le procureur général. Notre Avis de confidentialité des données de santé des consommateurs du Nevada expose ces droits, les délais qui s’y appliquent, plus courts que ceux de Washington pour une suppression, et les quatre informations que demande le Nevada.
Demandes et recours. La loi applicable de l’État peut exiger une explication écrite, une voie de recours et des informations pour déposer une plainte auprès du procureur général de l’État. Aucune procédure de recours distincte par e-mail n’est actuellement mise en œuvre à [email protected], la procédure actuelle ne fournit donc pas cette voie là où elle est exigée. Les exigences de l’État de Washington sont décrites dans la Politique de confidentialité des données de santé des consommateurs.
Les autres droits prévus par la loi applicable d’un État ne sont pas limités par cette politique.

18. Le site web glumea.com

Le Site web est un site statique qui héberge des informations sur glumea et ces documents juridiques. Il est volontairement minimal :

Aucun cookie.
Aucune analyse, et aucune requête vers une origine tierce. Tout ce dont la page a besoin, polices et scripts compris, est servi par glumea.com lui-même, et la politique de sécurité de contenu du site bloque purement et simplement toute autre origine. La page elle-même est livrée par notre hébergeur, qui voit nécessairement la requête ; le dernier point de cette liste dit qui il est et ce qu’il journalise. Le site exécute bien une petite quantité de JavaScript qui lui est propre : deux extraits intégrés qui appliquent votre thème et vous dirigent vers la bonne langue, plus quelques fichiers groupés derrière le menu de navigation, les sélecteurs de thème et de langue, et l’animation qui révèle des blocs au fil du défilement. Aucun n’envoie quoi que ce soit nulle part.
Aucun suivi entre sites, et donc rien qu’un signal Do Not Track ou Global Privacy Control puisse désactiver. Le Site web ne dépose aucun cookie publicitaire ni d’analyse, n’effectue aucune requête tierce, et nous ne vendons ni ne partageons d’informations personnelles.
Le localStorage du navigateur n’est utilisé que pour des préférences fonctionnelles (votre choix de thème et de langue). Ces valeurs restent dans votre navigateur et ne nous sont pas transmises. Elles ne sont définies que parce que vous avez choisi un thème ou une langue, c’est pourquoi aucun bandeau de consentement n’est nécessaire pour elles.
Le site est servi par Firebase Hosting (Google). Comme la plupart des hébergeurs web, le prestataire peut enregistrer des journaux de serveur standard, adresse IP, heure de la requête, type de navigateur, pour la sécurité et pour faire fonctionner le service. Nous nous appuyons pour cela sur les intérêts légitimes (article 6, paragraphe 1, point f), du RGPD), plus précisément maintenir le site disponible et le protéger contre les abus, et les journaux ne sont conservés que le temps nécessaire à ces fins.

19. Modifications de cette politique

La version actuelle est publiée ici avec sa date d’entrée en vigueur. Le droit applicable détermine si une modification exige un préavis, un nouveau consentement ou une autre mesure. La publication d’une politique mise à jour n’autorise pas à elle seule une nouvelle finalité qui exige un consentement ou une autre base juridique.

20. Langue

Cette politique est publiée en anglais. La version anglaise est la seule juridiquement contraignante. Des traductions dans d’autres langues sont publiées pour que vous puissiez lire la politique dans votre langue. En cas de différence entre une traduction et le texte anglais, c’est le texte anglais qui prévaut.

L’exception est la loi elle-même. Lorsque le pays où vous vivez accorde à la langue dans laquelle on s’est adressé à vous un statut propre, comme le fait le droit de la consommation de plusieurs pays, cette règle s’applique à la place de celle-ci, et rien ici ne vous retire un droit que vous tenez d’elle.

Une traduction est publiée lorsqu’elle est prête, elle peut donc être en retard sur le texte anglais après une mise à jour. Si vous trouvez un endroit où une traduction et le texte anglais disent des choses différentes, dites-le-nous à [email protected].

21. Nous contacter

Questions, préoccupations ou demandes concernant vos données :

E-mail : [email protected]
Courrier : Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Pologne

Documents liés : Conditions d’utilisation, Avertissement médical et, pour les résidents de l’État de Washington, notre Politique de confidentialité des données de santé des consommateurs, ou pour les résidents du Nevada notre Avis de confidentialité des données de santé des consommateurs du Nevada.