Informativa sulla privacy

1. Chi siamo e che cosa copre questa informativa

Paweł Milewski Software Development (il Gestore, «noi», «ci», «nostro») fornisce glumea (l’App), un’applicazione mobile per l’autogestione del diabete, e glumea.com (il Sito). Questa informativa spiega quali dati raccogliamo, perché, dove vengono conservati, chi può accedervi, per quanto tempo vengono conservati, che cosa rimuove l’eliminazione, e i diritti e i controlli che hai.

È anche l’informativa che ti dobbiamo ai sensi della normativa europea sulla protezione dei dati: le informazioni richieste dagli articoli 13 e 14 del regolamento generale sulla protezione dei dati (regolamento (UE) 2016/679), che da qui in poi chiamiamo RGPD, relative sia ai dati che ci fornisci tu direttamente sia ai dati che ci arrivano da un’altra fonte.

Questa informativa riguarda:

L’App: l’app mobile glumea per iOS e Android.
Il Sito: il sito glumea.com, comprese le pagine che ospitano questi documenti legali.

Il Sito raccoglie quasi nulla e ha una sezione dedicata più avanti.

Il Gestore è il titolare del trattamento responsabile dei tuoi dati personali:

Titolare del trattamento: Paweł Milewski Software Development
Numero di registrazione dell’impresa: NIP PL6751782526 (ditta individuale iscritta al CEIDG, il registro polacco centrale delle informazioni e delle registrazioni delle attività economiche)
Indirizzo postale: ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polonia
E-mail: [email protected]
Paese di stabilimento: Polonia

Se applicabile:

Rappresentante nell’UE: non applicabile (siamo stabiliti nell’Unione europea)
Rappresentante nel Regno Unito: non nominato
Responsabile della protezione dei dati: non nominato; le domande sulla protezione dei dati vanno a [email protected]

«Titolare del trattamento» indica il soggetto che decide come e perché i tuoi dati personali vengono trattati, ai sensi dell’RGPD.

Insieme a questa informativa si applicano altri due documenti, che dovresti leggere insieme a essa:

i nostri Termini di servizio, che regolano l’uso dell’App e del Sito, e
la nostra Avvertenza medica, che stabilisce i limiti medici di ciò che fa l’App.

Se risiedi nello Stato di Washington, ti si applica specificamente un quarto documento: la nostra Informativa sui dati sanitari dei consumatori, che la legge di Washington ci impone di pubblicare separatamente. Se ti trovi in Nevada, l’equivalente è la nostra Informativa sui dati sanitari dei consumatori del Nevada.

2. Riepilogo

Una versione breve di ciò che segue. Ogni punto indica la sezione che lo espone per intero, e quella sezione prevale.

Chi siamo. Paweł Milewski Software Development decide come e perché i tuoi dati vengono trattati. Sezioni 1 e 21.
Che cosa raccogliamo. Il tuo indirizzo e-mail e la tua password; il profilo che inserisci durante la configurazione iniziale; il diario che tieni, glicemia, cibo, insulina, altri farmaci, peso, farmaci e promemoria; token di accesso e registri delle connessioni al server. Registri di Apple Health o Health Connect se li colleghi, e informazioni sull’abbonamento se ti abboni. Sezione 3.
Dati sanitari. Il diario, il tipo di diabete, il metodo di trattamento e le impostazioni della terapia sono dati di categoria particolare ai sensi dell’articolo 9 dell’RGPD. La sincronizzazione cloud ha una conferma separata per il diario. L’attuale configurazione iniziale non raccoglie un consenso esplicito separato prima di conservare il profilo sanitario e le impostazioni della terapia. Sezioni 3.3 e 4.
Dove si trovano. Una parte dei tuoi dati è sui nostri server fin dal momento in cui crei un account: i dati dell’account, il tuo profilo compreso il tipo di diabete e il trattamento, e le impostazioni della terapia. Il tuo diario no: viene scritto prima in un database cifrato sul telefono, l’App funziona offline e arriva sui nostri server solo se attivi la Sincronizzazione cloud, una funzione di glumea+, disattivata finché non la attivi, e una scelta conservata sul tuo account anziché sul telefono. La sezione 10 contiene la tabella completa.
Chi lo riceve. Il nostro fornitore di hosting nell’UE; un fornitore di e-mail se l’invio delle e-mail è attivo; PostHog e Sentry, ciascuno solo dopo il tuo consenso; lo store se ti abboni; e RevenueCat, che tu ti abboni o no. Non vendiamo i tuoi dati e l’App non contiene pubblicità. Sezioni 5, 7, 8 e 9.
Le tue scelte. Analisi e segnalazione degli errori sono disattivate finché non acconsenti a ciascuna, e ognuna ha il proprio interruttore; uscire dall’account non ferma un SDK già in esecuzione in quella sessione. Nell’App puoi disattivare la sincronizzazione, eliminare la copia del diario sul server, eliminare il tuo account e usare le esportazioni disponibili. Sezioni 5 e 13.
I tuoi diritti. Accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, revoca del consenso e reclamo a un’autorità di protezione dei dati; negli Stati Uniti, i diritti che ti riconosce la legge del tuo Stato. Puoi eliminare il tuo account nell’App oppure chiedere l’eliminazione dell’account scrivendo a [email protected] senza usare l’App. Sezioni 13, 14 e 17.
Che cosa l’eliminazione non raggiunge. Eliminare il tuo account rimuove i suoi record dal database di produzione e richiede l’eliminazione dei record di RevenueCat e PostHog collegati all’account. Backup esistenti, registri del server e di diagnostica, registri di fatturazione dello store e copie esportate possono rimanere, come descritto nella sezione 12.

3. Dati che raccogliamo

La maggior parte di ciò che è elencato qui è fornita direttamente da te. Due categorie non lo sono: le misurazioni che importi da Apple Health o Health Connect e le informazioni sull’abbonamento che ci arrivano da Apple, Google e RevenueCat. Entrambe sono descritte più avanti.

3.1 Dati dell’account

Indirizzo e-mail e password. La tua password viene sottoposta a hash con bcrypt sui nostri server, non viene mai conservata in chiaro e non viene mai salvata sul tuo dispositivo. Il tuo indirizzo e-mail è inoltre contenuto nel token di accesso che usa l’App.
Codici monouso per la verifica dell’e-mail, il ripristino della password, la modifica della password e la modifica dell’e-mail. Un codice scade 10 minuti dopo l’emissione e cinque tentativi errati lo invalidano.

3.2 Dati del profilo

Raccolti durante la configurazione iniziale:

Nome e cognome (conservati come soprannome), età, genere (facoltativo) e altezza.
Tipo di diabete (tipo 1, tipo 2, gestazionale o altro), metodi di trattamento (insulina, compresse, iniettabili, dieta) e modalità di somministrazione dell’insulina.

Il tuo tipo di diabete, i tuoi metodi di trattamento e la tua modalità di somministrazione dell’insulina sono dati sanitari, una «categoria particolare» di dati personali ai sensi dell’articolo 9 dell’RGPD, anche se questa informativa li raggruppa sotto «profilo». La sezione sulle basi giuridiche qui sotto indica la condizione su cui ci basiamo per essi.

3.3 Dati sanitari che registri (dati di categoria particolare)

Quanto segue è costituito da dati sanitari, una «categoria particolare» di dati personali ai sensi dell’articolo 9 dell’RGPD. Li conserviamo sui nostri server solo con il tuo consenso esplicito. La sezione sulle basi giuridiche qui sotto indica come viene dato quel consenso e quali di questi dati arrivano sui nostri server solo quando la sincronizzazione cloud è attiva:

Misurazioni della glicemia, con tag di contesto facoltativi (orario rispetto ai pasti, fisiologia, attività, farmaci e tecnologia, più i tag che scrivi tu) e note a testo libero.
Voci sul cibo: carboidrati, più facoltativamente proteine, grassi, calorie e un nome che digiti.
Dosi di insulina: il numero di unità, collegato al farmaco insulinico che hai configurato, bolo, basale o premiscelata.
Dosi di farmaci iniettabili (per esempio agonisti del GLP-1).
Conteggi delle assunzioni di pillole e compresse.
Voci sul peso corporeo, ciascuna con l’ora in cui l’hai registrata.
I tuoi cataloghi di farmaci: farmaci insulinici, in compresse e iniettabili che configuri, compresi i nomi dei medicinali (per esempio Fiasp, Lantus, Metformin, Ozempic) e i parametri farmacocinetici (inizio, picco, durata), e gli orari dei promemoria che imposti per essi.
Le impostazioni di trattamento che configuri: il tuo intervallo target della glicemia (predefinito 3,9–10,0 mmol/L, oppure 3,9–7,8 mmol/L per diabete gestazionale, prediabete o nessuna diagnosi di diabete), il rapporto insulina/carboidrati (ICR) e il fattore di sensibilità insulinica (ISF). L’App non usa mai nessuno di questi per calcolare o raccomandare una dose. Il tuo rapporto insulina/carboidrati è conservato come riferimento per te e nient’altro lo legge. Il tuo intervallo target è conservato ed è anche ciò che disegna la fascia entro l’intervallo nel Tempo nell’intervallo, stabilisce i limiti interni dell’etichetta Buona / Discreta / Critica e decide quando cambia la formulazione del rischio di ipoglicemia. Il tuo fattore di sensibilità insulinica serve a determinare la formulazione del rischio di ipoglicemia e l’intervallo approssimativo di riduzione mostrato accanto all’insulina attiva. L’Avvertenza medica descrive tutto questo.
Valori che l’App ricava sul tuo dispositivo da ciò che registri: l’insulina attiva stimata (una stima solo a scopo informativo: non raccomanda né calcola una dose), la formulazione del rischio di ipoglicemia e l’intervallo approssimativo di riduzione mostrato accanto, gli andamenti, la glicemia media e la sua dispersione, il Tempo nell’intervallo, la HbA1c stimata (GMI), l’orario suggerito per la prossima misurazione e l’etichetta Buona / Discreta / Critica sulla tua ultima misurazione. L’Avvertenza medica spiega che cosa sia e che cosa non sia ciascuno di questi valori.

Diversi di questi campi sono a testo libero: note sulla glicemia, tag che scrivi tu, nomi di cibi, nomi di farmaci personalizzati, il nome di una fascia di promemoria personalizzata. Tutto ciò che scrivi lì viene conservato, e sincronizzato se la sincronizzazione è attiva, esattamente come l’hai digitato.

3.4 Dati che riceviamo da altre fonti

Apple Health e Health Connect. Se li colleghi, l’App legge dalla piattaforma sanitaria del tuo telefono i registri di glicemia, peso corporeo e carboidrati alimentari. È una lettura soltanto: l’App non riscrive mai nulla. Su iOS chiede al sistema solo l’accesso in lettura e non dichiara alcun motivo di scrittura, che una scrittura richiederebbe; su Android detiene solo i permessi di lettura per i tre tipi di registro. I registri nati da un misuratore, da un CGM o da un’altra app arrivano quindi a glumea attraverso la piattaforma sanitaria. Le voci importate sono conservate sul tuo dispositivo come voci ordinarie, contrassegnate con la piattaforma di provenienza e l’identificatore del registro. Se una voce importata venga copiata anche sui nostri server dipende dal fatto che la Sincronizzazione cloud sia attiva, esattamente come per una voce che hai inserito tu. Il collegamento è disattivato finché non lo attivi, e puoi scollegarlo o disattivare singoli tipi di dati in qualsiasi momento in Impostazioni → Integrazioni.
Apple, Google e RevenueCat. Se ti abboni a glumea+, le informazioni su quell’abbonamento ci arrivano dallo store e da RevenueCat. Vedi la sezione su glumea+ più avanti per sapere esattamente quali.

3.5 Dati tecnici

Token di autenticazione, conservati nell’archivio sicuro del tuo dispositivo per mantenerti connesso. La tua sessione sui nostri server è un record che contiene un identificatore di sessione, il tuo identificatore utente e la sua scadenza.
Quando la sincronizzazione cloud è attiva, i nostri server trattano i dati che sincronizzi insieme alla contabilità necessaria per far funzionare il servizio di sincronizzazione, come i timestamp di sincronizzazione.
Quando l’App comunica con i nostri server, i server ricevono le consuete informazioni di connessione, come il tuo indirizzo IP, il percorso richiesto e l’ora, usate per la sicurezza e per far funzionare il servizio.
Mentre le analisi o la diagnostica sono attive, ogni SDK invia i dati descritti nella sezione 5. Entrambe sono disattivate finché non acconsenti.

3.6 Dati che restano sul tuo dispositivo e dati che no

Alcune cose non arrivano mai sui nostri server: impostazioni delle notifiche, orari dei promemoria per le misurazioni della glicemia, Ore di silenzio, scelta del livello di dettaglio nelle notifiche, stato locale delle notifiche, stato del collegamento con la piattaforma sanitaria, preferenze dell’app, preferenze di telemetria e contabilità della sincronizzazione. Una precisazione: mentre le analisi sono attive, lingua, tema e impostazioni delle unità vengono inviati a PostHog come attributi del profilo. Nient’altro in questo elenco lascia il dispositivo attraverso il nostro backend.

I tuoi programmi dei farmaci sono l’eccezione: appartengono al diario, quindi vengono copiati sui nostri server quando la Sincronizzazione cloud è attiva, perché un promemoria di un farmaco deve sopravvivere a un nuovo telefono.

Nemmeno l’interruttore della sincronizzazione cloud è solo del dispositivo. La tua risposta è conservata sul tuo account sui nostri server, in modo che ti segua su un nuovo telefono e sopravviva all’uscita dall’account; la sezione 10 spiega che cosa significa in pratica.

I file che crei tu, un archivio di backup .glumea o un report glicemico in CSV o PDF, vengono scritti sul tuo dispositivo e consegnati all’app con cui scegli di condividerli o salvarli. Dove vanno dopo sfugge al nostro controllo, e un report CSV o PDF non è cifrato.

4. Perché trattiamo i tuoi dati e le nostre basi giuridiche

Ai sensi dell’RGPD, ogni uso richiede una base dell’articolo 6, e i dati di categoria particolare richiedono anche una condizione dell’articolo 9. Le basi previste sono elencate qui sotto. La fase di consenso al profilo che manca, descritta più avanti, non fornisce il consenso esplicito che il trattamento richiede.

Fornire il tuo account e l’App: creare e proteggere il tuo account, autenticazione, verifica dell’e-mail, ripristino della password, far funzionare la sincronizzazione cloud, fornire glumea+ se ti abboni, e tenere un registro delle notifiche di abbonamento che lo store e RevenueCat ci inviano, così da poter capire se glumea+ è attivo e risolvere un problema di fatturazione: esecuzione di un contratto, articolo 6(1)(b) RGPD.
Conservare dati sanitari sui nostri server: le basi previste sono l’articolo 6(1)(b) per il servizio e il consenso esplicito ai sensi dell’articolo 9(2)(a) per i dati sanitari. Il diario viene copiato sui nostri server solo dopo la conferma separata della Sincronizzazione cloud. L’attuale configurazione iniziale conserva sull’account il profilo e le impostazioni della terapia senza una fase separata di consenso esplicito. L’accettazione di un contratto non è automaticamente un consenso esplicito per il trattamento di categorie particolari, quindi l’attuale flusso di configurazione iniziale non fornisce quella condizione dell’articolo 9. Eliminare l’account è l’unico modo attualmente disponibile per rimuovere quei campi del profilo e della terapia dal database di produzione.
Analisi del prodotto: consenso ai sensi dell’articolo 6(1)(a), consenso esplicito ai sensi dell’articolo 9(2)(a) perché l’uso di un’app per il diabete rivela informazioni sulla salute, e consenso ai sensi dell’articolo 5(3) della direttiva ePrivacy per l’archiviazione dell’SDK. La sezione 5 descrive come viene chiesto quel consenso.
Diagnostica e segnalazioni di arresto anomalo: la base prevista è il consenso ai sensi dell’articolo 6(1)(a), il consenso esplicito ai sensi dell’articolo 9(2)(a) perché l’uso di un’app per il diabete rivela informazioni sulla salute, e il consenso ePrivacy ai sensi dell’articolo 5(3) per l’archiviazione dell’SDK, richiesti nello stesso modo delle analisi (sezione 5).
Mantenere il servizio sicuro e prevenire gli abusi: limitazione della frequenza delle richieste sulla nostra API e indagine su sospetti usi impropri: i nostri legittimi interessi, articolo 6(1)(f) RGPD. L’interesse specifico è proteggere il tuo account e quelli di altre persone da accessi non autorizzati e mantenere il servizio disponibile. Ci basiamo su questo solo quando i nostri interessi non sono superati dai tuoi diritti.
Adempiere un obbligo legale: quando la legge polacca ci impone di conservare o comunicare particolari registri, lo facciamo sulla base dell’articolo 6(1)(c) RGPD. Non ci basiamo su questa base per i dati sanitari che registri. Non incassiamo il tuo pagamento e non riceviamo mai i tuoi dati di pagamento, quindi i registri di pagamento e di fatturazione del tuo acquisto sono conservati dallo store e non da noi.

Non prendiamo nei tuoi confronti decisioni che producano effetti giuridici o effetti analoghi significativi basandoci unicamente sul trattamento automatizzato, e non ti profiliamo per tali decisioni. In glumea non c’è alcun processo decisionale automatizzato ai sensi dell’articolo 22 RGPD. Le stime che l’App mostra, insulina attiva, andamenti, Tempo nell’intervallo, sono calcoli aritmetici eseguiti sul tuo dispositivo sui dati che hai inserito, presentati solo a scopo informativo. Non raccomandano né calcolano alcuna dose di insulina o di farmaco e non sono un consiglio medico.

Fornire i dati è un obbligo? Non sei tenuto per legge a fornire dati. Per un account servono un indirizzo e-mail e una password. I campi del profilo e della terapia richiesti durante la configurazione iniziale sono conservati sull’account, con la limitazione relativa al consenso descritta sopra. Registrare voci, collegare Apple Health o Health Connect e la sincronizzazione cloud sono facoltativi. Analisi e diagnostica sono facoltative e disattivate finché non acconsenti.

5. Analisi e diagnostica

L’App include due SDK di terze parti per questi scopi: uno per le analisi del prodotto e uno per le segnalazioni di arresti anomali e di errori. Questa sezione spiega che cos’è ciascuno e che cosa riceve.

Entrambi sono disattivati finché non acconsenti, e nessuno dei due SDK viene avviato prima. L’App lo chiede alla fine della configurazione iniziale, con un interruttore separato per ciascuno. Gli interruttori sono mostrati in posizione attiva, ma non viene raccolto nulla finché non tocchi per continuare, e un tocco sul pulsante di rifiuto conclude la configurazione iniziale con entrambi disattivati. Se accedi a un account esistente senza passare dalla configurazione iniziale, entrambi restano disattivati finché non li attivi. Le due impostazioni sono indipendenti e si possono cambiare in qualsiasi momento in Impostazioni → Dati e privacy → Privacy e diagnostica. Uscire dall’account cancella entrambe le risposte insieme alle altre tue preferenze, ma un SDK già in esecuzione continua a funzionare finché l’App non viene chiusa.

5.1 Analisi del prodotto: PostHog

Usiamo PostHog (EU Cloud, eu.i.posthog.com) per capire come viene usata l’App, così da migliorarla.

Che cosa può ricevere PostHog mentre le analisi sono attive:

L’identificatore del tuo account glumea: l’UUID interno del tuo account. Non la tua e-mail, non il tuo nome. Dopo l’accesso, gli eventi sono collegati a quell’identificatore, quindi non sono anonimi. Gli eventi che possono verificarsi prima dell’accesso, o dopo l’uscita, primo avvio, avvii dell’app, registrazione e verifica di un codice ricevuto per e-mail, portano invece un identificatore pseudonimo del dispositivo, che viene rigenerato quando l’App reimposta l’SDK.
Un elenco fisso di nomi di evento, circa 28, che riguardano cose come l’apertura dell’app, la registrazione, il completamento della configurazione iniziale, il salvataggio di una voce, l’importazione da Apple Health, la concessione o il rifiuto di un’autorizzazione per le notifiche, la generazione di un’esportazione, l’apertura della schermata di abbonamento e l’esito di un acquisto o di un ripristino.
Un numero ridotto di proprietà, ciascuna tratta da un elenco chiuso o da un conteggio limitato: quale tipo di voce è stato salvato (glicemia, cibo, farmaco o peso), quante righe ha scritto un salvataggio, se una voce è stata registrata sul momento o con data retrodatata, se un’esportazione era CSV o PDF, quale fase della configurazione iniziale è stata completata, la categoria generale di un promemoria che hai toccato e simili. Nessuna proprietà nel sistema accetta testo libero.
La schermata in cui ti trovi, come modello di percorso, per esempio /settings/privacy. Le cifre sono rifiutate, quindi un identificatore di record non può viaggiare al loro interno. Una schermata raggiungibile solo da un tipo di trattamento, come le impostazioni dell’insulina, viene segnalata come la schermata che la contiene.
Alcuni attributi del profilo: la tua lingua, il tuo tema, le tue unità di glicemia, peso e carboidrati, e se usi glumea+.
Ciò che l’SDK di PostHog aggiunge da sé, fuori dal nostro controllo: modello del dispositivo, sistema operativo e versione, versione dell’app, versione dell’SDK, fuso orario, impostazioni locali, tipo di rete e un identificatore di sessione. PostHog riceve anche l’indirizzo IP da cui proviene la richiesta, come qualsiasi servizio web, e ne ricava una posizione approssimativa. Non abbiamo attivato l’opzione di PostHog che scarta quell’indirizzo, quindi viene conservato insieme all’evento.

Che cosa PostHog non può ricevere: un valore di glicemia, una dose di insulina, il nome di un farmaco, il tipo di farmaco che assumi, una nota, il nome di un cibo, un indirizzo e-mail o qualsiasi altro testo libero. Il filtro che lo garantisce è a chiusura predefinita: un evento che non è nell’elenco viene scartato per intero, una proprietà non dichiarata viene rimossa, e viene rimossa anche una proprietà dichiarata il cui valore non corrisponde alla forma attesa. Nel sistema non esiste alcuna proprietà «qualsiasi stringa». Non ci sono riproduzione delle sessioni, registrazione dello schermo, sondaggi, acquisizione automatica dei tocchi né token push.

Gli eventi sono costruiti in modo da non rivelare il tuo trattamento né le tue misurazioni. Insulina, compresse e iniettabili sono tutti segnalati come una voce di farmaco. Un tocco su un avviso di glicemia bassa o alta non viene registrato affatto, e nemmeno la fase della configurazione iniziale che vedono solo gli utenti di insulina. Un’importazione da Apple Health o Health Connect segnala che è stata eseguita e che cosa l’ha avviata, mai quanti registri ha letto. Gli eventi restano comunque collegati al tuo account mentre sei connesso, e l’uso di un’app per il diabete rivela di per sé informazioni sulla salute, ed è per questo che le analisi aspettano il tuo consenso.

L’SDK delle analisi conserva sul tuo dispositivo un proprio identificatore, insieme a una coda di eventi in attesa di essere inviati. Dal modo in cui funziona l’SDK derivano due limiti. La revoca registra un ultimo evento proprio, cioè che hai revocato il consenso. E quell’evento, insieme a tutto ciò che era già stato raccolto mentre acconsentivi, viene consegnato dopo, secondo i tempi dell’SDK, e non nel momento in cui revochi. Dopo di esso non viene raccolto più nulla di nuovo.

5.2 Diagnostica e segnalazioni di arresto anomalo: Sentry

Usiamo Sentry (regione dell’Unione europea) per sapere quando l’App si arresta in modo anomalo o genera errori, così da poterli correggere.

Ogni parte di un report che contiene contenuto, costruita dall’App, viene ricostruita da zero prima dell’invio, a partire da un elenco di campi consentiti anziché da un elenco di campi da rimuovere. Una dozzina circa di campi di primo livello rimanenti viene svuotata per nome, quindi un campo aggiunto di recente da una versione futura dell’SDK non verrebbe intercettato da quello svuotamento finché non lo aggiungiamo. Ciò che sopravvive a quella ricostruzione è:

Il tipo di eccezione e un’etichetta calcolata al posto del messaggio di errore originale.
La traccia dello stack, con i nomi dei file ridotti al nome base e, nelle build di rilascio, i nomi dei simboli offuscati, resi leggibili solo lato Sentry usando la mappatura che carichiamo al momento della build.
Famiglia del dispositivo, modello, architettura, se è un simulatore e orientamento.
Nome, versione e build del sistema operativo; nome, versione e build dell’app; la versione del runtime Dart.
Identificatori delle immagini di debug, necessari per rendere leggibili gli arresti anomali nativi.
La forma della traccia delle briciole di pane, categoria, tipo, livello e timestamp degli eventi recenti, ma mai il loro contenuto.
Due etichette: quale area dell’App ha fallito e se è accaduto in primo piano o nel motore delle notifiche in background.
La release, il numero di build, l’ambiente e un identificatore di evento generato a caso.

Ciò che viene rimosso del tutto: il messaggio di errore, qualsiasi dato della richiesta, qualsiasi oggetto utente, il nome del server, il nome della transazione, gli elenchi dei thread, gli elenchi dei moduli, i valori delle variabili locali, il contesto del codice sorgente, i percorsi assoluti, l’identificativo univoco e il nome del dispositivo, l’hash dell’app legato all’installazione, i messaggi e i dati delle briciole di pane, le schermate, le gerarchie delle viste e qualsiasi allegato. Schermate, acquisizione della gerarchia delle viste, riproduzione delle sessioni, tracciamento delle prestazioni, registrazione dei log e corpi delle richieste sono tutti disattivati. L’App non allega alcun identificatore utente a un evento Sentry: nessun identificatore dell’account, nessun indirizzo e-mail, nessun identificatore del dispositivo.

Due limiti a quanto sopra:

Gli arresti anomali nativi, gli eventi di app che non risponde e le terminazioni del watchdog di iOS possono arrivare a Sentry senza passare da quella ricostruzione, perché sono prodotti dal gestore degli arresti anomali del sistema operativo e non dal codice dell’App. Lo stesso vale per il segnale periodico «sessione dell’app avviata / terminata» che Sentry usa per la salute delle release. Non possiamo ispezionarli sul dispositivo e non conosciamo tutti i campi che l’SDK della piattaforma inserisce in uno di essi. Non impostiamo alcun identificatore che colleghi uno di essi a te.
Sentry riceve l’indirizzo IP da cui viene inviato il report.

Finché non acconsenti alla diagnostica, Sentry non viene avviato. Disattivare l’interruttore chiude i segnalatori raggiunti da quel controllo, ma l’uscita dall’account non disattiva in modo affidabile un SDK già inizializzato nel processo in esecuzione. L’attuale ciclo di vita non può quindi essere descritto come una revoca immediata in ogni stato.

6. glumea+ e dati dell’abbonamento

glumea+ è un abbonamento venduto esclusivamente come acquisto in-app tramite l’Apple App Store e Google Play. Non esiste altro modo per acquistarlo, né un pagamento sul web né un modulo per la carta in alcun punto dell’App.

Nessun dato di pagamento arriva a noi. Il pagamento viene incassato da Apple o Google. Non vediamo mai il numero della tua carta, i tuoi dati bancari o il tuo indirizzo di fatturazione. La disdetta e i rimborsi sono gestiti tramite il tuo account dello store; i Termini di servizio spiegano dove.
RevenueCat è il servizio che usiamo per sapere se il tuo abbonamento è attivo. L’App comunica a RevenueCat una sola cosa su di te: l’identificatore del tuo account glumea, usato come identificatore utente dell’abbonamento. I nostri server chiedono inoltre a RevenueCat se quell’identificatore ha un abbonamento attivo, anche quando non ti sei mai abbonato, perché è così che veniamo a sapere che non lo hai fatto. Non impostiamo alcun indirizzo e-mail, alcun nome visualizzato, alcun numero di telefono, alcun token push, e non gli chiediamo di raccogliere identificatori pubblicitari del dispositivo. Anche l’SDK di RevenueCat raccoglie alcune informazioni sul dispositivo e sulla rete per il funzionamento del servizio RevenueCat, descritte nella sua informativa sulla privacy. Non configuriamo quella raccolta e non riceviamo ciò che ne risulta.
Ciò che l’App conserva in locale è un unico valore vero/falso: se glumea+ è attivo. L’App non conserva sul tuo dispositivo alcun prezzo, alcun identificatore di prodotto, alcuna data di scadenza, alcun identificatore di transazione. Quel valore viene impostato su falso quando esci dall’account, così l’account successivo sul dispositivo parte senza abbonamento e deve essere verificato presso lo store per conto proprio.
Ciò che conservano i nostri server. RevenueCat invia al nostro backend una notifica quando cambia qualcosa in un abbonamento: un acquisto, un rinnovo, una disdetta, un problema di fatturazione. Registriamo ciascuna di queste notifiche così come è ricevuta: l’identificatore e il tipo dell’evento, l’ambiente, l’identificatore del tuo account glumea e il messaggio completo inviato da RevenueCat, conservato esattamente com’è arrivato anziché campo per campo. Quel messaggio comprende in genere l’identificatore del prodotto, il prezzo, la valuta, lo store, il paese e le date di acquisto e di scadenza. Poiché lo conserviamo per intero, può contenere anche gli attributi dell’abbonato che RevenueCat detiene su di te, tra cui un indirizzo e-mail: anche se la nostra App non ne imposta alcuno. Non riscriviamo mai il messaggio; una nuova consegna dello stesso evento aggiorna soltanto il nostro conteggio di quante volte è arrivato.
Mentre le analisi sono attive, gli eventi del percorso descritti sopra vanno a PostHog, insieme a un attributo del profilo che indica se glumea+ è attivo. Alle analisi non viene inviato alcun prezzo, identificatore di prodotto o identificatore dello store.

Ne derivano due conseguenze. Il registro dei webhook riporta l’identificatore del tuo account glumea ma non ha alcuna relazione di database con la riga del tuo account. Durante l’eliminazione dell’account, il nostro backend rimuove separatamente quei record e richiede l’eliminazione del record dell’abbonato presso RevenueCat con lo stesso identificatore. In caso contrario, un processo pianificato rimuove ogni record dei webhook 90 giorni dopo il suo arrivo. La sezione 12 descrive che cosa può restare.

7. Che cosa non facciamo

In glumea non accade nulla di quanto segue:

Nessuna pubblicità, di alcun tipo. Nessun SDK pubblicitario, nessun SDK di attribuzione, nessun identificatore pubblicitario. L’App non può mostrare la richiesta di iOS «Chiedi all’app di non tracciarmi», perché non contiene la voce che lo consentirebbe, e non dichiara alcuna rete di attribuzione pubblicitaria.
Nessuna vendita dei tuoi dati. Non vendiamo né affittiamo dati personali e non vendiamo dati sanitari. Non li condividiamo per la pubblicità comportamentale cross-context.
Nessun uso dei tuoi dati sanitari per pubblicità, marketing o per costruire un tuo profilo a vantaggio di altri.
Nessun dato di posizione. Nessun accesso ai tuoi contatti, alla fotocamera, al microfono, alle foto o al calendario: l’App non richiede nessuna di queste autorizzazioni su nessuna delle due piattaforme.
Nessun Firebase nell’App: nessun Firebase Analytics, nessun Crashlytics, nessun Firebase Cloud Messaging. (Firebase Hosting serve invece il Sito, compresa questa pagina; è un servizio Google diverso ed è nominato più avanti.)
Nessuna notifica push e nessun token push del dispositivo. I promemoria sono programmati e mostrati dal tuo dispositivo; non esiste alcun canale dal server al dispositivo.
Nessuna schermata, nessuna registrazione dello schermo, nessuna riproduzione delle sessioni, nessuna acquisizione della gerarchia delle viste, da nessuno dei due SDK descritti sopra.
Oltre a PostHog e Sentry, nell’App non è presente nessun altro SDK di analisi, telemetria o tracciamento. Gli unici componenti che aprono una connessione di rete sono la connessione dell’App ai nostri server, PostHog, Sentry e RevenueCat.

8. Chi riceve i tuoi dati

Condividiamo dati con i fornitori di servizi indicati qui sotto per far funzionare glumea. Il loro ruolo, le loro informative sulla privacy e le condizioni contrattuali applicabili al nostro uso di ciascun servizio regolano quel trattamento. Anche l’SDK di RevenueCat raccoglie da sé informazioni sul dispositivo e sulla rete. Non configuriamo quella raccolta e non riceviamo ciò che ne risulta, quindi la sua descrizione deriva dall’informativa sulla privacy di RevenueCat e non dai nostri sistemi.

Google (Google Cloud Run e Google Cloud SQL, regione europe-west1), ospita il nostro backend e il database che contiene tutto ciò che sincronizzi, compresi i tuoi dati sanitari. Google Secret Manager conserva le credenziali dei nostri server e Google Cloud Logging conserva i registri delle richieste ai nostri server.
Google (Firebase Hosting), serve glumea.com e questi documenti legali.
Sentry (regione dell’Unione europea), riceve le segnalazioni diagnostiche descritte sopra mentre la diagnostica è attiva secondo il comportamento attuale delle impostazioni.
PostHog (EU Cloud), riceve gli eventi di analisi descritti sopra mentre le analisi sono attive secondo il comportamento attuale delle impostazioni.
RevenueCat (Stati Uniti), riceve l’identificatore del tuo account glumea e lo stato del tuo abbonamento, che tu ti abboni o no: verificare che non sei un abbonato usa lo stesso identificatore che serve a confermare che lo sei. Come indicato sopra, il suo SDK raccoglie inoltre informazioni sul dispositivo e sulla rete che non configuriamo e non riceviamo; l’informativa sulla privacy di RevenueCat le descrive.
Zoho ZeptoMail: se l’invio delle e-mail in produzione è attivo, questo fornitore riceve l’indirizzo e-mail di destinazione e il messaggio di verifica o di ripristino della password necessario per recapitarlo. Nessun fornitore di e-mail riceve quei messaggi mentre l’invio è disattivato.

Apple e Google non sono nostri responsabili del trattamento. Gestiscono gli store attraverso cui viene venduto glumea+, incassano il pagamento e sono titolari del trattamento indipendenti per i dati di acquisto che detengono su di te. Ciò che raccolgono è regolato dalle loro informative sulla privacy, non da questa.

Oltre a questo, comunichiamo dati personali solo se la legge lo richiede, per esempio con un ordine vincolante di un tribunale o di un’autorità, oppure su tua indicazione.

Se Paweł Milewski Software Development fosse mai coinvolta in una fusione, un’acquisizione o una vendita di beni, i tuoi dati resterebbero protetti da questa informativa e ti avviseremmo prima che i tuoi dati diventino soggetti a un’informativa sulla privacy diversa.

9. Trasferimenti internazionali

Dove ciascun destinatario tratta i tuoi dati:

Il tuo account, il tuo profilo e i dati sanitari sincronizzati sono conservati nell’UE: Google Cloud, europe-west1 (Belgio). Il luogo di conservazione non è l’intera risposta. Google può accedere a quei dati da fuori dello SEE, per l’assistenza e per far funzionare la piattaforma, e questo è di per sé un trasferimento. Si basa sulle clausole contrattuali tipo dell’Addendum sul trattamento dei dati di Google Cloud.
Le analisi vanno al cloud UE di PostHog, che le conserva nell’UE. Dove PostHog può accedervi da fuori dello Spazio economico europeo, il trasferimento si basa sulle clausole contrattuali tipo dell’accordo sul trattamento dei dati di PostHog.
La diagnostica va a Sentry nella sua regione dell’Unione europea. Dove ciò avviene fuori dallo Spazio economico europeo, il trasferimento si basa sulle clausole contrattuali tipo dell’addendum sul trattamento dei dati di Sentry.
Il Sito è servito da Firebase Hosting attraverso la rete di distribuzione dei contenuti di Google, quindi la richiesta di una pagina può essere servita, e registrata, in una sede fuori dallo Spazio economico europeo. Quando accade, il trasferimento si basa sulle clausole contrattuali tipo dell’Addendum sul trattamento dei dati di Google Cloud.
Lo stato dell’abbonamento va a RevenueCat negli Stati Uniti. Dove ciò avviene fuori dallo Spazio economico europeo, il trasferimento si basa sulle clausole contrattuali tipo dell’addendum sul trattamento dei dati di RevenueCat.
Se l’invio delle e-mail in produzione è attivo, le e-mail di verifica e di ripristino della password sono recapitate da Zoho ZeptoMail, che tratta l’indirizzo e-mail di destinazione nell’Unione europea (Zoho Corporation B.V., data center UE di Zoho nei Paesi Bassi e in Irlanda). Dove ciò avviene fuori dallo Spazio economico europeo, il meccanismo di trasferimento applicabile sono le clausole contrattuali tipo dell’addendum sul trattamento dei dati di Zoho.
Apple e Google trattano i dati di acquisto in base ai propri accordi, come titolari del trattamento indipendenti.

Quando un fornitore può accedere ai dati da fuori dello SEE, anche per l’assistenza, quell’accesso è a sua volta un trasferimento e deve avere una garanzia adeguata ai sensi del capo V dell’RGPD. Il meccanismo per ciascun destinatario è indicato sopra. Per gli utenti nel Regno Unito, il meccanismo equivalente è l’Addendum del Regno Unito alle clausole contrattuali tipo dell’UE, oppure l’IDTA quando un fornitore usa quella forma ai sensi dell’RGPD del Regno Unito. Contatto generale per la protezione dei dati: [email protected]. Al momento non è attivo alcun flusso automatizzato separato per richiedere copia delle garanzie.

10. Dove sono conservati i tuoi dati

glumea funziona prima di tutto offline. Questa sezione è la risposta completa alla domanda «che cosa mio è sui vostri server?»: tutto il resto di questa informativa rimanda qui.

Che cosa	Sul tuo telefono	Sui nostri server	Da quando	Come rimuoverlo
Il tuo diario, voci, cataloghi dei farmaci, programmi dei farmaci	Sempre	Solo con la Sincronizzazione cloud attiva	Dal momento in cui attivi l’interruttore	Disattiva l’interruttore, poi Elimina i dati dal server; oppure elimina il tuo account
Il tuo profilo, nome, età, altezza, tipo di diabete, metodi di trattamento, somministrazione dell’insulina	Sì	Sempre	Dalla configurazione iniziale, che tu usi o no la sincronizzazione	Elimina il tuo account
Le impostazioni della tua terapia, intervallo target, rapporto insulina/carboidrati, fattore di sensibilità insulinica	Sì	Sempre	Dal momento in cui le inserisci	Elimina il tuo account
Il tuo account, indirizzo e-mail, password sottoposta a hash, sessioni di accesso	Solo le credenziali	Sempre	Dal momento in cui crei l’account	Elimina il tuo account
Tutto ciò che è nella sezione 3.6, promemoria, Ore di silenzio, preferenze dell’app	Sì	Mai	Non applicabile	Esci dall’account oppure disinstalla

Il resto di questa sezione è il dettaglio che sta dietro quella tabella.

Tutti i dati che inserisci vengono scritti prima in un database locale sul tuo dispositivo. L’App è pienamente utilizzabile senza connessione a internet.
Quel database locale è cifrato. Viene aperto con una chiave di 32 byte conservata nel portachiavi del tuo dispositivo, con un’impostazione che non migra su un altro dispositivo. Conseguenze che devi conoscere prima di cambiare telefono: su Android abbiamo disattivato per l’App il backup cloud e il trasferimento da dispositivo a dispositivo, quindi non ne viene creata alcuna nuova copia di backup; su iOS una copia del database può comunque finire in un backup iCloud, ma è illeggibile senza la chiave, e la chiave non lascia mai il dispositivo. Ripristinare quel backup su un nuovo telefono quindi non porta con sé il tuo diario: l’App trova un database per cui non ha la chiave, rifiuta di aprirlo anziché ripartire vuota in silenzio, e non funzionerà su quel telefono finché non la reinstalli o non ne cancelli i dati. Per passare a un nuovo telefono si usa la sincronizzazione cloud, oppure un archivio .glumea che esporti e importi tu.
Un tuo account esiste sui nostri server dal momento in cui ne crei uno. Contiene i dati del tuo account, il tuo profilo, compresi il tipo di diabete, i metodi di trattamento e la modalità di somministrazione dell’insulina, e le impostazioni della tua terapia: il tuo intervallo target, il tuo rapporto insulina/carboidrati e il tuo fattore di sensibilità insulinica. Questi sono conservati sui nostri server che tu usi o no la sincronizzazione cloud, e il modo per rimuoverli è eliminare il tuo account.
La sincronizzazione cloud è una funzione di glumea+ ed è disattivata finché non la attivi. Ciò che controlla è se il tuo diario venga copiato anche sui nostri server: le tue voci, i tuoi cataloghi dei farmaci e i tuoi programmi dei farmaci. Attivarla richiede due passaggi, e puoi fermarti a uno qualsiasi dei due. Senza un abbonamento a glumea+ attivo, l’App ti mostra la schermata dell’abbonamento anziché attivare qualcosa. Con un abbonamento, l’App ti chiede poi di confermare, in un passaggio a parte, che acconsenti a che i tuoi dati sanitari, misurazioni della glicemia, registri di insulina e farmaci, voci su cibo e peso, e tutto ciò che hai scritto in una nota, siano conservati sui nostri server. Lo chiede ogni volta che l’interruttore viene attivato, non solo la prima. Quella conferma è il tuo consenso esplicito ai sensi dell’articolo 9(2)(a) RGPD per il diario. Puoi revocarlo in qualsiasi momento disattivando la Sincronizzazione cloud, e rimuovere ciò che già conserviamo con il link Elimina i dati dal server nella stessa schermata. Con la sincronizzazione disattivata, tutto ciò che registri resta solo sul tuo dispositivo.
Quando la sincronizzazione è attiva, i tuoi dati sono conservati sul nostro backend all’indirizzo api.glumea.app, che gira su Google Cloud Run con un database PostgreSQL di Google Cloud SQL, nella regione europe-west1 di Google (Belgio).

L’interruttore appartiene al tuo account, non al telefono. Conserviamo la tua risposta sui nostri server, e l’App la rilegge da lì quando accedi e quando si riconnette. Quindi sopravvive all’uscita dall’account e ti segue: attiva la sincronizzazione, accedi su un altro telefono e la sincronizzazione è attiva anche lì senza che ti venga richiesto di nuovo. Anche la disattivazione viene registrata allo stesso modo. Se la disattivi mentre sei offline, l’App conserva quella risposta e la consegna ai nostri server alla prima occasione: una revoca non viene mai annullata perché una richiesta è fallita. Su un dispositivo condiviso questo funziona al contrario di un interruttore solo del dispositivo: chi accede ottiene la risposta del proprio account, non quella lasciata dall’ultima persona.

Se glumea+ termina, le nuove voci smettono di essere salvate nel backup, ma questo non revoca il tuo consenso e non elimina nulla. Quando un abbonamento scade, viene disdetto o rimborsato, l’App smette di copiare nuove voci sui nostri server. Le modifiche e le eliminazioni delle voci già presenti continuano ad arrivare ai nostri server, e l’App continua a scaricarle da lì. La schermata Sincronizzazione cloud riporta Le modifiche e le eliminazioni continuano a sincronizzarsi · Le nuove voci restano su questo dispositivo. Ciò che è già sui nostri server resta lì, ciò che è sul tuo dispositivo resta lì, e la tua risposta memorizzata alla domanda sul consenso viene lasciata com’era, quindi se ti abboni di nuovo il backup completo riprende in base a quella risposta memorizzata senza chiedertelo una seconda volta. Se preferisci che non accada, disattiva l’interruttore: disattivarlo e il link Elimina i dati dal server accanto restano entrambi disponibili con o senza un abbonamento attivo. La fine di un abbonamento non ti toglie mai la possibilità di revocare il consenso né di far cancellare la copia sul server.

La sincronizzazione può anche fermarsi senza che tu tocchi quell’interruttore. La tua sessione di accesso può scadere, e quando succede non ti facciamo uscire dall’account e non eliminiamo nulla: l’App conserva ogni voce sul tuo dispositivo, mette in pausa il backup e aspetta. La schermata Sincronizzazione cloud riporta allora In pausa e ti dice che nulla viene sincronizzato finché non accedi di nuovo, e la schermata Riepilogo mostra un banner sulla sessione scaduta. Tutto ciò che registri nel frattempo resta sul dispositivo e arriva ai nostri server solo dopo che hai effettuato di nuovo l’accesso. Se conti sulla copia sul server per sopravvivere alla perdita del telefono, quel banner è la cosa su cui agire.

La copia sui nostri server è protetta dalla cifratura del trasporto, dalla cifratura dell’archiviazione di Google e dai nostri controlli di accesso. Non è cifrata end-to-end e possiamo leggerla. glumea non è un servizio a conoscenza zero. L’unico elemento dell’intero sistema che non possiamo aprire è un archivio .glumea, perché è cifrato con una password che conosci solo tu.

11. Per quanto tempo conserviamo i tuoi dati

Conserviamo i tuoi dati per i periodi indicati qui sotto.

Dati dell’account, profilo e impostazioni della terapia: conservati sui nostri server finché il tuo account esiste.
Voci sulla salute e cataloghi dei farmaci che hai sincronizzato: conservati finché il tuo account esiste, oppure finché non elimini la copia sul server o non elimini il tuo account. L’eliminazione di una singola voce funziona in modo diverso: sparisce dal dispositivo su cui l’hai eliminata, e solo da quel dispositivo. La copia sui nostri server resta, quindi la voce può ricomparire dopo una reinstallazione, su un nuovo telefono, o dopo che esci dall’account e accedi di nuovo. Solo Elimina i dati dal server o l’eliminazione del tuo account rimuove quelle righe dai nostri server.
Marcatori delle voci che hai eliminato: quando l’eliminazione di una singola voce arriva davvero ai nostri server, la riga viene conservata come marcatore che porta ancora il suo valore, i suoi tag e le sue note, in modo che l’eliminazione possa raggiungere i tuoi altri dispositivi. Non abbiamo alcun processo che li elimini, quindi restano finché il tuo account esiste. Usare Elimina i dati dal server, o eliminare il tuo account, li rimuove.
Sessioni di accesso: un token di accesso dura 15 minuti. Il record della sessione sui nostri server scade dopo 90 giorni senza utilizzo. L’uscita dall’account lo revoca immediatamente, in modo che non possa mai più essere usato, ma la riga stessa viene rimossa da un processo orario una volta esaurita quella finestra di 90 giorni. L’eliminazione del tuo account lo rimuove subito.
Codici monouso: scadono 10 minuti dopo l’emissione, e un processo orario segna come inutilizzabili quelli scaduti. Non eliminiamo i record in sé: restano finché non elimini il tuo account, che li rimuove insieme a tutto il resto.
Backup dei server: 7 giorni. I dati eliminati dal database attivo restano nei backup finché questi non vengono sovrascritti.
Registri delle richieste ai server, che includono gli indirizzi IP: 30 giorni.
Eventi di analisi presso PostHog: 12 mesi.
Segnalazioni diagnostiche presso Sentry: 90 giorni.
Record delle notifiche di abbonamento: fino a 90 giorni dal momento in cui ciascun messaggio ci arriva, a meno che l’eliminazione dell’account non li rimuova prima. Il processo pianificato conta l’età e non trattiene una riga per una contestazione di fatturazione aperta.
Dati conservati solo sul tuo dispositivo: restano lì finché non li elimini, non esci dall’account, non usi il controllo di eliminazione dell’account nell’app o non disinstalli l’App. Una richiesta di eliminazione dell’account per e-mail non può cancellare un dispositivo da remoto.

12. Eliminazione: che cosa accade e dove

Prima di iniziare. Due cose contano più di tutto il resto qui sotto, ed entrambe sono nei Termini di servizio: disdici prima l’abbonamento a glumea+ nello store, perché eliminare il tuo account glumea non ferma gli addebiti (sezione 13.1 di quel documento), ed esporta prima, perché una volta eliminate le tue righe non possiamo creare un’esportazione per te (sezione 13.3 di quel documento).

Tre controlli diversi, tre risultati diversi. È facile confonderli, quindi:

Controllo	Dove si trova	Che cosa rimuove	Che cosa conserva	Che cosa può annullarlo
Eliminare una singola voce	Dove l’hai registrata	Quella voce, solo su quel dispositivo	La copia sul server, che può riportarla	Una reinstallazione, un nuovo telefono, oppure l’uscita e un nuovo accesso
Elimina i dati dal server	La schermata Sincronizzazione cloud, aperta dal pulsante cloud in Riepilogo o Cronologia, non da Impostazioni	La copia sul server delle tue voci, dei cataloghi dei farmaci e dei programmi	Il tuo account, il tuo profilo, le impostazioni della tua terapia e tutto ciò che è sul tuo telefono	Riattivare la sincronizzazione ricarica i dati dal tuo telefono
Elimina account	Impostazioni → Account, oppure scrivi a [email protected] se non puoi usare l’App	Il tuo account e i dati di produzione associati sui nostri server; il percorso nell’app cancella anche questo dispositivo	Backup esistenti, alcuni record dei fornitori e qualsiasi dato su dispositivi non raggiunti dalla cancellazione nell’app	Nulla ripristina l’account eliminato

Elimina i dati dal server richiede un accesso attivo e l’interruttore Sincronizzazione prima disattivato; le tre note alla fine di questa sezione ne spiegano il motivo.

Eliminare il tuo account nell’App lo rimuove subito dal nostro database di produzione. Una richiesta verificata per e-mail usa lo stesso percorso di eliminazione lato server. Ecco che cosa accade a ciascuna destinazione.

Il nostro database di produzione: l’eliminazione del tuo account esegue un’eliminazione definitiva del tuo record utente quando la confermi nell’App o quando un operatore completa una richiesta verificata per e-mail. Tutto ciò che vi è collegato viene rimosso insieme a esso tramite eliminazione a cascata del database: il tuo profilo, le impostazioni della tua terapia, ogni voce sincronizzata di glicemia, cibo, peso, insulina, pillole e iniettabili, i tuoi cataloghi e programmi dei farmaci, le tue sessioni e i codici di verifica e di ripristino in sospeso. Non esiste alcun indicatore di eliminazione logica né alcun recupero.
Record delle notifiche di abbonamento: ogni riga contiene l’identificatore del tuo account glumea e il messaggio completo inviato da RevenueCat. Non è collegata alla riga del tuo account, quindi l’eliminazione a cascata automatica non la raggiunge, ma il servizio di eliminazione la rimuove separatamente nella stessa transazione. Senza l’eliminazione dell’account, un processo pianificato rimuove ogni riga dopo 90 giorni.
RevenueCat: l’eliminazione del tuo account mette in coda una richiesta di rimozione del record dell’abbonato associato all’identificatore del tuo account. Proviamo la richiesta subito e la ripetiamo se il fornitore non è disponibile. La cronologia di fatturazione dello store resta fuori dal nostro controllo.
PostHog: l’eliminazione del tuo account mette in coda una richiesta di rimozione del profilo di analisi collegato all’account e dei suoi eventi e registrazioni. Proviamo subito e ripetiamo se il fornitore non è disponibile. PostHog può completare in modo asincrono un’eliminazione in blocco accettata. Gli eventi precedenti all’accesso usano un identificatore pseudonimo del dispositivo separato.
Backup dei server: una copia di ciò che è stato eliminato resta nei backup automatici del database del nostro fornitore di hosting finché questi non vengono sovrascritti: 7 giorni, e in nessun caso oltre sei mesi dall’autenticazione dove si applica quel limite di legge. I singoli record non vengono modificati all’interno di un backup. Un ripristino di emergenza può quindi reintrodurre temporaneamente righe che erano state eliminate dalla produzione.
Registri dei server: l’eliminazione del tuo account non cancella retroattivamente i registri delle richieste ai server, che sono conservati per 30 giorni.
Sentry: l’App non allega a una segnalazione diagnostica alcun identificatore dell’account, indirizzo e-mail o record utente. Non esiste quindi alcun modo supportato di individuare o eliminare le segnalazioni di un singolo utente. Le segnalazioni prodotte dal gestore degli arresti anomali del sistema operativo non passano dal filtro dell’App, e non conosciamo tutti i campi che l’SDK della piattaforma aggiunge. Le segnalazioni scadono secondo la conservazione di Sentry: 90 giorni. L’articolo 11(2) RGPD riguarda i dati per i quali il titolare del trattamento non è effettivamente in grado di identificare l’interessato.
Apple e Google: i tuoi registri di acquisto e di abbonamento appartengono allo store, non a noi. Eliminare il tuo account glumea non disdice un abbonamento e non elimina nulla presso Apple o Google. Disdici nelle impostazioni del tuo account dello store; i loro registri sono regolati dalle loro politiche e dalla normativa fiscale.
Il tuo dispositivo: eliminare l’account dall’interno dell’App, uscire dall’account o cambiare account cancella dal dispositivo il database locale, le credenziali di sessione e le preferenze memorizzate. Una richiesta per e-mail non può cancellare un dispositivo da remoto. Azzerare una preferenza di telemetria non disattiva in modo affidabile un SDK già inizializzato nel processo in esecuzione. Un indicatore di prima installazione e la chiave di cifratura del database possono sopravvivere a una cancellazione nell’app, ma nessuno dei due contiene dati del diario. Un backup del dispositivo su iCloud può contenere una copia cifrata e illeggibile del database; il backup di Android è disattivato per l’App.
Copie che hai fatto tu: un archivio .glumea, un CSV, un report PDF, qualsiasi cosa tu abbia condiviso o salvato altrove: sono tue e fuori dalla nostra portata. Eliminale dove le hai messe.

Riepilogando i tempi: l’eliminazione dal database di produzione avviene quando la confermi nell’App, o quando un operatore completa una richiesta verificata per e-mail. Le richieste di eliminazione a RevenueCat e PostHog vengono tentate subito e messe in coda per un nuovo tentativo in caso di errore. Una copia può restare nei backup dell’hosting finché non vengono sovrascritti, entro 7 giorni.

L’eliminazione a cascata del database non raggiunge i registri delle richieste ai server, le segnalazioni di Sentry, i record delle notifiche di abbonamento né i record dei fornitori. Il servizio di eliminazione rimuove separatamente le notifiche di abbonamento e richiede la cancellazione dei record di RevenueCat e PostHog. I registri dei server e le segnalazioni di Sentry scadono secondo i periodi di conservazione configurati.

L’eliminazione è permanente. I dati eliminati non possono essere recuperati, quindi se potresti aver bisogno dei tuoi registri in seguito, per esempio per il tuo team di cura, ottieni prima una copia con le opzioni di esportazione descritte tra i tuoi diritti.

Puoi anche richiedere l’eliminazione dell’account per e-mail senza usare l’App. Verifichiamo la titolarità prima di procedere.

Altre tre cose sul controllo più circoscritto Elimina i dati dal server, che rimuove la copia sul server delle tue voci, dei tuoi cataloghi dei farmaci e dei tuoi programmi dei farmaci ma conserva il tuo account, il tuo profilo, le impostazioni della tua terapia e tutto ciò che è sul tuo dispositivo:

Richiede un accesso attivo. Se la tua sessione è scaduta, nello stato descritto nella sezione 10, in cui la schermata riporta In pausa: il link ti dice di accedere di nuovo e non fa nulla finché non lo fai. Accedere di nuovo basta; nel frattempo non si perde nulla.
Richiede che la Sincronizzazione cloud sia prima disattivata. Se in seguito riattivi la sincronizzazione, le voci ancora sul tuo dispositivo vengono messe in coda e caricate di nuovo: l’eliminazione sul server viene annullata dal tuo stesso dispositivo.
Non si propaga agli altri tuoi dispositivi. Questi conservano le proprie copie locali e non vengono avvisati.

13. I tuoi controlli nell’App

Non devi scriverci per controllare i tuoi dati. L’App ti offre questi controlli integrati:

Elimina account: in Impostazioni → Account, dopo che digiti una parola di conferma. Esegue l’eliminazione definitiva lato server descritta sopra e cancella da quel dispositivo il database locale dell’App, le credenziali di sessione e le preferenze. Puoi anche richiedere l’eliminazione dell’account lato server a [email protected] se non puoi usare l’App. La sezione 12 indica che cosa resta.
Elimina i dati dal server: il link eliminarli nella riga sotto l’interruttore Sincronizzazione della schermata Sincronizzazione cloud, che si apre dal pulsante cloud in alto nella schermata Riepilogo o Cronologia e non da Impostazioni. Il link è sempre visibile, ma funziona solo quando l’interruttore è disattivato. Elimina in modo definitivo la copia sul server delle tue voci, dei tuoi cataloghi dei farmaci e dei tuoi programmi dei farmaci, conservando il tuo account e i dati sul tuo dispositivo. Non va oltre: il tuo profilo e le impostazioni della tua terapia restano sui nostri server finché non elimini il tuo account. Leggi le tre note appena sopra.
Sincronizzazione cloud: l’interruttore Sincronizzazione in quella stessa schermata, e una funzione di glumea+. Disattivalo in qualsiasi momento per impedire che nuovi dati arrivino ai nostri server, ed è anche il modo in cui revochi il consenso a che li conserviamo; disattivarlo non richiede mai un abbonamento attivo. I dati già sincronizzati restano sui nostri server finché non usi Elimina i dati dal server o Elimina account. La tua risposta a questo interruttore è conservata sul tuo account, quindi sopravvive all’uscita e ti segue su un nuovo telefono.
Analisi di utilizzo e Segnalazione errori: due interruttori indipendenti in Impostazioni → Dati e privacy → Privacy e diagnostica. Entrambi sono disattivati finché non li attivi. Disattivarne uno aggiorna la preferenza, ma i dati in coda possono comunque essere consegnati e l’uscita dall’account non chiude in modo affidabile un SDK già inizializzato nel processo in esecuzione.
Apple Health / Health Connect: collega, scollega o disattiva singoli tipi di dati in Impostazioni → Integrazioni. Puoi anche revocare l’autorizzazione nella stessa piattaforma sanitaria.
Mostra i dettagli nelle notifiche (Impostazioni → Notifiche): disattivato finché non lo attivi. Finché non lo fai, le notifiche mostrano un testo generico.
Esci: cancella dal dispositivo il database locale dell’App, le tue credenziali di sessione e le tue preferenze, comprese le scelte su analisi e diagnostica. Nulla di ciò che hai registrato e nessuna scelta che hai fatto viene trattenuto; la sezione sull’eliminazione indica i due valori tecnici che sopravvivono.
Esporta: un archivio .glumea protetto da password con le tue voci, i farmaci, il profilo, gli obiettivi della terapia e i promemoria, da Impostazioni → Dati e privacy → Importazione ed esportazione dei dati. I report glicemici in CSV e PDF sono una cosa distinta, prodotti dalla schermata di esportazione della glicemia; l’archivio e il CSV sono gratuiti, e il report PDF è una funzione di glumea+.

[email protected] accetta richieste di eliminazione dell’account senza l’App. Anche altre richieste sui diritti fuori dall’app possono essere inviate lì, ma il percorso di eliminazione dell’account non fornisce uno strumento automatizzato separato di esportazione o di correzione.

14. I tuoi diritti

Ai sensi dell’RGPD hai il diritto di:

Accedere ai tuoi dati personali e ottenerne una copia.
Rettificare dati inesatti o incompleti. Puoi modificare voci e farmaci dove li hai registrati, il tuo profilo in Impostazioni → Account e le impostazioni della terapia dove le hai impostate. Al momento non è attivo alcun flusso separato di correzione fuori dall’app.
Cancellare i tuoi dati («diritto all’oblio»). La sezione sull’eliminazione qui sopra ti dice esattamente che cosa raggiunge la cancellazione e che cosa no.
Limitare il trattamento in determinate situazioni.
Portabilità dei dati: ricevere i dati che hai fornito in un formato strutturato, di uso comune e leggibile da dispositivo automatico, dove la legge prevede quel diritto. L’esportazione glicemica in CSV nell’app è leggibile da dispositivo automatico e non cifrata. L’archivio .glumea contiene voci, farmaci, profilo, obiettivi della terapia e promemoria, ma è cifrato con una password che conosci solo tu e può essere importato solo nell’account glumea che lo ha creato. Al momento non è disponibile alcuna esportazione personalizzata aggiuntiva tramite [email protected].
Opporti al trattamento basato sui nostri legittimi interessi.
Revocare il consenso in qualsiasi momento. La revoca non pregiudica il trattamento avvenuto lecitamente prima della revoca. Per i dati del diario sincronizzati, disattiva la Sincronizzazione cloud e usa Elimina i dati dal server, oppure elimina il tuo account. Per analisi e diagnostica, usa i due interruttori in Impostazioni → Dati e privacy → Privacy e diagnostica. Non esiste un controllo di rimozione solo del profilo o solo delle impostazioni della terapia, e un flusso simile non è attualmente disponibile tramite [email protected]. Eliminare l’account è l’unico modo attualmente disponibile per rimuovere quei campi dal nostro database di produzione.
Presentare reclamo a un’autorità di controllo. La nostra autorità di controllo capofila è il Presidente dell’Ufficio per la protezione dei dati personali (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Varsavia, Polonia. Puoi anche presentare reclamo all’autorità di protezione dei dati dello Stato membro dell’UE in cui vivi, in cui lavori o in cui ritieni sia avvenuta una violazione. Se ti trovi nel Regno Unito, puoi presentare reclamo all’Information Commissioner’s Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF.

Usa i controlli nell’app descritti nella sezione 13 dove coprono l’azione richiesta. Per l’eliminazione dell’account senza l’App, scrivi a [email protected]. Anche altre richieste sui diritti possono essere inviate lì; questo percorso di eliminazione dell’account non fornisce di per sé uno strumento separato di accesso, esportazione o correzione.

Se un titolare del trattamento non dà seguito a una richiesta ai sensi dell’RGPD, l’articolo 12 gli impone di spiegarne il motivo entro un mese e di indicare i mezzi di reclamo e di ricorso giurisdizionale disponibili. Tali mezzi restano disponibili che tu ricontatti o no il titolare del trattamento.

Verifica dell’identità. L’eliminazione nell’app si basa sulla tua sessione autenticata. Per una richiesta per e-mail, confermiamo il controllo dell’indirizzo e-mail collegato all’account. Se non puoi accedervi, valutiamo se sia possibile un altro modo di verificare la titolarità prima di eliminare l’account. Non ti chiediamo la password né i tuoi dati sanitari per elaborare la richiesta.

15. Come proteggiamo i tuoi dati

Le password sono sottoposte a hash con bcrypt, mai conservate in chiaro e mai conservate sul tuo dispositivo.
Il database locale sul tuo dispositivo è cifrato, con una chiave conservata nel portachiavi della piattaforma che non migra su un altro dispositivo.
I token di autenticazione sono conservati nell’archivio sicuro del tuo dispositivo, il Portachiavi di iOS o l’archivio basato su Android Keystore.
L’App comunica con i nostri server tramite HTTPS, ed entrambe le piattaforme bloccano per impostazione predefinita le connessioni in chiaro: non abbiamo aggiunto alcuna eccezione né su iOS né su Android.
Il nostro database gira all’interno di Google Cloud, raggiungibile solo tramite un socket privato di Cloud SQL, con le credenziali conservate in Google Secret Manager.
Non scriviamo nei registri della nostra applicazione i valori che registri, misurazioni della glicemia, dosi di insulina. Una riga del registro degli errori riporta il codice di stato, il percorso, l’ora e il messaggio di errore, che per una richiesta rifiutata indica i campi che non hanno superato la convalida. Non contiene il corpo della richiesta.
Le notifiche mostrano per impostazione predefinita un testo generico, quindi una notifica non mette i tuoi dati sanitari sulla schermata di blocco.
L’accesso al database di produzione è limitato alle persone che gestiscono il servizio, il che significa che possiamo leggerlo. Ciò che lo protegge da tutti gli altri è il controllo degli accessi e la cifratura in transito e a riposo.

Nessun sistema è perfettamente sicuro. Le misure sopra descritte sono ciò che facciamo per limitare l’esposizione delle parti sensibili dei tuoi dati.

Un incidente che coinvolga dati personali può far scattare la notifica alle autorità di controllo o alle persone interessate ai sensi degli articoli 33 e 34 RGPD, della Health Breach Notification Rule della FTC o di altre leggi applicabili. Ogni regime ha il proprio ambito e il proprio termine, e quegli obblighi di legge si applicano indipendentemente da questa informativa.

16. Minori

glumea non è rivolto ai minori. Devi avere almeno 16 anni per usare l’App. È una condizione del servizio indipendentemente dal luogo. Non offriamo un percorso di autorizzazione dei genitori. Il processo di eliminazione dell’account nell’app e i limiti della sezione 12 si applicano a qualsiasi account identificato come appartenente a una persona di età inferiore a 16 anni. Le segnalazioni su un account di un minore possono essere inviate a [email protected].

17. Note per gli utenti negli Stati Uniti

La normativa statunitense sulla privacy varia da Stato a Stato, e l’applicabilità dipende dalla residenza, dalle soglie previste dalla legge e dal tipo di dati coinvolti. I controlli nell’app descritti nella sezione 13 sono disponibili indipendentemente da tali soglie. I diritti previsti dalla legge applicabile restano in vigore anche dove il prodotto attuale non offre un flusso separato di richiesta.

HIPAA: glumea è un prodotto diretto al consumatore. Non forniamo assistenza sanitaria, non elaboriamo rimborsi, e non abbiamo alcun contratto con un piano sanitario o con un fornitore di assistenza sanitaria per trattare dati per loro conto, quindi non rivestiamo nessuno dei ruoli regolati dall’HIPAA, «covered entity» o «business associate», e non dichiariamo la conformità all’HIPAA. I registri che il tuo clinico detiene su di te sono coperti dall’HIPAA nelle sue mani; è una cosa distinta dalla copia che conservi in glumea. Le norme statunitensi a cui ci atteniamo per glumea sono la health breach notification rule della FTC e le leggi statali sulla privacy sanitaria indicate qui sotto.
California (CCPA/CPRA): l’applicabilità dipende dalle soglie commerciali previste dalla legge. I dati qui descritti possono includere informazioni personali sensibili. Non vendiamo informazioni personali né le condividiamo per la pubblicità comportamentale cross-context. Se si applica il CCPA, le sue regole su accesso, correzione, cancellazione, portabilità, opt-out e non discriminazione si applicano indipendentemente da questa informativa. I controlli nell’app e la richiesta di eliminazione dell’account per e-mail restano disponibili a prescindere dalla soglia.
Washington (My Health My Data Act): i dati che registri sono «dati sanitari dei consumatori». Washington richiede per essi un’informativa separata; vedi l’Informativa sui dati sanitari dei consumatori. Descrive le categorie, le fonti, le finalità, i destinatari, i diritti previsti dalla legge e gli attuali limiti operativi del processo di richiesta e di ricorso.
Nevada (legge sui dati sanitari dei consumatori, SB 370 del 2023): i dati che registri sono «dati sanitari dei consumatori» anche ai sensi della legge del Nevada. Hai il diritto di confermare se li raccogliamo, li condividiamo o li vendiamo, di ottenere un elenco dei terzi con cui sono stati condivisi o a cui sono stati venduti, di farli eliminare e di revocare il consenso, che il Nevada considera come due consensi distinti, uno alla raccolta e uno alla condivisione. La legge del Nevada è fatta rispettare dall’Attorney General. La nostra Informativa sui dati sanitari dei consumatori del Nevada espone quei diritti, i termini che si applicano ad essi, che per una cancellazione sono più brevi di quelli di Washington, e le quattro informazioni che il Nevada richiede.
Richieste e ricorsi. La legge statale applicabile può richiedere una spiegazione scritta, un percorso di ricorso e informazioni su come presentare un reclamo all’attorney general dello Stato. Al momento non è attivo presso [email protected] alcun flusso separato di ricorso per e-mail, quindi il processo attuale non fornisce quel percorso dove è richiesto. I requisiti di Washington sono descritti nell’Informativa sui dati sanitari dei consumatori.
Gli altri diritti previsti dalla legge statale applicabile non sono limitati da questa informativa.

18. Il sito glumea.com

Il Sito è un sito statico che ospita informazioni su glumea e questi documenti legali. È deliberatamente minimale:

Nessun cookie.
Nessuna analisi e nessuna richiesta verso origini di terze parti. Tutto ciò di cui la pagina ha bisogno, font e script compresi, viene servito da glumea.com stesso, e la content security policy del sito blocca categoricamente qualsiasi altra origine. La pagina in sé è consegnata dal nostro host, che necessariamente vede la richiesta; l’ultimo punto di questo elenco dice chi è e che cosa registra. Il sito esegue una piccola quantità di JavaScript proprio: due frammenti inline che applicano il tuo tema e ti indirizzano alla lingua giusta, più alcuni file inclusi nel pacchetto per il menu di navigazione, i selettori di tema e di lingua e l’animazione che rivela i blocchi mentre scorri. Nulla di tutto ciò invia qualcosa da nessuna parte.
Nessun tracciamento tra siti, e quindi nulla che un segnale Do Not Track o Global Privacy Control debba disattivare. Il Sito non imposta cookie pubblicitari né di analisi, non fa richieste a terze parti e non vendiamo né condividiamo informazioni personali.
Il localStorage del browser è usato solo per preferenze funzionali (la tua scelta di tema e di lingua). Questi valori restano nel tuo browser e non ci vengono trasmessi. Sono impostati solo perché hai scelto un tema o una lingua, ed è per questo che per essi non serve alcun banner di consenso.
Il sito è servito da Firebase Hosting (Google). Come la maggior parte degli host web, il fornitore può registrare i comuni registri del server, indirizzo IP, ora della richiesta, tipo di browser, per la sicurezza e per far funzionare il servizio. Per questo ci basiamo sul legittimo interesse (articolo 6(1)(f) RGPD), in particolare mantenere il sito disponibile e proteggerlo dagli abusi, e i registri sono conservati solo per il tempo necessario a tali scopi.

19. Modifiche a questa informativa

La versione attuale è pubblicata qui con la sua data di entrata in vigore. La legge applicabile determina se una modifica richieda un preavviso, un nuovo consenso o un’altra azione. La pubblicazione di un’informativa aggiornata non autorizza di per sé una nuova finalità che richieda il consenso o un’altra base giuridica.

20. Lingua

Questa informativa è pubblicata in inglese. La versione inglese è quella giuridicamente vincolante. Le traduzioni in altre lingue sono pubblicate affinché tu possa leggere l’informativa nella tua lingua. Dove una traduzione e il testo inglese differiscono, prevale il testo inglese.

L’eccezione è la legge stessa. Dove il paese in cui vivi attribuisce un proprio status alla lingua in cui ti sei rivolto, come fa la normativa a tutela dei consumatori di diversi paesi, si applica quella regola al posto di questa, e nulla qui toglie un diritto che hai in base ad essa.

Una traduzione viene pubblicata quando è pronta, quindi dopo un aggiornamento può restare indietro rispetto al testo inglese. Se trovi un punto in cui una traduzione e il testo inglese dicono cose diverse, faccelo sapere a [email protected].

21. Contattaci

Domande, dubbi o richieste sui tuoi dati:

E-mail: [email protected]
Posta: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polonia

Documenti correlati: Termini di servizio, Avvertenza medica e, per i residenti a Washington, la nostra Informativa sui dati sanitari dei consumatori, oppure per i residenti in Nevada la nostra Informativa sui dati sanitari dei consumatori del Nevada.