消費者健康データプライバシーポリシー

この文書で答える内容

これは、ワシントン州のMy Health My Data Actが求める消費者健康データに関するポリシーです。同法は、求める内容だけを記載した独立の文書を求めているため、意図的に範囲を絞っています。

ここでの健康データとは何ですか。 セクション2および3。
どこから来て、ほかに誰が見るのですか。 セクション4および5。
何をオフにできますか。 セクション7。
どんな権利があり、当社にはどのくらいの期間がありますか。 セクション8.1および8.2。
削除は実際に何に及びますか。 セクション9。
当社が拒否した場合はどうなりますか。 セクション10。

ネバダ州にお住まいの場合、権利と期限は異なり、当社のネバダ州消費者健康データプライバシー通知に記載しています。下のセクション2から5および9のすべては、ネバダ州の方にも適用され、その通知はそれらについてここを参照しています。

データに関するそのほかのすべて（法的根拠、セキュリティ、子ども、国際的な移転、ウェブサイト）は、プライバシーポリシーにあり、それもユーザーに適用されます。

1. 当社について、およびこのポリシーの対象

この文書が扱うのは、消費者健康データだけです。ワシントン州法は、これを当社の一般的なプライバシーポリシーとは別にしておくことを求めているため、範囲はより狭くなっています。プライバシーポリシーの、法的根拠、セキュリティ、子ども、国際的な移転、ウェブサイトglumea.comに関するセクションは繰り返していません。それらについては、プライバシーポリシーを読んでください。

対象とするのは、glumeaアプリです。何を収集し、それがどこへ行き、何をオフにしたり削除したりできるかです。Paweł Milewski Software Development（運営者、「当社」）は、glumea（アプリ）とglumea.com（ウェブサイト）を提供しています。このポリシーの対象はアプリです。当社の郵送先住所とメールは、セクション13にあります。

このポリシーとプライバシーポリシーに加えて、さらに2つの文書が適用されます。利用規約と医療上の免責事項です。

ワシントン州の居住者である場合、またはワシントン州にいる間に消費者健康データが収集された場合に、ユーザーに適用されます（My Health My Data Act、RCW 19.373）。

ネバダ州には独自の通知があります。 ネバダ州の法律（NRS 603A.400以下）は、異なる権利を異なる期限で認め、ワシントン州にはない4つの開示を当社に求めているため、それらはここではなく、ネバダ州消費者健康データプライバシー通知に記載しています。この文書のセクション2から5および9は、glumeaが健康データをどう扱うかを説明しており、居住地にかかわらず適用されます。

2. 消費者健康データとは

ワシントン州のMy Health My Data Actのもとで、消費者健康データとは、ユーザーに関連づけられている、または合理的に関連づけられる個人情報で、ユーザーの過去、現在、または将来の身体的または精神的な健康状態を特定するものを指し、身体機能、バイタルサイン、測定値、診断、治療、薬を明示的に含みます。

glumeaが記録するもののほとんどは、その定義に含まれます。血糖値の測定値、インスリンの投与、薬の名前はその明確な例です。

glumeaは糖尿病アプリであるため、アカウントがあるという事実自体が、健康に関わる情報を明らかにします。そのため、このポリシーでは、アカウント識別子とアカウントのメールアドレスは、健康の測定値ではないものの、消費者健康データとして扱います。同じ理由で、下に記載する仮名化された端末識別子とサーバーのリクエストログも、消費者健康データとして扱います。

3. 収集するカテゴリーと、その理由

カテゴリー	含まれるもの	収集する理由
血糖値の測定値	値、日付と時刻、コンテキストタグ（自分で入力したタグを含む）、自由記述のメモ	測定値、グラフ、目標範囲内時間の統計を表示するため、また医療上の免責事項に記載した再測定リマインダーをスケジュールするため
食事と糖質の記録	糖質、任意のたんぱく質、脂質、カロリー、入力した名前	食べたものを、測定値とあわせて記録して見直せるようにするため
インスリン、錠剤、注射薬の投与	単位数、回数、投与の時刻、それが属する薬	治療を記録して見直せるようにするため
薬のカタログ	薬の名前（たとえばインスリンのブランド）、種類、強さ、投与間隔、薬物動態のパラメーター	実在する薬に対して投与を記録でき、アプリがそれらを正しく表示できるようにするため
薬のスケジュール	どの薬か、時刻、曜日、そのリマインダーがサイレント時間中に作動してよいか	設定した薬のリマインダーを配信するため
測定のリマインダーと通知の設定	血糖測定のリマインダーの時刻と曜日、サイレント時間の時間帯、通知に詳細を表示するか	求められたリマインダーを配信するため、またまだ構築されていないリマインダーの設定を保持するため。スケジュールされた血糖測定のリマインダーは、現時点では配信されません。時刻は設定できますが、何も届きません。薬のリマインダーと、非常に低い値または非常に高い値の後の再測定リマインダーは配信されます。サイレント時間と通知の詳細の設定は、端末にとどまります
身体の測定値	体重の履歴と身長	体重の経時変化を表示するため、また記録を選んだ単位で表示するため
糖尿病と治療のプロフィール	選んだニックネーム、年齢、入力した場合は性別、糖尿病の種類、インスリンの投与方法、錠剤、注射薬、食事療法のどれで治療しているか	実際に糖尿病を管理している方法に合わせてアプリを設定するため
治療設定	血糖値の目標範囲、インスリン効果値（ISF）、インスリン・糖質比（ICR）	グラフに目標範囲を表示し、数値を1か所にまとめておくため。目標範囲は、PDFの血糖値レポートを作成した場合にそこに書き込まれ、インスリン・糖質比も、レポートの期間にインスリンの投与が含まれる場合は書き込まれます。CSVの書き出しには、どちらも含まれず、インスリン効果値は、CSVにもPDFにも含まれず、アカウント全体を対象とする暗号化された`.glumea`アーカイブに含まれます。アプリがこれらを使って用量を計算または推奨することは一切ありません。ただし、インスリン効果値は、もう1つのことに使われます。医療上の免責事項に記載のとおり、残存インスリンの横に表示される低血糖リスクの文言です
ヘルスケアやヘルスコネクトから読み込んだデータ	血糖値、体重、糖質の記録	連携した場合のみ：ほかの機器がすでに記録した測定値を入力し直さずに済むようにするため。読み込まれた記録は通常の記録となり、入力したものと同じ経路をたどります。クラウド同期がオンのときは、当社のサーバーも含みます
端末上でアプリが導き出す値	推定される残存インスリンと、その横に表示される低血糖リスクの文言およびおおよその低下幅、平均血糖値とそのばらつき、目標範囲内時間、推定HbA1c（GMI）、次回の測定の推奨時刻、最新の測定値に付く良好 / 注意 / 危険のラベル	記録した内容のまとめを表示するため。これらは端末上で計算され、それぞれが何であり何でないかは医療上の免責事項に記載しています
アカウント識別子とメールアドレス	アカウントのUUIDとサインイン用のメールアドレス	アカウントを提供し、記録をそれに同期するため
サブスクリプションの状態	アカウント識別子と、AppleまたはGoogleがRevenueCatを通じて報告するglumea+が有効かどうか	支払った内容を利用可能にするため。測定値、薬、記録は含まれません
製品分析のイベント	特定の種類の記録が保存されたこと（血糖値、食事、薬、体重。インスリン、錠剤、注射薬はすべて薬として数えます）、フォームから保存したのかリマインダーのアクションボタンから保存したのか、その保存で書き込まれた行数、その場（約15分以内）で記録したのか、同じ日の後で記録したのか、過去の日時に遡って記録したのか。記録フォームを開いたこと、どの種類で開いたか。アプリが起動されたこと、および、インストール後の初回起動であること。登録またはサインインを完了したこと、メールで届いたコードが確認された、または拒否されたこと、それがどの流れに属するか。完了したオンボーディングのステップ（糖尿病の種類と治療に関するものを含み、インスリンを使う人にだけ表示されるステップは含まない）、およびプロフィールを完了したこと。開いた画面（固定のルート名として。特定の種類の治療の人しか到達しない画面は、その上位の画面として報告）。リマインダーをタップしたこと、およびその一般的なカテゴリー（血糖値アラートは決して含まない）。通知の権限を求められたこと、許可したかどうか。ヘルスケアまたはヘルスコネクトを連携したか、オペレーティングシステムが権限を許可または拒否したか、読み込みを要求したこと、読み込みが実行されたこととその契機（読み取った記録の件数は決して含まない）。書き出しを生成したこと、その形式、共有したかどうか。分析をオフにしたこと。サブスクリプションと購入のイベント。言語、テーマ、単位の設定、サブスクリプションの状態。値、名前、メモ、そのほかユーザーが入力したものは一切含まれません。サインイン中のイベントはアカウント識別子を使い、サインイン前のイベントは仮名化された端末識別子を使います	アプリのどの部分が使われているかを把握するため。どの薬を使っているか、どの治療を使っているか、血糖値アラートが作動したかどうかはわかりませんが、糖尿病アプリの利用と結びついています。分析に同意した後にのみ収集されます
技術情報と端末情報	サインイン前の分析に使う仮名化された端末識別子、PostHog、Sentry、RevenueCatのSDKが追加する端末のモデル、オペレーティングシステム、アプリのバージョン、リリース、ビルドなどの値、そしてそれらのサーバーが目にするネットワークアドレス	SDKがこれらの値を収集し、それは分析または診断に同意した後にのみ行われます。これらの項目のいずれも、測定値、薬、ユーザーが入力した値ではありません
サーバーのリクエストログ	端末が当社のサーバーに対して行うリクエストのアドレス、パス、時刻、およびリクエストが失敗した場合は、ステータス、パス、時刻、エラーメッセージ	バックエンドを運用し、障害を調査するため。記録、薬、測定値、ユーザーが入力したものは一切含まれません。glumeaのバックエンドへのリクエストが糖尿病アプリの利用と結びついているため、ここに挙げています

当社は、消費者健康データを、これらの目的にのみ使い、それ以外には使いません。広告、広告のターゲティング、プロファイリング、信用や保険に関する決定、研究には使いません。また、ユーザーについての自動化された決定にも使いません。

上記のうち一部は、端末の外には一切出ません。測定のリマインダーの時刻、サイレント時間、通知の詳細の設定、ヘルスプラットフォームの連携設定は、ローカルにのみ保存され、当社のサーバーには送信されません。薬のスケジュールは例外です。薬のスケジュールは日記に属するため、クラウド同期がオンのときは当社のサーバーにコピーされます。薬のリマインダーは、新しいスマートフォンでも引き継がれる必要があるからです。

4. 情報の出どころ

情報源は6つあります。

ユーザー自身：アプリに記録を入力したり、プロフィール、薬、リマインダーを設定したりするとき。
端末のヘルスプラットフォーム：ヘルスケアまたはヘルスコネクト。連携し、オペレーティングシステムの権限を許可した場合です。これは読み取り専用です。glumeaがヘルスケアやヘルスコネクトに何かを書き戻すことは決してなく、iOSではそれを可能にする権限を持っていません。
アプリ自身：ユーザーが入力した内容から、端末上で値を導き出すとき。
Apple、Google、RevenueCat：glumea+のサブスクリプションが有効かどうかを当社に伝えます。これはアカウント識別子に結びついた支払いに関する事実であり、測定値、薬、記録は含まれません。アプリ内で、またRevenueCatから当社のバックエンドへのサーバー間メッセージとして、その両方で当社に届きます。
アプリ内のPostHog、Sentry、RevenueCatのSDK：セクション3に挙げた端末とネットワークの値を、自身で収集します。当社はそれらを設定していません。
当社のホスティングプラットフォームとバックエンド：セクション3に記載したサーバーのリクエストログを記録します。

ヘルスケアとヘルスコネクトは、情報源に数えます。そこに保存されている測定値は、ほかの何かによって記録されたものであり、それらを読み込むと、通常の記録としてglumeaに取り込まれます。クラウド同期がオンのときは、当社のサーバーにも届きます。

当社は、消費者健康データを購入しません。連携したヘルスプラットフォームとそのサブスクリプションのシグナルを除き、データブローカー、広告ネットワーク、医療提供者、保険会社など、誰からも受け取りません。

5. ほかに誰が取り扱い、何を受け取るか

このセクションのいかなる内容も、販売ではありません。表には、glumeaの各部分を運営する企業と、各サービスが受け取りうるデータを示しています。AppleとGoogleは、念のため含めています。両社はストアを運営し、自社の購入記録を保持し、そのストアのデータについて独立して行動します。アプリ内の提供者のSDKは、当社が設定も受信もしない端末とネットワークの情報を収集することもあります。RevenueCatのSDKはそうしており、RevenueCatはその処理を自社のプライバシー通知に記載しています。

提供者	受け取るもの	理由	連絡先
Google Cloud（Google）、Cloud RunとCloud SQL、リージョン`europe-west1`	アカウントのメールアドレス、プロフィール、治療設定（クラウド同期を使うかどうかにかかわらず当社のサーバーに保持されます）、およびクラウド同期がオンのときは、日記（記録、薬のカタログ、薬のスケジュール）も	当社のバックエンドとデータベースをホストします。ここにデータのサーバー上のコピーがあります。Google Cloud Loggingも、セクション3に記載した当社のサーバーのリクエストログを保持します	support.google.com/policies/contact/general_privacy_form
Zoho ZeptoMail	本番のメール配信が有効な場合：宛先のメールアドレスと、確認、パスワードリセット、またはメールアドレス変更のメッセージ。記録、薬、測定値は含まれません	その機能が有効なときに、アカウント関連のメールを配信するため	[email protected]
PostHog（EUクラウド）	分析が有効な間：上に挙げたイベント、サインイン後のアカウント識別子またはサインイン前の仮名化された端末識別子、選択された環境設定の属性、SDKが追加する技術的なプロパティ、そしてネットワークアドレス。PostHogはリクエストごとにそれを受け取り、そこからおおよその位置を導き出します。当社はPostHogのそれを破棄するオプションをオンにしていないため、イベントとともに保存されます	製品分析	[email protected]
Sentry（診断、欧州連合リージョン）	診断が有効な間：フィルターを通したクラッシュとエラーのレポート、SDKが追加する端末とアプリのデータ、ネットワークアドレス（アプリはそれを送らないように設定されているため、レポートにIPアドレスは付きませんが、Sentryのサーバーは、レポートが届く送信元のアドレスを必然的に目にします）、およびアプリのフィルターを迂回しうるプラットフォームのリリース健全性のシグナル	クラッシュを見つけて修正するため	[email protected]
RevenueCat	アカウント識別子と、glumea+の購入およびサブスクリプションの状態。当社のコードは、それ以外のものを一切付けません。メールアドレス、名前、端末識別子、当社独自のサブスクライバー属性は設定しません。RevenueCatは、ユーザーに関する独自のサブスクライバー属性を保持していることがあり、その場合は、RevenueCatが当社のバックエンドに送るメッセージの中に含まれて当社に戻り、当社は届いたとおりに保存します。それらがどうなるかはセクション9に記載しています。RevenueCat自身のSDKも、当社のコードが設定も抑制もしない一部の端末とネットワークの情報を自身で収集します。ネットワークアドレス（そこからおおよその位置を推定します）、端末の種類、オペレーティングシステムとアプリのバージョン、読み取るストアの購入履歴です。当社のコードは端末識別子の収集をオンにしていないため、広告識別子は付きません。記録、薬、測定値は含まれません	サブスクリプションが有効かどうかをアプリに伝えるため	[email protected]
AppleとGoogle（glumea+を販売するストアを運営）	購入とサブスクリプションの記録。記録、薬、測定値は含まれません	支払いを受け付け、ユーザーとの請求関係を保持します。記録上の販売者が誰かは、利用規約に説明があるとおり、ストアと地域によって決まります。当社がカードの詳細を目にすることはありません	apple.com/legal/privacy/contact · support.google.com/policies/contact/general_privacy_form

Paweł Milewski Software Developmentの関連会社が消費者健康データを受け取ることはなく、当社は、それを広告主、データブローカー、保険会社、雇用主に開示しません。拘束力のある法的命令によって、開示が求められることがあります。そのような開示に関する通知は、適用される法律に従います。

表には、各サービスを使う理由と、受け取りうるものを示しています。アプリには、提供者ごとの個別の共有スイッチはありません。利用できる管理機能は、セクション7に記載しています。提供者の規約とプライバシー通知も、SDKが当社のコードで設定されたフィールドとは無関係に収集するデータを規律します。

分析と診断が運べるものと運べないものについて、2点あります。

分析は、アプリのイベントスキーマを通じて、測定値、メモ、薬の名前、ユーザーが入力したタグ、メールアドレスを受け取ることができません。 アプリは、イベントとプロパティの固定の許可リストを使います。あらゆる種類の薬の記録は1つの種類として報告され、血糖値アラートのタップは記録されないため、イベントから治療内容や測定値が明らかになることはありません。分析は、同意するまで何も収集しません。
診断レポートは、送信される前に許可リストから再構築され、レポートにはユーザー、アカウント識別子、メッセージのテキストは含まれません。制限が2つあります。失敗した操作を示すラベルは、操作がどのカテゴリーのデータに関するものか（たとえば血糖値の読み込み）を明らかにすることがありますが、値が明らかになることは決してありません。また、ネイティブのクラッシュ、アプリの応答なし、ウォッチドッグのイベントは、オペレーティングシステムのクラッシュハンドラーによって生成され、そのフィルターを経ずにSentryに届くことがあります。

5.1 自分で作成するコピー

PDFとCSVの血糖値レポート、および暗号化された.glumeaアーカイブは、送った先に渡ります。ファイルをほかのアプリ、メール、人に渡した時点で、当社の管理外になります。.glumeaアーカイブは、ユーザーだけが知るパスワードで暗号化されており、当社は開けず、パスワードを教えていない人も開けません。

5.2 端末のバックアップ

アプリのローカルデータベースは、端末上で、プラットフォームのキーストアに保持され、その端末の外に出ることのない鍵で暗号化されています。Androidでは、glumeaについてバックアップと端末間転送が完全にオフになっています。iOSでは、データベースファイルのコピーがiCloudバックアップに含まれることがありますが、鍵がなければ読めません。そのため、AppleとGoogleがこの経路で読める消費者健康データを受け取ることはなく、新しいスマートフォンへの移行は、クラウド同期または.glumeaアーカイブを通じて行う必要があります。

6. 消費者健康データは販売しません

当社は消費者健康データを販売しておらず、これまで販売したこともありません。ワシントン州法は、販売の前に、ユーザーからの別個の署名付きの「有効な承認」を求めています。当社はそれを保持しておらず、求めたこともありません。販売が行われうるのは、ユーザーが自ら与えることを選んだ承認を通じてのみで、その承認には、何が、誰に販売されるかを正確に記載する必要があり、ユーザーはそれを取り消すことができます。

glumeaには、広告SDK、広告識別子、アトリビューションまたは計測のSDK、位置情報のSDKは含まれていません。glumeaは位置情報の権限を求めることはなく、正確な位置情報も収集しません。どちらのプラットフォームのビルドも位置情報の権限を宣言していないため、アプリが端末の位置を読み取ることは一切できません。地理的なシグナルを持つ唯一のものは、端末の接続元のネットワークアドレスで、これは当社のサーバーとセクション5の提供者が、あらゆるウェブサービスと同様に目にし、そこからおおよその地域を推定することができます。当社はそれをユーザーの位置を特定するために使わず、そこから位置を導き出したり保存したりしません。当社は、消費者健康データを広告のために処理せず、クロスコンテキスト行動広告のために共有せず、医療施設の周囲にジオフェンスを運用しておらず、また運用することもできません。

7. 収集する理由と、ユーザーがスイッチできるもの

健康に関する記録のほとんどは、入力または読み込みによって、意図的に提供されます。分析と診断も任意です。どちらも、オンボーディングの最後に同意するか、設定でオンにするまでオフで、それまではどちらのSDKも起動されません。

クラウド同期：記録を当社のサーバーにコピーするかどうかは、glumea+の機能で、オンにするまでオフです。オンにするには2つの手順があります。有効なglumea+のサブスクリプションがない場合、アプリは何かをオンにする代わりにサブスクリプションの画面を表示します。ある場合は、次に、健康データを当社のサーバーに保存することに同意するかどうかを、独立した手順で確認します。その確認がユーザーの同意であり、最初の1回だけでなく、スイッチがオンになるたびに求められ、スイッチを再びオフにすると撤回されます。クラウド同期シートで確認でき、そのシートは概要または履歴画面の上部にあるクラウドボタンから開きます。その中のスイッチは同期といいます。オフの間、新しい記録は端末にとどまります。すでに当社のサーバーにある記録は、削除するまでそこに残り、同期を再びオンにすると、端末に保持されていた記録が再アップロードされます。

このスイッチへの回答は、スマートフォンではなく、当社のサーバー上のアカウントに保持されます。サインアウトしても残り、新しい端末にも引き継がれます。オフにしたことも同じように記録され、オフラインのときにオフにした場合、アプリはその回答を保持し、破棄せずに次の機会に届けます。glumea+が終了した場合、新しい記録は当社のサーバーにコピーされなくなりますが、すでにそこにある記録の編集と削除は引き続き同期され、シートには編集と削除は引き続き同期されます · 新しい記録はこの端末にのみ保存されますと表示されます。何も削除されず、保存された回答はそのままで、再び購読すると、2度目の確認なしにその回答で完全なバックアップが再開します。オフにすること、およびその横のサーバーのデータを削除リンクは、サブスクリプションが有効かどうかにかかわらず利用できます。

アプリでは、次の3つをいつでもスイッチできます。

ヘルスケア / ヘルスコネクト：連携するまでオフで、3つのデータの種類はそれぞれ個別にオフにできます。設定 → 連携 → ヘルスケア（iPhone）またはヘルスコネクト（Android）。
利用状況の分析：設定 → データとプライバシー → プライバシーと診断。同意するまでオフです。オフにすると保存された設定は変わりますが、すでにキューに入っているイベントは、SDKのスケジュールで送信されることがあります。
エラー報告：同じ画面にある別のスイッチ。これも同意するまでオフです。サインアウトすると両方の回答が消去されますが、すでに動作しているSDKは、アプリが閉じられるまで動き続けます。

アプリ内のサーバーのデータを削除の操作には、有効なサインインが必要です。セッションが期限切れの場合、クラウド同期シートには一時停止中と表示され、この操作は、実行する前にサインインを求めます。強行規定は、有効な同意の撤回に対して不利益を課すことを禁じています。

糖尿病と治療のプロフィールと、治療設定は、上のスイッチの対象ではありません。アカウントを削除することが、それらを当社の本番データベースから削除できる、実装済みの唯一の方法です。プロフィールのみを削除するワークフローは、[email protected]を通じて現在利用できません。

8. ユーザーの権利

セクション8.1ではワシントン州が認める権利を、セクション8.2ではその行使の方法を説明します。ネバダ州にお住まいの場合は、権利と期限は、代わりにネバダ州消費者健康データプライバシー通知に記載しています。

8.1 ワシントン州にお住まいの場合

My Health My Data Actに基づき、次の権利があります。

当社が消費者健康データを収集、共有、または販売しているかを確認し、それにアクセスすること。共有した先の第三者と関連会社、およびその連絡方法を含みます。現在公開している受領者と連絡先のリストは、セクション5の表です。
消費者健康データの収集と、その共有に対する同意を撤回すること（セクション7）。
消費者健康データを削除すること。

ワシントン州法は、請求を受け取ってから45日以内に回答することを求めています。合理的に必要な場合には、最初の期間中に通知と理由を示したうえで、さらに45日間の延長が1回認められます。また、手数料や、明らかに根拠のない、過度な、または反復的な請求に関する規則も定めています。それらの法定の要件は、このポリシーとは別に適用されます。

8.2 これらの権利の行使方法

アプリで：アカウントを削除（設定 → アカウント）は、アカウントとそれに同期されたすべてのものを当社のサーバーからハードデリートし、端末のローカルデータベースを消去します。サーバーのデータを削除リンク（クラウド同期シート内。同期をオフにすると使えます）は、記録、薬のカタログ、薬のスケジュールのサーバー上のコピーを削除し、アカウントと端末上のコピーは残します。それ以上には及びません。糖尿病と治療のプロフィールと治療設定は、アカウントを削除するまで当社のサーバーに残ります。
メールで：アプリをもう持っていなくても、[email protected]にアカウント削除を依頼できます。アカウントを削除する前に、所有者であることを確認します。glumeaアカウントの削除で、両方の経路を説明しています。アプリ外での独自のアクセスや不服申立ての手続きはまだ実装されていないため、このメールの経路だけでは、ワシントン州のすべての請求の権利を満たすことはできません。

アプリで削除すると、確認した時点で、本番のアカウントテーブルからの削除が行われます。その削除が何に及び、何が残るかは、セクション9に記載しています。

9. 削除が実際に及ぶ範囲

下の表は、削除が、各システムと各サービス提供者でどのように適用されるかを示しています。

対象	起こること
端末	記録を削除すると、この端末から削除され、この端末からのみ削除されます。サーバー上のコピーは残るため、その記録は、再インストール、新しいスマートフォン、またはサインアウトして再びサインインした後に戻ってくることがあります。サーバーを消去するのは、サーバーのデータを削除またはアカウントの削除だけです。ヘルスケアやヘルスコネクトから読み込まれた測定値は、アプリで1件ずつ削除することはできません。アプリ内のアカウント削除とサインアウトは、その端末のローカルデータベースを消去しますが、メールでの依頼では遠隔で消去することはできません。データベースは端末に紐づく鍵で暗号化されているため、この端末の外に出たコピーは読むことができません
当社の本番データベース（Google Cloud、`europe-west1`）	アカウントを削除すると、アカウントの行とそれに紐づくすべてのものが、ただちにハードデリートされ、復元はできません。個別の記録は異なります。1件の記録の削除が当社のサーバーに届いた場合、その行は、削除がほかの端末に伝わるよう、値、タグ、メモを保持したままのトゥームストーンとして保管されます
当社のサーバーのバックアップ	すでに削除された行のコピーは、バックアップが失効するまで残ります。最長7日間で、ワシントン州の法定の上限が適用される場合は、認証から6か月を超えることはありません。個々の記録がバックアップの中で編集されることはありません。過去の削除を再生するジョブがないため、災害復旧のための復元によって、削除された行が一時的に復活することがあります
当社のサーバーログ	当社のホスティングプラットフォームは、端末が当社に対して行うリクエストのアドレス、パス、時刻を記録し、当社のバックエンドは、リクエストが失敗するたびに、ステータス、パス、時刻、エラーメッセージの行を書き込みます。どちらにも、記録、薬、測定値は含まれません。保持期間：30日間
Zoho ZeptoMail	メール配信が有効な場合、確認とリセットのメッセージの配信記録を保持することがあります。保持期間：最長60日間の配信ログ（ZeptoMailの標準的な保持期間）。現在の削除の流れは、提供者への削除要求を送信しません
PostHog（分析）	アカウントを削除すると、アカウントに紐づくプロファイルとそのイベントおよび録画を消去する要求がキューに入れられます。当社はただちに試み、失敗した要求は再試行します。PostHogは、受理した一括削除を非同期で完了することがあります。サインイン前のイベントは、別の端末識別子を使います
Sentry（診断）	アプリは、診断レポートにアカウント識別子、メールアドレス、ユーザーレコードを付けません。ネイティブのレポートはアプリのフィルターを迂回することがあり、個々のユーザーのレポートを特定して削除するためのサポート対象の識別子はありません
RevenueCat	アカウント識別子に紐づくサブスクライバー記録を保持しますが、記録、薬、測定値は保持しません。アカウントを削除すると、その記録を消去する要求がキューに入れられます。当社はただちに試み、失敗した要求は再試行します
当社のサブスクリプションイベントログ	当社のバックエンドは、RevenueCatが送信する各サブスクリプションのメッセージを、そのメッセージに含まれるアカウント識別子とサブスクライバー属性とともに保存します。その行はアカウントレコードに紐づいていないため、削除サービスは、アカウントを削除するときにそれらを別に削除します。それ以外の場合は、スケジュールされたジョブが、届いてから90日後に各行を削除します
Apple / Googleのサブスクリプション記録	両社が自社のポリシーのもとで保持しており、当社の管理外です
自分で書き出したコピー	当社の手が届きません。上の「自分で作成するコピー」を参照してください

アカウント削除の2つの経路は、どちらも同じサーバー側のサービスを使います。当社の本番データベースからアカウントとサブスクリプションイベントログを削除し、RevenueCatとPostHogへの要求をキューに入れます。個々のユーザーのSentryのレポートを特定することも、Zoho ZeptoMailの配信ログを消去することもしません。ワシントン州法は、拒否された請求に対する不服申立ての手続きも求めていますが、その別個の手続きはまだ実装されていません。

10. 当社が拒否した場合

ワシントン州法は、請求が拒否された場合に、書面による説明と不服申立ての手続きを求めています。また、45日以内の書面による不服申立ての決定を求め、不服申立てが却下された後は、ワシントン州司法長官への連絡方法を求めています。

[email protected]では、別個の不服申立てのワークフローは現在実装されていないため、現在の手続きは、ワシントン州が求める不服申立ての経路を提供していません。このポリシーのいかなる内容も、ワシントン州司法長官室への苦情、またはワシントン州法に基づくほかの権利を制限しません。

11. このポリシーの変更

現在のバージョンは、現在使用しているカテゴリーと目的を説明しています。ワシントン州法は、新しいカテゴリーまたは目的を導入する前に、更新したポリシー、事前の通知、または同意を求めることがあります。更新したポリシーの公開は、同意が必要な場合の同意に代わるものではありません。

12. 言語

このポリシーは英語で公開されています。法的拘束力があるのは英語版です。 他の言語への翻訳は、ユーザーが自分の言語でポリシーを読めるように公開しています。翻訳と英語の文面が異なる場合は、英語の文面が優先します。

例外は、法律そのものです。居住している国が、ユーザーに対して使われた言語に独自の地位を与えている場合（いくつかの国の消費者保護法がそうしているように）、この規定ではなくその規則が適用され、ここに書かれたことによってユーザーがそれに基づいて持つ権利が奪われることはありません。

翻訳は準備ができ次第公開されるため、更新後は英語の文面より遅れることがあります。翻訳と英語の文面が異なることを述べている箇所を見つけた場合は、[email protected]に知らせてください。

13. お問い合わせ

メール：[email protected]
郵送：Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Poland