プライバシーポリシー

1. 当社について、およびこのポリシーの対象

Paweł Milewski Software Development（運営者、「当社」）は、糖尿病の自己管理用モバイルアプリであるglumea（アプリ）と、glumea.com（ウェブサイト）を提供しています。このポリシーでは、当社がどのようなデータを、なぜ収集するのか、どこに保存するのか、誰がアクセスできるのか、どのくらいの期間保管するのか、削除によって何が消えるのか、そしてユーザーが持つ権利と管理手段について説明します。

このポリシーは、欧州のデータ保護法のもとで当社がユーザーに提供する義務を負う通知でもあります。すなわち、一般データ保護規則（規則（EU）2016/679。以下「GDPR」といいます）の第13条および第14条が求める情報であり、ユーザー自身が当社に提供したデータと、ほかの経路から当社に届くデータの両方を対象とします。

このポリシーの対象は次のとおりです。

アプリ：iOSとAndroid向けのglumeaモバイルアプリ。
ウェブサイト：これらの法的文書を掲載するページを含む、ウェブサイトglumea.com。

ウェブサイトが収集する情報はほとんどなく、下に専用のセクションがあります。

運営者は、ユーザーの個人データに責任を負う管理者です。

管理者：Paweł Milewski Software Development
事業者登録番号：NIP PL6751782526、ポーランドの事業者登録情報（CEIDG、Central Registration and Information on Business）に登録された個人事業
郵送先住所：ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Poland
メール：[email protected]
設立国：ポーランド

該当する場合：

EU代理人：該当なし（当社は欧州連合内に設立されています）
英国代理人：選任していません
データ保護責任者：選任していません。データ保護に関する質問は[email protected]へお寄せください

「データ管理者」とは、GDPRの定義に従い、ユーザーの個人データを処理する方法と目的を決定する者を指します。

このポリシーと並んで適用される文書がほかに2つあります。あわせて読んでください。

アプリとウェブサイトの利用を定める利用規約
アプリが医学的に何ができないかを示す医療上の免責事項

ワシントン州の居住者には、4つ目の文書も適用されます。ワシントン州法が別途公開を義務づけている消費者健康データプライバシーポリシーです。ネバダ州にお住まいの場合は、これに相当するネバダ州消費者健康データプライバシー通知が適用されます。

2. 概要

以下の内容の短いまとめです。各項目には詳細を定めたセクションを示しており、そのセクションが優先します。

当社について。 Paweł Milewski Software Developmentが、データを処理する方法と目的を決定します。セクション1および21。
収集するデータ。 メールアドレスとパスワード、オンボーディングで入力したプロフィール、記録した日記（血糖値、食事、インスリン、その他の薬、体重、薬とリマインダー）、サインイントークン、サーバーへの接続記録。ヘルスケアまたはヘルスコネクトを連携した場合はその記録、サブスクリプションを購読した場合はその情報。セクション3。
健康データ。 日記、糖尿病の種類、治療方法、治療設定は、GDPR第9条の特別カテゴリーのデータです。クラウド同期には、日記についての別個の確認があります。現在のオンボーディングでは、健康プロフィールと治療設定を保存する前に、別個の明示的な同意を取得していません。セクション3.3および4。
保管場所。 アカウントを作成した時点から、データの一部は当社のサーバーにあります。アカウント情報、糖尿病の種類と治療を含むプロフィール、治療設定です。日記は違います。日記はまずスマートフォン上の暗号化されたデータベースに書き込まれ、アプリはオフラインで動作し、クラウド同期をオンにした場合にのみ当社のサーバーに届きます。クラウド同期はglumea+の機能で、オンにするまではオフであり、その選択はスマートフォンではなくアカウントに保持されます。完全な表はセクション10にあります。
受領者。 当社のEUのホスティング事業者、メール配信が有効な場合はメール事業者、同意した後のPostHogとSentry（それぞれ個別）、購読した場合はストア、そして購読の有無にかかわらずRevenueCat。当社はデータを販売せず、アプリに広告はありません。セクション5、7、8、9。
選択肢。 分析とエラー報告は、それぞれに同意するまでオフで、スイッチは別々です。サインアウトしても、そのセッションですでに動作しているSDKは止まりません。アプリでは、同期をオフにする、日記のサーバー上のコピーを削除する、アカウントを削除する、実装済みの書き出し機能を使う、といったことができます。セクション5および13。
権利。 アクセス、訂正、消去、制限、ポータビリティ、異議、同意の撤回、データ保護機関への苦情申立て。米国では、居住する州の法律が認める権利。アプリでアカウントを削除するか、アプリを使わずに[email protected]へメールしてアカウント削除を依頼できます。セクション13、14、17。
削除で残るもの。 アカウントを削除すると、本番データベースの記録が削除され、アカウントに紐づくRevenueCatとPostHogの記録の削除が要求されます。既存のバックアップ、サーバーと診断のログ、ストアの請求記録、書き出したコピーは、セクション12のとおり残ることがあります。

3. 収集するデータ

ここに挙げるデータの大半は、ユーザー自身が直接提供するものです。そうでないものが2種類あります。ヘルスケアまたはヘルスコネクトから読み込んだ測定値と、Apple、Google、RevenueCatから当社に届くサブスクリプション情報です。どちらも以下で説明します。

3.1 アカウントデータ

メールアドレスとパスワード。パスワードは当社のサーバーでbcryptによりハッシュ化され、平文では保存されず、端末にも保存されません。メールアドレスは、アプリが使うサインイントークンの中にも含まれます。
メール確認、パスワードのリセット、パスワードの変更、メールアドレスの変更に使うワンタイムコード。コードは発行から10分で失効し、5回間違えると無効になります。

3.2 プロフィールデータ

オンボーディング中に収集されます。

姓名（ニックネームとして保存）、年齢、性別（任意）、身長。
糖尿病の種類（1型、2型、妊娠糖尿病、その他）、治療方法（インスリン、錠剤、注射薬、食事療法）、インスリンの投与方法。

糖尿病の種類、治療方法、インスリンの投与方法は健康データであり、このポリシーでは「プロフィール」にまとめていますが、GDPR第9条の「特別カテゴリー」の個人データです。これらについて当社が依拠する条件は、下の法的根拠のセクションに記載しています。

3.3 記録した健康データ（特別カテゴリーのデータ）

以下は健康データであり、GDPR第9条の「特別カテゴリー」の個人データです。当社は、ユーザーの明示的な同意がある場合にのみ、これらを当社のサーバーに保持します。その同意がどのように与えられるか、またこれらのうちどれがクラウド同期がオンのときにのみ当社のサーバーに届くかは、下の法的根拠のセクションに記載しています。

血糖値の測定値と、任意のコンテキストタグ（食事のタイミング、身体の状態、活動、薬とテクノロジー、および自分で書いたタグ）、自由記述のメモ。
食事の記録：糖質、および任意のたんぱく質、脂質、カロリー、入力した名前。
インスリンの投与：単位数。設定したインスリンの薬に紐づき、ボーラス、基礎、混合型のいずれか。
注射薬の投与（たとえばGLP-1作動薬）。
錠剤の服用回数。
体重の記録と、それぞれの記録した時刻。
薬のカタログ：設定したインスリン、錠剤、注射薬。薬の名前（たとえばFiasp、Lantus、Metformin、Ozempic）と薬物動態のパラメーター（作用発現、最大作用、持続時間）、およびそれらに設定したリマインダーの時刻を含みます。
設定した治療設定：血糖値の目標範囲（デフォルトは3.9〜10.0 mmol/L、妊娠糖尿病・糖尿病予備群・糖尿病の診断なしの場合は3.9〜7.8 mmol/L）、インスリン・糖質比（ICR）、インスリン効果値（ISF）。アプリはこれらのいずれも、用量の計算や推奨には使いません。インスリン・糖質比は参照用に保存されるだけで、ほかのものがそれを読むことはありません。目標範囲は保存され、目標範囲内時間の範囲内の帯を描画し、良好 / 注意 / 危険のラベルの内側の境界を決め、低血糖リスクの表現が切り替わるタイミングを決めるのにも使われます。インスリン効果値は、低血糖リスクの表現と、残存インスリンの横に表示される血糖値が下がる幅のおおよその範囲を求めるのに使われます。これらすべては医療上の免責事項で説明しています。
記録した内容をもとに端末上でアプリが導き出す値：推定される残存インスリン（認識のための推定値であり、用量を推奨も計算もしません）、低血糖リスクの表現とその横に表示される血糖値が下がる幅のおおよその範囲、傾向、平均血糖値とそのばらつき、目標範囲内時間、推定HbA1c（GMI）、次回の測定の推奨時刻、最新の測定値に付く良好 / 注意 / 危険のラベル。それぞれが何であり何でないかは、医療上の免責事項に記載しています。

これらの項目の多くは自由記述です。血糖値のメモ、自分で書くタグ、食べ物の名前、カスタムの薬の名前、カスタムのリマインダー枠の名前などです。そこに入力した内容は、入力したとおりに保存され、同期がオンであれば同期されます。

3.4 ほかの情報源から受け取るデータ

ヘルスケアとヘルスコネクト。 連携した場合、アプリはスマートフォン上のヘルスプラットフォームから、血糖値、体重、食事の糖質の記録を読み取ります。これは読み取り専用で、アプリが何かを書き戻すことはありません。iOSではシステムに読み取り権限のみを要求し、書き込みに必要となる理由は宣言していません。Androidでは、3種類の記録に対する読み取り権限のみを保持しています。したがって、もともと血糖測定器、CGM、ほかのアプリから来た記録は、ヘルスプラットフォームを通じてglumeaに届きます。読み込まれた記録は、元のプラットフォームと記録の識別子のタグが付いた通常の記録として端末に保存されます。読み込まれた記録が当社のサーバーにもコピーされるかどうかは、自分で入力した記録とまったく同じように、クラウド同期がオンかどうかで決まります。連携はオンにするまでオフで、設定 → 連携でいつでも接続を解除したり、個別のデータの種類をオフにしたりできます。
Apple、Google、RevenueCat。 **glumea+**を購読すると、そのサブスクリプションに関する情報がストアとRevenueCatから当社に届きます。具体的な内容は、下のglumea+のセクションを参照してください。

3.5 技術データ

認証トークン。サインインしたままにできるよう、端末のセキュアストレージに保存されます。当社のサーバー上のセッションは、セッションID、ユーザーID、有効期限を保持する記録です。
クラウド同期がオンのとき、当社のサーバーは、同期したデータを、同期のタイムスタンプなど同期サービスの運用に必要な管理情報とともに処理します。
アプリが当社のサーバーと通信するとき、サーバーはIPアドレス、リクエストされたパス、時刻などの標準的な接続情報を受け取り、セキュリティとサービスの運用に使います。
分析または診断が有効な間、各SDKはセクション5に記載したデータを送信します。どちらも同意するまでオフです。

3.6 端末にとどまるデータと、そうでないデータ

当社のサーバーには一切届かないものがあります。通知の設定、血糖測定のリマインダーの時刻、サイレント時間、通知の詳細表示の選択、ローカルの通知の状態、ヘルスプラットフォームの接続状態、アプリの環境設定、テレメトリーの設定、同期の管理情報です。ただし一点あります。分析が有効な間、言語、テーマ、単位の設定は、プロフィール属性としてPostHogに送信されます。このリストのほかのものが、当社のバックエンドを通じて端末の外に出ることはありません。

薬のスケジュールは例外です。薬のスケジュールは日記に属するため、クラウド同期がオンのときは当社のサーバーにコピーされます。薬のリマインダーは、新しいスマートフォンでも引き継がれる必要があるからです。

クラウド同期のスイッチそのものも、端末のみのものではありません。そのスイッチへの回答は、新しいスマートフォンに引き継がれ、サインアウトしても残るように、当社のサーバー上のアカウントに保持されます。実際にどういうことかは、セクション10に記載しています。

ユーザー自身が作成するファイル、つまり.glumeaバックアップアーカイブ、またはCSVやPDFの血糖値レポートは、端末上に書き込まれ、共有または保存先に選んだアプリに渡されます。その後どこへ行くかは当社の管理外であり、CSVやPDFのレポートは暗号化されていません。

4. データを処理する理由と法的根拠

GDPRのもとでは、処理ごとに第6条の根拠が必要で、特別カテゴリーのデータにはさらに第9条の条件が必要です。想定している根拠を以下に挙げます。下に記載するプロフィールの同意手順の欠落は、処理に必要な明示的な同意にはなりません。

アカウントとアプリの提供：アカウントの作成と保護、認証、メール確認、パスワードのリセット、クラウド同期の運用、購読した場合のglumea+の提供、ストアとRevenueCatが当社に送るサブスクリプション通知の記録の保持（glumea+が有効かどうかを把握し、請求の問題を解決するため）：契約の履行、GDPR第6条(1)(b)。
健康データを当社のサーバーに保持すること：想定している根拠は、サービスについては第6条(1)(b)、健康データについては第9条(2)(a)に基づく明示的な同意です。日記は、別個のクラウド同期の確認を経た後にのみ、当社のサーバーにコピーされます。現在のオンボーディングでは、別個の明示的な同意の手順なしに、プロフィールと治療設定がアカウントに保存されます。契約の承諾は、特別カテゴリーの処理に対する明示的な同意に自動的にはなりません。そのため、現在のオンボーディングの流れは、その第9条の条件を満たしていません。アカウントの削除が、これらのプロフィールと治療設定の項目を本番データベースから削除できる、実装済みの唯一の方法です。
製品分析：第6条(1)(a)に基づく同意、糖尿病アプリの利用は健康に関わる情報を明らかにするため第9条(2)(a)に基づく明示的な同意、およびSDKによる保存についてはeプライバシー指令第5条(3)に基づく同意。この同意をどのように求めるかは、セクション5に記載しています。
診断とクラッシュレポート：想定している根拠は、第6条(1)(a)に基づく同意、糖尿病アプリの利用は健康に関わる情報を明らかにするため第9条(2)(a)に基づく明示的な同意、およびSDKによる保存についてはeプライバシー指令第5条(3)に基づく同意で、分析と同じ方法で求めます（セクション5）。
サービスの安全確保と不正利用の防止：当社のAPIのレート制限と、不正利用の疑いの調査：当社の正当な利益、GDPR第6条(1)(f)。具体的な利益は、無許可のアクセスからユーザー自身と他の人のアカウントを守ること、およびサービスを利用可能に保つことです。当社の利益がユーザーの権利によって覆されない場合にのみ、この根拠に依拠します。
法的義務の履行：ポーランドの法律が特定の記録の保管または開示を求める場合は、GDPR第6条(1)(c)に基づいてそれを行います。記録した健康データについては、この根拠に依拠しません。当社は支払いを受け付けず、支払いの詳細も一切受け取りません。そのため、購入に関する支払いと請求の記録は、当社ではなくストアが保持します。

当社は、自動処理のみに基づいて、ユーザーに法的効果または同様に重大な影響を及ぼす決定を行うことはなく、そのような決定のためにユーザーのプロファイリングも行いません。glumeaには、GDPR第22条の意味での自動的な意思決定はありません。アプリが表示する推定値（残存インスリン、傾向、目標範囲内時間）は、入力されたデータに対して端末上で行われる算術であり、認識のためにのみ提示されます。インスリンやその他の薬の用量を推奨も計算もせず、医学的助言でもありません。

データの提供は必須ですか？ 法律上、データの提供を義務づけられることはありません。アカウントにはメールアドレスとパスワードが必要です。オンボーディングで求めるプロフィールと治療設定の項目は、上記の同意に関する制限のもとで、アカウントに保存されます。記録の入力、ヘルスケアまたはヘルスコネクトの連携、クラウド同期は任意です。分析と診断も任意で、同意するまでオフです。

5. 分析と診断

アプリには、これらの目的のためにサードパーティのSDKが2つ含まれています。製品分析用が1つ、クラッシュとエラーのレポート用が1つです。このセクションでは、それぞれが何であり、何を受け取るかを説明します。

どちらも同意するまでオフで、それまではどちらのSDKも起動されません。アプリはオンボーディングの最後に、それぞれ別のスイッチで確認します。スイッチはオンの位置で表示されますが、続行をタップするまで何も収集されません。拒否ボタンを1回タップすれば、両方オフのままオンボーディングが完了します。オンボーディングを経ずに既存のアカウントにサインインした場合、両方とも、オンにするまでオフのままです。2つの設定は独立しており、設定 → データとプライバシー → プライバシーと診断でいつでも変更できます。サインアウトすると、ほかの環境設定とともに両方の回答が消去されますが、すでに動作しているSDKは、アプリが閉じられるまで動き続けます。

5.1 製品分析：PostHog

アプリがどのように使われているかを把握し、改善に役立てるため、PostHog（EUクラウド、eu.i.posthog.com）を使用しています。

分析が有効な間にPostHogが受け取る可能性があるもの：

glumeaのアカウント識別子：アカウントの内部UUID。メールアドレスでも名前でもありません。サインインしている間、イベントはその識別子に紐づけられるため、これらのイベントは匿名ではありません。サインインの前またはサインアウトの後に発生しうるイベント（初回起動、アプリの起動、登録、メールで届いたコードの確認）には、代わりに仮名化された端末識別子が付き、その識別子はアプリがSDKをリセットするときに再生成されます。
固定されたイベント名のリスト。約28件で、アプリの起動、登録、オンボーディングの完了、記録の保存、ヘルスケアからの読み込み、通知権限の許可または拒否、書き出しの生成、ペイウォールの表示、購入または復元の結果といったものを対象とします。
少数のプロパティ。いずれも閉じたリストの値か、上限のある数です：保存された記録の種類（血糖値、食事、薬、体重）、1回の保存で書き込まれた行数、記録がその場で行われたのか過去の日時に遡ったものか、書き出しがCSVかPDFか、完了したオンボーディングのステップ、タップしたリマインダーの大まかなカテゴリー、およびそれに類するもの。システムのどのプロパティにも、自由記述は受け付けません。
表示している画面。/settings/privacyのようなルートのテンプレートとして送られます。数字は拒否されるため、記録の識別子がそこに紛れ込むことはありません。特定の種類の治療の人しか到達しない画面（たとえばインスリンの設定）は、その上位の画面として報告されます。
少数のプロフィール属性：言語、テーマ、血糖値・体重・糖質の単位、およびglumea+を利用しているかどうか。
PostHog SDKが自動的に追加するもの（当社の管理外）：端末のモデル、オペレーティングシステムとそのバージョン、アプリのバージョン、SDKのバージョン、タイムゾーン、ロケール、ネットワークの種類、セッション識別子。PostHogは、あらゆるウェブサービスと同様に、リクエストの送信元のIPアドレスも受け取り、そこからおおよその位置を導き出します。当社はPostHogのそのアドレスを破棄するオプションをオンにしていないため、アドレスはイベントとともに保存されます。

PostHogが受け取れないもの：血糖値、インスリンの用量、薬の名前、服用している薬の種類、メモ、食べ物の名前、メールアドレス、その他あらゆる自由記述。これを保証するフィルターはフェイルクローズド（安全側に閉じる）方式です。リストにないイベントは丸ごと破棄され、宣言されていないプロパティは取り除かれ、宣言されたプロパティでも値が想定された形に一致しなければ同じく取り除かれます。システムに「任意の文字列」を受け付けるプロパティはありません。セッションリプレイも、画面録画も、アンケートも、タップの自動キャプチャも、プッシュトークンもありません。

イベントは、治療内容や測定値が明らかにならないように作られています。インスリン、錠剤、注射薬はすべて、薬の記録として報告されます。低血糖または高血糖アラートのタップは一切記録されず、インスリンを使う人にだけ表示されるオンボーディングのステップも記録されません。ヘルスケアまたはヘルスコネクトからの読み込みについては、実行されたことと、その契機のみが報告され、読み取った記録の件数は報告されません。それでも、サインインしている間、イベントはアカウントに紐づけられます。また、糖尿病アプリの利用そのものが健康に関わる情報を明らかにします。分析が同意を待つのはそのためです。

分析SDKは、独自の識別子と、送信待ちのイベントのキューを端末に保存します。SDKの仕組み上、2つの制限があります。同意の撤回では、オプトアウトしたことを示す最後のイベントが1件記録されます。そのイベントと、同意していた間にすでに収集されたものは、撤回した時点ではなく、SDK自身のスケジュールで後から送信されます。それ以降、新しいものは何も収集されません。

5.2 診断とクラッシュレポート：Sentry

アプリがクラッシュまたはエラーになったことを把握して修正できるよう、Sentry（欧州連合リージョン）を使用しています。

アプリが作成するレポートの内容を含む部分はすべて、送信する前に、削除するフィールドのリストではなく許可するフィールドのリストから、ゼロから再構築されます。残りの十数個ほどのトップレベルのフィールドは、代わりに名前を指定して消去されるため、将来のSDKのバージョンで新たに追加されるフィールドは、当社がそれを追加するまでその消去の対象にはなりません。この再構築を経て残るのは、次のものです。

例外の種類と、元のエラーメッセージに代わる計算されたラベル。
スタックトレース。ファイル名は基本名のみに短縮され、リリースビルドではシンボル名が難読化されます。ビルド時にアップロードするマッピングを使って、Sentry側でのみ読めるようになります。
端末のファミリー、モデル、アーキテクチャ、シミュレーターかどうか、向き。
オペレーティングシステムの名前、バージョン、ビルド、アプリの名前、バージョン、ビルド、Dartのランタイムバージョン。
ネイティブのクラッシュを読めるようにするために必要な、デバッグイメージの識別子。
パンくずリストの形：最近のイベントのカテゴリー、種類、レベル、タイムスタンプ。ただし内容は含みません。
2つのラベル：アプリのどの領域で障害が発生したか、およびそれがフォアグラウンドで起きたのか、バックグラウンドの通知エンジンで起きたのか。
リリース、ビルド番号、環境、ランダムに生成されたイベントID。

完全に削除されるもの：エラーメッセージ、リクエストデータ、ユーザーオブジェクト、サーバー名、トランザクション名、スレッドの一覧、モジュールの一覧、ローカル変数の値、ソースコードのコンテキスト、絶対パス、端末の固有IDと名前、インストール単位のアプリのハッシュ、パンくずリストのメッセージとデータ、スクリーンショット、ビュー階層、添付ファイル。スクリーンショット、ビュー階層のキャプチャ、セッションリプレイ、パフォーマンストレース、ロギング、リクエスト本文は、すべてオフにしてあります。アプリはSentryのイベントにユーザー識別子を付けません。アカウントID、メールアドレス、端末IDのいずれもありません。

上記には2つの制限があります。

ネイティブのクラッシュ、アプリの応答なしイベント、iOSのウォッチドッグによる終了は、その再構築を経ずにSentryに届く場合があります。これらは、アプリ自身のコードではなく、オペレーティングシステムのクラッシュハンドラーによって生成されるためです。Sentryがリリースの健全性の把握に使う、定期的な「アプリセッションの開始／終了」のシグナルも同様です。当社は端末上でそれらを検査できず、プラットフォームのSDKがそこに入れるすべてのフィールドを把握していません。それらをユーザーに結びつける識別子は、当社では設定していません。
Sentryは、レポートの送信元のIPアドレスを受け取ります。

診断に同意するまで、Sentryは起動されません。スイッチをオフにすると、そのコントロールが届くレポーターは閉じられますが、サインアウトしても、すでに初期化されたSDKが実行中のプロセスで確実に無効になるわけではありません。したがって、現在のライフサイクルは、あらゆる状態で即時の撤回であるとは言えません。

6. glumea+とサブスクリプションのデータ

glumea+はサブスクリプションで、Apple App StoreとGoogle Playでのアプリ内購入としてのみ販売されます。ほかの購入方法はなく、ウェブのチェックアウトも、アプリ内のカードフォームもありません。

支払いの詳細は当社に届きません。 支払いはAppleまたはGoogleが受け付けます。当社がカード番号、銀行の情報、請求先住所を目にすることはありません。解約と返金はストアのアカウントを通じて行われます。どこで行うかは利用規約に説明があります。
RevenueCatは、サブスクリプションが有効かどうかを把握するために使うサービスです。アプリがRevenueCatに伝えるユーザーの情報は1つだけで、サブスクリプションのユーザーIDとして使うglumeaのアカウント識別子です。当社のサーバーも、購読したことがない場合を含め、その識別子に有効なサブスクリプションがあるかをRevenueCatに問い合わせます。購読していないことを知るには、そうする必要があるからです。メールアドレス、表示名、電話番号、プッシュトークンは設定せず、端末の広告識別子を収集するようにも求めていません。RevenueCat自身のSDKも、RevenueCatのサービスの運用のために一部の端末とネットワークの情報を収集しており、その内容はRevenueCat自身のプライバシー通知に記載されています。当社はその収集を設定しておらず、その結果得られるものを受け取ってもいません。
アプリがローカルに保持するものは、glumea+が有効かどうかを示す真偽の値1つだけです。価格、商品ID、有効期限、取引IDは、アプリによって端末に保存されません。この値はサインアウトするとfalseに設定されるため、その端末の次のアカウントは、サブスクリプションなしで始まり、ストアに対して独自に確認される必要があります。
当社のサーバーが保存するもの。 RevenueCatは、サブスクリプションに変化（購入、更新、解約、請求の問題）があるたびに、当社のバックエンドに通知を送ります。当社は、それらの通知をそれぞれ受信したとおりに記録します。イベントIDと種類、環境、glumeaのアカウント識別子、そしてRevenueCatが送信したメッセージの全体です。メッセージは、フィールドごとではなく、届いたそのままの形で保存されます。そのメッセージには通常、商品識別子、価格、通貨、ストア、国、購入日と有効期限が含まれます。メッセージを丸ごと保存するため、RevenueCatが保持しているサブスクライバー属性（メールアドレスを含む）も含まれている可能性があります。当社のアプリ自身はそれらを一切設定していなくてもです。当社がメッセージを書き換えることはありません。同じイベントが再配信されたときに更新されるのは、それが何回届いたかの当社のカウントだけです。
分析が有効な間、上記のファネルのイベントは、glumea+が有効かどうかを示すプロフィール属性とともにPostHogに送られます。価格、商品識別子、ストア識別子は、分析には送信されません。

そこから2つのことが言えます。ウェブフックのログにはglumeaのアカウント識別子が含まれますが、アカウントの行とのデータベース上の関連はありません。アカウントの削除時に、当社のバックエンドはそれらの記録を別に削除し、同じ識別子でRevenueCatのサブスクライバー記録の削除を要求します。それ以外の場合は、スケジュールされたジョブが、各ウェブフックの記録を届いてから90日後に削除します。何が残りうるかは、セクション12に記載しています。

7. 当社が行わないこと

glumeaでは、次のいずれも行われません。

いかなる種類の広告もありません。広告SDK、アトリビューションSDK、広告識別子はありません。アプリはiOSの「Appにトラッキングしないように要求」のプロンプトを表示できません。それを可能にする項目を含んでおらず、広告アトリビューションのネットワークも宣言していないためです。
データの販売はしません。当社は個人データを販売も貸与もせず、健康データも販売しません。クロスコンテキスト行動広告のために共有することもありません。
健康データを、広告、マーケティング、またはほかの誰かのためにユーザーのプロファイルを作成する目的で使うことはありません。
位置情報データはありません。連絡先、カメラ、マイク、写真、カレンダーへのアクセスもありません。アプリはどちらのプラットフォームでも、これらの権限を一切要求しません。
アプリにFirebaseはありません。Firebase Analytics、Crashlytics、Firebase Cloud Messagingはいずれも使っていません。（Firebase Hostingはこのページを含むウェブサイトを配信しますが、それは別のGoogleのサービスであり、下に名前を挙げています。）
プッシュ通知はなく、端末のプッシュトークンもありません。リマインダーはお使いの端末自身がスケジュールして表示します。サーバーから端末へのチャネルは一切ありません。
スクリーンショット、画面録画、セッションリプレイ、ビュー階層のキャプチャは、上記の2つのSDKのどちらからも行われません。
PostHogとSentry以外に、分析、テレメトリー、トラッキングのSDKはアプリに含まれていません。ネットワーク接続を開くコンポーネントは、アプリ自身の当社サーバーへの接続、PostHog、Sentry、RevenueCatだけです。

8. データの受領者

glumeaを運営するため、当社は以下のサービス提供者とデータを共有します。各提供者の役割、それぞれのプライバシー通知、各サービスの利用に適用される契約条件が、その処理を規律します。RevenueCatのSDKは、単独でも端末とネットワークの情報を収集します。当社はその収集を設定しておらず、その出力を受け取ってもいないため、その説明は当社のシステムではなくRevenueCatのプライバシー通知に基づくものです。

Google（Google Cloud RunとGoogle Cloud SQL、リージョンeurope-west1）は、当社のバックエンドと、同期されたすべてのデータ（健康データを含む）を保持するデータベースをホストします。Google Secret Managerは当社のサーバーの認証情報を、Google Cloud Loggingは当社のサーバーのリクエストログを保持します。
Google（Firebase Hosting）は、glumea.comとこれらの法的文書を配信します。
Sentry（欧州連合リージョン）は、現在の設定の動作のもとで診断が有効な間、上記の診断レポートを受け取ります。
PostHog（EUクラウド）は、現在の設定の動作のもとで分析が有効な間、上記の分析イベントを受け取ります。
RevenueCat（米国）は、購読の有無にかかわらず、glumeaのアカウント識別子とサブスクリプションの状態を受け取ります。購読者ではないことの確認にも、購読者であることの確認と同じ識別子を使います。上記のとおり、そのSDKは、当社が設定しておらず当社が受け取りもしない端末とネットワークの情報も追加で収集します。それはRevenueCat自身のプライバシー通知に記載されています。
Zoho ZeptoMail：本番のメール配信が有効な場合、この提供者は、宛先のメールアドレスと、配信に必要な確認またはパスワードリセットのメッセージを受け取ります。配信が無効な間は、どのメール事業者もこれらのメッセージを受け取りません。

AppleとGoogleは、当社の処理者ではありません。両社はglumea+を販売するストアを運営し、支払いを受け付け、保持するユーザーの購入データについて独立した管理者です。両社が何を収集するかは、このポリシーではなく、それぞれ自身のプライバシーポリシーが規律します。

それ以外では、法律で求められる場合（たとえば裁判所または当局の拘束力のある命令）、またはユーザーの指示がある場合にのみ、個人データを開示します。

Paweł Milewski Software Developmentが合併、買収、資産の売却に関与することになった場合でも、ユーザーのデータはこのポリシーによって引き続き保護され、データが別のプライバシーポリシーの対象になる前に当社は通知します。

9. 国際的な移転

各受領者がデータを処理する場所：

アカウント、プロフィール、同期された健康データは、EU内のGoogle Cloud、europe-west1（ベルギー）に保存されます。保存場所がすべてではありません。Googleは、サポートとプラットフォームの運用のために、EEA外からそのデータにアクセスできることがあり、それはそれ自体が移転です。この移転は、GoogleのCloud Data Processing Addendumにある標準契約条項に依拠します。
分析はPostHogのEUクラウドに送られ、EU内に保存されます。PostHogが欧州経済領域の外からそれらにアクセスできる場合、その移転はPostHogのデータ処理契約にある標準契約条項に依拠します。
診断は、欧州連合リージョンのSentryに送られます。それが欧州経済領域の外にある場合、その移転はSentryのデータ処理補遺にある標準契約条項に依拠します。
ウェブサイトは、Firebase HostingによりGoogleのコンテンツ配信ネットワークから配信されるため、ページのリクエストは、欧州経済領域外の場所から配信され、そこでログに記録されることがあります。その場合、その移転はGoogleのCloud Data Processing Addendumにある標準契約条項に依拠します。
サブスクリプションの状態は、米国のRevenueCatに送られます。それが欧州経済領域の外にある場合、その移転はRevenueCatのデータ処理補遺にある標準契約条項に依拠します。
本番のメール配信が有効な場合、確認とパスワードリセットのメールは、宛先のメールアドレスを欧州連合内で処理するZoho ZeptoMailが配信します。具体的には、Zoho Corporation B.V.、ZohoのオランダとアイルランドのEUデータセンターです。それが欧州経済領域の外にある場合、適用される移転の仕組みは、Zohoのデータ処理補遺にある標準契約条項です。
AppleとGoogleは、独立した管理者として、それぞれ自身の取り決めのもとで購入データを処理します。

提供者が、サポートを含め、EEA外からデータにアクセスできる場合、そのアクセスも移転であり、GDPR第5章に基づく適切な保護措置が必要です。各受領者に対する仕組みは上に記載したとおりです。英国のユーザーについては、これに相当する仕組みは、EU標準契約条項への英国補遺、または提供者が英国GDPRのもとでその形式を使う場合はIDTAです。一般的なデータ保護の連絡先：[email protected]。保護措置の写しを請求するための個別の自動化されたワークフローは、現在実装されていません。

10. データの保管場所

glumeaはオフラインファーストです。このセクションが、「自分のどのデータが当社のサーバーにあるのか」という問いへの完全な答えです。このポリシーのほかの箇所はすべて、ここを参照します。

内容	スマートフォン上	当社のサーバー上	いつから	削除する方法
日記、記録、薬のカタログ、薬のスケジュール	常に	クラウド同期がオンのときのみ	スイッチをオンにした時点から	スイッチをオフにしてからサーバーのデータを削除する、またはアカウントを削除する
プロフィール、名前、年齢、身長、糖尿病の種類、治療方法、インスリンの投与方法	あり	常に	同期を使うかどうかにかかわらず、オンボーディングから	アカウントを削除する
治療設定、目標範囲、インスリン・糖質比、インスリン効果値	あり	常に	入力した時点から	アカウントを削除する
アカウント、メールアドレス、ハッシュ化されたパスワード、サインインセッション	認証情報のみ	常に	アカウントを作成した時点から	アカウントを削除する
セクション3.6のすべて、リマインダー、サイレント時間、アプリの環境設定	あり	なし	該当なし	サインアウトする、またはアンインストールする

このセクションの残りは、この表の詳細です。

入力したすべてのデータは、まず端末上のローカルデータベースに書き込まれます。アプリはインターネット接続なしで完全に使えます。
そのローカルデータベースは暗号化されています。 端末のキーストアに保持された32バイトの鍵で開かれ、別の端末には移行されない設定になっています。機種変更の前に知っておくべき結果があります。Androidでは、アプリのクラウドバックアップと端末間転送をオフにしているため、新しいバックアップのコピーは作られません。iOSでは、データベースのコピーがiCloudバックアップに含まれることがありますが、鍵がなければ読めず、鍵が端末の外に出ることはありません。そのため、そのバックアップを新しいスマートフォンに復元しても、日記は戻ってきません。アプリは、鍵のないデータベースを見つけると、黙って空の状態で始めるのではなく、それを開くことを拒否し、アプリを再インストールするかデータを消去するまで、そのスマートフォンでは動作しません。新しいスマートフォンへの移行は、クラウド同期、または自分で書き出して読み込む.glumeaアーカイブを通じて行います。
ユーザーのアカウントは、作成した時点から当社のサーバー上に存在します。 そこには、アカウントデータ、糖尿病の種類・治療方法・インスリンの投与方法を含むプロフィール、そして治療設定（目標範囲、インスリン・糖質比、インスリン効果値）が保持されます。これらは、クラウド同期を使うかどうかにかかわらず当社のサーバー上にあり、削除する方法はアカウントを削除することです。
クラウド同期はglumea+の機能で、オンにするまでオフです。 これが制御するのは、日記（記録、薬のカタログ、薬のスケジュール）を当社のサーバーにもコピーするかどうかです。オンにするには2つの手順があり、どちらでもやめることができます。有効なglumea+のサブスクリプションがない場合、アプリは何かをオンにする代わりにサブスクリプションの画面を表示します。ある場合、アプリは次に、健康データ（血糖値の測定値、インスリンと薬の記録、食事と体重の記録、メモに入力した内容）を当社のサーバーに保存することに同意するかどうかを、独立した手順で確認します。この確認は、スイッチがオンになるたびに、最初の1回だけでなく毎回行われます。この確認が、日記に対するGDPR第9条(2)(a)に基づくユーザーの明示的な同意です。クラウド同期をオフにすればいつでも撤回でき、同じシートのサーバーのデータを削除リンクで、すでに当社が保持しているものを削除できます。同期がオフなら、記録したものはすべて端末にのみ残ります。
同期がオンのとき、データは当社のバックエンドapi.glumea.appに保存されます。バックエンドはGoogle Cloud Run上で動作し、Google Cloud SQLのPostgreSQLデータベースを、Googleのeurope-west1リージョン（ベルギー）で使っています。

スイッチはスマートフォンではなく、アカウントに属します。 当社はユーザーの回答を当社のサーバーに保持し、アプリはサインインするときや再接続するときにそこから読み戻します。そのため、サインアウトしても残り、ユーザーについていきます。同期をオンにして別のスマートフォンでサインインすると、そちらでも改めて尋ねられることなく同期がオンになります。オフにした場合も同じように記録されます。オフラインのときにオフにした場合、アプリはその回答を保持し、次の機会に当社のサーバーに届けます。リクエストが失敗したために撤回が取り消されることはありません。共有端末では、これは端末だけのスイッチとは逆の働きをします。サインインする人は、前の人が残した回答ではなく、自分のアカウントの回答を得ます。

glumea+が終了した場合、新しい記録はバックアップされなくなります。同意を撤回することも、何かを削除することもありません。 サブスクリプションが失効、解約、または返金されると、アプリは新しい記録の当社のサーバーへのコピーを止めます。すでにそこにある記録の編集と削除は引き続き当社のサーバーに届き、アプリは引き続きそこからダウンロードします。クラウド同期シートには編集と削除は引き続き同期されます · 新しい記録はこの端末にのみ保存されますと表示されます。すでに当社のサーバーにあるものはそこに残り、端末にあるものもそこに残り、同意の質問への保存された回答もそのままなので、再び購読すると、2度目の確認なしに、その保存された回答で完全なバックアップが再開します。そうなってほしくない場合は、スイッチをオフにしてください。オフにすること、およびその横のサーバーのデータを削除リンクは、どちらも、サブスクリプションが有効かどうかにかかわらず利用できます。サブスクリプションの終了によって、同意を撤回する能力や、サーバー上のコピーを消去してもらう能力が失われることはありません。

同期は、ユーザーがそのスイッチに触れなくても止まることがあります。サインインのセッションが期限切れになることがあり、そうなっても、当社はユーザーをサインアウトせず、何も削除しません。アプリはすべての記録を端末に保持し、バックアップを保留して待ちます。クラウド同期シートには一時停止中と表示され、再びログインするまで何も同期されないことが伝えられ、概要画面にはセッション切れについてのバナーが表示されます。その間に記録したものはすべて端末に残り、再びサインインして初めて当社のサーバーに届きます。スマートフォンを紛失してもサーバー上のコピーが残ることを当てにしている場合は、そのバナーが対処すべきものです。

当社のサーバー上のコピーは、通信の暗号化、Googleのストレージの暗号化、当社のアクセス制御によって保護されています。エンドツーエンドで暗号化されていないため、当社はそれを読むことができます。glumeaはゼロ知識のサービスではありません。システム全体で当社が開けない唯一のものは.glumeaアーカイブで、ユーザーだけが知るパスワードで暗号化されているからです。

11. データの保管期間

データは、以下の期間保管します。

アカウントデータ、プロフィール、治療設定：アカウントが存在する限り、当社のサーバーで保管されます。
同期した健康の記録と薬のカタログ：アカウントが存在する限り、またはサーバー上のコピーまたはアカウントを削除するまで保管されます。個別の記録の削除は仕組みが異なります。削除した端末からのみ消え、その端末からしか消えません。当社のサーバー上のコピーは残るため、その記録は、再インストール、新しいスマートフォン、またはサインアウトして再びサインインした後に戻ってくることがあります。当社のサーバーからそれらの行を削除するのは、サーバーのデータを削除またはアカウントの削除だけです。
削除した記録のトゥームストーン：個別の記録の削除が当社のサーバーに届いた場合、その行は、削除がほかの端末に伝わるよう、値、タグ、メモを保持したままの目印として保管されます。それらを整理するジョブはないため、アカウントが存在する限り残ります。サーバーのデータを削除を使うか、アカウントを削除すると、削除されます。
サインインセッション：アクセストークンの有効期間は15分です。当社のサーバー上のセッション記録は、90日間使われないと失効します。サインアウトすると即座に無効化され、二度と使えなくなりますが、行そのものは、その90日の期間が過ぎた後に、1時間ごとのジョブによって削除されます。アカウントを削除すると、ただちに削除されます。
ワンタイムコード：発行から10分で失効し、失効したものは1時間ごとのジョブによって使用不可の印が付けられます。記録そのものは消去しません。アカウントを削除するまで残り、アカウントの削除でほかのすべてのものとともに削除されます。
サーバーのバックアップ：7日間。稼働中のデータベースから削除されたデータは、バックアップが入れ替わるまでバックアップに残ります。
サーバーのリクエストログ（IPアドレスを含む）：30日間。
PostHogの分析イベント：12か月。
Sentryの診断レポート：90日間。
サブスクリプション通知の記録：各メッセージが当社に届いた時点から最長90日間。ただし、アカウントの削除によってそれより早く削除される場合を除きます。スケジュールされたジョブは経過期間を数えるのみで、未解決の請求紛争のために行を残すことはありません。
端末にのみ保存されるデータ：削除する、サインアウトする、アプリ内のアカウント削除の操作を使う、またはアプリをアンインストールするまで、端末に残ります。メールによるアカウント削除の依頼では、端末を遠隔で消去することはできません。

12. 削除：何が、どこで起こるか

始める前に。 以下のどれよりも重要なことが2つあり、どちらも利用規約にあります。まずストアでglumea+のサブスクリプションを解約してください。glumeaのアカウントを削除しても請求は止まらないからです（そちらのセクション13.1）。そして先に書き出してください。行が削除された後は、当社が書き出しを作成することはできないからです（そちらのセクション13.3）。

3つの異なる操作と、3つの異なる結果。 混同しやすいので、整理します。

操作	場所	削除されるもの	残るもの	元に戻る原因
個別の記録の削除	記録した場所ならどこでも	その記録（その端末上のみ）	サーバー上のコピー。これが記録を戻すことがある	再インストール、新しいスマートフォン、またはサインアウトして再びサインインすること
サーバーのデータを削除	クラウド同期シート。概要または履歴のクラウドボタンから開く（設定ではない）	記録、薬のカタログ、スケジュールのサーバー上のコピー	アカウント、プロフィール、治療設定、スマートフォン上のすべて	同期を再びオンにすると、スマートフォンから再アップロードされる
アカウントを削除	設定 → アカウント。アプリを使えない場合は、[email protected]へメール	アカウントと、当社のサーバー上の関連する本番データ。アプリ内の操作では、この端末も消去される	既存のバックアップ、一部の提供者の記録、アプリ内消去の対象にならない端末上のデータ	削除したアカウントを復元するものはない

サーバーのデータを削除には、有効なサインインと、先に同期スイッチをオフにしておくことが必要です。その理由は、このセクションの最後にある3つの注記で説明します。

アプリでアカウントを削除すると、当社の本番データベースから即座に削除されます。確認済みのメールでの依頼も、同じサーバー側の削除経路を使います。以下は、削除先ごとに起こることです。

当社の本番データベース：アプリで確認したとき、または運営者が確認済みのメールでの依頼を完了したときに、アカウントを削除すると、ユーザーレコードのハードデリートが実行されます。それに紐づくものはすべて、データベースのカスケードによって一緒に削除されます。プロフィール、治療設定、同期されたすべての血糖値・食事・体重・インスリン・錠剤・注射薬の記録、薬のカタログとスケジュール、セッション、保留中の確認コードとリセットコードです。ソフトデリートのフラグはなく、復元もできません。
サブスクリプション通知の記録：各行には、glumeaのアカウント識別子と、RevenueCatが送信したメッセージの全体が含まれます。アカウントの行とは紐づいていないため自動カスケードは届きませんが、削除サービスが同じトランザクションの中でそれを別に削除します。アカウントを削除しない場合は、スケジュールされたジョブが90日後に各行を削除します。
RevenueCat：アカウントを削除すると、アカウント識別子に紐づくサブスクライバー記録を削除する要求がキューに入れられます。当社はその要求をただちに試み、提供者が利用できない場合は再試行します。ストアの請求履歴は、当社の管理外に残ります。
PostHog：アカウントを削除すると、アカウントに紐づく分析プロファイルとそのイベントおよび録画を削除する要求がキューに入れられます。当社はただちに試み、提供者が利用できない場合は再試行します。PostHogは、受理した一括削除を非同期で完了することがあります。サインイン前のイベントは、別の仮名化された端末識別子を使います。
サーバーのバックアップ：削除されたもののコピーは、ホスティング事業者の自動データベースバックアップが入れ替わるまで残ります。7日間であり、その法定の上限が適用される場合でも、認証から6か月を超えることはありません。個々の記録がバックアップの中で編集されることはありません。したがって、災害復旧のための復元によって、本番から削除された行が一時的に復活することがあります。
サーバーログ：アカウントを削除しても、サーバーのリクエストログはさかのぼって消去されません。ログは30日間保管されます。
Sentry：アプリは、診断レポートにアカウント識別子、メールアドレス、ユーザーレコードを付けません。そのため、個々のユーザーのレポートを特定したり削除したりするサポート対象の方法はありません。オペレーティングシステムのクラッシュハンドラーが生成するレポートはアプリのフィルターを経ず、当社はプラットフォームのSDKが追加するすべてのフィールドを把握していません。レポートは、Sentryの保持期間である90日で失効します。GDPR第11条(2)は、管理者がデータ主体を実際に特定できないデータについて規定しています。
AppleとGoogle：購入とサブスクリプションの記録はストアのものであり、当社のものではありません。glumeaのアカウントを削除しても、サブスクリプションは解約されず、AppleやGoogleにあるものは何も削除されません。ストアのアカウント設定で解約してください。両社の記録は、それぞれのポリシーと税法に従います。
端末そのもの：アプリ内でアカウントを削除する、サインアウトする、またはアカウントを切り替えると、その端末からローカルデータベース、セッションの認証情報、保存された環境設定が消去されます。メールでの依頼では、端末を遠隔で消去することはできません。テレメトリーの設定を消去しても、実行中のプロセスですでに初期化されたSDKが確実に無効になるわけではありません。初回インストールのフラグとデータベースの暗号鍵は、アプリ内の消去後も残ることがありますが、どちらにも日記のデータは含まれていません。iCloudの端末バックアップには、読み取れない暗号化されたデータベースのコピーが含まれていることがあります。Androidのバックアップは、アプリでは無効になっています。
自分で作成したコピー：.glumeaアーカイブ、CSV、PDFレポート、共有したり別の場所に保存したりしたもの。これらはユーザーのものであり、当社の手が届きません。置いた場所で削除してください。

タイミングをまとめると、本番データベースの削除は、アプリで確認したとき、または運営者が確認済みのメールでの依頼を完了したときに行われます。RevenueCatとPostHogの削除要求はただちに試行され、失敗した場合は再試行のためにキューに入れられます。コピーは、ホスティングのバックアップが入れ替わるまで、7日以内の間、残ることがあります。

データベースのカスケードそのものは、サーバーのリクエストログ、Sentryのレポート、サブスクリプション通知の記録、提供者の記録には届きません。削除サービスは、サブスクリプション通知を別に削除し、RevenueCatとPostHogの記録の消去を要求します。サーバーログとSentryのレポートは、設定された保持期間で失効します。

削除は恒久的です。削除されたデータは復元できないため、あとで記録が必要になりそうな場合（たとえば医療チームのために）は、権利に関するセクションで説明する書き出しの方法で、先にコピーを入手してください。

アプリを使わずに、メールでアカウント削除を依頼することもできます。処理の前に、所有者であることを確認します。

範囲がより狭いサーバーのデータを削除操作についてさらに3点あります。この操作は、記録、薬のカタログ、薬のスケジュールのサーバー上のコピーを削除しますが、アカウント、プロフィール、治療設定、端末上のすべてのものは残します。

有効なサインインが必要です。 セッションが期限切れの場合（セクション10で説明した状態で、シートに一時停止中と表示されます）、リンクは再度サインインするよう伝え、サインインするまで何もしません。再びサインインすれば十分です。その間に失われるものはありません。
先にクラウド同期をオフにする必要があります。その後で同期を再びオンにすると、まだ端末にある記録がキューに入れられて再度アップロードされ、サーバー上の削除は、ユーザー自身の端末によって取り消されます。
ほかの端末には伝わりません。ほかの端末はローカルのコピーを保持し、通知も受けません。

13. アプリでの管理

データを管理するためにメールを送る必要はありません。アプリには、次の組み込みの管理機能があります。

アカウントを削除：設定 → アカウントにあり、確認ワードを入力した後に実行します。上記のサーバー側のハードデリートを実行し、その端末からアプリのローカルデータベース、セッションの認証情報、環境設定を消去します。アプリを使えない場合は、[email protected]にサーバー側のアカウント削除を依頼することもできます。何が残るかはセクション12に記載しています。
サーバーのデータを削除：クラウド同期シートの同期スイッチの下の行にあるサーバーのデータを削除リンクで、シートは設定ではなく、概要または履歴画面の上部にあるクラウドボタンから開きます。リンクは常に表示されますが、スイッチがオフになって初めて機能します。記録、薬のカタログ、薬のスケジュールのサーバー上のコピーをハードデリートし、アカウントと端末上のデータは残します。それ以上には及びません。プロフィールと治療設定は、アカウントを削除するまで当社のサーバーに残ります。すぐ上の3つの注記を読んでください。
クラウド同期：同じシートにある同期スイッチで、glumea+の機能です。いつでもオフにして、新しいデータが当社のサーバーに届くのを止められます。これは、当社による保存への同意を撤回する方法でもあります。オフにするのに、有効なサブスクリプションは必要ありません。すでに同期されたデータは、サーバーのデータを削除またはアカウントを削除を使うまで、当社のサーバーに残ります。このスイッチへの回答はアカウントに保持されるため、サインアウトしても残り、新しいスマートフォンにも引き継がれます。
利用状況の分析とエラー報告：設定 → データとプライバシー → プライバシーと診断にある、2つの独立したスイッチ。どちらも、オンにするまでオフです。どちらかをオフにすると設定は更新されますが、キューに入っているデータは送信されることがあり、サインアウトしても、実行中のプロセスですでに初期化されたSDKが確実に閉じられるわけではありません。
ヘルスケア / ヘルスコネクト：設定 → 連携で、接続、接続解除、個別のデータの種類のオフができます。ヘルスプラットフォーム自体で権限を取り消すこともできます。
通知に詳細を表示（設定 → 通知）：オンにしない限りオフです。オンにするまで、通知には汎用的な文言が表示されます。
サインアウト：アプリのローカルデータベース、セッションの認証情報、環境設定（分析と診断の選択を含む）を端末から消去します。記録したものも、行った選択も、残されません。生き残る2つの技術的な値は、削除のセクションに記載しています。
書き出し：記録、薬、プロフィール、治療の目標、リマインダーを含む、パスワードで保護された.glumeaアーカイブで、設定 → データとプライバシー → データの読み込みと書き出しから作成します。CSVとPDFの血糖値レポートは別のもので、血糖値画面自身の書き出しシートから作成します。アーカイブとCSVは無料で、PDFレポートはglumea+の機能です。

[email protected]は、アプリを使わないアカウント削除の依頼を受け付けます。アプリ以外でのほかの権利の請求もそこに送れますが、アカウント削除の経路には、別個の自動化された書き出しや訂正のツールはありません。

14. ユーザーの権利

GDPRのもとで、次の権利があります。

アクセス：自分の個人データにアクセスし、そのコピーを入手する権利。
訂正：不正確または不完全なデータを訂正する権利。記録や薬は記録した場所で、プロフィールは設定 → アカウントで、治療設定は設定した場所で編集できます。アプリ外での個別の訂正ワークフローは、現在実装されていません。
消去：データの消去（「忘れられる権利」）。消去が何に及び、何に及ばないかは、上の削除のセクションに正確に記載しています。
制限：特定の状況で処理を制限する権利。
データポータビリティ：法律がその権利を定めている場合に、自分が提供したデータを、構造化され、一般的に使用され、機械可読な形式で受け取る権利。アプリ内のCSVの血糖値の書き出しは、機械可読で暗号化されていません。.glumeaアーカイブには、記録、薬、プロフィール、治療の目標、リマインダーが含まれますが、ユーザーだけが知るパスワードで暗号化されており、それを作成したglumeaのアカウントにのみ読み込めます。[email protected]を通じて利用できる追加のカスタム書き出しは、現在ありません。
異議：当社の正当な利益に基づく処理に対して異議を述べる権利。
同意の撤回：いつでも同意を撤回できます。撤回は、撤回前の処理の適法性に影響しません。同期された日記のデータについては、クラウド同期をオフにしてサーバーのデータを削除を使うか、アカウントを削除してください。分析と診断については、設定 → データとプライバシー → プライバシーと診断の2つのスイッチを使います。プロフィールのみ、または治療設定のみを削除する操作はなく、そのようなワークフローは[email protected]を通じても現在利用できません。アカウントを削除することが、これらの項目を当社の本番データベースから削除できる、実装済みの唯一の方法です。
監督機関への苦情申立て。当社の主導的な監督機関は、個人データ保護庁長官（Prezes Urzędu Ochrony Danych Osobowych）、ul. Stawki 2, 00-193 Warsaw, Polandです。居住しているEU加盟国、勤務している国、または侵害が起きたと考える国のデータ保護機関に苦情を申し立てることもできます。英国にいる場合は、情報コミッショナーオフィス（ICO）、Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AFに苦情を申し立てられます。

要求された内容をカバーしている場合は、セクション13に記載したアプリ内の管理機能を使ってください。アプリを使わないアカウント削除については、[email protected]にメールしてください。ほかの権利の請求もそこに送れますが、このアカウント削除の経路自体には、別個のアクセス、書き出し、訂正のツールはありません。

管理者がGDPRに基づく請求に対応しない場合、第12条は、1か月以内にその理由を説明し、利用できる苦情申立てと司法的救済の経路を示すことを求めています。それらの経路は、管理者に再度連絡したかどうかにかかわらず、引き続き利用できます。

本人確認。 アプリ内の削除は、認証済みのセッションに依拠します。メールでの依頼については、アカウントに紐づくメールアドレスを管理していることを確認します。そのメールアドレスにアクセスできない場合は、所有者であることを確認する別の方法が可能かを検討したうえで、アカウントを削除します。依頼を処理するために、パスワードや健康の記録を求めることはありません。

15. データの保護方法

パスワードはbcryptでハッシュ化され、平文では保存されず、端末にも保存されません。
端末上のローカルデータベースは暗号化されており、鍵はプラットフォームのキーストアに保持され、別の端末には移行されません。
認証トークンは、端末のセキュアストレージ（iOSのキーチェーン、またはAndroid Keystoreに基づくストア）に保管されます。
アプリはHTTPSで当社のサーバーと通信します。どちらのプラットフォームもデフォルトで平文の接続をブロックしており、当社はiOSでもAndroidでも、それに例外を追加していません。
データベースはGoogle Cloudの内部で動作し、プライベートなCloud SQLソケット経由でのみ到達でき、認証情報はGoogle Secret Managerに保持されています。
記録した値（血糖値の測定値、インスリンの用量）は、アプリケーションのログに書き込みません。エラーログの行には、ステータスコード、パス、時刻、エラーメッセージが記録され、拒否されたリクエストでは、検証に失敗したフィールドが示されます。リクエスト本文は含まれません。
通知はデフォルトで汎用的な文言を表示するため、通知によってロック画面に健康データが表示されることはありません。
本番データベースへのアクセスは、サービスを運用する人に限られます。つまり、当社はそれを読むことができます。それ以外のすべての人から守っているのは、アクセス制御と、通信時および保存時の暗号化です。

完全に安全なシステムはありません。上記の対策は、データの機微な部分が露出する範囲を限定するために当社が行っていることです。

個人データに関わるインシデントは、GDPR第33条および第34条、FTCの健康情報漏えい通知規則、またはその他の適用法に基づき、監督機関や影響を受ける個人への通知を要する場合があります。それぞれの制度には独自の範囲と期限があり、これらの法定の義務は、このポリシーとは別に適用されます。

16. 子ども

glumeaは子どもを対象としていません。アプリを使うには、16歳以上である必要があります。 これは、場所にかかわらず、サービスの条件です。保護者による承認の経路は提供していません。アプリ内のアカウント削除の手続きとセクション12の制限は、16歳未満の人のものと確認されたあらゆるアカウントに適用されます。未成年のアカウントに関する懸念は、[email protected]に送ってください。

17. 米国のユーザーへの注記

米国のプライバシー法は州によって異なり、適用されるかどうかは、居住地、法定の基準、関係するデータの種類によって決まります。セクション13に記載したアプリ内の管理機能は、それらの基準とは関係なく利用できます。現在の製品に個別の請求ワークフローがない場合でも、適用される法定の権利は引き続き有効です。

HIPAA：glumeaは消費者に直接提供する製品です。当社は医療を提供せず、請求を処理せず、健康保険や医療提供者に代わってデータを扱う契約も持っていないため、HIPAAが規制する「対象事業者」と「ビジネスアソシエイト」のどちらの役割も担っておらず、HIPAAへの準拠を謳ってもいません。担当の医師が保有するユーザーの記録は、その医師の手元ではHIPAAの対象です。それは、glumeaに保管している自分のコピーとは別のものです。glumeaについて当社が従う米国の規則は、FTCの健康情報漏えい通知規則と、下記の州の健康プライバシー法です。
カリフォルニア州（CCPA/CPRA）：適用されるかどうかは、法定の事業者の基準によって決まります。ここで説明するデータには、機微な個人情報が含まれることがあります。当社は、個人情報を販売せず、クロスコンテキスト行動広告のために共有することもありません。CCPAが適用される場合、そのアクセス、訂正、削除、ポータビリティ、オプトアウト、差別禁止の規則は、このポリシーとは別に適用されます。アプリ内の管理機能と、メールでのアカウント削除の依頼は、基準にかかわらず利用できます。
ワシントン州（My Health My Data Act）：記録するデータは「消費者健康データ」です。ワシントン州は、それについて別個のポリシーを求めています。消費者健康データプライバシーポリシーを参照してください。そこでは、カテゴリー、情報源、目的、受領者、法定の権利、そして請求および不服申立ての手続きの現在の運用上の制限を説明しています。
ネバダ州（消費者健康データ法、2023年SB 370）：記録するデータは、ネバダ州法でも「消費者健康データ」です。当社がそれを収集、共有、または販売しているかを確認する権利、共有または販売した先の第三者のリストを入手する権利、削除させる権利、同意を撤回する権利（ネバダ州はこれを、収集への同意と共有への同意の2つの別個の同意として扱います）があります。ネバダ州の法律は州司法長官が執行します。ネバダ州消費者健康データプライバシー通知では、これらの権利、それに適用される期限（削除についてはワシントン州より短い）、そしてネバダ州が求める4つの開示を説明しています。
請求と不服申立て。 適用される州法は、書面での説明、不服申立ての経路、州司法長官への苦情の提出に関する情報を求めることがあります。[email protected]では、メールでの不服申立てのワークフローは現在実装されていないため、現在の手続きは、それが必要とされる場合にその経路を提供していません。ワシントン州の要件は、消費者健康データプライバシーポリシーに記載しています。
ほかの適用される州法上の権利は、このポリシーによって制限されません。

18. ウェブサイトglumea.com

ウェブサイトは、glumeaに関する情報とこれらの法的文書を掲載する静的なサイトです。意図的に最小限になっています。

Cookieはありません。
分析はなく、サードパーティのオリジンへのリクエストもありません。フォントとスクリプトを含め、ページが必要とするものはすべてglumea.com自体から配信され、サイトのコンテンツセキュリティポリシーがほかのオリジンを完全にブロックしています。ページ自体はホスト事業者から配信されるため、ホストは必ずリクエストを目にします。それが誰で、何をログに記録するかは、このリストの最後の項目に記載しています。サイトは少量の独自のJavaScriptを実行します。テーマを適用し、適切な言語に移動させる2つのインラインスニペットと、ナビゲーションメニュー、テーマと言語の切り替え、スクロールに応じてブロックを表示するアニメーションの背後にあるいくつかのバンドルされたファイルです。いずれも、どこにも何も送信しません。
サイトをまたいだトラッキングはないため、Do Not TrackやGlobal Privacy Controlのシグナルでオフにすべきものもありません。ウェブサイトは、広告やアナリティクスのCookieを設定せず、サードパーティへのリクエストも行わず、当社は個人情報を販売も共有もしません。
ブラウザーのlocalStorageは、機能上の環境設定（テーマと言語の選択）にのみ使われます。これらの値はブラウザー内にとどまり、当社には送信されません。テーマや言語を選んだ場合にのみ設定されるため、これらについて同意バナーは必要ありません。
サイトは**Firebase Hosting（Google）**から配信されます。多くのウェブホストと同様に、提供者は、セキュリティとサービスの運用のために、標準的なサーバーログ（IPアドレス、リクエスト時刻、ブラウザーの種類）を記録することがあります。これについて当社は正当な利益（GDPR第6条(1)(f)）に依拠します。具体的には、サイトを利用可能に保つことと、不正利用から守ることです。ログは、それらの目的に必要な期間のみ保管されます。

19. このポリシーの変更

現在のバージョンは、その施行日とともにここに公開されます。変更に事前の通知、同意の再取得、またはその他の対応が必要かどうかは、適用される法律によって決まります。更新したポリシーを公開しただけでは、同意またはほかの法的根拠が必要な新しい目的が認められることはありません。

20. 言語

このポリシーは英語で公開されています。法的拘束力があるのは英語版です。 他の言語への翻訳は、ユーザーが自分の言語でポリシーを読めるように公開しています。翻訳と英語の文面が異なる場合は、英語の文面が優先します。

例外は、法律そのものです。居住している国が、ユーザーに対して使われた言語に独自の地位を与えている場合（いくつかの国の消費者保護法がそうしているように）、この規定ではなくその規則が適用され、ここに書かれたことによってユーザーがそれに基づいて持つ権利が奪われることはありません。

翻訳は準備ができ次第公開されるため、更新後は英語の文面より遅れることがあります。翻訳と英語の文面が異なることを述べている箇所を見つけた場合は、[email protected]に知らせてください。

21. お問い合わせ

ユーザーのデータに関する質問、懸念、請求：

メール：[email protected]
郵送：Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Poland

関連文書：利用規約、医療上の免責事項、そしてワシントン州の居住者には消費者健康データプライバシーポリシー、ネバダ州の居住者にはネバダ州消費者健康データプライバシー通知。