Personvernerklæring

1. Hvem vi er og hva denne erklæringen dekker

Paweł Milewski Software Development (Operatøren, «vi», «oss», «vår») tilbyr glumea (Appen), en mobilapp for egenbehandling av diabetes, og glumea.com (Nettstedet). Denne erklæringen forklarer hvilke data vi samler inn, hvorfor, hvor de lagres, hvem som har tilgang til dem, hvor lenge de oppbevares, hva sletting fjerner, og hvilke rettigheter og kontrollmuligheter du har.

Den er også den informasjonen vi skylder deg etter europeisk personvernlovgivning: opplysningene som kreves etter artikkel 13 og 14 i personvernforordningen (forordning (EU) 2016/679), som vi heretter kaller GDPR, både for data du selv gir oss og for data som når oss fra en annen kilde.

Denne erklæringen gjelder:

Appen: glumea-mobilappen for iOS og Android.
Nettstedet: nettstedet glumea.com, inkludert sidene som inneholder disse juridiske dokumentene.

Nettstedet samler inn nesten ingenting, og det har sin egen del nedenfor.

Operatøren er den behandlingsansvarlige for personopplysningene dine:

Behandlingsansvarlig: Paweł Milewski Software Development
Foretaksregistreringsnummer: NIP PL6751782526 (enkeltpersonforetak registrert i CEIDG, det polske sentrale registeret og informasjonssystemet for næringsvirksomhet)
Postadresse: ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polen
E-post: [email protected]
Etableringsland: Polen

Der det er aktuelt:

Representant i EU: ikke aktuelt (vi er etablert i Den europeiske union)
Representant i Storbritannia: ikke utnevnt
Personvernombud: ikke utnevnt; spørsmål om personvern går til [email protected]

«Behandlingsansvarlig» betyr den parten som bestemmer hvordan og hvorfor personopplysningene dine behandles, som definert i GDPR.

To andre dokumenter gjelder ved siden av denne erklæringen, og du bør lese dem sammen med den:

våre Brukervilkår, som regulerer bruken din av Appen og Nettstedet, og
vår Medisinske ansvarsfraskrivelse, som beskriver de medisinske grensene for hva Appen gjør.

Hvis du er bosatt i Washington, gjelder et fjerde dokument spesielt for deg: vår Personvernerklæring for forbrukerhelsedata, som lovgivningen i Washington krever at vi publiserer separat. Hvis du er i Nevada, er tilsvarende dokument vår Personvernmelding for forbrukerhelsedata i Nevada.

2. Sammendrag

En kort versjon av det som følger. Hvert punkt nevner avsnittet som beskriver det fullt ut, og det avsnittet er det som gjelder.

Hvem vi er. Paweł Milewski Software Development bestemmer hvordan og hvorfor dataene dine behandles. Avsnitt 1 og 21.
Hva vi samler inn. E-postadressen og passordet ditt; profilen du fyller ut under introduksjonen; dagboken du fører, med blodsukker, mat, insulin, annen medisin, vekt, medisiner og påminnelser; innloggingstokener og registreringer av serverforbindelser. Data fra Apple Health eller Health Connect hvis du kobler dem til, og abonnementsopplysninger hvis du abonnerer. Avsnitt 3.
Helsedata. Dagboken, diabetestypen, behandlingsmetoden og behandlingsinnstillingene er data i særlige kategorier etter artikkel 9 i GDPR. Skysynkronisering har en egen bekreftelse for dagboken. Dagens introduksjon innhenter ikke et eget uttrykkelig samtykke før helseprofilen og behandlingsinnstillingene lagres. Avsnitt 3.3 og 4.
Hvor dataene er. Noen av dataene dine ligger på serverne våre fra det øyeblikket du oppretter en konto: kontoopplysningene dine, profilen din med diabetestype og behandling, og behandlingsinnstillingene dine. Dagboken din gjør det ikke: den skrives først til en kryptert database på telefonen din, Appen fungerer uten nett, og dagboken når serverne våre bare hvis du slår på Skysynkronisering, en glumea+-funksjon som er av til du slår den på, og et valg som er knyttet til kontoen din og ikke til telefonen. Avsnitt 10 har hele tabellen.
Hvem som mottar dataene. Vår EU-baserte skytjenesteleverandør; en e-postleverandør hvis e-postutsending er slått på; PostHog og Sentry, hver for seg først etter at du har sagt ja; butikken hvis du abonnerer; og RevenueCat uansett om du abonnerer eller ikke. Vi selger ikke dataene dine, og Appen har ingen reklame. Avsnitt 5, 7, 8 og 9.
Valgene dine. Analyse og feilrapportering er av til du sier ja til hver av dem, og hver har sin egen bryter; å logge ut stopper ikke en SDK som allerede kjører i den økten. I Appen kan du slå av synkronisering, slette serverkopien av dagboken din, slette kontoen din og bruke eksportene som er implementert. Avsnitt 5 og 13.
Rettighetene dine. Innsyn, retting, sletting, begrensning, dataportabilitet, innsigelse, tilbaketrekking av samtykke og klage til en personvernmyndighet; i USA de rettighetene delstatens lov gir deg. Du kan slette kontoen din i Appen, eller be om sletting av kontoen ved å sende e-post til [email protected] uten å bruke Appen. Avsnitt 13, 14 og 17.
Hva sletting ikke fanger opp. Når du sletter kontoen din, fjernes kontoens poster i produksjonsdatabasen, og det sendes en forespørsel om sletting av de kontotilknyttede postene hos RevenueCat og PostHog. Eksisterende sikkerhetskopier, server- og diagnoseloggene, butikkenes faktureringsposter og eksporterte kopier kan bestå, som beskrevet i avsnitt 12.

3. Data vi samler inn

Det meste som er oppført her, gir du oss selv. To kategorier er ikke det: målinger du importerer fra Apple Health eller Health Connect, og abonnementsopplysninger som når oss fra Apple, Google og RevenueCat. Begge er beskrevet nedenfor.

3.1 Kontodata

E-postadresse og passord. Passordet ditt hashes på serverne våre med bcrypt, lagres aldri i klartekst og lagres aldri på enheten din. E-postadressen din ligger også i innloggingstokenet Appen bruker.
Engangskoder for e-postbekreftelse, tilbakestilling av passord, endring av passord og endring av e-postadresse. En kode utløper 10 minutter etter at den er utstedt, og fem feil forsøk gjør den ugyldig.

3.2 Profildata

Samles inn under introduksjonen:

For- og etternavn (lagres som kallenavn), alder, kjønn (valgfritt) og høyde.
Diabetestype (type 1, type 2, svangerskapsdiabetes eller annet), behandlingsmetoder (insulin, tabletter, injeksjonsmedisin, kosthold) og måten insulin tilføres på.

Diabetestypen din, behandlingsmetodene dine og måten du får insulin på er helsedata, en «særlig kategori» av personopplysninger etter artikkel 9 i GDPR, selv om denne erklæringen grupperer dem under «profil». Avsnittet om rettslig grunnlag nedenfor beskriver vilkåret vi støtter oss på for dem.

3.3 Helsedata du logger (data i særlige kategorier)

Følgende er helsedata, en «særlig kategori» av personopplysninger etter artikkel 9 i GDPR. Vi oppbevarer dem på serverne våre bare med ditt uttrykkelige samtykke. Avsnittet om rettslig grunnlag nedenfor beskriver hvordan samtykket gis, og hvilke av disse dataene som bare når serverne våre når skysynkronisering er på:

Blodsukkerverdier, med valgfrie kontekststikkord (måltidstidspunkt, fysiologi, aktivitet, medisin og teknologi, pluss stikkord du skriver selv) og fritekstnotater.
Matoppføringer: karbohydrater, pluss valgfritt protein, fett, kalorier og et navn du skriver inn.
Insulindoser: antall enheter, knyttet til insulinmedisinen du har konfigurert, bolus, basal eller blanding.
Doser av injeksjonsmedisin (for eksempel GLP-1-agonister).
Antall tabletter du har tatt.
Vektoppføringer, hver med tidspunktet du registrerte den.
Medisinkatalogene dine: insulin-, tablett- og injeksjonsmedisiner du konfigurerer, med legemiddelnavn (for eksempel Fiasp, Lantus, Metformin, Ozempic) og farmakokinetiske parametere (virkningsstart, maks. effekt, virkningstid), og påminnelsestidspunktene du setter for dem.
Behandlingsinnstillinger du konfigurerer: målområdet ditt for blodsukker (som standard 3,9–10,0 mmol/L, eller 3,9–7,8 mmol/L for svangerskapsdiabetes, prediabetes eller ingen diabetesdiagnose), forholdet mellom insulin og karbohydrater (IK) og insulinfølsomhetsfaktoren (IF). Appen bruker aldri noen av dem til å beregne eller anbefale en dose. Forholdet mellom insulin og karbohydrater lagres for din egen referanse, og ingenting annet leser det. Målområdet lagres og er også det som tegner området «i målområdet» i Tid i målområde, setter de indre kantene for etiketten bra / moderat / kritisk, og avgjør når formuleringen om risiko for lavt blodsukker endres. Insulinfølsomhetsfaktoren brukes til å utlede formuleringen om risiko for lavt blodsukker og det omtrentlige senkningsområdet som vises ved siden av aktivt insulin. Den Medisinske ansvarsfraskrivelsen beskriver alt dette.
Verdier Appen utleder på enheten din fra det du logger: anslått aktivt insulin (et anslag kun for å gi oversikt: det anbefaler eller beregner ikke en dose), formuleringen om risiko for lavt blodsukker og det omtrentlige senkningsområdet som vises ved siden av, trender, gjennomsnittlig blodsukker og spredningen av det, Tid i målområde, anslått HbA1c (GMI), det foreslåtte tidspunktet for neste måling, og etiketten bra / moderat / kritisk på den siste målingen din. Den Medisinske ansvarsfraskrivelsen beskriver hva hver av disse er og ikke er.

Flere av disse feltene er fritekst: blodsukkernotater, stikkord du skriver selv, matnavn, egendefinerte medisinnavn og navnet på en egendefinert påminnelsesplass. Det du skriver der, lagres, og synkroniseres hvis synkronisering er på, nøyaktig slik du skrev det.

3.4 Data vi mottar fra andre kilder

Apple Health og Health Connect. Hvis du kobler dem til, leser Appen poster om blodsukker, kroppsvekt og karbohydrater i kosten fra helseplattformen på telefonen din. Dette er skrivebeskyttet: Appen skriver aldri noe tilbake. På iOS ber den systemet bare om lesetilgang og oppgir ingen begrunnelse for skriving, som en skriving ville kreve; på Android har den bare lesetillatelser for de tre posttypene. Poster som opprinnelig kom fra et måleapparat, en CGM eller en annen app, når derfor glumea gjennom helseplattformen. Importerte oppføringer lagres på enheten din som vanlige oppføringer, merket med plattformen de kom fra og postens identifikator. Om en importert oppføring også kopieres til serverne våre, avhenger av om Skysynkronisering er på, på nøyaktig samme måte som for en oppføring du selv har skrevet inn. Tilkoblingen er av til du slår den på, og du kan koble den fra eller slå av enkelte datatyper når som helst i Innstillinger → Integrasjoner.
Apple, Google og RevenueCat. Hvis du abonnerer på glumea+, når opplysninger om abonnementet oss fra butikken og fra RevenueCat. Se avsnittet om glumea+ nedenfor for nøyaktig hvilke.

3.5 Tekniske data

Autentiseringstokener, lagret i enhetens sikre lagring slik at du forblir innlogget. Økten din på serverne våre er en post som inneholder en økt-ID, bruker-ID-en din og utløpstidspunktet.
Når skysynkronisering er på, behandler serverne våre dataene du synkroniserer sammen med bokføringen som trengs for å drive synkroniseringstjenesten, for eksempel synkroniseringstidspunkter.
Når Appen kommuniserer med serverne våre, mottar serverne vanlig tilkoblingsinformasjon, for eksempel IP-adressen din, stien som ble forespurt og tidspunktet, som brukes til sikkerhet og til å drive tjenesten.
Mens analyse eller diagnostikk er slått på, sender hver SDK dataene som er beskrevet i avsnitt 5. Begge er av til du sier ja til dem.

3.6 Data som blir på enheten din og data som ikke gjør det

Noen ting når aldri serverne våre i det hele tatt: varslingsinnstillinger, tidspunkter for påminnelser om blodsukkermåling, Stille timer, valget om varseldetaljer, lokal varslingstilstand, tilkoblingstilstand for helseplattformen, appinnstillinger, telemetriinnstillinger og bokføring for synkronisering. Ett forbehold: mens analyse er slått på, sendes språk-, tema- og enhetsinnstillinger til PostHog som profilattributter. Ingenting annet på denne listen forlater enheten gjennom backend-en vår.

Medisinplanene dine er unntaket: de hører til dagboken, så de kopieres til serverne våre når Skysynkronisering er på, fordi en medisinpåminnelse må overleve en ny telefon.

Selve bryteren for skysynkronisering er heller ikke bare på enheten. Svaret ditt på den lagres på kontoen din på serverne våre, slik at det følger deg til en ny telefon og består når du logger ut; avsnitt 10 beskriver hva det betyr i praksis.

Filer du selv oppretter, et .glumea-sikkerhetskopiarkiv eller en CSV- eller PDF-blodsukkerrapport, skrives på enheten din og overleveres til den appen du velger å dele eller lagre dem med. Hvor de havner etter det, er utenfor vår kontroll, og en CSV- eller PDF-rapport er ikke kryptert.

4. Hvorfor vi behandler dataene dine og vårt rettslige grunnlag

Etter GDPR trenger hver bruk et grunnlag etter artikkel 6, og data i særlige kategorier trenger i tillegg et vilkår etter artikkel 9. De tilsiktede grunnlagene er oppført nedenfor. Det manglende samtykketrinnet for profilen som er beskrevet nedenfor, gir ikke det uttrykkelige samtykket som behandlingen krever.

Å levere kontoen din og Appen: opprette og sikre kontoen din, autentisering, e-postbekreftelse, tilbakestilling av passord, drift av skysynkronisering, levering av glumea+ hvis du abonnerer, og føring av en oversikt over abonnementsvarslene butikken og RevenueCat sender oss, slik at vi kan se om glumea+ er aktivt og rydde opp i et faktureringsproblem: oppfyllelse av en avtale, artikkel 6 nr. 1 bokstav b i GDPR.
Å oppbevare helsedata på serverne våre: de tilsiktede grunnlagene er artikkel 6 nr. 1 bokstav b for tjenesten og uttrykkelig samtykke etter artikkel 9 nr. 2 bokstav a for helsedataene. Dagboken kopieres til serverne våre først etter den separate bekreftelsen for Skysynkronisering. Dagens introduksjon lagrer profilen og behandlingsinnstillingene på kontoen uten et eget trinn for uttrykkelig samtykke. Aksept av en avtale er ikke automatisk uttrykkelig samtykke til behandling av data i særlige kategorier, så dagens introduksjon gir ikke dette vilkåret etter artikkel 9. Å slette kontoen er den eneste implementerte måten å fjerne disse profil- og behandlingsfeltene fra produksjonsdatabasen.
Produktanalyse: samtykke etter artikkel 6 nr. 1 bokstav a, uttrykkelig samtykke etter artikkel 9 nr. 2 bokstav a fordi bruk av en diabetesapp avslører helseforhold, og samtykke etter artikkel 5 nr. 3 i ePrivacy-direktivet for SDK-lagring. Avsnitt 5 beskriver hvordan det samtykket innhentes.
Diagnostikk og krasjrapporter: det tilsiktede grunnlaget er samtykke etter artikkel 6 nr. 1 bokstav a, uttrykkelig samtykke etter artikkel 9 nr. 2 bokstav a fordi bruk av en diabetesapp avslører helseforhold, og samtykke etter artikkel 5 nr. 3 i ePrivacy-direktivet for SDK-lagring, innhentet på samme måte som for analyse (avsnitt 5).
Å holde tjenesten sikker og hindre misbruk: hastighetsbegrensning på API-et vårt og undersøkelse av mistenkt misbruk: våre berettigede interesser, artikkel 6 nr. 1 bokstav f i GDPR. Den konkrete interessen er å beskytte kontoen din og andres kontoer mot uautorisert tilgang og å holde tjenesten tilgjengelig. Vi støtter oss på dette bare der interessene våre ikke overstyres av rettighetene dine.
Å oppfylle en rettslig forpliktelse: der polsk lov krever at vi oppbevarer eller utleverer bestemte poster, gjør vi det på grunnlag av artikkel 6 nr. 1 bokstav c i GDPR. Vi støtter oss ikke på dette grunnlaget for helsedataene du logger. Vi tar ikke imot betalingen din og får aldri betalingsopplysningene dine, så betalings- og faktureringspostene for kjøpet ditt oppbevares av butikken og ikke av oss.

Vi tar ikke beslutninger om deg som har rettsvirkning eller på tilsvarende måte betydelig påvirker deg, basert utelukkende på automatisert behandling, og vi profilerer deg ikke for slike beslutninger. Det finnes ingen automatiserte avgjørelser i glumea i betydningen artikkel 22 i GDPR. Anslagene Appen viser, aktivt insulin, trender og Tid i målområde, er regnestykker utført på enheten din med dataene du har skrevet inn, og vises bare for at du skal få oversikt. De anbefaler eller beregner ingen insulin- eller medisindose, og de er ikke medisinske råd.

Er det et krav å oppgi data? Du er ikke pålagt ved lov å oppgi data. En e-postadresse og et passord kreves for en konto. Profil- og behandlingsfeltene som etterspørres under introduksjonen, lagres på kontoen, med forbehold for begrensningen i samtykket som er beskrevet ovenfor. Å logge oppføringer, koble til Apple Health eller Health Connect og skysynkronisering er valgfritt. Analyse og diagnostikk er valgfritt og av til du sier ja til dem.

5. Analyse og diagnostikk

Appen inneholder to tredjeparts-SDK-er til disse formålene: én for produktanalyse og én for krasj- og feilrapporter. Dette avsnittet beskriver hva hver av dem er og hva den mottar.

Begge er av til du sier ja til dem, og ingen av SDK-ene startes før det. Appen spør på slutten av introduksjonen, med en egen bryter for hver. Bryterne vises i på-stilling, men ingenting samles inn før du trykker for å fortsette, og ett trykk på avslagsknappen avslutter introduksjonen med begge av. Hvis du logger inn på en eksisterende konto uten å gå gjennom introduksjonen, forblir begge av til du slår dem på. De to innstillingene er uavhengige og kan endres når som helst i Innstillinger → Data og personvern → Personvern og diagnostikk. Å logge ut tømmer begge svarene sammen med de andre innstillingene dine, men en SDK som allerede kjører, fortsetter å kjøre til Appen lukkes.

5.1 Produktanalyse: PostHog

Vi bruker PostHog (EU Cloud, eu.i.posthog.com) for å forstå hvordan Appen brukes, slik at vi kan forbedre den.

Hva PostHog kan motta mens analyse er slått på:

Din glumea-kontoidentifikator: den interne UUID-en for kontoen din. Ikke e-postadressen din, ikke navnet ditt. Etter at du har logget inn, knyttes hendelsene til denne identifikatoren, så disse hendelsene er ikke anonyme. Hendelsene som kan skje før du logger inn, eller etter at du logger ut, første oppstart, oppstarter av appen, registrering og bekreftelse av en kode sendt på e-post, bærer i stedet en pseudonym enhetsidentifikator, og den identifikatoren genereres på nytt når Appen nullstiller SDK-en.
En fast liste med hendelsesnavn, omtrent 28 av dem, som dekker ting som at Appen åpnes, registrering, fullføring av introduksjonen, lagring av en oppføring, import fra Apple Health, at en varslingstillatelse gis eller avslås, at en eksport lages, at betalingsmuren åpnes, og utfallet av et kjøp eller en gjenoppretting.
Et lite antall egenskaper, hver fra en lukket liste eller et begrenset antall: hvilken type oppføring som ble lagret (blodsukker, mat, medisin eller vekt), hvor mange rader én lagring skrev, om en oppføring ble logget i øyeblikket eller satt tilbake i tid, om en eksport var CSV eller PDF, hvilket introduksjonstrinn som ble fullført, den generelle kategorien til en påminnelse du trykket på, og lignende. Ingen egenskap noe sted i systemet tar imot fritekst.
Skjermen du er på, som en rutemal som /settings/privacy. Sifre avvises, slik at en postidentifikator ikke kan ligge inni en. En skjerm som bare én type behandling kommer til, for eksempel insulininnstillingene, rapporteres som skjermen over den.
Noen få profilattributter: språket ditt, temaet ditt, enhetene dine for blodsukker, vekt og karbohydrater, og om du har glumea+.
Det PostHog-SDK-en legger til selv, utenfor vår kontroll: enhetsmodell, operativsystem og versjon, appversjon, SDK-versjon, tidssone, språkinnstilling, nettverkstype og en øktidentifikator. PostHog mottar også IP-adressen forespørselen kommer fra, som enhver webtjeneste gjør, og utleder en omtrentlig posisjon fra den. Vi har ikke slått på PostHogs alternativ for å forkaste denne adressen, så den lagres sammen med hendelsen.

Hva PostHog ikke kan motta: en blodsukkerverdi, en insulindose, et medisinnavn, hvilken type medisin du tar, et notat, et matnavn, en e-postadresse eller noen annen fritekst. Filteret som sikrer dette, er lukket som standard: en hendelse som ikke står på listen, forkastes i sin helhet, en egenskap som ikke er deklarert, fjernes, og en deklarert egenskap hvis verdi ikke samsvarer med den forventede formen, fjernes også. Det finnes ingen «hvilken som helst streng»-egenskap i systemet. Det finnes ingen øktavspilling, ingen skjermopptak, ingen spørreundersøkelser, ingen automatisk registrering av trykk og ingen push-token.

Hendelsene er bygd slik at de ikke avslører behandlingen din eller målingene dine. Insulin, tabletter og injeksjonsmedisin rapporteres alle som en medisinoppføring. Et trykk på et varsel om lavt eller høyt blodsukker registreres ikke i det hele tatt, og det gjør heller ikke introduksjonstrinnet som bare insulinbrukere ser. En import fra Apple Health eller Health Connect rapporterer at den kjørte og hva som startet den, aldri hvor mange poster den leste. Hendelsene er likevel knyttet til kontoen din mens du er innlogget, og det å bruke en diabetesapp avslører i seg selv helseforhold, og derfor venter analysen på samtykket ditt.

Analyse-SDK-en lagrer sin egen identifikator på enheten din, sammen med en kø av hendelser som venter på å bli sendt. To begrensninger følger av måten SDK-en fungerer på. Tilbaketrekking registrerer en siste hendelse av seg selv, om at du har valgt det bort. Og den hendelsen, sammen med alt som allerede er samlet inn mens du samtykket, leveres senere etter SDK-ens egen tidsplan og ikke i øyeblikket du trekker samtykket tilbake. Ingenting nytt samles inn etter det.

5.2 Diagnostikk og krasjrapporter: Sentry

Vi bruker Sentry (region i Den europeiske union) for å finne ut når Appen krasjer eller feiler, slik at vi kan rette det.

Hver del av en rapport Appen bygger som bærer innhold, bygges opp på nytt fra bunnen av før den sendes, fra en liste over felt som er tillatt og ikke en liste over felt som skal fjernes. Et titalls gjenværende toppnivåfelt tømmes i stedet ved navn, så et felt som en fremtidig versjon av SDK-en legger til, ville ikke fanges opp av den tømmingen før vi legger det til. Det som overlever denne gjenoppbyggingen, er:

Unntakstypen, og en beregnet etikett i stedet for den opprinnelige feilmeldingen.
Stakksporet, med filnavn redusert til basisnavnet og, i utgivelsesbygg, symbolnavn tilsløret, de gjøres lesbare bare hos Sentry ved hjelp av mappingen vi laster opp ved bygging.
Enhetsfamilie, modell, arkitektur, om det er en simulator, og orientering.
Operativsystemets navn, versjon og bygg; appens navn, versjon og bygg; Dart-kjøretidens versjon.
Identifikatorer for feilsøkingsbilder, som trengs for å gjøre native krasj lesbare.
Formen på brødsmulesporet, kategori, type, nivå og tidspunkt for nylige hendelser, men aldri innholdet.
To etiketter: hvilket område av Appen som feilet, og om det skjedde i forgrunnen eller i varslingsmotoren i bakgrunnen.
Utgivelsen, byggnummeret, miljøet og en tilfeldig generert hendelses-ID.

Det som fjernes helt: feilmeldingen, alle forespørselsdata, alle brukerobjekter, servernavnet, transaksjonsnavnet, trådlister, modullister, verdier av lokale variabler, kildekodekontekst, absolutte stier, enhetens unike ID og navn, den installasjonsspesifikke apphashen, brødsmulemeldinger og -data, skjermbilder, visningshierarkier og alle vedlegg. Skjermbilder, innhenting av visningshierarki, øktavspilling, ytelsessporing, logging og forespørselskropper er alle slått av. Appen legger ikke ved noen brukeridentifikator på en Sentry-hendelse: ingen konto-ID, ingen e-postadresse, ingen enhets-ID.

To begrensninger i det ovenstående:

Native krasj, hendelser der appen ikke svarer og iOS-watchdog-avslutninger kan nå Sentry uten å gå gjennom den gjenoppbyggingen, fordi de produseres av operativsystemets krasjbehandler og ikke av Appens egen kode. Det samme gjelder det periodiske signalet «appøkt startet / avsluttet» som Sentry bruker for utgivelseshelse. Vi kan ikke inspisere disse på enheten, og vi vet ikke om alle feltene plattform-SDK-en legger inn i dem. Vi setter ingen identifikator som kan knytte en av dem til deg.
Sentry mottar IP-adressen rapporten sendes fra.

Før du sier ja til diagnostikk, er Sentry ikke startet. Å slå av bryteren lukker rapporteringsleddene som den kontrollen når, men å logge ut slår ikke pålitelig av en SDK som allerede er initialisert i den kjørende prosessen. Den nåværende livssyklusen kan derfor ikke beskrives som umiddelbar tilbaketrekking i alle tilstander.

6. glumea+ og abonnementsdata

glumea+ er et abonnement som bare selges som et kjøp i appen gjennom Apple App Store og Google Play. Det finnes ingen annen måte å kjøpe det på, ingen nettbetaling og intet kortskjema noe sted i Appen.

Ingen betalingsopplysninger når oss. Apple eller Google tar imot betalingen. Vi ser aldri kortnummeret ditt, bankopplysningene dine eller fakturaadressen din. Avbestilling og refusjon håndteres gjennom butikkontoen din, Brukervilkårene forklarer hvor.
RevenueCat er tjenesten vi bruker for å vite om abonnementet ditt er aktivt. Appen forteller RevenueCat én ting om deg: glumea-kontoidentifikatoren din, brukt som abonnementets bruker-ID. Serverne våre spør også RevenueCat om den identifikatoren har et aktivt abonnement, også når du aldri har abonnert, fordi det er slik vi får vite at du ikke har det. Vi setter ingen e-postadresse, intet visningsnavn, intet telefonnummer, ingen push-token, og vi ber den ikke om å samle inn reklameidentifikatorer for enheter. RevenueCats egen SDK samler også inn noe enhets- og nettverksinformasjon for driften av RevenueCat-tjenesten, beskrevet i RevenueCats egen personvernerklæring. Vi konfigurerer ikke denne innsamlingen, og vi mottar ikke det den produserer.
Det Appen beholder lokalt er én enkelt sann/usann-verdi: om glumea+ er aktivt. Ingen pris, ingen produkt-ID, ingen utløpsdato og ingen transaksjons-ID lagres på enheten din av Appen. Den verdien settes til usann når du logger ut, slik at neste konto på enheten starter uten abonnement og må kontrolleres mot butikken på egen hånd.
Det serverne våre lagrer. RevenueCat sender backend-en vår et varsel når noe endres ved et abonnement, et kjøp, en fornyelse, en avbestilling, et faktureringsproblem. Vi registrerer hvert av disse varslene slik de ble mottatt: hendelses-ID-en og typen, miljøet, glumea-kontoidentifikatoren din og hele meldingen RevenueCat sendte, lagret nøyaktig slik den kom og ikke felt for felt. Den meldingen inneholder vanligvis produktidentifikatoren, prisen, valutaen, butikken, landet og kjøps- og utløpsdatoene. Fordi vi lagrer den i sin helhet, kan den også inneholde alle abonnentattributter RevenueCat har om deg, en e-postadresse iblant dem: selv om Appen vår ikke setter noen selv. Vi skriver aldri om meldingen; en gjentatt levering av den samme hendelsen oppdaterer bare vårt antall for hvor mange ganger den kom.
Mens analyse er slått på, går trakthendelsene som er beskrevet ovenfor, til PostHog, sammen med en profilattributt som registrerer om glumea+ er aktivt. Ingen pris, produktidentifikator eller butikkidentifikator sendes til analysen.

To konsekvenser følger. Webhook-loggen bærer glumea-kontoidentifikatoren din, men har ingen databaserelasjon til kontoraden din. Ved sletting av kontoen fjerner backend-en vår disse postene separat og ber om sletting av RevenueCats abonnentpost under den samme identifikatoren. Ellers fjerner en planlagt jobb hver webhook-post 90 dager etter at den kommer. Avsnitt 12 beskriver hva som kan bli igjen.

7. Hva vi ikke gjør

Ingenting av følgende skjer i glumea:

Ingen reklame, av noe slag. Ingen reklame-SDK, ingen attribusjons-SDK, ingen reklameidentifikator. Appen kan ikke vise iOS-forespørselen «Be app om å ikke spore», fordi den ikke har oppføringen som ville tillate det, og den oppgir ingen nettverk for annonseattribusjon.
Intet salg av dataene dine. Vi selger eller leier ikke ut personopplysninger, og vi selger ikke helsedata. Vi deler dem ikke for atferdsbasert reklame på tvers av kontekster.
Ingen bruk av helsedataene dine til reklame, markedsføring eller til å bygge en profil av deg for noen andre.
Ingen posisjonsdata. Ingen tilgang til kontaktene, kameraet, mikrofonen, bildene eller kalenderen din, Appen ber ikke om noen av de tillatelsene på noen av plattformene.
Ingen Firebase i Appen: ingen Firebase Analytics, ingen Crashlytics, ingen Firebase Cloud Messaging. (Firebase Hosting leverer Nettstedet, inkludert denne siden, det er en annen Google-tjeneste, og den er nevnt nedenfor.)
Ingen push-varsler og ingen push-token for enheten. Påminnelser planlegges og vises av din egen enhet; det finnes ingen kanal fra server til enhet i det hele tatt.
Ingen skjermbilder, ingen skjermopptak, ingen øktavspilling, ingen innhenting av visningshierarki, fra noen av de to SDK-ene som er beskrevet ovenfor.
Utover PostHog og Sentry finnes det ingen annen analyse-, telemetri- eller sporings-SDK i Appen. De eneste komponentene som åpner en nettverksforbindelse, er Appens egen forbindelse til serverne våre, PostHog, Sentry og RevenueCat.

8. Hvem som mottar dataene dine

Vi deler data med tjenesteleverandørene nedenfor for å drive glumea. Rollene deres, deres egne personvernerklæringer og de avtalevilkårene som gjelder for vår bruk av hver tjeneste, regulerer den behandlingen. RevenueCats SDK samler også inn enhets- og nettverksinformasjon på egen hånd. Vi konfigurerer ikke denne innsamlingen og mottar ikke resultatet av den, så beskrivelsen av den kommer fra RevenueCats personvernerklæring og ikke fra systemene våre.

Google (Google Cloud Run og Google Cloud SQL, region europe-west1) er vert for backend-en vår og databasen som inneholder alt du synkroniserer, inkludert helsedataene dine. Google Secret Manager oppbevarer serverlegitimasjonen vår, og Google Cloud Logging oppbevarer forespørselsloggene til serverne våre.
Google (Firebase Hosting) leverer glumea.com og disse juridiske dokumentene.
Sentry (region i Den europeiske union) mottar diagnoserapportene som er beskrevet ovenfor, mens diagnostikk er slått på etter den gjeldende innstillingsoppførselen.
PostHog (EU Cloud) mottar analysehendelsene som er beskrevet ovenfor, mens analyse er slått på etter den gjeldende innstillingsoppførselen.
RevenueCat (USA) mottar glumea-kontoidentifikatoren din og abonnementstilstanden din, uansett om du abonnerer eller ikke: å kontrollere at du ikke er abonnent bruker den samme identifikatoren som å bekrefte at du er det. Som nevnt ovenfor samler SDK-en deres i tillegg inn enhets- og nettverksinformasjon som vi ikke konfigurerer og ikke mottar; RevenueCats egen personvernerklæring beskriver den.
Zoho ZeptoMail: hvis e-postutsending i produksjon er slått på, mottar denne leverandøren mottakerens e-postadresse og bekreftelses- eller tilbakestillingsmeldingen som trengs for å levere den. Ingen e-postleverandør mottar disse meldingene mens utsendingen er slått av.

Apple og Google er ikke våre databehandlere. De driver butikkene glumea+ selges gjennom, de tar imot betalingen, og de er uavhengige behandlingsansvarlige for kjøpsdataene de har om deg. Hva de samler inn, reguleres av deres egne personvernerklæringer og ikke av denne.

Utover det utleverer vi personopplysninger bare hvis loven krever det, for eksempel et bindende pålegg fra en domstol eller myndighet, eller etter din anvisning.

Hvis Paweł Milewski Software Development noen gang blir involvert i en fusjon, et oppkjøp eller et salg av eiendeler, vil dataene dine fortsatt være beskyttet av denne erklæringen, og vi vil varsle deg før dataene dine blir underlagt en annen personvernerklæring.

9. Overføringer til utlandet

Hvor hver mottaker behandler dataene dine:

Kontoen din, profilen din og de synkroniserte helsedataene dine lagres i EU: Google Cloud, europe-west1 (Belgia). Lagringsstedet er ikke hele svaret. Google kan få tilgang til disse dataene fra utenfor EØS, for kundestøtte og for å drive plattformen, og det er en overføring i seg selv. Den støtter seg på standardkontraktsklausulene i Googles Cloud Data Processing Addendum.
Analyse går til PostHogs EU Cloud, som lagrer den i EU. Der PostHog kan få tilgang til den fra utenfor Det europeiske økonomiske samarbeidsområde (EØS), støtter overføringen seg på standardkontraktsklausulene i PostHogs databehandleravtale.
Diagnostikk går til Sentry i regionen i Den europeiske union. Der dette er utenfor EØS, støtter overføringen seg på standardkontraktsklausulene i Sentrys databehandlingstillegg.
Nettstedet leveres av Firebase Hosting fra Googles innholdsleveringsnettverk, så en forespørsel om en side kan bli besvart fra, og logget på, et sted utenfor EØS. Der det skjer, støtter overføringen seg på standardkontraktsklausulene i Googles Cloud Data Processing Addendum.
Abonnementstilstand går til RevenueCat i USA. Der dette er utenfor EØS, støtter overføringen seg på standardkontraktsklausulene i RevenueCats databehandlingstillegg.
Hvis e-postutsending i produksjon er slått på, leveres bekreftelses- og tilbakestillings-e-postene av Zoho ZeptoMail, som behandler mottakerens e-postadresse i Den europeiske union (Zoho Corporation B.V., Zohos EU-datasentre i Nederland og Irland). Der dette er utenfor EØS, er overføringsmekanismen standardkontraktsklausulene i Zohos databehandlingstillegg.
Apple og Google behandler kjøpsdata etter sine egne ordninger, som uavhengige behandlingsansvarlige.

Der en leverandør kan få tilgang til data fra utenfor EØS, også for kundestøtte, er den tilgangen også en overføring og må ha en egnet garanti etter kapittel V i GDPR. Mekanismen for hver mottaker er nevnt ovenfor. For brukere i Storbritannia er den tilsvarende mekanismen UK Addendum til EUs standardkontraktsklausuler, eller IDTA der en leverandør bruker den formen under britisk GDPR. Generell kontakt for personvern: [email protected]. Det er for øyeblikket ikke implementert noen egen automatisert arbeidsflyt for å be om en kopi av garantiene.

10. Hvor dataene dine lagres

glumea er offline-først. Dette avsnittet er det fulle svaret på «hva av mitt ligger på serverne dine?»: alt annet i denne erklæringen peker hit.

Hva	På telefonen din	På serverne våre	Fra når	Hvordan du fjerner det
Dagboken din, oppføringer, medisinkataloger, medisinplaner	Alltid	Bare med Skysynkronisering på	Fra det øyeblikket du slår på bryteren	Slå av bryteren, og Slette serverdata; eller slett kontoen din
Profilen din, navn, alder, høyde, diabetestype, behandlingsmetoder, insulintilførsel	Ja	Alltid	Fra introduksjonen, uansett om du bruker synkronisering	Slett kontoen din
Behandlingsinnstillingene dine, målområde, forhold mellom insulin og karbohydrater, insulinfølsomhetsfaktor	Ja	Alltid	Fra det øyeblikket du legger dem inn	Slett kontoen din
Kontoen din, e-postadresse, hashet passord, innloggingsøkter	Bare legitimasjon	Alltid	Fra det øyeblikket du oppretter kontoen	Slett kontoen din
Alt i avsnitt 3.6, påminnelser, Stille timer, appinnstillinger	Ja	Aldri	Ikke relevant	Logg ut, eller avinstaller

Resten av dette avsnittet er detaljene bak tabellen.

Alle data du legger inn, skrives først til en lokal database på enheten din. Appen kan brukes fullt ut uten internettforbindelse.
Den lokale databasen er kryptert. Den åpnes med en 32-byte nøkkel som ligger i enhetens nøkkellager, under en innstilling som ikke migreres til en annen enhet. Konsekvenser du bør kjenne til før du bytter telefon: på Android har vi slått av skysikkerhetskopiering og overføring mellom enheter for Appen, så det lages ingen ny sikkerhetskopi av den; på iOS kan en kopi av databasen fortsatt havne i en iCloud-sikkerhetskopi, men den er uleselig uten nøkkelen, og nøkkelen forlater aldri enheten. Å gjenopprette den sikkerhetskopien på en ny telefon tar derfor ikke med dagboken din: Appen finner en database den ikke har noen nøkkel til, nekter å åpne den i stedet for å starte tom i det stille, og vil ikke kjøre på den telefonen før du installerer den på nytt eller sletter dataene dens. Å flytte til en ny telefon går gjennom skysynkronisering, eller gjennom et .glumea-arkiv som du selv eksporterer og importerer.
En konto for deg finnes på serverne våre fra det øyeblikket du oppretter en. Den inneholder kontodataene dine, profilen din, inkludert diabetestype, behandlingsmetoder og måte å få insulin på, og behandlingsinnstillingene dine: målområdet ditt, forholdet mellom insulin og karbohydrater og insulinfølsomhetsfaktoren din. Disse ligger på serverne våre uansett om du bruker skysynkronisering, og måten å fjerne dem på er å slette kontoen din.
Skysynkronisering er en glumea+-funksjon, og den er av til du slår den på. Den styrer om dagboken din også kopieres til serverne våre: oppføringene dine, medisinkatalogene dine og medisinplanene dine. Å slå den på tar to trinn, og du kan stoppe ved begge. Uten et aktivt glumea+-abonnement viser Appen deg abonnementsskjermen i stedet for å slå noe på. Med ett ber Appen deg deretter om å bekrefte, i et eget trinn, at du samtykker i at helsedataene dine, blodsukkerverdier, insulin- og medisinregistreringer, mat- og vektoppføringer og alt du har skrevet i et notat, lagres på serverne våre. Den spør hver gang bryteren slås på, ikke bare den første gangen. Den bekreftelsen er ditt uttrykkelige samtykke etter artikkel 9 nr. 2 bokstav a i GDPR for dagboken. Du kan trekke det tilbake når som helst ved å slå Skysynkronisering av, og fjerne det vi allerede har, med lenken Slette serverdata i det samme arket. Med synkronisering av blir alt du logger, værende bare på enheten din.
Når synkronisering er på, lagres dataene dine på backend-en vår på api.glumea.app, som kjører på Google Cloud Run med en Google Cloud SQL PostgreSQL-database, i Googles region europe-west1 (Belgia).

Bryteren tilhører kontoen din, ikke telefonen. Vi lagrer svaret ditt på serverne våre, og Appen leser det tilbake derfra når du logger inn og når den kobler til igjen. Så det består når du logger ut, og det følger deg: slå på synkronisering, logg inn på en annen telefon, og synkronisering er på der også uten å bli spurt igjen. Å slå den av registreres på samme måte. Hvis du slår den av mens du er offline, beholder Appen det svaret og leverer det til serverne våre ved første anledning, en tilbaketrekking rulles aldri tilbake fordi en forespørsel feilet. På en delt enhet virker dette motsatt av en bryter som bare finnes på enheten: den som logger inn, får svaret fra sin egen konto og ikke det forrige person etterlot seg.

Hvis glumea+ tar slutt, slutter nye oppføringer å bli sikkerhetskopiert, det trekker ikke samtykket ditt tilbake, og det sletter ingenting. Når et abonnement utløper, sies opp eller refunderes, slutter Appen å kopiere nye oppføringer til serverne våre. Redigeringer og slettinger av oppføringer som allerede ligger der, når fortsatt serverne våre, og Appen laster fortsatt ned fra dem. Arket Skysynkronisering viser Redigeringer og slettinger synkroniseres fortsatt · Nye oppføringer blir på denne enheten. Det som allerede ligger på serverne våre, blir liggende, det som ligger på enheten din, blir liggende, og det lagrede svaret ditt på samtykkespørsmålet blir stående som det var, så hvis du abonnerer igjen, gjenopptas full sikkerhetskopiering på det lagrede svaret uten å spørre deg en gang til. Hvis du heller vil at den ikke skal det, slå av bryteren: å slå den av, og lenken Slette serverdata ved siden av, er begge tilgjengelige uansett om et abonnement er aktivt. Å avslutte et abonnement tar aldri fra deg muligheten til å trekke tilbake samtykket eller få serverkopien slettet.

Synkronisering kan også stoppe uten at du rører den bryteren. Innloggingsøkten din kan utløpe, og når den gjør det, logger vi deg ikke ut og sletter ingenting: Appen beholder hver oppføring på enheten din, parkerer sikkerhetskopieringen og venter. Arket Skysynkronisering viser da Pausert og forteller deg at ingenting synkroniseres før du logger inn igjen, og Sammendrag-skjermen har et banner om den utløpte økten. Alt du logger i mellomtiden, blir på enheten og når serverne våre først når du har logget inn igjen. Hvis du er avhengig av serverkopien for å overleve en mistet telefon, er det det banneret du bør handle på.

Kopien på serverne våre er beskyttet av transportkryptering, av Googles lagringskryptering og av tilgangskontrollene våre. Den er ikke ende-til-ende-kryptert, og vi kan lese den. glumea er ikke en tjeneste uten kunnskap om innholdet. Det eneste i hele systemet vi ikke kan åpne, er et .glumea-arkiv, fordi det er kryptert med et passord bare du kjenner.

11. Hvor lenge vi oppbevarer dataene dine

Vi oppbevarer dataene dine i periodene nedenfor.

Kontodata, profil og behandlingsinnstillinger: oppbevares på serverne våre så lenge kontoen din finnes.
Helseoppføringer og medisinkataloger du har synkronisert: oppbevares så lenge kontoen din finnes, eller til du sletter serverkopien eller sletter kontoen din. Å slette én enkelt oppføring fungerer annerledes: den forsvinner fra enheten du slettet den på, og bare fra den enheten. Kopien på serverne våre blir værende, så oppføringen kan komme tilbake ved en ominstallering, på en ny telefon, eller etter at du logger ut og inn igjen. Bare Slette serverdata eller sletting av kontoen din fjerner disse radene fra serverne våre.
Slettemarkører for oppføringer du har slettet: der slettingen av en enkelt oppføring når serverne våre, beholdes raden som en markør som fortsatt bærer verdien, stikkordene og notatene, slik at slettingen kan nå de andre enhetene dine. Vi har ingen jobb som rydder dem bort, så de blir værende så lenge kontoen din finnes. Å bruke Slette serverdata, eller å slette kontoen din, fjerner dem.
Innloggingsøkter: et tilgangstoken varer i 15 minutter. Økten på serverne våre utløper etter 90 dager uten bruk. Å logge ut tilbakekaller den umiddelbart, slik at den aldri kan brukes igjen, men selve raden fjernes av en timesjobb når 90-dagersvinduet har gått ut. Å slette kontoen din fjerner den med én gang.
Engangskoder: utløper 10 minutter etter at de er utstedt, og en timesjobb markerer utløpte koder som ubrukelige. Vi sletter ikke postene selv: de blir liggende til du sletter kontoen din, som fjerner dem sammen med alt annet.
Serverens sikkerhetskopier: 7 dager. Data som er slettet fra den aktive databasen, blir værende i sikkerhetskopier til de overskrives.
Serverens forespørselslogger, som inneholder IP-adresser: 30 dager.
Analysehendelser hos PostHog: 12 måneder.
Diagnoserapporter hos Sentry: 90 dager.
Poster om abonnementsvarsler: opptil 90 dager fra øyeblikket hver melding når oss, med mindre sletting av kontoen fjerner dem tidligere. Den planlagte jobben teller alder og holder ikke tilbake en rad for en åpen faktureringstvist.
Data som bare lagres på enheten din: blir der til du sletter dem, logger ut, bruker sletting av konto i Appen eller avinstallerer Appen. En forespørsel om sletting av kontoen på e-post kan ikke slette en enhet eksternt.

12. Sletting: hva som skjer og hvor

Før du begynner. To ting er viktigere enn alt nedenfor, og begge står i Brukervilkårene: si opp glumea+-abonnementet ditt i butikken først, fordi sletting av glumea-kontoen din ikke stopper belastningen (avsnitt 13.1 der), og eksporter først, fordi vi ikke kan lage en eksport for deg når radene dine er borte (avsnitt 13.3 der).

Tre ulike kontroller, tre ulike resultater. De er lette å forveksle, så:

Kontroll	Hvor den finnes	Hva den fjerner	Hva den beholder	Hva som kan angre den
Å slette en enkelt oppføring	Der du logget den	Den oppføringen, bare på den enheten	Serverkopien, som kan bringe den tilbake	En ominstallering, en ny telefon, eller å logge ut og inn igjen
Slette serverdata	Det er Skysynkronisering-arket, åpnet fra skyknappen på Sammendrag eller Historikk, ikke Innstillinger	Serverkopien av oppføringene, medisinkatalogene og planene dine	Kontoen din, profilen din, behandlingsinnstillingene dine og alt på telefonen din	Å slå synkronisering på igjen laster opp på nytt fra telefonen din
Slett konto	Innstillinger → Konto, eller send e-post til [email protected] hvis du ikke kan bruke Appen	Kontoen din og tilhørende produksjonsdata på serverne våre; veien i Appen tømmer også denne enheten	Eksisterende sikkerhetskopier, noen leverandørposter og alle data på enheter som sletting i Appen ikke når	Ingenting gjenoppretter den slettede kontoen

Slette serverdata krever en aktiv innlogging og at bryteren Synkronisering først er slått av; de tre merknadene på slutten av dette avsnittet forklarer hvorfor.

Å slette kontoen din i Appen fjerner den fra produksjonsdatabasen vår umiddelbart. En bekreftet e-postforespørsel bruker den samme slettemetoden på serversiden. Dette er hva som skjer på hvert mål.

Produksjonsdatabasen vår: sletting av kontoen din utfører en fysisk sletting av brukerposten din når du bekrefter det i Appen eller en operatør fullfører en bekreftet e-postforespørsel. Alt som er knyttet til den, fjernes sammen med den ved databasekaskade: profilen din, behandlingsinnstillingene dine, hver synkroniserte blodsukker-, mat-, vekt-, insulin-, tablett- og injeksjonsoppføring, medisinkatalogene og -planene dine, øktene dine og ventende bekreftelses- og tilbakestillingskoder. Det finnes ikke noe flagg for myk sletting og ingen gjenoppretting.
Poster om abonnementsvarsler: hver rad inneholder glumea-kontoidentifikatoren din og hele meldingen RevenueCat sendte. Den er ikke knyttet til kontoraden din, så den automatiske kaskaden når den ikke, men slettetjenesten fjerner den separat i samme transaksjon. Uten sletting av kontoen fjerner en planlagt jobb hver rad etter 90 dager.
RevenueCat: sletting av kontoen din setter en forespørsel i kø om å fjerne abonnentposten under kontoidentifikatoren din. Vi prøver forespørselen umiddelbart og prøver på nytt hvis leverandøren ikke er tilgjengelig. Butikkens faktureringshistorikk er fortsatt utenfor vår kontroll.
PostHog: sletting av kontoen din setter en forespørsel i kø om å fjerne den kontotilknyttede analyseprofilen og dens hendelser og opptak. Vi prøver umiddelbart og prøver på nytt hvis leverandøren ikke er tilgjengelig. PostHog kan fullføre en godtatt slettingsforespørsel asynkront. Hendelser før innlogging bruker en separat pseudonym enhetsidentifikator.
Serverens sikkerhetskopier: en kopi av det som ble slettet, blir liggende i vår skyleverandørs automatiske databasekopier til disse overskrives: 7 dager, og i intet tilfelle lenger enn seks måneder etter autentisering der den lovbestemte grensen gjelder. Enkeltposter redigeres ikke inni en sikkerhetskopi. En gjenoppretting etter katastrofe kan derfor midlertidig gjeninnføre rader som er slettet fra produksjon.
Serverlogger: sletting av kontoen din sletter ikke serverens forespørselslogger i ettertid, som oppbevares i 30 dager.
Sentry: Appen legger ikke ved noen kontoidentifikator, e-postadresse eller brukerpost på en diagnoserapport. Det finnes derfor ingen støttet måte å finne eller slette en enkeltbrukers rapporter. Rapporter som produseres av operativsystemets krasjbehandler, går ikke gjennom Appens filter, og vi vet ikke om alle feltene plattform-SDK-en legger til. Rapporter utløper etter Sentrys oppbevaringstid: 90 dager. Artikkel 11 nr. 2 i GDPR gjelder data der den behandlingsansvarlige reelt sett ikke kan identifisere den registrerte.
Apple og Google: kjøps- og abonnementspostene dine tilhører butikken og ikke oss. Å slette glumea-kontoen din avbestiller ikke et abonnement og sletter ingenting hos Apple eller Google. Si opp i innstillingene for butikkontoen din; postene deres reguleres av deres retningslinjer og av skatteloven.
Din egen enhet: å slette kontoen i Appen, logge ut eller bytte konto sletter den lokale databasen, innloggingslegitimasjonen og de lagrede innstillingene fra den enheten. En e-postforespørsel kan ikke slette en enhet eksternt. Å fjerne en telemetriinnstilling slår ikke pålitelig av en SDK som allerede er initialisert i den kjørende prosessen. Et flagg for første installasjon og databasens krypteringsnøkkel kan overleve en sletting i Appen, men ingen av dem inneholder dagbokdata. En iCloud-sikkerhetskopi av enheten kan inneholde en uleselig kryptert databasekopi; Android-sikkerhetskopiering er slått av for Appen.
Kopier du selv har laget: et .glumea-arkiv, en CSV, en PDF-rapport, alt du delte eller lagret et annet sted: disse er dine og ligger utenfor vår rekkevidde. Slett dem der du la dem.

For å oppsummere tidspunktene: slettingen i produksjonsdatabasen skjer når du bekrefter den i Appen, eller når en operatør fullfører en bekreftet e-postforespørsel. Forespørslene om sletting hos RevenueCat og PostHog forsøkes umiddelbart og settes i kø for nytt forsøk ved feil. En kopi kan bli liggende i skyleverandørens sikkerhetskopier til de overskrives, innen 7 dager.

Databasekaskaden i seg selv når ikke serverens forespørselslogger, Sentry-rapporter, poster om abonnementsvarsler eller leverandørposter. Slettetjenesten fjerner abonnementsvarslene separat og ber om sletting av postene hos RevenueCat og PostHog. Serverlogger og Sentry-rapporter utløper etter de konfigurerte oppbevaringstidene.

Sletting er permanent. Slettede data kan ikke gjenopprettes, så hvis du kan trenge postene dine senere, for eksempel til behandlingsteamet ditt, ta en kopi først med eksportalternativene som er beskrevet under rettighetene dine.

Du kan også be om sletting av kontoen på e-post uten Appen. Vi bekrefter eierskap før vi behandler den.

Tre ting til om den smalere kontrollen Slette serverdata, som fjerner serverkopien av oppføringene, medisinkatalogene og medisinplanene dine, men beholder kontoen din, profilen din, behandlingsinnstillingene dine og alt på enheten din:

Den krever en aktiv innlogging. Hvis økten din er utløpt, tilstanden avsnitt 10 beskriver, der arket viser Pausert: lenken ber deg logge inn igjen og gjør ingenting før du gjør det. Det er nok å logge inn igjen; ingenting går tapt i mellomtiden.
Den krever at Skysynkronisering først er slått av. Hvis du slår synkronisering på igjen etterpå, settes oppføringene som fortsatt ligger på enheten din, i kø og lastes opp på nytt, slettingen på serveren angres av din egen enhet.
Den forplanter seg ikke til de andre enhetene dine. De beholder sine lokale kopier og blir ikke varslet.

13. Kontrollene dine i Appen

Du trenger ikke sende oss e-post for å styre dataene dine. Appen gir deg disse innebygde kontrollene:

Slett konto: i Innstillinger → Konto, etter at du har skrevet inn et bekreftelsesord. Utfører den fysiske slettingen på serversiden som er beskrevet ovenfor og sletter Appens lokale database, innloggingslegitimasjon og innstillinger fra den enheten. Du kan også be om sletting av kontoen på serversiden hos [email protected] hvis du ikke kan bruke Appen. Avsnitt 12 oppgir hva som blir værende.
Slette serverdata: lenken slette dem i linjen under bryteren Synkronisering i arket Skysynkronisering, som åpnes fra skyknappen øverst på Sammendrag- eller Historikk-skjermen og ikke fra Innstillinger. Lenken vises alltid, men den virker først når bryteren er av. Sletter serverkopien av oppføringene, medisinkatalogene og medisinplanene dine fysisk, mens kontoen din og dataene på enheten din beholdes. Den rekker ikke lenger enn det: profilen din og behandlingsinnstillingene dine blir på serverne våre til du sletter kontoen din. Les de tre merknadene rett ovenfor.
Skysynkronisering: bryteren Synkronisering i det samme arket, og en glumea+-funksjon. Slå den av når som helst for å stoppe at nye data når serverne våre, som også er måten du trekker tilbake samtykket til at vi lagrer dem; å slå den av krever aldri et aktivt abonnement. Data som allerede er synkronisert, blir på serverne våre til du bruker Slette serverdata eller Slett konto. Svaret ditt på denne bryteren lagres på kontoen din, så det består når du logger ut og følger deg til en ny telefon.
Bruksanalyse og Feilrapportering: to uavhengige brytere i Innstillinger → Data og personvern → Personvern og diagnostikk. Begge er av til du slår dem på. Å slå en av oppdaterer innstillingen, men data i kø kan fortsatt leveres, og utlogging lukker ikke pålitelig en SDK som allerede er initialisert i den kjørende prosessen.
Apple Health / Health Connect: koble til, koble fra eller slå av enkelte datatyper i Innstillinger → Integrasjoner. Du kan også trekke tilbake tillatelsen i selve helseplattformen.
Vis detaljer i varsler (Innstillinger → Varsler): av med mindre du slår den på. Til du gjør det, viser varsler generisk tekst.
Logg ut: sletter Appens lokale database, innloggingslegitimasjonen din og innstillingene dine fra enheten, inkludert valgene dine om analyse og diagnostikk. Ingenting du har logget og ingen valg du har tatt, holdes tilbake; avsnittet om sletting nevner de to tekniske verdiene som overlever.
Eksport: et passordbeskyttet .glumea-arkiv med oppføringene, medisinene, profilen, behandlingsmålene og påminnelsene dine, fra Innstillinger → Data og personvern → Dataimport og -eksport. CSV- og PDF-blodsukkerrapportene er en egen ting, laget fra eksportarket på blodsukkerskjermen; arkivet og CSV-en er gratis, og PDF-rapporten er en glumea+-funksjon.

[email protected] tar imot forespørsler om sletting av konto uten Appen. Andre forespørsler om rettigheter utenfor Appen kan også sendes dit, men veien for sletting av konto gir ikke et eget automatisert verktøy for eksport eller retting.

14. Rettighetene dine

Etter GDPR har du rett til å:

Få innsyn i personopplysningene dine og få en kopi av dem.
Rette unøyaktige eller ufullstendige data. Du kan redigere oppføringer og medisiner der du logget dem, profilen din i Innstillinger → Konto, og behandlingsinnstillinger der du satte dem. Det er for øyeblikket ikke implementert noen egen arbeidsflyt for retting utenfor Appen.
Slette dataene dine («retten til å bli glemt»). Avsnittet om sletting ovenfor forteller deg nøyaktig hva sletting rekker og hva den ikke rekker.
Begrense behandlingen i visse situasjoner.
Dataportabilitet: motta dataene du har gitt, i et strukturert, alminnelig brukt og maskinlesbart format der loven gir den rettigheten. CSV-blodsukkereksporten i Appen er maskinlesbar og ukryptert. .glumea-arkivet inneholder oppføringer, medisiner, profil, behandlingsmål og påminnelser, men det er kryptert med et passord bare du kjenner og kan bare importeres til den glumea-kontoen som opprettet det. Det finnes for øyeblikket ingen ytterligere skreddersydd eksport gjennom [email protected].
Protestere mot behandling som bygger på våre berettigede interesser.
Trekke tilbake samtykke når som helst. Tilbaketrekkingen påvirker ikke behandling som var lovlig før tilbaketrekkingen. For synkroniserte dagbokdata, slå Skysynkronisering av og bruk Slette serverdata, eller slett kontoen din. For analyse og diagnostikk, bruk de to bryterne i Innstillinger → Data og personvern → Personvern og diagnostikk. Det finnes ingen kontroll for å fjerne bare profilen eller bare behandlingsinnstillingene, og ingen slik arbeidsflyt er for øyeblikket tilgjengelig gjennom [email protected]. Å slette kontoen er den eneste implementerte måten å fjerne disse feltene fra produksjonsdatabasen vår.
Klage til en tilsynsmyndighet. Vår ledende tilsynsmyndighet er presidenten for det polske personvernmyndighetskontoret (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warszawa, Polen. Du kan også klage til personvernmyndigheten i den EU-medlemsstaten der du bor, der du arbeider, eller der du mener et brudd har funnet sted. Hvis du er i Storbritannia, kan du klage til Information Commissioner’s Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF.

Bruk kontrollene i Appen som er beskrevet i avsnitt 13, der de dekker den ønskede handlingen. For sletting av konto uten Appen, send e-post til [email protected]. Andre forespørsler om rettigheter kan også sendes dit; denne veien for sletting av konto gir ikke i seg selv et eget verktøy for innsyn, eksport eller retting.

Hvis en behandlingsansvarlig ikke følger opp en GDPR-forespørsel, krever artikkel 12 at den forklarer grunnen innen én måned og oppgir hvilke klage- og domstolsveier som er tilgjengelige. Disse veiene forblir tilgjengelige uansett om du kontakter den behandlingsansvarlige igjen.

Bekreftelse av identitet. Sletting i Appen bygger på den autentiserte økten din. For en e-postforespørsel bekrefter vi at du kontrollerer e-postadressen som er knyttet til kontoen. Hvis du ikke har tilgang til den, vurderer vi om det finnes en annen måte å bekrefte eierskap på før vi sletter kontoen. Vi ber ikke om passordet ditt eller helsepostene dine for å behandle forespørselen.

15. Hvordan vi beskytter dataene dine

Passord hashes med bcrypt, lagres aldri i klartekst og lagres aldri på enheten din.
Den lokale databasen på enheten din er kryptert, med en nøkkel som ligger i plattformens nøkkellager og som ikke migreres til en annen enhet.
Autentiseringstokener oppbevares i enhetens sikre lagring, iOS-nøkkelringen (Keychain) eller den Android Keystore-baserte lagringen.
Appen snakker med serverne våre over HTTPS, og begge plattformene blokkerer tilkoblinger i klartekst som standard, vi har ikke lagt til noe unntak fra det verken på iOS eller Android.
Databasen vår kjører inne i Google Cloud, kan bare nås over en privat Cloud SQL-socket, med legitimasjon oppbevart i Google Secret Manager.
Vi skriver ikke verdiene du logger, blodsukkerverdier og insulindoser, inn i applikasjonsloggene våre. En feillogglinje registrerer statuskoden, stien, tidspunktet og feilmeldingen, som for en avvist forespørsel nevner feltene som feilet valideringen. Den inneholder ikke forespørselskroppen.
Varsler viser som standard generisk tekst, slik at et varsel ikke legger helsedataene dine på låseskjermen din.
Tilgangen til produksjonsdatabasen er begrenset til de som driver tjenesten, noe som betyr at vi kan lese den. Det som beskytter den mot alle andre, er tilgangskontroll og kryptering under overføring og i hvile.

Ingen system er fullstendig sikkert. Tiltakene ovenfor er det vi gjør for å begrense hvor langt de sensitive delene av dataene dine eksponeres.

En hendelse som involverer personopplysninger kan utløse varsel til tilsynsmyndigheter eller berørte personer etter artikkel 33 og 34 i GDPR, FTCs regel om varsling ved brudd på helsedata (Health Breach Notification Rule) eller annen gjeldende lov. Hvert regelverk har sitt eget virkeområde og sin egen frist, og disse lovbestemte pliktene gjelder uavhengig av denne erklæringen.

16. Barn

glumea er ikke rettet mot barn. Du må være minst 16 år gammel for å bruke Appen. Det er et vilkår for tjenesten uansett hvor du befinner deg. Vi tilbyr ingen vei for foreldres godkjenning. Prosessen for sletting av konto i Appen og grensene i avsnitt 12 gjelder for enhver konto som er identifisert som tilhørende en person under 16. Bekymringer om en konto for en mindreårig kan sendes til [email protected].

17. Merknader til brukere i USA

Personvernlovgivningen i USA varierer fra delstat til delstat, og anvendelsen avhenger av bosted, lovbestemte terskler og typen data det gjelder. Kontrollene i Appen som er beskrevet i avsnitt 13, er tilgjengelige uavhengig av disse tersklene. Gjeldende lovbestemte rettigheter forblir i kraft selv der det nåværende produktet mangler en egen arbeidsflyt for forespørsler.

HIPAA: glumea er et produkt rettet direkte mot forbrukere. Vi leverer ikke helsetjenester, vi behandler ikke refusjonskrav, og vi har ingen avtale med en helseplan eller en helsetjenesteyter om å behandle data på deres vegne, så vi opptrer ikke i noen av rollene HIPAA regulerer, «covered entity» eller «business associate», og vi hevder ikke å følge HIPAA. Poster din egen kliniker har om deg, er dekket av HIPAA hos dem; det er adskilt fra kopien du har i glumea. De amerikanske reglene vi arbeider etter for glumea, er FTCs regel om varsling ved brudd på helsedata og delstatenes helsepersonvernlover nedenfor.
California (CCPA/CPRA): anvendelsen avhenger av de lovbestemte terskelverdiene for virksomheter. Dataene som er beskrevet her, kan omfatte sensitive personopplysninger. Vi selger ikke personopplysninger og deler dem ikke for atferdsbasert reklame på tvers av kontekster. Hvis CCPA gjelder, gjelder reglene om innsyn, retting, sletting, portabilitet, reservasjon og ikke-diskriminering uavhengig av denne erklæringen. Kontrollene i Appen og forespørsel om sletting av konto på e-post er fortsatt tilgjengelige uansett terskel.
Washington (My Health My Data Act): dataene du logger, er «forbrukerhelsedata». Washington krever en egen erklæring for dem; se Personvernerklæring for forbrukerhelsedata. Den beskriver kategoriene, kildene, formålene, mottakerne, de lovbestemte rettighetene og de nåværende operative begrensningene i prosessen for forespørsler og klager.
Nevada (lov om forbrukerhelsedata, SB 370 fra 2023): dataene du logger, er «forbrukerhelsedata» også etter Nevadas lov. Du har rett til å bekrefte om vi samler inn, deler eller selger dem, til å få en liste over tredjepartene de er delt med eller solgt til, til å få dem slettet og til å trekke tilbake samtykket ditt, som Nevada behandler som to separate samtykker, ett til innsamling og ett til deling. Nevadas lov håndheves av riksadvokaten (Attorney General). Vår Personvernmelding for forbrukerhelsedata i Nevada beskriver disse rettighetene, fristene som gjelder for dem, som er kortere enn Washingtons for en sletting, og de fire opplysningene Nevada ber om.
Forespørsler og klager. Gjeldende delstatslov kan kreve en skriftlig forklaring, en klagevei og opplysninger om hvordan man sender inn en klage til delstatens riksadvokat. Det er for øyeblikket ikke implementert noen egen arbeidsflyt for klager på e-post hos [email protected], så den nåværende prosessen gir ikke den veien der den kreves. Kravene i Washington er beskrevet i Personvernerklæring for forbrukerhelsedata.
Andre gjeldende rettigheter etter delstatslov begrenses ikke av denne erklæringen.

18. Nettstedet glumea.com

Nettstedet er et statisk nettsted som inneholder informasjon om glumea og disse juridiske dokumentene. Det er bevisst minimalt:

Ingen informasjonskapsler.
Ingen analyse, og ingen forespørsler til tredjepartsopphav. Alt siden trenger, skrifttyper og skript inkludert, leveres fra glumea.com selv, og nettstedets innholdssikkerhetspolicy blokkerer ethvert annet opphav helt. Selve siden leveres av vår vert, som nødvendigvis ser forespørselen; den siste punktlisten i dette avsnittet sier hvem det er og hva de logger. Nettstedet kjører en liten mengde eget JavaScript: to innebygde snutter som bruker temaet ditt og sender deg til riktig språk, pluss noen få medfølgende filer bak navigasjonsmenyen, tema- og språkvelgerne og animasjonen som viser frem blokker når du ruller. Ingenting av det sender noe noe sted.
Ingen sporing på tvers av nettsteder, og dermed ingenting som et signal om Do Not Track eller Global Privacy Control kan slå av. Nettstedet setter ingen informasjonskapsler for reklame eller analyse, gjør ingen tredjepartsforespørsler, og vi selger eller deler ikke personopplysninger.
Nettleserens localStorage brukes bare til funksjonelle innstillinger (valget ditt av tema og språk). Disse verdiene blir i nettleseren din og sendes ikke til oss. De settes bare fordi du valgte et tema eller et språk, og derfor trengs det ikke noe samtykkebanner for dem.
Nettstedet leveres av Firebase Hosting (Google). Som de fleste webverter kan leverandøren registrere vanlige serverlogger, IP-adresse, forespørselstidspunkt og nettlesertype, av hensyn til sikkerhet og for å drive tjenesten. Vi støtter oss på berettigede interesser (artikkel 6 nr. 1 bokstav f i GDPR) for dette, nærmere bestemt å holde nettstedet tilgjengelig og beskytte det mot misbruk, og loggene oppbevares bare så lenge det trengs til disse formålene.

19. Endringer i denne erklæringen

Den gjeldende versjonen er publisert her med ikrafttredelsesdatoen. Gjeldende lov avgjør om en endring krever forhåndsvarsel, fornyet samtykke eller en annen handling. At en oppdatert erklæring publiseres, gir ikke i seg selv tillatelse til et nytt formål som krever samtykke eller et annet rettslig grunnlag.

20. Språk

Denne erklæringen er publisert på engelsk. Den engelske versjonen er den juridisk bindende. Oversettelser til andre språk publiseres slik at du kan lese erklæringen på ditt eget språk. Der en oversettelse og den engelske teksten er forskjellige, er det den engelske teksten som gjelder.

Unntaket er loven selv. Der landet du bor i gir språket du ble henvendt til en egen status, slik forbrukervernloven i flere land gjør, gjelder den regelen i stedet for denne, og ingenting her tar fra deg en rettighet du har etter den.

En oversettelse publiseres når den er klar, så den kan henge etter den engelske teksten etter en oppdatering. Hvis du finner et sted der en oversettelse og den engelske teksten sier ulike ting, si fra til oss på [email protected].

21. Kontakt oss

Spørsmål, bekymringer eller forespørsler om dataene dine:

E-post: [email protected]
Post: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polen

Relaterte dokumenter: Brukervilkår, Medisinsk ansvarsfraskrivelse, og, for innbyggere i Washington, vår Personvernerklæring for forbrukerhelsedata, eller for innbyggere i Nevada vår Personvernmelding for forbrukerhelsedata i Nevada.