Privacybeleid voor consumentengezondheidsgegevens

Wat dit document beantwoordt

Dit is het beleid voor consumentengezondheidsgegevens dat de Washington My Health My Data Act vereist. Het is bewust beperkt, omdat die wet een op zichzelf staand document vraagt dat alleen bevat wat de wet vraagt.

• Wat telt hier als mijn gezondheidsgegevens? Secties 2 en 3.
• Waar komen ze vandaan, en wie ziet ze nog meer? Secties 4 en 5.
• Wat kan ik uitzetten? Sectie 7.
• Wat zijn mijn rechten, en hoeveel tijd hebben jullie? Secties 8.1 en 8.2.
• Wat bereikt verwijdering werkelijk? Sectie 9.
• Wat als jullie nee zeggen? Sectie 10.

Als je in Nevada bent, zijn je rechten en termijnen anders en staan ze in onze Privacymelding Nevada over consumentengezondheidsgegevens. Alles in secties 2 tot en met 5 en 9 hieronder geldt ook voor jou, en die melding verwijst daarvoor hiernaartoe.

Al het andere over je gegevens, rechtsgronden, beveiliging, kinderen, internationale doorgiften, de website, staat in het Privacybeleid, dat ook op jou van toepassing is.

1. Wie we zijn en waarop dit beleid van toepassing is

Dit document gaat alleen over consumentengezondheidsgegevens. De wet van Washington vereist dat het gescheiden blijft van ons algemene Privacybeleid, dus het is beperkter: het herhaalt de secties van het Privacybeleid over rechtsgronden, beveiliging, kinderen, internationale doorgiften of de website glumea.com niet. Lees daarvoor het Privacybeleid.

Wat het wel dekt, is de glumea-app: wat ze verzamelt, waar dat naartoe gaat en wat je kunt uitzetten of laten verwijderen. Paweł Milewski Software Development (de Aanbieder, “we”, “ons”, “onze”) levert glumea (de App) en glumea.com (de Website); dit beleid gaat over de App. Ons postadres en e-mailadres staan in sectie 13.

Twee andere documenten zijn naast dit beleid en het Privacybeleid van toepassing: de Servicevoorwaarden en de Medische disclaimer.

Het is op jou van toepassing als je inwoner van Washington bent, of als je consumentengezondheidsgegevens zijn verzameld terwijl je in Washington was (My Health My Data Act, RCW 19.373).

Nevada heeft een eigen melding. De wet van Nevada (NRS 603A.400 e.v.) geeft je andere rechten met andere termijnen en vraagt ons om vier mededelingen die Washington niet vraagt, dus die staan in de Privacymelding Nevada over consumentengezondheidsgegevens en niet hier. Secties 2 tot en met 5 en 9 van dit document beschrijven wat glumea met gezondheidsgegevens doet, en ze gelden waar je ook woont.

2. Wat we onder consumentengezondheidsgegevens verstaan

Volgens de Washington My Health My Data Act zijn consumentengezondheidsgegevens persoonsgegevens die aan jou zijn gekoppeld of redelijkerwijs aan jou te koppelen zijn en die je lichamelijke of geestelijke gezondheidstoestand in het verleden, het heden of de toekomst identificeren, uitdrukkelijk inclusief lichaamsfuncties, vitale functies, metingen, diagnoses, behandeling en medicatie.

Het meeste wat glumea vastlegt, valt binnen die definitie. Een bloedglucosewaarde, een insulinedosis en de naam van een medicijn zijn duidelijke voorbeelden.

Omdat glumea een diabetes-app is, is het feit dat je een account hebt zelf al gezondheidsonthullend. We behandelen daarom je accountidentificatie en het e-mailadres van je account voor de doeleinden van dit beleid als consumentengezondheidsgegevens, ook al zijn het geen gezondheidsmetingen. Om dezelfde reden behandelen we de pseudonieme apparaat-ID en de hieronder beschreven serververzoeklogs als consumentengezondheidsgegevens.

3. De categorieën die we verzamelen, en waarom

Categorie	Wat erin zit	Waarom we het verzamelen
Bloedglucosemetingen	Waarde, datum en tijd, contextlabels (inclusief labels die je zelf typt), notities in vrije tekst	Om je metingen, grafieken en statistieken voor Tijd in streefbereik te tonen, en om de herinneringen om opnieuw te meten in te plannen die in de Medische disclaimer worden beschreven
Eet- en koolhydraatregistraties	Koolhydraten, optioneel eiwitten, vetten en calorieën, en de naam die je typt	Zodat je kunt noteren en terugkijken wat je naast je metingen hebt gegeten
Doses insuline, tabletten en injecties	Eenheden, aantallen, tijden van doses en bij welk medicijn ze horen	Zodat je je behandeling kunt noteren en terugkijken
Je medicijncatalogi	Medicijnnamen (bijvoorbeeld een insulinemerk), type, sterkte, doseerinterval en farmacokinetische parameters	Zodat doses bij een echt medicijn kunnen worden genoteerd en de App ze correct kan tonen
Medicijnschema’s	Welk medicijn, het tijdstip van de dag, de dagen van de week en of de herinnering tijdens Stille uren mag afgaan	Om de medicijnherinneringen te bezorgen die je instelt
Herinneringen voor metingen en meldingsinstellingen	De tijden en weekdagen voor je herinneringen voor glucosemetingen, je venster voor Stille uren en of meldingen details tonen	Om de herinneringen te bezorgen waar je om hebt gevraagd, en om de instellingen te bewaren voor herinneringen die nog niet zijn gebouwd. Geplande herinneringen voor glucosemetingen worden vandaag niet bezorgd: je kunt de tijden instellen, en er komt niets. Medicijnherinneringen en de herinneringen om opnieuw te meten na een zeer lage of zeer hoge meting worden wel bezorgd. Je instellingen voor Stille uren en details in meldingen blijven op je apparaat
Lichaamsmetingen	Gewichtsgeschiedenis en lengte	Om gewicht in de tijd te tonen en je registraties in de door jou gekozen eenheden weer te geven
Diabetes- en behandelprofiel	De bijnaam die je kiest, je leeftijd, je geslacht als je dat opgeeft, diabetestype, wijze van insulinetoediening, en of je behandelt met tabletten, injecties of dieet	Om de App in te stellen op de manier waarop je je diabetes daadwerkelijk beheert
Therapie-instellingen	Je streefbereik voor glucose, insulinegevoeligheidsfactor (ISF) en insuline-koolhydraatratio (ICR)	Om je streefbereik op grafieken te tonen en je cijfers op één plek te houden. Je streefbereik wordt in het PDF-glucoserapport geschreven als je er een maakt, en je insuline-koolhydraatratio ook wanneer het venster van het rapport een insulinedosis bevat. De CSV-export bevat geen van beide, en de insulinegevoeligheidsfactor staat noch in de CSV noch in de PDF; ze staat in het versleutelde .glumea-archief, dat je hele account omvat. De App gebruikt ze nooit om een dosis te berekenen of aan te bevelen. De insulinegevoeligheidsfactor wordt wel voor één ander ding gebruikt: de hypotekst naast de actieve insuline, zoals de Medische disclaimer beschrijft
Gegevens geïmporteerd uit Apple Health of Health Connect	Bloedglucose-, gewichts- en koolhydraatrecords	Alleen als je het koppelt: om je te besparen metingen opnieuw te typen die je andere apparaten al hebben vastgelegd. Geïmporteerde records worden gewone registraties en volgen hetzelfde pad als alles wat je typt, ook naar onze servers wanneer cloudsynchronisatie aan staat
Waarden die de App op je apparaat afleidt	Geschatte actieve insuline, en de hypotekst en het bij benadering dalingsbereik ernaast; gemiddelde glucose en de spreiding ervan; Tijd in streefbereik; geschatte HbA1c (GMI); het voorgestelde tijdstip voor je volgende meting; en het label Goed / Redelijk / Kritiek bij je laatste meting	Om je een samenvatting te tonen van wat je hebt genoteerd. Deze worden op je apparaat berekend, en de Medische disclaimer zet uiteen wat elk ervan is en wat niet
Accountidentificatie en e-mailadres	De UUID van je account en je e-mailadres voor het inloggen	Om je een account te geven en je registraties ermee te synchroniseren
Abonnementsstatus	Je accountidentificatie en of glumea+ actief is, zoals gemeld door Apple of Google via RevenueCat	Om te ontgrendelen waarvoor je hebt betaald. Het bevat geen metingen, medicijnen of registraties
Gebeurtenissen voor productanalyse	Dat een registratie van een bepaald soort is opgeslagen (glucose, eten, medicijn of gewicht; insuline, tabletten en injecties tellen allemaal als medicijn), of je haar hebt opgeslagen vanuit het formulier of vanuit de actieknop van een herinnering, hoeveel rijen die opslag heeft geschreven, en of je haar binnen ongeveer vijftien minuten na het moment hebt genoteerd, later dezelfde dag, of met terugwerkende kracht; dat je het registratieformulier hebt geopend, en op welk soort; dat de App is gestart, en apart dat ze voor het eerst na de installatie is gestart; dat je het aanmelden of inloggen hebt voltooid, en dat een gemailde code is geverifieerd of geweigerd, met bij welke flow die hoorde; welke onboardingstappen je hebt voltooid, inclusief die over diabetestype en behandeling maar niet de stap die alleen insulinegebruikers zien, en dat je je profiel hebt afgerond; welke schermen je hebt geopend, als vaste routenamen, waarbij een scherm dat maar één soort behandeling bereikt als het scherm erboven wordt gerapporteerd; dat je op een herinnering hebt getikt, en de algemene categorie ervan, nooit een glucosewaarschuwing; dat je om meldingsmachtiging is gevraagd, en of je die hebt toegestaan; of je Apple Health of Health Connect hebt gekoppeld, of het besturingssysteem de machtiging heeft verleend of geweigerd, dat je om een import hebt gevraagd, en dat een import is uitgevoerd met wat hem in gang zette, nooit hoeveel records hij las; dat je een export hebt gemaakt, in welk formaat, en of je hem hebt gedeeld; dat je analyse hebt uitgezet; abonnements- en aankoopgebeurtenissen; en je taal, thema, eenheidsvoorkeuren en abonnementsstatus. Nooit een waarde, een naam, een notitie of iets anders wat je hebt getypt. Gebeurtenissen na het inloggen gebruiken de accountidentificatie; gebeurtenissen van vóór het inloggen gebruiken een pseudonieme apparaat-ID	Om te begrijpen welke delen van de App worden gebruikt. Ze zeggen niet welk medicijn je gebruikt, welke behandeling je volgt of of een glucosewaarschuwing is afgegaan, maar ze zijn gekoppeld aan je gebruik van een diabetes-app. Alleen verzameld nadat je met analyse hebt ingestemd
Technische informatie en apparaatinformatie	De pseudonieme apparaat-ID die voor analyse vóór het inloggen wordt gebruikt; apparaatmodel, besturingssysteem, appversie, release, build en vergelijkbare waarden die door de SDK’s van PostHog, Sentry en RevenueCat worden toegevoegd; en het netwerkadres dat hun servers zien	De SDK’s verzamelen deze waarden, en alleen nadat je met analyse of diagnostiek hebt ingestemd. Geen van deze velden is een meting, medicijn of waarde die je hebt getypt
Serververzoeklogs	Het adres, het pad en het tijdstip van de verzoeken die je apparaat naar onze servers doet, en, wanneer een verzoek mislukt, de status, het pad, het tijdstip en de foutmelding	Om de backend te laten draaien en storingen te onderzoeken. Ze bevatten geen registraties, medicijnen of metingen, en niets wat je hebt getypt. Ze staan hier omdat een verzoek aan de backend van glumea is gekoppeld aan je gebruik van een diabetes-app

We gebruiken consumentengezondheidsgegevens voor die doeleinden en voor geen andere. We gebruiken ze niet voor reclame, advertentietargeting, profilering, krediet- of verzekeringsbeslissingen of onderzoek, en we gebruiken ze niet om geautomatiseerde beslissingen over je te nemen.

Een deel van het bovenstaande verlaat je apparaat helemaal nooit: je tijden voor meetherinneringen, je Stille uren, je instelling voor details in meldingen en je instellingen voor de gezondheidskoppeling worden alleen lokaal opgeslagen en niet naar onze servers gestuurd. Je medicijnschema’s zijn de uitzondering: ze horen bij het dagboek, dus ze worden naar onze servers gekopieerd wanneer Cloudsynchronisatie aan staat, omdat een medicijnherinnering een nieuwe telefoon moet overleven.

4. Waar het vandaan komt

Er zijn zes bronnen:

• Jij, wanneer je registraties in de App typt of je profiel, medicijnen en herinneringen instelt.
• Het gezondheidsplatform van je apparaat: Apple Health of Health Connect, wanneer je het koppelt en de machtiging van het besturingssysteem verleent. Dit is alleen-lezen: glumea schrijft nooit iets terug in Apple Health of Health Connect, en op iOS heeft het geen machtiging waarmee dat zou kunnen.
• De App zelf, wanneer ze op je apparaat waarden afleidt uit wat je hebt ingevoerd.
• Apple, Google en RevenueCat, die ons laten weten of je glumea+-abonnement actief is. Dat is een betalingsfeit dat aan je accountidentificatie is gekoppeld; het bevat geen metingen, medicijnen of registraties. Het bereikt ons zowel in de App als als bericht van server naar server van RevenueCat naar onze backend.
• De SDK’s van PostHog, Sentry en RevenueCat in de App, die de in sectie 3 genoemde apparaat- en netwerkwaarden zelf verzamelen. Wij stellen ze niet in.
• Ons hostingplatform en onze backend, die de in sectie 3 beschreven serververzoeklogs vastleggen.

Apple Health en Health Connect tellen als bron. De metingen die ze bevatten, zijn door iets anders vastgelegd, en importeren brengt ze in glumea als gewone registraties, ook naar onze servers wanneer cloudsynchronisatie aan staat.

We kopen geen consumentengezondheidsgegevens. Afgezien van het gezondheidsplatform dat je koppelt en dat abonnementssignaal ontvangen we ze van niemand, niet van gegevenshandelaren, advertentienetwerken, zorgaanbieders of verzekeraars.

5. Wie ze nog meer verwerkt, en wat die krijgen

Niets in deze sectie is een verkoop. De tabel noemt de bedrijven die delen van glumea laten werken en de gegevens die elke dienst kan ontvangen. Apple en Google zijn volledigheidshalve opgenomen: zij beheren de winkels, bewaren hun eigen aankooprecords en handelen onafhankelijk voor die winkelgegevens. Een SDK van een aanbieder in de App kan ook apparaat- en netwerkinformatie verzamelen die wij niet configureren en niet ontvangen. De SDK van RevenueCat doet dat, en RevenueCat beschrijft die verwerking in zijn eigen privacyverklaring.

Wie	Wat ze ontvangen	Waarom	Contact
Google Cloud (Google), Cloud Run en Cloud SQL, regio europe-west1	Het e-mailadres van je account, je profiel en je therapie-instellingen, die op onze servers staan of je cloudsynchronisatie nu gebruikt of niet; en, wanneer Cloudsynchronisatie aan staat, ook je dagboek: registraties, medicijncatalogi en medicijnschema’s	Ze hosten onze backend en database. Hier staat de serverkopie van je gegevens. Google Cloud Logging bewaart ook onze serververzoeklogs, beschreven in sectie 3	support.google.com/policies/contact/general_privacy_form
Zoho ZeptoMail	Als e-mailbezorging in productie is ingeschakeld: het bestemmingsadres en het bericht voor verificatie, wachtwoordreset of wijziging van het e-mailadres. Geen registraties, medicijnen of metingen	Om e-mails over het account te bezorgen wanneer die functie is ingeschakeld	[email protected]
PostHog (EU Cloud)	Terwijl analyse is ingeschakeld: de hierboven genoemde gebeurtenissen, de accountidentificatie na het inloggen of een pseudonieme apparaat-ID vóór het inloggen, geselecteerde voorkeurskenmerken, door de SDK toegevoegde technische eigenschappen en het netwerkadres: PostHog ontvangt het bij elk verzoek en leidt er een bij benadering locatie uit af; we hebben de optie van PostHog om het weg te gooien niet ingeschakeld, dus het wordt samen met de gebeurtenis opgeslagen	Productanalyse	[email protected]
Sentry (diagnostiek, regio Europese Unie)	Terwijl diagnostiek is ingeschakeld: gefilterde crash- en foutrapporten, door de SDK toegevoegde apparaat- en appgegevens, het netwerkadres (de App is zo geconfigureerd dat ze het niet verstuurt, dus er wordt geen IP-adres aan het rapport gekoppeld, maar de servers van Sentry zien noodzakelijkerwijs het adres waarvan het rapport binnenkomt) en signalen over releasegezondheid van het platform die het filter van de App kunnen omzeilen	Om crashes te vinden en te herstellen	[email protected]
RevenueCat	Je accountidentificatie en je aankoop- en abonnementsstatus voor glumea+. Onze code koppelt er niets anders aan: wij stellen geen e-mailadres, geen naam, geen apparaat-ID en geen eigen abonneekenmerk in. RevenueCat kan eigen abonneekenmerken over jou bewaren, en waar dat zo is, reizen die terug naar ons binnen de berichten die het naar onze backend stuurt, die wij opslaan zoals ze binnenkomen; sectie 9 zegt wat daarmee gebeurt. Hun eigen SDK verzamelt zelf wat apparaat- en netwerkinformatie die onze code niet instelt en niet onderdrukt: het netwerkadres, waaruit het een bij benadering locatie afleidt, het apparaattype, het besturingssysteem en de appversie, en de aankoopgeschiedenis in de winkel die het leest; onze code schakelt het verzamelen van apparaat-ID’s niet in, dus er wordt geen advertentie-ID gekoppeld. Geen registraties, geen medicijnen, geen metingen	Om de App te laten weten of je abonnement actief is	[email protected]
Apple en Google, die de winkels beheren waarin glumea+ wordt verkocht	Aankoop- en abonnementsrecords. Geen registraties, geen medicijnen, geen metingen	Ze innen de betaling en hebben de factureringsrelatie met jou; wie de verkoper is, hangt af van de winkel en je gebied, zoals de Servicevoorwaarden uitleggen. Wij zien je kaartgegevens nooit	apple.com/legal/privacy/contact · support.google.com/policies/contact/general_privacy_form

Geen gelieerde onderneming van Paweł Milewski Software Development ontvangt consumentengezondheidsgegevens, en we maken ze niet bekend aan adverteerders, gegevenshandelaren, verzekeraars of werkgevers. Een bindend wettelijk bevel kan bekendmaking vereisen. Elke kennisgeving over zo’n bekendmaking wordt beheerst door het toepasselijke recht.

De tabel zegt waarom elke dienst wordt gebruikt en wat ze kan ontvangen. De App heeft geen aparte schakelaar per aanbieder voor het delen; de beschikbare bedieningen worden in sectie 7 beschreven. De voorwaarden en privacyverklaringen van aanbieders beheersen ook gegevens die een SDK onafhankelijk verzamelt van velden die door onze code zijn geconfigureerd.

Twee punten over wat analyse en diagnostiek wel en niet kunnen bevatten:

• Analyse kan via het gebeurtenisschema van de App geen meting, notitie, medicijnnaam, door de gebruiker ingevoerd label of e-mailadres ontvangen. De App gebruikt vaste toegestane lijsten voor gebeurtenissen en eigenschappen. Medicijnregistraties van elk soort worden als één soort gerapporteerd, en tikken op glucosewaarschuwingen worden niet vastgelegd, dus de gebeurtenissen onthullen je behandeling of je metingen niet. Analyse verzamelt niets totdat je ermee instemt.
• Diagnostische rapporten worden vóór verzending opnieuw opgebouwd uit een toegestane lijst, en het rapport bevat geen gebruiker, geen accountidentificatie en geen berichttekst. Twee beperkingen: het label dat de mislukte handeling noemt, kan onthullen over welke categorie gegevens een handeling ging (bijvoorbeeld een glucose-import), nooit een waarde; en native crash-, app-reageert-niet- en watchdoggebeurtenissen worden geproduceerd door de crashhandler van het besturingssysteem en kunnen Sentry bereiken zonder door dat filter te gaan.

5.1 Kopieën die je zelf maakt

De PDF- en CSV-glucoserapporten, en het versleutelde .glumea-archief, gaan waarheen je ze stuurt. Zodra je een bestand aan een andere app, een e-mail of een persoon geeft, valt het buiten onze controle. Het .glumea-archief is versleuteld met een wachtwoord dat alleen jij kent; wij kunnen het niet openen, en ook niemand anders aan wie je het wachtwoord niet geeft.

5.2 Back-ups van apparaten

De lokale database van de App is op je apparaat versleuteld met een sleutel in de sleutelopslag van het platform die dat apparaat nooit verlaat. Op Android zijn back-up en overdracht van apparaat naar apparaat voor glumea helemaal uitgezet. Op iOS kan een kopie van het databasebestand nog steeds in je iCloud-back-up zitten, maar die kan zonder de sleutel niet worden gelezen. Apple en Google ontvangen via dit pad dus geen leesbare consumentengezondheidsgegevens, en overstappen op een nieuwe telefoon moet via cloudsynchronisatie of een .glumea-archief gaan.

6. We verkopen geen consumentengezondheidsgegevens

We verkopen geen consumentengezondheidsgegevens en hebben dat ook nooit gedaan. De wet van Washington vereist een aparte, ondertekende “valid authorization” (geldige machtiging) van jou vóór elke verkoop; we hebben die niet en hebben je er ook niet om gevraagd. Een verkoop zou alleen kunnen plaatsvinden via een machtiging die je zelf kiest te geven, die precies moet zeggen wat wordt verkocht en aan wie, en die je kunt intrekken.

glumea bevat geen advertentie-SDK, geen advertentie-ID, geen SDK voor attributie of meting en geen locatie-SDK. glumea vraagt nooit om locatiemachtiging en verzamelt geen nauwkeurige locatiegegevens: geen van beide platformbuilds declareert een locatiemachtiging, dus de App kan de locatie van je apparaat helemaal niet uitlezen. Het enige wat enig geografisch signaal draagt, is het netwerkadres waarvanaf je apparaat verbinding maakt, dat onze servers en de aanbieders in sectie 5 zien zoals elke webdienst, en waaruit een bij benadering regio kan worden afgeleid. We gebruiken het niet om je te lokaliseren en we leiden er geen locatie uit af of slaan die niet op. We verwerken geen consumentengezondheidsgegevens voor reclame, we delen ze niet voor gedragsgerichte reclame over contexten heen, en we hanteren geen geofence rond een zorginstelling en kunnen dat ook niet.

7. Waarom we ze verzamelen, en wat jij kunt uitzetten

De meeste gezondheidsregistraties worden bewust door typen of importeren aangeleverd. Analyse en diagnostiek zijn ook optioneel: beide staan uit totdat je er aan het einde van de onboarding mee instemt of ze aanzet in de Instellingen, en geen van beide SDK’s wordt eerder gestart.

Cloudsynchronisatie: of je registraties überhaupt naar onze servers worden gekopieerd, is een glumea+-functie, en ze staat uit totdat je haar aanzet. Aanzetten gaat in twee stappen. Zonder een actief glumea+-abonnement toont de App je het abonnementsscherm in plaats van iets aan te zetten. Met een abonnement vraagt ze je daarna in een aparte stap te bevestigen dat je ermee akkoord gaat dat je gezondheidsgegevens op onze servers worden opgeslagen. Die bevestiging is je toestemming, ze wordt elke keer gevraagd dat de schakelaar aangaat en niet alleen de eerste keer, en de schakelaar weer uitzetten trekt haar in. Je vindt haar in het scherm Cloudsynchronisatie, dat opent met de cloudknop bovenaan het scherm Overzicht of Geschiedenis; de schakelaar erin heet Synchronisatie. Als ze uit staat, blijven nieuwe registraties op je apparaat. Registraties die al op onze servers staan, blijven daar totdat je ze verwijdert, en synchronisatie weer aanzetten uploadt de registraties die op je apparaat zijn bewaard opnieuw.

Je antwoord op deze schakelaar wordt op onze servers bij je account bewaard en niet op de telefoon. Het overleeft uitloggen en gaat met je mee naar een nieuw apparaat, en uitzetten wordt op dezelfde manier vastgelegd: als je haar uitzet terwijl je offline bent, bewaart de App dat antwoord en levert het bij de eerstvolgende gelegenheid af in plaats van het te laten vallen. Als glumea+ eindigt, worden nieuwe registraties niet meer naar onze servers gekopieerd, terwijl bewerkingen en verwijderingen van registraties die er al staan nog steeds worden gesynchroniseerd, en staat in het scherm Bewerkingen en verwijderingen worden nog steeds gesynchroniseerd · Nieuwe registraties blijven op dit apparaat: er wordt niets verwijderd, je opgeslagen antwoord blijft zoals het was, en opnieuw abonneren hervat de volledige back-up op dat antwoord zonder het je een tweede keer te vragen. De schakelaar uitzetten en de link Servergegevens verwijderen ernaast blijven beschikbaar, of er nu een abonnement actief is of niet.

Drie dingen kun je in de App op elk moment zelf uitzetten:

• Apple Health / Health Connect: uit totdat je het koppelt, en elk van de drie gegevenstypen kan afzonderlijk worden uitgezet. Instellingen → Integraties → Apple Health (op iPhone) of Health Connect (op Android).
• Gebruiksanalyse: Instellingen → Gegevens en privacy → Privacy en diagnostiek. Uit totdat je ermee instemt. Uitzetten wijzigt de opgeslagen voorkeur, maar gebeurtenissen die al in de wachtrij staan, kunnen nog steeds volgens het schema van de SDK worden afgeleverd.
• Foutrapportage: de aparte schakelaar op hetzelfde scherm. Ook uit totdat je ermee instemt. Uitloggen wist beide antwoorden, maar een SDK die al draait, blijft draaien totdat de App wordt gesloten.

De bediening Servergegevens verwijderen in de App vereist een actieve sessie. Als de sessie is verlopen, staat in het scherm Cloudsynchronisatie Gepauzeerd en vereist de bediening inloggen voordat ze kan worden uitgevoerd. Dwingende regels verbieden het bestraffen van een geldige intrekking van toestemming.

Je diabetes- en behandelprofiel en je therapie-instellingen vallen niet onder de bovenstaande schakelaars. Het account verwijderen is de enige geïmplementeerde manier om ze uit onze productiedatabase te verwijderen. Er is momenteel geen proces beschikbaar via [email protected] om alleen het profiel te verwijderen.

8. Je rechten

Sectie 8.1 zet de rechten uiteen die Washington je geeft, en sectie 8.2 is hoe je ze uitoefent. Als je in Nevada bent, staan je rechten en termijnen in plaats daarvan in de Privacymelding Nevada over consumentengezondheidsgegevens.

8.1 Als je in Washington bent

Op grond van de My Health My Data Act heb je het recht om:

• Te bevestigen of we je consumentengezondheidsgegevens verzamelen, delen of verkopen, en er inzage in te krijgen, inclusief de derden en gelieerde ondernemingen met wie ze zijn gedeeld en een manier om contact met hen op te nemen. De momenteel gepubliceerde lijst van ontvangers en contactgegevens is de tabel in sectie 5.
• Je toestemming in te trekken voor het verzamelen en het delen van je consumentengezondheidsgegevens (sectie 7).
• Je consumentengezondheidsgegevens te verwijderen.

De wet van Washington vereist een antwoord binnen 45 dagen na ontvangst van een verzoek. Ze staat één extra periode van 45 dagen toe waar dat redelijkerwijs nodig is, met kennisgeving en een reden tijdens de eerste periode. Ze stelt ook de regels vast over kosten en over kennelijk ongegronde, buitensporige of herhaalde verzoeken. Die wettelijke vereisten gelden los van dit beleid.

8.2 Hoe je deze rechten uitoefent

• In de App: Account verwijderen (Instellingen → Account) verwijdert je account en alles wat ermee is gesynchroniseerd definitief van onze servers en wist de lokale database van je apparaat. De link Servergegevens verwijderen (in het scherm Cloudsynchronisatie; ze werkt zodra synchronisatie is uitgezet) verwijdert de serverkopie van je registraties, je medicijncatalogi en je medicijnschema’s, en laat je account en de kopie op je apparaat intact. Verder dan dat reikt ze niet: je diabetes- en behandelprofiel en je therapie-instellingen blijven op onze servers staan totdat je je account verwijdert.
• Per e-mail: vraag accountverwijdering aan via [email protected], ook als je de App niet meer hebt. We verifiëren het eigendom voordat we het account verwijderen. Je glumea-account verwijderen beschrijft beide routes. Een apart eigen proces voor inzage of beroep buiten de App is nog niet geïmplementeerd, dus deze route per e-mail voldoet op zichzelf niet aan elk verzoekrecht in Washington.

Wanneer je in de App verwijdert, vindt de verwijdering uit de tabellen van het productieaccount plaats zodra je haar bevestigt. Sectie 9 zegt waar die verwijdering naartoe reikt en wat haar overleeft.

9. Wat verwijdering werkelijk bereikt

De onderstaande tabel zet uiteen hoe een verwijdering in elk systeem en bij elke dienstverlener wordt toegepast.

Bestemming	Wat er gebeurt
Je apparaat	Een registratie verwijderen haalt haar van dit apparaat, en alleen van dit apparaat. De serverkopie blijft staan, dus de registratie kan terugkomen bij een herinstallatie, op een nieuwe telefoon, of nadat je bent uitgelogd en weer inlogt. Alleen Servergegevens verwijderen of het verwijderen van je account wist de server. Metingen die uit Apple Health of Health Connect zijn geïmporteerd, kunnen in de App niet één voor één worden verwijderd. Accountverwijdering in de App en uitloggen wissen de lokale database op dat apparaat; een verzoek per e-mail kan haar niet op afstand wissen. De database is versleuteld met een aan het apparaat gebonden sleutel, dus elke kopie ervan die dit apparaat verlaat, is onleesbaar
Onze productiedatabase (Google Cloud, europe-west1)	Wanneer je je account verwijdert, worden de accountrij en alles wat eraan hangt onmiddellijk definitief verwijderd, zonder herstel. Een enkele registratie is anders: als een verwijdering van één registratie ooit onze servers bereikt, wordt de rij bewaard als grafsteen die nog haar waarde, labels en notities bevat, zodat de verwijdering naar je andere apparaten kan reizen
Onze serverback-ups	Kopieën van reeds verwijderde rijen blijven bestaan totdat de back-ups verlopen, hoogstens 7 dagen, en niet meer dan zes maanden na authenticatie waar de wettelijke grens van Washington van toepassing is. Afzonderlijke records worden niet binnen een back-up bewerkt. Een noodherstel kan verwijderde rijen tijdelijk terugbrengen omdat geen taak eerdere verwijderingen opnieuw afspeelt
Onze serverlogs	Ons hostingplatform legt het adres, het pad en het tijdstip vast van de verzoeken die je apparaat aan ons doet, en onze backend schrijft een eigen regel wanneer een verzoek mislukt: de status, het pad, het tijdstip en de foutmelding. Geen van beide bevat registraties, medicijnen of metingen. Bewaartermijn: 30 dagen
Zoho ZeptoMail	Als e-mailbezorging is ingeschakeld, kan het bezorgrecords voor verificatie- en resetberichten bewaren. Bewaartermijn: tot 60 dagen aan bezorglogs, de standaardbewaartermijn van ZeptoMail. De huidige verwijderflow stuurt geen verwijderverzoek naar de aanbieder
PostHog (analyse)	Accountverwijdering zet een verzoek in de wachtrij om het aan het account gekoppelde profiel en de bijbehorende gebeurtenissen en opnamen te wissen. We proberen het onmiddellijk en proberen een mislukt verzoek opnieuw. PostHog kan een geaccepteerde bulkverwijdering asynchroon afronden. Gebeurtenissen van vóór het inloggen gebruiken een aparte apparaat-ID
Sentry (diagnostiek)	De App koppelt geen accountidentificatie, e-mailadres of gebruikersrecord aan een diagnostisch rapport. Native rapporten kunnen het filter van de App omzeilen, en er bestaat geen ondersteunde identificatie om de rapporten van een individuele gebruiker te vinden en te verwijderen
RevenueCat	Bewaart een abonneerecord onder de accountidentificatie maar geen registraties, medicijnen of metingen. Accountverwijdering zet een verzoek in de wachtrij om dat record te wissen. We proberen het onmiddellijk en proberen een mislukt verzoek opnieuw
Ons gebeurtenissenlogboek voor abonnementen	Onze backend slaat elk abonnementsbericht op dat RevenueCat stuurt, inclusief de accountidentificatie en alle abonneekenmerken in dat bericht. De rijen zijn niet aan het accountrecord gekoppeld, dus de verwijderservice verwijdert ze apart wanneer ze het account verwijdert. Anders verwijdert een geplande taak elke rij 90 dagen na aankomst
Abonnementsrecords van Apple / Google	Bewaard door hen volgens hun eigen beleid, buiten onze controle
Kopieën die je zelf hebt geëxporteerd	Buiten ons bereik, zie “Kopieën die je zelf maakt” hierboven

Beide routes voor accountverwijdering gebruiken dezelfde service aan de serverkant. Ze verwijdert het account en het gebeurtenissenlogboek voor abonnementen uit onze productiedatabase en zet verzoeken aan RevenueCat en PostHog in de wachtrij. Ze identificeert de Sentry-rapporten van een individuele gebruiker niet en wist de bezorglogs van Zoho ZeptoMail niet. De wet van Washington vereist ook een beroepsproces voor geweigerde verzoeken; dat aparte proces is nog niet geïmplementeerd.

10. Als we nee zeggen

De wet van Washington vereist een schriftelijke toelichting en een beroepsproces wanneer een verzoek wordt geweigerd. Ze vereist ook een schriftelijke beslissing op het beroep binnen 45 dagen en, na een afgewezen beroep, een manier om contact op te nemen met de procureur-generaal van Washington.

Er is momenteel geen apart beroepsproces geïmplementeerd bij [email protected], dus het huidige proces biedt de beroepsroute die Washington vereist niet. Niets in dit beleid beperkt een klacht bij het Washington State Office of the Attorney General of een ander recht op grond van de wet van Washington.

11. Wijzigingen in dit beleid

De huidige versie beschrijft de categorieën en doeleinden die nu worden gebruikt. De wet van Washington kan een bijgewerkt beleid, kennisgeving vooraf of toestemming vereisen voordat een nieuwe categorie of een nieuw doel wordt ingevoerd. Het publiceren van een bijgewerkt beleid vervangt de toestemming niet wanneer toestemming vereist is.

12. Taal

Dit beleid is in het Engels gepubliceerd. De Engelse versie is de juridisch bindende. Vertalingen in andere talen worden gepubliceerd zodat je het beleid in je eigen taal kunt lezen. Waar een vertaling en de Engelse tekst van elkaar verschillen, is de Engelse tekst bepalend.

De uitzondering is de wet zelf. Waar het land waar je woont de taal waarin je bent aangesproken een eigen status geeft, zoals het consumentenrecht van verschillende landen doet, geldt die regel in plaats van deze, en niets hier neemt een recht van je af dat je daaronder hebt.

Een vertaling wordt gepubliceerd wanneer ze klaar is, dus ze kan na een update achterlopen op de Engelse tekst. Als je een plek vindt waar een vertaling en de Engelse tekst iets anders zeggen, laat het ons weten via [email protected].

13. Contact

• E-mail: [email protected]
• Post: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polen

Gerelateerde documenten: Privacymelding Nevada over consumentengezondheidsgegevens, Privacybeleid, Servicevoorwaarden en Medische disclaimer.