Privacybeleid

1. Wie we zijn en waarop dit beleid van toepassing is

Paweł Milewski Software Development (de Aanbieder, “we”, “ons”, “onze”) levert glumea (de App), een mobiele applicatie voor diabeteszelfzorg, en glumea.com (de Website). Dit beleid legt uit welke gegevens we verzamelen, waarom, waar ze worden opgeslagen, wie er toegang toe heeft, hoe lang ze worden bewaard, wat verwijdering wegneemt, en welke rechten en controle je hebt.

Het is ook de kennisgeving die we je verschuldigd zijn op grond van de Europese regels voor gegevensbescherming: de informatie die vereist is door de artikelen 13 en 14 van de Algemene verordening gegevensbescherming (Verordening (EU) 2016/679), die we hierna de AVG noemen, voor zowel de gegevens die je ons zelf geeft als de gegevens die ons uit een andere bron bereiken.

Dit beleid geldt voor:

• De App: de mobiele glumea-app voor iOS en Android.
• De Website: de website glumea.com, inclusief de pagina’s waarop deze juridische documenten staan.

De Website verzamelt bijna niets, en heeft hieronder een eigen sectie.

De Aanbieder is de verwerkingsverantwoordelijke voor je persoonsgegevens:

• Verwerkingsverantwoordelijke: Paweł Milewski Software Development
• Bedrijfsregistratienummer: NIP PL6751782526 (eenmanszaak ingeschreven in de CEIDG, het Poolse Centrale register en informatiepunt voor ondernemingen)
• Postadres: ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polen
• E-mail: [email protected]
• Land van vestiging: Polen

Indien van toepassing:

• Vertegenwoordiger in de EU: niet van toepassing (we zijn gevestigd in de Europese Unie)
• Vertegenwoordiger in het VK: niet aangewezen
• Functionaris voor gegevensbescherming: niet aangewezen; vragen over gegevensbescherming gaan naar [email protected]

“Verwerkingsverantwoordelijke” betekent de partij die bepaalt hoe en waarom je persoonsgegevens worden verwerkt, zoals gedefinieerd in de AVG.

Twee andere documenten zijn naast dit beleid van toepassing en je moet ze samen met dit beleid lezen:

• onze Servicevoorwaarden, die je gebruik van de App en de Website regelen, en
• onze Medische disclaimer, die de medische grenzen uiteenzet van wat de App doet.

Als je inwoner van Washington bent, is er een vierde document dat specifiek voor jou geldt: ons Privacybeleid voor consumentengezondheidsgegevens, dat we volgens de wet van Washington apart moeten publiceren. Als je in Nevada bent, is het equivalent onze Privacymelding Nevada over consumentengezondheidsgegevens.

2. Samenvatting

Een korte versie van wat volgt. Elk punt noemt de sectie die het volledig beschrijft, en die sectie is bepalend.

• Wie we zijn. Paweł Milewski Software Development bepaalt hoe en waarom je gegevens worden verwerkt. Secties 1 en 21.
• Wat we verzamelen. Je e-mailadres en wachtwoord; het profiel dat je bij de onboarding invoert; het dagboek dat je bijhoudt: glucose, eten, insuline, andere medicijnen, gewicht, medicijnen en herinneringen; inlogtokens en records van serververbindingen. Records uit Apple Health of Health Connect als je die koppelt, en abonnementsinformatie als je je abonneert. Sectie 3.
• Gezondheidsgegevens. Het dagboek, het diabetestype, de behandelwijze en de therapie-instellingen zijn gegevens van bijzondere categorieën op grond van artikel 9 AVG. Voor cloudsynchronisatie is er een aparte bevestiging voor het dagboek. De huidige onboarding vraagt geen aparte uitdrukkelijke toestemming voordat het gezondheidsprofiel en de therapie-instellingen worden opgeslagen. Secties 3.3 en 4.
• Waar het staat. Een deel van je gegevens staat vanaf het moment dat je een account aanmaakt op onze servers: je accountgegevens, je profiel inclusief je diabetestype en behandeling, en je therapie-instellingen. Je dagboek niet: dat wordt eerst weggeschreven in een versleutelde database op je telefoon, de App werkt offline, en het bereikt onze servers alleen als je Cloudsynchronisatie aanzet, een glumea+-functie die uit staat totdat je haar aanzet, en een keuze die bij je account wordt bewaard en niet op de telefoon. Sectie 10 bevat de volledige tabel.
• Wie het ontvangt. Onze hostingaanbieder in de EU; een e-mailaanbieder als e-mailbezorging is ingeschakeld; PostHog en Sentry, elk pas nadat je ermee hebt ingestemd; de winkel als je je abonneert; en RevenueCat, of je je nu abonneert of niet. We verkopen je gegevens niet, en de App bevat geen reclame. Secties 5, 7, 8 en 9.
• Je keuzes. Analyse en foutrapportage staan uit totdat je met elk ervan instemt, en elk heeft een eigen schakelaar; uitloggen stopt geen SDK die in die sessie al draait. In de App kun je synchronisatie uitzetten, de serverkopie van je dagboek verwijderen, je account verwijderen en de geïmplementeerde exports gebruiken. Secties 5 en 13.
• Je rechten. Inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar, intrekking van toestemming en een klacht bij een toezichthoudende autoriteit voor gegevensbescherming; in de Verenigde Staten de rechten die de wet van je staat je geeft. Je kunt je account verwijderen in de App of accountverwijdering aanvragen door te mailen naar [email protected] zonder de App. Secties 13, 14 en 17.
• Wat verwijdering mist. Het verwijderen van je account haalt de records uit de productiedatabase weg en vraagt om verwijdering van de aan het account gekoppelde records bij RevenueCat en PostHog. Bestaande back-ups, server- en diagnostische logs, facturatiegegevens van de winkel en geëxporteerde kopieën kunnen blijven bestaan zoals beschreven in sectie 12.

3. Gegevens die we verzamelen

Het grootste deel van wat hier wordt genoemd, geef je zelf rechtstreeks. Twee categorieën niet: metingen die je uit Apple Health of Health Connect importeert, en abonnementsinformatie die ons bereikt van Apple, Google en RevenueCat. Beide worden hieronder beschreven.

3.1 Accountgegevens

• E-mailadres en wachtwoord. Je wachtwoord wordt op onze servers gehasht met bcrypt, nooit in platte tekst opgeslagen en nooit op je apparaat bewaard. Je e-mailadres zit ook in het inlogtoken dat de App gebruikt.
• Eenmalige codes voor e-mailverificatie, het resetten van je wachtwoord, het wijzigen van je wachtwoord en het wijzigen van je e-mailadres. Een code verloopt 10 minuten nadat hij is uitgegeven, en vijf foute pogingen maken hem ongeldig.

3.2 Profielgegevens

Verzameld tijdens de onboarding:

• Voor- en achternaam (opgeslagen als bijnaam), leeftijd, geslacht (optioneel) en lengte.
• Diabetestype (type 1, type 2, zwangerschapsdiabetes of anders), behandelwijzen (insuline, tabletten, injecties, dieet) en wijze van insulinetoediening.

Je diabetestype, je behandelwijzen en je wijze van insulinetoediening zijn gezondheidsgegevens, een “bijzondere categorie” persoonsgegevens op grond van artikel 9 van de AVG, ook al groepeert dit beleid ze onder “profiel”. De sectie over rechtsgronden hieronder zet uiteen op welke voorwaarde we ons daarvoor beroepen.

3.3 Gezondheidsgegevens die je noteert (gegevens van bijzondere categorieën)

Het volgende zijn gezondheidsgegevens, een “bijzondere categorie” persoonsgegevens op grond van artikel 9 van de AVG. We bewaren ze alleen op onze servers met je uitdrukkelijke toestemming. De sectie over rechtsgronden hieronder zet uiteen hoe die toestemming wordt gegeven, en welke hiervan onze servers alleen bereiken als cloudsynchronisatie aan staat:

• Bloedglucosemetingen, met optionele contextlabels (tijdstip rond de maaltijd, fysiologie, activiteit, medicatie en techniek, plus labels die je zelf schrijft) en notities in vrije tekst.
• Eetregistraties: koolhydraten, plus optioneel eiwitten, vetten, calorieën en een naam die je typt.
• Insulinedoses: het aantal eenheden, gekoppeld aan het insulinemedicijn dat je hebt ingesteld, bolus, basaal of mix.
• Doses van injecteerbare medicijnen (bijvoorbeeld GLP-1-agonisten).
• Aantallen ingenomen pillen en tabletten.
• Gewichtsregistraties, elk met het tijdstip waarop je het hebt genoteerd.
• Je medicijncatalogi: insuline-, tablet- en injecteerbare medicijnen die je instelt, inclusief geneesmiddelnamen (bijvoorbeeld Fiasp, Lantus, Metformin, Ozempic) en farmacokinetische parameters (begin, piek, duur), en de herinneringstijden die je ervoor instelt.
• Behandelinstellingen die je configureert: je streefbereik voor glucose (standaard 3,9–10,0 mmol/L, of 3,9–7,8 mmol/L bij zwangerschapsdiabetes, prediabetes of geen diabetesdiagnose), de insuline-koolhydraatratio (ICR) en de insulinegevoeligheidsfactor (ISF). De App gebruikt geen van deze om een dosis te berekenen of aan te bevelen. Je insuline-koolhydraatratio wordt opgeslagen ter referentie voor jezelf en niets anders leest hem. Je streefbereik wordt opgeslagen en bepaalt ook de band binnen het bereik van Tijd in streefbereik, de binnenranden van het label Goed / Redelijk / Kritiek, en wanneer de hyporisicotekst verandert. Je insulinegevoeligheidsfactor wordt gebruikt om de hyporisicotekst en het geschatte dalingsbereik naast de actieve insuline te bepalen. De Medische disclaimer beschrijft dit alles.
• Waarden die de App op je apparaat afleidt uit wat je noteert: geschatte actieve insuline (een schatting alleen ter informatie: ze beveelt geen dosis aan en berekent er geen), de hyporisicotekst en het geschatte dalingsbereik ernaast, trends, gemiddelde glucose en de spreiding ervan, Tijd in streefbereik, de geschatte HbA1c (GMI), het voorgestelde tijdstip voor je volgende meting en het label Goed / Redelijk / Kritiek bij je laatste meting. De Medische disclaimer zet uiteen wat elk daarvan wel en niet is.

Verschillende van deze velden zijn vrije tekst: glucosenotities, labels die je zelf schrijft, namen van eten, eigen medicijnnamen, de naam van een eigen herinneringsmoment. Wat je daar typt, wordt precies zo opgeslagen en, als synchronisatie aan staat, gesynchroniseerd.

3.4 Gegevens die we uit andere bronnen ontvangen

• Apple Health en Health Connect. Als je ze koppelt, leest de App bloedglucose-, lichaamsgewicht- en koolhydraatrecords uit voeding van het gezondheidsplatform op je telefoon. Dit is alleen-lezen: de App schrijft nooit iets terug. Op iOS vraagt ze het systeem alleen om leestoegang en geeft ze geen reden op om te schrijven, wat voor schrijven nodig zou zijn; op Android heeft ze alleen leesmachtigingen voor de drie recordtypen. Records die oorspronkelijk van een meter, een CGM of een andere app kwamen, bereiken glumea dus via het gezondheidsplatform. Geïmporteerde registraties worden op je apparaat opgeslagen als gewone registraties, gemarkeerd met het platform waar ze vandaan komen en de identificatie van het record. Of een geïmporteerde registratie ook naar onze servers wordt gekopieerd, hangt ervan af of Cloudsynchronisatie aan staat, precies zoals bij een registratie die je zelf hebt getypt. De koppeling staat uit totdat je haar aanzet, en je kunt haar op elk moment verbreken of afzonderlijke gegevenstypen uitzetten in Instellingen → Integraties.
• Apple, Google en RevenueCat. Als je je abonneert op glumea+, bereikt informatie over dat abonnement ons vanuit de winkel en van RevenueCat. Zie de sectie over glumea+ hieronder voor precies welke.

3.5 Technische gegevens

• Authenticatietokens, opgeslagen in de beveiligde opslag van je apparaat zodat je ingelogd blijft. Je sessie op onze servers is een record met een sessie-ID, je gebruikers-ID en de vervaldatum ervan.
• Als cloudsynchronisatie aan staat, verwerken onze servers de gegevens die je synchroniseert samen met de administratie die nodig is om de synchronisatiedienst te laten draaien, zoals synchronisatietijdstempels.
• Als de App met onze servers communiceert, ontvangen de servers standaardverbindingsinformatie zoals je IP-adres, het opgevraagde pad en het tijdstip, gebruikt voor beveiliging en om de dienst te laten werken.
• Zolang analyse of diagnostiek is ingeschakeld, verstuurt elke SDK de gegevens die in sectie 5 worden beschreven. Beide staan uit totdat je ermee instemt.

3.6 Gegevens die op je apparaat blijven en gegevens die dat niet doen

Sommige dingen bereiken onze servers helemaal nooit: meldingsinstellingen, herinneringstijden voor glucosemetingen, Stille uren, de keuze voor details in meldingen, lokale meldingsstatus, de verbindingsstatus met het gezondheidsplatform, appvoorkeuren, telemetrievoorkeuren en administratie van synchronisatie. Eén kanttekening: zolang analyse is ingeschakeld, worden taal-, thema- en eenheideninstellingen als profielkenmerken naar PostHog gestuurd. Niets anders in deze lijst verlaat het apparaat via onze backend.

Je medicijnschema’s zijn de uitzondering: ze horen bij het dagboek, dus ze worden naar onze servers gekopieerd als Cloudsynchronisatie aan staat; een medicijnherinnering moet een nieuwe telefoon overleven.

De schakelaar voor cloudsynchronisatie zelf is evenmin alleen voor het apparaat. Je antwoord erop wordt op onze servers bij je account bewaard, zodat het met je meegaat naar een nieuwe telefoon en uitloggen overleeft; sectie 10 zet uiteen wat dat in de praktijk betekent.

Bestanden die je zelf maakt, een .glumea-back-uparchief, of een CSV- of PDF-glucoserapport, worden op je apparaat geschreven en doorgegeven aan de app waarmee je ze kiest te delen of op te slaan. Waar ze daarna terechtkomen, valt buiten onze controle, en een CSV- of PDF-rapport is niet versleuteld.

4. Waarom we je gegevens verwerken en onze rechtsgronden

Op grond van de AVG heeft elk gebruik een grondslag uit artikel 6 nodig, en gegevens van bijzondere categorieën hebben daarnaast een voorwaarde uit artikel 9 nodig. Hieronder staan de beoogde grondslagen. De ontbrekende stap voor toestemming voor het profiel, die hieronder wordt beschreven, levert niet de uitdrukkelijke toestemming die de verwerking vereist.

• Je account en de App leveren: je account aanmaken en beveiligen, authenticatie, e-mailverificatie, wachtwoordreset, cloudsynchronisatie laten werken, glumea+ leveren als je je abonneert, en een register bijhouden van de abonnementsmeldingen die de winkel en RevenueCat ons sturen, zodat we kunnen zien of glumea+ actief is en een factureringsprobleem kunnen oplossen: uitvoering van een overeenkomst, artikel 6, lid 1, onder b, AVG.
• Gezondheidsgegevens op onze servers bewaren: de beoogde grondslagen zijn artikel 6, lid 1, onder b, voor de dienst en uitdrukkelijke toestemming op grond van artikel 9, lid 2, onder a, voor de gezondheidsgegevens. Het dagboek wordt pas naar onze servers gekopieerd na de aparte bevestiging voor Cloudsynchronisatie. De huidige onboarding slaat het profiel en de therapie-instellingen op bij het account zonder aparte stap voor uitdrukkelijke toestemming. Het accepteren van een overeenkomst is niet automatisch uitdrukkelijke toestemming voor de verwerking van bijzondere categorieën, dus de huidige onboarding levert die voorwaarde uit artikel 9 niet. Het account verwijderen is de enige geïmplementeerde manier om die profiel- en therapievelden uit de productiedatabase te verwijderen.
• Productanalyse: toestemming op grond van artikel 6, lid 1, onder a, uitdrukkelijke toestemming op grond van artikel 9, lid 2, onder a, omdat het gebruik van een diabetes-app gezondheid onthult, en toestemming op grond van artikel 5, lid 3, van de e-privacyrichtlijn voor opslag door de SDK. Sectie 5 beschrijft hoe die toestemming wordt gevraagd.
• Diagnostiek en crashrapporten: de beoogde grondslag is toestemming op grond van artikel 6, lid 1, onder a, uitdrukkelijke toestemming op grond van artikel 9, lid 2, onder a, omdat het gebruik van een diabetes-app gezondheid onthult, en toestemming op grond van artikel 5, lid 3, van de e-privacyrichtlijn voor opslag door de SDK, op dezelfde manier gevraagd als bij analyse (sectie 5).
• De dienst veilig houden en misbruik voorkomen: begrenzing van het aantal verzoeken op onze API, en onderzoek naar vermoedelijk misbruik: onze gerechtvaardigde belangen, artikel 6, lid 1, onder f, AVG. Het specifieke belang is je account en de accounts van anderen beschermen tegen onbevoegde toegang, en de dienst beschikbaar houden. We doen hierop alleen een beroep waar onze belangen niet worden overstegen door jouw rechten.
• Voldoen aan een wettelijke verplichting: waar het Poolse recht ons verplicht bepaalde records te bewaren of bekend te maken, doen we dat op grond van artikel 6, lid 1, onder c, AVG. We doen geen beroep op deze grondslag voor de gezondheidsgegevens die je noteert. We innen je betaling niet en ontvangen je betaalgegevens nooit, dus de betalings- en factureringsrecords van je aankoop worden bewaard door de winkel en niet door ons.

We nemen geen besluiten over je die rechtsgevolgen hebben of je anderszins in aanmerkelijke mate treffen en die uitsluitend op geautomatiseerde verwerking berusten, en we maken geen profielen van je voor zulke besluiten. In glumea is geen sprake van geautomatiseerde besluitvorming in de zin van artikel 22 AVG. De schattingen die de App toont, actieve insuline, trends en Tijd in streefbereik, zijn rekenwerk dat op je apparaat wordt gedaan met de gegevens die je hebt ingevoerd en worden alleen ter informatie getoond. Ze bevelen geen insuline- of medicijndosis aan en berekenen er geen, en ze zijn geen medisch advies.

Ben je verplicht gegevens te verstrekken? De wet verplicht je niet om gegevens te verstrekken. Voor een account zijn een e-mailadres en wachtwoord nodig. De profiel- en therapievelden die tijdens de onboarding worden gevraagd, worden bij het account opgeslagen, met de hierboven beschreven beperking ten aanzien van toestemming. Registraties noteren, Apple Health of Health Connect koppelen en cloudsynchronisatie zijn optioneel. Analyse en diagnostiek zijn optioneel en staan uit totdat je ermee instemt.

5. Analyse en diagnostiek

De App bevat twee SDK’s van derden voor deze doeleinden: een voor productanalyse en een voor crash- en foutrapporten. Deze sectie zet uiteen wat elk ervan is en wat het ontvangt.

Beide staan uit totdat je ermee instemt, en geen van beide SDK’s wordt eerder gestart. De App vraagt het aan het einde van de onboarding, met een aparte schakelaar voor elk. De schakelaars staan in de stand aan, maar er wordt niets verzameld totdat je op doorgaan tikt, en met één tik op de weigerknop rond je de onboarding af met beide uit. Als je inlogt op een bestaand account zonder de onboarding te doorlopen, blijven beide uit totdat je ze aanzet. De twee instellingen zijn onafhankelijk van elkaar en kunnen op elk moment worden gewijzigd in Instellingen → Gegevens en privacy → Privacy en diagnostiek. Uitloggen wist beide antwoorden samen met je andere voorkeuren, maar een SDK die al draait, blijft draaien totdat de App wordt gesloten.

5.1 Productanalyse: PostHog

We gebruiken PostHog (EU Cloud, eu.i.posthog.com) om te begrijpen hoe de App wordt gebruikt, zodat we haar kunnen verbeteren.

Wat PostHog kan ontvangen terwijl analyse is ingeschakeld:

• Je glumea-accountidentificatie: de interne UUID van je account. Niet je e-mailadres, niet je naam. Zodra je bent ingelogd, zijn gebeurtenissen aan die identificatie gekoppeld, dus die gebeurtenissen zijn niet anoniem. De gebeurtenissen die kunnen plaatsvinden vóór je inlogt of nadat je uitlogt, de eerste start, het starten van de app, het aanmelden en de verificatie van een gemailde code, dragen in plaats daarvan een pseudonieme apparaat-ID, en die ID wordt opnieuw gegenereerd wanneer de App de SDK reset.
• Een vaste lijst met gebeurtenisnamen, ongeveer 28, over dingen als het openen van de app, aanmelden, de onboarding afronden, een registratie opslaan, importeren uit Apple Health, een meldingsmachtiging verlenen of weigeren, een export maken, de betaalmuur openen en de uitkomst van een aankoop of herstelactie.
• Een klein aantal eigenschappen, elk uit een gesloten lijst of een begrensd aantal: welk soort registratie is opgeslagen (glucose, eten, medicijn of gewicht), hoeveel rijen één keer opslaan heeft geschreven, of een registratie op het moment zelf is genoteerd of met terugwerkende kracht, of een export CSV of PDF was, welke onboardingstap is voltooid, de algemene categorie van een herinnering waarop je hebt getikt, en dergelijke. Geen enkele eigenschap in het systeem accepteert vrije tekst.
• Het scherm waarop je zit, als routesjabloon zoals /settings/privacy. Cijfers worden geweigerd, dus een recordidentificatie kan er niet in meereizen. Een scherm dat maar één soort behandeling bereikt, zoals de insuline-instellingen, wordt gerapporteerd als het scherm erboven.
• Een handvol profielkenmerken: je taal, je thema, je eenheden voor glucose, gewicht en koolhydraten, en of je glumea+ hebt.
• Wat de PostHog-SDK zelf toevoegt, buiten onze controle: apparaatmodel, besturingssysteem en versie, appversie, SDK-versie, tijdzone, landinstelling, netwerktype en een sessie-ID. PostHog ontvangt ook het IP-adres waarvan je verzoek komt, zoals elke webdienst, en leidt daaruit een geschatte locatie af. We hebben de optie van PostHog om dat adres weg te gooien niet aangezet, dus het wordt met de gebeurtenis opgeslagen.

Wat PostHog niet kan ontvangen: een glucosewaarde, een insulinedosis, een medicijnnaam, welk soort medicijn je gebruikt, een notitie, een naam van eten, een e-mailadres of andere vrije tekst. Het filter dat dit waarborgt, is fail-closed: een gebeurtenis die niet op de lijst staat, wordt in zijn geheel weggegooid, een eigenschap die niet is gedeclareerd wordt verwijderd, en een gedeclareerde eigenschap waarvan de waarde niet de verwachte vorm heeft, wordt ook verwijderd. Er is in het systeem geen eigenschap voor “een willekeurige tekenreeks”. Er is geen sessieherhaling, geen schermopname, geen enquêtes, geen automatische registratie van tikken en geen pushtoken.

De gebeurtenissen zijn zo opgebouwd dat ze je behandeling of je metingen niet onthullen. Insuline, tabletten en injecties worden allemaal gerapporteerd als een medicijnregistratie. Een tik op een waarschuwing voor lage of hoge glucose wordt helemaal niet vastgelegd, en de onboardingstap die alleen insulinegebruikers zien ook niet. Een import uit Apple Health of Health Connect meldt dat hij is uitgevoerd en wat hem startte, nooit hoeveel records hij las. De gebeurtenissen zijn nog steeds aan je account gekoppeld zolang je bent ingelogd, en het gebruik van een diabetes-app onthult zelf gezondheid, en daarom wacht analyse op je toestemming.

De analyse-SDK slaat zijn eigen identificatie op je apparaat op, samen met een wachtrij van gebeurtenissen die nog moeten worden verzonden. Uit de manier waarop de SDK werkt volgen twee beperkingen. Intrekken legt nog één laatste gebeurtenis van zichzelf vast, namelijk dat je je hebt afgemeld. En die gebeurtenis wordt, samen met alles wat al was verzameld terwijl je toestemming had gegeven, daarna afgeleverd volgens het eigen schema van de SDK en niet op het moment dat je intrekt. Daarna wordt er niets nieuws meer verzameld.

5.2 Diagnostiek en crashrapporten: Sentry

We gebruiken Sentry (regio Europese Unie) om te weten te komen wanneer de App crasht of fouten geeft, zodat we dat kunnen herstellen.

Elk deel van een rapport dat inhoud bevat dat de App opbouwt, wordt vanaf nul opnieuw opgebouwd voordat het wordt verzonden, uit een lijst met toegestane velden in plaats van een lijst met velden die moeten worden verwijderd. Een twaalftal resterende velden op het hoogste niveau wordt in plaats daarvan bij naam gewist, dus een veld dat een toekomstige versie van de SDK nieuw toevoegt, zou door dat wissen niet worden opgevangen totdat we het toevoegen. Wat die herbouw overleeft, is:

• Het uitzonderingstype, en een berekend label in plaats van de oorspronkelijke foutmelding.
• De stacktrace, met bestandsnamen teruggebracht tot de basisnaam en, in releasebuilds, verhulde symboolnamen: ze worden alleen aan de kant van Sentry leesbaar gemaakt met de mapping die we bij de build uploaden.
• Apparaatfamilie, model, architectuur, of het een simulator is, en de oriëntatie.
• Naam, versie en build van het besturingssysteem; naam, versie en build van de app; de versie van de Dart-runtime.
• Identificaties van debug-images, nodig om native crashes leesbaar te maken.
• De vorm van het breadcrumb-spoor, de categorie, het type, het niveau en het tijdstip van recente gebeurtenissen, maar nooit hun inhoud.
• Twee labels: welk gebied van de App is mislukt, en of het in de voorgrond gebeurde of in de achtergrondmeldingsengine.
• De release, het buildnummer, de omgeving en een willekeurig gegenereerde gebeurtenis-ID.

Wat helemaal wordt verwijderd: de foutmelding, alle verzoekgegevens, elk gebruikersobject, de servernaam, de transactienaam, lijsten met threads, lijsten met modules, waarden van lokale variabelen, broncodecontext, absolute paden, de unieke ID en naam van het apparaat, de installatiegebonden app-hash, breadcrumb-berichten en -gegevens, schermafbeeldingen, weergavehiërarchieën en alle bijlagen. Schermafbeeldingen, het vastleggen van de weergavehiërarchie, sessieherhaling, prestatietracering, logging en verzoekinhoud staan allemaal uit. De App koppelt geen gebruikersidentificatie aan een Sentry-gebeurtenis: geen account-ID, geen e-mailadres, geen apparaat-ID.

Twee beperkingen op het bovenstaande:

• Native crashes, app-reageert-niet-gebeurtenissen en iOS-watchdogafsluitingen kunnen Sentry bereiken zonder door die herbouw te gaan, omdat ze worden geproduceerd door de crashhandler van het besturingssysteem en niet door de eigen code van de App. Hetzelfde geldt voor het periodieke signaal “appsessie gestart / beëindigd” dat Sentry gebruikt voor releasegezondheid. Die kunnen we niet op het apparaat inspecteren en we kennen niet elk veld dat de platform-SDK erin stopt. We stellen geen identificatie in die er een met jou zou verbinden.
• Sentry ontvangt het IP-adres waarvandaan het rapport wordt verzonden.

Totdat je instemt met diagnostiek, wordt Sentry niet gestart. De schakelaar uitzetten sluit de rapporteurs die door die bediening worden bereikt, maar uitloggen schakelt een al geïnitialiseerde SDK in het lopende proces niet betrouwbaar uit. De huidige levenscyclus kan dus niet in elke toestand als onmiddellijke intrekking worden beschreven.

6. glumea+ en abonnementsgegevens

glumea+ is een abonnement dat alleen als aankoop in de app wordt verkocht via de Apple App Store en Google Play. Er is geen andere manier om het te kopen, geen webkassa en nergens in de App een kaartformulier.

• Er bereiken ons geen betaalgegevens. Apple of Google int de betaling. Wij zien nooit je kaartnummer, je bankgegevens of je factuuradres. Opzeggen en terugbetalingen verlopen via je winkelaccount; de Servicevoorwaarden leggen uit waar.
• RevenueCat is de dienst die we gebruiken om te weten of je abonnement actief is. De App vertelt RevenueCat één ding over jou: je glumea-accountidentificatie, gebruikt als gebruikers-ID van het abonnement. Onze servers vragen RevenueCat ook of die identificatie een actief abonnement heeft, ook als je je nooit hebt geabonneerd, want zo komen we te weten dat je dat niet hebt. We stellen geen e-mailadres, geen weergavenaam, geen telefoonnummer en geen pushtoken in, en we vragen niet om advertentie-ID’s van apparaten te verzamelen. De eigen SDK van RevenueCat verzamelt ook wat apparaat- en netwerkinformatie voor de werking van de dienst van RevenueCat, beschreven in de eigen privacyverklaring ervan. Wij configureren die verzameling niet en ontvangen niet wat ze oplevert.
• Wat de App lokaal bewaart, is één waar/onwaar-waarde: of glumea+ actief is. De App slaat geen prijs, geen product-ID, geen vervaldatum en geen transactie-ID op je apparaat op. Die waarde wordt op onwaar gezet wanneer je uitlogt, zodat het volgende account op het apparaat zonder abonnement begint en zelf bij de winkel moet worden gecontroleerd.
• Wat onze servers opslaan. RevenueCat stuurt onze backend een melding wanneer er iets verandert aan een abonnement: een aankoop, een verlenging, een opzegging, een betalingsprobleem. We leggen elk van die meldingen vast zoals ontvangen: de gebeurtenis-ID en het type, de omgeving, je glumea-accountidentificatie en het volledige bericht dat RevenueCat stuurde, precies zoals het binnenkwam en niet veld voor veld. Dat bericht bevat doorgaans de productidentificatie, prijs, valuta, winkel, land en de aankoop- en vervaldata. Omdat we het in zijn geheel opslaan, kan het ook alle abonneekenmerken bevatten die RevenueCat over jou heeft, waaronder een e-mailadres: ook al stelt onze App er zelf geen in. We herschrijven het bericht nooit; een herhaalde aflevering van dezelfde gebeurtenis werkt alleen onze telling bij van hoe vaak ze is aangekomen.
• Zolang analyse is ingeschakeld, gaan de hierboven beschreven trechtergebeurtenissen naar PostHog, samen met een profielkenmerk dat vastlegt of glumea+ actief is. Er wordt geen prijs, productidentificatie of winkelidentificatie naar analyse gestuurd.

Hieruit volgen twee gevolgen. Het webhooklogboek bevat je glumea-accountidentificatie maar heeft geen databaserelatie met de rij van je account. Bij het verwijderen van een account verwijdert onze backend die records apart en vraagt ze om verwijdering van het abonneerecord van RevenueCat onder dezelfde identificatie. Verder verwijdert een geplande taak elk webhookrecord 90 dagen nadat het is aangekomen. Sectie 12 beschrijft wat er kan blijven bestaan.

7. Wat we niet doen

Niets van het volgende gebeurt in glumea:

• Geen reclame, van welke aard ook. Geen advertentie-SDK, geen attributie-SDK, geen advertentie-ID. De App kan het iOS-verzoek “Vraag app me niet te volgen” niet tonen, omdat ze de vermelding die dat mogelijk zou maken niet bevat, en ze declareert geen netwerken voor advertentieattributie.
• Geen verkoop van je gegevens. We verkopen of verhuren geen persoonsgegevens, en we verkopen geen gezondheidsgegevens. We delen ze niet voor gedragsgerichte reclame over contexten heen.
• Geen gebruik van je gezondheidsgegevens voor reclame, marketing of het opbouwen van een profiel van jou voor anderen.
• Geen locatiegegevens. Geen toegang tot je contacten, camera, microfoon, foto’s of agenda: de App vraagt op geen van beide platforms om een van die machtigingen.
• Geen Firebase in de App: geen Firebase Analytics, geen Crashlytics, geen Firebase Cloud Messaging. (Firebase Hosting draait wel de Website, inclusief deze pagina; dat is een andere dienst van Google en wordt hieronder genoemd.)
• Geen pushmeldingen en geen push-token van het apparaat. Herinneringen worden door je eigen apparaat ingepland en getoond; er is helemaal geen kanaal van server naar apparaat.
• Geen schermafbeeldingen, geen schermopname, geen sessieherhaling, geen vastlegging van de weergavehiërarchie, door geen van de twee hierboven beschreven SDK’s.
• Naast PostHog en Sentry zit er geen andere SDK voor analyse, telemetrie of tracking in de App. De enige onderdelen die een netwerkverbinding openen, zijn de eigen verbinding van de App met onze servers, PostHog, Sentry en RevenueCat.

8. Wie je gegevens ontvangt

We delen gegevens met de onderstaande dienstverleners om glumea te laten werken. Hun rollen, hun eigen privacyverklaringen en de contractuele voorwaarden die op ons gebruik van elke dienst van toepassing zijn, regelen die verwerking. De SDK van RevenueCat verzamelt zelf ook apparaat- en netwerkinformatie. Wij configureren die verzameling niet en ontvangen de uitkomst ervan niet, dus de beschrijving ervan komt uit de privacyverklaring van RevenueCat en niet uit onze systemen.

• Google (Google Cloud Run en Google Cloud SQL, regio europe-west1) host onze backend en de database met alles wat je synchroniseert, inclusief je gezondheidsgegevens. Google Secret Manager bewaart onze servergegevens voor toegang, en Google Cloud Logging bewaart onze serververzoeklogs.
• Google (Firebase Hosting) serveert glumea.com en deze juridische documenten.
• Sentry (regio Europese Unie) ontvangt de hierboven beschreven diagnostische rapporten terwijl diagnostiek is ingeschakeld volgens het huidige gedrag van de instelling.
• PostHog (EU Cloud) ontvangt de hierboven beschreven analysegebeurtenissen terwijl analyse is ingeschakeld volgens het huidige gedrag van de instelling.
• RevenueCat (de Verenigde Staten) ontvangt je glumea-accountidentificatie en je abonnementsstatus, of je je nu abonneert of niet: controleren dat je geen abonnee bent, gebruikt dezelfde identificatie als bevestigen dat je het wel bent. Zoals hierboven vermeld, verzamelt de SDK daarnaast apparaat- en netwerkinformatie die wij niet configureren en niet ontvangen; de eigen privacyverklaring van RevenueCat beschrijft die.
• Zoho ZeptoMail: als e-mailbezorging in productie is ingeschakeld, ontvangt deze aanbieder het bestemmingsadres en het verificatie- of wachtwoordresetbericht dat nodig is om het te bezorgen. Geen e-mailaanbieder ontvangt die berichten zolang bezorging is uitgeschakeld.

Apple en Google zijn niet onze verwerkers. Zij beheren de winkels waarin glumea+ wordt verkocht, zij innen de betaling en zij zijn zelfstandige verwerkingsverantwoordelijken voor de aankoopgegevens die zij over jou bewaren. Wat zij verzamelen, wordt geregeld door hun eigen privacybeleid en niet door dit beleid.

Verder maken we persoonsgegevens alleen bekend als de wet dat vereist, bijvoorbeeld een bindend bevel van een rechtbank of autoriteit, of op jouw aanwijzing.

Als Paweł Milewski Software Development ooit betrokken raakt bij een fusie, overname of verkoop van activa, blijven je gegevens beschermd door dit beleid, en stellen we je op de hoogte voordat je gegevens onder een ander privacybeleid vallen.

9. Internationale doorgiften

Waar elke ontvanger je gegevens verwerkt:

• Je account, profiel en gesynchroniseerde gezondheidsgegevens worden opgeslagen in de EU: Google Cloud, europe-west1 (België). De opslaglocatie is niet het hele antwoord. Google kan die gegevens van buiten de EER bereiken, voor ondersteuning en om het platform te laten draaien, en dat is een doorgifte op zich. Die berust op de modelcontractbepalingen in de Cloud Data Processing Addendum van Google.
• Analyse gaat naar de EU Cloud van PostHog, die de gegevens in de EU opslaat. Waar PostHog ze van buiten de Europese Economische Ruimte kan bereiken, berust de doorgifte op de modelcontractbepalingen in de verwerkersovereenkomst van PostHog.
• Diagnostiek gaat naar Sentry in de regio Europese Unie. Waar dat buiten de Europese Economische Ruimte is, berust de doorgifte op de modelcontractbepalingen in de verwerkersaddendum van Sentry.
• De Website wordt door Firebase Hosting geserveerd vanuit het contentleveringsnetwerk van Google, dus een verzoek om een pagina kan worden bediend vanaf, en gelogd op, een locatie buiten de Europese Economische Ruimte. Waar dat gebeurt, berust de doorgifte op de modelcontractbepalingen in de Cloud Data Processing Addendum van Google.
• De abonnementsstatus gaat naar RevenueCat in de Verenigde Staten. Waar dat buiten de Europese Economische Ruimte is, berust de doorgifte op de modelcontractbepalingen in de verwerkersaddendum van RevenueCat.
• Als e-mailbezorging in productie is ingeschakeld, worden verificatie- en wachtwoordresetmails bezorgd door Zoho ZeptoMail, dat het bestemmingsadres verwerkt in de Europese Unie (Zoho Corporation B.V., de EU-datacenters van Zoho in Nederland en Ierland). Waar dat buiten de Europese Economische Ruimte is, is het toepasselijke doorgiftemechanisme de modelcontractbepalingen in de verwerkersaddendum van Zoho.
• Apple en Google verwerken aankoopgegevens onder hun eigen regelingen, als zelfstandige verwerkingsverantwoordelijken.

Waar een aanbieder gegevens van buiten de EER kan benaderen, ook voor ondersteuning, is die toegang ook een doorgifte en moet er een passende waarborg zijn op grond van hoofdstuk V van de AVG. Het mechanisme voor elke ontvanger wordt hierboven genoemd. Voor gebruikers in het Verenigd Koninkrijk is het equivalente mechanisme de UK Addendum bij de modelcontractbepalingen van de EU, of de IDTA waar een aanbieder die vorm gebruikt onder de UK GDPR. Algemeen contact voor gegevensbescherming: [email protected]. Er is momenteel geen apart geautomatiseerd proces voor het aanvragen van een kopie van de waarborgen geïmplementeerd.

10. Waar je gegevens worden opgeslagen

glumea werkt eerst offline. Deze sectie is het volledige antwoord op “wat van mij staat er op jullie servers?”: al het andere in dit beleid verwijst hiernaar.

Wat	Op je telefoon	Op onze servers	Vanaf wanneer	Hoe je het verwijdert
Je dagboek, registraties, medicijncatalogi, medicijnschema’s	Altijd	Alleen met Cloudsynchronisatie aan	Vanaf het moment dat je de schakelaar aanzet	Zet de schakelaar uit en gebruik dan Servergegevens verwijderen; of verwijder je account
Je profiel, naam, leeftijd, lengte, diabetestype, behandelwijzen, wijze van insulinetoediening	Ja	Altijd	Vanaf de onboarding, of je synchronisatie nu gebruikt of niet	Verwijder je account
Je therapie-instellingen, streefbereik, insuline-koolhydraatratio, insulinegevoeligheidsfactor	Ja	Altijd	Vanaf het moment dat je ze invoert	Verwijder je account
Je account, e-mailadres, gehasht wachtwoord, inlogsessies	Alleen inloggegevens	Altijd	Vanaf het moment dat je het account aanmaakt	Verwijder je account
Alles in sectie 3.6, herinneringen, Stille uren, appvoorkeuren	Ja	Nooit	Niet van toepassing	Log uit, of verwijder de app

De rest van deze sectie is de toelichting bij die tabel.

• Alle gegevens die je invoert, worden eerst weggeschreven in een lokale database op je apparaat. De App is volledig bruikbaar zonder internetverbinding.
• Die lokale database is versleuteld. Ze wordt geopend met een sleutel van 32 bytes in de sleutelopslag van je apparaat, onder een instelling die niet naar een ander apparaat wordt gemigreerd. Gevolgen die je moet kennen voordat je van telefoon wisselt: op Android hebben we cloudback-up en overdracht van apparaat naar apparaat voor de App uitgezet, dus er wordt geen nieuwe back-upkopie van gemaakt; op iOS kan een kopie van de database nog steeds in een iCloud-back-up terechtkomen, maar die is onleesbaar zonder de sleutel, en de sleutel verlaat het apparaat nooit. Als je die back-up op een nieuwe telefoon terugzet, komt je dagboek er dus niet mee: de App vindt een database waarvoor ze geen sleutel heeft, weigert die te openen in plaats van stilletjes leeg te beginnen, en draait niet op die telefoon totdat je haar opnieuw installeert of de gegevens ervan wist. Verhuizen naar een nieuwe telefoon gaat via cloudsynchronisatie, of via een .glumea-archief dat je zelf exporteert en importeert.
• Een account van jou bestaat op onze servers vanaf het moment dat je er een aanmaakt. Het bevat je accountgegevens, je profiel, inclusief je diabetestype, behandelwijzen en wijze van insulinetoediening, en je therapie-instellingen: je streefbereik, je insuline-koolhydraatratio en je insulinegevoeligheidsfactor. Die staan op onze servers, of je cloudsynchronisatie nu gebruikt of niet, en de manier om ze te verwijderen is je account te verwijderen.
• Cloudsynchronisatie is een glumea+-functie en staat uit totdat je haar aanzet. Ze bepaalt of je dagboek ook naar onze servers wordt gekopieerd: je registraties, je medicijncatalogi en je medicijnschema’s. Aanzetten gaat in twee stappen, en je kunt bij elk van beide stoppen. Zonder een actief glumea+-abonnement toont de App je het abonnementsscherm in plaats van iets aan te zetten. Met een abonnement vraagt de App je in een aparte stap te bevestigen dat je ermee akkoord gaat dat je gezondheidsgegevens, glucosemetingen, insuline- en medicijnrecords, eten- en gewichtsregistraties en alles wat je in een notitie hebt getypt, op onze servers worden opgeslagen. Ze vraagt dat elke keer dat de schakelaar aangaat, niet alleen de eerste keer. Die bevestiging is je uitdrukkelijke toestemming op grond van artikel 9, lid 2, onder a, AVG voor het dagboek. Je kunt haar op elk moment intrekken door Cloudsynchronisatie uit te zetten, en wat we al hebben verwijderen met de link Servergegevens verwijderen in hetzelfde scherm. Met synchronisatie uit blijft alles wat je noteert alleen op je apparaat.
• Als synchronisatie aan staat, worden je gegevens opgeslagen op onze backend op api.glumea.app, die draait op Google Cloud Run met een Google Cloud SQL PostgreSQL-database, in de regio europe-west1 van Google (België).

De schakelaar hoort bij je account, niet bij de telefoon. Wij bewaren je antwoord op onze servers, en de App leest het daar weer uit wanneer je inlogt en wanneer ze opnieuw verbinding maakt. Het overleeft dus uitloggen en gaat met je mee: zet synchronisatie aan, log in op een andere telefoon, en synchronisatie staat daar ook aan zonder dat het opnieuw wordt gevraagd. Uitzetten wordt op dezelfde manier vastgelegd. Als je de schakelaar uitzet terwijl je offline bent, bewaart de App dat antwoord en levert het bij de eerstvolgende gelegenheid aan onze servers af: een intrekking wordt nooit teruggedraaid doordat een verzoek mislukte. Op een gedeeld apparaat werkt dit andersom dan bij een schakelaar die alleen op het apparaat zit: wie inlogt, krijgt het antwoord van het eigen account en niet dat wat de vorige persoon heeft achtergelaten.

Als glumea+ eindigt, worden nieuwe registraties niet meer geback-upt; je toestemming wordt niet ingetrokken en er wordt niets verwijderd. Als een abonnement verloopt, wordt opgezegd of terugbetaald, stopt de App met het kopiëren van nieuwe registraties naar onze servers. Bewerkingen en verwijderingen van registraties die er al staan, bereiken onze servers nog steeds, en de App downloadt nog steeds van de servers. In het scherm Cloudsynchronisatie staat Bewerkingen en verwijderingen worden nog steeds gesynchroniseerd · Nieuwe registraties blijven op dit apparaat. Wat al op onze servers staat, blijft daar staan, wat op je apparaat staat blijft daar staan, en je opgeslagen antwoord op de toestemmingsvraag blijft zoals het was, dus als je je opnieuw abonneert, wordt de volledige back-up hervat op dat opgeslagen antwoord zonder het je een tweede keer te vragen. Wil je dat liever niet, zet de schakelaar dan uit: uitzetten en de link Servergegevens verwijderen ernaast blijven allebei beschikbaar, of er nu een abonnement actief is of niet. Het beëindigen van een abonnement neemt nooit je mogelijkheid weg om toestemming in te trekken of de serverkopie te laten wissen.

Synchronisatie kan ook stoppen zonder dat je die schakelaar aanraakt. Je inlogsessie kan verlopen, en wanneer dat gebeurt, loggen we je niet uit en verwijderen we niets: de App houdt elke registratie op je apparaat, pauzeert de back-up en wacht. Het scherm Cloudsynchronisatie toont dan Gepauzeerd en vertelt je dat er niets wordt gesynchroniseerd totdat je opnieuw inlogt, en het scherm Overzicht toont een banner over de verlopen sessie. Alles wat je intussen noteert, blijft op het apparaat en bereikt onze servers pas als je weer bent ingelogd. Reken je op de serverkopie voor als je telefoon kwijtraakt, dan is die banner iets om op te reageren.

De kopie op onze servers wordt beschermd door transportversleuteling, door de opslagversleuteling van Google en door onze toegangscontroles. Ze is niet end-to-end versleuteld, en wij kunnen haar lezen. glumea is geen zero-knowledge-dienst. Het enige object in het hele systeem dat wij niet kunnen openen, is een .glumea-archief, omdat dat is versleuteld met een wachtwoord dat alleen jij kent.

11. Hoe lang we je gegevens bewaren

We bewaren je gegevens voor de onderstaande perioden.

• Accountgegevens, profiel en therapie-instellingen: bewaard op onze servers zolang je account bestaat.
• Gezondheidsregistraties en medicijncatalogi die je hebt gesynchroniseerd: bewaard zolang je account bestaat, of totdat je de serverkopie of je account verwijdert. Een enkele registratie verwijderen werkt anders: ze verdwijnt van het apparaat waarop je haar hebt verwijderd, en alleen van dat apparaat. De kopie op onze servers blijft staan, dus de registratie kan terugkomen bij een herinstallatie, op een nieuwe telefoon, of nadat je bent uitgelogd en weer inlogt. Alleen Servergegevens verwijderen of het verwijderen van je account haalt die rijen van onze servers.
• Grafstenen voor registraties die je hebt verwijderd: waar het verwijderen van een enkele registratie onze servers wel bereikt, wordt de rij bewaard als markering die nog haar waarde, haar labels en haar notities bevat, zodat de verwijdering naar je andere apparaten kan reizen. We hebben geen taak die ze opruimt, dus ze blijven staan zolang je account bestaat. Servergegevens verwijderen of je account verwijderen haalt ze weg.
• Inlogsessies: een toegangstoken is 15 minuten geldig. Het sessierecord op onze servers verloopt na 90 dagen zonder gebruik. Uitloggen trekt het onmiddellijk in, zodat het nooit meer kan worden gebruikt, maar de rij zelf wordt door een uurlijkse taak verwijderd zodra dat venster van 90 dagen is verstreken. Als je je account verwijdert, verdwijnt het meteen.
• Eenmalige codes: verlopen 10 minuten nadat ze zijn uitgegeven, en een uurlijkse taak markeert verlopen codes als onbruikbaar. De records zelf ruimen we niet op: ze blijven staan totdat je je account verwijdert, waarbij ze met al het andere worden verwijderd.
• Serverback-ups: 7 dagen. Gegevens die uit de live database zijn verwijderd, blijven in back-ups bestaan totdat die worden overschreven.
• Serververzoeklogs, die IP-adressen bevatten: 30 dagen.
• Analysegebeurtenissen bij PostHog: 12 maanden.
• Diagnostische rapporten bij Sentry: 90 dagen.
• Records van abonnementsmeldingen: tot 90 dagen vanaf het moment dat elk bericht ons bereikt, tenzij accountverwijdering ze eerder wist. De geplande taak telt de leeftijd en houdt geen rij achter voor een openstaand factureringsgeschil.
• Gegevens die alleen op je apparaat staan: blijven daar totdat je ze verwijdert, uitlogt, de accountverwijdering in de App gebruikt of de App verwijdert. Een verzoek per e-mail om het account te verwijderen kan een apparaat niet op afstand wissen.

12. Verwijdering: wat er gebeurt en waar

Voordat je begint. Twee dingen zijn belangrijker dan al het andere hieronder, en ze staan allebei in de Servicevoorwaarden: zeg je glumea+-abonnement eerst op in de winkel, omdat het verwijderen van je glumea-account de afschrijvingen niet stopt (sectie 13.1 daar), en exporteer eerst, omdat we, zodra je rijen weg zijn, geen export meer voor je kunnen maken (sectie 13.3 daar).

Drie verschillende bedieningen, drie verschillende resultaten. Ze zijn gemakkelijk te verwarren, dus:

Bediening	Waar	Wat het verwijdert	Wat het laat staan	Wat het ongedaan kan maken
Een enkele registratie verwijderen	Overal waar je haar hebt genoteerd	Die registratie, alleen op dat apparaat	De serverkopie, die haar kan terugbrengen	Een herinstallatie, een nieuwe telefoon, of uit- en weer inloggen
Servergegevens verwijderen	Het scherm Cloudsynchronisatie, geopend met de cloudknop op Overzicht of Geschiedenis, niet Instellingen	De serverkopie van je registraties, medicijncatalogi en schema’s	Je account, je profiel, je therapie-instellingen en alles op je telefoon	Synchronisatie weer aanzetten uploadt opnieuw vanaf je telefoon
Account verwijderen	Instellingen → Account, of mail naar [email protected] als je de App niet kunt gebruiken	Je account en bijbehorende productiegegevens op onze servers; de route in de App wist ook dit apparaat	Bestaande back-ups, sommige records bij aanbieders en alle gegevens op apparaten die de wisbeurt in de App niet bereikt	Niets herstelt het verwijderde account

Servergegevens verwijderen heeft een actieve sessie nodig en de schakelaar Synchronisatie moet eerst uit staan; de drie opmerkingen aan het einde van deze sectie leggen uit waarom.

Je account in de App verwijderen haalt het onmiddellijk uit onze productiedatabase. Een geverifieerd verzoek per e-mail gebruikt hetzelfde verwijderpad op de server. Dit gebeurt er per bestemming.

• Onze productiedatabase: het verwijderen van je account voert een definitieve verwijdering van je gebruikersrecord uit wanneer je dat in de App bevestigt of een operator een geverifieerd e-mailverzoek afhandelt. Alles wat eraan hangt, wordt door een databasecascade samen met het record verwijderd: je profiel, je therapie-instellingen, elke gesynchroniseerde glucose-, eten-, gewichts-, insuline-, tablet- en injectieregistratie, je medicijncatalogi en schema’s, je sessies en je openstaande verificatie- en resetcodes. Er is geen vlag voor zacht verwijderen en geen herstel.
• Records van abonnementsmeldingen: elke rij bevat je glumea-accountidentificatie en het volledige bericht dat RevenueCat stuurde. Ze is niet gekoppeld aan de rij van je account, dus de automatische cascade bereikt haar niet, maar de verwijderservice verwijdert haar apart in dezelfde transactie. Zonder accountverwijdering verwijdert een geplande taak elke rij na 90 dagen.
• RevenueCat: het verwijderen van je account zet een verzoek in de wachtrij om het abonneerecord onder je accountidentificatie te verwijderen. We proberen het verzoek onmiddellijk en proberen het opnieuw als de aanbieder niet beschikbaar is. De facturatiegeschiedenis van de winkel blijft buiten onze controle.
• PostHog: het verwijderen van je account zet een verzoek in de wachtrij om het aan het account gekoppelde analyseprofiel en de bijbehorende gebeurtenissen en opnamen te verwijderen. We proberen het onmiddellijk en proberen het opnieuw als de aanbieder niet beschikbaar is. PostHog kan een geaccepteerde bulkverwijdering asynchroon afronden. Gebeurtenissen van vóór het inloggen gebruiken een aparte pseudonieme apparaat-ID.
• Serverback-ups: een kopie van wat is verwijderd, blijft bestaan in de geautomatiseerde databaseback-ups van onze hostingaanbieder totdat die back-ups worden overschreven: 7 dagen, en in geen geval langer dan zes maanden na authenticatie waar die wettelijke grens van toepassing is. Afzonderlijke records worden niet binnen een back-up bewerkt. Een noodherstel kan daarom rijen die uit productie zijn verwijderd tijdelijk terugbrengen.
• Serverlogs: het verwijderen van je account wist serververzoeklogs niet met terugwerkende kracht; die worden 30 dagen bewaard.
• Sentry: de App koppelt geen accountidentificatie, e-mailadres of gebruikersrecord aan een diagnostisch rapport. Er is dus geen ondersteunde manier om de rapporten van een individuele gebruiker te vinden of te verwijderen. Rapporten die door de crashhandler van het besturingssysteem worden geproduceerd, gaan niet door het filter van de App, en we kennen niet elk veld dat de platform-SDK toevoegt. Rapporten verlopen volgens de bewaartermijn van Sentry: 90 dagen. Artikel 11, lid 2, AVG gaat over gegevens waarvoor de verwerkingsverantwoordelijke de betrokkene werkelijk niet kan identificeren.
• Apple en Google: je aankoop- en abonnementsrecords horen bij de winkel, niet bij ons. Het verwijderen van je glumea-account zegt een abonnement niet op en verwijdert niets bij Apple of Google. Zeg op in de instellingen van je winkelaccount; hun records worden geregeld door hun beleid en door belastingwetgeving.
• Je eigen apparaat: het account in de App verwijderen, uitloggen of van account wisselen wist de lokale database, sessiegegevens en opgeslagen voorkeuren van dat apparaat. Een e-mailverzoek kan een apparaat niet op afstand wissen. Het wissen van een telemetrievoorkeur schakelt een SDK die al in het lopende proces is geïnitialiseerd niet betrouwbaar uit. Een vlag voor de eerste installatie en de sleutel voor databaseversleuteling kunnen een wisbeurt in de App overleven, maar geen van beide bevat dagboekgegevens. Een iCloud-apparaatback-up kan een onleesbare, versleutelde kopie van de database bevatten; Android-back-up is voor de App uitgeschakeld.
• Kopieën die je zelf hebt gemaakt: een .glumea-archief, een CSV, een PDF-rapport, alles wat je ergens anders hebt gedeeld of opgeslagen: die zijn van jou en vallen buiten ons bereik. Verwijder ze waar je ze hebt neergezet.

Om de timing samen te vatten: de verwijdering uit de productiedatabase gebeurt wanneer je dat in de App bevestigt, of wanneer een operator een geverifieerd e-mailverzoek afhandelt. Verwijderverzoeken aan RevenueCat en PostHog worden onmiddellijk geprobeerd en bij mislukking in de wachtrij gezet om opnieuw te proberen. Een kopie kan in hostingback-ups blijven bestaan totdat die worden overschreven, binnen 7 dagen.

De databasecascade zelf bereikt serververzoeklogs, Sentry-rapporten, records van abonnementsmeldingen of records bij aanbieders niet. De verwijderservice verwijdert de abonnementsmeldingen apart en vraagt om wissing van de records bij RevenueCat en PostHog. Serverlogs en Sentry-rapporten verlopen volgens hun ingestelde bewaartermijnen.

Verwijdering is definitief. Verwijderde gegevens kunnen niet worden hersteld, dus als je je gegevens later misschien nog nodig hebt, bijvoorbeeld voor je behandelteam, maak dan eerst een kopie met de exportopties die onder je rechten worden beschreven.

Je kunt ook accountverwijdering per e-mail aanvragen zonder de App. We controleren het eigendom voordat we het verwerken.

Nog drie dingen over de beperktere bediening Servergegevens verwijderen, die de serverkopie van je registraties, je medicijncatalogi en je medicijnschema’s verwijdert maar je account, je profiel, je therapie-instellingen en alles op je apparaat laat staan:

• Ze heeft een actieve sessie nodig. Als je sessie is verlopen, de toestand die sectie 10 beschrijft, waarin het scherm Gepauzeerd toont: de link zegt je opnieuw in te loggen en doet niets totdat je dat doet. Opnieuw inloggen is genoeg; er gaat intussen niets verloren.
• Ze vereist dat Cloudsynchronisatie eerst uit staat. Als je synchronisatie daarna weer aanzet, worden de registraties die nog op je apparaat staan in de wachtrij gezet en opnieuw geüpload: de verwijdering op de server wordt door je eigen apparaat ongedaan gemaakt.
• Ze wordt niet doorgegeven aan je andere apparaten. Die houden hun lokale kopieën en krijgen geen bericht.

13. Je bediening in de App

Je hoeft ons niet te mailen om je gegevens te beheren. De App geeft je deze ingebouwde bedieningen:

• Account verwijderen: in Instellingen → Account, nadat je een bevestigingswoord hebt getypt. Voert de hierboven beschreven definitieve verwijdering op de server uit en wist de lokale database, sessiegegevens en voorkeuren van de App van dat apparaat. Je kunt ook accountverwijdering op de server aanvragen via [email protected] als je de App niet kunt gebruiken. Sectie 12 zegt wat er blijft bestaan.
• Servergegevens verwijderen: de link ze verwijderen in de regel onder de schakelaar Synchronisatie in het scherm Cloudsynchronisatie, dat opent met de cloudknop bovenaan het scherm Overzicht of Geschiedenis en niet vanuit Instellingen. De link wordt altijd getoond, maar werkt pas zodra de schakelaar uit staat. Verwijdert de serverkopie van je registraties, je medicijncatalogi en je medicijnschema’s definitief, en laat je account en de gegevens op je apparaat staan. Verder dan dat reikt ze niet: je profiel en je therapie-instellingen blijven op onze servers staan totdat je je account verwijdert. Lees de drie opmerkingen hierboven.
• Cloudsynchronisatie: de schakelaar Synchronisatie in datzelfde scherm, en een glumea+-functie. Zet haar op elk moment uit om te voorkomen dat nieuwe gegevens onze servers bereiken, wat ook is hoe je je toestemming intrekt dat wij ze opslaan; uitzetten heeft nooit een actief abonnement nodig. Gegevens die al zijn gesynchroniseerd, blijven op onze servers staan totdat je Servergegevens verwijderen of Account verwijderen gebruikt. Je antwoord op deze schakelaar wordt bij je account bewaard, dus het overleeft uitloggen en gaat met je mee naar een nieuwe telefoon.
• Gebruiksanalyse en Foutrapportage: twee onafhankelijke schakelaars in Instellingen → Gegevens en privacy → Privacy en diagnostiek. Beide staan uit totdat je ze aanzet. Er een uitzetten werkt de voorkeur bij, maar gegevens in de wachtrij kunnen nog steeds worden afgeleverd en uitloggen sluit een al in het lopende proces geïnitialiseerde SDK niet betrouwbaar af.
• Apple Health / Health Connect: koppel, verbreek, of zet afzonderlijke gegevenstypen uit in Instellingen → Integraties. Je kunt de machtiging ook intrekken in het gezondheidsplatform zelf.
• Details in meldingen tonen (Instellingen → Meldingen): uit tenzij je het aanzet. Totdat je dat doet, tonen meldingen algemene tekst.
• Uitloggen: wist de lokale database van de App, je sessiegegevens en je voorkeuren van het apparaat, je keuzes voor analyse en diagnostiek inbegrepen. Niets wat je hebt genoteerd en geen keuze die je hebt gemaakt wordt achtergehouden; de sectie over verwijdering noemt de twee technische waarden die blijven bestaan.
• Export: een met een wachtwoord beschermd .glumea-archief van je registraties, medicijnen, profiel, therapiedoelen en herinneringen, via Instellingen → Gegevens en privacy → Gegevens importeren en exporteren. De CSV- en PDF-glucoserapporten zijn iets anders, gemaakt vanuit het eigen exportscherm van het glucosescherm; het archief en de CSV zijn gratis, en het PDF-rapport is een glumea+-functie.

[email protected] accepteert verzoeken om accountverwijdering zonder de App. Andere verzoeken over rechten buiten de App kunnen daar ook naartoe worden gestuurd, maar de route voor accountverwijdering biedt geen aparte geautomatiseerde export- of correctietool.

14. Je rechten

Op grond van de AVG heb je het recht om:

• Inzage te krijgen in je persoonsgegevens en een kopie ervan te ontvangen.
• Onjuiste of onvolledige gegevens te rectificeren. Je kunt registraties en medicijnen bewerken waar je ze hebt genoteerd, je profiel in Instellingen → Account, en therapie-instellingen waar je ze hebt ingesteld. Er is momenteel geen apart proces voor correctie buiten de App geïmplementeerd.
• Je gegevens te laten wissen (“recht op vergetelheid”). De sectie over verwijdering hierboven vertelt je precies wat wissing bereikt en wat niet.
• De verwerking in bepaalde situaties te beperken.
• Gegevensoverdraagbaarheid: de gegevens die je hebt verstrekt in een gestructureerd, gangbaar en machineleesbaar formaat te ontvangen waar de wet dat recht geeft. De CSV-glucose-export in de App is machineleesbaar en onversleuteld. Het .glumea-archief bevat registraties, medicijnen, profiel, therapiedoelen en herinneringen, maar is versleuteld met een wachtwoord dat alleen jij kent en kan alleen worden geïmporteerd in het glumea-account dat het heeft gemaakt. Via [email protected] is momenteel geen aanvullende eigen export beschikbaar.
• Bezwaar te maken tegen verwerking op grond van onze gerechtvaardigde belangen.
• Op elk moment toestemming in te trekken. Intrekking heeft geen invloed op verwerking die vóór de intrekking rechtmatig was. Voor gesynchroniseerde dagboekgegevens zet je Cloudsynchronisatie uit en gebruik je Servergegevens verwijderen, of verwijder je je account. Voor analyse en diagnostiek gebruik je de twee schakelaars in Instellingen → Gegevens en privacy → Privacy en diagnostiek. Er is geen bediening om alleen het profiel of alleen de therapie-instellingen te verwijderen, en er is momenteel geen zo’n proces beschikbaar via [email protected]. Het account verwijderen is de enige geïmplementeerde manier om die velden uit onze productiedatabase te verwijderen.
• Een klacht in te dienen bij een toezichthoudende autoriteit. Onze leidende toezichthoudende autoriteit is de president van de Poolse gegevensbeschermingsautoriteit (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warschau, Polen. Je kunt ook een klacht indienen bij de gegevensbeschermingsautoriteit van de EU-lidstaat waar je woont, waar je werkt of waar volgens jou een inbreuk heeft plaatsgevonden. Als je in het Verenigd Koninkrijk bent, kun je een klacht indienen bij het Information Commissioner’s Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF.

Gebruik de bedieningen in de App die in sectie 13 worden beschreven waar ze de gevraagde handeling dekken. Voor accountverwijdering zonder de App kun je mailen naar [email protected]. Andere verzoeken over rechten kunnen daar ook naartoe worden gestuurd; deze route voor accountverwijdering biedt zelf geen aparte tool voor inzage, export of correctie.

Als een verwerkingsverantwoordelijke niet op een AVG-verzoek ingaat, vereist artikel 12 dat hij binnen een maand de reden uitlegt en de beschikbare routes voor klachten en voor rechtsmiddelen aanwijst. Die routes blijven beschikbaar, of je nu opnieuw contact opneemt met de verwerkingsverantwoordelijke of niet.

Identiteitsverificatie. Verwijdering in de App berust op je geauthenticeerde sessie. Bij een verzoek per e-mail bevestigen we dat je de controle hebt over het e-mailadres dat aan het account is gekoppeld. Als je daar geen toegang toe hebt, bekijken we of er een andere manier is om het eigendom te verifiëren voordat we het account verwijderen. We vragen niet om je wachtwoord of gezondheidsgegevens om het verzoek te verwerken.

15. Hoe we je gegevens beschermen

• Wachtwoorden worden gehasht met bcrypt, nooit in platte tekst opgeslagen en nooit op je apparaat opgeslagen.
• De lokale database op je apparaat is versleuteld, met een sleutel in de sleutelopslag van het platform die niet naar een ander apparaat wordt gemigreerd.
• Authenticatietokens worden bewaard in de beveiligde opslag van je apparaat, de iOS Keychain of de opslag op basis van de Android Keystore.
• De App praat met onze servers via HTTPS, en beide platforms blokkeren standaard verbindingen in platte tekst; we hebben daar op iOS noch op Android een uitzondering voor toegevoegd.
• Onze database draait binnen Google Cloud, alleen bereikbaar via een privé Cloud SQL-socket, met inloggegevens in Google Secret Manager.
• We schrijven de waarden die je noteert, glucosemetingen, insulinedoses, niet in onze applicatielogs. Een foutlogregel legt de statuscode, het pad, het tijdstip en de foutmelding vast, die bij een afgewezen verzoek de velden noemt die de validatie niet doorstonden. Ze bevat niet de inhoud van het verzoek.
• Meldingen tonen standaard algemene tekst, dus een melding zet je gezondheidsgegevens niet op je vergrendelscherm.
• Toegang tot de productiedatabase is beperkt tot de mensen die de dienst beheren, wat betekent dat wij haar kunnen lezen. Wat haar tegen iedereen anders beschermt, is toegangscontrole en versleuteling tijdens transport en in rust.

Geen enkel systeem is perfect beveiligd. De bovenstaande maatregelen zijn wat we doen om te beperken hoe ver de gevoelige delen van je gegevens worden blootgesteld.

Een incident met persoonsgegevens kan aanleiding zijn voor kennisgeving aan toezichthoudende autoriteiten of getroffen personen op grond van de artikelen 33 en 34 AVG, de Health Breach Notification Rule van de FTC of ander toepasselijk recht. Elk stelsel heeft zijn eigen reikwijdte en termijn, en die wettelijke plichten gelden los van dit beleid.

16. Kinderen

glumea is niet gericht op kinderen. Je moet minstens 16 jaar oud zijn om de App te gebruiken. Dat is een voorwaarde van de dienst, ongeacht de locatie. We bieden geen route voor ouderlijke toestemming. Het proces voor accountverwijdering in de App en de beperkingen in sectie 12 zijn van toepassing op elk account dat wordt aangemerkt als van iemand jonger dan 16. Zorgen over een account van een minderjarige kunnen worden gestuurd naar [email protected].

17. Opmerkingen voor gebruikers in de Verenigde Staten

Het privacyrecht in de VS verschilt per staat, en de toepasselijkheid hangt af van woonplaats, wettelijke drempels en het type gegevens. De bedieningen in de App die in sectie 13 worden beschreven, zijn beschikbaar los van die drempels. Toepasselijke wettelijke rechten blijven van kracht, ook waar het huidige product geen apart proces voor verzoeken heeft.

• HIPAA: glumea is een product rechtstreeks voor de consument. We leveren geen zorg, we verwerken geen claims en we hebben geen contract met een zorgverzekeraar of zorgverlener om gegevens namens hen te verwerken, dus we vervullen geen van de twee rollen die HIPAA regelt, een “covered entity” of een “business associate”, en we beweren niet aan HIPAA te voldoen. Records die je eigen arts over jou bewaart, vallen in zijn handen onder HIPAA; dat staat los van de kopie die je in glumea bewaart. De Amerikaanse regels waaraan we voor glumea werken, zijn de Health Breach Notification Rule van de FTC en de hieronder genoemde gezondheidsprivacywetten van staten.
• Californië (CCPA/CPRA): de toepasselijkheid hangt af van de wettelijke drempels voor bedrijven. De hier beschreven gegevens kunnen gevoelige persoonlijke informatie omvatten. We verkopen persoonlijke informatie niet en delen haar niet voor gedragsgerichte reclame over contexten heen. Als de CCPA van toepassing is, gelden de regels over inzage, correctie, verwijdering, overdraagbaarheid, opt-out en non-discriminatie los van dit beleid. De bedieningen in de App en het verzoek om accountverwijdering per e-mail blijven beschikbaar, ongeacht de drempel.
• Washington (My Health My Data Act): de gegevens die je noteert zijn “consumentengezondheidsgegevens”. Washington vereist daarvoor een apart beleid; zie het Privacybeleid voor consumentengezondheidsgegevens. Het beschrijft de categorieën, bronnen, doeleinden, ontvangers, wettelijke rechten en de huidige operationele beperkingen van het proces voor verzoeken en beroep.
• Nevada (wet op consumentengezondheidsgegevens, SB 370 van 2023): de gegevens die je noteert zijn ook onder de wet van Nevada “consumentengezondheidsgegevens”. Je hebt het recht om te bevestigen of we ze verzamelen, delen of verkopen, om een lijst te krijgen van de derden met wie ze zijn gedeeld of aan wie ze zijn verkocht, om ze te laten verwijderen en om je toestemming in te trekken, wat Nevada als twee afzonderlijke toestemmingen behandelt: een voor verzameling en een voor delen. De wet van Nevada wordt gehandhaafd door de procureur-generaal. Onze Privacymelding Nevada over consumentengezondheidsgegevens zet die rechten uiteen, de termijnen die erop van toepassing zijn, die voor verwijdering korter zijn dan die van Washington, en de vier mededelingen die Nevada vraagt.
• Verzoeken en beroep. Toepasselijk staatsrecht kan een schriftelijke toelichting, een beroepsroute en informatie over het indienen van een klacht bij de procureur-generaal van de staat vereisen. Er is momenteel geen apart beroepsproces per e-mail geïmplementeerd bij [email protected], dus het huidige proces biedt die route niet waar ze vereist is. De vereisten van Washington worden beschreven in het Privacybeleid voor consumentengezondheidsgegevens.
• Andere toepasselijke rechten op grond van staatsrecht worden door dit beleid niet beperkt.

18. De website glumea.com

De Website is een statische site met informatie over glumea en deze juridische documenten. Ze is bewust minimaal:

• Geen cookies.
• Geen analyse, en geen verzoeken naar herkomsten van derden. Alles wat de pagina nodig heeft, lettertypen en scripts inbegrepen, wordt door glumea.com zelf geserveerd, en het contentbeveiligingsbeleid van de site blokkeert elke andere herkomst volledig. De pagina zelf wordt bezorgd door onze host, die het verzoek noodzakelijkerwijs ziet; het laatste punt in deze lijst zegt wie dat is en wat die logt. De site draait wel een kleine hoeveelheid eigen JavaScript: twee inline fragmenten die je thema toepassen en je naar de juiste taal sturen, plus een paar gebundelde bestanden achter het navigatiemenu, de schakelaars voor thema en taal, en de animatie die blokken onthult terwijl je scrolt. Niets daarvan verstuurt iets naar ergens.
• Geen tracking over sites heen, en dus niets wat een signaal van Do Not Track of Global Privacy Control kan uitschakelen. De Website plaatst geen advertentie- of analysecookies, doet geen verzoeken aan derden en we verkopen of delen geen persoonlijke informatie.
• De localStorage van de browser wordt alleen gebruikt voor functionele voorkeuren (je keuze van thema en taal). Deze waarden blijven in je browser en worden niet naar ons verzonden. Ze worden alleen ingesteld omdat je een thema of een taal hebt gekozen, en daarom is er geen toestemmingsbanner voor nodig.
• De site wordt geserveerd door Firebase Hosting (Google). Zoals de meeste webhosts kan de aanbieder standaardserverlogs vastleggen, IP-adres, tijdstip van het verzoek, browsertype, voor beveiliging en om de dienst te laten werken. We doen hiervoor een beroep op gerechtvaardigde belangen (artikel 6, lid 1, onder f, AVG), specifiek de site beschikbaar houden en haar tegen misbruik beschermen, en logs worden alleen bewaard zolang dat voor die doeleinden nodig is.

19. Wijzigingen in dit beleid

De huidige versie wordt hier gepubliceerd met haar ingangsdatum. Het toepasselijke recht bepaalt of een wijziging een voorafgaande kennisgeving, hernieuwde toestemming of een andere handeling vereist. Het publiceren van een bijgewerkt beleid machtigt op zichzelf geen nieuw doel waarvoor toestemming of een andere rechtsgrond nodig is.

20. Taal

Dit beleid is in het Engels gepubliceerd. De Engelse versie is de juridisch bindende. Vertalingen in andere talen worden gepubliceerd zodat je het beleid in je eigen taal kunt lezen. Waar een vertaling en de Engelse tekst van elkaar verschillen, is de Engelse tekst bepalend.

De uitzondering is de wet zelf. Waar het land waar je woont de taal waarin je bent aangesproken een eigen status geeft, zoals het consumentenrecht van verschillende landen doet, geldt die regel in plaats van deze, en niets hier neemt een recht van je af dat je daaronder hebt.

Een vertaling wordt gepubliceerd wanneer ze klaar is, dus ze kan na een update achterlopen op de Engelse tekst. Als je een plek vindt waar een vertaling en de Engelse tekst iets anders zeggen, laat het ons weten via [email protected].

21. Contact

Vragen, zorgen of verzoeken over je gegevens:

• E-mail: [email protected]
• Post: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polen

Gerelateerde documenten: Servicevoorwaarden, Medische disclaimer en, voor inwoners van Washington, ons Privacybeleid voor consumentengezondheidsgegevens, of voor inwoners van Nevada onze Privacymelding Nevada over consumentengezondheidsgegevens.