Polityka prywatności danych zdrowotnych konsumenta

Na jakie pytania odpowiada ten dokument

To jest polityka danych zdrowotnych konsumenta, której wymaga waszyngtońska ustawa My Health My Data Act. Jest celowo wąska, ponieważ ustawa ta żąda samodzielnego dokumentu, który niesie wyłącznie to, czego ona sama wymaga.

Co liczy się tutaj jako moje dane zdrowotne? Sekcje 2 i 3.
Skąd pochodzą i kto jeszcze je widzi? Sekcje 4 i 5.
Co mogę wyłączyć? Sekcja 7.
Jakie mam prawa i ile macie na nie czasu? Sekcje 8.1 i 8.2.
Dokąd naprawdę sięga usunięcie? Sekcja 9.
A jeśli odmówicie? Sekcja 10.

Jeśli jesteś w Nevadzie, Twoje prawa i terminy są inne i opisuje je nasza Informacja o prywatności danych zdrowotnych konsumenta w Nevadzie. Wszystko, co znajduje się w sekcjach od 2 do 5 oraz w sekcji 9 poniżej, dotyczy również Ciebie, a tamta informacja odsyła po to tutaj.

Wszystko inne na temat Twoich danych – podstawy prawne, bezpieczeństwo, dzieci, przekazywanie danych za granicę, witryna – znajduje się w Polityce prywatności, która również Cię dotyczy.

1. Kim jesteśmy i czego dotyczy ta polityka

Ten dokument dotyczy wyłącznie danych zdrowotnych konsumenta. Prawo stanu Waszyngton wymaga, żeby był odrębny od naszej ogólnej Polityki prywatności, jest więc węższy: nie powtarza tych sekcji Polityki prywatności, które mówią o podstawach prawnych, bezpieczeństwie, dzieciach, przekazywaniu danych za granicę i o witrynie glumea.com. Po to wszystko sięgnij do Polityki prywatności.

Dotyczy natomiast aplikacji glumea: tego, co zbiera, dokąd to trafia i co możesz wyłączyć albo kazać usunąć. Paweł Milewski Software Development („Operator”, „my”, „nas”, „nasz”) dostarcza glumea („Aplikacja”) i glumea.com („Witryna”); ta polityka dotyczy Aplikacji. Nasz adres pocztowy i e-mail znajdziesz w sekcji 13.

Obok tej polityki i Polityki prywatności obowiązują dwa dalsze dokumenty: Warunki korzystania z usługi i Zastrzeżenie medyczne.

Dotyczy Ciebie, jeśli jesteś mieszkańcem stanu Waszyngton albo jeśli Twoje dane zdrowotne konsumenta zebrano podczas Twojego pobytu w stanie Waszyngton (My Health My Data Act, RCW 19.373).

Nevada ma własną informację. Prawo Nevady (NRS 603A.400 i nast.) daje Ci inne prawa w innych terminach i wymaga od nas czterech ujawnień, których nie wymaga stan Waszyngton, więc znajdują się one w Informacji o prywatności danych zdrowotnych konsumenta w Nevadzie, a nie tutaj. Sekcje od 2 do 5 oraz sekcja 9 tego dokumentu opisują, co glumea robi z danymi zdrowotnymi, i obowiązują niezależnie od tego, gdzie mieszkasz.

2. Co rozumiemy przez dane zdrowotne konsumenta

Zgodnie z waszyngtońską ustawą My Health My Data Act dane zdrowotne konsumenta to dane osobowe powiązane z Tobą lub dające się rozsądnie z Tobą powiązać, które wskazują Twój przeszły, obecny lub przyszły stan zdrowia fizycznego albo psychicznego – wyraźnie obejmując funkcje organizmu, parametry życiowe, pomiary, diagnozy, leczenie i leki.

Większość tego, co glumea zapisuje, mieści się w tej definicji. Pomiar glukozy we krwi, dawka insuliny i nazwa leku to wyraźne przykłady.

Ponieważ glumea jest aplikacją dla osób z cukrzycą, samo posiadanie konta już ujawnia coś o Twoim zdrowiu. Dlatego na potrzeby tej polityki traktujemy identyfikator Twojego konta i adres e-mail przypisany do konta jako dane zdrowotne konsumenta, choć nie są pomiarami zdrowotnymi. Z tego samego powodu traktujemy jako dane zdrowotne konsumenta pseudonimowy identyfikator urządzenia oraz opisane niżej logi żądań serwera.

3. Jakie kategorie zbieramy i po co

Kategoria	Co obejmuje	Po co ją zbieramy
Pomiary glukozy we krwi	Wartość, data i godzina, tagi kontekstu (w tym tagi wpisane przez Ciebie), notatki w postaci swobodnego tekstu	Aby pokazywać Ci Twoje pomiary, wykresy i statystyki Czasu w zakresie oraz aby planować przypomnienia o ponownym pomiarze opisane w Zastrzeżeniu medycznym
Wpisy o jedzeniu i węglowodanach	Węglowodany, opcjonalnie białko, tłuszcze i kalorie oraz wpisana przez Ciebie nazwa	Aby umożliwić Ci zapisywanie i przeglądanie tego, co jesz, obok Twoich pomiarów
Dawki insuliny, tabletek i zastrzyków	Jednostki, liczba sztuk, godziny dawek i lek, do którego należą	Aby umożliwić Ci zapisywanie i przeglądanie Twojego leczenia
Twoje katalogi leków	Nazwy leków (na przykład marka insuliny), typ, moc, odstęp dawkowania i parametry farmakokinetyczne	Aby dawki dało się zapisywać przy prawdziwym leku, a Aplikacja mogła je poprawnie wyświetlać
Harmonogramy leków	Który lek, pora dnia, dni tygodnia oraz to, czy przypomnienie może się pojawić w Godzinach ciszy	Aby dostarczać przypomnienia o lekach, które sobie ustawisz
Przypomnienia o pomiarach i ustawienia powiadomień	Godziny i dni tygodnia Twoich przypomnień o pomiarze glukozy, Twoje okno Godzin ciszy, tryb choroby oraz to, czy szczegóły przypomnienia są pokazywane na ekranie blokady	Aby dostarczać przypomnienia, o które poprosisz, i aby przechowywać ustawienia przypomnień, których jeszcze nie zbudowano. Zaplanowane przypomnienia o pomiarze glukozy nie są dziś dostarczane: możesz ustawić godziny, a nic nie przychodzi. Przypomnienia o lekach oraz przypomnienia o ponownym pomiarze po bardzo niskim albo bardzo wysokim wyniku są dostarczane. Twoje ustawienia Godzin ciszy i ekranu blokady zostają na Twoim urządzeniu
Pomiary ciała	Historia wagi i wzrost	Aby pokazywać wagę w czasie i wyświetlać Twoje wpisy w wybranych przez Ciebie jednostkach
Profil cukrzycy i leczenia	Imię, które sobie wybierzesz, Twój wiek, Twoja płeć, jeśli ją podasz, typ cukrzycy, sposób podawania insuliny oraz to, czy leczysz się tabletkami, zastrzykami czy dietą	Aby ustawić Aplikację pod to, jak faktycznie prowadzisz swoją cukrzycę
Ustawienia terapii	Twój docelowy zakres glukozy, współczynnik wrażliwości na insulinę (ISF) i współczynnik insulina-węglowodany (ICR)	Aby pokazywać Twój zakres docelowy na wykresach i trzymać Twoje wartości w jednym miejscu. Twój zakres docelowy trafia do raportu glukozy w PDF, jeśli go wygenerujesz, a Twój współczynnik insulina-węglowodany trafia tam wtedy, gdy w okresie objętym raportem jest dawka insuliny. Eksport CSV nie zawiera żadnego z nich, a współczynnika wrażliwości na insulinę nie ma ani w CSV, ani w PDF – jest on w zaszyfrowanym archiwum `.glumea`, które niesie całe Twoje konto. Aplikacja nigdy nie używa ich do wyliczania ani do podpowiadania dawki. Współczynnik wrażliwości na insulinę służy jednak do jeszcze jednej rzeczy: do komunikatu o ryzyku hipoglikemii pokazywanego obok aktywnej insuliny, co opisuje Zastrzeżenie medyczne
Dane zaimportowane z Apple Health lub Health Connect	Wpisy o glukozie we krwi, wadze i węglowodanach	Tylko jeśli je podłączysz: aby nie trzeba było przepisywać ręcznie pomiarów, które Twoje inne urządzenia już zapisały. Zaimportowane wpisy stają się zwykłymi wpisami i idą tą samą drogą co wszystko, co wpisujesz – w tym na nasze serwery, gdy synchronizacja w chmurze jest włączona
Wartości, które Aplikacja wylicza na Twoim urządzeniu	Szacunkowa aktywna insulina oraz pokazywany obok niej komunikat o ryzyku hipoglikemii i przybliżony zakres obniżenia; średnia glukoza i jej rozrzut; Czas w zakresie; szacunkowa A1C (GMI); sugerowana godzina Twojego następnego pomiaru; a także etykieta Dobry / Zadowalający / Krytyczny przy Twoim ostatnim pomiarze	Aby pokazać Ci podsumowanie tego, co zapisujesz. Są liczone na Twoim urządzeniu, a Zastrzeżenie medyczne wyjaśnia, czym każda z nich jest, a czym nie jest
Identyfikator konta i adres e-mail	UUID Twojego konta i adres e-mail używany do logowania	Aby dać Ci konto i synchronizować z nim Twoje wpisy
Status subskrypcji	Identyfikator Twojego konta i to, czy glumea+ jest aktywna, zgodnie z tym, co przekazują Apple lub Google przez RevenueCat	Aby odblokować to, za co płacisz. Nie niesie żadnych pomiarów, leków ani wpisów
Zdarzenia analityki produktowej (tylko za Twoją zgodą)	To, że zapisano wpis danego rodzaju (glukoza, insulina, tabletka, zastrzyk, jedzenie, waga), czy zapis nastąpił z formularza, czy z przycisku akcji w przypomnieniu, ile wierszy ten zapis utworzył oraz czy zapisano go w ciągu mniej więcej piętnastu minut od zdarzenia, później tego samego dnia, czy z datą wsteczną; że otworzysz formularz wpisu i na jakim rodzaju wpisu się otworzy; że Aplikacja została uruchomiona i – osobno – że została uruchomiona po raz pierwszy po instalacji; że ukończono rejestrację lub logowanie oraz że kod wysłany e-mailem został zweryfikowany albo odrzucony, wraz z tym, do którego procesu należał; które kroki konfiguracji początkowej ukończysz, w tym te dotyczące typu cukrzycy i leczenia, oraz że profil został wypełniony; które ekrany otwarto, w postaci stałych nazw tras; że dotkniesz przypomnienia i jakiego rodzaju; że pojawiła się prośba o zgodę na powiadomienia i czy została udzielona; czy podłączysz Apple Health lub Health Connect, czy system operacyjny udzieli uprawnienia, czy go odmówi, że zażądano importu, oraz liczby zaimportowanych wpisów wraz z tym, co ten import uruchomiło; że wygenerujesz eksport, w jakim formacie i czy go udostępnisz; że wyłączysz analitykę; zdarzenia dotyczące subskrypcji i zakupów; a także Twój język, motyw, preferencje jednostek i status subskrypcji. Nigdy żadnej wartości, nazwy, notatki ani niczego innego, co wpiszesz. Zdarzenia rejestrowane w zalogowanej sesji są powiązane z identyfikatorem Twojego konta; te, które mogą wystąpić przed zalogowaniem – pierwsze uruchomienie, uruchomienia aplikacji, rejestracja i weryfikacja kodu – są powiązane z pseudonimowym identyfikatorem urządzenia	Aby zrozumieć, z których części Aplikacji się korzysta. Niesie to wnioski o zdrowiu – że zapisujesz insulinę albo leki i jak szybko po fakcie to robisz – i dlatego jest tu wymienione oraz dlatego nic nie jest zbierane, dopóki tego nie włączysz
Informacje techniczne i o urządzeniu	Pseudonimowy identyfikator urządzenia, z którym powiązane są zdarzenia analityczne sprzed zalogowania; model urządzenia, system operacyjny, wersja aplikacji, wydanie i kompilacja oraz podobne wartości techniczne, które SDK PostHoga, Sentry i RevenueCat dołączają same z siebie; a także adres sieciowy, z którego łączy się Twoje urządzenie, widziany przez ich serwery – sekcja 5 mówi, co każdy z nich z nim robi	Nie ustawiamy tych wartości; zbierają je SDK. Te dotyczące analityki i diagnostyki istnieją tylko wtedy, gdy włączysz przełącznik Analityka użycia albo Raportowanie błędów. Są tu wymienione, ponieważ są powiązane z korzystaniem z aplikacji dla osób z cukrzycą i ponieważ identyfikator urządzenia wiąże ze sobą Twoje zdarzenia sprzed zalogowania. Żadna z nich nie zawiera pomiaru, leku ani niczego, co wpiszesz
Logi żądań serwera	Adres, ścieżka i czas żądań, które Twoje urządzenie wysyła do naszych serwerów, a przy nieudanym żądaniu – status, ścieżka, czas i komunikat błędu	Aby prowadzić zaplecze i badać awarie. Nie zawierają wpisów, leków ani pomiarów, ani niczego, co wpiszesz. Są tu wymienione, ponieważ żądanie do zaplecza glumea jest powiązane z Twoim korzystaniem z aplikacji dla osób z cukrzycą

Używamy danych zdrowotnych konsumenta do tych celów i do żadnych innych. Nie używamy ich do reklamy, kierowania reklam, profilowania, decyzji kredytowych ani ubezpieczeniowych, ani do badań, i nie używamy ich do podejmowania zautomatyzowanych decyzji wobec Ciebie.

Część z powyższych danych w ogóle nie opuszcza Twojego urządzenia: godziny Twoich przypomnień o pomiarze, Twoje Godziny ciszy, tryb choroby, Twoje ustawienie ekranu blokady i Twoje ustawienia połączenia z danymi o zdrowiu są przechowywane wyłącznie lokalnie i nie są wysyłane na nasze serwery. Wyjątkiem są Twoje harmonogramy leków – należą do dziennika, więc są kopiowane na nasze serwery, gdy Synchronizacja w chmurze jest włączona, bo przypomnienie o leku musi przetrwać zmianę telefonu.

4. Skąd pochodzą

Źródeł jest sześć:

Ty, gdy wpisujesz wpisy do Aplikacji albo ustawiasz swój profil, leki i przypomnienia.
Platforma zdrowotna Twojego urządzenia – Apple Health albo Health Connect – gdy ją podłączysz i przyznasz uprawnienie w systemie operacyjnym. To połączenie działa wyłącznie do odczytu: glumea nigdy nie zapisuje niczego z powrotem w Apple Health ani w Health Connect, a na iOS nie ma nawet uprawnienia (entitlement), które by na to pozwalało.
Sama Aplikacja, gdy wylicza na Twoim urządzeniu wartości z tego, co wprowadzisz.
Apple, Google i RevenueCat, które informują nas, czy Twoja subskrypcja glumea+ jest aktywna. To fakt płatniczy przypisany do identyfikatora Twojego konta; nie niesie żadnych pomiarów, leków ani wpisów. Dociera do nas zarówno w Aplikacji, jak i jako komunikat serwer–serwer wysyłany przez RevenueCat do naszego zaplecza.
SDK PostHoga, Sentry i RevenueCat wbudowane w Aplikację, które same z siebie zbierają wymienione w sekcji 3 wartości dotyczące urządzenia i sieci. My ich nie ustawiamy.
Nasza platforma hostingowa i nasze zaplecze, które zapisują logi żądań serwera opisane w sekcji 3.

Apple Health i Health Connect liczą się jako źródło. Pomiary, które przechowują, zostały zapisane przez coś innego, a import wprowadza je do glumea jako zwykłe wpisy – w tym na nasze serwery, gdy synchronizacja w chmurze jest włączona.

Nie kupujemy danych zdrowotnych konsumenta. Poza platformą zdrowotną, którą podłączysz, i tym sygnałem o subskrypcji nie otrzymujemy ich od nikogo – ani od brokerów danych, ani od sieci reklamowych, ani od podmiotów leczniczych, ani od ubezpieczycieli.

5. Kto jeszcze je przetwarza i co dostaje

Nic w tej sekcji nie jest sprzedażą. To są firmy, które prowadzą dla nas części glumea, to jest wszystko, co każda z nich otrzymuje, i żadnej z nich nie upoważniamy do wykorzystywania tego, co jej wysyłamy, do jej własnych celów. Wyjątkiem są Apple i Google, które umieszczamy w tabeli dla kompletności: prowadzą sklepy, przez które sprzedawana jest glumea+, mają własny rejestr Twojego zakupu, ponieważ kupujesz ją u nich, a nie dlatego, że im go przesłaliśmy, i same decydują, co z nim zrobić. Nie są naszymi podmiotami przetwarzającymi i nie wydajemy im poleceń. Jedno zastrzeżenie: SDK dostawcy działające wewnątrz Aplikacji może też samo z siebie zbierać informacje o urządzeniu i sieci, których ani nie konfigurujemy, ani nie otrzymujemy. Tak robi SDK RevenueCat, a to, co RevenueCat może z nimi zrobić, jest uregulowane w umowie, którą z nim podpisaliśmy, i opisane w jego własnej informacji o prywatności.

Kto	Co otrzymuje	Po co	Kontakt
Google Cloud (Google) – Cloud Run i Cloud SQL, region `europe-west1`	Adres e-mail Twojego konta, Twój profil i Twoje ustawienia terapii, które są przechowywane na naszych serwerach niezależnie od tego, czy korzystasz z synchronizacji w chmurze; a gdy Synchronizacja w chmurze jest włączona – także Twój dziennik: wpisy, katalogi leków i harmonogramy leków	Hostują nasze zaplecze i bazę danych. To tam znajduje się serwerowa kopia Twoich danych. Google Cloud Logging przechowuje też nasze logi żądań serwera, opisane w sekcji 3	support.google.com/policies/contact/general_privacy_form
Zoho ZeptoMail	Adres e-mail przypisany do Twojego konta oraz jednorazowy kod weryfikacyjny albo kod resetu hasła, który jest na ten adres wysyłany. Żadnych wpisów, żadnych leków, żadnych pomiarów	Aby dostarczać kody weryfikacji rejestracji, resetu hasła i zmiany adresu e-mail	[email protected]
PostHog (EU Cloud) – tylko jeśli włączysz analitykę	Zdarzenia wymienione w tabeli powyżej, powiązane z identyfikatorem Twojego konta po zalogowaniu, a wcześniej z pseudonimowym identyfikatorem urządzenia, oraz właściwości wyprowadzone z Twoich ustawień (język, motyw, jednostki glukozy/wagi/węglowodanów, status subskrypcji). Własny SDK PostHoga dołącza właściwości techniczne już po zadziałaniu naszego filtra – model urządzenia, system operacyjny, wersję aplikacji i podobne wartości, których nie ustawiamy. Jego serwery widzą też adres sieciowy, z którego łączyło się Twoje urządzenie: PostHog otrzymuje go przy każdym żądaniu i wyprowadza z niego przybliżoną lokalizację; nie włączyliśmy opcji PostHog odrzucającej ten adres, więc jest on przechowywany razem ze zdarzeniem	Analityka produktowa	[email protected]
Sentry (diagnostyka, region UE) – tylko jeśli włączysz diagnostykę	Raporty o awariach i błędach: typ wyjątku, oczyszczony ślad stosu, rodzina/model/architektura urządzenia, wersja systemu i aplikacji, wydanie i kompilacja aplikacji, znaczniki czasu, identyfikatory obrazów debugowania, pozbawione treści znaczniki breadcrumbów (kategoria i poziom, nigdy tekst) oraz krótka etykieta nazywająca operację, która się nie powiodła. Sentry widzi też adres sieciowy, z którego wysłano raport: Aplikacja jest skonfigurowana tak, by go nie wysyłać, więc do raportu nie jest dołączany żaden adres IP, ale serwery Sentry z konieczności widzą adres, z którego raport przychodzi. Aplikacja wysyła dodatkowo okresowe sygnały o sesjach bez awarii, tworzone przez własny SDK platformy Sentry, które nie przechodzą przez opisany niżej filtr	Aby znajdować i naprawiać awarie	[email protected]
RevenueCat	Identyfikator Twojego konta oraz stan Twojego zakupu i subskrypcji glumea+. Nasz kod nie dołącza do tego niczego więcej: nie ustawiamy żadnego adresu e-mail, żadnego imienia, żadnego identyfikatora urządzenia ani żadnego własnego atrybutu subskrybenta. RevenueCat może przechowywać o Tobie własne atrybuty subskrybenta, a tam, gdzie tak jest, wracają one do nas wewnątrz komunikatów, które wysyła do naszego zaplecza i które zapisujemy w takiej postaci, w jakiej przychodzą – sekcja 9 mówi, co się z nimi dzieje. Ich własny SDK sam z siebie zbiera pewne informacje o urządzeniu i sieci, których nasz kod ani nie ustawia, ani nie blokuje: adres sieciowy, z którego wyprowadza przybliżoną lokalizację, typ urządzenia, wersję systemu operacyjnego i aplikacji oraz historię zakupów w sklepie, którą odczytuje; nasz kod nie włącza zbierania identyfikatorów reklamowych. Żadnych wpisów, żadnych leków, żadnych pomiarów	Aby powiedzieć Aplikacji, czy Twoja subskrypcja jest aktywna	[email protected]
Apple i Google, które prowadzą sklepy, przez które sprzedawana jest glumea+	Rejestry zakupów i subskrypcji. Żadnych wpisów, żadnych leków, żadnych pomiarów	Przyjmują płatność i utrzymują z Tobą relację rozliczeniową; to, kto jest sprzedawcą formalnym (seller of record), zależy od sklepu i od Twojego terytorium, co wyjaśniają Warunki korzystania z usługi. Nigdy nie widzimy danych Twojej karty	apple.com/legal/privacy/contact · support.google.com/policies/contact/general_privacy_form

Nikt więcej. Żaden podmiot powiązany z Paweł Milewski Software Development nie otrzymuje danych zdrowotnych konsumenta i nie ujawniamy ich reklamodawcom, brokerom danych, ubezpieczycielom ani pracodawcom. Ujawnilibyśmy je, gdyby zmusiło nas do tego prawo – na przykład wiążące postanowienie sądu – i powiedzielibyśmy Ci o tym, chyba że przepisy nam tego zabraniają.

Każda z powyższych firm przetwarza Twoje dane zdrowotne konsumenta wyłącznie po to, żeby prowadzić dla nas część glumea. Dlatego opisane niżej wybory są wyborami dotyczącymi tego, co w ogóle jest zbierane: nie ma osobnego przełącznika „udostępnianie”, który moglibyśmy Ci dać, bo poza powyższą listą nie ma żadnego udostępniania.

Dwie uwagi o tym, co analityka i diagnostyka mogą, a czego nie mogą nieść:

Analityka nie może otrzymać pomiaru, notatki, nazwy leku, wpisanego przez Ciebie tagu ani Twojego adresu e-mail. Aplikacja filtruje każde zdarzenie analityczne względem stałej listy nazw zdarzeń, a dla każdej z nich – względem stałej listy właściwości o stałych dozwolonych kształtach. Wszystko, czego na liście nie ma, jest odrzucane, a nie przepuszczane, i żadna właściwość nigdzie nie przyjmuje swobodnego tekstu. To, co PostHog rzeczywiście dostaje, to kształt Twojego korzystania z Aplikacji – w tym fakt, że zapisujesz insulinę albo leki, co jest wnioskiem o zdrowiu i dlatego analityka jest osobnym wyborem, którego musisz dokonać.
Raporty diagnostyczne są przed wysłaniem budowane od nowa z listy dozwolonych pól, a raport nie niesie użytkownika, identyfikatora konta ani treści komunikatu. Dwa ograniczenia: etykieta nazywająca nieudaną operację może ujawnić, której kategorii danych ta operacja dotyczyła (na przykład importu glukozy), nigdy wartości; a natywne awarie, zdarzenia „aplikacja nie odpowiada” i zdarzenia watchdog powstają w systemowym module obsługi awarii i mogą trafić do Sentry, nie przechodząc przez ten filtr.

5.1 Kopie, które tworzysz samodzielnie

Raporty glukozy w PDF i CSV oraz zaszyfrowane archiwum .glumea trafiają tam, gdzie je wyślesz. Gdy przekażesz plik innej aplikacji, wiadomości e-mail albo osobie, jest on poza naszą kontrolą. Archiwum .glumea jest zaszyfrowane hasłem, które znasz tylko Ty – my nie możemy go otworzyć i nie może tego nikt, komu nie dasz hasła.

5.2 Kopie zapasowe urządzenia

Lokalna baza danych Aplikacji jest zaszyfrowana na Twoim urządzeniu kluczem przechowywanym w systemowym magazynie kluczy, który nigdy tego urządzenia nie opuszcza. Na Androidzie kopia zapasowa i przenoszenie z urządzenia na urządzenie są dla glumea całkowicie wyłączone. Na iOS kopia pliku bazy danych może nadal znaleźć się w Twojej kopii zapasowej iCloud, ale bez klucza nie da się jej odczytać. Apple i Google nie otrzymują więc tą drogą czytelnych danych zdrowotnych konsumenta – a przeniesienie na nowy telefon musi przejść przez synchronizację w chmurze albo przez archiwum .glumea.

6. Nie sprzedajemy danych zdrowotnych konsumenta

Nie sprzedajemy danych zdrowotnych konsumenta i nigdy ich nie sprzedaliśmy. Prawo stanu Waszyngton wymaga przed jakąkolwiek sprzedażą odrębnego, podpisanego przez Ciebie „ważnego upoważnienia” (valid authorization); nie mamy żadnego i nie prosiliśmy Cię o nie. Sprzedaż mogłaby nastąpić wyłącznie na podstawie upoważnienia, którego udzielisz z własnej woli, które musi dokładnie mówić, co i komu jest sprzedawane, i które możesz odwołać.

glumea nie zawiera żadnego SDK reklamowego, żadnego identyfikatora reklamowego, żadnego SDK atrybucji ani pomiaru skuteczności, ani żadnego SDK lokalizacji. glumea nigdy nie prosi o uprawnienie do lokalizacji i nie zbiera żadnych danych o dokładnej lokalizacji – żadna z kompilacji na obie platformy nie deklaruje uprawnienia do lokalizacji, więc Aplikacja w ogóle nie może odczytać lokalizacji Twojego urządzenia. Jedyną rzeczą niosącą jakikolwiek sygnał geograficzny jest adres sieciowy, z którego łączy się Twoje urządzenie, widziany przez nasze serwery i przez dostawców z sekcji 5 tak samo, jak widzi go każda usługa internetowa, i z którego można wywnioskować przybliżony region. Nie używamy go do ustalania Twojego położenia i nie wyprowadzamy z niego ani nie przechowujemy lokalizacji. Nie przetwarzamy danych zdrowotnych konsumenta na potrzeby reklamy, nie udostępniamy ich do reklamy behawioralnej łączącej różne konteksty (cross-context behavioral advertising) i nie prowadzimy – ani nie moglibyśmy prowadzić – geoogrodzenia (geofence) wokół żadnej placówki ochrony zdrowia.

7. Po co je zbieramy i co możesz przełączyć

Większość tego, o czym mówi ta polityka, przekazujesz nam świadomie, wpisując to do Aplikacji. Zbieramy to, bo na tym polega Aplikacja, z której chcesz korzystać, i nie zbieramy niczego ponad to, czego Aplikacja potrzebuje do działania, bez uprzedniego zapytania Cię o zgodę.

Synchronizacja w chmurze – czyli to, czy Twoje wpisy w ogóle są kopiowane na nasze serwery – jest funkcją glumea+ i jest wyłączona, dopóki jej nie włączysz. Włączenie ma dwa kroki. Bez aktywnej subskrypcji glumea+ Aplikacja pokazuje Ci ekran subskrypcji, zamiast cokolwiek włączać. Gdy subskrypcja jest aktywna, Aplikacja prosi Cię następnie o potwierdzenie, w osobnym kroku, że zgadzasz się na przechowywanie Twoich danych zdrowotnych na naszych serwerach. To potwierdzenie jest Twoją zgodą, jest wymagane za każdym razem, gdy przełącznik jest włączany, a nie tylko za pierwszym razem, a ponowne wyłączenie przełącznika ją wycofuje. Znajdziesz je w panelu Synchronizacja, który otwiera się przyciskiem chmury u góry ekranu Podsumowanie albo Historia; przełącznik w środku nazywa się Synchronizacja w chmurze. Gdy jest wyłączony, nowe wpisy zostają na Twoim urządzeniu. Wpisy, które są już na naszych serwerach, zostają tam, dopóki ich nie usuniesz, a ponowne włączenie synchronizacji wysyła na serwer wpisy zachowane na Twoim urządzeniu.

Twoja odpowiedź na ten przełącznik jest przechowywana na Twoim koncie na naszych serwerach, a nie na telefonie. Przetrwa wylogowanie i idzie z Tobą na nowe urządzenie, a wyłączenie jest zapisywane tak samo – jeśli wyłączysz przełącznik bez połączenia z siecią, Aplikacja zachowa tę odpowiedź i dostarczy ją przy najbliższej okazji, zamiast ją porzucić. Jeśli glumea+ się skończy, tworzenie kopii zapasowej zostaje wstrzymane, a panel pokazuje Wstrzymane – subskrypcja glumea+ wygasła: nic nie jest usuwane, Twoja zapisana odpowiedź zostaje taka, jaka była, a ponowne wykupienie subskrypcji wznawia tworzenie kopii zapasowej zgodnie z tą odpowiedzią, bez pytania Cię po raz drugi. Wyłączenie przełącznika oraz stojący obok niego link usunąć swoje dane pozostają dostępne niezależnie od tego, czy subskrypcja jest aktywna.

Trzy rzeczy możesz przełączyć w Aplikacji w dowolnej chwili:

Apple Health / Health Connect – wyłączone, dopóki tego nie podłączysz, a każdy z trzech typów danych można wyłączyć osobno. Ustawienia → Integracje → Apple Health (na iPhonie) albo Health Connect (na Androidzie).
Analityka użycia – Ustawienia → Dane i prywatność → Prywatność i diagnostyka. Przełącznik startuje jako wyłączony, nic nie jest zbierane, dopóki go nie włączysz, odmowa niczego Ci w Aplikacji nie odbiera, a wycofanie zgody działa natychmiast. Rezygnacja zapisuje jeszcze jedno, ostatnie zdarzenie – właśnie to, że rezygnujesz – a to zdarzenie, razem z tym, co zebrano już w czasie, gdy zgoda obowiązywała, zostaje wysłane później, według własnego harmonogramu SDK. Potem nic nowego nie jest zbierane.
Raportowanie błędów – ten sam ekran, osobny wybór, i również startuje jako wyłączone; odmowa analityki nie jest odmową diagnostyki ani odwrotnie. Dopóki diagnostyka jest wyłączona, SDK w ogóle nie zostaje uruchomione, więc nie instaluje się żaden moduł obsługi awarii – raporty nie są zbierane, a potem odrzucane; one w ogóle nie powstają. Wylogowanie przywraca oba przełączniki do stanu wyłączonego, więc konto, które nigdy nie wyraziło na tym telefonie zgody, zaczyna od wyłączonych.

Wycofanie zgody nic Cię nie kosztuje i nie pogorszymy działania Aplikacji z powodu wycofania zgody. Jeden warunek praktyczny: link usunąć swoje dane wymaga aktywnego zalogowania. Jeśli Twoja sesja wygasła, panel Synchronizacja pokazuje Wstrzymane, a link prosi Cię najpierw o ponowne zalogowanie – w międzyczasie nic nie ginie, a zalogowanie przywraca jego działanie.

Twój profil cukrzycy i leczenia oraz Twoje ustawienia terapii nie są objęte powyższymi przełącznikami. Napisz na [email protected], żeby usunąć je z naszych serwerów bez zamykania konta.

8. Twoje prawa

Sekcja 8.1 opisuje prawa, które daje Ci stan Waszyngton, a sekcja 8.2 mówi, jak z nich skorzystać. Jeśli jesteś w Nevadzie, Twoje prawa i terminy znajdziesz zamiast tego w Informacji o prywatności danych zdrowotnych konsumenta w Nevadzie.

8.1 Jeśli jesteś w stanie Waszyngton

Na mocy ustawy My Health My Data Act masz prawo:

Potwierdzić, czy zbieramy, udostępniamy lub sprzedajemy Twoje dane zdrowotne konsumenta, oraz uzyskać do nich dostęp – w tym do listy wszystkich podmiotów trzecich i podmiotów powiązanych, którym je udostępniliśmy, i do działającego sposobu kontaktu z każdym z nich. Tą listą jest tabela w sekcji 5. Prawo stanu Waszyngton sięga podmiotów trzecich i podmiotów powiązanych – firm, które otrzymały Twoje dane inaczej niż jako podmiot przetwarzający działający na nasze polecenie – i daje Ci działający sposób kontaktu z każdą z nich. Poproś nas, a wyślemy Ci aktualną wersję tabeli, wskazując, które pozycje są podmiotami trzecimi w tym sensie.
Wycofać zgodę na zbieranie Twoich danych zdrowotnych konsumenta i na ich udostępnianie (sekcja 7).
Usunąć swoje dane zdrowotne konsumenta.

Odpowiadamy w ciągu 45 dni od otrzymania Twojego żądania. Prawo stanu Waszyngton pozwala nam jednorazowo przedłużyć ten termin o kolejne 45 dni, gdy jest to racjonalnie niezbędne; jeśli to zrobimy, powiemy Ci o tym w ciągu pierwszych 45 dni i podamy powód. Nie pobieramy za to opłaty, do dwóch razy w roku – tyle przewiduje prawo stanu Waszyngton. Jeśli żądanie jest ewidentnie nieuzasadnione, nadmierne albo powtarzalne, możemy pobrać rozsądną opłatę pokrywającą nakład pracy albo odmówić jego wykonania; zanim zrobimy jedno lub drugie, powiemy Ci które i dlaczego.

8.2 Jak skorzystać z tych praw

W Aplikacji: Usuń konto (Ustawienia → Szczegóły konta) trwale usuwa z naszych serwerów Twoje konto i wszystko, co z nim zsynchronizowano, oraz wymazuje lokalną bazę danych z Twojego urządzenia. Link usunąć swoje dane (w panelu Synchronizacja, po wyłączeniu synchronizacji) usuwa serwerową kopię Twoich wpisów, Twoich katalogów leków i Twoich harmonogramów leków, zachowując Twoje konto i kopię na Twoim urządzeniu. Dalej nie sięga: Twój profil cukrzycy i leczenia oraz Twoje ustawienia terapii zostają na naszych serwerach, dopóki nie usuniesz konta.
Albo napisz do nas na [email protected] z adresu przypisanego do Twojego konta i powiedz, czego chcesz. Nie musisz używać żadnej konkretnej formuły. Zanim wyślemy Ci kopię Twoich danych, potwierdzimy, co przechowujemy, albo cokolwiek usuniemy, sprawdzamy, czy żądanie naprawdę pochodzi od Ciebie: odpowiadamy jednorazowym kodem na adres przypisany do konta i działamy, gdy go odeślesz. To sprawdzenie jest tym, co uwierzytelnia żądanie. Jeśli nie możesz już odbierać poczty pod tym adresem, powiedz nam, a zdecydujemy, przypadek po przypadku, jakie inne dowody możemy przyjąć. Nie wykonamy żądania dotyczącego konta, co do którego nie możemy potwierdzić, że należy do osoby, która o to prosi. Usuwanie konta glumea opisuje to samo sprawdzenie przy usuwaniu.

Gdy usuwasz w Aplikacji, usunięcie następuje od razu. Gdy prosisz nas e-mailem, usuwamy dane z naszych systemów produkcyjnych w terminach z sekcji 8.1, liczonych od chwili uwierzytelnienia Twojego żądania, i potwierdzamy to w naszej odpowiedzi. Sekcja 9 opisuje, dokąd sięga usunięcie i co je przetrwa.

9. Dokąd naprawdę sięga usunięcie

Poniższa tabela opisuje, jak usunięcie jest realizowane w każdym systemie i u każdego dostawcy usług.

Miejsce	Co się dzieje
Twoje urządzenie	Usunięcie wpisu usuwa go z tego urządzenia i tylko z tego urządzenia. Kopia na serwerze zostaje, więc wpis może wrócić po ponownej instalacji, na nowym telefonie albo po wylogowaniu i ponownym zalogowaniu – serwer czyści dopiero link usunąć swoje dane albo usunięcie konta. Pomiarów zaimportowanych z Apple Health lub Health Connect w ogóle nie da się w Aplikacji usuwać pojedynczo. Usuń konto i wylogowanie wymazują lokalną bazę danych. Baza jest zaszyfrowana kluczem związanym z urządzeniem, więc każda jej kopia, która to urządzenie opuści, jest nieczytelna
Nasza produkcyjna baza danych (Google Cloud, `europe-west1`)	Gdy usuwasz konto, wiersz konta i wszystko, co jest do niego przypięte, są usuwane trwale i natychmiast, bez możliwości odzyskania. Z pojedynczym wpisem jest inaczej: jeśli usunięcie jednego wpisu kiedykolwiek dotrze do naszych serwerów, wiersz zostaje zachowany jako „nagrobek” (tombstone), który nadal niesie swoją wartość, tagi i notatki, po to, żeby usunięcie mogło dojechać do Twoich pozostałych urządzeń
Nasze kopie zapasowe serwera	Kopie już usuniętych wierszy pozostają w kopiach zapasowych do czasu wygaśnięcia tych kopii, najwyżej 7 dni, a w żadnym wypadku nie dłużej niż sześć miesięcy od uwierzytelnienia Twojego żądania usunięcia. Nie edytujemy pojedynczych rekordów wewnątrz kopii zapasowej, a kopia jest przywracana wyłącznie w całości i tylko po awarii. Nie mamy zadania, które ponownie stosowałoby wcześniejsze usunięcia do przywróconej kopii zapasowej, więc jeśli kiedykolwiek ją przywrócimy, poproś nas ponownie, a powtórzymy usunięcie
Nasze logi serwera	Nasza platforma hostingowa zapisuje adres, ścieżkę i czas żądań, które Twoje urządzenie do nas wysyła, a nasze zaplecze dopisuje własny wiersz przy każdym nieudanym żądaniu – status, ścieżkę, czas i komunikat błędu. Ani jedno, ani drugie nie zawiera wpisów, leków ani pomiarów. Okres przechowywania: 30 dni
Zoho ZeptoMail	Przechowuje rejestry dostarczenia kodów weryfikacyjnych i kodów resetu, które wysłaliśmy na Twój adres. Okres przechowywania: do 60 dni dzienników dostarczenia – standardowa retencja ZeptoMail. Jeśli nas o to poprosisz, wystąpimy o ich usunięcie
PostHog (analityka)	Jeśli nigdy nie włączysz analityki, nie ma tam nic. Jeśli włączysz, kaskada usunięć w bazie danych nie sięga Twojego profilu analitycznego i usunięcie konta w Aplikacji go nie kasuje; poproś nas, a go usuniemy. Zdarzenia zapisane przed Twoim zalogowaniem niosą identyfikator urządzenia, a nie identyfikator Twojego konta, więc nie możemy obiecać, że usunięcie profilu do nich dosięgnie
Sentry (diagnostyka)	Nigdy nie dołączamy do raportu diagnostycznego identyfikatora Twojego konta, Twojego adresu e-mail ani rekordu użytkownika, a opisany wyżej filtr usuwa każdy obiekt użytkownika przed wysłaniem raportu. Raporty, które trafiają prosto z systemowego modułu obsługi awarii, nie przechodzą przez ten filtr, i również w nich nie umieszczamy niczego, co Cię nazywa – ale nie ma identyfikatora, po którym moglibyśmy przeszukać Sentry, żeby znaleźć „Twoje” raporty. Jeśli poprosisz nas o usunięcie raportów diagnostycznych, spróbujemy, a może się okazać, że nie ma tam nic, co dałoby się wskazać jako Twoje
RevenueCat	Przechowuje identyfikator Twojego konta i historię subskrypcji. Nie zawiera żadnych wpisów, żadnych leków ani żadnych pomiarów. Kaskada tam nie sięga i usunięcie konta w Aplikacji tego nie kasuje; poproś nas, a wystąpimy do RevenueCat o usunięcie
Nasz dziennik zdarzeń subskrypcji	Nasze zaplecze przechowuje każdy komunikat subskrypcyjny, który przysyła nam RevenueCat, dokładnie w takiej postaci, w jakiej przychodzi, w całości. Każdy komunikat niesie identyfikator Twojego konta, a ponieważ przechowujemy go w całości, może też nieść atrybut subskrybenta, który RevenueCat ma o Tobie, a wśród nich adres e-mail. Nie zawiera żadnych pomiarów, leków, wpisów ani niczego, co wpiszesz. Te wiersze celowo nie są przypięte do rekordu Twojego konta, więc usunięcie konta nie kasuje ich automatycznie; zaplanowane zadanie usuwa każdy z nich 90 dni po jego nadejściu, licząc wyłącznie wiek i nic więcej. Kasujemy je też, jeśli nas o to poprosisz, zanim te 90 dni upłynie
Rejestry subskrypcji w Apple / Google	Przechowywane przez nie na podstawie ich własnych polityk, poza naszą kontrolą
Kopie wyeksportowane przez Ciebie	Poza naszym zasięgiem – zob. „Kopie, które tworzysz samodzielnie” wyżej

Gdy prosisz nas o usunięcie, najpierw usuwamy dane z własnej bazy danych, a potem przekazujemy usunięcie tym z powyższych firm, które mają kopię. Trzy miejsca leżą poza tą kaskadą – Twój profil w PostHogu, Twój rekord subskrybenta w RevenueCat i nasz własny dziennik komunikatów subskrypcyjnych, które przysyła nam RevenueCat. Usunięcie konta w Aplikacji ich nie czyści. Czyni to żądanie, które nam wyślesz, w terminach z sekcji 8.1. Dziennik komunikatów subskrypcyjnych i tak sam się przeterminowuje, 90 dni po nadejściu każdego komunikatu.

10. Jeśli odmówimy

Jeśli odmówimy wykonania żądania, napiszemy Ci dlaczego i jak się odwołać.

Aby się odwołać, odpowiedz na tamtą wiadomość albo napisz na [email protected] ze słowem „Appeal” w temacie. Rozpatrzymy żądanie ponownie i odpowiemy na piśmie w ciągu 45 dni, wyjaśniając nasze rozumowanie.

Jeśli odrzucimy odwołanie, wiadomość odrzucająca będzie zawierać link do Biura Prokuratora Generalnego stanu Waszyngton (Washington State Office of the Attorney General), przez formularz skargi konsumenckiej na jego stronie atg.wa.gov, żebyś mógł złożyć skargę. To nie jest Twoja jedyna droga: nic w tej polityce nie ogranicza żadnego prawa, które przysługuje Ci na mocy prawa stanu Waszyngton, i nic tutaj nie wymaga, żeby najpierw odwoływać się do nas.

11. Zmiany w tej polityce

Nie będziemy zbierać, wykorzystywać ani udostępniać kategorii danych zdrowotnych konsumenta, których tu nie wymieniono, ani wykorzystywać wymienionych tu kategorii do celów, których tu nie wymieniono, bez uprzedniego zapytania Cię o zgodę. Jeśli dodamy kategorię albo cel, zaktualizujemy ten dokument, powiemy Ci o tym e-mailem na adres przypisany do Twojego konta, zanim zmiana wejdzie w życie, i uzyskamy Twoją zgodę tam, gdzie wymaga tego prawo. Data wejścia w życie u góry zawsze mówi Ci, od kiedy obowiązuje bieżąca wersja.

12. Język

Ta polityka jest publikowana po angielsku, rosyjsku, polsku i ukraińsku. Moc prawną ma wersja angielska. Pozostałe trzy to tłumaczenia, publikowane po to, żebyś mógł przeczytać politykę we własnym języku. W razie rozbieżności między tłumaczeniem a tekstem angielskim rozstrzyga tekst angielski.

Wyjątkiem jest samo prawo. Jeżeli prawo kraju, w którym mieszkasz, nadaje własne znaczenie językowi, w którym się do Ciebie zwrócono – a prawo konsumenckie w kilku krajach tak robi – stosuje się jego regułę zamiast tej, i nic tutaj nie odbiera Ci prawa, które z niej wynika.

Tłumaczenie jest publikowane, gdy jest gotowe, więc po aktualizacji może być opóźnione względem tekstu angielskiego. Jeśli znajdziesz miejsce, w którym tłumaczenie i tekst angielski mówią co innego, napisz do nas na [email protected].

13. Kontakt z nami

E-mail: [email protected]
Adres pocztowy: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polska

Dokumenty powiązane: Informacja o prywatności danych zdrowotnych konsumenta w Nevadzie, Polityka prywatności, Warunki korzystania z usługi i Zastrzeżenie medyczne.