Polityka prywatności

1. Kim jesteśmy i czego dotyczy ta polityka

Paweł Milewski Software Development (Operator, „my”, „nas”, „nasze”) udostępnia glumea (Aplikację), aplikację mobilną do samokontroli cukrzycy, oraz glumea.com (Witrynę). Ta polityka wyjaśnia, jakie dane zbieramy, po co, gdzie są przechowywane, kto ma do nich dostęp, jak długo je trzymamy, co usuwa usunięcie danych oraz jakie masz prawa i narzędzia kontroli.

Jest to również informacja, którą jesteśmy Ci winni na gruncie europejskiego prawa ochrony danych: informacje wymagane przez art. 13 i 14 ogólnego rozporządzenia o ochronie danych (rozporządzenie (UE) 2016/679), które dalej nazywamy RODO, obejmujące zarówno dane, które przekazujesz nam samodzielnie, jak i dane, które docierają do nas skądinąd.

Ta polityka obejmuje:

• Aplikację: aplikację mobilną glumea na iOS i Androida.
• Witrynę: stronę glumea.com, w tym strony, na których znajdują się te dokumenty prawne.

Witryna nie zbiera prawie niczego i ma niżej własną sekcję.

Operator jest administratorem danych odpowiedzialnym za Twoje dane osobowe:

• Administrator: Paweł Milewski Software Development
• Numer rejestrowy firmy: NIP PL6751782526 (jednoosobowa działalność gospodarcza wpisana do CEIDG, czyli polskiej Centralnej Ewidencji i Informacji o Działalności Gospodarczej)
• Adres pocztowy: ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polska
• E-mail: [email protected]
• Kraj siedziby: Polska

Jeżeli dotyczy:

• Przedstawiciel w UE: nie dotyczy (mamy siedzibę w Unii Europejskiej)
• Przedstawiciel w Wielkiej Brytanii: nie został wyznaczony
• Inspektor ochrony danych: nie został wyznaczony; pytania o ochronę danych kieruj na [email protected]

„Administrator danych” to podmiot, który decyduje o tym, jak i po co przetwarzane są Twoje dane osobowe, zgodnie z definicją z RODO.

Razem z tą polityką obowiązują dwa inne dokumenty i warto czytać je łącznie z nią:

• nasze Warunki korzystania z usługi, które regulują korzystanie z Aplikacji i Witryny, oraz
• nasze Zastrzeżenie medyczne, które wyznacza medyczne granice tego, co Aplikacja robi.

Jeśli mieszkasz w stanie Waszyngton, dotyczy Cię jeszcze czwarty dokument: nasza Polityka prywatności danych zdrowotnych konsumenta, którą prawo stanu Waszyngton każe nam publikować osobno. Jeśli jesteś w Nevadzie, odpowiednikiem jest nasza Informacja o prywatności danych zdrowotnych konsumenta w Nevadzie.

2. Podsumowanie

Krótka wersja tego, co następuje dalej. Każdy punkt wskazuje sekcję, która opisuje go w całości, i to ta sekcja rozstrzyga.

• Kim jesteśmy. Paweł Milewski Software Development decyduje o tym, jak i po co przetwarzane są Twoje dane. Sekcje 1 i 21.
• Co zbieramy. Twój adres e-mail i hasło; profil, który podajesz podczas wprowadzenia; dziennik, który prowadzisz: glukoza, jedzenie, insulina, inne leki, waga, leki i przypomnienia; tokeny logowania i zapisy połączeń z serwerem. Zapisy z Apple Health albo Health Connect, jeśli je połączysz, oraz informacje o subskrypcji, jeśli ją wykupisz. Sekcja 3.
• Dane dotyczące zdrowia. Dziennik, typ cukrzycy, sposób leczenia i ustawienia terapii to dane szczególnej kategorii w rozumieniu art. 9 RODO. Synchronizacja w chmurze ma odrębne potwierdzenie dla dziennika. Obecne wprowadzenie nie zbiera odrębnej wyraźnej zgody przed zapisaniem profilu zdrowotnego i ustawień terapii. Sekcje 3.3 i 4.
• Gdzie one są. Część Twoich danych jest na naszych serwerach od chwili założenia konta: dane Twojego konta, Twój profil wraz z typem cukrzycy i sposobem leczenia oraz Twoje ustawienia terapii. Twój dziennik nie: trafia najpierw do zaszyfrowanej bazy danych w Twoim telefonie, Aplikacja działa offline, a na nasze serwery dociera dopiero wtedy, gdy włączysz Synchronizację w chmurze, funkcję glumea+, wyłączoną, dopóki jej nie włączysz, i będącą wyborem zapisanym na koncie, a nie w telefonie. Pełną tabelę zawiera sekcja 10.
• Kto to otrzymuje. Nasz unijny dostawca hostingu; dostawca poczty e-mail, jeśli dostarczanie e-maili jest włączone; PostHog i Sentry, każdy dopiero po Twojej zgodzie; sklep, jeśli wykupisz subskrypcję; oraz RevenueCat niezależnie od tego, czy wykupisz subskrypcję. Nie sprzedajemy Twoich danych, a Aplikacja nie zawiera reklam. Sekcje 5, 7, 8 i 9.
• Twoje wybory. Analityka i raportowanie błędów są wyłączone, dopóki się na nie nie zgodzisz, a każde ma własny przełącznik; wylogowanie nie zatrzymuje pakietu SDK już działającego w tej sesji. W Aplikacji możesz wyłączyć synchronizację, usunąć serwerową kopię swojego dziennika, usunąć konto i skorzystać z wdrożonych eksportów. Sekcje 5 i 13.
• Twoje prawa. Dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie danych, sprzeciw, wycofanie zgody oraz skarga do organu ochrony danych; w Stanach Zjednoczonych prawa, które daje Ci prawo Twojego stanu. Konto możesz usunąć w Aplikacji albo poprosić o jego usunięcie, pisząc na [email protected] bez korzystania z Aplikacji. Sekcje 13, 14 i 17.
• Czego usunięcie nie obejmuje. Usunięcie konta usuwa rekordy z produkcyjnej bazy danych i żąda usunięcia powiązanych z kontem rekordów RevenueCat i PostHog. Istniejące kopie zapasowe, dzienniki serwera i diagnostyczne, rozliczenia ze sklepów oraz wyeksportowane kopie mogą nadal istnieć, jak opisano w sekcji 12.

3. Dane, które zbieramy

Większość z tego, co tu wymieniono, podajesz nam bezpośrednio Ty. Dwie kategorie nie: pomiary, które importujesz z Apple Health albo Health Connect, oraz informacje o subskrypcji, które docierają do nas od Apple, Google i RevenueCat. Obie opisujemy niżej.

3.1 Dane konta

• Adres e-mail i hasło. Twoje hasło jest haszowane na naszych serwerach algorytmem bcrypt, nigdy nie jest przechowywane jawnym tekstem i nigdy nie jest zapisywane na Twoim urządzeniu. Twój adres e-mail jest też zawarty w tokenie logowania używanym przez Aplikację.
• Jednorazowe kody do weryfikacji e-maila, resetu hasła, zmiany hasła i zmiany adresu e-mail. Kod wygasa 10 minut po wydaniu, a pięć błędnych prób go unieważnia.

3.2 Dane profilu

Zbierane podczas wprowadzenia:

• Imię i nazwisko (przechowywane jako pseudonim), wiek, płeć (opcjonalnie) i wzrost.
• Typ cukrzycy (typ 1, typ 2, ciążowa lub inna), metody leczenia (insulina, tabletki, leki wstrzykiwane, dieta) oraz sposób podawania insuliny.

Typ Twojej cukrzycy, Twoje metody leczenia i sposób podawania insuliny to dane dotyczące zdrowia, „szczególna kategoria” danych osobowych w rozumieniu art. 9 RODO, mimo że ta polityka zalicza je pod „profil”. Sekcja o podstawach prawnych niżej określa przesłankę, na której się na nich opieramy.

3.3 Dane zdrowotne, które zapisujesz (dane szczególnej kategorii)

Poniższe to dane dotyczące zdrowia, „szczególna kategoria” danych osobowych w rozumieniu art. 9 RODO. Przechowujemy je na naszych serwerach wyłącznie na podstawie Twojej wyraźnej zgody. Sekcja o podstawach prawnych niżej określa, jak ta zgoda jest udzielana i które z tych danych trafiają na nasze serwery tylko wtedy, gdy synchronizacja w chmurze jest włączona:

• Pomiary glukozy we krwi, z opcjonalnymi tagami kontekstu (pora posiłku, fizjologia, aktywność, leki i technologia, oraz tagi, które piszesz samodzielnie) i notatkami w dowolnym tekście.
• Wpisy o jedzeniu: węglowodany, a opcjonalnie białko, tłuszcz, kalorie i wpisana przez Ciebie nazwa.
• Dawki insuliny: liczba jednostek, powiązana ze skonfigurowaną przez Ciebie insuliną, bolus, bazalna lub mieszana.
• Dawki leków wstrzykiwanych (na przykład agonistów GLP-1).
• Liczby przyjętych pigułek i tabletek.
• Wpisy o masie ciała, każdy z czasem, w którym go zapisano.
• Twoje katalogi leków: skonfigurowane przez Ciebie insuliny, tabletki i leki wstrzykiwane, w tym nazwy leków (na przykład Fiasp, Lantus, Metformin, Ozempic) i parametry farmakokinetyczne (początek działania, szczyt, czas działania) oraz godziny przypomnień, które dla nich ustawiasz.
• Ustawienia leczenia, które konfigurujesz: Twój zakres docelowy glukozy (domyślnie 3,9–10,0 mmol/L, a przy cukrzycy ciążowej, stanie przedcukrzycowym lub braku diagnozy cukrzycy 3,9–7,8 mmol/L), współczynnik insulina-węglowodany (ICR) i współczynnik wrażliwości na insulinę (ISF). Aplikacja nigdy nie używa żadnego z nich do obliczania ani zalecania dawki. Twój współczynnik insulina-węglowodany jest przechowywany dla Twojej wiadomości i nic innego go nie odczytuje. Twój zakres docelowy jest przechowywany, a także wyznacza pasmo „w zakresie” w Czasie w zakresie, ustala wewnętrzne granice etykiety Dobry / Graniczny / Krytyczny i decyduje o tym, kiedy zmienia się sformułowanie o ryzyku hipoglikemii. Twój współczynnik wrażliwości na insulinę służy do wyliczenia sformułowania o ryzyku hipoglikemii i przybliżonego zakresu obniżenia pokazywanego obok aktywnej insuliny. Wszystko to opisuje Zastrzeżenie medyczne.
• Wartości, które Aplikacja wylicza na Twoim urządzeniu z tego, co zapisujesz: szacowana aktywna insulina (oszacowanie wyłącznie dla świadomości: nie zaleca ani nie oblicza dawki), sformułowanie o ryzyku hipoglikemii i przybliżony zakres obniżenia pokazywany obok niego, trendy, średnia glukoza i jej rozrzut, Czas w zakresie, szacunkowy poziom HbA1c (GMI), sugerowany czas następnego pomiaru oraz etykieta Dobry / Graniczny / Krytyczny przy ostatnim pomiarze. Zastrzeżenie medyczne mówi, czym każda z tych wartości jest, a czym nie jest.

Kilka z tych pól to dowolny tekst: notatki do glukozy, tagi, które piszesz samodzielnie, nazwy potraw, własne nazwy leków, nazwa własnego przedziału przypomnienia. Cokolwiek tam wpiszesz, jest przechowywane, a gdy synchronizacja jest włączona, także synchronizowane, dokładnie w takiej postaci, w jakiej to wpisano.

3.4 Dane, które otrzymujemy z innych źródeł

• Apple Health i Health Connect. Jeśli je połączysz, Aplikacja odczytuje z platformy zdrowotnej w Twoim telefonie zapisy glukozy we krwi, masy ciała i węglowodanów w diecie. To tylko odczyt: Aplikacja nigdy niczego tam nie zapisuje. Na iOS prosi system wyłącznie o dostęp do odczytu i nie deklaruje powodu zapisu, czego zapis by wymagał; na Androidzie ma tylko uprawnienia do odczytu dla tych trzech typów zapisów. Zapisy, które pierwotnie pochodziły z glukometru, systemu CGM lub innej aplikacji, trafiają więc do glumea przez platformę zdrowotną. Zaimportowane wpisy są przechowywane na Twoim urządzeniu jako zwykłe wpisy, oznaczone platformą, z której pochodzą, i identyfikatorem zapisu. To, czy zaimportowany wpis jest też kopiowany na nasze serwery, zależy od tego, czy Synchronizacja w chmurze jest włączona, dokładnie tak samo jak w przypadku wpisu wpisanego przez Ciebie samodzielnie. Połączenie jest wyłączone, dopóki go nie włączysz, i możesz je odłączyć lub wyłączyć poszczególne typy danych w dowolnej chwili w Ustawieniach → Integracje.
• Apple, Google i RevenueCat. Jeśli wykupisz glumea+, informacje o tej subskrypcji docierają do nas od sklepu i od RevenueCat. Dokładnie jakie, opisuje niżej sekcja o glumea+.

3.5 Dane techniczne

• Tokeny uwierzytelniania, przechowywane w bezpiecznej pamięci Twojego urządzenia, aby użytkownik pozostał zalogowany. Twoja sesja na naszych serwerach to rekord zawierający identyfikator sesji, Twój identyfikator użytkownika i jej termin ważności.
• Gdy synchronizacja w chmurze jest włączona, nasze serwery przetwarzają synchronizowane przez Ciebie dane wraz z ewidencją potrzebną do prowadzenia usługi synchronizacji, taką jak znaczniki czasu synchronizacji.
• Gdy Aplikacja komunikuje się z naszymi serwerami, serwery otrzymują standardowe informacje o połączeniu, takie jak Twój adres IP, żądana ścieżka i czas, używane dla bezpieczeństwa i do prowadzenia usługi.
• Gdy analityka lub diagnostyka jest włączona, każdy pakiet SDK wysyła dane opisane w sekcji 5. Obie są wyłączone, dopóki się na nie nie zgodzisz.

3.6 Dane, które zostają na Twoim urządzeniu, i dane, które nie zostają

Niektóre rzeczy w ogóle nie trafiają na nasze serwery: ustawienia powiadomień, godziny przypomnień o pomiarze glukozy, Godziny ciszy, wybór szczegółów w powiadomieniach, lokalny stan powiadomień, stan połączenia z platformą zdrowotną, preferencje aplikacji, preferencje telemetrii i ewidencja synchronizacji. Jedno zastrzeżenie: gdy analityka jest włączona, ustawienia języka, motywu i jednostek są wysyłane do PostHog jako atrybuty profilu. Nic innego z tej listy nie opuszcza urządzenia przez nasz backend.

Twoje harmonogramy przyjmowania leków są wyjątkiem: należą do dziennika, więc są kopiowane na nasze serwery, gdy Synchronizacja w chmurze jest włączona, bo przypomnienie o leku musi przetrwać zmianę telefonu.

Sam przełącznik synchronizacji w chmurze też nie jest tylko na urządzeniu. Twoja odpowiedź jest przechowywana na Twoim koncie na naszych serwerach, aby podążała za Tobą na nowy telefon i przetrwała wylogowanie; sekcja 10 określa, co to oznacza w praktyce.

Pliki, które tworzysz samodzielnie, czyli archiwum kopii zapasowej .glumea albo raport glukozy w CSV lub PDF, są zapisywane na Twoim urządzeniu i przekazywane aplikacji, którą wybierzesz do udostępnienia lub zapisania. To, dokąd trafiają potem, jest poza naszą kontrolą, a raport CSV lub PDF nie jest zaszyfrowany.

4. Dlaczego przetwarzamy Twoje dane i nasze podstawy prawne

Na gruncie RODO każde wykorzystanie danych potrzebuje podstawy z art. 6, a dane szczególnej kategorii potrzebują też przesłanki z art. 9. Zamierzone podstawy wymieniono niżej. Opisany niżej brakujący krok zgody dla profilu nie zapewnia wyraźnej zgody, której wymaga przetwarzanie.

• Zapewnienie Twojego konta i Aplikacji: tworzenie i zabezpieczanie konta, uwierzytelnianie, weryfikacja e-maila, reset hasła, obsługa synchronizacji w chmurze, zapewnienie glumea+, jeśli wykupisz subskrypcję, oraz prowadzenie zapisu powiadomień o subskrypcji, które przesyłają nam sklep i RevenueCat, abyśmy mogli stwierdzić, czy glumea+ jest aktywna, i rozwiązać problem z rozliczeniem: wykonanie umowy, art. 6 ust. 1 lit. b RODO.
• Przechowywanie danych zdrowotnych na naszych serwerach: zamierzonymi podstawami są art. 6 ust. 1 lit. b dla usługi oraz wyraźna zgoda na podstawie art. 9 ust. 2 lit. a dla danych zdrowotnych. Dziennik jest kopiowany na nasze serwery dopiero po odrębnym potwierdzeniu Synchronizacji w chmurze. Obecne wprowadzenie zapisuje profil i ustawienia terapii na koncie bez odrębnego kroku wyraźnej zgody. Przyjęcie umowy nie jest automatycznie wyraźną zgodą na przetwarzanie danych szczególnej kategorii, więc obecny proces wprowadzenia nie zapewnia tej przesłanki z art. 9. Usunięcie konta jest jedynym wdrożonym sposobem usunięcia tych pól profilu i terapii z produkcyjnej bazy danych.
• Analityka produktowa: zgoda na podstawie art. 6 ust. 1 lit. a, wyraźna zgoda na podstawie art. 9 ust. 2 lit. a, ponieważ korzystanie z aplikacji dla osób z cukrzycą ujawnia informacje o zdrowiu, oraz zgoda na podstawie art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej (ePrivacy) dla pamięci SDK. Sekcja 5 opisuje, jak o tę zgodę pytamy.
• Diagnostyka i raporty o awariach: zamierzoną podstawą jest zgoda na podstawie art. 6 ust. 1 lit. a, wyraźna zgoda na podstawie art. 9 ust. 2 lit. a, ponieważ korzystanie z aplikacji dla osób z cukrzycą ujawnia informacje o zdrowiu, oraz zgoda na podstawie art. 5 ust. 3 ePrivacy dla pamięci SDK, o którą pytamy tak samo jak w przypadku analityki (sekcja 5).
• Utrzymywanie bezpieczeństwa usługi i zapobieganie nadużyciom: ograniczanie liczby żądań do naszego API i badanie podejrzewanych nadużyć: nasze prawnie uzasadnione interesy, art. 6 ust. 1 lit. f RODO. Konkretnym interesem jest ochrona Twojego konta i kont innych osób przed nieuprawnionym dostępem oraz utrzymanie dostępności usługi. Opieramy się na tej podstawie tylko tam, gdzie nasze interesy nie są przeważone przez Twoje prawa.
• Wypełnienie obowiązku prawnego: tam, gdzie prawo Polski wymaga, abyśmy zachowali lub ujawnili określone zapisy, robimy to na podstawie art. 6 ust. 1 lit. c RODO. Nie opieramy się na tej podstawie w odniesieniu do danych zdrowotnych, które zapisujesz. Nie przyjmujemy Twojej płatności i nigdy nie otrzymujemy Twoich danych płatniczych, więc zapisy płatności i rozliczeń za Twój zakup przechowuje sklep, a nie my.

Nie podejmujemy wobec Ciebie decyzji wywołujących skutki prawne lub podobnie istotnie na Ciebie wpływających, opartych wyłącznie na zautomatyzowanym przetwarzaniu, i nie profilujemy Cię na potrzeby takich decyzji. W glumea nie ma zautomatyzowanego podejmowania decyzji w rozumieniu art. 22 RODO. Oszacowania, które pokazuje Aplikacja: aktywna insulina, trendy, Czas w zakresie, to arytmetyka wykonywana na Twoim urządzeniu na wprowadzonych przez Ciebie danych, przedstawiona wyłącznie dla Twojej świadomości. Nie zalecają ani nie obliczają żadnej dawki insuliny ani leku i nie są poradą medyczną.

Czy podanie danych jest wymogiem? Prawo nie zobowiązuje Cię do podawania danych. Do konta wymagane są adres e-mail i hasło. Pola profilu i terapii, o które prosimy podczas wprowadzenia, są zapisywane na koncie, z zastrzeżeniem opisanego wyżej ograniczenia dotyczącego zgody. Zapisywanie wpisów, łączenie Apple Health lub Health Connect oraz synchronizacja w chmurze są opcjonalne. Analityka i diagnostyka są opcjonalne i wyłączone, dopóki się na nie nie zgodzisz.

5. Analityka i diagnostyka

Aplikacja zawiera dwa pakiety SDK podmiotów trzecich do tych celów: jeden do analityki produktowej i jeden do raportów o awariach i błędach. Ta sekcja określa, czym jest każdy z nich i co otrzymuje.

Oba są wyłączone, dopóki się na nie nie zgodzisz, i żaden z pakietów SDK nie jest uruchamiany wcześniej. Aplikacja pyta na końcu wprowadzenia, z osobnym przełącznikiem dla każdego. Przełączniki są pokazane w pozycji włączonej, ale nic nie jest zbierane, dopóki nie dotkniesz, aby kontynuować, a jedno dotknięcie przycisku odmowy kończy wprowadzenie z obydwoma wyłączonymi. Jeśli logujesz się na istniejące konto bez przechodzenia wprowadzenia, oba pozostają wyłączone, dopóki ich nie włączysz. Te dwa ustawienia są niezależne i można je zmienić w dowolnej chwili w Ustawieniach → Dane i prywatność → Prywatność i diagnostyka. Wylogowanie czyści obie odpowiedzi razem z pozostałymi preferencjami, ale pakiet SDK, który już działa, działa dalej do zamknięcia Aplikacji.

5.1 Analityka produktowa: PostHog

Używamy PostHog (EU Cloud, eu.i.posthog.com), aby zrozumieć, jak używana jest Aplikacja, i móc ją ulepszać.

Co PostHog może otrzymywać, gdy analityka jest włączona:

• Identyfikator Twojego konta glumea: wewnętrzny UUID Twojego konta. Nie Twój e-mail, nie Twoje imię i nazwisko. Po zalogowaniu zdarzenia są powiązane z tym identyfikatorem, więc te zdarzenia nie są anonimowe. Zdarzenia, które mogą wystąpić przed zalogowaniem lub po wylogowaniu: pierwsze uruchomienie, uruchomienia aplikacji, rejestracja i weryfikacja kodu przesłanego e-mailem, niosą zamiast tego pseudonimowy identyfikator urządzenia, który jest generowany na nowo, gdy Aplikacja resetuje SDK.
• Stałą listę nazw zdarzeń, około 28, obejmującą takie rzeczy jak otwarcie aplikacji, rejestracja, ukończenie wprowadzenia, zapisanie wpisu, import z Apple Health, przyznanie lub odmowa uprawnienia do powiadomień, wygenerowanie eksportu, otwarcie ekranu płatności i wynik zakupu lub przywrócenia.
• Niewielką liczbę właściwości, każda z zamkniętej listy lub ograniczonej liczby: jaki rodzaj wpisu zapisano (glukoza, jedzenie, lek lub waga), ile wierszy zapisał jeden zapis, czy wpis zapisano na bieżąco, czy z datą wsteczną, czy eksport był w CSV czy PDF, który krok wprowadzenia ukończono, ogólna kategoria przypomnienia, w które dotknięto, i podobne. Żadna właściwość nigdzie w systemie nie przyjmuje dowolnego tekstu.
• Ekran, na którym jesteś, jako szablon trasy taki jak /settings/privacy. Cyfry są odrzucane, więc identyfikator rekordu nie może w niej podróżować. Ekran, do którego dociera tylko jeden rodzaj leczenia, na przykład ustawienia insuliny, jest zgłaszany jako ekran nad nim.
• Garść atrybutów profilu: Twój język, Twój motyw, Twoje jednostki glukozy, wagi i węglowodanów oraz to, czy masz glumea+.
• To, co SDK PostHog dodaje samodzielnie, poza naszą kontrolą: model urządzenia, system operacyjny i jego wersja, wersja aplikacji, wersja SDK, strefa czasowa, ustawienia regionalne, typ sieci i identyfikator sesji. PostHog otrzymuje też adres IP, z którego pochodzi Twoje żądanie, tak jak każda usługa internetowa, i ustala na jego podstawie przybliżoną lokalizację. Nie włączyliśmy w PostHog opcji odrzucania tego adresu, więc jest on przechowywany razem ze zdarzeniem.

Czego PostHog nie może otrzymać: wartości glukozy, dawki insuliny, nazwy leku, tego, jakiego rodzaju lek przyjmujesz, notatki, nazwy potrawy, adresu e-mail ani żadnego innego dowolnego tekstu. Filtr, który to zapewnia, działa w trybie „zamknięty po awarii” (fail-closed): zdarzenie spoza listy jest odrzucane w całości, niezadeklarowana właściwość jest usuwana, a zadeklarowana właściwość, której wartość nie odpowiada oczekiwanemu kształtowi, jest również usuwana. W systemie nie ma właściwości „dowolny ciąg znaków”. Nie ma odtwarzania sesji, nagrywania ekranu, ankiet, automatycznego rejestrowania dotknięć ani tokenu push.

Zdarzenia są zbudowane tak, aby nie ujawniały Twojego leczenia ani Twoich pomiarów. Insulina, tabletki i leki wstrzykiwane są zgłaszane jako wpis o leku. Dotknięcie alertu o niskiej lub wysokiej glukozie nie jest w ogóle zapisywane, tak samo jak krok wprowadzenia widoczny tylko dla użytkowników insuliny. Import z Apple Health albo Health Connect zgłasza, że się odbył i co go uruchomiło, nigdy ile zapisów odczytał. Zdarzenia są nadal powiązane z Twoim kontem, gdy jesteś zalogowany, a korzystanie z aplikacji dla osób z cukrzycą samo w sobie ujawnia informacje o zdrowiu, dlatego analityka czeka na Twoją zgodę.

Pakiet SDK analityki zapisuje na Twoim urządzeniu własny identyfikator oraz kolejkę zdarzeń oczekujących na wysłanie. Z tego, jak działa SDK, wynikają dwa ograniczenia. Wycofanie zgody zapisuje jedno ostatnie własne zdarzenie o rezygnacji. To zdarzenie, wraz ze wszystkim, co zebrano już w czasie obowiązywania zgody, jest dostarczane później według harmonogramu samego SDK, a nie w chwili wycofania. Po tym nic nowego nie jest zbierane.

5.2 Diagnostyka i raporty o awariach: Sentry

Używamy Sentry (region Unii Europejskiej), aby dowiadywać się, kiedy Aplikacja ulega awarii lub błędowi, i móc to naprawić.

Każda część raportu budowanego przez Aplikację, która niesie treść, jest budowana od zera przed wysłaniem, z listy pól dozwolonych, a nie z listy pól do usunięcia. Kilkanaście pozostałych pól najwyższego poziomu jest czyszczonych po nazwie, więc pole dodane w przyszłości przez nowszą wersję SDK nie zostałoby objęte tym czyszczeniem, dopóki go nie dodamy. Po tej przebudowie zostaje:

• Typ wyjątku oraz obliczona etykieta w miejsce oryginalnego komunikatu o błędzie.
• Ślad stosu, z nazwami plików skróconymi do nazwy bazowej i, w kompilacjach wydaniowych, z zaciemnionymi nazwami symboli; stają się czytelne tylko po stronie Sentry dzięki mapowaniu, które wysyłamy podczas kompilacji.
• Rodzina urządzenia, model, architektura, informacja, czy to symulator, i orientacja.
• Nazwa, wersja i kompilacja systemu operacyjnego; nazwa, wersja i kompilacja aplikacji; wersja środowiska uruchomieniowego Dart.
• Identyfikatory obrazów debugowania, potrzebne, aby awarie natywne były czytelne.
• Kształt ścieżki okruchów (breadcrumb), czyli kategoria, typ, poziom i znacznik czasu niedawnych zdarzeń, ale nigdy ich treść.
• Dwie etykiety: który obszar Aplikacji zawiódł oraz czy stało się to na pierwszym planie, czy w silniku powiadomień w tle.
• Wydanie, numer kompilacji, środowisko i losowo wygenerowany identyfikator zdarzenia.

Co jest usuwane całkowicie: komunikat o błędzie, wszelkie dane żądania, każdy obiekt użytkownika, nazwa serwera, nazwa transakcji, listy wątków, listy modułów, wartości zmiennych lokalnych, kontekst kodu źródłowego, ścieżki bezwzględne, unikalny identyfikator i nazwa urządzenia, skrót aplikacji powiązany z instalacją, komunikaty i dane okruchów, zrzuty ekranu, hierarchie widoków i wszelkie załączniki. Zrzuty ekranu, przechwytywanie hierarchii widoków, odtwarzanie sesji, śledzenie wydajności, rejestrowanie i treści żądań są wyłączone. Aplikacja nie dołącza do zdarzenia Sentry żadnego identyfikatora użytkownika: ani identyfikatora konta, ani adresu e-mail, ani identyfikatora urządzenia.

Dwa ograniczenia powyższego:

• Awarie natywne, zdarzenia braku odpowiedzi aplikacji i zakończenia przez watchdog w iOS mogą dotrzeć do Sentry z pominięciem tej przebudowy, ponieważ są wytwarzane przez procedurę obsługi awarii systemu operacyjnego, a nie przez kod samej Aplikacji. Tak samo okresowy sygnał „sesja aplikacji rozpoczęta / zakończona”, którego Sentry używa do kondycji wydania. Nie możemy ich sprawdzić na urządzeniu i nie znamy wszystkich pól, które SDK platformy do nich wkłada. Nie ustawiamy żadnego identyfikatora, który łączyłby któreś z nich z Tobą.
• Sentry otrzymuje adres IP, z którego wysyłany jest raport.

Dopóki nie zgodzisz się na diagnostykę, Sentry nie jest uruchamiane. Wyłączenie przełącznika zamyka reportery objęte tą kontrolką, ale wylogowanie nie wyłącza w sposób niezawodny już zainicjowanego SDK w działającym procesie. Obecnego cyklu życia nie można więc opisać jako natychmiastowego wycofania zgody w każdym stanie.

6. glumea+ i dane subskrypcji

glumea+ to subskrypcja sprzedawana wyłącznie jako zakup w aplikacji przez Apple App Store i Google Play. Nie ma innego sposobu jej kupienia, nie ma płatności przez stronę internetową ani formularza karty nigdzie w Aplikacji.

• Żadne dane płatnicze do nas nie trafiają. Płatność pobiera Apple lub Google. Nigdy nie widzimy numeru Twojej karty, danych bankowych ani adresu rozliczeniowego. Anulowanie i zwroty obsługuje Twoje konto w sklepie; Warunki korzystania z usługi wyjaśniają, gdzie.
• RevenueCat to usługa, której używamy, aby wiedzieć, czy Twoja subskrypcja jest aktywna. Aplikacja mówi RevenueCat jedno o Tobie: identyfikator Twojego konta glumea, używany jako identyfikator użytkownika subskrypcji. Nasze serwery pytają też RevenueCat, czy ten identyfikator ma aktywną subskrypcję, także gdy nigdy jej nie wykupiono, bo w ten sposób dowiadujemy się, że jej nie masz. Nie ustawiamy adresu e-mail, nazwy wyświetlanej, numeru telefonu ani tokenu push i nie prosimy o zbieranie reklamowych identyfikatorów urządzenia. SDK RevenueCat zbiera też pewne informacje o urządzeniu i sieci na potrzeby działania usługi RevenueCat, opisane w jego własnej informacji o prywatności. Nie konfigurujemy tego zbierania i nie otrzymujemy tego, co wytwarza.
• Co Aplikacja przechowuje lokalnie, to jedna wartość prawda/fałsz: czy glumea+ jest aktywna. Aplikacja nie zapisuje na Twoim urządzeniu żadnej ceny, identyfikatora produktu, daty wygaśnięcia ani identyfikatora transakcji. Ta wartość jest ustawiana na fałsz po wylogowaniu, więc następne konto na urządzeniu zaczyna bez subskrypcji i musi zostać sprawdzone w sklepie samodzielnie.
• Co przechowują nasze serwery. RevenueCat wysyła do naszego backendu powiadomienie, gdy zmienia się coś w subskrypcji: zakup, odnowienie, anulowanie, problem z rozliczeniem. Zapisujemy każde z tych powiadomień w takiej postaci, w jakiej nadeszło: identyfikator i typ zdarzenia, środowisko, identyfikator Twojego konta glumea oraz kompletną wiadomość wysłaną przez RevenueCat, zapisaną dokładnie tak, jak nadeszła, a nie pole po polu. Ta wiadomość zwykle zawiera identyfikator produktu, cenę, walutę, sklep, kraj oraz daty zakupu i wygaśnięcia. Ponieważ przechowujemy ją w całości, może też nieść wszelkie atrybuty subskrybenta, które RevenueCat o Tobie przechowuje, w tym adres e-mail: mimo że nasza Aplikacja nie ustawia żadnego własnego. Nigdy nie przepisujemy wiadomości; ponowne dostarczenie tego samego zdarzenia aktualizuje tylko naszą liczbę, ile razy nadeszło.
• Gdy analityka jest włączona, opisane wyżej zdarzenia lejka trafiają do PostHog razem z atrybutem profilu zapisującym, czy glumea+ jest aktywna. Do analityki nie jest wysyłana żadna cena, identyfikator produktu ani identyfikator sklepu.

Wynikają z tego dwie konsekwencje. Dziennik webhooków niesie identyfikator Twojego konta glumea, ale nie ma relacji bazodanowej z wierszem Twojego konta. Podczas usuwania konta nasz backend usuwa te rekordy osobno i żąda usunięcia rekordu subskrybenta RevenueCat pod tym samym identyfikatorem. W przeciwnym razie zaplanowane zadanie usuwa każdy rekord webhooka 90 dni po jego nadejściu. Sekcja 12 opisuje, co może pozostać.

7. Czego nie robimy

Nic z poniższego nie dzieje się w glumea:

• Żadnej reklamy, jakiegokolwiek rodzaju. Żadnego SDK reklamowego, żadnego SDK atrybucji, żadnego identyfikatora reklamowego. Aplikacja nie może pokazać komunikatu iOS „Poproś aplikację o niezbieranie danych” (Ask App Not to Track), ponieważ nie zawiera wpisu, który by na to pozwalał, i nie deklaruje żadnych sieci atrybucji reklam.
• Żadnej sprzedaży Twoich danych. Nie sprzedajemy ani nie wynajmujemy danych osobowych i nie sprzedajemy danych zdrowotnych. Nie udostępniamy ich do reklamy behawioralnej w różnych kontekstach.
• Żadnego wykorzystania Twoich danych zdrowotnych do reklamy, marketingu ani budowania Twojego profilu dla kogokolwiek innego.
• Żadnych danych o lokalizacji. Żadnego dostępu do Twoich kontaktów, aparatu, mikrofonu, zdjęć ani kalendarza: Aplikacja nie prosi o żadne z tych uprawnień na żadnej platformie.
• Żadnego Firebase w Aplikacji: ani Firebase Analytics, ani Crashlytics, ani Firebase Cloud Messaging. (Firebase Hosting obsługuje Witrynę, w tym tę stronę, ale to inna usługa Google i jest wymieniona niżej.)
• Żadnych powiadomień push i żadnego tokenu push urządzenia. Przypomnienia są planowane i wyświetlane przez Twoje własne urządzenie; nie ma żadnego kanału serwer-urządzenie.
• Żadnych zrzutów ekranu, nagrywania ekranu, odtwarzania sesji ani przechwytywania hierarchii widoków z żadnego z dwóch opisanych wyżej pakietów SDK.
• Poza PostHog i Sentry w Aplikacji nie ma żadnego innego pakietu SDK analityki, telemetrii ani śledzenia. Jedyne komponenty, które otwierają połączenie sieciowe, to własne połączenie Aplikacji z naszymi serwerami, PostHog, Sentry i RevenueCat.

8. Kto otrzymuje Twoje dane

Udostępniamy dane poniższym dostawcom usług, aby prowadzić glumea. Ich role, ich własne informacje o prywatności oraz warunki umowne mające zastosowanie do naszego korzystania z każdej usługi regulują to przetwarzanie. SDK RevenueCat samo zbiera także informacje o urządzeniu i sieci. Nie konfigurujemy tego zbierania i nie otrzymujemy jego wyników, więc jego opis pochodzi z informacji o prywatności RevenueCat, a nie z naszych systemów.

• Google (Google Cloud Run i Google Cloud SQL, region europe-west1), hostuje nasz backend i bazę danych zawierającą wszystko, co synchronizujesz, w tym Twoje dane zdrowotne. Google Secret Manager przechowuje poświadczenia naszych serwerów, a Google Cloud Logging przechowuje nasze dzienniki żądań serwera.
• Google (Firebase Hosting), obsługuje glumea.com i te dokumenty prawne.
• Sentry (region Unii Europejskiej), otrzymuje opisane wyżej raporty diagnostyczne, gdy diagnostyka jest włączona zgodnie z obecnym zachowaniem ustawień.
• PostHog (EU Cloud), otrzymuje opisane wyżej zdarzenia analityczne, gdy analityka jest włączona zgodnie z obecnym zachowaniem ustawień.
• RevenueCat (Stany Zjednoczone), otrzymuje identyfikator Twojego konta glumea i stan Twojej subskrypcji, niezależnie od tego, czy wykupujesz subskrypcję: sprawdzenie, że nie jesteś subskrybentem, używa tego samego identyfikatora co potwierdzenie, że jesteś. Jak zaznaczono wyżej, jego SDK dodatkowo zbiera informacje o urządzeniu i sieci, których nie konfigurujemy i nie otrzymujemy; opisuje je własna informacja o prywatności RevenueCat.
• Zoho ZeptoMail: jeśli produkcyjne dostarczanie e-maili jest włączone, ten dostawca otrzymuje docelowy adres e-mail oraz wiadomość weryfikacyjną lub resetującą hasło potrzebną do jej dostarczenia. Żaden dostawca poczty nie otrzymuje tych wiadomości, gdy dostarczanie jest wyłączone.

Apple i Google nie są naszymi podmiotami przetwarzającymi. Prowadzą sklepy, przez które sprzedawana jest glumea+, pobierają płatność i są niezależnymi administratorami danych zakupu, które przechowują o Tobie. To, co zbierają, reguluje ich własna polityka prywatności, a nie ta.

Poza tym ujawniamy dane osobowe tylko wtedy, gdy wymaga tego prawo, na przykład na mocy wiążącego nakazu sądu lub organu, albo na Twoje polecenie.

Jeśli Paweł Milewski Software Development zostanie kiedykolwiek zaangażowany w połączenie, przejęcie lub sprzedaż aktywów, Twoje dane pozostaną chronione tą polityką, a my powiadomimy Cię, zanim Twoje dane zostaną objęte inną polityką prywatności.

9. Przekazywanie międzynarodowe

Gdzie każdy odbiorca przetwarza Twoje dane:

• Twoje konto, profil i zsynchronizowane dane zdrowotne są przechowywane w UE: Google Cloud, europe-west1 (Belgia). Miejsce przechowywania to nie cała odpowiedź. Google może uzyskać dostęp do tych danych spoza EOG, w celu wsparcia i prowadzenia platformy, i jest to odrębne przekazanie. Opiera się ono na standardowych klauzulach umownych w Cloud Data Processing Addendum Google.
• Analityka trafia do EU Cloud PostHog, który przechowuje ją w UE. Tam, gdzie PostHog może uzyskać do niej dostęp spoza Europejskiego Obszaru Gospodarczego, przekazanie opiera się na standardowych klauzulach umownych w umowie przetwarzania danych PostHog.
• Diagnostyka trafia do Sentry w jego regionie Unii Europejskiej. Tam, gdzie jest to poza Europejskim Obszarem Gospodarczym, przekazanie opiera się na standardowych klauzulach umownych w addendum o przetwarzaniu danych Sentry.
• Witrynę obsługuje Firebase Hosting z sieci dostarczania treści Google, więc żądanie strony może być obsłużone i zapisane w dzienniku w lokalizacji poza Europejskim Obszarem Gospodarczym. Tam, gdzie tak się dzieje, przekazanie opiera się na standardowych klauzulach umownych w Cloud Data Processing Addendum Google.
• Stan subskrypcji trafia do RevenueCat w Stanach Zjednoczonych. Tam, gdzie jest to poza Europejskim Obszarem Gospodarczym, przekazanie opiera się na standardowych klauzulach umownych w addendum o przetwarzaniu danych RevenueCat.
• Jeśli produkcyjne dostarczanie e-maili jest włączone, e-maile weryfikacyjne i resetujące hasło dostarcza Zoho ZeptoMail, który przetwarza docelowy adres e-mail w Unii Europejskiej (Zoho Corporation B.V., unijne centra danych Zoho w Holandii i Irlandii). Tam, gdzie jest to poza Europejskim Obszarem Gospodarczym, mechanizmem przekazania są standardowe klauzule umowne w addendum o przetwarzaniu danych Zoho.
• Apple i Google przetwarzają dane zakupu na podstawie własnych ustaleń, jako niezależni administratorzy.

Tam, gdzie dostawca może uzyskać dostęp do danych spoza EOG, w tym w celu wsparcia, ten dostęp jest również przekazaniem i musi mieć odpowiednie zabezpieczenie na podstawie rozdziału V RODO. Mechanizm dla każdego odbiorcy wskazano wyżej. Dla użytkowników w Zjednoczonym Królestwie równoważnym mechanizmem jest UK Addendum do unijnych standardowych klauzul umownych albo IDTA, jeśli dostawca używa tej formy na gruncie brytyjskiego RODO (UK GDPR). Kontakt ogólny w sprawie ochrony danych: [email protected]. Żaden odrębny zautomatyzowany proces żądania kopii zabezpieczeń nie jest obecnie wdrożony.

10. Gdzie przechowywane są Twoje dane

glumea działa najpierw offline. Ta sekcja jest pełną odpowiedzią na pytanie „co z moich danych jest na waszych serwerach?”: wszystko inne w tej polityce odsyła tutaj.

Co	W Twoim telefonie	Na naszych serwerach	Od kiedy	Jak to usunąć
Twój dziennik: wpisy, katalogi leków, harmonogramy przyjmowania leków	Zawsze	Tylko przy włączonej Synchronizacji w chmurze	Od chwili włączenia przełącznika	Wyłącz przełącznik, potem Usunąć dane z serwera; albo usuń konto
Twój profil: imię i nazwisko, wiek, wzrost, typ cukrzycy, metody leczenia, sposób podawania insuliny	Tak	Zawsze	Od wprowadzenia, niezależnie od tego, czy korzystasz z synchronizacji	Usuń konto
Twoje ustawienia terapii: zakres docelowy, współczynnik insulina-węglowodany, współczynnik wrażliwości na insulinę	Tak	Zawsze	Od chwili ich wprowadzenia	Usuń konto
Twoje konto: adres e-mail, zahaszowane hasło, sesje logowania	Tylko dane logowania	Zawsze	Od chwili założenia konta	Usuń konto
Wszystko z sekcji 3.6: przypomnienia, Godziny ciszy, preferencje aplikacji	Tak	Nigdy	Nie dotyczy	Wyloguj się albo odinstaluj

Reszta tej sekcji to szczegóły stojące za tą tabelą.

• Wszystkie dane, które wprowadzasz, są najpierw zapisywane w lokalnej bazie danych na Twoim urządzeniu. Aplikacja jest w pełni użyteczna bez połączenia z internetem.
• Ta lokalna baza danych jest zaszyfrowana. Otwiera ją 32-bajtowy klucz przechowywany w magazynie kluczy Twojego urządzenia, w ustawieniu, które nie przenosi się na inne urządzenie. Konsekwencje, które warto znać przed zmianą telefonu: na Androidzie wyłączyliśmy dla Aplikacji kopię zapasową w chmurze i przenoszenie z urządzenia na urządzenie, więc nie powstaje żadna nowa jej kopia zapasowa; na iOS kopia bazy danych nadal może trafić do kopii zapasowej iCloud, ale bez klucza jest nieczytelna, a klucz nigdy nie opuszcza urządzenia. Przywrócenie tej kopii na nowy telefon nie przenosi więc Twojego dziennika: Aplikacja znajduje bazę danych, do której nie ma klucza, odmawia jej otwarcia zamiast po cichu zaczynać od pustej i nie uruchomi się na tym telefonie, dopóki jej nie zainstalujesz ponownie lub nie wyczyścisz jej danych. Przeprowadzka na nowy telefon odbywa się przez synchronizację w chmurze albo przez archiwum .glumea, które samodzielnie eksportujesz i importujesz.
• Twoje konto istnieje na naszych serwerach od chwili, gdy je założysz. Zawiera dane Twojego konta, Twój profil, w tym typ cukrzycy, metody leczenia i sposób podawania insuliny, oraz Twoje ustawienia terapii: zakres docelowy, współczynnik insulina-węglowodany i współczynnik wrażliwości na insulinę. Są przechowywane na naszych serwerach niezależnie od tego, czy korzystasz z synchronizacji w chmurze, a sposobem ich usunięcia jest usunięcie konta.
• Synchronizacja w chmurze jest funkcją glumea+ i jest wyłączona, dopóki jej nie włączysz. Decyduje o tym, czy Twój dziennik jest dodatkowo kopiowany na nasze serwery: Twoje wpisy, katalogi leków i harmonogramy przyjmowania leków. Włączenie wymaga dwóch kroków i możesz zatrzymać się na każdym. Bez aktywnej subskrypcji glumea+ Aplikacja pokazuje ekran subskrypcji zamiast cokolwiek włączać. Z subskrypcją Aplikacja prosi następnie o potwierdzenie, w odrębnym kroku, że zgadzasz się na przechowywanie na naszych serwerach Twoich danych zdrowotnych: pomiarów glukozy, zapisów o insulinie i lekach, wpisów o jedzeniu i wadze oraz wszystkiego, co wpiszesz w notatce. Pyta o to za każdym razem, gdy przełącznik zostaje włączony, a nie tylko za pierwszym. To potwierdzenie jest Twoją wyraźną zgodą na podstawie art. 9 ust. 2 lit. a RODO na dziennik. Możesz ją wycofać w dowolnej chwili, wyłączając Synchronizację w chmurze, i usunąć to, co już przechowujemy, linkiem Usunąć dane z serwera w tym samym panelu. Przy wyłączonej synchronizacji wszystko, co zapisujesz, zostaje wyłącznie na Twoim urządzeniu.
• Gdy synchronizacja jest włączona, Twoje dane są przechowywane w naszym backendzie pod adresem api.glumea.app, który działa w Google Cloud Run z bazą danych PostgreSQL w Google Cloud SQL, w regionie Google europe-west1 (Belgia).

Przełącznik należy do Twojego konta, a nie do telefonu. Przechowujemy Twoją odpowiedź na naszych serwerach, a Aplikacja odczytuje ją stamtąd przy logowaniu i przy ponownym połączeniu. Przetrwa więc wylogowanie i podąża za Tobą: włącz synchronizację, zaloguj się na innym telefonie, a synchronizacja jest tam również włączona bez ponownego pytania. Wyłączenie jest zapisywane w ten sam sposób. Jeśli wyłączysz ją offline, Aplikacja zachowuje tę odpowiedź i dostarcza ją na nasze serwery przy najbliższej okazji; wycofanie zgody nigdy nie jest cofane z powodu nieudanego żądania. Na współdzielonym urządzeniu działa to w przeciwną stronę niż przełącznik tylko na urządzeniu: osoba, która się loguje, dostaje odpowiedź swojego własnego konta, a nie tę, którą zostawiła poprzednia osoba.

Jeśli glumea+ się kończy, nowe wpisy przestają być zapisywane w kopii zapasowej, ale nie wycofuje to Twojej zgody i niczego nie usuwa. Gdy subskrypcja wygasa, jest anulowana lub zwrócona, Aplikacja przestaje kopiować nowe wpisy na nasze serwery. Edycje i usunięcia wpisów, które już tam są, nadal docierają na nasze serwery, a Aplikacja nadal pobiera z nich dane. Panel Synchronizacja w chmurze pokazuje Edycje i usunięcia nadal się synchronizują · Nowe wpisy zostają na tym urządzeniu. To, co już jest na naszych serwerach, tam zostaje, to, co jest na Twoim urządzeniu, tam zostaje, a Twoja zapisana odpowiedź na pytanie o zgodę zostaje bez zmian, więc jeśli ponownie wykupisz subskrypcję, pełna kopia zapasowa wznawia się na podstawie tej zapisanej odpowiedzi bez ponownego pytania. Jeśli wolisz, żeby tak nie było, wyłącz przełącznik: jego wyłączenie i link Usunąć dane z serwera obok niego pozostają dostępne niezależnie od tego, czy subskrypcja jest aktywna. Zakończenie subskrypcji nigdy nie odbiera Ci możliwości wycofania zgody ani usunięcia kopii serwerowej.

Synchronizacja może się też zatrzymać bez dotykania tego przełącznika. Twoja sesja logowania może wygasnąć, a gdy to się stanie, nie wylogowujemy Cię i niczego nie usuwamy: Aplikacja zachowuje każdy wpis na Twoim urządzeniu, wstrzymuje kopię zapasową i czeka. Panel Synchronizacja w chmurze pokazuje wtedy Wstrzymana i informuje, że nic nie jest synchronizowane, dopóki nie zalogujesz się ponownie, a ekran Podsumowanie niesie baner o wygasłej sesji. Wszystko, co zapisujesz w międzyczasie, zostaje na urządzeniu i trafia na nasze serwery dopiero po ponownym zalogowaniu. Jeśli liczysz na to, że kopia serwerowa przetrwa zgubienie telefonu, ten baner jest tym, na co należy zareagować.

Kopia na naszych serwerach jest chroniona szyfrowaniem transmisji, szyfrowaniem pamięci masowej Google i naszymi kontrolami dostępu. Nie jest szyfrowana end-to-end i możemy ją odczytać. glumea nie jest usługą zero-knowledge. Jedynym artefaktem w całym systemie, którego nie możemy otworzyć, jest archiwum .glumea, ponieważ jest zaszyfrowane hasłem, które znasz tylko Ty.

11. Jak długo przechowujemy Twoje dane

Przechowujemy Twoje dane przez poniższe okresy.

• Dane konta, profil i ustawienia terapii: przechowywane na naszych serwerach tak długo, jak istnieje Twoje konto.
• Wpisy zdrowotne i katalogi leków, które zsynchronizowano: przechowywane tak długo, jak istnieje Twoje konto, albo dopóki nie usuniesz kopii serwerowej lub konta. Usunięcie pojedynczego wpisu działa inaczej: znika z urządzenia, na którym go usunięto, i tylko z tego urządzenia. Kopia na naszych serwerach zostaje, więc wpis może wrócić po ponownej instalacji, na nowym telefonie albo po wylogowaniu i ponownym zalogowaniu. Tylko Usunąć dane z serwera albo usunięcie konta usuwa te wiersze z naszych serwerów.
• Znaczniki usunięcia dla usuniętych wpisów: tam, gdzie usunięcie pojedynczego wpisu dociera na nasze serwery, wiersz jest zachowywany jako znacznik, który nadal niesie jego wartość, tagi i notatki, aby usunięcie mogło dotrzeć na Twoje inne urządzenia. Nie mamy zadania, które by je czyściło, więc zostają tak długo, jak istnieje Twoje konto. Użycie Usunąć dane z serwera albo usunięcie konta je usuwa.
• Sesje logowania: token dostępu trwa 15 minut. Rekord sesji na naszych serwerach wygasa po 90 dniach bez użycia. Wylogowanie unieważnia go natychmiast, więc nigdy nie może zostać użyty ponownie, ale sam wiersz jest usuwany przez cogodzinne zadanie po upływie tego 90-dniowego okna. Usunięcie konta usuwa go od razu.
• Kody jednorazowe: wygasają 10 minut po wydaniu, a cogodzinne zadanie oznacza wygasłe jako nieużyteczne. Same rekordy nie są czyszczone: zostają, dopóki nie usuniesz konta, co usuwa je razem z całą resztą.
• Kopie zapasowe serwera: 7 dni. Dane usunięte z działającej bazy danych utrzymują się w kopiach zapasowych, dopóki te nie zostaną nadpisane.
• Dzienniki żądań serwera, które zawierają adresy IP: 30 dni.
• Zdarzenia analityczne w PostHog: 12 miesięcy.
• Raporty diagnostyczne w Sentry: 90 dni.
• Zapisy powiadomień o subskrypcji: do 90 dni od chwili, gdy każda wiadomość do nas dociera, chyba że usunięcie konta usunie je wcześniej. Zaplanowane zadanie liczy wiek i nie zatrzymuje wiersza z powodu otwartego sporu o rozliczenie.
• Dane przechowywane wyłącznie na Twoim urządzeniu: zostają tam, dopóki ich nie usuniesz, nie wylogujesz się, nie użyjesz kontrolki usunięcia konta w aplikacji albo nie odinstalujesz Aplikacji. Prośba o usunięcie konta wysłana e-mailem nie może zdalnie wymazać urządzenia.

12. Usunięcie: co się dzieje i gdzie

Zanim zaczniesz. Dwie rzeczy są ważniejsze niż cokolwiek poniżej i obie są w Warunkach korzystania z usługi: najpierw anuluj subskrypcję glumea+ w sklepie, ponieważ usunięcie konta glumea nie zatrzymuje obciążeń (sekcja 13.1 tam), oraz najpierw wyeksportuj dane, ponieważ gdy Twoje wiersze znikną, nie możemy zbudować dla Ciebie eksportu (sekcja 13.3 tam).

Trzy różne kontrolki, trzy różne skutki. Łatwo je pomylić, więc:

Kontrolka	Gdzie jest	Co usuwa	Co zachowuje	Co może to cofnąć
Usunięcie pojedynczego wpisu	Tam, gdzie go zapisano	Ten wpis, tylko na tym urządzeniu	Kopię serwerową, która może go przywrócić	Ponowna instalacja, nowy telefon albo wylogowanie i ponowne zalogowanie
Usunąć dane z serwera	Panel Synchronizacja w chmurze, otwierany przyciskiem chmury na ekranie Podsumowanie lub Historia, a nie w Ustawieniach	Serwerową kopię wpisów, katalogów leków i harmonogramów	Twoje konto, Twój profil, Twoje ustawienia terapii i wszystko w Twoim telefonie	Ponowne włączenie synchronizacji wysyła dane ponownie z Twojego telefonu
Usuń konto	Ustawienia → Konto, albo e-mail na [email protected], jeśli nie możesz korzystać z Aplikacji	Twoje konto i powiązane dane produkcyjne na naszych serwerach; droga w aplikacji czyści też to urządzenie	Istniejące kopie zapasowe, niektóre zapisy dostawców i wszelkie dane na urządzeniach nieobjętych wymazaniem w aplikacji	Nic nie przywraca usuniętego konta

Usunąć dane z serwera wymaga aktywnego zalogowania i wcześniej wyłączonego przełącznika Synchronizacja; trzy uwagi na końcu tej sekcji wyjaśniają dlaczego.

Usunięcie konta w Aplikacji usuwa je z naszej produkcyjnej bazy danych natychmiast. Zweryfikowana prośba wysłana e-mailem korzysta z tej samej ścieżki usuwania po stronie serwera. Oto, co dzieje się w każdym miejscu docelowym.

• Nasza produkcyjna baza danych: usunięcie konta wykonuje trwałe usunięcie Twojego rekordu użytkownika, gdy potwierdzisz je w Aplikacji albo operator zakończy zweryfikowaną prośbę e-mailową. Wszystko, co do niego dołączono, jest usuwane razem z nim kaskadowo przez bazę danych: Twój profil, Twoje ustawienia terapii, każdy zsynchronizowany wpis glukozy, jedzenia, wagi, insuliny, tabletek i leków wstrzykiwanych, Twoje katalogi leków i harmonogramy, Twoje sesje oraz oczekujące kody weryfikacji i resetu. Nie ma flagi miękkiego usunięcia ani możliwości odzyskania.
• Zapisy powiadomień o subskrypcji: każdy wiersz zawiera identyfikator Twojego konta glumea i pełną wiadomość wysłaną przez RevenueCat. Nie jest powiązany z wierszem Twojego konta, więc automatyczna kaskada go nie obejmuje, ale usługa usuwania usuwa go osobno w tej samej transakcji. Bez usunięcia konta zaplanowane zadanie usuwa każdy wiersz po 90 dniach.
• RevenueCat: usunięcie konta kolejkuje żądanie usunięcia rekordu subskrybenta pod identyfikatorem Twojego konta. Próbujemy żądania od razu i ponawiamy je, jeśli dostawca jest niedostępny. Historia rozliczeń sklepowych pozostaje poza naszą kontrolą.
• PostHog: usunięcie konta kolejkuje żądanie usunięcia powiązanego z kontem profilu analitycznego oraz jego zdarzeń i nagrań. Próbujemy od razu i ponawiamy, jeśli dostawca jest niedostępny. PostHog może zakończyć przyjęte zbiorcze usunięcie asynchronicznie. Zdarzenia sprzed zalogowania używają osobnego pseudonimowego identyfikatora urządzenia.
• Kopie zapasowe serwera: kopia tego, co usunięto, utrzymuje się w zautomatyzowanych kopiach zapasowych bazy danych naszego dostawcy hostingu, dopóki te kopie nie zostaną nadpisane: 7 dni, i w żadnym razie nie dłużej niż sześć miesięcy od uwierzytelnienia tam, gdzie obowiązuje ten limit ustawowy. Pojedyncze rekordy nie są edytowane wewnątrz kopii zapasowej. Awaryjne przywrócenie z kopii zapasowej może więc tymczasowo przywrócić wiersze, które usunięto z produkcji.
• Dzienniki serwera: usunięcie konta nie wymazuje wstecznie dzienników żądań serwera, które są przechowywane przez 30 dni.
• Sentry: Aplikacja nie dołącza do raportu diagnostycznego identyfikatora konta, adresu e-mail ani rekordu użytkownika. Nie ma więc obsługiwanego sposobu znalezienia ani usunięcia raportów pojedynczego użytkownika. Raporty wytworzone przez procedurę obsługi awarii systemu operacyjnego nie przechodzą przez filtr Aplikacji, a my nie znamy wszystkich pól, które dodaje SDK platformy. Raporty wygasają zgodnie z okresem przechowywania w Sentry: 90 dni. Art. 11 ust. 2 RODO dotyczy danych, w przypadku których administrator naprawdę nie może zidentyfikować osoby, której dane dotyczą.
• Apple i Google: Twoje zapisy zakupu i subskrypcji należą do sklepu, a nie do nas. Usunięcie Twojego konta glumea nie anuluje subskrypcji i niczego nie usuwa u Apple ani Google. Anuluj w ustawieniach konta w sklepie; ich zapisy podlegają ich zasadom i prawu podatkowemu.
• Twoje własne urządzenie: usunięcie konta w Aplikacji, wylogowanie lub zmiana konta wymazuje z tego urządzenia lokalną bazę danych, dane logowania sesji i zapisane preferencje. Prośba wysłana e-mailem nie może zdalnie wymazać urządzenia. Wyczyszczenie preferencji telemetrii nie wyłącza w sposób niezawodny SDK już zainicjowanego w działającym procesie. Flaga pierwszej instalacji i klucz szyfrowania bazy danych mogą przetrwać wymazanie w aplikacji, ale żadne z nich nie zawiera danych dziennika. Kopia zapasowa urządzenia w iCloud może zawierać nieczytelną zaszyfrowaną kopię bazy danych; kopia zapasowa Androida jest dla Aplikacji wyłączona.
• Kopie zrobione przez Ciebie: archiwum .glumea, plik CSV, raport PDF, cokolwiek udostępniono lub zapisano gdzie indziej: są Twoje i są poza naszym zasięgiem. Usuń je tam, gdzie je umieszczono.

Podsumowując czas: usunięcie z produkcyjnej bazy danych następuje, gdy potwierdzisz je w Aplikacji albo gdy operator zakończy zweryfikowaną prośbę e-mailową. Żądania usunięcia do RevenueCat i PostHog są podejmowane od razu i kolejkowane do ponowienia w razie niepowodzenia. Kopia może utrzymywać się w kopiach zapasowych hostingu, dopóki nie zostaną nadpisane, w ciągu 7 dni.

Sama kaskada bazy danych nie obejmuje dzienników żądań serwera, raportów Sentry, zapisów powiadomień o subskrypcji ani zapisów dostawców. Usługa usuwania osobno usuwa powiadomienia o subskrypcji i żąda skasowania rekordów RevenueCat i PostHog. Dzienniki serwera i raporty Sentry wygasają zgodnie ze skonfigurowanymi okresami przechowywania.

Usunięcie jest trwałe. Usuniętych danych nie można odzyskać, więc jeśli Twoje zapisy mogą być Ci później potrzebne, na przykład dla Twojego zespołu terapeutycznego, najpierw zrób ich kopię, korzystając z opcji eksportu opisanych przy Twoich prawach.

Możesz też poprosić o usunięcie konta e-mailem bez korzystania z Aplikacji. Przed jego przetworzeniem sprawdzamy, czy konto jest Twoje.

Jeszcze trzy rzeczy o węższej kontrolce Usunąć dane z serwera, która usuwa serwerową kopię Twoich wpisów, katalogów leków i harmonogramów przyjmowania leków, ale zachowuje Twoje konto, Twój profil, Twoje ustawienia terapii i wszystko na Twoim urządzeniu:

• Wymaga aktywnego zalogowania. Jeśli Twoja sesja wygasła, w stanie opisanym w sekcji 10, gdy panel pokazuje Wstrzymana: link każe Ci zalogować się ponownie i nic nie robi, dopóki tego nie zrobisz. Ponowne zalogowanie wystarcza; nic nie ginie w międzyczasie.
• Wymaga, aby Synchronizacja w chmurze była najpierw wyłączona. Jeśli później włączysz synchronizację ponownie, wpisy nadal znajdujące się na Twoim urządzeniu są kolejkowane i wysyłane ponownie, więc usunięcie na serwerze zostaje cofnięte przez Twoje własne urządzenie.
• Nie rozchodzi się na Twoje inne urządzenia. Zachowują one lokalne kopie i nie są powiadamiane.

13. Twoje kontrolki w Aplikacji

Nie musisz do nas pisać, aby kontrolować swoje dane. Aplikacja daje Ci te wbudowane kontrolki:

• Usuń konto: w Ustawieniach → Konto, po wpisaniu słowa potwierdzenia. Wykonuje opisane wyżej trwałe usunięcie po stronie serwera i wymazuje z tego urządzenia lokalną bazę danych Aplikacji, dane logowania sesji i preferencje. Możesz też poprosić o usunięcie konta po stronie serwera pod adresem [email protected], jeśli nie możesz korzystać z Aplikacji. Sekcja 12 mówi, co pozostaje.
• Usunąć dane z serwera: link je usunąć w wierszu pod przełącznikiem Synchronizacja w panelu Synchronizacja w chmurze, który otwiera się przyciskiem chmury u góry ekranu Podsumowanie albo Historia, a nie z Ustawień. Trwale usuwa serwerową kopię Twoich wpisów, katalogów leków i harmonogramów przyjmowania leków, zachowując Twoje konto i dane na Twoim urządzeniu. Nie sięga dalej: Twój profil i Twoje ustawienia terapii zostają na naszych serwerach, dopóki nie usuniesz konta. Link jest zawsze widoczny, ale działa dopiero po wyłączeniu przełącznika. Przeczytaj trzy uwagi tuż wyżej.
• Synchronizacja w chmurze: przełącznik Synchronizacja w tym samym panelu i funkcja glumea+. Wyłącz go w dowolnej chwili, aby nowe dane przestały trafiać na nasze serwery, co jest także sposobem wycofania zgody na ich przechowywanie przez nas; wyłączenie nigdy nie wymaga aktywnej subskrypcji. Dane już zsynchronizowane zostają na naszych serwerach, dopóki nie użyjesz Usunąć dane z serwera albo Usuń konto. Twoja odpowiedź dotycząca tego przełącznika jest przechowywana na Twoim koncie, więc przetrwa wylogowanie i podąża za Tobą na nowy telefon.
• Analityka użycia i Raportowanie błędów: dwa niezależne przełączniki w Ustawieniach → Dane i prywatność → Prywatność i diagnostyka. Oba są wyłączone, dopóki ich nie włączysz. Wyłączenie jednego aktualizuje preferencję, ale dane w kolejce nadal mogą zostać dostarczone, a wylogowanie nie zamyka w sposób niezawodny SDK już zainicjowanego w działającym procesie.
• Apple Health / Health Connect: połącz, odłącz albo wyłącz poszczególne typy danych w Ustawieniach → Integracje. Możesz też cofnąć uprawnienie w samej platformie zdrowotnej.
• Pokaż szczegóły w powiadomieniach (Ustawienia → Powiadomienia): wyłączone, dopóki tego nie włączysz. Dopóki tego nie zrobisz, powiadomienia pokazują ogólny tekst.
• Wylogowanie: wymazuje z urządzenia lokalną bazę danych Aplikacji, dane logowania sesji i Twoje preferencje, w tym Twoje wybory dotyczące analityki i diagnostyki. Nic z tego, co zapisano, i żaden dokonany wybór nie jest zachowywany; sekcja o usuwaniu wymienia dwie wartości techniczne, które przetrwają.
• Eksport: chronione hasłem archiwum .glumea z Twoimi wpisami, lekami, profilem, celami terapii i przypomnieniami, z Ustawień → Dane i prywatność → Import i eksport danych. Raporty glukozy w CSV i PDF to osobna rzecz, tworzona z własnego arkusza eksportu ekranu glukozy; archiwum i CSV są bezpłatne, a raport PDF jest funkcją glumea+.

[email protected] przyjmuje prośby o usunięcie konta bez korzystania z Aplikacji. Inne prośby dotyczące praw spoza aplikacji też można tam wysyłać, ale droga usunięcia konta nie zapewnia odrębnego zautomatyzowanego narzędzia eksportu ani korekty.

14. Twoje prawa

Na gruncie RODO masz prawo do:

• Dostępu do swoich danych osobowych i otrzymania ich kopii.
• Sprostowania niedokładnych lub niekompletnych danych. Możesz edytować wpisy i leki tam, gdzie je zapisano, swój profil w Ustawieniach → Konto oraz ustawienia terapii tam, gdzie je ustawiono. Odrębny proces korekty poza aplikacją nie jest obecnie wdrożony.
• Usunięcia swoich danych („prawo do bycia zapomnianym”). Sekcja o usuwaniu wyżej mówi dokładnie, co obejmuje usunięcie, a czego nie.
• Ograniczenia przetwarzania w określonych sytuacjach.
• Przenoszenia danych: otrzymania danych, które nam przekazano, w ustrukturyzowanym, powszechnie używanym formacie odczytywalnym maszynowo, tam gdzie prawo przyznaje to uprawnienie. Eksport glukozy w CSV w aplikacji jest odczytywalny maszynowo i niezaszyfrowany. Archiwum .glumea zawiera wpisy, leki, profil, cele terapii i przypomnienia, ale jest zaszyfrowane hasłem, które znasz tylko Ty, i można je zaimportować tylko do konta glumea, które je utworzyło. Żaden dodatkowy własny eksport nie jest obecnie dostępny przez [email protected].
• Sprzeciwu wobec przetwarzania opartego na naszych prawnie uzasadnionych interesach.
• Wycofania zgody w dowolnej chwili. Wycofanie nie wpływa na przetwarzanie, które było zgodne z prawem przed wycofaniem. W przypadku zsynchronizowanych danych dziennika wyłącz Synchronizację w chmurze i użyj Usunąć dane z serwera albo usuń konto. W przypadku analityki i diagnostyki użyj dwóch przełączników w Ustawieniach → Dane i prywatność → Prywatność i diagnostyka. Nie ma kontrolki usunięcia samego profilu ani samych ustawień terapii i żaden taki proces nie jest obecnie dostępny przez [email protected]. Usunięcie konta jest jedynym wdrożonym sposobem usunięcia tych pól z naszej produkcyjnej bazy danych.
• Złożenia skargi do organu nadzorczego. Naszym wiodącym organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, Polska. Możesz też złożyć skargę do organu ochrony danych w państwie członkowskim UE, w którym mieszkasz, pracujesz lub w którym według Ciebie doszło do naruszenia. Jeśli jesteś w Zjednoczonym Królestwie, możesz złożyć skargę do Information Commissioner’s Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF.

Korzystaj z opisanych w sekcji 13 kontrolek w aplikacji tam, gdzie obejmują żądane działanie. W sprawie usunięcia konta bez Aplikacji napisz na [email protected]. Inne prośby dotyczące praw też można tam wysyłać; ta droga usunięcia konta sama w sobie nie zapewnia odrębnego narzędzia dostępu, eksportu ani korekty.

Jeśli administrator nie zajmie się żądaniem na podstawie RODO, art. 12 wymaga, aby wyjaśnił powód w ciągu miesiąca i wskazał dostępne drogi skargi i środków sądowych. Te drogi pozostają dostępne niezależnie od tego, czy skontaktujesz się z administratorem ponownie.

Weryfikacja tożsamości. Usunięcie w aplikacji opiera się na Twojej uwierzytelnionej sesji. W przypadku prośby wysłanej e-mailem potwierdzamy kontrolę nad adresem e-mail powiązanym z kontem. Jeśli nie masz do niego dostępu, sprawdzamy, czy możliwy jest inny sposób potwierdzenia, że konto jest Twoje, zanim je usuniemy. Nie prosimy o Twoje hasło ani zapisy zdrowotne, aby przetworzyć prośbę.

15. Jak chronimy Twoje dane

• Hasła są haszowane algorytmem bcrypt, nigdy nie są przechowywane jawnym tekstem i nigdy nie są przechowywane na Twoim urządzeniu.
• Lokalna baza danych na Twoim urządzeniu jest zaszyfrowana kluczem przechowywanym w magazynie kluczy platformy, który nie przenosi się na inne urządzenie.
• Tokeny uwierzytelniania są przechowywane w bezpiecznej pamięci Twojego urządzenia: w pęku kluczy iOS (Keychain) albo w pamięci Androida opartej na Keystore.
• Aplikacja komunikuje się z naszymi serwerami przez HTTPS, a obie platformy domyślnie blokują połączenia nieszyfrowane; nie dodaliśmy od tego żadnego wyjątku ani na iOS, ani na Androidzie.
• Nasza baza danych działa wewnątrz Google Cloud, dostępna tylko przez prywatne gniazdo Cloud SQL, z poświadczeniami przechowywanymi w Google Secret Manager.
• Nie zapisujemy w naszych dziennikach aplikacji wartości, które zapisujesz: pomiarów glukozy ani dawek insuliny. Wiersz dziennika błędów zapisuje kod statusu, ścieżkę, czas i komunikat o błędzie, który dla odrzuconego żądania wymienia pola, które nie przeszły walidacji. Nie zawiera treści żądania.
• Powiadomienia domyślnie pokazują ogólny tekst, więc powiadomienie nie umieszcza Twoich danych zdrowotnych na ekranie blokady.
• Dostęp do produkcyjnej bazy danych mają tylko osoby prowadzące usługę, co oznacza, że możemy ją odczytać. Przed wszystkimi innymi chroni ją kontrola dostępu oraz szyfrowanie w transmisji i w spoczynku.

Żaden system nie jest doskonale bezpieczny. Powyższe środki to to, co robimy, aby ograniczyć, jak daleko odsłonięte są wrażliwe części Twoich danych.

Incydent dotyczący danych osobowych może wywołać obowiązek zawiadomienia organów nadzorczych lub osób, których dotyczy, na podstawie art. 33 i 34 RODO, FTC Health Breach Notification Rule lub innego obowiązującego prawa. Każdy reżim ma własny zakres i termin, a te obowiązki ustawowe obowiązują niezależnie od tej polityki.

16. Dzieci

glumea nie jest skierowana do dzieci. Musisz mieć ukończone co najmniej 16 lat, aby korzystać z Aplikacji. To warunek usługi niezależnie od lokalizacji. Nie oferujemy drogi upoważnienia rodzica. Proces usunięcia konta w aplikacji i ograniczenia z sekcji 12 dotyczą każdego konta zidentyfikowanego jako należące do osoby poniżej 16 lat. Obawy dotyczące konta osoby niepełnoletniej można wysyłać na [email protected].

17. Uwagi dla użytkowników w Stanach Zjednoczonych

Amerykańskie prawo prywatności różni się w zależności od stanu, a jego zastosowanie zależy od miejsca zamieszkania, progów ustawowych i rodzaju danych. Opisane w sekcji 13 kontrolki w aplikacji są dostępne niezależnie od tych progów. Obowiązujące prawa ustawowe pozostają w mocy nawet tam, gdzie obecny produkt nie ma odrębnego procesu składania żądań.

• HIPAA: glumea jest produktem skierowanym bezpośrednio do konsumenta. Nie świadczymy opieki zdrowotnej, nie przetwarzamy roszczeń i nie mamy umowy z planem zdrowotnym ani świadczeniodawcą opieki zdrowotnej na przetwarzanie danych w ich imieniu, więc nie występujemy w żadnej z ról regulowanych przez HIPAA, „podmiotu objętego” (covered entity) ani „partnera biznesowego” (business associate), i nie twierdzimy, że spełniamy HIPAA. Zapisy o Tobie prowadzone przez Twojego lekarza podlegają HIPAA w jego rękach; to coś odrębnego od kopii, którą trzymasz w glumea. Amerykańskie przepisy, według których pracujemy dla glumea, to reguła FTC o powiadamianiu o naruszeniach danych zdrowotnych i poniższe stanowe prawa o prywatności zdrowotnej.
• Kalifornia (CCPA/CPRA): zastosowanie zależy od ustawowych progów dla przedsiębiorstw. Opisane tu dane mogą obejmować wrażliwe informacje osobowe. Nie sprzedajemy informacji osobowych ani nie udostępniamy ich do reklamy behawioralnej w różnych kontekstach. Jeśli CCPA ma zastosowanie, jego zasady dotyczące dostępu, korekty, usunięcia, przenoszenia, rezygnacji i niedyskryminacji obowiązują niezależnie od tej polityki. Kontrolki w aplikacji i prośba o usunięcie konta e-mailem pozostają dostępne niezależnie od progu.
• Waszyngton (My Health My Data Act): zapisywane przez Ciebie dane to „dane zdrowotne konsumenta”. Stan Waszyngton wymaga dla nich odrębnej polityki; zobacz Politykę prywatności danych zdrowotnych konsumenta. Opisuje ona kategorie, źródła, cele, odbiorców, prawa ustawowe i obecne ograniczenia operacyjne procesu żądań i odwołań.
• Nevada (prawo o danych zdrowotnych konsumenta, SB 370 z 2023 roku): zapisywane przez Ciebie dane to „dane zdrowotne konsumenta” także według prawa Nevady. Masz prawo potwierdzić, czy je zbieramy, udostępniamy lub sprzedajemy, uzyskać listę osób trzecich, którym zostały udostępnione lub sprzedane, żądać ich usunięcia i wycofać zgodę, którą Nevada traktuje jako dwie odrębne zgody: jedną na zbieranie i jedną na udostępnianie. Prawo Nevady egzekwuje prokurator generalny. Nasza Informacja o prywatności danych zdrowotnych konsumenta w Nevadzie określa te prawa, mające do nich zastosowanie terminy, które dla usunięcia są krótsze niż w stanie Waszyngton, oraz cztery ujawnienia, których żąda Nevada.
• Żądania i odwołania. Obowiązujące prawo stanowe może wymagać pisemnego uzasadnienia, drogi odwołania i informacji o składaniu skargi do prokuratora generalnego stanu. Odrębny proces odwołania e-mailem nie jest obecnie wdrożony pod adresem [email protected], więc obecny proces nie zapewnia tej drogi tam, gdzie jest wymagana. Wymogi stanu Waszyngton opisuje Polityka prywatności danych zdrowotnych konsumenta.
• Inne obowiązujące prawa wynikające z prawa stanowego nie są ograniczone przez tę politykę.

18. Witryna glumea.com

Witryna to statyczna strona, która zawiera informacje o glumea i te dokumenty prawne. Jest celowo minimalna:

• Żadnych plików cookie.
• Żadnej analityki i żadnych żądań do źródeł zewnętrznych. Wszystko, czego potrzebuje strona, w tym czcionki i skrypty, jest serwowane z samego glumea.com, a polityka bezpieczeństwa treści (content security policy) witryny blokuje każde inne źródło wprost. Samą stronę dostarcza nasz host, który z konieczności widzi żądanie; ostatni punkt tej listy mówi, kim on jest i co zapisuje. Witryna uruchamia niewielką ilość własnego JavaScriptu: dwa wbudowane fragmenty, które stosują Twój motyw i kierują Cię na właściwy język, oraz kilka dołączonych plików obsługujących menu nawigacji, przełączniki motywu i języka oraz animację odsłaniającą bloki podczas przewijania. Nic z tego niczego nigdzie nie wysyła.
• Żadnego śledzenia między witrynami, a więc nic, co sygnał Do Not Track lub Global Privacy Control miałby wyłączyć. Witryna nie ustawia reklamowych ani analitycznych plików cookie, nie wysyła żądań do podmiotów trzecich, a my nie sprzedajemy ani nie udostępniamy informacji osobowych.
• Pamięć localStorage przeglądarki jest używana wyłącznie na potrzeby preferencji funkcjonalnych (wyboru motywu i języka). Te wartości zostają w Twojej przeglądarce i nie są do nas przesyłane. Są ustawiane wyłącznie dlatego, że wybrano motyw lub język, i dlatego nie jest dla nich potrzebny baner zgody.
• Witrynę obsługuje Firebase Hosting (Google). Jak większość hostów internetowych, dostawca może zapisywać standardowe dzienniki serwera: adres IP, czas żądania, typ przeglądarki, dla bezpieczeństwa i do prowadzenia usługi. Opieramy się w tym na prawnie uzasadnionych interesach (art. 6 ust. 1 lit. f RODO), konkretnie na utrzymaniu dostępności witryny i ochronie jej przed nadużyciami, a dzienniki są przechowywane tylko tak długo, jak potrzeba do tych celów.

19. Zmiany tej polityki

Aktualna wersja jest opublikowana tutaj wraz z datą wejścia w życie. Obowiązujące prawo określa, czy zmiana wymaga wcześniejszego powiadomienia, ponownej zgody lub innego działania. Opublikowanie zaktualizowanej polityki samo w sobie nie upoważnia do nowego celu, który wymaga zgody lub innej podstawy prawnej.

20. Język

Ta polityka jest publikowana po angielsku. Wersja angielska jest wiążąca prawnie. Tłumaczenia na inne języki są publikowane po to, żeby można było przeczytać politykę w swoim języku. Jeśli tłumaczenie i tekst angielski się różnią, rozstrzyga tekst angielski.

Wyjątkiem jest samo prawo. Jeśli kraj, w którym mieszkasz, nadaje językowi, w którym się do Ciebie zwrócono, odrębny status, tak jak robi to prawo ochrony konsumentów w kilku krajach, zastosowanie ma ta reguła zamiast tej, a nic tutaj nie odbiera Ci przysługującego na jej podstawie prawa.

Tłumaczenie jest publikowane, gdy jest gotowe, więc po aktualizacji może pozostawać w tyle za tekstem angielskim. Jeśli znajdziesz miejsce, w którym tłumaczenie i tekst angielski mówią co innego, napisz do nas na [email protected].

21. Skontaktuj się z nami

Pytania, wątpliwości lub prośby dotyczące Twoich danych:

• E-mail: [email protected]
• Poczta: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polska

Dokumenty powiązane: Warunki korzystania z usługi, Zastrzeżenie medyczne oraz, dla mieszkańców stanu Waszyngton, nasza Polityka prywatności danych zdrowotnych konsumenta, a dla mieszkańców Nevady nasza Informacja o prywatności danych zdrowotnych konsumenta w Nevadzie.