Política de Privacidade de Dados de Saúde do Consumidor

O que este documento responde

Esta é a política de dados de saúde do consumidor que a My Health My Data Act de Washington exige. Ela é deliberadamente restrita, porque essa lei pede um documento independente que traga apenas o que ela exige.

• O que conta como meus dados de saúde aqui? Seções 2 e 3.
• De onde eles vêm, e quem mais os vê? Seções 4 e 5.
• O que posso desativar? Seção 7.
• Quais são os meus direitos, e de quanto tempo vocês dispõem? Seções 8.1 e 8.2.
• O que a exclusão realmente alcança? Seção 9.
• E se vocês disserem não? Seção 10.

Se você está em Nevada, seus direitos e prazos são diferentes e estão definidos no nosso Aviso de Privacidade de Dados de Saúde do Consumidor de Nevada. Tudo o que está nas seções 2 a 5 e 9 abaixo também se aplica a você, e esse aviso remete para cá quanto a isso.

Tudo o mais sobre os seus dados, bases legais, segurança, crianças, transferências internacionais, o site, está na Política de Privacidade, que também se aplica a você.

1. Quem somos e o que esta política abrange

Este documento trata somente de dados de saúde do consumidor. A lei de Washington exige que ele seja mantido separado da nossa Política de Privacidade geral, por isso ele é mais restrito: não repete as seções da Política de Privacidade sobre bases legais, segurança, crianças, transferências internacionais nem sobre o site glumea.com. Para tudo isso, leia a Política de Privacidade.

O que ele abrange é o app glumea: o que ele coleta, para onde isso vai, e o que você pode desativar ou excluir. A Paweł Milewski Software Development (o Operador, “nós”, “nos”, “nosso”) oferece o glumea (o App) e o glumea.com (o Site); esta política trata do App. Nosso endereço postal e e-mail estão na seção 13.

Dois outros documentos se aplicam junto com esta política e com a Política de Privacidade: os Termos de Serviço e o Aviso Médico.

Ela se aplica a você se você é residente de Washington, ou se seus dados de saúde do consumidor foram coletados enquanto você estava em Washington (My Health My Data Act, RCW 19.373).

Nevada tem seu próprio aviso. A lei de Nevada (NRS 603A.400 et seq.) concede a você direitos diferentes, com prazos diferentes, e nos pede quatro divulgações que Washington não pede, por isso elas estão no Aviso de Privacidade de Dados de Saúde do Consumidor de Nevada e não aqui. As seções 2 a 5 e 9 deste documento descrevem o que o glumea faz com dados de saúde, e se aplicam onde quer que você more.

2. O que entendemos por dados de saúde do consumidor

Segundo a My Health My Data Act de Washington, dados de saúde do consumidor são informações pessoais vinculadas, ou razoavelmente vinculáveis, a você e que identificam seu estado de saúde física ou mental passado, presente ou futuro, incluindo expressamente funções corporais, sinais vitais, medições, diagnósticos, tratamento e medicamentos.

A maior parte do que o glumea registra se enquadra nessa definição. Uma leitura de glicose, uma dose de insulina e o nome de um medicamento são exemplos claros.

Como o glumea é um app de diabetes, o fato de você ter uma conta revela, por si só, informações de saúde. Por isso tratamos o identificador da sua conta e o e-mail da sua conta como dados de saúde do consumidor para os fins desta política, mesmo que não sejam medições de saúde. Pelo mesmo motivo, tratamos o identificador pseudônimo do dispositivo e os logs de requisições do servidor descritos abaixo como dados de saúde do consumidor.

3. As categorias que coletamos, e por quê

Categoria	O que está nela	Por que a coletamos
Leituras de glicose	Valor, data e hora, tags de contexto (incluindo tags que você mesmo digita), observações em texto livre	Para mostrar a você suas leituras, gráficos e estatísticas de Tempo no alvo, e para agendar os lembretes de nova medição descritos no Aviso Médico
Registros de alimento e de carboidratos	Carboidratos, proteína, gordura e calorias opcionais, e o nome que você digita	Para que você registre e revise o que comeu junto com suas leituras
Doses de insulina, comprimidos e injetáveis	Unidades, contagens, horários das doses e a qual medicamento pertencem	Para que você registre e revise seu tratamento
Seus catálogos de medicamentos	Nomes de medicamentos (por exemplo, uma marca de insulina), tipo, concentração, intervalo entre doses e parâmetros farmacocinéticos	Para que as doses possam ser registradas em um medicamento real e o App possa exibi-las corretamente
Agendas de medicamentos	Qual medicamento, o horário do dia, os dias da semana e se o lembrete pode disparar durante o Horário silencioso	Para entregar os lembretes de medicamento que você configurou
Lembretes de medição e configurações de notificação	Os horários e dias da semana dos seus lembretes de medição de glicose, sua janela de Horário silencioso, e se as notificações mostram detalhes	Para entregar os lembretes que você pediu, e para guardar as configurações de lembretes que ainda não foram construídos. Os lembretes agendados de medição de glicose não são entregues hoje: você pode definir os horários, e nada chega. Os lembretes de medicamento e os lembretes de nova medição depois de uma leitura muito baixa ou muito alta são entregues. Suas configurações de Horário silencioso e de detalhes das notificações ficam no seu dispositivo
Medidas corporais	Histórico de peso e altura	Para mostrar o peso ao longo do tempo e exibir seus registros nas unidades que você escolheu
Perfil do diabetes e do tratamento	O apelido que você escolhe, sua idade, seu sexo se você o informar, tipo de diabetes, forma de aplicação da insulina e se você trata com comprimidos, injetáveis ou dieta	Para configurar o App do jeito que você realmente cuida do seu diabetes
Configurações de terapia	Seu intervalo-alvo de glicose, fator de sensibilidade à insulina (ISF) e razão insulina/carboidrato (ICR)	Para mostrar seu intervalo-alvo nos gráficos e manter seus valores em um só lugar. Seu intervalo-alvo é escrito no relatório de glicose em PDF se você gerar um, e sua razão insulina/carboidrato também, quando a janela do relatório contém uma dose de insulina. A exportação em CSV não traz nenhum dos dois, e o fator de sensibilidade à insulina não está nem no CSV nem no PDF, ele está no arquivo .glumea criptografado, que traz toda a sua conta. O App nunca os usa para calcular ou recomendar uma dose. O fator de sensibilidade à insulina é usado para mais uma coisa, porém: o texto de risco de hipo mostrado ao lado da insulina ativa, como descreve o Aviso Médico
Dados importados do Apple Health ou do Health Connect	Registros de glicose, peso e carboidratos	Somente se você conectar: para poupar você de digitar de novo leituras que seus outros dispositivos já registraram. Os registros importados se tornam registros comuns e seguem o mesmo caminho de tudo o que você digita, inclusive até os nossos servidores quando a sincronização na nuvem está ativada
Valores que o App calcula no seu dispositivo	Insulina ativa estimada, e o texto de risco de hipo e a faixa aproximada de queda mostrados ao lado dela; glicose média e sua dispersão; Tempo no alvo; HbA1c estimada (GMI); o horário sugerido para sua próxima leitura; e o rótulo Boa / Razoável / Crítica da sua última leitura	Para mostrar um resumo do que você registrou. Eles são calculados no seu dispositivo, e o Aviso Médico define o que cada um é e o que não é
Identificador da conta e e-mail	O UUID da sua conta e o e-mail de login	Para dar a você uma conta e sincronizar seus registros com ela
Status da assinatura	O identificador da sua conta e se o glumea+ está ativo, conforme informado pela Apple ou pelo Google por meio do RevenueCat	Para desbloquear o que você pagou. Não traz leituras, medicamentos nem registros
Eventos de análise de uso do produto	Que um registro de determinado tipo foi salvo (glicose, alimento, medicamento ou peso; insulina, comprimidos e injetáveis contam todos como medicamento), se você o salvou pelo formulário ou pelo botão de ação de um lembrete, quantas linhas esse salvamento gravou, e se você o registrou até cerca de quinze minutos depois do momento, mais tarde no mesmo dia, ou com data retroativa; que você abriu o formulário de registro, e em qual tipo ele abriu; que o App foi iniciado, e separadamente que foi iniciado pela primeira vez após a instalação; que você concluiu o cadastro ou o login, e que um código enviado por e-mail foi verificado ou recusado, e a qual fluxo pertencia; quais etapas do onboarding você concluiu, incluindo as sobre o tipo de diabetes e o tratamento, mas não a etapa que só os usuários de insulina veem, e que você concluiu seu perfil; quais telas você abriu, como nomes de rota fixos, com uma tela que só um tipo de tratamento alcança informada como a tela acima dela; que você tocou em um lembrete, e sua categoria geral, nunca um alerta de glicose; que você foi solicitado a conceder permissão de notificação, e se permitiu; se você conectou o Apple Health ou o Health Connect, se o sistema operacional concedeu ou recusou a permissão, que você pediu uma importação, e que uma importação foi executada e o que a disparou, nunca quantos registros ela leu; que você gerou uma exportação, em qual formato, e se a compartilhou; que você desativou a análise de uso; eventos de assinatura e de compra; e seu idioma, tema, preferências de unidades e status da assinatura. Nunca um valor, um nome, uma observação ou qualquer outra coisa que você tenha digitado. Os eventos com login usam o identificador da conta; os eventos anteriores ao login usam um identificador pseudônimo do dispositivo	Para entender quais partes do App são usadas. Eles não dizem qual medicamento você toma, qual tratamento você usa nem se um alerta de glicose disparou, mas estão vinculados ao seu uso de um app de diabetes. Coletados somente depois que você concorda com a análise de uso
Informações técnicas e do dispositivo	O identificador pseudônimo do dispositivo usado na análise de uso anterior ao login; modelo do dispositivo, sistema operacional, versão do app, release, build e valores semelhantes acrescentados pelos SDKs do PostHog, do Sentry e do RevenueCat; e o endereço de rede visto pelos servidores deles	Os SDKs coletam esses valores, e somente depois que você concorda com a análise de uso ou com os diagnósticos. Nenhum desses campos é uma leitura, um medicamento ou um valor que você digitou
Logs de requisições do servidor	O endereço, o caminho e o horário das requisições que seu dispositivo faz aos nossos servidores e, quando uma requisição falha, o status, o caminho, o horário e a mensagem de erro	Para operar o backend e investigar falhas. Eles não contêm registros, medicamentos nem leituras, nem nada que você tenha digitado. Estão listados aqui porque uma requisição ao backend do glumea está vinculada ao seu uso de um app de diabetes

Usamos os dados de saúde do consumidor para essas finalidades e nenhuma outra. Não os usamos para publicidade, direcionamento de anúncios, criação de perfis, decisões de crédito ou de seguro, nem pesquisa, e não os usamos para tomar decisões automatizadas a seu respeito.

Parte do que está acima nunca sai do seu dispositivo: os horários dos seus lembretes de medição, seu Horário silencioso, sua configuração de detalhes das notificações e suas configurações de conexão com a saúde são armazenados somente localmente e não são enviados aos nossos servidores. Suas agendas de medicamentos são a exceção: elas pertencem ao diário, portanto são copiadas para os nossos servidores quando a Sincronização na nuvem está ativada, porque um lembrete de medicamento precisa sobreviver a um celular novo.

4. De onde vêm

Há seis fontes:

• Você, quando digita registros no App ou configura seu perfil, medicamentos e lembretes.
• A plataforma de saúde do seu dispositivo: o Apple Health ou o Health Connect, quando você os conecta e concede a permissão do sistema operacional. A leitura é somente leitura: o glumea nunca grava nada de volta no Apple Health nem no Health Connect, e no iOS ele não tem nenhum direito (entitlement) que o permitiria.
• O próprio App, quando calcula valores no seu dispositivo a partir do que você informou.
• Apple, Google e RevenueCat, que nos informam se a sua assinatura do glumea+ está ativa. Isso é um fato de pagamento ligado ao identificador da sua conta; não traz leituras, medicamentos nem registros. Ele chega até nós tanto no App quanto como uma mensagem de servidor para servidor do RevenueCat para o nosso backend.
• Os SDKs do PostHog, do Sentry e do RevenueCat dentro do App, que coletam por conta própria os valores de dispositivo e de rede listados na seção 3. Nós não os definimos.
• Nossa plataforma de hospedagem e nosso backend, que registram os logs de requisições do servidor descritos na seção 3.

O Apple Health e o Health Connect contam como uma fonte. As leituras que eles guardam foram registradas por outra coisa, e importá-las as traz para o glumea como registros comuns, inclusive para os nossos servidores quando a sincronização na nuvem está ativada.

Não compramos dados de saúde do consumidor. Além da plataforma de saúde que você conecta e desse sinal de assinatura, não os recebemos de ninguém, nem de corretores de dados, redes de publicidade, prestadores de serviços de saúde ou seguradoras.

5. Quem mais os trata, e o que recebe

Nada nesta seção é uma venda. A tabela identifica as empresas que operam partes do glumea e os dados que cada serviço pode receber. A Apple e o Google estão incluídos para ficar completo: eles operam as lojas, mantêm seus próprios registros de compra e agem de forma independente quanto a esses dados da loja. O SDK de um prestador dentro do App também pode coletar informações do dispositivo e da rede que nós não configuramos nem recebemos. O SDK do RevenueCat faz isso, e o RevenueCat descreve esse tratamento em seu próprio aviso de privacidade.

Quem	O que recebe	Por quê	Contato
Google Cloud (Google), Cloud Run e Cloud SQL, região europe-west1	O e-mail da sua conta, seu perfil e suas configurações de terapia, que são mantidos em nossos servidores use você a sincronização na nuvem ou não; e, quando a Sincronização na nuvem está ativada, também o seu diário: registros, catálogos de medicamentos e agendas de medicamentos	Hospedam nosso backend e banco de dados. É aqui que fica a cópia dos seus dados no servidor. O Google Cloud Logging também guarda os logs de requisições do nosso servidor, descritos na seção 3	support.google.com/policies/contact/general_privacy_form
Zoho ZeptoMail	Se o envio de e-mails em produção estiver ativado: o e-mail de destino e a mensagem de verificação, de redefinição de senha ou de alteração de e-mail. Nenhum registro, medicamento ou leitura	Para entregar e-mails da conta quando essa função está ativada	[email protected]
PostHog (EU Cloud)	Enquanto a análise de uso está ativada: os eventos listados acima, o identificador da conta depois do login ou um identificador pseudônimo do dispositivo antes do login, atributos de preferência selecionados, propriedades técnicas acrescentadas pelo SDK e o endereço de rede: o PostHog o recebe a cada requisição e deriva dele uma localização aproximada; não ativamos a opção do PostHog de descartá-lo, portanto ele é armazenado com o evento	Análise de uso do produto	[email protected]
Sentry (diagnósticos, região da União Europeia)	Enquanto os diagnósticos estão ativados: relatórios filtrados de falhas e de erros, dados de dispositivo e de app acrescentados pelo SDK, o endereço de rede (o App está configurado para não enviá-lo, portanto nenhum endereço IP é anexado ao relatório, mas os servidores do Sentry necessariamente veem o endereço de onde o relatório chega) e sinais de saúde das versões (release health) da plataforma que podem contornar o filtro do App	Para encontrar e corrigir falhas	[email protected]
RevenueCat	O identificador da sua conta e o estado da sua compra e assinatura do glumea+. Nosso código não anexa mais nada a ele: não definimos nenhum e-mail, nenhum nome, nenhum identificador de dispositivo e nenhum atributo de assinante nosso. O RevenueCat pode ter atributos de assinante próprios sobre você, e, quando tem, eles voltam até nós dentro das mensagens que ele envia ao nosso backend, que armazenamos como chegam, a seção 9 diz o que acontece com eles. O SDK dele coleta por conta própria algumas informações do dispositivo e da rede que nosso código não define nem suprime: o endereço de rede, do qual ele infere uma localização aproximada, o tipo de dispositivo, o sistema operacional e a versão do app, e o histórico de compras da loja que ele lê; nosso código não ativa a coleta de identificadores do dispositivo dele, portanto nenhum identificador de publicidade é anexado. Nenhum registro, nenhum medicamento, nenhuma leitura	Para informar ao App se a sua assinatura está ativa	[email protected]
Apple e Google, que operam as lojas em que o glumea+ é vendido	Registros de compra e de assinatura. Nenhum registro, nenhum medicamento, nenhuma leitura	Eles processam o pagamento e mantêm a relação de cobrança com você; quem é o vendedor registrado depende da loja e do seu território, como explicam os Termos de Serviço. Nunca vemos os dados do seu cartão	apple.com/legal/privacy/contact · support.google.com/policies/contact/general_privacy_form

Nenhuma afiliada da Paweł Milewski Software Development recebe dados de saúde do consumidor, e não os divulgamos a anunciantes, corretores de dados, seguradoras nem empregadores. Uma ordem legal vinculante pode exigir a divulgação. Qualquer aviso sobre essa divulgação é regido pela lei aplicável.

A tabela indica por que cada serviço é usado e o que ele pode receber. O App não tem uma chave separada de compartilhamento prestador por prestador; os controles disponíveis estão descritos na seção 7. Os termos e avisos de privacidade dos prestadores também regem os dados que um SDK coleta independentemente dos campos configurados pelo nosso código.

Dois pontos sobre o que a análise de uso e os diagnósticos podem e não podem carregar:

• A análise de uso não pode receber uma leitura, observação, nome de medicamento, tag digitada pelo usuário nem e-mail por meio do esquema de eventos do App. O App usa listas permitidas fixas de eventos e de propriedades. Os registros de medicamento de todo tipo são informados como um só tipo, e os toques em alertas de glicose não são registrados, portanto os eventos não revelam seu tratamento nem suas leituras. A análise de uso não coleta nada até você concordar com ela.
• Os relatórios de diagnóstico são reconstruídos a partir de uma lista permitida antes de serem enviados, e o relatório não carrega usuário, nem identificador de conta, nem texto de mensagem. Dois limites: o rótulo que nomeia a operação que falhou pode revelar a qual categoria de dados uma operação se referia (por exemplo, uma importação de glicose), nunca um valor; e eventos de falha nativa, de app não responde e de watchdog são produzidos pelo tratador de falhas do sistema operacional e podem chegar ao Sentry sem passar por esse filtro.

5.1 Cópias que você mesmo faz

Os relatórios de glicose em PDF e CSV, e o arquivo .glumea criptografado, vão para onde você os enviar. Depois que você entrega um arquivo a outro app, a um e-mail ou a uma pessoa, ele está fora do nosso controle. O arquivo .glumea é criptografado com uma senha que só você conhece, nós não conseguimos abri-lo, e ninguém a quem você não der a senha consegue.

5.2 Backups do dispositivo

O banco de dados local do App é criptografado no seu dispositivo com uma chave guardada no keystore da plataforma que nunca sai desse dispositivo. No Android, o backup e a transferência entre dispositivos estão totalmente desativados para o glumea. No iOS, uma cópia do arquivo do banco de dados ainda pode ser incluída no seu backup do iCloud, mas não pode ser lida sem a chave. A Apple e o Google, portanto, não recebem dados de saúde do consumidor legíveis por esse caminho, e mudar para um celular novo precisa passar pela sincronização na nuvem ou por um arquivo .glumea.

6. Não vendemos dados de saúde do consumidor

Não vendemos dados de saúde do consumidor e nunca os vendemos. A lei de Washington exige uma “autorização válida” assinada e separada de você antes de qualquer venda; não temos nenhuma e não pedimos uma a você. Uma venda só poderia acontecer por meio de uma autorização que você escolha dar, que precisa dizer exatamente o que está sendo vendido e a quem, e que você pode revogar.

O glumea não contém SDK de publicidade, nem identificador de publicidade, nem SDK de atribuição ou de mensuração, nem SDK de localização. O glumea nunca pede permissão de localização e não coleta dados de localização precisa: nenhuma das compilações das duas plataformas declara permissão de localização, portanto o App não consegue ler a localização do seu dispositivo de forma alguma. A única coisa que carrega algum sinal geográfico é o endereço de rede de onde seu dispositivo se conecta, que nossos servidores e os prestadores da seção 5 veem como qualquer serviço web, e do qual uma região aproximada pode ser inferida. Não o usamos para localizar você e não derivamos nem armazenamos uma localização a partir dele. Não tratamos dados de saúde do consumidor para publicidade, não os compartilhamos para publicidade comportamental entre contextos, e não operamos nem podemos operar uma cerca geográfica (geofence) em torno de nenhuma instalação de saúde.

7. Por que coletamos, e o que cabe a você desativar

A maioria dos registros de saúde é fornecida deliberadamente, digitando-os ou importando-os. A análise de uso e os diagnósticos também são opcionais: ambos ficam desativados até você concordar com eles no final do onboarding ou ativá-los nas Configurações, e nenhum dos dois SDKs é iniciado antes disso.

Sincronização na nuvem: se seus registros são copiados para os nossos servidores, é um recurso do glumea+, e fica desativada até você ativá-la. Ativá-la leva duas etapas. Sem uma assinatura ativa do glumea+, o App mostra a tela de assinatura em vez de ativar qualquer coisa. Com uma, ele então pede que você confirme, em uma etapa própria, que concorda que seus dados de saúde sejam armazenados em nossos servidores. Essa confirmação é o seu consentimento, é pedida toda vez que a chave é ativada e não só na primeira, e desativar a chave de novo o retira. Você a encontra no painel Sincronização na nuvem, que abre pelo botão de nuvem no topo da tela Resumo ou Histórico; a chave dentro dele se chama Sincronização. Com ela desativada, os novos registros ficam no seu dispositivo. Os registros que já estão em nossos servidores permanecem lá até você excluí-los, e ativar a sincronização de novo reenvia os registros mantidos no seu dispositivo.

Sua resposta a essa chave é mantida na sua conta em nossos servidores e não no celular. Ela sobrevive ao ato de sair da conta e acompanha você em um dispositivo novo, e desativá-la é registrado da mesma forma, se você a desativar estando offline, o App guarda essa resposta e a entrega na próxima oportunidade em vez de descartá-la. Se o glumea+ terminar, os novos registros deixam de ser copiados para os nossos servidores enquanto as edições e exclusões de registros que já estão lá continuam sincronizando, e o painel mostra Edições e exclusões continuam sendo sincronizadas · Novos registros ficam neste dispositivo: nada é excluído, sua resposta armazenada é deixada como estava, e assinar de novo retoma o backup completo com essa resposta sem perguntar uma segunda vez. Desativar a chave, e o link Excluir dados do servidor ao lado dela, continuam disponíveis haja ou não uma assinatura ativa.

Três coisas cabem a você desativar, no App, a qualquer momento:

• Apple Health / Health Connect: desativado até você conectá-lo, e cada um dos três tipos de dados pode ser desativado individualmente. Configurações → Integrações → Apple Health (no iPhone) ou Health Connect (no Android).
• Análise de uso: Configurações → Dados e privacidade → Privacidade e diagnóstico. Desativada até você concordar com ela. Desativá-la altera a preferência armazenada, mas os eventos já enfileirados ainda podem ser entregues no cronograma do SDK.
• Relatório de erros: a chave separada na mesma tela. Também desativada até você concordar com ela. Sair da conta apaga as duas respostas, mas um SDK que já está em execução continua em execução até o App ser fechado.

O controle Excluir dados do servidor dentro do app exige um login ativo. Se a sessão tiver expirado, o painel Sincronização na nuvem mostra Pausada e o controle exige login antes de poder ser executado. Regras obrigatórias proíbem penalizar uma retirada válida de consentimento.

Seu perfil do diabetes e do tratamento e suas configurações de terapia não são cobertos pelas chaves acima. Excluir a conta é a única forma implementada de removê-los do nosso banco de dados de produção. Atualmente não há disponível nenhum fluxo de remoção somente do perfil por meio do [email protected].

8. Seus direitos

A seção 8.1 define os direitos que Washington concede a você, e a seção 8.2 diz como exercê-los. Se você está em Nevada, seus direitos e prazos estão no Aviso de Privacidade de Dados de Saúde do Consumidor de Nevada.

8.1 Se você está em Washington

Segundo a My Health My Data Act, você tem o direito de:

• Confirmar se coletamos, compartilhamos ou vendemos seus dados de saúde do consumidor, e acessá-los, incluindo os terceiros e afiliadas com quem foram compartilhados e uma forma de contatá-los. A lista de destinatários e de contatos atualmente publicada é a tabela da seção 5.
• Retirar seu consentimento para a coleta dos seus dados de saúde do consumidor e para o compartilhamento deles (seção 7).
• Excluir seus dados de saúde do consumidor.

A lei de Washington exige uma resposta em até 45 dias após o recebimento de uma solicitação. Ela permite mais um período de 45 dias quando razoavelmente necessário, com aviso e justificativa durante o primeiro período. Ela também estabelece as regras sobre cobranças e sobre solicitações manifestamente infundadas, excessivas ou repetitivas. Esses requisitos legais se aplicam independentemente desta política.

8.2 Como exercer esses direitos

• No App: Excluir conta (Configurações → Conta) exclui definitivamente sua conta e tudo o que foi sincronizado com ela dos nossos servidores, e apaga o banco de dados local do seu dispositivo. O link Excluir dados do servidor (no painel Sincronização na nuvem; ele funciona depois que a sincronização é desativada) exclui a cópia do servidor dos seus registros, dos seus catálogos de medicamentos e das suas agendas de medicamentos, mantendo sua conta e a cópia no seu dispositivo. Ele não vai além disso: seu perfil do diabetes e do tratamento e suas configurações de terapia permanecem em nossos servidores até você excluir sua conta.
• Por e-mail: solicite a exclusão da conta em [email protected], mesmo que você não tenha mais o App. Verificamos a titularidade antes de excluir a conta. Excluir sua conta glumea descreve as duas vias. Um processo personalizado separado de acesso ou de recurso fora do app ainda não está implementado, portanto essa via por e-mail não atende, por si só, a todos os direitos de solicitação de Washington.

Quando você exclui no App, a exclusão das tabelas da conta de produção ocorre quando você a confirma. A seção 9 diz até onde essa exclusão alcança e o que sobrevive a ela.

9. O que a exclusão realmente alcança

A tabela abaixo define como uma exclusão é aplicada em cada sistema e em cada prestador de serviço.

Destino	O que acontece
Seu dispositivo	Excluir um registro o remove deste dispositivo, e somente deste dispositivo. A cópia do servidor permanece, então o registro pode voltar em uma reinstalação, em um celular novo ou depois que você sair da conta e entrar de novo. Somente Excluir dados do servidor ou excluir sua conta limpa o servidor. As leituras importadas do Apple Health ou do Health Connect não podem ser excluídas uma a uma no App. A exclusão da conta dentro do app e o ato de sair da conta apagam o banco de dados local naquele dispositivo; uma solicitação por e-mail não consegue apagá-lo remotamente. O banco de dados é criptografado com uma chave vinculada ao dispositivo, portanto qualquer cópia dele que saia deste dispositivo é ilegível
Nosso banco de dados de produção (Google Cloud, europe-west1)	Quando você exclui sua conta, a linha da conta e tudo o que está ligado a ela são excluídos definitivamente na hora, sem recuperação. Um único registro é diferente: se a exclusão de um registro chegar algum dia aos nossos servidores, a linha é mantida como um marcador de exclusão (tombstone) que ainda traz seu valor, suas tags e suas observações, para que a exclusão possa chegar aos seus outros dispositivos
Nossos backups do servidor	As cópias de linhas já excluídas permanecem até os backups expirarem, no máximo 7 dias, e não mais de seis meses após a autenticação quando o limite legal de Washington se aplica. Registros individuais não são editados dentro de um backup. Uma restauração de recuperação de desastres pode reintroduzir temporariamente linhas excluídas, porque nenhuma tarefa reaplica exclusões passadas
Nossos logs do servidor	Nossa plataforma de hospedagem registra o endereço, o caminho e o horário das requisições que seu dispositivo faz a nós, e nosso backend grava sua própria linha sempre que uma requisição falha, o status, o caminho, o horário e a mensagem de erro. Nenhum dos dois contém registros, medicamentos nem leituras. Retenção: 30 dias
Zoho ZeptoMail	Se o envio de e-mails estiver ativado, ele pode guardar registros de entrega das mensagens de verificação e de redefinição. Retenção: até 60 dias de logs de entrega, a retenção padrão do ZeptoMail. O fluxo de exclusão atual não envia uma solicitação de exclusão ao prestador
PostHog (análise de uso)	A exclusão da conta enfileira uma solicitação para apagar o perfil vinculado à conta e seus eventos e gravações. Tentamos imediatamente e repetimos uma solicitação que falhou. O PostHog pode concluir de forma assíncrona uma exclusão em lote aceita. Os eventos anteriores ao login usam um identificador de dispositivo separado
Sentry (diagnósticos)	O App não anexa a um relatório de diagnóstico um identificador de conta, e-mail ou registro de usuário. Os relatórios nativos podem contornar o filtro do App, e não existe um identificador suportado para localizar e excluir os relatórios de um usuário individual
RevenueCat	Mantém um registro de assinante sob o identificador da conta, mas nenhum registro, medicamento ou leitura. A exclusão da conta enfileira uma solicitação para apagar esse registro. Tentamos imediatamente e repetimos uma solicitação que falhou
Nosso log de eventos de assinatura	Nosso backend armazena cada mensagem de assinatura que o RevenueCat envia, incluindo o identificador da conta e quaisquer atributos de assinante nessa mensagem. As linhas não estão ligadas ao registro da conta, portanto o serviço de exclusão as remove separadamente quando exclui a conta. Fora isso, uma tarefa agendada remove cada linha 90 dias após a chegada
Registros de assinatura da Apple / do Google	Mantidos por eles segundo as próprias políticas, fora do nosso controle
Cópias que você mesmo exportou	Fora do nosso alcance, veja “Cópias que você mesmo faz” acima

As duas vias de exclusão da conta usam o mesmo serviço do lado do servidor. Ele remove a conta e o log de eventos de assinatura do nosso banco de dados de produção e enfileira solicitações ao RevenueCat e ao PostHog. Ele não identifica os relatórios do Sentry de um usuário individual nem apaga os logs de entrega do Zoho ZeptoMail. A lei de Washington também exige um processo de recurso para solicitações recusadas; esse processo separado ainda não está implementado.

10. Se dissermos não

A lei de Washington exige uma explicação por escrito e um processo de recurso quando uma solicitação é recusada. Ela também exige uma decisão por escrito sobre o recurso em até 45 dias e, depois de um recurso negado, um método para contatar o Procurador-Geral de Washington.

Atualmente não há implementado em [email protected] nenhum fluxo separado de recurso, portanto o processo atual não oferece a via de recurso exigida por Washington. Nada nesta política limita uma reclamação ao Gabinete do Procurador-Geral do Estado de Washington (Washington State Office of the Attorney General) nem qualquer outro direito segundo a lei de Washington.

11. Alterações nesta política

A versão atual descreve as categorias e finalidades atualmente usadas. A lei de Washington pode exigir uma política atualizada, aviso prévio ou consentimento antes de uma nova categoria ou finalidade ser introduzida. A publicação de uma política atualizada não substitui o consentimento quando ele é exigido.

12. Idioma

Esta política é publicada em inglês. A versão em inglês é a juridicamente vinculante. As traduções para outros idiomas são publicadas para que você possa ler a política no seu próprio idioma. Quando uma tradução e o texto em inglês divergirem, prevalece o texto em inglês.

A exceção é a própria lei. Quando o país onde você mora dá ao idioma em que você foi informado um status próprio, como faz a lei de defesa do consumidor de vários países, essa regra se aplica no lugar desta, e nada aqui retira um direito que você tenha segundo ela.

Uma tradução é publicada quando fica pronta, então pode ficar defasada em relação ao texto em inglês depois de uma atualização. Se você encontrar um ponto em que uma tradução e o texto em inglês dizem coisas diferentes, avise-nos em [email protected].

13. Fale com a gente

• E-mail: [email protected]
• Correio: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polônia

Documentos relacionados: Aviso de Privacidade de Dados de Saúde do Consumidor de Nevada, Política de Privacidade, Termos de Serviço e Aviso Médico.