Política de Privacidade

1. Quem somos e o que esta política abrange

A Paweł Milewski Software Development (o Operador, “nós”, “nos”, “nosso”) oferece o glumea (o App), um aplicativo móvel para o autocontrole do diabetes, e o glumea.com (o Site). Esta política explica quais dados coletamos, por quê, onde são armazenados, quem pode acessá-los, por quanto tempo são mantidos, o que a exclusão remove e quais direitos e controles você tem.

Ela também é o aviso que devemos a você segundo a lei europeia de proteção de dados: as informações exigidas pelos Artigos 13 e 14 do Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679), que daqui em diante chamamos de RGPD, abrangendo tanto os dados que você nos fornece quanto os dados que chegam até nós por outro caminho.

Esta política abrange:

O App: o app glumea para iOS e Android.
O Site: o site glumea.com, incluindo as páginas que hospedam estes documentos legais.

O Site coleta quase nada, e tem uma seção própria mais adiante.

O Operador é o controlador dos dados responsável pelos seus dados pessoais:

Controlador: Paweł Milewski Software Development
Número de registro da empresa: NIP PL6751782526 (empresário individual inscrito no CEIDG, o Registro Central e Informação sobre a Atividade Econômica da Polônia)
Endereço postal: ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polônia
E-mail: [email protected]
País de estabelecimento: Polônia

Se aplicável:

Representante na UE: não se aplica (estamos estabelecidos na União Europeia)
Representante no Reino Unido: não designado
Encarregado de proteção de dados: não designado; as dúvidas sobre proteção de dados vão para [email protected]

“Controlador dos dados” é a parte que decide como e por que seus dados pessoais são tratados, conforme definido pelo RGPD.

Dois outros documentos se aplicam junto com esta política, e você deve lê-los em conjunto com ela:

nossos Termos de Serviço, que regem o seu uso do App e do Site, e
nosso Aviso Médico, que define os limites médicos do que o App faz.

Se você é residente do estado de Washington, um quarto documento se aplica especificamente a você: nossa Política de Privacidade de Dados de Saúde do Consumidor, que a lei de Washington nos obriga a publicar separadamente. Se você está em Nevada, o equivalente é nosso Aviso de Privacidade de Dados de Saúde do Consumidor de Nevada.

2. Resumo

Uma versão curta do que vem a seguir. Cada ponto indica a seção que o detalha por completo, e essa seção prevalece.

Quem somos. A Paweł Milewski Software Development decide como e por que seus dados são tratados. Seções 1 e 21.
O que coletamos. Seu e-mail e sua senha; o perfil que você informa no onboarding; o diário que você mantém, glicose, alimento, insulina, outros medicamentos, peso, medicamentos e lembretes; tokens de login e registros de conexão com o servidor. Registros do Apple Health ou do Health Connect, se você os conectar, e informações de assinatura, se você assinar. Seção 3.
Dados de saúde. O diário, o tipo de diabetes, o método de tratamento e as configurações de terapia são dados de categoria especial segundo o Artigo 9 do RGPD. A sincronização na nuvem tem uma confirmação separada para o diário. O onboarding atual não coleta um consentimento explícito separado antes de armazenar o perfil de saúde e as configurações de terapia. Seções 3.3 e 4.
Onde ficam. Parte dos seus dados está em nossos servidores desde o momento em que você cria uma conta: os dados da sua conta, seu perfil, incluindo o tipo de diabetes e o tratamento, e suas configurações de terapia. Seu diário não: ele é gravado primeiro em um banco de dados criptografado no seu celular, o App funciona offline, e ele só chega aos nossos servidores se você ativar a Sincronização na nuvem, um recurso do glumea+, desativada até você ativá-la, e uma escolha mantida na sua conta e não no celular. A seção 10 tem a tabela completa.
Quem recebe. Nosso provedor de hospedagem na UE; um provedor de e-mail, se o envio de e-mails estiver ativado; PostHog e Sentry, cada um somente depois que você concordar; a loja, se você assinar; e o RevenueCat, assine você ou não. Não vendemos seus dados, e o App não tem publicidade. Seções 5, 7, 8 e 9.
Suas escolhas. A análise de uso e o relatório de erros ficam desativados até você concordar com cada um, e cada um tem sua própria chave; sair da conta não interrompe um SDK que já esteja em execução naquela sessão. No App você pode desativar a sincronização, excluir a cópia do seu diário no servidor, excluir sua conta e usar as exportações implementadas. Seções 5 e 13.
Seus direitos. Acesso, retificação, apagamento, limitação, portabilidade, oposição, retirada do consentimento e reclamação a uma autoridade de proteção de dados; nos Estados Unidos, os direitos que a lei do seu estado concede. Você pode excluir sua conta no App ou solicitar a exclusão da conta por e-mail, em [email protected], sem usar o App. Seções 13, 14 e 17.
O que a exclusão não alcança. Excluir sua conta remove os registros dela do banco de dados de produção e solicita a exclusão dos registros do RevenueCat e do PostHog vinculados à conta. Backups existentes, logs de servidor e de diagnóstico, registros de cobrança da loja e cópias exportadas podem permanecer, conforme descrito na seção 12.

3. Dados que coletamos

A maior parte do que está listado aqui é fornecida por você diretamente. Duas categorias não são: leituras que você importa do Apple Health ou do Health Connect, e informações de assinatura que chegam até nós pela Apple, pelo Google e pelo RevenueCat. Ambas são descritas abaixo.

3.1 Dados da conta

E-mail e senha. Sua senha é transformada em hash com bcrypt em nossos servidores, nunca é armazenada em texto simples e nunca é salva no seu dispositivo. Seu e-mail também vai dentro do token de login que o App usa.
Códigos de uso único para verificação de e-mail, redefinição de senha, alteração de senha e alteração de e-mail. Um código expira 10 minutos depois de emitido, e cinco tentativas erradas o invalidam.

3.2 Dados do perfil

Coletados durante o onboarding:

Nome e sobrenome (armazenados como apelido), idade, sexo (opcional) e altura.
Tipo de diabetes (tipo 1, tipo 2, gestacional ou outro), métodos de tratamento (insulina, comprimidos, injetáveis, dieta) e forma de aplicação da insulina.

Seu tipo de diabetes, seus métodos de tratamento e sua forma de aplicação da insulina são dados de saúde, uma “categoria especial” de dados pessoais segundo o Artigo 9 do RGPD, mesmo que esta política os agrupe em “perfil”. A seção abaixo sobre as bases legais indica a condição em que nos apoiamos para eles.

3.3 Dados de saúde que você registra (dados de categoria especial)

O que segue são dados de saúde, uma “categoria especial” de dados pessoais segundo o Artigo 9 do RGPD. Nós os mantemos em nossos servidores somente com o seu consentimento explícito. A seção abaixo sobre as bases legais indica como esse consentimento é dado, e quais destes dados chegam aos nossos servidores somente quando a sincronização na nuvem está ativada:

Leituras de glicose, com tags de contexto opcionais (momento da refeição, fisiologia, atividade, medicação e dispositivos, além de tags que você mesmo escreve) e observações em texto livre.
Registros de alimento: carboidratos, mais proteína, gordura e calorias opcionais, e um nome que você digita.
Doses de insulina: o número de unidades, vinculado ao medicamento de insulina que você configurou, bolus, basal ou pré-misturada.
Doses de medicamentos injetáveis (por exemplo, agonistas de GLP-1).
Contagem de comprimidos tomados.
Registros de peso corporal, cada um com o horário em que você o registrou.
Seus catálogos de medicamentos: insulina, comprimidos e injetáveis que você configura, incluindo nomes de medicamentos (por exemplo, Fiasp, Lantus, Metformina, Ozempic) e parâmetros farmacocinéticos (início, pico, duração), e os horários de lembrete que você define para eles.
Configurações de tratamento que você define: seu intervalo-alvo de glicose (por padrão 3,9–10,0 mmol/L, ou 3,9–7,8 mmol/L para diabetes gestacional, pré-diabetes ou sem diagnóstico de diabetes), razão insulina/carboidrato (ICR) e fator de sensibilidade à insulina (ISF). O App nunca usa nenhum deles para calcular ou recomendar uma dose. Sua razão insulina/carboidrato é armazenada para sua referência e nada mais a lê. Seu intervalo-alvo é armazenado e também é o que desenha a faixa no alvo do Tempo no alvo, define os limites internos do rótulo Boa / Razoável / Crítica e decide quando o texto de risco de hipo muda. Seu fator de sensibilidade à insulina é usado para calcular o texto de risco de hipo e a faixa aproximada de queda mostrada ao lado da insulina ativa. O Aviso Médico descreve tudo isso.
Valores que o App calcula no seu dispositivo a partir do que você registra: insulina ativa estimada (uma estimativa apenas para sua informação: ela não recomenda nem calcula uma dose), o texto de risco de hipo e a faixa aproximada de queda mostrada ao lado dele, tendências, glicose média e sua dispersão, Tempo no alvo, a HbA1c estimada (GMI), o horário sugerido para sua próxima leitura e o rótulo Boa / Razoável / Crítica da sua última leitura. O Aviso Médico explica o que cada um deles é e o que não é.

Vários destes campos são texto livre: observações da glicose, tags que você mesmo escreve, nomes de alimentos, nomes de medicamentos personalizados, o nome de um horário de lembrete personalizado. O que você digitar ali é armazenado, e sincronizado se a sincronização estiver ativada, exatamente como você digitou.

3.4 Dados que recebemos de outras fontes

Apple Health e Health Connect. Se você os conectar, o App lê do aplicativo de saúde do seu celular os registros de glicose, de peso corporal e de carboidratos da alimentação. A leitura é somente leitura: o App nunca grava nada de volta. No iOS, ele pede ao sistema apenas acesso de leitura e não declara nenhum motivo para gravação, que é o que uma gravação exigiria; no Android, ele tem apenas permissões de leitura para os três tipos de registro. Registros que originalmente vieram de um medidor, de um CGM ou de outro app chegam, portanto, ao glumea por meio da plataforma de saúde. Os registros importados são armazenados no seu dispositivo como registros comuns, marcados com a plataforma de origem e o identificador do registro. Se um registro importado também é copiado para os nossos servidores depende de a Sincronização na nuvem estar ativada, exatamente como acontece com um registro que você mesmo digitou. A conexão fica desativada até você ativá-la, e você pode desconectá-la ou desativar tipos de dados individuais a qualquer momento em Configurações → Integrações.
Apple, Google e RevenueCat. Se você assinar o glumea+, as informações sobre essa assinatura chegam até nós pela loja e pelo RevenueCat. Veja a seção sobre o glumea+ mais adiante para saber exatamente quais.

3.5 Dados técnicos

Tokens de autenticação, armazenados no armazenamento seguro do seu dispositivo para que você continue conectado. Sua sessão em nossos servidores é um registro que contém um id de sessão, seu id de usuário e sua data de expiração.
Quando a sincronização na nuvem está ativada, nossos servidores tratam os dados que você sincroniza junto com o controle necessário para operar o serviço de sincronização, como carimbos de data e hora da sincronização.
Quando o App se comunica com nossos servidores, os servidores recebem informações de conexão padrão, como seu endereço IP, o caminho solicitado e o horário, usadas para segurança e para operar o serviço.
Enquanto a análise de uso ou o diagnóstico estiver ativado, cada SDK envia os dados descritos na seção 5. Ambos ficam desativados até você concordar com eles.

3.6 Dados que ficam no seu dispositivo e dados que não ficam

Algumas coisas nunca chegam aos nossos servidores: configurações de notificação, horários dos lembretes de medição de glicose, Horário silencioso, a escolha de detalhes nas notificações, estado local das notificações, estado da conexão com a plataforma de saúde, preferências do app, preferências de telemetria e controle de sincronização. Uma ressalva: enquanto a análise de uso está ativada, idioma, tema e unidades são enviados ao PostHog como atributos de perfil. Nada mais desta lista sai do dispositivo por meio do nosso backend.

Suas agendas de medicamentos são a exceção: elas pertencem ao diário, portanto são copiadas para os nossos servidores quando a Sincronização na nuvem está ativada, pois um lembrete de medicamento precisa sobreviver a um celular novo.

A própria chave da sincronização na nuvem também não é somente do dispositivo. Sua resposta a ela é mantida na sua conta em nossos servidores, para que acompanhe você em um celular novo e sobreviva ao ato de sair da conta; a seção 10 explica o que isso significa na prática.

Os arquivos que você mesmo cria, um arquivo de backup .glumea ou um relatório de glicose em CSV ou PDF, são gravados no seu dispositivo e entregues ao app que você escolher para compartilhá-los ou salvá-los. O destino deles a partir daí está fora do nosso controle, e um relatório em CSV ou PDF não é criptografado.

4. Por que tratamos seus dados e nossas bases legais

Segundo o RGPD, cada uso precisa de uma base do Artigo 6, e os dados de categoria especial também precisam de uma condição do Artigo 9. As bases pretendidas estão listadas abaixo. A etapa de consentimento do perfil que está faltando, descrita abaixo, não fornece o consentimento explícito que o tratamento exige.

Fornecer sua conta e o App: criar e proteger sua conta, autenticação, verificação de e-mail, redefinição de senha, operar a sincronização na nuvem, fornecer o glumea+ se você assinar, e manter um registro das notificações de assinatura que a loja e o RevenueCat nos enviam, para sabermos se o glumea+ está ativo e resolvermos um problema de cobrança: execução de um contrato, Artigo 6(1)(b) do RGPD.
Manter dados de saúde em nossos servidores: as bases pretendidas são o Artigo 6(1)(b) para o serviço e o consentimento explícito segundo o Artigo 9(2)(a) para os dados de saúde. O diário é copiado para os nossos servidores somente depois da confirmação separada da Sincronização na nuvem. O onboarding atual armazena o perfil e as configurações de terapia na conta sem uma etapa separada de consentimento explícito. A aceitação de um contrato não é automaticamente um consentimento explícito para o tratamento de dados de categoria especial, portanto o fluxo de onboarding atual não fornece essa condição do Artigo 9. Excluir a conta é a única forma implementada de remover esses campos de perfil e de terapia do banco de dados de produção.
Análise de uso do produto: consentimento segundo o Artigo 6(1)(a), consentimento explícito segundo o Artigo 9(2)(a) porque o uso de um app de diabetes revela informações de saúde, e consentimento segundo o Artigo 5(3) da Diretiva ePrivacy para o armazenamento do SDK. A seção 5 descreve como esse consentimento é solicitado.
Diagnósticos e relatórios de falhas: a base pretendida é o consentimento segundo o Artigo 6(1)(a), o consentimento explícito segundo o Artigo 9(2)(a) porque o uso de um app de diabetes revela informações de saúde, e o consentimento do Artigo 5(3) da ePrivacy para o armazenamento do SDK, solicitado da mesma forma que para a análise de uso (seção 5).
Manter o serviço seguro e prevenir abusos: limitação de requisições na nossa API e investigação de suspeitas de uso indevido: nossos interesses legítimos, Artigo 6(1)(f) do RGPD. O interesse específico é proteger a sua conta e as contas de outras pessoas contra acesso não autorizado, e manter o serviço disponível. Nos apoiamos nessa base somente quando nossos interesses não são superados pelos seus direitos.
Cumprir uma obrigação legal: quando a lei da Polônia nos exige manter ou divulgar determinados registros, fazemos isso com base no Artigo 6(1)(c) do RGPD. Não nos apoiamos nessa base para os dados de saúde que você registra. Não processamos seu pagamento e nunca recebemos seus dados de pagamento, portanto os registros de pagamento e de cobrança da sua compra são mantidos pela loja e não por nós.

Não tomamos decisões a seu respeito que produzam efeitos jurídicos ou efeitos igualmente significativos sobre você com base unicamente em tratamento automatizado, e não criamos perfis seus para tais decisões. Não há tomada de decisão automatizada no glumea, na acepção do Artigo 22 do RGPD. As estimativas que o App mostra, insulina ativa, tendências, Tempo no alvo, são cálculos aritméticos feitos no seu dispositivo sobre os dados que você informou, apresentados apenas para sua informação. Elas não recomendam nem calculam nenhuma dose de insulina ou de medicamento, e não são orientação médica.

Fornecer dados é uma exigência? Você não é obrigado por lei a fornecer dados. Um e-mail e uma senha são necessários para uma conta. Os campos de perfil e de terapia solicitados durante o onboarding são armazenados na conta, sujeitos à limitação de consentimento descrita acima. Registrar entradas, conectar o Apple Health ou o Health Connect e a sincronização na nuvem são opcionais. A análise de uso e os diagnósticos são opcionais e ficam desativados até você concordar com eles.

5. Análise de uso e diagnósticos

O App inclui dois SDKs de terceiros para essas finalidades: um para análise de uso do produto e outro para relatórios de falhas e de erros. Esta seção explica o que cada um é e o que ele recebe.

Ambos ficam desativados até você concordar com eles, e nenhum dos dois SDKs é iniciado antes disso. O App pergunta no final do onboarding, com uma chave separada para cada um. As chaves aparecem na posição ativada, mas nada é coletado até você tocar para continuar, e um toque no botão de recusar finaliza o onboarding com ambos desativados. Se você entrar em uma conta existente sem passar pelo onboarding, ambos continuam desativados até você ativá-los. As duas configurações são independentes e podem ser alteradas a qualquer momento em Configurações → Dados e privacidade → Privacidade e diagnóstico. Sair da conta apaga as duas respostas junto com as suas outras preferências, mas um SDK que já está em execução continua em execução até o App ser fechado.

5.1 Análise de uso do produto: PostHog

Usamos o PostHog (EU Cloud, eu.i.posthog.com) para entender como o App é usado e assim poder melhorá-lo.

O que o PostHog pode receber enquanto a análise de uso está ativada:

O identificador da sua conta glumea: o UUID interno da sua conta. Não é seu e-mail, nem seu nome. Depois que você entra na conta, os eventos ficam vinculados a esse identificador, portanto esses eventos não são anônimos. Os eventos que podem ocorrer antes de você entrar, ou depois de sair, primeira abertura, aberturas do app, cadastro e a verificação de um código enviado por e-mail, levam em vez disso um identificador pseudônimo do dispositivo, e esse identificador é gerado de novo quando o App reinicia o SDK.
Uma lista fixa de nomes de eventos, cerca de 28, que abrangem coisas como a abertura do app, o cadastro, a conclusão do onboarding, o salvamento de um registro, a importação do Apple Health, a concessão ou a recusa de uma permissão de notificação, a geração de uma exportação, a abertura da tela de assinatura e o resultado de uma compra ou de uma restauração.
Um pequeno número de propriedades, cada uma de uma lista fechada ou de uma contagem limitada: que tipo de registro foi salvo (glicose, alimento, medicamento ou peso), quantas linhas um salvamento gravou, se um registro foi feito na hora ou com data retroativa, se uma exportação foi em CSV ou PDF, qual etapa do onboarding foi concluída, a categoria geral de um lembrete em que você tocou, e similares. Nenhuma propriedade em nenhum lugar do sistema aceita texto livre.
A tela em que você está, como um modelo de rota, por exemplo /settings/privacy. Dígitos são recusados, portanto um identificador de registro não pode viajar dentro de uma rota. Uma tela que só um tipo de tratamento alcança, como as configurações de insulina, é informada como a tela acima dela.
Alguns atributos de perfil: seu idioma, seu tema, suas unidades de glicose, peso e carboidratos, e se você está no glumea+.
O que o SDK do PostHog acrescenta por conta própria, fora do nosso controle: modelo do dispositivo, sistema operacional e versão, versão do app, versão do SDK, fuso horário, localidade, tipo de rede e um identificador de sessão. O PostHog também recebe o endereço IP de onde sua requisição parte, como qualquer serviço web, e deriva dele uma localização aproximada. Não ativamos a opção do PostHog de descartar esse endereço, então ele é armazenado junto com o evento.

O que o PostHog não pode receber: um valor de glicose, uma dose de insulina, o nome de um medicamento, que tipo de medicamento você toma, uma observação, o nome de um alimento, um e-mail ou qualquer outro texto livre. O filtro que garante isso é à prova de falhas: um evento que não está na lista é descartado por inteiro, uma propriedade que não foi declarada é removida, e uma propriedade declarada cujo valor não corresponde ao formato esperado também é removida. Não existe no sistema nenhuma propriedade de “qualquer texto”. Não há reprodução de sessão, nem gravação de tela, nem pesquisas, nem captura automática de toques, nem token de push.

Os eventos são construídos de modo a não revelar seu tratamento nem suas leituras. Insulina, comprimidos e injetáveis são todos informados como um registro de medicamento. Um toque em um alerta de glicose baixa ou alta não é registrado de forma alguma, e a etapa do onboarding que só usuários de insulina veem também não. Uma importação do Apple Health ou do Health Connect informa que foi executada e o que a iniciou, nunca quantos registros ela leu. Os eventos continuam vinculados à sua conta enquanto você está conectado, e usar um app de diabetes revela, por si só, informações de saúde, e é por isso que a análise de uso espera o seu consentimento.

O SDK de análise armazena seu próprio identificador no seu dispositivo, junto com uma fila de eventos aguardando envio. Duas limitações decorrem da forma como o SDK funciona. A retirada do consentimento registra um último evento próprio, informando que você desativou. E esse evento, junto com tudo o que já foi coletado enquanto você consentia, é entregue depois, no cronograma do próprio SDK, e não no momento em que você retira o consentimento. Nada novo é coletado depois disso.

5.2 Diagnósticos e relatórios de falhas: Sentry

Usamos o Sentry (região da União Europeia) para saber quando o App trava ou apresenta erros, para podermos corrigi-los.

Toda parte de um relatório que o App monta e que possa conter conteúdo é reconstruída do zero antes de ser enviada, a partir de uma lista de campos permitidos e não de uma lista de campos a remover. Uma dúzia ou mais de campos de nível superior restantes são limpos pelo nome, portanto um campo acrescentado por uma versão futura do SDK não seria pego por essa limpeza até que o acrescentemos. O que sobrevive a essa reconstrução é:

O tipo da exceção e um rótulo calculado no lugar da mensagem de erro original.
O rastreamento de pilha, com os nomes de arquivo reduzidos ao nome-base e, em builds de release, com os nomes de símbolos ofuscados, eles só se tornam legíveis no lado do Sentry, usando o mapeamento que enviamos na compilação.
Família do dispositivo, modelo, arquitetura, se é um simulador e a orientação.
Nome, versão e build do sistema operacional; nome, versão e build do app; a versão do runtime Dart.
Identificadores de imagens de depuração, necessários para tornar legíveis as falhas nativas.
A forma do rastro de breadcrumbs, a categoria, o tipo, o nível e o carimbo de data e hora dos eventos recentes, mas nunca o conteúdo deles.
Dois rótulos: qual área do App falhou e se isso aconteceu em primeiro plano ou no mecanismo de notificações em segundo plano.
A versão (release), o número do build, o ambiente e um id de evento gerado aleatoriamente.

O que é removido por completo: a mensagem de erro, quaisquer dados de requisição, qualquer objeto de usuário, o nome do servidor, o nome da transação, listas de threads, listas de módulos, valores de variáveis locais, contexto de código-fonte, caminhos absolutos, o id e o nome únicos do dispositivo, o hash do app específico da instalação, mensagens e dados de breadcrumbs, capturas de tela, hierarquias de views e qualquer anexo. Capturas de tela, captura da hierarquia de views, reprodução de sessão, rastreamento de desempenho, logs e corpos de requisição estão todos desativados. O App não anexa nenhum identificador de usuário a um evento do Sentry: nem id de conta, nem e-mail, nem id de dispositivo.

Dois limites ao que foi dito acima:

Falhas nativas, eventos de app não responde e encerramentos por watchdog do iOS podem chegar ao Sentry sem passar por essa reconstrução, porque são produzidos pelo tratador de falhas do sistema operacional e não pelo código do próprio App. O mesmo vale para o sinal periódico de “sessão do app iniciada / encerrada” que o Sentry usa para a saúde das versões. Não podemos inspecionar esses dados no dispositivo e não conhecemos todos os campos que o SDK da plataforma coloca neles. Não definimos nenhum identificador que ligue algum deles a você.
O Sentry recebe o endereço IP de onde o relatório é enviado.

Até você concordar com os diagnósticos, o Sentry não é iniciado. Desativar a chave fecha os reportadores alcançados por esse controle, mas sair da conta não desativa de forma confiável um SDK já inicializado no processo em execução. O ciclo de vida atual, portanto, não pode ser descrito como retirada imediata em todos os estados.

6. glumea+ e dados de assinatura

O glumea+ é uma assinatura, vendida somente como compra dentro do app pela Apple App Store e pelo Google Play. Não há nenhuma outra forma de comprá-lo, nem checkout na web, nem formulário de cartão em lugar algum do App.

Nenhum dado de pagamento chega até nós. A Apple ou o Google processa o pagamento. Nunca vemos o número do seu cartão, seus dados bancários nem seu endereço de cobrança. O cancelamento e os reembolsos são tratados pela sua conta da loja, os Termos de Serviço explicam onde.
O RevenueCat é o serviço que usamos para saber se sua assinatura está ativa. O App informa ao RevenueCat uma única coisa sobre você: o identificador da sua conta glumea, usado como id de usuário da assinatura. Nossos servidores também perguntam ao RevenueCat se esse identificador tem uma assinatura ativa, inclusive quando você nunca assinou, porque é assim que ficamos sabendo que você não assinou. Não definimos nenhum e-mail, nenhum nome de exibição, nenhum telefone, nenhum token de push, e não pedimos que ele colete identificadores de publicidade do dispositivo. O próprio SDK do RevenueCat também coleta algumas informações do dispositivo e da rede para a operação do serviço do RevenueCat, descritas no aviso de privacidade dele. Não configuramos essa coleta e não recebemos o que ela produz.
O que o App guarda localmente é um único valor verdadeiro/falso: se o glumea+ está ativo. Nenhum preço, nenhum id de produto, nenhuma data de expiração, nenhum id de transação é armazenado no seu dispositivo pelo App. Esse valor é definido como falso quando você sai da conta, de modo que a próxima conta no dispositivo começa sem assinatura e precisa ser verificada na loja por conta própria.
O que nossos servidores armazenam. O RevenueCat envia ao nosso backend uma notificação quando algo muda em uma assinatura, uma compra, uma renovação, um cancelamento, um problema de cobrança. Registramos cada uma dessas notificações como recebida: o id e o tipo do evento, o ambiente, o identificador da sua conta glumea e a mensagem completa que o RevenueCat enviou, armazenada exatamente como chegou e não campo a campo. Essa mensagem normalmente inclui o identificador do produto, o preço, a moeda, a loja, o país e as datas de compra e de expiração. Como a armazenamos por inteiro, ela também pode conter quaisquer atributos de assinante que o RevenueCat mantenha sobre você, um e-mail entre eles: mesmo que nosso App não defina nenhum por conta própria. Nunca reescrevemos a mensagem; uma entrega repetida do mesmo evento atualiza apenas nossa contagem de quantas vezes ela chegou.
Enquanto a análise de uso está ativada, os eventos de funil descritos acima vão para o PostHog, junto com um atributo de perfil que registra se o glumea+ está ativo. Nenhum preço, identificador de produto ou identificador de loja é enviado à análise de uso.

Duas consequências decorrem disso. O log de webhooks contém o identificador da sua conta glumea, mas não tem nenhuma relação de banco de dados com a linha da sua conta. Durante a exclusão da conta, nosso backend remove esses registros separadamente e solicita a exclusão do registro de assinante do RevenueCat sob o mesmo identificador. Fora isso, uma tarefa agendada remove cada registro de webhook 90 dias depois de ele chegar. A seção 12 descreve o que pode permanecer.

7. O que não fazemos

Nada do que segue acontece no glumea:

Nenhuma publicidade, de qualquer tipo. Nenhum SDK de publicidade, nenhum SDK de atribuição, nenhum identificador de publicidade. O App não pode exibir o aviso “Pedir ao app para não rastrear” do iOS, porque não carrega a entrada que o permitiria, e não declara nenhuma rede de atribuição de anúncios.
Nenhuma venda dos seus dados. Não vendemos nem alugamos dados pessoais, e não vendemos dados de saúde. Não os compartilhamos para publicidade comportamental entre contextos.
Nenhum uso dos seus dados de saúde para publicidade, marketing ou para criar um perfil seu para outra pessoa.
Nenhum dado de localização. Nenhum acesso aos seus contatos, câmera, microfone, fotos ou agenda, o App não solicita nenhuma dessas permissões em nenhuma das plataformas.
Nenhum Firebase no App: nem Firebase Analytics, nem Crashlytics, nem Firebase Cloud Messaging. (O Firebase Hosting serve o Site, incluindo esta página, esse é um serviço diferente do Google e é nomeado mais adiante.)
Nenhuma notificação push, e nenhum token de push do dispositivo. Os lembretes são agendados e exibidos pelo seu próprio dispositivo; não existe nenhum canal do servidor para o dispositivo.
Nenhuma captura de tela, nenhuma gravação de tela, nenhuma reprodução de sessão, nenhuma captura da hierarquia de views, por parte de qualquer um dos dois SDKs descritos acima.
Além do PostHog e do Sentry, nenhum outro SDK de análise, telemetria ou rastreamento está no App. Os únicos componentes que abrem uma conexão de rede são a conexão do próprio App com nossos servidores, o PostHog, o Sentry e o RevenueCat.

8. Quem recebe seus dados

Compartilhamos dados com os prestadores de serviço abaixo para operar o glumea. Os papéis deles, seus próprios avisos de privacidade e os termos contratuais aplicáveis ao nosso uso de cada serviço regem esse tratamento. O SDK do RevenueCat também coleta informações do dispositivo e da rede por conta própria. Não configuramos essa coleta e não recebemos o que ela produz, portanto a descrição dela vem do aviso de privacidade do RevenueCat e não dos nossos sistemas.

Google (Google Cloud Run e Google Cloud SQL, região europe-west1), hospeda nosso backend e o banco de dados que guarda tudo o que você sincroniza, incluindo seus dados de saúde. O Google Secret Manager guarda as credenciais do nosso servidor, e o Google Cloud Logging guarda os logs de requisições do nosso servidor.
Google (Firebase Hosting), serve o glumea.com e estes documentos legais.
Sentry (região da União Europeia), recebe os relatórios de diagnóstico descritos acima enquanto os diagnósticos estão ativados, conforme o comportamento atual da configuração.
PostHog (EU Cloud), recebe os eventos de análise descritos acima enquanto a análise de uso está ativada, conforme o comportamento atual da configuração.
RevenueCat (Estados Unidos), recebe o identificador da sua conta glumea e o estado da sua assinatura, assine você ou não: verificar que você não é assinante usa o mesmo identificador que confirmar que é. Como observado acima, o SDK dele também coleta informações do dispositivo e da rede que não configuramos e não recebemos; o aviso de privacidade do próprio RevenueCat as descreve.
Zoho ZeptoMail: se o envio de e-mails em produção estiver ativado, esse prestador recebe o e-mail de destino e a mensagem de verificação ou de redefinição de senha necessária para entregá-la. Nenhum provedor de e-mail recebe essas mensagens enquanto o envio estiver desativado.

Apple e Google não são nossos operadores de tratamento. Eles operam as lojas pelas quais o glumea+ é vendido, processam o pagamento e são controladores independentes dos dados de compra que mantêm sobre você. O que eles coletam é regido pelas políticas de privacidade deles, não por esta.

Fora isso, divulgamos dados pessoais somente se a lei exigir, por exemplo uma ordem vinculante de um tribunal ou de uma autoridade, ou por instrução sua.

Se a Paweł Milewski Software Development algum dia se envolver em uma fusão, aquisição ou venda de ativos, seus dados continuarão protegidos por esta política, e avisaremos você antes de seus dados ficarem sujeitos a uma política de privacidade diferente.

9. Transferências internacionais

Onde cada destinatário trata seus dados:

Sua conta, seu perfil e seus dados de saúde sincronizados são armazenados na UE: Google Cloud, europe-west1 (Bélgica). O local de armazenamento não é toda a resposta. O Google pode acessar esses dados de fora do EEE, para suporte e para operar a plataforma, e isso é uma transferência em si. Ela se apoia nas Cláusulas Contratuais-Padrão do Adendo de Tratamento de Dados do Google Cloud.
A análise de uso vai para o EU Cloud do PostHog, que a armazena na UE. Quando o PostHog puder acessá-la de fora do Espaço Econômico Europeu, a transferência se apoia nas Cláusulas Contratuais-Padrão do contrato de tratamento de dados do PostHog.
Os diagnósticos vão para o Sentry em sua região da União Europeia. Quando isso for fora do Espaço Econômico Europeu, a transferência se apoia nas Cláusulas Contratuais-Padrão do adendo de tratamento de dados do Sentry.
O Site é servido pelo Firebase Hosting a partir da rede de distribuição de conteúdo do Google, portanto uma requisição de página pode ser atendida e registrada em log em um local fora do Espaço Econômico Europeu. Quando isso acontecer, a transferência se apoia nas Cláusulas Contratuais-Padrão do Adendo de Tratamento de Dados do Google Cloud.
O estado da assinatura vai para o RevenueCat nos Estados Unidos. Quando isso for fora do Espaço Econômico Europeu, a transferência se apoia nas Cláusulas Contratuais-Padrão do adendo de tratamento de dados do RevenueCat.
Se o envio de e-mails em produção estiver ativado, os e-mails de verificação e de redefinição de senha são entregues pelo Zoho ZeptoMail, que trata o e-mail de destino na União Europeia (Zoho Corporation B.V., centros de dados da Zoho na UE, nos Países Baixos e na Irlanda). Quando isso for fora do Espaço Econômico Europeu, o mecanismo de transferência aplicável são as Cláusulas Contratuais-Padrão do adendo de tratamento de dados da Zoho.
A Apple e o Google tratam os dados de compra segundo seus próprios acordos, como controladores independentes.

Quando um prestador puder acessar dados de fora do EEE, inclusive para suporte, esse acesso também é uma transferência e precisa ter uma garantia adequada segundo o Capítulo V do RGPD. O mecanismo para cada destinatário está indicado acima. Para usuários no Reino Unido, o mecanismo equivalente é o Adendo do Reino Unido às Cláusulas Contratuais-Padrão da UE, ou o IDTA quando um prestador usa esse formato segundo o RGPD do Reino Unido. Contato geral sobre proteção de dados: [email protected]. Atualmente não há implementado nenhum fluxo automatizado separado para solicitar uma cópia das garantias.

10. Onde seus dados são armazenados

O glumea é offline-first. Esta seção é a resposta completa para “o que é meu está nos seus servidores?”: todo o resto desta política aponta para cá.

O quê	No seu celular	Em nossos servidores	A partir de quando	Como remover
Seu diário, registros, catálogos de medicamentos, agendas de medicamentos	Sempre	Somente com a Sincronização na nuvem ativada	A partir do momento em que você ativa a chave	Desative a chave e depois use Excluir dados do servidor; ou exclua sua conta
Seu perfil, nome, idade, altura, tipo de diabetes, métodos de tratamento, forma de aplicação da insulina	Sim	Sempre	A partir do onboarding, use você a sincronização ou não	Exclua sua conta
Suas configurações de terapia, intervalo-alvo, razão insulina/carboidrato, fator de sensibilidade à insulina	Sim	Sempre	A partir do momento em que você as informa	Exclua sua conta
Sua conta, e-mail, senha com hash, sessões de login	Somente as credenciais	Sempre	A partir do momento em que você cria a conta	Exclua sua conta
Tudo o que está na seção 3.6, lembretes, Horário silencioso, preferências do app	Sim	Nunca	Não se aplica	Saia da conta ou desinstale

O restante desta seção é o detalhamento por trás dessa tabela.

Todos os dados que você informa são gravados primeiro em um banco de dados local no seu dispositivo. O App é totalmente utilizável sem conexão com a internet.
Esse banco de dados local é criptografado. Ele é aberto com uma chave de 32 bytes guardada no keystore do seu dispositivo, em uma configuração que não migra para outro dispositivo. Consequências que você deve conhecer antes de trocar de celular: no Android, desativamos o backup na nuvem e a transferência entre dispositivos para o App, portanto nenhuma nova cópia de backup dele é feita; no iOS, uma cópia do banco de dados ainda pode ir parar em um backup do iCloud, mas ela é ilegível sem a chave, e a chave nunca sai do dispositivo. Restaurar esse backup em um celular novo, portanto, não traz o seu diário junto: o App encontra um banco de dados para o qual não tem chave, se recusa a abri-lo em vez de começar vazio em silêncio, e não funcionará naquele celular até você reinstalá-lo ou limpar seus dados. Mudar para um celular novo passa pela sincronização na nuvem, ou por um arquivo .glumea que você mesmo exporta e importa.
Uma conta sua existe em nossos servidores desde o momento em que você cria uma. Ela contém os dados da sua conta, seu perfil, incluindo o tipo de diabetes, os métodos de tratamento e a forma de aplicação da insulina, e suas configurações de terapia: seu intervalo-alvo, sua razão insulina/carboidrato e seu fator de sensibilidade à insulina. Esses dados ficam em nossos servidores use você a sincronização na nuvem ou não, e a forma de removê-los é excluir sua conta.
A sincronização na nuvem é um recurso do glumea+, e fica desativada até você ativá-la. O que ela controla é se o seu diário também é copiado para os nossos servidores: seus registros, seus catálogos de medicamentos e suas agendas de medicamentos. Ativá-la leva duas etapas, e você pode parar em qualquer uma. Sem uma assinatura ativa do glumea+, o App mostra a tela de assinatura em vez de ativar qualquer coisa. Com uma, o App então pede que você confirme, em uma etapa própria, que concorda que seus dados de saúde, leituras de glicose, registros de insulina e de medicamentos, registros de alimento e de peso, e tudo o que você digitou em uma observação sejam armazenados em nossos servidores. Ele pergunta isso toda vez que a chave é ativada, não só na primeira. Essa confirmação é o seu consentimento explícito segundo o Artigo 9(2)(a) do RGPD para o diário. Você pode retirá-lo a qualquer momento desativando a Sincronização na nuvem, e remover o que já mantemos com o link Excluir dados do servidor no mesmo painel. Com a sincronização desativada, tudo o que você registra fica somente no seu dispositivo.
Quando a sincronização está ativada, seus dados são armazenados em nosso backend em api.glumea.app, que roda no Google Cloud Run com um banco de dados PostgreSQL do Google Cloud SQL, na região europe-west1 do Google (Bélgica).

A chave pertence à sua conta, não ao celular. Mantemos sua resposta em nossos servidores, e o App a lê de volta de lá quando você entra e quando se reconecta. Assim, ela sobrevive ao ato de sair da conta, e acompanha você: ative a sincronização, entre em outro celular, e a sincronização estará ativada lá também sem que seja perguntado de novo. Desativá-la é registrado da mesma forma. Se você a desativar estando offline, o App guarda essa resposta e a entrega aos nossos servidores na próxima oportunidade, uma retirada nunca é desfeita porque uma requisição falhou. Em um dispositivo compartilhado, isso funciona ao contrário de uma chave somente do dispositivo: quem entra recebe a resposta da própria conta, não a que a última pessoa deixou.

Se o glumea+ terminar, os novos registros deixam de entrar no backup, isso não retira seu consentimento e não exclui nada. Quando uma assinatura expira, é cancelada ou é reembolsada, o App para de copiar novos registros para os nossos servidores. As edições e exclusões de registros que já estão lá continuam chegando aos nossos servidores, e o App continua baixando deles. O painel Sincronização na nuvem mostra Edições e exclusões continuam sendo sincronizadas · Novos registros ficam neste dispositivo. O que já está em nossos servidores permanece lá, o que está no seu dispositivo permanece lá, e sua resposta armazenada à pergunta de consentimento é deixada como estava, de modo que, se você assinar de novo, o backup completo retoma com essa resposta armazenada sem perguntar uma segunda vez. Se você preferir que isso não aconteça, desative a chave: desativá-la e o link Excluir dados do servidor ao lado dela continuam disponíveis haja ou não uma assinatura ativa. Encerrar uma assinatura nunca tira sua possibilidade de retirar o consentimento ou de apagar a cópia do servidor.

A sincronização também pode parar sem que você toque nessa chave. Sua sessão de login pode expirar, e quando isso acontece não desconectamos você nem excluímos nada: o App mantém todos os registros no seu dispositivo, pausa o backup e espera. O painel Sincronização na nuvem então mostra Pausada e informa que nada está sendo sincronizado até você entrar de novo, e a tela Resumo exibe um banner sobre a sessão expirada. Tudo o que você registra nesse meio-tempo fica no dispositivo e só chega aos nossos servidores depois que você entrar de novo. Se você conta com a cópia do servidor para sobreviver à perda do celular, esse banner é o que exige uma ação sua.

A cópia em nossos servidores é protegida por criptografia em trânsito, pela criptografia de armazenamento do Google e pelos nossos controles de acesso. Ela não tem criptografia de ponta a ponta, e nós podemos lê-la. O glumea não é um serviço de conhecimento zero. O único artefato em todo o sistema que não conseguimos abrir é um arquivo .glumea, porque ele é criptografado com uma senha que só você conhece.

11. Por quanto tempo mantemos seus dados

Mantemos seus dados pelos períodos abaixo.

Dados da conta, perfil e configurações de terapia: mantidos em nossos servidores enquanto sua conta existir.
Registros de saúde e catálogos de medicamentos que você sincronizou: mantidos enquanto sua conta existir, ou até você excluir a cópia do servidor ou excluir sua conta. Excluir um único registro funciona de forma diferente: ele some do dispositivo em que você o excluiu, e somente desse dispositivo. A cópia em nossos servidores permanece, então o registro pode voltar em uma reinstalação, em um celular novo ou depois que você sair da conta e entrar de novo. Somente Excluir dados do servidor ou excluir sua conta remove essas linhas dos nossos servidores.
Marcadores de exclusão (tombstones) de registros que você excluiu: quando a exclusão de um único registro chega aos nossos servidores, a linha é mantida como um marcador que ainda traz seu valor, suas tags e suas observações, para que a exclusão possa chegar aos seus outros dispositivos. Não temos nenhuma tarefa que os apague, portanto eles permanecem enquanto sua conta existir. Usar Excluir dados do servidor, ou excluir sua conta, os remove.
Sessões de login: um token de acesso dura 15 minutos. O registro da sessão em nossos servidores expira após 90 dias sem uso. Sair da conta o revoga imediatamente, de modo que nunca mais possa ser usado, mas a própria linha é removida por uma tarefa horária depois que essa janela de 90 dias se esgota. Excluir sua conta o remove na hora.
Códigos de uso único: expiram 10 minutos depois de emitidos, e uma tarefa horária marca os expirados como inutilizáveis. Não apagamos os registros em si: eles permanecem até você excluir sua conta, que os remove junto com todo o resto.
Backups do servidor: 7 dias. Os dados excluídos do banco de dados ativo permanecem nos backups até que eles sejam sobrescritos.
Logs de requisições do servidor, que incluem endereços IP: 30 dias.
Eventos de análise no PostHog: 12 meses.
Relatórios de diagnóstico no Sentry: 90 dias.
Registros de notificações de assinatura: até 90 dias a partir do momento em que cada mensagem chega até nós, a menos que a exclusão da conta os remova antes. A tarefa agendada conta a idade e não segura uma linha por causa de uma disputa de cobrança em aberto.
Dados armazenados somente no seu dispositivo: permanecem lá até você excluí-los, sair da conta, usar o controle de exclusão de conta dentro do app ou desinstalar o App. Uma solicitação de exclusão de conta por e-mail não consegue apagar um dispositivo remotamente.

12. Exclusão: o que acontece e onde

Antes de começar. Duas coisas importam mais do que tudo o que está abaixo, e ambas estão nos Termos de Serviço: cancele primeiro sua assinatura do glumea+ na loja, porque excluir sua conta glumea não interrompe as cobranças (seção 13.1 de lá), e exporte primeiro, porque depois que suas linhas forem apagadas não podemos montar uma exportação para você (seção 13.3 de lá).

Três controles diferentes, três resultados diferentes. É fácil confundi-los, então:

Controle	Onde fica	O que remove	O que mantém	O que pode desfazê-lo
Excluir um único registro	Onde você o registrou	Esse registro, somente nesse dispositivo	A cópia do servidor, que pode trazê-lo de volta	Uma reinstalação, um celular novo, ou sair da conta e entrar de novo
Excluir dados do servidor	O painel Sincronização na nuvem, aberto pelo botão de nuvem em Resumo ou Histórico, não em Configurações	A cópia do servidor dos seus registros, catálogos de medicamentos e agendas	Sua conta, seu perfil, suas configurações de terapia e tudo o que está no seu celular	Ativar a sincronização de novo reenvia tudo a partir do seu celular
Excluir conta	Configurações → Conta, ou e-mail para [email protected] se você não puder usar o App	Sua conta e os dados de produção associados em nossos servidores; o caminho dentro do app também limpa este dispositivo	Backups existentes, alguns registros de prestadores e quaisquer dados em dispositivos não alcançados pela limpeza dentro do app	Nada restaura a conta excluída

Excluir dados do servidor exige um login ativo e a chave Sincronização desativada antes; as três observações no final desta seção explicam o motivo.

Excluir sua conta no App a remove imediatamente do nosso banco de dados de produção. Uma solicitação verificada por e-mail usa o mesmo caminho de exclusão no servidor. É isto o que acontece em cada destino.

Nosso banco de dados de produção: excluir sua conta executa uma exclusão definitiva do seu registro de usuário quando você a confirma no App ou quando um operador conclui uma solicitação verificada por e-mail. Tudo o que está ligado a ele é removido junto, por cascata do banco de dados: seu perfil, suas configurações de terapia, cada registro sincronizado de glicose, alimento, peso, insulina, comprimido e injetável, seus catálogos e agendas de medicamentos, suas sessões e seus códigos de verificação e de redefinição pendentes. Não há marcador de exclusão lógica e não há recuperação.
Registros de notificações de assinatura: cada linha contém o identificador da sua conta glumea e a mensagem completa que o RevenueCat enviou. Ela não está ligada à linha da sua conta, portanto a cascata automática não a alcança, mas o serviço de exclusão a remove separadamente, na mesma transação. Sem a exclusão da conta, uma tarefa agendada remove cada linha após 90 dias.
RevenueCat: excluir sua conta enfileira uma solicitação para remover o registro de assinante sob o identificador da sua conta. Tentamos a solicitação imediatamente e a repetimos se o prestador estiver indisponível. O histórico de cobrança da loja continua fora do nosso controle.
PostHog: excluir sua conta enfileira uma solicitação para remover o perfil de análise vinculado à conta e seus eventos e gravações. Tentamos imediatamente e repetimos se o prestador estiver indisponível. O PostHog pode concluir de forma assíncrona uma exclusão em lote aceita. Os eventos anteriores ao login usam um identificador pseudônimo de dispositivo separado.
Backups do servidor: uma cópia do que foi excluído permanece nos backups automáticos de banco de dados do nosso provedor de hospedagem até que esses backups sejam sobrescritos: 7 dias, e em nenhum caso mais de seis meses após a autenticação, quando esse limite legal se aplica. Registros individuais não são editados dentro de um backup. Uma restauração de recuperação de desastres pode, portanto, reintroduzir temporariamente linhas que foram excluídas da produção.
Logs do servidor: excluir sua conta não apaga retroativamente os logs de requisições do servidor, que são mantidos por 30 dias.
Sentry: o App não anexa a um relatório de diagnóstico nenhum identificador de conta, e-mail ou registro de usuário. Por isso não há nenhuma forma suportada de localizar ou excluir os relatórios de um usuário individual. Os relatórios produzidos pelo tratador de falhas do sistema operacional não passam pelo filtro do App, e não conhecemos todos os campos que o SDK da plataforma acrescenta. Os relatórios expiram conforme a retenção do Sentry: 90 dias. O Artigo 11(2) do RGPD trata dos dados em relação aos quais o controlador realmente não consegue identificar o titular dos dados.
Apple e Google: seus registros de compra e de assinatura pertencem à loja, não a nós. Excluir sua conta glumea não cancela uma assinatura e não exclui nada na Apple ou no Google. Cancele nas configurações da sua conta da loja; os registros deles são regidos pelas políticas deles e pela lei tributária.
Seu próprio dispositivo: excluir a conta dentro do App, sair da conta ou trocar de conta apaga do dispositivo o banco de dados local, as credenciais da sessão e as preferências armazenadas. Uma solicitação por e-mail não consegue apagar um dispositivo remotamente. Limpar uma preferência de telemetria não desativa de forma confiável um SDK já inicializado no processo em execução. Um indicador de primeira instalação e a chave de criptografia do banco de dados podem sobreviver a uma limpeza dentro do app, mas nenhum dos dois contém dados do diário. Um backup do dispositivo no iCloud pode conter uma cópia ilegível e criptografada do banco de dados; o backup do Android está desativado para o App.
Cópias que você mesmo fez: um arquivo .glumea, um CSV, um relatório em PDF, qualquer coisa que você compartilhou ou salvou em outro lugar: elas são suas e estão fora do nosso alcance. Exclua-as onde as colocou.

Resumindo o prazo: a exclusão do banco de dados de produção acontece quando você a confirma no App, ou quando um operador conclui uma solicitação verificada por e-mail. As solicitações de exclusão ao RevenueCat e ao PostHog são tentadas imediatamente e enfileiradas para nova tentativa em caso de falha. Uma cópia pode permanecer nos backups da hospedagem até que sejam sobrescritos, em até 7 dias.

A própria cascata do banco de dados não alcança os logs de requisições do servidor, os relatórios do Sentry, os registros de notificações de assinatura nem os registros dos prestadores. O serviço de exclusão remove separadamente as notificações de assinatura e solicita o apagamento dos registros do RevenueCat e do PostHog. Os logs do servidor e os relatórios do Sentry expiram conforme os períodos de retenção configurados.

A exclusão é permanente. Os dados excluídos não podem ser recuperados, portanto, se você puder precisar dos seus registros depois, para a sua equipe de saúde, por exemplo, obtenha antes uma cópia usando as opções de exportação descritas em seus direitos.

Você também pode solicitar a exclusão da conta por e-mail sem usar o App. Verificamos a titularidade antes de processá-la.

Mais três observações sobre o controle mais restrito Excluir dados do servidor, que remove a cópia do servidor dos seus registros, catálogos de medicamentos e agendas de medicamentos, mas mantém sua conta, seu perfil, suas configurações de terapia e tudo o que está no seu dispositivo:

Ele exige um login ativo. Se sua sessão tiver expirado, o estado que a seção 10 descreve, em que o painel mostra Pausada: o link diz para você entrar de novo e não faz nada até você entrar. Entrar de novo basta; nada se perde nesse meio-tempo.
Ele exige que a Sincronização na nuvem esteja desativada antes. Se você reativar a sincronização depois, os registros que ainda estão no seu dispositivo entram na fila e são enviados de novo, a exclusão no servidor é desfeita pelo seu próprio dispositivo.
Ele não se propaga para os seus outros dispositivos. Eles mantêm suas cópias locais e não são notificados.

13. Seus controles no App

Você não precisa nos enviar e-mail para controlar seus dados. O App oferece estes controles integrados:

Excluir conta: em Configurações → Conta, depois que você digita uma palavra de confirmação. Executa a exclusão definitiva no servidor descrita acima e apaga do dispositivo o banco de dados local do App, as credenciais da sessão e as preferências. Você também pode solicitar a exclusão da conta no servidor em [email protected] se não puder usar o App. A seção 12 indica o que permanece.
Excluir dados do servidor: o link excluí-los na linha abaixo da chave Sincronização do painel Sincronização na nuvem, que abre pelo botão de nuvem no topo da tela Resumo ou Histórico e não pelas Configurações. O link é sempre exibido, mas só funciona depois que a chave é desativada. Exclui definitivamente a cópia do servidor dos seus registros, catálogos de medicamentos e agendas de medicamentos, mantendo sua conta e os dados no seu dispositivo. Ele não vai além disso: seu perfil e suas configurações de terapia permanecem em nossos servidores até você excluir sua conta. Leia as três observações logo acima.
Sincronização na nuvem: a chave Sincronização nesse mesmo painel, e um recurso do glumea+. Desative-a a qualquer momento para impedir que novos dados cheguem aos nossos servidores, o que também é a forma de retirar seu consentimento para que os armazenemos; desativá-la nunca exige uma assinatura ativa. Os dados já sincronizados permanecem em nossos servidores até você usar Excluir dados do servidor ou Excluir conta. Sua resposta a essa chave é mantida na sua conta, portanto sobrevive ao ato de sair da conta e acompanha você em um celular novo.
Análise de uso e Relatório de erros: duas chaves independentes em Configurações → Dados e privacidade → Privacidade e diagnóstico. Ambas ficam desativadas até você ativá-las. Desativar uma atualiza a preferência, mas os dados em fila ainda podem ser entregues, e sair da conta não fecha de forma confiável um SDK já inicializado no processo em execução.
Apple Health / Health Connect: conecte, desconecte ou desative tipos de dados individuais em Configurações → Integrações. Você também pode revogar a permissão na própria plataforma de saúde.
Mostrar detalhes nas notificações (Configurações → Notificações): desativado, a menos que você o ative. Até lá, as notificações mostram um texto genérico.
Sair: apaga do dispositivo o banco de dados local do App, as credenciais da sua sessão e suas preferências, incluindo suas escolhas de análise de uso e diagnósticos. Nada do que você registrou e nenhuma escolha que você fez é retido; a seção sobre exclusão indica os dois valores técnicos que sobrevivem.
Exportar: um arquivo .glumea protegido por senha com seus registros, medicamentos, perfil, metas terapêuticas e lembretes, em Configurações → Dados e privacidade → Importar e exportar dados. Os relatórios de glicose em CSV e PDF são outra coisa, produzidos pela própria tela de exportação da glicose; o arquivo e o CSV são gratuitos, e o relatório em PDF é um recurso do glumea+.

O [email protected] aceita solicitações de exclusão de conta sem o App. Outras solicitações de direitos fora do app também podem ser enviadas para lá, mas o caminho de exclusão de conta não oferece uma ferramenta automatizada separada de exportação ou de correção.

14. Seus direitos

Segundo o RGPD, você tem o direito de:

Acessar seus dados pessoais e obter uma cópia deles.
Retificar dados incorretos ou incompletos. Você pode editar registros e medicamentos onde os registrou, seu perfil em Configurações → Conta, e as configurações de terapia onde as definiu. Atualmente não há implementado nenhum fluxo separado de correção fora do app.
Apagar seus dados (“direito ao esquecimento”). A seção sobre exclusão acima diz exatamente o que o apagamento alcança e o que não alcança.
Limitar o tratamento em determinadas situações.
Portabilidade dos dados: receber os dados que você forneceu em um formato estruturado, de uso corrente e legível por máquina, quando a lei prevê esse direito. A exportação de glicose em CSV dentro do app é legível por máquina e não criptografada. O arquivo .glumea contém registros, medicamentos, perfil, metas terapêuticas e lembretes, mas é criptografado com uma senha que só você conhece e só pode ser importado na conta glumea que o criou. Atualmente não está disponível nenhuma exportação personalizada adicional por meio do [email protected].
Opor-se ao tratamento baseado nos nossos interesses legítimos.
Retirar o consentimento a qualquer momento. A retirada não afeta o tratamento que era lícito antes dela. Para os dados do diário sincronizados, desative a Sincronização na nuvem e use Excluir dados do servidor, ou exclua sua conta. Para a análise de uso e os diagnósticos, use as duas chaves em Configurações → Dados e privacidade → Privacidade e diagnóstico. Não há controle de remoção somente do perfil ou somente das configurações de terapia, e atualmente não há esse fluxo disponível por meio do [email protected]. Excluir a conta é a única forma implementada de remover esses campos do nosso banco de dados de produção.
Apresentar reclamação a uma autoridade de controle. Nossa autoridade de controle principal é o Presidente do Gabinete de Proteção de Dados Pessoais (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Varsóvia, Polônia. Você também pode apresentar reclamação à autoridade de proteção de dados do Estado-Membro da UE onde você mora, onde trabalha ou onde acredita que ocorreu uma infração. Se você está no Reino Unido, pode apresentar reclamação ao Information Commissioner’s Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF.

Use os controles dentro do app descritos na seção 13 quando eles cobrirem a ação solicitada. Para a exclusão da conta sem o App, envie e-mail para [email protected]. Outras solicitações de direitos também podem ser enviadas para lá; esse caminho de exclusão de conta não oferece, por si só, uma ferramenta separada de acesso, exportação ou correção.

Se um controlador não atender a uma solicitação baseada no RGPD, o Artigo 12 exige que ele explique o motivo no prazo de um mês e indique as vias de reclamação e de recurso judicial disponíveis. Essas vias continuam disponíveis haja ou não um novo contato seu com o controlador.

Verificação de identidade. A exclusão dentro do app se apoia na sua sessão autenticada. Para uma solicitação por e-mail, confirmamos o controle do e-mail vinculado à conta. Se você não tiver acesso a ele, avaliamos se existe outra forma de verificar a titularidade antes de excluir a conta. Não pedimos sua senha nem seus registros de saúde para processar a solicitação.

15. Como protegemos seus dados

As senhas são transformadas em hash com bcrypt, nunca são armazenadas em texto simples e nunca são armazenadas no seu dispositivo.
O banco de dados local no seu dispositivo é criptografado, com uma chave guardada no keystore da plataforma que não migra para outro dispositivo.
Os tokens de autenticação são mantidos no armazenamento seguro do seu dispositivo, o Keychain do iOS ou o armazenamento do Android baseado no Keystore.
O App se comunica com nossos servidores por HTTPS, e as duas plataformas bloqueiam conexões em texto simples por padrão, não acrescentamos nenhuma exceção a isso, nem no iOS nem no Android.
Nosso banco de dados roda dentro do Google Cloud, acessível somente por um socket privado do Cloud SQL, com as credenciais guardadas no Google Secret Manager.
Não gravamos nos logs da nossa aplicação os valores que você registra, leituras de glicose, doses de insulina. Uma linha de log de erro registra o código de status, o caminho, o horário e a mensagem de erro, que, para uma requisição rejeitada, nomeia os campos que falharam na validação. Ela não contém o corpo da requisição.
As notificações mostram por padrão um texto genérico, para que uma notificação não coloque seus dados de saúde na tela de bloqueio.
O acesso ao banco de dados de produção é limitado às pessoas que operam o serviço, o que significa que podemos lê-lo. O que o protege de todas as demais pessoas é o controle de acesso e a criptografia em trânsito e em repouso.

Nenhum sistema é perfeitamente seguro. As medidas acima são o que fazemos para limitar a exposição das partes sensíveis dos seus dados.

Um incidente envolvendo dados pessoais pode exigir notificação às autoridades de controle ou às pessoas afetadas segundo os Artigos 33 e 34 do RGPD, a Health Breach Notification Rule da FTC ou outra lei aplicável. Cada regime tem seu próprio escopo e prazo, e esses deveres legais se aplicam independentemente desta política.

16. Crianças

O glumea não é dirigido a crianças. Você precisa ter pelo menos 16 anos para usar o App. Essa é uma condição do serviço, independentemente do local. Não oferecemos um caminho de autorização dos pais. O processo de exclusão de conta dentro do app e os limites da seção 12 se aplicam a qualquer conta identificada como pertencente a uma pessoa com menos de 16 anos. Preocupações sobre uma conta de menor de idade podem ser enviadas para [email protected].

17. Observações para usuários nos Estados Unidos

A lei de privacidade dos EUA varia de estado para estado, e sua aplicabilidade depende da residência, dos limites legais e do tipo de dado envolvido. Os controles dentro do app descritos na seção 13 estão disponíveis independentemente desses limites. Os direitos legais aplicáveis continuam em vigor mesmo quando o produto atual não tem um fluxo separado de solicitações.

HIPAA: o glumea é um produto direto ao consumidor. Não prestamos serviços de saúde, não processamos pedidos de reembolso e não temos contrato com um plano de saúde nem com um prestador de serviços de saúde para tratar dados em nome deles, portanto não atuamos em nenhum dos papéis que a HIPAA regula, “entidade coberta” ou “associado de negócios”, e não afirmamos conformidade com a HIPAA. Os registros que o seu próprio médico mantém sobre você são cobertos pela HIPAA nas mãos dele; isso é separado da cópia que você mantém no glumea. As regras dos EUA que seguimos para o glumea são a regra de notificação de violação de dados de saúde da FTC e as leis estaduais de privacidade de saúde abaixo.
Califórnia (CCPA/CPRA): a aplicabilidade depende dos limites legais para empresas. Os dados descritos aqui podem incluir informações pessoais sensíveis. Não vendemos informações pessoais nem as compartilhamos para publicidade comportamental entre contextos. Se a CCPA se aplicar, suas regras de acesso, correção, exclusão, portabilidade, recusa e não discriminação se aplicam independentemente desta política. Os controles dentro do app e a solicitação de exclusão da conta por e-mail continuam disponíveis independentemente de qualquer limite.
Washington (My Health My Data Act): os dados que você registra são “dados de saúde do consumidor”. Washington exige uma política separada para eles; veja a Política de Privacidade de Dados de Saúde do Consumidor. Ela descreve as categorias, as fontes, as finalidades, os destinatários, os direitos legais e os limites operacionais atuais do processo de solicitação e de recurso.
Nevada (lei de dados de saúde do consumidor, SB 370 de 2023): os dados que você registra são “dados de saúde do consumidor” também segundo a lei de Nevada. Você tem os direitos de confirmar se os coletamos, compartilhamos ou vendemos, de obter uma lista dos terceiros com quem eles foram compartilhados ou para quem foram vendidos, de tê-los excluídos e de retirar seu consentimento, que Nevada trata como dois consentimentos separados, um para a coleta e outro para o compartilhamento. A lei de Nevada é aplicada pelo Procurador-Geral. Nosso Aviso de Privacidade de Dados de Saúde do Consumidor de Nevada apresenta esses direitos, os prazos que se aplicam a eles, que são mais curtos que os de Washington para uma exclusão, e as quatro divulgações que Nevada pede.
Solicitações e recursos. A lei estadual aplicável pode exigir uma explicação por escrito, uma via de recurso e informações sobre como apresentar uma reclamação ao procurador-geral do estado. Atualmente não há implementado em [email protected] nenhum fluxo separado de recurso por e-mail, portanto o processo atual não oferece essa via onde ela é exigida. Os requisitos de Washington estão descritos na Política de Privacidade de Dados de Saúde do Consumidor.
Outros direitos previstos na lei estadual aplicável não são limitados por esta política.

18. O site glumea.com

O Site é um site estático que hospeda informações sobre o glumea e estes documentos legais. Ele é deliberadamente mínimo:

Nenhum cookie.
Nenhuma análise de uso e nenhuma requisição a origens de terceiros. Tudo o que a página precisa, fontes e scripts incluídos, é servido pelo próprio glumea.com, e a política de segurança de conteúdo do site bloqueia qualquer outra origem de forma absoluta. A própria página é entregue pela nossa hospedagem, que necessariamente vê a requisição; o último item desta lista diz quem ela é e o que registra. O site executa uma pequena quantidade de JavaScript próprio: dois trechos inline que aplicam seu tema e levam você ao idioma certo, além de alguns arquivos empacotados por trás do menu de navegação, dos seletores de tema e de idioma e da animação que revela blocos conforme você rola a página. Nada disso envia nada a lugar nenhum.
Nenhum rastreamento entre sites e, portanto, nada que um sinal Do Not Track ou Global Privacy Control possa desativar. O Site não define cookies de publicidade nem de análise, não faz requisições a terceiros, e nós não vendemos nem compartilhamos informações pessoais.
O localStorage do navegador é usado somente para preferências funcionais (sua escolha de tema e de idioma). Esses valores ficam no seu navegador e não são transmitidos a nós. Eles só são definidos porque você escolheu um tema ou um idioma, e é por isso que não é necessário um banner de consentimento para eles.
O site é servido pelo Firebase Hosting (Google). Como a maioria das hospedagens web, o prestador pode registrar logs de servidor padrão, endereço IP, horário da requisição, tipo de navegador, para segurança e para operar o serviço. Nos apoiamos em interesses legítimos (Artigo 6(1)(f) do RGPD) para isso, especificamente manter o site disponível e protegê-lo contra abusos, e os logs são mantidos somente pelo tempo necessário para essas finalidades.

19. Alterações nesta política

A versão atual é publicada aqui com a data de entrada em vigor. A lei aplicável determina se uma alteração exige aviso prévio, um novo consentimento ou outra ação. Publicar uma política atualizada não autoriza, por si só, uma nova finalidade que exija consentimento ou outra base legal.

20. Idioma

Esta política é publicada em inglês. A versão em inglês é a juridicamente vinculante. As traduções para outros idiomas são publicadas para que você possa ler a política no seu próprio idioma. Quando uma tradução e o texto em inglês divergirem, prevalece o texto em inglês.

A exceção é a própria lei. Quando o país onde você mora dá ao idioma em que você foi informado um status próprio, como faz a lei de defesa do consumidor de vários países, essa regra se aplica no lugar desta, e nada aqui retira um direito que você tenha segundo ela.

Uma tradução é publicada quando fica pronta, então pode ficar defasada em relação ao texto em inglês depois de uma atualização. Se você encontrar um ponto em que uma tradução e o texto em inglês dizem coisas diferentes, avise-nos em [email protected].

21. Fale com a gente

Dúvidas, preocupações ou solicitações sobre seus dados:

E-mail: [email protected]
Correio: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polônia

Documentos relacionados: Termos de Serviço, Aviso Médico e, para residentes de Washington, nossa Política de Privacidade de Dados de Saúde do Consumidor, ou, para residentes de Nevada, nosso Aviso de Privacidade de Dados de Saúde do Consumidor de Nevada.