Политика конфиденциальности

1. Кто мы и что охватывает эта политика

Paweł Milewski Software Development (Оператор, «мы», «нас», «наш») предоставляет glumea (Приложение), мобильное приложение для самоконтроля диабета, и glumea.com (Сайт). Эта политика объясняет, какие данные мы собираем, зачем, где они хранятся, кто имеет к ним доступ, как долго они хранятся, что удаляет удаление и какие права и средства управления есть у вас.

Это ещё и уведомление, которое мы обязаны вам предоставить по европейскому законодательству о защите данных: сведения, которых требуют статьи 13 и 14 Общего регламента по защите данных (Регламент (ЕС) 2016/679), далее мы называем его GDPR. Эти сведения касаются как данных, которые вы даёте нам сами, так и данных, которые попадают к нам из другого источника.

Эта политика охватывает:

Приложение: мобильное приложение glumea для iOS и Android.
Сайт: сайт glumea.com, включая страницы, на которых размещены эти правовые документы.

Сайт почти ничего не собирает, и ниже для него есть отдельный раздел.

Оператор является контролёром данных, отвечающим за ваши персональные данные:

Контролёр: Paweł Milewski Software Development
Регистрационный номер компании: NIP PL6751782526 (индивидуальный предприниматель, внесённый в CEIDG, польский Центральный реестр и информацию о предпринимательской деятельности)
Почтовый адрес: ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Польша
Электронная почта: [email protected]
Страна учреждения: Польша

Если применимо:

Представитель в ЕС: не применимо (мы учреждены в Европейском союзе)
Представитель в Великобритании: не назначен
Сотрудник по защите данных: не назначен; вопросы о защите данных направляйте на [email protected]

«Контролёр данных» в значении GDPR означает сторону, которая определяет, как и зачем обрабатываются ваши персональные данные.

Вместе с этой политикой действуют ещё два документа, и читать их стоит вместе с ней:

наши Условия обслуживания, которые регулируют использование Приложения и Сайта, и
наше Медицинское предупреждение, где изложены медицинские пределы того, что делает Приложение.

Если вы проживаете в штате Вашингтон, к вам применим и четвёртый документ: наша Политика конфиденциальности потребительских данных о здоровье, которую закон штата Вашингтон требует публиковать отдельно. Если вы в Неваде, ей соответствует наше Уведомление о конфиденциальности потребительских данных о здоровье для Невады.

2. Краткое изложение

Краткая версия того, что следует ниже. Каждый пункт называет раздел, где всё изложено полностью, и именно этот раздел имеет приоритет.

Кто мы. Paweł Milewski Software Development определяет, как и зачем обрабатываются ваши данные. Разделы 1 и 21.
Что мы собираем. Ваш адрес электронной почты и пароль; профиль, который вы вводите при первом запуске; дневник, который вы ведёте: глюкоза, еда, инсулин, другие лекарства, вес, лекарства и напоминания; токены входа и записи о соединениях с сервером. Записи из Apple Health или Health Connect, если вы их подключаете, и сведения о подписке, если вы оформляете подписку. Раздел 3.
Данные о здоровье. Дневник, тип диабета, способ лечения и настройки терапии относятся к данным особой категории по статье 9 GDPR. Для облачной синхронизации дневника предусмотрено отдельное подтверждение. Нынешний первый запуск не собирает отдельного явного согласия перед сохранением профиля здоровья и настроек терапии. Разделы 3.3 и 4.
Где они находятся. Часть ваших данных находится на наших серверах с момента создания аккаунта: данные аккаунта, ваш профиль, включая тип диабета и лечение, и настройки терапии. С дневником иначе: сначала он записывается в зашифрованную базу данных на вашем телефоне, Приложение работает офлайн, и дневник попадает на наши серверы, только если вы включаете Облачную синхронизацию, функцию glumea+, которая выключена, пока вы её не включите; ваш выбор хранится в вашем аккаунте, а не на телефоне. Полная таблица приведена в разделе 10.
Кто это получает. Наш хостинг-провайдер в ЕС; почтовый сервис, если включена отправка писем; PostHog и Sentry, каждый только после вашего согласия; магазин приложений, если вы оформляете подписку; и RevenueCat независимо от того, оформляете ли вы подписку. Мы не продаём ваши данные, и в Приложении нет рекламы. Разделы 5, 7, 8 и 9.
Ваш выбор. Аналитика и отчёты об ошибках выключены, пока вы не согласитесь на каждую из них, и у каждой есть свой переключатель; выход из аккаунта не останавливает SDK, который уже работает в этом сеансе. В Приложении вы можете выключить синхронизацию, удалить серверную копию дневника, удалить аккаунт и воспользоваться реализованными вариантами экспорта. Разделы 5 и 13.
Ваши права. Доступ, исправление, удаление, ограничение, переносимость, возражение, отзыв согласия и жалоба в орган по защите данных, а в Соединённых Штатах ещё и права, которые даёт вам закон вашего штата. Вы можете удалить аккаунт в Приложении или запросить удаление аккаунта письмом на [email protected] без Приложения. Разделы 13, 14 и 17.
Что удаление не затрагивает. Удаление аккаунта убирает его записи из рабочей базы данных и запрашивает удаление связанных с аккаунтом записей в RevenueCat и PostHog. Существующие резервные копии, журналы серверов и диагностики, платёжные записи магазина и экспортированные копии могут сохраняться, как описано в разделе 12.

3. Данные, которые мы собираем

Большая часть перечисленного здесь предоставляется вами напрямую. Исключение составляют две категории: показания, которые вы импортируете из Apple Health или Health Connect, и сведения о подписке, которые поступают к нам от Apple, Google и RevenueCat. Обе описаны ниже.

3.1 Данные аккаунта

Адрес электронной почты и пароль. Ваш пароль хешируется на наших серверах с помощью bcrypt, никогда не хранится в открытом виде и никогда не сохраняется на вашем устройстве. Ваш адрес электронной почты также содержится в токене входа, который использует Приложение.
Одноразовые коды для подтверждения электронной почты, сброса пароля, смены пароля и смены адреса электронной почты. Код перестаёт действовать через 10 минут после выдачи, а пять неверных попыток его аннулируют.

3.2 Данные профиля

Собираются при первом запуске:

Имя и фамилия (хранятся как псевдоним), возраст, пол (необязательно) и рост.
Тип диабета (1 типа, 2 типа, гестационный или другой), способы лечения (инсулин, таблетки, инъекционные препараты, диета) и способ введения инсулина.

Ваш тип диабета, способы лечения и способ введения инсулина являются данными о здоровье, «особой категорией» персональных данных по статье 9 GDPR, хотя эта политика и группирует их под названием «профиль». Условие, на которое мы опираемся для них, указано в разделе о правовых основаниях ниже.

3.3 Данные о здоровье, которые вы записываете (данные особой категории)

Ниже перечислены данные о здоровье, «особая категория» персональных данных по статье 9 GDPR. Мы храним их на наших серверах только с вашего явного согласия. Раздел о правовых основаниях ниже объясняет, как это согласие даётся, и какие из этих данных попадают на наши серверы, только когда включена облачная синхронизация:

Измерения глюкозы в крови с необязательными тегами контекста (время приёма пищи, физиология, активность, лекарства и технологии, а также теги, которые вы пишете сами) и заметками в свободной форме.
Записи о еде: углеводы, а также, по желанию, белки, жиры, калории и название, которое вы вводите.
Дозы инсулина: количество единиц, связанное с настроенным вами инсулином, болюсным, базальным или премиксом.
Дозы инъекционных препаратов (например, агонистов GLP-1).
Количество принятых пилюль и таблеток.
Записи о весе тела, каждая со временем, когда вы её сделали.
Ваши каталоги лекарств: инсулин, таблетки и инъекционные препараты, которые вы настраиваете, включая названия препаратов (например, Fiasp, Lantus, Metformin, Ozempic) и фармакокинетические параметры (начало действия, пик, длительность), а также время напоминаний, которое вы для них задаёте.
Настройки лечения, которые вы задаёте: ваш целевой диапазон глюкозы (по умолчанию 3,9–10,0 ммоль/л, а при гестационном диабете, предиабете или отсутствии диагноза 3,9–7,8 ммоль/л), инсулин-углеводное соотношение (ICR) и коэффициент чувствительности к инсулину (ISF). Приложение никогда не использует ни одно из них, чтобы рассчитать или рекомендовать дозу. Ваше инсулин-углеводное соотношение хранится для вашего сведения, и больше ничто его не читает. Ваш целевой диапазон хранится, а кроме того, именно он рисует полосу «в диапазоне» во Времени в диапазоне, задаёт внутренние границы метки Хороший / Пограничный / Критический и определяет, когда меняется формулировка о риске гипо. Ваш коэффициент чувствительности к инсулину используется, чтобы вычислить формулировку о риске гипо и примерный диапазон снижения, показанный рядом с активным инсулином. Всё это описывает Медицинское предупреждение.
Значения, которые Приложение вычисляет на вашем устройстве из того, что вы записываете: оценка активного инсулина (оценка только для информирования: она не рекомендует и не рассчитывает дозу), формулировка о риске гипо и примерный диапазон снижения рядом с ней, тренды, средняя глюкоза и её разброс, Время в диапазоне, оценочный A1C (GMI), предлагаемое время следующего измерения и метка Хороший / Пограничный / Критический для вашего последнего измерения. Что каждое из них собой представляет и чем не является, изложено в Медицинском предупреждении.

Несколько из этих полей содержат свободный текст: заметки к глюкозе, теги, которые вы пишете сами, названия еды, названия собственных лекарств, название собственного слота напоминания. Всё, что вы там вводите, хранится, а при включённой синхронизации и синхронизируется ровно в том виде, как вы это ввели.

3.4 Данные, которые мы получаем из других источников

Apple Health и Health Connect. Если вы их подключаете, Приложение считывает записи о глюкозе в крови, весе тела и пищевых углеводах из платформы здоровья на вашем телефоне. Это только чтение: Приложение никогда ничего не записывает обратно. На iOS оно запрашивает у системы только доступ на чтение и не указывает причины для записи, которую потребовала бы любая запись; на Android у него есть только разрешения на чтение для этих трёх типов записей. Поэтому записи, которые изначально поступили из глюкометра, системы непрерывного мониторинга (CGM) или другого приложения, попадают в glumea через платформу здоровья. Импортированные записи хранятся на вашем устройстве как обычные записи с пометкой платформы, из которой они пришли, и идентификатора записи. Копируется ли импортированная запись ещё и на наши серверы, зависит от того, включена ли Облачная синхронизация, точно так же, как для записи, которую вы ввели сами. Подключение выключено, пока вы его не включите, и вы можете в любой момент отключить его или выключить отдельные типы данных в разделе «Настройки → Интеграции».
Apple, Google и RevenueCat. Если вы оформляете подписку glumea+, сведения об этой подписке поступают к нам из магазина и от RevenueCat. Какие именно, см. в разделе о glumea+ ниже.

3.5 Технические данные

Токены аутентификации, которые хранятся в защищённом хранилище вашего устройства, чтобы вы оставались в системе. Ваш сеанс на наших серверах представляет собой запись, содержащую идентификатор сеанса, ваш идентификатор пользователя и срок его действия.
Когда включена облачная синхронизация, наши серверы обрабатывают синхронизируемые вами данные вместе со служебными сведениями, необходимыми для работы службы синхронизации, например метками времени синхронизации.
Когда Приложение обращается к нашим серверам, серверы получают стандартные сведения о соединении, такие как ваш IP-адрес, запрошенный путь и время; они используются для безопасности и работы службы.
Пока включена аналитика или диагностика, каждый SDK отправляет данные, описанные в разделе 5. Обе выключены, пока вы на них не согласитесь.

3.6 Данные, которые остаются на вашем устройстве, и данные, которые не остаются

Кое-что вообще никогда не попадает на наши серверы: настройки уведомлений, время напоминаний о проверке глюкозы, Тихие часы, выбор подробностей в уведомлениях, локальное состояние уведомлений, состояние подключения к платформе здоровья, настройки Приложения, настройки телеметрии и служебные данные синхронизации. Одна оговорка: пока включена аналитика, язык, тема и единицы измерения отправляются в PostHog как атрибуты профиля. Ничто другое из этого списка не покидает устройство через наш бэкенд.

Исключение составляют расписания приёма ваших лекарств: они относятся к дневнику, поэтому копируются на наши серверы, когда включена Облачная синхронизация, ведь напоминание о лекарстве должно пережить смену телефона.

Сам переключатель облачной синхронизации тоже не хранится только на устройстве. Ваш ответ на него хранится в вашем аккаунте на наших серверах, чтобы он следовал за вами на новый телефон и переживал выход из аккаунта; что это означает на практике, объясняет раздел 10.

Файлы, которые вы создаёте сами (архив резервной копии .glumea или отчёт о глюкозе в формате CSV или PDF), записываются на вашем устройстве и передаются тому приложению, с помощью которого вы решаете ими поделиться или сохранить их. Куда они попадают после этого, находится вне нашего контроля, а отчёт CSV или PDF не шифруется.

4. Зачем мы обрабатываем ваши данные и наши правовые основания

По GDPR для каждого использования нужно основание по статье 6, а для данных особой категории ещё и условие по статье 9. Предполагаемые основания перечислены ниже. Описанный ниже отсутствующий шаг согласия на профиль не даёт явного согласия, которого требует обработка.

Предоставление вашего аккаунта и Приложения: создание и защита вашего аккаунта, аутентификация, подтверждение электронной почты, сброс пароля, работа облачной синхронизации, предоставление glumea+, если вы оформляете подписку, и ведение записи об уведомлениях о подписке, которые присылают нам магазин и RevenueCat, чтобы мы могли определить, активна ли glumea+, и разобраться с проблемой оплаты: исполнение договора, статья 6(1)(b) GDPR.
Хранение данных о здоровье на наших серверах: предполагаемыми основаниями служат статья 6(1)(b) для службы и явное согласие по статье 9(2)(a) для данных о здоровье. Дневник копируется на наши серверы только после отдельного подтверждения Облачной синхронизации. Нынешний первый запуск сохраняет профиль и настройки терапии в аккаунте без отдельного шага явного согласия. Принятие договора не является автоматически явным согласием на обработку данных особой категории, поэтому нынешний порядок первого запуска не обеспечивает это условие статьи 9. Удаление аккаунта остаётся единственным реализованным способом убрать эти поля профиля и терапии из рабочей базы данных.
Аналитика продукта: согласие по статье 6(1)(a), явное согласие по статье 9(2)(a), поскольку использование приложения для диабета раскрывает сведения о здоровье, и согласие по статье 5(3) Директивы ePrivacy на хранение данных SDK. Как это согласие запрашивается, описывает раздел 5.
Диагностика и отчёты о сбоях: предполагаемыми основаниями служат согласие по статье 6(1)(a), явное согласие по статье 9(2)(a), поскольку использование приложения для диабета раскрывает сведения о здоровье, и согласие по статье 5(3) ePrivacy на хранение данных SDK, которое запрашивается так же, как для аналитики (раздел 5).
Обеспечение безопасности службы и предотвращение злоупотреблений: ограничение частоты запросов к нашему API и расследование подозрений на злоупотребление: наши законные интересы, статья 6(1)(f) GDPR. Конкретный интерес состоит в защите вашего аккаунта и аккаунтов других людей от несанкционированного доступа и в поддержании работоспособности службы. Мы опираемся на это основание, только если ваши права не перевешивают наши интересы.
Выполнение юридической обязанности: когда законодательство Польши требует от нас хранить или раскрывать определённые записи, мы делаем это на основании статьи 6(1)(c) GDPR. Мы не опираемся на это основание в отношении записываемых вами данных о здоровье. Мы не принимаем ваш платёж и никогда не получаем ваши платёжные данные, поэтому платёжные и биллинговые записи о вашей покупке хранит магазин, а не мы.

Мы не принимаем в отношении вас решений, которые влекут юридические или аналогичные существенные последствия, исключительно на основе автоматизированной обработки, и мы не создаём ваш профиль для таких решений. В glumea нет автоматизированного принятия решений в значении статьи 22 GDPR. Оценки, которые показывает Приложение (активный инсулин, тренды, Время в диапазоне), являются арифметикой, выполняемой на вашем устройстве над введёнными вами данными и представляемой только для вашего информирования. Они не рекомендуют и не рассчитывают никакую дозу инсулина или лекарства и не являются медицинской рекомендацией.

Обязательно ли предоставлять данные? Закон не обязывает вас предоставлять данные. Для аккаунта нужны адрес электронной почты и пароль. Поля профиля и терапии, запрашиваемые при первом запуске, сохраняются в аккаунте с учётом описанного выше ограничения, связанного с согласием. Ведение записей, подключение Apple Health или Health Connect и облачная синхронизация необязательны. Аналитика и диагностика необязательны и выключены, пока вы на них не согласитесь.

5. Аналитика и диагностика

В Приложение входят два сторонних SDK для этих целей: один для аналитики продукта и один для отчётов о сбоях и ошибках. Этот раздел объясняет, что представляет собой каждый и что он получает.

Оба выключены, пока вы на них не согласитесь, и ни один SDK не запускается до этого. Приложение спрашивает об этом в конце первого запуска, с отдельным переключателем для каждого. Переключатели показаны во включённом положении, но ничего не собирается, пока вы не нажмёте «продолжить», а одно нажатие кнопки отказа завершает первый запуск с обоими выключенными. Если вы входите в существующий аккаунт, минуя первый запуск, оба остаются выключенными, пока вы их не включите. Эти две настройки независимы, и их можно менять в любой момент в разделе Настройки → Данные и конфиденциальность → Конфиденциальность и диагностика. Выход из аккаунта сбрасывает оба ответа вместе с другими вашими настройками, но уже работающий SDK продолжает работать, пока Приложение не будет закрыто.

5.1 Аналитика продукта: PostHog

Мы используем PostHog (EU Cloud, eu.i.posthog.com), чтобы понимать, как используется Приложение, и улучшать его.

Что PostHog может получать, пока аналитика включена:

Идентификатор вашего аккаунта glumea: внутренний UUID вашего аккаунта. Не ваша почта и не ваше имя. После входа в аккаунт события привязываются к этому идентификатору, поэтому они не анонимны. События, которые могут произойти до входа или после выхода (первый запуск, запуски Приложения, регистрация и подтверждение кода из письма), вместо этого несут псевдонимный идентификатор устройства, и этот идентификатор создаётся заново, когда Приложение сбрасывает SDK.
Фиксированный список названий событий, около 28, охватывающий такие вещи, как открытие Приложения, регистрация, завершение первого запуска, сохранение записи, импорт из Apple Health, выдача или отказ в разрешении на уведомления, создание экспорта, открытие экрана подписки и результат покупки или восстановления.
Небольшое число свойств, каждое из закрытого списка или ограниченное числом: какого рода запись сохранена (глюкоза, еда, лекарство или вес), сколько строк записало одно сохранение, была ли запись сделана в тот момент или задним числом, был ли экспорт в CSV или PDF, какой шаг первого запуска завершён, общая категория напоминания, которое вы нажали, и подобное. Ни одно свойство нигде в системе не принимает свободный текст.
Экран, на котором вы находитесь, как шаблон маршрута вроде /settings/privacy. Цифры отклоняются, поэтому внутри него не может уйти идентификатор записи. Экран, на который попадает только один вид лечения, например настройки инсулина, сообщается как экран выше.
Несколько атрибутов профиля: ваш язык, ваша тема, ваши единицы глюкозы, веса и углеводов и то, есть ли у вас glumea+.
То, что PostHog SDK добавляет сам, вне нашего контроля: модель устройства, операционная система и версия, версия Приложения, версия SDK, часовой пояс, локаль, тип сети и идентификатор сеанса. PostHog также получает IP-адрес, с которого приходит ваш запрос, как любая веб-служба, и определяет по нему примерное местоположение. Мы не включили у PostHog параметр, который отбрасывает этот адрес, поэтому он хранится вместе с событием.

Что PostHog получать не может: значение глюкозы, дозу инсулина, название лекарства, какой вид лекарства вы принимаете, заметку, название еды, адрес электронной почты или любой другой свободный текст. Фильтр, который это обеспечивает, работает по принципу «закрыто при сбое»: событие, которого нет в списке, отбрасывается целиком, необъявленное свойство удаляется, а объявленное свойство, значение которого не соответствует ожидаемой форме, тоже удаляется. В системе нет свойства «любая строка». Нет ни воспроизведения сеансов, ни записи экрана, ни опросов, ни автоматического захвата нажатий, ни push-токена.

События построены так, чтобы не раскрывать ваше лечение или ваши показания. Инсулин, таблетки и инъекционные препараты сообщаются одинаково: как запись о лекарстве. Нажатие на оповещение о низкой или высокой глюкозе не записывается вовсе, как и шаг первого запуска, который видят только пользователи инсулина. Импорт из Apple Health или Health Connect сообщает, что он выполнился и что его запустило, но никогда не сообщает, сколько записей он прочитал. Пока вы в аккаунте, события всё равно связаны с вашим аккаунтом, а использование приложения для диабета само по себе раскрывает сведения о здоровье, поэтому аналитика ждёт вашего согласия.

SDK аналитики хранит на вашем устройстве собственный идентификатор вместе с очередью событий, ожидающих отправки. Из принципа работы SDK вытекают два ограничения. При отзыве согласия записывается одно последнее событие о том, что вы отказались. И это событие вместе со всем, что было собрано, пока вы соглашались, доставляется позже по собственному расписанию SDK, а не в момент отзыва. После этого ничего нового не собирается.

5.2 Диагностика и отчёты о сбоях: Sentry

Мы используем Sentry (регион Европейского союза), чтобы узнавать, когда Приложение даёт сбой или ошибку, и исправлять это.

Каждая часть отчёта, которую формирует Приложение и которая может нести содержимое, собирается заново с нуля перед отправкой, по списку разрешённых полей, а не по списку полей, которые нужно убрать. Около десятка оставшихся полей верхнего уровня очищаются по имени, поэтому поле, добавленное в будущей версии SDK, не попало бы под эту очистку, пока мы его не добавим. После этой пересборки остаётся:

Тип исключения и вычисленная метка вместо исходного сообщения об ошибке.
Трассировка стека, где имена файлов сведены к базовому имени, а в релизных сборках имена символов обфусцированы: читаемыми они становятся только на стороне Sentry с помощью карты соответствия, которую мы загружаем при сборке.
Семейство устройства, модель, архитектура, является ли оно симулятором, и ориентация.
Название, версия и сборка операционной системы; название, версия и сборка Приложения; версия среды выполнения Dart.
Идентификаторы отладочных образов, нужные, чтобы сделать нативные сбои читаемыми.
Форма цепочки хлебных крошек: категория, тип, уровень и время недавних событий, но никогда не их содержимое.
Две метки: в какой области Приложения произошёл сбой и произошёл ли он на переднем плане или в фоновом движке уведомлений.
Релиз, номер сборки, окружение и случайно сгенерированный идентификатор события.

Что удаляется полностью: сообщение об ошибке, любые данные запроса, любой объект пользователя, имя сервера, название транзакции, списки потоков, списки модулей, значения локальных переменных, контекст исходного кода, абсолютные пути, уникальный идентификатор и имя устройства, хеш Приложения, привязанный к установке, сообщения и данные хлебных крошек, снимки экрана, иерархии представлений и любые вложения. Снимки экрана, захват иерархии представлений, воспроизведение сеансов, трассировка производительности, журналирование и тела запросов выключены. Приложение не прикрепляет к событию Sentry никакого идентификатора пользователя: ни идентификатора аккаунта, ни адреса электронной почты, ни идентификатора устройства.

Два ограничения сказанного выше:

Нативные сбои, события «приложение не отвечает» и завершения процесса сторожевым механизмом iOS могут попасть в Sentry, минуя эту пересборку, потому что их формирует обработчик сбоев операционной системы, а не собственный код Приложения. То же относится к периодическому сигналу «сеанс приложения начался / завершился», который Sentry использует для оценки состояния релиза. Мы не можем проверить их на устройстве и не знаем всех полей, которые платформенный SDK кладёт в такое событие. Мы не задаём никакого идентификатора, который связал бы любое из них с вами.
Sentry получает IP-адрес, с которого отправлен отчёт.

Пока вы не согласитесь на диагностику, Sentry не запускается. Выключение переключателя закрывает отправителей отчётов, на которые распространяется этот элемент управления, но выход из аккаунта не гарантированно отключает уже инициализированный SDK в работающем процессе. Поэтому нынешний жизненный цикл нельзя описать как немедленный отзыв согласия в каждом состоянии.

6. glumea+ и данные о подписке

Подписка glumea+ продаётся только как покупка внутри приложения через Apple App Store и Google Play. Другого способа её купить нет: ни оплаты на сайте, ни формы для ввода карты нигде в Приложении.

Платёжные данные до нас не доходят. Платёж принимает Apple или Google. Мы никогда не видим номер вашей карты, ваши банковские реквизиты или ваш платёжный адрес. Отмена подписки и возврат средств обрабатываются через ваш аккаунт в магазине; где именно, объясняют Условия обслуживания.
RevenueCat: служба, с помощью которой мы узнаём, активна ли ваша подписка. Приложение сообщает RevenueCat о вас одно: идентификатор вашего аккаунта glumea, используемый как идентификатор пользователя подписки. Наши серверы также спрашивают у RevenueCat, есть ли у этого идентификатора активная подписка, в том числе когда вы никогда не оформляли подписку, потому что именно так мы узнаём, что её нет. Мы не задаём ни адреса электронной почты, ни отображаемого имени, ни номера телефона, ни push-токена и не просим собирать рекламные идентификаторы устройства. SDK RevenueCat также сам собирает некоторые сведения об устройстве и сети для работы службы RevenueCat, описанные в её собственном уведомлении о конфиденциальности. Мы не настраиваем этот сбор и не получаем того, что он создаёт.
Что Приложение хранит локально: единственное значение «истина/ложь», которое показывает, активна ли glumea+. Приложение не хранит на вашем устройстве ни цены, ни идентификатора продукта, ни даты окончания, ни идентификатора транзакции. Это значение устанавливается в «ложь», когда вы выходите из аккаунта, поэтому следующий аккаунт на устройстве начинает без подписки и должен проверяться в магазине отдельно.
Что хранят наши серверы. RevenueCat присылает нашему бэкенду уведомление, когда что-то меняется в подписке: покупка, продление, отмена, проблема с оплатой. Мы записываем каждое такое уведомление в том виде, в каком оно получено: идентификатор и тип события, окружение, идентификатор вашего аккаунта glumea и полное сообщение, которое прислал RevenueCat, хранящееся точно так, как оно пришло, а не по полям. Такое сообщение обычно включает идентификатор продукта, цену, валюту, магазин, страну и даты покупки и окончания. Поскольку мы храним его целиком, оно может нести и любые атрибуты подписчика, которые RevenueCat хранит о вас, в том числе адрес электронной почты, даже если наше Приложение само ничего из этого не задаёт. Мы никогда не переписываем сообщение; повторная доставка того же события обновляет только наш счётчик того, сколько раз оно приходило.
Пока включена аналитика, события воронки, описанные выше, отправляются в PostHog вместе с атрибутом профиля, фиксирующим, активна ли glumea+. Ни цена, ни идентификатор продукта, ни идентификатор магазина в аналитику не отправляются.

Из этого вытекают два следствия. Журнал вебхуков несёт идентификатор вашего аккаунта glumea, но не имеет связи в базе данных со строкой вашего аккаунта. При удалении аккаунта наш бэкенд удаляет эти записи отдельно и запрашивает удаление записи подписчика в RevenueCat под тем же идентификатором. В остальных случаях запланированная задача удаляет каждую запись вебхука через 90 дней после её поступления. Что может остаться, описывает раздел 12.

7. Чего мы не делаем

В glumea не происходит ничего из следующего:

Никакой рекламы. Ни рекламного SDK, ни SDK атрибуции, ни рекламного идентификатора. Приложение не может показать запрос iOS «Попросить приложение не отслеживать», потому что в нём нет записи, которая это позволила бы, и оно не объявляет рекламных сетей атрибуции.
Никакой продажи ваших данных. Мы не продаём и не сдаём в аренду персональные данные и не продаём данные о здоровье. Мы не передаём их для кросс-контекстной поведенческой рекламы.
Никакого использования ваших данных о здоровье для рекламы, маркетинга или составления вашего профиля для кого-либо ещё.
Никаких данных о местоположении. Никакого доступа к вашим контактам, камере, микрофону, фотографиям или календарю: Приложение не запрашивает ни одного из этих разрешений ни на одной из платформ.
Никакого Firebase в Приложении: ни Firebase Analytics, ни Crashlytics, ни Firebase Cloud Messaging. (Firebase Hosting обслуживает Сайт, включая эту страницу; это другая служба Google, и она названа ниже.)
Никаких push-уведомлений и никакого push-токена устройства. Напоминания планируются и показываются самим вашим устройством; канала от сервера к устройству нет вовсе.
Никаких снимков экрана, записи экрана, воспроизведения сеансов, захвата иерархии представлений ни от одного из двух описанных выше SDK.
Кроме PostHog и Sentry, в Приложении нет никакого другого SDK аналитики, телеметрии или отслеживания. Сетевые соединения устанавливают только само Приложение (со своими серверами glumea), PostHog, Sentry и RevenueCat.

8. Кто получает ваши данные

Мы передаём данные перечисленным ниже поставщикам услуг для работы glumea. Эту обработку регулируют их роли, их собственные уведомления о конфиденциальности и договорные условия, применимые к нашему использованию каждой службы. SDK RevenueCat также сам собирает сведения об устройстве и сети. Мы не настраиваем этот сбор и не получаем его результат, поэтому описание берётся из уведомления о конфиденциальности RevenueCat, а не из наших систем.

Google (Google Cloud Run и Google Cloud SQL, регион europe-west1) размещает наш бэкенд и базу данных со всем, что вы синхронизируете, включая ваши данные о здоровье. Google Secret Manager хранит наши серверные учётные данные, а Google Cloud Logging хранит наши журналы серверных запросов.
Google (Firebase Hosting) обслуживает glumea.com и эти правовые документы.
Sentry (регион Европейского союза) получает описанные выше диагностические отчёты, пока диагностика включена, при нынешнем поведении настроек.
PostHog (EU Cloud) получает описанные выше события аналитики, пока аналитика включена, при нынешнем поведении настроек.
RevenueCat (Соединённые Штаты) получает идентификатор вашего аккаунта glumea и состояние вашей подписки независимо от того, оформляете ли вы подписку: проверка того, что вы не подписчик, использует тот же идентификатор, что и подтверждение того, что вы подписчик. Как отмечено выше, его SDK дополнительно собирает сведения об устройстве и сети, которые мы не настраиваем и не получаем; о них рассказывает собственное уведомление о конфиденциальности RevenueCat.
Zoho ZeptoMail: если включена отправка писем в рабочей среде, этот поставщик получает адрес электронной почты получателя и сообщение для подтверждения или сброса пароля, необходимое для доставки. Пока отправка выключена, ни один почтовый сервис эти сообщения не получает.

Apple и Google не являются нашими обработчиками. Они управляют магазинами, через которые продаётся glumea+, принимают платёж и являются независимыми контролёрами данных о покупке, которые хранят о вас. Что они собирают, регулируется их собственными политиками конфиденциальности, а не этой.

Кроме того, мы раскрываем персональные данные только тогда, когда этого требует закон, например по обязательному предписанию суда или органа власти, или по вашему указанию.

Если Paweł Milewski Software Development когда-либо будет участвовать в слиянии, поглощении или продаже активов, ваши данные останутся под защитой этой политики, и мы уведомим вас до того, как ваши данные станут подпадать под другую политику конфиденциальности.

9. Международная передача данных

Где каждый получатель обрабатывает ваши данные:

Ваш аккаунт, профиль и синхронизированные данные о здоровье хранятся в ЕС: Google Cloud, europe-west1 (Бельгия). Но место хранения ещё не весь ответ. Google может получать доступ к этим данным из-за пределов ЕЭЗ, для поддержки и обслуживания платформы, и это самостоятельная передача. Она опирается на стандартные договорные условия в Дополнении Google Cloud об обработке данных.
Аналитика отправляется в EU Cloud PostHog, который хранит её в ЕС. Там, где PostHog может получать к ним доступ из-за пределов Европейской экономической зоны, передача опирается на стандартные договорные условия в соглашении PostHog об обработке данных.
Диагностика отправляется в Sentry в его регион Европейского союза. Там, где это находится вне Европейской экономической зоны, передача опирается на стандартные договорные условия в дополнении Sentry об обработке данных.
Сайт обслуживается Firebase Hosting из сети доставки контента Google, поэтому запрос страницы может обслуживаться и регистрироваться в месте за пределами Европейской экономической зоны. Когда так происходит, передача опирается на стандартные договорные условия в Дополнении Google Cloud об обработке данных.
Состояние подписки отправляется в RevenueCat в Соединённых Штатах. Там, где это находится вне Европейской экономической зоны, передача опирается на стандартные договорные условия в дополнении RevenueCat об обработке данных.
Если включена отправка писем в рабочей среде, письма для подтверждения и сброса пароля доставляет Zoho ZeptoMail, который обрабатывает адрес электронной почты получателя в Европейском союзе (Zoho Corporation B.V., центры обработки данных Zoho в ЕС в Нидерландах и Ирландии). Там, где это находится вне Европейской экономической зоны, применимым механизмом передачи служат стандартные договорные условия в дополнении Zoho об обработке данных.
Apple и Google обрабатывают данные о покупках на собственных условиях как независимые контролёры.

Там, где поставщик может получать доступ к данным из-за пределов ЕЭЗ, в том числе для поддержки, такой доступ тоже является передачей и должен иметь надлежащую гарантию по главе V GDPR. Механизм для каждого получателя назван выше. Для пользователей в Великобритании равнозначным механизмом служит Дополнение Великобритании к стандартным договорным условиям ЕС или IDTA, когда поставщик использует эту форму по UK GDPR. Общий контакт по вопросам защиты данных: [email protected]. Отдельного автоматизированного процесса запроса копии гарантий в настоящее время не реализовано.

10. Где хранятся ваши данные

glumea работает по принципу «сначала офлайн». Этот раздел даёт полный ответ на вопрос «что из моего находится на ваших серверах?»: всё остальное в этой политике отсылает сюда.

Что	На вашем телефоне	На наших серверах	С какого момента	Как это убрать
Ваш дневник, записи, каталоги лекарств, расписания приёма лекарств	Всегда	Только при включённой Облачной синхронизации	С момента, когда вы включаете переключатель	Выключите переключатель, затем нажмите Удалить данные с сервера; или удалите аккаунт
Ваш профиль, имя, возраст, рост, тип диабета, способы лечения, способ введения инсулина	Да	Всегда	С первого запуска, независимо от того, пользуетесь ли вы синхронизацией	Удалите аккаунт
Ваши настройки терапии, целевой диапазон, инсулин-углеводное соотношение, коэффициент чувствительности к инсулину	Да	Всегда	С момента, когда вы их вводите	Удалите аккаунт
Ваш аккаунт, адрес электронной почты, хешированный пароль, сеансы входа	Только учётные данные	Всегда	С момента создания аккаунта	Удалите аккаунт
Всё из раздела 3.6, напоминания, Тихие часы, настройки Приложения	Да	Никогда	Неприменимо	Выйдите из аккаунта или удалите Приложение

Остальная часть этого раздела содержит подробности к этой таблице.

Все вводимые вами данные сначала записываются в локальную базу данных на вашем устройстве. Приложением можно полноценно пользоваться без подключения к интернету.
Эта локальная база данных зашифрована. Она открывается 32-байтовым ключом, который хранится в хранилище ключей вашего устройства с настройкой, не позволяющей переносить его на другое устройство. Последствия, о которых стоит знать, прежде чем менять телефон: на Android мы отключили для Приложения облачное резервное копирование и перенос с устройства на устройство, поэтому новая резервная копия не создаётся; на iOS копия базы данных всё равно может оказаться в резервной копии iCloud, но без ключа она нечитаема, а ключ никогда не покидает устройство. Поэтому восстановление такой резервной копии на новом телефоне не переносит ваш дневник: Приложение находит базу данных, ключа к которой у него нет, отказывается открывать её, вместо того чтобы молча начать с пустой, и не запустится на этом телефоне, пока вы не переустановите его или не очистите его данные. Переход на новый телефон выполняется через облачную синхронизацию или через архив .glumea, который вы экспортируете и импортируете сами.
Ваш аккаунт существует на наших серверах с момента его создания. Он содержит данные аккаунта, ваш профиль, включая тип диабета, способы лечения и способ введения инсулина, и ваши настройки терапии: целевой диапазон, инсулин-углеводное соотношение и коэффициент чувствительности к инсулину. Они хранятся на наших серверах независимо от того, пользуетесь ли вы облачной синхронизацией, а убрать их можно, удалив аккаунт.
Облачная синхронизация является функцией glumea+ и выключена, пока вы её не включите. Она определяет, копируется ли ваш дневник ещё и на наши серверы: ваши записи, каталоги лекарств и расписания приёма лекарств. Включение выполняется в два шага, и вы можете остановиться на любом. Без активной подписки glumea+ Приложение показывает вам экран подписки вместо того, чтобы что-либо включать. При наличии подписки Приложение затем просит вас подтвердить отдельным шагом, что вы согласны на хранение на наших серверах ваших данных о здоровье, измерений глюкозы, записей об инсулине и лекарствах, записей о еде и весе и всего, что вы написали в заметке. Оно спрашивает об этом каждый раз при включении переключателя, а не только в первый раз. Это подтверждение и есть ваше явное согласие по статье 9(2)(a) GDPR на дневник. Вы можете отозвать его в любой момент, выключив Облачную синхронизацию, и удалить то, что у нас уже есть, ссылкой Удалить данные с сервера на той же панели. При выключенной синхронизации всё, что вы записываете, остаётся только на вашем устройстве.
Когда синхронизация включена, ваши данные хранятся на нашем бэкенде по адресу api.glumea.app, который работает на Google Cloud Run с базой данных Google Cloud SQL PostgreSQL в регионе Google europe-west1 (Бельгия).

Переключатель принадлежит вашему аккаунту, а не телефону. Ваш ответ хранится на наших серверах, и Приложение считывает его оттуда, когда вы входите в аккаунт и когда оно снова подключается. Поэтому он переживает выход из аккаунта и следует за вами: если вы включите синхронизацию и войдёте на другом телефоне, там она тоже будет включена без повторного вопроса. Выключение фиксируется так же. Если вы выключаете её, будучи офлайн, Приложение сохраняет этот ответ и доставляет его на наши серверы при первой возможности: отзыв никогда не откатывается из-за того, что запрос не удался. На общем устройстве это работает в обратную сторону по сравнению с переключателем, который хранится только на устройстве: входящий в аккаунт человек получает ответ своего аккаунта, а не тот, который оставил предыдущий.

Если glumea+ заканчивается, новые записи перестают копироваться в резервную копию; это не отзывает ваше согласие и ничего не удаляет. Когда подписка истекает, отменяется или по ней возвращены деньги, Приложение перестаёт копировать новые записи на наши серверы. Правки и удаления записей, которые уже там, по-прежнему доходят до наших серверов, и Приложение по-прежнему загружает данные с них. На панели «Облачная синхронизация» написано Правки и удаления по-прежнему синхронизируются · Новые записи остаются на этом устройстве. Всё, что уже есть на наших серверах, остаётся там, всё, что есть на вашем устройстве, остаётся там, а сохранённый ответ на вопрос о согласии остаётся как был, поэтому, если вы оформите подписку снова, полное резервное копирование возобновится по этому сохранённому ответу, без повторного вопроса. Если вы предпочли бы, чтобы этого не происходило, выключите переключатель: его выключение и ссылка Удалить данные с сервера рядом с ним остаются доступными независимо от того, действует ли подписка. Окончание подписки никогда не лишает вас возможности отозвать согласие или удалить серверную копию.

Синхронизация может остановиться и без того, чтобы вы касались этого переключателя. Ваш сеанс входа может истечь, и тогда мы не выводим вас из аккаунта и ничего не удаляем: Приложение сохраняет каждую запись на вашем устройстве, ставит резервное копирование на паузу и ждёт. Панель «Облачная синхронизация» тогда показывает На паузе и сообщает, что ничего не синхронизируется, пока вы не войдёте снова, а на экране «Сводка» появляется баннер об истёкшем сеансе. Всё, что вы за это время записываете, остаётся на устройстве и попадает на наши серверы только после повторного входа. Если вы рассчитываете, что серверная копия переживёт потерю телефона, на этот баннер нужно отреагировать.

Копия на наших серверах защищена шифрованием при передаче, шифрованием хранилища Google и нашим контролем доступа. Она не имеет сквозного шифрования, и мы можем её прочитать. glumea не является службой с нулевым разглашением. Во всей системе мы не можем открыть только архив .glumea, потому что он зашифрован паролем, известным только вам.

11. Как долго мы храним ваши данные

Мы храним ваши данные в течение указанных ниже сроков.

Данные аккаунта, профиль и настройки терапии: хранятся на наших серверах, пока существует ваш аккаунт.
Записи о здоровье и каталоги лекарств, которые вы синхронизировали: хранятся, пока существует ваш аккаунт или пока вы не удалите серверную копию или не удалите аккаунт. Удаление отдельной записи работает иначе: она исчезает с устройства, на котором вы её удалили, и только с него. Копия на наших серверах остаётся, поэтому запись может вернуться после переустановки, на новом телефоне или после того, как вы выйдете из аккаунта и войдёте снова. Только ссылка Удалить данные с сервера или удаление аккаунта убирает эти строки с наших серверов.
Метки удалённых записей: когда удаление отдельной записи всё же доходит до наших серверов, строка сохраняется как метка, которая по-прежнему несёт своё значение, теги и заметки, чтобы удаление могло дойти до ваших других устройств. У нас нет задачи, которая их очищает, поэтому они остаются, пока существует ваш аккаунт. Ссылка Удалить данные с сервера или удаление аккаунта убирает их.
Сеансы входа: токен доступа действует 15 минут. Запись сеанса на наших серверах истекает через 90 дней без использования. Выход из аккаунта отзывает её немедленно, и ею больше нельзя воспользоваться, но сама строка удаляется ежечасной задачей, когда истечёт это 90-дневное окно. Удаление аккаунта удаляет её сразу.
Одноразовые коды: истекают через 10 минут после выдачи, а ежечасная задача помечает истёкшие как непригодные. Сами записи мы не очищаем: они остаются, пока вы не удалите аккаунт, что удаляет их вместе со всем остальным.
Резервные копии серверов: 7 дней. Данные, удалённые из рабочей базы данных, остаются в резервных копиях, пока те не будут перезаписаны.
Журналы серверных запросов, включающие IP-адреса: 30 дней.
События аналитики в PostHog: 12 месяцев.
Диагностические отчёты в Sentry: 90 дней.
Записи об уведомлениях о подписке: до 90 дней с момента, когда каждое сообщение доходит до нас, если только удаление аккаунта не убирает их раньше. Запланированная задача считает возраст записи и не удерживает строку из-за открытого спора по оплате.
Данные, хранящиеся только на вашем устройстве: остаются там, пока вы не удалите их, не выйдете из аккаунта, не воспользуетесь удалением аккаунта в Приложении или не удалите Приложение. Запрос на удаление аккаунта по электронной почте не может удалённо стереть данные с устройства.

12. Удаление: что происходит и где

Прежде чем начать. Две вещи важнее всего остального ниже, и обе изложены в Условиях обслуживания: сначала отмените подписку glumea+ в магазине, потому что удаление вашего аккаунта glumea не останавливает списания (раздел 13.1 там), и сначала экспортируйте данные, потому что после того, как ваши строки исчезнут, мы не сможем создать для вас экспорт (раздел 13.3 там).

Три разных элемента управления, три разных результата. Их легко перепутать, поэтому:

Элемент управления	Где он находится	Что он удаляет	Что он сохраняет	Что может это отменить
Удаление отдельной записи	Там, где вы её сделали	Эту запись, только на этом устройстве	Серверную копию, которая может её вернуть	Переустановка, новый телефон или выход из аккаунта и повторный вход
Удалить данные с сервера	Панель «Облачная синхронизация», которая открывается кнопкой с облаком на экране «Сводка» или «История», а не в Настройках	Серверную копию ваших записей, каталогов лекарств и расписаний	Ваш аккаунт, ваш профиль, ваши настройки терапии и всё на вашем телефоне	Повторное включение синхронизации снова загружает данные с вашего телефона
Удалить аккаунт	Настройки → Аккаунт или письмо на [email protected], если вы не можете пользоваться Приложением	Ваш аккаунт и связанные с ним рабочие данные на наших серверах; удаление в Приложении также очищает это устройство	Существующие резервные копии, некоторые записи поставщиков и любые данные на устройствах, до которых не дошла очистка из Приложения	Ничто не восстанавливает удалённый аккаунт

Удалить данные с сервера требует действующего входа в аккаунт и предварительно выключенного переключателя Синхронизация; почему, объясняют три примечания в конце этого раздела.

Удаление аккаунта в Приложении немедленно убирает его из нашей рабочей базы данных. Подтверждённый запрос по электронной почте использует тот же серверный путь удаления. Вот что происходит в каждом месте.

Наша рабочая база данных: удаление аккаунта выполняет жёсткое удаление записи вашего пользователя, когда вы подтверждаете его в Приложении или сотрудник Оператора завершает подтверждённый запрос по электронной почте. Всё, что к ней прикреплено, удаляется вместе с ней каскадом базы данных: ваш профиль, ваши настройки терапии, каждая синхронизированная запись о глюкозе, еде, весе, инсулине, таблетках и инъекционных препаратах, ваши каталоги лекарств и расписания, ваши сеансы и ваши ожидающие коды подтверждения и сброса. Флага мягкого удаления нет, и восстановления нет.
Записи об уведомлениях о подписке: каждая строка содержит идентификатор вашего аккаунта glumea и полное сообщение, которое прислал RevenueCat. Она не связана со строкой вашего аккаунта, поэтому автоматический каскад до неё не доходит, но служба удаления убирает её отдельно в той же транзакции. Без удаления аккаунта запланированная задача удаляет каждую строку через 90 дней.
RevenueCat: удаление аккаунта ставит в очередь запрос на удаление записи подписчика под идентификатором вашего аккаунта. Мы пробуем отправить запрос сразу и повторяем, если поставщик недоступен. История платежей в магазине остаётся вне нашего контроля.
PostHog: удаление аккаунта ставит в очередь запрос на удаление связанного с аккаунтом профиля аналитики, его событий и записей. Мы пробуем сразу и повторяем, если поставщик недоступен. PostHog может завершить принятое массовое удаление асинхронно. События до входа используют отдельный псевдонимный идентификатор устройства.
Резервные копии серверов: копия удалённого сохраняется в автоматических резервных копиях базы данных нашего хостинг-провайдера, пока те не будут перезаписаны: 7 дней, и ни в каком случае не дольше шести месяцев после аутентификации, где применяется этот законодательный предел. Отдельные записи внутри резервной копии не редактируются. Поэтому восстановление после аварии может временно вернуть строки, удалённые из рабочей базы данных.
Журналы серверов: удаление аккаунта не стирает задним числом журналы серверных запросов, которые хранятся 30 дней.
Sentry: Приложение не прикрепляет к диагностическому отчёту ни идентификатор аккаунта, ни адрес электронной почты, ни запись пользователя. Поэтому поддерживаемого способа найти или удалить отчёты отдельного пользователя нет. Отчёты, формируемые обработчиком сбоев операционной системы, не проходят через фильтр Приложения, и мы не знаем всех полей, которые добавляет платформенный SDK. Отчёты истекают по сроку хранения Sentry: 90 дней. Статья 11(2) GDPR касается данных, в отношении которых контролёр действительно не может идентифицировать субъекта данных.
Apple и Google: ваши записи о покупках и подписке принадлежат магазину, а не нам. Удаление вашего аккаунта glumea не отменяет подписку и ничего не удаляет в Apple или Google. Отмените её в настройках аккаунта в магазине; их записи регулируются их политиками и налоговым законодательством.
Ваше собственное устройство: удаление аккаунта внутри Приложения, выход из аккаунта или смена аккаунта стирает с этого устройства локальную базу данных, учётные данные сеанса и сохранённые настройки. Запрос по электронной почте не может удалённо стереть устройство. Сброс настройки телеметрии не гарантированно отключает SDK, уже инициализированный в работающем процессе. Флаг первой установки и ключ шифрования базы данных могут пережить очистку из Приложения, но ни один из них не содержит данных дневника. Резервная копия устройства в iCloud может содержать нечитаемую зашифрованную копию базы данных; резервное копирование Android для Приложения отключено.
Копии, которые вы сделали сами: архив .glumea, CSV, отчёт PDF, всё, чем вы поделились или что сохранили в другом месте: они ваши и находятся вне нашей досягаемости. Удаляйте их там, куда вы их положили.

Подведём итог по срокам: удаление из рабочей базы данных происходит, когда вы подтверждаете его в Приложении или когда сотрудник Оператора завершает подтверждённый запрос по электронной почте. Запросы на удаление в RevenueCat и PostHog отправляются немедленно и ставятся в очередь на повтор при сбое. Копия может сохраняться в резервных копиях хостинга, пока они не будут перезаписаны, в течение 7 дней.

Сам каскад базы данных не доходит до журналов серверных запросов, отчётов Sentry, записей об уведомлениях о подписке и записей поставщиков. Служба удаления отдельно убирает уведомления о подписке и запрашивает удаление записей в RevenueCat и PostHog. Журналы серверов и отчёты Sentry истекают по настроенным срокам хранения.

Удаление необратимо. Удалённые данные восстановить нельзя, поэтому, если ваши записи могут понадобиться позже, например вашей медицинской команде, сначала получите копию с помощью вариантов экспорта, описанных в разделе о ваших правах.

Вы также можете запросить удаление аккаунта по электронной почте без Приложения. Мы подтверждаем принадлежность аккаунта перед обработкой запроса.

Ещё три замечания о более узком элементе Удалить данные с сервера, который удаляет серверную копию ваших записей, каталогов лекарств и расписаний приёма лекарств, но сохраняет ваш аккаунт, профиль, настройки терапии и всё на вашем устройстве:

Требуется действующий вход в аккаунт. Если ваш сеанс истёк (это состояние описано в разделе 10, на панели тогда написано На паузе), ссылка скажет вам войти снова и ничего не сделает, пока вы не войдёте. Достаточно войти снова; за это время ничего не теряется.
Сначала должна быть выключена Облачная синхронизация. Если вы потом снова включите синхронизацию, записи, всё ещё находящиеся на вашем устройстве, будут поставлены в очередь и загружены снова: удаление на сервере отменяется вашим собственным устройством.
Оно не распространяется на ваши другие устройства. Они сохраняют свои локальные копии, и их об этом не уведомляют.

13. Ваши средства управления в Приложении

Вам не нужно писать нам, чтобы управлять своими данными. Приложение даёт вам эти встроенные средства управления:

Удалить аккаунт: в разделе «Настройки → Аккаунт», после ввода слова подтверждения. Выполняет описанное выше жёсткое удаление на сервере и стирает с этого устройства локальную базу данных Приложения, учётные данные сеанса и настройки. Вы также можете запросить удаление аккаунта на сервере по адресу [email protected], если не можете пользоваться Приложением. Что сохраняется, указано в разделе 12.
Удалить данные с сервера: ссылка удалить их в строке под переключателем Синхронизация на панели «Облачная синхронизация», которая открывается кнопкой с облаком вверху экрана «Сводка» или «История», а не из Настроек. Жёстко удаляет серверную копию ваших записей, каталогов лекарств и расписаний приёма лекарств, сохраняя ваш аккаунт и данные на вашем устройстве. Дальше этого она не идёт: ваш профиль и настройки терапии остаются на наших серверах, пока вы не удалите аккаунт. Ссылка показывается всегда, но работает, только когда переключатель выключен. Прочитайте три замечания чуть выше.
Облачная синхронизация: переключатель Синхронизация на той же панели, функция glumea+. Выключите её в любой момент, чтобы новые данные перестали попадать на наши серверы. Так вы заодно отзываете согласие на то, чтобы мы их хранили; для выключения никогда не нужна активная подписка. Уже синхронизированные данные остаются на наших серверах, пока вы не воспользуетесь Удалить данные с сервера или Удалить аккаунт. Ваш ответ на этот переключатель хранится в вашем аккаунте, поэтому он переживает выход из аккаунта и следует за вами на новый телефон.
Аналитика использования и Отчёты об ошибках: два независимых переключателя в разделе «Настройки → Данные и конфиденциальность → Конфиденциальность и диагностика». Оба выключены, пока вы их не включите. Выключение одного обновляет настройку, но данные в очереди всё же могут быть доставлены, а выход из аккаунта не гарантированно закрывает SDK, уже инициализированный в работающем процессе.
Apple Health / Health Connect: подключайте, отключайте или выключайте отдельные типы данных в разделе «Настройки → Интеграции». Вы также можете отозвать разрешение в самой платформе здоровья.
Подробности (Настройки → Уведомления): выключено, пока вы не включите. Пока вы этого не сделаете, уведомления показывают общий текст.
Выйти: стирает с устройства локальную базу данных Приложения, учётные данные вашего сеанса и ваши настройки, включая ваш выбор по аналитике и диагностике. Ничто из записанного вами и ни один сделанный вами выбор не сохраняется; в разделе об удалении названы два технических значения, которые остаются.
Экспорт: защищённый паролем архив .glumea с вашими записями, лекарствами, профилем, целями терапии и напоминаниями в разделе «Настройки → Данные и конфиденциальность → Импорт и экспорт данных». Отчёты о глюкозе в CSV и PDF устроены отдельно: они создаются на собственной панели экспорта экрана глюкозы; архив и CSV бесплатны, а отчёт PDF входит в glumea+.

[email protected] принимает запросы на удаление аккаунта без Приложения. Другие запросы о правах вне Приложения тоже можно отправлять туда, но маршрут удаления аккаунта не предоставляет отдельного автоматизированного инструмента экспорта или исправления.

14. Ваши права

По GDPR у вас есть право:

Доступа к своим персональным данным и получения их копии.
Исправления неточных или неполных данных. Вы можете редактировать записи и лекарства там, где вы их записали, свой профиль в разделе «Настройки → Аккаунт» и настройки терапии там, где вы их задали. Отдельного процесса исправления вне Приложения в настоящее время не реализовано.
Удаления ваших данных («право быть забытым»). Раздел об удалении выше точно говорит, до чего удаление доходит, а до чего нет.
Ограничения обработки в определённых ситуациях.
Переносимости данных: получения данных, которые вы предоставили, в структурированном, широко используемом, машиночитаемом формате там, где закон даёт это право. Экспорт глюкозы в CSV внутри Приложения машиночитаем и не зашифрован. Архив .glumea содержит записи, лекарства, профиль, цели терапии и напоминания, но зашифрован паролем, известным только вам, и может быть импортирован только в тот аккаунт glumea, который его создал. Никакого дополнительного индивидуального экспорта через [email protected] в настоящее время нет.
Возражения против обработки, основанной на наших законных интересах.
Отзыва согласия в любой момент. Отзыв не влияет на обработку, которая была законной до отзыва. Для синхронизированных данных дневника выключите Облачную синхронизацию и воспользуйтесь Удалить данные с сервера либо удалите аккаунт. Для аналитики и диагностики используйте два переключателя в разделе «Настройки → Данные и конфиденциальность → Конфиденциальность и диагностика». Элемента управления для удаления только профиля или только настроек терапии нет, и такого процесса через [email protected] в настоящее время нет. Удаление аккаунта остаётся единственным реализованным способом убрать эти поля из нашей рабочей базы данных.
Подачи жалобы в надзорный орган. Наш ведущий надзорный орган: Председатель Управления по защите персональных данных (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warsaw, Poland. Вы также можете пожаловаться в орган по защите данных в государстве-члене ЕС, где вы живёте, где вы работаете или где, по вашему мнению, произошло нарушение. Если вы находитесь в Великобритании, вы можете пожаловаться в Управление уполномоченного по информации (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF.

Используйте встроенные средства управления в Приложении, описанные в разделе 13, там, где они охватывают запрошенное действие. Для удаления аккаунта без Приложения напишите на [email protected]. Другие запросы о правах тоже можно отправлять туда; этот маршрут удаления аккаунта сам по себе не предоставляет отдельного инструмента доступа, экспорта или исправления.

Если контролёр не действует по запросу в рамках GDPR, статья 12 требует, чтобы он в течение одного месяца объяснил причину и указал доступные пути подачи жалобы и судебной защиты. Эти пути остаются доступными независимо от того, обращаетесь ли вы к контролёру снова.

Подтверждение личности. Удаление в Приложении опирается на ваш аутентифицированный сеанс. Для запроса по электронной почте мы подтверждаем, что вы контролируете адрес электронной почты, связанный с аккаунтом. Если у вас нет к нему доступа, мы рассматриваем, возможен ли другой способ подтвердить принадлежность аккаунта, прежде чем удалять его. Для обработки запроса мы не просим ваш пароль или записи о здоровье.

15. Как мы защищаем ваши данные

Пароли хешируются с помощью bcrypt, никогда не хранятся в открытом виде и никогда не хранятся на вашем устройстве.
Локальная база данных на вашем устройстве зашифрована ключом, который хранится в хранилище ключей платформы и не переносится на другое устройство.
Токены аутентификации хранятся в защищённом хранилище вашего устройства: iOS Keychain или хранилище Android на базе Keystore.
Приложение общается с нашими серверами по HTTPS, а обе платформы по умолчанию блокируют соединения в открытом виде; мы не добавляли исключений из этого ни на iOS, ни на Android.
Наша база данных работает внутри Google Cloud и доступна только через закрытый сокет Cloud SQL, а учётные данные хранятся в Google Secret Manager.
Мы не записываем в журналы нашего приложения значения, которые вы записываете: показания глюкозы, дозы инсулина. Строка журнала ошибки фиксирует код состояния, путь, время и сообщение об ошибке, которое для отклонённого запроса называет поля, не прошедшие проверку. Тела запроса в ней нет.
Уведомления по умолчанию показывают общий текст, поэтому уведомление не выводит ваши данные о здоровье на экран блокировки.
Доступ к рабочей базе данных ограничен людьми, которые обслуживают службу, а значит, мы можем её читать. От всех остальных её защищают контроль доступа и шифрование при передаче и при хранении.

Ни одна система не защищена идеально. Перечисленные меры мы принимаем, чтобы ограничить, насколько открыты чувствительные части ваших данных.

Инцидент с персональными данными может повлечь уведомление надзорных органов или затронутых лиц по статьям 33 и 34 GDPR, Правилу FTC об уведомлении о нарушениях в сфере здоровья (FTC Health Breach Notification Rule) или другому применимому закону. У каждого режима своя область применения и свой срок, и эти законные обязанности действуют независимо от этой политики.

16. Дети

glumea не предназначена для детей. Вам должно быть не менее 16 лет, чтобы пользоваться Приложением. Это условие службы независимо от местонахождения. Мы не предлагаем порядка родительского разрешения. Процесс удаления аккаунта в Приложении и ограничения из раздела 12 распространяются на любой аккаунт, определённый как принадлежащий лицу младше 16 лет. Опасения по поводу аккаунта несовершеннолетнего можно направлять на [email protected].

17. Замечания для пользователей в США

Законы о конфиденциальности в США различаются по штатам, а применимость зависит от места проживания, установленных законом пороговых значений и вида данных. Встроенные средства управления, описанные в разделе 13, доступны независимо от этих пороговых значений. Применимые права, установленные законом, остаются в силе, даже когда в нынешнем продукте нет отдельного процесса запросов.

HIPAA: glumea является продуктом, предлагаемым напрямую потребителю. Мы не оказываем медицинскую помощь, не обрабатываем страховые требования и не имеем договора с планом медицинского страхования или поставщиком медицинских услуг на обработку данных от их имени, поэтому мы не выступаем ни в одной из ролей, которые регулирует HIPAA («охваченное лицо», covered entity, или «деловой партнёр», business associate), и не заявляем о соответствии HIPAA. Записи о вас, которые хранит ваш собственный врач, защищены HIPAA в его руках; это отдельно от копии, которую вы храните в glumea. Для glumea мы следуем таким правилам США: правилу FTC об уведомлении о нарушениях в сфере здоровья и перечисленным ниже законам штатов о конфиденциальности в сфере здоровья.
Калифорния (CCPA/CPRA): применимость зависит от установленных законом пороговых значений для бизнеса. Описанные здесь данные могут включать чувствительную персональную информацию. Мы не продаём персональную информацию и не передаём её для кросс-контекстной поведенческой рекламы. Если CCPA применяется, его правила о доступе, исправлении, удалении, переносимости, отказе и недискриминации действуют независимо от этой политики. Встроенные средства управления и запрос на удаление аккаунта по электронной почте остаются доступными независимо от порога.
Вашингтон (My Health My Data Act): данные, которые вы записываете, являются «потребительскими данными о здоровье» (consumer health data). Вашингтон требует для них отдельной политики; см. Политику конфиденциальности потребительских данных о здоровье. Она описывает категории, источники, цели, получателей, права, установленные законом, и нынешние практические ограничения процесса запросов и апелляций.
Невада (закон о потребительских данных о здоровье, SB 370 2023 года): данные, которые вы записываете, являются «потребительскими данными о здоровье» и по закону Невады. У вас есть права подтвердить, собираем ли мы их, передаём или продаём, получить список третьих лиц, которым они передавались или были проданы, удалить их и отозвать своё согласие, которое Невада рассматривает как два отдельных согласия: на сбор и на передачу. Закон Невады применяет Генеральный прокурор. Наше Уведомление о конфиденциальности потребительских данных о здоровье для Невады излагает эти права, применимые к ним сроки, которые короче вашингтонских для удаления, и четыре раскрытия, которых требует Невада.
Запросы и апелляции. Применимый закон штата может требовать письменного объяснения, пути апелляции и сведений о подаче жалобы генеральному прокурору штата. Отдельного процесса апелляции по электронной почте на [email protected] в настоящее время не реализовано, поэтому нынешний порядок не предоставляет этого пути там, где он требуется. Требования Вашингтона описаны в Политике конфиденциальности потребительских данных о здоровье.
Другие применимые права по законам штатов эта политика не ограничивает.

18. Сайт glumea.com

Сайт статический: на нём размещены сведения о glumea и эти правовые документы. Он намеренно минимален:

Никаких cookie.
Никакой аналитики и никаких запросов к сторонним источникам. Всё, что нужно странице, включая шрифты и скрипты, отдаётся самим glumea.com, а политика безопасности содержимого сайта категорически блокирует любые другие источники. Саму страницу доставляет наш хостинг, который неизбежно видит запрос; последний пункт этого списка говорит, кто это и что он записывает в журналы. Сайт выполняет небольшой объём собственного JavaScript: два встроенных фрагмента, которые применяют вашу тему и направляют вас на нужный язык, а также несколько собранных файлов для навигационного меню, переключателей темы и языка и анимации, которая показывает блоки по мере прокрутки. Ничто из этого никуда ничего не отправляет.
Никакого отслеживания между сайтами, а значит, нечего отключать по сигналу Do Not Track или Global Privacy Control. Сайт не устанавливает рекламных или аналитических cookie, не делает запросов к третьим сторонам, и мы не продаём персональную информацию и не передаём её.
Локальное хранилище браузера (localStorage) используется только для функциональных настроек (выбор темы и языка). Эти значения остаются в вашем браузере и нам не передаются. Они устанавливаются только потому, что вы выбрали тему или язык, поэтому для них не нужен баннер согласия.
Сайт обслуживается Firebase Hosting (Google). Как большинство веб-хостингов, поставщик может записывать стандартные серверные журналы (IP-адрес, время запроса, тип браузера) для безопасности и работы службы. Для этого мы опираемся на законные интересы (статья 6(1)(f) GDPR), а именно поддержание доступности сайта и его защиту от злоупотреблений, а журналы хранятся только столько, сколько нужно для этих целей.

19. Изменения этой политики

Текущая версия публикуется здесь с датой вступления в силу. То, требует ли изменение предварительного уведомления, нового согласия или другого действия, определяет применимое право. Публикация обновлённой политики сама по себе не разрешает новую цель, для которой требуется согласие или другое правовое основание.

20. Язык

Эта политика опубликована на английском языке. Юридическую силу имеет английская версия. Переводы на другие языки публикуются для того, чтобы вы могли прочитать политику на своём языке. Если перевод и английский текст расходятся, действует английский текст.

Исключение составляет сам закон. Если страна, в которой вы живёте, придаёт языку, на котором к вам обратились, собственное значение, как это делает законодательство о защите прав потребителей нескольких стран, применяется это правило, а не данное, и ничто здесь не лишает вас права, которое оно вам даёт.

Перевод публикуется, когда он готов, поэтому после обновления он может отставать от английского текста. Если вы найдёте место, где перевод и английский текст говорят разное, сообщите нам на [email protected].

21. Свяжитесь с нами

Вопросы, замечания или запросы, касающиеся ваших данных:

Электронная почта: [email protected]
Почта: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Польша

Связанные документы: Условия обслуживания, Медицинское предупреждение, а для жителей Вашингтона также наша Политика конфиденциальности потребительских данных о здоровье, или, для жителей Невады, наше Уведомление о конфиденциальности потребительских данных о здоровье для Невады.