Политика конфиденциальности

1. Кто мы и что охватывает эта политика

Paweł Milewski Software Development (Оператор, «мы», «нас», «наш») предоставляет glumea (Приложение), мобильное приложение для самоконтроля диабета, и glumea.com (Сайт). Эта политика объясняет, какие данные мы собираем, зачем, где они хранятся, у кого есть к ним доступ, как долго они хранятся, что убирает удаление и какие у вас есть права и средства управления.

Это ещё и уведомление, которое мы обязаны вам дать по европейскому законодательству о защите данных: сведения, которых требуют статьи 13 и 14 Общего регламента по защите данных (Регламент (ЕС) 2016/679) — дальше мы называем его GDPR, — и о данных, которые вы даёте нам сами, и о данных, которые попадают к нам из другого источника.

Эта политика охватывает:

• Приложение: мобильное приложение glumea для iOS и Android.
• Сайт: сайт glumea.com, включая страницы, на которых размещены эти правовые документы.

Сайт почти ничего не собирает, и ниже для него есть отдельный раздел.

Оператор — контролёр данных, отвечающий за ваши персональные данные:

• Контролёр: Paweł Milewski Software Development
• Регистрационный номер компании: NIP PL6751782526 — индивидуальный предприниматель, внесённый в польский реестр CEIDG
• Почтовый адрес: ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Польша
• Электронная почта: [email protected]
• Страна учреждения: Польша

Если применимо:

• Представитель в ЕС: не требуется — мы учреждены в Европейском союзе
• Представитель в Великобритании: не назначен
• Сотрудник по защите данных: не назначен; вопросы о защите данных — на [email protected]

«Контролёр данных» — это сторона, которая решает, как и зачем обрабатываются ваши персональные данные, в значении GDPR.

Вместе с этой политикой действуют ещё два документа, и читать их стоит вместе с ней:

• наши Условия обслуживания, которые регулируют использование Приложения и Сайта, и
• наше Медицинское предупреждение, где изложены медицинские пределы того, что делает Приложение.

Если вы живёте в штате Вашингтон, к вам относится ещё и четвёртый документ: наша Политика конфиденциальности потребительских данных о здоровье, которую закон штата Вашингтон требует публиковать отдельно. Если вы в Неваде, ей соответствует наше Уведомление о конфиденциальности потребительских данных о здоровье для Невады.

2. Краткое изложение

Короткая версия того, что следует ниже. Каждый пункт называет раздел, в котором это изложено полностью, и действует именно тот раздел.

• Кто мы. Paweł Milewski Software Development решает, как и зачем обрабатываются ваши данные. Разделы 1 и 21.
• Что мы собираем. Ваш адрес электронной почты и пароль; профиль, который вы вводите при первичной настройке; дневник, который вы ведёте, — глюкоза, еда, инсулин, другие лекарства, вес, препараты и напоминания; токены входа и записи о соединениях с сервером. Записи из Apple Health или Health Connect, если вы их подключите, и сведения о подписке, если вы её оформите. Раздел 3.
• Данные о здоровье. Большая часть перечисленного — это данные о здоровье, особая категория по статье 9 GDPR: дневник, а также ваш тип диабета, метод лечения и настройки терапии. На наших серверах мы храним их только на основании вашего явно выраженного согласия. Разделы 3.3 и 4.
• Где они находятся. Часть ваших данных находится на наших серверах с момента создания аккаунта — данные аккаунта, профиль, включая тип диабета и лечение, и настройки терапии. Ваш дневник — нет: он сначала записывается в зашифрованную базу данных на вашем телефоне, Приложение работает офлайн, и на наши серверы дневник попадает, только если вы включите Облачную синхронизацию — функцию glumea+, выключенную, пока вы её не включите, и хранящуюся в вашем аккаунте, а не на телефоне. Полная таблица — в разделе 10.
• Кто их получает. Наш хостинг-провайдер в ЕС и провайдер доставки писем; провайдер аналитики и провайдер диагностики — только если вы согласитесь; RevenueCat и магазин приложений — только если вы оформите подписку. Мы не продаём ваши данные, и в Приложении нет рекламы. Разделы 7, 8 и 9.
• Ваш выбор. Аналитика и отчёты об ошибках не собирают ничего, пока вы не согласитесь, и любое из этих согласий можно отозвать в любой момент. В Приложении вы можете выключить синхронизацию, удалить серверную копию дневника, удалить аккаунт и экспортировать свои данные. Раздел 13.
• Ваши права. Доступ, исправление, удаление, ограничение, переносимость, возражение, отзыв согласия и жалоба в орган по защите данных; в США — права, которые даёт закон вашего штата. Напишите на [email protected] или воспользуйтесь Приложением; сначала мы проверяем, кто спрашивает. Разделы 14 и 17.
• Чего удаление не достаёт. Удаление аккаунта в нашей базе данных происходит немедленно и безвозвратно, но оно не доходит до записей об уведомлениях о подписке, до записи о подписчике в RevenueCat и до вашего профиля аналитики, а копия остаётся в резервных копиях, пока те не обновятся по кругу. Раздел 12 говорит, что содержит каждая из них и как добиться стирания первых трёх.

3. Данные, которые мы собираем

Большую часть перечисленного здесь вы предоставляете нам сами. Две категории — нет: измерения, которые вы импортируете из Apple Health или Health Connect, и сведения о подписке, которые попадают к нам от Apple, Google и RevenueCat. Обе описаны ниже.

3.1 Данные аккаунта

• Адрес электронной почты и пароль. Пароль хешируется на наших серверах с помощью bcrypt, никогда не хранится в открытом виде и никогда не сохраняется на вашем устройстве. Ваш адрес электронной почты также содержится внутри токена входа, который использует Приложение.
• Одноразовые коды для подтверждения адреса почты, сброса пароля, смены пароля и смены адреса почты. Код перестаёт действовать через 10 минут после выдачи, а пять неверных попыток делают его недействительным.

3.2 Данные профиля

Собираются при первичной настройке:

• Имя и фамилия (хранятся как никнейм), возраст, пол (необязательно) и рост.
• Тип диабета (Тип 1, Тип 2, гестационный или другой), методы лечения (инсулин, таблетки, инъекции, лечебная диета) и способ введения инсулина.

Ваш тип диабета, ваши методы лечения и ваш способ введения инсулина — это данные о здоровье, «особая категория» персональных данных по статье 9 GDPR, — хотя эта политика относит их к «профилю». Раздел о правовых основаниях ниже называет условие, на которое мы для них опираемся.

3.3 Данные о здоровье, которые вы записываете (данные особой категории)

Перечисленное ниже — это данные о здоровье, «особая категория» персональных данных по статье 9 GDPR. На наших серверах мы храним их только на основании вашего явно выраженного согласия. Раздел о правовых основаниях ниже объясняет, как даётся это согласие и что из перечисленного попадает на наши серверы только при включённой облачной синхронизации:

• Измерения глюкозы крови с необязательными контекстными тегами (время относительно еды, физиология, активность, лекарства и технологии, а также теги, которые вы пишете сами) и заметками в свободной форме.
• Записи о еде: углеводы, а также необязательные белки, жиры, калории и название, которое вы вводите.
• Дозы инсулина: количество единиц, связанное с настроенным вами инсулиновым препаратом — болюсным, базальным или смешанным.
• Дозы инъекционных препаратов (например, агонистов GLP-1).
• Количество принятых таблеток.
• Записи о массе тела, каждая со временем, когда вы её записали.
• Ваши каталоги лекарств: инсулиновые, таблетированные и инъекционные препараты, которые вы настраиваете, включая названия препаратов (например, Fiasp, Lantus, Metformin, Ozempic) и фармакокинетические параметры (начало действия, пик, длительность), а также время напоминаний, которое вы для них задаёте.
• Настройки лечения, которые вы задаёте: ваш целевой диапазон глюкозы (по умолчанию 3,9–10,0 ммоль/л), углеводный коэффициент (ICR) и фактор чувствительности к инсулину (ISF). Приложение никогда не использует их для расчёта или рекомендации дозы. Ваш углеводный коэффициент хранится для вашего сведения, и больше его ничто не читает. Ваш целевой диапазон хранится и, кроме того, задаёт полосу «в диапазоне» для Времени в диапазоне, определяет внутренние границы метки Хороший / Удовлетворительный / Критический и решает, когда меняется формулировка о риске гипогликемии. Ваш фактор чувствительности к инсулину используется, чтобы определить формулировку о риске гипогликемии и примерный диапазон снижения, который показывается рядом с активным инсулином. Всё это описано в Медицинском предупреждении.
• Значения, которые Приложение выводит на вашем устройстве из того, что вы записали: расчётный активный инсулин (оценка только для информирования: она не рекомендует и не рассчитывает дозу), формулировка о риске гипогликемии и показываемый рядом с ней примерный диапазон снижения, динамика, средняя глюкоза и её разброс, Время в диапазоне, расчётный A1C (GMI), рекомендуемое время следующего измерения и метка Хороший / Удовлетворительный / Критический на вашем последнем измерении. Медицинское предупреждение объясняет, чем каждое из них является и чем не является.

Некоторые из этих полей — свободный текст: заметки к измерениям, теги, которые вы пишете сами, названия еды, названия своих препаратов, название своего слота напоминания. Всё, что вы туда впишете, сохраняется — и синхронизируется, если синхронизация включена, — ровно в том виде, в каком вы это напечатали.

3.4 Данные, которые мы получаем из других источников

• Apple Health и Health Connect. Если вы их подключите, Приложение читает записи о глюкозе крови, массе тела и пищевых углеводах из платформы здоровья на вашем телефоне. Это доступ только на чтение: Приложение никогда ничего не записывает обратно. На iOS оно запрашивает у системы только доступ на чтение и не объявляет причины для записи, которая для записи потребовалась бы; на Android у него есть только разрешения на чтение для этих трёх типов записей. Поэтому записи, которые изначально пришли с глюкометра, с CGM или из другого приложения, попадают в glumea через платформу здоровья. Импортированные записи хранятся на вашем устройстве как обычные записи, с пометкой о платформе, откуда они пришли, и идентификатором исходной записи. Попадёт ли импортированная запись ещё и на наши серверы, зависит от того, включена ли Облачная синхронизация, — ровно так же, как и для записи, которую вы внесли сами. Подключение выключено, пока вы его не включите, и вы можете отключить его или выключить отдельные типы данных в любой момент в разделе «Настройки → Интеграции».
• Apple, Google и RevenueCat. Если вы оформите подписку glumea+, сведения о ней приходят к нам из магазина приложений и от RevenueCat. Что именно — в разделе о glumea+ ниже.

3.5 Технические данные

• Токены аутентификации, которые хранятся в защищённом хранилище вашего устройства, чтобы вы оставались в аккаунте. Ваша сессия на наших серверах — это запись, в которой хранятся идентификатор сессии, ваш идентификатор пользователя и срок её действия.
• Когда облачная синхронизация включена, наши серверы обрабатывают синхронизируемые вами данные вместе со служебной информацией, нужной для работы сервиса синхронизации, например с отметками времени синхронизации.
• Когда Приложение обращается к нашим серверам, серверы получают стандартные сведения о соединении: ваш IP-адрес, запрошенный путь и время. Они используются для безопасности и для работы сервиса.
• Если вы согласитесь на аналитику или на диагностику, каждая из них отправляет свой отдельный набор данных, изложенный ниже в своём разделе.

3.6 Данные, которые остаются на вашем устройстве, — и то, что не остаётся

Кое-что вообще не попадает на наши серверы: настройки уведомлений, время напоминаний об измерении глюкозы, ваши «Тихие часы», режим болезни, показываются ли детали напоминания на экране блокировки, какое уведомление привязано к какой записи, состояние подключения к Apple Health или Health Connect, настройки приложения (тема, язык, единицы измерения, формат времени), ваш выбор по аналитике и диагностике, а также служебные пометки, которые движок синхронизации ведёт по каждой строке. Одна оговорка про настройки приложения: если вы включите аналитику, ваш язык, ваша тема и три ваши настройки единиц измерения отправляются в PostHog как атрибуты профиля, как изложено в разделе 5.1. Больше ничто из этого списка устройство не покидает.

Исключение — расписания приёма лекарств: они относятся к дневнику, поэтому копируются на наши серверы, когда включена Облачная синхронизация, — напоминание о препарате должно пережить смену телефона.

Сам переключатель облачной синхронизации тоже относится не только к устройству. Ваш ответ на него хранится в вашем аккаунте на наших серверах, чтобы он последовал за вами на новый телефон и пережил выход из аккаунта; раздел 10 объясняет, что это значит на практике.

Файлы, которые вы создаёте сами, — резервный архив .glumea либо отчёт о глюкозе в CSV или PDF — записываются на вашем устройстве и передаются тому приложению, которое вы выберете, чтобы поделиться ими или сохранить их. Куда они попадут дальше, мы не контролируем, а отчёт в CSV или PDF не зашифрован.

4. Зачем мы обрабатываем ваши данные и наши правовые основания

По GDPR для каждого использования ваших данных нужно правовое основание, а для данных о здоровье — ещё и второе, сверху. Наши такие:

• Предоставление аккаунта и Приложения — создание и защита аккаунта, аутентификация, подтверждение адреса почты, сброс пароля, работа облачной синхронизации, предоставление glumea+ при оформлении подписки и хранение записей об уведомлениях о подписке, которые присылают магазин приложений и RevenueCat, чтобы мы могли понять, активен ли glumea+, и разобраться с проблемой оплаты: исполнение договора, статья 6(1)(b) GDPR.
• Хранение ваших данных о здоровье на наших серверах: статья 6(1)(b) — для договора, плюс ваше явно выраженное согласие по статье 9(2)(a) GDPR — для самих данных о здоровье. Это второе условие охватывает все данные о здоровье, которые у нас есть, а не только записи, которые вы вносите. Ваш тип диабета, ваши методы лечения и ваш способ введения инсулина — это данные о здоровье, хотя эта политика относит их к «профилю», и точно так же данными о здоровье являются ваш целевой диапазон, ваш углеводный коэффициент, ваш фактор чувствительности к инсулину и настроенные вами препараты, хотя Приложение называет их настройками. Здесь два разных момента. Ваш профиль и ваши настройки терапии хранятся в вашем аккаунте с того момента, как вы вводите их при первичной настройке. Ваш дневник — ваши записи, ваши каталоги лекарств и ваши расписания приёма лекарств — копируется на наши серверы, только если вы включите Облачную синхронизацию. Для этого переключателя нужна активная подписка glumea+, и при каждом включении вас отдельно просят подтвердить согласие; раздел 10 описывает этот шаг, что именно выгружает переключатель и что происходит с согласием, если подписка заканчивается. Отозвать согласие в отношении дневника можно в любой момент: выключите Облачную синхронизацию и воспользуйтесь действием удалить свои данные, — ни для того, ни для другого действующая подписка не нужна. Для профиля и настроек терапии способ отозвать согласие — удалить аккаунт: именно это убирает их с наших серверов.
• Продуктовая аналитика: ваше согласие, статья 6(1)(a) GDPR, и — поскольку события аналитики показывают, что вы записываете глюкозу, инсулин или лекарства, а значит, говорят кое-что о вашем здоровье, — также ваше явно выраженное согласие по статье 9(2)(a). Хранение и чтение идентификатора аналитики на вашем устройстве тоже опирается на ваше согласие — по статье 5(3) Директивы ePrivacy.
• Диагностика и отчёты о сбоях: ваше согласие, статья 6(1)(a) GDPR, и — поскольку отчёт сообщает нам, что на устройстве, с которого он пришёл, работает приложение для диабета, а это само по себе говорит кое-что о вашем здоровье, — также ваше явно выраженное согласие по статье 9(2)(a). Хранение и чтение данных SDK диагностики на вашем устройстве тоже опирается на ваше согласие — по статье 5(3) Директивы ePrivacy.
• Безопасность сервиса и предотвращение злоупотреблений — ограничение частоты запросов к нашему API и разбор подозрений на злоупотребление: наши законные интересы, статья 6(1)(f) GDPR. Конкретный интерес — защитить ваш аккаунт и аккаунты других людей от несанкционированного доступа и сохранить доступность сервиса. Мы опираемся на это основание только там, где наши интересы не перевешиваются вашими правами.
• Выполнение правовой обязанности — если право Польши требует от нас хранить или раскрывать определённые записи, мы делаем это на основании статьи 6(1)(c) GDPR. К данным о здоровье, которые вы записываете, мы это основание не применяем. Оплату принимаем не мы, и ваши платёжные данные к нам никогда не попадают, поэтому платёжные и расчётные документы по вашей покупке хранит магазин приложений, а не мы.

Мы не принимаем в отношении вас решений, которые порождают правовые последствия или столь же значимо на вас влияют, исключительно на основе автоматизированной обработки, и не строим профиль для таких решений. Автоматизированного принятия решений в значении статьи 22 GDPR в glumea нет. Оценки, которые показывает Приложение, — активный инсулин, динамика, Время в диапазоне — это арифметика, которая выполняется на вашем устройстве по введённым вами данным и показывается только для информирования. Они не рекомендуют и не рассчитывают дозу инсулина или лекарства и не являются медицинским советом.

Обязаны ли вы предоставлять данные? Закон ни к чему вас здесь не обязывает. Чтобы создать аккаунт, нужно указать адрес электронной почты и пароль: это требование договора, и без них мы не сможем дать вам ни аккаунт, ни облачную синхронизацию, ни подписку. При первичной настройке Приложение спрашивает перечисленные выше данные профиля, чтобы настроиться под вас; эти данные и настройки терапии, которые вы задаёте, хранятся в вашем аккаунте на наших серверах. Всё остальное — ваш выбор: что записывать, решаете вы; подключение Apple Health или Health Connect необязательно; копирование дневника на наши серверы необязательно — этим и управляет Облачная синхронизация; аналитика и диагностика необязательны, и отказ от них ничего у вас не отнимает.

5. Аналитика и диагностика

В Приложении для этих целей есть два сторонних SDK: один для продуктовой аналитики и один для отчётов о сбоях и ошибках. Этот раздел объясняет, что представляет собой каждый из них и что он получает.

Ни один из них ничего не собирает, пока вы не согласитесь. Это два отдельных решения, принимаемых независимо, — отказ от одного не решает за другое, — и отказ от любого из них или от обоих ничуть не уменьшает того, что Приложение для вас делает. Изменить любой из этих выборов можно в любой момент в разделе «Настройки → Данные и конфиденциальность → Конфиденциальность и диагностика». Выключение прекращает сбор немедленно; единственная оговорка, которая касается событий, уже собранных за время действия вашего согласия, — в конце раздела 5.1.

Оба изначально выключены. Пока вы не включите один из них в настройках, соответствующий SDK вообще не запускается, поэтому свежая установка не отправляет ничего. Оба выбора хранятся на вашем устройстве, а не в вашем аккаунте, и выход из аккаунта стирает их вместе со всем остальным, — поэтому аккаунт, который на этом телефоне ни разу не соглашался, начинает с выключенного состояния, что бы ни выбрал предыдущий аккаунт. Для вас это означает вот что: если вы выйдете из аккаунта и войдёте снова, переключатель придётся включить заново, если вы хотите, чтобы он был включён.

5.1 Продуктовая аналитика — PostHog

Мы используем PostHog (EU Cloud, eu.i.posthog.com), чтобы понимать, как используется Приложение, и улучшать его.

Что получает PostHog, если вы согласитесь:

• Идентификатор вашего аккаунта glumea — внутренний UUID вашего аккаунта. Не ваш адрес почты и не ваше имя. После входа в аккаунт события привязываются к этому идентификатору, поэтому такие события не анонимны. События, которые могут произойти до входа или после выхода — первый запуск, запуски приложения, регистрация и подтверждение кода из письма, — несут вместо этого псевдонимный идентификатор устройства, и этот идентификатор генерируется заново, когда Приложение сбрасывает SDK.
• Фиксированный список названий событий, около 28 штук, охватывающий такие вещи, как открытие приложения, регистрация, завершение первичной настройки, сохранение записи, импорт из Apple Health, выдача разрешения на уведомления или отказ в нём, создание экспорта, открытие экрана подписки и итог покупки или восстановления покупок.
• Небольшое число свойств, каждое из которых берётся из закрытого списка или является ограниченным счётчиком: какого рода запись была сохранена (глюкоза, еда, инсулин, таблетки, инъекция, вес), сколько строк дал импорт, была ли запись сделана в моменте или задним числом, был ли экспорт в CSV или в PDF, какой шаг первичной настройки был завершён и тому подобное. Ни одно свойство во всей системе не принимает свободный текст.
• Экран, на котором вы находитесь, в виде шаблона маршрута вроде /settings/privacy. Цифры не пропускаются, поэтому идентификатор записи не может проехать внутри такого шаблона.
• Несколько атрибутов профиля: ваш язык, ваша тема, ваши единицы измерения глюкозы, веса и углеводов и есть ли у вас glumea+.
• То, что SDK PostHog добавляет сам, вне нашего контроля: модель устройства, операционная система и её версия, версия приложения, версия SDK, часовой пояс, локаль, тип сети и идентификатор сессии. PostHog также получает IP-адрес, с которого приходит ваш запрос, — как и любой веб-сервис.

Чего PostHog получить не может: значение глюкозы, дозу инсулина, название препарата, заметку, название еды, адрес электронной почты или любой другой свободный текст. Фильтр, который это обеспечивает, устроен по принципу «запрещено всё, что не разрешено»: событие, которого нет в списке, отбрасывается целиком, необъявленное свойство вырезается, а объявленное свойство, значение которого не соответствует ожидаемой форме, вырезается тоже. Свойства типа «любая строка» в системе нет. Нет ни записи сессий, ни записи экрана, ни опросов, ни автоматического захвата нажатий, ни push-токена.

Тем не менее события несут в себе вывод, а в одном случае — больше, чем вывод. Событие о том, что вы сохранили запись об инсулине, говорит, что вы принимаете инсулин, даже если сама доза никогда не отправляется. А поскольку одно из событий фиксирует, что вы нажали на напоминание, и какого оно рода, событие, называющее напоминание о повторном измерении при низкой или высокой глюкозе, говорит, что незадолго до него вы записали измерение за клиническим порогом, — не значение, но эпизод, с его временем. Мы относимся к этому как к данным о здоровье, поэтому аналитика и закрыта вашим явно выраженным согласием.

SDK аналитики хранит на вашем устройстве собственный идентификатор и очередь событий, ожидающих отправки. Из того, как устроен SDK, следуют два ограничения. Отзыв согласия записывает ещё одно, своё последнее событие — о том, что вы отказались. А это событие вместе со всем, что уже было собрано за время действия вашего согласия, доставляется потом по собственному расписанию SDK, а не в момент отзыва. Ничего нового после этого не собирается.

5.2 Диагностика и отчёты о сбоях — Sentry

Мы используем Sentry (регион ЕС), чтобы узнавать о сбоях и ошибках в Приложении и исправлять их.

Каждая содержательная часть отчёта, который собирает Приложение, пересобирается с нуля перед отправкой — по списку полей, которые разрешены, а не по списку полей, которые надо убрать. Ещё около десятка оставшихся полей верхнего уровня очищаются поимённо, поэтому поле, которое добавит будущая версия SDK, этой очисткой затронуто не будет, пока мы его туда не добавим. После такой пересборки остаётся:

• Тип исключения и вычисленная метка вместо исходного текста ошибки.
• Стек вызовов, где имена файлов сокращены до базового имени, а в релизных сборках имена символов обфусцированы — читаемыми они становятся только на стороне Sentry, по карте соответствия, которую мы загружаем при сборке.
• Семейство устройства, модель, архитектура, является ли оно симулятором, и ориентация экрана.
• Название, версия и сборка операционной системы; название, версия и сборка приложения; версия среды выполнения Dart.
• Идентификаторы отладочных образов, нужные для того, чтобы нативные сбои были читаемы.
• Форма цепочки breadcrumbs — категория, тип, уровень и время недавних событий, — но никогда их содержимое.
• Две метки: в какой области Приложения произошёл сбой и случилось ли это на переднем плане или в фоновом движке уведомлений.
• Релиз, номер сборки, окружение и случайно сгенерированный идентификатор события.

Что убирается полностью: текст ошибки, любые данные запроса, любой объект пользователя, имя сервера, имя транзакции, списки потоков, списки модулей, значения локальных переменных, контекст исходного кода, абсолютные пути, уникальный идентификатор и имя устройства, хеш установки приложения, сообщения и данные breadcrumbs, снимки экрана, иерархии представлений и любые вложения. Снимки экрана, захват иерархии представлений, запись сессий, трассировка производительности, логирование и тела запросов — всё это выключено. Приложение не прикрепляет к событию Sentry никакого идентификатора пользователя — ни идентификатора аккаунта, ни адреса почты, ни идентификатора устройства.

Два ограничения к сказанному выше:

• Нативные сбои, события «приложение не отвечает» и завершения по сторожевому таймеру iOS могут попасть в Sentry, минуя эту пересборку, потому что их порождает обработчик сбоев операционной системы, а не собственный код Приложения. То же касается периодического сигнала «сессия приложения началась/закончилась», по которому Sentry оценивает состояние релиза. Мы не можем осмотреть их на устройстве и не знаем каждого поля, которое платформенный SDK туда кладёт. Мы не задаём никакого идентификатора, который связал бы такой отчёт с вами.
• Sentry получает IP-адрес, с которого отправлен отчёт.

Если вы откажетесь от диагностики, SDK вообще не запускается — не «запускается, а потом молчит», — поэтому и нативный обработчик сбоев не устанавливается. Если вы выключите её позже, SDK закрывается; репортер фонового движка уведомлений закрывается и не открывается снова, пока вы не включите Отчёты об ошибках обратно и Приложение не будет перезапущено.

6. glumea+ и данные о подписке

glumea+ — это подписка, которая продаётся только как встроенная покупка через Apple App Store и Google Play. Другого способа её купить нет: ни оплаты на сайте, ни формы для карты нигде в Приложении.

• Платёжные данные к нам не попадают. Оплату принимает Apple или Google. Мы никогда не видим ни номера вашей карты, ни банковских реквизитов, ни платёжного адреса. Отмена и возвраты проходят через ваш аккаунт в магазине приложений — где именно, объясняют Условия обслуживания.
• RevenueCat — сервис, по которому мы узнаём, активна ли ваша подписка. О вас Приложение сообщает RevenueCat одну вещь: идентификатор вашего аккаунта glumea, который служит идентификатором пользователя подписки. Наши серверы, кроме того, спрашивают у RevenueCat, есть ли у этого идентификатора активная подписка, — в том числе когда вы её никогда не оформляли, потому что именно так мы узнаём, что её нет. Мы не задаём ни адреса почты, ни отображаемого имени, ни номера телефона, ни push-токена и не просим собирать рекламные идентификаторы устройства. Собственный SDK RevenueCat дополнительно собирает некоторые сведения об устройстве и сети для работы сервиса RevenueCat — они описаны в его собственном уведомлении о конфиденциальности. Этот сбор настраиваем не мы, и то, что он даёт, мы не получаем.
• Локально Приложение хранит одно значение «да/нет»: активен ли glumea+. Ни цену, ни идентификатор продукта, ни дату окончания, ни идентификатор транзакции Приложение на вашем устройстве не хранит. При выходе из аккаунта это значение сбрасывается в «нет», поэтому следующий аккаунт на этом устройстве начинает без подписки, и её приходится отдельно сверять с магазином приложений.
• Что хранят наши серверы. Когда с подпиской что-то меняется — покупка, продление, отмена, проблема с оплатой, — RevenueCat присылает нашему бэкенду уведомление. Каждое такое уведомление мы записываем в том виде, в каком оно пришло: идентификатор и тип события, окружение, идентификатор вашего аккаунта glumea и полное сообщение, которое прислал RevenueCat, сохранённое ровно так, как оно пришло, а не по полям. В этом сообщении обычно есть идентификатор продукта, цена, валюта, магазин, страна, а также даты покупки и окончания. Поскольку мы храним его целиком, в нём могут оказаться и любые атрибуты подписчика, которые RevenueCat о вас хранит, в том числе адрес электронной почты, — хотя наше Приложение своих атрибутов не задаёт. Мы никогда не переписываем это сообщение; повторная доставка того же события обновляет только наш счётчик того, сколько раз оно приходило.
• Если вы согласились на аналитику, описанные выше события воронки (открыт экран подписки, покупка начата, завершена, отменена или не удалась, итог восстановления покупок) уходят в PostHog вместе с атрибутом профиля о том, есть ли у вас glumea+. Ни цена, ни идентификатор продукта, ни идентификатор магазина в аналитику не отправляются.

Отсюда следуют два вывода. В журнале webhook-уведомлений есть идентификатор вашего аккаунта glumea, но у этого журнала нет связи в базе данных со строкой вашего аккаунта, поэтому удаление аккаунта его с собой не забирает: эти записи остаются у нас, и идентификатор вашего аккаунта остаётся на них. RevenueCat хранит собственную запись о подписчике под тем же идентификатором, и удаление вашего аккаунта glumea её тоже не убирает. Само по себе ни то, ни другое не исчезнет. Раздел об удалении объясняет, как попросить нас их убрать.

7. Чего мы не делаем

Ничего из перечисленного в glumea не происходит:

• Никакой рекламы, никакого вида. Ни рекламного SDK, ни SDK атрибуции, ни рекламного идентификатора. Приложение не может показать запрос iOS «Ask App not to Track», потому что в нём нет записи, которая это позволила бы, и оно не объявляет ни одной сети рекламной атрибуции.
• Никакой продажи ваших данных. Мы не продаём и не сдаём в аренду персональные данные и не продаём данные о здоровье. Мы не передаём их для межконтекстной поведенческой рекламы.
• Никакого использования ваших данных о здоровье для рекламы, маркетинга или построения вашего профиля для кого-то ещё.
• Никаких данных о местоположении. Никакого доступа к вашим контактам, камере, микрофону, фотографиям или календарю — Приложение не запрашивает ни одного из этих разрешений ни на одной из платформ.
• Никакого Firebase в Приложении: ни Firebase Analytics, ни Crashlytics, ни Firebase Cloud Messaging. (Firebase Hosting действительно обслуживает Сайт, включая эту страницу, — это другой сервис Google, и он назван ниже.)
• Никаких push-уведомлений и никакого push-токена устройства. Напоминания планирует и показывает само ваше устройство; канала «сервер — устройство» нет вообще.
• Никаких снимков экрана, записи экрана, записи сессий и захвата иерархии представлений — ни от одного из двух описанных выше SDK.
• Кроме PostHog и Sentry, в Приложении нет других SDK аналитики, телеметрии или отслеживания. Сетевое соединение открывают только собственное соединение Приложения с нашими серверами, PostHog, Sentry и RevenueCat.

8. Кто получает ваши данные

Мы передаём ваши данные поставщикам услуг из списка ниже — и только в том объёме, который нужен, чтобы glumea работала. Каждый из них выступает нашим обработчиком в отношении данных, которые мы ему отправляем: соглашение об обработке данных ограничивает их целями, заданными нами, и запрещает им использовать эти данные в своих целях или продавать их. Это относится и к RevenueCat, чьё соглашение об обработке данных делает нас контролёром, а RevenueCat — обработчиком в отношении данных конечных пользователей, которые он обрабатывает для нас. Одна оговорка о том, насколько нам это видно: SDK RevenueCat, который работает внутри Приложения, дополнительно собирает сведения об устройстве и сети сам по себе. Этот сбор настраиваем не мы, и то, что он даёт, мы не получаем, поэтому то, что мы можем вам о нём рассказать, взято из собственного уведомления о конфиденциальности RevenueCat, а не из наших систем.

• Google (Google Cloud Run и Google Cloud SQL, регион europe-west1) — размещает наш бэкенд и базу данных, где лежит всё, что вы синхронизируете, включая ваши данные о здоровье. В Google Secret Manager хранятся учётные данные наших серверов, в Google Cloud Logging — журналы запросов к нашим серверам.
• Google (Firebase Hosting) — обслуживает glumea.com и эти правовые документы.
• Sentry (регион ЕС) — получает описанные выше диагностические отчёты, если вы согласились на диагностику.
• PostHog (EU Cloud) — получает описанные выше события аналитики, если вы согласились на аналитику.
• RevenueCat (США) — получает идентификатор вашего аккаунта glumea и состояние вашей подписки независимо от того, оформили вы её или нет: проверка того, что вы не подписчик, использует тот же идентификатор, что и подтверждение того, что вы им являетесь. Как сказано выше, его SDK дополнительно собирает сведения об устройстве и сети, которые настраиваем не мы и которые мы не получаем; их описывает собственное уведомление о конфиденциальности RevenueCat.
• Zoho ZeptoMail — доставляет письма с подтверждением и со сбросом пароля. Получает ваш адрес электронной почты и само сообщение.

Apple и Google нашими обработчиками не являются. Они управляют магазинами, через которые продаётся glumea+, они принимают оплату и являются самостоятельными контролёрами в отношении данных о покупке, которые они о вас хранят. То, что они собирают, регулируется их собственными политиками конфиденциальности, а не этой.

Кроме этого, мы раскрываем персональные данные только если этого требует закон — например, по обязательному предписанию суда или органа власти — или по вашему указанию.

Если Paweł Milewski Software Development когда-либо будет участвовать в слиянии, поглощении или продаже активов, ваши данные останутся под защитой этой политики, и мы уведомим вас прежде, чем на них начнёт распространяться другая политика конфиденциальности.

9. Международная передача данных

Где каждый получатель обрабатывает ваши данные:

• Ваш аккаунт, профиль и синхронизированные данные о здоровье хранятся в ЕС: Google Cloud, europe-west1 (Бельгия). Место хранения — не весь ответ. Google может обращаться к этим данным из-за пределов ЕЭЗ — для поддержки и для работы платформы, — и это само по себе передача. Она опирается на стандартные договорные условия (SCC) в Google Cloud Data Processing Addendum.
• Аналитика уходит в EU Cloud компании PostHog, который хранит её в ЕС. Там, где PostHog может обращаться к ней из-за пределов Европейской экономической зоны, передача опирается на стандартные договорные условия (SCC) в соглашении PostHog об обработке данных.
• Диагностика уходит в Sentry, регион ЕС. Если это за пределами Европейской экономической зоны, передача опирается на стандартные договорные условия (SCC) в дополнении Sentry об обработке данных.
• Сайт обслуживает Firebase Hosting через сеть доставки контента Google, поэтому запрос страницы может быть обслужен — и записан в журнал — за пределами Европейской экономической зоны. Там, где это происходит, передача опирается на стандартные договорные условия (SCC) в Google Cloud Data Processing Addendum.
• Состояние подписки уходит в RevenueCat, регион США. Если это за пределами Европейской экономической зоны, передача опирается на стандартные договорные условия (SCC) в дополнении RevenueCat об обработке данных.
• Письма с подтверждением и со сбросом пароля доставляет Zoho ZeptoMail, который обрабатывает ваш адрес электронной почты в Европейском союзе — Zoho Corporation B.V., дата-центры Zoho в Нидерландах и Ирландии. Если это за пределами Европейской экономической зоны, передача опирается на стандартные договорные условия (SCC) в дополнении Zoho об обработке данных.
• Apple и Google обрабатывают данные о покупке по своим собственным правилам как самостоятельные контролёры.

Там, где поставщик может получить доступ к данным из-за пределов ЕЭЗ — например, для поддержки, — это тоже передача, и мы допускаем её только при наличии надлежащей гарантии по главе V GDPR. Механизм, на который опирается каждый получатель, назван выше. Для пользователей в Великобритании равнозначные передачи опираются на британское дополнение (UK Addendum) к стандартным договорным условиям ЕС либо на IDTA, если провайдер использует эту форму по UK GDPR. Вы можете написать нам на [email protected], чтобы получить копию применимой гарантии.

10. Где хранятся ваши данные

glumea устроена по принципу offline-first. Этот раздел — полный ответ на вопрос «что из моего есть на ваших серверах?»: всё остальное в этой политике указывает сюда.

Что	На вашем телефоне	На наших серверах	С какого момента	Как это убрать
Ваш дневник — записи, каталоги лекарств, расписания приёма лекарств	Всегда	Только при включённой Облачной синхронизации	С момента, когда вы включили переключатель	Выключите переключатель, затем удалить свои данные; либо удалите аккаунт
Ваш профиль — имя, возраст, рост, тип диабета, методы лечения, способ введения инсулина	Да	Всегда	С первичной настройки, пользуетесь вы синхронизацией или нет	Удалите аккаунт или напишите нам
Ваши настройки терапии — целевой диапазон, углеводный коэффициент, фактор чувствительности к инсулину	Да	Всегда	С момента, когда вы их ввели	Удалите аккаунт или напишите нам
Ваш аккаунт — адрес электронной почты, хешированный пароль, сессии входа	Только учётные данные	Всегда	С момента создания аккаунта	Удалите аккаунт
Всё из раздела 3.6 — напоминания, «Тихие часы», настройки приложения	Да	Никогда	—	Выйдите из аккаунта или удалите приложение

Остальная часть раздела — подробности за этой таблицей.

• Все данные, которые вы вводите, сначала записываются в локальную базу данных на вашем устройстве. Приложением можно полноценно пользоваться без интернет-соединения.
• Эта локальная база данных зашифрована. Она открывается 32-байтным ключом, который хранится в хранилище ключей вашего устройства с настройкой, не позволяющей ему переноситься на другое устройство. Последствия, о которых стоит знать до смены телефона: на Android мы выключили для Приложения облачное резервное копирование и перенос с устройства на устройство, поэтому новых резервных копий не создаётся; на iOS копия базы данных всё же может попасть в резервную копию iCloud, но без ключа она нечитаема, а ключ никогда не покидает устройство. Поэтому восстановление такой резервной копии на новом телефоне не приносит с собой ваш дневник: Приложение находит базу данных, ключа к которой у него нет, отказывается её открывать, а не запускается молча с пустой базой, и не будет работать на этом телефоне, пока вы не переустановите его или не очистите его данные. Переход на новый телефон идёт через облачную синхронизацию или через архив .glumea, который вы экспортируете и импортируете сами.
• Ваш аккаунт существует на наших серверах с момента, когда вы его создали. В нём хранятся данные вашего аккаунта, ваш профиль — включая тип диабета, методы лечения и способ введения инсулина — и ваши настройки терапии: целевой диапазон, углеводный коэффициент и фактор чувствительности к инсулину. Они хранятся на наших серверах независимо от того, пользуетесь вы облачной синхронизацией или нет, и убрать их можно, удалив аккаунт.
• Облачная синхронизация — функция glumea+, и она выключена, пока вы её не включите. Она управляет тем, копируется ли ваш дневник ещё и на наши серверы: ваши записи, ваши каталоги лекарств и ваши расписания приёма лекарств. Включение проходит в два шага, и остановиться можно на любом. Без активной подписки glumea+ Приложение вместо того, чтобы что-либо включать, показывает экран подписки. При активной подписке Приложение затем отдельным шагом просит вас подтвердить, что вы согласны на хранение ваших данных о здоровье — измерений глюкозы, записей об инсулине и лекарствах, записей о еде и весе и всего, что вы вписали в заметку, — на наших серверах. Оно спрашивает об этом каждый раз при включении переключателя, а не только в первый. Это подтверждение и есть ваше явно выраженное согласие по статье 9(2)(a) GDPR в отношении дневника. Отозвать его можно в любой момент, выключив Облачную синхронизацию, а убрать то, что у нас уже есть, — ссылкой удалить свои данные в той же панели. При выключенной синхронизации всё, что вы записываете, остаётся только на вашем устройстве.
• Когда синхронизация включена, ваши данные хранятся на нашем бэкенде по адресу api.glumea.app, который работает на Google Cloud Run с базой данных PostgreSQL в Google Cloud SQL, в регионе Google europe-west1 (Бельгия).

Переключатель принадлежит вашему аккаунту, а не телефону. Ваш ответ хранится у нас на серверах, и Приложение считывает его оттуда при входе в аккаунт и при восстановлении связи. Поэтому он переживает выход из аккаунта и следует за вами: включите синхронизацию, войдите в аккаунт на другом телефоне — и там она тоже будет включена, без повторного вопроса. Выключение записывается так же. Если вы выключите её, будучи офлайн, Приложение сохранит этот ответ и доставит его на наши серверы при первой возможности: отзыв никогда не откатывается из-за неудавшегося запроса. На общем устройстве это работает противоположно переключателю, живущему только на устройстве: тот, кто входит в аккаунт, получает ответ своего аккаунта, а не тот, что оставил предыдущий человек.

Если glumea+ заканчивается, резервное копирование встаёт на паузу — согласие при этом не отзывается и ничего не удаляется. Когда подписка истекает, отменяется или возвращается, Приложение перестаёт копировать новые данные на наши серверы, а в панели «Синхронизация» появляется надпись На паузе — подписка glumea+ закончилась. То, что уже есть на наших серверах, там и остаётся, то, что есть на вашем устройстве, остаётся на нём, а ваш сохранённый ответ на вопрос о согласии остаётся прежним, — поэтому, если вы снова оформите подписку, резервное копирование возобновится по этому сохранённому ответу, без повторного вопроса. Если вы предпочли бы, чтобы этого не было, выключите переключатель: и выключение, и ссылка удалить свои данные рядом с ним остаются доступны независимо от того, действует подписка или нет. Окончание подписки никогда не лишает вас возможности отозвать согласие или добиться стирания серверной копии.

Синхронизация может остановиться и без того, чтобы вы трогали этот переключатель. Ваша сессия входа может истечь, и когда это происходит, мы не выводим вас из аккаунта и ничего не удаляем: Приложение сохраняет каждую запись на вашем устройстве, ставит резервное копирование на паузу и ждёт. В панели «Синхронизация» тогда появляется надпись На паузе и сообщение о том, что синхронизация остановлена, пока вы не войдёте снова, а на экране «Сводка» появляется баннер об истёкшей сессии. Всё, что вы записываете тем временем, остаётся на устройстве и попадает на наши серверы только после того, как вы снова войдёте в аккаунт. Если вы рассчитываете на серверную копию на случай потери телефона, реагировать нужно именно на этот баннер.

Копия на наших серверах защищена шифрованием при передаче, шифрованием хранилища Google и нашим контролем доступа. Она не имеет сквозного шифрования, и мы можем её прочитать. glumea не является сервисом с нулевым разглашением. Единственный артефакт во всей системе, который мы открыть не можем, — архив .glumea, потому что он зашифрован паролем, который знаете только вы.

11. Как долго мы храним ваши данные

Мы храним ваши данные в течение сроков, указанных ниже.

• Данные аккаунта, профиль и настройки терапии — хранятся на наших серверах, пока существует ваш аккаунт.
• Синхронизированные вами записи о здоровье и каталоги лекарств — хранятся, пока существует ваш аккаунт, либо пока вы не удалите серверную копию или не удалите аккаунт. С удалением одной записи всё иначе: она исчезает с того устройства, на котором вы её удалили, и только с него. Копия на наших серверах остаётся, поэтому запись может вернуться после переустановки, на новом телефоне или после выхода из аккаунта и повторного входа. Убрать эти строки с наших серверов может только действие удалить свои данные или удаление аккаунта.
• Записи-надгробия для удалённых вами записей — там, где удаление одной записи всё же доходит до наших серверов, строка сохраняется как отметка, которая по-прежнему несёт значение, теги и заметки, чтобы удаление могло дойти до других ваших устройств. Задачи, которая бы их вычищала, у нас нет, поэтому они хранятся, пока существует ваш аккаунт. Действие удалить свои данные или удаление аккаунта убирает их.
• Сессии входа — токен доступа действует 15 минут. Запись о сессии на наших серверах истекает через 90 дней без использования. Выход из аккаунта отзывает её немедленно, поэтому воспользоваться ею больше нельзя, но сама строка удаляется ежечасной задачей после того, как это 90-дневное окно истечёт. Удаление аккаунта убирает её сразу.
• Одноразовые коды — перестают действовать через 10 минут после выдачи, и ежечасная задача помечает истёкшие как непригодные. Сами записи мы не вычищаем: они остаются, пока вы не удалите аккаунт, — тогда они удаляются вместе со всем остальным.
• Резервные копии сервера — 7 дней. Данные, удалённые из рабочей базы, остаются в резервных копиях, пока те не обновятся по кругу.
• Журналы запросов к серверу, в которых есть IP-адреса, — 30 дней.
• События аналитики в PostHog — 12 месяцев.
• Диагностические отчёты в Sentry — 90 дней.
• Записи об уведомлениях о подписке — 90 дней с момента, когда каждое сообщение к нам пришло, после чего запланированная задача его удаляет. Задача считает только возраст и больше ничего: она не придерживает строку из-за открытого спора об оплате, а удаление вашего аккаунта не убирает её раньше срока.
• Данные, которые хранятся только на вашем устройстве, — остаются там, пока вы их не удалите, не выйдете из аккаунта, не удалите аккаунт или не удалите Приложение. Они под вашим контролем.

12. Удаление: что происходит и где

Прежде чем начать. Две вещи важнее всего, что написано ниже, и обе есть в Условиях обслуживания: сначала отмените подписку glumea+ в магазине приложений, потому что удаление аккаунта glumea не останавливает списания (там раздел 13.1), и сначала сделайте экспорт, потому что после того, как ваши строки исчезнут, мы не сможем собрать для вас экспорт (там раздел 13.3).

Три разных средства управления, три разных результата. Их легко перепутать, поэтому:

Средство управления	Где оно находится	Что оно убирает	Что оно сохраняет	Что может это отменить
Удаление одной записи	Там, где вы её записали	Эту запись, и только на этом устройстве	Серверную копию, которая может её вернуть	Переустановка, новый телефон или выход из аккаунта и повторный вход
удалить свои данные	Панель «Синхронизация», которая открывается кнопкой облака на экране «Сводка» или «История», а не из настроек	Серверную копию ваших записей, каталогов лекарств и расписаний	Ваш аккаунт, ваш профиль, ваши настройки терапии и всё, что есть на телефоне	Повторное включение синхронизации выгружает всё заново с вашего телефона
Удалить аккаунт	«Настройки → Данные аккаунта»	Весь ваш аккаунт на наших серверах и данные Приложения на этом устройстве	Ничего из вашего, с оговорками о местах ниже	Ничего

Для действия удалить свои данные нужен действующий вход в аккаунт и предварительно выключенная Облачная синхронизация; три примечания в конце этого раздела объясняют почему.

Удаление аккаунта в Приложении — это немедленное и безвозвратное удаление из нашей рабочей базы данных. Оно доходит не везде. Вот что происходит в каждом из мест.

• Наша рабочая база данных — удаление аккаунта жёстко удаляет вашу пользовательскую запись в тот момент, когда вы это подтверждаете. Всё, что к ней привязано, удаляется вместе с ней каскадом базы данных: ваш профиль, ваши настройки терапии, каждая синхронизированная запись о глюкозе, еде, весе, инсулине, таблетках и инъекциях, ваши каталоги лекарств и расписания, ваши сессии и ваши неиспользованные коды подтверждения и сброса. Ни флага мягкого удаления, ни восстановления нет.
• Записи об уведомлениях о подписке — в каждой строке есть идентификатор вашего аккаунта glumea и полное сообщение, которое прислал RevenueCat. Она намеренно не связана со строкой вашего аккаунта, чтобы уведомление о подписке нельзя было потерять из-за ошибки в базе данных, поэтому автоматический каскад до неё не доходит. Запланированная задача удаляет каждую строку через 90 дней после её поступления, независимо от того, удалили вы аккаунт или нет. Эта задача не считает ничего, кроме возраста: она не придерживает строку из-за открытого спора об оплате и не убирает её раньше из-за того, что вы удалили аккаунт. Если вы хотите, чтобы эти строки были стёрты до истечения этих 90 дней, напишите нам на [email protected], и мы сделаем это в сроки из раздела 14.
• RevenueCat — RevenueCat хранит собственную запись о подписчике под тем же идентификатором аккаунта, и удаление вашего аккаунта в Приложении до неё не доходит. Напишите нам на [email protected], и мы попросим RevenueCat удалить эту запись, в сроки из раздела 14.
• PostHog — профиль аналитики, который ведётся под идентификатором вашего аккаунта, каскадом базы данных не удаляется, и удаление вашего аккаунта в Приложении до него не доходит. Если вы никогда не соглашались на аналитику, там ничего нет; если соглашались — напишите нам на [email protected], и мы удалим профиль, в сроки из раздела 14. События, записанные до вашего входа в аккаунт, несут псевдонимный идентификатор устройства, а не идентификатор вашего аккаунта, поэтому мы не можем обещать, что удаление профиля достанет и до них.
• Резервные копии сервера — копия удалённого остаётся в автоматических резервных копиях базы данных у нашего хостинг-провайдера, пока эти копии не обновятся по кругу: 7 дней, и ни в каком случае не дольше шести месяцев после того, как мы подтвердим подлинность запроса на удаление. Отдельные записи внутри резервной копии мы не правим и никогда не восстанавливаем резервную копию, чтобы вернуть удалённый аккаунт.
• Журналы сервера — удаление аккаунта не стирает задним числом журналы запросов к серверу, которые хранятся 30 дней.
• Sentry — Приложение не прикрепляет к диагностическому отчёту никакого идентификатора пользователя: ни идентификатора аккаунта, ни адреса почты, ни идентификатора устройства. Поэтому там нечего искать под вашим именем и нечего удалить по отдельности. Отчёты, которые порождает собственный обработчик сбоев операционной системы, не проходят через фильтр Приложения, и мы не знаем каждого поля, которое платформенный SDK туда кладёт; мы не задаём никакого идентификатора, который связал бы такой отчёт с вами. Они исчезают по сроку хранения Sentry: 90 дней. Эту ситуацию регулирует статья 11(2) GDPR: там, где мы действительно не можем идентифицировать вас внутри набора данных, права на доступ, исправление и удаление к нему не применяются. Если вы можете дать нам что-то, что позволило бы нам найти ваши отчёты, пришлите это, и мы этим воспользуемся.
• Apple и Google — записи о вашей покупке и подписке принадлежат магазину приложений, а не нам. Удаление вашего аккаунта glumea не отменяет подписку и ничего не удаляет у Apple или Google. Отменяйте её в настройках вашего аккаунта в магазине; их записи регулируются их политиками и налоговым законодательством.
• Ваше собственное устройство — удаление аккаунта или выход из аккаунта стирает с этого устройства локальную базу данных Приложения, данные вашей сессии и настройки приложения. К тому же стиранию ведёт и третий путь: вход в другой аккаунт на этом телефоне. Приложение не даст вам войти как кто-то другой, пока вы находитесь в аккаунте, поэтому смена аккаунта проходит через выход, а этот выход забирает с собой дневник предыдущего аккаунта. Приложение предупреждает об этом заранее и говорит, сколько изменений ещё не попало в резервную копию, но вернуть их потом уже ничем нельзя — поэтому на общем телефоне сделайте экспорт, прежде чем отдать его. Ничто из записанного вами и ни один сделанный вами выбор от этого стирания не защищены, в том числе ваш выбор по аналитике и диагностике: они возвращаются в выключенное состояние, поэтому следующий аккаунт на этом телефоне начинает с выключенного состояния, а не наследует выбор, которого он не делал. Две вещи, которые ничего о вас не говорят, всё же переживают стирание: отметка о том, что это не первая установка, и ключ, которым зашифрована локальная база данных, — бесполезный, когда открывать нечего. Копии в резервной копии устройства в iCloud зашифрованы ключом, который никогда не покидал устройство, и прочитать их нельзя; на Android мы выключили резервное копирование для Приложения, поэтому новых копий не создаётся.
• Копии, которые вы сделали сами, — архив .glumea, CSV, отчёт в PDF, всё, чем вы поделились или что сохранили в другом месте: они ваши и находятся вне нашей досягаемости. Удаляйте их там, куда вы их положили.

Кратко о сроках. В нашей рабочей базе данных удаление происходит сразу, в тот момент, когда вы подтверждаете его в Приложении. Там, где удаление нужно передать дальше — одному из наших поставщиков услуг или в одно из перечисленных выше мест, до которых каскад не доходит, — оно происходит по запросу, который вы нам присылаете, и мы действуем в сроки из раздела 14. В автоматических резервных копиях базы данных у нашего хостинг-провайдера копия сохраняется, пока те не обновятся по кругу, — 7 дней.

Автоматический каскад не доходит до: журналов запросов к серверу, которые не стираются задним числом; диагностических отчётов в Sentry, в которых нет идентификатора, по которому мы могли бы их найти; записей об уведомлениях о подписке; собственной записи о подписчике в RevenueCat под идентификатором вашего аккаунта; и вашего профиля аналитики в PostHog под тем же идентификатором. До первых двух мы не можем дотянуться вообще: они исчезают по срокам хранения, указанным выше. Записи об уведомлениях о подписке исчезают по своему собственному 90-дневному расписанию. Запись в RevenueCat и профиль в PostHog мы стираем, когда вы нас об этом попросите, — удаление аккаунта в Приложении этого за вас не делает.

Удаление безвозвратно. Удалённые данные восстановить нельзя, поэтому если записи могут понадобиться вам позже — например, вашей медицинской команде, — сначала сделайте копию через варианты экспорта, описанные в разделе о ваших правах.

Чтобы попросить об удалении, Приложение иметь установленным не обязательно: страница Удаление аккаунта glumea описывает оба пути, включая путь по электронной почте с проверкой личности, которую мы проводим, прежде чем что-либо стереть.

Ещё три момента про более узкое действие удалить свои данные, которое убирает серверную копию ваших записей, ваших каталогов лекарств и ваших расписаний приёма лекарств, но сохраняет ваш аккаунт, ваш профиль, ваши настройки терапии и всё, что есть на устройстве:

• Для него нужен действующий вход в аккаунт. Если ваша сессия истекла — состояние, описанное в разделе 10, когда в панели написано На паузе, — ссылка попросит вас войти снова и до этого ничего не сделает. Достаточно снова войти; тем временем ничего не теряется.
• Для него нужно сначала выключить Облачную синхронизацию. Если потом вы снова включите синхронизацию, записи, которые остались на устройстве, встанут в очередь и выгрузятся заново — удаление на сервере отменит ваше же устройство.
• Оно не распространяется на другие ваши устройства. Они сохраняют свои локальные копии и не получают об этом уведомления.

13. Ваши средства управления в Приложении

Чтобы управлять своими данными, писать нам не нужно. В Приложении для этого есть встроенные средства:

• Удалить аккаунт — в разделе «Настройки → Данные аккаунта», с подтверждением вводом слова. Выполняет описанное выше жёсткое удаление на сервере и стирает с вашего устройства локальную базу данных Приложения, данные вашей сессии и ваши настройки. Каскад базы данных не доходит до записей об уведомлениях о подписке, до RevenueCat и до вашего профиля аналитики в PostHog — раздел об удалении говорит, что происходит с каждым из них и как добиться их стирания. Как и при выходе из аккаунта, ваш выбор по аналитике и диагностике стирается вместе со всем остальным и возвращается в выключенное состояние.
• удалить свои данные — ссылка внутри панели «Синхронизация», которая открывается кнопкой облака вверху экрана «Сводка» или «История», а не из настроек. Жёстко удаляет серверную копию ваших записей, ваших каталогов лекарств и ваших расписаний приёма лекарств, сохраняя ваш аккаунт и данные на устройстве. Дальше этого оно не идёт: ваш профиль и ваши настройки терапии остаются на наших серверах, пока вы не удалите аккаунт. Прочитайте три примечания чуть выше.
• Облачная синхронизация — переключатель в той же панели и функция glumea+. Выключите его в любой момент, чтобы новые данные перестали попадать на наши серверы; так же вы отзываете согласие на их хранение у нас, и для выключения действующая подписка никогда не нужна. Уже синхронизированные данные остаются на наших серверах, пока вы не воспользуетесь действием удалить свои данные или Удалить аккаунт. Ваш ответ на этот переключатель хранится в вашем аккаунте, поэтому он переживает выход из аккаунта и следует за вами на новый телефон.
• Аналитика использования и Отчёты об ошибках — два независимых переключателя в разделе «Настройки → Данные и конфиденциальность → Конфиденциальность и диагностика». Отзыв согласия действует немедленно, с единственной оговоркой, изложенной в конце раздела 5.1: события, уже собранные за время действия вашего согласия, и одно последнее событие о том, что вы отказались, всё же доставляются потом по собственному расписанию SDK.
• Apple Health / Health Connect — подключить, отключить или выключить отдельные типы данных можно в разделе «Настройки → Интеграции». Разрешение можно также отозвать в самой платформе здоровья.
• Показывать детали на экране блокировки — выключено, пока вы это не включите. До тех пор уведомления-напоминания показывают общий текст.
• Выйти — стирает с устройства локальную базу данных Приложения, данные вашей сессии и ваши настройки, в том числе ваш выбор по аналитике и диагностике. Ничто из записанного вами и ни один сделанный вами выбор от этого не защищены; раздел об удалении называет два технических значения, которые переживают стирание.
• Экспорт — защищённый паролем архив .glumea с вашими записями, лекарствами, профилем, целями терапии и напоминаниями, в разделе «Настройки → Данные и конфиденциальность → Импорт и экспорт данных». Отчёты о глюкозе в CSV и PDF — это отдельная вещь: они создаются в собственной панели экспорта на экране глюкозы; архив и CSV бесплатны, а отчёт в PDF — функция glumea+.

Если вы предпочитаете не пользоваться Приложением для всего этого, напишите на [email protected], и мы обработаем запрос. Запрос на удаление можно также начать со страницы Удаление аккаунта glumea, не открывая Приложение.

14. Ваши права

По GDPR у вас есть право:

• на доступ к вашим персональным данным и на получение их копии.
• на исправление неточных или неполных данных. Большую часть вы можете исправить сами: любую запись или лекарство — там, где вы их записали, профиль — в разделе «Настройки → Данные аккаунта», а настройки терапии — там, где вы их задавали. О том, что вы не можете изменить сами, напишите нам.
• на удаление ваших данных («право быть забытым»). Раздел об удалении выше подробно говорит, до чего удаление доходит, а до чего нет.
• на ограничение обработки в определённых ситуациях.
• на переносимость данных — получить предоставленные вами данные в структурированном, общеупотребимом, машиночитаемом формате. В Приложении: экспорт глюкозы в CSV машиночитаем и не зашифрован; в архиве .glumea есть ваши записи, лекарства, профиль, цели терапии и напоминания, но он зашифрован паролем, который знаете только вы, — мы не можем его открыть, — и Приложение импортирует его обратно только в тот аккаунт glumea, который его создал, так что после удаления этого аккаунта Приложение больше не сможет открыть этот файл: ни для вас, ни для нового аккаунта glumea, ни для вашей медицинской команды. Если вам нужен полный набор ваших записей в другой форме, попросите нас по адресу [email protected], и мы его подготовим.
• на возражение против обработки, основанной на наших законных интересах.
• на отзыв согласия в любой момент. Отзыв не влияет на законность обработки, которая была до него. На практике: для данных о здоровье на наших серверах — выключите Облачную синхронизацию и воспользуйтесь действием удалить свои данные либо удалите аккаунт; для аналитики и для диагностики — два переключателя в разделе «Настройки → Данные и конфиденциальность → Конфиденциальность и диагностика». И для дневника, и для аналитики с диагностикой всё это доступно в Приложении, без обращения к нам. Исключение — ваш профиль и ваши настройки терапии, и мы предпочитаем сказать об этом прямо, а не оставить вас это выяснять: сегодня для них в Приложении переключателя нет. Удаление аккаунта их убирает, но это куда более тяжёлый шаг, чем тот, которым вы их нам дали, — поэтому, если вы хотите убрать их с наших серверов, не закрывая аккаунт, напишите на [email protected], и мы удалим их в течение одного месяца.
• на жалобу в надзорный орган. Наш ведущий надзорный орган — Председатель Управления по защите персональных данных Польши (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warszawa, Польша. Вы также можете пожаловаться в орган по защите данных того государства — члена ЕС, где вы живёте, где вы работаете или где, по вашему мнению, произошло нарушение. Если вы в Великобритании, вы можете пожаловаться в Information Commissioner’s Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF.

Чтобы воспользоваться любым правом, используйте средства управления в Приложении или напишите нам на [email protected]. Мы отвечаем в сроки, которые устанавливает закон: обычно один месяц по GDPR, с продлением ещё на два месяца для сложных запросов, и в течение 45 дней там, где применяются законы штатов США о приватности. Если нам понадобится это продление, мы сообщим вам об этом в течение первого месяца и объясним почему.

Если мы не выполним ваш запрос. Мы в течение одного месяца сообщим вам, почему. Мы также сообщим вам, что вы можете подать жалобу в надзорный орган и что вы можете обратиться за средством правовой защиты в суд. Оба пути открыты вам независимо от того, обратитесь ли вы сначала к нам.

Прежде чем что-то выдать, мы проверяем, кто спрашивает. Напишите с адреса электронной почты, указанного в вашем аккаунте, — мы ответим одноразовым кодом на тот же адрес и выполним запрос, когда вы пришлёте код обратно. Это та же проверка, что и для запроса на удаление по электронной почте. Это касается запроса копии ваших данных, полного набора записей по праву на переносимость данных и подтверждения того, что у нас есть, — так же как и удаления. Если вы больше не можете получать почту на этот адрес, скажите нам, и мы в каждом случае отдельно решим, какие другие доказательства можем принять. Мы не выдадим и не сотрём записи аккаунта, принадлежность которого спрашивающему мы подтвердить не можем, — ради вашей защиты не меньше, чем ради нашей. Для средств управления в Приложении ничего этого не нужно: вы уже вошли в аккаунт.

15. Как мы защищаем ваши данные

• Пароли хешируются с помощью bcrypt, никогда не хранятся в открытом виде и никогда не хранятся на вашем устройстве.
• Локальная база данных на вашем устройстве зашифрована, а ключ хранится в платформенном хранилище ключей и не переносится на другое устройство.
• Токены аутентификации хранятся в защищённом хранилище вашего устройства — в связке ключей iOS (Keychain) или в хранилище на базе Android Keystore.
• Приложение общается с нашими серверами по HTTPS, а обе платформы по умолчанию блокируют незашифрованные соединения — и мы не добавляли исключений из этого ни на iOS, ни на Android.
• Наша база данных работает внутри Google Cloud и доступна только через приватный сокет Cloud SQL, а учётные данные хранятся в Google Secret Manager.
• Значения, которые вы записываете, — измерения глюкозы, дозы инсулина — мы не пишем в журналы нашего приложения. Строка журнала об ошибке фиксирует код состояния, путь, время и текст ошибки, который для отклонённого запроса называет поля, не прошедшие проверку. Тела запроса в ней нет.
• Напоминания по умолчанию показывают общий текст, поэтому уведомление не выводит ваши данные о здоровье на экран блокировки.
• Доступ к рабочей базе данных есть только у людей, которые обслуживают сервис, а это значит, что мы можем её прочитать. От всех остальных её защищают контроль доступа и шифрование при передаче и при хранении.

Идеально защищённых систем не бывает. Меры, перечисленные выше, — это то, что мы делаем, чтобы ограничить, насколько открыты чувствительные части ваших данных.

Если ваши данные когда-либо окажутся раскрыты — из-за инцидента безопасности или из-за раскрытия, на которое у нас не было полномочий, что право США приравнивает к первому, — мы уведомим вас и компетентные органы так, как этого требует закон, включая статьи 33 и 34 GDPR, а для пользователей в США — правило FTC Health Breach Notification Rule. Эти режимы устанавливают разные сроки, и каждый мы соблюдаем по его собственным правилам.

16. Дети

glumea не предназначена для детей. Чтобы пользоваться Приложением, вам должно быть не менее 16 лет. Это условие сервиса, и оно не меняется от того, где вы живёте. Статья 8 GDPR позволяет государству — члену ЕС установить возраст самостоятельного согласия на онлайн-сервисы вплоть до 13 лет, и несколько государств так и сделали; наш минимум в любом случае остаётся 16, поэтому мы никогда не опираемся на разрешение родителя и не предлагаем пути, который бы его требовал. Мы сознательно не собираем персональные данные тех, кому меньше 16. Если мы узнаем, что собрали их, мы удалим аккаунт и всё, что с ним связано, на условиях раздела об удалении выше и дадим нашим поставщикам указание убрать то, что есть у них. Если вы считаете, что аккаунт создал ребёнок, напишите нам на [email protected].

17. Замечания для пользователей в США

Право США о приватности устроено штат за штатом, и распространяется ли конкретный закон на нас, зависит от того, где вы живёте, и от порогов, которые устанавливает сам закон. Там, где закон штата к нам применяется, мы в полном объёме соблюдаем права, которые он вам даёт. Некоторые из этих законов распространяются только на бизнес выше определённого порога, и по ряду порогов мы ниже; там, где это так, закон не даёт вам этих конкретных прав против нас. Что открыто каждому пользователю независимо ни от чего — это средства управления, описанные в этой политике: удалить аккаунт, удалить серверную копию, выключить аналитику и диагностику, экспортировать свои данные, — и чтобы воспользоваться любым из них, закон штата вам за спиной не нужен.

• HIPAA: glumea — продукт, который продаётся напрямую потребителю. Мы не оказываем медицинскую помощь, не обрабатываем страховые требования и не имеем договора с медицинским планом или медицинской организацией на обработку данных от их имени, поэтому мы не выступаем ни в одной из ролей, которые регулирует HIPAA, — ни «covered entity», ни «business associate», — и о соответствии HIPAA не заявляем. Записи, которые о вас хранит ваш собственный врач, в его руках подпадают под HIPAA; это отдельно от той копии, которую вы держите в glumea. Правила США, по которым мы работаем в glumea, — это правило FTC об уведомлении о нарушениях в сфере данных о здоровье и законы штатов о приватности данных о здоровье, перечисленные ниже.
• Калифорния (CCPA/CPRA): CCPA применяется к бизнесу, который соответствует одному из порогов, установленных этим законом, и соответствуем ли мы какому-либо из них в тот или иной момент — это вопрос о нас, а не о вас. В терминах, которыми пользуется этот закон, описанные выше данные о здоровье — это «чувствительная персональная информация», и такими же являются учётные данные вашего аккаунта (адрес электронной почты вместе с паролем). Ни то, ни другое мы не продаём и не «передаём» для межконтекстной поведенческой рекламы. Мы используем их только для того, чтобы предоставлять, защищать и улучшать сервис, и ни для чего больше, — это цели, которые правила Калифорнии допускают для чувствительной персональной информации без права требовать ограничения (Cal. Code Regs. tit. 11, § 7027(m)), и именно поэтому на этом сайте нет ссылки «Limit the use of my sensitive personal information»: ей нечего выключать. Согласие на часть с аналитикой мы всё равно спрашиваем, и отказ вам ничего не стоит: переключатель в разделе «Настройки → Данные и конфиденциальность → Конфиденциальность и диагностика» выключает её полностью. Если вы живёте в Калифорнии, у вас есть права знать, что мы собираем, и получить копию, исправить эти данные, удалить их, получить их в переносимом виде и — если бы мы когда-либо продавали или передавали персональную информацию, чего мы не делаем, — отказаться от этого. Это ваши права по CCPA там, где этот закон к нам применяется. Закон распространяется на бизнес только выше установленных им порогов — годовой валовой выручки, числа потребителей, чьи сведения он обрабатывает, или доли выручки, которую он получает от продажи персональной информации, — а мы ниже них, поэтому, пока это так, CCPA не даёт вам прав против нас. Средства управления в Приложении, описанные выше, открыты вам в любом случае. Мы не откажем вам в Приложении, не назначим другую цену и не понизим уровень обслуживания из-за того, что вы воспользовались любым из этих прав. Пользуйтесь средствами управления в Приложении, страницей Удаление аккаунта glumea или адресом [email protected].
• Вашингтон (My Health My Data Act): данные, которые вы записываете, — это «потребительские данные о здоровье». Вашингтон требует отдельной политики для них, и мы её публикуем: см. нашу Политику конфиденциальности потребительских данных о здоровье. В ней изложены категории, которые мы собираем, источники, цели, кто их получает и как воспользоваться своими правами, включая порядок обжалования, если мы откажем в запросе.
• Невада (закон о потребительских данных о здоровье, SB 370 от 2023 года): данные, которые вы записываете, — это «потребительские данные о здоровье» и по законодательству Невады. У вас есть права подтвердить, собираем ли мы их, передаём или продаём, получить список третьих лиц, которым они передавались или продавались, добиться их удаления и отозвать своё согласие, — которое Невада рассматривает как два отдельных согласия: одно на сбор и одно на передачу. Исполнение закона Невады обеспечивает генеральный прокурор штата. Наше Уведомление о конфиденциальности потребительских данных о здоровье для Невады излагает эти права, применимые к ним сроки — которые для удаления короче, чем в Вашингтоне, — и четыре раскрытия, которых требует Невада.
• Если мы откажем в запросе. Мы письменно объясним причину в применимый срок. Обжаловать отказ можно, ответив на это сообщение, или письмом на [email protected] со словом «appeal» в теме. Мы рассматриваем запрос заново, с чистого листа и ровно в том виде, в каком вы его подали, и отвечаем письменно в течение 45 дней с момента получения жалобы, с обоснованием. Если мы отклоним жалобу, мы расскажем, как подать обращение генеральному прокурору вашего штата. Жители Вашингтона могут также воспользоваться порядком обжалования, изложенным в нашей Политике конфиденциальности потребительских данных о здоровье.
• Если вы живёте в другом штате, закон которого даёт вам права в отношении этих данных, скажите нам, и мы выполним то, что этот закон от нас требует.

18. Сайт glumea.com

Сайт — это статический сайт, на котором размещены сведения о glumea и эти правовые документы. Он намеренно устроен минимально:

• Никаких файлов cookie.
• Никакой аналитики и никаких запросов к сторонним источникам. Всё, что нужно странице, включая шрифты и скрипты, отдаётся с самого glumea.com, а политика безопасности контента сайта прямо блокирует любой другой источник. Саму страницу отдаёт наш хостинг, который неизбежно видит запрос; последний пункт этого списка говорит, кто это и что он записывает в журнал. Немного собственного JavaScript сайт всё же выполняет: два встроенных фрагмента, которые применяют вашу тему и отправляют вас на нужный язык, плюс несколько собранных файлов, за которыми стоят меню навигации, переключатели темы и языка и анимация, проявляющая блоки при прокрутке. Ничто из этого никуда ничего не отправляет.
• Никакого отслеживания между сайтами — а значит, сигналу Do Not Track или Global Privacy Control нечего выключать. Сайт не устанавливает рекламных или аналитических файлов cookie, не делает запросов к сторонним источникам, а мы не продаём и не передаём персональную информацию, — поэтому и отказываться не от чего, и такой сигнал мы считаем уже выполненным. Если это когда-нибудь изменится, мы будем сигнал соблюдать и сначала скажем об этом здесь.
• localStorage браузера используется только для функциональных настроек (ваш выбор темы и языка). Эти значения остаются в вашем браузере и нам не передаются. Они появляются только потому, что вы выбрали тему или язык, — поэтому баннер согласия для них не нужен.
• Сайт обслуживает Firebase Hosting (Google). Как и большинство веб-хостингов, провайдер может вести стандартные журналы сервера — IP-адрес, время запроса, тип браузера — для безопасности и для работы сервиса. Мы опираемся на законные интересы (статья 6(1)(f) GDPR), а именно на поддержание доступности сайта и его защиту от злоупотреблений, и журналы хранятся ровно столько, сколько нужно для этих целей.

19. Изменения этой политики

Мы будем обновлять эту политику по мере того, как меняется glumea. Обновлённая редакция публикуется здесь с новой датой вступления в силу вверху страницы, и эта дата всегда говорит, когда текущая редакция начала действовать.

Как вы об этом узнаете. О существенном изменении мы сообщим не менее чем за 30 дней до вступления в силу — письмом на адрес, указанный в вашем аккаунте, и публикацией новой редакции на glumea.com — и прямо скажем, что меняется. Само Приложение каналом уведомлений не является: в нём нет push-уведомлений, и мы не пользуемся им, чтобы отправлять вам сообщения, — так что до вас доходит именно письмо. То же обязательство берут на себя наши Условия обслуживания, и здесь оно действует по той же причине.

Если изменение означает, что мы стали бы обрабатывать уже имеющиеся у нас данные для новой цели или что нам понадобилось бы согласие, которого у нас ещё нет, мы запросим это согласие до вступления изменения в силу и не будем применять его задним числом.

20. Язык

Эта политика публикуется на английском, русском, польском и украинском языках. Юридическую силу имеет английская версия. Остальные три — переводы, опубликованные для того, чтобы вы могли прочитать политику на своём языке. При расхождении между переводом и английским текстом действует английский текст.

Исключение — сам закон. Если право страны, где вы живёте, придаёт языку, на котором к вам обратились, самостоятельное значение — а потребительское право ряда стран это делает, — применяется его правило, а не наше, и ничто здесь не отнимает у вас прав по нему.

Перевод публикуется, когда он готов, поэтому после обновления он может отставать от английского текста. Если вы нашли место, где перевод и английский текст говорят разное, напишите нам на [email protected].

21. Свяжитесь с нами

Вопросы, сомнения или запросы о ваших данных:

• Электронная почта: [email protected]
• Почта: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Польша

Связанные документы: Условия обслуживания, Медицинское предупреждение и — для жителей Вашингтона — наша Политика конфиденциальности потребительских данных о здоровье, а для жителей Невады — наше Уведомление о конфиденциальности потребительских данных о здоровье для Невады.