Integritetspolicy

1. Vilka vi är och vad den här policyn omfattar

Paweł Milewski Software Development (Operatören, ”vi”, ”oss”, ”vår”) tillhandahåller glumea (Appen), en mobilapp för egenvård vid diabetes, och glumea.com (Webbplatsen). Den här policyn förklarar vilka uppgifter vi samlar in, varför, var de lagras, vem som kan komma åt dem, hur länge de sparas, vad radering tar bort och vilka rättigheter och kontroller du har.

Den är också den information vi är skyldiga att ge dig enligt europeisk dataskyddslagstiftning: den information som artiklarna 13 och 14 i den allmänna dataskyddsförordningen (förordning (EU) 2016/679) kräver, och som vi härefter kallar GDPR. Den gäller både de uppgifter du själv ger oss och de uppgifter som når oss från någon annan källa.

Den här policyn omfattar:

Appen: mobilappen glumea för iOS och Android.
Webbplatsen: webbplatsen glumea.com, inklusive sidorna som innehåller de här juridiska dokumenten.

Webbplatsen samlar in nästan ingenting, och den har ett eget avsnitt längre ned.

Operatören är den personuppgiftsansvariga som ansvarar för dina personuppgifter:

Personuppgiftsansvarig: Paweł Milewski Software Development
Organisationsnummer: NIP PL6751782526 (enskild firma registrerad i CEIDG, det polska centrala registret och informationssystemet för näringsverksamhet)
Postadress: ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polen
E-post: [email protected]
Etableringsland: Polen

I tillämpliga fall:

Företrädare i EU: ej tillämpligt (vi är etablerade i Europeiska unionen)
Företrädare i Storbritannien: ingen utsedd
Dataskyddsombud: inget utsett; frågor om dataskydd går till [email protected]

”Personuppgiftsansvarig” betyder den part som avgör hur och varför dina personuppgifter behandlas, enligt definitionen i GDPR.

Två andra dokument gäller vid sidan av den här policyn, och du bör läsa dem tillsammans med den:

våra Användarvillkor, som reglerar din användning av Appen och Webbplatsen, och
vår Medicinska ansvarsfriskrivning, som anger de medicinska gränserna för vad Appen gör.

Om du är bosatt i Washington gäller ett fjärde dokument specifikt för dig: vår Integritetspolicy för konsumenthälsodata, som lagen i Washington kräver att vi publicerar separat. Om du befinner dig i Nevada är motsvarigheten vårt Integritetsmeddelande om konsumenthälsodata i Nevada.

2. Sammanfattning

En kort version av det som följer. Varje punkt anger det avsnitt som beskriver den fullt ut, och det avsnittet gäller.

Vilka vi är. Paweł Milewski Software Development avgör hur och varför dina uppgifter behandlas. Avsnitt 1 och 21.
Vad vi samlar in. Din e-postadress och ditt lösenord; den profil du anger under introduktionen; den dagbok du för, med blodsocker, mat, insulin, andra läkemedel, vikt, läkemedel och påminnelser; inloggningstoken och anslutningsloggar för servern. Poster från Apple Health eller Health Connect om du ansluter dem, och prenumerationsuppgifter om du prenumererar. Avsnitt 3.
Hälsodata. Dagboken, diabetestypen, behandlingsmetoden och terapiinställningarna är personuppgifter av särskild kategori enligt artikel 9 GDPR. Molnsynk har en separat bekräftelse för dagboken. Den nuvarande introduktionen inhämtar inget separat uttryckligt samtycke innan hälsoprofilen och terapiinställningarna lagras. Avsnitt 3.3 och 4.
Var den finns. Vissa av dina uppgifter finns på våra servrar från det att du skapar ett konto: dina kontouppgifter, din profil inklusive diabetestyp och behandling, och dina terapiinställningar. Din dagbok gör det inte: den skrivs först till en krypterad databas på din telefon, Appen fungerar offline, och den når våra servrar först om du slår på Molnsynk, en funktion i glumea+ som är avstängd tills du slår på den, och ett val som sparas på ditt konto snarare än på telefonen. Avsnitt 10 har hela tabellen.
Vem som tar emot den. Vår EU-baserade värdleverantör; en e-postleverantör om e-postutskick är aktiverat; PostHog och Sentry, var och en först efter att du har godkänt det; butiken om du prenumererar; och RevenueCat oavsett om du prenumererar eller inte. Vi säljer inte dina uppgifter, och Appen innehåller ingen reklam. Avsnitt 5, 7, 8 och 9.
Dina val. Analys och felrapportering är avstängda tills du godkänner var och en, och var och en har sitt eget reglage; att logga ut stoppar inte en SDK som redan körs under den sessionen. I Appen kan du stänga av synk, radera serverkopian av din dagbok, radera ditt konto och använda de exportfunktioner som finns. Avsnitt 5 och 13.
Dina rättigheter. Tillgång, rättelse, radering, begränsning, dataportabilitet, invändning, återkallande av samtycke och klagomål till en dataskyddsmyndighet; i USA de rättigheter som din delstats lag ger dig. Du kan radera ditt konto i Appen eller begära radering av kontot genom att skicka e-post till [email protected] utan Appen. Avsnitt 13, 14 och 17.
Vad radering inte når. Radering av ditt konto tar bort kontots poster i produktionsdatabasen och begär radering av de kontokopplade posterna hos RevenueCat och PostHog. Befintliga säkerhetskopior, server- och diagnostikloggar, butikens faktureringsposter och exporterade kopior kan finnas kvar enligt beskrivningen i avsnitt 12.

3. Uppgifter vi samlar in

Det mesta av det som anges här lämnar du själv direkt. Två kategorier gör du inte det: avläsningar du importerar från Apple Health eller Health Connect, och prenumerationsuppgifter som når oss från Apple, Google och RevenueCat. Båda beskrivs nedan.

3.1 Kontouppgifter

E-postadress och lösenord. Ditt lösenord hashas på våra servrar med bcrypt, lagras aldrig i klartext och sparas aldrig på din enhet. Din e-postadress finns också i den inloggningstoken som Appen använder.
Engångskoder för e-postverifiering, återställning av lösenord, byte av lösenord och byte av e-postadress. En kod går ut 10 minuter efter att den har utfärdats, och fem felaktiga försök gör den ogiltig.

3.2 Profiluppgifter

Samlas in under introduktionen:

För- och efternamn (lagras som smeknamn), ålder, kön (valfritt) och längd.
Diabetestyp (typ 1, typ 2, graviditetsdiabetes eller annan), behandlingsmetoder (insulin, tabletter, injektionsläkemedel, kost) och insulinets administreringssätt.

Din diabetestyp, dina behandlingsmetoder och ditt insulins administreringssätt är hälsodata, en ”särskild kategori” av personuppgifter enligt artikel 9 i GDPR, även om den här policyn grupperar dem under ”profil”. Avsnittet om rättslig grund nedan anger vilket villkor vi stöder oss på för dem.

3.3 Hälsodata du loggar (personuppgifter av särskild kategori)

Följande är hälsodata, en ”särskild kategori” av personuppgifter enligt artikel 9 i GDPR. Vi lagrar dem på våra servrar endast med ditt uttryckliga samtycke. Avsnittet om rättslig grund nedan anger hur det samtycket ges och vilka av dessa uppgifter som endast når våra servrar när molnsynk är på:

Blodsockervärden, med valfria kontexttaggar (måltidstidpunkt, fysiologi, aktivitet, läkemedel och teknik, samt taggar du skriver själv) och anteckningar i fritext.
Matposter: kolhydrater, plus valfritt protein, fett, kalorier och ett namn som du skriver.
Insulindoser: antal enheter, kopplade till det insulinläkemedel du har ställt in, bolus, basal eller mixinsulin.
Doser av injektionsläkemedel (till exempel GLP-1-agonister).
Antal intagna piller och tabletter.
Viktposter, var och en med den tidpunkt då du registrerade den.
Dina läkemedelskataloger: insulin-, tablett- och injektionsläkemedel som du ställer in, inklusive läkemedelsnamn (till exempel Fiasp, Lantus, Metformin, Ozempic) och farmakokinetiska parametrar (insättningstid, maximal effekt, verkningstid), samt de påminnelsetider du anger för dem.
Behandlingsinställningar som du anger: ditt målområde för blodsocker (som standard 3,9–10,0 mmol/L, eller 3,9–7,8 mmol/L vid graviditetsdiabetes, prediabetes eller ingen diabetesdiagnos), kolhydratkvot (ICR) och insulinkänslighetsfaktor (ISF). Appen använder aldrig någon av dem för att beräkna eller rekommendera en dos. Din kolhydratkvot lagras som referens för dig och ingenting annat läser den. Ditt målområde lagras och är också det som ritar upp målbandet i Tid i målområdet, sätter de inre gränserna för etiketten Bra / Måttligt / Kritiskt och avgör när formuleringen om risk för lågt blodsocker ändras. Din insulinkänslighetsfaktor används för att ta fram formuleringen om risk för lågt blodsocker och det ungefärliga sänkningsintervall som visas bredvid aktivt insulin. Den Medicinska ansvarsfriskrivningen beskriver allt detta.
Värden som Appen härleder på din enhet utifrån det du loggar: uppskattat aktivt insulin (en uppskattning endast för information: den rekommenderar eller beräknar inte en dos), formuleringen om risk för lågt blodsocker och det ungefärliga sänkningsintervall som visas bredvid den, trender, genomsnittligt blodsocker och dess spridning, Tid i målområdet, det uppskattade HbA1c-värdet (GMI), den föreslagna tidpunkten för ditt nästa värde och etiketten Bra / Måttligt / Kritiskt på ditt senaste värde. Den Medicinska ansvarsfriskrivningen anger vad vart och ett av dessa är och inte är.

Flera av dessa fält är fritext: blodsockeranteckningar, taggar du skriver själv, matnamn, egna läkemedelsnamn och namnet på en egen påminnelsetid. Det du skriver där lagras, och synkas om synk är på, exakt som du skrev det.

3.4 Uppgifter vi tar emot från andra källor

Apple Health och Health Connect. Om du ansluter dem läser Appen poster om blodsocker, kroppsvikt och kolhydrater i kosten från hälsoplattformen på din telefon. Detta är skrivskyddat: Appen skriver aldrig något tillbaka. På iOS ber den systemet endast om läsbehörighet och anger ingen anledning för att skriva, vilket en skrivning skulle kräva; på Android har den endast läsbehörigheter för de tre posttyperna. Poster som ursprungligen kom från en mätare, en CGM eller en annan app når därför glumea via hälsoplattformen. Importerade poster lagras på din enhet som vanliga poster, märkta med den plattform de kom från och postens identifierare. Om en importerad post också kopieras till våra servrar beror på om Molnsynk är på, på exakt samma sätt som för en post du skrivit in själv. Anslutningen är avstängd tills du slår på den, och du kan koppla från den eller stänga av enskilda datatyper när som helst i Inställningar → Integrationer.
Apple, Google och RevenueCat. Om du prenumererar på glumea+ når uppgifter om prenumerationen oss från butiken och från RevenueCat. Se avsnittet om glumea+ nedan för exakt vilka.

3.5 Tekniska uppgifter

Autentiseringstoken, lagrade i din enhets säkra lagring så att du förblir inloggad. Din session på våra servrar är en post som innehåller ett sessions-id, ditt användar-id och dess utgångstid.
När molnsynk är på behandlar våra servrar de data du synkar tillsammans med den bokföring som behövs för att driva synktjänsten, till exempel synktidsstämplar.
När Appen kommunicerar med våra servrar tar servrarna emot vanlig anslutningsinformation, till exempel din IP-adress, den begärda sökvägen och tidpunkten, som används för säkerhet och för att driva tjänsten.
Medan analys eller diagnostik är aktiverad skickar varje SDK de uppgifter som beskrivs i avsnitt 5. Båda är avstängda tills du godkänner dem.

3.6 Uppgifter som stannar på din enhet och uppgifter som inte gör det

Vissa saker når aldrig våra servrar: aviseringsinställningar, påminnelsetider för blodsockermätning, Tysta timmar, valet av detaljnivå i aviseringar, lokalt aviseringstillstånd, hälsoplattformens anslutningstillstånd, apptinställningar, telemetriinställningar och synkbokföring. Ett förbehåll: medan analys är aktiverad skickas språk-, tema- och enhetsinställningar till PostHog som profilattribut. Inget annat i den här listan lämnar enheten via vår backend.

Dina läkemedelsscheman är undantaget: de hör till dagboken, så de kopieras till våra servrar när Molnsynk är på, eftersom en läkemedelspåminnelse måste överleva en ny telefon.

Själva molnsynkreglaget är inte heller enbart enhetsbundet. Ditt svar på det sparas på ditt konto på våra servrar, så att det följer med dig till en ny telefon och överlever utloggning; avsnitt 10 beskriver vad det innebär i praktiken.

Filer som du skapar själv, ett .glumea-säkerhetskopieringsarkiv eller en CSV- eller PDF-blodsockerrapport, skrivs på din enhet och lämnas över till den app du väljer för att dela eller spara dem. Vart de tar vägen därefter ligger utanför vår kontroll, och en CSV- eller PDF-rapport är inte krypterad.

4. Varför vi behandlar dina uppgifter och vår rättsliga grund

Enligt GDPR behöver varje användning en rättslig grund enligt artikel 6, och personuppgifter av särskild kategori behöver dessutom ett villkor enligt artikel 9. De avsedda grunderna anges nedan. Det saknade samtyckessteget för profilen som beskrivs nedan ger inte det uttryckliga samtycke som behandlingen kräver.

Tillhandahålla ditt konto och Appen: skapa och skydda ditt konto, autentisering, e-postverifiering, återställning av lösenord, drift av molnsynk, tillhandahållande av glumea+ om du prenumererar, och att föra register över de prenumerationsaviseringar som butiken och RevenueCat skickar till oss så att vi kan se om glumea+ är aktivt och reda ut ett faktureringsproblem: fullgörande av avtal, artikel 6.1 b GDPR.
Lagra hälsodata på våra servrar: de avsedda grunderna är artikel 6.1 b för tjänsten och uttryckligt samtycke enligt artikel 9.2 a för hälsodata. Dagboken kopieras till våra servrar först efter den separata bekräftelsen för Molnsynk. Den nuvarande introduktionen lagrar profil och terapiinställningar på kontot utan ett separat steg för uttryckligt samtycke. Ett godkännande av ett avtal är inte automatiskt ett uttryckligt samtycke till behandling av särskilda kategorier av personuppgifter, så det nuvarande introduktionsflödet ger inte det villkoret enligt artikel 9. Att radera kontot är det enda genomförda sättet att ta bort dessa profil- och terapifält från produktionsdatabasen.
Produktanalys: samtycke enligt artikel 6.1 a, uttryckligt samtycke enligt artikel 9.2 a eftersom användning av en diabetesapp röjer hälsouppgifter, och samtycke enligt artikel 5.3 i ePrivacy-direktivet för lagring i SDK:n. Avsnitt 5 beskriver hur det samtycket inhämtas.
Diagnostik och kraschrapporter: den avsedda grunden är samtycke enligt artikel 6.1 a, uttryckligt samtycke enligt artikel 9.2 a eftersom användning av en diabetesapp röjer hälsouppgifter, och samtycke enligt artikel 5.3 i ePrivacy-direktivet för lagring i SDK:n, inhämtat på samma sätt som för analys (avsnitt 5).
Hålla tjänsten säker och förhindra missbruk: hastighetsbegränsning i vårt API och utredning av misstänkt missbruk: våra berättigade intressen, artikel 6.1 f GDPR. Det särskilda intresset är att skydda ditt konto och andra personers konton mot obehörig åtkomst och att hålla tjänsten tillgänglig. Vi stöder oss på detta endast där våra intressen inte åsidosätts av dina rättigheter.
Fullgöra en rättslig förpliktelse: där polsk lag kräver att vi sparar eller lämnar ut vissa uppgifter gör vi det med stöd av artikel 6.1 c GDPR. Vi stöder oss inte på denna grund för de hälsodata du loggar. Vi tar inte emot din betalning och får aldrig dina betalningsuppgifter, så betalnings- och faktureringsposterna för ditt köp hålls av butiken och inte av oss.

Vi fattar inga beslut om dig som har rättsliga följder eller liknande betydande följder för dig och som enbart grundas på automatiserad behandling, och vi profilerar dig inte för sådana beslut. Det förekommer ingen automatiserad individuell beslutsfattning i glumea i den mening som avses i artikel 22 GDPR. De uppskattningar som Appen visar, aktivt insulin, trender, Tid i målområdet, är aritmetik som utförs på din enhet med de data du har angett och visas endast för din information. De rekommenderar eller beräknar ingen insulindos eller läkemedelsdos, och de är inte medicinsk rådgivning.

Är det ett krav att lämna uppgifter? Du är inte enligt lag skyldig att lämna uppgifter. En e-postadress och ett lösenord krävs för ett konto. De profil- och terapifält som efterfrågas under introduktionen lagras på kontot, med förbehåll för den begränsning av samtycket som beskrivs ovan. Att logga poster, ansluta Apple Health eller Health Connect och molnsynk är valfritt. Analys och diagnostik är valfria och avstängda tills du godkänner dem.

5. Analys och diagnostik

Appen innehåller två SDK:er från tredje part för dessa ändamål: en för produktanalys och en för kraschrapporter och felrapporter. Det här avsnittet anger vad var och en är och vad den tar emot.

Båda är avstängda tills du godkänner dem, och ingen av SDK:erna startas före dess. Appen frågar i slutet av introduktionen, med ett separat reglage för var och en. Reglagen visas i läget på, men ingenting samlas in förrän du trycker för att fortsätta, och ett tryck på avstå-knappen avslutar introduktionen med båda avstängda. Om du loggar in på ett befintligt konto utan att gå igenom introduktionen förblir båda avstängda tills du slår på dem. De två inställningarna är oberoende av varandra och kan ändras när som helst i Inställningar → Data & integritet → Integritet & diagnostik. Att logga ut rensar båda svaren tillsammans med dina övriga inställningar, men en SDK som redan körs fortsätter att köra tills Appen stängs.

5.1 Produktanalys: PostHog

Vi använder PostHog (EU Cloud, eu.i.posthog.com) för att förstå hur Appen används så att vi kan förbättra den.

Vad PostHog kan ta emot medan analys är aktiverad:

Din glumea-kontoidentifierare: det interna UUID:t för ditt konto. Inte din e-postadress, inte ditt namn. När du är inloggad kopplas händelserna till den identifieraren, så de händelserna är inte anonyma. De händelser som kan ske innan du loggar in, eller efter att du har loggat ut, första start, appstarter, registrering och verifiering av en kod som skickats med e-post, bär i stället en pseudonym enhetsidentifierare, och den identifieraren genereras på nytt när Appen återställer SDK:n.
En fast lista med händelsenamn, ungefär 28 stycken, som rör sådant som att Appen öppnas, registrering, slutförd introduktion, att en post sparas, import från Apple Health, att ett aviseringstillstånd beviljas eller nekas, att en export skapas, att betalväggen öppnas och utfallet av ett köp eller en återställning.
Ett litet antal egenskaper, var och en från en sluten lista eller ett begränsat antal: vilken sorts post som sparades (blodsocker, mat, läkemedel eller vikt), hur många rader en sparning skrev, om en post loggades i stunden eller i efterhand, om en export var CSV eller PDF, vilket introduktionssteg som slutfördes, den allmänna kategorin för en påminnelse du tryckte på, och liknande. Ingen egenskap någonstans i systemet tar emot fritext.
Skärmen du befinner dig på, som en ruttmall som /settings/privacy. Siffror nekas, så en postidentifierare kan inte färdas inuti en sådan. En skärm som bara en sorts behandling når, till exempel insulininställningarna, rapporteras som skärmen ovanför den.
Ett fåtal profilattribut: ditt språk, ditt tema, dina enheter för blodsocker, vikt och kolhydrater, och om du har glumea+.
Vad PostHog-SDK:n lägger till av sig själv, utanför vår kontroll: enhetsmodell, operativsystem och version, appversion, SDK-version, tidszon, språkinställning, nätverkstyp och en sessionsidentifierare. PostHog får också den IP-adress som din förfrågan kommer från, som alla webbtjänster, och härleder en ungefärlig plats från den. Vi har inte slagit på PostHogs alternativ för att kassera den adressen, så den lagras tillsammans med händelsen.

Vad PostHog inte kan ta emot: ett blodsockervärde, en insulindos, ett läkemedelsnamn, vilken sorts läkemedel du tar, en anteckning, ett matnamn, en e-postadress eller någon annan fritext. Filtret som säkerställer detta är feltolerant åt det säkra hållet: en händelse som inte finns på listan kasseras i sin helhet, en egenskap som inte är deklarerad tas bort, och en deklarerad egenskap vars värde inte stämmer med den förväntade formen tas också bort. Det finns ingen egenskap av typen ”vilken sträng som helst” i systemet. Det finns ingen sessionsuppspelning, ingen skärminspelning, inga enkäter, ingen automatisk registrering av tryck och ingen push-token.

Händelserna är byggda så att de inte avslöjar din behandling eller dina värden. Insulin, tabletter och injektionsläkemedel rapporteras alla som en läkemedelspost. Ett tryck på ett larm om lågt eller högt blodsocker registreras inte alls, och inte heller det introduktionssteg som bara insulinanvändare ser. En import från Apple Health eller Health Connect rapporterar att den kördes och vad som startade den, aldrig hur många poster den läste. Händelserna är fortfarande kopplade till ditt konto medan du är inloggad, och användning av en diabetesapp röjer i sig hälsouppgifter, vilket är anledningen till att analys väntar på ditt samtycke.

Analys-SDK:n lagrar sin egen identifierare på din enhet, tillsammans med en kö av händelser som väntar på att skickas. Två begränsningar följer av hur SDK:n fungerar. Ett återkallande registrerar en sista händelse av sitt eget slag, att du har valt bort analys. Och den händelsen, tillsammans med allt som redan samlats in medan du samtyckte, levereras därefter enligt SDK:ns egen tidsplan och inte i samma stund som du återkallar. Inget nytt samlas in efter det.

5.2 Diagnostik och kraschrapporter: Sentry

Vi använder Sentry (regionen Europeiska unionen) för att ta reda på när Appen kraschar eller får fel, så att vi kan åtgärda det.

Varje innehållsbärande del av en rapport som Appen bygger återskapas från grunden innan den skickas, utifrån en lista över tillåtna fält och inte en lista över fält som ska tas bort. Ett dussin eller så återstående fält på toppnivå rensas i stället med namn, så ett fält som en framtida version av SDK:n lägger till fångas inte av den rensningen förrän vi lägger till det. Det som finns kvar efter den återskapningen är:

Undantagstypen, och en beräknad etikett i stället för det ursprungliga felmeddelandet.
Stackspårningen, med filnamn reducerade till basnamnet och, i releaseversioner, obfuskerade symbolnamn, de görs läsbara först hos Sentry med hjälp av den mappning vi laddar upp vid bygget.
Enhetsfamilj, modell, arkitektur, om det är en simulator och orientering.
Operativsystemets namn, version och bygge; appens namn, version och bygge; Dart-körningsmiljöns version.
Identifierare för felsökningsavbilder, som behövs för att göra inbyggda krascher läsbara.
Formen på brödsmulespåret, kategori, typ, nivå och tidsstämpel för de senaste händelserna, men aldrig deras innehåll.
Två etiketter: vilket område av Appen som fallerade, och om det hände i förgrunden eller i bakgrundsmotorn för aviseringar.
Utgåvan, byggnumret, miljön och ett slumpmässigt genererat händelse-id.

Det som tas bort helt: felmeddelandet, alla förfrågningsdata, alla användarobjekt, servernamnet, transaktionsnamnet, trådlistor, modullistor, värden på lokala variabler, källkodskontext, absoluta sökvägar, enhetens unika id och namn, den installationsbundna apphashen, brödsmulemeddelanden och brödsmuledata, skärmdumpar, vyhierarkier och alla bilagor. Skärmdumpar, inhämtning av vyhierarki, sessionsuppspelning, prestandaspårning, loggning och förfrågningskroppar är alla avstängda. Appen kopplar ingen användaridentifierare till en Sentry-händelse: inget konto-id, ingen e-postadress, inget enhets-id.

Två begränsningar för det ovanstående:

Inbyggda krascher, händelser av typen appen svarar inte och iOS-övervakningsavslut kan nå Sentry utan att passera den återskapningen, eftersom de produceras av operativsystemets krashanterare och inte av Appens egen kod. Det gäller också den periodiska signalen ”appsession startad / avslutad” som Sentry använder för att följa utgåvors hälsa. Vi kan inte granska dem på enheten och vi vet inte varje fält som plattforms-SDK:n lägger i en sådan. Vi sätter ingen identifierare som skulle koppla en av dem till dig.
Sentry får den IP-adress som rapporten skickas från.

Tills du godkänner diagnostik är Sentry inte startat. Att slå av reglaget stänger de rapportörer som nås av den kontrollen, men att logga ut inaktiverar inte pålitligt en redan initierad SDK i den pågående processen. Den nuvarande livscykeln kan därför inte beskrivas som ett omedelbart återkallande i alla lägen.

6. glumea+ och prenumerationsuppgifter

glumea+ är en prenumeration som säljs endast som ett köp i appen via Apple App Store och Google Play. Det finns inget annat sätt att köpa den, ingen webbkassa och inget kortformulär någonstans i Appen.

Inga betalningsuppgifter når oss. Apple eller Google tar betalningen. Vi ser aldrig ditt kortnummer, dina bankuppgifter eller din faktureringsadress. Uppsägning och återbetalningar hanteras via ditt butikskonto, Användarvillkoren förklarar var.
RevenueCat är den tjänst vi använder för att veta om din prenumeration är aktiv. Appen berättar en enda sak om dig för RevenueCat: din glumea-kontoidentifierare, som används som prenumerationens användar-id. Våra servrar frågar också RevenueCat om den identifieraren har en aktiv prenumeration, även när du aldrig har prenumererat, eftersom det är så vi får veta att du inte har det. Vi anger ingen e-postadress, inget visningsnamn, inget telefonnummer, ingen push-token, och vi ber den inte samla in enheters reklamidentifierare. RevenueCats egen SDK samlar också in viss enhets- och nätverksinformation för driften av RevenueCats tjänst, vilket beskrivs i dess egen integritetspolicy. Vi konfigurerar inte den insamlingen och vi tar inte emot det den ger.
Det Appen sparar lokalt är ett enda sant/falskt-värde: om glumea+ är aktivt. Inget pris, inget produkt-id, inget utgångsdatum och inget transaktions-id lagras på din enhet av Appen. Det värdet sätts till falskt när du loggar ut, så att nästa konto på enheten börjar utan prenumeration och måste kontrolleras mot butiken på egen hand.
Det våra servrar lagrar. RevenueCat skickar en avisering till vår backend när något ändras i en prenumeration, ett köp, en förnyelse, en uppsägning, ett faktureringsproblem. Vi registrerar var och en av dessa aviseringar som mottagen: händelse-id och typ, miljön, din glumea-kontoidentifierare och hela det meddelande som RevenueCat skickade, lagrat exakt som det kom och inte fält för fält. Det meddelandet innehåller vanligen produktidentifieraren, priset, valutan, butiken, landet samt köp- och utgångsdatum. Eftersom vi lagrar det i sin helhet kan det också innehålla de prenumerantattribut som RevenueCat har om dig, en e-postadress bland dem: även om vår App inte anger några egna. Vi skriver aldrig om meddelandet; en upprepad leverans av samma händelse uppdaterar bara vår räkning av hur många gånger det kom fram.
Medan analys är aktiverad skickas de trattsteg som beskrivs ovan till PostHog, tillsammans med ett profilattribut som anger om glumea+ är aktivt. Inget pris, ingen produktidentifierare och ingen butiksidentifierare skickas till analys.

Två konsekvenser följer. Webhook-loggen bär din glumea-kontoidentifierare men har ingen databasrelation till din kontorad. Vid radering av kontot tar vår backend bort dessa poster separat och begär radering av RevenueCats prenumerantpost under samma identifierare. I övrigt tar ett schemalagt jobb bort varje webhook-post 90 dagar efter att den kommit in. Avsnitt 12 beskriver vad som kan finnas kvar.

7. Vad vi inte gör

Inget av följande sker i glumea:

Ingen reklam, av något slag. Ingen reklam-SDK, ingen attributions-SDK, ingen reklamidentifierare. Appen kan inte visa iOS-frågan ”Be appen att inte spåra”, eftersom den inte har den post som skulle tillåta det, och den deklarerar inga nätverk för reklamattribution.
Ingen försäljning av dina uppgifter. Vi säljer eller hyr inte ut personuppgifter, och vi säljer inte hälsodata. Vi delar dem inte för kontextöverskridande beteendebaserad reklam.
Ingen användning av dina hälsodata för reklam, marknadsföring eller för att bygga en profil av dig åt någon annan.
Inga platsdata. Ingen åtkomst till dina kontakter, din kamera, din mikrofon, dina foton eller din kalender, Appen begär inga av de behörigheterna på någon av plattformarna.
Ingen Firebase i Appen: ingen Firebase Analytics, ingen Crashlytics, ingen Firebase Cloud Messaging. (Firebase Hosting driver däremot Webbplatsen, inklusive den här sidan, det är en annan Google-tjänst och den nämns nedan.)
Inga push-aviseringar och ingen enhetens push-token. Påminnelser schemaläggs och visas av din egen enhet; det finns ingen kanal från server till enhet alls.
Inga skärmdumpar, ingen skärminspelning, ingen sessionsuppspelning, ingen inhämtning av vyhierarki, från någon av de två SDK:er som beskrivs ovan.
Utöver PostHog och Sentry finns ingen annan analys-, telemetri- eller spårnings-SDK i Appen. De enda komponenter som öppnar en nätverksanslutning är Appens egen anslutning till våra servrar, PostHog, Sentry och RevenueCat.

8. Vem som tar emot dina uppgifter

Vi delar uppgifter med nedanstående tjänsteleverantörer för att driva glumea. Deras roller, deras egna integritetsmeddelanden och de avtalsvillkor som gäller för vår användning av respektive tjänst styr den behandlingen. RevenueCats SDK samlar också in enhets- och nätverksinformation av sig själv. Vi konfigurerar inte den insamlingen och tar inte emot dess resultat, så beskrivningen av den kommer från RevenueCats integritetsmeddelande och inte från våra system.

Google (Google Cloud Run och Google Cloud SQL, regionen europe-west1), är värd för vår backend och den databas som innehåller allt du synkar, inklusive dina hälsodata. Google Secret Manager håller våra serveruppgifter och Google Cloud Logging håller våra serverförfrågningsloggar.
Google (Firebase Hosting), driver glumea.com och de här juridiska dokumenten.
Sentry (regionen Europeiska unionen), tar emot de diagnostikrapporter som beskrivs ovan medan diagnostik är aktiverad enligt det nuvarande inställningsbeteendet.
PostHog (EU Cloud), tar emot de analyshändelser som beskrivs ovan medan analys är aktiverad enligt det nuvarande inställningsbeteendet.
RevenueCat (USA), tar emot din glumea-kontoidentifierare och ditt prenumerationstillstånd, oavsett om du prenumererar eller inte: att kontrollera att du inte är prenumerant använder samma identifierare som att bekräfta att du är det. Som nämnts ovan samlar dess SDK dessutom in enhets- och nätverksinformation som vi inte konfigurerar och inte tar emot; RevenueCats eget integritetsmeddelande beskriver den.
Zoho ZeptoMail: om e-postutskick i produktion är aktiverat tar den här leverantören emot mottagarens e-postadress och det verifierings- eller lösenordsåterställningsmeddelande som behövs för att leverera det. Ingen e-postleverantör tar emot de meddelandena medan utskick är avstängt.

Apple och Google är inte våra personuppgiftsbiträden. De driver de butiker där glumea+ säljs, de tar betalningen, och de är självständigt personuppgiftsansvariga för de köpuppgifter de har om dig. Vad de samlar in styrs av deras egna integritetspolicyer, inte av den här.

Utöver det lämnar vi ut personuppgifter endast om lagen kräver det, till exempel ett bindande beslut från en domstol eller myndighet, eller på din anvisning.

Om Paweł Milewski Software Development någon gång är involverat i en fusion, ett förvärv eller en försäljning av tillgångar skulle dina uppgifter fortsatt skyddas av den här policyn, och vi skulle meddela dig innan dina uppgifter blir föremål för en annan integritetspolicy.

9. Internationella överföringar

Var varje mottagare behandlar dina uppgifter:

Ditt konto, din profil och dina synkade hälsodata lagras i EU: Google Cloud, europe-west1 (Belgien). Lagringsplatsen är inte hela svaret. Google kan komma åt dessa data från länder utanför EES, för support och för att driva plattformen, och det är en överföring i sig. Den stöder sig på standardavtalsklausulerna i Googles Cloud Data Processing Addendum.
Analys går till PostHogs EU Cloud, som lagrar den i EU. Där PostHog kan komma åt den från länder utanför Europeiska ekonomiska samarbetsområdet stöder sig överföringen på standardavtalsklausulerna i PostHogs personuppgiftsbiträdesavtal.
Diagnostik går till Sentry i dess region Europeiska unionen. Där det är utanför Europeiska ekonomiska samarbetsområdet stöder sig överföringen på standardavtalsklausulerna i Sentrys personuppgiftsbiträdestillägg.
Webbplatsen levereras av Firebase Hosting från Googles innehållsdistributionsnätverk, så en begäran om en sida kan betjänas från, och loggas på, en plats utanför Europeiska ekonomiska samarbetsområdet. Där det sker stöder sig överföringen på standardavtalsklausulerna i Googles Cloud Data Processing Addendum.
Prenumerationstillstånd går till RevenueCat i USA. Där det är utanför Europeiska ekonomiska samarbetsområdet stöder sig överföringen på standardavtalsklausulerna i RevenueCats personuppgiftsbiträdestillägg.
Om e-postutskick i produktion är aktiverat levereras verifierings- och lösenordsåterställningsmeddelanden av Zoho ZeptoMail, som behandlar mottagarens e-postadress inom Europeiska unionen (Zoho Corporation B.V., Zohos EU-datacenter i Nederländerna och Irland). Där det är utanför Europeiska ekonomiska samarbetsområdet är den tillämpliga överföringsmekanismen standardavtalsklausulerna i Zohos personuppgiftsbiträdestillägg.
Apple och Google behandlar köpuppgifter enligt sina egna arrangemang, som självständigt personuppgiftsansvariga.

Där en leverantör kan komma åt uppgifter från länder utanför EES, även för support, är den åtkomsten också en överföring och måste ha ett lämpligt skydd enligt kapitel V i GDPR. Mekanismen för varje mottagare anges ovan. För användare i Storbritannien är motsvarande mekanism UK Addendum till EU:s standardavtalsklausuler, eller IDTA där en leverantör använder den formen enligt UK GDPR. Allmän kontakt för dataskydd: [email protected]. Inget separat automatiserat arbetsflöde för begäran om kopia av skyddsåtgärderna är för närvarande genomfört.

10. Var dina uppgifter lagras

glumea är offline-först. Det här avsnittet är det fullständiga svaret på ”vad av mitt finns på era servrar?”: allt annat i den här policyn pekar hit.

Vad	På din telefon	På våra servrar	Från när	Hur du tar bort det
Din dagbok, poster, läkemedelskataloger, läkemedelsscheman	Alltid	Endast med Molnsynk på	Från det att du slår på reglaget	Slå av reglaget och Radera serverdata; eller radera ditt konto
Din profil, namn, ålder, längd, diabetestyp, behandlingsmetoder, insulinets administreringssätt	Ja	Alltid	Från introduktionen, oavsett om du använder synk	Radera ditt konto
Dina terapiinställningar, målområde, kolhydratkvot, insulinkänslighetsfaktor	Ja	Alltid	Från det att du anger dem	Radera ditt konto
Ditt konto, e-postadress, hashat lösenord, inloggningssessioner	Endast inloggningsuppgifter	Alltid	Från det att du skapar kontot	Radera ditt konto
Allt i avsnitt 3.6, påminnelser, Tysta timmar, apptinställningar	Ja	Aldrig	Ej tillämpligt	Logga ut, eller avinstallera

Resten av det här avsnittet är detaljerna bakom tabellen.

All data du anger skrivs först till en lokal databas på din enhet. Appen kan användas fullt ut utan internetanslutning.
Den lokala databasen är krypterad. Den öppnas med en 32-byte-nyckel som finns i din enhets nyckellagring, med en inställning som inte flyttas över till en annan enhet. Konsekvenser du bör känna till innan du byter telefon: på Android har vi stängt av molnsäkerhetskopiering och överföring mellan enheter för Appen, så ingen ny säkerhetskopia av den görs; på iOS kan en kopia av databasen fortfarande hamna i en iCloud-säkerhetskopia, men den är oläsbar utan nyckeln, och nyckeln lämnar aldrig enheten. Att återställa den säkerhetskopian på en ny telefon för därför inte med sig din dagbok: Appen hittar en databas den saknar nyckel till, vägrar öppna den i stället för att tyst börja tom, och kör inte på den telefonen förrän du installerar om den eller rensar dess data. Att flytta till en ny telefon sker via molnsynk, eller via ett .glumea-arkiv som du själv exporterar och importerar.
Ett konto åt dig finns på våra servrar från det att du skapar det. Det innehåller dina kontouppgifter, din profil, inklusive din diabetestyp, dina behandlingsmetoder och ditt insulins administreringssätt, och dina terapiinställningar: ditt målområde, din kolhydratkvot och din insulinkänslighetsfaktor. De finns på våra servrar oavsett om du använder molnsynk, och sättet att ta bort dem är att radera ditt konto.
Molnsynk är en funktion i glumea+, och den är avstängd tills du slår på den. Det den styr är om din dagbok också kopieras till våra servrar: dina poster, dina läkemedelskataloger och dina läkemedelsscheman. Att slå på den sker i två steg, och du kan sluta vid vilket som helst. Utan en aktiv prenumeration på glumea+ visar Appen prenumerationsskärmen i stället för att slå på något. Med en aktiv prenumeration ber Appen dig sedan att, i ett eget steg, bekräfta att du godkänner att dina hälsodata, blodsockervärden, insulin- och läkemedelsposter, mat- och viktposter och allt du har skrivit i en anteckning lagras på våra servrar. Den frågar det varje gång reglaget slås på, inte bara första gången. Den bekräftelsen är ditt uttryckliga samtycke enligt artikel 9.2 a GDPR för dagboken. Du kan återkalla det när som helst genom att slå av Molnsynk, och ta bort det vi redan har med länken Radera serverdata i samma panel. Med synk avstängd stannar allt du loggar enbart på din enhet.
När synk är på lagras dina data i vår backend på api.glumea.app, som körs på Google Cloud Run med en Google Cloud SQL PostgreSQL-databas, i Googles region europe-west1 (Belgien).

Reglaget tillhör ditt konto, inte telefonen. Vi sparar ditt svar på våra servrar, och Appen läser tillbaka det därifrån när du loggar in och när den återansluter. Därför överlever det utloggning, och det följer med dig: slå på synk, logga in på en annan telefon, och synk är på även där utan att du tillfrågas igen. Att slå av det registreras på samma sätt. Om du slår av det medan du är offline behåller Appen det svaret och levererar det till våra servrar vid nästa tillfälle, ett återkallande rullas aldrig tillbaka för att en förfrågan misslyckades. På en delad enhet fungerar det tvärtom jämfört med ett reglage som bara gäller enheten: den som loggar in får sitt eget kontos svar, inte det som den senaste personen lämnade efter sig.

Om glumea+ upphör slutar nya poster säkerhetskopieras, det återkallar inte ditt samtycke och det raderar ingenting. När en prenumeration löper ut, sägs upp eller återbetalas slutar Appen kopiera nya poster till våra servrar. Redigeringar och borttagningar av poster som redan finns där når fortfarande våra servrar, och Appen hämtar fortfarande från dem. Molnsynk-panelen visar Redigeringar och borttagningar synkas fortfarande · Nya poster stannar på den här enheten. Det som redan finns på våra servrar blir kvar där, det som finns på din enhet blir kvar där, och ditt sparade svar på samtyckesfrågan lämnas som det var, så om du prenumererar igen återupptas hela säkerhetskopieringen på det sparade svaret utan att fråga dig en andra gång. Om du hellre vill att den inte gör det, slå av reglaget: att slå av det, och länken Radera serverdata bredvid, är båda tillgängliga oavsett om en prenumeration är aktiv. Att en prenumeration upphör tar aldrig bort din möjlighet att återkalla samtycke eller att få serverkopian raderad.

Synk kan också sluta utan att du rör det reglaget. Din inloggningssession kan gå ut, och när den gör det loggar vi inte ut dig och vi raderar ingenting: Appen behåller varje post på din enhet, parkerar säkerhetskopieringen och väntar. Molnsynk-panelen visar då Pausad och talar om att inget synkas förrän du loggar in igen, och skärmen Sammanfattning visar en banderoll om den utgångna sessionen. Allt du loggar under tiden stannar på enheten och når våra servrar först när du har loggat in igen. Om du förlitar dig på serverkopian för att överleva en förlorad telefon är den banderollen det du ska agera på.

Kopian på våra servrar skyddas av transportkryptering, av Googles lagringskryptering och av våra åtkomstkontroller. Den är inte end-to-end-krypterad, och vi kan läsa den. glumea är inte en zero-knowledge-tjänst. Den enda artefakt i hela systemet som vi inte kan öppna är ett .glumea-arkiv, eftersom det är krypterat med ett lösenord som bara du känner till.

11. Hur länge vi sparar dina uppgifter

Vi sparar dina uppgifter under de perioder som anges nedan.

Kontouppgifter, profil och terapiinställningar: sparas på våra servrar så länge ditt konto finns.
Hälsoposter och läkemedelskataloger som du har synkat: sparas så länge ditt konto finns, eller tills du raderar serverkopian eller raderar ditt konto. Att ta bort en enskild post fungerar annorlunda: den försvinner från den enhet där du tog bort den, och från den enheten enbart. Kopian på våra servrar blir kvar, så posten kan komma tillbaka vid en ominstallation, på en ny telefon eller efter att du loggat ut och in igen. Endast Radera serverdata eller radering av ditt konto tar bort de raderna från våra servrar.
Borttagningsmarkörer för poster du har tagit bort: där borttagningen av en enskild post faktiskt når våra servrar sparas raden som en markör som fortfarande bär sitt värde, sina taggar och sina anteckningar, så att borttagningen kan färdas till dina andra enheter. Vi har inget jobb som rensar dem, så de blir kvar så länge ditt konto finns. Att använda Radera serverdata, eller radera ditt konto, tar bort dem.
Inloggningssessioner: en åtkomsttoken gäller i 15 minuter. Sessionsposten på våra servrar går ut efter 90 dagar utan användning. Att logga ut återkallar den omedelbart, så den aldrig kan användas igen, men själva raden tas bort av ett jobb varje timme när 90-dagarsfönstret har löpt ut. Att radera ditt konto tar bort den på en gång.
Engångskoder: går ut 10 minuter efter att de har utfärdats, och ett jobb varje timme markerar utgångna koder som oanvändbara. Vi rensar inte själva posterna: de blir kvar tills du raderar ditt konto, vilket tar bort dem tillsammans med allt annat.
Serversäkerhetskopior: 7 dagar. Data som raderats från den levande databasen finns kvar i säkerhetskopior tills de skrivs över.
Serverförfrågningsloggar, som innehåller IP-adresser: 30 dagar.
Analyshändelser hos PostHog: 12 månader.
Diagnostikrapporter hos Sentry: 90 dagar.
Poster om prenumerationsaviseringar: upp till 90 dagar från det att varje meddelande når oss, om inte radering av kontot tar bort dem tidigare. Det schemalagda jobbet räknar ålder och behåller inte en rad på grund av en pågående faktureringstvist.
Data som lagras endast på din enhet: blir kvar där tills du raderar den, loggar ut, använder raderingsfunktionen för konto i appen eller avinstallerar Appen. En begäran om radering av konto via e-post kan inte radera en enhet på distans.

12. Radering: vad som händer och var

Innan du börjar. Två saker är viktigare än allt nedan, och båda finns i Användarvillkoren: säg upp din prenumeration på glumea+ i butiken först, eftersom radering av ditt glumea-konto inte stoppar debiteringarna (avsnitt 13.1 där), och exportera först, eftersom vi inte kan bygga en export åt dig när dina rader är borta (avsnitt 13.3 där).

Tre olika kontroller, tre olika resultat. De är lätta att förväxla, så:

Kontroll	Var den finns	Vad den tar bort	Vad den behåller	Vad som kan ångra den
Ta bort en enskild post	Där du loggade den	Den posten, på den enheten enbart	Serverkopian, som kan få tillbaka den	En ominstallation, en ny telefon, eller att logga ut och in igen
Radera serverdata	Molnsynk-panelen, som öppnas med molnknappen på Sammanfattning eller Historik, inte Inställningar	Serverkopian av dina poster, läkemedelskataloger och scheman	Ditt konto, din profil, dina terapiinställningar och allt på din telefon	Att slå på synk igen laddar upp från din telefon på nytt
Radera konto	Inställningar → Konto, eller e-post till [email protected] om du inte kan använda Appen	Ditt konto och tillhörande produktionsdata på våra servrar; vägen via Appen rensar också den här enheten	Befintliga säkerhetskopior, vissa leverantörsposter och data på enheter som inte nås av raderingen i appen	Ingenting återställer det raderade kontot

Radera serverdata kräver en aktiv inloggning och att reglaget Synk först är avstängt; de tre noteringarna i slutet av det här avsnittet förklarar varför.

Att radera ditt konto i Appen tar bort det från vår produktionsdatabas omedelbart. En verifierad begäran via e-post använder samma raderingsväg på serversidan. Så här går det till på varje plats.

Vår produktionsdatabas: radering av ditt konto utför en hård radering av din användarpost när du bekräftar det i Appen eller en operatör slutför en verifierad begäran via e-post. Allt som hör till den tas bort med den genom databaskaskad: din profil, dina terapiinställningar, varje synkad post om blodsocker, mat, vikt, insulin, piller och injektionsläkemedel, dina läkemedelskataloger och scheman, dina sessioner och dina väntande verifierings- och återställningskoder. Det finns ingen flagga för mjuk radering och ingen återställning.
Poster om prenumerationsaviseringar: varje rad innehåller din glumea-kontoidentifierare och hela det meddelande som RevenueCat skickade. Den är inte kopplad till din kontorad, så den automatiska kaskaden når den inte, men raderingstjänsten tar bort den separat i samma transaktion. Utan radering av kontot tar ett schemalagt jobb bort varje rad efter 90 dagar.
RevenueCat: radering av ditt konto köar en begäran om att ta bort prenumerantposten under din kontoidentifierare. Vi försöker begäran omedelbart och försöker igen om leverantören inte är tillgänglig. Butikens faktureringshistorik ligger utanför vår kontroll.
PostHog: radering av ditt konto köar en begäran om att ta bort den kontokopplade analysprofilen och dess händelser och inspelningar. Vi försöker omedelbart och försöker igen om leverantören inte är tillgänglig. PostHog kan slutföra en godtagen massradering asynkront. Händelser före inloggning använder en separat pseudonym enhetsidentifierare.
Serversäkerhetskopior: en kopia av det som raderades finns kvar i vår värdleverantörs automatiska databassäkerhetskopior tills de skrivs över: 7 dagar, och i inget fall längre än sex månader efter autentisering där den lagstadgade gränsen gäller. Enskilda poster redigeras inte inuti en säkerhetskopia. En återställning vid katastrof kan därför tillfälligt återinföra rader som raderats från produktionen.
Serverloggar: radering av ditt konto raderar inte i efterhand serverförfrågningsloggar, som sparas i 30 dagar.
Sentry: Appen kopplar ingen kontoidentifierare, e-postadress eller användarpost till en diagnostikrapport. Det finns därför inget stött sätt att hitta eller radera en enskild användares rapporter. Rapporter som produceras av operativsystemets krashanterare passerar inte Appens filter, och vi vet inte varje fält som plattforms-SDK:n lägger till. Rapporter går ut enligt Sentrys lagringstid: 90 dagar. Artikel 11.2 GDPR behandlar uppgifter för vilka den personuppgiftsansvarige verkligen inte kan identifiera den registrerade.
Apple och Google: dina köp- och prenumerationsposter tillhör butiken, inte oss. Att radera ditt glumea-konto säger inte upp en prenumeration och raderar ingenting hos Apple eller Google. Säg upp i dina kontoinställningar i butiken; deras poster styrs av deras policyer och av skattelagstiftning.
Din egen enhet: att radera kontot i Appen, logga ut eller byta konto raderar den lokala databasen, sessionsuppgifterna och sparade inställningar från den enheten. En begäran via e-post kan inte rensa en enhet på distans. Att rensa en telemetriinställning inaktiverar inte pålitligt en SDK som redan initierats i den pågående processen. En flagga för första installationen och databaskrypteringsnyckeln kan överleva en rensning i appen, men ingen av dem innehåller dagboksdata. En iCloud-enhetssäkerhetskopia kan innehålla en oläsbar krypterad databaskopia; Android-säkerhetskopiering är avstängd för Appen.
Kopior du själv har gjort: ett .glumea-arkiv, en CSV, en PDF-rapport, allt du delat eller sparat någon annanstans: de är dina och ligger utanför vår räckvidd. Radera dem där du har lagt dem.

För att sammanfatta tidpunkterna: raderingen i produktionsdatabasen sker när du bekräftar den i Appen, eller när en operatör slutför en verifierad begäran via e-post. Begäranden om radering hos RevenueCat och PostHog görs omedelbart och köas för nytt försök vid fel. En kopia kan finnas kvar i värdens säkerhetskopior tills de skrivs över, inom 7 dagar.

Själva databaskaskaden når inte serverförfrågningsloggar, Sentry-rapporter, poster om prenumerationsaviseringar eller leverantörsposter. Raderingstjänsten tar separat bort prenumerationsaviseringarna och begär radering av posterna hos RevenueCat och PostHog. Serverloggar och Sentry-rapporter går ut enligt sina konfigurerade lagringstider.

Radering är permanent. Raderade data kan inte återställas, så om du kan behöva dina uppgifter senare, för ditt vårdteam till exempel, skaffa en kopia först med de exportalternativ som beskrivs under dina rättigheter.

Du kan också begära radering av kontot via e-post utan Appen. Vi verifierar ägandet innan vi behandlar begäran.

Tre saker till om den snävare kontrollen Radera serverdata, som tar bort serverkopian av dina poster, dina läkemedelskataloger och dina läkemedelsscheman men behåller ditt konto, din profil, dina terapiinställningar och allt på din enhet:

Den kräver en aktiv inloggning. Om din session har gått ut, det tillstånd som avsnitt 10 beskriver, där panelen visar Pausad: länken ber dig logga in igen och gör ingenting förrän du gör det. Det räcker att logga in igen; ingenting går förlorat under tiden.
Den kräver att Molnsynk först är avstängd. Om du slår på synk igen efteråt köas och laddas de poster som fortfarande finns på din enhet upp igen, raderingen på servern ogörs av din egen enhet.
Den fortplantar sig inte till dina andra enheter. De behåller sina lokala kopior och underrättas inte.

13. Dina kontroller i Appen

Du behöver inte mejla oss för att styra dina uppgifter. Appen ger dig dessa inbyggda kontroller:

Radera konto: i Inställningar → Konto, efter att du har skrivit ett bekräftelseord. Utför den hårda radering på serversidan som beskrivs ovan och raderar Appens lokala databas, sessionsuppgifter och inställningar från den enheten. Du kan också begära radering av kontot på serversidan via [email protected] om du inte kan använda Appen. Avsnitt 12 anger vad som finns kvar.
Radera serverdata: länken radera dem i raden under reglaget Synk i Molnsynk-panelen, som öppnas med molnknappen högst upp på skärmen Sammanfattning eller Historik och inte från Inställningar. Länken visas alltid, men fungerar först när reglaget är avstängt. Hårdraderar serverkopian av dina poster, dina läkemedelskataloger och dina läkemedelsscheman, medan ditt konto och data på din enhet behålls. Den når inte längre än så: din profil och dina terapiinställningar blir kvar på våra servrar tills du raderar ditt konto. Läs de tre noteringarna strax ovan.
Molnsynk: reglaget Synk i samma panel, och en funktion i glumea+. Slå av det när som helst för att hindra att ny data når våra servrar, vilket också är hur du återkallar ditt samtycke till att vi lagrar den; att slå av det kräver aldrig en aktiv prenumeration. Data som redan synkats blir kvar på våra servrar tills du använder Radera serverdata eller Radera konto. Ditt svar på det här reglaget sparas på ditt konto, så det överlever utloggning och följer med dig till en ny telefon.
Användningsanalys och Felrapportering: två oberoende reglage i Inställningar → Data & integritet → Integritet & diagnostik. Båda är avstängda tills du slår på dem. Att slå av ett uppdaterar inställningen, men köade data kan fortfarande levereras och utloggning stänger inte pålitligt en SDK som redan initierats i den pågående processen.
Apple Health / Health Connect: anslut, koppla från eller stäng av enskilda datatyper i Inställningar → Integrationer. Du kan också återkalla behörigheten i själva hälsoplattformen.
Visa detaljer i aviseringar (Inställningar → Aviseringar): avstängt om du inte slår på det. Tills du gör det visar aviseringar generisk text.
Logga ut: raderar Appens lokala databas, dina sessionsuppgifter och dina inställningar från enheten, inklusive dina val om analys och diagnostik. Ingenting du loggat och inget val du gjort hålls kvar; avsnittet om radering anger de två tekniska värden som blir kvar.
Export: ett lösenordsskyddat .glumea-arkiv med dina poster, läkemedel, profil, terapimål och påminnelser, från Inställningar → Data & integritet → Importera och exportera data. CSV- och PDF-blodsockerrapporterna är en separat sak, som skapas från blodsockerskärmens egen exportpanel; arkivet och CSV:n är gratis, och PDF-rapporten är en funktion i glumea+.

[email protected] tar emot begäranden om radering av konto utan Appen. Andra rättighetsbegäranden utanför appen kan också skickas dit, men raderingsvägen för kontot erbjuder inget separat automatiserat exportverktyg eller rättelseverktyg.

14. Dina rättigheter

Enligt GDPR har du rätt att:

Få tillgång till dina personuppgifter och få en kopia av dem.
Rätta felaktiga eller ofullständiga uppgifter. Du kan redigera poster och läkemedel där du loggade dem, din profil i Inställningar → Konto och terapiinställningar där du angav dem. Inget separat arbetsflöde för rättelse utanför appen är för närvarande genomfört.
Radera dina uppgifter (”rätten att bli bortglömd”). Avsnittet om radering ovan talar om exakt vad radering når och vad den inte når.
Begränsa behandlingen i vissa situationer.
Dataportabilitet: få de uppgifter du har lämnat i ett strukturerat, allmänt använt och maskinläsbart format där lagen ger den rätten. CSV-exporten av blodsocker i appen är maskinläsbar och okrypterad. .glumea-arkivet innehåller poster, läkemedel, profil, terapimål och påminnelser, men det är krypterat med ett lösenord som bara du känner till och kan importeras endast till det glumea-konto som skapade det. Ingen ytterligare anpassad export finns för närvarande tillgänglig via [email protected].
Invända mot behandling som grundas på våra berättigade intressen.
Återkalla samtycke när som helst. Återkallandet påverkar inte behandling som var laglig före återkallandet. För synkade dagboksdata, slå av Molnsynk och använd Radera serverdata, eller radera ditt konto. För analys och diagnostik, använd de två reglagen i Inställningar → Data & integritet → Integritet & diagnostik. Det finns ingen kontroll för att ta bort enbart profilen eller enbart terapiinställningarna, och inget sådant arbetsflöde är för närvarande tillgängligt via [email protected]. Att radera kontot är det enda genomförda sättet att ta bort de fälten från vår produktionsdatabas.
Klaga hos en tillsynsmyndighet. Vår ansvariga tillsynsmyndighet är ordföranden för den polska dataskyddsmyndigheten (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warszawa, Polen. Du kan också klaga hos dataskyddsmyndigheten i den EU-medlemsstat där du bor, där du arbetar eller där du anser att en överträdelse har skett. Om du befinner dig i Storbritannien kan du klaga hos Information Commissioner’s Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF.

Använd kontrollerna i appen som beskrivs i avsnitt 13 där de täcker den begärda åtgärden. För radering av konto utan Appen, skicka e-post till [email protected]. Andra rättighetsbegäranden kan också skickas dit; den här raderingsvägen för konto erbjuder inte i sig ett separat verktyg för tillgång, export eller rättelse.

Om en personuppgiftsansvarig inte agerar på en begäran enligt GDPR kräver artikel 12 att den förklarar skälet inom en månad och anger vilka vägar för klagomål och rättslig prövning som finns. De vägarna förblir tillgängliga oavsett om du kontaktar den personuppgiftsansvarige igen.

Identitetskontroll. Radering i appen bygger på din autentiserade session. För en begäran via e-post bekräftar vi att du har kontroll över den e-postadress som är kopplad till kontot. Om du inte kommer åt den prövar vi om det finns något annat sätt att verifiera ägandet innan vi raderar kontot. Vi ber inte om ditt lösenord eller dina hälsouppgifter för att behandla begäran.

15. Hur vi skyddar dina uppgifter

Lösenord hashas med bcrypt, lagras aldrig i klartext och lagras aldrig på din enhet.
Den lokala databasen på din enhet är krypterad, med en nyckel i plattformens nyckellagring som inte flyttas över till en annan enhet.
Autentiseringstoken förvaras i din enhets säkra lagring, iOS Keychain eller den Android Keystore-baserade lagringen.
Appen kommunicerar med våra servrar över HTTPS, och båda plattformarna blockerar anslutningar i klartext som standard, vi har inte lagt till något undantag från det på varken iOS eller Android.
Vår databas körs inuti Google Cloud, nåbar endast via en privat Cloud SQL-socket, med inloggningsuppgifter i Google Secret Manager.
Vi skriver inte de värden du loggar, blodsockervärden, insulindoser, i våra applikationsloggar. En felloggrad registrerar statuskoden, sökvägen, tidpunkten och felmeddelandet, som för en avvisad begäran anger de fält som misslyckades med valideringen. Den innehåller inte förfrågans kropp.
Aviseringar visar som standard generisk text, så en avisering lägger inte dina hälsodata på din låsskärm.
Åtkomst till produktionsdatabasen är begränsad till de personer som driver tjänsten, vilket betyder att vi kan läsa den. Det som skyddar den från alla andra är åtkomstkontroll och kryptering under överföring och i vila.

Inget system är helt säkert. Åtgärderna ovan är vad vi gör för att begränsa hur långt de känsliga delarna av dina uppgifter exponeras.

En incident som rör personuppgifter kan utlösa underrättelse till tillsynsmyndigheter eller berörda personer enligt artiklarna 33 och 34 GDPR, FTC:s Health Breach Notification Rule eller annan tillämplig lag. Varje regelverk har sin egen omfattning och sin egen tidsfrist, och dessa lagstadgade skyldigheter gäller oberoende av den här policyn.

16. Barn

glumea riktar sig inte till barn. Du måste vara minst 16 år gammal för att använda Appen. Det är ett villkor för tjänsten oavsett var du befinner dig. Vi erbjuder ingen väg för målsmans godkännande. Processen för radering av konto i appen och begränsningarna i avsnitt 12 gäller för alla konton som identifieras som tillhörande en person under 16 år. Oro för ett konto som tillhör en underårig kan skickas till [email protected].

17. Information till användare i USA

Integritetslagstiftningen i USA varierar mellan delstater, och tillämpligheten beror på bosättning, lagstadgade tröskelvärden och vilken typ av uppgifter det gäller. Kontrollerna i appen som beskrivs i avsnitt 13 är tillgängliga oberoende av de tröskelvärdena. Tillämpliga lagstadgade rättigheter gäller fortfarande även där den nuvarande produkten saknar ett separat arbetsflöde för begäran.

HIPAA: glumea är en direkt-till-konsument-produkt. Vi tillhandahåller ingen sjukvård, vi behandlar inga ersättningsanspråk, och vi har inget avtal med en sjukvårdsplan eller en vårdgivare om att hantera uppgifter för deras räkning, så vi har inte någon av de roller som HIPAA reglerar, ”covered entity” eller ”business associate”, och vi påstår oss inte följa HIPAA. Uppgifter som din egen läkare har om dig omfattas av HIPAA hos läkaren; det är separat från den kopia du har i glumea. De amerikanska regler vi arbetar efter för glumea är FTC:s Health Breach Notification Rule och de delstatliga hälsointegritetslagar som anges nedan.
Kalifornien (CCPA/CPRA): tillämpligheten beror på de lagstadgade tröskelvärdena för företag. De uppgifter som beskrivs här kan omfatta känsliga personuppgifter. Vi säljer inte personuppgifter och delar dem inte för kontextöverskridande beteendebaserad reklam. Om CCPA är tillämplig gäller dess regler om tillgång, rättelse, radering, portabilitet, avståndstagande och icke-diskriminering oberoende av den här policyn. Kontrollerna i appen och begäran om radering av konto via e-post är fortsatt tillgängliga oavsett tröskelvärde.
Washington (My Health My Data Act): de data du loggar är ”consumer health data”. Washington kräver en separat policy för dem; se Integritetspolicy för konsumenthälsodata. Den beskriver kategorierna, källorna, ändamålen, mottagarna, de lagstadgade rättigheterna och de nuvarande operativa begränsningarna i process för begäran och överklagande.
Nevada (lagen om konsumenthälsodata, SB 370 från 2023): de data du loggar är ”consumer health data” även enligt Nevadas lag. Du har rätt att bekräfta om vi samlar in, delar eller säljer dem, att få en lista över de tredje parter som de har delats med eller sålts till, att få dem raderade och att återkalla ditt samtycke, vilket Nevada behandlar som två separata samtycken, ett till insamling och ett till delning. Nevadas lag upprätthålls av justitieministern (Attorney General). Vårt Integritetsmeddelande om konsumenthälsodata i Nevada anger de rättigheterna, de tidsfrister som gäller för dem, som är kortare än Washingtons för en radering, och de fyra upplysningar som Nevada kräver.
Begäranden och överklaganden. Tillämplig delstatlig lag kan kräva en skriftlig förklaring, en väg för överklagande och information om hur man lämnar in ett klagomål till delstatens justitieminister. Inget separat arbetsflöde för överklagande via e-post är för närvarande genomfört på [email protected], så den nuvarande processen erbjuder inte den vägen där den krävs. Kraven i Washington beskrivs i Integritetspolicy för konsumenthälsodata.
Andra tillämpliga rättigheter enligt delstatlig lag begränsas inte av den här policyn.

18. Webbplatsen glumea.com

Webbplatsen är en statisk webbplats som innehåller information om glumea och de här juridiska dokumenten. Den är medvetet minimal:

Inga cookies.
Ingen analys och inga förfrågningar till tredje parts domäner. Allt sidan behöver, typsnitt och skript inkluderade, levereras från glumea.com självt, och webbplatsens innehållssäkerhetspolicy blockerar varje annan domän helt. Själva sidan levereras av vår värd, som nödvändigtvis ser förfrågan; den sista punkten i den här listan anger vem det är och vad de loggar. Webbplatsen kör en liten mängd eget JavaScript: två inbäddade kodstycken som tillämpar ditt tema och skickar dig till rätt språk, plus några paketerade filer bakom navigeringsmenyn, tema- och språkväxlarna och animationen som visar block när du rullar. Inget av det skickar något någonstans.
Ingen spårning mellan webbplatser, och därmed ingenting för en signal om Do Not Track eller Global Privacy Control att stänga av. Webbplatsen sätter inga reklam- eller analyscookies, gör inga förfrågningar till tredje part, och vi säljer eller delar inte personuppgifter.
Webbläsarens localStorage används endast för funktionella inställningar (ditt val av tema och språk). De värdena stannar i din webbläsare och överförs inte till oss. De sätts endast därför att du valde ett tema eller ett språk, vilket är anledningen till att ingen samtyckesbanderoll behövs för dem.
Webbplatsen levereras av Firebase Hosting (Google). Liksom de flesta webbhotell kan leverantören registrera vanliga serverloggar, IP-adress, förfrågningstid, webbläsartyp, för säkerhet och för att driva tjänsten. Vi stöder oss på berättigade intressen (artikel 6.1 f GDPR) för detta, särskilt att hålla webbplatsen tillgänglig och skydda den mot missbruk, och loggar sparas endast så länge som behövs för de ändamålen.

19. Ändringar i den här policyn

Den aktuella versionen publiceras här med sitt ikraftträdandedatum. Tillämplig lag avgör om en ändring kräver förhandsunderrättelse, ett förnyat samtycke eller någon annan åtgärd. Att publicera en uppdaterad policy ger i sig inte tillstånd till ett nytt ändamål som kräver samtycke eller en annan rättslig grund.

20. Språk

Den här policyn publiceras på engelska. Den engelska versionen är den juridiskt bindande. Översättningar till andra språk publiceras så att du kan läsa policyn på ditt eget språk. Där en översättning och den engelska texten skiljer sig åt är det den engelska texten som gäller.

Undantaget är lagen själv. Där det land du bor i ger det språk du tilltalades på en egen ställning, som konsumentskyddslagstiftningen i flera länder gör, gäller den regeln i stället för den här, och ingenting här tar bort en rättighet du har enligt den.

En översättning publiceras när den är klar, så den kan ligga efter den engelska texten efter en uppdatering. Om du hittar ett ställe där en översättning och den engelska texten säger olika saker, berätta det för oss på [email protected].

21. Kontakta oss

Frågor, funderingar eller begäranden om dina uppgifter:

E-post: [email protected]
Post: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Polen

Relaterade dokument: Användarvillkor, Medicinsk ansvarsfriskrivning och, för invånare i Washington, vår Integritetspolicy för konsumenthälsodata, eller för invånare i Nevada vårt Integritetsmeddelande om konsumenthälsodata i Nevada.