Політика конфіденційності споживчих даних про здоров'я

На що відповідає цей документ

Це політика щодо споживчих даних про здоров’я, якої вимагає вашингтонський закон My Health My Data Act. Вона навмисно вузька, бо цей закон вимагає окремого самостійного документа, який містить лише те, чого він вимагає.

• Що тут вважається моїми даними про здоров’я? Розділи 2 і 3.
• Звідки вони беруться і хто ще їх бачить? Розділи 4 і 5.
• Що я можу вимкнути? Розділ 7.
• Які в мене права і скільки часу у вас є? Розділи 8.1 і 8.2.
• Куди насправді сягає видалення? Розділ 9.
• А якщо ви відмовите? Розділ 10.

Якщо ви в Неваді, ваші права і строки інші, і їх викладено в нашому Повідомленні про конфіденційність споживчих даних про здоров’я для Невади. Усе, що в розділах 2–5 та 9 нижче, стосується і вас, і те повідомлення відсилає по це сюди.

Усе інше про ваші дані — правові підстави, безпека, діти, міжнародна передача даних, сайт — є в Політиці конфіденційності, яка так само стосується вас.

1. Хто ми і що охоплює ця політика

Цей документ — лише про споживчі дані про здоров’я. Закон штату Вашингтон вимагає, щоб він був окремим від нашої загальної Політики конфіденційності, тому він вужчий: він не повторює розділів Політики конфіденційності про правові підстави, безпеку, дітей, міжнародну передачу даних чи сайт glumea.com. Усе це читайте в Політиці конфіденційності.

Охоплює він застосунок glumea: що він збирає, куди це потрапляє і що ви можете вимкнути або попросити видалити. Paweł Milewski Software Development (Оператор, «ми», «нас», «наш») надає glumea (Застосунок) і glumea.com (Сайт); ця політика — про Застосунок. Наша поштова адреса й email — у розділі 13.

Разом із цією політикою та Політикою конфіденційності діють ще два документи: Умови використання сервісу і Медичне застереження.

Вона стосується вас, якщо ви мешканець штату Вашингтон або якщо ваші споживчі дані про здоров’я було зібрано, поки ви перебували у Вашингтоні (My Health My Data Act, RCW 19.373).

Для Невади є власне повідомлення. Закон Невади (NRS 603A.400 і наступні) дає вам інші права з іншими строками і вимагає від нас чотирьох розкриттів, яких не вимагає Вашингтон, тож вони живуть у Повідомленні про конфіденційність споживчих даних про здоров’я для Невади, а не тут. Розділи 2–5 і 9 цього документа описують, що glumea робить із даними про здоров’я, і вони діють, де б ви не жили.

2. Що ми маємо на увазі під споживчими даними про здоров’я

За вашингтонським законом My Health My Data Act споживчі дані про здоров’я — це персональні дані, пов’язані з вами або обґрунтовано з вами пов’язувані, які ідентифікують ваш минулий, теперішній або майбутній стан фізичного чи психічного здоров’я — прямо включно з функціями організму, життєвими показниками, вимірюваннями, діагнозами, лікуванням і ліками.

Більшість того, що записує glumea, підпадає під це визначення. Вимірювання глюкози в крові, доза інсуліну та назва ліків — очевидні приклади.

Оскільки glumea — застосунок для людей із діабетом, сам факт, що у вас є обліковий запис, уже говорить про ваше здоров’я. Тому для цілей цієї політики ми вважаємо ідентифікатор вашого облікового запису та email, вказаний у ньому, споживчими даними про здоров’я — хоча вони й не є вимірюваннями здоров’я. З тієї самої причини ми вважаємо споживчими даними про здоров’я анонімний ідентифікатор пристрою та серверні журнали запитів, описані нижче.

3. Які категорії ми збираємо і навіщо

Категорія	Що в неї входить	Навіщо ми її збираємо
Вимірювання глюкози в крові	Значення, дата й час, теги контексту (зокрема ті, які ви вводите самі), нотатки довільним текстом	Щоб показувати вам ваші вимірювання, графіки та статистику «Час у діапазоні» і планувати нагадування про повторний замір, описані в Медичному застереженні
Записи про їжу та вуглеводи	Вуглеводи, за бажанням білки, жири та калорійність, і назва, яку ви вводите	Щоб ви могли записувати й переглядати, що ви їли, поряд зі своїми вимірюваннями
Дози інсуліну, таблеток та ін’єкційних препаратів	Одиниці, кількість, час доз і те, до яких ліків вони належать	Щоб ви могли записувати й переглядати своє лікування
Ваші каталоги ліків	Назви ліків (наприклад, марка інсуліну), тип, концентрація, інтервал дозування та фармакокінетичні параметри	Щоб дози можна було записувати до конкретних ліків і щоб Застосунок правильно їх показував
Розклади прийому ліків	Які саме ліки, час доби, дні тижня і чи може нагадування спрацювати в Тихі години	Щоб надсилати нагадування про ліки, які ви налаштували
Нагадування про вимірювання та налаштування сповіщень	Час і дні тижня для ваших нагадувань про вимірювання глюкози, ваш проміжок Тихих годин, режим хвороби і чи показувати деталі нагадування на екрані блокування	Щоб надсилати нагадування, про які ви попросили, і щоб зберігати налаштування нагадувань, яких ще не реалізовано. Заплановані нагадування про вимірювання глюкози сьогодні не надсилаються: ви можете задати час, і нічого не прийде. Нагадування про ліки та нагадування про повторний замір після дуже низького чи дуже високого показника надсилаються. Ваші Тихі години та налаштування екрана блокування залишаються на вашому пристрої
Показники тіла	Історія ваги та зріст	Щоб показувати вагу в динаміці та відображати ваші записи в обраних вами одиницях
Профіль діабету та лікування	Ім’я, яке ви обираєте, ваш вік, ваша стать, якщо ви її вкажете, тип діабету, спосіб введення інсуліну і те, чи лікуєтеся ви таблетками, ін’єкційними препаратами або дієтою	Щоб налаштувати Застосунок під те, як ви насправді контролюєте свій діабет
Параметри терапії	Ваш цільовий діапазон глюкози, фактор чутливості до інсуліну (ISF) та інсуліно-вуглеводний коефіцієнт (ICR)	Щоб показувати ваш цільовий діапазон на графіках і тримати ваші цифри в одному місці. Ваш цільовий діапазон записується у PDF-звіт про глюкозу, якщо ви його створите, а інсуліно-вуглеводний коефіцієнт — теж, коли в період звіту потрапляє доза інсуліну. Експорт CSV не містить ні того, ні того, а фактора чутливості до інсуліну немає ні в CSV, ні в PDF — він є в зашифрованому архіві .glumea, який містить увесь ваш обліковий запис. Застосунок ніколи не використовує їх, щоб розрахувати чи порекомендувати дозу. Утім, фактор чутливості до інсуліну використовується ще для одного: для формулювання про ризик гіпоглікемії, яке показується поряд з активним інсуліном, як описано в Медичному застереженні
Дані, імпортовані з Apple Health або Health Connect	Записи про глюкозу в крові, вагу та вуглеводи	Лише якщо ви це підключите: щоб вам не доводилося вводити повторно вимірювання, які вже записали інші ваші пристрої. Імпортовані записи стають звичайними записами і йдуть тим самим шляхом, що й усе, що ви вводите самі, — зокрема на наші сервери, коли увімкнено хмарну синхронізацію
Значення, які Застосунок обчислює на вашому пристрої	Оцінка активного інсуліну, а також формулювання про ризик гіпоглікемії та приблизний діапазон зниження, що показуються поряд із нею; середня глюкоза та її розкид; Час у діапазоні; розрахунковий HbA1c (GMI); рекомендований час наступного вимірювання; і позначка Добрий / Задовільний / Критичний на вашому останньому вимірюванні	Щоб показати вам підсумок того, що ви записали. Вони обчислюються на вашому пристрої, а Медичне застереження пояснює, чим кожне з них є і чим воно не є
Ідентифікатор облікового запису та email	UUID вашого облікового запису та email для входу	Щоб у вас був обліковий запис і щоб синхронізувати ваші записи з ним
Стан підписки	Ідентифікатор вашого облікового запису і те, чи активна glumea+, як про це повідомляють Apple або Google через RevenueCat	Щоб відкрити те, за що ви заплатили. Він не містить ні вимірювань, ні ліків, ні записів
Події продуктової аналітики (лише з вашої згоди)	Що було збережено запис певного типу (глюкоза, інсулін, таблетка, ін’єкція, їжа, вага), чи зберегли ви його з форми, чи з кнопки дії в нагадуванні, скільки рядків записало це збереження і чи внесли ви його приблизно протягом п’ятнадцяти хвилин від самої події, пізніше того самого дня чи заднім числом; що ви відкрили форму запису і на якому типі вона відкрилася; що Застосунок було запущено і — окремо — що його запустили вперше після встановлення; що ви завершили реєстрацію або вхід і що надісланий на email код було підтверджено або відхилено, із зазначенням потоку, до якого він належав; які кроки початкового налаштування ви пройшли, зокрема ті, що стосуються типу діабету та лікування, і що ви заповнили профіль; які екрани ви відкривали — у вигляді фіксованих назв маршрутів; що ви натиснули на нагадування і якого типу; що у вас запитували дозвіл на сповіщення і чи ви його надали; чи підключили ви Apple Health або Health Connect, чи надала операційна система дозвіл, чи відмовила, що ви запросили імпорт, а також кількість імпортованих записів і те, що запустило імпорт; що ви створили експорт, у якому форматі й чи поділилися ним; що ви вимкнули аналітику; події підписки та покупок; а також вашу мову, тему, обрані одиниці вимірювання й стан підписки. Ніколи — ні значення, ні назви, ні нотатки, ні чогось іншого, що ви ввели. Події, зафіксовані, поки ви увійшли в обліковий запис, прив’язані до ідентифікатора вашого облікового запису; ті, що можуть статися до входу — перший запуск, запуски застосунку, реєстрація та підтвердження коду, — прив’язані натомість до анонімного ідентифікатора пристрою	Щоб розуміти, якими частинами Застосунку користуються. Це несе висновки про здоров’я — що ви записуєте інсулін або ліки і наскільки швидко ви записуєте після події, — тому воно перелічене тут і тому нічого не збирається, доки ви це не увімкнете
Технічна інформація та інформація про пристрій	Анонімний ідентифікатор пристрою, до якого прив’язані події аналітики до входу; модель пристрою, операційна система, версія застосунку, реліз і збірка та подібні технічні значення, які SDK PostHog, Sentry і RevenueCat додають самі; і мережева адреса, з якої підключається ваш пристрій і яку бачать їхні сервери, — у розділі 5 сказано, що кожен із них із нею робить	Ці значення задаємо не ми; їх збирають SDK. Ті з них, що стосуються аналітики та діагностики, існують лише тоді, коли ви увімкнете Аналітику використання або Звіти про помилки. Вони перелічені тут, бо пов’язані з користуванням застосунком для людей із діабетом і бо ідентифікатор пристрою пов’язує між собою ваші події до входу. Жодне з них не містить ні вимірювання, ні ліків, ні чогось, що ви ввели
Серверні журнали запитів	Адреса, шлях і час запитів, які ваш пристрій робить до наших серверів, а коли запит не вдається — статус, шлях, час і текст помилки	Щоб забезпечувати роботу бекенда та розслідувати збої. Вони не містять ні записів, ні ліків, ні вимірювань і нічого, що ви ввели. Вони перелічені тут, бо запит до бекенда glumea пов’язаний із вашим користуванням застосунком для людей із діабетом

Ми використовуємо споживчі дані про здоров’я для цих цілей і ні для яких інших. Ми не використовуємо їх для реклами, таргетингу реклами, профілювання, рішень щодо кредитування чи страхування або досліджень і не використовуємо їх для автоматизованого ухвалення рішень щодо вас.

Дещо з переліченого взагалі ніколи не залишає вашого пристрою: час ваших нагадувань про вимірювання, ваші Тихі години, режим хвороби, ваше налаштування екрана блокування та ваші налаштування підключення до даних про здоров’я зберігаються лише локально й не надсилаються на наші сервери. Ваші розклади прийому ліків — виняток: вони належать до щоденника, тож копіюються на наші сервери, коли перемикач Хмарна синхронізація увімкнено, бо нагадування про ліки має пережити зміну телефона.

4. Звідки вони беруться

Джерел шість:

• Ви — коли вводите записи в Застосунок або налаштовуєте профіль, ліки та нагадування.
• Платформа здоров’я вашого пристрою — Apple Health або Health Connect — коли ви її підключаєте й надаєте дозвіл операційної системи. Це доступ лише на читання: glumea ніколи нічого не записує назад в Apple Health чи Health Connect, а на iOS не має entitlement, який дозволив би це зробити.
• Сам Застосунок — коли він обчислює значення на вашому пристрої з того, що ви ввели.
• Apple, Google та RevenueCat — вони повідомляють нам, чи активна ваша підписка glumea+. Це факт оплати, прив’язаний до ідентифікатора вашого облікового запису; він не містить ні вимірювань, ні ліків, ні записів. Він надходить до нас і в Застосунку, і як повідомлення сервер-до-сервера від RevenueCat на наш бекенд.
• SDK PostHog, Sentry і RevenueCat усередині Застосунку — вони самі збирають значення про пристрій і мережу, перелічені в розділі 3. Ми їх не задаємо.
• Наша хостингова платформа та наш бекенд — вони записують серверні журнали запитів, описані в розділі 3.

Apple Health і Health Connect рахуються джерелом. Вимірювання, які вони зберігають, записало щось інше, і імпорт переносить їх у glumea як звичайні записи — зокрема й на наші сервери, коли хмарну синхронізацію увімкнено.

Ми не купуємо споживчих даних про здоров’я. Окрім платформи здоров’я, яку ви підключаєте, і того сигналу про підписку, ми не отримуємо їх ні від кого — ні від брокерів даних, ні від рекламних мереж, ні від медичних закладів, ні від страхових компаній.

5. Хто ще їх обробляє і що саме отримує

Ніщо в цьому розділі не є продажем. Це компанії, які обслуговують для нас частини glumea; тут перелічено все, що отримує кожна з них; і ми не дозволяємо жодній із них використовувати те, що ми їй надсилаємо, у власних цілях. Виняток — Apple і Google, наведені в таблиці для повноти: вони керують магазинами, через які продається glumea+, вони зберігають власний запис про вашу покупку — бо ви купили її в них, а не тому, що ми його надіслали, — і вони самі вирішують, що з ним робити. Вони не є нашими обробниками, і ми не даємо їм вказівок. Одне уточнення: SDK постачальника, що працює всередині Застосунку, може також самостійно збирати інформацію про пристрій і мережу, яку ми не налаштовуємо й не отримуємо. SDK RevenueCat це робить, а те, що RevenueCat може з нею робити, регулюється угодою, яку ми з ним підписали, і описано в його власному повідомленні про конфіденційність.

Хто	Що вони отримують	Навіщо	Контакт
Google Cloud (Google) — Cloud Run і Cloud SQL, регіон europe-west1	Email вашого облікового запису, ваш профіль і ваші параметри терапії, які зберігаються на наших серверах незалежно від того, чи користуєтеся ви хмарною синхронізацією; а коли перемикач Хмарна синхронізація увімкнено — ще й ваш щоденник: записи, каталоги ліків і розклади прийому ліків	Вони розміщують наш бекенд і базу даних. Саме тут живе серверна копія ваших даних. Google Cloud Logging також зберігає наші серверні журнали запитів, описані в розділі 3	support.google.com/policies/contact/general_privacy_form
Zoho ZeptoMail	Email, вказаний у вашому обліковому записі, і одноразовий код підтвердження або скидання пароля, який на нього надсилається. Жодних записів, жодних ліків, жодних вимірювань	Щоб доставляти коди підтвердження реєстрації, скидання пароля та зміни email	[email protected]
PostHog (EU Cloud) — лише якщо ви увімкнете аналітику	Події, перелічені в таблиці вище, прив’язані до ідентифікатора вашого облікового запису після того, як ви увійшли, і до анонімного ідентифікатора пристрою до того, а також властивості, отримані з ваших налаштувань (мова, тема, одиниці глюкози/ваги/вуглеводів, стан підписки). Власний SDK PostHog додає технічні властивості вже після того, як спрацював наш фільтр, — модель пристрою, операційну систему, версію застосунку та подібні значення, яких ми не задаємо. Сервери PostHog також бачать мережеву адресу, з якої підключився ваш пристрій: PostHog отримує її з кожним запитом і виводить із неї приблизне місцеперебування; опцію PostHog, яка відкидає адресу, ми не вмикали, тож вона зберігається разом із подією	Продуктова аналітика	[email protected]
Sentry (діагностика, регіон ЄС) — лише якщо ви увімкнете діагностику	Звіти про збої та помилки: тип виключення, очищений стек викликів, сімейство/модель/архітектура пристрою, версія ОС і застосунку, реліз і збірка застосунку, позначки часу, ідентифікатори debug-образів, позбавлені вмісту маркери breadcrumb (категорія та рівень, ніколи — текст) і короткий підпис із назвою операції, яка не вдалася. Sentry також бачить мережеву адресу, з якої надіслано звіт: Застосунок налаштовано не надсилати її, тож до звіту IP-адреса не додається, але сервери Sentry неминуче бачать адресу, з якої звіт надходить. Крім того, Застосунок надсилає періодичні пінги про сесії без збоїв, які створює власний платформний SDK Sentry і які не проходять через фільтр, описаний нижче	Щоб знаходити й виправляти збої	[email protected]
RevenueCat	Ідентифікатор вашого облікового запису та стан покупки й підписки glumea+. Наш код більше нічого до нього не додає: ми не задаємо ні email, ні імені, ні ідентифікатора пристрою, ні власних атрибутів передплатника. RevenueCat може зберігати про вас власні атрибути передплатника, і там, де він це робить, вони повертаються до нас усередині повідомлень, які він надсилає на наш бекенд і які ми зберігаємо такими, якими вони надійшли, — у розділі 9 сказано, що з ними відбувається. Їхній власний SDK самостійно збирає певну інформацію про пристрій і мережу, яку наш код не задає й не вимикає: мережеву адресу, з якої він виводить приблизне місцеперебування, тип пристрою, версію операційної системи та застосунку, а також історію покупок у магазині, яку він читає; збирання рекламних ідентифікаторів наш код не вмикає. Жодних записів, жодних ліків, жодних вимірювань	Щоб повідомляти Застосунку, чи активна ваша підписка	[email protected]
Apple і Google, які керують магазинами, через які продається glumea+	Записи про покупки та підписку. Жодних записів, жодних ліків, жодних вимірювань	Вони приймають оплату і мають із вами платіжні відносини; хто саме є продавцем за документами, залежить від магазину та вашої території, як пояснюють Умови використання сервісу. Ми ніколи не бачимо даних вашої картки	apple.com/legal/privacy/contact · support.google.com/policies/contact/general_privacy_form

Більше ніхто. Жодна афілійована особа Paweł Milewski Software Development не отримує споживчих даних про здоров’я, і ми не розкриваємо їх рекламодавцям, брокерам даних, страховим компаніям чи роботодавцям. Ми розкрили б їх, якби до цього зобов’язав закон — наприклад, за обов’язковим до виконання рішенням суду, — і повідомили б вас, якщо тільки нам не заборонено це робити за законом.

Кожна з наведених вище компаній обробляє ваші споживчі дані про здоров’я лише для того, щоб виконувати для нас частину роботи glumea. Саме тому вибір, описаний нижче, — це вибір щодо того, що взагалі збирається: окремого перемикача «поділитися» ми вам не даємо, бо жодного поширення поза наведеним списком немає.

Два зауваження про те, що аналітика й діагностика можуть і чого не можуть містити:

• Аналітика не може отримати вимірювання, нотатку, назву ліків, тег, який ви ввели, або ваш email. Застосунок звіряє кожну подію аналітики з фіксованим списком назв подій, а для кожної з них — з фіксованим списком властивостей із фіксованими дозволеними формами. Усе, чого немає в списку, відкидається, а не пропускається далі, і жодна властивість ніде не приймає довільного тексту. Що PostHog справді отримує — це форму вашого користування, зокрема факт, що ви записуєте інсулін або ліки; це висновок про здоров’я, і саме тому аналітика — окремий вибір, який ви маєте зробити самі.
• Діагностичні звіти перед надсиланням перезбираються зі списку дозволеного, і звіт не містить ні користувача, ні ідентифікатора облікового запису, ні тексту повідомлення. Два обмеження: підпис із назвою операції, яка не вдалася, може виказати, якої категорії даних ця операція стосувалася (наприклад, імпорту глюкози), але ніколи — значення; а нативні збої, події «застосунок не відповідає» та події сторожового таймера створює обробник збоїв операційної системи, і вони можуть потрапити в Sentry, не проходячи через цей фільтр.

5.1 Копії, які ви робите самі

Звіти про глюкозу у форматах PDF і CSV та зашифрований архів .glumea потрапляють туди, куди ви їх надішлете. Щойно ви передали файл іншому застосунку, електронному листу чи людині, він поза нашим контролем. Архів .glumea зашифровано паролем, який знаєте лише ви, — ми не можемо його відкрити, і не може ніхто, кому ви не дали цього пароля.

5.2 Резервні копії пристрою

Локальну базу даних Застосунку зашифровано на вашому пристрої ключем, який зберігається у платформному сховищі ключів і ніколи цього пристрою не покидає. На Android резервне копіювання та перенесення з пристрою на пристрій для glumea вимкнено повністю. На iOS копія файла бази даних усе ще може потрапити у вашу резервну копію iCloud, але прочитати її без ключа неможливо. Тому Apple і Google не отримують цим шляхом придатних до читання споживчих даних про здоров’я — а перехід на новий телефон має відбуватися через хмарну синхронізацію або через архів .glumea.

6. Ми не продаємо споживчих даних про здоров’я

Ми не продаємо споживчих даних про здоров’я і ніколи їх не продавали. Закон штату Вашингтон вимагає окремого підписаного вами «дійсного дозволу» перед будь-яким продажем; у нас такого немає, і ми у вас його не просили. Продаж міг би відбутися лише через дозвіл, який ви самі вирішите дати, у якому має бути чітко сказано, що саме і кому продається, і який ви можете відкликати.

У glumea немає жодного рекламного SDK, жодного рекламного ідентифікатора, жодного SDK атрибуції чи вимірювання і жодного SDK геолокації. glumea ніколи не запитує дозволу на геолокацію і не збирає жодних точних даних про місцеперебування — жодна з платформних збірок не оголошує дозволу на геолокацію, тож Застосунок узагалі не може прочитати місцеперебування вашого пристрою. Єдине, що несе бодай якийсь географічний сигнал, — це мережева адреса, з якої підключається ваш пристрій і яку наші сервери та постачальники з розділу 5 бачать так само, як її бачить будь-який вебсервіс, і з якої можна зробити висновок про приблизний регіон. Ми не використовуємо її, щоб вас локалізувати, і не виводимо та не зберігаємо з неї місцеперебування. Ми не обробляємо споживчих даних про здоров’я для реклами, не передаємо їх для міжконтекстної поведінкової реклами і не створюємо та не можемо створити геозони навколо жодного медичного закладу.

7. Навіщо ми їх збираємо і що ви можете перемикати самі

Більшість того, про що йдеться в цій політиці, ви даєте нам свідомо — вводячи це в Застосунок. Ми збираємо ці дані, бо саме такий Застосунок ви й попросили, і не збираємо нічого понад те, що Застосунку потрібно для роботи, не спитавши вас спершу.

Хмарна синхронізація — тобто чи копіюються ваші записи на наші сервери взагалі — це функція glumea+, і вона вимкнена, доки ви її не увімкнете. Увімкнення відбувається у два кроки. Без активної підписки glumea+ Застосунок показує вам екран підписки замість того, щоб щось умикати. За наявності підписки він далі окремим кроком просить вас підтвердити, що ви погоджуєтеся на зберігання ваших даних про здоров’я на наших серверах. Це підтвердження і є вашою згодою, його запитують щоразу, коли перемикач умикається, а не лише першого разу, і повторне вимкнення перемикача її відкликає. Знайти його можна на панелі «Синхронізація», яка відкривається кнопкою з хмаринкою вгорі екрана «Огляд» або «Історія»; сам перемикач усередині називається Хмарна синхронізація. Коли він вимкнений, нові записи залишаються на вашому пристрої. Записи, які вже є на наших серверах, залишаються там, доки ви їх не видалите, а повторне ввімкнення синхронізації знову вивантажує записи, збережені на вашому пристрої.

Ваша відповідь на цей перемикач зберігається у вашому обліковому записі на наших серверах, а не на телефоні. Вона переживає вихід з облікового запису і йде з вами на новий пристрій, а вимкнення записується так само — якщо ви вимкнете його офлайн, Застосунок збереже цю відповідь і передасть її за першої нагоди, а не відкине. Якщо glumea+ завершується, резервне копіювання призупиняється, і на панелі написано Призупинено - підписка glumea+ завершилася: нічого не видаляється, ваша збережена відповідь залишається такою, якою була, а повторна підписка відновлює резервне копіювання за цією відповіддю, не питаючи вас удруге. Вимкнення перемикача і посилання видалити свої дані поряд із ним залишаються доступними незалежно від того, чи активна підписка.

Три речі ви можете перемикати самі, у Застосунку, будь-коли:

• Apple Health / Health Connect — вимкнено, доки ви це не підключите, і кожен із трьох типів даних можна вимкнути окремо. Налаштування → Інтеграції → Apple Health (на iPhone) або Health Connect (на Android).
• Аналітика використання — Налаштування → Дані та конфіденційність → Конфіденційність та діагностика. Перемикач від початку вимкнений, нічого не збирається, доки ви його не увімкнете, відмова нічого не забирає із Застосунку, а відкликання згоди діє негайно. Відмова записує одну останню подію — що ви відмовилися, — і ця подія разом з усім, що вже було зібрано, поки ви давали згоду, надсилається потім за власним розкладом SDK. Нічого нового після цього не збирається.
• Звіти про помилки — той самий екран, окремий вибір, і він теж від початку вимкнений; відмова від аналітики не є відмовою від діагностики, і навпаки. Поки діагностику вимкнено, SDK взагалі не запускається, тож обробник збоїв не встановлюється — звіти не збирають, щоб потім відкинути; їх просто ніколи не створюють. Вихід з облікового запису повертає обидва перемикачі у вимкнене положення, тож обліковий запис, який ніколи не давав згоди на цьому телефоні, починає з вимкненого стану.

Відкликання згоди нічого вам не коштує, і ми не погіршимо Застосунок через те, що ви її відкликали. Одна практична умова: видалити свої дані потребує активного входу. Якщо ваша сесія закінчилася, на панелі «Синхронізація» написано Призупинено, і посилання спершу просить вас увійти знову — тим часом нічого не втрачається, а вхід усе відновлює.

Ваш профіль діабету та лікування і ваші параметри терапії наведені вище перемикачі не охоплюють. Напишіть на [email protected], щоб їх було видалено з наших серверів без закриття вашого облікового запису.

8. Ваші права

У розділі 8.1 викладено права, які дає вам Вашингтон, а розділ 8.2 — про те, як ними скористатися. Якщо ви в Неваді, ваші права і строки натомість викладено в Повідомленні про конфіденційність споживчих даних про здоров’я для Невади.

8.1 Якщо ви у Вашингтоні

За законом My Health My Data Act ви маєте право:

• Підтвердити, чи збираємо, чи передаємо, чи продаємо ми ваші споживчі дані про здоров’я, і отримати до них доступ — зокрема список усіх третіх осіб та афілійованих осіб, яким ми їх передавали, і дієвий спосіб зв’язатися з кожною з них. Цей список — таблиця в розділі 5. Право за законом Вашингтона сягає третіх осіб та афілійованих осіб — компаній, які отримали ваші дані інакше, ніж як обробник, що діє за нашими вказівками, — і дає вам дієвий спосіб зв’язатися з кожною з них. Попросіть нас, і ми надішлемо вам актуальну версію таблиці із зазначенням, які записи є третіми особами в цьому сенсі.
• Відкликати свою згоду на збирання ваших споживчих даних про здоров’я та на їх передавання (розділ 7).
• Видалити свої споживчі дані про здоров’я.

Ми відповідаємо протягом 45 днів від отримання вашого запиту. Закон Вашингтона дозволяє нам продовжити цей строк один раз, ще на 45 днів, коли це обґрунтовано необхідно; якщо ми так зробимо, ми повідомимо вас у межах перших 45 днів і назвемо причину. Це безкоштовно — до двох разів на рік, як і передбачає закон Вашингтона. Якщо запит явно необґрунтований, надмірний або повторюваний, ми можемо стягнути розумну плату, щоб покрити роботу, або відмовити в ньому; ми скажемо вам, що саме і чому, перш ніж зробити будь-що з цього.

8.2 Як скористатися цими правами

• У Застосунку: Видалити акаунт (Налаштування → Дані облікового запису) остаточно видаляє з наших серверів ваш обліковий запис і все, що з ним синхронізовано, і стирає локальну базу даних із вашого пристрою. Посилання видалити свої дані (на панелі «Синхронізація», коли синхронізацію вимкнено) видаляє серверну копію ваших записів, ваших каталогів ліків і ваших розкладів прийому ліків, зберігаючи при цьому ваш обліковий запис і копію на вашому пристрої. Далі воно не сягає: ваш профіль діабету та лікування і ваші параметри терапії залишаються на наших серверах, доки ви не видалите обліковий запис.
• Або напишіть нам на [email protected] з адреси, вказаної у вашому обліковому записі, і скажіть, чого ви хочете. Жодних особливих формулювань не потрібно. Перш ніж надіслати вам копію ваших даних, підтвердити, що саме ми зберігаємо, або щось видалити, ми перевіряємо, що запит справді ваш: ми відповідаємо одноразовим кодом на адресу, вказану в обліковому записі, і діємо, щойно ви надішлете його назад. Саме ця перевірка автентифікує запит. Якщо ви більше не можете отримувати пошту на цю адресу, скажіть нам — і ми вирішимо, у кожному випадку окремо, які інші докази можемо прийняти. Ми не діятимемо за запитом щодо облікового запису, про який не можемо підтвердити, що він належить тому, хто просить. Видалення акаунта glumea описує ту саму перевірку для видалення.

Коли ви видаляєте в Застосунку, видалення стається одразу. Коли ви просите нас електронною поштою, ми видаляємо з наших робочих систем у строки, зазначені в розділі 8.1, які відлічуються з моменту, коли ми автентифікуємо ваш запит, і підтверджуємо це у відповіді. У розділі 9 викладено, куди сягає видалення і що його переживає.

9. Куди насправді сягає видалення

У таблиці нижче викладено, як видалення застосовується в кожній системі і в кожного постачальника послуг.

Куди	Що відбувається
Ваш пристрій	Видалення запису прибирає його з цього пристрою — і лише з цього пристрою. Серверна копія залишається, тож запис може повернутися після перевстановлення, на новому телефоні або після того, як ви вийдете і знову увійдете, — очистити сервер може лише видалити свої дані або видалення облікового запису. Вимірювання, імпортовані з Apple Health або Health Connect, у Застосунку взагалі не можна видаляти по одному. Видалення акаунта і вихід з облікового запису стирають локальну базу даних. Базу зашифровано ключем, прив’язаним до пристрою, тож будь-яка її копія, що залишає цей пристрій, непридатна для читання
Наша робоча база даних (Google Cloud, europe-west1)	Коли ви видаляєте обліковий запис, рядок облікового запису й усе, що до нього прив’язано, видаляється остаточно й одразу, без можливості відновлення. З окремим записом інакше: якщо видалення одного запису колись доходить до наших серверів, рядок зберігається як позначка про видалення (tombstone), яка все ще містить своє значення, теги й нотатки, — щоб видалення могло дійти до інших ваших пристроїв
Наші серверні резервні копії	Копії вже видалених рядків залишаються в резервних копіях, доки термін тих копій не спливе, — щонайдовше 7 днів і в жодному разі не більше шести місяців після того, як ми автентифікуємо ваш запит на видалення. Ми не редагуємо окремих записів усередині резервної копії, а саму копію відновлюємо лише цілком і лише після збою. У нас немає завдання, яке повторно застосовувало б минулі видалення до відновленої резервної копії, тож якщо ми колись її відновимо, попросіть нас ще раз — і ми повторимо видалення
Наші серверні журнали	Наша хостингова платформа записує адресу, шлях і час запитів, які ваш пристрій робить до нас, а наш бекенд пише власний рядок щоразу, коли запит не вдається, — статус, шлях, час і текст помилки. Ні те, ні інше не містить записів, ліків чи вимірювань. Строк зберігання: 30 днів
Zoho ZeptoMail	Зберігає записи про доставку кодів підтвердження та скидання, які ми надсилали на вашу адресу. Строк зберігання: до 60 днів журналів доставлення — стандартний строк зберігання ZeptoMail. Якщо ви попросите, ми надішлемо запит на їх видалення
PostHog (аналітика)	Якщо ви ніколи не вмикали аналітику, там немає нічого. Якщо вмикали, каскадне видалення в базі даних не сягає вашого профілю аналітики, і видалення облікового запису в Застосунку його не прибирає; попросіть нас — і ми його видалимо. Події, записані до того, як ви увійшли, мають ідентифікатор пристрою, а не ідентифікатор вашого облікового запису, тож ми не можемо обіцяти, що видалення профілю дістане й до них
Sentry (діагностика)	Ми ніколи не додаємо до діагностичного звіту ні ідентифікатора вашого облікового запису, ні вашого email, ні запису про користувача, а описаний вище фільтр вирізає будь-який об’єкт користувача перед надсиланням звіту. Звіти, що надходять напряму від обробника збоїв операційної системи, через цей фільтр не проходять, і ми теж не кладемо в них нічого, що вас називає, — але немає й ідентифікатора, за яким ми могли б шукати в Sentry «ваші» звіти. Якщо ви попросите нас видалити діагностичні звіти, ми спробуємо, і може виявитися, що там немає нічого, що ми могли б визначити як ваше
RevenueCat	Зберігає ідентифікатор вашого облікового запису та історію підписки. Він не містить ні записів, ні ліків, ні вимірювань. Каскадне видалення до нього не доходить, і видалення облікового запису в Застосунку його не прибирає; попросіть нас — і ми попросимо RevenueCat його видалити
Наш журнал подій підписки	Наш бекенд зберігає кожне повідомлення про підписку, яке надсилає нам RevenueCat, точно таким, яким воно надійшло, і повністю. Кожне повідомлення містить ідентифікатор вашого облікового запису, а оскільки ми зберігаємо повідомлення цілком, воно може містити й атрибут передплатника, який RevenueCat зберігає про вас, — зокрема email. Воно не містить ні вимірювань, ні ліків, ні записів, ні чогось, що ви ввели. Ці рядки навмисно не прив’язані до запису вашого облікового запису, тож видалення облікового запису не прибирає їх автоматично; запланована задача видаляє кожен із них через 90 днів після надходження, зважаючи лише на вік і ні на що інше. Ми також очищаємо їх, якщо ви попросите нас про це до спливу тих 90 днів
Записи про підписку в Apple / Google	Зберігаються ними за їхніми власними політиками, поза нашим контролем
Копії, які ви експортували самі	Поза нашою досяжністю — див. «Копії, які ви робите самі» вище

Коли ви просите нас видалити, ми спершу видаляємо з нашої власної бази даних, а потім передаємо видалення далі — тим наведеним вище компаніям, які тримають копію. Три призначення лежать поза цим каскадом: ваш профіль у PostHog, ваш запис передплатника в RevenueCat і наш власний журнал повідомлень про підписку, які надсилає нам RevenueCat. Видалення облікового запису в Застосунку їх не очищає. Запит, який ви надсилаєте нам, — очищає, у строки, зазначені в розділі 8.1. Журнал повідомлень про підписку до того ж застаріває сам, через 90 днів після надходження кожного повідомлення.

10. Якщо ми відмовимо

Якщо ми відмовимо в запиті, ми письмово пояснимо чому і як це оскаржити.

Щоб оскаржити, дайте відповідь на той лист або напишіть на [email protected], указавши в темі «Оскарження». Ми переглянемо запит ще раз і відповімо письмово протягом 45 днів, пояснивши свої міркування.

Якщо ми відхилимо оскарження, у листі з відмовою буде посилання на Офіс Генерального прокурора штату Вашингтон — через форму скарги споживача на його сайті atg.wa.gov, — щоб ви могли подати скаргу. Це не єдиний ваш шлях: ніщо в цій політиці не обмежує ваших прав за законом Вашингтона, і ніщо тут не вимагає, щоб ви спершу подавали оскарження до нас.

11. Зміни до цієї політики

Ми не збиратимемо, не використовуватимемо й не передаватимемо категорій споживчих даних про здоров’я, яких тут не перелічено, і не використовуватимемо перелічених тут категорій для цілей, яких тут не перелічено, не спитавши вас спершу. Якщо ми додамо категорію або мету, ми оновимо цей документ, повідомимо вас електронною поштою на адресу, вказану у вашому обліковому записі, до того, як зміна набере чинності, і отримаємо вашу згоду там, де цього вимагає закон. Дата набрання чинності вгорі завжди показує, коли почала діяти поточна редакція.

12. Мова

Ця політика публікується англійською, російською, польською та українською мовами. Юридичну силу має англійська версія. Інші три — переклади, опубліковані для того, щоб ви могли прочитати політику своєю мовою. У разі розбіжності між перекладом і англійським текстом діє англійський текст.

Виняток — сам закон. Якщо право країни, де ви живете, надає мові, якою до вас звернулися, самостійне значення — а споживче право низки країн це робить, — застосовується його правило, а не наше, і ніщо тут не забирає у вас прав за ним.

Переклад публікується, коли він готовий, тож після оновлення він може відставати від англійського тексту. Якщо ви знайшли місце, де переклад і англійський текст говорять різне, напишіть нам на [email protected].

13. Зв’яжіться з нами

• Email: [email protected]
• Пошта: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Польща

Пов’язані документи: Повідомлення про конфіденційність споживчих даних про здоров’я для Невади, Політика конфіденційності, Умови використання сервісу і Медичне застереження.