Політика конфіденційності споживчих даних про здоров'я

На що відповідає цей документ

Це політика щодо споживчих даних про здоров’я, якої вимагає My Health My Data Act штату Вашингтон. Вона навмисно вузька, адже цей закон вимагає окремого документа, що містить лише те, чого він вимагає.

• Що тут вважається моїми даними про здоров’я? Розділи 2 і 3.
• Звідки вони беруться і хто ще їх бачить? Розділи 4 і 5.
• Що я можу вимкнути? Розділ 7.
• Які в мене права і скільки часу у вас є? Розділи 8.1 і 8.2.
• Що насправді охоплює видалення? Розділ 9.
• А якщо ви відмовите? Розділ 10.

Якщо ви перебуваєте в Неваді, ваші права й строки інші, і викладені вони в нашому Повідомленні про конфіденційність споживчих даних про здоров’я штату Невада. Усе, що сказано нижче в розділах з 2 по 5 і в розділі 9, стосується й вас, і це повідомлення відсилає сюди за ним.

Усе інше про ваші дані, правові підстави, безпеку, дітей, міжнародні передавання, вебсайт, є в Політиці конфіденційності, яка також застосовується до вас.

1. Хто ми і що охоплює ця політика

Цей документ стосується лише споживчих даних про здоров’я. Закон штату Вашингтон вимагає тримати його окремо від нашої загальної Політики конфіденційності, тому він вужчий: він не повторює розділів Політики конфіденційності про правові підстави, безпеку, дітей, міжнародні передавання чи вебсайт glumea.com. Про все це читайте в Політиці конфіденційності.

Натомість він охоплює застосунок glumea: що він збирає, куди це потрапляє і що ви можете вимкнути або видалити. Paweł Milewski Software Development (Оператор, «ми», «нас», «наш») надає glumea (Застосунок) і glumea.com (Сайт); ця політика стосується Застосунку. Наша поштова адреса й електронна пошта подані в розділі 13.

Разом із цією політикою та Політикою конфіденційності діють ще два документи: Умови використання сервісу і Медичне застереження.

Вона застосовується до вас, якщо ви мешканець штату Вашингтон або якщо ваші споживчі дані про здоров’я було зібрано, коли ви перебували у Вашингтоні (My Health My Data Act, RCW 19.373).

Невада має власне повідомлення. Закон Невади (NRS 603A.400 і наступні) надає вам інші права з іншими строками й вимагає від нас чотирьох розкриттів, яких Вашингтон не вимагає, тому вони подані в Повідомленні про конфіденційність споживчих даних про здоров’я штату Невада, а не тут. Розділи з 2 по 5 і розділ 9 цього документа описують, що glumea робить з даними про здоров’я, і застосовуються, де б ви не жили.

2. Що ми розуміємо під споживчими даними про здоров’я

Відповідно до My Health My Data Act штату Вашингтон споживчі дані про здоров’я це персональна інформація, пов’язана або обґрунтовано пов’язувана з вами, яка ідентифікує ваш минулий, теперішній або майбутній фізичний чи психічний стан здоров’я, зокрема прямо включно з функціями організму, життєвими показниками, вимірюваннями, діагнозами, лікуванням і ліками.

Більшість того, що записує glumea, потрапляє під це визначення. Показник глюкози в крові, доза інсуліну й назва ліків є очевидними прикладами.

Оскільки glumea є застосунком для діабету, сам факт наявності у вас облікового запису вже виявляє дані про здоров’я. Тому для цілей цієї політики ми розглядаємо ідентифікатор вашого облікового запису й електронну адресу, вказану в ньому, як споживчі дані про здоров’я, хоча вони не є вимірюваннями здоров’я. З тієї самої причини ми розглядаємо як споживчі дані про здоров’я псевдонімний ідентифікатор пристрою та журнали запитів до сервера, описані нижче.

3. Категорії, які ми збираємо, і навіщо

Категорія	Що в ній	Навіщо ми це збираємо
Вимірювання глюкози в крові	Значення, дата й час, теги контексту (зокрема теги, які ви вводите самі), вільні нотатки	Щоб показувати вам ваші вимірювання, графіки та статистику Часу в діапазоні, а також планувати нагадування про повторне вимірювання, описані в Медичному застереженні
Записи про їжу та вуглеводи	Вуглеводи, за бажанням білки, жири й калорії та назва, яку ви вводите	Щоб ви могли вести облік і переглядати те, що ви їли, поряд зі своїми вимірюваннями
Дози інсуліну, таблеток та ін’єкційних препаратів	Одиниці, кількості, час доз і препарат, до якого вони належать	Щоб ви могли вести облік і переглядати своє лікування
Ваші каталоги ліків	Назви ліків (наприклад, марка інсуліну), тип, сила дії, інтервал дозування та фармакокінетичні параметри	Щоб дози можна було записувати до справжнього препарату, а Застосунок міг правильно їх показувати
Розклади прийому ліків	Який препарат, час доби, дні тижня і чи може нагадування спрацьовувати в Тихі години	Щоб доставляти нагадування про ліки, які ви налаштували
Нагадування про вимірювання та налаштування сповіщень	Часи й дні тижня ваших нагадувань про вимірювання глюкози, вікно ваших Тихих годин і те, чи показують сповіщення подробиці	Щоб доставляти нагадування, які ви попросили, і зберігати налаштування для нагадувань, яких ще не створено. Заплановані нагадування про вимірювання глюкози сьогодні не доставляються: ви можете налаштувати час, але нічого не надходить. Нагадування про ліки та нагадування про повторне вимірювання після дуже низького або дуже високого показника доставляються. Ваші Тихі години та налаштування подробиць сповіщень залишаються на вашому пристрої
Вимірювання тіла	Історія ваги та зріст	Щоб показувати вагу з часом і відображати ваші записи у вибраних вами одиницях
Профіль діабету та лікування	Обраний вами псевдонім, ваш вік, ваша стать, якщо ви її вказуєте, тип діабету, спосіб введення інсуліну і те, чи лікуєтеся ви таблетками, ін’єкційними препаратами чи дієтою	Щоб налаштувати Застосунок так, як ви насправді керуєте своїм діабетом
Налаштування терапії	Ваш цільовий діапазон глюкози, коефіцієнт чутливості до інсуліну (ISF) і співвідношення інсуліну до вуглеводів (ICR)	Щоб показувати ваш цільовий діапазон на графіках і тримати ваші показники в одному місці. Ваш цільовий діапазон записується в PDF-звіт про глюкозу, якщо ви його створюєте, і ваше співвідношення інсуліну до вуглеводів також, коли у вікні звіту є доза інсуліну. Експорт CSV не містить жодного з них, а коефіцієнт чутливості до інсуліну немає ні в CSV, ні в PDF, він є в зашифрованому архіві .glumea, який містить увесь ваш обліковий запис. Застосунок ніколи не використовує їх для обчислення чи рекомендації дози. Проте коефіцієнт чутливості до інсуліну використовується ще для одного: формулювання про ризик гіпо, яке показується поряд з активним інсуліном, як описує Медичне застереження
Дані, імпортовані з Apple Health або Health Connect	Записи про глюкозу в крові, вагу та вуглеводи	Лише якщо ви це підключите: щоб вам не доводилося вводити вдруге вимірювання, які ваші інші пристрої вже записали. Імпортовані записи стають звичайними записами й ідуть тим самим шляхом, що й усе, що ви вводите, зокрема на наші сервери, коли ввімкнено хмарну синхронізацію
Значення, які Застосунок обчислює на вашому пристрої	Оцінка активного інсуліну, а також формулювання про ризик гіпо та приблизний діапазон зниження поряд із нею; середня глюкоза та її розкид; Час у діапазоні; розрахунковий A1C (GMI); рекомендований час наступного вимірювання; і позначка Добрий / Межовий / Критичний на вашому останньому вимірюванні	Щоб показувати вам підсумок того, що ви записали. Вони обчислюються на вашому пристрої, а Медичне застереження пояснює, чим кожне з них є і чим не є
Ідентифікатор облікового запису та електронна пошта	UUID вашого облікового запису й електронна пошта для входу	Щоб надати вам обліковий запис і синхронізувати з ним ваші записи
Стан підписки	Ідентифікатор вашого облікового запису і те, чи активний glumea+, як повідомляють Apple або Google через RevenueCat	Щоб розблокувати те, за що ви заплатили. Вони не містять вимірювань, ліків чи записів
Події аналітики продукту	Що було збережено запис певного виду (глюкоза, їжа, ліки або вага; інсулін, таблетки й ін’єкційні препарати рахуються як ліки), чи зберегли ви його з форми, чи з кнопки дії нагадування, скільки рядків записало це збереження і чи внесли ви його приблизно за п’ятнадцять хвилин від моменту, пізніше того ж дня, чи заднім числом; що ви відкрили форму запису і на якому виді; що Застосунок було запущено і окремо, що його запущено вперше після встановлення; що ви завершили реєстрацію чи вхід і що код з листа було підтверджено або відхилено, до якого процесу він належав; які кроки початкового налаштування ви завершили, зокрема про тип діабету й лікування, але не крок, який бачать лише користувачі інсуліну, і що ви завершили свій профіль; які екрани ви відкрили, як фіксовані назви маршрутів, причому екран, до якого потрапляє лише один вид лікування, повідомляється як екран над ним; що ви торкнулися нагадування, і його загальна категорія, але ніколи сповіщення про глюкозу; що у вас попросили дозвіл на сповіщення і чи ви його надали; чи підключили ви Apple Health або Health Connect, чи операційна система надала дозвіл, чи відмовила, що ви попросили імпорт і що імпорт виконано та чим він викликаний, ніколи не скільки записів він прочитав; що ви створили експорт, у якому форматі і чи поділилися ним; що ви вимкнули аналітику; події підписки та покупки; а також вашу мову, тему, налаштування одиниць і стан підписки. Ніколи не значення, не ім’я, не нотатку і не будь-що інше, що ви ввели. Події після входу використовують ідентифікатор облікового запису; події до входу використовують псевдонімний ідентифікатор пристрою	Щоб розуміти, які частини Застосунку використовуються. Вони не кажуть, який препарат ви приймаєте, яке лікування застосовуєте і чи спрацювало сповіщення про глюкозу, але пов’язані з вашим користуванням застосунком для діабету. Збираються лише після того, як ви погодитеся на аналітику
Технічна інформація та інформація про пристрій	Псевдонімний ідентифікатор пристрою, що використовується для аналітики до входу; модель пристрою, операційна система, версія застосунку, випуск, збірка та подібні значення, що додаються SDK PostHog, Sentry і RevenueCat; і мережева адреса, яку бачать їхні сервери	Ці значення збирають SDK, і лише після того, як ви погодитеся на аналітику чи діагностику. Жодне з цих полів не є вимірюванням, ліками чи значенням, яке ви ввели
Журнали запитів до сервера	Адреса, шлях і час запитів, які ваш пристрій робить до наших серверів, а коли запит завершується невдало, статус, шлях, час і повідомлення про помилку	Щоб запускати бекенд і розслідувати збої. Вони не містять записів, ліків чи вимірювань і нічого, що ви ввели. Вони перелічені тут, бо запит до бекенду glumea пов’язаний з вашим користуванням застосунком для діабету

Ми використовуємо споживчі дані про здоров’я для цих цілей і ні для яких інших. Ми не використовуємо їх для реклами, таргетингу реклами, профілювання, рішень щодо кредитів чи страхування або досліджень і не використовуємо їх для автоматизованих рішень щодо вас.

Дещо з наведеного ніколи взагалі не залишає вашого пристрою: часи ваших нагадувань про вимірювання, ваші Тихі години, налаштування подробиць сповіщень та налаштування підключень до здоров’я зберігаються лише локально й не надсилаються на наші сервери. Розклади прийому ліків є винятком: вони належать до щоденника, тому копіюються на наші сервери, коли ввімкнено Хмарну синхронізацію, бо нагадування про ліки має пережити новий телефон.

4. Звідки це береться

Є шість джерел:

• Ви, коли вводите записи в Застосунок або налаштовуєте свій профіль, ліки та нагадування.
• Платформа здоров’я вашого пристрою: Apple Health або Health Connect, коли ви її підключаєте й надаєте дозвіл операційної системи. Це лише читання: glumea ніколи нічого не записує назад в Apple Health чи Health Connect, а в iOS не має права доступу, яке б це дозволяло.
• Сам Застосунок, коли він обчислює на вашому пристрої значення з того, що ви ввели.
• Apple, Google і RevenueCat, які повідомляють нам, чи активна ваша підписка glumea+. Це платіжний факт, прикріплений до ідентифікатора вашого облікового запису; він не містить вимірювань, ліків чи записів. Він доходить до нас і в Застосунку, і як повідомлення між серверами від RevenueCat до нашого бекенду.
• SDK PostHog, Sentry і RevenueCat всередині Застосунку, які самі збирають значення пристрою та мережі, перелічені в розділі 3. Ми їх не задаємо.
• Наша хостинг-платформа і наш бекенд, які записують журнали запитів до сервера, описані в розділі 3.

Apple Health і Health Connect вважаються джерелом. Вимірювання, які вони містять, записало щось інше, а імпорт приносить їх у glumea як звичайні записи, зокрема на наші сервери, коли ввімкнено хмарну синхронізацію.

Ми не купуємо споживчі дані про здоров’я. Окрім платформи здоров’я, яку ви підключаєте, і сигналу про підписку, ми не отримуємо їх ні від кого: ні від брокерів даних, ні від рекламних мереж, ні від постачальників медичних послуг, ні від страховиків.

5. Хто ще це обробляє і що вони отримують

Ніщо в цьому розділі не є продажем. Таблиця називає компанії, які забезпечують роботу частин glumea, і дані, які може отримувати кожна послуга. Apple і Google включено для повноти: вони керують магазинами, зберігають власні записи про покупки й діють незалежно щодо цих даних магазину. SDK постачальника всередині Застосунку також може збирати відомості про пристрій і мережу, які ми не налаштовуємо й не отримуємо. SDK RevenueCat так і робить, і RevenueCat описує цю обробку у власному повідомленні про конфіденційність.

Хто	Що вони отримують	Навіщо	Контакт
Google Cloud (Google), Cloud Run і Cloud SQL, регіон europe-west1	Електронну пошту вашого облікового запису, ваш профіль і налаштування терапії, які зберігаються на наших серверах незалежно від того, користуєтеся ви хмарною синхронізацією чи ні; а коли ввімкнено Хмарну синхронізацію, ще й ваш щоденник: записи, каталоги ліків і розклади прийому ліків	Вони розміщують наш бекенд і базу даних. Тут міститься серверна копія ваших даних. Google Cloud Logging також зберігає наші журнали запитів до сервера, описані в розділі 3	support.google.com/policies/contact/general_privacy_form
Zoho ZeptoMail	Якщо ввімкнено доставку електронної пошти у виробничому середовищі: адресу електронної пошти призначення та повідомлення про підтвердження, скидання пароля чи зміну електронної пошти. Жодних записів, ліків чи вимірювань	Щоб доставляти листи облікового запису, коли ця функція ввімкнена	[email protected]
PostHog (EU Cloud)	Поки ввімкнено аналітику: перелічені вище події, ідентифікатор облікового запису після входу або псевдонімний ідентифікатор пристрою до входу, вибрані атрибути налаштувань, технічні властивості, додані SDK, і мережеву адресу: PostHog отримує її з кожним запитом і виводить з неї приблизне місцеперебування; ми не ввімкнули опцію PostHog, яка її відкидає, тож вона зберігається разом із подією	Аналітика продукту	[email protected]
Sentry (діагностика, регіон Європейського Союзу)	Поки ввімкнено діагностику: відфільтровані звіти про збої та помилки, дані пристрою й застосунку, додані SDK, мережеву адресу (Застосунок налаштовано не надсилати її, тому до звіту не додається IP-адреса, але сервери Sentry неминуче бачать адресу, з якої надходить звіт) і сигнали платформи про стан випуску, які можуть оминати фільтр Застосунку	Щоб знаходити й виправляти збої	[email protected]
RevenueCat	Ідентифікатор вашого облікового запису та стан вашої покупки й підписки glumea+. Наш код не прикріплює до нього нічого іншого: ми не задаємо ні електронної адреси, ні імені, ні ідентифікатора пристрою, ні власного атрибута абонента. RevenueCat може зберігати про вас власні атрибути абонента, і де це так, вони повертаються до нас у повідомленнях, які він надсилає нашому бекенду, і ми зберігаємо їх у міру надходження, а розділ 9 каже, що з ними відбувається. Їхній власний SDK сам збирає деякі відомості про пристрій і мережу, які наш код не задає й не пригнічує: мережеву адресу, з якої він виводить приблизне місцеперебування, тип пристрою, операційну систему та версію застосунку, а також історію покупок у магазині, яку він читає; наш код не вмикає збирання ним ідентифікаторів пристрою, тож рекламний ідентифікатор не додається. Жодних записів, ліків, вимірювань	Щоб повідомляти Застосунку, чи активна ваша підписка	[email protected]
Apple і Google, які керують магазинами, де продається glumea+	Записи про покупки та підписку. Жодних записів, ліків, вимірювань	Вони приймають платіж і мають з вами платіжні відносини; хто є продавцем, залежить від магазину та вашої території, як пояснюють Умови використання сервісу. Ми ніколи не бачимо даних вашої картки	apple.com/legal/privacy/contact · support.google.com/policies/contact/general_privacy_form

Жодна афілійована особа Paweł Milewski Software Development не отримує споживчих даних про здоров’я, і ми не розкриваємо їх рекламодавцям, брокерам даних, страховикам чи роботодавцям. Обов’язкове судове чи інше юридичне розпорядження може вимагати розкриття. Будь-яке повідомлення про таке розкриття регулюється чинним законодавством.

Таблиця вказує, навіщо використовується кожна послуга і що вона може отримувати. У Застосунку немає окремого перемикача передавання за постачальниками; доступні засоби керування описані в розділі 7. Умови постачальників і їхні повідомлення про конфіденційність також регулюють дані, які SDK збирає незалежно від полів, налаштованих нашим кодом.

Два пункти про те, що аналітика й діагностика можуть і не можуть передавати:

• Аналітика не може отримати вимірювання, нотатку, назву ліків, введений користувачем тег чи електронну пошту через схему подій Застосунку. Застосунок використовує фіксовані списки дозволених подій і властивостей. Записи про ліки всіх видів повідомляються як один вид, а торкання сповіщень про глюкозу не записуються, тож події не розкривають ні вашого лікування, ні ваших вимірювань. Аналітика нічого не збирає, доки ви на неї не погодитеся.
• Діагностичні звіти перебудовуються зі списку дозволеного перед надсиланням, і звіт не містить ні користувача, ні ідентифікатора облікового запису, ні тексту повідомлень. Два обмеження: мітка, що називає операцію, яка не вдалася, може розкрити, якої категорії даних стосувалася операція (наприклад, імпорту глюкози), але ніколи значення; а нативні події збою, невідповіді застосунку та сторожового таймера створює обробник збоїв операційної системи, і вони можуть потрапити до Sentry, не проходячи через цей фільтр.

5.1 Копії, які ви робите самі

PDF- і CSV-звіти про глюкозу та зашифрований архів .glumea потрапляють туди, куди ви їх надсилаєте. Щойно ви передаєте файл іншому застосунку, листом чи людині, він поза нашим контролем. Архів .glumea зашифровано паролем, який знаєте лише ви, ми не можемо його відкрити, і ніхто, кому ви не дали пароль, теж.

5.2 Резервні копії пристрою

Локальна база даних Застосунку зашифрована на вашому пристрої ключем, що зберігається в платформному сховищі ключів і ніколи не залишає цей пристрій. В Android резервне копіювання та перенесення з пристрою на пристрій для glumea повністю вимкнено. В iOS копія файла бази даних усе ще може бути включена до вашої резервної копії iCloud, але без ключа її не можна прочитати. Тож Apple і Google не отримують придатних для читання споживчих даних про здоров’я цим шляхом, а перехід на новий телефон має відбуватися через хмарну синхронізацію або архів .glumea.

6. Ми не продаємо споживчі дані про здоров’я

Ми не продаємо споживчі дані про здоров’я і ніколи їх не продавали. Закон штату Вашингтон вимагає від вас окремого підписаного «чинного дозволу» перед будь-яким продажем; у нас його немає, і ми його у вас не просили. Продаж міг би відбутися лише через дозвіл, який ви вирішите дати, у якому має бути точно сказано, що продається і кому, і який ви можете відкликати.

glumea не містить рекламного SDK, рекламного ідентифікатора, SDK атрибуції чи вимірювання та SDK геолокації. glumea ніколи не просить дозволу на геолокацію і не збирає точних даних про місцеперебування: жодна збірка для платформи не оголошує дозволу на геолокацію, тож Застосунок узагалі не може зчитувати місцеперебування вашого пристрою. Єдине, що несе якийсь географічний сигнал, це мережева адреса, з якої підключається ваш пристрій, яку наші сервери та постачальники з розділу 5 бачать, як і будь-який вебсервіс, і з якої можна вивести приблизний регіон. Ми не використовуємо її, щоб визначити, де ви, і не виводимо та не зберігаємо з неї місцеперебування. Ми не обробляємо споживчі дані про здоров’я для реклами, не передаємо їх для міжконтекстної поведінкової реклами і не створюємо й не можемо створити геозону навколо жодного закладу охорони здоров’я.

7. Навіщо ми це збираємо і що ви можете вимкнути

Більшість записів про здоров’я ви надаєте свідомо, вводячи або імпортуючи їх. Аналітика та діагностика теж необов’язкові: обидві вимкнені, доки ви не погодитеся на них наприкінці початкового налаштування або не ввімкнете їх у налаштуваннях, і жоден із SDK не запускається до цього.

Хмарна синхронізація, тобто чи копіюються ваші записи на наші сервери взагалі, є функцією glumea+ і вимкнена, доки ви її не ввімкнете. Увімкнення відбувається у два кроки. Без активної підписки glumea+ Застосунок показує вам екран підписки замість того, щоб щось вмикати. З підпискою він просить вас підтвердити окремим кроком, що ви згодні на зберігання ваших даних про здоров’я на наших серверах. Це підтвердження і є вашою згодою, його запитують щоразу, коли перемикач вмикається, а не лише вперше, і вимкнення перемикача знову відкликає його. Ви знайдете його в панелі «Хмарна синхронізація», яку відкриває кнопка з хмаринкою вгорі екрана «Огляд» або «Історія»; перемикач у ній називається Синхронізація. Коли її вимкнено, нові записи залишаються на вашому пристрої. Записи, які вже є на наших серверах, залишаються там, доки ви їх не видалите, а повторне ввімкнення синхронізації вивантажує знову записи, що зберігаються на вашому пристрої.

Ваша відповідь на цей перемикач зберігається в обліковому записі на наших серверах, а не на телефоні. Вона зберігається після виходу й іде за вами на новий пристрій, і вимкнення записується так само: якщо ви вимкнете його офлайн, Застосунок зберігає цю відповідь і доставляє її за першої нагоди, а не відкидає. Якщо glumea+ завершується, нові записи перестають копіюватися на наші сервери, а редагування та видалення записів, які вже там, і далі синхронізуються, і панель показує Редагування та видалення й далі синхронізуються · Нові записи залишаються на цьому пристрої: нічого не видаляється, ваша збережена відповідь залишається як була, а нова підписка відновлює повне резервне копіювання за цією відповіддю без повторного запитання. Вимкнення перемикача та посилання Видалити дані з сервера поряд із ним залишаються доступними незалежно від того, чи діє підписка.

Три речі ви можете вимкнути в Застосунку будь-коли:

• Apple Health / Health Connect: вимкнено, доки ви її не підключите, і кожен із трьох типів даних можна вимкнути окремо. Налаштування → Інтеграції → Apple Health (на iPhone) або Health Connect (на Android).
• Аналітика використання: Налаштування → Дані та конфіденційність → Конфіденційність та діагностика. Вимкнена, доки ви на неї не погодитеся. Вимкнення змінює збережене налаштування, але події, які вже стоять у черзі, усе ще можуть бути доставлені за розкладом SDK.
• Звіти про помилки: окремий перемикач на тому самому екрані. Теж вимкнений, доки ви на нього не погодитеся. Вихід з облікового запису очищає обидві відповіді, але SDK, який уже працює, продовжує працювати, доки Застосунок не буде закрито.

Засіб Видалити дані з сервера в Застосунку вимагає чинного входу. Якщо сесія завершилася, панель «Хмарна синхронізація» показує Призупинено, і засіб вимагає входу, перш ніж його можна виконати. Обов’язкові правила забороняють штрафувати за правомірне відкликання згоди.

Ваш профіль діабету та лікування й налаштування терапії не охоплені наведеними вище перемикачами. Видалення облікового запису є єдиним впровадженим способом прибрати їх з нашої робочої бази даних. Процесу видалення лише профілю через [email protected] наразі немає.

8. Ваші права

Розділ 8.1 викладає права, які надає вам Вашингтон, а розділ 8.2 це те, як ними скористатися. Якщо ви перебуваєте в Неваді, ваші права й строки натомість подані в Повідомленні про конфіденційність споживчих даних про здоров’я штату Невада.

8.1 Якщо ви у Вашингтоні

Відповідно до My Health My Data Act ви маєте право:

• Дізнатися, чи ми збираємо, передаємо або продаємо ваші споживчі дані про здоров’я, і отримати до них доступ, зокрема дізнатися про третіх осіб і афілійованих осіб, яким їх було передано, та про спосіб зв’язатися з ними. Наразі опублікований список одержувачів і контактів це таблиця в розділі 5.
• Відкликати згоду на збирання ваших споживчих даних про здоров’я та на їх передавання (розділ 7).
• Видалити ваші споживчі дані про здоров’я.

Закон штату Вашингтон вимагає відповіді протягом 45 днів після отримання запиту. Він дозволяє один додатковий 45-денний період, коли це обґрунтовано необхідно, із повідомленням і причиною протягом першого періоду. Він також встановлює правила щодо плати та явно необґрунтованих, надмірних чи повторюваних запитів. Ці вимоги закону застосовуються незалежно від цієї політики.

8.2 Як скористатися цими правами

• У Застосунку: Видалити обліковий запис (Налаштування → Обліковий запис) остаточно видаляє ваш обліковий запис і все, що з ним синхронізовано, з наших серверів і стирає локальну базу даних з вашого пристрою. Посилання Видалити дані з сервера (у панелі «Хмарна синхронізація»; працює, коли синхронізацію вимкнено) видаляє серверну копію ваших записів, каталогів ліків і розкладів прийому ліків, зберігаючи ваш обліковий запис і копію на вашому пристрої. Воно не сягає далі: ваш профіль діабету та лікування й налаштування терапії залишаються на наших серверах, доки ви не видалите обліковий запис.
• Електронною поштою: надішліть запит на видалення облікового запису на [email protected], навіть якщо Застосунку у вас уже немає. Перед видаленням облікового запису ми перевіряємо, що він ваш. Видалення облікового запису glumea описує обидва шляхи. Окремий власний процес доступу чи оскарження поза застосунком ще не впроваджено, тож цей електронний шлях сам по собі не виконує всіх прав за запитами, передбачених у Вашингтоні.

Коли ви видаляєте в Застосунку, видалення з таблиць робочого облікового запису відбувається, коли ви його підтверджуєте. Розділ 9 каже, куди сягає це видалення і що його переживає.

9. Що насправді охоплює видалення

Таблиця нижче показує, як видалення застосовується в кожній системі та в кожного постачальника послуг.

Місце призначення	Що відбувається
Ваш пристрій	Видалення запису прибирає його з цього пристрою і лише з цього пристрою. Серверна копія залишається, тож запис може повернутися після перевстановлення, на новому телефоні або після того, як ви вийдете й знову ввійдете. Лише Видалити дані з сервера або видалення облікового запису очищає сервер. Вимірювання, імпортовані з Apple Health або Health Connect, не можна видаляти по одному в Застосунку. Видалення облікового запису в Застосунку та вихід стирають локальну базу даних на цьому пристрої; запит електронною поштою не може стерти її віддалено. База даних зашифрована ключем, прив’язаним до пристрою, тож будь-яка її копія, що залишає цей пристрій, нечитабельна
Наша робоча база даних (Google Cloud, europe-west1)	Коли ви видаляєте обліковий запис, рядок облікового запису й усе, що до нього прив’язано, видаляється остаточно й одразу, без відновлення. З окремим записом інакше: якщо видалення одного запису колись доходить до наших серверів, рядок зберігається як позначка про видалення (tombstone), яка все ще містить його значення, теги й нотатки, щоб видалення могло дійти до інших ваших пристроїв
Резервні копії наших серверів	Копії вже видалених рядків зберігаються, доки резервні копії не втратять чинність, щонайбільше 7 днів, і не довше шести місяців після автентифікації там, де застосовується межа, встановлена законом штату Вашингтон. Окремі записи всередині резервної копії не редагуються. Відновлення після збою може тимчасово повернути видалені рядки, бо жодне завдання не відтворює минулі видалення
Наші журнали сервера	Наша хостинг-платформа записує адресу, шлях і час запитів, які ваш пристрій робить до нас, а наш бекенд записує власний рядок щоразу, коли запит завершується невдало: статус, шлях, час і повідомлення про помилку. Жоден із них не містить записів, ліків чи вимірювань. Строк зберігання: 30 днів
Zoho ZeptoMail	Якщо доставку електронної пошти ввімкнено, може зберігати записи доставки для листів підтвердження та скидання. Строк зберігання: до 60 днів журналів доставки, стандартне зберігання ZeptoMail. Поточний процес видалення не надсилає запиту на видалення постачальнику
PostHog (аналітика)	Видалення облікового запису ставить у чергу запит на стирання пов’язаного з обліковим записом профілю та його подій і записів. Ми пробуємо одразу й повторюємо невдалий запит. PostHog може завершити прийняте масове видалення асинхронно. Події до входу використовують окремий ідентифікатор пристрою
Sentry (діагностика)	Застосунок не додає до діагностичного звіту ідентифікатор облікового запису, електронну адресу чи запис користувача. Нативні звіти можуть оминати фільтр Застосунку, і підтримуваного ідентифікатора для пошуку та видалення звітів окремого користувача не існує
RevenueCat	Зберігає запис абонента за ідентифікатором облікового запису, але не записи, ліки чи вимірювання. Видалення облікового запису ставить у чергу запит на стирання цього запису. Ми пробуємо одразу й повторюємо невдалий запит
Наш журнал подій підписки	Наш бекенд зберігає кожне повідомлення про підписку, яке надсилає RevenueCat, зокрема ідентифікатор облікового запису та будь-які атрибути абонента в цьому повідомленні. Рядки не прикріплені до запису облікового запису, тож служба видалення прибирає їх окремо, коли видаляє обліковий запис. Інакше запланове завдання прибирає кожен рядок через 90 днів після надходження
Записи підписки Apple / Google	Зберігаються в них згідно з їхніми власними політиками, поза нашим контролем
Копії, які ви експортували самі	Поза нашою досяжністю, див. «Копії, які ви робите самі» вище

Обидва шляхи видалення облікового запису використовують одну й ту саму серверну службу. Вона прибирає обліковий запис і журнал подій підписки з нашої робочої бази даних і ставить у чергу запити до RevenueCat та PostHog. Вона не ідентифікує звітів Sentry окремого користувача і не стирає журналів доставки Zoho ZeptoMail. Закон штату Вашингтон також вимагає процесу оскарження для відхилених запитів; цей окремий процес ще не впроваджено.

10. Якщо ми відмовимо

Закон штату Вашингтон вимагає письмового пояснення й процесу оскарження, якщо запит відхилено. Він також вимагає письмового рішення за оскарженням протягом 45 днів і, після відхилення оскарження, способу зв’язатися з Генеральним прокурором штату Вашингтон.

Окремого процесу оскарження на [email protected] наразі не впроваджено, тож поточний процес не надає шляху оскарження, якого вимагає Вашингтон. Ніщо в цій політиці не обмежує скарги до Офісу Генерального прокурора штату Вашингтон чи будь-якого іншого права за законом штату Вашингтон.

11. Зміни до цієї політики

Поточна версія описує категорії та цілі, які використовуються нині. Закон штату Вашингтон може вимагати оновленої політики, попереднього повідомлення або згоди перед запровадженням нової категорії чи цілі. Публікація оновленої політики не замінює згоди там, де її вимагають.

12. Мова

Ця політика публікується англійською. Юридичну силу має англійська версія. Переклади іншими мовами публікуються для того, щоб ви могли прочитати політику своєю мовою. У разі розбіжності між перекладом і англійським текстом діє англійський текст.

Виняток становить сам закон. Якщо право країни, де ви живете, надає мові, якою до вас звернулися, самостійне значення, як це роблять закони про захист прав споживачів кількох країн, застосовується його правило, а не це, і ніщо тут не забирає у вас прав за ним.

Переклад публікується, коли він готовий, тож після оновлення він може відставати від англійського тексту. Якщо ви знайдете місце, де переклад і англійський текст кажуть різне, повідомте нас на [email protected].

13. Зв’яжіться з нами

• Електронна пошта: [email protected]
• Пошта: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Польща

Пов’язані документи: Повідомлення про конфіденційність споживчих даних про здоров’я штату Невада, Політика конфіденційності, Умови використання сервісу і Медичне застереження.