Політика конфіденційності

1. Хто ми і що охоплює ця політика

Paweł Milewski Software Development (Оператор, «ми», «нас», «наш») надає glumea (Застосунок), мобільний застосунок для самоконтролю діабету, та glumea.com (Сайт). Ця політика пояснює, які дані ми збираємо, навіщо, де вони зберігаються, хто має до них доступ, як довго вони зберігаються, що прибирає видалення, а також які у вас є права та засоби керування.

Це також повідомлення, яке ми зобов’язані вам надати за європейським законодавством про захист даних: інформація, якої вимагають статті 13 і 14 Загального регламенту про захист даних (Регламент (ЄС) 2016/679), який ми надалі називаємо GDPR, і про дані, які ви надаєте нам самі, і про дані, які надходять до нас звідкись іще.

Ця політика охоплює:

• Застосунок: мобільний застосунок glumea для iOS та Android.
• Сайт: вебсайт glumea.com, включно зі сторінками, на яких розміщено ці правові документи.

Сайт майже нічого не збирає, і нижче для нього є окремий розділ.

Оператор є контролером даних, відповідальним за ваші персональні дані:

• Контролер: Paweł Milewski Software Development
• Реєстраційний номер компанії: NIP PL6751782526 (фізична особа-підприємець, внесена до CEIDG, польського Центрального реєстру та інформації про господарську діяльність)
• Поштова адреса: ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Польща
• Електронна пошта: [email protected]
• Країна заснування: Польща

Якщо застосовно:

• Представник у ЄС: не застосовується (ми засновані в Європейському Союзі)
• Представник у Великій Британії: не призначений
• Уповноважена особа із захисту даних: не призначена; питання щодо захисту даних надсилайте на [email protected]

«Контролер даних» означає сторону, яка вирішує, як і навіщо обробляються ваші персональні дані, як це визначено в GDPR.

Разом із цією політикою діють ще два документи, і читати їх слід разом із нею:

• наші Умови використання сервісу, які регулюють ваше користування Застосунком і Сайтом, та
• наше Медичне застереження, яке окреслює медичні межі того, що робить Застосунок.

Якщо ви мешканець штату Вашингтон, до вас окремо застосовується четвертий документ: наша Політика конфіденційності споживчих даних про здоров’я, яку закон штату Вашингтон вимагає публікувати окремо. Якщо ви в Неваді, рівнозначним документом є наше Повідомлення про конфіденційність споживчих даних про здоров’я штату Невада.

2. Стисло

Коротка версія того, що йде далі. Кожен пункт називає розділ, який викладає це повністю, і саме той розділ є визначальним.

• Хто ми. Paweł Milewski Software Development вирішує, як і навіщо обробляються ваші дані. Розділи 1 і 21.
• Що ми збираємо. Вашу електронну адресу й пароль; профіль, який ви вводите під час початкового налаштування; щоденник, який ви ведете: глюкоза, їжа, інсулін, інші ліки, вага, ліки та нагадування; токени входу й записи про з’єднання із сервером. Записи з Apple Health або Health Connect, якщо ви їх підключите, та інформацію про підписку, якщо ви її оформите. Розділ 3.
• Дані про здоров’я. Щоденник, тип діабету, метод лікування та налаштування терапії є даними особливої категорії за статтею 9 GDPR. Для хмарної синхронізації щоденника є окреме підтвердження. Поточне початкове налаштування не збирає окремої явної згоди перед збереженням профілю здоров’я та налаштувань терапії. Розділи 3.3 і 4.
• Де вони. Частина ваших даних перебуває на наших серверах з моменту, коли ви створюєте обліковий запис: дані вашого облікового запису, ваш профіль, включно з типом діабету та лікуванням, і ваші налаштування терапії. Із щоденником інакше: він спершу записується в зашифровану базу даних на вашому телефоні, Застосунок працює офлайн, а на наші сервери щоденник потрапляє, лише якщо ви ввімкнете Хмарну синхронізацію, функцію glumea+, вимкнену, доки ви її не увімкнете, і вибір, який зберігається в обліковому записі, а не на телефоні. Повну таблицю наведено в розділі 10.
• Хто їх отримує. Наш хостинг-провайдер у ЄС; постачальник електронної пошти, якщо доставку пошти ввімкнено; PostHog і Sentry, кожен лише після того, як ви на це погодитеся; магазин, якщо ви оформите підписку; і RevenueCat незалежно від того, чи ви оформлюєте підписку. Ми не продаємо ваші дані, і Застосунок не містить реклами. Розділи 5, 7, 8 і 9.
• Ваші можливості вибору. Аналітика та звіти про помилки вимкнені, доки ви не погодитеся на кожне, і кожне має власний перемикач; вихід з облікового запису не зупиняє SDK, який уже працює в цьому сеансі. У Застосунку ви можете вимкнути синхронізацію, видалити серверну копію щоденника, видалити обліковий запис і користуватися запровадженими експортами. Розділи 5 і 13.
• Ваші права. Доступ, виправлення, стирання, обмеження, переносимість, заперечення, відкликання згоди та скарга до органу із захисту даних; у Сполучених Штатах права, які надає вам закон вашого штату. Ви можете видалити обліковий запис у Застосунку або запросити видалення облікового запису листом на [email protected] без Застосунку. Розділи 13, 14 і 17.
• Чого не охоплює видалення. Видалення облікового запису прибирає його записи з робочої бази даних і просить видалити пов’язані з обліковим записом записи RevenueCat і PostHog. Наявні резервні копії, журнали сервера й діагностики, платіжні записи магазину та експортовані копії можуть зберігатися, як описано в розділі 12.

3. Дані, які ми збираємо

Більшість наведеного тут ви надаєте безпосередньо. Дві категорії не такі: вимірювання, які ви імпортуєте з Apple Health або Health Connect, та інформація про підписку, що надходить до нас від Apple, Google і RevenueCat. Обидві описані нижче.

3.1 Дані облікового запису

• Електронна адреса та пароль. Ваш пароль хешується на наших серверах за допомогою bcrypt, ніколи не зберігається відкритим текстом і ніколи не зберігається на вашому пристрої. Ваша електронна адреса також міститься всередині токена входу, який використовує Застосунок.
• Одноразові коди для підтвердження електронної пошти, скидання пароля, зміни пароля й зміни електронної пошти. Код втрачає чинність через 10 хвилин після видачі, а п’ять неправильних спроб його анулюють.

3.2 Дані профілю

Збираються під час початкового налаштування:

• Ім’я та прізвище (зберігаються як псевдонім), вік, стать (необов’язково) і зріст.
• Тип діабету (тип 1, тип 2, гестаційний або інший), методи лікування (інсулін, таблетки, ін’єкційні препарати, дієта) та спосіб введення інсуліну.

Ваш тип діабету, ваші методи лікування та ваш спосіб введення інсуліну є даними про здоров’я, «особливою категорією» персональних даних за статтею 9 GDPR, хоча ця політика групує їх під «профілем». Розділ про правові підстави нижче викладає умову, на яку ми спираємося для них.

3.3 Дані про здоров’я, які ви записуєте (дані особливої категорії)

Нижченаведене є даними про здоров’я, «особливою категорією» персональних даних за статтею 9 GDPR. Ми зберігаємо їх на наших серверах лише за вашої явної згоди. Розділ про правові підстави нижче викладає, як дається ця згода і які з цих даних потрапляють на наші сервери лише коли ввімкнено хмарну синхронізацію:

• Вимірювання глюкози в крові з необов’язковими тегами контексту (час прийому їжі, фізіологія, активність, ліки й технології, а також теги, які ви пишете самі) і вільними нотатками.
• Записи про їжу: вуглеводи, а також за бажанням білки, жири, калорії та назва, яку ви вводите.
• Дози інсуліну: кількість одиниць, пов’язана з інсуліном, який ви налаштували: болюсним, базальним або готовою сумішшю.
• Дози ін’єкційних препаратів (наприклад, агоністів GLP-1).
• Кількість прийнятих пігулок і таблеток.
• Записи про вагу тіла, кожен із часом, коли ви його внесли.
• Ваші каталоги ліків: інсулін, таблетки та ін’єкційні препарати, які ви налаштовуєте, включно з назвами препаратів (наприклад, Fiasp, Lantus, Metformin, Ozempic) і фармакокінетичними параметрами (початок, пік, тривалість), та часи нагадувань, які ви для них задаєте.
• Налаштування лікування, які ви задаєте: ваш цільовий діапазон глюкози (за замовчуванням 3,9–10,0 ммоль/л, а для гестаційного діабету, предіабету або за відсутності діагнозу діабету 3,9–7,8 ммоль/л), співвідношення інсуліну до вуглеводів (ICR) і коефіцієнт чутливості до інсуліну (ISF). Застосунок ніколи не використовує жодне з них для обчислення чи рекомендації дози. Ваше співвідношення інсуліну до вуглеводів зберігається для вашої довідки, і більше ніщо його не читає. Ваш цільовий діапазон зберігається, а також він малює смугу «в діапазоні» Часу в діапазоні, задає внутрішні межі позначки Добрий / Межовий / Критичний і вирішує, коли змінюється формулювання про ризик гіпо. Ваш коефіцієнт чутливості до інсуліну використовується, щоб визначити формулювання про ризик гіпо та приблизний діапазон зниження поряд з активним інсуліном. Медичне застереження описує все це.
• Значення, які Застосунок обчислює на вашому пристрої з того, що ви записуєте: оцінка активного інсуліну (оцінка лише для обізнаності: вона не рекомендує й не обчислює дозу), формулювання про ризик гіпо та приблизний діапазон зниження поряд із ним, тенденції, середня глюкоза та її розкид, Час у діапазоні, розрахунковий A1C (GMI), рекомендований час наступного вимірювання та позначка Добрий / Межовий / Критичний на вашому останньому вимірюванні. Медичне застереження викладає, чим кожне з них є і чим не є.

Кілька з цих полів є вільним текстом: нотатки до глюкози, теги, які ви пишете самі, назви їжі, власні назви ліків, назва власного слота нагадування. Усе, що ви там вводите, зберігається, і синхронізується, якщо синхронізацію ввімкнено, саме так, як ви це ввели.

3.4 Дані, які ми отримуємо з інших джерел

• Apple Health і Health Connect. Якщо ви їх підключите, Застосунок зчитує записи про глюкозу в крові, вагу тіла та вуглеводи в харчуванні з платформи здоров’я на вашому телефоні. Це лише читання: Застосунок ніколи нічого не записує назад. В iOS він просить у системи лише доступ на читання і не заявляє причини для запису, а саме її вимагав би запис; в Android він має лише дозволи на читання для трьох типів записів. Записи, які спочатку надійшли від глюкометра, CGM чи іншого застосунку, отже, потрапляють у glumea через платформу здоров’я. Імпортовані записи зберігаються на вашому пристрої як звичайні записи, позначені платформою, з якої вони надійшли, та ідентифікатором запису. Чи копіюється імпортований запис також на наші сервери, залежить від того, чи ввімкнено Хмарну синхронізацію, точно так само, як для запису, який ви ввели самі. Підключення вимкнене, доки ви його не ввімкнете, і ви можете відключити його або вимкнути окремі типи даних будь-коли в Налаштування → Інтеграції.
• Apple, Google і RevenueCat. Якщо ви оформлюєте підписку на glumea+, інформація про цю підписку надходить до нас від магазину і від RevenueCat. Що саме, дивіться в розділі про glumea+ нижче.

3.5 Технічні дані

• Токени автентифікації, що зберігаються в захищеному сховищі вашого пристрою, щоб ви залишалися в системі. Ваш сеанс на наших серверах це запис, що містить ідентифікатор сеансу, ваш ідентифікатор користувача та строк його дії.
• Коли ввімкнено хмарну синхронізацію, наші сервери обробляють дані, які ви синхронізуєте, разом із службовим обліком, потрібним для роботи служби синхронізації, як-от часові позначки синхронізації.
• Коли Застосунок зв’язується з нашими серверами, сервери отримують стандартні відомості про з’єднання, як-от вашу IP-адресу, запитаний шлях і час, які використовуються для безпеки та для роботи сервісу.
• Поки ввімкнено аналітику чи діагностику, кожен SDK надсилає дані, описані в розділі 5. Обидва вимкнені, доки ви на них не погодитеся.

3.6 Дані, що залишаються на вашому пристрої, і дані, що ні

Дещо взагалі ніколи не потрапляє на наші сервери: налаштування сповіщень, часи нагадувань про вимірювання глюкози, Тихі години, вибір подробиць у сповіщеннях, стан локальних сповіщень, стан підключення до платформи здоров’я, налаштування застосунку, налаштування телеметрії та службовий облік синхронізації. Одне уточнення: поки ввімкнено аналітику, налаштування мови, теми й одиниць надсилаються до PostHog як атрибути профілю. Нічого іншого з цього списку не залишає пристрою через наш бекенд.

Розклади прийому ліків є винятком: вони належать до щоденника, тому копіюються на наші сервери, коли ввімкнено Хмарну синхронізацію, бо нагадування про ліки має пережити новий телефон.

Сам перемикач хмарної синхронізації також не є лише для пристрою. Ваша відповідь на нього зберігається в обліковому записі на наших серверах, щоб іти за вами на новий телефон і переживати вихід; розділ 10 викладає, що це означає на практиці.

Файли, які ви створюєте самі: архів резервної копії .glumea або звіт про глюкозу у форматі CSV чи PDF, записуються на вашому пристрої й передаються тому застосунку, яким ви вирішите ними поділитися або в якому їх збережете. Куди вони потрапляють далі, поза нашим контролем, а звіт CSV чи PDF не зашифрований.

4. Навіщо ми обробляємо ваші дані і наші правові підстави

За GDPR кожне використання потребує підстави за статтею 6, а дані особливої категорії потребують ще й умови за статтею 9. Передбачені підстави наведено нижче. Відсутній крок згоди щодо профілю, описаний нижче, не дає явної згоди, якої вимагає обробка.

• Надання вашого облікового запису та Застосунку: створення й захист вашого облікового запису, автентифікація, підтвердження електронної пошти, скидання пароля, робота хмарної синхронізації, надання glumea+, якщо ви оформлюєте підписку, і ведення запису сповіщень про підписку, які надсилають нам магазин і RevenueCat, щоб ми могли визначити, чи активна glumea+, і розв’язати проблему з оплатою: виконання договору, стаття 6(1)(b) GDPR.
• Зберігання даних про здоров’я на наших серверах: передбачені підстави це стаття 6(1)(b) для сервісу та явна згода за статтею 9(2)(a) для даних про здоров’я. Щоденник копіюється на наші сервери лише після окремого підтвердження Хмарної синхронізації. Поточне початкове налаштування зберігає профіль і налаштування терапії в обліковому записі без окремого кроку явної згоди. Прийняття договору не є автоматично явною згодою на обробку даних особливої категорії, тож поточний процес початкового налаштування не дає цієї умови за статтею 9. Видалення облікового запису є єдиним запровадженим способом прибрати ці поля профілю й терапії з робочої бази даних.
• Аналітика продукту: згода за статтею 6(1)(a), явна згода за статтею 9(2)(a), бо користування застосунком для діабету розкриває дані про здоров’я, і згода за статтею 5(3) Директиви про електронну приватність (ePrivacy) на зберігання SDK. Розділ 5 описує, як запитується ця згода.
• Діагностика та звіти про збої: передбачена підстава це згода за статтею 6(1)(a), явна згода за статтею 9(2)(a), бо користування застосунком для діабету розкриває дані про здоров’я, і згода за статтею 5(3) ePrivacy на зберігання SDK, яка запитується так само, як для аналітики (розділ 5).
• Підтримання безпеки сервісу та запобігання зловживанням: обмеження частоти запитів до нашого API та розслідування підозрюваного зловживання: наші законні інтереси, стаття 6(1)(f) GDPR. Конкретний інтерес це захист вашого облікового запису та облікових записів інших людей від несанкціонованого доступу й підтримання доступності сервісу. Ми спираємося на це лише там, де наші інтереси не переважені вашими правами.
• Виконання юридичного зобов’язання: де право Польщі вимагає від нас зберігати чи розкривати певні записи, ми робимо це на підставі статті 6(1)(c) GDPR. Ми не спираємося на цю підставу щодо даних про здоров’я, які ви записуєте. Ми не приймаємо вашого платежу й ніколи не отримуємо ваших платіжних даних, тож платіжні та розрахункові записи вашої покупки зберігає магазин, а не ми.

Ми не ухвалюємо щодо вас рішень, які породжують правові наслідки або подібним чином суттєво впливають на вас, на основі виключно автоматизованої обробки, і не профілюємо вас для таких рішень. У glumea немає автоматизованого ухвалення рішень у розумінні статті 22 GDPR. Оцінки, які показує Застосунок, активний інсулін, тенденції, Час у діапазоні, це арифметика, виконана на вашому пристрої над введеними вами даними і подана лише для вашої обізнаності. Вони не рекомендують і не обчислюють жодної дози інсуліну чи ліків і не є медичною порадою.

Чи є надання даних вимогою? Закон не вимагає від вас надавати дані. Для облікового запису потрібні електронна адреса й пароль. Поля профілю та терапії, які запитуються під час початкового налаштування, зберігаються в обліковому записі з урахуванням обмеження щодо згоди, описаного вище. Запис, підключення Apple Health чи Health Connect і хмарна синхронізація необов’язкові. Аналітика й діагностика необов’язкові та вимкнені, доки ви на них не погодитеся.

5. Аналітика та діагностика

Застосунок містить два SDK третіх сторін для цих цілей: один для аналітики продукту і один для звітів про збої та помилки. Цей розділ викладає, що являє собою кожен і що він отримує.

Обидва вимкнені, доки ви на них не погодитеся, і жоден SDK не запускається до цього. Застосунок запитує наприкінці початкового налаштування з окремим перемикачем для кожного. Перемикачі показані у ввімкненому положенні, але нічого не збирається, доки ви не торкнетеся «продовжити», і одне торкання кнопки відмови завершує початкове налаштування з обома вимкненими. Якщо ви входите в наявний обліковий запис, не проходячи початкового налаштування, обидва залишаються вимкненими, доки ви їх не ввімкнете. Ці два налаштування незалежні й змінюються будь-коли в Налаштування → Дані та конфіденційність → Конфіденційність та діагностика. Вихід очищає обидві відповіді разом з іншими вашими налаштуваннями, але SDK, який уже працює, продовжує працювати, доки Застосунок не буде закрито.

5.1 Аналітика продукту: PostHog

Ми використовуємо PostHog (EU Cloud, eu.i.posthog.com), щоб розуміти, як використовується Застосунок, і вдосконалювати його.

Що PostHog може отримувати, поки ввімкнено аналітику:

• Ідентифікатор вашого облікового запису glumea: внутрішній UUID вашого облікового запису. Не ваша електронна пошта, не ваше ім’я. Щойно ви ввійшли, події прив’язуються до цього ідентифікатора, тож ці події не анонімні. Події, які можуть статися до входу або після виходу: перший запуск, запуски застосунку, реєстрація та підтвердження коду з листа, натомість несуть псевдонімний ідентифікатор пристрою, і цей ідентифікатор генерується заново, коли Застосунок скидає SDK.
• Фіксований список назв подій, близько 28, що охоплюють такі речі, як відкриття застосунку, реєстрація, завершення початкового налаштування, збереження запису, імпорт з Apple Health, надання чи відмова в дозволі на сповіщення, створення експорту, відкриття екрана оплати та результат покупки чи відновлення.
• Невелика кількість властивостей, кожна із закритого списку або обмеженої кількості: який вид запису збережено (глюкоза, їжа, ліки чи вага), скільки рядків записало одне збереження, чи запис внесено в момент, чи заднім числом, чи був експорт у CSV, чи PDF, який крок початкового налаштування завершено, загальна категорія нагадування, якого ви торкнулися, та подібне. Жодна властивість у системі не приймає вільного тексту.
• Екран, на якому ви перебуваєте, як шаблон маршруту на кшталт /settings/privacy. Цифри відхиляються, тож ідентифікатор запису не може подорожувати всередині нього. Екран, до якого потрапляє лише один вид лікування, як-от налаштування інсуліну, повідомляється як екран над ним.
• Жменька атрибутів профілю: ваша мова, ваша тема, ваші одиниці глюкози, ваги й вуглеводів і те, чи ви на glumea+.
• Те, що PostHog SDK додає сам, поза нашим контролем: модель пристрою, операційна система та версія, версія застосунку, версія SDK, часовий пояс, локаль, тип мережі та ідентифікатор сеансу. PostHog також отримує IP-адресу, з якої надходить ваш запит, як і будь-який вебсервіс, і визначає за нею приблизне місцеперебування. Ми не вмикали в PostHog параметр, який відкидає цю адресу, тому вона зберігається разом із подією.

Чого PostHog не може отримувати: значення глюкози, дози інсуліну, назви ліків, виду ліків, які ви приймаєте, нотатки, назви їжі, електронної адреси чи будь-якого іншого вільного тексту. Фільтр, що це забезпечує, закритий за замовчуванням: подія, якої немає в списку, відкидається цілком, незадекларована властивість вилучається, а задекларована властивість, значення якої не відповідає очікуваній формі, теж вилучається. У системі немає властивості «будь-який рядок». Немає запису сеансу, запису екрана, опитувань, автозахоплення торкань і токена push.

Події побудовані так, щоб не розкривати вашого лікування чи ваших вимірювань. Інсулін, таблетки й ін’єкційні препарати всі повідомляються як запис про ліки. Торкання сповіщення про низьку чи високу глюкозу не записується взагалі, як і крок початкового налаштування, який бачать лише користувачі інсуліну. Імпорт з Apple Health чи Health Connect повідомляє, що він виконувався і що його запустило, ніколи не скільки записів він прочитав. Події все ж пов’язані з вашим обліковим записом, поки ви ввійшли, а користування застосунком для діабету саме розкриває дані про здоров’я, тому аналітика чекає на вашу згоду.

SDK аналітики зберігає на вашому пристрої власний ідентифікатор разом із чергою подій, що чекають на надсилання. З того, як працює SDK, випливають два обмеження. Відкликання записує одну останню власну подію про те, що ви відмовилися. І ця подія разом із усім, що вже було зібрано, поки ви погоджувалися, доставляється згодом за власним розкладом SDK, а не в момент відкликання. Після цього нічого нового не збирається.

5.2 Діагностика та звіти про збої: Sentry

Ми використовуємо Sentry (регіон Європейського Союзу), щоб дізнаватися, коли Застосунок дає збій чи помилку, щоб ми могли це виправити.

Кожна частина звіту, яку створює Застосунок і яка несе вміст, перебудовується з нуля перед надсиланням зі списку дозволених полів, а не зі списку полів для вилучення. Десяток із чимось решти полів верхнього рівня очищаються за назвою, тож поле, нещодавно додане майбутньою версією SDK, не потрапить під це очищення, доки ми його не додамо. Що переживає цю перебудову:

• Тип винятку та обчислена мітка замість початкового повідомлення про помилку.
• Трасування стека, де назви файлів скорочено до базового імені, а в релізних збірках імена символів обфусковано: читабельними їх робить лише Sentry за зіставленням, яке ми вивантажуємо під час збірки.
• Родина пристрою, модель, архітектура, чи це симулятор, і орієнтація.
• Назва, версія та збірка операційної системи; назва, версія та збірка застосунку; версія середовища виконання Dart.
• Ідентифікатори образів налагодження, потрібні, щоб зробити нативні збої читабельними.
• Форма слідів (breadcrumb): категорія, тип, рівень і часова позначка нещодавніх подій, але ніколи не їхній вміст.
• Дві мітки: яка ділянка Застосунку дала збій і чи це сталося на передньому плані, чи у фоновому рушії сповіщень.
• Випуск, номер збірки, середовище та випадково згенерований ідентифікатор події.

Що вилучається повністю: повідомлення про помилку, будь-які дані запиту, будь-який об’єкт користувача, ім’я сервера, назва транзакції, списки потоків, списки модулів, значення локальних змінних, контекст вихідного коду, абсолютні шляхи, унікальний ідентифікатор і назва пристрою, хеш застосунку в межах встановлення, повідомлення та дані слідів, знімки екрана, ієрархії виду і будь-які вкладення. Знімки екрана, захоплення ієрархії виду, запис сеансу, трасування продуктивності, журналювання та тіла запитів усі вимкнені. Застосунок не додає до події Sentry жодного ідентифікатора користувача: ні ідентифікатора облікового запису, ні електронної адреси, ні ідентифікатора пристрою.

Два обмеження до наведеного:

• Нативні збої, події невідповіді застосунку та завершення сторожовим таймером iOS можуть потрапити до Sentry, не проходячи цієї перебудови, бо їх створює обробник збоїв операційної системи, а не власний код Застосунку. Так само періодичний сигнал «сеанс застосунку розпочато / завершено», який Sentry використовує для стану випуску. Ми не можемо перевірити їх на пристрої і не знаємо всіх полів, які платформний SDK кладе в кожен. Ми не задаємо жодного ідентифікатора, який пов’язав би будь-який із них з вами.
• Sentry отримує IP-адресу, з якої надіслано звіт.

Доки ви не погодитеся на діагностику, Sentry не запускається. Вимкнення перемикача закриває засоби звітування, на які поширюється цей елемент керування, але вихід не надійно вимикає вже ініціалізований SDK у запущеному процесі. Поточний життєвий цикл тому не можна описати як негайне відкликання в кожному стані.

6. glumea+ та дані підписки

glumea+ це підписка, що продається лише як покупка в застосунку через Apple App Store і Google Play. Іншого способу купити її немає, ні веб-оформлення, ні форми картки ніде в Застосунку.

• Платіжні дані до нас не потрапляють. Платіж приймає Apple або Google. Ми ніколи не бачимо номера вашої картки, ваших банківських даних чи вашої платіжної адреси. Скасування та повернення коштів проводяться через ваш обліковий запис магазину, де саме, пояснюють Умови використання сервісу.
• RevenueCat це сервіс, яким ми користуємося, щоб знати, чи активна ваша підписка. Застосунок повідомляє RevenueCat про вас одне: ідентифікатор вашого облікового запису glumea, який використовується як ідентифікатор користувача підписки. Наші сервери також запитують у RevenueCat, чи має цей ідентифікатор активну підписку, зокрема й коли ви ніколи не підписувалися, бо саме так ми дізнаємося, що ви не підписані. Ми не задаємо жодної електронної адреси, відображуваного імені, номера телефона, токена push і не просимо його збирати рекламні ідентифікатори пристрою. SDK самого RevenueCat також збирає деякі відомості про пристрій і мережу для роботи сервісу RevenueCat, описані у його власному повідомленні про конфіденційність. Ми не налаштовуємо це збирання і не отримуємо того, що воно створює.
• Що Застосунок зберігає локально, це єдине значення «так/ні»: чи активна glumea+. Жодної ціни, ідентифікатора продукту, дати закінчення, ідентифікатора транзакції Застосунок на вашому пристрої не зберігає. Це значення встановлюється в «ні», коли ви виходите, тож наступний обліковий запис на пристрої починає без підписки і мусить бути перевірений за магазином окремо.
• Що зберігають наші сервери. RevenueCat надсилає нашому бекенду сповіщення, коли щось змінюється в підписці: покупка, поновлення, скасування, проблема з оплатою. Ми записуємо кожне з цих сповіщень у тому вигляді, в якому воно надійшло: ідентифікатор і тип події, середовище, ідентифікатор вашого облікового запису glumea і повне повідомлення, яке надіслав RevenueCat, збережене саме так, як воно надійшло, а не поле за полем. Це повідомлення зазвичай містить ідентифікатор продукту, ціну, валюту, магазин, країну та дати покупки й закінчення. Оскільки ми зберігаємо його цілком, воно також може нести будь-які атрибути абонента, що RevenueCat має про вас, зокрема електронну адресу: хоча наш Застосунок власних не задає. Ми ніколи не переписуємо повідомлення; повторна доставка тієї самої події оновлює лише наш лічильник того, скільки разів вона надходила.
• Поки ввімкнено аналітику, події воронки, описані вище, йдуть до PostHog разом з атрибутом профілю, що фіксує, чи активна glumea+. Жодна ціна, ідентифікатор продукту чи ідентифікатор магазину до аналітики не надсилається.

З цього випливають два наслідки. Журнал вебхуків несе ідентифікатор вашого облікового запису glumea, але не має зв’язку в базі даних із рядком вашого облікового запису. Під час видалення облікового запису наш бекенд прибирає ці записи окремо й просить видалити запис абонента RevenueCat за тим самим ідентифікатором. Інакше запланове завдання прибирає кожен запис вебхука через 90 днів після надходження. Розділ 12 описує, що може залишитися.

7. Чого ми не робимо

Нічого з наведеного нижче в glumea не відбувається:

• Жодної реклами будь-якого роду. Жодного рекламного SDK, жодного SDK атрибуції, жодного рекламного ідентифікатора. Застосунок не може показати запит iOS «Попросити застосунок не стежити», бо не містить запису, який би це дозволяв, і не оголошує рекламних мереж атрибуції.
• Жодного продажу ваших даних. Ми не продаємо й не здаємо в оренду персональні дані і не продаємо дані про здоров’я. Ми не передаємо їх для міжконтекстної поведінкової реклами.
• Жодного використання ваших даних про здоров’я для реклами, маркетингу чи створення вашого профілю для когось іншого.
• Жодних даних про місцеперебування. Жодного доступу до ваших контактів, камери, мікрофона, фото чи календаря: Застосунок не запитує жодного з цих дозволів на жодній платформі.
• Жодного Firebase в Застосунку: ні Firebase Analytics, ні Crashlytics, ні Firebase Cloud Messaging. (Firebase Hosting справді обслуговує Сайт, включно з цією сторінкою, але це інша служба Google, і її названо нижче.)
• Жодних push-сповіщень і жодного токена push пристрою. Нагадування планує й показує ваш власний пристрій; взагалі немає каналу від сервера до пристрою.
• Жодних знімків екрана, запису екрана, запису сеансу, захоплення ієрархії виду від жодного з двох SDK, описаних вище.
• Окрім PostHog і Sentry, у Застосунку немає жодного іншого SDK аналітики, телеметрії чи відстеження. Єдині компоненти, що відкривають мережеве з’єднання, це власне з’єднання Застосунку з нашими серверами, PostHog, Sentry і RevenueCat.

8. Хто отримує ваші дані

Ми передаємо дані постачальникам послуг нижче, щоб забезпечувати роботу glumea. Їхні ролі, їхні власні повідомлення про конфіденційність і договірні умови, що застосовуються до нашого використання кожної служби, регулюють цю обробку. SDK RevenueCat також сам збирає відомості про пристрій і мережу. Ми не налаштовуємо це збирання і не отримуємо його результату, тож опис його походить із повідомлення RevenueCat про конфіденційність, а не з наших систем.

• Google (Google Cloud Run і Google Cloud SQL, регіон europe-west1) розміщує наш бекенд і базу даних, що містить усе, що ви синхронізуєте, включно з вашими даними про здоров’я. Google Secret Manager зберігає облікові дані нашого сервера, а Google Cloud Logging зберігає наші журнали запитів до сервера.
• Google (Firebase Hosting) обслуговує glumea.com і ці правові документи.
• Sentry (регіон Європейського Союзу) отримує діагностичні звіти, описані вище, поки ввімкнено діагностику за поточної поведінки налаштувань.
• PostHog (EU Cloud) отримує події аналітики, описані вище, поки ввімкнено аналітику за поточної поведінки налаштувань.
• RevenueCat (Сполучені Штати) отримує ідентифікатор вашого облікового запису glumea і стан вашої підписки, незалежно від того, чи ви підписуєтеся: перевірка, що ви не підписник, використовує той самий ідентифікатор, що й підтвердження, що ви підписник. Як зазначено вище, його SDK додатково збирає відомості про пристрій і мережу, які ми не налаштовуємо й не отримуємо; їх описує власне повідомлення RevenueCat про конфіденційність.
• Zoho ZeptoMail: якщо ввімкнено доставку електронної пошти у виробничому середовищі, цей постачальник отримує адресу електронної пошти призначення та повідомлення підтвердження або скидання пароля, потрібне для його доставки. Жоден постачальник електронної пошти не отримує цих повідомлень, поки доставку вимкнено.

Apple і Google не є нашими обробниками. Вони керують магазинами, через які продається glumea+, приймають платіж і є незалежними контролерами даних покупки, які вони про вас зберігають. Те, що вони збирають, регулюється їхніми власними політиками конфіденційності, а не цією.

Окрім цього, ми розкриваємо персональні дані лише якщо цього вимагає закон, наприклад, обов’язкове розпорядження суду чи органу, або за вашою вказівкою.

Якщо Paweł Milewski Software Development колись буде залучено до злиття, поглинання чи продажу активів, ваші дані й надалі будуть захищені цією політикою, і ми повідомимо вас, перш ніж ваші дані стануть підпадати під іншу політику конфіденційності.

9. Міжнародні передавання

Де кожен одержувач обробляє ваші дані:

• Ваш обліковий запис, профіль і синхронізовані дані про здоров’я зберігаються в ЄС: Google Cloud, europe-west1 (Бельгія). Місце зберігання не є повною відповіддю. Google може отримувати доступ до цих даних з-поза ЄЕЗ, для підтримки та для роботи платформи, і це є передаванням само по собі. Воно спирається на Стандартні договірні положення в Додатку Google Cloud про обробку даних.
• Аналітика йде до EU Cloud PostHog, який зберігає її в ЄС. Де PostHog може отримувати до неї доступ з-поза Європейського економічного простору, передавання спирається на Стандартні договірні положення в угоді PostHog про обробку даних.
• Діагностика йде до Sentry в його регіоні Європейського Союзу. Де це поза Європейським економічним простором, передавання спирається на Стандартні договірні положення в додатку Sentry про обробку даних.
• Сайт обслуговує Firebase Hosting з мережі доставки вмісту Google, тож запит сторінки може обслуговуватися з місця поза Європейським економічним простором і журналюватися там. Де це відбувається, передавання спирається на Стандартні договірні положення в Додатку Google Cloud про обробку даних.
• Стан підписки йде до RevenueCat у Сполучених Штатах. Де це поза Європейським економічним простором, передавання спирається на Стандартні договірні положення в додатку RevenueCat про обробку даних.
• Якщо ввімкнено доставку електронної пошти у виробничому середовищі, листи підтвердження та скидання пароля доставляє Zoho ZeptoMail, який обробляє адресу електронної пошти призначення в Європейському Союзі (Zoho Corporation B.V., центри обробки даних Zoho в ЄС у Нідерландах та Ірландії). Де це поза Європейським економічним простором, застосовним механізмом передавання є Стандартні договірні положення в додатку Zoho про обробку даних.
• Apple і Google обробляють дані покупок за власними домовленостями як незалежні контролери даних.

Де постачальник може отримувати доступ до даних з-поза ЄЕЗ, зокрема для підтримки, цей доступ також є передаванням і повинен мати належні гарантії за розділом V GDPR. Механізм для кожного одержувача названо вище. Для користувачів у Сполученому Королівстві рівнозначним механізмом є Британський додаток до Стандартних договірних положень ЄС (UK Addendum) або IDTA, де постачальник використовує цю форму за UK GDPR. Загальний контакт із питань захисту даних: [email protected]. Окремого автоматизованого процесу запиту копій гарантій наразі не запроваджено.

10. Де зберігаються ваші дані

glumea працює насамперед офлайн. Цей розділ є повною відповіддю на питання «що моє є на ваших серверах?»: усе інше в цій політиці відсилає сюди.

Що	На вашому телефоні	На наших серверах	Відколи	Як це прибрати
Ваш щоденник, записи, каталоги ліків, розклади прийому ліків	Завжди	Лише з увімкненою Хмарною синхронізацією	З моменту, коли ви вмикаєте перемикач	Вимкніть перемикач, потім Видалити дані з сервера; або видаліть обліковий запис
Ваш профіль, ім’я, вік, зріст, тип діабету, методи лікування, спосіб введення інсуліну	Так	Завжди	З початкового налаштування, незалежно від того, чи користуєтеся ви синхронізацією	Видаліть обліковий запис
Ваші налаштування терапії, цільовий діапазон, співвідношення інсуліну до вуглеводів, коефіцієнт чутливості до інсуліну	Так	Завжди	З моменту, коли ви їх вводите	Видаліть обліковий запис
Ваш обліковий запис, електронна адреса, хешований пароль, сеанси входу	Лише облікові дані	Завжди	З моменту створення облікового запису	Видаліть обліковий запис
Усе з розділу 3.6, нагадування, Тихі години, налаштування застосунку	Так	Ніколи	Не застосовується	Вийдіть або видаліть застосунок

Решта цього розділу це подробиці за цією таблицею.

• Усі дані, які ви вводите, спершу записуються в локальну базу даних на вашому пристрої. Застосунком можна повністю користуватися без підключення до інтернету.
• Ця локальна база даних зашифрована. Вона відкривається 32-байтовим ключем, що зберігається в сховищі ключів вашого пристрою, за налаштуванням, яке не мігрує на інший пристрій. Наслідки, які слід знати, перш ніж міняти телефон: в Android ми вимкнули для Застосунку хмарне резервне копіювання та перенесення з пристрою на пристрій, тож нової резервної копії не створюється; в iOS копія бази даних усе ще може потрапити до резервної копії iCloud, але без ключа вона нечитабельна, а ключ ніколи не залишає пристрою. Відновлення цієї копії на новому телефоні тому не переносить ваш щоденник: Застосунок знаходить базу даних, до якої не має ключа, відмовляється відкривати її, а не мовчки стартує порожнім, і не працюватиме на цьому телефоні, доки ви не перевстановите його або не очистите його дані. Перехід на новий телефон відбувається через хмарну синхронізацію або через архів .glumea, який ви експортуєте та імпортуєте самі.
• Ваш обліковий запис існує на наших серверах з моменту, коли ви його створюєте. Він містить дані вашого облікового запису, ваш профіль, включно з типом діабету, методами лікування та способом введення інсуліну, і ваші налаштування терапії: ваш цільовий діапазон, ваше співвідношення інсуліну до вуглеводів і ваш коефіцієнт чутливості до інсуліну. Вони зберігаються на наших серверах незалежно від того, чи користуєтеся ви хмарною синхронізацією, і спосіб їх прибрати це видалити обліковий запис.
• Хмарна синхронізація є функцією glumea+ і вимкнена, доки ви її не ввімкнете. Вона керує тим, чи копіюється ваш щоденник також на наші сервери: ваші записи, каталоги ліків і розклади прийому ліків. Увімкнення відбувається у два кроки, і ви можете зупинитися на будь-якому. Без активної підписки glumea+ Застосунок показує вам екран підписки замість того, щоб щось вмикати. З підпискою Застосунок просить вас підтвердити окремим кроком, що ви згодні на зберігання на наших серверах ваших даних про здоров’я, вимірювань глюкози, записів про інсулін і ліки, записів про їжу та вагу і всього, що ви ввели в нотатку. Він запитує це щоразу, коли перемикач вмикається, а не лише вперше. Це підтвердження є вашою явною згодою за статтею 9(2)(a) GDPR на щоденник. Ви можете відкликати її будь-коли, вимкнувши Хмарну синхронізацію, і прибрати те, що ми вже маємо, посиланням Видалити дані з сервера в тій самій панелі. З вимкненою синхронізацією все, що ви записуєте, залишається лише на вашому пристрої.
• Коли синхронізацію ввімкнено, ваші дані зберігаються на нашому бекенді за адресою api.glumea.app, який працює на Google Cloud Run з базою даних Google Cloud SQL PostgreSQL у регіоні Google europe-west1 (Бельгія).

Перемикач належить вашому обліковому запису, а не телефону. Ми зберігаємо вашу відповідь на наших серверах, і Застосунок зчитує її звідти, коли ви входите і коли він знову підключається. Тож вона переживає вихід і йде за вами: увімкніть синхронізацію, увійдіть на іншому телефоні, і синхронізація там теж увімкнена без повторного запитання. Вимкнення записується так само. Якщо ви вимикаєте її офлайн, Застосунок зберігає цю відповідь і доставляє її на наші сервери за першої нагоди, відкликання ніколи не скасовується через те, що запит не вдався. На спільному пристрої це діє навпаки порівняно з перемикачем лише для пристрою: людина, що входить, отримує відповідь власного облікового запису, а не ту, яку залишила остання людина.

Якщо glumea+ закінчується, нові записи перестають потрапляти в резервну копію, це не відкликає вашої згоди і нічого не видаляє. Коли підписка закінчується, скасовується або за неї повертають кошти, Застосунок перестає копіювати нові записи на наші сервери. Редагування та видалення записів, які вже там, і далі доходять до наших серверів, а Застосунок і далі завантажує дані з них. Панель «Хмарна синхронізація» показує Редагування та видалення й далі синхронізуються · Нові записи залишаються на цьому пристрої. Те, що вже на наших серверах, там і залишається, те, що на вашому пристрої, залишається там, а ваша збережена відповідь на питання про згоду залишається як була, тож якщо ви підпишетеся знову, повне резервне копіювання відновлюється за цією збереженою відповіддю без повторного запитання. Якщо ви хочете, щоб цього не було, вимкніть перемикач: його вимкнення і посилання Видалити дані з сервера поряд із ним залишаються доступними незалежно від того, чи діє підписка. Закінчення підписки ніколи не забирає у вас можливості відкликати згоду чи стерти серверну копію.

Синхронізація також може зупинитися без того, щоб ви торкалися цього перемикача. Ваш сеанс входу може закінчитися, і коли це станеться, ми не виводимо вас із облікового запису і нічого не видаляємо: Застосунок зберігає кожен запис на вашому пристрої, паркує резервне копіювання й чекає. Тоді панель «Хмарна синхронізація» показує Призупинено і повідомляє, що нічого не синхронізується, доки ви не ввійдете знову, а на екрані «Огляд» з’являється банер про завершений сеанс. Усе, що ви записуєте тим часом, залишається на пристрої й потрапляє на наші сервери лише після того, як ви знову ввійдете. Якщо ви розраховуєте, що серверна копія вціліє в разі втрати телефона, цей банер є тим, на що слід відреагувати.

Копія на наших серверах захищена шифруванням під час передавання, шифруванням сховища Google та нашим контролем доступу. Вона не захищена наскрізним шифруванням, і ми можемо її читати. glumea не є сервісом із нульовим знанням. Єдиний артефакт у всій системі, який ми не можемо відкрити, це архів .glumea, бо він зашифрований паролем, який знаєте лише ви.

11. Як довго ми зберігаємо ваші дані

Ми зберігаємо ваші дані протягом строків нижче.

• Дані облікового запису, профіль і налаштування терапії: зберігаються на наших серверах, доки існує ваш обліковий запис.
• Записи про здоров’я та каталоги ліків, які ви синхронізували: зберігаються, доки існує ваш обліковий запис або доки ви не видалите серверну копію чи не видалите обліковий запис. Видалення окремого запису працює інакше: він зникає з пристрою, на якому ви його видалили, і лише з цього пристрою. Копія на наших серверах залишається, тож запис може повернутися після перевстановлення, на новому телефоні або після того, як ви вийдете й знову ввійдете. Лише Видалити дані з сервера або видалення облікового запису прибирає ці рядки з наших серверів.
• Позначки про видалення (tombstone) для записів, які ви видалили: де видалення окремого запису таки доходить до наших серверів, рядок зберігається як позначка, що все ще містить його значення, теги й нотатки, щоб видалення могло дійти до інших ваших пристроїв. У нас немає завдання, яке б їх чистило, тож вони залишаються, доки існує ваш обліковий запис. Використання Видалити дані з сервера або видалення облікового запису їх прибирає.
• Сеанси входу: токен доступу діє 15 хвилин. Запис сеансу на наших серверах втрачає чинність після 90 днів без використання. Вихід анулює його негайно, тож його ніколи більше не можна використати, але сам рядок прибирає щогодинне завдання, щойно закінчиться це 90-денне вікно. Видалення вашого облікового запису прибирає його одразу.
• Одноразові коди: втрачають чинність через 10 хвилин після видачі, а щогодинне завдання позначає прострочені непридатними. Самі записи ми не чистимо: вони залишаються, доки ви не видалите обліковий запис, який прибирає їх разом з усім іншим.
• Резервні копії сервера: 7 днів. Дані, видалені з робочої бази, зберігаються в резервних копіях, доки вони не оновляться.
• Журнали запитів до сервера, які містять IP-адреси: 30 днів.
• Події аналітики в PostHog: 12 місяців.
• Діагностичні звіти в Sentry: 90 днів.
• Записи сповіщень про підписку: до 90 днів від моменту, коли кожне повідомлення надходить до нас, якщо видалення облікового запису не прибере їх раніше. Заплановане завдання рахує вік і не тримає рядок через відкритий платіжний спір.
• Дані, що зберігаються лише на вашому пристрої: залишаються там, доки ви їх не видалите, не вийдете, не скористаєтеся засобом видалення облікового запису в Застосунку або не видалите Застосунок. Запит на видалення облікового запису електронною поштою не може віддалено стерти пристрій.

12. Видалення: що відбувається і де

Перш ніж почати. Дві речі важливіші за все нижче, і обидві є в Умовах використання сервісу: спершу скасуйте підписку glumea+ в магазині, бо видалення облікового запису glumea не зупиняє списань (розділ 13.1 там), і спершу експортуйте, бо щойно ваші рядки зникнуть, ми не зможемо створити для вас експорт (розділ 13.3 там).

Три різні засоби керування, три різні результати. Їх легко сплутати, тож:

Засіб керування	Де він	Що він прибирає	Що залишає	Що може його скасувати
Видалення окремого запису	Там, де ви його записали	Цей запис, лише на цьому пристрої	Серверну копію, яка може його повернути	Перевстановлення, новий телефон або вихід і повторний вхід
Видалити дані з сервера	Панель «Хмарна синхронізація», яку відкриває кнопка з хмаринкою на екрані «Огляд» чи «Історія», а не «Налаштування»	Серверну копію ваших записів, каталогів ліків і розкладів	Ваш обліковий запис, ваш профіль, ваші налаштування терапії та все на вашому телефоні	Повторне ввімкнення синхронізації вивантажує знову з вашого телефона
Видалити обліковий запис	Налаштування → Обліковий запис, або напишіть на [email protected], якщо не можете користуватися Застосунком	Ваш обліковий запис і пов’язані робочі дані на наших серверах; шлях у Застосунку також очищає цей пристрій	Наявні резервні копії, деякі записи постачальників і будь-які дані на пристроях, яких не торкнулося стирання в Застосунку	Ніщо не відновить видалений обліковий запис

Видалити дані з сервера потребує чинного входу і попередньо вимкненого перемикача Синхронізація; три примітки наприкінці цього розділу пояснюють, чому.

Видалення вашого облікового запису в Застосунку прибирає його з нашої робочої бази даних негайно. Перевірений запит електронною поштою використовує той самий серверний шлях видалення. Ось що відбувається в кожному місці призначення.

• Наша робоча база даних: видалення вашого облікового запису виконує остаточне видалення вашого запису користувача, коли ви підтверджуєте це в Застосунку або оператор завершує перевірений запит електронною поштою. Усе, що до нього прикріплено, прибирається разом із ним каскадом бази даних: ваш профіль, ваші налаштування терапії, кожен синхронізований запис про глюкозу, їжу, вагу, інсулін, таблетки та ін’єкційні препарати, ваші каталоги ліків і розклади, ваші сеанси та ваші незавершені коди підтвердження й скидання. Немає ні прапора м’якого видалення, ні відновлення.
• Записи сповіщень про підписку: кожен рядок містить ідентифікатор вашого облікового запису glumea і повне повідомлення, яке надіслав RevenueCat. Він не пов’язаний із рядком вашого облікового запису, тож автоматичний каскад до нього не сягає, але служба видалення прибирає його окремо в тій самій транзакції. Без видалення облікового запису заплановане завдання прибирає кожен рядок через 90 днів.
• RevenueCat: видалення вашого облікового запису ставить у чергу запит на видалення запису абонента за ідентифікатором вашого облікового запису. Ми пробуємо запит негайно й повторюємо його, якщо постачальник недоступний. Історія платежів у магазині залишається поза нашим контролем.
• PostHog: видалення вашого облікового запису ставить у чергу запит на видалення пов’язаного з обліковим записом профілю аналітики та його подій і записів. Ми пробуємо негайно й повторюємо, якщо постачальник недоступний. PostHog може завершити прийняте масове видалення асинхронно. Події до входу використовують окремий псевдонімний ідентифікатор пристрою.
• Резервні копії сервера: копія видаленого зберігається в автоматичних резервних копіях бази даних нашого хостинг-провайдера, доки ці копії не оновляться: 7 днів і в жодному разі не довше шести місяців після автентифікації там, де застосовується ця межа, встановлена законом. Окремі записи всередині резервної копії не редагуються. Відновлення після збою тому може тимчасово повернути рядки, видалені з робочої бази.
• Журнали сервера: видалення вашого облікового запису не стирає заднім числом журнали запитів до сервера, які зберігаються 30 днів.
• Sentry: Застосунок не додає до діагностичного звіту ідентифікатора облікового запису, електронної адреси чи запису користувача. Тому немає підтримуваного способу знайти чи видалити звіти окремого користувача. Звіти, створені обробником збоїв операційної системи, не проходять через фільтр Застосунку, і ми не знаємо всіх полів, які додає платформний SDK. Звіти втрачають чинність за строком зберігання Sentry: 90 днів. Стаття 11(2) GDPR стосується даних, за якими контролер справді не може ідентифікувати суб’єкта даних.
• Apple і Google: ваші записи про покупки та підписку належать магазину, а не нам. Видалення вашого облікового запису glumea не скасовує підписки і не видаляє нічого в Apple чи Google. Скасовуйте в налаштуваннях облікового запису магазину; їхні записи регулюються їхніми політиками та податковим правом.
• Ваш власний пристрій: видалення облікового запису всередині Застосунку, вихід або перемикання облікових записів стирає з цього пристрою локальну базу даних, облікові дані сеансу й збережені налаштування. Запит електронною поштою не може віддалено стерти пристрій. Очищення налаштування телеметрії не надійно вимикає SDK, уже ініціалізований у запущеному процесі. Прапор першого встановлення та ключ шифрування бази даних можуть пережити стирання в Застосунку, але жоден не містить даних щоденника. Резервна копія пристрою в iCloud може містити нечитабельну зашифровану копію бази даних; резервне копіювання Android для Застосунку вимкнено.
• Копії, які ви зробили самі: архів .glumea, CSV, PDF-звіт, усе, чим ви поділилися чи що зберегли деінде: вони ваші й поза нашою досяжністю. Видаліть їх там, куди ви їх поклали.

Підсумовуючи щодо строків: видалення з робочої бази даних відбувається, коли ви підтверджуєте його в Застосунку або коли оператор завершує перевірений запит електронною поштою. Запити на видалення до RevenueCat і PostHog робляться негайно, а в разі невдачі ставляться в чергу на повтор. Копія може зберігатися в резервних копіях хостингу, доки вони не оновляться, протягом 7 днів.

Сам каскад бази даних не сягає журналів запитів до сервера, звітів Sentry, записів сповіщень про підписку чи записів постачальників. Служба видалення окремо прибирає сповіщення про підписку й просить стерти записи RevenueCat і PostHog. Журнали сервера та звіти Sentry втрачають чинність за налаштованими строками зберігання.

Видалення остаточне. Видалені дані не можна відновити, тож якщо ваші записи можуть знадобитися вам пізніше, наприклад, вашій медичній команді, спершу отримайте копію за допомогою варіантів експорту, описаних у розділі про ваші права.

Ви також можете запросити видалення облікового запису електронною поштою без Застосунку. Ми перевіряємо, що обліковий запис ваш, перш ніж його опрацювати.

Ще три речі про вужчий засіб Видалити дані з сервера, який прибирає серверну копію ваших записів, ваших каталогів ліків і ваших розкладів прийому ліків, але зберігає ваш обліковий запис, ваш профіль, ваші налаштування терапії та все на вашому пристрої:

• Він потребує чинного входу. Якщо ваш сеанс закінчився, у стані, який описує розділ 10, коли панель показує Призупинено: посилання каже ввійти знову й нічого не робить, доки ви цього не зробите. Достатньо знову ввійти; тим часом нічого не втрачається.
• Він вимагає, щоб Хмарну синхронізацію було спершу вимкнено. Якщо ви потім знову ввімкнете синхронізацію, записи, що ще є на вашому пристрої, ставляться в чергу й вивантажуються знову, і видалення на сервері скасовується вашим власним пристроєм.
• Він не поширюється на ваші інші пристрої. Вони зберігають свої локальні копії, і їх не сповіщають.

13. Ваші засоби керування в Застосунку

Вам не потрібно писати нам, щоб керувати своїми даними. Застосунок дає вам такі вбудовані засоби керування:

• Видалити обліковий запис: у Налаштування → Обліковий запис, після того як ви введете слово підтвердження. Виконує описане вище остаточне видалення на сервері та стирає з цього пристрою локальну базу даних Застосунку, облікові дані сеансу й налаштування. Ви також можете запросити видалення облікового запису на сервері на [email protected], якщо не можете користуватися Застосунком. Розділ 12 каже, що залишається.
• Видалити дані з сервера: посилання видалити їх у рядку під перемикачем Синхронізація на панелі «Хмарна синхронізація», яку відкриває кнопка з хмаринкою вгорі екрана «Огляд» або «Історія», а не з «Налаштувань». Остаточно видаляє серверну копію ваших записів, каталогів ліків і розкладів прийому ліків, зберігаючи ваш обліковий запис і дані на вашому пристрої. Воно не сягає далі: ваш профіль і ваші налаштування терапії залишаються на наших серверах, доки ви не видалите обліковий запис. Посилання показано завжди, але воно працює, лише коли перемикач вимкнено. Прочитайте три примітки безпосередньо вище.
• Хмарна синхронізація: перемикач Синхронізація в тій самій панелі, функція glumea+. Вимикайте її будь-коли, щоб нові дані перестали потрапляти на наші сервери, і це також спосіб відкликати вашу згоду на їх зберігання нами; вимкнення ніколи не потребує активної підписки. Дані, вже синхронізовані, залишаються на наших серверах, доки ви не скористаєтеся Видалити дані з сервера чи Видалити обліковий запис. Ваша відповідь на цей перемикач зберігається в обліковому записі, тож вона переживає вихід і йде за вами на новий телефон.
• Аналітика використання та Звіти про помилки: два незалежні перемикачі в Налаштування → Дані та конфіденційність → Конфіденційність та діагностика. Обидва вимкнені, доки ви їх не ввімкнете. Вимкнення одного оновлює налаштування, але дані в черзі все ще можуть бути доставлені, а вихід не надійно закриває SDK, уже ініціалізований у запущеному процесі.
• Apple Health / Health Connect: підключайте, відключайте або вимикайте окремі типи даних у Налаштування → Інтеграції. Ви також можете відкликати дозвіл у самій платформі здоров’я.
• Показувати деталі в сповіщеннях (Налаштування → Сповіщення): вимкнено, доки ви не ввімкнете. Доки ви цього не зробите, сповіщення показують загальний текст.
• Вийти: стирає з пристрою локальну базу даних Застосунку, облікові дані вашого сеансу та ваші налаштування, зокрема ваш вибір щодо аналітики й діагностики. Нічого з того, що ви записали, і жоден вибір, який ви зробили, не зберігається; розділ про видалення називає два технічні значення, що виживають.
• Експорт: захищений паролем архів .glumea ваших записів, ліків, профілю, цілей терапії та нагадувань, з Налаштування → Дані та конфіденційність → Імпорт та експорт даних. Звіти про глюкозу CSV і PDF це окрема річ, створювана з власної панелі експорту екрана глюкози; архів і CSV безкоштовні, а PDF-звіт є функцією glumea+.

[email protected] приймає запити на видалення облікового запису без Застосунку. Інші запити щодо прав поза застосунком також можна надсилати туди, але шлях видалення облікового запису не надає окремого автоматизованого засобу експорту чи виправлення.

14. Ваші права

Відповідно до GDPR ви маєте право:

• Доступу до своїх персональних даних і отримання їх копії.
• Виправлення неточних або неповних даних. Ви можете редагувати записи та ліки там, де ви їх записали, свій профіль у Налаштування → Обліковий запис, а налаштування терапії там, де ви їх задали. Окремого процесу виправлення поза застосунком наразі не запроваджено.
• Стирання ваших даних («право бути забутим»). Розділ про видалення вище каже вам точно, що охоплює стирання і чого не охоплює.
• Обмеження обробки в певних ситуаціях.
• Переносимості даних: отримати дані, які ви надали, у структурованому, загальновживаному, машинозчитуваному форматі, де закон надає це право. Експорт глюкози CSV в Застосунку машинозчитуваний і не зашифрований. Архів .glumea містить записи, ліки, профіль, цілі терапії та нагадування, але він зашифрований паролем, який знаєте лише ви, і його можна імпортувати лише в обліковий запис glumea, що його створив. Жодного додаткового власного експорту через [email protected] наразі немає.
• Заперечення проти обробки на підставі наших законних інтересів.
• Відкликання згоди в будь-який час. Відкликання не впливає на обробку, що була законною до нього. Для синхронізованих даних щоденника вимкніть Хмарну синхронізацію і скористайтеся Видалити дані з сервера або видаліть обліковий запис. Для аналітики та діагностики скористайтеся двома перемикачами в Налаштування → Дані та конфіденційність → Конфіденційність та діагностика. Немає засобу видалення лише профілю чи лише налаштувань терапії, і такого процесу через [email protected] наразі немає. Видалення облікового запису є єдиним запровадженим способом прибрати ці поля з нашої робочої бази даних.
• Поскаржитися наглядовому органу. Наш головний наглядовий орган це Президент Управління із захисту персональних даних (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warszawa, Польща. Ви також можете поскаржитися до органу із захисту даних у державі-члені ЄС, де ви живете, де працюєте або де, на вашу думку, сталося порушення. Якщо ви у Сполученому Королівстві, ви можете поскаржитися до Офісу уповноваженого з інформації (Information Commissioner’s Office, ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF.

Користуйтеся засобами керування в Застосунку, описаними в розділі 13, там, де вони охоплюють потрібну дію. Для видалення облікового запису без Застосунку пишіть на [email protected]. Інші запити щодо прав також можна надсилати туди; цей шлях видалення облікового запису сам по собі не надає окремого засобу доступу, експорту чи виправлення.

Якщо контролер не вживає заходів щодо запиту за GDPR, стаття 12 вимагає від нього пояснити причину протягом одного місяця і вказати наявні шляхи скарги та судового захисту. Ці шляхи залишаються доступними, чи звернетеся ви до контролера знову, чи ні.

Перевірка особи. Видалення в Застосунку спирається на ваш автентифікований сеанс. Для запиту електронною поштою ми підтверджуємо, що ви контролюєте електронну пошту, пов’язану з обліковим записом. Якщо ви не маєте до неї доступу, ми перевіряємо, чи можливий інший спосіб підтвердити володіння, перш ніж видаляти обліковий запис. Ми не просимо ваш пароль чи медичні записи, щоб опрацювати запит.

15. Як ми захищаємо ваші дані

• Паролі хешуються за допомогою bcrypt, ніколи не зберігаються відкритим текстом і ніколи не зберігаються на вашому пристрої.
• Локальна база даних на вашому пристрої зашифрована ключем, що зберігається в платформному сховищі ключів і не мігрує на інший пристрій.
• Токени автентифікації зберігаються в захищеному сховищі вашого пристрою: iOS Keychain або сховищі Android на основі Keystore.
• Застосунок спілкується з нашими серверами через HTTPS, і обидві платформи за замовчуванням блокують з’єднання відкритим текстом: ми не додали жодного винятку до цього ні в iOS, ні в Android.
• Наша база даних працює всередині Google Cloud, доступна лише через приватний сокет Cloud SQL, а облікові дані зберігаються в Google Secret Manager.
• Ми не записуємо значень, які ви вносите, вимірювань глюкози, доз інсуліну, у наші журнали застосунку. Рядок журналу помилок фіксує код статусу, шлях, час і повідомлення про помилку, яке для відхиленого запиту називає поля, що не пройшли перевірку. Він не містить тіла запиту.
• Сповіщення за замовчуванням показують загальний текст, тож сповіщення не виводить ваших даних про здоров’я на екран блокування.
• Доступ до робочої бази даних обмежений людьми, які обслуговують сервіс, а це означає, що ми можемо її читати. Від усіх інших її захищають контроль доступу та шифрування під час передавання і зберігання.

Жодна система не буває цілком безпечною. Наведені вище заходи це те, що ми робимо, щоб обмежити, наскільки чутливі частини ваших даних виставлені.

Інцидент, що стосується персональних даних, може спричинити повідомлення наглядових органів або постраждалих осіб за статтями 33 і 34 GDPR, Правилом FTC про повідомлення про порушення стосовно даних про здоров’я (Health Breach Notification Rule) або іншим чинним законодавством. Кожен режим має власну сферу та строк, і ці встановлені законом обов’язки застосовуються незалежно від цієї політики.

16. Діти

glumea не розрахована на дітей. Вам має бути щонайменше 16 років, щоб користуватися Застосунком. Це умова сервісу незалежно від місцеперебування. Ми не пропонуємо шляху батьківського дозволу. Процес видалення облікового запису в Застосунку та межі з розділу 12 застосовуються до будь-якого облікового запису, визначеного як такий, що належить особі молодше 16 років. Занепокоєння щодо облікового запису неповнолітнього можна надсилати на [email protected].

17. Примітки для користувачів у Сполучених Штатах

Законодавство США про конфіденційність різниться за штатами, а застосовність залежить від місця проживання, встановлених законом порогів і виду даних. Засоби керування в Застосунку, описані в розділі 13, доступні незалежно від цих порогів. Застосовні права, встановлені законом, залишаються чинними навіть там, де поточному продукту бракує окремого процесу запитів.

• HIPAA: glumea це продукт безпосередньо для споживача. Ми не надаємо медичних послуг, не опрацьовуємо претензій і не маємо договору з планом медичного страхування чи постачальником медичних послуг про обробку даних від їхнього імені, тож не діємо в жодній з ролей, які регулює HIPAA, «охоплена організація» («covered entity») чи «ділова асоціація» («business associate»), і не заявляємо про відповідність HIPAA. Записи, які ваш власний клініцист має про вас, перебувають під захистом HIPAA в його руках; це окремо від копії, яку ви зберігаєте в glumea. Правила США, яких ми дотримуємося для glumea, це правило FTC про повідомлення про порушення стосовно даних про здоров’я та закони штатів про конфіденційність здоров’я нижче.
• Каліфорнія (CCPA/CPRA): застосовність залежить від встановлених законом ділових порогів. Описані тут дані можуть включати чутливу персональну інформацію. Ми не продаємо персональну інформацію і не передаємо її для міжконтекстної поведінкової реклами. Якщо CCPA застосовується, його правила щодо доступу, виправлення, видалення, переносимості, відмови та недискримінації діють незалежно від цієї політики. Засоби керування в Застосунку та запит на видалення облікового запису електронною поштою залишаються доступними незалежно від порогу.
• Вашингтон (My Health My Data Act): дані, які ви записуєте, є «споживчими даними про здоров’я». Вашингтон вимагає для них окремої політики; див. Політику конфіденційності споживчих даних про здоров’я. Вона описує категорії, джерела, цілі, одержувачів, права за законом і поточні операційні обмеження процесу запитів та оскарження.
• Невада (закон про споживчі дані про здоров’я, SB 370 2023 року): дані, які ви записуєте, є «споживчими даними про здоров’я» і за законом Невади. Ви маєте права дізнатися, чи ми збираємо, передаємо або продаємо їх, отримати список третіх сторін, яким їх було передано або продано, видалити їх і відкликати вашу згоду, що Невада розглядає як дві окремі згоди, одну на збирання і одну на передавання. Закон Невади забезпечує Генеральний прокурор. Наше Повідомлення про конфіденційність споживчих даних про здоров’я штату Невада викладає ці права, строки, що до них застосовуються і які для видалення коротші, ніж у Вашингтоні, та чотири розкриття, яких вимагає Невада.
• Запити та оскарження. Застосовне законодавство штату може вимагати письмового пояснення, шляху оскарження та інформації про подання скарги до генерального прокурора штату. Окремого процесу оскарження електронною поштою на [email protected] наразі не запроваджено, тож поточний процес не надає цього шляху там, де його вимагають. Вимоги Вашингтона описано в Політиці конфіденційності споживчих даних про здоров’я.
• Інші застосовні права за законодавством штатів ця політика не обмежує.

18. Вебсайт glumea.com

Сайт це статичний сайт, що розміщує інформацію про glumea і ці правові документи. Він навмисно мінімальний:

• Жодних cookie.
• Жодної аналітики й жодних запитів до сторонніх джерел. Усе, що потрібно сторінці, зокрема шрифти й скрипти, подається з самого glumea.com, і політика безпеки вмісту сайту повністю блокує будь-яке інше джерело. Саму сторінку доставляє наш хост, який неминуче бачить запит; останній пункт цього списку каже, хто це і що він журналює. Сайт справді виконує трохи власного JavaScript: два вбудовані фрагменти, що застосовують вашу тему й спрямовують вас на правильну мову, плюс кілька пакетних файлів за навігаційним меню, перемикачами теми й мови та анімацією, яка відкриває блоки під час прокручування. Нічого з цього нікуди нічого не надсилає.
• Жодного відстеження між сайтами, а отже, немає чого вимикати сигналу Do Not Track чи Global Privacy Control. Сайт не встановлює рекламних чи аналітичних cookie, не робить запитів до третіх сторін, і ми не продаємо й не передаємо персональну інформацію.
• localStorage браузера використовується лише для функціональних налаштувань (вашого вибору теми та мови). Ці значення залишаються у вашому браузері й нам не передаються. Вони встановлюються лише тому, що ви обрали тему чи мову, ось чому для них не потрібен банер згоди.
• Сайт обслуговує Firebase Hosting (Google). Як і більшість вебхостів, постачальник може записувати стандартні журнали сервера, IP-адресу, час запиту, тип браузера, для безпеки й роботи сервісу. Ми спираємося на законні інтереси (стаття 6(1)(f) GDPR) для цього, а саме на підтримання доступності сайту та його захист від зловживань, і журнали зберігаються лише стільки, скільки потрібно для цих цілей.

19. Зміни до цієї політики

Поточну версію опубліковано тут із датою набрання чинності. Чинне законодавство визначає, чи вимагає зміна попереднього повідомлення, повторної згоди чи іншої дії. Публікація оновленої політики сама по собі не уповноважує на нову мету, що потребує згоди чи іншої правової підстави.

20. Мова

Ця політика публікується англійською. Юридичну силу має англійська версія. Переклади іншими мовами публікуються для того, щоб ви могли прочитати політику своєю мовою. У разі розбіжності між перекладом і англійським текстом діє англійський текст.

Виняток становить сам закон. Якщо право країни, де ви живете, надає мові, якою до вас звернулися, самостійне значення, як це роблять закони про захист прав споживачів кількох країн, застосовується його правило, а не це, і ніщо тут не забирає у вас прав за ним.

Переклад публікується, коли він готовий, тож після оновлення він може відставати від англійського тексту. Якщо ви знайдете місце, де переклад і англійський текст кажуть різне, повідомте нас на [email protected].

21. Зв’яжіться з нами

Запитання, занепокоєння чи запити щодо ваших даних:

• Електронна пошта: [email protected]
• Пошта: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Польща

Пов’язані документи: Умови використання сервісу, Медичне застереження і, для мешканців Вашингтона, наша Політика конфіденційності споживчих даних про здоров’я або, для мешканців Невади, наше Повідомлення про конфіденційність споживчих даних про здоров’я штату Невада.