Chính sách quyền riêng tư

1. Chúng tôi là ai và chính sách này áp dụng cho điều gì

Paweł Milewski Software Development (Đơn vị vận hành, “chúng tôi”) cung cấp glumea (Ứng dụng), một ứng dụng di động giúp tự quản lý bệnh tiểu đường, và glumea.com (Trang web). Chính sách này giải thích chúng tôi thu thập dữ liệu nào, vì sao, dữ liệu được lưu ở đâu, ai có thể truy cập, được lưu bao lâu, việc xóa sẽ loại bỏ những gì, cùng các quyền và công cụ kiểm soát mà bạn có.

Đây cũng là thông báo mà chúng tôi có nghĩa vụ gửi bạn theo luật bảo vệ dữ liệu của châu Âu: thông tin theo yêu cầu của Điều 13 và Điều 14 Quy định chung về bảo vệ dữ liệu (Quy định (EU) 2016/679), từ đây gọi là GDPR, bao gồm cả dữ liệu bạn tự cung cấp lẫn dữ liệu đến với chúng tôi từ nguồn khác.

Chính sách này áp dụng cho:

Ứng dụng: ứng dụng di động glumea cho iOS và Android.
Trang web: trang web glumea.com, bao gồm các trang đăng tải những tài liệu pháp lý này.

Trang web hầu như không thu thập gì, và có một phần riêng ở bên dưới.

Đơn vị vận hành là bên kiểm soát dữ liệu chịu trách nhiệm về dữ liệu cá nhân của bạn:

Bên kiểm soát dữ liệu: Paweł Milewski Software Development
Số đăng ký doanh nghiệp: NIP PL6751782526 (doanh nghiệp tư nhân đăng ký trong CEIDG, Hệ thống đăng ký và thông tin trung ương về hoạt động kinh doanh của Ba Lan)
Địa chỉ bưu chính: ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Ba Lan
Email: [email protected]
Quốc gia thành lập: Ba Lan

Nếu có:

Đại diện tại EU: không áp dụng (chúng tôi được thành lập tại Liên minh châu Âu)
Đại diện tại Vương quốc Anh: không chỉ định
Cán bộ bảo vệ dữ liệu: không chỉ định; mọi câu hỏi về bảo vệ dữ liệu xin gửi đến [email protected]

“Bên kiểm soát dữ liệu” là bên quyết định cách thức và mục đích xử lý dữ liệu cá nhân của bạn, theo định nghĩa của GDPR.

Hai tài liệu khác áp dụng song song với chính sách này, và bạn nên đọc cùng với chính sách:

Điều khoản dịch vụ của chúng tôi, quy định việc bạn sử dụng Ứng dụng và Trang web, và
Miễn trừ trách nhiệm y tế của chúng tôi, nêu các giới hạn y tế của những gì Ứng dụng làm được.

Nếu bạn là cư dân bang Washington, một tài liệu thứ tư áp dụng riêng cho bạn: Chính sách quyền riêng tư về dữ liệu sức khỏe người tiêu dùng của chúng tôi, mà luật Washington yêu cầu chúng tôi công bố riêng. Nếu bạn ở Nevada, tài liệu tương đương là Thông báo quyền riêng tư về dữ liệu sức khỏe người tiêu dùng của Nevada của chúng tôi.

2. Tóm tắt

Đây là bản rút gọn của nội dung bên dưới. Mỗi ý nêu phần trình bày đầy đủ, và phần đó là phần có giá trị chi phối.

Chúng tôi là ai. Paweł Milewski Software Development quyết định cách thức và mục đích xử lý dữ liệu của bạn. Phần 1 và 21.
Chúng tôi thu thập gì. Địa chỉ email và mật khẩu của bạn; hồ sơ bạn nhập khi làm quen ban đầu; nhật ký bạn ghi, gồm đường huyết, thức ăn, insulin, thuốc khác, cân nặng, thuốc và lời nhắc; mã thông báo đăng nhập và bản ghi kết nối với máy chủ. Dữ liệu từ Apple Health hoặc Health Connect nếu bạn kết nối, và thông tin gói đăng ký nếu bạn đăng ký. Phần 3.
Dữ liệu sức khỏe. Nhật ký, típ tiểu đường, phương pháp điều trị và thiết lập điều trị là dữ liệu thuộc nhóm đặc biệt theo Điều 9 GDPR. Đồng bộ đám mây có một bước xác nhận riêng cho nhật ký. Quy trình làm quen ban đầu hiện tại không thu thập sự đồng ý rõ ràng riêng trước khi lưu hồ sơ sức khỏe và thiết lập điều trị. Phần 3.3 và 4.
Dữ liệu nằm ở đâu. Một phần dữ liệu của bạn nằm trên máy chủ của chúng tôi ngay từ khi bạn tạo tài khoản: thông tin tài khoản, hồ sơ của bạn gồm típ tiểu đường và phương pháp điều trị, cùng các thiết lập điều trị. Nhật ký của bạn thì không: nhật ký được ghi trước hết vào một cơ sở dữ liệu được mã hóa trên điện thoại, Ứng dụng hoạt động ngoại tuyến, và nhật ký chỉ đến máy chủ của chúng tôi nếu bạn bật Đồng bộ đám mây, một tính năng của glumea+, tắt cho đến khi bạn bật, và là lựa chọn được lưu trên tài khoản của bạn chứ không phải trên điện thoại. Phần 10 có bảng đầy đủ.
Ai nhận dữ liệu. Nhà cung cấp dịch vụ lưu trữ tại EU của chúng tôi; nhà cung cấp email nếu việc gửi email được bật; PostHog và Sentry, mỗi bên chỉ sau khi bạn đồng ý; cửa hàng ứng dụng nếu bạn đăng ký; và RevenueCat dù bạn có đăng ký hay không. Chúng tôi không bán dữ liệu của bạn, và Ứng dụng không có quảng cáo. Phần 5, 7, 8 và 9.
Lựa chọn của bạn. Phân tích và báo cáo lỗi tắt cho đến khi bạn đồng ý từng mục, và mỗi mục có công tắc riêng; đăng xuất không dừng một SDK đã chạy trong phiên đó. Trong Ứng dụng, bạn có thể tắt đồng bộ, xóa bản sao nhật ký trên máy chủ, xóa tài khoản và dùng các chức năng xuất dữ liệu đã có. Phần 5 và 13.
Quyền của bạn. Truy cập, chỉnh sửa, xóa, hạn chế, chuyển dữ liệu, phản đối, rút lại sự đồng ý, và khiếu nại với cơ quan bảo vệ dữ liệu; tại Hoa Kỳ, các quyền mà luật tiểu bang của bạn quy định. Bạn có thể xóa tài khoản trong Ứng dụng hoặc yêu cầu xóa tài khoản bằng cách gửi email đến [email protected] mà không cần Ứng dụng. Phần 13, 14 và 17.
Việc xóa không bao gồm gì. Xóa tài khoản sẽ loại bỏ các bản ghi trong cơ sở dữ liệu sản xuất của tài khoản và yêu cầu xóa các bản ghi gắn với tài khoản tại RevenueCat và PostHog. Bản sao lưu hiện có, nhật ký máy chủ và nhật ký chẩn đoán, hồ sơ thanh toán của cửa hàng và các bản sao đã xuất có thể vẫn tồn tại như mô tả ở phần 12.

3. Dữ liệu chúng tôi thu thập

Phần lớn những gì liệt kê ở đây do chính bạn cung cấp. Hai nhóm thì không: chỉ số bạn nhập từ Apple Health hoặc Health Connect, và thông tin gói đăng ký đến với chúng tôi từ Apple, Google và RevenueCat. Cả hai được mô tả bên dưới.

3.1 Dữ liệu tài khoản

Địa chỉ email và mật khẩu. Mật khẩu của bạn được băm trên máy chủ của chúng tôi bằng bcrypt, không bao giờ được lưu dưới dạng văn bản thuần và không bao giờ được lưu trên thiết bị của bạn. Địa chỉ email của bạn cũng nằm trong mã thông báo đăng nhập mà Ứng dụng sử dụng.
Mã dùng một lần để xác minh email, đặt lại mật khẩu, đổi mật khẩu và đổi email. Mã hết hạn sau 10 phút kể từ khi được cấp, và nhập sai năm lần sẽ vô hiệu hóa mã.

3.2 Dữ liệu hồ sơ

Thu thập trong quá trình làm quen ban đầu:

Họ và tên (lưu dưới dạng biệt danh), tuổi, giới tính (không bắt buộc) và chiều cao.
Típ tiểu đường (Típ 1, Típ 2, tiểu đường thai kỳ hoặc loại khác), phương pháp điều trị (insulin, thuốc viên, thuốc tiêm, chế độ ăn) và cách đưa insulin vào cơ thể.

Típ tiểu đường, phương pháp điều trị và cách đưa insulin vào cơ thể của bạn là dữ liệu sức khỏe, một “nhóm đặc biệt” của dữ liệu cá nhân theo Điều 9 GDPR, dù chính sách này xếp chúng vào “hồ sơ”. Phần cơ sở pháp lý bên dưới nêu điều kiện mà chúng tôi dựa vào cho các dữ liệu này.

3.3 Dữ liệu sức khỏe bạn ghi (dữ liệu thuộc nhóm đặc biệt)

Sau đây là dữ liệu sức khỏe, một “nhóm đặc biệt” của dữ liệu cá nhân theo Điều 9 GDPR. Chúng tôi chỉ lưu dữ liệu này trên máy chủ khi có sự đồng ý rõ ràng của bạn. Phần cơ sở pháp lý bên dưới nêu cách sự đồng ý đó được đưa ra, và dữ liệu nào trong số này chỉ đến máy chủ của chúng tôi khi đồng bộ đám mây được bật:

Chỉ số đường huyết, kèm thẻ ngữ cảnh tùy chọn (thời điểm ăn, cơ thể, vận động, thuốc và thiết bị, cùng các thẻ bạn tự viết) và ghi chú dạng văn bản tự do.
Mục thức ăn: carbohydrate, cùng protein, chất béo, calo tùy chọn, và tên bạn nhập.
Liều insulin: số đơn vị, liên kết với insulin bạn đã thiết lập, loại bolus, nền hoặc trộn sẵn.
Liều thuốc tiêm (ví dụ thuốc chủ vận GLP-1).
Số lần uống thuốc viên.
Mục cân nặng, mỗi mục kèm thời điểm bạn ghi.
Danh mục thuốc của bạn: insulin, thuốc viên và thuốc tiêm bạn thiết lập, gồm tên thuốc (ví dụ Fiasp, Lantus, Metformin, Ozempic) và thông số dược động học (thời gian bắt đầu tác dụng, đạt đỉnh, tác dụng), cùng giờ nhắc bạn đặt cho các thuốc đó.
Các thiết lập điều trị bạn đặt: khoảng đường huyết mục tiêu (mặc định 3,9–10,0 mmol/L, hoặc 3,9–7,8 mmol/L đối với tiểu đường thai kỳ, tiền tiểu đường hoặc chưa chẩn đoán tiểu đường), tỷ lệ carb trên 1 đơn vị insulin (ICR) và hệ số nhạy insulin (ISF). Ứng dụng không bao giờ dùng bất kỳ giá trị nào trong số đó để tính toán hay đề xuất liều. Tỷ lệ carb trên 1 đơn vị insulin của bạn được lưu để bạn tham khảo và không có gì khác đọc nó. Khoảng mục tiêu của bạn được lưu, đồng thời là cơ sở để vẽ dải trong khoảng của Thời gian trong khoảng mục tiêu, xác định các mốc trong của nhãn tốt / tạm ổn / nghiêm trọng, và quyết định khi nào cách diễn đạt về nguy cơ hạ đường huyết thay đổi. Hệ số nhạy insulin của bạn được dùng để suy ra cách diễn đạt về nguy cơ hạ đường huyết và mức giảm gần đúng hiển thị bên cạnh insulin còn tác dụng. Miễn trừ trách nhiệm y tế mô tả tất cả những điều này.
Các giá trị Ứng dụng tự suy ra trên thiết bị của bạn từ những gì bạn ghi: insulin còn tác dụng ước tính (một ước tính chỉ để nắm tình hình: không đề xuất hay tính liều), cách diễn đạt về nguy cơ hạ đường huyết và mức giảm gần đúng hiển thị bên cạnh, xu hướng, đường huyết trung bình và độ phân tán của nó, Thời gian trong khoảng mục tiêu, HbA1c ước tính (GMI), thời điểm gợi ý cho lần đo tiếp theo, và nhãn tốt / tạm ổn / nghiêm trọng trên chỉ số gần nhất của bạn. Miễn trừ trách nhiệm y tế nêu từng giá trị là gì và không phải là gì.

Một số trường trong đó là văn bản tự do: ghi chú đường huyết, thẻ bạn tự viết, tên thức ăn, tên thuốc tùy chỉnh, tên của khung nhắc tùy chỉnh. Bất cứ điều gì bạn nhập vào đó đều được lưu, và được đồng bộ nếu đồng bộ được bật, đúng như bạn đã nhập.

3.4 Dữ liệu chúng tôi nhận từ nguồn khác

Apple Health và Health Connect. Nếu bạn kết nối, Ứng dụng đọc các bản ghi đường huyết, cân nặng và carbohydrate trong khẩu phần ăn từ nền tảng sức khỏe trên điện thoại. Việc này chỉ đọc: Ứng dụng không bao giờ ghi ngược lại bất cứ điều gì. Trên iOS, Ứng dụng chỉ xin hệ thống quyền đọc và không khai báo lý do để ghi, điều mà việc ghi sẽ yêu cầu; trên Android, Ứng dụng chỉ giữ quyền đọc cho ba loại bản ghi. Vì vậy các bản ghi vốn đến từ máy đo, máy theo dõi đường huyết liên tục (CGM) hoặc ứng dụng khác sẽ đến glumea thông qua nền tảng sức khỏe. Các mục được nhập được lưu trên thiết bị của bạn như mục thông thường, gắn nền tảng chúng đến từ đó và mã định danh của bản ghi. Một mục được nhập có được sao chép lên máy chủ của chúng tôi hay không phụ thuộc vào việc Đồng bộ đám mây có bật hay không, hoàn toàn giống như một mục bạn tự nhập. Kết nối này tắt cho đến khi bạn bật, và bạn có thể ngắt kết nối hoặc tắt từng loại dữ liệu bất cứ lúc nào trong Cài đặt → Tích hợp.
Apple, Google và RevenueCat. Nếu bạn đăng ký glumea+, thông tin về gói đăng ký đó đến với chúng tôi từ cửa hàng ứng dụng và từ RevenueCat. Xem phần glumea+ bên dưới để biết chính xác đó là gì.

3.5 Dữ liệu kỹ thuật

Mã thông báo xác thực, được lưu trong bộ nhớ an toàn của thiết bị để bạn luôn đăng nhập. Phiên đăng nhập của bạn trên máy chủ của chúng tôi là một bản ghi chứa mã phiên, mã người dùng và thời hạn của phiên.
Khi đồng bộ đám mây bật, máy chủ của chúng tôi xử lý dữ liệu bạn đồng bộ cùng với các thông tin quản lý cần thiết để vận hành dịch vụ đồng bộ, chẳng hạn mốc thời gian đồng bộ.
Khi Ứng dụng giao tiếp với máy chủ của chúng tôi, máy chủ nhận được thông tin kết nối tiêu chuẩn như địa chỉ IP của bạn, đường dẫn được yêu cầu và thời gian, dùng cho mục đích bảo mật và để vận hành dịch vụ.
Khi phân tích hoặc chẩn đoán được bật, mỗi SDK gửi dữ liệu được mô tả ở phần 5. Cả hai đều tắt cho đến khi bạn đồng ý.

3.6 Dữ liệu chỉ ở trên thiết bị của bạn và dữ liệu không như vậy

Một số thứ hoàn toàn không đến máy chủ của chúng tôi: thiết lập thông báo, giờ nhắc đo đường huyết, Giờ yên tĩnh, lựa chọn mức chi tiết trong thông báo, trạng thái thông báo cục bộ, trạng thái kết nối nền tảng sức khỏe, tùy chọn ứng dụng, tùy chọn đo lường và dữ liệu quản lý đồng bộ. Một điều kiện kèm theo: khi phân tích được bật, thiết lập ngôn ngữ, giao diện và đơn vị được gửi đến PostHog dưới dạng thuộc tính hồ sơ. Không có gì khác trong danh sách này rời khỏi thiết bị thông qua hệ thống phía sau của chúng tôi.

Lịch dùng thuốc của bạn là ngoại lệ: chúng thuộc về nhật ký, nên được sao chép lên máy chủ của chúng tôi khi Đồng bộ đám mây bật, vì lời nhắc dùng thuốc phải còn nguyên khi bạn đổi điện thoại.

Bản thân công tắc đồng bộ đám mây cũng không chỉ nằm trên thiết bị. Câu trả lời của bạn cho công tắc này được lưu trên tài khoản của bạn trên máy chủ của chúng tôi, để nó đi theo bạn sang điện thoại mới và còn nguyên sau khi đăng xuất; phần 10 nêu điều đó có nghĩa gì trong thực tế.

Các tệp bạn tự tạo, tệp sao lưu .glumea, hoặc báo cáo đường huyết CSV hay PDF, được ghi trên thiết bị của bạn và chuyển cho ứng dụng nào bạn chọn để chia sẻ hoặc lưu. Sau đó chúng đi đâu nằm ngoài tầm kiểm soát của chúng tôi, và báo cáo CSV hay PDF không được mã hóa.

4. Vì sao chúng tôi xử lý dữ liệu của bạn và cơ sở pháp lý của chúng tôi

Theo GDPR, mỗi việc sử dụng cần một cơ sở theo Điều 6, và dữ liệu thuộc nhóm đặc biệt còn cần một điều kiện theo Điều 9. Các cơ sở dự kiến được liệt kê dưới đây. Bước đồng ý đối với hồ sơ còn thiếu, được mô tả bên dưới, không tạo ra sự đồng ý rõ ràng mà việc xử lý đòi hỏi.

Cung cấp tài khoản và Ứng dụng của bạn: tạo và bảo mật tài khoản, xác thực, xác minh email, đặt lại mật khẩu, vận hành đồng bộ đám mây, cung cấp glumea+ nếu bạn đăng ký, và lưu giữ bản ghi các thông báo về gói đăng ký mà cửa hàng ứng dụng và RevenueCat gửi cho chúng tôi để biết glumea+ có đang hoạt động hay không và xử lý sự cố thanh toán: thực hiện hợp đồng, Điều 6(1)(b) GDPR.
Lưu dữ liệu sức khỏe trên máy chủ của chúng tôi: các cơ sở dự kiến là Điều 6(1)(b) cho dịch vụ và sự đồng ý rõ ràng theo Điều 9(2)(a) cho dữ liệu sức khỏe. Nhật ký chỉ được sao chép lên máy chủ của chúng tôi sau bước xác nhận Đồng bộ đám mây riêng. Quy trình làm quen ban đầu hiện tại lưu hồ sơ và thiết lập điều trị trên tài khoản mà không có bước đồng ý rõ ràng riêng. Việc chấp nhận một hợp đồng không tự động là sự đồng ý rõ ràng cho việc xử lý dữ liệu thuộc nhóm đặc biệt, vì vậy quy trình làm quen hiện tại không đáp ứng điều kiện theo Điều 9 đó. Xóa tài khoản là cách duy nhất đã được triển khai để loại bỏ các trường hồ sơ và thiết lập điều trị này khỏi cơ sở dữ liệu sản xuất.
Phân tích sản phẩm: sự đồng ý theo Điều 6(1)(a), sự đồng ý rõ ràng theo Điều 9(2)(a) vì việc dùng một ứng dụng tiểu đường tự nó tiết lộ thông tin sức khỏe, và sự đồng ý theo Điều 5(3) của Chỉ thị ePrivacy đối với việc lưu trữ của SDK. Phần 5 mô tả cách xin sự đồng ý đó.
Chẩn đoán và báo cáo sự cố: cơ sở dự kiến là sự đồng ý theo Điều 6(1)(a), sự đồng ý rõ ràng theo Điều 9(2)(a) vì việc dùng một ứng dụng tiểu đường tự nó tiết lộ thông tin sức khỏe, và sự đồng ý theo Điều 5(3) ePrivacy đối với việc lưu trữ của SDK, được xin theo cách giống như với phân tích (phần 5).
Giữ an toàn cho dịch vụ và ngăn chặn lạm dụng: giới hạn tần suất yêu cầu trên API của chúng tôi, và điều tra nghi vấn lạm dụng: lợi ích hợp pháp của chúng tôi, Điều 6(1)(f) GDPR. Lợi ích cụ thể là bảo vệ tài khoản của bạn và của người khác khỏi truy cập trái phép, và giữ cho dịch vụ luôn hoạt động. Chúng tôi chỉ dựa vào cơ sở này khi lợi ích của chúng tôi không bị quyền của bạn lấn át.
Tuân thủ nghĩa vụ pháp lý: khi luật của Ba Lan yêu cầu chúng tôi lưu giữ hoặc cung cấp những bản ghi nhất định, chúng tôi làm vậy trên cơ sở Điều 6(1)(c) GDPR. Chúng tôi không dựa vào cơ sở này đối với dữ liệu sức khỏe bạn ghi. Chúng tôi không thu tiền của bạn và không bao giờ nhận thông tin thanh toán của bạn, nên các bản ghi thanh toán và tính phí cho giao dịch mua của bạn do cửa hàng ứng dụng giữ chứ không phải chúng tôi.

Chúng tôi không đưa ra các quyết định về bạn tạo ra hậu quả pháp lý hoặc ảnh hưởng đáng kể tương tự đến bạn mà chỉ dựa trên xử lý tự động, và chúng tôi không lập hồ sơ về bạn cho các quyết định như vậy. glumea không có quyết định tự động nào theo nghĩa của Điều 22 GDPR. Các ước tính mà Ứng dụng hiển thị, insulin còn tác dụng, xu hướng, Thời gian trong khoảng mục tiêu, là phép tính số học thực hiện trên thiết bị của bạn với dữ liệu bạn đã nhập, chỉ trình bày để bạn nắm tình hình. Chúng không đề xuất hay tính bất kỳ liều insulin hoặc thuốc nào, và không phải là tư vấn y tế.

Việc cung cấp dữ liệu có bắt buộc không? Luật không buộc bạn phải cung cấp dữ liệu. Địa chỉ email và mật khẩu là bắt buộc để có tài khoản. Các trường hồ sơ và thiết lập điều trị được hỏi trong quá trình làm quen ban đầu được lưu trên tài khoản, theo hạn chế về sự đồng ý đã mô tả ở trên. Ghi mục, kết nối Apple Health hoặc Health Connect, và đồng bộ đám mây là tùy chọn. Phân tích và chẩn đoán là tùy chọn và tắt cho đến khi bạn đồng ý.

5. Phân tích và chẩn đoán

Ứng dụng có hai SDK của bên thứ ba cho các mục đích này: một cho phân tích sản phẩm và một cho báo cáo sự cố và lỗi. Phần này nêu mỗi SDK là gì và nhận những gì.

Cả hai đều tắt cho đến khi bạn đồng ý, và không SDK nào được khởi động trước đó. Ứng dụng hỏi ở cuối quá trình làm quen ban đầu, với một công tắc riêng cho từng mục. Các công tắc được hiển thị ở vị trí bật, nhưng không có gì được thu thập cho đến khi bạn chạm để tiếp tục, và một lần chạm vào nút từ chối sẽ kết thúc quá trình làm quen với cả hai đều tắt. Nếu bạn đăng nhập vào tài khoản đã có mà không qua quá trình làm quen, cả hai vẫn tắt cho đến khi bạn bật. Hai thiết lập này độc lập và có thể thay đổi bất cứ lúc nào trong Cài đặt → Dữ liệu & quyền riêng tư → Quyền riêng tư & chẩn đoán. Đăng xuất xóa cả hai câu trả lời cùng các tùy chọn khác của bạn, nhưng một SDK đã chạy vẫn tiếp tục chạy cho đến khi Ứng dụng được đóng.

5.1 Phân tích sản phẩm: PostHog

Chúng tôi dùng PostHog (EU Cloud, eu.i.posthog.com) để hiểu Ứng dụng được sử dụng thế nào nhằm cải thiện nó.

PostHog có thể nhận những gì khi phân tích được bật:

Mã định danh tài khoản glumea của bạn: UUID nội bộ của tài khoản. Không phải email, không phải tên của bạn. Khi bạn đã đăng nhập, các sự kiện được gắn với mã định danh đó, nên những sự kiện này không ẩn danh. Các sự kiện có thể xảy ra trước khi bạn đăng nhập, hoặc sau khi bạn đăng xuất, lần khởi chạy đầu tiên, các lần mở ứng dụng, đăng ký và xác minh mã gửi qua email, mang theo một mã định danh thiết bị giả danh thay thế, và mã định danh đó được tạo lại khi Ứng dụng đặt lại SDK.
Một danh sách cố định tên sự kiện, khoảng 28 sự kiện, bao gồm những việc như mở ứng dụng, đăng ký, hoàn tất quá trình làm quen, lưu một mục, nhập từ Apple Health, cấp hoặc từ chối quyền thông báo, tạo bản xuất, mở màn hình đăng ký trả phí, và kết quả của một giao dịch mua hoặc khôi phục.
Một số ít thuộc tính, mỗi thuộc tính thuộc một danh sách đóng hoặc là một số đếm có giới hạn: loại mục nào được lưu (đường huyết, thức ăn, thuốc hay cân nặng), một lần lưu ghi bao nhiêu hàng, mục được ghi ngay lúc đó hay ghi bù về sau, bản xuất là CSV hay PDF, bước nào của quá trình làm quen đã hoàn tất, nhóm chung của lời nhắc bạn đã chạm vào, và tương tự. Không thuộc tính nào trong hệ thống chấp nhận văn bản tự do.
Màn hình bạn đang xem, dưới dạng mẫu tuyến đường như /settings/privacy. Chữ số bị từ chối, nên mã định danh bản ghi không thể đi kèm trong đó. Màn hình mà chỉ một loại điều trị mới tới được, chẳng hạn thiết lập insulin, được báo cáo là màn hình cấp trên của nó.
Một số ít thuộc tính hồ sơ: ngôn ngữ, giao diện, đơn vị đường huyết, cân nặng và carbohydrate của bạn, và việc bạn có dùng glumea+ hay không.
Những gì SDK PostHog tự thêm vào, ngoài tầm kiểm soát của chúng tôi: kiểu máy, hệ điều hành và phiên bản, phiên bản ứng dụng, phiên bản SDK, múi giờ, ngôn ngữ vùng, loại mạng và mã phiên. PostHog cũng nhận địa chỉ IP mà yêu cầu của bạn xuất phát, như mọi dịch vụ web, và suy ra vị trí gần đúng từ đó. Chúng tôi chưa bật tùy chọn của PostHog để loại bỏ địa chỉ đó, nên nó được lưu cùng sự kiện.

PostHog không thể nhận: giá trị đường huyết, liều insulin, tên thuốc, loại thuốc bạn dùng, ghi chú, tên thức ăn, địa chỉ email, hay bất kỳ văn bản tự do nào khác. Bộ lọc bảo đảm điều này hoạt động theo nguyên tắc đóng khi lỗi: sự kiện không có trong danh sách bị loại bỏ toàn bộ, thuộc tính không được khai báo bị gỡ bỏ, và thuộc tính đã khai báo nhưng giá trị không khớp dạng mong đợi cũng bị gỡ bỏ. Trong hệ thống không có thuộc tính “chuỗi bất kỳ”. Không có phát lại phiên, không quay màn hình, không khảo sát, không tự động ghi nhận các lần chạm, và không có mã thông báo đẩy.

Các sự kiện được thiết kế để không tiết lộ việc điều trị hay chỉ số của bạn. Insulin, thuốc viên và thuốc tiêm đều được báo cáo là một mục thuốc. Một lần chạm vào cảnh báo đường huyết thấp hoặc cao hoàn toàn không được ghi lại, bước làm quen mà chỉ người dùng insulin mới thấy cũng vậy. Việc nhập từ Apple Health hoặc Health Connect báo cáo rằng nó đã chạy và điều gì khởi động nó, không bao giờ báo cáo đã đọc bao nhiêu bản ghi. Các sự kiện vẫn được liên kết với tài khoản của bạn khi bạn đã đăng nhập, và việc dùng một ứng dụng tiểu đường tự nó tiết lộ thông tin sức khỏe, đó là lý do phân tích chờ sự đồng ý của bạn.

SDK phân tích lưu mã định danh riêng của nó trên thiết bị của bạn, cùng một hàng đợi các sự kiện chờ gửi. Hai hạn chế phát sinh từ cách SDK hoạt động. Việc rút lại sự đồng ý ghi thêm một sự kiện cuối cùng của riêng nó, rằng bạn đã từ chối. Và sự kiện đó, cùng mọi thứ đã được thu thập khi bạn còn đồng ý, được chuyển đi sau đó theo lịch của SDK chứ không phải ngay lúc bạn rút lại. Sau đó không có gì mới được thu thập.

5.2 Chẩn đoán và báo cáo sự cố: Sentry

Chúng tôi dùng Sentry (khu vực Liên minh châu Âu) để biết khi nào Ứng dụng gặp sự cố hoặc lỗi, nhằm sửa chúng.

Mọi phần mang nội dung của một báo cáo mà Ứng dụng tạo ra đều được dựng lại từ đầu trước khi gửi, từ danh sách các trường được phép chứ không phải danh sách các trường cần gỡ bỏ. Khoảng một chục trường cấp cao nhất còn lại được xóa theo tên, nên một trường mới do phiên bản SDK tương lai thêm vào sẽ không bị việc xóa đó bắt được cho đến khi chúng tôi bổ sung. Những gì còn lại sau khi dựng lại là:

Loại ngoại lệ, và một nhãn được tính toán thay cho thông báo lỗi gốc.
Dấu vết ngăn xếp, với tên tệp rút gọn còn tên cơ sở và, trong bản phát hành, tên ký hiệu được làm rối, chúng chỉ đọc được ở phía Sentry bằng bản ánh xạ chúng tôi tải lên khi dựng bản.
Dòng thiết bị, kiểu máy, kiến trúc, có phải trình giả lập hay không, và hướng màn hình.
Tên, phiên bản và bản dựng của hệ điều hành; tên, phiên bản và bản dựng của ứng dụng; phiên bản môi trường chạy Dart.
Mã định danh ảnh gỡ lỗi, cần để làm cho các sự cố gốc đọc được.
Hình dạng của chuỗi dấu vết, tức danh mục, loại, mức độ và mốc thời gian của các sự kiện gần đây, nhưng không bao giờ gồm nội dung của chúng.
Hai nhãn: khu vực nào của Ứng dụng gặp lỗi, và lỗi xảy ra ở nền trước hay trong công cụ thông báo chạy nền.
Bản phát hành, số bản dựng, môi trường và một mã sự kiện được tạo ngẫu nhiên.

Những gì bị loại bỏ hoàn toàn: thông báo lỗi, mọi dữ liệu yêu cầu, mọi đối tượng người dùng, tên máy chủ, tên giao dịch, danh sách luồng, danh sách mô-đun, giá trị biến cục bộ, ngữ cảnh mã nguồn, đường dẫn tuyệt đối, mã duy nhất và tên của thiết bị, mã băm ứng dụng theo lần cài đặt, thông báo và dữ liệu của chuỗi dấu vết, ảnh chụp màn hình, cây giao diện và mọi tệp đính kèm. Ảnh chụp màn hình, thu thập cây giao diện, phát lại phiên, theo dõi hiệu năng, ghi nhật ký và nội dung yêu cầu đều bị tắt. Ứng dụng không gắn mã định danh người dùng nào vào sự kiện Sentry: không mã tài khoản, không địa chỉ email, không mã thiết bị.

Hai giới hạn đối với những điều trên:

Sự cố gốc, sự kiện ứng dụng không phản hồi và việc hệ thống iOS chấm dứt ứng dụng do watchdog có thể đến Sentry mà không qua bước dựng lại đó, vì chúng do trình xử lý sự cố của hệ điều hành tạo ra chứ không phải do mã của chính Ứng dụng. Tín hiệu định kỳ “phiên ứng dụng bắt đầu / kết thúc” mà Sentry dùng cho sức khỏe bản phát hành cũng vậy. Chúng tôi không thể kiểm tra các báo cáo đó trên thiết bị và không biết hết mọi trường mà SDK nền tảng đưa vào. Chúng tôi không đặt mã định danh nào có thể nối một trong số đó với bạn.
Sentry nhận địa chỉ IP nơi báo cáo được gửi đi.

Cho đến khi bạn đồng ý chẩn đoán, Sentry không được khởi động. Tắt công tắc sẽ đóng các bộ báo cáo mà công tắc đó chạm tới, nhưng đăng xuất không đáng tin cậy trong việc vô hiệu hóa một SDK đã khởi tạo trong tiến trình đang chạy. Do đó vòng đời hiện tại không thể được mô tả là rút lại ngay lập tức trong mọi trạng thái.

6. glumea+ và dữ liệu gói đăng ký

glumea+ là gói đăng ký, chỉ bán dưới dạng giao dịch mua trong ứng dụng qua Apple App Store và Google Play. Không có cách mua nào khác, không có thanh toán trên web và không có biểu mẫu thẻ nào trong Ứng dụng.

Không có thông tin thanh toán nào đến với chúng tôi. Apple hoặc Google thu tiền. Chúng tôi không bao giờ thấy số thẻ, thông tin ngân hàng hay địa chỉ thanh toán của bạn. Việc hủy và hoàn tiền được xử lý qua tài khoản cửa hàng của bạn, Điều khoản dịch vụ giải thích ở đâu.
RevenueCat là dịch vụ chúng tôi dùng để biết gói đăng ký của bạn có đang hoạt động hay không. Ứng dụng cho RevenueCat biết một điều về bạn: mã định danh tài khoản glumea của bạn, dùng làm mã người dùng của gói đăng ký. Máy chủ của chúng tôi cũng hỏi RevenueCat xem mã định danh đó có gói đăng ký đang hoạt động không, kể cả khi bạn chưa từng đăng ký, vì đó là cách chúng tôi biết rằng bạn chưa đăng ký. Chúng tôi không đặt địa chỉ email, tên hiển thị, số điện thoại hay mã thông báo đẩy nào, và không yêu cầu nó thu thập mã định danh quảng cáo của thiết bị. SDK của RevenueCat cũng thu thập một số thông tin thiết bị và mạng để vận hành dịch vụ RevenueCat, được mô tả trong thông báo quyền riêng tư của chính họ. Chúng tôi không cấu hình việc thu thập đó và không nhận những gì nó tạo ra.
Những gì Ứng dụng giữ cục bộ là một giá trị đúng/sai duy nhất: glumea+ có đang hoạt động hay không. Ứng dụng không lưu giá, mã sản phẩm, ngày hết hạn hay mã giao dịch nào trên thiết bị của bạn. Giá trị đó được đặt thành sai khi bạn đăng xuất, nên tài khoản kế tiếp trên thiết bị bắt đầu không có gói đăng ký và phải được kiểm tra riêng với cửa hàng.
Những gì máy chủ của chúng tôi lưu. RevenueCat gửi cho hệ thống phía sau của chúng tôi một thông báo khi có thay đổi về gói đăng ký, một giao dịch mua, một lần gia hạn, một lần hủy, một sự cố thanh toán. Chúng tôi ghi lại từng thông báo như đã nhận: mã và loại sự kiện, môi trường, mã định danh tài khoản glumea của bạn, và toàn bộ thông điệp RevenueCat đã gửi, được lưu đúng như khi nó đến chứ không theo từng trường. Thông điệp đó thường gồm mã sản phẩm, giá, đơn vị tiền tệ, cửa hàng, quốc gia và ngày mua, ngày hết hạn. Vì chúng tôi lưu nguyên vẹn, nó cũng có thể mang theo bất kỳ thuộc tính người đăng ký nào mà RevenueCat giữ về bạn, trong đó có địa chỉ email: dù Ứng dụng của chúng tôi không tự đặt thuộc tính nào. Chúng tôi không bao giờ viết lại thông điệp; một lần gửi lặp lại của cùng sự kiện chỉ cập nhật số lần nó đến.
Khi phân tích được bật, các sự kiện phễu đã mô tả ở trên được gửi đến PostHog, cùng một thuộc tính hồ sơ ghi lại glumea+ có đang hoạt động hay không. Không có giá, mã sản phẩm hay mã định danh cửa hàng nào được gửi đến phân tích.

Hai hệ quả theo sau. Nhật ký webhook mang mã định danh tài khoản glumea của bạn nhưng không có quan hệ cơ sở dữ liệu với hàng tài khoản của bạn. Khi xóa tài khoản, hệ thống phía sau của chúng tôi xóa các bản ghi đó riêng biệt và yêu cầu xóa bản ghi người đăng ký của RevenueCat theo cùng mã định danh. Nếu không, một tác vụ theo lịch sẽ xóa từng bản ghi webhook sau 90 ngày kể từ khi nó đến. Phần 12 mô tả những gì có thể còn lại.

7. Những gì chúng tôi không làm

Không điều nào dưới đây xảy ra trong glumea:

Không có quảng cáo, dưới bất kỳ hình thức nào. Không có SDK quảng cáo, không SDK quy kết, không mã định danh quảng cáo. Ứng dụng không thể hiển thị lời nhắc “Yêu cầu ứng dụng không theo dõi” của iOS, vì nó không mang khai báo cho phép điều đó, và nó không khai báo mạng quy kết quảng cáo nào.
Không bán dữ liệu của bạn. Chúng tôi không bán hay cho thuê dữ liệu cá nhân, và không bán dữ liệu sức khỏe. Chúng tôi không chia sẻ dữ liệu cho quảng cáo hành vi xuyên ngữ cảnh.
Không dùng dữ liệu sức khỏe của bạn cho quảng cáo, tiếp thị, hay xây dựng hồ sơ về bạn cho bất kỳ ai khác.
Không dữ liệu vị trí. Không truy cập danh bạ, máy ảnh, micrô, ảnh hay lịch của bạn, Ứng dụng không xin quyền nào trong số đó trên cả hai nền tảng.
Không có Firebase trong Ứng dụng: không Firebase Analytics, không Crashlytics, không Firebase Cloud Messaging. (Firebase Hosting có phục vụ Trang web, kể cả trang này, đó là một dịch vụ khác của Google và được nêu tên bên dưới.)
Không có thông báo đẩy, và không có mã thông báo đẩy của thiết bị. Lời nhắc do chính thiết bị của bạn lên lịch và hiển thị; hoàn toàn không có kênh từ máy chủ đến thiết bị.
Không chụp màn hình, không quay màn hình, không phát lại phiên, không thu thập cây giao diện, từ cả hai SDK đã mô tả ở trên.
Ngoài PostHog và Sentry, không có SDK phân tích, đo lường từ xa hay theo dõi nào khác trong Ứng dụng. Các thành phần duy nhất mở kết nối mạng là kết nối riêng của Ứng dụng đến máy chủ của chúng tôi, PostHog, Sentry và RevenueCat.

8. Ai nhận dữ liệu của bạn

Chúng tôi chia sẻ dữ liệu với các nhà cung cấp dịch vụ dưới đây để vận hành glumea. Vai trò của họ, thông báo quyền riêng tư riêng của họ và các điều khoản hợp đồng áp dụng cho việc chúng tôi sử dụng từng dịch vụ chi phối việc xử lý đó. SDK của RevenueCat cũng tự thu thập thông tin thiết bị và mạng. Chúng tôi không cấu hình việc thu thập đó và không nhận kết quả của nó, nên phần mô tả về nó đến từ thông báo quyền riêng tư của RevenueCat chứ không phải từ hệ thống của chúng tôi.

Google (Google Cloud Run và Google Cloud SQL, khu vực europe-west1), lưu trữ hệ thống phía sau của chúng tôi và cơ sở dữ liệu chứa mọi thứ bạn đồng bộ, kể cả dữ liệu sức khỏe của bạn. Google Secret Manager giữ thông tin xác thực máy chủ của chúng tôi, và Google Cloud Logging giữ nhật ký yêu cầu máy chủ của chúng tôi.
Google (Firebase Hosting), phục vụ glumea.com và các tài liệu pháp lý này.
Sentry (khu vực Liên minh châu Âu), nhận các báo cáo chẩn đoán đã mô tả ở trên khi chẩn đoán được bật theo cách hoạt động của thiết lập hiện tại.
PostHog (EU Cloud), nhận các sự kiện phân tích đã mô tả ở trên khi phân tích được bật theo cách hoạt động của thiết lập hiện tại.
RevenueCat (Hoa Kỳ), nhận mã định danh tài khoản glumea và trạng thái gói đăng ký của bạn, dù bạn có đăng ký hay không: việc kiểm tra rằng bạn không phải người đăng ký dùng cùng mã định danh như việc xác nhận rằng bạn là người đăng ký. Như đã nêu ở trên, SDK của nó còn thu thập thông tin thiết bị và mạng mà chúng tôi không cấu hình và không nhận; thông báo quyền riêng tư của chính RevenueCat mô tả điều đó.
Zoho ZeptoMail: nếu việc gửi email trong môi trường sản xuất được bật, nhà cung cấp này nhận địa chỉ email đích và thư xác minh hoặc đặt lại mật khẩu cần thiết để gửi đi. Không nhà cung cấp email nào nhận các thư đó khi việc gửi bị tắt.

Apple và Google không phải bên xử lý dữ liệu của chúng tôi. Họ vận hành các cửa hàng ứng dụng bán glumea+, họ thu tiền, và họ là các bên kiểm soát dữ liệu độc lập đối với dữ liệu mua hàng mà họ giữ về bạn. Những gì họ thu thập do chính sách quyền riêng tư của họ chi phối, không phải chính sách này.

Ngoài ra, chúng tôi chỉ tiết lộ dữ liệu cá nhân khi pháp luật yêu cầu, chẳng hạn một lệnh có hiệu lực ràng buộc của tòa án hoặc cơ quan có thẩm quyền, hoặc theo chỉ dẫn của bạn.

Nếu Paweł Milewski Software Development từng tham gia một vụ sáp nhập, mua lại hoặc bán tài sản, dữ liệu của bạn vẫn được bảo vệ theo chính sách này, và chúng tôi sẽ thông báo cho bạn trước khi dữ liệu của bạn chịu một chính sách quyền riêng tư khác.

9. Chuyển dữ liệu quốc tế

Nơi mỗi bên nhận xử lý dữ liệu của bạn:

Tài khoản, hồ sơ và dữ liệu sức khỏe đã đồng bộ của bạn được lưu tại EU: Google Cloud, europe-west1 (Bỉ). Nơi lưu trữ không phải là toàn bộ câu trả lời. Google có thể truy cập dữ liệu đó từ bên ngoài EEA, để hỗ trợ và vận hành nền tảng, và đó tự nó là một hoạt động chuyển dữ liệu. Việc này dựa trên Điều khoản hợp đồng tiêu chuẩn trong Phụ lục xử lý dữ liệu Cloud của Google.
Dữ liệu phân tích được gửi đến EU Cloud của PostHog, nơi lưu chúng tại EU. Khi PostHog có thể truy cập chúng từ bên ngoài Khu vực kinh tế châu Âu, việc chuyển dữ liệu dựa trên Điều khoản hợp đồng tiêu chuẩn trong thỏa thuận xử lý dữ liệu của PostHog.
Dữ liệu chẩn đoán được gửi đến Sentry tại khu vực Liên minh châu Âu của họ. Khi nơi đó nằm ngoài Khu vực kinh tế châu Âu, việc chuyển dữ liệu dựa trên Điều khoản hợp đồng tiêu chuẩn trong phụ lục xử lý dữ liệu của Sentry.
Trang web được Firebase Hosting phục vụ từ mạng phân phối nội dung của Google, nên một yêu cầu tải trang có thể được phục vụ từ, và được ghi nhật ký tại, một địa điểm bên ngoài Khu vực kinh tế châu Âu. Khi điều đó xảy ra, việc chuyển dữ liệu dựa trên Điều khoản hợp đồng tiêu chuẩn trong Phụ lục xử lý dữ liệu Cloud của Google.
Trạng thái gói đăng ký được gửi đến RevenueCat tại Hoa Kỳ. Khi nơi đó nằm ngoài Khu vực kinh tế châu Âu, việc chuyển dữ liệu dựa trên Điều khoản hợp đồng tiêu chuẩn trong phụ lục xử lý dữ liệu của RevenueCat.
Nếu việc gửi email trong môi trường sản xuất được bật, email xác minh và đặt lại mật khẩu được gửi bởi Zoho ZeptoMail, đơn vị xử lý địa chỉ email đích tại Liên minh châu Âu (Zoho Corporation B.V., các trung tâm dữ liệu EU của Zoho tại Hà Lan và Ireland). Khi nơi đó nằm ngoài Khu vực kinh tế châu Âu, cơ chế chuyển dữ liệu áp dụng là Điều khoản hợp đồng tiêu chuẩn trong phụ lục xử lý dữ liệu của Zoho.
Apple và Google xử lý dữ liệu mua hàng theo thỏa thuận của riêng họ, với tư cách các bên kiểm soát dữ liệu độc lập.

Khi một nhà cung cấp có thể truy cập dữ liệu từ bên ngoài EEA, kể cả để hỗ trợ, việc truy cập đó cũng là một hoạt động chuyển dữ liệu và phải có biện pháp bảo vệ phù hợp theo Chương V của GDPR. Cơ chế cho từng bên nhận được nêu ở trên. Đối với người dùng tại Vương quốc Anh, cơ chế tương đương là Phụ lục của Vương quốc Anh cho Điều khoản hợp đồng tiêu chuẩn của EU, hoặc IDTA khi nhà cung cấp dùng mẫu đó theo GDPR của Vương quốc Anh. Liên hệ chung về bảo vệ dữ liệu: [email protected]. Hiện chưa có quy trình tự động riêng để yêu cầu bản sao các biện pháp bảo vệ.

10. Dữ liệu của bạn được lưu ở đâu

glumea ưu tiên ngoại tuyến. Phần này là câu trả lời đầy đủ cho câu hỏi “dữ liệu nào của tôi nằm trên máy chủ của các bạn?”: mọi phần khác của chính sách này đều dẫn về đây.

Nội dung	Trên điện thoại của bạn	Trên máy chủ của chúng tôi	Từ khi nào	Cách loại bỏ
Nhật ký của bạn, các mục, danh mục thuốc, lịch dùng thuốc	Luôn có	Chỉ khi Đồng bộ đám mây bật	Từ lúc bạn bật công tắc	Tắt công tắc, rồi Xóa dữ liệu trên máy chủ; hoặc xóa tài khoản
Hồ sơ của bạn, tên, tuổi, chiều cao, típ tiểu đường, phương pháp điều trị, cách đưa insulin	Có	Luôn có	Từ lúc làm quen ban đầu, dù bạn có dùng đồng bộ hay không	Xóa tài khoản
Thiết lập điều trị của bạn, khoảng mục tiêu, tỷ lệ carb trên 1 đơn vị insulin, hệ số nhạy insulin	Có	Luôn có	Từ lúc bạn nhập chúng	Xóa tài khoản
Tài khoản của bạn, địa chỉ email, mật khẩu đã băm, phiên đăng nhập	Chỉ thông tin xác thực	Luôn có	Từ lúc bạn tạo tài khoản	Xóa tài khoản
Mọi thứ trong phần 3.6, lời nhắc, Giờ yên tĩnh, tùy chọn ứng dụng	Có	Không bao giờ	Không áp dụng	Đăng xuất, hoặc gỡ cài đặt

Phần còn lại của mục này là chi tiết đằng sau bảng đó.

Mọi dữ liệu bạn nhập được ghi trước hết vào một cơ sở dữ liệu cục bộ trên thiết bị của bạn. Ứng dụng dùng được đầy đủ khi không có kết nối internet.
Cơ sở dữ liệu cục bộ đó được mã hóa. Nó được mở bằng một khóa 32 byte lưu trong kho khóa của thiết bị, với một thiết lập không chuyển sang thiết bị khác. Những hệ quả bạn nên biết trước khi đổi điện thoại: trên Android, chúng tôi đã tắt sao lưu đám mây và chuyển dữ liệu giữa các thiết bị cho Ứng dụng, nên không có bản sao lưu mới nào của nó được tạo; trên iOS, một bản sao của cơ sở dữ liệu vẫn có thể nằm trong bản sao lưu iCloud, nhưng không đọc được nếu thiếu khóa, và khóa không bao giờ rời khỏi thiết bị. Vì vậy, khôi phục bản sao lưu đó lên điện thoại mới không mang theo nhật ký của bạn: Ứng dụng thấy một cơ sở dữ liệu mà nó không có khóa, từ chối mở thay vì lặng lẽ bắt đầu trống, và sẽ không chạy trên điện thoại đó cho đến khi bạn cài lại hoặc xóa dữ liệu của nó. Chuyển sang điện thoại mới thực hiện qua đồng bộ đám mây, hoặc qua một tệp .glumea do chính bạn xuất và nhập.
Một tài khoản của bạn tồn tại trên máy chủ của chúng tôi ngay từ lúc bạn tạo. Nó chứa dữ liệu tài khoản, hồ sơ của bạn, gồm típ tiểu đường, phương pháp điều trị và cách đưa insulin vào cơ thể, và các thiết lập điều trị: khoảng mục tiêu, tỷ lệ carb trên 1 đơn vị insulin và hệ số nhạy insulin. Những dữ liệu đó nằm trên máy chủ của chúng tôi dù bạn có dùng đồng bộ đám mây hay không, và cách loại bỏ chúng là xóa tài khoản.
Đồng bộ đám mây là một tính năng của glumea+, và nó tắt cho đến khi bạn bật. Nó kiểm soát việc nhật ký của bạn có được sao chép lên máy chủ của chúng tôi hay không: các mục, danh mục thuốc và lịch dùng thuốc của bạn. Bật nó gồm hai bước, và bạn có thể dừng ở bước nào cũng được. Nếu không có gói glumea+ đang hoạt động, Ứng dụng hiển thị màn hình đăng ký thay vì bật bất cứ điều gì. Nếu có, Ứng dụng sẽ yêu cầu bạn xác nhận, trong một bước riêng, rằng bạn đồng ý để dữ liệu sức khỏe, chỉ số đường huyết, bản ghi insulin và thuốc, mục thức ăn và cân nặng, và bất cứ điều gì bạn đã gõ vào ghi chú được lưu trên máy chủ của chúng tôi. Ứng dụng hỏi điều đó mỗi lần công tắc được bật, không chỉ lần đầu. Sự xác nhận đó là sự đồng ý rõ ràng của bạn theo Điều 9(2)(a) GDPR cho nhật ký. Bạn có thể rút lại bất cứ lúc nào bằng cách tắt Đồng bộ đám mây, và loại bỏ những gì chúng tôi đang giữ bằng liên kết Xóa dữ liệu trên máy chủ trong cùng bảng đó. Khi đồng bộ tắt, mọi thứ bạn ghi chỉ nằm trên thiết bị của bạn.
Khi đồng bộ bật, dữ liệu của bạn được lưu trên hệ thống phía sau của chúng tôi tại api.glumea.app, chạy trên Google Cloud Run với cơ sở dữ liệu PostgreSQL của Google Cloud SQL, tại khu vực europe-west1 của Google (Bỉ).

Công tắc thuộc về tài khoản của bạn, không phải điện thoại. Chúng tôi giữ câu trả lời của bạn trên máy chủ của chúng tôi, và Ứng dụng đọc lại từ đó khi bạn đăng nhập và khi nó kết nối lại. Vì vậy nó còn nguyên sau khi đăng xuất, và đi theo bạn: bật đồng bộ, đăng nhập trên điện thoại khác, và đồng bộ cũng đã bật ở đó mà không hỏi lại. Tắt nó cũng được ghi nhận theo cách tương tự. Nếu bạn tắt khi đang ngoại tuyến, Ứng dụng giữ câu trả lời đó và chuyển đến máy chủ của chúng tôi ở cơ hội kế tiếp, việc rút lại sự đồng ý không bao giờ bị hoàn tác vì một yêu cầu thất bại. Trên thiết bị dùng chung, điều này ngược với công tắc chỉ nằm trên thiết bị: người đăng nhập nhận câu trả lời của tài khoản của chính họ, không phải câu trả lời người trước để lại.

Nếu glumea+ kết thúc, các mục mới ngừng được sao lưu, nhưng không rút lại sự đồng ý của bạn và không xóa gì cả. Khi gói đăng ký hết hạn, bị hủy hoặc được hoàn tiền, Ứng dụng ngừng sao chép các mục mới lên máy chủ của chúng tôi. Các chỉnh sửa và thao tác xóa đối với những mục đã có ở đó vẫn đến máy chủ của chúng tôi, và Ứng dụng vẫn tải dữ liệu xuống từ máy chủ. Bảng Đồng bộ đám mây ghi Chỉnh sửa và xóa vẫn được đồng bộ · Mục mới chỉ lưu trên thiết bị này. Những gì đã có trên máy chủ của chúng tôi vẫn ở đó, những gì trên thiết bị của bạn vẫn ở đó, và câu trả lời đã lưu của bạn cho câu hỏi về sự đồng ý được giữ nguyên, nên nếu bạn đăng ký lại, sao lưu đầy đủ tiếp tục dựa trên câu trả lời đã lưu đó mà không hỏi lại lần thứ hai. Nếu bạn không muốn vậy, hãy tắt công tắc: việc tắt, và liên kết Xóa dữ liệu trên máy chủ bên cạnh, đều vẫn dùng được dù gói đăng ký có còn hiệu lực hay không. Việc kết thúc gói đăng ký không bao giờ lấy đi khả năng rút lại sự đồng ý hoặc yêu cầu xóa bản sao trên máy chủ.

Đồng bộ cũng có thể dừng mà bạn không chạm vào công tắc đó. Phiên đăng nhập của bạn có thể hết hạn, và khi đó chúng tôi không đăng xuất bạn và không xóa gì: Ứng dụng giữ mọi mục trên thiết bị của bạn, tạm dừng sao lưu, và chờ. Bảng Đồng bộ đám mây khi đó ghi Tạm dừng và cho bạn biết rằng không có gì được đồng bộ cho đến khi bạn đăng nhập lại, và màn hình Tổng quan hiển thị một biểu ngữ về phiên đã hết hạn. Mọi thứ bạn ghi trong thời gian đó vẫn ở trên thiết bị và chỉ đến máy chủ của chúng tôi sau khi bạn đăng nhập lại. Nếu bạn trông cậy vào bản sao trên máy chủ để giữ dữ liệu khi mất điện thoại, biểu ngữ đó là điều cần xử lý.

Bản sao trên máy chủ của chúng tôi được bảo vệ bằng mã hóa đường truyền, bằng mã hóa lưu trữ của Google và bằng các biện pháp kiểm soát truy cập của chúng tôi. Nó không được mã hóa đầu cuối, và chúng tôi có thể đọc nó. glumea không phải dịch vụ không biết gì về dữ liệu (zero-knowledge). Thành phần duy nhất trong toàn hệ thống mà chúng tôi không mở được là tệp .glumea, vì nó được mã hóa bằng mật khẩu chỉ mình bạn biết.

11. Chúng tôi lưu dữ liệu của bạn bao lâu

Chúng tôi lưu dữ liệu của bạn trong các khoảng thời gian dưới đây.

Dữ liệu tài khoản, hồ sơ và thiết lập điều trị: được lưu trên máy chủ của chúng tôi chừng nào tài khoản của bạn còn tồn tại.
Các mục sức khỏe và danh mục thuốc bạn đã đồng bộ: được lưu chừng nào tài khoản của bạn còn tồn tại, hoặc cho đến khi bạn xóa bản sao trên máy chủ hoặc xóa tài khoản. Xóa một mục đơn lẻ hoạt động khác: nó biến mất khỏi thiết bị bạn xóa, và chỉ khỏi thiết bị đó. Bản sao trên máy chủ của chúng tôi vẫn còn, nên mục đó có thể quay lại khi cài lại ứng dụng, trên điện thoại mới, hoặc sau khi bạn đăng xuất rồi đăng nhập lại. Chỉ Xóa dữ liệu trên máy chủ hoặc xóa tài khoản mới loại bỏ các hàng đó khỏi máy chủ của chúng tôi.
Dấu xóa cho các mục bạn đã xóa: khi việc xóa một mục đơn lẻ có đến máy chủ của chúng tôi, hàng đó được giữ lại làm dấu đánh dấu vẫn mang giá trị, thẻ và ghi chú của nó, để việc xóa có thể truyền đến các thiết bị khác của bạn. Chúng tôi không có tác vụ nào dọn chúng, nên chúng còn lại chừng nào tài khoản của bạn còn tồn tại. Dùng Xóa dữ liệu trên máy chủ, hoặc xóa tài khoản, sẽ loại bỏ chúng.
Phiên đăng nhập: mã thông báo truy cập có hiệu lực 15 phút. Bản ghi phiên trên máy chủ của chúng tôi hết hạn sau 90 ngày không sử dụng. Đăng xuất thu hồi nó ngay lập tức, nên nó không bao giờ dùng lại được, nhưng chính hàng đó được một tác vụ hằng giờ xóa sau khi khoảng 90 ngày đó đã hết. Xóa tài khoản loại bỏ nó ngay.
Mã dùng một lần: hết hạn sau 10 phút kể từ khi được cấp, và một tác vụ hằng giờ đánh dấu các mã hết hạn là không dùng được. Chúng tôi không xóa chính các bản ghi đó: chúng còn lại cho đến khi bạn xóa tài khoản, việc này loại bỏ chúng cùng mọi thứ khác.
Bản sao lưu máy chủ: 7 ngày. Dữ liệu đã xóa khỏi cơ sở dữ liệu đang chạy vẫn tồn tại trong các bản sao lưu cho đến khi chúng được luân chuyển.
Nhật ký yêu cầu máy chủ, trong đó có địa chỉ IP: 30 ngày.
Sự kiện phân tích tại PostHog: 12 tháng.
Báo cáo chẩn đoán tại Sentry: 90 ngày.
Bản ghi thông báo về gói đăng ký: tối đa 90 ngày kể từ lúc mỗi thông điệp đến với chúng tôi, trừ khi việc xóa tài khoản loại bỏ chúng sớm hơn. Tác vụ theo lịch tính tuổi của bản ghi và không giữ lại một hàng vì tranh chấp thanh toán đang mở.
Dữ liệu chỉ lưu trên thiết bị của bạn: ở đó cho đến khi bạn xóa nó, đăng xuất, dùng chức năng xóa tài khoản trong ứng dụng, hoặc gỡ cài đặt Ứng dụng. Yêu cầu xóa tài khoản qua email không thể xóa từ xa dữ liệu trên một thiết bị.

12. Xóa: điều gì xảy ra và ở đâu

Trước khi bắt đầu. Hai điều quan trọng hơn mọi thứ bên dưới, và cả hai đều nằm trong Điều khoản dịch vụ: hủy gói glumea+ trong cửa hàng ứng dụng trước, vì xóa tài khoản glumea không chấm dứt việc tính phí (phần 13.1 trong đó), và xuất dữ liệu trước, vì khi các hàng của bạn đã mất, chúng tôi không thể dựng bản xuất cho bạn (phần 13.3 trong đó).

Ba công cụ khác nhau, ba kết quả khác nhau. Chúng dễ bị nhầm lẫn, nên:

Công cụ	Ở đâu	Loại bỏ gì	Giữ lại gì	Điều gì có thể hoàn tác
Xóa một mục đơn lẻ	Nơi bạn đã ghi nó	Mục đó, chỉ trên thiết bị đó	Bản sao trên máy chủ, có thể đưa nó trở lại	Cài lại ứng dụng, điện thoại mới, hoặc đăng xuất rồi đăng nhập lại
Xóa dữ liệu trên máy chủ	Bảng Đồng bộ đám mây, mở từ nút đám mây trên Tổng quan hoặc Nhật ký, không phải Cài đặt	Bản sao trên máy chủ của các mục, danh mục thuốc và lịch dùng thuốc của bạn	Tài khoản, hồ sơ, thiết lập điều trị của bạn, và mọi thứ trên điện thoại	Bật lại đồng bộ sẽ tải lên lại từ điện thoại của bạn
Xóa tài khoản	Cài đặt → Tài khoản, hoặc gửi email đến [email protected] nếu bạn không dùng được Ứng dụng	Tài khoản của bạn và dữ liệu sản xuất liên quan trên máy chủ của chúng tôi; cách trong ứng dụng cũng xóa sạch thiết bị này	Bản sao lưu hiện có, một số bản ghi của nhà cung cấp và mọi dữ liệu trên các thiết bị mà việc xóa trong ứng dụng không chạm tới	Không gì khôi phục được tài khoản đã xóa

Xóa dữ liệu trên máy chủ cần phiên đăng nhập còn hiệu lực và công tắc Đồng bộ được tắt trước; ba ghi chú ở cuối phần này giải thích vì sao.

Xóa tài khoản trong Ứng dụng loại bỏ nó khỏi cơ sở dữ liệu sản xuất của chúng tôi ngay lập tức. Yêu cầu qua email đã được xác minh dùng cùng đường xóa phía máy chủ đó. Đây là điều xảy ra ở từng nơi.

Cơ sở dữ liệu sản xuất của chúng tôi: xóa tài khoản thực hiện xóa cứng bản ghi người dùng của bạn khi bạn xác nhận trong Ứng dụng hoặc khi một nhân viên vận hành hoàn tất yêu cầu qua email đã được xác minh. Mọi thứ gắn với nó bị loại bỏ cùng, theo cơ chế xóa dây chuyền của cơ sở dữ liệu: hồ sơ, thiết lập điều trị của bạn, mọi mục đường huyết, thức ăn, cân nặng, insulin, thuốc viên và thuốc tiêm đã đồng bộ, danh mục thuốc và lịch dùng thuốc, các phiên đăng nhập, và các mã xác minh và đặt lại đang chờ. Không có cờ xóa mềm và không thể khôi phục.
Bản ghi thông báo về gói đăng ký: mỗi hàng chứa mã định danh tài khoản glumea của bạn và toàn bộ thông điệp RevenueCat đã gửi. Nó không liên kết với hàng tài khoản của bạn, nên xóa dây chuyền tự động không chạm tới, nhưng dịch vụ xóa loại bỏ nó riêng trong cùng giao dịch. Nếu không xóa tài khoản, một tác vụ theo lịch xóa từng hàng sau 90 ngày.
RevenueCat: xóa tài khoản đưa vào hàng đợi một yêu cầu loại bỏ bản ghi người đăng ký theo mã định danh tài khoản của bạn. Chúng tôi thử yêu cầu ngay lập tức và thử lại nếu nhà cung cấp không khả dụng. Lịch sử thanh toán của cửa hàng nằm ngoài tầm kiểm soát của chúng tôi.
PostHog: xóa tài khoản đưa vào hàng đợi một yêu cầu loại bỏ hồ sơ phân tích gắn với tài khoản cùng các sự kiện và bản ghi của nó. Chúng tôi thử ngay và thử lại nếu nhà cung cấp không khả dụng. PostHog có thể hoàn tất việc xóa hàng loạt đã được chấp nhận theo cách không đồng bộ. Các sự kiện trước khi đăng nhập dùng một mã định danh thiết bị giả danh riêng.
Bản sao lưu máy chủ: một bản sao của những gì đã xóa vẫn tồn tại trong các bản sao lưu cơ sở dữ liệu tự động của nhà cung cấp lưu trữ cho đến khi các bản sao lưu đó được luân chuyển: 7 ngày, và trong mọi trường hợp không quá sáu tháng sau khi xác thực khi giới hạn luật định đó áp dụng. Từng bản ghi riêng lẻ không được chỉnh sửa bên trong một bản sao lưu. Vì vậy một lần khôi phục sau thảm họa có thể tạm thời đưa trở lại các hàng đã bị xóa khỏi môi trường sản xuất.
Nhật ký máy chủ: xóa tài khoản không xóa hồi tố nhật ký yêu cầu máy chủ, được giữ 30 ngày.
Sentry: Ứng dụng không gắn mã định danh tài khoản, địa chỉ email hay bản ghi người dùng nào vào báo cáo chẩn đoán. Do đó không có cách nào được hỗ trợ để tìm hay xóa báo cáo của một người dùng cụ thể. Các báo cáo do trình xử lý sự cố của hệ điều hành tạo ra không đi qua bộ lọc của Ứng dụng, và chúng tôi không biết hết mọi trường mà SDK nền tảng thêm vào. Báo cáo hết hạn theo thời hạn lưu giữ của Sentry: 90 ngày. Điều 11(2) GDPR đề cập đến dữ liệu mà bên kiểm soát thực sự không thể xác định được chủ thể dữ liệu.
Apple và Google: hồ sơ mua hàng và gói đăng ký của bạn thuộc về cửa hàng ứng dụng, không phải chúng tôi. Xóa tài khoản glumea không hủy gói đăng ký và không xóa gì tại Apple hay Google. Hãy hủy trong cài đặt tài khoản cửa hàng của bạn; hồ sơ của họ do chính sách của họ và luật thuế chi phối.
Thiết bị của chính bạn: xóa tài khoản trong Ứng dụng, đăng xuất hoặc chuyển tài khoản sẽ xóa cơ sở dữ liệu cục bộ, thông tin xác thực phiên và các tùy chọn đã lưu khỏi thiết bị đó. Yêu cầu qua email không thể xóa từ xa một thiết bị. Xóa một tùy chọn đo lường không đáng tin cậy trong việc vô hiệu hóa một SDK đã khởi tạo trong tiến trình đang chạy. Cờ cài đặt lần đầu và khóa mã hóa cơ sở dữ liệu có thể còn lại sau khi xóa trong ứng dụng, nhưng không cái nào chứa dữ liệu nhật ký. Bản sao lưu thiết bị trên iCloud có thể chứa một bản sao cơ sở dữ liệu đã mã hóa không đọc được; sao lưu Android bị tắt cho Ứng dụng.
Các bản sao do chính bạn tạo: tệp .glumea, tệp CSV, báo cáo PDF, bất cứ thứ gì bạn đã chia sẻ hoặc lưu ở nơi khác: những thứ này là của bạn và nằm ngoài tầm với của chúng tôi. Hãy xóa chúng ở nơi bạn đã đặt.

Tóm lại về thời điểm: việc xóa cơ sở dữ liệu sản xuất xảy ra khi bạn xác nhận trong Ứng dụng, hoặc khi một nhân viên vận hành hoàn tất yêu cầu qua email đã được xác minh. Các yêu cầu xóa tại RevenueCat và PostHog được thử ngay lập tức và đưa vào hàng đợi để thử lại khi thất bại. Một bản sao có thể còn trong các bản sao lưu lưu trữ cho đến khi chúng được luân chuyển, trong vòng 7 ngày.

Bản thân cơ chế xóa dây chuyền của cơ sở dữ liệu không chạm tới nhật ký yêu cầu máy chủ, báo cáo Sentry, bản ghi thông báo về gói đăng ký hay bản ghi của nhà cung cấp. Dịch vụ xóa riêng loại bỏ các thông báo về gói đăng ký và yêu cầu xóa các bản ghi tại RevenueCat và PostHog. Nhật ký máy chủ và báo cáo Sentry hết hạn theo thời hạn lưu giữ đã cấu hình của chúng.

Việc xóa là vĩnh viễn. Dữ liệu đã xóa không thể khôi phục, nên nếu bạn có thể cần hồ sơ của mình sau này, chẳng hạn cho đội ngũ chăm sóc sức khỏe, hãy lấy một bản sao trước bằng các cách xuất dữ liệu được mô tả trong phần quyền của bạn.

Bạn cũng có thể yêu cầu xóa tài khoản qua email mà không cần Ứng dụng. Chúng tôi xác minh quyền sở hữu trước khi xử lý.

Ba điều nữa về công cụ Xóa dữ liệu trên máy chủ hẹp hơn, công cụ loại bỏ bản sao trên máy chủ của các mục, danh mục thuốc và lịch dùng thuốc của bạn nhưng giữ tài khoản, hồ sơ, thiết lập điều trị và mọi thứ trên thiết bị của bạn:

Nó cần phiên đăng nhập còn hiệu lực. Nếu phiên của bạn đã hết hạn, tình trạng mà phần 10 mô tả, khi bảng ghi Tạm dừng: liên kết yêu cầu bạn đăng nhập lại và không làm gì cho đến khi bạn đăng nhập. Chỉ cần đăng nhập lại là đủ; không có gì mất đi trong thời gian đó.
Nó yêu cầu Đồng bộ đám mây được tắt trước. Nếu sau đó bạn bật lại đồng bộ, các mục vẫn còn trên thiết bị của bạn sẽ được xếp hàng và tải lên lại, việc xóa trên máy chủ bị chính thiết bị của bạn hoàn tác.
Nó không lan sang các thiết bị khác của bạn. Chúng giữ bản sao cục bộ của mình và không được thông báo.

13. Các công cụ kiểm soát của bạn trong Ứng dụng

Bạn không cần gửi email cho chúng tôi để kiểm soát dữ liệu của mình. Ứng dụng cung cấp cho bạn các công cụ tích hợp sau:

Xóa tài khoản: trong Cài đặt → Tài khoản, sau khi bạn nhập một từ xác nhận. Thực hiện xóa cứng phía máy chủ như mô tả ở trên và xóa cơ sở dữ liệu cục bộ, thông tin xác thực phiên và tùy chọn của Ứng dụng khỏi thiết bị đó. Bạn cũng có thể yêu cầu xóa tài khoản phía máy chủ tại [email protected] nếu bạn không dùng được Ứng dụng. Phần 12 nêu những gì còn tồn tại.
Xóa dữ liệu trên máy chủ: liên kết xóa dữ liệu đó ở dòng bên dưới công tắc Đồng bộ trong bảng Đồng bộ đám mây, mở từ nút đám mây ở đầu màn hình Tổng quan hoặc Nhật ký chứ không phải từ Cài đặt. Liên kết luôn hiển thị, nhưng chỉ hoạt động khi công tắc đã tắt. Xóa cứng bản sao trên máy chủ của các mục, danh mục thuốc và lịch dùng thuốc của bạn, trong khi giữ tài khoản và dữ liệu trên thiết bị của bạn. Nó không đi xa hơn thế: hồ sơ và thiết lập điều trị của bạn vẫn nằm trên máy chủ của chúng tôi cho đến khi bạn xóa tài khoản. Hãy đọc ba ghi chú ngay phía trên.
Đồng bộ đám mây: công tắc Đồng bộ trong cùng bảng đó, và là một tính năng của glumea+. Tắt nó bất cứ lúc nào để dữ liệu mới ngừng đến máy chủ của chúng tôi, đó cũng là cách bạn rút lại sự đồng ý cho việc chúng tôi lưu trữ; tắt nó không bao giờ cần gói đăng ký đang hoạt động. Dữ liệu đã đồng bộ vẫn nằm trên máy chủ của chúng tôi cho đến khi bạn dùng Xóa dữ liệu trên máy chủ hoặc Xóa tài khoản. Câu trả lời của bạn cho công tắc này được lưu trên tài khoản của bạn, nên nó còn nguyên sau khi đăng xuất và đi theo bạn sang điện thoại mới.
Phân tích sử dụng và Báo cáo lỗi: hai công tắc độc lập trong Cài đặt → Dữ liệu & quyền riêng tư → Quyền riêng tư & chẩn đoán. Cả hai tắt cho đến khi bạn bật. Tắt một công tắc cập nhật tùy chọn, nhưng dữ liệu đang xếp hàng vẫn có thể được chuyển đi và đăng xuất không đáng tin cậy trong việc đóng một SDK đã khởi tạo trong tiến trình đang chạy.
Apple Health / Health Connect: kết nối, ngắt kết nối, hoặc tắt từng loại dữ liệu trong Cài đặt → Tích hợp. Bạn cũng có thể thu hồi quyền ngay trong nền tảng sức khỏe.
Hiện chi tiết trong thông báo (Cài đặt → Thông báo): tắt trừ khi bạn bật. Cho đến khi bạn bật, thông báo hiển thị văn bản chung chung.
Đăng xuất: xóa cơ sở dữ liệu cục bộ của Ứng dụng, thông tin xác thực phiên và các tùy chọn của bạn khỏi thiết bị, kể cả các lựa chọn về phân tích và chẩn đoán. Không có gì bạn đã ghi và không có lựa chọn nào bạn đã đặt được giữ lại; phần về xóa nêu hai giá trị kỹ thuật còn lại.
Xuất: một tệp lưu trữ .glumea được bảo vệ bằng mật khẩu gồm các mục, thuốc, hồ sơ, mục tiêu điều trị và lời nhắc của bạn, từ Cài đặt → Dữ liệu & quyền riêng tư → Nhập & xuất dữ liệu. Báo cáo đường huyết CSV và PDF là một thứ riêng, được tạo từ bảng xuất của chính màn hình đường huyết; tệp lưu trữ và CSV miễn phí, còn báo cáo PDF là tính năng của glumea+.

[email protected] tiếp nhận yêu cầu xóa tài khoản mà không cần Ứng dụng. Các yêu cầu về quyền khác ngoài ứng dụng cũng có thể gửi đến đó, nhưng đường xóa tài khoản không cung cấp công cụ xuất hay chỉnh sửa tự động riêng.

14. Quyền của bạn

Theo GDPR, bạn có quyền:

Truy cập dữ liệu cá nhân của bạn và nhận một bản sao.
Chỉnh sửa dữ liệu không chính xác hoặc chưa đầy đủ. Bạn có thể sửa các mục và thuốc ở nơi bạn đã ghi chúng, hồ sơ của bạn trong Cài đặt → Tài khoản, và thiết lập điều trị ở nơi bạn đặt chúng. Hiện chưa có quy trình chỉnh sửa riêng ngoài ứng dụng.
Xóa dữ liệu của bạn (“quyền được lãng quên”). Phần về xóa ở trên cho bạn biết chính xác việc xóa chạm tới những gì và không chạm tới những gì.
Hạn chế việc xử lý trong một số tình huống.
Chuyển dữ liệu: nhận dữ liệu bạn đã cung cấp ở định dạng có cấu trúc, được dùng phổ biến, máy đọc được, khi luật quy định quyền đó. Bản xuất đường huyết CSV trong ứng dụng là máy đọc được và không mã hóa. Tệp lưu trữ .glumea chứa các mục, thuốc, hồ sơ, mục tiêu điều trị và lời nhắc, nhưng được mã hóa bằng mật khẩu chỉ mình bạn biết và chỉ có thể nhập vào đúng tài khoản glumea đã tạo ra nó. Hiện không có bản xuất tùy chỉnh bổ sung nào qua [email protected].
Phản đối việc xử lý dựa trên lợi ích hợp pháp của chúng tôi.
Rút lại sự đồng ý bất cứ lúc nào. Việc rút lại không ảnh hưởng đến việc xử lý đã hợp pháp trước khi rút lại. Với dữ liệu nhật ký đã đồng bộ, hãy tắt Đồng bộ đám mây và dùng Xóa dữ liệu trên máy chủ, hoặc xóa tài khoản. Với phân tích và chẩn đoán, hãy dùng hai công tắc trong Cài đặt → Dữ liệu & quyền riêng tư → Quyền riêng tư & chẩn đoán. Không có công cụ loại bỏ riêng chỉ hồ sơ hoặc chỉ thiết lập điều trị, và hiện không có quy trình như vậy qua [email protected]. Xóa tài khoản là cách duy nhất đã được triển khai để loại bỏ các trường đó khỏi cơ sở dữ liệu sản xuất của chúng tôi.
Khiếu nại với cơ quan giám sát. Cơ quan giám sát chủ đạo của chúng tôi là Chủ tịch Cơ quan Bảo vệ Dữ liệu Cá nhân (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warsaw, Ba Lan. Bạn cũng có thể khiếu nại với cơ quan bảo vệ dữ liệu tại quốc gia thành viên EU nơi bạn sống, nơi bạn làm việc, hoặc nơi bạn cho rằng vi phạm đã xảy ra. Nếu bạn ở Vương quốc Anh, bạn có thể khiếu nại với Văn phòng Ủy viên Thông tin (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF.

Hãy dùng các công cụ trong ứng dụng được mô tả ở phần 13 khi chúng bao quát hành động được yêu cầu. Để xóa tài khoản mà không cần Ứng dụng, hãy gửi email đến [email protected]. Các yêu cầu về quyền khác cũng có thể gửi đến đó; đường xóa tài khoản này tự nó không cung cấp công cụ truy cập, xuất hay chỉnh sửa riêng.

Nếu một bên kiểm soát dữ liệu không xử lý yêu cầu theo GDPR, Điều 12 yêu cầu họ giải thích lý do trong vòng một tháng và nêu các đường khiếu nại và khắc phục tư pháp hiện có. Các đường đó vẫn còn dù bạn có liên hệ lại với bên kiểm soát hay không.

Xác minh danh tính. Việc xóa trong ứng dụng dựa trên phiên đã xác thực của bạn. Với yêu cầu qua email, chúng tôi xác nhận quyền kiểm soát email gắn với tài khoản. Nếu bạn không truy cập được email đó, chúng tôi xem xét liệu có cách khác để xác minh quyền sở hữu hay không trước khi xóa tài khoản. Chúng tôi không yêu cầu mật khẩu hay hồ sơ sức khỏe của bạn để xử lý yêu cầu.

15. Cách chúng tôi bảo vệ dữ liệu của bạn

Mật khẩu được băm bằng bcrypt, không bao giờ lưu dưới dạng văn bản thuần, và không bao giờ lưu trên thiết bị của bạn.
Cơ sở dữ liệu cục bộ trên thiết bị của bạn được mã hóa, với khóa lưu trong kho khóa của nền tảng và không chuyển sang thiết bị khác.
Mã thông báo xác thực được giữ trong bộ nhớ an toàn của thiết bị, iOS Keychain hoặc kho lưu trữ dựa trên Android Keystore.
Ứng dụng giao tiếp với máy chủ của chúng tôi qua HTTPS, và cả hai nền tảng đều chặn kết nối không mã hóa theo mặc định, chúng tôi không thêm ngoại lệ nào cho điều đó trên iOS hay Android.
Cơ sở dữ liệu của chúng tôi chạy bên trong Google Cloud, chỉ truy cập được qua một socket Cloud SQL riêng, với thông tin xác thực lưu trong Google Secret Manager.
Chúng tôi không ghi các giá trị bạn ghi, chỉ số đường huyết, liều insulin, vào nhật ký ứng dụng của chúng tôi. Một dòng nhật ký lỗi ghi mã trạng thái, đường dẫn, thời gian và thông báo lỗi, mà với một yêu cầu bị từ chối thì nêu tên các trường không qua được kiểm tra hợp lệ. Nó không chứa nội dung yêu cầu.
Thông báo mặc định hiển thị văn bản chung chung, nên thông báo không đưa dữ liệu sức khỏe của bạn lên màn hình khóa.
Quyền truy cập cơ sở dữ liệu sản xuất chỉ dành cho những người vận hành dịch vụ, nghĩa là chúng tôi có thể đọc nó. Điều bảo vệ nó khỏi những người khác là kiểm soát truy cập và mã hóa khi truyền và khi lưu trữ.

Không hệ thống nào an toàn tuyệt đối. Các biện pháp trên là những gì chúng tôi làm để hạn chế mức độ phơi bày của các phần nhạy cảm trong dữ liệu của bạn.

Một sự cố liên quan đến dữ liệu cá nhân có thể dẫn đến việc thông báo cho cơ quan giám sát hoặc các cá nhân bị ảnh hưởng theo Điều 33 và 34 GDPR, Quy tắc thông báo vi phạm dữ liệu sức khỏe của FTC hoặc luật hiện hành khác. Mỗi chế độ có phạm vi và thời hạn riêng, và các nghĩa vụ luật định đó áp dụng độc lập với chính sách này.

16. Trẻ em

glumea không dành cho trẻ em. Bạn phải đủ ít nhất 16 tuổi để dùng Ứng dụng. Đó là điều kiện của dịch vụ bất kể bạn ở đâu. Chúng tôi không cung cấp đường cho phép của cha mẹ. Quy trình xóa tài khoản trong ứng dụng và các giới hạn ở phần 12 áp dụng cho mọi tài khoản được xác định là của người dưới 16 tuổi. Mọi lo ngại về tài khoản của người chưa đủ tuổi có thể gửi đến [email protected].

17. Lưu ý cho người dùng tại Hoa Kỳ

Luật quyền riêng tư của Hoa Kỳ khác nhau giữa các tiểu bang, và việc áp dụng phụ thuộc vào nơi cư trú, ngưỡng luật định và loại dữ liệu liên quan. Các công cụ trong ứng dụng được mô tả ở phần 13 dùng được độc lập với các ngưỡng đó. Các quyền luật định áp dụng vẫn có hiệu lực ngay cả khi sản phẩm hiện tại chưa có quy trình yêu cầu riêng.

HIPAA: glumea là sản phẩm bán trực tiếp cho người tiêu dùng. Chúng tôi không cung cấp dịch vụ chăm sóc sức khỏe, không xử lý yêu cầu bồi thường, và không có hợp đồng với chương trình bảo hiểm sức khỏe hay nhà cung cấp dịch vụ y tế để xử lý dữ liệu thay họ, nên chúng tôi không đóng vai trò nào trong hai vai trò mà HIPAA điều chỉnh, “đơn vị được bao phủ” hay “đối tác kinh doanh”, và chúng tôi không tuyên bố tuân thủ HIPAA. Hồ sơ mà bác sĩ của chính bạn giữ về bạn được HIPAA điều chỉnh khi nằm trong tay họ; điều đó tách biệt với bản sao bạn giữ trong glumea. Các quy tắc của Hoa Kỳ mà chúng tôi tuân theo đối với glumea là quy tắc thông báo vi phạm dữ liệu sức khỏe của FTC và các luật bảo vệ quyền riêng tư sức khỏe của tiểu bang dưới đây.
California (CCPA/CPRA): việc áp dụng phụ thuộc vào các ngưỡng kinh doanh luật định. Dữ liệu được mô tả ở đây có thể bao gồm thông tin cá nhân nhạy cảm. Chúng tôi không bán thông tin cá nhân hay chia sẻ nó cho quảng cáo hành vi xuyên ngữ cảnh. Nếu CCPA áp dụng, các quy tắc về truy cập, chỉnh sửa, xóa, chuyển dữ liệu, từ chối và không phân biệt đối xử của nó áp dụng độc lập với chính sách này. Các công cụ trong ứng dụng và yêu cầu xóa tài khoản qua email vẫn dùng được bất kể ngưỡng.
Washington (My Health My Data Act): dữ liệu bạn ghi là “dữ liệu sức khỏe người tiêu dùng”. Washington yêu cầu một chính sách riêng cho dữ liệu đó; xem Chính sách quyền riêng tư về dữ liệu sức khỏe người tiêu dùng. Chính sách đó mô tả các danh mục, nguồn, mục đích, bên nhận, các quyền luật định và những giới hạn vận hành hiện tại của quy trình yêu cầu và kháng nghị.
Nevada (luật về dữ liệu sức khỏe người tiêu dùng, SB 370 năm 2023): dữ liệu bạn ghi cũng là “dữ liệu sức khỏe người tiêu dùng” theo luật Nevada. Bạn có quyền xác nhận liệu chúng tôi có thu thập, chia sẻ hay bán nó không, nhận danh sách các bên thứ ba mà nó đã được chia sẻ hoặc bán cho, yêu cầu xóa nó, và rút lại sự đồng ý, điều mà Nevada coi là hai sự đồng ý riêng, một cho việc thu thập và một cho việc chia sẻ. Luật của Nevada do Tổng chưởng lý thực thi. Thông báo quyền riêng tư về dữ liệu sức khỏe người tiêu dùng của Nevada của chúng tôi nêu các quyền đó, thời hạn áp dụng cho chúng, vốn ngắn hơn của Washington đối với việc xóa, và bốn nội dung công bố mà Nevada yêu cầu.
Yêu cầu và kháng nghị. Luật tiểu bang hiện hành có thể yêu cầu giải thích bằng văn bản, một đường kháng nghị và thông tin về việc nộp khiếu nại lên tổng chưởng lý tiểu bang. Hiện chưa có quy trình kháng nghị qua email riêng tại [email protected], nên quy trình hiện tại không cung cấp đường đó nơi nó được yêu cầu. Các yêu cầu của Washington được mô tả trong Chính sách quyền riêng tư về dữ liệu sức khỏe người tiêu dùng.
Các quyền khác theo luật tiểu bang hiện hành không bị chính sách này hạn chế.

18. Trang web glumea.com

Trang web là một trang tĩnh đăng tải thông tin về glumea và các tài liệu pháp lý này. Nó được cố ý giữ tối giản:

Không cookie.
Không phân tích, và không có yêu cầu đến nguồn của bên thứ ba. Mọi thứ trang cần, kể cả phông chữ và script, được phục vụ từ chính glumea.com, và chính sách bảo mật nội dung của trang chặn hoàn toàn mọi nguồn khác. Chính trang được nhà cung cấp lưu trữ của chúng tôi chuyển đi, và họ buộc phải thấy yêu cầu; gạch đầu dòng cuối trong danh sách này nêu họ là ai và ghi nhật ký gì. Trang có chạy một lượng nhỏ JavaScript của riêng nó: hai đoạn mã nhúng áp dụng giao diện của bạn và đưa bạn đến đúng ngôn ngữ, cùng một vài tệp đóng gói phía sau menu điều hướng, các nút chuyển giao diện và ngôn ngữ, và hiệu ứng làm các khối hiện ra khi bạn cuộn. Không cái nào gửi bất cứ gì đi đâu cả.
Không theo dõi giữa các trang, và do đó không có gì để tín hiệu Do Not Track hay Global Privacy Control tắt đi. Trang web không đặt cookie quảng cáo hay phân tích, không gửi yêu cầu đến bên thứ ba, và chúng tôi không bán hay chia sẻ thông tin cá nhân.
localStorage của trình duyệt chỉ dùng cho các tùy chọn chức năng (lựa chọn giao diện và ngôn ngữ của bạn). Các giá trị này ở lại trong trình duyệt của bạn và không được gửi cho chúng tôi. Chúng chỉ được đặt vì bạn đã chọn một giao diện hoặc một ngôn ngữ, đó là lý do không cần biểu ngữ đồng ý cho chúng.
Trang được phục vụ bởi Firebase Hosting (Google). Như hầu hết các nhà cung cấp lưu trữ web, nhà cung cấp có thể ghi nhật ký máy chủ tiêu chuẩn, địa chỉ IP, thời gian yêu cầu, loại trình duyệt, vì mục đích bảo mật và để vận hành dịch vụ. Chúng tôi dựa vào lợi ích hợp pháp (Điều 6(1)(f) GDPR) cho việc này, cụ thể là giữ cho trang luôn hoạt động và bảo vệ nó khỏi lạm dụng, và nhật ký chỉ được giữ chừng nào cần cho các mục đích đó.

19. Thay đổi đối với chính sách này

Phiên bản hiện hành được đăng tải tại đây cùng ngày có hiệu lực. Luật hiện hành quyết định liệu một thay đổi có cần thông báo trước, sự đồng ý mới hay hành động khác. Việc đăng tải chính sách đã cập nhật tự nó không cho phép một mục đích mới cần có sự đồng ý hoặc cơ sở pháp lý khác.

20. Ngôn ngữ

Chính sách này được công bố bằng tiếng Anh. Bản tiếng Anh là bản có giá trị ràng buộc về mặt pháp lý. Các bản dịch sang ngôn ngữ khác được công bố để bạn có thể đọc chính sách bằng ngôn ngữ của mình. Khi bản dịch và văn bản tiếng Anh khác nhau, văn bản tiếng Anh là bản chi phối.

Ngoại lệ là chính pháp luật. Khi nước bạn sinh sống trao cho ngôn ngữ mà bạn được đối thoại một địa vị riêng, như luật bảo vệ người tiêu dùng của nhiều nước, thì quy định đó áp dụng thay cho quy định này, và không điều gì ở đây tước đi quyền bạn có theo luật đó.

Một bản dịch được công bố khi nó sẵn sàng, nên có thể chậm hơn văn bản tiếng Anh sau một lần cập nhật. Nếu bạn thấy chỗ nào bản dịch và văn bản tiếng Anh nói khác nhau, hãy cho chúng tôi biết tại [email protected].

21. Liên hệ với chúng tôi

Câu hỏi, mối quan ngại hoặc yêu cầu về dữ liệu của bạn:

Email: [email protected]
Bưu điện: Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Ba Lan

Các tài liệu liên quan: Điều khoản dịch vụ, Miễn trừ trách nhiệm y tế, và, dành cho cư dân Washington, Chính sách quyền riêng tư về dữ liệu sức khỏe người tiêu dùng của chúng tôi, hoặc dành cho cư dân Nevada, Thông báo quyền riêng tư về dữ liệu sức khỏe người tiêu dùng của Nevada của chúng tôi.