隐私政策 | glumea

1. 我们是谁，本政策涵盖什么

Paweł Milewski Software Development（“运营方”，“我们”）提供 glumea（“本应用”，一款用于糖尿病自我管理的移动应用）和 glumea.com（“本网站”）。本政策说明我们收集哪些数据、为何收集、数据存储在哪里、谁可以访问、保存多久、删除会移除什么，以及您拥有的权利和控制选项。

本政策同时也是欧盟数据保护法要求我们向您提供的告知：即《通用数据保护条例》（条例（EU）2016/679，下文简称 GDPR）第 13 条和第 14 条所要求的信息，涵盖您亲自提供给我们的数据，也涵盖从其他来源传到我们这里的数据。

本政策涵盖：

本应用：适用于 iOS 和 Android 的 glumea 移动应用。
本网站：glumea.com 网站，包括托管这些法律文件的页面。

本网站几乎不收集任何数据，下文有专门的章节说明。

运营方是对您的个人数据负责的数据控制者：

控制者：Paweł Milewski Software Development
公司注册号：NIP PL6751782526，在 CEIDG（波兰中央经营登记与信息处）登记的个体经营者
邮寄地址：ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Poland
电子邮件：[email protected]
设立国家：波兰

如适用：

欧盟代表：不适用，我们设立于欧盟境内
英国代表：未指定
数据保护官：未指定；数据保护方面的问题请发送至 [email protected]

“数据控制者”是指依据 GDPR 的定义，决定如何以及为何处理您的个人数据的一方。

另有两份文件与本政策同时适用，请与本政策一并阅读：

我们的服务条款，规范您对本应用和本网站的使用；以及
我们的医疗免责声明，说明本应用在医疗方面的限度。

如果您是华盛顿州居民，还有第四份文件专门适用于您：我们的消费者健康数据隐私政策，华盛顿州法律要求我们单独发布。如果您在内华达州，对应的文件是我们的内华达州消费者健康数据隐私声明。

2. 摘要

以下是后文内容的简短版本。每一点都标明了详细阐述它的章节，以该章节为准。

我们是谁。 Paweł Milewski Software Development 决定如何以及为何处理您的数据。见第 1 节和第 21 节。
我们收集什么。 您的电子邮件地址和密码；您在引导设置时填写的个人资料；您记录的日记，包括血糖、饮食、胰岛素、其他药物、体重、药物和提醒；登录令牌和服务器连接记录。如果您连接 Apple Health 或 Health Connect，则包括来自它们的记录；如果您订阅，则包括订阅信息。见第 3 节。
健康数据。 日记、糖尿病类型、治疗方式和治疗设置属于 GDPR 第 9 条规定的特殊类别数据。云同步对日记设有单独的确认。当前的引导设置在存储健康档案和治疗设置之前，并不单独收集明确同意。见第 3.3 节和第 4 节。
数据在哪里。 您的部分数据从创建账户的那一刻起就在我们的服务器上：您的账户信息、包含糖尿病类型和治疗方式的个人档案，以及您的治疗设置。您的日记则不是：它首先写入您手机上的加密数据库，本应用可离线使用，只有当您开启云同步时，日记才会传到我们的服务器。云同步是 glumea+ 的功能，开启之前为关闭状态，您的选择保存在账户上，而不是手机上。完整的对照表见第 10 节。
谁会接收这些数据。 我们位于欧盟的托管服务提供商；如果启用了电子邮件发送，则包括电子邮件服务提供商；PostHog 和 Sentry（仅在您分别同意之后）；如果您订阅，则包括应用商店；以及 RevenueCat（无论您是否订阅）。我们不出售您的数据，本应用也不含任何广告。见第 5、7、8 和 9 节。
您的选择。 分析和错误报告在您同意之前保持关闭，且各有独立的开关；退出登录不会停止在该会话中已经运行的 SDK。在本应用中，您可以关闭同步、删除日记的服务器副本、删除账户，并使用已实现的导出功能。见第 5 节和第 13 节。
您的权利。 访问、更正、删除、限制处理、可携带性、反对、撤回同意，以及向数据保护监管机构投诉；在美国，则是您所在州的法律赋予您的权利。您可以在本应用中删除账户，也可以不使用本应用，通过发送电子邮件至 [email protected] 请求删除账户。见第 13、14 和 17 节。
删除没有涵盖的内容。 删除账户会移除其在生产数据库中的记录，并请求删除与账户关联的 RevenueCat 和 PostHog 记录。现有备份、服务器日志和诊断日志、应用商店的账单记录以及已导出的副本可能依第 12 节所述继续存在。

3. 我们收集的数据

此处列出的大部分内容由您直接提供。有两类数据不是：您从 Apple Health 或 Health Connect 导入的记录，以及从 Apple、Google 和 RevenueCat 传到我们这里的订阅信息。两者在下文均有说明。

3.1 账户数据

电子邮件地址和密码。您的密码在我们的服务器上使用 bcrypt 进行哈希处理，从不以明文存储，也从不保存在您的设备上。您的电子邮件地址也包含在本应用使用的登录令牌中。
用于电子邮件验证、重置密码、更改密码和更改电子邮件的一次性验证码。验证码在签发 10 分钟后失效，输错五次即作废。

3.2 个人资料数据

在引导设置期间收集：

姓名（作为昵称存储）、年龄、性别（可选）和身高。
糖尿病类型（1 型、2 型、妊娠糖尿病或其他）、治疗方式（胰岛素、药片、注射剂、饮食）以及胰岛素给药方式。

您的糖尿病类型、治疗方式和胰岛素给药方式属于健康数据，即 GDPR 第 9 条规定的个人数据“特殊类别”，尽管本政策将它们归在“个人资料”之下。我们对这些数据所依据的条件，见下文“处理数据的原因与法律依据”一节。

3.3 您记录的健康数据（特殊类别数据）

以下属于健康数据，即 GDPR 第 9 条规定的个人数据“特殊类别”。我们仅在获得您明确同意的前提下才将其保存在我们的服务器上。下文“处理数据的原因与法律依据”一节说明该同意如何作出，以及其中哪些数据只有在开启云同步时才会传到我们的服务器：

血糖读数，以及可选的情境标签（进餐时间、生理状态、活动、药物和技术，以及您自己编写的标签）和自由文本备注。
饮食记录：碳水化合物，以及可选的蛋白质、脂肪、热量和您输入的名称。
胰岛素剂量：单位数，与您配置的胰岛素药物相关联，分为餐时、基础或预混。
注射类药物的剂量（例如 GLP-1 受体激动剂）。
药片和片剂的服用次数。
体重记录，每条都带有您记录的时间。
您的药物目录：您配置的胰岛素、药片和注射类药物，包括药物名称（例如 Fiasp、Lantus、Metformin、Ozempic）和药代动力学参数（起效时间、高峰时间、作用持续时间），以及您为它们设置的提醒时间。
您配置的治疗设置：您的血糖目标范围（默认为 3.9–10.0 mmol/L，妊娠期糖尿病、糖尿病前期或无糖尿病诊断时为 3.9–7.8 mmol/L）、胰岛素碳水化合物比值（ICR）和胰岛素敏感系数（ISF）。本应用从不使用其中任何一项来计算或推荐剂量。您的胰岛素碳水化合物比值仅供您参考而存储，没有任何其他功能会读取它。您的目标范围会被存储，它同时决定“目标范围内时间”中目标范围区间的绘制，设定良好 / 临界 / 危急标签的内侧边界，并决定低血糖风险提示何时变化。您的胰岛素敏感系数用于得出低血糖风险提示以及体内胰岛素旁显示的大致降幅范围。医疗免责声明对这些内容均有说明。
本应用根据您的记录在您的设备上得出的数值：估算的体内胰岛素（仅供了解的估算值，并不推荐或计算剂量）、低血糖风险提示及其旁边显示的大致降幅范围、趋势、平均血糖及其波动、目标范围内时间、估算的糖化血红蛋白（GMI）、建议的下次测量时间，以及最新一次读数上的良好 / 临界 / 危急标签。这些内容分别是什么、不是什么，见医疗免责声明。

其中有若干字段是自由文本：血糖备注、您自己编写的标签、饮食名称、自定义药物名称、自定义提醒时段的名称。您在这些字段中输入的任何内容，都会按您输入的原样存储；如果开启了同步，也会按原样同步。

3.4 我们从其他来源收到的数据

Apple Health 和 Health Connect。 如果您连接它们，本应用会从您手机上的健康平台读取血糖、体重和饮食碳水化合物记录。这是只读的：本应用从不向其中写入任何内容。在 iOS 上，它只向系统请求读取权限，且没有声明写入的理由，而写入恰恰需要声明理由；在 Android 上，它仅持有这三类记录的读取权限。因此，最初来自血糖仪、持续血糖监测设备或其他应用的记录，是通过健康平台传到 glumea 的。导入的记录在您的设备上作为普通记录存储，并标注其来源平台和该记录的标识符。导入的记录是否也会复制到我们的服务器，取决于云同步是否开启，这与您亲自输入的记录完全相同。该连接在您开启之前为关闭状态，您可以随时在设置 → 集成中断开连接，或关闭个别数据类型。
Apple、Google 和 RevenueCat。 如果您订阅 glumea+，有关该订阅的信息会从应用商店和 RevenueCat 传到我们这里。具体内容见下文 glumea+ 一节。

3.5 技术数据

身份验证令牌，存储在您设备的安全存储区中，以便您保持登录状态。您在我们服务器上的会话是一条记录，包含会话 ID、您的用户 ID 及其到期时间。
开启云同步时，我们的服务器会处理您同步的数据，以及运行同步服务所需的簿记信息，例如同步时间戳。
当本应用与我们的服务器通信时，服务器会收到标准的连接信息，例如您的 IP 地址、请求的路径和时间，用于安全目的和服务运行。
在分析或诊断启用期间，每个 SDK 会发送第 5 节所述的数据。两者在您同意之前都处于关闭状态。

3.6 保留在您设备上的数据与不保留在设备上的数据

有些内容完全不会传到我们的服务器：通知设置、血糖检查提醒时间、静音时段、通知详情选项、本地通知状态、健康平台连接状态、应用偏好设置、遥测偏好设置和同步簿记信息。有一点需要说明：在分析启用期间，语言、主题和单位设置会作为个人资料属性发送给 PostHog。此列表中的其他内容都不会通过我们的后端离开设备。

您的用药计划是例外：它们属于日记，因此在云同步开启时会复制到我们的服务器，因为用药提醒必须在更换手机后依然保留。

云同步开关本身也并非只存在于设备上。您对它的选择保存在我们服务器上的账户中，因此它会跟随您到新手机，并在退出登录后依然保留；这在实际中意味着什么，见第 10 节。

您自己创建的文件，即 .glumea 备份归档文件，或 CSV 或 PDF 血糖报告，会写在您的设备上，并交给您选择用来分享或保存它们的应用。它们之后去向何处不在我们的控制范围内，而且 CSV 或 PDF 报告没有加密。

4. 我们处理您的数据的原因与法律依据

根据 GDPR，每一项使用都需要第 6 条规定的依据，特殊类别数据还需要第 9 条规定的条件。下面列出的是我们拟采用的依据。下文所述缺失的个人资料同意步骤，并不能提供处理所要求的明确同意。

提供您的账户和本应用：创建并保护您的账户、身份验证、电子邮件验证、重置密码、运行云同步、在您订阅时提供 glumea+，以及保存应用商店和 RevenueCat 发给我们的订阅通知记录，以便我们判断 glumea+ 是否有效并处理账单问题：履行合同，GDPR 第 6(1)(b) 条。
在我们的服务器上保存健康数据：拟采用的依据是，服务适用第 6(1)(b) 条，健康数据适用第 9(2)(a) 条规定的明确同意。日记只有在您完成单独的云同步确认之后，才会复制到我们的服务器。当前的引导设置在没有单独明确同意步骤的情况下，将个人资料和治疗设置存储在账户中。接受合同并不自动等同于对特殊类别处理的明确同意，因此当前的引导流程并未提供该第 9 条条件。删除账户是目前唯一已实现的、从生产数据库中移除这些个人资料和治疗字段的方法。
产品分析：第 6(1)(a) 条规定的同意；由于使用糖尿病应用本身就会透露健康信息，还需第 9(2)(a) 条规定的明确同意；以及针对 SDK 存储的、《电子隐私指令》第 5(3) 条规定的同意。第 5 节说明如何征求该同意。
诊断和崩溃报告：拟采用的依据是第 6(1)(a) 条规定的同意；由于使用糖尿病应用本身就会透露健康信息，还需第 9(2)(a) 条规定的明确同意；以及针对 SDK 存储的《电子隐私指令》第 5(3) 条同意，征求方式与分析相同（第 5 节）。
保障服务安全和防止滥用：对我们的 API 进行速率限制，以及调查涉嫌滥用的行为：我们的合法利益，GDPR 第 6(1)(f) 条。具体的利益是保护您的账户和其他人的账户免遭未经授权的访问，并保持服务可用。只有在我们的利益不会凌驾于您的权利之上时，我们才依赖这一依据。
履行法律义务：如果波兰法律要求我们保存或披露特定记录，我们依据 GDPR 第 6(1)(c) 条这样做。对于您记录的健康数据，我们不依赖这一依据。我们不收取您的付款，也从不接收您的付款详情，因此您这笔购买的支付和账单记录由应用商店而非我们保存。

我们不会仅基于自动化处理，对您作出产生法律效力或类似重大影响的决定，也不会为此类决定对您进行画像。就 GDPR 第 22 条而言，glumea 中不存在自动化决策。本应用显示的估算值，即体内胰岛素、趋势、目标范围内时间，是在您的设备上对您输入的数据进行的算术运算，仅供您了解。它们不会推荐或计算任何胰岛素或药物剂量，也不是医疗建议。

提供数据是否为必需？ 法律并不要求您提供数据。创建账户需要电子邮件地址和密码。引导设置期间要求填写的个人资料和治疗字段会存储在账户中，但受上述同意限制的约束。记录条目、连接 Apple Health 或 Health Connect 以及云同步都是可选的。分析和诊断是可选的，在您同意之前保持关闭。

5. 分析与诊断

本应用包含两个用于此类目的的第三方 SDK：一个用于产品分析，另一个用于崩溃和错误报告。本节说明它们各自是什么，以及各自接收什么。

两者在您同意之前都处于关闭状态，在此之前两个 SDK 都不会启动。本应用在引导设置结束时征求同意，两者各有一个单独的开关。开关显示为开启位置，但在您点按继续之前不会收集任何内容，点按一次拒绝按钮即可在两者都关闭的情况下完成引导设置。如果您登录现有账户而不经过引导设置，则两者保持关闭，直到您自行开启。这两项设置相互独立，可随时在设置 → 数据与隐私 → 隐私与诊断中更改。退出登录会连同您的其他偏好设置一起清除这两个选择，但已在运行的 SDK 会一直运行到本应用关闭。

5.1 产品分析：PostHog

我们使用 PostHog（欧盟云，eu.i.posthog.com）来了解本应用的使用情况，以便改进它。

在分析启用期间，PostHog 可能接收：

您的 glumea 账户标识符：您账户的内部 UUID。不是您的电子邮件，也不是您的姓名。登录之后，事件会与该标识符绑定，因此这些事件不是匿名的。在您登录之前或退出登录之后可能发生的事件，即首次启动、应用启动、注册以及对电子邮件验证码的验证，带有的是一个假名设备标识符，该标识符会在本应用重置 SDK 时重新生成。
一份固定的事件名称列表，约 28 个，涵盖诸如打开应用、注册、完成引导设置、保存记录、从 Apple Health 导入、授予或拒绝通知权限、生成导出、打开付费页面，以及购买或恢复购买的结果等事项。
少量属性，每个都来自封闭列表或有界计数：保存的是哪种记录（血糖、饮食、药物或体重）、一次保存写入了多少行、记录是即时记录的还是补记的、导出的是 CSV 还是 PDF、完成了哪个引导设置步骤、您点按的提醒的大致类别，以及类似内容。系统中没有任何属性接受自由文本。
您所在的屏幕，以路由模板的形式呈现，例如 /settings/privacy。数字会被拒绝，因此记录标识符无法夹带其中。只有某一种治疗才会到达的屏幕，例如胰岛素设置，会报告为其上一级屏幕。
少量个人资料属性：您的语言、您的主题、您的血糖、体重和碳水化合物单位，以及您是否订阅了 glumea+。
PostHog SDK 自行添加的内容，不在我们的控制之内：设备型号、操作系统及版本、应用版本、SDK 版本、时区、区域设置、网络类型和会话标识符。与任何网络服务一样，PostHog 也会收到您请求所来自的 IP 地址。并据此推断大致位置。我们没有开启 PostHog 的丢弃该地址的选项，因此它会与事件一起存储。

PostHog 无法接收的内容：血糖值、胰岛素剂量、药物名称、您服用哪一类药物、备注、饮食名称、电子邮件地址，或任何其他自由文本。确保这一点的过滤器是失效即关闭的：不在列表上的事件会被整体丢弃，未声明的属性会被剥离，已声明但取值与预期格式不符的属性同样会被剥离。系统中没有“任意字符串”属性。没有会话回放，没有屏幕录制，没有调查问卷，没有对点按的自动捕获，也没有推送令牌。

这些事件的构建方式使其不会暴露您的治疗或读数。胰岛素、药片和注射剂都统一报告为一条药物记录。对低血糖或高血糖提醒的点按根本不会被记录，只有使用胰岛素的用户才会看到的引导设置步骤也不会被记录。从 Apple Health 或 Health Connect 导入时，只报告导入已运行以及由什么触发，绝不报告读取了多少条记录。在您登录期间，这些事件仍与您的账户关联，而且使用糖尿病应用本身就会透露健康信息，这就是分析要等待您同意的原因。

分析 SDK 会在您的设备上存储它自己的标识符，以及一个等待发送的事件队列。SDK 的工作方式带来两个限制。撤回同意时会记录它自己的最后一个事件，即您选择退出。并且该事件，连同在您同意期间已经收集的所有内容，会在之后按 SDK 自己的计划发送，而不是在您撤回的那一刻发送。此后不会再收集任何新内容。

5.2 诊断和崩溃报告：Sentry

我们使用 Sentry（欧盟区域）来了解本应用何时崩溃或出错，以便我们修复。

本应用构建的报告中，每一个承载内容的部分，在发送之前都会根据一份允许字段的列表（而不是一份需要移除字段的列表）从头重建。其余十几个顶层字段则是按名称清除的，因此，SDK 未来版本新增的字段，在我们将其加入之前不会被该清除操作捕获。重建之后保留下来的内容是：

异常类型，以及用于替代原始错误消息的计算标签。
堆栈跟踪，其中文件名只保留基本名称；在发布版本中，符号名称经过混淆，只有在 Sentry 一侧，借助我们在构建时上传的映射文件，才能还原为可读形式。
设备系列、型号、架构、是否为模拟器，以及屏幕方向。
操作系统名称、版本和构建号；应用名称、版本和构建号；Dart 运行时版本。
调试镜像标识符，使原生崩溃可读所必需。
面包屑轨迹的形态，即近期事件的类别、类型、级别和时间戳，但绝不包含其内容。
两个标签：本应用的哪个区域出了故障，以及它发生在前台还是后台通知引擎中。
发布版本、构建号、环境和随机生成的事件 ID。

被彻底移除的内容：错误消息、任何请求数据、任何用户对象、服务器名称、事务名称、线程列表、模块列表、局部变量值、源代码上下文、绝对路径、设备的唯一 ID 和名称、与安装绑定的应用哈希、面包屑消息和数据、屏幕截图、视图层级结构以及任何附件。屏幕截图、视图层级结构捕获、会话回放、性能追踪、日志记录和请求正文均已关闭。本应用不会给 Sentry 事件附加任何用户标识符：没有账户 ID，没有电子邮件地址，没有设备 ID。

对上述内容有两点限制：

原生崩溃、应用无响应事件和 iOS 看门狗终止事件，可能不经过该重建就到达 Sentry，因为它们由操作系统的崩溃处理程序产生，而不是由本应用自己的代码产生。Sentry 用于发布健康度统计的周期性“应用会话开始 / 结束”信号也是如此。我们无法在设备上检查这些内容，也不清楚平台 SDK 在其中放入了哪些字段。我们没有设置任何能将其中一条与您联系起来的标识符。
Sentry 会收到发送报告时所用的 IP 地址。

在您同意诊断之前，Sentry 不会启动。关闭开关会关闭该控件所触及的报告程序，但退出登录并不能可靠地停用已初始化的 SDK，该 SDK 仍在运行中的进程里。因此，当前的生命周期不能被描述为在所有状态下都能立即撤回。

6. glumea+ 与订阅数据

glumea+ 是一项订阅，仅作为应用内购买，通过 Apple App Store 和 Google Play 销售。没有其他购买方式，本应用中任何地方都没有网页结账，也没有银行卡表单。

您的付款详情不会传到我们这里。 由 Apple 或 Google 收款。我们从不会看到您的银行卡号、银行详情或账单地址。取消和退款通过您的应用商店账户办理，在哪里办理见服务条款。
RevenueCat 是我们用来了解您的订阅是否有效的服务。本应用告诉 RevenueCat 的关于您的信息只有一项：您的 glumea 账户标识符，用作该订阅的用户 ID。我们的服务器也会向 RevenueCat 查询该标识符是否有有效订阅，包括您从未订阅的情况，因为我们正是以此得知您没有订阅。我们不设置电子邮件地址、显示名称、电话号码或推送令牌，也不要求它收集设备广告标识符。RevenueCat 自己的 SDK 也会为运行 RevenueCat 服务而收集一些设备和网络信息，详见其自己的隐私声明。我们不配置这一收集，也不会收到它产生的内容。
本应用在本地保存的只有一个真/假值：glumea+ 是否有效。本应用不会在您的设备上存储价格、产品 ID、到期日期或交易 ID。该值在您退出登录时会被设为假，因此设备上的下一个账户从没有订阅开始，必须单独向应用商店核实。
我们的服务器存储什么。 当订阅发生变化时，例如购买、续订、取消、账单问题，RevenueCat 会向我们的后端发送通知。我们按收到的原样记录每一条通知：事件 ID 和类型、环境、您的 glumea 账户标识符，以及 RevenueCat 发送的完整消息，按其到达时的原样存储，而不是逐字段存储。该消息通常包含产品标识符、价格、货币、商店、国家以及购买和到期日期。由于我们完整存储它，它也可能带有 RevenueCat 为您保存的任何订阅者属性，其中包括电子邮件地址，尽管我们的应用自己没有设置任何属性。我们从不改写该消息；同一事件的重复投递只会更新我们对其到达次数的计数。
在分析启用期间，上述漏斗事件会发送给 PostHog，同时发送一个记录 glumea+ 是否有效的个人资料属性。价格、产品标识符或商店标识符都不会发送给分析服务。

由此产生两个后果。Webhook 日志带有您的 glumea 账户标识符，但与您的账户行之间没有数据库关系。在账户删除期间，我们的后端会单独移除这些记录，并请求删除 RevenueCat 中使用同一标识符的订阅者记录。除此之外，一项计划任务会在每条 Webhook 记录到达 90 天后将其移除。第 12 节说明可能留存的内容。

7. 我们不做的事

以下情况在 glumea 中均不会发生：

不投放任何形式的广告。没有广告 SDK，没有归因 SDK，没有广告标识符。本应用无法显示 iOS 的“要求 App 不跟踪”提示，因为它不含能够启用该提示的条目，并且它没有声明任何广告归因网络。
不出售您的数据。我们不出售或出租个人数据，也不出售健康数据。我们不为跨情境行为广告而共享数据。
不将您的健康数据用于广告、营销，或为他人建立您的画像。
不收集位置数据。不访问您的通讯录、相机、麦克风、照片或日历，本应用在两个平台上都不请求这些权限。
本应用中没有 Firebase：没有 Firebase Analytics，没有 Crashlytics，没有 Firebase Cloud Messaging。（Firebase Hosting 确实为本网站（包括本页面）提供服务，那是另一项 Google 服务，下文会点名说明。）
没有推送通知，也没有设备推送令牌。提醒由您自己的设备安排并显示；完全不存在从服务器到设备的通道。
没有屏幕截图，没有屏幕录制，没有会话回放，没有视图层级结构捕获，上述两个 SDK 都不会这样做。
除 PostHog 和 Sentry 之外，本应用中没有其他分析、遥测或跟踪 SDK。唯一会建立网络连接的组件，是本应用自己与我们服务器的连接，以及 PostHog、Sentry 和 RevenueCat。

8. 谁会接收您的数据

我们与下列服务提供商共享数据，以运营 glumea。他们的角色、他们各自的隐私声明，以及适用于我们使用每项服务的合同条款，共同规范相关处理。RevenueCat 的 SDK 也会自行收集设备和网络信息。我们不配置这一收集，也不会收到其产出，因此对它的描述来自 RevenueCat 的隐私声明，而不是来自我们的系统。

Google（Google Cloud Run 和 Google Cloud SQL，区域 europe-west1）托管我们的后端，以及存放您同步的全部内容（包括您的健康数据）的数据库。Google Secret Manager 保存我们的服务器凭据，Google Cloud Logging 保存我们的服务器请求日志。
Google（Firebase Hosting）提供 glumea.com 和这些法律文件的访问服务。
Sentry（欧盟区域）在当前设置行为下，于诊断启用期间接收上文所述的诊断报告。
PostHog（欧盟云）在当前设置行为下，于分析启用期间接收上文所述的分析事件。
RevenueCat（美国）接收您的 glumea 账户标识符和您的订阅状态，无论您是否订阅：核实您不是订阅者与确认您是订阅者，使用的是同一个标识符。如上所述，其 SDK 还会收集我们不配置、也不会收到的设备和网络信息；RevenueCat 自己的隐私声明对此有说明。
Zoho ZeptoMail：如果启用了生产环境的电子邮件发送，该提供商会接收目标电子邮件地址以及投递所需的验证或重置密码邮件。在发送被禁用期间，没有任何电子邮件提供商会收到这些邮件。

Apple 和 Google 不是我们的数据处理者。它们运营销售 glumea+ 的应用商店，负责收款，并且就其持有的关于您的购买数据而言，是独立的数据控制者。它们收集的内容受其各自隐私政策规范，而不受本政策规范。

除此之外，我们仅在法律要求时（例如法院或主管机关具有约束力的命令）或应您的指示披露个人数据。

如果 Paweł Milewski Software Development 日后涉及合并、收购或资产出售，您的数据仍将受本政策保护，并且在您的数据适用不同的隐私政策之前，我们会通知您。

9. 国际传输

各接收方在何处处理您的数据：

您的账户、个人资料和已同步的健康数据存储在欧盟：Google Cloud，europe-west1（比利时）。存储位置并不是全部答案。Google 可以出于支持和运营平台的目的，从欧洲经济区以外访问这些数据，这本身就是一种传输。它依赖的是 Google 云数据处理附录中的标准合同条款。
分析数据发送至 PostHog 的欧盟云，由其存储在欧盟。如果 PostHog 可以从欧洲经济区以外访问这些数据，则该传输依赖 PostHog 数据处理协议中的标准合同条款。
诊断数据发送至 Sentry 的欧盟区域。如果该区域位于欧洲经济区以外，则该传输依赖 Sentry 数据处理附录中的标准合同条款。
本网站由 Firebase Hosting 通过 Google 的内容分发网络提供，因此对某个页面的请求可能由欧洲经济区以外的某个位置提供服务，并在该处被记录。发生这种情况时，该传输依赖 Google 云数据处理附录中的标准合同条款。
订阅状态发送至美国的 RevenueCat。如果该处位于欧洲经济区以外，则该传输依赖 RevenueCat 数据处理附录中的标准合同条款。
如果启用了生产环境的电子邮件发送，验证和重置密码邮件由 Zoho ZeptoMail 投递，它在欧盟处理目标电子邮件地址，即 Zoho Corporation B.V.，Zoho 位于荷兰和爱尔兰的欧盟数据中心。如果该处位于欧洲经济区以外，则适用的传输机制是 Zoho 数据处理附录中的标准合同条款。
Apple 和 Google 作为独立的数据控制者，依据各自的安排处理购买数据。

如果某个提供商可以从欧洲经济区以外访问数据（包括出于支持目的），该访问同样是一种传输，必须具备 GDPR 第五章规定的适当保障措施。每个接收方所采用的机制已在上文列明。对于英国用户，对应的机制是《欧盟标准合同条款》的英国附录，或者在提供商依据英国 GDPR 使用该形式时，采用 IDTA。一般数据保护联系方式：[email protected]。目前尚未实现单独的自动化保障措施副本请求流程。

10. 您的数据存储在哪里

glumea 以离线优先为原则。本节是对“我的哪些数据在运营方的服务器上？”的完整回答：本政策中的其他所有内容都指向这里。

内容	在您的手机上	在我们的服务器上	从何时起	如何移除
您的日记、记录、药物目录、用药计划	始终	仅在云同步开启时	从您开启该开关的那一刻起	关闭开关，然后删除服务器数据；或删除您的账户
您的个人资料、姓名、年龄、身高、糖尿病类型、治疗方式、胰岛素给药方式	是	始终	从引导设置起，无论您是否使用同步	删除您的账户
您的治疗设置、目标范围、胰岛素碳水化合物比值、胰岛素敏感系数	是	始终	从您输入它们的那一刻起	删除您的账户
您的账户、电子邮件地址、哈希后的密码、登录会话	仅凭据	始终	从您创建账户的那一刻起	删除您的账户
第 3.6 节中的所有内容、提醒、静音时段、应用偏好设置	是	从不	不适用	退出登录，或卸载

本节其余部分是该表背后的详细说明。

您输入的所有数据都首先写入您设备上的本地数据库。本应用在没有互联网连接的情况下也完全可用。
该本地数据库是加密的。 它使用保存在您设备密钥库中的 32 字节密钥打开，所用设置使该密钥不会迁移到其他设备。更换手机之前，您应当了解这些后果：在 Android 上，我们已为本应用关闭云备份和设备间传输，因此不会生成它的新备份副本；在 iOS 上，数据库的副本仍可能出现在 iCloud 备份中，但没有密钥就无法读取，而密钥绝不会离开设备。因此，把该备份恢复到新手机上并不会带回您的日记：本应用发现一个自己没有密钥的数据库，会拒绝打开它，而不是悄悄地以空白状态启动，并且在您重新安装或清除其数据之前，不会在该手机上运行。换到新手机要通过云同步，或通过您自己导出并导入的 .glumea 归档文件。
从您创建账户的那一刻起，您的账户就存在于我们的服务器上。 它保存着您的账户数据、您的个人资料（包括您的糖尿病类型、治疗方式和胰岛素给药方式），以及您的治疗设置：您的目标范围、胰岛素碳水化合物比值和胰岛素敏感系数。无论您是否使用云同步，这些数据都保存在我们的服务器上，移除它们的方法是删除您的账户。
云同步是 glumea+ 的功能，在您开启之前为关闭状态。 它控制的是您的日记是否也复制到我们的服务器：您的记录、药物目录和用药计划。开启它需要两个步骤，您可以在任何一步停下。没有有效的 glumea+ 订阅时，本应用会向您显示订阅页面，而不是开启任何内容。有订阅时，本应用随后会要求您在单独的一步中确认，您同意您的健康数据、血糖读数、胰岛素和药物记录、饮食和体重记录，以及您在备注中输入的任何内容，存储在我们的服务器上。每次开关打开时它都会询问，而不仅仅是第一次。该确认是您依据 GDPR 第 9(2)(a) 条对日记作出的明确同意。您可以随时通过关闭云同步来撤回它，并通过同一面板中的删除服务器数据链接移除我们已经持有的内容。同步关闭时，您记录的所有内容都只保留在您的设备上。
同步开启时，您的数据存储在我们位于 api.glumea.app 的后端上，该后端运行在 Google Cloud Run 上，使用 Google Cloud SQL PostgreSQL 数据库，位于 Google 的 europe-west1 区域（比利时）。

该开关属于您的账户，而不是手机。 我们在服务器上保存您的选择，本应用会在您登录以及重新连接时从那里读回。因此它在退出登录后依然保留，并跟随您：开启同步，在另一部手机上登录，同步在那里也是开启的，无需再次询问。关闭同样以相同方式记录。如果您在离线时关闭它，本应用会保留这一选择，并在下一次有机会时将其送达我们的服务器，撤回绝不会因为某次请求失败而被回滚。在共用设备上，这与仅限设备的开关正好相反：登录的人得到的是他自己账户的选择，而不是上一个人留下的选择。

如果 glumea+ 结束，新记录将不再被备份，但不会撤回您的同意，也不会删除任何内容。 当订阅失效、被取消或被退款时，本应用会停止将新记录复制到我们的服务器。已在服务器上的记录的编辑和删除仍会传到我们的服务器，本应用也仍会从服务器下载。云同步面板显示编辑和删除仍会同步 · 新记录保留在本设备上。已经在我们服务器上的内容保持原样，在您设备上的内容保持原样，您对同意问题所保存的回答也保持原样，因此如果您再次订阅，完整备份会依据该已保存的回答恢复，不会第二次询问您。如果您不希望如此，请关闭开关：无论订阅是否有效，关闭开关以及它旁边的删除服务器数据链接都始终可用。结束订阅绝不会剥夺您撤回同意或删除服务器副本的能力。

不碰那个开关，同步也可能停止。您的登录会话可能过期，发生这种情况时，我们不会让您退出登录，也不会删除任何内容：本应用会把每条记录保留在您的设备上，暂停备份，并等待。云同步面板随后显示已暂停，并告知您在重新登录之前不会同步任何内容，概览屏幕上还会出现关于会话过期的横幅。在此期间您记录的一切都保留在设备上，只有在您重新登录之后才会传到我们的服务器。如果您依靠服务器副本来应对手机丢失，就应当对该横幅采取行动。

我们服务器上的副本受传输加密、Google 的存储加密和我们的访问控制保护。它不是端到端加密的，我们可以读取它。glumea 不是零知识服务。整个系统中我们唯一无法打开的内容是 .glumea 归档文件，因为它是用只有您知道的密码加密的。

11. 我们保存您的数据多久

我们按以下期限保存您的数据。

账户数据、个人资料和治疗设置：只要您的账户存在，就保存在我们的服务器上。
您已同步的健康记录和药物目录：只要您的账户存在，或直到您删除服务器副本或删除账户，就一直保存。删除单条记录的方式不同：它只会从您删除它的那台设备上消失，而且只从那台设备上消失。我们服务器上的副本仍然保留，因此该记录可能在重新安装、换新手机，或退出登录后再次登录时回来。只有删除服务器数据或删除您的账户，才能从我们的服务器上移除这些行。
您所删除记录的墓碑标记：当对单条记录的删除确实传到了我们的服务器时，该行会作为标记保留下来，仍带有它的数值、标签和备注，以便该删除能传播到您的其他设备。我们没有清理它们的任务，因此只要您的账户存在，它们就一直保留。使用删除服务器数据或删除您的账户，会将其移除。
登录会话：访问令牌有效期为 15 分钟。我们服务器上的会话记录在 90 天未使用后到期。退出登录会立即吊销它，使其再也不能使用，但在 90 天期限过去之后，该行本身由每小时运行一次的任务移除。删除您的账户会立即将其移除。
一次性验证码：在签发 10 分钟后到期，每小时运行一次的任务会把已过期的验证码标记为不可用。我们不清除记录本身：它们会保留到您删除账户为止，删除账户会将它们与其他所有内容一并移除。
服务器备份：7 天。从在线数据库中删除的数据会在备份中保留，直到备份轮换。
服务器请求日志（包含 IP 地址）：30 天。
PostHog 的分析事件：12 个月。
Sentry 的诊断报告：90 天。
订阅通知记录：自每条消息到达我们之日起最长 90 天，除非账户删除将其更早移除。该计划任务按存在时间计算，不会因未了结的账单争议而保留某一行。
仅存储在您设备上的数据：保留在那里，直到您删除它、退出登录、使用应用内的账户删除控件，或卸载本应用。通过电子邮件提出的账户删除请求无法远程清除设备。

12. 删除：会发生什么，在哪里发生

开始之前。 有两件事比下文任何内容都更重要，它们都在服务条款中：先在应用商店取消您的 glumea+ 订阅，因为删除您的 glumea 账户并不会停止扣费（该文件第 13.1 节）；以及先导出，因为您的数据行一旦消失，我们就无法为您生成导出文件（该文件第 13.3 节）。

三种不同的控制，三种不同的结果。 它们很容易混淆，所以：

控制	所在位置	它移除什么	它保留什么	什么可以撤销它
删除单条记录	您记录它的任何地方	该记录，仅限那一台设备	服务器副本，它可能使记录回来	重新安装、换新手机，或退出登录后再次登录
删除服务器数据	云同步面板，从概览或记录页面上的云按钮打开，而不是设置	您的记录、药物目录和用药计划的服务器副本	您的账户、个人资料、治疗设置，以及您手机上的一切	重新开启同步会从您的手机重新上传
删除账户	设置 → 账户，或在您无法使用本应用时发送电子邮件至 [email protected]	您的账户及我们服务器上的相关生产数据；应用内的方式还会清除这台设备	现有备份、部分提供商的记录，以及应用内清除未触及的设备上的任何数据	没有任何方式可以恢复已删除的账户

删除服务器数据需要处于有效的登录状态，并且需要先关闭同步开关；本节末尾的三条说明解释了原因。

在本应用中删除您的账户，会立即将其从我们的生产数据库中移除。经过验证的电子邮件请求使用相同的服务器端删除路径。以下是在各个去向会发生的情况。

我们的生产数据库：当您在本应用中确认，或运营人员完成经过验证的电子邮件请求时，删除账户会对您的用户记录执行硬删除。附属于它的一切都通过数据库级联一并移除：您的个人资料、您的治疗设置、每一条已同步的血糖、饮食、体重、胰岛素、药片和注射剂记录、您的药物目录和计划、您的会话，以及您待处理的验证码和重置码。没有软删除标记，也无法恢复。
订阅通知记录：每一行都保存着您的 glumea 账户标识符和 RevenueCat 发送的完整消息。它没有链接到您的账户行，因此自动级联触及不到它，但删除服务会在同一事务中单独将其移除。没有账户删除时，计划任务会在 90 天后移除每一行。
RevenueCat：删除您的账户会排队一项请求，以移除使用您账户标识符的订阅者记录。我们会立即尝试该请求，并在提供商不可用时重试。应用商店的账单历史不在我们的控制范围内。
PostHog：删除您的账户会排队一项请求，以移除与账户关联的分析个人资料及其事件和录制内容。我们会立即尝试，并在提供商不可用时重试。PostHog 可能异步完成已被接受的批量删除。登录前的事件使用单独的假名设备标识符。
服务器备份：被删除内容的副本会保留在我们托管服务提供商的自动数据库备份中，直到这些备份轮换：7 天；在适用该法定期限的情况下，自验证之后起无论如何不超过六个月。单条记录不会在备份内部被编辑。因此，灾难恢复还原可能暂时重新引入已从生产环境中删除的行。
服务器日志：删除您的账户不会追溯性地抹除服务器请求日志，这些日志保存 30 天。
Sentry：本应用不会给诊断报告附加任何账户标识符、电子邮件地址或用户记录。因此，没有受支持的方法来定位或删除某位用户的报告。由操作系统崩溃处理程序产生的报告不经过本应用的过滤器，而且我们不清楚平台 SDK 添加了哪些字段。报告依据 Sentry 的保留期到期：90 天。GDPR 第 11(2) 条针对的是数据控制者确实无法识别数据主体的数据。
Apple 和 Google：您的购买和订阅记录属于应用商店，而不属于我们。删除您的 glumea 账户不会取消订阅，也不会删除 Apple 或 Google 处的任何内容。请在您的应用商店账户设置中取消；它们的记录受其政策和税法规范。
您自己的设备：在本应用内删除账户、退出登录或切换账户，会从该设备上清除本地数据库、会话凭据和已存储的偏好设置。电子邮件请求无法远程清除设备。清除遥测偏好设置并不能可靠地停用已在运行进程中初始化的 SDK。首次安装标记和数据库加密密钥可能在应用内清除之后依然保留，但两者都不包含日记数据。iCloud 设备备份可能包含一份无法读取的加密数据库副本；本应用的 Android 备份已被禁用。
您自己制作的副本：.glumea 归档文件、CSV、PDF 报告，以及您分享或保存到别处的任何内容：这些属于您，我们无从触及。请在您存放它们的地方删除它们。

总结时间安排：生产数据库的删除发生在您于本应用中确认时，或运营人员完成经过验证的电子邮件请求时。对 RevenueCat 和 PostHog 的删除请求会立即尝试，失败则排队重试。副本可能保留在托管备份中，直到备份轮换，期限在 7 天以内。

数据库级联本身触及不到服务器请求日志、Sentry 报告、订阅通知记录或提供商的记录。删除服务会单独移除订阅通知，并请求抹除 RevenueCat 和 PostHog 的记录。服务器日志和 Sentry 报告依据各自配置的保留期到期。

删除是永久性的。已删除的数据无法恢复，因此如果您日后可能需要您的记录，例如提供给您的医疗团队，请先使用“您的权利”下所述的导出选项取得一份副本。

您也可以不使用本应用，通过电子邮件请求删除账户。我们会在处理之前验证所有权。

关于范围更窄的删除服务器数据控制，还有三点需要说明。它会移除您的记录、药物目录和用药计划的服务器副本，但保留您的账户、个人资料、治疗设置以及您设备上的一切：

它需要处于有效的登录状态。 如果您的会话已过期，即第 10 节所述的状态，此时面板显示已暂停：该链接会告诉您重新登录，在您登录之前不会执行任何操作。重新登录就足够了；期间不会丢失任何内容。
它要求先关闭云同步。如果您之后重新开启同步，仍在您设备上的记录会排队并再次上传，服务器上的删除会被您自己的设备撤销。
它不会传播到您的其他设备。这些设备保留各自的本地副本，也不会收到通知。

13. 您在本应用中的控制选项

您无需给我们发送电子邮件来控制您的数据。本应用为您提供以下内置控制：

删除账户：在设置 → 账户中，输入确认词之后执行。执行上文所述的服务器端硬删除，并从该设备上清除本应用的本地数据库、会话凭据和偏好设置。如果您无法使用本应用，也可以通过 [email protected] 请求服务器端的账户删除。第 12 节说明哪些内容会保留。
删除服务器数据：云同步面板中同步开关下方那一行里的删除链接，该面板从概览或记录页面顶部的云按钮打开，而不是从设置打开。该链接始终显示，但只有在开关关闭后才能使用。对您的记录、药物目录和用药计划的服务器副本执行硬删除，同时保留您的账户和您设备上的数据。它只到此为止：您的个人资料和治疗设置会一直保留在我们的服务器上，直到您删除账户。请阅读上方的三条说明。
云同步：同一面板中的同步开关，也是 glumea+ 的功能。随时可以关闭它，以阻止新数据传到我们的服务器，这也是您撤回对我们存储这些数据的同意的方式；关闭它从不需要有效的订阅。已经同步的数据会保留在我们的服务器上，直到您使用删除服务器数据或删除账户。您对此开关的选择保存在您的账户中，因此退出登录后依然保留，并跟随您到新手机。
使用数据分析和错误报告：设置 → 数据与隐私 → 隐私与诊断中的两个独立开关。两者在您开启之前都是关闭的。关闭其中一个会更新偏好设置，但排队的数据仍可能被发送，而且退出登录并不能可靠地关闭已在运行进程中初始化的 SDK。
Apple Health / Health Connect：在设置 → 集成中连接、断开连接，或关闭个别数据类型。您也可以在健康平台本身撤销权限。
在通知中显示详情（设置 → 通知）：除非您开启，否则为关闭。在您开启之前，通知只显示通用文字。
退出登录：从设备上清除本应用的本地数据库、您的会话凭据和您的偏好设置，包括您对分析和诊断所作的选择。您记录的任何内容和您作出的任何选择都不会被保留；删除一节点明了仍会保留的两个技术值。
导出：在设置 → 数据与隐私 → 数据导入与导出中，生成受密码保护的 .glumea 归档文件，包含您的记录、药物、个人资料、治疗目标和提醒。CSV 和 PDF 血糖报告是另一回事，由血糖屏幕自己的导出面板生成；归档文件和 CSV 是免费的，PDF 报告是 glumea+ 的功能。

[email protected] 接受不使用本应用的账户删除请求。其他不使用本应用的权利请求也可以发送到那里，但账户删除路径并不提供单独的自动化导出或更正工具。

14. 您的权利

根据 GDPR，您有权：

访问您的个人数据并获得一份副本。
更正不准确或不完整的数据。您可以在记录记录和药物的地方编辑它们，在设置 → 账户中编辑您的个人资料，在设定治疗设置的地方编辑治疗设置。目前尚未实现单独的、不使用本应用的更正流程。
删除您的数据（“被遗忘权”）。上文的删除一节准确地告诉您，删除触及什么、不触及什么。
在某些情形下限制处理。
数据可携带性：在法律赋予该权利的情况下，以结构化、通用且机器可读的格式获得您提供的数据。应用内的 CSV 血糖导出是机器可读且未加密的。.glumea 归档文件包含记录、药物、个人资料、治疗目标和提醒，但它是用只有您知道的密码加密的，并且只能导入到创建它的那个 glumea 账户中。目前无法通过 [email protected] 获得额外的定制导出。
反对基于我们合法利益的处理。
随时撤回同意。撤回不影响撤回之前合法进行的处理。对于已同步的日记数据，请关闭云同步并使用删除服务器数据，或删除您的账户。对于分析和诊断，请使用设置 → 数据与隐私 → 隐私与诊断中的两个开关。没有仅针对个人资料或仅针对治疗设置的移除控件，目前也无法通过 [email protected] 使用此类流程。删除账户是目前唯一已实现的、从我们的生产数据库中移除这些字段的方法。
向监管机构投诉。我们的牵头监管机构是个人数据保护局局长（Prezes Urzędu Ochrony Danych Osobowych），ul. Stawki 2, 00-193 Warsaw, Poland。您也可以向您居住地、工作地或您认为发生侵权行为地所在的欧盟成员国的数据保护机构投诉。如果您在英国，可以向信息专员办公室（ICO）投诉，Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF。

对于第 13 节所述的应用内控制选项涵盖所请求操作的情形，请使用这些选项。如需不使用本应用而删除账户，请发送电子邮件至 [email protected]。其他权利请求也可以发送到那里；该账户删除路径本身并不提供单独的访问、导出或更正工具。

如果数据控制者对 GDPR 请求不采取行动，第 12 条要求其在一个月内说明理由，并告知可用的投诉和司法救济途径。无论您是否再次联系数据控制者，这些途径都依然可用。

身份验证。 应用内删除依赖于您已通过身份验证的会话。对于电子邮件请求，我们会确认您对账户所关联电子邮件的控制权。如果您无法访问该邮箱，我们会在删除账户之前，审查是否存在验证所有权的其他方式。我们不会要求您提供密码或健康记录来处理该请求。

15. 我们如何保护您的数据

密码使用 bcrypt 进行哈希处理，从不以明文存储，也从不存储在您的设备上。
您设备上的本地数据库是加密的，密钥保存在平台密钥库中，不会迁移到其他设备。
身份验证令牌保存在您设备的安全存储区中，即 iOS 钥匙串或由 Android Keystore 支持的存储区。
本应用通过 HTTPS 与我们的服务器通信，两个平台默认都会阻止明文连接，我们在 iOS 和 Android 上都没有为此添加任何例外。
我们的数据库运行在 Google Cloud 内部，只能通过私有的 Cloud SQL 套接字访问，凭据保存在 Google Secret Manager 中。
我们不会把您记录的数值（血糖读数、胰岛素剂量）写入我们的应用日志。错误日志行记录状态码、路径、时间和错误消息，对于被拒绝的请求，错误消息会指出未通过验证的字段。它不包含请求正文。
通知默认显示通用文字，因此通知不会把您的健康数据显示在锁屏上。
对生产数据库的访问仅限于运营该服务的人员，这意味着我们可以读取它。使它免受其他所有人访问的，是访问控制以及传输中和静态时的加密。

没有任何系统是绝对安全的。上述措施是我们为限制您数据中敏感部分的暴露范围而采取的做法。

涉及个人数据的事件，可能依据 GDPR 第 33 条和第 34 条、FTC《健康信息泄露通知规则》或其他适用法律，触发向监管机构或受影响个人发出通知的义务。每种制度都有其各自的适用范围和期限，这些法定义务独立于本政策而适用。

16. 儿童

glumea 并非面向儿童。您必须年满 16 周岁才能使用本应用。 无论身处何地，这都是服务的条件。我们不提供家长授权途径。应用内的账户删除流程以及第 12 节中的限制，适用于任何被确认属于 16 岁以下人员的账户。有关未成年人账户的疑虑可以发送至 [email protected]。

17. 给美国用户的说明

美国隐私法因州而异，其适用性取决于居住地、法定门槛以及所涉数据的类型。第 13 节所述的应用内控制选项独立于这些门槛而可用。即使当前产品缺少单独的请求流程，适用的法定权利仍然有效。

HIPAA：glumea 是直接面向消费者的产品。我们不提供医疗服务，不处理理赔，也没有与健康计划或医疗服务提供者订立代其处理数据的合同，因此我们不扮演 HIPAA 所规范的任何一种角色，即“受保实体”或“业务伙伴”，也不声称符合 HIPAA。您自己的临床医生所持有的、关于您的记录，在其手中受 HIPAA 保护；这与您保存在 glumea 中的副本是两回事。我们为 glumea 遵循的美国规则是 FTC 的健康信息泄露通知规则以及下文的各州健康隐私法。
加利福尼亚州（CCPA/CPRA）：适用性取决于法定的企业门槛。此处所述数据可能包含敏感个人信息。我们不出售个人信息，也不为跨情境行为广告而共享个人信息。如果 CCPA 适用，则其访问、更正、删除、可携带、退出和不歧视规则独立于本政策而适用。无论是否达到门槛，应用内控制选项以及通过电子邮件提出账户删除请求的途径都依然可用。
华盛顿州（My Health My Data Act）：您记录的数据属于“消费者健康数据”。华盛顿州要求为此另行制定政策；见消费者健康数据隐私政策。该政策说明了类别、来源、目的、接收方、法定权利，以及请求和申诉流程当前在运营上的限制。
内华达州（消费者健康数据法，2023 年 SB 370）：您记录的数据在内华达州法律下同样属于“消费者健康数据”。您有权确认我们是否收集、共享或出售这些数据，有权获得与之共享或向其出售的第三方清单，有权要求删除，并有权撤回同意，内华达州将其视为两项独立的同意，一项针对收集，一项针对共享。内华达州的法律由总检察长执行。我们的内华达州消费者健康数据隐私声明列出了这些权利、适用于它们的期限（就删除而言，比华盛顿州的更短），以及内华达州要求的四项披露。
请求与申诉。 适用的州法律可能要求提供书面解释、申诉途径，以及向州总检察长提出投诉的信息。目前 [email protected] 尚未实现单独的电子邮件申诉流程，因此在法律要求提供该途径之处，当前流程并不提供该途径。华盛顿州的要求见消费者健康数据隐私政策。
本政策不限制其他适用的州法律权利。

18. glumea.com 网站

本网站是一个静态站点，用于提供关于 glumea 的信息并托管这些法律文件。它被有意保持极简：

没有 Cookie。
没有分析，也没有第三方来源的请求。页面所需的一切（包括字体和脚本）都由 glumea.com 自身提供，并且本站的内容安全策略会直接阻止任何其他来源。页面本身由我们的托管方交付，它必然会看到该请求；本列表的最后一项说明它是谁以及它记录什么。本站确实运行少量自己的 JavaScript：两段内联代码，用于应用您的主题并将您带到正确的语言版本，另有几个捆绑文件，分别用于导航菜单、主题和语言切换器，以及在您滚动时显现内容块的动画。其中没有任何内容会向任何地方发送任何东西。
不跨站跟踪，因此没有什么需要“请勿跟踪”或全球隐私控制信号去关闭。本网站不设置任何广告或分析 Cookie，不发出第三方请求，我们也不出售或共享个人信息。
浏览器 localStorage 仅用于功能性偏好设置（您选择的主题和语言）。这些值保留在您的浏览器中，不会传送给我们。只有当您选择了主题或语言时才会设置它们，这就是为什么它们不需要同意横幅。
本站由 **Firebase Hosting（Google）**提供服务。与大多数网络主机一样，该提供商可能出于安全和服务运行的目的记录标准服务器日志，即 IP 地址、请求时间、浏览器类型。我们为此依据合法利益（GDPR 第 6(1)(f) 条），具体而言是保持站点可用并保护其免遭滥用，日志仅在为这些目的所需的期限内保存。

19. 本政策的变更

当前版本连同其生效日期在此发布。变更是否需要提前通知、重新同意或采取其他行动，由适用法律决定。发布更新后的政策本身，并不授权需要同意或其他法律依据的新目的。

20. 语言

本政策以英文发布。英文版本具有法律约束力。 发布其他语言的译文，是为了让您能用自己的语言阅读本政策。如果译文与英文文本有出入，以英文文本为准。

例外是法律本身。如果您所在国家的法律赋予您被告知时所用语言以独立的地位（若干国家的消费者保护法就是如此），则适用该规则而不是本规则，且此处没有任何内容会剥夺您依据该规则享有的权利。

译文在准备好时发布，因此在更新之后，它可能滞后于英文文本。如果您发现译文与英文文本在某处表述不同，请通过 [email protected] 告诉我们。

21. 联系我们

有关您的数据的问题、疑虑或请求：

电子邮件：[email protected]
邮寄：Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Poland

相关文件：服务条款、医疗免责声明；对于华盛顿州居民，还有我们的消费者健康数据隐私政策；对于内华达州居民，则是我们的内华达州消费者健康数据隐私声明。