隱私權政策

1. 我們是誰，以及本政策涵蓋的範圍

Paweł Milewski Software Development（營運者，以下稱「我們」）提供 glumea（本應用程式，一款用於糖尿病自我管理的行動應用程式）以及 glumea.com（本網站）。本政策說明我們收集哪些資料、為什麼收集、儲存在哪裡、誰可以存取、保存多久、刪除會移除什麼，以及您享有的權利與控制方式。

本政策也是歐洲資料保護法規要求我們向您提供的告知：即《一般資料保護規則》（歐盟規則（EU）2016/679，以下簡稱 GDPR）第 13 條與第 14 條所要求的資訊，涵蓋您自行提供給我們的資料，以及從其他來源傳送到我們這裡的資料。

本政策涵蓋：

• 本應用程式：適用於 iOS 與 Android 的 glumea 行動應用程式。
• 本網站：glumea.com 網站，包括刊載這些法律文件的頁面。

本網站幾乎不收集任何資料，下文另有專屬章節說明。

營運者是負責處理您個人資料的資料控管者：

• 控管者：Paweł Milewski Software Development
• 公司登記號碼：NIP PL6751782526，為登記於 CEIDG（波蘭中央商業登記與資訊系統）的獨資事業
• 郵寄地址：ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Poland
• 電子郵件：[email protected]
• 設立國家：波蘭

如適用：

• 歐盟代表：不適用，我們設立於歐盟境內
• 英國代表：未指派
• 資料保護長：未指派；資料保護相關問題請寄至 [email protected]

「資料控管者」是指依 GDPR 的定義，決定如何處理及為何處理您個人資料的一方。

另有兩份文件與本政策並行適用，請與本政策一併閱讀：

• 我們的服務條款，規範您對本應用程式與本網站的使用；以及
• 我們的醫療免責聲明，說明本應用程式在醫療方面的功能限制。

如果您是華盛頓州居民，另有第四份文件專門適用於您：我們的消費者健康資料隱私權政策，這是華盛頓州法律要求我們另行發布的文件。如果您在內華達州，對應的文件是我們的內華達州消費者健康資料隱私權聲明。

2. 摘要

以下是後文內容的簡短版本。每一點都註明了完整說明所在的章節，並以該章節為準。

• 我們是誰。 Paweł Milewski Software Development 決定如何處理及為何處理您的資料。第 1 與第 21 節。
• 我們收集什麼。 您的電子郵件地址與密碼；您在新手引導時輸入的個人資料；您所保存的日記，包括血糖、飲食、胰島素、其他藥物、體重、藥物與提醒；登入權杖與伺服器連線記錄。如果您連結 Apple Health 或 Health Connect，則包括來自這些平台的記錄；如果您訂閱，則包括訂閱資訊。第 3 節。
• 健康資料。 日記、糖尿病類型、治療方式與治療設定，屬於 GDPR 第 9 條所稱的特殊類別資料。雲端同步針對日記設有另一道確認。目前的新手引導在儲存健康個人資料與治療設定之前，並未另行取得明示同意。第 3.3 與第 4 節。
• 資料在哪裡。 您的部分資料從建立帳戶的那一刻起就在我們的伺服器上：您的帳戶詳細資料、包含糖尿病類型與治療方式的個人資料，以及您的治療設定。您的日記則不然：它會先寫入您手機上的加密資料庫，本應用程式可離線使用，只有在您開啟雲端同步時，日記才會傳送到我們的伺服器。雲端同步是 glumea+ 功能，在您開啟之前都是關閉的，而且這項選擇保存在您的帳戶中，而非手機上。第 10 節有完整的表格。
• 誰會收到。 我們位於歐盟的託管服務供應商；如果啟用電子郵件寄送，則包括電子郵件服務供應商；PostHog 與 Sentry，且各自僅在您同意後才會收到；如果您訂閱，則包括應用程式商店；以及 RevenueCat（無論您是否訂閱）。我們不會出售您的資料，本應用程式也不含任何廣告。第 5、7、8 與 9 節。
• 您的選擇。 使用分析與錯誤回報在您同意之前都是關閉的，且各有獨立的開關；登出並不會停止在該次工作階段中已經執行的 SDK。在本應用程式中，您可以關閉同步、刪除日記的伺服器副本、刪除您的帳戶，並使用已實作的匯出功能。第 5 與第 13 節。
• 您的權利。 存取、更正、刪除、限制處理、可攜性、反對、撤回同意，以及向資料保護主管機關提出申訴；在美國，則是您所在州的法律賦予您的權利。您可以在本應用程式中刪除帳戶，也可以不使用本應用程式，改為寄電子郵件至 [email protected] 請求刪除帳戶。第 13、14 與第 17 節。
• 刪除遺漏的部分。 刪除您的帳戶會移除其在正式資料庫中的記錄，並請求刪除與帳戶連結的 RevenueCat 與 PostHog 記錄。現有的備份、伺服器與診斷記錄檔、商店的帳單記錄，以及已匯出的副本，仍可能依第 12 節所述繼續存在。

3. 我們收集的資料

此處列出的大部分資料都是由您直接提供。有兩類不是：您從 Apple Health 或 Health Connect 匯入的記錄，以及從 Apple、Google 與 RevenueCat 傳送到我們這裡的訂閱資訊。兩者都在下文說明。

3.1 帳戶資料

• 電子郵件地址與密碼。您的密碼會在我們的伺服器上以 bcrypt 進行雜湊處理，絕不以明文儲存，也絕不會儲存在您的裝置上。您的電子郵件地址也會包含在本應用程式使用的登入權杖中。
• 用於電子郵件驗證、密碼重設、密碼變更與電子郵件變更的一次性驗證碼。驗證碼在發出 10 分鐘後失效，輸入錯誤五次也會使其失效。

3.2 個人資料

在新手引導時收集：

• 名字與姓氏（以暱稱儲存）、年齡、性別（選填）與身高。
• 糖尿病類型（第 1 型、第 2 型、妊娠糖尿病或其他）、治療方式（胰島素、藥錠、注射藥物、飲食控制）與胰島素給藥方式。

您的糖尿病類型、治療方式與胰島素給藥方式屬於健康資料，是 GDPR 第 9 條所稱的個人資料「特殊類別」，儘管本政策將它們歸在「個人資料」之下。下文的法律依據一節說明了我們針對這些資料所依據的條件。

3.3 您記錄的健康資料（特殊類別資料）

以下屬於健康資料，是 GDPR 第 9 條所稱的個人資料「特殊類別」。我們僅在取得您明示同意的情況下，才會將其保存在我們的伺服器上。下文的法律依據一節說明了此項同意如何給予，以及其中哪些資料只有在雲端同步開啟時才會傳送到我們的伺服器：

• 血糖記錄，可附加選填的情境標籤（用餐時間、生理狀況、活動、藥物與科技，以及您自己撰寫的標籤）和自由輸入的備註。
• 飲食記錄：醣類，以及選填的蛋白質、脂肪、熱量和您輸入的名稱。
• 胰島素劑量：單位數，與您設定的胰島素藥物連結，分為餐時、基礎或預混。
• 注射藥物劑量（例如 GLP-1 受體促效劑）。
• 藥丸與藥錠的服用次數。
• 體重記錄，每筆都附有您記錄的時間。
• 您的藥物目錄：您設定的胰島素、藥錠與注射藥物，包括藥品名稱（例如 Fiasp、Lantus、Metformin、Ozempic）與藥物動力學參數（起效時間、高峰時間、作用持續時間），以及您為它們設定的提醒時間。
• 您設定的治療設定：您的血糖目標範圍（預設為 3.9–10.0 mmol/L，妊娠糖尿病、糖尿病前期或無糖尿病診斷時為 3.9–7.8 mmol/L）、胰島素醣類比值（ICR）與胰島素敏感係數（ISF）。本應用程式絕不會使用其中任何一項來計算或建議劑量。您的胰島素醣類比值僅供您參考而儲存，沒有任何其他功能會讀取它。您的目標範圍會被儲存，同時也用來繪製目標範圍內時間中的範圍內區段、設定良好 / 臨界 / 危急標籤的內側邊界，並決定低血糖風險文字何時變化。您的胰島素敏感係數用於推算低血糖風險文字，以及顯示在體內胰島素旁的大約降幅範圍。醫療免責聲明說明了這一切。
• 本應用程式根據您的記錄在您的裝置上推算出的數值：預估的體內胰島素（僅供留意的估算值：它不會建議或計算劑量）、低血糖風險文字與顯示在旁的大約降幅範圍、趨勢、平均血糖及其變異程度、目標範圍內時間、預估糖化血色素（GMI）、建議的下次測量時間，以及最新一次血糖記錄上的良好 / 臨界 / 危急標籤。醫療免責聲明說明了其中每一項是什麼、不是什麼。

其中有幾個欄位是自由輸入的文字：血糖備註、您自己撰寫的標籤、飲食名稱、自訂藥物名稱、自訂提醒時段的名稱。您在那裡輸入的任何內容，都會原樣儲存；如果同步已開啟，也會原樣同步。

3.4 我們從其他來源接收的資料

• Apple Health 與 Health Connect。 如果您連結它們，本應用程式會從您手機上的健康平台讀取血糖、體重與飲食醣類記錄。這是唯讀的：本應用程式絕不會寫回任何內容。在 iOS 上，它只向系統要求讀取權限，並未宣告寫入的理由，而寫入必須有此宣告；在 Android 上，它僅持有這三種記錄類型的讀取權限。因此，原本來自血糖機、連續血糖監測器（CGM）或其他應用程式的記錄，是透過健康平台傳送到 glumea 的。匯入的記錄會作為一般記錄儲存在您的裝置上，並標示其來源平台與該筆記錄的識別碼。匯入的記錄是否也會複製到我們的伺服器，取決於雲端同步是否開啟，其方式與您自行輸入的記錄完全相同。此連結在您開啟之前都是關閉的，您可以隨時在設定 → 整合中中斷連結，或關閉個別資料類型。
• Apple、Google 與 RevenueCat。 如果您訂閱 glumea+，有關該訂閱的資訊會從商店與 RevenueCat 傳送到我們這裡。具體內容請見下文的 glumea+ 一節。

3.5 技術資料

• 驗證權杖，儲存在您裝置的安全儲存空間中，讓您保持登入狀態。您在我們伺服器上的工作階段是一筆記錄，包含工作階段 ID、您的使用者 ID 與其到期時間。
• 雲端同步開啟時，我們的伺服器會處理您同步的資料，以及營運同步服務所需的簿記資料，例如同步時間戳記。
• 本應用程式與我們的伺服器通訊時，伺服器會收到標準的連線資訊，例如您的 IP 位址、所請求的路徑與時間，用於安全目的及營運服務。
• 在使用分析或診斷啟用期間，每個 SDK 會傳送第 5 節所述的資料。兩者在您同意之前都是關閉的。

3.6 留在您裝置上的資料，以及不會留在裝置上的資料

有些資料完全不會傳送到我們的伺服器：通知設定、血糖測量提醒時間、安靜時間、通知詳細內容的選擇、本機通知狀態、健康平台連線狀態、應用程式偏好設定、遙測偏好設定與同步簿記資料。有一點需補充：在使用分析啟用期間，語言、佈景主題與單位設定會作為個人資料屬性傳送到 PostHog。此清單中的其他項目，都不會經由我們的後端離開裝置。

您的用藥排程是例外：它們屬於日記，因此在雲端同步開啟時會複製到我們的伺服器，因為用藥提醒必須能在換新手機後繼續保留。

雲端同步開關本身也不是僅限裝置的。您對它的選擇保存在我們伺服器上您的帳戶中，因此會隨您轉移到新手機，並在登出後仍然保留；第 10 節說明了這在實際上代表什麼。

您自己建立的檔案，即 .glumea 備份封存檔，或 CSV 或 PDF 血糖報告，會寫入您的裝置，並交給您選擇用來分享或儲存它們的應用程式。它們之後去了哪裡，不在我們的控制範圍內，而且 CSV 或 PDF 報告並未加密。

4. 我們為何處理您的資料，以及我們的法律依據

依據 GDPR，每項使用都需要第 6 條的依據，而特殊類別資料還需要第 9 條的條件。以下列出預定採用的依據。下文所述缺少的個人資料同意步驟，並未提供處理所需的明示同意。

• 提供您的帳戶與本應用程式：建立與保護您的帳戶、驗證、電子郵件驗證、密碼重設、營運雲端同步、在您訂閱時提供 glumea+，以及保存商店與 RevenueCat 傳送給我們的訂閱通知記錄，以便我們判斷 glumea+ 是否有效並處理帳單問題：履行契約，GDPR 第 6(1)(b) 條。
• 在我們的伺服器上保存健康資料：預定的依據是服務適用的第 6(1)(b) 條，以及健康資料適用的第 9(2)(a) 條明示同意。日記只有在您另行完成雲端同步確認之後，才會複製到我們的伺服器。目前的新手引導會將個人資料與治療設定儲存在帳戶上，並沒有另外的明示同意步驟。接受契約並不當然等同於對特殊類別資料處理的明示同意，因此目前的新手引導流程並未提供該第 9 條的條件。刪除帳戶是目前唯一已實作、可將這些個人資料與治療欄位從正式資料庫中移除的方式。
• 產品使用分析：第 6(1)(a) 條的同意；由於使用糖尿病應用程式本身即透露健康資訊，另有第 9(2)(a) 條的明示同意；以及針對 SDK 儲存的電子隱私指令（ePrivacy Directive）第 5(3) 條同意。第 5 節說明如何徵求該同意。
• 診斷與當機報告：預定的依據是第 6(1)(a) 條的同意；由於使用糖尿病應用程式本身即透露健康資訊，另有第 9(2)(a) 條的明示同意；以及針對 SDK 儲存的電子隱私指令第 5(3) 條同意，其徵求方式與使用分析相同（第 5 節）。
• 維護服務安全並防止濫用：對我們 API 的速率限制，以及調查可疑的濫用行為：我們的正當利益，GDPR 第 6(1)(f) 條。具體的利益是保護您與他人的帳戶免遭未經授權的存取，並維持服務的可用性。我們僅在我們的利益未被您的權利所凌駕時，才依據此項。
• 履行法律義務：當波蘭法律要求我們保存或揭露特定記錄時，我們依據 GDPR 第 6(1)(c) 條行事。對於您所記錄的健康資料，我們不依據此項。我們不處理您的付款，也絕不會收到您的付款詳細資料，因此您購買的付款與帳單記錄由商店持有，而非由我們持有。

我們不會僅基於自動化處理，作出對您產生法律效果或類似重大影響的決定，也不會為此類決定對您進行剖析。依 GDPR 第 22 條的意義，glumea 中沒有任何自動化決策。本應用程式顯示的估算值，包括體內胰島素、趨勢與目標範圍內時間，是在您的裝置上根據您輸入的資料進行的算術運算，僅供您留意之用。它們不會建議或計算任何胰島素或藥物劑量，也不是醫療建議。

提供資料是否為必要條件？ 法律並未要求您提供資料。建立帳戶需要電子郵件地址與密碼。新手引導期間要求的個人資料與治療欄位會儲存在帳戶上，並受上述同意限制的約束。記錄項目、連結 Apple Health 或 Health Connect，以及雲端同步，皆為選用。使用分析與診斷為選用，且在您同意之前都是關閉的。

5. 使用分析與診斷

本應用程式包含兩個第三方 SDK，分別用於產品使用分析，以及當機與錯誤報告。本節說明這兩者各是什麼，以及各自會收到什麼。

兩者在您同意之前都是關閉的，在此之前也都不會啟動 SDK。本應用程式會在新手引導結束時詢問，且兩者各有獨立的開關。開關預設顯示為開啟，但在您點一下繼續之前，不會收集任何資料；而點一下拒絕按鈕，就會在兩者皆關閉的情況下結束新手引導。如果您不經新手引導就登入現有帳戶，兩者都會保持關閉，直到您自行開啟。這兩項設定彼此獨立，可隨時在 設定 → 資料與隱私 → 隱私與診斷 中變更。登出會將這兩項回答與您的其他偏好設定一併清除，但已經在執行的 SDK 會繼續執行，直到本應用程式關閉為止。

5.1 產品使用分析：PostHog

我們使用 PostHog（歐盟雲端，eu.i.posthog.com）來了解本應用程式的使用情形，以便改進。

在使用分析啟用期間，PostHog 可能收到：

• 您的 glumea 帳戶識別碼：您帳戶的內部 UUID。不是您的電子郵件，也不是您的姓名。登入後，事件會與該識別碼連結，因此這些事件並非匿名。在您登入之前或登出之後可能發生的事件（首次啟動、應用程式啟動、註冊，以及電子郵件驗證碼的驗證）則帶有假名化的裝置識別碼，且該識別碼會在本應用程式重設 SDK 時重新產生。
• 一份固定的事件名稱清單，約有 28 個，涵蓋的情況包括：開啟應用程式、註冊、完成新手引導、儲存記錄、從 Apple Health 匯入、允許或拒絕通知權限、產生匯出檔、開啟付費牆，以及購買或恢復購買的結果。
• 少量屬性，每一項都來自封閉清單或有上限的計數：儲存了哪一種記錄（血糖、飲食、藥物或體重）、一次儲存寫入了幾列、記錄是即時登錄還是補登、匯出的是 CSV 還是 PDF、完成了哪個新手引導步驟、您點選的提醒的一般類別，以及類似的內容。系統中沒有任何屬性接受自由輸入的文字。
• 您所在的畫面，以路由範本表示，例如 /settings/privacy。數字會被拒絕，因此記錄識別碼無法夾帶在其中。只有某一種治療方式才會進入的畫面（例如胰島素設定），會以其上一層畫面回報。
• 少數幾項個人資料屬性：您的語言、您的佈景主題、您的血糖、體重與醣類單位，以及您是否使用 glumea+。
• PostHog SDK 自行附加的資料，不在我們的控制範圍內：裝置型號、作業系統與版本、應用程式版本、SDK 版本、時區、地區設定、網路類型與工作階段識別碼。PostHog 也會收到您的請求所來自的 IP 位址，就像任何網路服務一樣。並由其推算出大約的位置。我們尚未開啟 PostHog 捨棄該位址的選項，因此它會與事件一併儲存。

PostHog 不會收到的資料：血糖數值、胰島素劑量、藥品名稱、您服用的藥物種類、備註、飲食名稱、電子郵件地址，或任何其他自由輸入的文字。確保這一點的過濾機制採取失效即封鎖的方式：不在清單上的事件會整個被捨棄，未宣告的屬性會被移除，而已宣告但值的格式不符預期的屬性同樣會被移除。系統中沒有「任意字串」屬性。沒有工作階段重播、沒有螢幕錄製、沒有問卷調查、沒有自動擷取點選操作，也沒有推播權杖。

這些事件的設計，是為了不洩露您的治療方式或您的血糖記錄。胰島素、藥錠與注射藥物一律回報為藥物記錄。點選低血糖或高血糖警示完全不會被記錄，只有使用胰島素的使用者才會看到的新手引導步驟也不會。從 Apple Health 或 Health Connect 匯入時，只會回報匯入已執行以及由什麼觸發，絕不回報讀取了多少筆記錄。在您登入期間，這些事件仍與您的帳戶連結，而且使用糖尿病應用程式本身就會透露健康資訊，這就是使用分析要等到您同意之後才啟動的原因。

使用分析 SDK 會在您的裝置上儲存自己的識別碼，以及一個等待傳送的事件佇列。由於 SDK 的運作方式，有兩項限制。撤回同意時會記錄一個它自己的最後事件，表示您已選擇退出。而且該事件，連同您同意期間已收集的所有內容，會在之後依 SDK 自己的排程送出，而不是在您撤回的那一刻送出。在那之後，不會再收集任何新資料。

5.2 診斷與當機報告：Sentry

我們使用 Sentry（歐盟區域）來得知本應用程式何時當機或發生錯誤，以便修復。

本應用程式所建立的報告中，每一個含有內容的部分，在送出之前都會從頭重新建構，依據的是一份允許欄位的清單，而不是一份要移除欄位的清單。其餘十幾個最上層欄位則是依名稱逐一清除，因此未來版本 SDK 新增的欄位，在我們把它加入之前不會被該清除機制攔下。經過這次重新建構後保留下來的內容是：

• 例外類型，以及用來取代原始錯誤訊息的計算標籤。
• 堆疊追蹤，其中檔名僅保留基本名稱，且在發行版本中符號名稱已經混淆，只有在 Sentry 端，才會使用我們在建置時上傳的對照檔使其變得可讀。
• 裝置系列、型號、架構、是否為模擬器，以及螢幕方向。
• 作業系統名稱、版本與建置編號；應用程式名稱、版本與建置編號；Dart 執行階段版本。
• 偵錯映像識別碼，用於讓原生當機報告變得可讀。
• 麵包屑軌跡的形態，即近期事件的類別、類型、層級與時間戳記，但絕不包含其內容。
• 兩個標籤：本應用程式的哪個區域失敗，以及是發生在前景還是背景通知引擎中。
• 發行版本、建置編號、環境，以及隨機產生的事件 ID。

會被直接移除的內容：錯誤訊息、任何請求資料、任何使用者物件、伺服器名稱、交易名稱、執行緒清單、模組清單、區域變數值、原始碼上下文、絕對路徑、裝置的唯一 ID 與名稱、與安裝綁定的應用程式雜湊值、麵包屑訊息與資料、螢幕截圖、檢視階層，以及任何附件。螢幕截圖、檢視階層擷取、工作階段重播、效能追蹤、記錄功能與請求本文，全部都已關閉。本應用程式不會在 Sentry 事件上附加任何使用者識別碼：沒有帳戶 ID、沒有電子郵件地址、沒有裝置 ID。

上述內容有兩項限制：

• 原生當機、應用程式無回應事件與 iOS 看門狗終止，可能不經過該次重新建構就到達 Sentry，因為它們是由作業系統的當機處理程式產生，而不是由本應用程式自己的程式碼產生。Sentry 用於發行健康度的定期「應用程式工作階段開始／結束」訊號也是如此。我們無法在裝置上檢查這些內容，也不清楚平台 SDK 在其中放入了哪些欄位。我們沒有設定任何能將其中任何一項與您連結的識別碼。
• Sentry 會收到送出報告時所用的 IP 位址。

在您同意診斷之前，Sentry 不會啟動。關閉開關會關閉該控制項所觸及的回報器，但登出並不能可靠地停用已初始化的 SDK 在執行中的程序裡的運作。因此，目前的生命週期不能說成在所有狀態下都能立即撤回。

6. glumea+ 與訂閱資料

glumea+ 是一項訂閱服務，僅透過 Apple App Store 與 Google Play 以應用程式內購買的方式銷售。沒有其他購買方式，本應用程式中任何地方都沒有網頁結帳，也沒有信用卡表單。

• 您的付款詳細資料不會傳到我們這裡。 由 Apple 或 Google 收款。我們絕不會看到您的卡號、銀行詳細資料或帳單地址。取消與退款透過您的商店帳戶處理，服務條款說明了在哪裡處理。
• RevenueCat 是我們用來得知您的訂閱是否有效的服務。本應用程式只會告訴 RevenueCat 關於您的一件事：您的 glumea 帳戶識別碼，作為該訂閱的使用者 ID。我們的伺服器也會向 RevenueCat 查詢該識別碼是否有有效的訂閱，包括您從未訂閱過的情況，因為我們就是這樣得知您沒有訂閱。我們不設定電子郵件地址、顯示名稱、電話號碼或推播權杖，也不要求它收集裝置廣告識別碼。RevenueCat 自己的 SDK 也會為了 RevenueCat 服務的運作而收集一些裝置與網路資訊，詳見其自身的隱私權聲明。我們並未設定該項收集，也不會收到其產出。
• 本應用程式在本機保留的只有一個真／假值：glumea+ 是否有效。本應用程式不會在您的裝置上儲存價格、產品 ID、到期日或交易 ID。該值在您登出時會設為假，因此裝置上的下一個帳戶一開始沒有訂閱，必須自行向商店查驗。
• 我們的伺服器儲存什麼。 當訂閱有任何變動（購買、續訂、取消、帳單問題）時，RevenueCat 會向我們的後端傳送通知。我們會把每一則通知依接收時的樣子記錄下來：事件 ID 與類型、環境、您的 glumea 帳戶識別碼，以及 RevenueCat 傳送的完整訊息，並依其送達時的原樣儲存，而不是逐欄位儲存。該訊息通常包含產品識別碼、價格、幣別、商店、國家，以及購買與到期日期。由於我們完整儲存，它也可能帶有 RevenueCat 為您保存的任何訂閱者屬性，其中包括電子郵件地址：即使我們的應用程式本身並未設定任何此類屬性。我們絕不改寫該訊息；同一事件的重複投遞，只會更新我們記錄其送達次數的計數。
• 在使用分析啟用期間，上述漏斗事件會傳送到 PostHog，並附上記錄 glumea+ 是否有效的個人資料屬性。不會有價格、產品識別碼或商店識別碼傳送到使用分析。

由此產生兩個後果。Webhook 記錄檔帶有您的 glumea 帳戶識別碼，但與您的帳戶資料列在資料庫中沒有關聯。在刪除帳戶期間，我們的後端會另行移除這些記錄，並以相同的識別碼請求刪除 RevenueCat 的訂閱者記錄。除此之外，排程工作會在每筆 Webhook 記錄送達 90 天後將其移除。第 12 節說明了仍可能保留的部分。

7. 我們不做的事

以下情況在 glumea 中一概不會發生：

• 沒有任何形式的廣告。沒有廣告 SDK、沒有歸因 SDK、沒有廣告識別碼。本應用程式無法顯示 iOS 的「要求 App 不要追蹤」提示，因為它不含能啟用該提示的項目，也沒有宣告任何廣告歸因網路。
• 不出售您的資料。我們不出售或出租個人資料，也不出售健康資料。我們不會為跨情境行為廣告而分享資料。
• 不將您的健康資料用於廣告、行銷，或為任何其他人建立關於您的個人檔案。
• 沒有位置資料。不存取您的聯絡人、相機、麥克風、相片或行事曆，本應用程式在兩個平台上都不要求這些權限。
• 本應用程式中沒有 Firebase：沒有 Firebase Analytics、沒有 Crashlytics、沒有 Firebase Cloud Messaging。（Firebase Hosting 確實用於提供本網站，包括本頁，那是另一項 Google 服務，下文會列出。）
• 沒有推播通知，也沒有裝置推播權杖。提醒由您自己的裝置排程並顯示；完全沒有伺服器到裝置的通道。
• 上述兩個 SDK 都沒有螢幕截圖、螢幕錄製、工作階段重播或檢視階層擷取。
• 除了 PostHog 與 Sentry 之外，本應用程式中沒有其他使用分析、遙測或追蹤 SDK。唯一會開啟網路連線的元件，是本應用程式自己與我們伺服器的連線，以及 PostHog、Sentry 與 RevenueCat。

8. 誰會收到您的資料

我們為了營運 glumea，會與下列服務供應商共享資料。其角色、其自身的隱私權聲明，以及適用於我們使用各項服務的契約條款，共同規範該項處理。RevenueCat 的 SDK 也會自行收集裝置與網路資訊。我們並未設定該項收集，也不會收到其產出，因此對它的描述來自 RevenueCat 的隱私權聲明，而非來自我們的系統。

• Google（Google Cloud Run 與 Google Cloud SQL，區域 europe-west1），代管我們的後端，以及存放您所同步的一切資料（包括您的健康資料）的資料庫。Google Secret Manager 保管我們的伺服器憑證，Google Cloud Logging 保存我們的伺服器請求記錄檔。
• Google（Firebase Hosting），提供 glumea.com 與這些法律文件。
• Sentry（歐盟區域），在依目前設定行為啟用診斷期間，接收上述的診斷報告。
• PostHog（歐盟雲端），在依目前設定行為啟用使用分析期間，接收上述的使用分析事件。
• RevenueCat（美國），無論您是否訂閱，都會收到您的 glumea 帳戶識別碼與訂閱狀態：確認您不是訂閱者，所用的識別碼與確認您是訂閱者相同。如上所述，其 SDK 另外還會收集我們未設定、也不會收到的裝置與網路資訊；RevenueCat 自己的隱私權聲明對此有所說明。
• Zoho ZeptoMail：如果啟用了正式環境的電子郵件寄送，此供應商會收到目的地電子郵件地址，以及寄送所需的驗證或密碼重設訊息。寄送功能停用期間，沒有任何電子郵件供應商會收到這些訊息。

Apple 與 Google 不是我們的處理者。它們營運銷售 glumea+ 的商店、負責收款，並且就其持有的關於您的購買資料而言，是獨立的控管者。它們收集的內容受其自身隱私權政策規範，而非本政策。

除此之外，我們只有在法律要求時才會揭露個人資料，例如法院或主管機關的具有約束力的命令，或依您的指示。

如果 Paweł Milewski Software Development 日後涉及合併、收購或資產出售，您的資料仍將受本政策保護，並且在您的資料適用不同的隱私權政策之前，我們會通知您。

9. 國際傳輸

每位接收者在何處處理您的資料：

• 您的帳戶、個人資料與同步的健康資料儲存於歐盟：Google Cloud，europe-west1（比利時）。儲存位置並非完整的答案。Google 可能基於支援及營運平台的需要，從歐洲經濟區以外存取該資料，而這本身就是一種傳輸。該傳輸依據 Google Cloud 資料處理附約中的標準契約條款。
• 使用分析資料會傳送到 PostHog 的歐盟雲端，並儲存於歐盟。如果 PostHog 可能從歐洲經濟區以外存取這些資料，該傳輸依據 PostHog 資料處理協議中的標準契約條款。
• 診斷資料會傳送到 Sentry 的歐盟區域。如果該區域位於歐洲經濟區以外，該傳輸依據 Sentry 資料處理附約中的標準契約條款。
• 本網站由 Firebase Hosting 透過 Google 的內容傳遞網路提供，因此頁面請求可能由歐洲經濟區以外的地點提供並在該處記錄。發生這種情況時，該傳輸依據 Google Cloud 資料處理附約中的標準契約條款。
• 訂閱狀態會傳送到位於美國的 RevenueCat。如果該處位於歐洲經濟區以外，該傳輸依據 RevenueCat 資料處理附約中的標準契約條款。
• 如果啟用了正式環境的電子郵件寄送，驗證與密碼重設電子郵件由 Zoho ZeptoMail 寄送，其在歐盟處理目的地電子郵件地址：Zoho Corporation B.V.，即 Zoho 位於荷蘭與愛爾蘭的歐盟資料中心。如果該處位於歐洲經濟區以外，適用的傳輸機制是 Zoho 資料處理附約中的標準契約條款。
• Apple 與 Google 以獨立控管者的身分，依其自身的安排處理購買資料。

如果服務供應商可能從歐洲經濟區以外存取資料，包括為了提供支援，該存取同樣屬於傳輸，且必須依 GDPR 第五章具備適當的保障措施。每位接收者適用的機制已於上文列出。對於英國的使用者，對應的機制是歐盟標準契約條款的英國附錄，或在服務供應商依英國 GDPR 採用該格式時使用 IDTA。一般資料保護聯絡方式：[email protected]。目前尚未實作單獨的自動化保障措施副本申請流程。

10. 您的資料儲存在哪裡

glumea 以離線優先為設計原則。本節是對「我的哪些資料在你們的伺服器上？」的完整回答：本政策中的其他內容都指向這裡。

項目	在您的手機上	在我們的伺服器上	從何時開始	如何移除
您的日記、記錄、藥物目錄、用藥排程	一律	僅在雲端同步開啟時	從您開啟開關的那一刻起	關閉開關，然後刪除伺服器資料；或刪除您的帳戶
您的個人資料、姓名、年齡、身高、糖尿病類型、治療方式、胰島素給藥方式	是	一律	從新手引導開始，無論您是否使用同步	刪除您的帳戶
您的治療設定、目標範圍、胰島素醣類比值、胰島素敏感係數	是	一律	從您輸入的那一刻起	刪除您的帳戶
您的帳戶、電子郵件地址、雜湊後的密碼、登入工作階段	僅憑證	一律	從您建立帳戶的那一刻起	刪除您的帳戶
第 3.6 節中的所有項目、提醒、安靜時間、應用程式偏好設定	是	從不	不適用	登出，或解除安裝

本節其餘內容是該表格背後的細節。

• 您輸入的所有資料都會先寫入您裝置上的本機資料庫。本應用程式在沒有網際網路連線時也能完整使用。
• 該本機資料庫是加密的。 它以保存在您裝置金鑰庫中的 32 位元組金鑰開啟，且採用不會遷移到其他裝置的設定。在您換手機之前應該了解的後果：在 Android 上，我們已為本應用程式關閉雲端備份與裝置對裝置的傳輸，因此不會產生新的備份副本；在 iOS 上，資料庫的副本仍可能出現在 iCloud 備份中，但沒有金鑰就無法讀取，而金鑰絕不會離開裝置。因此，把該備份還原到新手機上，並不會帶回您的日記：本應用程式會發現一個它沒有金鑰的資料庫，並拒絕開啟它，而不是默默地以空白狀態啟動，且在您重新安裝或清除其資料之前，不會在那支手機上執行。換到新手機要透過雲端同步，或透過您自己匯出並匯入的 .glumea 封存檔。
• 從您建立帳戶的那一刻起，我們的伺服器上就存在您的帳戶。 其中包含您的帳戶資料、您的個人資料（包括您的糖尿病類型、治療方式與胰島素給藥方式），以及您的治療設定：您的目標範圍、您的胰島素醣類比值與您的胰島素敏感係數。無論您是否使用雲端同步，這些都保存在我們的伺服器上，要移除它們，方法是刪除您的帳戶。
• 雲端同步是 glumea+ 功能，在您開啟之前都是關閉的。 它所控制的是，您的日記是否也複製到我們的伺服器：您的記錄、您的藥物目錄與您的用藥排程。開啟它需要兩個步驟，您可以在任一步停下。沒有有效的 glumea+ 訂閱時，本應用程式會顯示訂閱畫面，而不是開啟任何功能。有訂閱時，本應用程式接著會要求您在獨立的一個步驟中確認，您同意將您的健康資料、血糖記錄、胰島素與藥物記錄、飲食與體重記錄，以及您在備註中輸入的任何內容，儲存在我們的伺服器上。每次開關開啟時都會詢問，而不僅是第一次。該確認就是您對日記所給予的 GDPR 第 9(2)(a) 條明示同意。您可以隨時關閉雲端同步來撤回，並以同一個面板中的刪除伺服器資料連結移除我們已持有的資料。同步關閉時，您記錄的一切都只會留在您的裝置上。
• 同步開啟時，您的資料儲存在我們位於 api.glumea.app 的後端，該後端執行於 Google Cloud Run，並搭配 Google Cloud SQL PostgreSQL 資料庫，位於 Google 的 europe-west1 區域（比利時）。

開關屬於您的帳戶，而不是手機。 我們在伺服器上保存您的回答，本應用程式會在您登入及重新連線時從那裡讀回。因此它在登出後仍然保留，並且會跟著您：在一支手機上開啟同步，在另一支手機上登入，同步在那裡也已開啟，不會再次詢問。關閉同樣以相同的方式記錄。如果您在離線時關閉它，本應用程式會保留該回答，並在下一個機會傳送到我們的伺服器；撤回絕不會因為某個請求失敗而被復原。在共用裝置上，這與僅限裝置的開關相反：登入的人取得的是自己帳戶的回答，而不是上一個人留下的回答。

如果 glumea+ 結束，新記錄將不再被備份，但這並不會撤回您的同意，也不會刪除任何內容。 當訂閱失效、被取消或被退款時，本應用程式會停止將新記錄複製到我們的伺服器。已在伺服器上的記錄的編輯與刪除仍會傳到我們的伺服器，本應用程式也仍會從伺服器下載。「雲端同步」面板會顯示編輯與刪除仍會同步 · 新記錄保留在此裝置上。已經在我們伺服器上的資料會留在那裡，在您裝置上的資料也會留在那裡，您對同意問題所儲存的回答也維持原狀，因此如果您再次訂閱，完整備份會依該儲存的回答恢復，不會再問您一次。如果您不希望如此，請關閉開關：無論訂閱是否有效，關閉開關，以及它旁邊的刪除伺服器資料連結，都一律可用。結束訂閱絕不會剝奪您撤回同意或要求清除伺服器副本的能力。

同步也可能在您沒有動那個開關的情況下停止。您的登入工作階段可能過期，而當它過期時，我們不會將您登出，也不會刪除任何內容：本應用程式會把每一筆記錄保留在您的裝置上，暫停備份，然後等待。「雲端同步」面板接著會顯示已暫停，並告訴您在重新登入之前不會同步任何內容，總覽畫面則會出現一則關於工作階段已過期的橫幅。在此期間您所記錄的一切都會留在裝置上，直到您重新登入後才會傳送到我們的伺服器。如果您仰賴伺服器副本來因應手機遺失，就應該對那則橫幅採取行動。

我們伺服器上的副本受傳輸加密、Google 的儲存加密以及我們的存取控制所保護。它不是端對端加密的，我們可以讀取它。glumea 不是零知識服務。整個系統中我們唯一無法開啟的內容，是 .glumea 封存檔，因為它是以只有您知道的密碼加密的。

11. 我們保存您的資料多久

我們保存您資料的期間如下。

• 帳戶資料、個人資料與治療設定：只要您的帳戶存在，就保存在我們的伺服器上。
• 您已同步的健康記錄與藥物目錄：只要您的帳戶存在就保存，直到您刪除伺服器副本或刪除您的帳戶為止。刪除單一記錄的運作方式不同：它只會從您刪除它的那部裝置上消失，且僅限該裝置。我們伺服器上的副本會保留，因此該記錄可能在重新安裝、換新手機，或登出後再登入時回來。只有刪除伺服器資料或刪除您的帳戶，才會從我們的伺服器移除那些資料列。
• 您所刪除記錄的刪除標記：當單一記錄的刪除確實傳到我們的伺服器時，該資料列會被保留為一個標記，仍帶有其數值、標籤與備註，以便讓該刪除能傳到您的其他裝置。我們沒有清理它們的排程工作，因此只要您的帳戶存在，它們就會保留。使用刪除伺服器資料或刪除您的帳戶，會將它們移除。
• 登入工作階段：存取權杖的有效期為 15 分鐘。我們伺服器上的工作階段記錄在 90 天未使用後到期。登出會立即撤銷它，使其再也無法使用，但資料列本身要等到該 90 天期間過去後，才會由每小時執行一次的工作移除。刪除您的帳戶會立即將其移除。
• 一次性驗證碼：在發出 10 分鐘後到期，每小時執行一次的工作會將已到期者標記為無法使用。我們不會清除記錄本身：它們會保留到您刪除帳戶，屆時會與其他一切一併移除。
• 伺服器備份：7 天。從即時資料庫中刪除的資料，會在備份中保留，直到備份輪替為止。
• 伺服器請求記錄檔（包含 IP 位址）：30 天。
• PostHog 的使用分析事件：12 個月。
• Sentry 的診斷報告：90 天。
• 訂閱通知記錄：自每則訊息送達我們時起最多 90 天，除非刪除帳戶更早將其移除。排程工作以記錄的存在時間計算，不會因未結的帳單爭議而保留資料列。
• 僅儲存在您裝置上的資料：會一直留在那裡，直到您刪除它、登出、使用應用程式內的刪除帳戶控制項，或解除安裝本應用程式。以電子郵件提出的刪除帳戶請求無法遠端清除裝置。

12. 刪除：會發生什麼，以及發生在哪裡

開始之前。 有兩件事比下文的任何內容都更重要，它們都在服務條款中：先在商店取消您的 glumea+ 訂閱，因為刪除您的 glumea 帳戶並不會停止扣款（該處第 13.1 節），以及先匯出，因為一旦您的資料列消失，我們就無法為您建立匯出檔（該處第 13.3 節）。

三種不同的控制項，三種不同的結果。 它們很容易混淆，因此：

控制項	位置	移除的內容	保留的內容	什麼可以復原
刪除單一記錄	您記錄它的任何位置	該記錄，僅限該裝置	伺服器副本，可能使其回來	重新安裝、換新手機，或登出後再登入
刪除伺服器資料	「雲端同步」面板，從總覽或記錄畫面上的雲端按鈕開啟，不在設定中	您的記錄、藥物目錄與排程的伺服器副本	您的帳戶、您的個人資料、您的治療設定，以及您手機上的一切	重新開啟同步會從您的手機重新上傳
刪除帳戶	設定 → 帳戶，或在您無法使用本應用程式時寄電子郵件至 [email protected]	您在我們伺服器上的帳戶與相關的正式環境資料；應用程式內的途徑也會清除這部裝置	現有的備份、部分服務供應商的記錄，以及應用程式內清除未觸及的裝置上的任何資料	沒有任何方式能恢復已刪除的帳戶

刪除伺服器資料需要有效的登入，且需先關閉同步開關；本節末尾的三則說明解釋了原因。

在本應用程式中刪除您的帳戶，會立即將其從我們的正式資料庫中移除。經驗證的電子郵件請求使用相同的伺服器端刪除途徑。以下是在每個目的地發生的情況。

• 我們的正式資料庫：當您在本應用程式中確認，或由營運人員完成經驗證的電子郵件請求時，刪除您的帳戶會對您的使用者記錄進行硬刪除。附屬於它的一切，都會透過資料庫連鎖刪除一併移除：您的個人資料、您的治療設定、每一筆已同步的血糖、飲食、體重、胰島素、藥丸與注射藥物記錄、您的藥物目錄與排程、您的工作階段，以及您待處理的驗證與重設驗證碼。沒有軟刪除旗標，也無法復原。
• 訂閱通知記錄：每一列都含有您的 glumea 帳戶識別碼，以及 RevenueCat 傳送的完整訊息。它與您的帳戶資料列沒有關聯，因此自動連鎖刪除不會觸及它，但刪除服務會在同一筆交易中另行將其移除。若未刪除帳戶，排程工作會在 90 天後移除每一列。
• RevenueCat：刪除您的帳戶會將移除您帳戶識別碼下的訂閱者記錄的請求排入佇列。我們會立即嘗試該請求，並在服務供應商無法使用時重試。商店的帳單歷史則不在我們的控制範圍內。
• PostHog：刪除您的帳戶會將移除與帳戶連結的使用分析個人檔案及其事件和錄製內容的請求排入佇列。我們會立即嘗試，並在服務供應商無法使用時重試。PostHog 可能以非同步方式完成已接受的批次刪除。登入前的事件使用另一個假名化的裝置識別碼。
• 伺服器備份：被刪除資料的副本會保留在我們託管服務供應商的自動資料庫備份中，直到這些備份輪替為止：7 天，且在適用該法定上限的情況下，無論如何不會超過驗證後六個月。個別記錄不會在備份內被編輯。因此，災難復原還原可能會暫時重新引入已從正式環境刪除的資料列。
• 伺服器記錄檔：刪除您的帳戶不會回溯清除伺服器請求記錄檔，這些記錄檔會保存 30 天。
• Sentry：本應用程式不會在診斷報告上附加帳戶識別碼、電子郵件地址或使用者記錄。因此，沒有任何受支援的方式可以找出或刪除個別使用者的報告。由作業系統當機處理程式產生的報告不會經過本應用程式的過濾，而我們也不清楚平台 SDK 新增了哪些欄位。報告依 Sentry 的保留期限到期：90 天。GDPR 第 11(2) 條處理的是控管者確實無法識別資料主體的資料。
• Apple 與 Google：您的購買與訂閱記錄屬於商店，而非我們。刪除您的 glumea 帳戶不會取消訂閱，也不會刪除 Apple 或 Google 處的任何內容。請在您的商店帳戶設定中取消；它們的記錄受其政策及稅法規範。
• 您自己的裝置：在本應用程式中刪除帳戶、登出或切換帳戶，會從該裝置清除本機資料庫、工作階段憑證與儲存的偏好設定。電子郵件請求無法遠端清除裝置。清除遙測偏好設定，並不能可靠地停用已在執行中程序裡初始化的 SDK。首次安裝旗標與資料庫加密金鑰可能在應用程式內清除後仍然保留，但兩者都不含日記資料。iCloud 裝置備份中可能含有無法讀取的加密資料庫副本；本應用程式的 Android 備份已停用。
• 您自己製作的副本：.glumea 封存檔、CSV、PDF 報告，以及您分享或儲存在其他地方的任何內容：這些屬於您，不在我們的能力範圍內。請在您存放它們的地方刪除。

時間點總結：正式資料庫的刪除，發生在您於本應用程式中確認時，或營運人員完成經驗證的電子郵件請求時。RevenueCat 與 PostHog 的刪除請求會立即嘗試，失敗時排入佇列重試。副本可能在託管備份中保留，直到備份輪替為止，期限為 7 天內。

資料庫連鎖刪除本身不會觸及伺服器請求記錄檔、Sentry 報告、訂閱通知記錄或服務供應商的記錄。刪除服務會另行移除訂閱通知，並請求清除 RevenueCat 與 PostHog 的記錄。伺服器記錄檔與 Sentry 報告依其設定的保留期限到期。

刪除是永久的。已刪除的資料無法復原，因此如果您日後可能需要這些記錄，例如提供給您的醫療團隊，請先使用您的權利項下所述的匯出選項取得一份副本。

您也可以不使用本應用程式，直接以電子郵件請求刪除帳戶。我們會在處理之前驗證所有權。

關於範圍較窄的刪除伺服器資料控制項，還有三點。它會移除您的記錄、藥物目錄與用藥排程的伺服器副本，但保留您的帳戶、個人資料、治療設定以及您裝置上的一切：

• 它需要有效的登入。 如果您的工作階段已過期，也就是第 10 節所述的狀態，此時面板顯示已暫停：連結會告訴您重新登入，且在您登入之前不會有任何作用。重新登入就足夠了；在此期間不會遺失任何內容。
• 它要求雲端同步必須先關閉。如果您之後重新開啟同步，仍在您裝置上的記錄會排入佇列並再次上傳，伺服器上的刪除會被您自己的裝置復原。
• 它不會傳播到您的其他裝置。它們會保留各自的本機副本，也不會收到通知。

13. 您在本應用程式中的控制項

您不需要寄電子郵件給我們就能控制您的資料。本應用程式為您提供以下內建控制項：

• 刪除帳戶：在設定 → 帳戶中，輸入確認用詞之後執行。執行上述的伺服器端硬刪除，並從該裝置清除本應用程式的本機資料庫、工作階段憑證與偏好設定。如果您無法使用本應用程式，也可以寄信至 [email protected] 請求伺服器端的帳戶刪除。第 12 節說明了哪些內容會保留。
• 刪除伺服器資料：「雲端同步」面板中同步開關下方那一行裡的刪除連結，該面板是從總覽或記錄畫面頂端的雲端按鈕開啟，而不是從設定開啟。該連結一律會顯示，但只有在開關關閉後才能使用。它會對您的記錄、藥物目錄與用藥排程的伺服器副本進行硬刪除，同時保留您的帳戶與您裝置上的資料。它的範圍僅止於此：您的個人資料與治療設定會留在我們的伺服器上，直到您刪除帳戶。請閱讀上方緊鄰的三則說明。
• 雲端同步：同一個面板中的同步開關，也是 glumea+ 功能。您可以隨時關閉它，讓新資料不再傳送到我們的伺服器，這也是您撤回同意我們儲存該資料的方式；關閉它不需要有效的訂閱。已經同步的資料會留在我們的伺服器上，直到您使用刪除伺服器資料或刪除帳戶。您對這個開關的回答保存在您的帳戶中，因此在登出後仍然保留，並會跟著您到新手機。
• 使用分析與錯誤回報：設定 → 資料與隱私 → 隱私與診斷中的兩個獨立開關。兩者在您開啟之前都是關閉的。關閉其中一個會更新偏好設定，但已排入佇列的資料仍可能被送出，而且登出並不能可靠地關閉已在執行中程序裡初始化的 SDK。
• Apple Health / Health Connect：在設定 → 整合中連結、中斷連結，或關閉個別資料類型。您也可以在健康平台本身撤銷權限。
• 在通知中顯示詳細內容（設定 → 通知）：除非您開啟，否則是關閉的。在您開啟之前，通知只會顯示一般性文字。
• 登出：會從裝置清除本應用程式的本機資料庫、您的工作階段憑證與您的偏好設定，包括您對使用分析與診斷的選擇。您所記錄的任何內容及您所做的任何選擇都不會被保留下來；刪除一節列出了兩個會保留的技術值。
• 匯出：從設定 → 資料與隱私 → 資料匯入與匯出，取得一個以密碼保護的 .glumea 封存檔，內含您的記錄、藥物、個人資料、治療目標與提醒。CSV 與 PDF 血糖報告是另一回事，由血糖畫面自己的匯出面板產生；封存檔與 CSV 免費，PDF 報告則是 glumea+ 功能。

[email protected] 接受不使用本應用程式的帳戶刪除請求。其他不經本應用程式提出的權利請求也可以寄到那裡，但帳戶刪除途徑並不提供單獨的自動化匯出或更正工具。

14. 您的權利

依據 GDPR，您有權：

• 存取您的個人資料並取得其副本。
• 更正不準確或不完整的資料。您可以在記錄當初登錄的位置編輯記錄與藥物，在設定 → 帳戶中編輯您的個人資料，並在設定治療設定的位置編輯治療設定。目前尚未實作單獨的、不經本應用程式的更正流程。
• 刪除您的資料（「被遺忘權」）。上方的刪除一節明確告訴您刪除會觸及什麼、不會觸及什麼。
• 在某些情況下限制處理。
• 資料可攜性：在法律賦予該權利的情況下，以結構化、常見且機器可讀的格式接收您所提供的資料。應用程式內的 CSV 血糖匯出為機器可讀且未加密。.glumea 封存檔包含記錄、藥物、個人資料、治療目標與提醒，但它是以只有您知道的密碼加密，且只能匯入建立它的那個 glumea 帳戶。目前無法透過 [email protected] 取得其他自訂匯出。
• 反對基於我們正當利益的處理。
• 隨時撤回同意。撤回不影響撤回之前合法進行的處理。對於已同步的日記資料，請關閉雲端同步並使用刪除伺服器資料，或刪除您的帳戶。對於使用分析與診斷，請使用設定 → 資料與隱私 → 隱私與診斷中的兩個開關。沒有僅針對個人資料或僅針對治療設定的移除控制項，目前也無法透過 [email protected] 取得此類流程。刪除帳戶是唯一已實作、可從我們的正式資料庫中移除這些欄位的方式。
• 向監督機關提出申訴。我們的主要監督機關是個人資料保護局局長（Prezes Urzędu Ochrony Danych Osobowych），ul. Stawki 2, 00-193 Warsaw, Poland。您也可以向您居住地、工作地或您認為發生侵害行為所在地的歐盟會員國資料保護主管機關提出申訴。如果您在英國，可以向資訊專員辦公室（ICO）提出申訴，地址為 Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF。

在第 13 節所述的應用程式內控制項涵蓋所請求的動作時，請使用這些控制項。若要在不使用本應用程式的情況下刪除帳戶，請寄電子郵件至 [email protected]。其他權利請求也可以寄到那裡；此帳戶刪除途徑本身並不提供單獨的存取、匯出或更正工具。

如果控管者未對 GDPR 請求採取行動，第 12 條要求其在一個月內說明理由，並指出可用的申訴與司法救濟途徑。無論您是否再次聯絡控管者，這些途徑都仍然可用。

身分驗證。 應用程式內的刪除依賴您已通過驗證的工作階段。對於電子郵件請求，我們會確認您對該帳戶所連結的電子郵件擁有控制權。如果您無法存取該電子郵件，我們會在刪除帳戶之前，審查是否有其他驗證所有權的方式。我們不會為了處理該請求而索取您的密碼或健康記錄。

15. 我們如何保護您的資料

• 密碼以 bcrypt 進行雜湊處理，絕不以明文儲存，也絕不儲存在您的裝置上。
• 您裝置上的本機資料庫是加密的，金鑰保存在平台金鑰庫中，不會遷移到其他裝置。
• 驗證權杖保存在您裝置的安全儲存空間中，即 iOS 鑰匙圈或以 Android Keystore 為基礎的儲存空間。
• 本應用程式透過 HTTPS 與我們的伺服器通訊，兩個平台預設都會封鎖明文連線，我們在 iOS 與 Android 上都沒有為此新增任何例外。
• 我們的資料庫執行於 Google Cloud 內，只能透過私有的 Cloud SQL 通訊端存取，憑證保管在 Google Secret Manager 中。
• 我們不會把您記錄的數值（血糖記錄、胰島素劑量）寫入我們的應用程式記錄檔。錯誤記錄行會記下狀態碼、路徑、時間與錯誤訊息，對於被拒絕的請求，錯誤訊息會指出驗證失敗的欄位。它不含請求本文。
• 通知預設顯示一般性文字，因此通知不會把您的健康資料顯示在鎖定畫面上。
• 對正式資料庫的存取僅限於營運該服務的人員，這表示我們可以讀取它。保護它不被其他所有人存取的，是存取控制以及傳輸中與靜態時的加密。

沒有任何系統是完全安全的。上述措施是我們為了限制您資料中敏感部分的暴露範圍所做的事。

涉及個人資料的事件，可能依 GDPR 第 33 與第 34 條、FTC 健康資料外洩通知規則或其他適用法律，觸發向監督機關或受影響個人發出通知的義務。每一套制度都有各自的範圍與期限，這些法定義務獨立於本政策而適用。

16. 兒童

glumea 不是針對兒童設計的。您必須年滿 16 歲才能使用本應用程式。 無論所在地為何，這都是使用服務的條件。我們不提供家長授權途徑。應用程式內的帳戶刪除流程以及第 12 節中的限制，適用於任何被認定屬於未滿 16 歲者的帳戶。有關未成年帳戶的疑慮可寄至 [email protected]。

17. 給美國使用者的說明

美國的隱私法因州而異，是否適用取決於居住地、法定門檻以及所涉及的資料類型。第 13 節所述的應用程式內控制項，獨立於這些門檻而可使用。即使目前的產品缺少單獨的請求流程，適用的法定權利仍然有效。

• HIPAA：glumea 是直接面向消費者的產品。我們不提供醫療照護、不處理理賠，也沒有與健康保險計畫或醫療照護提供者簽訂代其處理資料的契約，因此我們不扮演 HIPAA 所規範的任何角色，即「受規範實體」或「業務夥伴」，也不宣稱符合 HIPAA。您自己的臨床醫師所持有的關於您的記錄，在其手中受 HIPAA 涵蓋；這與您保存在 glumea 中的副本是兩回事。我們為 glumea 所遵循的美國規則，是 FTC 的健康資料外洩通知規則以及下列各州的健康隱私法。
• 加州（CCPA/CPRA）：是否適用取決於法定的企業門檻。此處所述的資料可能包含敏感個人資訊。我們不出售個人資訊，也不為跨情境行為廣告而分享個人資訊。如果 CCPA 適用，其存取、更正、刪除、可攜性、選擇退出與不歧視規則獨立於本政策而適用。無論門檻為何，應用程式內控制項與以電子郵件提出的帳戶刪除請求都仍然可用。
• 華盛頓州（My Health My Data Act）：您記錄的資料屬於「消費者健康資料」。華盛頓州要求為其另訂單獨的政策；請參閱消費者健康資料隱私權政策。它說明了類別、來源、目的、接收者、法定權利，以及請求與申訴流程目前的營運限制。
• 內華達州（消費者健康資料法，2023 年 SB 370）：依內華達州法律，您記錄的資料同樣屬於「消費者健康資料」。您有權確認我們是否收集、分享或出售它，取得其分享或出售對象的第三方清單，要求將其刪除，以及撤回您的同意；內華達州將後者視為兩項各自獨立的同意，一項針對收集，一項針對分享。內華達州的法律由州檢察長執行。我們的內華達州消費者健康資料隱私權聲明列出了這些權利、適用於它們的期限（在刪除方面比華盛頓州的更短），以及內華達州要求的四項揭露。
• 請求與申訴。 適用的州法可能要求書面說明、申訴途徑，以及向州檢察長提出投訴的相關資訊。目前 [email protected] 尚未實作單獨的電子郵件申訴流程，因此在需要該途徑的情況下，目前的流程並未提供。華盛頓州的要求已在消費者健康資料隱私權政策中說明。
• 其他適用的州法權利不受本政策限制。

18. glumea.com 網站

本網站是一個靜態網站，提供關於 glumea 的資訊以及這些法律文件。它刻意保持極簡：

• 沒有 Cookie。
• 沒有使用分析，也沒有第三方來源的請求。頁面所需的一切（包括字型與指令碼）都由 glumea.com 本身提供，且本網站的內容安全政策會直接封鎖任何其他來源。頁面本身由我們的主機提供，主機必然會看到該請求；此清單的最後一項說明了主機是誰以及它記錄什麼。本網站確實執行少量自己的 JavaScript：兩段內嵌程式碼，用於套用您的佈景主題並將您導向正確的語言，另有幾個打包的檔案，用於導覽選單、佈景主題與語言切換器，以及在您捲動時顯示區塊的動畫。這些都不會把任何資料傳送到任何地方。
• 不做跨網站追蹤，因此沒有任何東西需要由「請勿追蹤」或全球隱私控制訊號來關閉。本網站不設定廣告或使用分析 Cookie，不發出第三方請求，我們也不出售或分享個人資訊。
• 瀏覽器的 localStorage 僅用於功能性偏好設定（您選擇的佈景主題與語言）。這些值保留在您的瀏覽器中，不會傳送給我們。只有在您選擇了佈景主題或語言時才會設定，這就是為什麼它們不需要同意橫幅。
• 本網站由 Firebase Hosting（Google） 提供服務。與大多數網站主機一樣，該供應商可能為了安全及營運服務而記錄標準伺服器記錄檔、IP 位址、請求時間、瀏覽器類型。我們為此依據正當利益（GDPR 第 6(1)(f) 條），具體而言是維持網站可用並保護其免遭濫用，且記錄檔僅在這些目的所需的期間內保存。

19. 本政策的變更

目前版本連同其生效日期發布於此。變更是否需要事前通知、重新取得同意或採取其他行動，由適用法律決定。發布更新後的政策本身，並不授權基於需要同意或其他法律依據的新目的。

20. 語言

本政策以英文發布。英文版本具有法律約束力。 其他語言的翻譯是為了讓您能以自己的語言閱讀本政策而發布。翻譯與英文文字不一致時，以英文文字為準。

例外是法律本身。如果您居住的國家賦予您所使用的語言獨立的地位（例如數個國家的消費者保護法所規定的），則適用該規定，而不適用本節，且此處的任何內容都不會剝奪您依該規定享有的權利。

翻譯在準備好時才會發布，因此在更新後可能落後於英文文字。如果您發現翻譯與英文文字所述內容不同，請寄信至 [email protected] 告訴我們。

21. 聯絡我們

有關您資料的問題、疑慮或請求：

• 電子郵件：[email protected]
• 郵寄：Paweł Milewski Software Development, ul. Franciszka Bohomolca 3 lok. 7, 31-416 Kraków, Poland

相關文件：服務條款、醫療免責聲明，以及針對華盛頓州居民的消費者健康資料隱私權政策，或針對內華達州居民的內華達州消費者健康資料隱私權聲明。