Уики

Wellness & Lifestyle Intelligence и GDPR: правна рамка

Порталът подпомага начина на живот, а не поставя диагнози и не назначава лечение. Данните за здравето се обработват по GDPR — с изричното съгласие на госта и на сървър в ЕС.

Updated 2026-08-28 · Sample procedures Luxury Spa & Medical Wellness Hotel Prezident

Накратко

• Класът. Wellness & Lifestyle Intelligence е подкрепа за начина на живот: порталът събира данните от часовника и кантара, показва ги на госта и на лекаря и съхранява назначенията на лекаря. Той не поставя диагноза и не назначава лечение.
• Кой отговаря за данните. Администраторът е хотелът: в политиката на портала са посочени юридическото лице, регистрационните номера, адресът и лекарят поименно. longev.eu е обработващият: поддържа кода и сървъра.
• Всеки хотел има своя база. Кодът е един, но всеки хотел има свой процес, своя директория и своя база данни. Няма обща таблица с гостите на всички хотели.
• Съгласията са две. Общото е при регистрацията, а изричното за данните за здравето — преди въпросника. И двете се записват с номера на версията на политиката: в момента това е версия 1.7 от 17.08.2026, с 12 раздела на 36 езика.
• Правата са на бутони. Изтегляне на всичко в един файл, изтегляне в HL7 FHIR за системата на клиниката, оттегляне на съгласието с изтриване, изтриване на профила. Без писмо до хотела и без чакане.
• Какво излиза извън ЕС. Три неща, и трите са назовани изрично: входът през Google, облакът на Garmin зад предоставения часовник и обезличеният текст, подаден на модела.
• Срокове. Данните за здравето — 3 години след последната активност, журналите на сървъра — до 90 дни, връзката за смяна на паролата — 60 минути.
• За кого е този документ. За хотела, който избира платформа, и за госта, който иска да знае какво става с неговите данни. Обновен на 23.08.2026.

Какво означава Wellness & Lifestyle Intelligence

Wellness & Lifestyle Intelligence е клас продукт, който подпомага начина на живот: сън, движение, вода, храна и процедурите в хотела. Той работи със същите данни като медицината, но не заявява медицинско предназначение и не обещава лечебен резултат.

Какво прави порталът: приема дневните състояния от часовника и измерванията от кантара, сравнява ги със собствената средна стойност на госта, показва картината на госта в неговия профил и на лекаря в таблото и съхранява и показва назначенията, които е направил лекарят.

Какво никога не прави: не назовава заболяване, не назначава нито лекарство, нито диета, не отменя и не заменя назначение на лекар и не обещава, че процедура ще излекува нещо.

Разликата се вижда там, където алгоритъмът засяга плана. Безплатното и нашето — разходка, сауна, включена в престоя — порталът променя сам. За платена процедура той само предлага преместване, а решава лекарят (как работи това).

Къде минава границата с медицинското изделие

Това, което прави една програма медицинско изделие, не е сложността на алгоритъма, а предназначението, което ѝ е дал производителят: диагностика, профилактика, наблюдение, предсказване, прогноза, лечение или облекчаване на заболяване (Регламент (ЕС) 2017/745 за медицинските изделия, член 2). Порталът не заявява такова предназначение — и това не е декларация, а се вижда на три места в самия продукт:

• Нивото на риск от въпросника избира маршрут за разходка и коридор на пулса, а не диагноза. То не поражда правни последици и лекарят може да го промени.
• Питейният курс се назначава от главния лекар на хотела след преглед. Порталът го съхранява, показва и напомня за приема — сам не може да го назначи (подробно).
• Нощният контур премества процедура, а не лекува. Праговете, по които го прави, са лекарски и са публикувани (числата и правилата).

Часовникът е потребителско устройство

Комплектът на хотела е обикновен Garmin Forerunner 165 Music и кантар Garmin Index S2, купени от магазин. Порталът не използва техните медицински функции: самият Garmin включва приложението за ЕКГ само там, където е одобрено като медицинско изделие, а часовник, купен в друга държава, може изобщо да го няма.

Пулсът, неговата вариабилност, фазите на съня, дишането и кислородът в кръвта са показания от битов оптичен датчик на китката. Така ги представя и порталът: като динамика на собственото тяло на госта, а не като резултат от изследване (какво точно измерва часовникът).

Класификацията не се държи на един ред в документ, а на обещанията. Маркетинг на хотел, който казва «ще поставим диагноза по часовника» или «ще ви излекуваме за седмица», руши рамката по-бързо от всяка промяна в кода.

Кой за какво отговаря

Ролите по GDPR са разпределени така и това разпределение е по-важно от всякакви думи за партньорство: пред госта и пред надзорния орган отговаря хотелът.

Защо всеки хотел има своя база данни

Платформата не е мултитенантна в обичайния смисъл: гостите на различните хотели не се разделят с колона в обща таблица. Всеки хотел има свой процес на сървъра, своя директория и своя база данни, а кодът е един и същ за всички.

Разликата е практическа. Грешка в заявката не може да покаже на един хотел гостите на друг — тях просто ги няма в неговата база. Хотел, който си тръгва, взема целия си файл, а не извадка от общо хранилище.

Две съгласия и версията на политиката

Данните за здравето са специална категория (член 9 GDPR) и за тях «съгласен съм с условията» при регистрация не е юридически достатъчно. Затова съгласията са две: общо при регистрация и изрично — за обработване на данни за здравето, преди анкетата.

Редът се пази от сървъра, а не от интерфейса: заявка за второто съгласие се отхвърля, ако политиката още не е приета.

И двете съгласия се пазят заедно с номера на версията на политиката и с времето. Версията се вдига, когато се променя смисълът, а не заради печатна грешка — и тогава порталът пита всички отново с прозорец върху всеки екран.

Това вече се е случвало 3 пъти: версия 1.5 добави кантара в стаята и телесния състав, 1.6 посочи модела на ИИ и 3 излизания на данни от ЕИП, 1.7 — дневника на храненето и снимката на чинията. Всеки път гостите бяха попитани отново.

Политиката на портала е отделна от политиката на хотела и обхваща само портала: Профил, анкетата, разходките и часовника. Резервацията на стая и бюлетинът на хотела са в неговата собствена политика.

×

Правата на госта са с бутони, не с писмо

Право, което е обещано, но се изпълнява с писмо до хотела, на практика не се изпълнява. Затова в «Профил» има блок «Моите данни» и в него 4 бутона.

• Експорт — всичко, което порталът пази за госта, в един машинно четим файл: въпросници, маршрути с точките от трака, нощи, тестове, назначения, профил (член 20 — право на преносимост).
• Експорт HL7 FHIR — същите числа на езика на медицинските системи, във формат FHIR R4: пациент и наблюдения. Такъв файл се чете от система на клиника, не само от човек.
• Оттегляне на съгласие — по подразбиране заедно с изтриване: след оттеглено съгласие няма на какво да се държат здравни данни.
• Изтриване на профила (член 17) — с потвърждение: гостът въвежда собствения си адрес на електронна поща, иначе бутонът не действа.

×

Какво не правят бутоните

Профил на служител не се изтрива с тези бутони. Под подписа на лекаря стоят назначения и сутрешни листове на други хора, затова такъв профил се премахва от администратор — за да не отпадне подписът мълчаливо.

Двете нива на изтриване и това, което остава след него, са описани в статията Лични данни: там е обяснено и защо журналът за предаване на комплекти остава, а бележките на персонала за госта се махат.

Къде са данните и какво излиза навън

Сървърът е в Европейския съюз; държавата на центъра за данни е посочена в политиката на конкретния хотел. Данните го напускат точно в 3 случая и трите са изброени поименно в политиката:

• Вход с Google — само ако гостът сам е избрал този път и само за самия вход: адресът на електронната поща, името и идентификаторът на профила. Паролата за Google никога не стига до портала.
• Облакът на Garmin — предоставеният часовник се синхронизира с профил в Garmin, който принадлежи на хотела и е с номер на комплекта, а не с името на госта; сървърите на Garmin са в САЩ. Основанието е изричното съгласие, дадено за часовника (член 49(1)(a)).
• Доставчикът на модела — обезличеният сутрешен лист (възраст, пол и числа, без име, дата на раждане и адрес на електронна поща), съобщение от лекаря, което трябва да се преведе дословно, и снимка на чиния, когато гостът сам е натиснал камерата.

И едно нещо, което не можем да изтрием

В портала няма реклами и аналитични броячи. Браузърът на госта пази само токена на сесията и избрания език.

Но дневната история в профил на Garmin не може да се изтрие: Garmin не дава такава възможност. Тези дни остават при него по неговите собствени условия дори след като нашето копие е изтрито. Порталът чете от такъв профил само дните от престоя, през които комплектът е бил при госта — но е по-честно да го кажем, отколкото да мълчим.

Колко дълго се пази всичко

Срокът е посочен отделно за всеки вид данни и изтриването тук означава изтриване на редове от базата, а не скриването им от интерфейса.

Един запис умишлено остава след госта — редът за таксуване на активен престой: връзката към профила в него се занулява и месецът помни, че е имало престой, но вече не назовава никого (как се брои активен гост).

Какво прави моделът и какво не решава

Част от текстовете в портала се оформят от модел с изкуствен интелект: текстът на сутрешния лист, преводът на съобщение от лекаря, фонът на картичка от маршрут и оценката на калориите по снимка на чиния.

Той не изчислява нивото на риск, не избира пулсовата зона и не променя програмата — получава това, което порталът вече е изчислил. В портала изобщо няма автоматизирано решение с правно действие (член 22 GDPR).

Че текстът е написан от модел, е казано на госта направо в политиката: това изисква член 50 от регламента на ЕС за изкуствения интелект.

И главният предпазител: нито една заявка с личен текст не излиза, докато супер администраторът не потвърди, че с доставчика има сключен договор за обработка. По подразбиране превключвателят е изключен — мълчанието не е съгласие. Безплатен план тук не върши работа: според условията на самия доставчик той се обучава върху изпратеното.

Калориите по снимка порталът показва като диапазон и позволява да бъдат поправени: това е оценка по изображение, а не измерване.

Какво забранява сървърът, а не интерфейсът

• Погледът през очите на госта е само за четене. Лекарят може да отвори профила на госта, за да види същото, което вижда и гостът. Всяка заявка за промяна в такава сесия се спира още на входа на приложението, преди обработчика: обещание, изпълнено поотделно във всеки маршрут, издържа до първия нов маршрут.
• Всяко влизане се записва. Кой от персонала и кога е отварял профила на госта — това е отделен ред в журнала. На администратора е позволено да редактира в такава сесия и цената е казана ясно: промяната излиза от името на госта, а журналът помни в чий прозорец да се гледа.
• Гостът стига само до своите редове. Разделението на ролите е направено на сървъра, а не скрито в менюто.
• Паролите не се съхраняват. В базата стои хеш PBKDF2, а връзката за смяна на паролата — само като SHA-256 на кода. Изтекла база не издава нито едното, нито другото.
• Смяната на паролата обезсилва вече издадените ключове. Във всеки токен е записано поколение на сесиите: смяна на паролата, излизане от всички устройства или промяна на ролята убиват вече издадените ключове, вместо да чакат сами да изтекат.

Какво прави хотелът преди пускането

• Попълнете данните на администратора. Докато поне едно поле стои в ъглови скоби, порталът смята политиката за непубликуема и предупреждава за това в администраторския панел.
• Посочете канал за заявки по данните — и, ако е назначено длъжностно лице по защита на данните (член 37), неговия адрес. Регламентът не изисква да се публикува името на това лице, но изисква начин за връзка.
• Посочете лекаря по име. Гостът, който предоставя здравни данни, има право да знае кой ги чете, а не да се задоволява с формулировката «лекар на курорта».
• Сключете договор за обработка — с платформата, а ако се включва моделът, и с неговия доставчик. До потвърждението превключвателят е изключен и лични текстове не излизат.
• Сверете маркетинга с класификацията. Обещание за лечение на сайта на хотела зачерква рамката «подкрепа на начина на живот».
• Помнете възрастовата граница. Порталът е предназначен за пълнолетни; профил не се създава на човек под 16 години.
• Знайте своя надзорен орган. Той е посочен в политиката с адрес и сайт; за Чехия това е Úřad pro ochranu osobních údajů.

Въпроси и отговори

• Порталът медицинско изделие ли е? Не. Той не заявява медицинско предназначение: не поставя диагнози, не назначава лечение и не обещава лечебен резултат. Събира и показва числа, а решенията ги взема лекарят.
• Кой отговаря пред госта — хотелът или платформата? Хотелът: той е администраторът на данните. Платформата е обработващият и работи по договор и по указанията на хотела.
• Нужно ли е съгласие, ако гостът само носи часовника? Да. Дневните състояния са здравни данни, специална категория по член 9 GDPR. Порталът взема за тях отделно изрично съгласие и то може да се оттегли с едно натискане.
• Данните излизат ли от ЕС? Сървърът е в ЕС. Навън излизат 3 неща и трите са посочени в политиката: входът през Google, облакът на Garmin зад предоставения часовник и обезличеният текст, подаден към модела.
• Моделът учи ли се от данните на гостите? Не. Докато договорът за обработка с доставчика не е потвърден, личен текст изобщо не се изпраща, а самият договор забранява повторно използване и обучение.
• Какво остава, ако гостът изтрие всичко? От базата ще изчезнат нощувките, маршрутите, назначенията, дневникът за хранене и бележките на персонала за него. Остават записите на хотела за самия него: журналът за предаване на комплекти и редът във фактурата, който вече не назовава никого.

Източници

Регламент (ЕС) 2016/679 — GDPR · Регламент (ЕС) 2017/745 за медицинските изделия · Регламент (ЕС) 2024/1689 за изкуствения интелект · Úřad pro ochranu osobních údajů

Още по темата

Вашите лични данни: 2 съгласия, експортиране и изтриване — същите права от страната на госта, бутон по бутон.

Как платформата назначава процедури — къде спира алгоритъмът и къде започва лекарят.

Цени: Setup, Base и Active Guest — какво влиза в пускането и как се брои активният гост.

Какво измерва часовникът — кои точно числа идват от китката.

Рецепция: работа с приложенията — защо комплектът се изтрива, преди да бъде даден на следващия гост.

Пълната политика на портала е отворена без вход, на страницата за поверителност.