Wiki

Wellness & Lifestyle Intelligence a GDPR: právní rámec

Portál podporuje životní styl, ne stanovování diagnóz: léčbu nepředepisuje. Zdravotní údaje se zpracovávají podle GDPR — na základě výslovného souhlasu hosta a na serveru v EU.

Updated 2026-08-28 · Ukázka procedur Luxury Spa & Medical Wellness Hotel Prezident

Stručně

• Třída. Wellness & Lifestyle Intelligence je podpora životního stylu: portál sbírá údaje z hodinek a váhy, ukazuje je hostovi i lékaři a ukládá, co předepsal lékař. Diagnózu nestanovuje a léčbu nepředepisuje.
• Kdo odpovídá za data. Správcem je hotel: v zásadách portálu je uvedena právnická osoba, registrační čísla, adresa i lékař jménem. longev.eu je zpracovatel: provozuje kód i server.
• Každý hotel má svou databázi. Kód je jeden, ale každý hotel má svůj proces, svůj adresář a svou databázi. Společná tabulka hostů všech hotelů neexistuje.
• Souhlasy jsou dva. Obecný při registraci, výslovný pro zdravotní údaje před dotazníkem. Oba se zapisují s číslem verze zásad: teď je to verze 1.7 ze dne 17.08.2026, 12 oddílů v 36 jazycích.
• Práva jsou tlačítka. Export všeho do jednoho souboru, export HL7 FHIR pro systém kliniky, odvolání souhlasu spolu s výmazem, smazání účtu. Bez dopisu hotelu a bez čekání.
• Co odchází mimo EU. Tři věci, a všechny tři jsou výslovně uvedené: přihlášení přes Google, cloud Garmin u půjčených hodinek a depersonalizovaný text předaný modelu.
• Doby uchování. Zdravotní údaje — 3 roky po poslední aktivitě, serverové logy — do 90 dní, odkaz na změnu hesla — 60 minut.
• Pro koho je tento dokument. Pro hotel, který vybírá platformu, a pro hosta, který chce vědět, co se stalo s jeho údaji. Aktualizováno 23.08.2026.

Co znamená Wellness & Lifestyle Intelligence

Wellness & Lifestyle Intelligence je třída produktu, která podporuje životní styl: spánek, pohyb, vodu, jídlo a hotelové procedury. Pracuje se stejnými údaji jako medicína, ale neuvádí zdravotnický účel a neslibuje léčebný výsledek.

Portál dělá toto: přebírá denní stavy z hodinek a vážení z váhy, porovnává je s vlastním průměrem hosta, ukazuje přehled hostovi v Účet a lékaři v Přehled a ukládá i zobrazuje to, co předepsal lékař.

Nikdy nedělá toto: neurčuje nemoc, nepředepisuje ani lék, ani dietu, neruší ani nenahrazuje předpis lékaře a neslibuje, že procedura něco vyléčí.

Rozdíl je vidět tam, kde algoritmus zasahuje do plánu. To, co je zdarma a naše — procházku, saunu zahrnutou v pobytu — portál upraví sám. U placené procedury jen navrhne přesun a rozhoduje lékař (jak to funguje).

Kde je hranice zdravotnického prostředku

Z programu nedělá zdravotnický prostředek složitost algoritmu, ale účel, který mu dal výrobce: diagnostika, prevence, sledování, predikce, prognóza, léčba nebo zmírnění nemoci (nařízení (EU) 2017/745 o zdravotnických prostředcích, článek 2). Portál takový účel neuvádí — a není to prohlášení, ale tři místa přímo v produktu:

• Úroveň rizika z dotazníku vybírá trasu procházky a koridor tepu, ne diagnózu. Nemá právní účinky a lékař ji může změnit.
• Pitnou kúru předepisuje hlavní lékař hotelu po vyšetření. Portál ji ukládá, ukazuje a připomíná dávku — sám ji předepsat nemůže (podrobněji).
• Noční okruh přesouvá proceduru, neléčí. Prahy, podle kterých to dělá, nastavili lékaři a jsou zveřejněné (čísla a pravidla).

Hodinky jsou spotřebitelské zařízení

Hotelový комплект tvoří běžné Garmin Forerunner 165 Music a váha Garmin Index S2 koupené v obchodě. Portál z nich nepřebírá žádné zdravotnické funkce: aplikaci EKG zapíná Garmin jen tam, kde je schválená jako zdravotnický prostředek, a hodinky koupené v jiné zemi ji nemusí mít vůbec.

Tep, jeho variabilita, fáze spánku, dýchání a okysličení krve jsou údaje z běžného optického snímače na zápěstí. Portál je tak také podává: jako vývoj vlastního těla hosta, ne jako výsledek vyšetření (co přesně hodinky měří).

Klasifikace nestojí na jedné větě v dokumentu, ale na slibech. Marketing hotelu, který řekne «stanovíme diagnózu podle hodinek» nebo «vyléčíme za týden», ten rámec rozbije rychleji než jakákoli úprava kódu.

Kdo za co odpovídá

Role v GDPR jsou rozdělené takto a to je důležitější než jakákoli slova o partnerství: vůči hostovi i dozorovému úřadu odpovídá hotel.

Proč má každý hotel vlastní databázi

Platforma není multitenantní v obvyklém smyslu: hosty různých hotelů neodděluje sloupec ve společné tabulce. Každý hotel má na serveru svůj proces, svůj adresář a svou databázi, ale kód je pro všechny stejný.

Ten rozdíl je praktický. Chyba v dotazu nemůže jednomu hotelu ukázat hosty jiného — v jeho databázi prostě nejsou. Hotel, který odchází, si vezme celý svůj soubor, ne výběr ze společného úložiště.

Dva souhlasy a verze zásad

Údaje o zdraví jsou zvláštní kategorie (článek 9 GDPR) a «souhlasím s podmínkami» při registraci pro ně právně nestačí. Proto jsou souhlasy dva: obecný při registraci a výslovný se zpracováním údajů o zdraví před dotazníkem.

Pořadí hlídá server, ne rozhraní: žádost o druhý souhlas se odmítne, pokud zásady ještě nejsou přijaté.

Oba souhlasy se ukládají spolu s číslem verze zásad a časem. Verze se zvyšuje, když se změní význam, ne kvůli překlepu — a pak se portál zeptá všech znovu oknem přes jakoukoli obrazovku.

Tak to bylo už třikrát: verze 1.5 přidala váhu na pokoji a složení těla, 1.6 uvedla model AI a 3 přenosy dat mimo EHP, 1.7 deník stravy a fotografii talíře. Pokaždé se hostů ptal znovu.

Zásady portálu jsou oddělené od zásad hotelu a týkají se jen portálu: účtu, dotazníku, procházek a hodinek. Rezervace pokoje a hotelové rozesílky spadají do jeho vlastních zásad.

×

Práva hosta řeší tlačítka, ne e-mail

Právo, které je slíbené, ale vyřizuje se dopisem hotelu, se v praxi neplní. Proto je v «Účet» blok «Moje data» a v něm 4 tlačítka.

• Export — vše, co portál o hostovi drží, v jednom strojově čitelném souboru: dotazníky, trasy s body záznamu, noci, testy, ordinace a profil (článek 20 — právo na přenositelnost).
• Export HL7 FHIR — stejná čísla v jazyce zdravotnických systémů, ve formátu FHIR R4: pacient a pozorování. Takový soubor čte systém kliniky, ne jen člověk.
• Odvolání souhlasu — standardně spolu s výmazem: po odvolání souhlasu už není na čem zdravotní údaje držet.
• Smazání účtu (článek 17) — s potvrzením: host zadá svou e-mailovou adresu, jinak tlačítko nic neudělá.

×

Co tlačítka nedělají

Účet zaměstnance těmito tlačítky smazat nejde. Pod podpisem lékaře jsou ordinace a ranní listy jiných lidí, a takový účet odstraňuje administrátor — aby se podpis tiše neodpojil.

Dvě úrovně výmazu a to, co smazání přežije, popisuje článek Osobní údaje: tam je také vysvětleno, proč deník vydání kompletů zůstává, zatímco poznámky personálu o hostovi mizí.

Kde data leží a co odchází ven

Server stojí v Evropské unii; země datového centra je uvedena v zásadách konkrétního hotelu. Data ho opouštějí přesně ve 3 případech a všechny 3 jsou v zásadách uvedené jmenovitě:

• Přihlášení přes Google — jen pokud si host tuto cestu sám vybral, a jen samotné přihlášení: e-mailová adresa, jméno a identifikátor účtu. Heslo Google se k portálu nikdy nedostane.
• Cloud Garmin — zapůjčené hodinky se synchronizují do účtu Garmin, který patří hotelu a nese číslo kompletu, ne jméno hosta; servery Garmin stojí v USA. Základem je výslovný souhlas daný pro hodinky (článek 49(1)(a)).
• Poskytovatel modelu — anonymizovaný ranní list (věk, pohlaví a čísla, bez jména, data narození a e-mailové adresy), zpráva lékaře, kterou je potřeba přeložit doslova, a fotografie talíře, když host sám stiskl fotoaparát.

A jedna věc, kterou smazat neumíme

V portálu nejsou reklamy ani analytická měření. Prohlížeč hosta drží jen token relace a zvolený jazyk.

Denní historii v účtu Garmin ale smazat nelze: Garmin tuto možnost nedává. Tyto dny u něj zůstávají podle jeho vlastních podmínek i poté, co je naše kopie smazaná. Portál z takového účtu čte jen dny toho pobytu, ve kterém měl host komplet u sebe — ale je poctivější to říct než mlčet.

Jak dlouho se co uchovává

Doba je uvedena pro každý druh dat zvlášť a smazání v ní znamená smazání řádků z databáze, ne jejich skrytí v rozhraní.

Jeden záznam hosta záměrně přežije — řádek vyúčtování za aktivní pobyt: odkaz na účet se v něm vynuluje, takže měsíc ví, že pobyt proběhl, ale už nikoho nejmenuje (jak se počítá aktivní host).

Co model dělá a o čem nikdy nerozhoduje

Část textů v portálu formuluje model umělé inteligence: znění ranního přehledu, překlad zprávy od lékaře, pozadí pohlednice z procházky, odhad kalorií z fotografie talíře.

Nepočítá míru rizika, nevybírá tepovou zónu ani nemění program — dostává to, co už portál spočítal. Automatizované rozhodování s právním účinkem (článek 22 GDPR) v portálu vůbec není.

To, že text napsal model, je hostovi řečeno přímo v zásadách: vyžaduje to článek 50 nařízení EU o umělé inteligenci.

A hlavní pojistka: ani jeden požadavek s osobním textem neodejde, dokud superadmin nepotvrdí, že je s poskytovatelem uzavřena smlouva o zpracování. Ve výchozím stavu je přepínač vypnutý — mlčení není souhlas. Bezplatný tarif se k tomu nehodí: podle podmínek samotného poskytovatele se učí z toho, co mu přijde.

Kalorie z fotografie portál ukazuje jako rozmezí a dovoluje je opravit: je to odhad podle obrázku, ne měření.

Co zakazuje server, ne rozhraní

• Pohled očima hosta je jen pro čtení. Lékař může otevřít účet hosta, aby viděl přesně to, co vidí host. Každý požadavek, který něco mění, se v takové relaci odmítne hned na vstupu do aplikace, ještě před obsluhou: slib vynucený zvlášť v každé trase vydrží jen do první nové trasy.
• Každý vstup se zapisuje. Kdo z personálu a kdy otevřel účet hosta, je jeden řádek v logu. Administrátor v takové relaci upravovat smí a cena je řečena nahlas: úprava odchází jménem hosta a log si pamatuje, do čího okna se dívat.
• Host se dostane jen ke svým řádkům. Oddělení rolí je udělané na serveru, ne schované v menu.
• Hesla se neukládají. V databázi je hash PBKDF2 a odkaz na změnu hesla jen jako SHA-256 kódu. Uniklá databáze nevydá ani jedno.
• Změna hesla zneplatní už vydané klíče. V každém tokenu je zapsaná generace relací: změna hesla, odhlášení na všech zařízeních nebo úprava role zruší už vydané klíče a nečeká se, až samy vyprší.

Co hotel udělá před spuštěním

• Vyplnit údaje správce. Dokud je aspoň jedno pole v lomených závorkách, portál považuje zásady za nezveřejnitelné a upozorňuje na to v administrátorském panelu.
• Uvést kanál pro žádosti k údajům — a pokud je jmenovaný pověřenec pro ochranu osobních údajů (článek 37), i jeho adresu. Zveřejnit jméno pověřence nařízení nevyžaduje, způsob spojení ano.
• Uvést lékaře jménem. Host, který předává údaje o zdraví, má právo vědět, kdo je čte, a ne se spokojit s formulací «lázeňský lékař».
• Uzavřít smlouvy o zpracování — s platformou a při zapnutí modelu i s jeho poskytovatelem. Do potvrzení je přepínač vypnutý a osobní texty neodcházejí.
• Srovnat marketing s klasifikací. Slib léčby na webu hotelu škrtá rámec «podpora životního stylu».
• Pamatovat na věkovou hranici. Portál je určený pro dospělé; účet se nezakládá nikomu mladšímu než 16 let.
• Znát svůj dozorový úřad. V zásadách je uveden adresou a webem; pro Česko je to Úřad pro ochranu osobních údajů.

Otázky a odpovědi

• Je portál zdravotnický prostředek? Ne. Nehlásí se k medicínskému účelu: nestanovuje diagnózy, nepředepisuje léčbu a neslibuje léčebný výsledek. Čísla sbírá a ukazuje, rozhodnutí dělá lékař.
• Kdo odpovídá hostovi — hotel nebo platforma? Hotel: je správcem údajů. Platforma je zpracovatel, pracuje podle smlouvy a podle pokynů hotelu.
• Je souhlas potřeba, když host jen nosí hodinky? Ano. Denní stavy jsou údaje o zdraví, zvláštní kategorie podle článku 9 GDPR. Portál si pro ně bere samostatný výslovný souhlas a odvolat ho lze jedním kliknutím.
• Odcházejí data mimo EU? Server je v EU. Ven odcházejí 3 věci a všechny 3 jsou uvedené v zásadách: přihlášení přes Google, cloud Garmin u zapůjčených hodinek a anonymizovaný text předaný modelu.
• Učí se model z dat hostů? Ne. Dokud není potvrzená smlouva o zpracování dat s poskytovatelem, žádný osobní text ven vůbec neodchází a sama smlouva zakazuje další použití i trénování.
• Co zůstane, když host smaže všechno? Z databáze zmizí noci, trasy, předepsané procedury, stravovací deník a poznámky personálu o něm. Zůstanou jen záznamy hotelu o sobě: kniha vydání kompletů a položka na účtu, která už nikoho nejmenuje.

Zdroje

Nařízení (EU) 2016/679 — GDPR · Nařízení (EU) 2017/745 o zdravotnických prostředcích · Nařízení (EU) 2024/1689 o umělé inteligenci · Úřad pro ochranu osobních údajů

Dále k tématu

Osobní údaje: 2 souhlasy, export a smazání — stejná práva ze strany hosta, krok za krokem.

Jak platforma přiděluje procedury — kde končí algoritmus a začíná lékař.

Ceny: Setup, Base a Active Guest — co je v zahájení a jak se počítá aktivní host.

Co měří hodinky — která čísla skutečně přicházejí ze zápěstí.

Recepce: práce s aplikacemi — proč se komplet před vydáním dalšímu hostovi smaže.

Plné zásady portálu jsou bez přihlášení otevřené na stránce ochrany soukromí.