Wiki

Wellness & Lifestyle Intelligence og GDPR: den juridiske ramme

Portalen støtter en livsstil, men stiller ikke diagnoser og ordinerer ikke behandling. Helbredsdata behandles efter GDPR — med gæstens udtrykkelige samtykke og på en server i EU.

Updated 2026-08-28 · Sample procedures Luxury Spa & Medical Wellness Hotel Prezident

Kort fortalt

• Klassen. Wellness & Lifestyle Intelligence er støtte til livsstilen: portalen samler tal fra ur og vægt, viser dem til gæsten og lægen og gemmer lægens ordinationer. Den stiller ikke diagnoser og ordinerer ikke behandling.
• Hvem der har ansvaret for data. Den dataansvarlige er hotellet: portalens politik angiver den juridiske enhed, registreringsnumre, adresse og lægen ved navn. longev.eu er databehandler og driver kode og server.
• Hvert hotel har sin egen database. Koden er den samme, men hvert hotel har sin egen proces, sin egen mappe og sin egen database. Der findes ikke én fælles tabel med gæster fra alle hoteller.
• Der er 2 samtykker. Et generelt ved registrering og et udtrykkeligt til helbredsdata før spørgeskemaet. Begge gemmes med politikens versionsnummer: lige nu version 1.7 fra 17.08.2026, 12 afsnit på 36 sprog.
• Rettighederne ligger på knapper. Eksport af alt i én fil, eksport i HL7 FHIR til klinikkens system, tilbagetrækning af samtykke med sletning og sletning af Konto. Uden brev til hotellet og uden ventetid.
• Hvad der forlader EU. 3 ting, og alle 3 er nævnt direkte: login med Google, Garmin-skyen bag det udleverede ur og anonymiseret tekst, som gives til modellen.
• Hvor længe. Helbredsdata — 3 år efter sidste aktivitet, serverlogfiler — op til 90 dage, link til ændring af adgangskode — 60 minutter.
• Hvem dokumentet er til. Hotellet, der vælger platform, og gæsten, der vil vide, hvad der er sket med tallene. Opdateret 23.08.2026.

Hvad Wellness & Lifestyle Intelligence betyder

Wellness & Lifestyle Intelligence er en produktklasse, der støtter livsstilen: søvn, bevægelse, vand, mad og hotellets behandlinger. Den arbejder med de samme tal som medicinen, men angiver ikke et medicinsk formål og lover ikke et behandlingsresultat.

Det portalen gør: den tager dagens tilstande fra uret og vejninger fra vægten, sammenligner dem med gæstens eget gennemsnit, viser billedet til gæsten i Konto og til lægen på Dashboard og gemmer og viser de ordinationer, som lægen har lavet.

Det gør den aldrig: sætter ikke navn på en sygdom, ordinerer hverken medicin eller diæt, ophæver eller erstatter ikke lægens ordination og lover ikke, at en behandling helbreder noget.

Forskellen ses dér, hvor algoritmen rører planen. Det, som er gratis og vores eget — en gåtur, sauna inkluderet i opholdet — flytter portalen selv. En betalt behandling foreslår den kun at flytte, og lægen afgør det (sådan fungerer det).

Hvor grænsen til medicinsk udstyr går

Det, der gør software til medicinsk udstyr, er ikke hvor avanceret algoritmen er, men hvilket formål producenten har givet den: diagnose, forebyggelse, overvågning, forudsigelse, prognose, behandling eller lindring af sygdom (forordning (EU) 2017/745 om medicinsk udstyr, artikel 2). Portalen angiver ikke et sådant formål — og det er ikke bare en erklæring, men noget man kan se 3 steder i selve produktet:

• Risikoniveauet fra spørgeskemaet vælger en rute til gåturen og et pulsinterval, ikke en diagnose. Det har ingen juridiske følger, og lægen kan tilsidesætte det.
• Drikkekuren ordineres af hotellets cheflæge efter en undersøgelse. Portalen gemmer den, viser den og minder om indtagelse — den kan ikke selv ordinere den (mere).
• Natløkken flytter en behandling, den behandler ikke. De tærskler, den gør det efter, er fastsat af lægerne og er offentlige (tal og regler).

Uret er en forbrugerenhed

Hotellets kit er et almindeligt Garmin Forerunner 165 Music og en almindelig Garmin Index S2-vægt, købt i en butik. Portalen bruger ingen af deres medicinske funktioner: Garmin aktiverer kun ECG-appen dér, hvor den er godkendt som medicinsk udstyr, og et ur købt i et andet land har den måske slet ikke.

Puls, variabilitet, søvnfaser, vejrtrækning og blodets iltmætning er målinger fra en optisk sensor til forbrugere på håndleddet. Sådan viser portalen dem også: som udviklingen i gæstens egen krop, ikke som resultatet af en analyse (hvad uret faktisk måler).

Klassificeringen holdes ikke oppe af en linje i et dokument, men af de løfter, man giver. Markedsføring fra hotellet, der siger «vi stiller diagnose ud fra dit ur» eller «vi helbreder dig på en uge», bryder rammen hurtigere end enhver ændring i koden.

Hvem der har ansvar for hvad

Rollerne i GDPR er fordelt sådan, og den fordeling er vigtigere end alle ord om partnerskab: det er hotellet, der står til ansvar over for gæsten og tilsynsmyndigheden.

Hvorfor hvert hotel har sin egen database

Platformen er ikke multitenant i den sædvanlige forstand: gæster fra forskellige hoteller er ikke skilt ad med en kolonne i en fælles tabel. Hvert hotel har sin egen proces på serveren, sin egen mappe og sin egen database, mens koden er den samme for alle.

Forskellen er praktisk. En fejl i en forespørgsel kan ikke vise det ene hotel gæster fra et andet — de findes ganske enkelt ikke i dets database. Et hotel, der forlader platformen, tager hele sin fil med sig, ikke et udtræk fra et fælles lager.

To samtykker og politikens version

Helbredsdata er en særlig kategori (artikel 9 i GDPR), og «jeg accepterer vilkårene» ved registrering er juridisk ikke nok til dem. Derfor er der 2 samtykker: et generelt ved registrering og et udtrykkeligt til behandling af helbredsdata før spørgeskemaet.

Rækkefølgen styres af serveren, ikke af grænsefladen: en anmodning om det andet samtykke afvises, hvis politikken endnu ikke er accepteret.

Begge samtykker gemmes sammen med politikkens versionsnummer og tidspunktet. Versionen stiger, når meningen ændrer sig, ikke ved en stavefejl — og så spørger portalen alle igen i et vindue oven på enhver skærm.

Det er allerede sket 3 gange: version 1.5 tilføjede vægten på værelset og kropssammensætning, 1.6 nævnte AI-modellen og de 3 dataoverførsler ud af EØS, 1.7 kostdagbogen og et billede af tallerkenen. Hver gang blev gæsterne spurgt igen.

Portalens politik er adskilt fra hotellets og dækker kun portalen: Konto, spørgeskemaet, ruterne og uret. Booking af værelse og hotellets nyhedsbrev hører under dets egen politik.

×

Gæstens rettigheder klares med knapper, ikke med en e-mail

En ret, som er lovet, men kun kan bruges ved at skrive til hotellet, bliver i praksis ikke brugt. Derfor har siden «Konto» en blok med «Mine data», og i den er der 4 knapper.

• Eksport — alt det, portalen har om gæsten, i én maskinlæsbar fil: spørgeskemaer, ruter med trackpunkter, nætter, test, ordinationer, profil (artikel 20 — retten til dataportabilitet).
• HL7 FHIR-eksport — de samme tal på de medicinske systemers sprog, i FHIR R4: patient og observationer. En sådan fil kan læses af klinikkens system, ikke kun af et menneske.
• Tilbagetræk samtykke — som udgangspunkt sammen med sletning: uden samtykke er der ikke længere grundlag for at opbevare helbredsdata.
• Slet konto (artikel 17) — med bekræftelse: gæsten skal skrive sin egen e-mailadresse, ellers virker knappen ikke.

×

Det gør knapperne ikke

En medarbejderkonto kan ikke slettes med de knapper. En læges signatur står under andre menneskers ordinationer og morgenark, så en administrator fjerner sådan en konto, så signaturen ikke forsvinder uden videre.

De to niveauer af sletning, og hvad der bliver efter en sletning, er beskrevet i artiklen Personoplysninger: her forklares også, hvorfor journalen over udleverede kit bliver, mens personalets noter om en gæst forsvinder.

Hvor data ligger, og hvad der sendes ud

Serveren står i EU, og landet for datacentret er nævnt i det enkelte hotels politik. Data forlader den i præcis 3 tilfælde, og alle 3 er nævnt ved navn i politikken:

• Login med Google — kun hvis gæsten selv har valgt den vej, og kun selve loginet: e-mailadresse, navn og konto-id. Google-adgangskoden kommer aldrig til portalen.
• Garmin-skyen — et udleveret ur synkroniserer til en Garmin-konto, som tilhører hotellet og har kitnummeret i stedet for gæstens navn; Garmins servere står i USA. Grundlaget er det udtrykkelige samtykke, der er givet til uret (artikel 49(1)(a)).
• Modelleverandøren — det anonymiserede morgenark (alder, køn og tal, uden navn, fødselsdato og e-mailadresse), en besked fra lægen, som skal oversættes ordret, og et billede af en tallerken, når gæsten selv har trykket på kameraet.

Og én ting, vi ikke kan slette

Portalen har hverken reklamer eller analysetællere. Gæstens browser gemmer kun sessionstokenet og det valgte sprog.

Daghistorikken i en Garmin-konto kan derimod ikke slettes, for Garmin giver ikke den mulighed. De dage bliver hos Garmin efter Garmins egne vilkår, også efter at vores kopi er slettet. Portalen læser kun de dage fra en sådan konto, hvor gæsten havde kittet under det ophold — men det er mere ærligt at sige det end at tie om det.

Hvor længe ting gemmes

Fristen er angivet særskilt for hver datatype, og sletning betyder her, at rækker fjernes fra databasen, ikke at de bare skjules i brugerfladen.

Én post overlever med vilje gæsten — fakturalinjen for et aktivt ophold: linket til kontoen nulstilles, så måneden husker, at opholdet fandt sted, men ikke længere nævner nogen ved navn (hvordan en aktiv gæst tælles).

Hvad modellen gør, og hvad den aldrig afgør

Noget af portalens tekst bliver formuleret af en model for kunstig intelligens: teksten i morgenoversigten, oversættelsen af en besked fra lægen, baggrundsteksten til et postkort fra en sundhedsrute og vurderingen af kalorier ud fra et foto af en tallerken.

Den beregner ikke risikoniveau, vælger ikke pulszone og ændrer ikke programmet — den får det, som portalen allerede har regnet ud. Der findes slet ingen automatiseret afgørelse med retsvirkning i portalen (artikel 22 GDPR).

At en tekst er skrevet af en model, står direkte i politikken til gæsten: det kræver artikel 50 i EU-forordningen om kunstig intelligens.

Og den vigtigste sikring: ikke en eneste forespørgsel med personlig tekst sendes ud, før superadministratoren har bekræftet, at der er indgået en databehandleraftale med leverandøren. Kontakten er som standard slået fra — tavshed er ikke samtykke. En gratis plan dur ikke her: efter leverandørens egne vilkår lærer den af det, der bliver sendt ind.

Kalorier fra et foto viser portalen som et interval og lader dig rette dem: det er et skøn ud fra et billede, ikke en måling.

Hvad serveren forbyder, ikke grænsefladen

• At se med gæstens øjne er kun læsning. En læge kan åbne gæstens konto for at se præcis det samme som gæsten ser. Enhver forespørgsel, der ændrer noget, bliver afvist ved indgangen til applikationen, før den når en handler: et løfte, der kun holdes rute for rute, holder kun til den første nye rute.
• Hver adgang bliver logget. Hvem i personalet der åbnede gæstens konto, og hvornår, står på en linje i loggen. En administrator må gerne rette i sådan en session, og prisen bliver sagt højt: rettelsen går ud i gæstens navn, og loggen husker, hvis vindue man skal se i.
• Gæsten når kun sine egne rækker. Rolleadskillelsen ligger på serveren og er ikke gemt i en menu.
• Adgangskoder bliver ikke gemt. Databasen indeholder en PBKDF2-hash, og et link til at skifte adgangskode kun som en SHA-256 af koden. En lækket database giver hverken det ene eller det andet.
• Skift af adgangskode slukker allerede udstedte nøgler. Hver token bærer en sessionsgeneration: skift af adgangskode, log ud på alle enheder eller ændring af rolle gør allerede udstedte nøgler ugyldige i stedet for at vente på, at de selv udløber.

Hvad hotellet gør før lanceringen

• Udfyld den dataansvarliges oplysninger. Så længe bare ét felt stadig står i vinkelparenteser, regner portalen politikken for ikke klar til offentliggørelse og advarer om det i administratorpanelet.
• Angiv en kanal til datahenvendelser — og, hvis der er udpeget en databeskyttelsesrådgiver (artikel 37), dennes adresse. Forordningen kræver ikke, at rådgiverens navn bliver offentliggjort, men den kræver en måde at komme i kontakt på.
• Nævn lægen ved navn. En gæst, der afleverer helbredsdata, har ret til at vide, hvem der læser dem, og ikke nøjes med formuleringen «kurstedets læge».
• Indgå databehandleraftaler — med platformen og, hvis modellen bliver slået til, også med dens leverandør. Indtil det er bekræftet, er kontakten slået fra, og personlige tekster bliver ikke sendt ud.
• Hold markedsføringen op mod klassificeringen. Et løfte om behandling på hotellets hjemmeside ophæver rammen «livsstøtte».
• Husk aldersgrænsen. Portalen er beregnet til voksne; der oprettes ikke en konto til nogen under 16 år.
• Kend din tilsynsmyndighed. Den står i politikken med adresse og hjemmeside; for Tjekkiet er det Úřad pro ochranu osobních údajů.

Spørgsmål og svar

• Er portalen medicinsk udstyr? Nej. Den gør ikke krav på et medicinsk formål: den stiller ikke diagnoser, ordinerer ikke behandling og lover ikke et behandlingsresultat. Den samler tal og viser dem; lægen træffer beslutningerne.
• Hvem står til ansvar over for gæsten — hotellet eller platformen? Hotellet: det er den dataansvarlige. Platformen er databehandler og arbejder efter aftale og efter hotellets instrukser.
• Kræver det samtykke, hvis gæsten bare bærer uret? Ja. Daglige tilstande er helbredsdata, en særlig kategori efter artikel 9 GDPR. Portalen indhenter et særskilt udtrykkeligt samtykke til dem, og det kan trækkes tilbage med ét klik.
• Forlader data EU? Serveren står i EU. Der er 3 ting, der går ud, og alle 3 står i politikken: login med Google, Garmin-skyen bag det udleverede ur og den anonymiserede tekst, der gives til modellen.
• Lærer modellen af gæsternes data? Nej. Så længe databehandleraftalen med leverandøren ikke er bekræftet, sendes der slet ingen personlig tekst ud, og aftalen forbyder selv genbrug og træning.
• Hvad bliver tilbage, hvis en gæst sletter alt? Nætter, kure, ordinationer, kostdagbog og personalets noter om gæsten forsvinder fra databasen. Tilbage bliver hotellets egne registreringer: journalen over udlevering af kit og en fakturalinje, som ikke længere nævner nogen ved navn.

Kilder

Forordning (EU) 2016/679 — GDPR · Forordning (EU) 2017/745 om medicinsk udstyr · Forordning (EU) 2024/1689 om kunstig intelligens · Úřad pro ochranu osobních údajů

Læs videre

Dine personoplysninger: 2 samtykker, eksport og sletning — de samme rettigheder set fra gæstens side, knap for knap.

Sådan tildeler platformen behandlinger — hvor algoritmen stopper, og lægen tager over.

Priser: Setup, Base og Active Guest — hvad der er med i opstarten, og hvordan en aktiv gæst tælles.

Hvad uret måler — hvilke tal der faktisk kommer fra håndleddet.

Reception: arbejde med apps — hvorfor et kit slettes, før det gives videre til den næste gæst.

Portalens fulde politik er åben uden login på siden om privatliv.