Wellness & Lifestyle Intelligence y GDPR: marco legal
El portal apoya un estilo de vida; no diagnostica ni prescribe tratamientos. Los datos de salud se tratan conforme al GDPR con el consentimiento explícito del huésped y en un servidor de la UE.
La categoría. Wellness & Lifestyle Intelligence: apoyo al estilo de vida. El portal recopila los valores del reloj y la báscula, se los muestra al huésped y al médico, y conserva las pautas médicas. No diagnostica ni prescribe tratamientos.
Quién responde por los datos. El responsable del tratamiento es el hotel: en la política del portal se indican la entidad jurídica, sus números de registro, la dirección y el nombre del médico. longev.eu es el encargado del tratamiento: gestiona el código y el servidor.
Cada hotel tiene su propia base de datos. El código es compartido, pero cada hotel dispone de su propio proceso, su propio directorio y su propia base de datos. No existe una tabla global con los huéspedes de todos los hoteles.
Hay dos consentimientos. Uno general al registrarse y otro explícito para los datos de salud antes del cuestionario. Ambos quedan registrados con la versión de la política: actualmente la versión 1.7 del 17.08.2026, en doce secciones y 36 idiomas.
Los derechos se gestionan con botones. Descarga de todos los datos en un solo archivo, exportación en formato HL7 FHIR para sistemas clínicos, retirada del consentimiento con supresión de datos y eliminación de la cuenta. Sin trámites por escrito y sin esperas.
Qué datos salen de la UE. Solo tres elementos, y los tres se detallan expresamente: el inicio de sesión con Google, la nube de Garmin asociada al reloj prestado y el texto anonimizado que se envía al modelo.
Plazos de conservación. Datos de salud: tres años tras la última actividad; registros del servidor: hasta 90 días; enlace para restablecer la contraseña: 60 minutos.
A quién va dirigido este documento. Al hotel que evalúa la plataforma y al huésped que desea conocer el tratamiento de sus datos. Actualizado el 23.08.2026.
Qué significa Wellness & Lifestyle Intelligence
Wellness & Lifestyle Intelligence es una categoría de producto concebida para acompañar el estilo de vida: sueño, actividad física, agua, alimentación y procedimientos del hotel. Emplea los mismos datos que el ámbito médico, pero sin atribuirse fines clínicos ni prometer resultados terapéuticos.
Qué hace el portal: recibe las métricas diarias del reloj y las mediciones de la báscula, las compara con los valores medios del propio huésped, presenta la evolución al huésped en su cuenta y al médico en el panel, y registra y muestra las pautas prescritas por el médico.
Qué no hace nunca: no diagnostica enfermedades, no prescribe fármacos ni dietas, no modifica ni sustituye las indicaciones médicas, ni garantiza la curación mediante ningún procedimiento.
La diferencia resulta clara en el modo en que el algoritmo gestiona la agenda. Los servicios propios o gratuitos —una caminata, la sauna incluida en la estancia— los reprograma el sistema de forma autónoma. En cambio, para un procedimiento de pago solo propone un cambio de horario, y la decisión final corresponde al médico (cómo funciona).
Dónde se sitúa el límite frente a un producto sanitario
Lo que define a un software como producto sanitario no es la complejidad de su algoritmo, sino la finalidad prevista por su fabricante: diagnóstico, prevención, control, predicción, pronóstico, tratamiento o alivio de enfermedades (Reglamento (UE) 2017/745 sobre los productos sanitarios, artículo 2). El portal no persigue estos fines, lo que se refleja en tres aspectos directos de su funcionamiento:
El nivel de riesgo del cuestionario sirve para recomendar una ruta de salud y un intervalo de frecuencia cardíaca, no constituye un diagnóstico. No genera efectos jurídicos y el médico puede ajustarlo en todo momento.
La cura de agua la prescribe el médico jefe del hotel tras la consulta médica. El portal únicamente la almacena, la muestra y recuerda las tomas, sin capacidad para prescribirla por sí mismo (más detalles).
El circuito nocturno reprograma procedimientos en función del descanso, no aplica terapias. Los umbrales utilizados están fijados por el equipo médico y son totalmente públicos (valores y reglas).
El reloj es un dispositivo de consumo
El kit que entrega el hotel consiste en un reloj Garmin Forerunner 165 Music y una báscula Garmin Index S2 de serie comercial estándar. El portal no utiliza ninguna función médica: Garmin solo activa la función de ECG en aquellos países donde cuenta con homologación sanitaria, por lo que un reloj adquirido en otra región podría no incluirla.
El pulso, la variabilidad cardíaca, las fases del sueño, la respiración y el oxígeno en sangre son mediciones de un sensor óptico de muñeca de uso particular. El portal las interpreta en esos términos: como la evolución fisiológica del propio huésped y no como una prueba diagnóstica (qué mide exactamente el reloj).
Esta delimitación legal no se sostiene por una cláusula formal, sino por los compromisos que se comunican. Si los mensajes del hotel afirman «le diagnosticaremos con el reloj» o «le curaremos en una semana», se desvirtúa el marco normativo con mayor rapidez que con cualquier modificación técnica.
Responsabilidades de cada parte
Las funciones bajo el GDPR se definen de la siguiente manera, y esta distinción legal prevalece sobre cualquier acuerdo de colaboración: el hotel es el responsable directo ante el huésped y ante la autoridad de control.
Función
Parte
Cometido
Responsable del tratamiento
el hotel como persona jurídica
decide para qué se recogen los datos; responde ante el huésped y ante la autoridad de control; sus datos figuran en la política del portal
Encargado del tratamiento
longev.eu
gestiona el código y el servidor, según el contrato de tratamiento y siguiendo las instrucciones del hotel
El médico
el médico jefe del hotel, con nombre y apellidos
ve los datos de la estancia, prescribe la cura y los procedimientos; sujeto al secreto médico
El alojamiento
el proveedor, centro de datos en la UE
mantiene el servidor en funcionamiento; también es encargado del tratamiento, por contrato
Garmin
la nube de Garmin
recibe lo que registra el reloj: bien la propia cuenta del huésped o la cuenta del hotel vinculada al kit prestado
Google
inicio de sesión y el modelo
el inicio de sesión con Google es a elección del huésped; el modelo funciona mientras el hotel mantenga la función activa
Mapas
OpenStreetMap, mapy.com
el navegador del huésped solicita las teselas del mapa directamente; el trazado del paseo nunca se les envía
Por qué cada hotel tiene su propia base de datos
La plataforma no es multiinquilino en el sentido habitual: a los huéspedes de los distintos hoteles no los separa una columna en una tabla compartida. Cada hotel cuenta con su propio proceso en el servidor, su propio directorio y su propia base de datos, mientras que el código es exactamente el mismo.
La diferencia es práctica. Un error en una consulta nunca puede mostrar a un hotel los huéspedes de otro: sencillamente no están en su base de datos. Un hotel que deja el sistema se lleva su archivo entero, no un extracto de un almacén compartido.
Dos consentimientos y la versión de la política
Los datos de salud son una categoría especial (artículo 9 del GDPR) y marcar «acepto las condiciones» al registrarse no basta legalmente. Por eso hay dos consentimientos: el general al registrarse y uno explícito para el tratamiento de datos de salud, que se solicita antes del cuestionario.
El orden lo gestiona el servidor, no la interfaz: cualquier solicitud del segundo consentimiento se rechaza si aún no se ha aceptado la política.
Ambos consentimientos se guardan junto con el número de versión de la política y la hora. La versión sube cuando cambia el fondo, no por una errata, y en ese momento el portal vuelve a preguntar a todos mediante una ventana superpuesta a cualquier pantalla.
Ya ha ocurrido tres veces: la versión 1.5 añadió la báscula de la habitación y la composición corporal, la 1.6 nombró el modelo de IA y las tres salidas de datos del EEE, y la 1.7 el diario de nutrición y la foto del plato. En cada ocasión se volvió a preguntar a todos los huéspedes.
La política del portal es independiente de la del hotel y solo cubre el portal: la cuenta, el cuestionario, las rutas y el reloj. Las reservas de habitación y el boletín del hotel se rigen por la política propia del establecimiento.
Política de privacidad del portal: doce secciones, accesible sin iniciar sesión×
Los derechos del huésped: con botones, no por correo
Un derecho que se promete pero exige escribir un correo al hotel, en la práctica no se cumple. Por eso, en «Cuenta» hay un bloque de «Mis datos» con cuatro botones.
Exportar: todo lo que el portal guarda sobre el huésped en un único archivo legible por máquina: cuestionarios, paseos con sus puntos de ruta, noches, pruebas, pautas y perfil (artículo 20: derecho a la portabilidad).
Exportar en HL7 FHIR: los mismos datos en el lenguaje de los sistemas médicos, en formato FHIR R4: paciente y observaciones. Este archivo lo lee el sistema informático de una clínica, no solo una persona.
Retirar el consentimiento: por defecto se acompaña del borrado, ya que sin consentimiento no queda base legal alguna para conservar los datos de salud.
Eliminar la cuenta (artículo 17): requiere confirmación, por lo que el huésped debe escribir su dirección de correo electrónico para que el botón se active.
«Mis datos»: exportación, retirada del consentimiento y eliminación×
Lo que los botones no hacen
Una cuenta de empleado no se puede eliminar con estos botones. La firma del médico figura en las pautas y hojas matutinas de otras personas, por lo que esa cuenta solo puede retirarla un administrador para evitar que las firmas queden desvinculadas sin previo aviso.
Los dos niveles de borrado y lo que se conserva tras la eliminación se detallan en Datos personales, donde también se explica por qué el registro de entrega de kits permanece mientras que las notas del personal sobre el huésped desaparecen.
Dónde residen los datos y qué información sale fuera
El servidor está ubicado en la Unión Europea; el país del centro de datos se indica en la política de cada hotel. Los datos solo salen de él en tres supuestos concretos, identificados con nombre y apellidos en dicha política:
Acceso con Google: únicamente si el huésped elige esta opción y solo para iniciar sesión: dirección de correo electrónico, nombre e identificador de cuenta. La contraseña de Google jamás llega al portal.
La nube de Garmin: el reloj prestado se sincroniza con una cuenta de Garmin que pertenece al hotel y lleva el número del kit en lugar del nombre del huésped; los servidores de Garmin están en Estados Unidos. La base es el consentimiento explícito otorgado para el uso del reloj (artículo 49(1)(a)).
El proveedor del modelo: el resumen matutino anonimizado (edad, sexo y métricas, sin nombre, fecha de nacimiento ni correo), los mensajes del médico que requieran traducción literal y la fotografía del plato cuando el propio huésped decide hacerla.
Y algo que no podemos borrar
El portal no incluye publicidad ni herramientas de analítica. El navegador del huésped únicamente almacena el token de sesión y el idioma seleccionado.
Sin embargo, el historial diario no se puede eliminar de la cuenta de Garmin: la plataforma no ofrece esa opción. Esos días permanecen en Garmin según sus propias condiciones, incluso después de haber borrado nuestra copia. El portal solo consulta en dicha cuenta los días de la estancia en los que el huésped tuvo el kit, pero preferimos ser transparentes al respecto.
Plazos de conservación
Cada tipo de dato tiene su propio plazo fijado, y la eliminación supone borrar las filas directamente de la base de datos, no solo ocultarlas de la pantalla.
Solo un registro se conserva de forma deliberada tras la baja: la línea de facturación de la estancia activa. El enlace a la cuenta se desvincula, de modo que el mes guarda constancia de que hubo una estancia, pero sin asociarla a ninguna persona (cómo se calcula un huésped activo).
Dato
Plazo
Cuenta
hasta que el huésped la elimine
Cuestionarios, paseos, perfil y cura de agua
tres años tras la última actividad o hasta la retirada del consentimiento
Diario de alimentación y fotos de las comidas
los mismos tres años; la fotografía se elimina del disco junto con el registro, no solo de la lista
Estados diarios del reloj prestado
permanecen en la ficha del huésped entre estancias, los mismos tres años
Enlace para restablecer la contraseña
60 minutos
Registros del servidor
hasta 90 días
Qué hace el modelo y qué no decide nunca
Parte de los textos del portal los redacta un modelo de inteligencia artificial: la redacción del resumen matutino, la traducción de un mensaje del médico, el fondo de la postal de una ruta o la estimación de calorías a partir de la foto de un plato.
No calcula el nivel de riesgo, no elige la zona de frecuencia cardíaca ni modifica el programa: se le entrega lo que el portal ya ha calculado. En el portal no existe ninguna toma de decisiones automatizada con efectos jurídicos (artículo 22 del GDPR).
Que un texto ha sido generado por un modelo se le informa directamente al huésped en la propia política: así lo exige el artículo 50 del reglamento de la UE sobre inteligencia artificial.
Y la salvaguarda principal: no se envía ninguna solicitud con texto personal hasta que el superadministrador confirme que existe un contrato de encargo del tratamiento con el proveedor. Por defecto, el interruptor está desactivado: el silencio no es consentimiento. Un plan gratuito no sirve para esto: según las condiciones del propio proveedor, este entrena a sus modelos con lo enviado.
Las calorías calculadas a partir de una foto se muestran con un rango aproximado y se pueden corregir: es una estimación a partir de una imagen, no una medición.
Qué restricciones impone el servidor y no la interfaz
Ver a través de los ojos del huésped es de solo lectura. El médico puede abrir la cuenta del huésped para ver exactamente lo mismo que él. Cualquier petición que modifique datos se rechaza a la entrada de la aplicación, antes de llegar al controlador: una promesa aplicada ruta a ruta solo dura hasta la primera ruta nueva.
Cada acceso queda registrado. Qué miembro del personal y cuándo abrió la cuenta del huésped es una línea en el registro. El administrador sí tiene permiso para editar en dicha sesión, y el coste queda claro: la modificación se realiza en nombre del huésped y el registro recuerda a través de qué ventana mirar.
El huésped solo accede a sus propios registros. La separación de roles se gestiona en el servidor, no ocultando opciones en un menú.
Las contraseñas no se almacenan. En la base de datos se guarda un hash PBKDF2, y el enlace de restablecimiento de contraseña solo como SHA-256 del código. Una filtración de la base de datos no revela ninguno de los dos.
Cambiar la contraseña invalida las claves emitidas. Cada token incluye una generación de sesión: un cambio de contraseña, cerrar sesión en todos los dispositivos o modificar un rol revoca las claves ya emitidas de inmediato, sin esperar a que caduquen solas.
Qué debe hacer el hotel antes del lanzamiento
Completar los datos del responsable del tratamiento. Mientras quede un solo campo entre corchetes angulares, el portal considera que la política no se puede publicar y avisa de ello en el panel de administración.
Indicar un canal para solicitudes de datos y, si se ha designado a un delegado de protección de datos (artículo 37), su dirección de contacto. El reglamento no exige publicar el nombre del delegado, pero sí una vía de comunicación con él.
Identificar al médico con nombre y apellidos. El huésped que comparte datos de salud tiene derecho a saber quién los consulta, en lugar de conformarse con la fórmula «el médico del balneario».
Firmar los contratos de encargo del tratamiento: con la plataforma y, si se activa el modelo, también con su proveedor. Hasta que no se confirme, el interruptor permanece desactivado y no se transmite ningún texto personal.
Revisar la comunicación comercial frente a la clasificación. Prometer tratamientos médicos en la web del hotel invalida el marco de «apoyo al estilo de vida».
Tener en cuenta el límite de edad. El portal está pensado para adultos; no se crea ninguna cuenta a personas menores de 16 años.
Conocer la autoridad de control correspondiente. En la política figura su dirección postal y su sitio web; en la República Checa es la Úřad pro ochranu osobních údajů.
Preguntas y respuestas
¿Es el portal un producto sanitario? No. No tiene ninguna finalidad médica declarada: no emite diagnósticos, no prescribe tratamientos ni promete resultados terapéuticos. Recopila y muestra cifras; las decisiones las toma el médico.
¿Quién responde ante el huésped: el hotel o la plataforma? El hotel, ya que es el responsable del tratamiento. La plataforma actúa como encargada del tratamiento, bajo contrato y siguiendo las instrucciones del hotel.
¿Se necesita consentimiento si el huésped solo lleva el reloj? Sí. Los estados diarios son datos de salud, una categoría especial según el artículo 9 del GDPR. El portal solicita un consentimiento explícito independiente para ellos, que se puede revocar con un solo clic.
¿Salen los datos de la UE? El servidor está en la UE. Solo salen tres cosas, y las tres se detallan en la política: el inicio de sesión con Google, la nube de Garmin de los relojes prestados y el texto anonimizado que se envía al modelo.
¿Aprende el modelo de los datos de los huéspedes? No. Mientras no se confirme el acuerdo de tratamiento de datos con el proveedor, no sale ningún texto personal, y el propio acuerdo prohíbe su reutilización y el entrenamiento.
¿Qué queda si un huésped borra todo? De la base de datos se eliminan las noches, las rutas, los procedimientos asignados, el diario de comidas y las notas del personal sobre él. Quedan únicamente los registros internos del hotel: el registro de entrega de kits y un apunte de facturación que ya no nombra a nadie.
