Wiki

Wellness & Lifestyle Intelligence ja GDPR: oikeudellinen kehys

Portaali tukee elämäntapaa eikä tee diagnooseja tai määrää hoitoa. Terveystietoja käsitellään GDPR:n mukaisesti vieraan nimenomaisella suostumuksella EU:ssa olevalla palvelimella.

Updated 2026-08-28 · Sample procedures Luxury Spa & Medical Wellness Hotel Prezident

Lyhyesti

• Luokka. Wellness & Lifestyle Intelligence tukee elämäntapaa: portaali kerää kellon ja vaa'an luvut, näyttää ne vieraalle ja lääkärille sekä säilyttää lääkärin määräykset. Se ei tee diagnoosia eikä määrää hoitoa.
• Kuka vastaa tiedoista. Rekisterinpitäjä on hotelli: portaalin tietosuojaselosteessa on mainittu oikeushenkilö, rekisterinumerot, osoite ja lääkäri nimeltä. longev.eu on henkilötietojen käsittelijä: se ylläpitää koodia ja palvelinta.
• Jokaisella hotellilla on oma tietokanta. Koodipohja on sama, mutta jokaisella hotellilla on oma prosessi, oma hakemisto ja oma tietokanta. Kaikkien hotellien vieraista ei ole yhteistä taulukkoa.
• Suostumuksia on kaksi. Yleinen suostumus annetaan rekisteröityessä, nimenomainen suostumus terveystiedoille ennen kyselyä. Molemmat tallennetaan tietosuojaselosteen versionumeron kanssa: tällä hetkellä versio 1.7, päivätty 17.08.2026, 12 osiota 36 kielellä.
• Oikeudet ovat painikkeina. Kaiken voi viedä yhtenä tiedostona, klinikan järjestelmää varten voi tehdä HL7 FHIR -viennin, suostumuksen voi perua samalla kun tiedot poistetaan, ja tilin voi poistaa. Ei kirjettä hotelliin eikä odottamista.
• Mikä lähtee EU:n ulkopuolelle. Kolme asiaa, ja kaikki kolme on sanottu suoraan: kirjautuminen Google-tilillä, lainatun kellon Garmin-pilvi ja mallille annettu anonymisoitu teksti.
• Säilytysajat. Terveystiedot säilytetään 3 vuotta viimeisestä aktiivisuudesta, palvelinlokit enintään 90 päivää ja salasanan vaihtolinkki 60 minuuttia.
• Kenelle tämä on. Hotellille, joka valitsee alustaa, ja vieraalle, joka haluaa tietää, mitä hänen luvuilleen tapahtui. Päivitetty 23.08.2026.

Mitä Wellness & Lifestyle Intelligence tarkoittaa

Wellness & Lifestyle Intelligence on tuoteluokka, joka tukee elämäntapaa: unta, liikkumista, vettä, ruokaa ja hotellin hoitoja. Se käyttää samoja lukuja kuin lääketiede, mutta sillä ei ilmoiteta olevan lääketieteellistä käyttötarkoitusta eikä se lupaa hoidollista tulosta.

Portaali tekee tämän: ottaa kellosta vuorokausitilat ja vaa'asta punnitukset, vertaa niitä vieraan omaan keskiarvoon, näyttää kokonaiskuvan vieraalle hänen tilillään ja lääkärille hallintapaneelissa sekä säilyttää ja näyttää lääkärin tekemät määräykset.

Sitä se ei tee koskaan: ei nimeä sairautta, ei määrää lääkettä eikä ruokavaliota, ei kumoa eikä korvaa lääkärin määräystä eikä lupaa, että hoito parantaa.

Ero näkyy siinä, missä algoritmi koskee suunnitelmaa. Maksuttomat ja omat asiat — kävelyreitin, majoitukseen kuuluvan saunan — portaali siirtää itse. Maksullisen hoidon kohdalla se vain ehdottaa siirtoa, ja päätöksen tekee lääkäri (miten tämä toimii).

Missä lääkinnällisen laitteen raja kulkee

Ohjelmistosta ei tee lääkinnällistä laitetta algoritmin monimutkaisuus vaan käyttötarkoitus, jonka valmistaja sille antaa: diagnoosi, ehkäisy, seuranta, ennustaminen, arviointi, hoito tai sairauden lievitys (asetus (EU) 2017/745 lääkinnällisistä laitteista, 2 artikla). Portaali ei ilmoita tällaista käyttötarkoitusta, eikä tämä näy vain lausumana vaan kolmessa kohdassa itse tuotteessa:

• Kyselyn riskitaso valitsee kävelyreitin ja sykealueen, ei diagnoosia. Sillä ei ole oikeusvaikutuksia, ja lääkäri voi ohittaa sen.
• Juomakuurin määrää hotellin ylilääkäri tutkimuksen jälkeen. Portaali säilyttää sen, näyttää sen ja muistuttaa annoksesta, mutta ei voi määrätä sitä itse (lisää).
• Yökierto siirtää hoitoa, ei hoida. Kynnysarvot, joiden perusteella se tekee tämän, ovat lääkärien määrittämiä ja julkisia (luvut ja säännöt).

Kello on kuluttajalaite

Hotellin paketti koostuu tavallisesta Garmin Forerunner 165 Music -kellosta ja tavallisesta Garmin Index S2 -vaa'asta, jotka on ostettu kaupasta. Portaali ei käytä mitään niiden lääkinnällisistä toiminnoista: Garmin ottaa EKG-sovelluksen käyttöön vain siellä, missä se on hyväksytty lääkinnälliseksi laitteeksi, ja toisesta maasta ostetussa kellossa sitä ei välttämättä ole lainkaan.

Syke, sen vaihtelu, unen vaiheet, hengitys ja veren happisaturaatio ovat ranteessa olevan kuluttajatason optisen anturin lukemia. Portaali esittää ne juuri näin: vieraan oman kehon muutoksina, ei tutkimustuloksena (mitä kello oikeasti mittaa).

Luokitus ei perustu asiakirjan yhteen riviin vaan siihen, mitä luvataan. Hotellin markkinointi, joka sanoo «teemme diagnoosin kellon perusteella» tai «parannamme viikossa», rikkoo tämän kehyksen nopeammin kuin mikään muutos koodissa.

Kuka vastaa mistä

GDPR:n roolit jakautuvat näin, ja tämä jako on tärkeämpi kuin mitkään puheet kumppanuudesta: vieraalle ja valvontaviranomaiselle vastaa hotelli.

Miksi jokaisella hotellilla on oma tietokanta

Alusta ei ole tavallisessa mielessä moniasiakasjärjestelmä: eri hotellien vieraita ei eroteta toisistaan yhteisen taulun sarakkeella. Jokaisella hotellilla on palvelimella oma prosessi, oma hakemisto ja oma tietokanta, vaikka koodi on kaikilla sama.

Ero on käytännöllinen. Kyselyn virhe ei voi näyttää yhdelle hotellille toisen hotellin vieraita, koska niitä ei yksinkertaisesti ole sen tietokannassa. Lähtevä hotelli ottaa koko oman tiedostonsa, ei poimintaa yhteisestä varastosta.

Kaksi suostumusta ja selosteen versio

Terveystiedot ovat erityinen tietoryhmä (GDPR:n 9 artikla), eikä «hyväksyn ehdot» rekisteröitymisen yhteydessä riitä niihin oikeudellisesti. Siksi suostumuksia on kaksi: yleinen rekisteröitymisen yhteydessä ja nimenomainen terveystietojen käsittelyyn ennen kyselyä.

Järjestyksestä huolehtii palvelin, ei käyttöliittymä: pyyntö toiseen suostumukseen hylätään, jos selostetta ei ole vielä hyväksytty.

Molemmat suostumukset tallennetaan yhdessä selosteen versionumeron ja ajan kanssa. Versio kasvaa, kun merkitys muuttuu eikä vain kirjoitusvirhe korjaannu, ja silloin portaali kysyy kaikilta uudelleen ikkunassa, joka tulee minkä tahansa näkymän päälle.

Näin on käynyt jo 3 kertaa: versio 1.5 lisäsi huoneen vaa'an ja kehonkoostumuksen, 1.6 nimesi tekoälymallin ja 3 tiedonsiirtoa ETA:n ulkopuolelle, 1.7 ravintopäiväkirjan ja kuvan annoksesta. Joka kerta vierailta kysyttiin uudelleen.

Portaalin tietosuojaseloste on erillinen hotellin omasta selosteesta ja koskee vain portaalia: tiliä, kyselyä, kävelyjä ja kelloa. Huonevaraus ja hotellin uutiskirje kuuluvat hotellin omaan selosteeseen.

×

Vieraan oikeudet hoidetaan painikkeilla, ei sähköpostilla

Oikeus, joka luvataan mutta jota varten pitää kirjoittaa hotellille, ei käytännössä toteudu. Siksi sivulla «Tili» on lohko «Omat tiedot», jossa on 4 painiketta.

• Vienti — kaikki, mitä portaali säilyttää vieraasta, yhtenä koneellisesti luettavana tiedostona: kyselyt, reitit reittipisteineen, yöt, testit, määräykset ja profiili (artikla 20 — oikeus siirtää tiedot järjestelmästä toiseen).
• HL7 FHIR -vienti — samat luvut lääketieteellisten järjestelmien kielellä, muodossa FHIR R4: potilas ja havainnot. Tällaisen tiedoston lukee myös klinikan järjestelmä, ei vain ihminen.
• Suostumuksen peruuttaminen — oletuksena yhdessä poistamisen kanssa: terveystietojen säilyttämiselle ei olisi enää perustetta, kun suostumus on peruttu.
• Tilin poistaminen (artikla 17) — vahvistuksella: vieras kirjoittaa oman sähköpostiosoitteensa, muuten painike ei tee mitään.

×

Mitä painikkeet eivät tee

Henkilökunnan tiliä ei poisteta näillä painikkeilla. Lääkärin allekirjoituksen alla on muiden ihmisten määräyksiä ja aamuraportteja, joten tällaisen tilin poistaa ylläpitäjä, jotta allekirjoitus ei irtoa huomaamatta.

Tietojen poistamisen kaksi eri tasoa ja poiston jälkeen säilyvät tiedot käsitellään artikkelissa Henkilötiedot: siinä myös selitetään, miksi pakettien luovutusloki säilyy, kun taas henkilökunnan muistiinpanot vieraasta poistetaan.

Missä tiedot ovat ja mitä lähtee ulos

Palvelin on Euroopan unionissa, ja kunkin hotellin tietokeskuksen maa on nimetty sen omassa selosteessa. Tiedot lähtevät sieltä ulos täsmälleen 3 tapauksessa, ja kaikki 3 on lueteltu selosteessa nimeltä:

• Kirjautuminen Googlella — vain jos vieras itse valitsi tämän tavan, ja vain itse kirjautuminen: sähköpostiosoite, nimi ja tilin tunniste. Google-salasana ei koskaan tule portaalille.
• Garmin-pilvi — lainattu kello synkronoidaan Garmin-tilille, joka kuuluu hotellille ja jossa on vieraan nimen sijaan paketin numero; Garminin palvelimet sijaitsevat Yhdysvalloissa. Perusteena on kelloa varten annettu nimenomainen suostumus (artikla 49(1)(a)).
• Mallin tarjoaja — anonymisoitu aamuraportti (ikä, sukupuoli ja luvut, ilman nimeä, syntymäaikaa ja sähköpostiosoitetta), lääkärin viesti, joka pitää kääntää sanatarkasti, sekä annoskuva, kun vieras itse painoi kameraa.

Ja yksi asia, jota emme voi poistaa

Portaalissa ei ole mainoksia eikä analytiikkaseurantoja. Vieraan selain säilyttää vain istuntotunnisteen ja valitun kielen.

Garmin-tilin päiväkohtaista historiaa ei kuitenkaan voi poistaa, koska Garmin ei tarjoa siihen mahdollisuutta. Nämä päivät jäävät Garminille sen omien ehtojen mukaan myös sen jälkeen, kun meidän kopiommekin on poistettu. Portaali lukee tällaiselta tililtä vain ne päivät siltä oleskelulta, jolloin комплект oli vieraalla, mutta tämä on rehellisempää sanoa kuin vaieta siitä.

Kuinka kauan tietoja säilytetään

Säilytysaika on määritelty erikseen jokaiselle tietotyypille, ja poistaminen tarkoittaa siinä rivien poistamista tietokannasta, ei niiden piilottamista käyttöliittymästä.

Yksi merkintä jää tarkoituksella vieraan jälkeenkin: aktiivisen oleskelun laskurivi. Sen linkki tiliin nollataan, joten kuukausi muistaa, että oleskelu oli, mutta ei enää nimeä ketään (miten aktiivinen vieras lasketaan).

Mitä malli tekee ja mistä se ei päätä

Osa portaalin teksteistä muotoillaan tekoälymallilla: aamuraportin sanamuoto, lääkärin viestin käännös, kävelyreitin postikortin taustateksti ja lautasen kuvasta tehty kaloriarvio.

Se ei laske riskitasoa, ei valitse sykealuetta eikä muuta ohjelmaa — sille annetaan se, minkä portaali on jo laskenut. Portaalissa ei ole lainkaan automatisoitua päätöstä, jolla olisi oikeusvaikutus (GDPR:n 22 artikla).

Se, että teksti on mallin kirjoittama, kerrotaan vieraalle suoraan ilmoituksessa: sitä vaatii EU:n tekoälyasetuksen 50 artikla.

Ja tärkein varmistus: yksikään henkilötietoja sisältävä tekstipyyntö ei lähde ennen kuin superadmin on vahvistanut, että palveluntarjoajan kanssa on tehty käsittelysopimus. Kytkin on oletuksena pois päältä — vaikeneminen ei ole suostumus. Ilmainen taso ei tähän käy: palveluntarjoajan omien ehtojen mukaan se oppii sille lähetetystä aineistosta.

Valokuvasta arvioidut kalorit portaali näyttää vaihteluvälinä ja sallii korjata: kyse on kuvasta tehdystä arviosta, ei mittauksesta.

Mitä palvelin estää, ei käyttöliittymä

• Vieraan näkymässä ollaan vain luku -tilassa. Lääkäri voi avata vieraan tilin nähdäkseen täsmälleen saman kuin vieras. Kaikki muutospyynnöt torjutaan tällaisessa istunnossa jo sovelluksen sisäänkäynnillä, ennen käsittelijää: reitti kerrallaan pidetty lupaus kestää vain ensimmäiseen uuteen reittiin asti.
• Jokainen sisäänmeno kirjataan. Lokissa on rivi siitä, kuka henkilökunnasta avasi vieraan tilin ja milloin. Ylläpitäjä saa muokata tällaisessa istunnossa, ja hinta sanotaan suoraan: muutos lähtee vieraan nimissä, mutta loki muistaa, kenen ikkunasta sitä katsottiin.
• Vieras pääsee vain omiin riveihinsä. Roolit on erotettu palvelimella, ei piilotettu valikkoon.
• Salasanoja ei tallenneta. Tietokannassa on PBKDF2-hajautus, ja salasanan vaihtolinkki vain koodin SHA-256-arvona. Vuotanut tietokanta ei paljasta kumpaakaan.
• Salasanan vaihto mitätöi jo annetut avaimet. Jokaisessa tokenissa on istuntosukupolvi: salasanan vaihto, uloskirjautuminen kaikilta laitteilta tai roolin muutos tappaa jo annetut avaimet sen sijaan, että odotettaisiin niiden vanhenevan itsestään.

Mitä hotelli tekee ennen käyttöönottoa

• Täytä rekisterinpitäjän tiedot. Niin kauan kuin yksikin kenttä on kulmasulkeissa, portaali pitää ilmoitusta julkaisemattomana ja varoittaa siitä ylläpitäjän paneelissa.
• Nimeä kanava tietopyynnöille — ja, jos tietosuojavastaava on nimetty (37 artikla), hänen yhteystietonsa. Asetus ei vaadi julkaisemaan tietosuojavastaavan nimeä, mutta yhteydenottotavan se vaatii.
• Nimeä lääkäri nimeltä. Terveystietojaan luovuttavalla vieraalla on oikeus tietää, kuka niitä lukee, eikä tyytyä muotoiluun «kylpylälääkäri».
• Tee käsittelysopimukset — alustan kanssa ja, jos malli otetaan käyttöön, myös sen palveluntarjoajan kanssa. Ennen vahvistusta kytkin on pois päältä eikä henkilökohtaisia tekstejä lähde.
• Tarkista, että markkinointi vastaa luokitusta. Hoitolupaus hotellin verkkosivulla kumoaa kehyksen «elämäntapatuki».
• Muista ikäraja. Portaali on tarkoitettu aikuisille; alle 16-vuotiaalle ei luoda tiliä.
• Tunne valvontaviranomaisesi. Se nimetään ilmoituksessa osoitteen ja verkkosivun kanssa; Tšekissä se on Úřad pro ochranu osobních údajů.

Kysymyksiä ja vastauksia

• Onko portaali lääkinnällinen laite? Ei. Sillä ei ilmoiteta olevan lääketieteellistä käyttötarkoitusta: se ei tee diagnooseja, ei määrää hoitoa eikä lupaa hoidollista tulosta. Se kerää ja näyttää luvut, päätökset tekee lääkäri.
• Kuka vastaa vieraalle — hotelli vai alusta? Hotelli: se on rekisterinpitäjä. Alusta on henkilötietojen käsittelijä, joka toimii sopimuksen ja hotellin ohjeiden mukaan.
• Tarvitaanko suostumus, jos vieras vain käyttää kelloa? Kyllä. Vuorokausitilat ovat terveystietoja, eli GDPR:n 9 artiklan mukainen erityinen tietoryhmä. Portaali pyytää niihin erillisen nimenomaisen suostumuksen, ja sen voi perua yhdellä klikkauksella.
• Lähtevätkö tiedot EU:n ulkopuolelle? Palvelin on EU:ssa. Sieltä lähtee ulos 3 asiaa, ja kaikki 3 on mainittu tietosuojailmoituksessa: kirjautuminen Googlella, lainatun kellon Garmin-pilvi ja mallille annettu anonymisoitu teksti.
• Oppiiko malli vieraiden tiedoista? Ei. Ennen kuin palveluntarjoajan kanssa tehty tietojenkäsittelysopimus on vahvistettu, henkilötietoja sisältävää tekstiä ei lähde lainkaan, ja sopimus itse kieltää uudelleenkäytön ja kouluttamisen.
• Mitä jää jäljelle, jos vieras poistaa kaiken? Tietokannasta poistuvat yöt, terveysreitit, määräykset, ruokapäiväkirja ja henkilökunnan häntä koskevat muistiinpanot. Jäljelle jäävät hotellin omat kirjaukset: settien luovutusloki ja laskurivi, jossa ei enää nimetä ketään.

Lähteet

Asetus (EU) 2016/679 — GDPR · Asetus (EU) 2017/745 lääkinnällisistä laitteista · Asetus (EU) 2024/1689 tekoälystä · Úřad pro ochranu osobních údajů

Lue myös

Omat henkilötiedot: 2 suostumusta, vienti ja poisto — samat oikeudet vieraan puolelta, painike painikkeelta.

Miten alusta määrää hoidot — missä algoritmi pysähtyy ja lääkäri alkaa.

Hinnat: Setup, Base ja Active Guest — mitä käyttöönottoon kuuluu ja miten aktiivinen vieras lasketaan.

Mitä kello mittaa — mitkä luvut ranteesta oikeasti tulevat.

Vastaanotto: sovellusten käyttö — miksi setti tyhjennetään ennen kuin se annetaan seuraavalle.

Portaalin koko tietosuojailmoitus on avoinna ilman kirjautumista tietosuojasivulla.