Wiki

Wellness & Lifestyle Intelligence et GDPR : cadre légal

Le portail soutient un mode de vie, il ne pose pas de diagnostic et ne prescrit pas de traitement. Les données de santé sont traitées selon le GDPR, avec le consentement explicite du client, sur un serveur situé dans l’UE.

Updated 2026-08-28 · Exemple de soins Luxury Spa & Medical Wellness Hotel Prezident

En bref

• La catégorie. Wellness & Lifestyle Intelligence relève de l’accompagnement du mode de vie : le portail recueille les chiffres de la montre et de la balance, les montre au client et au médecin, et conserve les prescriptions du médecin. Il ne pose pas de diagnostic et ne prescrit pas de traitement.
• Qui répond des données. Le responsable du traitement est l’hôtel : la politique du portail indique la personne morale, les numéros d’enregistrement, l’adresse et le nom du médecin. longev.eu est le sous-traitant : il exploite le code et le serveur.
• Chaque hôtel a sa propre base. Le code est le même, mais chaque hôtel a son propre processus, son propre répertoire et sa propre base de données. Il n’existe pas de table commune avec les clients de tous les hôtels.
• Il y a deux consentements. Un consentement général à l’inscription, et un consentement explicite pour les données de santé avant le questionnaire. Les deux sont enregistrés avec le numéro de version de la politique : actuellement la version 1.7 du 17.08.2026, en 12 sections et 36 langues.
• Les droits se gèrent par boutons. Export de tout en un seul fichier, export HL7 FHIR pour le système d’une clinique, retrait du consentement avec effacement, suppression du compte. Sans écrire à l’hôtel et sans attendre.
• Ce qui sort de l’UE. Trois choses, et les trois sont dites clairement : la connexion via Google, le cloud Garmin derrière la montre prêtée, et le texte dépersonnalisé transmis au modèle.
• Délais. Les données de santé sont conservées 3 ans après la dernière activité, les journaux du serveur jusqu’à 90 jours, et le lien de changement de mot de passe 60 minutes.
• À qui s’adresse ce document. À l’hôtel qui choisit une plateforme, et au client qui veut savoir ce qu’il advient de ses chiffres. Mis à jour le 23.08.2026.

Ce que signifie Wellness & Lifestyle Intelligence

Wellness & Lifestyle Intelligence est une catégorie de produit qui accompagne le mode de vie : le sommeil, le mouvement, l’eau, l’alimentation et les soins de l’hôtel. Il travaille avec les mêmes chiffres que la médecine, mais ne revendique pas de finalité médicale et ne promet pas de résultat thérapeutique.

Ce que fait le portail : il reçoit les états quotidiens de la montre et les pesées de la balance, les compare à la moyenne propre du client, montre l’ensemble au client dans son compte et au médecin sur le tableau de bord, et conserve puis affiche les prescriptions faites par le médecin.

Ce qu’il ne fait jamais : nommer une maladie, prescrire un médicament ou un régime, annuler ou remplacer la prescription d’un médecin, ou promettre qu’un soin guérira quoi que ce soit.

La différence se voit là où l’algorithme touche au planning. Ce qui est gratuit et interne — une promenade, un sauna inclus dans le séjour — le portail le déplace lui-même. Pour un soin payant, il propose seulement un déplacement, et c’est le médecin qui décide (comment cela fonctionne).

Où passe la frontière avec le dispositif médical

Ce qui fait d’un logiciel un dispositif médical, ce n’est pas la complexité de l’algorithme, mais la finalité que son fabricant lui donne : diagnostic, prévention, surveillance, prédiction, pronostic, traitement ou soulagement d’une maladie (Règlement (UE) 2017/745 relatif aux dispositifs médicaux, article 2). Le portail ne revendique pas une telle finalité — et cela ne se voit pas dans une déclaration, mais à 3 endroits du produit lui-même :

• Le niveau de risque issu du questionnaire sert à choisir un itinéraire de promenade et une plage de fréquence cardiaque, pas à poser un diagnostic. Il ne produit aucun effet juridique, et le médecin peut le modifier.
• La cure de boisson est prescrite par le médecin-chef de l’hôtel après examen. Le portail la conserve, l’affiche et rappelle la prise — il ne peut pas la prescrire lui-même (explication).
• La boucle de nuit déplace un soin, elle ne traite pas. Les seuils qu’elle applique viennent des médecins et sont publics (les chiffres et les règles).

La montre est un appareil grand public

Le kit de l’hôtel comprend une Garmin Forerunner 165 Music ordinaire et une balance Garmin Index S2 ordinaire, achetées en magasin. Le portail n’utilise aucune de leurs fonctions médicales : Garmin n’active l’application ECG que là où elle est approuvée comme dispositif médical, et une montre achetée dans un autre pays peut ne pas l’avoir du tout.

Le pouls, sa variabilité, les phases de sommeil, la respiration et l’oxygénation du sang sont les mesures d’un capteur optique grand public porté au poignet. C’est ainsi que le portail les présente : comme la dynamique du corps du client lui-même, et non comme le résultat d’une analyse (ce que la montre mesure exactement).

La qualification ne tient pas à une ligne dans un document, mais aux promesses faites. Un message marketing de l’hôtel qui dirait «nous poserons un diagnostic à partir de la montre» ou «nous vous guérirons en une semaine» brise ce cadre plus vite que n’importe quelle modification du code.

Qui répond de quoi

Les rôles au regard du GDPR se répartissent ainsi, et cette répartition compte plus que n’importe quelle formule sur le partenariat : face au client comme face à l’autorité de contrôle, c’est l’hôtel qui répond.

Pourquoi chaque hôtel a sa propre base

La plateforme n’est pas mutualisée au sens habituel du terme : les clients de différents hôtels ne sont pas séparés par une colonne dans une table commune. Chaque hôtel a son propre processus sur le serveur, son propre répertoire et sa propre base de données, tandis que le code est le même pour tous.

La différence est concrète. Une erreur dans une requête ne peut pas montrer à un hôtel les clients d’un autre : ils ne sont tout simplement pas dans sa base. Un hôtel qui part récupère son fichier en entier, et non un extrait d’un stockage commun.

Deux consentements et la version de la politique

Les données de santé relèvent d’une catégorie particulière (article 9 du GDPR), et « j’accepte les conditions » lors de l’inscription ne suffit pas juridiquement pour elles. Il y a donc 2 consentements : un consentement général à l’inscription et un consentement explicite au traitement des données de santé, demandé avant le questionnaire.

C’est le serveur, et non l’interface, qui impose l’ordre : une demande pour le second consentement est refusée si la politique n’a pas encore été acceptée.

Les 2 consentements sont conservés avec le numéro de version de la politique et l’heure. La version augmente quand le sens change, pas pour une faute de frappe — et dans ce cas le portail redemande à tout le monde, dans une fenêtre qui s’affiche par-dessus n’importe quel écran.

Cela s’est déjà produit 3 fois : la version 1.5 a ajouté la balance dans la chambre et la composition corporelle, la 1.6 a nommé le modèle d’IA et les 3 sorties de données hors de l’EEE, la 1.7 le journal alimentaire et la photo d’une assiette. Chaque fois, les clients ont été invités à donner à nouveau leur consentement.

La politique du portail est distincte de celle de l’hôtel et ne couvre que le portail : le Compte, le questionnaire, les itinéraires santé et la montre. La réservation de chambre et les envois de l’hôtel relèvent de sa propre politique.

×

Les droits du client passent par des boutons, pas par un e-mail

Un droit promis, mais exercé en écrivant à l’hôtel, ne l’est en pratique pas. C’est pourquoi la page «Compte» contient un bloc «Mes données» avec 4 boutons.

• Export — tout ce que le portail conserve sur le client, dans un seul fichier lisible par machine : questionnaires, itinéraires santé avec leurs points de trace, nuits, tests, prescriptions, profil (article 20 — droit à la portabilité).
• Export HL7 FHIR — les mêmes chiffres dans le langage des systèmes médicaux, au format FHIR R4 : un patient et des observations. Ce fichier est lu par le système d’une clinique, pas seulement par une personne.
• Retrait du consentement — par défaut avec effacement : une fois le consentement retiré, il n’y a plus de base pour conserver des données de santé.
• Suppression du compte (article 17) — avec confirmation : le client saisit sa propre adresse e-mail, sinon le bouton ne fait rien.

×

Ce que les boutons ne font pas

Un compte du personnel ne se supprime pas avec ces boutons. La signature d’un médecin figure sous les prescriptions et les feuilles du matin d’autres personnes, donc ce compte est retiré par un administrateur — pour qu’une signature ne disparaisse pas en silence.

Les 2 niveaux d’effacement et ce qui reste après une suppression sont expliqués dans l’article Données personnelles : il y est aussi expliqué pourquoi le journal de remise des kits reste, alors que les notes du personnel sur un client partent.

Où sont les données et ce qui sort

Le serveur se trouve dans l’Union européenne ; le pays du centre de données est indiqué dans la politique de chaque hôtel. Les données n’en sortent que dans 3 cas, et les 3 sont nommés dans la politique :

• Connexion avec Google — seulement si le client a lui-même choisi cette voie, et seulement pour la connexion elle-même : l’adresse e-mail, le nom et l’identifiant du compte. Le mot de passe Google n’arrive jamais au portail.
• Le cloud Garmin — la montre prêtée se synchronise avec un compte Garmin qui appartient à l’hôtel et porte un numéro de kit, pas le nom du client ; les serveurs de Garmin se trouvent aux États-Unis. La base est le consentement explicite donné pour la montre (article 49(1)(a)).
• Le fournisseur du modèle — la feuille du matin anonymisée (âge, sexe et chiffres, sans nom, sans date de naissance ni adresse e-mail), un message du médecin à traduire mot pour mot, et la photo d’une assiette, quand le client a lui-même appuyé sur l’appareil photo.

Et une chose que nous ne pouvons pas effacer

Le portail n’a ni publicité ni compteur d’analyse. Le navigateur du client ne garde que le jeton de session et la langue choisie.

En revanche, l’historique quotidien d’un compte Garmin ne peut pas être supprimé : Garmin ne propose pas cette possibilité. Ces jours restent chez lui selon ses propres conditions, même après l’effacement de notre copie. Le portail ne lit dans un tel compte que les jours du séjour pendant lequel le kit était chez le client — mais il est plus honnête de le dire que de se taire.

Combien de temps chaque donnée est conservée

Chaque type de donnée a sa propre durée, et ici suppression veut dire suppression des lignes de la base, pas simple masquage dans l’interface.

Un enregistrement survit volontairement au client — la ligne de facturation d’un séjour actif : son lien vers le compte est mis à null, ainsi le mois garde la trace du séjour sans plus nommer personne (comment un client actif est compté).

Ce que fait le modèle, et ce qu’il ne décide jamais

Une partie des textes du portail est formulée par un modèle d’intelligence artificielle : le texte du rapport du matin, la traduction d’un message du médecin, le fond d’une carte postale d’itinéraire santé, l’estimation des calories à partir d’une photo d’assiette.

Il ne calcule pas le niveau de risque, ne choisit pas la zone de fréquence cardiaque et ne modifie pas le programme — on lui transmet ce que le portail a déjà calculé. Il n’y a dans le portail aucune décision automatisée produisant un effet juridique (article 22 GDPR).

Le fait qu’un texte soit rédigé par un modèle est indiqué clairement au client dans la politique elle-même : c’est ce qu’exige l’article 50 du règlement européen sur l’intelligence artificielle.

Et la principale sécurité est là : aucune requête contenant un texte personnel ne part tant que le super-administrateur n’a pas confirmé qu’un contrat de traitement a bien été conclu avec le prestataire. Par défaut, l’interrupteur est désactivé — le silence ne vaut pas consentement. Une formule gratuite ne convient pas ici : selon les propres conditions du prestataire, elle apprend à partir de ce qu’on lui envoie.

Les calories estimées à partir d’une photo sont affichées sous forme de fourchette et peuvent être corrigées : c’est une estimation à partir d’une image, pas une mesure.

Ce que le serveur interdit, et non l’interface

• Voir comme le client, c’est en lecture seule. Un médecin peut ouvrir le compte du client pour voir exactement ce que voit le client. Toute requête qui modifie quelque chose dans une telle session est refusée à l’entrée de l’application, avant tout traitement : une promesse tenue route par route ne tient que jusqu’à la première nouvelle route.
• Chaque accès est journalisé. Quel membre du personnel a ouvert le compte du client, et quand, cela fait une ligne dans le journal. Un administrateur peut modifier dans une telle session, et le prix est dit clairement : la modification part au nom du client, et le journal garde la trace de la fenêtre à examiner.
• Le client n’accède qu’à ses propres lignes. La séparation des rôles se fait sur le serveur, pas dans un menu.
• Les mots de passe ne sont pas stockés. La base contient un hachage PBKDF2, et le lien de réinitialisation du mot de passe n’y figure que sous la forme d’un SHA-256 du code. Une base divulguée ne livre ni l’un ni l’autre.
• Changer le mot de passe invalide les clés déjà émises. Chaque jeton contient une génération de session : un changement de mot de passe, une déconnexion sur tous les appareils ou une modification du rôle invalident les clés déjà remises, sans attendre leur expiration.

Ce que l’hôtel fait avant le lancement

• Renseigner les coordonnées du responsable du traitement. Tant qu’un seul champ reste entre crochets angulaires, le portail considère la politique comme non publiable et l’indique dans le Tableau de bord de l’administrateur.
• Indiquer un canal pour les demandes liées aux données — et, si un délégué à la protection des données est désigné (article 37), son adresse. Le règlement n’impose pas de publier son nom, mais il impose un moyen de le contacter.
• Nommer le médecin. Un client qui confie des données de santé a le droit de savoir qui les lit, et pas seulement de voir la mention «médecin de cure».
• Conclure les contrats de traitement — avec la plateforme, et aussi avec le prestataire du modèle si le modèle est activé. Tant que cela n’est pas confirmé, l’interrupteur reste désactivé et aucun texte personnel ne part.
• Vérifier que le marketing correspond à la classification. Une promesse de traitement sur le site de l’hôtel annule le cadre «soutien au mode de vie».
• Ne pas oublier le seuil d’âge. Le portail est prévu pour des adultes ; aucun compte n’est créé pour une personne de moins de 16 ans.
• Connaître son autorité de contrôle. Elle est indiquée dans la politique avec son adresse et son site ; pour la Tchéquie, c’est l’Úřad pro ochranu osobních údajů.

Questions et réponses

• Le portail est-il un dispositif médical ? Non. Il ne revendique aucune finalité médicale : il ne pose pas de diagnostic, ne prescrit pas de traitement et ne promet aucun résultat thérapeutique. Il recueille des chiffres et les affiche ; les décisions reviennent au médecin.
• Qui répond devant le client — l’hôtel ou la plateforme ? L’hôtel : c’est lui le responsable du traitement. La plateforme est le sous-traitant ; elle travaille par contrat et selon les instructions de l’hôtel.
• Le consentement est-il nécessaire si le client porte simplement la montre ? Oui. Les états quotidiens sont des données de santé, une catégorie particulière au sens de l’article 9 GDPR. Le portail demande pour elles un consentement explicite distinct, et il peut être retiré en un clic.
• Les données sortent-elles de l’UE ? Le serveur est dans l’UE. Trois choses en sortent, et les 3 sont indiquées dans la politique : la connexion via Google, le cloud Garmin des montres prêtées et le texte dépersonnalisé transmis au modèle.
• Le modèle apprend-il à partir des données des clients ? Non. Tant que l’accord de traitement des données avec le prestataire n’est pas confirmé, aucun texte personnel n’est transmis, et l’accord lui-même interdit toute réutilisation et tout entraînement.
• Que reste-t-il si un client supprime tout ? Les nuits, les parcours, les prescriptions, le journal alimentaire et les notes du personnel à son sujet disparaissent de la base. Restent les traces de l’hôtel sur son propre fonctionnement : le journal de remise des kits et une ligne de facturation qui ne nomme plus personne.

Sources

Règlement (UE) 2016/679 — GDPR · Règlement (UE) 2017/745 relatif aux dispositifs médicaux · Règlement (UE) 2024/1689 sur l’intelligence artificielle · Úřad pro ochranu osobních údajů

À lire aussi

Vos données personnelles : deux consentements, une exportation et une suppression — les mêmes droits côté client, bouton par bouton.

Comment la plateforme attribue les soins — où l’algorithme s’arrête et où le médecin prend le relais.

Tarifs : Setup, Base et Active Guest — ce que comprend le lancement et comment un client actif est compté.

Ce que mesure la montre — quels chiffres arrivent réellement du poignet.

Réception : travail avec les applications — pourquoi un kit est effacé avant d’être remis au client suivant.

La politique complète du portail est accessible sans connexion, sur la page de confidentialité.