הסיווג. Wellness & Lifestyle Intelligence הוא תמיכה באורח חיים: הפורטל אוסף נתונים מהשעון ומהמשקל, מציג אותם לאורח ולרופא, ושומר את ההנחיות שהרופא נתן. הוא לא מאבחן ולא רושם טיפול.
מי אחראי לנתונים. בעל השליטה הוא המלון: במדיניות הפורטל מצוינים הישות המשפטית, מספרי הרישום, הכתובת ושם הרופא. longev.eu הוא המעבד: הוא מפעיל את הקוד ואת השרת.
לכל מלון יש מסד נתונים משלו. הקוד אחד, אבל לכל מלון יש תהליך משלו, תיקייה משלו ומסד נתונים משלו. אין טבלה משותפת של אורחי כל המלונות.
יש 2 הסכמות. כללית — בזמן ההרשמה, ומפורשת לנתוני בריאות — לפני השאלון. שתיהן נרשמות עם מספר הגרסה של המדיניות: כרגע זו גרסה 1.7 מ-17.08.2026, עם 12 סעיפים ב-36 שפות.
הזכויות הן כפתורים. ייצוא של הכול לקובץ אחד, ייצוא HL7 FHIR למערכת של קליניקה, ביטול הסכמה יחד עם מחיקה, ומחיקת החשבון. בלי מכתב למלון ובלי המתנה.
מה יוצא מהאיחוד האירופי. 3 דברים, ושלושתם מצוינים במפורש: כניסה דרך Google, ענן Garmin של השעון שהושאל, וטקסט שעבר אנונימיזציה ונמסר למודל.
משך השמירה. נתוני בריאות — 3 שנים אחרי הפעילות האחרונה, יומני שרת — עד 90 ימים, קישור להחלפת סיסמה — 60 דקות.
למי המסמך הזה מיועד. למלון שבוחר פלטפורמה, ולאורח שרוצה לדעת מה קרה לנתונים שלו. עודכן ב-23.08.2026.
מה פירוש Wellness & Lifestyle Intelligence
Wellness & Lifestyle Intelligence הוא סוג של מוצר שתומך באורח חיים: שינה, תנועה, מים, אוכל וטיפולי המלון. הוא עובד עם אותם נתונים שגם הרפואה עובדת איתם, אבל לא מצהיר על ייעוד רפואי ולא מבטיח תוצאה טיפולית.
מה הפורטל עושה: מקבל מצבים יומיים מהשעון ושקילות מהמשקל, משווה אותם לממוצע האישי של האורח, מציג את התמונה לאורח ב«חשבון» ולרופא ב«לוח בקרה», ושומר ומציג את ההנחיות שהרופא נתן.
מה הוא אף פעם לא עושה: לא קובע מחלה, לא רושם לא תרופה ולא דיאטה, לא מבטל ולא מחליף הוראה של רופא, ולא מבטיח שטיפול ירפא.
ההבדל נראה במקום שבו האלגוריתם נוגע בתוכנית. מה שחינמי ושייך למלון — מסלול הליכה, סאונה שכלולה בשהייה — הפורטל משנה בעצמו. טיפול בתשלום הוא רק מציע להעביר, והרופא מחליט (איך זה עובד).
איפה עובר הגבול מול מכשור רפואי
מה שהופך תוכנה למכשור רפואי הוא לא המורכבות של האלגוריתם, אלא הייעוד שהיצרן נתן לה: אבחון, מניעה, מעקב, חיזוי, פרוגנוזה, טיפול או הקלה של מחלה (תקנה (EU) 2017/745 על מכשור רפואי, סעיף 2). הפורטל לא מצהיר על ייעוד כזה — וזה לא רק ניסוח, אלא 3 מקומות במוצר עצמו:
רמת הסיכון מהשאלון בוחרת מסלול הליכה וטווח דופק, ולא אבחנה. אין לה השלכות משפטיות, ורופא יכול לשנות אותה.
קורס השתייה נקבע על ידי הרופא הראשי של המלון אחרי בדיקה. הפורטל שומר אותו, מציג אותו ומזכיר על מנה — הוא לא יכול לקבוע אותו בעצמו (פירוט).
הלולאה הלילית מעבירה טיפול, ולא מטפלת. הספים שלפיהם היא עושה את זה נקבעו על ידי רופאים והם גלויים (המספרים והכללים).
השעון הוא מכשיר צרכני
הערכה של המלון היא Garmin Forerunner 165 Music רגיל ומשקל Garmin Index S2 רגיל, שנקנו בחנות. הפורטל לא לוקח מהם פונקציות רפואיות: את אפליקציית האק״ג Garmin עצמה מפעילה רק במקומות שבהם היא מאושרת כמכשור רפואי, ושעון שנקנה במדינה אחרת יכול לא לכלול אותה בכלל.
דופק, שונות דופק, שלבי שינה, נשימה וריווי חמצן בדם הם קריאות של חיישן אופטי צרכני על פרק כף היד. כך הפורטל גם מציג אותם: כדינמיקה של הגוף של האורח עצמו, ולא כתוצאה של בדיקה (מה בדיוק השעון מודד).
הסיווג נשען לא על שורה במסמך, אלא על הבטחות. שיווק של מלון שיגיד «נאבחן לפי השעון» או «נרפא בתוך שבוע» שובר את המסגרת מהר יותר מכל שינוי בקוד.
מי אחראי על מה
התפקידים לפי GDPR מחולקים כך, והחלוקה הזאת חשובה יותר מכל ניסוח על שותפות: מול האורח ומול רשות הפיקוח, המלון הוא שנושא באחריות.
תפקיד
מי זה
מה הוא עושה
בקר
המלון כישות משפטית
מחליט לשם מה נאספים הנתונים; אחראי כלפי האורח וכלפי רשות הפיקוח; פרטיו מופיעים במדיניות הפורטל
מעבד
longev.eu
מפעיל את הקוד ואת השרת, לפי הסכם עיבוד נתונים ולפי הוראות המלון
הרופא
הרופא הראשי של המלון, מצוין בשמו
רואה את נתוני השהייה, קובע את הקורס ואת הטיפולים; כפוף לסודיות רפואית
האחסון
ספק האחסון, מרכז נתונים באיחוד האירופי
מפעיל את השרת; גם הוא מעבד, לפי חוזה
Garmin
הענן של Garmin
מקבל את נתוני השעון: או החשבון האישי של האורח או חשבון המלון של הערכה שהושאלה
Google
כניסה והמודל
הכניסה דרך Google היא לפי בחירת האורח; המודל פועל כל עוד המלון משאיר את הפונקציה מופעלת
מפות
OpenStreetMap, mapy.com
הדפדפן של האורח מבקש את אריחי המפה ישירות; מסלול ההליכה לא נשלח אליהם
למה לכל מלון יש מסד נתונים משלו
הפלטפורמה אינה רב־דיירית במובן הרגיל: אורחים של מלונות שונים אינם מופרדים בעמודה בתוך טבלה משותפת. לכל מלון יש תהליך משלו על השרת, תיקייה משלו ומסד נתונים משלו, והקוד זהה אצל כולם.
ההבדל מעשי. טעות בשאילתה לא יכולה להציג למלון אחד את האורחים של מלון אחר — הם פשוט אינם נמצאים במסד הנתונים שלו. מלון שעוזב לוקח את הקובץ שלו בשלמותו, ולא בחירה מתוך מאגר משותף.
שתי הסכמות וגרסת המדיניות
נתוני בריאות הם קטגוריה מיוחדת (סעיף 9 GDPR), ולגביהם «אני מסכים לתנאים» בזמן ההרשמה אינו מספיק מבחינה משפטית. לכן יש שתי הסכמות: כללית בזמן ההרשמה ומפורשת — לעיבוד נתוני בריאות, לפני השאלון.
הסדר נשמר בשרת, לא בממשק: בקשה להסכמה השנייה נדחית אם המדיניות עדיין לא אושרה.
שתי ההסכמות נשמרות יחד עם מספר גרסת המדיניות ועם הזמן. הגרסה עולה כשמשתנה המשמעות, לא בגלל טעות כתיב — ואז הפורטל מבקש מכולם הסכמה מחדש בחלון שמופיע מעל כל מסך.
כך כבר קרה 3 פעמים: גרסה 1.5 הוסיפה את המשקל בחדר ואת הרכב הגוף, 1.6 ציינה את מודל הבינה המלאכותית ואת 3 העברות הנתונים מחוץ ל־EEA, ו־1.7 את יומן התזונה ואת צילום הצלחת. בכל פעם האורחים נשאלו מחדש.
מדיניות הפורטל נפרדת ממדיניות המלון ומכסה רק את הפורטל: את החשבון, את השאלון, את ההליכות ואת השעון. הזמנת חדר והדיוור של המלון מוסדרים במדיניות שלו עצמו.
זכות שמבטיחים אבל מממשים בכתיבה למלון, בפועל לא מתממשת. לכן בעמוד «חשבון» יש בלוק «הנתונים שלי», ובו 4 כפתורים.
ייצוא — כל מה שהפורטל מחזיק על האורח, בקובץ אחד קריא למכונה: שאלונים, מסלולי הליכה עם נקודות המסלול, לילות, בדיקות, הנחיות, פרופיל (סעיף 20 — הזכות לניידות נתונים).
ייצוא HL7 FHIR — אותם מספרים בשפה של מערכות רפואיות, בפורמט FHIR R4: מטופל ותצפיות. קובץ כזה נקרא בידי מערכת של מרפאה, לא רק בידי אדם.
משיכת הסכמה — כברירת מחדל יחד עם מחיקה: אחרי שההסכמה נמשכה, אין על מה להחזיק נתוני בריאות.
מחיקת החשבון (סעיף 17) — עם אישור: האורח מקליד את כתובת המייל שלו, אחרת הכפתור לא פועל.
אי אפשר למחוק כך חשבון של עובד. תחת החתימה של רופא יש הנחיות ודפי בוקר של אנשים אחרים, ולכן חשבון כזה מוסר בידי מנהל — כדי שהחתימה לא תתנתק בשקט.
רמות המחיקה השונות ומה נשאר אחרי מחיקה מוסברים במאמר הנתונים האישיים שלך: שם גם מוסבר למה יומן מסירת הערכות נשאר, ואילו הערות הצוות על האורח נמחקות.
איפה הנתונים נשמרים ומה יוצא החוצה
השרת נמצא באיחוד האירופי; מדינת מרכז הנתונים מצוינת במדיניות של המלון המסוים. הנתונים יוצאים ממנו בדיוק ב-3 מקרים, ושלושתם רשומים במדיניות במפורש:
כניסה דרך Google — רק אם האורח בחר בעצמו בדרך הזאת, ורק עצם הכניסה: כתובת המייל, השם ומזהה החשבון. הסיסמה של Google אף פעם לא מגיעה לפורטל.
ענן Garmin — השעון שנמסר לאורח מסתנכרן לחשבון Garmin ששייך למלון ונושא את מספר הערכה, לא את שם האורח; השרתים של Garmin נמצאים בארצות הברית. הבסיס לכך הוא הסכמה מפורשת שניתנה עבור השעון (סעיף 49(1)(a)).
ספק המודל — דף הבוקר לאחר הסרת פרטים מזהים (גיל, מין ומספרים, בלי שם, תאריך לידה וכתובת מייל), הודעה מהרופא שצריך לתרגם מילה במילה, ותצלום של צלחת כשהאורח לחץ בעצמו על המצלמה.
ודבר אחד שאנחנו לא יכולים למחוק
בפורטל אין פרסומות ואין מוני אנליטיקה. הדפדפן של האורח מחזיק רק את טוקן הסשן ואת השפה שנבחרה.
אבל את ההיסטוריה היומית בחשבון Garmin אי אפשר למחוק: Garmin לא נותנת אפשרות כזאת. הימים האלה נשארים אצלה לפי התנאים שלה גם אחרי שהעותק שלנו נמחק. הפורטל קורא מחשבון כזה רק את ימי השהייה שבהם הערכה הייתה אצל האורח — אבל הוגן יותר לומר זאת מאשר לשתוק.
כמה זמן כל דבר נשמר
לכל סוג נתונים יש תקופה משלו, ומחיקה כאן פירושה מחיקת שורות ממסד הנתונים, לא הסתרה שלהן מהממשק.
רשומה אחת נשארת בכוונה גם אחרי האורח — שורת החיוב על שהייה פעילה: הקישור לחשבון בה מתאפס, וכך החודש זוכר שהייתה שהייה, אבל כבר לא מציין אף אחד (איך נספר אורח פעיל).
מה
כמה זמן
החשבון
עד שהאורח ימחק אותו
שאלונים, מסלולי הליכה, פרופיל, קורס שתייה
3 שנים אחרי הפעילות האחרונה — או עד משיכת ההסכמה
יומן התזונה ותצלומי המנות
אותן 3 שנים; התצלום נמחק מהדיסק יחד עם הרשומה, לא רק מהרשימה
מצבים יומיים מהשעון שהושאל
נשארים בכרטיס האורח בין שהיות, לאותן 3 שנים
קישור לאיפוס סיסמה
60 דקות
יומני השרת
עד 90 ימים
מה המודל עושה ומה הוא לא מחליט
חלק מהטקסטים בפורטל מנוסחים בידי מודל בינה מלאכותית: הניסוח של דף הבוקר, תרגום הודעה מהרופא, הרקע של גלויה ממסלול בריאות, והערכת הקלוריות לפי צילום של צלחת.
היא לא מחשבת את רמת הסיכון, לא בוחרת את אזור הדופק ולא משנה את התוכנית — היא מקבלת את מה שהפורטל כבר חישב. בפורטל אין בכלל החלטה אוטומטית בעלת השפעה משפטית (סעיף 22 ל־GDPR).
העובדה שטקסט נכתב בידי מודל נאמרת לאורח במפורש במדיניות עצמה: כך דורש סעיף 50 של תקנת האיחוד האירופי לבינה מלאכותית.
וזה מנגנון ההגנה העיקרי: אף בקשה עם טקסט אישי לא יוצאת לפני שסופר־אדמין אישר שיש עם הספק הסכם עיבוד. כברירת מחדל המתג כבוי — שתיקה אינה הסכמה. מסלול חינמי לא מתאים לזה: לפי תנאי הספק עצמו, הוא לומד ממה שנשלח אליו.
קלוריות לפי צילום הפורטל מציג כטווח ומאפשר לתקן: זו הערכה לפי תמונה, לא מדידה.
מה השרת אוסר, לא הממשק
מבט דרך עיני האורח הוא לקריאה בלבד. רופא יכול לפתוח את חשבון האורח כדי לראות בדיוק את מה שהאורח רואה. כל בקשה שמשנה משהו בסשן כזה נחסמת בכניסה ליישום, לפני כל handler: הבטחה שמקוימת בכל מסלול בנפרד מחזיקה רק עד המסלול החדש הראשון.
כל כניסה נרשמת. מי מאנשי הצוות פתח את חשבון האורח ומתי — זו שורה ביומן. לאדמין מותר לערוך בסשן כזה, והמחיר נאמר בקול ברור: העריכה יוצאת בשם האורח, והיומן זוכר דרך החלון של מי הסתכלו.
האורח מגיע רק לשורות שלו. הפרדת התפקידים נעשית בשרת, לא מוסתרת בתפריט.
סיסמאות לא נשמרות. במסד הנתונים נמצא hash מסוג PBKDF2, וקישור לאיפוס סיסמה נשמר רק כ־SHA-256 של הקוד. גם אם מסד הנתונים דולף, הוא לא מוסר לא את זה ולא את זה.
החלפת סיסמה מבטלת מפתחות שכבר הונפקו. בכל token רשום דור הסשנים: החלפת סיסמה, יציאה מכל המכשירים או שינוי תפקיד מבטלים את המפתחות שכבר ניתנו, ולא מחכים שיפוגו מעצמם.
מה המלון עושה לפני ההשקה
למלא את פרטי בעל השליטה. כל עוד אפילו שדה אחד עדיין עומד בסוגריים זוויתיים, הפורטל מתייחס למדיניות כאל מסמך שאי אפשר לפרסם ומתריע על כך בלוח הניהול.
לציין ערוץ לפניות בנושא נתונים — ואם מונה ממונה על הגנת מידע (סעיף 37), גם את הכתובת שלו. התקנה לא דורשת לפרסם את שם הממונה, אבל כן דורשת דרך ליצור איתו קשר.
לציין את שם הרופא. אורח שמוסר נתוני בריאות זכאי לדעת מי קורא אותם, ולא להסתפק בניסוח «רופא הספא».
לחתום על הסכם עיבוד — עם הפלטפורמה, ואם המודל מופעל אז גם עם הספק שלו. עד שהדבר מאושר המתג כבוי, וטקסטים אישיים לא נשלחים.
לבדוק שהשיווק תואם את הסיווג. הבטחה לטיפול באתר המלון מבטלת את המסגרת של «תמיכה באורח חיים».
לזכור את סף הגיל. הפורטל מיועד למבוגרים; לא פותחים חשבון למי שטרם מלאו לו 16.
לדעת מי רשות הפיקוח שלכם. היא מצוינת במדיניות עם כתובת ואתר; בצ'כיה זו Úřad pro ochranu osobních údajů.
שאלות ותשובות
האם הפורטל הוא מכשור רפואי? לא. הוא לא מצהיר על ייעוד רפואי: הוא לא מאבחן, לא קובע טיפול ולא מבטיח תוצאה טיפולית. הוא אוסף מספרים ומציג אותם; את ההחלטות מקבל הרופא.
מי אחראי מול האורח — המלון או הפלטפורמה? המלון: הוא בעל השליטה בנתונים. הפלטפורמה היא המעבד, והיא פועלת לפי הסכם ולפי הוראות המלון.
האם צריך הסכמה אם האורח רק עונד שעון? כן. מצבים יומיים הם נתוני בריאות, קטגוריה מיוחדת לפי סעיף 9 ל־GDPR. הפורטל מבקש עבורם הסכמה מפורשת נפרדת, ואפשר לבטל אותה בלחיצה אחת.
האם הנתונים יוצאים מהאיחוד האירופי? השרת נמצא באיחוד האירופי. 3 דברים יוצאים החוצה, ושלושתם מצוינים במדיניות: כניסה דרך Google, ענן Garmin של השעון המושאל, וטקסט שעבר הסרת פרטים מזהים ונמסר למודל.
האם המודל לומד מנתוני האורחים? לא. כל עוד הסכם עיבוד הנתונים עם הספק לא אושר, שום טקסט אישי לא יוצא כלל, וההסכם עצמו אוסר על שימוש חוזר ועל אימון.
מה יישאר אם האורח ימחק הכול? מהמסד יימחקו הלילות, מסלולי הבריאות, ההזמנות, יומן התזונה והערות הצוות עליו. יישארו רישומי המלון על עצמו: יומן מסירת הערכות ושורת חיוב שכבר לא מציינת אף אדם.
