Wellness & Lifestyle Intelligence i GDPR: pravni okvir
Portal podržava način života, a ne postavlja dijagnoze i ne propisuje liječenje. Zdravstveni podaci obrađuju se prema GDPR-u — uz izričitu suglasnost gosta, na poslužitelju u EU.
Klasa. Wellness & Lifestyle Intelligence služi kao podrška načinu života: portal prikuplja brojke sa sata i vage, prikazuje ih gostu i liječniku te čuva ono što je liječnik propisao. Ne postavlja dijagnozu i ne propisuje liječenje.
Tko je odgovoran za podatke. Voditelj obrade je hotel: u pravilima portala navedeni su pravna osoba, registracijski brojevi, adresa i liječnik imenom i prezimenom. longev.eu je izvršitelj obrade: održava kod i poslužitelj.
Svaki hotel ima svoju bazu. Kod je isti, ali svaki hotel ima svoj proces, svoj direktorij i svoju bazu podataka. Ne postoji zajednička tablica gostiju svih hotela.
Suglasnosti su dvije. Opća pri registraciji i izričita za zdravstvene podatke prije upitnika. Obje se bilježe s brojem verzije pravila: trenutačno je to verzija 1.7 od 17.08.2026, s dvanaest odjeljaka na 36 jezika.
Prava su na gumb. Izvoz svega u jednoj datoteci, izvoz HL7 FHIR za sustav klinike, povlačenje suglasnosti uz brisanje i brisanje računa. Bez pisanja hotelu i bez čekanja.
Što izlazi iz EU. Tri stvari, i sve tri su izričito navedene: prijava preko Google, Garmin oblak iza posuđenog sata i anonimizirani tekst predan modelu.
Rokovi. Zdravstveni podaci — 3 godine nakon posljednje aktivnosti, zapisnici poslužitelja — do 90 dana, poveznica za promjenu lozinke — 60 minuta.
Kome je ovaj dokument namijenjen. Hotelu koji bira platformu i gostu koji želi znati što se dogodilo s njegovim brojkama. Ažurirano 23.08.2026.
Što znači Wellness & Lifestyle Intelligence
Wellness & Lifestyle Intelligence je klasa proizvoda koja podržava način života: san, kretanje, vodu, hranu i hotelske procedure. Radi s istim brojkama kao i medicina, ali ne navodi medicinsku namjenu i ne obećava terapijski rezultat.
Portal radi ovo: prima dnevna stanja sa sata i mjerenja s vage, uspoređuje ih s gostovim vlastitim prosjekom, prikazuje sliku gostu u računu i liječniku na nadzornoj ploči te čuva i prikazuje ono što je liječnik propisao.
Ono što nikad ne radi: ne imenuje bolest, ne propisuje ni lijek ni dijetu, ne ukida i ne zamjenjuje liječnički nalog i ne obećava da će procedura nešto izliječiti.
Razlika se vidi ondje gdje algoritam dira plan. Ono što je besplatno i naše — šetnju, saunu uključenu u boravak — portal pomiče sam. Za plaćenu proceduru samo predlaže premještanje, a odlučuje liječnik (kako to radi).
Gdje je granica prema medicinskom proizvodu
Program ne postaje medicinski proizvod zbog složenosti algoritma, nego zbog namjene koju mu je dao proizvođač: dijagnostike, prevencije, praćenja, predviđanja, prognoze, liječenja ili ublažavanja bolesti (Uredba (EU) 2017/745 o medicinskim proizvodima, članak 2). Portal takvu namjenu ne navodi — i to nije deklaracija, nego 3 mjesta u samom proizvodu:
Razina rizika iz upitnika služi za odabir rute šetnje i koridora pulsa, a ne za dijagnozu. Ne proizvodi pravne posljedice i liječnik je može nadjačati.
Pitku kuru propisuje glavni liječnik hotela nakon pregleda. Portal je čuva, prikazuje i podsjeća na uzimanje — sam je ne može propisati (više).
Noćna petlja premješta proceduru, a ne liječi. Pragovi po kojima to radi liječnički su i javno objavljeni (brojke i pravila).
Sat je potrošački uređaj
Hotelski komplet čine obični Garmin Forerunner 165 Music i vaga Garmin Index S2, kupljeni u trgovini. Portal ne uzima nijednu njihovu medicinsku funkciju: aplikaciju ECG Garmin uključuje samo ondje gdje je odobrena kao medicinski proizvod, a sat kupljen u drugoj zemlji možda je uopće nema.
Puls, njegova varijabilnost, faze sna, disanje i zasićenost krvi kisikom očitanja su kućnog optičkog senzora na zapešću. Portal ih tako i prikazuje: kao dinamiku gostova vlastitog tijela, a ne kao rezultat analize (što sat doista mjeri).
Klasifikacija ne stoji na jednoj rečenici u dokumentu, nego na obećanjima. Marketing hotela koji kaže «postavit ćemo dijagnozu po satu» ili «izliječit ćemo vas za tjedan dana» ruši taj okvir brže od bilo kakve izmjene koda.
Tko je za što odgovoran
Uloge u GDPR-u raspoređene su ovako, i taj je raspored važniji od bilo kakvih riječi o partnerstvu: pred gostom i pred nadzornim tijelom odgovara hotel.
Uloga
Tko je to
Što radi
Voditelj obrade
hotel kao pravna osoba
odlučuje zašto se podaci prikupljaju; odgovara gostu i nadzornom tijelu; njegovi podaci stoje u politici portala
Izvršitelj obrade
longev.eu
održava kod i poslužitelj, radi po ugovoru o obradi podataka i prema uputama hotela
Liječnik
glavni liječnik hotela, naveden imenom i prezimenom
vidi podatke boravka, propisuje kuru i procedure; obvezan je liječničkom tajnom
Hosting
pružatelj hostinga, podatkovni centar u EU
održava poslužitelj; i on je izvršitelj obrade, po ugovoru
Garmin
Garmin oblak
prima podatke sa sata: ili s gostova vlastitog računa ili s računa hotela za posuđeni komplet
Google
prijava i model
prijava preko Googlea je izbor gosta; model radi dok hotel drži tu funkciju uključenom
Karte
OpenStreetMap, mapy.com
preglednik gosta izravno traži pločice karte; trag rute im se ne šalje
Zašto svaki hotel ima svoju bazu podataka
Platforma nije višekorisnička u uobičajenom smislu: goste različitih hotela ne razdvaja stupac u zajedničkoj tablici. Svaki hotel ima svoj proces na poslužitelju, svoj direktorij i svoju bazu podataka, a kod je svima isti.
Razlika je praktična. Pogreška u upitu ne može jednom hotelu pokazati goste drugoga — njih jednostavno nema u njegovoj bazi. Hotel koji odlazi uzima svoju datoteku u cijelosti, a ne izdvojeni dio iz zajedničke pohrane.
Dva pristanka i verzija politike
Podaci o zdravlju posebna su kategorija (članak 9 GDPR-a), i «slažem se s uvjetima» pri registraciji za njih pravno nije dovoljno. Zato postoje 2 pristanka: opći pri registraciji i izričit za obradu podataka o zdravlju, prije upitnika.
Redoslijed drži poslužitelj, a ne sučelje: zahtjev za drugi pristanak odbija se ako politika još nije prihvaćena.
Oba pristanka čuvaju se zajedno s brojem verzije politike i vremenom. Verzija raste kad se mijenja smisao, a ne tipfeler — i tada portal sve pita ponovno, u prozoru preko bilo kojeg zaslona.
To se već dogodilo 3 puta: verzija 1.5 dodala je vagu u sobi i sastav tijela, 1.6 navela je model umjetne inteligencije i 3 izlaza podataka iz EGP-a, a 1.7 dnevnik prehrane i fotografiju tanjura. Svaki put goste se pitalo ponovno.
Politika portala odvojena je od politike hotela i pokriva samo portal: račun, upitnik, rute i sat. Rezervacija sobe i hotelski newsletter uređeni su njegovom vlastitom politikom.
Pravila portala: dvanaest odjeljaka, otvorena bez prijave×
Prava gosta rješavaju se gumbima, a ne e-poštom
Pravo koje je obećano, ali se ostvaruje pisanjem hotelu, u praksi se ne ostvaruje. Zato na stranici «Račun» postoji blok «Moji podaci» i u njemu četiri gumba.
Izvoz — sve što portal vodi o gostu, u jednoj strojno čitljivoj datoteci: upitnici, rute s točkama traga, noći, testovi, propisane procedure, profil (članak 20 — pravo na prenosivost).
HL7 FHIR izvoz — isti brojevi na jeziku medicinskih sustava, u formatu FHIR R4: pacijent i opažanja. Takvu datoteku čita sustav klinike, a ne samo čovjek.
Povlačenje privole — prema zadanim postavkama zajedno s brisanjem: nakon povučene privole više nema osnove za čuvanje zdravstvenih podataka.
Brisanje računa (članak 17) — uz potvrdu: gost upisuje svoju adresu e-pošte, inače gumb ne radi.
Račun zaposlenika ne može se obrisati tim gumbima. Pod potpisom liječnika stoje propisane procedure i jutarnji listovi drugih ljudi, pa takav račun uklanja administrator — da potpis ne nestane tiho.
Brisanje različite dubine i ono što ostaje nakon brisanja objašnjeni su u članku Osobni podaci: tamo je objašnjeno i zašto dnevnik izdavanja kompleta ostaje, a bilješke osoblja o gostu odlaze.
Gdje su podaci i što izlazi van
Server se nalazi u Europskoj uniji; država podatkovnog centra navedena je u pravilima konkretnog hotela. Podaci ga napuštaju točno u 3 slučaja, i sva 3 su u pravilima navedena poimence:
Prijava putem Googlea — samo ako je gost sam izabrao taj ulaz, i samo sama prijava: adresa e-pošte, ime i identifikator računa. Google lozinka nikada ne dolazi do portala.
Garmin oblak — posuđeni satovi sinkroniziraju se na Garmin račun koji pripada hotelu i nosi broj kompleta, a ne ime gosta; Garminovi serveri nalaze se u SAD-u. Osnova je izričita privola dana za satove (članak 49(1)(a)).
Pružatelj modela — anonimizirani jutarnji list (dob, spol i brojevi, bez imena, datuma rođenja i adrese e-pošte), poruka liječnika koju treba prevesti doslovno i fotografija tanjura kada je gost sam pritisnuo kameru.
I jedna stvar koju ne možemo obrisati
U portalu nema oglasa ni analitičkih brojača. Preglednik gosta čuva samo token sesije i odabrani jezik.
Dnevna povijest na Garmin računu ne može se obrisati: Garmin tu mogućnost ne daje. Ti dani ostaju kod njega prema njegovim vlastitim uvjetima i nakon što je naša kopija obrisana. Portal s takvog računa čita samo dane onog boravka u kojem je komplet bio kod gosta — ali poštenije je to reći nego prešutjeti.
Koliko se što čuva
Rok je naveden posebno za svaku vrstu podataka, a brisanje ovdje znači brisanje redaka iz baze, a ne njihovo skrivanje iz sučelja.
Jedan zapis namjerno ostaje i nakon gosta — stavka računa za aktivni boravak: poveznica na račun u njoj se poništava, pa mjesec pamti da je boravak postojao, ali više nikoga ne imenuje (kako se računa aktivni gost).
Što
Koliko dugo
Račun
dok ga gost ne obriše
Upitnici, rute, profil, pitka kura
3 godine nakon posljednje aktivnosti — ili do povlačenja privole
Dnevnik prehrane i fotografije jela
iste 3 godine; fotografija se briše s diska zajedno sa zapisom, a ne samo s popisa
Dnevna stanja sa posuđenog sata
ostaju na kartici gosta između boravaka, iste 3 godine
Poveznica za promjenu lozinke
60 minuta
Zapisi poslužitelja
do 90 dana
Što model radi, a što nikad ne odlučuje
Dio tekstova na portalu oblikuje model umjetne inteligencije: tekst jutarnjeg izvještaja, prijevod liječnikove poruke, pozadinu razglednice s rute i procjenu kalorija prema fotografiji tanjura.
On ne računa razinu rizika, ne bira zonu pulsa i ne mijenja program — dobiva ono što je portal već izračunao. Na portalu uopće nema automatizirane odluke s pravnim učinkom (članak 22 GDPR-a).
Da je tekst napisao model, gostu je izravno rečeno u samoj obavijesti: to traži članak 50 uredbe EU-a o umjetnoj inteligenciji.
I glavni osigurač: nijedan zahtjev s osobnim tekstom ne odlazi dok superadmin ne potvrdi da je s pružateljem sklopljen ugovor o obradi. Prekidač je po zadanim postavkama isključen — šutnja nije pristanak. Besplatna tarifa za to nije prikladna: prema uvjetima samog pružatelja, ona uči iz onoga što joj se pošalje.
Kalorije prema fotografiji portal prikazuje kao raspon i dopušta ispravak: to je procjena sa slike, a ne mjerenje.
Što zabranjuje poslužitelj, a ne sučelje
Pogled očima gosta služi samo za čitanje. Liječnik može otvoriti račun gosta kako bi vidio isto što vidi i gost. Svaki zahtjev koji nešto mijenja u takvoj se sesiji odbija već na ulazu u aplikaciju, prije obrade: obećanje provedeno zasebno na svakoj ruti traje do prve nove rute.
Svaki ulazak se bilježi. Tko je od osoblja i kada otvorio račun gosta — to je jedan redak u zapisniku. Administrator u takvoj sesiji smije uređivati, i cijena je jasno izrečena: izmjena odlazi u ime gosta, a zapisnik pamti u čiji prozor treba gledati.
Gost može doći samo do svojih redaka. Razdvajanje uloga napravljeno je na poslužitelju, a nije skriveno u izborniku.
Lozinke se ne pohranjuju. U bazi je PBKDF2 hash, a poveznica za promjenu lozinke samo kao SHA-256 koda. Ni jedno ni drugo ne može se dobiti iz baze koja je procurila.
Promjena lozinke gasi već izdane ključeve. U svakom tokenu upisana je generacija sesije: promjena lozinke, odjava na svim uređajima ili izmjena uloge poništava već izdane ključeve, umjesto da čeka da sami isteknu.
Što hotel radi prije pokretanja
Ispuniti podatke voditelja obrade. Dok je makar jedno polje još u uglatim zagradama, portal smatra da se obavijest ne može objaviti i na to upozorava u administratorskoj ploči.
Navesti kanal za zahtjeve u vezi s podacima — i, ako je imenovan službenik za zaštitu podataka (članak 37), njegovu adresu. Uredba ne traži objavu imena službenika, ali traži način kako ga kontaktirati.
Navesti liječnika imenom i prezimenom. Gost koji daje zdravstvene podatke ima pravo znati tko ih čita, a ne zadovoljiti se formulacijom «liječnik lječilišta».
Sklopiti ugovor o obradi — s platformom, a ako se uključuje model, i s njegovim pružateljem. Dok to nije potvrđeno, prekidač je isključen i osobni tekstovi ne odlaze.
Uskladiti marketing s klasifikacijom. Obećanje liječenja na hotelskoj stranici poništava okvir «podrška životnom stilu».
Pamtiti dobnu granicu. Portal je namijenjen odraslima; račun se ne otvara osobi mlađoj od 16 godina.
Znati svoje nadzorno tijelo. Ono je navedeno u obavijesti s adresom i internetskom stranicom; za Češku je to Úřad pro ochranu osobních údajů.
Pitanja i odgovori
Je li portal medicinski proizvod? Ne. Ne navodi medicinsku namjenu: ne postavlja dijagnoze, ne propisuje liječenje i ne obećava terapijski rezultat. Brojeve prikuplja i prikazuje, a odluke donosi liječnik.
Tko odgovara gostu — hotel ili platforma? Hotel: on je voditelj obrade. Platforma je izvršitelj obrade i radi po ugovoru i prema uputama hotela.
Treba li privola ako gost samo nosi sat? Da. Dnevna stanja su zdravstveni podaci, posebna kategorija prema članku 9 GDPR-a. Portal za njih uzima zasebnu izričitu privolu, a povući se može jednim klikom.
Izlaze li podaci iz EU-a? Poslužitelj je u EU-u. Izvan njega odlaze 3 stvari, i sve 3 su navedene u politici: prijava preko Googlea, Garmin oblak iza posuđenog sata i depersonalizirani tekst predan modelu.
Uči li model na podacima gostiju? Ne. Dok ugovor o obradi podataka s pružateljem nije potvrđen, osobni tekst uopće ne odlazi van, a sam ugovor zabranjuje ponovnu uporabu i učenje.
Što ostaje ako gost izbriše sve? Iz baze odlaze noćenja, šetnje, dodijeljene procedure, dnevnik prehrane i bilješke osoblja o njemu. Ostaju hotelske evidencije o samom hotelu: dnevnik izdavanja kompleta i stavka računa koja više nikoga ne navodi.
