Wellness & Lifestyle Intelligence és GDPR: jogi keret
A portál az életmódot támogatja, nem állít fel diagnózist, és kezelést sem ír elő. Az egészségügyi adatokat a GDPR szerint kezeljük — a vendég kifejezett hozzájárulásával, EU-s szerveren.
Besorolás. A Wellness & Lifestyle Intelligence életmódtámogatás: a portál összegyűjti az óráról és a mérlegről érkező adatokat, megmutatja őket a vendégnek és az orvosnak, és tárolja az orvos által előírtakat. Nem állít fel diagnózist, és kezelést sem ír elő.
Ki felel az adatokért. Az adatkezelő a szálloda: a portál tájékoztatójában szerepel a jogi személy neve, a nyilvántartási számok, a cím és az orvos neve. A longev.eu az adatfeldolgozó: ő működteti a kódot és a szervert.
Minden szállodának saját adatbázisa van. A kód közös, de minden szállodának külön folyamata, külön könyvtára és külön adatbázisa van. Nincs közös tábla az összes szálloda vendégeiről.
Két hozzájárulás van. Az általános a regisztrációnál, az egészségügyi adatokra adott kifejezett hozzájárulás a kérdőív előtt. Mindkettőt a tájékoztató verziószámával együtt rögzítjük: jelenleg ez az 1.7-es verzió, 17.08.2026, 12 fejezettel, 36 nyelven.
A jogok gombokkal érhetők el. Minden adat exportja egy fájlban, HL7 FHIR export a klinika rendszeréhez, a hozzájárulás visszavonása törléssel együtt, a Fiók törlése. Nem kell levelet írni a szállodának, és várni sem kell.
Mi kerül ki az EU-ból. Három dolog, és mindhárom név szerint szerepel: a belépés Google-fiókkal, a kiadott órák mögötti Garmin-felhő, és a modellnek átadott személytelenített szöveg.
Megőrzési idők. Az egészségügyi adatok az utolsó aktivitástól számított 3 évig, a szervernaplók legfeljebb 90 napig, a jelszócseréhez küldött link 60 percig érvényes.
Kinek szól ez a dokumentum. Annak a szállodának, amelyik platformot választ, és annak a vendégnek, aki tudni szeretné, mi történik az adataival. Frissítve: 23.08.2026.
Mit jelent a Wellness & Lifestyle Intelligence
A Wellness & Lifestyle Intelligence olyan termékkategória, amely az életmódot támogatja: az alvást, a mozgást, a vízfogyasztást, az étkezést és a szállodai kezeléseket. Ugyanazokkal a számokkal dolgozik, mint az orvoslás, de nem állít magáról orvosi rendeltetést, és nem ígér gyógyászati eredményt.
A portál ezt csinálja: átveszi az óráról a napi állapotokat és a mérlegről a méréseket, összeveti őket a vendég saját átlagával, megmutatja az összképet a vendégnek a Fiókban és az orvosnak a Vezérlőpulton, valamint tárolja és megjeleníti az orvos által előírtakat.
Amit soha nem tesz: nem nevez meg betegséget, nem ír elő sem gyógyszert, sem diétát, nem írja felül és nem helyettesíti az orvosi előírást, és nem ígéri, hogy egy kezelés meggyógyít.
A különbség ott látszik, ahol az algoritmus a tervhez nyúl. Ami ingyenes és a sajátunk — egy séta, a tartózkodásba foglalt szauna —, azt a portál maga módosítja. Fizetős kezelést csak áthelyezésre javasol, a döntést pedig az orvos hozza meg (így működik).
Hol húzódik a határ az orvostechnikai eszközzel
Egy szoftvert nem az algoritmus bonyolultsága tesz orvostechnikai eszközzé, hanem az a rendeltetés, amelyet a gyártó adott neki: diagnózis, megelőzés, megfigyelés, előrejelzés, prognózis, kezelés vagy betegség enyhítése (az orvostechnikai eszközökről szóló (EU) 2017/745 rendelet, 2. cikk). A portál nem állít ilyen rendeltetést magáról — és ez nem csak egy nyilatkozat, hanem a termékben is 3 helyen látszik:
A kérdőívből számolt kockázati szint egy sétaútvonalat és egy pulzustartományt választ ki, nem diagnózist. Nincs jogi következménye, és az orvos felülbírálhatja.
Az ivókúrát a szálloda főorvosa írja elő vizsgálat után. A portál tárolja, megjeleníti és emlékeztet az elfogyasztására — maga nem írhatja elő (részletesen).
Az éjszakai kör áthelyez egy kezelést, nem gyógyít. Az ehhez használt küszöbök orvosi küszöbök, és nyilvánosak (számok és szabályok).
Az óra fogyasztói eszköz
A szállodai készlet egy boltban vásárolt, hétköznapi Garmin Forerunner 165 Music órából és Garmin Index S2 mérlegből áll. A portál ezek orvosi funkcióit nem használja: a Garmin az EKG-alkalmazást csak ott kapcsolja be, ahol azt orvostechnikai eszközként jóváhagyták, és egy másik országban vásárolt órán ez akár egyáltalán nem is érhető el.
A pulzus, annak változékonysága, az alvásfázisok, a légzés és a véroxigénszint egy csuklón viselt, hétköznapi optikai érzékelő mérései. A portál is így mutatja őket: a vendég saját testének alakulásaként, nem vizsgálati eredményként (mit mér valójában az óra).
A besorolást nem egy dokumentumban szereplő sor tartja meg, hanem az ígéretek. Ha a szálloda marketingje azt mondja, hogy «az órából diagnózist állítunk fel» vagy «egy hét alatt meggyógyítjuk», az gyorsabban szétfeszíti ezt a keretet, mint bármilyen kódmódosítás.
Ki miért felel
A GDPR szerinti szerepek így oszlanak meg, és ez fontosabb bármilyen partnerségről szóló megfogalmazásnál: a vendég és a felügyeleti hatóság felé a szálloda felel.
Szerep
Ki ez
Mit csinál
Adatkezelő
a szálloda mint jogi személy
ő dönti el, miért gyűjtik az adatokat; a vendég és a felügyeleti hatóság felé is ő felel; az adatai a portál szabályzatában szerepelnek
Adatfeldolgozó
longev.eu
a kódot és a szervert üzemelteti, adatfeldolgozási szerződés alapján és a szálloda utasításai szerint dolgozik
Orvos
a szálloda név szerint megnevezett főorvosa
látja a tartózkodás adatait, előírja a kúrát és a kezeléseket; orvosi titoktartás köti
Tárhelyszolgáltató
a szolgáltató, adatközponttal az EU-ban
a szervert üzemelteti; szerződés alapján ő is adatfeldolgozó
Garmin
a Garmin felhője
az óra adatait fogadja: vagy a vendég saját Fiókja, vagy a kiadott készlet mögött álló szállodai Fiók
Google
bejelentkezés és a modell
a Google-belépést a vendég választja; a modell addig működik, amíg a szálloda bekapcsolva tartja ezt a funkciót
Térképek
OpenStreetMap, mapy.com
a térképcsempéket a vendég böngészője közvetlenül kéri le; a séta nyomvonala nem kerül hozzájuk
Miért van minden szállodának saját adatbázisa
A platform nem a szokásos értelemben több-bérlős: a különböző szállodák vendégeit nem egy közös tábla egyik oszlopa választja el egymástól. Minden szállodának saját folyamata fut a szerveren, saját könyvtára és saját adatbázisa van, miközben a kód mindenkinél ugyanaz.
Ennek gyakorlati jelentősége van. Egy lekérdezési hiba nem tudja megmutatni az egyik szállodának a másik vendégeit, mert azok egyszerűen nincsenek benne az adatbázisában. Az a szálloda pedig, amelyik kilép, a teljes saját fájlját viszi el, nem egy válogatást egy közös tárhelyről.
Két hozzájárulás és a szabályzat verziója
Az egészségügyi adatok különleges kategóriába tartoznak (GDPR 9. cikk), és ezekhez a regisztrációnál adott «elfogadom a feltételeket» jogilag nem elég. Ezért két hozzájárulás van: egy általános a regisztrációnál, és egy kifejezett az egészségügyi adatok kezelésére, a kérdőív előtt.
A sorrendet a szerver tartja, nem a felület: a második hozzájárulásra küldött kérést elutasítja, ha a szabályzatot még nem fogadták el.
Mindkét hozzájárulást a szabályzat verziószámával és az időponttal együtt tároljuk. A verzió akkor nő, ha a tartalom érdemben változik, nem egy elírás miatt — ilyenkor a portál mindenkit újra megkérdez egy bármelyik képernyő fölött megjelenő ablakban.
Ez eddig már 3 alkalommal történt meg: az 1.5-ös verzió hozzáadta a szobai mérleget és a testösszetételt, az 1.6 megnevezte az MI-modellt és az EGT-ből kifelé menő 3 adattovábbítást, az 1.7 pedig a táplálkozási naplót és a tányér fényképét. Minden alkalommal újra megkérdeztük a vendégeket.
A portál szabályzata külön áll a szálloda szabályzatától, és csak a portálra vonatkozik: a Fiókra, a kérdőívre, a sétákra és az órára. A szobafoglalásra és a szállodai hírlevélre a szálloda saját szabályzata vonatkozik.
A portál tájékoztatója: 12 szakasz, bejelentkezés nélkül megnyitható×
A vendég jogai gombokkal intézhetők, nem e-mailben
Az a jog, amelyet megígérnek, de csak a szállodának írt levéllel lehet gyakorolni, a gyakorlatban nem működik. Ezért a «Fiók» oldalon van egy «Saját adataim» blokk, benne 4 gombbal.
Exportálás — minden, amit a portál a vendégről tárol, egyetlen géppel olvasható fájlban: kérdőívek, útvonalpontokkal együtt rögzített gyógyutak, éjszakák, tesztek, előírások, profil (20. cikk — az adathordozhatósághoz való jog).
HL7 FHIR exportálás — ugyanazok a számok az orvosi rendszerek nyelvén, FHIR R4 formátumban: beteg és megfigyelések. Ezt a fájlt egy klinikai rendszer is be tudja olvasni, nem csak ember.
Hozzájárulás visszavonása — alapértelmezés szerint a törléssel együtt: a hozzájárulás visszavonása után nem marad jogalap az egészségügyi adatok tárolására.
Fiók törlése (17. cikk) — megerősítéssel: a vendég beírja a saját e-mail-címét, különben a gomb nem működik.
Munkatársi fiókot ezekkel a gombokkal nem lehet törölni. Egy orvos aláírása mások előírásai és reggeli lapjai alatt is szerepel, ezért az ilyen fiókot adminisztrátor távolítja el, hogy az aláírás ne váljon le észrevétlenül.
A törlés 2 mélységét és azt, mi marad meg utána, a Személyes adatok cikk írja le: ott az is benne van, miért marad meg a készletkiadási napló, miközben a személyzet vendégről szóló jegyzetei törlődnek.
Hol vannak az adatok, és mi kerül ki onnan
A szerver az Európai Unióban van; az adatközpont országát az adott szálloda tájékoztatója nevezi meg. Az adatok pontosan 3 esetben hagyják el, és mind a 3 eset név szerint szerepel a tájékoztatóban:
Bejelentkezés Google-fiókkal — csak akkor, ha a vendég ezt az utat választotta, és csak magához a belépéshez: az e-mail-cím, a név és a fiókazonosító kerül át. A Google-jelszó a portálhoz soha nem jut el.
Garmin-felhő — a kiadott óra egy olyan Garmin-fiókba szinkronizál, amely a szállodáé, és a vendég neve helyett a készlet számát viseli; a Garmin szerverei az Egyesült Államokban vannak. Ennek alapja az órára adott kifejezett hozzájárulás (49(1)(a) cikk).
A modell szolgáltatója — a személyazonosításra nem alkalmas reggeli lap (életkor, nem és számok, név, születési dátum és e-mail-cím nélkül), az orvos üzenete, amelyet szó szerint kell lefordítani, valamint a tányérról készült kép, amikor a vendég maga nyomta meg a kamerát.
És 1 dolog, amit nem tudunk törölni
A portálban nincs reklám és nincsenek analitikai mérőkódok. A vendég böngészője csak a munkamenet tokent és a kiválasztott nyelvet tárolja.
A Garmin-fiók napi előzményeit viszont nem lehet törölni: erre a Garmin nem ad lehetőséget. Ezek a napok a saját feltételei szerint nála maradnak akkor is, amikor a mi másolatunk már törlődött. A portál egy ilyen fiókból csak annak a tartózkodásnak a napjait olvassa be, amikor a készlet a vendégnél volt — de ezt jobb kimondani, mint elhallgatni.
Meddig őrzünk meg mit
Minden adattípusnak külön megőrzési ideje van, és a törlés itt az adatbázissorok törlését jelenti, nem azt, hogy eltűnnek a felületről.
Egy bejegyzés szándékosan túléli a vendéget — az aktív tartózkodás számlasora: a fiókra mutató hivatkozás benne nullára áll, így a hónap megőrzi, hogy a tartózkodás megtörtént, de már senkit nem nevez meg (hogyan számít az aktív vendég).
Mi
Meddig
Fiók
amíg a vendég nem törli
Kérdőívek, gyógyutak, profil, ivókúra
az utolsó aktivitástól számított 3 évig — vagy a hozzájárulás visszavonásáig
Táplálkozási napló és az ételfotók
ugyanaz a 3 év; a kép a bejegyzéssel együtt a lemezről is törlődik, nem csak a listából
A kölcsönadott óráról származó napi állapotok
a vendég adatlapján a tartózkodások között is megmaradnak, ugyanúgy 3 évig
Jelszó-visszaállítási link
60 perc
Szervernaplók
legfeljebb 90 napig
Mit csinál a modell, és miről nem dönt
A portál egyes szövegeit mesterségesintelligencia-modell fogalmazza meg: a reggeli összefoglaló szövegét, az orvosi üzenet fordítását, a sétáról küldött képeslap hátterét, a lefotózott tányér kalóriabecslését.
Nem számol kockázati szintet, nem választ pulzuszónát, és nem módosítja a programot — azt kapja meg, amit a portál már kiszámolt. A portálban egyáltalán nincs joghatással járó automatizált döntés (GDPR 22. cikk).
A vendég a tájékoztatóban egyértelműen látja, ha egy szöveget modell írt: ezt az EU mesterséges intelligenciáról szóló rendeletének 50. cikke írja elő.
És ez a fő biztosíték: személyes szöveget tartalmazó kérés addig egy sem megy ki, amíg a szuperadmin meg nem erősíti, hogy a szolgáltatóval megvan az adatfeldolgozási szerződés. A kapcsoló alapból ki van kapcsolva — a hallgatás nem beleegyezés. Ingyenes csomag erre nem jó: a szolgáltató saját feltételei szerint tanul abból, amit elküldenek neki.
A fénykép alapján becsült kalóriát a portál tartományként mutatja, és javítani is lehet: ez képi becslés, nem mérés.
Mit tilt a szerver, nem a felület
A vendég nézetében minden csak olvasható. Az orvos megnyithatja a vendég Fiókját, hogy pontosan azt lássa, amit a vendég lát. Az ilyen munkamenetben minden módosító kérés már az alkalmazás bejáratánál elutasításra kerül, még a kezelő előtt: az útvonalanként külön betartott ígéret csak az első új útvonalig él.
Minden belépés naplózva van. Hogy a személyzetből ki és mikor nyitotta meg a vendég Fiókját, arról egy sor kerül a naplóba. Az admin ilyen munkamenetben szerkeszthet, és ennek az ára ki van mondva: a módosítás a vendég neve alatt megy ki, a napló pedig megőrzi, kinek az ablakába kell belenézni.
A vendég csak a saját soraihoz fér hozzá. A szerepkörök szétválasztása a szerveren történik, nem a menüben van elrejtve.
A jelszavakat nem tároljuk. Az adatbázisban PBKDF2-hash van, a jelszó-visszaállítási link pedig csak a kód SHA-256 lenyomataként szerepel. Egy kiszivárgott adatbázisból egyik sem nyerhető ki.
A jelszócsere érvényteleníti a már kiadott kulcsokat. Minden token tartalmaz egy munkamenet-generációt: a jelszócsere, a kijelentkezés minden eszközön vagy a szerepkör módosítása azonnal megöli a már kiadott kulcsokat, nem várja meg, míg maguktól lejárnak.
Mit tesz a szálloda indulás előtt
Ki kell tölteni az adatkezelő adatait. Amíg akár egy mező is hegyes zárójelek között marad, a portál a tájékoztatót nem publikálhatónak tekinti, és erről figyelmeztet az adminisztrátori panelen.
Meg kell adni az adatkérelmek csatornáját — és ha van kijelölt adatvédelmi tisztviselő (37. cikk), az ő elérhetőségét is. A rendelet a tisztviselő nevének közzétételét nem írja elő, az elérési módját viszont igen.
Az orvost név szerint meg kell nevezni. Az egészségügyi adatait átadó vendégnek joga van tudni, ki olvassa azokat, és nem kell beérnie a «fürdőorvos» megfogalmazással.
Meg kell kötni az adatfeldolgozási szerződéseket — a platformmal, és ha a modell be van kapcsolva, annak szolgáltatójával is. A megerősítésig a kapcsoló ki van kapcsolva, és személyes szöveg nem megy ki.
A marketinget össze kell vetni a besorolással. Ha a szálloda weboldala kezelést ígér, az áthúzza az «életmódtámogatás» keretét.
Figyelni kell a korhatárra. A portál felnőtteknek készült; 16 év alatti személynek nem hoznak létre Fiókot.
Ismerni kell a felügyeleti hatóságot. A tájékoztató címével és weboldalával együtt nevezi meg; Csehországban ez az Úřad pro ochranu osobních údajů.
Kérdések és válaszok
A portál orvostechnikai eszköz? Nem. Nem állít magáról orvosi rendeltetést: nem állít fel diagnózist, nem ír elő kezelést, és nem ígér gyógyászati eredményt. A számokat összegyűjti és megmutatja, a döntéseket az orvos hozza meg.
Ki felel a vendég felé — a szálloda vagy a platform? A szálloda: ő az adatkezelő. A platform az adatfeldolgozó, szerződés alapján és a szálloda utasításai szerint dolgozik.
Kell beleegyezés, ha a vendég csak viseli az órát? Igen. A napi állapotok egészségügyi adatok, a GDPR 9. cikke szerinti különleges kategória. A portál ezekhez külön kifejezett beleegyezést kér, és ez 1 kattintással visszavonható.
Az adatok elhagyják az EU-t? A szerver az EU-ban van. 3 dolog megy ki onnan, mind a 3 szerepel a tájékoztatóban: a Google-belépés, a kiadott órák mögötti Garmin-felhő és a modellnek átadott személytelenített szöveg.
Tanul a modell a vendégek adataiból? Nem. Amíg a szolgáltatóval kötött adatfeldolgozási megállapodás nincs megerősítve, személyes szöveg egyáltalán nem megy ki, és maga a megállapodás is tiltja az újrafelhasználást és a tanítást.
Mi marad, ha a vendég mindent töröl? Az adatbázisból eltűnnek az éjszakák, a gyógyutak, az előírások, a táplálkozási napló és a személyzet róla szóló jegyzetei. Megmaradnak a szálloda saját nyilvántartásai: a készletek kiadásának naplója és egy számlasor, amely már senkit sem nevez meg.
