Wiki

Wellness & Lifestyle Intelligence dan GDPR: kerangka hukum

Portal ini mendukung gaya hidup, bukan menegakkan diagnosis dan bukan meresepkan terapi. Data kesehatan diproses sesuai GDPR — atas persetujuan tegas tamu, di server UE.

Updated 2026-08-28 · Sample procedures Luxury Spa & Medical Wellness Hotel Prezident

Singkatnya

• Kelasnya. Wellness & Lifestyle Intelligence adalah dukungan gaya hidup: portal mengumpulkan angka dari jam tangan dan timbangan, menampilkannya kepada tamu dan dokter, serta menyimpan tindakan yang ditetapkan dokter. Portal ini tidak menegakkan diagnosis dan tidak meresepkan terapi.
• Siapa yang bertanggung jawab atas data. Pengendalinya adalah hotel: kebijakan portal mencantumkan badan hukum, nomor registrasi, alamat, serta nama dokternya. longev.eu adalah pemroses: pihak yang mengelola kode dan server.
• Setiap hotel punya basis data sendiri. Kodenya satu, tetapi setiap hotel memiliki proses, direktori, dan basis datanya sendiri. Tidak ada tabel bersama untuk tamu dari semua hotel.
• Ada dua persetujuan. Persetujuan umum saat pendaftaran, dan persetujuan tegas untuk data kesehatan sebelum kuesioner. Keduanya dicatat bersama nomor versi kebijakan: saat ini versi 1.7 tanggal 17.08.2026, 12 bagian dalam 36 bahasa.
• Hak tersedia lewat tombol. Ekspor semua data dalam satu file, ekspor HL7 FHIR untuk sistem klinik, penarikan persetujuan beserta penghapusan, dan penghapusan akun. Tanpa surat ke hotel dan tanpa menunggu.
• Apa yang keluar dari UE. Ada 3 hal, dan ketiganya disebutkan secara jelas: masuk lewat Google, cloud Garmin di balik jam tangan pinjaman, dan teks yang sudah dianonimkan yang diberikan ke model.
• Jangka waktu. Data kesehatan — 3 tahun setelah aktivitas terakhir, log server — hingga 90 hari, tautan ganti kata sandi — 60 menit.
• Untuk siapa dokumen ini. Untuk hotel yang sedang memilih platform, dan untuk tamu yang ingin tahu apa yang terjadi dengan angkanya. Diperbarui 23.08.2026.

Apa arti Wellness & Lifestyle Intelligence

Wellness & Lifestyle Intelligence adalah kelas produk yang mendukung gaya hidup: tidur, gerak, air, makanan, dan prosedur hotel. Produk ini bekerja dengan angka yang sama seperti di bidang medis, tetapi tidak menyatakan tujuan medis dan tidak menjanjikan hasil terapi.

Yang dilakukan portal: menerima kondisi harian dari jam tangan dan hasil penimbangan dari timbangan, membandingkannya dengan rata-rata tamu itu sendiri, menampilkan gambaran ini kepada tamu di Akun dan kepada dokter di Dasbor, serta menyimpan dan menampilkan tindakan yang ditetapkan dokter.

Yang tidak pernah dilakukan portal: menyebut penyakit, meresepkan obat atau diet, membatalkan atau mengganti tindakan dokter, atau menjanjikan bahwa suatu prosedur akan menyembuhkan.

Perbedaannya terlihat saat algoritme menyentuh rencana. Yang gratis dan milik hotel sendiri — rute jalan kaki, sauna yang sudah termasuk dalam masa inap — portal atur sendiri. Untuk prosedur berbayar, portal hanya menyarankan pemindahan, dan keputusan ada pada dokter (cara kerjanya).

Di mana batas dengan alat kesehatan

Yang membuat perangkat lunak menjadi alat kesehatan bukan kerumitan algoritmenya, melainkan tujuan yang diberikan produsen kepadanya: diagnosis, pencegahan, pemantauan, prediksi, prognosis, pengobatan, atau peringanan penyakit (Regulasi (UE) 2017/745 tentang alat kesehatan, Pasal 2). Portal ini tidak menyatakan tujuan seperti itu — dan ini bukan sekadar pernyataan, melainkan terlihat di 3 bagian produk itu sendiri:

• Tingkat risiko dari kuesioner memilih rute jalan kaki dan koridor denyut nadi, bukan diagnosis. Ini tidak menimbulkan akibat hukum, dan dokter dapat mengubahnya.
• Kur minum ditetapkan oleh kepala dokter hotel setelah pemeriksaan. Portal menyimpannya, menampilkannya, dan mengingatkan waktu minum — portal tidak bisa menetapkannya sendiri (penjelasannya).
• Siklus malam memindahkan prosedur, bukan mengobati. Ambang yang dipakainya untuk itu ditetapkan dokter dan terbuka (angka dan aturannya).

Jam tangan adalah perangkat konsumen

Kit hotel adalah Garmin Forerunner 165 Music biasa dan timbangan Garmin Index S2 biasa, yang dibeli di toko. Portal tidak mengambil fungsi medis apa pun dari perangkat ini: aplikasi ECG diaktifkan oleh Garmin hanya di tempat aplikasi itu disetujui sebagai alat kesehatan, dan jam tangan yang dibeli di negara lain bisa saja tidak memilikinya sama sekali.

Denyut nadi, variabilitasnya, fase tidur, pernapasan, dan kadar oksigen darah adalah pembacaan dari sensor optik konsumen di pergelangan tangan. Portal menampilkannya dengan cara yang sama: sebagai dinamika tubuh tamu itu sendiri, bukan sebagai hasil pemeriksaan (apa tepatnya yang diukur jam tangan).

Klasifikasi ini ditopang bukan oleh satu baris dalam dokumen, melainkan oleh janji yang diberikan. Pemasaran hotel yang berkata «kami akan menegakkan diagnosis dari jam tangan Anda» atau «kami akan menyembuhkan Anda dalam seminggu» merusak kerangka ini lebih cepat daripada perubahan apa pun pada kode.

Siapa bertanggung jawab atas apa

Peran dalam GDPR dibagi seperti ini, dan pembagian ini lebih penting daripada kata-kata apa pun tentang kemitraan: yang bertanggung jawab kepada tamu dan kepada otoritas pengawas adalah hotel.

Mengapa setiap hotel punya basis data sendiri

Platform ini bukan multi-tenant dalam arti yang biasa: tamu dari hotel yang berbeda tidak dipisahkan oleh satu kolom dalam tabel bersama. Setiap hotel punya proses sendiri di server, direktori sendiri, dan basis data sendiri, sementara kodenya tetap sama untuk semuanya.

Perbedaannya bersifat praktis. Kesalahan dalam kueri tidak bisa menampilkan tamu hotel lain kepada satu hotel, karena data mereka memang tidak ada di basis datanya. Hotel yang berhenti memakai sistem mengambil seluruh berkasnya, bukan potongan dari penyimpanan bersama.

Dua persetujuan dan versi kebijakan

Data kesehatan adalah kategori khusus (Pasal 9 GDPR), dan untuk itu «saya setuju dengan syaratnya» saat pendaftaran tidak cukup secara hukum. Karena itu ada dua persetujuan: persetujuan umum saat pendaftaran dan persetujuan tegas untuk pemrosesan data kesehatan, sebelum kuesioner.

Urutannya dijaga oleh server, bukan oleh antarmuka: permintaan untuk persetujuan kedua akan ditolak jika kebijakan belum disetujui.

Kedua persetujuan disimpan bersama nomor versi kebijakan dan waktunya. Versi naik saat maknanya berubah, bukan karena salah ketik, dan saat itu portal akan meminta persetujuan lagi kepada semua orang lewat jendela yang muncul di atas layar apa pun.

Ini sudah terjadi 3 kali: versi 1.5 menambahkan timbangan di kamar dan komposisi tubuh, 1.6 menyebut model AI dan 3 keluarnya data dari EEA, 1.7 menambahkan catatan nutrisi dan foto piring. Setiap kali, tamu diminta menyetujui lagi.

Kebijakan portal terpisah dari kebijakan hotel dan hanya mencakup portal: Akun, kuesioner, прогулки, dan jam tangan. Pemesanan kamar dan kiriman informasi dari hotel diatur dalam kebijakan hotel itu sendiri.

×

Hak tamu ada dalam tombol, bukan lewat e-mail

Hak yang dijanjikan tetapi harus dijalankan dengan menulis ke hotel, pada praktiknya tidak berjalan. Karena itu di «Akun» ada blok «Data saya», dan di dalamnya ada empat tombol.

• Ekspor — semua yang disimpan portal tentang tamu, dalam satu berkas yang dapat dibaca mesin: kuesioner, rute jalan kaki dengan titik lintasan, malam, tes, penugasan, profil (Pasal 20 — hak atas portabilitas data).
• Ekspor HL7 FHIR — angka yang sama dalam bahasa sistem medis, dalam format FHIR R4: pasien dan observasi. Berkas seperti ini dibaca oleh sistem klinik, bukan hanya oleh manusia.
• Cabut persetujuan — secara bawaan bersama penghapusan: tidak ada lagi dasar untuk menyimpan data kesehatan setelah persetujuan dicabut.
• Hapus akun (Pasal 17) — dengan konfirmasi: tamu mengetik alamat e-mailnya sendiri, kalau tidak tombol tidak akan bekerja.

×

Apa yang tidak dilakukan tombol

Akun staf tidak bisa dihapus dengan tombol ini. Di bawah tanda tangan dokter ada penugasan dan lembar pagi milik orang lain, jadi akun seperti itu dihapus oleh administrator — agar tanda tangan tidak terlepas begitu saja.

Dua tingkat penghapusan dan apa yang tetap ada setelah penghapusan dijelaskan dalam artikel Data pribadi Anda: di sana juga dijelaskan mengapa jurnal penyerahan комплектов tetap ada, sedangkan catatan staf tentang tamu dihapus.

Di mana data disimpan dan apa yang keluar

Server berada di Uni Eropa; negara pusat datanya disebutkan dalam kebijakan hotel yang bersangkutan. Data keluar dari sana tepat dalam tiga kasus, dan ketiganya disebutkan satu per satu dalam kebijakan:

• Masuk dengan Google — hanya jika tamu sendiri memilih jalan itu, dan hanya untuk proses masuknya: alamat e-mail, nama, dan pengenal akun. Kata sandi Google tidak pernah sampai ke portal.
• Cloud Garmin — jam tangan yang dipinjamkan disinkronkan ke akun Garmin milik hotel dan memakai nomor комплект, bukan nama tamu; server Garmin berada di Amerika Serikat. Dasarnya adalah persetujuan eksplisit yang diberikan untuk jam tangan itu (Pasal 49(1)(a)).
• Penyedia model — lembar pagi yang sudah dianonimkan (usia, jenis kelamin, dan angka, tanpa nama, tanggal lahir, dan alamat e-mail), pesan dokter yang perlu diterjemahkan kata demi kata, dan foto piring saat tamu sendiri menekan kamera.

Dan satu hal yang tidak bisa kami hapus

Tidak ada iklan dan penghitung analitik di portal. Browser tamu hanya menyimpan token sesi dan bahasa yang dipilih.

Tetapi riwayat harian di akun Garmin tidak bisa dihapus: Garmin tidak menyediakan cara untuk itu. Hari-hari itu tetap ada di sana menurut ketentuan Garmin sendiri bahkan setelah salinan kami dihapus. Portal hanya membaca dari akun seperti itu hari-hari dari kunjungan saat комплект berada pada tamu — tetapi lebih jujur untuk mengatakan ini daripada diam.

Berapa lama data disimpan

Masa simpan disebutkan terpisah untuk setiap jenis data, dan penghapusan di sini berarti baris dihapus dari basis data, bukan disembunyikan dari antarmuka.

Satu catatan memang sengaja tetap ada setelah tamu pergi — baris tagihan untuk kunjungan aktif: tautannya ke akun dikosongkan, jadi bulan itu tetap mengingat bahwa kunjungan terjadi, tetapi tidak lagi menyebut siapa pun (cara menghitung tamu aktif).

Apa yang dilakukan model dan apa yang tidak diputuskan

Sebagian teks di portal dirumuskan oleh model kecerdasan buatan: susunan kata untuk ringkasan pagi, terjemahan pesan dari dokter, latar kartu pos dari rute jalan kaki, dan perkiraan kalori dari foto piring.

Model ini tidak menghitung tingkat risiko, tidak memilih zona denyut nadi, dan tidak mengubah program — model hanya menerima apa yang sudah dihitung portal. Tidak ada keputusan otomatis yang berdampak hukum sama sekali di portal ini (Pasal 22 GDPR).

Bahwa suatu teks ditulis oleh model disebutkan langsung kepada tamu di kebijakan itu sendiri: ini diwajibkan oleh Pasal 50 peraturan UE tentang kecerdasan buatan.

Dan pengaman utamanya: tidak ada satu pun permintaan yang membawa teks pribadi dikirim sebelum super-admin mengonfirmasi bahwa sudah ada perjanjian pemrosesan dengan penyedia. Secara bawaan sakelarnya mati — diam bukan berarti setuju. Paket gratis tidak cocok untuk ini: menurut syarat penyedianya sendiri, layanan itu belajar dari apa yang dikirim kepadanya.

Kalori dari foto ditampilkan portal sebagai kisaran dan boleh diperbaiki: ini perkiraan dari gambar, bukan pengukuran.

Apa yang dilarang oleh server, bukan oleh antarmuka

• Melihat dari sisi tamu hanya untuk membaca. Dokter dapat membuka Akun tamu untuk melihat persis apa yang dilihat tamu. Setiap permintaan yang mengubah sesuatu dalam sesi seperti itu ditolak di pintu masuk aplikasi, sebelum handler: janji yang ditegakkan satu per satu di setiap rute hanya bertahan sampai ada rute baru pertama.
• Setiap akses dicatat. Siapa dari staf yang membuka Akun tamu, dan kapan, tercatat sebagai satu baris di log. Admin boleh mengubah dalam sesi seperti itu, dan konsekuensinya disebut terus terang: perubahan dikirim atas nama tamu, dan log tetap ingat jendela siapa yang harus diperiksa.
• Tamu hanya bisa mengakses baris miliknya sendiri. Pemisahan peran dilakukan di server, bukan disembunyikan di menu.
• Kata sandi tidak disimpan. Di basis data hanya ada hash PBKDF2, dan tautan untuk mengganti kata sandi hanya sebagai SHA-256 dari kodenya. Basis data yang bocor tidak memberikan yang satu maupun yang lain.
• Mengganti kata sandi mematikan kunci yang sudah diterbitkan. Di setiap token tercatat generasi sesi: mengganti kata sandi, keluar dari semua perangkat, atau mengubah peran akan mematikan kunci yang sudah dibagikan, bukan menunggu sampai kedaluwarsa sendiri.

Apa yang dilakukan hotel sebelum peluncuran

• Isi data pengendali. Selama masih ada 1 kolom dalam tanda kurung sudut, portal menganggap kebijakan itu belum bisa dipublikasikan dan memberi peringatan tentang hal itu di Dasbor admin.
• Sebutkan saluran untuk permintaan data — dan, jika ada petugas perlindungan data yang ditunjuk (Pasal 37), alamatnya. Peraturan tidak mewajibkan nama petugas itu dipublikasikan, tetapi mewajibkan cara untuk menghubunginya.
• Sebutkan nama dokter. Tamu yang menyerahkan data kesehatannya berhak tahu siapa yang membacanya, bukan hanya diberi keterangan «dokter spa».
• Buat perjanjian pemrosesan data — dengan platform, dan juga dengan penyedia model jika model diaktifkan. Sampai itu dikonfirmasi, sakelar tetap mati dan teks pribadi tidak dikirim.
• Cocokkan pemasaran dengan klasifikasinya. Janji pengobatan di situs hotel membatalkan kerangka «dukungan gaya hidup».
• Ingat batas usia. Portal ini ditujukan untuk orang dewasa; Akun tidak dibuat untuk siapa pun yang berusia di bawah 16 tahun.
• Ketahui otoritas pengawas Anda. Otoritas ini disebutkan di kebijakan beserta alamat dan situsnya; untuk Ceko, otoritasnya adalah Úřad pro ochranu osobních údajů.

Pertanyaan dan jawaban

• Apakah portal ini alat kesehatan? Tidak. Portal ini tidak menyatakan tujuan medis: tidak menegakkan diagnosis, tidak meresepkan pengobatan, dan tidak menjanjikan hasil terapeutik. Portal mengumpulkan angka dan menampilkannya; keputusan diambil oleh dokter.
• Siapa yang bertanggung jawab kepada tamu — hotel atau platform? Hotel: hotel adalah pengendali data. Platform adalah pemroses, yang bekerja berdasarkan perjanjian dan instruksi hotel.
• Apakah persetujuan diperlukan jika tamu hanya memakai Jam tangan? Ya. Status harian adalah data kesehatan, kategori khusus menurut Pasal 9 GDPR. Portal meminta persetujuan eksplisit yang terpisah untuk data ini, dan persetujuan itu bisa dicabut dengan 1 klik.
• Apakah data keluar dari UE? Server berada di UE. Ada 3 hal yang keluar, dan ketiganya disebut dalam kebijakan: masuk lewat Google, cloud Garmin di balik jam tangan pinjaman, dan teks yang sudah dianonimkan yang diberikan ke model.
• Apakah model belajar dari data tamu? Tidak. Selama perjanjian pemrosesan data dengan penyedia belum dikonfirmasi, teks pribadi sama sekali tidak dikirim keluar, dan perjanjian itu sendiri melarang penggunaan ulang dan pelatihan.
• Apa yang tersisa jika tamu menghapus semuanya? Dari basis data akan hilang data malam menginap, rute jalan kaki, penetapan prosedur, catatan nutrisi, dan catatan staf tentang tamu itu. Yang tetap ada adalah catatan hotel tentang dirinya sendiri: jurnal penyerahan комплект dan baris tagihan yang sudah tidak menyebut siapa pun.

Sumber

Peraturan (UE) 2016/679 — GDPR · Peraturan (UE) 2017/745 tentang alat kesehatan · Peraturan (UE) 2024/1689 tentang kecerdasan buatan · Úřad pro ochranu osobních údajů

Lanjutan topik ini

Data pribadi Anda: dua persetujuan, ekspor, dan penghapusan — hak yang sama dari sisi tamu, tombol demi tombol.

Bagaimana platform menetapkan prosedur — di mana algoritme berhenti dan dokter mulai mengambil alih.

Harga: Setup, Base, dan Active Guest — apa saja yang termasuk saat peluncuran dan bagaimana tamu aktif dihitung.

Apa yang diukur jam tangan — angka apa saja yang benar-benar datang dari pergelangan tangan.

Resepsionis: bekerja dengan aplikasi — mengapa комплект dihapus sebelum diberikan ke tamu berikutnya.

Kebijakan lengkap portal terbuka tanpa masuk, di halaman privasi.