Wiki

Wellness & Lifestyle Intelligence e GDPR: quadro giuridico

Il portale sostiene uno stile di vita, non fa diagnosi e non prescrive trattamenti. I dati sulla salute sono trattati secondo il GDPR, con il consenso esplicito dell’ospite, su un server nell’UE.

Updated 2026-08-28 · Sample procedures Luxury Spa & Medical Wellness Hotel Prezident

In breve

• La classe. Wellness & Lifestyle Intelligence serve a sostenere lo stile di vita: il portale raccoglie i numeri dell’orologio e della bilancia, li mostra all’ospite e al medico e conserva le prescrizioni del medico. Non fa diagnosi e non prescrive trattamenti.
• Chi risponde dei dati. Il titolare del trattamento è l’hotel: nell’informativa del portale sono indicati la persona giuridica, i numeri di registrazione, l’indirizzo e il medico per nome. longev.eu è il responsabile del trattamento: gestisce il codice e il server.
• Ogni hotel ha il proprio database. Il codice è uno solo, ma ogni hotel ha il proprio processo, la propria directory e il proprio database. Non esiste una tabella comune con gli ospiti di tutti gli hotel.
• I consensi sono due. Uno generale al momento della registrazione e uno esplicito per i dati sulla salute prima del questionario. Entrambi sono registrati con il numero di versione dell’informativa: ora è la versione 1.7 del 17.08.2026, dodici sezioni in 36 lingue.
• I diritti sono pulsanti. Esportazione di tutto in un solo file, esportazione HL7 FHIR per il sistema della clinica, revoca del consenso con cancellazione, eliminazione dell’Account. Senza scrivere all’hotel e senza attese.
• Che cosa esce dall’UE. Tre cose, e tutte e tre sono indicate chiaramente: l’accesso con Google, il cloud Garmin dietro l’orologio dato in dotazione e il testo reso anonimo inviato al modello.
• Tempi. I dati sulla salute restano per tre anni dopo l’ultima attività, i log del server fino a 90 giorni, il link per cambiare la password per 60 minuti.
• Per chi è questo documento. Per l’hotel che sceglie una piattaforma e per l’ospite che vuole sapere che fine hanno fatto i suoi numeri. Aggiornato il 23.08.2026.

Che cosa significa Wellness & Lifestyle Intelligence

Wellness & Lifestyle Intelligence è una classe di prodotto che sostiene lo stile di vita: sonno, movimento, acqua, alimentazione e trattamenti dell’hotel. Lavora con gli stessi numeri della medicina, ma non dichiara una finalità medica e non promette un risultato terapeutico.

Che cosa fa il portale: riceve gli stati giornalieri dall’orologio e le pesate dalla bilancia, li confronta con la media personale dell’ospite, mostra il quadro all’ospite nell’Account e al medico nel Pannello, conserva e visualizza le prescrizioni fatte dal medico.

Che cosa non fa mai: non dà un nome a una malattia, non prescrive né farmaci né dieta, non annulla e non sostituisce la prescrizione del medico, non promette che un trattamento curerà qualcosa.

La differenza si vede dove l’algoritmo tocca il piano. Quello che è gratuito e interno — un percorso di cammino, una sauna inclusa nel soggiorno — il portale lo sposta da solo. Per un trattamento a pagamento propone solo lo spostamento, e decide il medico (come funziona).

Dove passa il confine con il dispositivo medico

Quello che rende un programma un dispositivo medico non è la complessità dell’algoritmo, ma la finalità che gli ha dato il produttore: diagnosi, prevenzione, monitoraggio, predizione, prognosi, trattamento o attenuazione della malattia (Regolamento (UE) 2017/745 sui dispositivi medici, articolo 2). Il portale non dichiara una finalità del genere, e non è una formula scritta in un documento ma qualcosa che si vede in tre punti del prodotto stesso:

• Il livello di rischio del questionario serve a scegliere un percorso di cammino e un corridoio di frequenza cardiaca, non una diagnosi. Non produce effetti giuridici e il medico può modificarlo.
• La cura idropinica è prescritta dal medico capo dell’hotel dopo la visita. Il portale la conserva, la mostra e ricorda l’assunzione, ma non può prescriverla da solo (approfondimento).
• Il ciclo notturno sposta un trattamento, non cura. Le soglie con cui lo fa sono definite dai medici e sono pubbliche (numeri e regole).

L’orologio è un dispositivo consumer

Il kit dell’hotel è composto da un normale Garmin Forerunner 165 Music e da una normale bilancia Garmin Index S2, acquistati in negozio. Il portale non usa le loro funzioni mediche: Garmin abilita l’app ECG solo dove è approvata come dispositivo medico, e un orologio acquistato in un altro Paese può anche non averla affatto.

Frequenza cardiaca, variabilità, fasi del sonno, respirazione e ossigenazione del sangue sono letture di un sensore ottico da polso per uso consumer. Il portale le presenta proprio così: come dinamica del corpo dell’ospite, non come risultato di un esame (che cosa misura davvero l’orologio).

La classificazione non si regge su una riga in un documento, ma sulle promesse. Il marketing di un hotel che dice «faremo una diagnosi dall’orologio» o «guariremo in una settimana» rompe questo quadro più in fretta di qualsiasi modifica al codice.

Chi risponde di che cosa

Nel GDPR i ruoli sono distribuiti così, e questa distribuzione conta più di qualsiasi formula sul partenariato: verso l’ospite e verso l’autorità di controllo risponde l’hotel.

Perché ogni hotel ha il suo database

La piattaforma non è multi-tenant nel senso abituale: gli ospiti di hotel diversi non sono separati da una colonna in una tabella condivisa. Ogni hotel ha il suo processo sul server, la sua directory e il suo database, mentre il codice è lo stesso per tutti.

La differenza è pratica. Un errore in una query non può mostrare a un hotel gli ospiti di un altro: semplicemente non sono nel suo database. Un hotel che lascia la piattaforma prende il suo file per intero, non un estratto da un archivio condiviso.

Due consensi e la versione dell’informativa

I dati sulla salute sono una categoria particolare (articolo 9 GDPR) e per questi «Accetto le condizioni» al momento della registrazione non basta sul piano giuridico. Per questo i consensi sono 2: uno generale alla registrazione e uno esplicito per il trattamento dei dati sulla salute, prima del questionario.

L’ordine è gestito dal server, non dall’interfaccia: una richiesta del secondo consenso, se l’informativa non è ancora stata accettata, viene respinta.

Entrambi i consensi vengono conservati insieme al numero di versione dell’informativa e all’ora. La versione aumenta quando cambia il significato, non per un refuso, e allora il portale lo chiede di nuovo a tutti con una finestra sopra qualsiasi schermata.

È già successo 3 volte: la versione 1.5 ha aggiunto la bilancia in camera e la composizione corporea, la 1.6 ha indicato il modello di IA e le 3 uscite dei dati dallo SEE, la 1.7 il diario alimentare e la foto del piatto. Ogni volta agli ospiti è stato chiesto di nuovo.

L’informativa del portale è separata da quella dell’hotel e riguarda solo il portale: l’Account, il questionario, i percorsi benessere e l’orologio. La prenotazione della camera e la newsletter dell’hotel rientrano nella sua informativa.

×

I diritti dell’ospite si esercitano con pulsanti, non con una e-mail

Un diritto promesso ma da esercitare scrivendo all’hotel, in pratica, non si esercita. Per questo in «Account» c’è il blocco «I miei dati», con quattro pulsanti.

• Esportazione — tutto quello che il portale conserva sull’ospite, in un solo file leggibile da una macchina: questionari, percorsi con i punti della traccia, notti, test, prescrizioni, profilo (articolo 20 — diritto alla portabilità).
• Esportazione HL7 FHIR — gli stessi numeri nel linguaggio dei sistemi medici, in formato FHIR R4: paziente e osservazioni. Un file così viene letto dal sistema della clinica, non solo da una persona.
• Revoca del consenso — di norma insieme alla cancellazione: senza consenso non ci sarebbe più alcuna base per conservare i dati sulla salute.
• Eliminazione dell’account (articolo 17) — con conferma: l’ospite deve digitare il proprio indirizzo e-mail, altrimenti il pulsante non funziona.

×

Che cosa i pulsanti non fanno

Con questi pulsanti non si elimina l’account di un membro del personale. Sotto la firma del medico ci sono prescrizioni e fogli mattutini di altre persone, quindi un account del genere viene rimosso da un amministratore, perché la firma non si stacchi in silenzio.

I due livelli di cancellazione e ciò che resta dopo l’eliminazione sono spiegati nell’articolo I tuoi dati personali: lì si spiega anche perché il registro di consegna dei kit resta, mentre le note del personale sull’ospite vengono eliminate.

Dove stanno i dati e che cosa esce

Il server si trova nell’Unione europea; il paese del datacenter è indicato nell’informativa del singolo hotel. I dati ne escono in esattamente 3 casi, e tutti e 3 sono elencati nell’informativa per nome:

• Accesso con Google — solo se l’ospite ha scelto lui stesso questa via, e solo per l’accesso: indirizzo e-mail, nome e identificativo dell’account. La password Google non arriva mai al portale.
• Cloud Garmin — l’orologio dato in prestito si sincronizza con un account Garmin che appartiene all’hotel e porta il numero del kit, non il nome dell’ospite; i server Garmin si trovano negli Stati Uniti. La base è il consenso esplicito dato per l’orologio (articolo 49(1)(a)).
• Fornitore del modello — il foglio mattutino reso anonimo (età, sesso e numeri, senza nome, data di nascita né indirizzo e-mail), un messaggio del medico da tradurre parola per parola e la foto del piatto, quando l’ospite ha premuto lui stesso la fotocamera.

E una cosa che non possiamo cancellare

Nel portale non ci sono pubblicità né contatori analitici. Il browser dell’ospite conserva solo il token di sessione e la lingua scelta.

La cronologia giornaliera nell’account Garmin, invece, non si può cancellare: Garmin non offre questa possibilità. Quei giorni restano presso Garmin secondo le sue condizioni, anche dopo che la nostra copia è stata cancellata. Il portale legge da quell’account solo i giorni del soggiorno in cui il kit era in uso all’ospite, ma dirlo è più corretto che tacere.

Per quanto tempo si conserva ogni cosa

Per ogni tipo di dato è indicato un termine distinto, e qui eliminazione significa rimozione delle righe dal database, non semplice nascondimento nell’interfaccia.

Una registrazione resta intenzionalmente anche dopo l’ospite: la riga di fatturazione di un soggiorno attivo. Il collegamento all’account viene azzerato, così il mese ricorda che il soggiorno c’è stato, ma non indica più nessuno (come si conta un ospite attivo).

Che cosa fa il modello e che cosa non decide

Una parte dei testi del portale viene formulata da un modello di intelligenza artificiale: il testo del riepilogo mattutino, la traduzione di un messaggio del medico, lo sfondo della cartolina di un percorso benessere, la stima delle calorie dalla foto del piatto.

Non calcola il livello di rischio, non sceglie la zona di frequenza cardiaca e non cambia il programma: riceve ciò che il portale ha già calcolato. Nel portale non esiste alcuna decisione automatizzata con effetti giuridici (articolo 22 GDPR).

Che un testo sia stato scritto da un modello viene detto all'ospite direttamente nell'informativa: lo richiede l'articolo 50 del regolamento UE sull'intelligenza artificiale.

E la protezione principale è questa: nessuna richiesta con testo personale parte finché il super-admin non ha confermato che con il provider è stato concluso un contratto di trattamento. Per impostazione predefinita l'interruttore è spento: il silenzio non vale come consenso. Un piano gratuito qui non va bene: secondo le condizioni del provider, impara da ciò che gli viene inviato.

Le calorie ricavate da una fotografia il portale le mostra come intervallo e permette di correggerle: è una stima da immagine, non una misurazione.

Che cosa vieta il server, non l'interfaccia

• La vista come ospite è solo in lettura. Il medico può aprire l'Account dell'ospite per vedere esattamente ciò che vede l'ospite. In una sessione di questo tipo, ogni richiesta che modifica qualcosa viene respinta all'ingresso dell'applicazione, prima di arrivare al gestore: una promessa mantenuta percorso per percorso dura fino al primo percorso nuovo.
• Ogni accesso viene registrato. Chi del personale ha aperto l'Account dell'ospite, e quando, resta in una riga del log. In una sessione di questo tipo l'amministratore può modificare, e il prezzo è detto chiaramente: la modifica parte a nome dell'ospite, ma il log ricorda in quale finestra guardare.
• L'ospite arriva solo alle proprie righe. La separazione dei ruoli è fatta sul server, non nascosta in un menu.
• Le password non vengono conservate. Nel database c'è un hash PBKDF2, e il link per reimpostare la password solo come SHA-256 del codice. Un database trapelato non rivela né l'uno né l'altro.
• Il cambio di password disattiva le chiavi già emesse. In ogni token è registrata la generazione della sessione: il cambio di password, l'uscita da tutti i dispositivi o la modifica del ruolo invalidano le chiavi già emesse, senza aspettare che scadano da sole.

Che cosa fa l'hotel prima dell'avvio

• Compilare i dati del titolare del trattamento. Finché anche un solo campo resta tra parentesi angolari, il portale considera l'informativa non pubblicabile e lo segnala nel Pannello dell'amministratore.
• Indicare un canale per le richieste sui dati e, se è stato nominato un responsabile della protezione dei dati (articolo 37), il suo recapito. Il regolamento non richiede di pubblicarne il nome, ma richiede un modo per contattarlo.
• Indicare il medico per nome. L'ospite che consegna dati sulla salute ha diritto di sapere chi li legge, e non di accontentarsi della formula «medico delle terme».
• Concludere i contratti di trattamento con la piattaforma e, se il modello viene attivato, anche con il suo provider. Fino alla conferma l'interruttore resta spento e i testi personali non partono.
• Verificare che il marketing corrisponda alla classificazione. Una promessa di cura sul sito dell'hotel cancella il quadro di «supporto allo stile di vita».
• Ricordare la soglia di età. Il portale è pensato per adulti; non viene creato un Account per chi ha meno di 16 anni.
• Conoscere la propria autorità di controllo. Nell'informativa è indicata con indirizzo e sito; per la Repubblica Ceca è l'Úřad pro ochranu osobních údajů.

Domande e risposte

• Il portale è un dispositivo medico? No. Non dichiara una finalità medica: non fa diagnosi, non prescrive trattamenti e non promette un risultato terapeutico. Raccoglie e mostra i numeri; le decisioni le prende il medico.
• Chi risponde all'ospite: l'hotel o la piattaforma? L'hotel: è il titolare del trattamento. La piattaforma è il responsabile del trattamento e lavora per contratto e secondo le istruzioni dell'hotel.
• Serve il consenso se l'ospite indossa soltanto l'orologio? Sì. Gli stati giornalieri sono dati sulla salute, una categoria particolare ai sensi dell'articolo 9 GDPR. Il portale chiede per questi un consenso esplicito separato, e lo si può revocare con un clic.
• I dati escono dall'UE? Il server è nell'UE. Ne escono 3 cose, tutte e 3 indicate nell'informativa: l'accesso con Google, il cloud Garmin dietro l'orologio dato in prestito e il testo anonimizzato passato al modello.
• Il modello impara dai dati degli ospiti? No. Finché l'accordo sul trattamento dei dati con il fornitore non è confermato, nessun testo personale esce affatto, e l'accordo stesso vieta il riuso e l'addestramento.
• Che cosa resta se l'ospite cancella tutto? Dal database spariscono i pernottamenti, le passeggiate, le prescrizioni, il diario alimentare e le note del personale su di lui. Restano le registrazioni dell'hotel su se stesso: il registro di consegna dei kit e una riga di conto che non nomina più nessuno.

Fonti

Regolamento (UE) 2016/679 — GDPR · Regolamento (UE) 2017/745 sui dispositivi medici · Regolamento (UE) 2024/1689 sull'intelligenza artificiale · Úřad pro ochranu osobních údajů

Approfondimenti

Dati personali: due consensi, esportazione e cancellazione — gli stessi diritti dal lato dell'ospite, pulsante per pulsante.

Come la piattaforma assegna i trattamenti — dove l'algoritmo si ferma e comincia il medico.

Prezzi: Setup, Base e Active Guest — che cosa comprende l'avvio e come si conta un ospite attivo.

Che cosa misura l'orologio — quali numeri arrivano davvero dal polso.

Reception: lavoro con le app — perché il kit viene cancellato prima di passare all'ospite successivo.

L'informativa completa del portale è aperta anche senza accesso, nella pagina della privacy.