Wiki

Wellness & LifestyleとGDPRの法的位置づけ

このポータルは生活習慣を支えるもので、診断はせず、治療も指示しません。健康データは GDPR に基づき、ゲストの明示的な同意のもとで、EU 内のサーバーで処理されます。

Updated 2026-08-28 · Sample procedures Luxury Spa & Medical Wellness Hotel Prezident

要点

• 分類。 Wellness & Lifestyle Intelligence は生活習慣の支援です。ポータルはウォッチと体重計の数値を集め、ゲストと医師に表示し、医師の指示を保存します。診断はせず、治療も指示しません。
• データの責任者。 管理者はホテルです。ポータルのポリシーには、法人名、登録番号、住所、担当医の氏名が記載されています。longev.eu は処理者で、コードとサーバーを運用します。
• ホテルごとにデータベースは別です。 コードベースは 1 つですが、各ホテルに専用のプロセス、専用のディレクトリ、専用のデータベースがあります。全ホテルのゲストをまとめた共通テーブルはありません。
• 同意は 2 つあります。 1 つは登録時の一般同意、もう 1 つは質問票の前に取る健康データへの明示的同意です。どちらもポリシーの版番号と一緒に記録されます。現在は 17.08.2026 付のバージョン 1.7 で、12 の章を 36 言語で用意しています。
• 権利はボタンで使えます。 すべてを 1 つのファイルで書き出すことも、クリニックのシステム向けに HL7 FHIR で書き出すことも、同意を撤回してデータを消去することも、「アカウント」を削除することもできます。ホテルへの連絡も待ち時間もいりません。
• EU の外に出るもの。 3 つあり、その 3 つはすべて明記されています。Google でのログイン、貸出しウォッチが使う Garmin のクラウド、そしてモデルに渡される匿名化されたテキストです。
• 保存期間。 健康データは最後の利用から 3 年、サーバーログは最大 90 日、パスワード再設定リンクは 60 分です。
• この文書の対象。 プラットフォームを選ぶホテルと、自分の数値がどう扱われるのか知りたいゲスト向けです。更新日は 23.08.2026 です。

Wellness & Lifestyle Intelligence とは何か

Wellness & Lifestyle Intelligence は、睡眠、運動、水分、食事、ホテルの施術といった生活習慣を支える製品の分類です。医療と同じ種類の数値を扱いますが、医療目的はうたわず、治療効果も約束しません。

このポータルがすることは、ウォッチの日々の状態と体重計の測定結果を受け取り、それをゲスト本人の平均と比べ、その全体像をゲストには「アカウント」で、医師には「ダッシュボード」で見せ、医師が出した指示を保存して表示することです。

このポータルが決してしないことは、病名を付けること、薬や食事療法を指示すること、医師の指示を取り消したり置き換えたりすること、施術で治ると約束することです。

この違いは、アルゴリズムが予定に触れる場面ではっきりします。無料でホテル側のもの、たとえばヘルスルートや宿泊に含まれるサウナは、ポータルが自分で動かします。有料の施術は移動を提案するだけで、決めるのは医師です（仕組みはこちら）。

医療機器との境界はどこか

ソフトウェアが医療機器になるかどうかを決めるのは、アルゴリズムの複雑さではなく、製造者が与えた目的です。診断、予防、監視、予測、予後、治療、または病気の軽減がそれに当たります（EU 医療機器規則 2017/745 第 2 条）。このポータルはそうした目的をうたっていません。しかもそれは文言だけではなく、製品そのものの 3 つの箇所に表れています。

• 質問票のリスクレベル は、診断ではなく、ヘルスルートと心拍数の範囲を選ぶためのものです。法的な効果は生じず、医師が上書きできます。
• 飲泉療法 は、ホテルの総主任医師が診察のあとに指示します。ポータルはそれを保存し、表示し、飲む時間を知らせますが、自分で指示することはできません（詳しくはこちら）。
• 夜間ループ は施術を動かすのであって、治療をするものではありません。その判断に使うしきい値は医師が定めたもので、公開されています（数値とルール）。

ウォッチは一般向けデバイス

ホテルのキットは、店頭で購入した通常の Garmin Forerunner 165 Music と Garmin Index S2 です。ポータルはそこから医療機能を使いません。ECG アプリを Garmin が有効にするのは、医療機器として承認された地域だけで、別の国で買ったウォッチには最初から入っていないこともあります。

心拍、心拍変動、睡眠段階、呼吸、血中酸素は、手首の一般向け光学センサーの読み取り値です。ポータルもその前提で表示します。つまり、検査結果としてではなく、そのゲスト自身の体の変化として扱います（ウォッチが実際に測っているもの）。

この分類を支えるのは文書の 1 行ではなく、何を約束するかです。ホテルの案内が「ウォッチで診断します」や「1 週間で治します」と言ってしまえば、コードを直すより早く、この枠組みは崩れます。

誰が何に責任を持つか

GDPR での役割分担は次のとおりです。これは提携についてのどんな言い回しよりも重要で、ゲストと監督当局に対して責任を負うのはホテルです。

ホテルごとにデータベースが分かれている理由

このプラットフォームは、一般的な意味でのマルチテナントではありません。別のホテルのゲストを共通テーブルの列で分けているわけではなく、各ホテルごとにサーバー上のプロセス、ディレクトリ、データベースがそれぞれあり、コードだけが共通です

違いは実務上はっきりしています。問い合わせに誤りがあっても、あるホテルに別のホテルのゲストが表示されることはありません。そのデータベースには最初から入っていないからです。利用をやめるホテルは、共通の保管場所から一部を抜き出すのではなく、自分のファイルをそのまま持ち出します

2つの同意とポリシーの版

健康データは特別なカテゴリにあたり（GDPR 第9条）、「利用条件に同意します」だけでは法的に十分ではありません。そのため同意は2つあります。登録時の一般同意と、アンケートの前に求める健康データ処理への明示的な同意です

この順序を管理しているのは画面ではなくサーバーです。ポリシーがまだ受け入れられていない状態で2つ目の同意を送っても、受け付けられません

2つの同意はどちらも、ポリシーの版番号と時刻と一緒に保存されます。版が上がるのは誤字ではなく内容の意味が変わったときで、その場合はポータルがどの画面の上でもポップアップを出して、全員にあらためて確認します

これはすでに3回ありました。バージョン 1.5 では客室の体重計と体組成が追加され、1.6 ではAIモデル名とEEA外への3つのデータ移転先が明記され、1.7 では食事日記と料理の写真が追加されました。毎回、ゲスト全員にあらためて確認しています

ポータルのポリシーはホテル本体のポリシーとは別で、対象はポータルだけです。アカウント、アンケート、ヘルスルート、ウォッチがここに含まれます。客室予約やホテルの配信案内は、ホテル自身のポリシーで扱います

×

ゲストの権利はメールではなくボタンで使います

約束されていても、ホテルにメールを書かないと行えない権利は、実際には行えません。そこで「アカウント」には「マイデータ」のブロックがあり、その中に 4 つのボタンがあります。

• エクスポート — ポータルがゲストについて保持しているものを、機械で読める 1 つのファイルにまとめます。問診票、トラックポイント付きの прогулки、宿泊の記録、テスト、指示、プロフィールが入ります（第 20 条 ― データポータビリティの権利）。
• HL7 FHIR エクスポート — 同じ数値を医療システムの言葉で、FHIR R4 形式にしたものです。内容は患者と観察データです。このファイルは人だけでなく、クリニックのシステムでも読めます。
• 同意の撤回 — 通常は削除と一緒に行われます。同意がなくなったあとに健康データを保持する根拠は残らないためです。
• アカウントの削除（第 17 条）— 確認つきです。ゲストが自分のメールアドレスを入力しないと、ボタンは動きません。

×

ボタンでできないこと

スタッフのアカウントは、これらのボタンでは削除できません。医師の署名はほかの人の指示や朝の記録についているため、そのようなアカウントは管理者が削除します。署名だけが気づかないうちに外れないようにするためです。

削除の深さの違いと、削除後にも残るものは、個人データで説明しています。あわせて、なぜ комплект の受け渡し記録は残り、ゲストについてのスタッフのメモは消えるのかも、そこで説明しています。

データの保存場所と外に出るもの

サーバーは欧州連合内にあります。データセンターの国名は、それぞれのホテルのポリシーに明記されています。データがそこを離れるのはちょうど 3 つの場合だけで、その 3 つはすべてポリシーに名前つきで書かれています。

• Google でログイン — ゲストが自分でその方法を選んだ場合だけで、渡るのはログインに必要なものだけです。メールアドレス、名前、アカウント識別子です。Google のパスワードがポータルに渡ることはありません。
• Garmin のクラウド — 貸し出したウォッチは Garmin アカウントに同期されます。このアカウントはホテルのもので、ゲスト名ではなく комплект 番号で管理されています。Garmin のサーバーは米国にあります。根拠は、ウォッチについて与えられた明示的な同意です（第 49 条 1 項 a）。
• モデル提供者 — 匿名化した朝の記録、つまり年齢、性別、数値だけで、名前、生年月日、メールアドレスは含みません。それに、逐語訳が必要な医師のメッセージと、ゲスト自身がカメラを押したときの料理の写真です。

そして 1 つだけ、私たちに消せないものがあります

ポータルに広告やアクセス解析のカウンターはありません。ゲストのブラウザに保存されるのは、セッショントークンと選んだ言語だけです。

ただし、Garmin アカウントの日ごとの履歴は削除できません。Garmin にその手段がないためです。こちらのコピーを削除したあとも、その日々の記録は Garmin の条件に従って残ります。ポータルがそのアカウントから読むのは、ゲストがその комплект を持っていた滞在中の日だけですが、黙っているより、そう書くほうが正直です。

保存期間

保存期間はデータの種類ごとに別です。ここでいう削除は、画面から隠すことではなく、データベースの行を削除することです。

1 つだけ、意図してゲストより長く残る記録があります。アクティブな滞在の請求行です。そこにあるアカウントへのリンクは空になり、その月には滞在があったことだけが残って、誰だったかは残りません（アクティブなゲストの数え方）。

モデルがすることと、判断しないこと

ポータル内の一部の文章は、人工知能モデルが言葉にしています。たとえば、朝のまとめの文面、医師からのメッセージの翻訳、 прогулка のポストカードの背景、皿の写真からのカロリー推定です。

このモデルはリスク水準を計算せず、心拍ゾーンも選ばず、プログラムも変更しません。渡されるのは、ポータルがすでに計算した内容だけです。法的効果を持つ自動化された決定（GDPR第22条）は、ポータルにはありません。

その文章がモデルによって作成されたことは、ポリシーの中でゲストに明記されます。これはEU人工知能規則の第50条で求められています。

そして一番大きな安全装置があります。個人の文章を含むリクエストは、スーパー管理者がプロバイダーとの処理契約の締結を確認するまで、1件も送信されません。初期設定ではスイッチはオフです。黙っていることは同意ではありません。無料プランは使えません。プロバイダー自身の条件で、送られた内容を学習に使うためです。

写真から読み取ったカロリーは幅を持たせて表示され、修正もできます。これは画像からの推定であり、測定ではありません。

画面ではなくサーバーが禁止していること

• ゲストの目線で見るときは閲覧専用です。 医師はゲストの「アカウント」を開いて、ゲストに見えているものと同じ内容を確認できます。そうしたセッションで変更を伴うリクエストは、どの処理にも入る前にアプリケーションの入口で拒否されます。ルートごとに守る約束では、最初の新しいルートで抜けが出るからです。
• すべてのアクセスは記録されます。 どのスタッフが、いつゲストの「アカウント」を開いたかは、ログに1行残ります。管理者はそのセッションで編集できますが、代わりに条件がはっきりしています。編集はゲスト名義で行われ、ログには誰の画面から入ったかが残ります。
• ゲストが触れられるのは自分の行だけです。 役割の分離はメニューで隠しているのではなく、サーバー側で行っています。
• パスワードそのものは保存しません。 データベースにあるのは PBKDF2 のハッシュで、パスワード再設定リンクもコードの SHA-256 としてだけ保存されます。データベースが漏れても、そのどちらもそのままは出ません。
• パスワードを変えると、すでに発行済みの鍵は無効になります。 それぞれのトークンにはセッション世代が入っています。パスワード変更、すべてのデバイスからのサインアウト、または役割の変更があると、発行済みの鍵は期限切れを待たずに無効になります。

運用開始前にホテルがしておくこと

• 管理者の情報を入力します。 1つでも項目が山括弧のまま残っている間は、ポータルはそのポリシーを公開不可とみなし、管理者のダッシュボードに警告を出します。
• データに関する請求の連絡先を示します。 あわせて、データ保護責任者が任命されている場合は（第37条）、その連絡先も示します。規則が求めているのは責任者の氏名の公開ではなく、連絡手段です。
• 医師の名前を明記します。 健康データを渡すゲストには、それを誰が読むのかを知る権利があります。「スパの医師」という表現だけでは足りません。
• 処理契約を結びます。 相手はプラットフォームで、モデルを有効にするならそのプロバイダーとも必要です。確認が終わるまではスイッチはオフで、個人の文章は送信されません。
• 案内文が分類と合っているか確認します。 ホテルのサイトで治療を約束すると、「ライフスタイル支援」という枠組みは成り立ちません。
• 年齢の線引きを忘れないでください。 このポータルは成人向けです。16歳未満の人には「アカウント」を作成しません。
• 監督機関を確認しておきます。 ポリシーには、その機関の住所とウェブサイトを記載します。チェコでは Úřad pro ochranu osobních údajů です。

よくある質問

• このポータルは医療機器ですか。 いいえ。医療目的をうたっておらず、診断もせず、治療も指示せず、治療効果も約束しません。数値を集めて表示するところまでが役割で、判断は医師が行います。
• ゲストに対して責任を負うのはホテルですか、それともプラットフォームですか。 ホテルです。ホテルがデータ管理者です。プラットフォームは処理者で、契約とホテルの指示に従って動きます。
• ゲストがただウォッチを着けるだけでも同意は必要ですか。 はい。1日の状態は健康データで、GDPR第9条の特別なカテゴリに当たります。ポータルではこれについて別個の明示的な同意を取り、取り消しは1クリックでできます。
• データはEUの外に出ますか？ サーバーはEU内にあります。外に出るものは3つだけで、いずれもポリシーに記載されています。Googleでのログイン、貸出用ウォッチにひもづくGarminクラウド、そしてモデルに渡す匿名化したテキストです。
• モデルは宿泊者のデータで学習しますか？ いいえ。提供事業者とのデータ処理契約が確認されるまでは、個人を含むテキストは外部に送られません。契約自体でも、再利用と学習は禁止されています。
• 宿泊者が全部削除したら何が残りますか？ データベースから消えるのは、宿泊日、 прогулки、処方、食事日記、その人についてのスタッフメモです。残るのはホテル側の記録だけで、 комплект の貸出記録と、もう個人名が入っていない請求明細の1行です。

出典

規則（EU）2016/679 — GDPR · 医療機器に関する規則（EU）2017/745 · 人工知能に関する規則（EU）2024/1689 · Úřad pro ochranu osobních údajů

関連ページ

個人データ：2つの同意、エクスポート、削除 — 宿泊者側から見た同じ権利を、ボタンごとに説明しています。

プラットフォームが施術を割り当てるしくみ — アルゴリズムが止まる場所と、医師の判断が始まる場所です。

料金：Setup、Base、Active Guest — 導入に何が含まれるかと、アクティブな宿泊者の数え方です。

ウォッチで測る項目 — 手首から実際に届く数値を説明しています。

受付：アプリの運用 — 次の宿泊者に渡す前に комплект を消去する理由です。

ポータルの完全なポリシーは、ログインしなくてもプライバシーページで読めます。