위키

Wellness & Lifestyle과 GDPR: 법적 기준

포털은 생활 방식을 지원할 뿐, 진단하거나 치료를 처방하지 않습니다. 건강 데이터는 GDPR에 따라 게스트의 명시적 동의를 받아 EU 서버에서 처리됩니다.

Updated 2026-08-28 · Sample procedures Luxury Spa & Medical Wellness Hotel Prezident

짧게

• 분류. Wellness & Lifestyle Intelligence는 생활 방식 지원입니다. 포털은 워치와 체중계의 수치를 모아 게스트와 의사에게 보여 주고, 의사가 내린 처방을 보관합니다. 진단은 하지 않고 치료도 처방하지 않습니다.
• 데이터 책임 주체. 관리자는 호텔입니다. 포털 정책에는 법인명, 등록 번호, 주소, 담당 의사 이름이 적혀 있습니다. longev.eu는 처리자이며 코드와 서버를 운영합니다.
• 호텔마다 데이터베이스가 따로 있습니다. 코드는 하나지만 각 호텔은 자기 프로세스, 자기 디렉터리, 자기 데이터베이스를 씁니다. 모든 호텔 게스트를 한데 모은 공용 테이블은 없습니다.
• 동의는 2가지입니다. 일반 동의는 가입 때 받고, 건강 데이터에 대한 명시적 동의는 설문 전에 받습니다. 두 동의 모두 정책 버전과 함께 기록되며, 현재는 17.08.2026자 버전 1.7, 36개 언어의 12개 섹션입니다.
• 권리는 버튼으로 행사합니다. 전체 데이터를 한 파일로 내보내기, 클리닉 시스템용 HL7 FHIR 내보내기, 동의 철회와 함께 삭제, «계정» 삭제가 가능합니다. 호텔에 편지를 보낼 필요도 없고 기다릴 필요도 없습니다.
• EU 밖으로 나가는 것. 3가지이며, 모두 분명히 밝힙니다. Google 로그인, 대여한 워치가 쓰는 Garmin 클라우드, 그리고 모델에 전달되는 비식별 텍스트입니다.
• 보관 기간. 건강 데이터는 마지막 활동 후 3년, 서버 로그는 최대 90일, 비밀번호 재설정 링크는 60분입니다.
• 이 문서를 보는 사람. 플랫폼을 고르는 호텔과, 자기 수치가 어떻게 처리되는지 알고 싶은 게스트를 위한 문서입니다. 23.08.2026에 업데이트했습니다.

Wellness & Lifestyle Intelligence란 무엇인가

Wellness & Lifestyle Intelligence는 수면, 움직임, 물, 음식, 호텔 시술처럼 생활 방식을 지원하는 제품 분류입니다. 의료와 같은 수치를 다루지만 의료 목적을 내세우지 않고 치료 결과도 약속하지 않습니다.

포털이 하는 일은 이렇습니다. 워치의 일일 상태와 체중계 측정값을 받아 게스트 자신의 평균과 비교하고, 그 모습을 게스트에게는 «계정»에서, 의사에게는 «대시보드»에서 보여 주며, 의사가 내린 처방을 보관하고 표시합니다.

포털이 절대 하지 않는 일도 있습니다. 질병명을 붙이지 않고, 약이나 식단을 처방하지 않으며, 의사의 처방을 취소하거나 대신하지 않고, 어떤 시술이 병을 낫게 한다고 약속하지도 않습니다.

이 차이는 알고리즘이 일정에 닿는 지점에서 드러납니다. 무료이고 호텔 안에서 처리하는 것, 예를 들어 건강 경로나 숙박에 포함된 사우나는 포털이 스스로 옮깁니다. 유료 시술은 옮기자고 제안만 하고, 결정은 의사가 합니다(작동 방식).

의료기기와의 경계는 어디인가

소프트웨어를 의료기기로 만드는 것은 알고리즘의 복잡함이 아니라 제조사가 부여한 목적입니다. 진단, 예방, 관찰, 예측, 예후, 치료 또는 질병 완화가 여기에 해당합니다(의료기기에 관한 규정 (EU) 2017/745, 제2조). 포털은 이런 목적을 내세우지 않으며, 이는 문구만의 문제가 아니라 제품 안의 3가지 지점에서 확인됩니다.

• 설문에서 나온 위험 수준은 건강 경로와 심박수 범위를 고를 뿐, 진단이 아닙니다. 법적 효과도 없고 의사가 이를 다시 정할 수 있습니다.
• 음용 요법은 호텔 주치의가 진찰 후에 처방합니다. 포털은 이를 보관하고 보여 주며 복용 시간을 알려 줄 뿐, 스스로 처방할 수는 없습니다(자세히).
• 야간 루프는 시술 일정을 옮길 뿐, 치료하지는 않습니다. 이때 쓰는 기준값은 의사가 정한 것이며 공개되어 있습니다(수치와 규칙).

워치는 소비자용 기기입니다

호텔의 комплект는 매장에서 구입한 일반 Garmin Forerunner 165 Music과 Garmin Index S2 체중계입니다. 포털은 여기서 의료 기능을 가져오지 않습니다. ECG 앱은 Garmin이 의료기기로 승인된 곳에서만 켜 두며, 다른 나라에서 산 워치에는 아예 없을 수도 있습니다.

심박수, 변이도, 수면 단계, 호흡, 혈중 산소 포화도는 손목의 소비자용 광학 센서가 읽은 값입니다. 포털도 이를 그대로 다룹니다. 검사 결과가 아니라 게스트 자기 몸의 변화로 보여 줍니다(워치가 실제로 측정하는 것).

이 분류를 지탱하는 것은 문서 한 줄이 아니라 약속의 내용입니다. 호텔 마케팅이 «워치로 진단해 드립니다» 또는 «1주일 안에 치료해 드립니다»라고 말하면, 코드 수정 어떤 것보다도 빨리 이 기준이 무너집니다.

누가 무엇을 책임지나

GDPR에서 역할은 이렇게 나뉘며, 이 구분은 어떤 파트너십 문구보다 중요합니다. 게스트와 감독 기관 앞에서 책임지는 쪽은 호텔입니다.

호텔마다 데이터베이스가 따로 있는 이유

이 플랫폼은 보통 말하는 멀티테넌트 구조가 아닙니다. 서로 다른 호텔의 고객을 공용 테이블의 한 열로 구분하지 않습니다. 각 호텔은 서버에서 자기 프로세스, 자기 디렉터리, 자기 데이터베이스를 따로 쓰고, 코드는 모두 같습니다.

이 차이는 실제로 중요합니다. 조회에 실수가 있어도 한 호텔에 다른 호텔 고객이 보일 수는 없습니다. 그 데이터는 애초에 그 호텔 데이터베이스에 없기 때문입니다. 계약을 끝내는 호텔은 공용 저장소에서 일부만 뽑아 가는 것이 아니라 자기 파일 전체를 가져갑니다.

동의 2가지와 정책 버전

건강 데이터는 특별 범주에 속하며(GDPR 제9조), 등록할 때의 «약관에 동의합니다»만으로는 법적으로 충분하지 않습니다. 그래서 동의는 2가지입니다. 등록 시의 일반 동의와, 설문 전에 받는 건강 데이터 처리에 대한 명시적 동의입니다.

이 순서는 화면이 아니라 서버가 지킵니다. 정책에 아직 동의하지 않은 상태에서 2번째 동의를 보내면 요청이 거절됩니다.

두 동의는 모두 정책 버전 번호와 시간과 함께 저장됩니다. 버전은 오타가 아니라 내용의 의미가 바뀔 때 올라가며, 그때는 포털이 어떤 화면 위에서든 뜨는 창으로 모두에게 다시 묻습니다.

이 일은 이미 3번 있었습니다. 버전 1.5에서는 객실 체중계와 체성분이 추가됐고, 1.6에서는 AI 모델과 EEA 밖으로 나가는 데이터 3가지를 명시했으며, 1.7에서는 식사 일지와 접시 사진이 추가됐습니다. 그때마다 고객에게 다시 동의를 받았습니다.

포털 정책은 호텔 정책과 별개이며 포털만 다룹니다. 계정, 설문, 건강 경로, 워치가 여기에 포함됩니다. 객실 예약과 호텔의 안내 발송은 호텔 자체 정책에 따릅니다.

×

고객의 권리는 메일이 아니라 버튼으로 처리합니다

보장된 권리라도 호텔에 메일을 보내야만 처리된다면 실제로는 잘 행사되지 않습니다. 그래서 «계정»에는 «내 데이터» 블록이 있고, 그 안에 버튼 4개가 있습니다.

• 내보내기 — 포털이 고객에 대해 보관하는 모든 내용을 기계가 읽을 수 있는 파일 1개로 받습니다: 설문, 트랙 포인트가 포함된 건강 경로, 숙박 기록, 검사, 처방, 프로필(제20조 — 데이터 이동권).
• HL7 FHIR 내보내기 — 같은 수치를 의료 시스템이 쓰는 언어로, FHIR R4 형식으로 받습니다: 환자와 관찰 데이터입니다. 이 파일은 사람뿐 아니라 클리닉 시스템도 읽을 수 있습니다.
• 동의 철회 — 기본적으로 삭제와 함께 처리됩니다. 동의가 철회되면 건강 데이터를 계속 보관할 근거가 없어지기 때문입니다.
• 계정 삭제(제17조) — 확인 절차가 있습니다. 고객이 자신의 이메일 주소를 직접 입력해야 하며, 그렇지 않으면 버튼이 작동하지 않습니다.

×

버튼으로 할 수 없는 일

직원 계정은 이 버튼으로 삭제할 수 없습니다. 의사의 서명 아래에는 다른 사람의 처방과 모닝 시트가 달려 있으므로, 이런 계정은 관리자가 제거합니다. 서명이 아무 설명 없이 끊어지지 않게 하려는 것입니다.

삭제의 2가지 수준과 삭제 후에도 남는 항목은 개인 데이터 문서에 정리되어 있습니다. 거기에는 왜 комплект 대여 기록은 남고, 고객에 대한 직원 메모는 삭제되는지도 설명되어 있습니다.

데이터가 저장되는 곳과 외부로 나가는 항목

서버는 유럽연합 안에 있습니다. 데이터센터가 있는 국가는 각 호텔의 정책에 구체적으로 적혀 있습니다. 데이터가 그 밖으로 나가는 경우는 정확히 3가지뿐이며, 정책에 모두 이름까지 적혀 있습니다.

• Google로 로그인 — 고객이 직접 이 방법을 선택한 경우에만 사용되며, 전달되는 것은 로그인에 필요한 정보뿐입니다: 이메일 주소, 이름, 계정 식별자입니다. Google 비밀번호는 포털로 절대 넘어오지 않습니다.
• Garmin 클라우드 — 대여한 워치는 Garmin 계정으로 동기화되며, 이 계정은 호텔 소유이고 고객 이름이 아니라 комплект 번호를 사용합니다. Garmin 서버는 미국에 있습니다. 근거는 워치에 대해 받은 명시적 동의입니다(제49조(1)(a)).
• 모델 제공업체 — 비식별화된 모닝 시트(이름, 생년월일, 이메일 주소 없이 나이, 성별, 수치만 포함), 의사의 메시지를 그대로 번역해야 할 때의 문장, 그리고 고객이 직접 카메라를 눌러 찍은 접시 사진입니다.

그리고 우리가 지울 수 없는 1가지

포털에는 광고도 없고 분석 추적기도 없습니다. 고객의 브라우저에는 세션 토큰과 선택한 언어만 저장됩니다.

다만 Garmin 계정의 일별 기록은 삭제할 수 없습니다. Garmin이 그런 기능을 제공하지 않기 때문입니다. 우리 쪽 사본이 삭제된 뒤에도 그 날짜 기록은 Garmin의 자체 조건에 따라 남아 있습니다. 포털은 그런 계정에서 고객이 комплект를 사용한 숙박 기간의 날짜만 읽지만, 이 점은 숨기지 않고 밝히는 편이 더 정직합니다.

항목별 보관 기간

보관 기간은 데이터 종류마다 따로 정해져 있습니다. 여기서 삭제란 화면에서 숨기는 것이 아니라 데이터베이스의 행 자체를 지우는 뜻입니다.

의도적으로 고객 삭제 후에도 남는 기록이 1개 있습니다. 활성 숙박의 청구 항목입니다. 여기서는 계정 링크가 비워지므로, 월별 기록에는 숙박이 있었다는 사실만 남고 누구였는지는 남지 않습니다(활성 고객 계산 방식).

모델이 하는 일과 결정하지 않는 일

포털의 일부 텍스트는 인공지능 모델이 문장으로 만듭니다. 모닝 라운드 문구, 의사 메시지 번역, 건강 경로 엽서의 배경 문구, 접시 사진으로 계산한 칼로리 추정이 여기에 들어갑니다.

이 모델은 위험 수준을 계산하지 않고, 심박수 구간을 고르지 않으며, 프로그램도 바꾸지 않습니다. 포털이 이미 계산한 결과만 전달받습니다. 법적 효력이 있는 자동화된 결정은 포털에 아예 없습니다(GDPR 제22조).

텍스트를 모델이 작성했다는 사실은 정책 문서에서 게스트에게 직접 알립니다. 이는 EU 인공지능 규정 제50조의 요구입니다.

그리고 가장 중요한 안전장치는 이것입니다. 슈퍼 관리자가 제공업체와 처리 계약이 체결됐다고 확인하기 전에는 개인 텍스트가 들어 있는 요청이 하나도 나가지 않습니다. 기본값으로 스위치는 꺼져 있습니다. 침묵은 동의가 아닙니다. 무료 요금제는 여기에 맞지 않습니다. 제공업체 약관상 전송된 내용으로 학습하기 때문입니다.

사진으로 계산한 칼로리는 범위로 표시되고 수정도 할 수 있습니다. 이것은 사진을 바탕으로 한 추정이지 측정값이 아닙니다.

인터페이스가 아니라 서버가 막는 것

• 게스트 화면으로 보는 모드는 읽기 전용입니다. 의사는 게스트의 계정을 열어 게스트가 보는 것과 같은 화면을 볼 수 있습니다. 이런 세션에서 변경 요청은 어떤 것이든 처리기로 가기 전에 애플리케이션 입구에서 막힙니다. 경로마다 따로 지키는 약속은 새 경로가 하나 추가되는 순간 깨지기 때문입니다.
• 모든 접속은 기록됩니다. 어떤 직원이 언제 게스트의 계정을 열었는지는 로그에 한 줄로 남습니다. 관리자는 이런 세션에서 수정할 수 있지만 그 대가도 분명합니다. 수정은 게스트 이름으로 나가고, 로그에는 누구의 창에서 이뤄졌는지가 남습니다.
• 게스트는 자기 항목에만 접근할 수 있습니다. 역할 분리는 메뉴에 숨겨 둔 것이 아니라 서버에서 처리합니다.
• 비밀번호는 저장하지 않습니다. 데이터베이스에는 PBKDF2 해시만 있고, 비밀번호 재설정 링크도 코드의 SHA-256 값으로만 저장됩니다. 데이터베이스가 유출돼도 둘 다 드러나지 않습니다.
• 비밀번호를 바꾸면 이미 발급된 키가 무효가 됩니다. 모든 토큰에는 세션 세대 정보가 들어 있습니다. 비밀번호 변경, 모든 기기에서 로그아웃, 역할 수정이 일어나면 이미 발급된 토큰은 스스로 만료될 때까지 기다리지 않고 바로 무효가 됩니다.

출시 전에 호텔이 해야 할 일

• 관리자 정보 항목을 채워야 합니다. 필드 하나라도 꺾쇠괄호 안에 남아 있으면 포털은 그 정책을 게시할 수 없는 상태로 보고 관리자 대시보드에 경고를 표시합니다.
• 데이터 요청을 받을 연락 채널을 밝혀야 합니다. 그리고 데이터 보호 책임자(제37조)가 지정돼 있다면 그 연락처도 함께 적어야 합니다. 규정은 책임자의 이름 공개까지 요구하지는 않지만, 연락할 방법은 요구합니다.
• 의사의 이름을 밝혀야 합니다. 건강 데이터를 제공하는 게스트는 누가 그것을 읽는지 알 권리가 있습니다. «스파 의사»라는 표현만으로는 충분하지 않습니다.
• 처리 계약을 체결해야 합니다. 플랫폼과 계약해야 하고, 모델을 켜면 그 제공업체와도 계약해야 합니다. 확인되기 전까지는 스위치가 꺼져 있고 개인 텍스트는 전송되지 않습니다.
• 마케팅 문구가 분류와 맞는지 확인해야 합니다. 호텔 웹사이트에서 치료를 약속하면 «생활 방식 지원»이라는 틀은 더 이상 성립하지 않습니다.
• 연령 기준을 기억해야 합니다. 이 포털은 성인을 위한 것이며, 16세 미만에게는 계정을 만들지 않습니다.
• 감독 기관이 어디인지 알아야 합니다. 정책 문서에는 그 기관의 주소와 웹사이트가 함께 적혀 있습니다. 체코의 경우 Úřad pro ochranu osobních údajů입니다.

자주 묻는 질문

• 포털은 의료기기인가요? 아닙니다. 의료 목적을 표방하지 않습니다. 진단하지 않고, 치료를 처방하지 않으며, 치료 결과도 약속하지 않습니다. 숫자는 수집하고 보여 주지만 결정은 의사가 내립니다.
• 게스트에게 책임지는 쪽은 호텔인가요, 플랫폼인가요? 호텔입니다. 호텔이 데이터 관리자입니다. 플랫폼은 처리자로서 계약과 호텔의 지시에 따라 일합니다.
• 게스트가 워치만 착용해도 동의가 필요한가요? 네. 일일 상태는 건강 데이터이며 GDPR 제9조에 따른 특별 범주 데이터입니다. 포털은 이에 대해 별도의 명시적 동의를 받고, 그 동의는 클릭 1번으로 철회할 수 있습니다.
• 데이터가 EU 밖으로 나가나요? 서버는 EU 안에 있습니다. 밖으로 나가는 것은 3가지뿐이며, 모두 정책에 적혀 있습니다. Google 로그인, 대여한 워치에 연결된 Garmin 클라우드, 그리고 모델에 전달되는 비식별 텍스트입니다.
• 모델이 고객 데이터로 학습하나요? 아니요. 제공업체와의 데이터 처리 계약이 확인되기 전에는 개인 텍스트가 아예 외부로 나가지 않으며, 계약 자체에서도 재사용과 학습을 금지합니다.
• 고객이 모든 것을 삭제하면 무엇이 남나요? 데이터베이스에서는 숙박한 밤 수, 건강 경로, 처방, 식사 일지, 그리고 그 고객에 대한 직원 메모가 삭제됩니다. 남는 것은 호텔 자체의 기록뿐입니다. 키트 지급 기록과 더 이상 누구의 이름도 적지 않은 청구 항목입니다.

출처

규정 (EU) 2016/679 — GDPR · 의료기기에 관한 규정 (EU) 2017/745 · 인공지능에 관한 규정 (EU) 2024/1689 · Úřad pro ochranu osobních údajů

함께 보기

개인정보: 동의 2가지, 내보내기와 삭제 — 고객 쪽에서 같은 권리를 버튼 순서대로 설명합니다.

플랫폼이 시술을 배정하는 방법 — 알고리즘이 멈추고 의사의 판단이 시작되는 지점입니다.

요금: Setup, Base, Active Guest — 시작에 무엇이 포함되는지와 활성 고객을 어떻게 계산하는지 설명합니다.

워치가 측정하는 것 — 손목에서 실제로 들어오는 수치가 무엇인지 설명합니다.

리셉션: 앱 다루기 — 다음 고객에게 주기 전에 키트를 지우는 이유를 설명합니다.

포털의 전체 정책은 로그인 없이 개인정보 페이지에서 볼 수 있습니다.