Wellness & Lifestyle Intelligence ir GDPR: teisinė riba
Portalas padeda laikytis gyvenimo būdo, bet nediagnozuoja ir neskiria gydymo. Sveikatos duomenys tvarkomi pagal GDPR — gavus aiškų svečio sutikimą, serveryje ES.
Klasė. Wellness & Lifestyle Intelligence — gyvenimo būdo palaikymas: portalas renka skaičius iš laikrodžio ir svarstyklių, rodo juos svečiui ir gydytojui ir saugo gydytojo paskyrimus. Jis nediagnozuoja ir gydymo neskiria.
Kas atsako už duomenis. Valdytojas yra viešbutis: portalo politikoje nurodytas juridinis asmuo, registracijos numeriai, adresas ir gydytojas vardu bei pavarde. longev.eu yra tvarkytojas: jis prižiūri kodą ir serverį.
Kiekvienas viešbutis turi savo duomenų bazę. Kodas vienas, bet kiekvienas viešbutis turi savo procesą, savo katalogą ir savo duomenų bazę. Bendros visų viešbučių svečių lentelės nėra.
Sutikimai yra 2. Bendrasis — registruojantis, aiškus sutikimas dėl sveikatos duomenų — prieš anketą. Abu įrašomi su politikos versijos numeriu: dabar tai 1.7 versija nuo 17.08.2026, 12 skyrių 36 kalbomis.
Teisės įgyvendinamos mygtukais. Viską galima iškelti vienu failu, parengti HL7 FHIR iškėlimą klinikos sistemai, atšaukti sutikimą kartu su ištrynimu ir ištrinti Paskyrą. Be laiško viešbučiui ir be laukimo.
Kas išeina už ES ribų. 3 dalykai, ir visi 3 aiškiai įvardyti: prisijungimas per Google, išduoto laikrodžio Garmin debesija ir nuasmenintas tekstas, perduotas modeliui.
Terminai. Sveikatos duomenys — 3 metus po paskutinio aktyvumo, serverio žurnalai — iki 90 dienų, slaptažodžio keitimo nuoroda — 60 minučių.
Kam skirtas šis dokumentas. Viešbučiui, kuris renkasi platformą, ir svečiui, kuris nori žinoti, kas nutiko jo skaičiams. Atnaujinta 23.08.2026.
Ką reiškia Wellness & Lifestyle Intelligence
Wellness & Lifestyle Intelligence yra produktų klasė, skirta gyvenimo būdui palaikyti: miegui, judėjimui, vandeniui, maistui ir viešbučio procedūroms. Ji dirba su tais pačiais skaičiais kaip medicina, bet nedeklaruoja medicininės paskirties ir nežada gydomojo rezultato.
Portalas daro štai ką: priima dienos būsenas iš laikrodžio ir svėrimus iš svarstyklių, lygina juos su paties svečio vidurkiu, rodo vaizdą svečiui jo paskyroje ir gydytojui Valdymo skydelyje, saugo ir rodo gydytojo paskyrimus.
Ko jis niekada nedaro: neįvardija ligos, neskiria nei vaistų, nei dietos, neatšaukia ir nepakeičia gydytojo paskyrimo, nežada, kad procedūra ką nors išgydys.
Skirtumas matyti ten, kur algoritmas paliečia planą. Tai, kas nemokama ir mūsų — pasivaikščiojimą, į apgyvendinimą įtrauktą sauną — portalas perkelia pats. Mokamą procedūrą jis tik pasiūlo perkelti, o sprendžia gydytojas (kaip tai veikia).
Kur eina riba su medicinos priemone
Programą medicinos priemone paverčia ne algoritmo sudėtingumas, o paskirtis, kurią jai suteikė gamintojas: diagnozė, prevencija, stebėjimas, numatymas, prognozė, gydymas ar ligos palengvinimas (Reglamentas (ES) 2017/745 dėl medicinos priemonių, 2 straipsnis). Portalas tokios paskirties nedeklaruoja — ir tai ne vien pareiškimas, o 3 vietos pačiame produkte:
Rizikos lygis iš anketos parenka pasivaikščiojimo maršrutą ir pulso koridorių, o ne diagnozę. Jis nesukelia teisinių pasekmių, ir gydytojas gali jį pakeisti.
Gėrimo kursą po apžiūros skiria viešbučio vyriausiasis gydytojas. Portalas jį saugo, rodo ir primena apie vartojimą — pats jo skirti negali (plačiau).
Naktinis kontūras perkelia procedūrą, o ne gydo. Slenksčiai, pagal kuriuos jis tai daro, yra gydytojų nustatyti ir vieši (skaičiai ir taisyklės).
Laikrodis yra vartotojiškas įrenginys
Viešbučio komplektas — įprastas Garmin Forerunner 165 Music ir svarstyklės Garmin Index S2, nupirkti parduotuvėje. Portalas nenaudoja jų medicininių funkcijų: pačią EKG programėlę Garmin įjungia tik ten, kur ji patvirtinta kaip medicinos priemonė, o kitoje šalyje pirktas laikrodis jos gali visai neturėti.
Pulsas, jo variabilumas, miego fazės, kvėpavimas ir kraujo prisotinimas deguonimi yra buitinio optinio jutiklio ant riešo rodmenys. Portalas taip juos ir pateikia: kaip paties svečio kūno dinamiką, o ne kaip tyrimo rezultatą (ką tiksliai matuoja laikrodis).
Klasifikaciją laiko ne eilutė dokumente, o pažadai. Viešbučio rinkodara, kuri sako «nustatysime diagnozę pagal laikrodį» arba «išgydysime per savaitę», šią ribą sugriauna greičiau už bet kokį kodo pakeitimą.
Kas už ką atsako
GDPR vaidmenys pasiskirsto taip, ir šis pasiskirstymas svarbesnis už bet kokius žodžius apie partnerystę: prieš svečią ir priežiūros instituciją atsako viešbutis.
Vaidmuo
Kas tai
Ką daro
Valdytojas
viešbutis kaip juridinis asmuo
nusprendžia, kam renkami duomenys; atsako svečiui ir priežiūros institucijai; jo rekvizitai nurodyti portalo politikoje
Tvarkytojas
longev.eu
prižiūri kodą ir serverį, dirba pagal duomenų tvarkymo sutartį ir viešbučio nurodymus
Gydytojas
viešbučio vyriausiasis gydytojas, nurodytas vardu ir pavarde
mato apsilankymo duomenis, skiria kursą ir procedūras; jį saisto gydytojo paslaptis
Talpinimas
talpinimo paslaugos teikėjas, duomenų centras ES
palaiko serverio veikimą; taip pat yra tvarkytojas pagal sutartį
Garmin
Garmin debesis
priima laikrodžio duomenis: arba į svečio nuosavą paskyrą, arba į viešbučio paskyrą, susietą su išduotu komplektu
Google
prisijungimas ir modelis
prisijungimas per Google yra svečio pasirinkimas; modelis veikia tol, kol viešbutis laiko šią funkciją įjungtą
Žemėlapiai
OpenStreetMap, mapy.com
žemėlapio plyteles svečio naršyklė užklausia tiesiogiai; pasivaikščiojimo maršrutas jiems neperduodamas
Kodėl kiekvienas viešbutis turi savo duomenų bazę
Platforma nėra daugianuominė įprasta prasme: skirtingų viešbučių svečių neskiria vienas stulpelis bendroje lentelėje. Kiekvienas viešbutis serveryje turi savo procesą, savo katalogą ir savo duomenų bazę, o kodas visiems tas pats.
Skirtumas yra praktinis. Užklausos klaida negali vienam viešbučiui parodyti kito viešbučio svečių — jų jo duomenų bazėje tiesiog nėra. Išeinantis viešbutis pasiima visą savo failą, o ne ištrauką iš bendros saugyklos.
Du sutikimai ir politikos versija
Sveikatos duomenys yra ypatinga kategorija (GDPR 9 straipsnis), ir jiems teisiškai nepakanka registruojantis paspausti «sutinku su sąlygomis». Todėl sutikimai yra 2: bendras registruojantis ir aiškus sutikimas tvarkyti sveikatos duomenis prieš anketą.
Tvarką užtikrina serveris, o ne sąsaja: prašymas dėl antro sutikimo atmetamas, jei politika dar nepriimta.
Abu sutikimai saugomi kartu su politikos versijos numeriu ir laiku. Versija didinama tada, kai keičiasi prasmė, o ne ištaisoma rašybos klaida, — ir tada portalas visų prašo iš naujo lange virš bet kurio ekrano.
Taip jau buvo 3 kartus: 1.5 versijoje atsirado svarstyklės kambaryje ir kūno sudėtis, 1.6 įvardytas AI modelis ir 3 duomenų perdavimo atvejai už EEE ribų, 1.7 — mitybos dienoraštis ir lėkštės nuotrauka. Kiekvieną kartą svečių buvo paprašyta iš naujo.
Portalo politika yra atskira nuo viešbučio politikos ir apima tik portalą: «Paskyra», anketą, pasivaikščiojimus ir laikrodį. Kambario rezervavimas ir viešbučio naujienlaiškis aprašyti jo paties politikoje.
Portalo politika: 12 skyrių, atvira be prisijungimo×
Svečio teisės — mygtukais, ne laišku
Teisė, kuri pažadėta, bet įgyvendinama rašant viešbučiui, praktiškai neveikia. Todėl skiltyje «Paskyra» yra blokas «Mano duomenys», o jame — 4 mygtukai.
Eksportas — viskas, ką portalas saugo apie svečią, viename kompiuteriu nuskaitomame faile: anketos, maršrutai su trasos taškais, naktys, testai, paskyrimai, profilis (20 straipsnis — teisė į duomenų perkeliamumą).
HL7 FHIR eksportas — tie patys skaičiai medicininių sistemų kalba, FHIR R4 formatu: pacientas ir stebėjimai. Tokį failą skaito klinikos sistema, ne tik žmogus.
Sutikimo atšaukimas — pagal numatymą kartu su ištrynimu: atšaukus sutikimą nebelieka pagrindo saugoti sveikatos duomenis.
Paskyros ištrynimas (17 straipsnis) — su patvirtinimu: svečias įveda savo el. pašto adresą, kitaip mygtukas nesuveikia.
Darbuotojo paskyros šiais mygtukais ištrinti negalima. Po gydytojo parašu yra kitų žmonių paskyrimai ir rytiniai lapai, todėl tokią paskyrą pašalina administratorius, kad parašas tyliai nepradingtų.
Skirtingi ištrynimo lygiai ir tai, kas lieka po ištrynimo, paaiškinti straipsnyje Asmens duomenys: ten pat paaiškinta, kodėl komplektų išdavimo žurnalas lieka, o darbuotojų pastabos apie svečią išnyksta.
Kur saugomi duomenys ir kas išeina į išorę
Serveris yra Europos Sąjungoje; duomenų centro šalis nurodyta konkretaus viešbučio politikoje. Duomenys jį palieka tik 3 atvejais, ir visi 3 politikoje išvardyti aiškiai:
Prisijungimas per Google — tik jei svečias pats pasirinko šį kelią, ir perduodami tik prisijungimo duomenys: el. pašto adresas, vardas ir paskyros identifikatorius. Google slaptažodis portalui niekada nepatenka.
Garmin debesis — išduotas laikrodis sinchronizuojamas su Garmin paskyra, kuri priklauso viešbučiui ir pažymėta komplekto numeriu, o ne svečio vardu; Garmin serveriai yra JAV. Pagrindas — aiškus sutikimas, duotas laikrodžiui (49(1)(a) straipsnis).
Modelio teikėjas — nuasmenintas rytinis lapas (amžius, lytis ir skaičiai, be vardo, gimimo datos ir el. pašto adreso), gydytojo žinutė, kurią reikia išversti pažodžiui, ir lėkštės nuotrauka, kai svečias pats paspaudė kamerą.
Ir vienas dalykas, kurio ištrinti negalime
Portale nėra reklamos ir analitikos skaitiklių. Svečio naršyklė saugo tik sesijos raktą ir pasirinktą kalbą.
Tačiau paros istorijos iš Garmin paskyros ištrinti negalima: Garmin tokios galimybės neduoda. Tos dienos pas jį lieka pagal jo paties sąlygas net ir po to, kai mūsų kopija ištrinta. Portalas iš tokios paskyros skaito tik tas apsilankymo dienas, kai komplektas buvo pas svečią, — bet tai pasakyti yra sąžiningiau, negu nutylėti.
Kiek laiko kas saugoma
Kiekvienai duomenų rūšiai terminas nurodytas atskirai, o ištrynimas čia reiškia eilučių pašalinimą iš duomenų bazės, ne jų paslėpimą sąsajoje.
Vienas įrašas svečią pergyvena tyčia — aktyvaus apsilankymo sąskaitos eilutė: nuoroda į paskyrą joje panaikinama, todėl mėnuo prisimena, kad apsilankymas buvo, bet jau nieko neįvardija (kaip skaičiuojamas aktyvus svečias).
Kas
Kiek laiko
Paskyra
kol svečias jos neištrina
Anketos, maršrutai, profilis, gėrimo kursas
3 metus po paskutinio aktyvumo — arba iki sutikimo atšaukimo
Mitybos dienynas ir patiekalų nuotraukos
tie patys 3 metai; nuotrauka iš disko pašalinama kartu su įrašu, ne tik iš sąrašo
Paros būsenos iš išduoto laikrodžio
lieka svečio kortelėje tarp apsilankymų tuos pačius 3 metus
Slaptažodžio keitimo nuoroda
60 minučių
Serverio žurnalai
iki 90 dienų
Ką daro modelis ir ko jis nesprendžia
Dalį portalo tekstų suformuluoja dirbtinio intelekto modelis: ryto suvestinės tekstą, gydytojo žinutės vertimą, atviruko iš maršruto foną, kalorijų įvertį pagal lėkštės nuotrauką.
Jis neskaičiuoja rizikos lygio, neparenka pulso zonos ir nekeičia programos — jam perduodama tai, ką portalas jau yra apskaičiavęs. Portale apskritai nėra automatizuoto sprendimo, turinčio teisinių pasekmių (GDPR 22 straipsnis).
Kad tekstą parašė modelis, svečiui aiškiai pasakoma pačiame pranešime: to reikalauja ES dirbtinio intelekto reglamento 50 straipsnis.
Ir pagrindinis saugiklis: nė viena užklausa su asmeniniu tekstu neišsiunčiama, kol superadministratorius nepatvirtina, kad su tiekėju sudaryta duomenų tvarkymo sutartis. Pagal numatytuosius nustatymus jungiklis yra išjungtas — tylėjimas nėra sutikimas. Nemokamas planas tam netinka: pagal paties tiekėjo sąlygas jis mokosi iš to, kas jam atsiunčiama.
Kalorijas pagal nuotrauką portalas rodo intervalu ir leidžia pataisyti: tai įvertis pagal vaizdą, o ne matavimas.
Ką draudžia serveris, o ne sąsaja
Vaizdas svečio akimis — tik skaitymui. Gydytojas gali atidaryti svečio paskyrą, kad matytų tą patį, ką mato svečias. Bet kokia ką nors keičianti užklausa tokioje sesijoje atmetama prie įėjimo į programą, dar prieš apdorojimą: pažadas, įgyvendintas kiekviename maršrute atskirai, galioja tik iki pirmo naujo maršruto.
Kiekvienas prisijungimas įrašomas. Kas iš darbuotojų ir kada atidarė svečio paskyrą, pažymima žurnale atskira eilute. Administratoriui tokioje sesijoje taisyti leidžiama, ir kaina pasakoma aiškiai: pakeitimas išeina svečio vardu, o žurnalas prisimena, į kieno langą reikia žiūrėti.
Svečias pasiekia tik savo eilutes. Vaidmenys atskirti serveryje, o ne paslėpti meniu.
Slaptažodžiai nesaugomi. Duomenų bazėje yra PBKDF2 maiša, o slaptažodžio keitimo nuoroda — tik kaip kodo SHA-256. Nutekėjusi duomenų bazė neatskleidžia nei vieno, nei kito.
Pakeitus slaptažodį anksčiau išduoti raktai nebegalioja. Kiekviename prieigos rakte įrašyta sesijų karta: slaptažodžio keitimas, atsijungimas visuose įrenginiuose ar vaidmens pakeitimas panaikina jau išduotus raktus, nelaukiant, kol jie patys nustos galioti.
Ką viešbutis padaro prieš paleidimą
Užpildyti duomenų valdytojo rekvizitus. Kol bent vienas laukas lieka kampiniuose skliaustuose, portalas laiko politiką neskelbtina ir apie tai įspėja administratoriaus skydelyje.
Nurodyti kanalą užklausoms dėl duomenų — ir, jei paskirtas duomenų apsaugos pareigūnas (37 straipsnis), jo adresą. Skelbti pareigūno vardo reglamentas nereikalauja, bet ryšio būdo reikalauja.
Nurodyti gydytoją vardu ir pavarde. Svečias, pateikiantis sveikatos duomenis, turi teisę žinoti, kas juos skaito, o ne tenkintis formuluote «kurorto gydytojas».
Sudaryti duomenų tvarkymo sutartis — su platforma, o jei įjungiamas modelis, ir su jo tiekėju. Kol tai nepatvirtinta, jungiklis išjungtas ir asmeniniai tekstai neišsiunčiami.
Suderinti rinkodarą su klasifikacija. Gydymo pažadas viešbučio svetainėje panaikina «gyvensenos palaikymo» ribas.
Prisiminti amžiaus ribą. Portalas skirtas suaugusiesiems; jaunesniam nei 16 metų žmogui paskyra nekuriama.
Žinoti savo priežiūros instituciją. Ji politikoje nurodoma su adresu ir svetaine; Čekijoje tai yra Úřad pro ochranu osobních údajů.
Klausimai ir atsakymai
Ar portalas yra medicinos priemonė? Ne. Jis neturi deklaruojamos medicininės paskirties: nenustato diagnozių, neskiria gydymo ir nežada gydomojo rezultato. Jis surenka skaičius ir juos rodo, o sprendimus priima gydytojas.
Kas atsako svečiui — viešbutis ar platforma? Viešbutis: jis yra duomenų valdytojas. Platforma yra duomenų tvarkytoja, ji dirba pagal sutartį ir pagal viešbučio nurodymus.
Ar reikia sutikimo, jei svečias tik nešioja laikrodį? Taip. Paros būsenos yra sveikatos duomenys, specialioji kategorija pagal GDPR 9 straipsnį. Portalas jiems ima atskirą aiškų sutikimą, ir jį galima atšaukti vienu paspaudimu.
Ar duomenys išeina už ES ribų? Serveris yra ES. Už jos ribų išeina 3 dalykai, visi 3 įvardyti politikoje: prisijungimas per Google, išduoto laikrodžio Garmin debesija ir modeliui perduotas nuasmenintas tekstas.
Ar modelis mokosi iš svečių duomenų? Ne. Kol nepatvirtinta duomenų tvarkymo sutartis su teikėju, joks asmeninis tekstas išvis neiškeliauja, o pati sutartis draudžia pakartotinį naudojimą ir mokymą.
Kas liks, jei svečias viską ištrins? Iš duomenų bazės dings nakvynės, maršrutai, paskyrimai, mitybos dienoraštis ir darbuotojų pastabos apie jį. Liks viešbučio įrašai apie save: komplektų išdavimo žurnalas ir sąskaitos eilutė, kurioje jau nebėra jokio vardo.
