Wellness & Lifestyle Intelligence dan GDPR: rangka undang-undang
Portal ini menyokong gaya hidup, bukan membuat diagnosis dan bukan menetapkan rawatan. Data kesihatan diproses di bawah GDPR — dengan persetujuan nyata tetamu, pada pelayan di EU.
Kelas. Wellness & Lifestyle Intelligence ialah sokongan gaya hidup: portal mengumpulkan angka daripada jam tangan dan penimbang, menunjukkannya kepada tetamu dan doktor, serta menyimpan apa yang ditetapkan oleh doktor. Ia tidak membuat diagnosis dan tidak menetapkan rawatan.
Siapa yang bertanggungjawab atas data. Pengawal ialah hotel: dalam dasar portal, entiti undang-undang, nombor pendaftaran, alamat dan nama doktor dinyatakan dengan jelas. longev.eu ialah pemproses: ia mengendalikan kod dan pelayan.
Setiap hotel ada pangkalan datanya sendiri. Kodnya satu, tetapi setiap hotel mempunyai proses, direktori dan pangkalan datanya sendiri. Tiada jadual bersama untuk tetamu semua hotel.
Ada dua persetujuan. Satu persetujuan umum semasa pendaftaran, dan satu persetujuan nyata untuk data kesihatan sebelum soal selidik. Kedua-duanya direkodkan bersama nombor versi dasar: kini versi 1.7 bertarikh 17.08.2026, dengan dua belas bahagian dalam 36 bahasa.
Hak ada pada butang. Eksport semuanya dalam satu fail, eksport HL7 FHIR untuk sistem klinik, tarik balik persetujuan bersama pemadaman, dan padam Akaun. Tanpa surat kepada hotel dan tanpa menunggu.
Apa yang keluar dari EU. Tiga perkara, dan ketiga-tiganya disebut dengan jelas: log masuk melalui Google, awan Garmin di sebalik jam tangan yang dipinjamkan, dan teks tanpa pengenalan diri yang diberikan kepada model.
Tempoh. Data kesihatan — tiga tahun selepas aktiviti terakhir, log pelayan — sehingga 90 hari, pautan tukar kata laluan — 60 minit.
Untuk siapa dokumen ini. Untuk hotel yang sedang memilih platform, dan untuk tetamu yang mahu tahu apa yang berlaku kepada angkanya. Dikemas kini pada 23.08.2026.
Apa maksud Wellness & Lifestyle Intelligence
Wellness & Lifestyle Intelligence ialah kelas produk yang menyokong gaya hidup: tidur, pergerakan, air, makanan dan prosedur hotel. Ia menggunakan angka yang sama seperti perubatan, tetapi tidak mendakwa tujuan perubatan dan tidak menjanjikan hasil rawatan.
Apa yang portal lakukan: menerima keadaan harian daripada jam tangan dan bacaan timbang daripada penimbang, membandingkannya dengan purata tetamu itu sendiri, menunjukkan gambaran itu kepada tetamu dalam Akaun dan kepada doktor pada Papan Pemuka, serta menyimpan dan memaparkan apa yang ditetapkan oleh doktor.
Apa yang tidak pernah dilakukannya: menamakan penyakit, menetapkan ubat atau diet, membatalkan atau menggantikan arahan doktor, atau menjanjikan bahawa sesuatu prosedur akan menyembuhkan.
Perbezaannya jelas apabila algoritma menyentuh pelan. Yang percuma dan milik kita sendiri — laluan berjalan kaki, sauna yang termasuk dalam penginapan — portal ubah sendiri. Untuk prosedur berbayar, ia hanya mencadangkan pemindahan, dan doktor yang memutuskan (bagaimana ini berfungsi).
Di mana sempadan dengan peranti perubatan
Yang menjadikan perisian sebagai peranti perubatan bukan kerumitan algoritmanya, tetapi tujuan yang diberikan oleh pengeluarnya: diagnosis, pencegahan, pemantauan, ramalan, prognosis, rawatan atau pengurangan penyakit (Peraturan (EU) 2017/745 tentang peranti perubatan, Artikel 2). Portal ini tidak mendakwa tujuan seperti itu — dan ini bukan sekadar pernyataan, tetapi dapat dilihat di tiga tempat dalam produk itu sendiri:
Tahap risiko daripada soal selidik memilih laluan berjalan kaki dan julat nadi, bukan diagnosis. Ia tidak menimbulkan kesan undang-undang, dan doktor boleh mengatasinya.
Kur minum ditetapkan oleh ketua doktor hotel selepas pemeriksaan. Portal menyimpannya, memaparkannya dan mengingatkan tetamu tentang pengambilan — portal tidak boleh menetapkannya sendiri (penjelasan lanjut).
Gelung malam memindahkan prosedur, bukan merawat. Ambang yang digunakannya untuk berbuat demikian ditetapkan oleh doktor dan diterbitkan secara terbuka (angka dan peraturan).
Jam tangan ialah peranti pengguna
Komplekt hotel ialah Garmin Forerunner 165 Music biasa dan penimbang Garmin Index S2 biasa, dibeli di kedai. Portal tidak mengambil fungsi perubatan daripadanya: aplikasi ECG diaktifkan oleh Garmin hanya di tempat ia diluluskan sebagai peranti perubatan, dan jam tangan yang dibeli di negara lain mungkin langsung tidak memilikinya.
Nadi, kebolehubahannya, fasa tidur, pernafasan dan oksigen dalam darah ialah bacaan daripada sensor optik pengguna pada pergelangan tangan. Portal memaparkannya begitu juga: sebagai perubahan tubuh tetamu itu sendiri, bukan sebagai hasil ujian (apa sebenarnya yang diukur oleh jam tangan).
Pengelasan ini ditentukan bukan oleh satu baris dalam dokumen, tetapi oleh janji yang dibuat. Pemasaran hotel yang berkata «kami akan membuat diagnosis daripada jam tangan anda» atau «kami akan menyembuhkan anda dalam seminggu» merosakkan rangka ini lebih cepat daripada apa-apa perubahan pada kod.
Siapa bertanggungjawab atas apa
Peranan dalam GDPR dibahagikan begini, dan pembahagian ini lebih penting daripada apa-apa kata tentang perkongsian: hotel yang bertanggungjawab kepada tetamu dan kepada pihak berkuasa penyeliaan.
Peranan
Siapa itu
Apa yang dilakukan
Pengawal
hotel sebagai entiti undang-undang
menentukan tujuan data dikumpulkan; bertanggungjawab kepada tetamu dan pihak berkuasa penyeliaan; butirannya ada dalam dasar portal
Pemproses
longev.eu
mengendalikan kod dan pelayan, di bawah perjanjian pemprosesan data dan mengikut arahan hotel
Doktor
ketua doktor hotel, dinyatakan namanya
melihat data penginapan, menetapkan kur dan prosedur; terikat dengan kerahsiaan perubatan
Hos
penyedia hos, pusat data di EU
menjalankan pelayan; juga pemproses, di bawah kontrak
Garmin
awan Garmin
menerima data daripada jam tangan: sama ada Akaun tetamu sendiri atau Akaun hotel bagi комплект yang dipinjamkan
Google
log masuk dan model
log masuk melalui Google ialah pilihan tetamu; model berfungsi selagi hotel membiarkan fungsi itu dihidupkan
Peta
OpenStreetMap, mapy.com
pelayar tetamu meminta jubin peta terus kepada mereka; trek laluan berjalan tidak dihantar kepada mereka
Mengapa setiap hotel ada pangkalan datanya sendiri
Platform ini bukan berbilang penyewa dalam erti biasa: tetamu dari hotel berlainan tidak dipisahkan oleh satu lajur dalam jadual bersama. Setiap hotel ada prosesnya sendiri pada pelayan, direktorinya sendiri dan pangkalan datanya sendiri, manakala kodnya sama untuk semua.
Perbezaannya bersifat praktikal. Kesilapan dalam pertanyaan tidak boleh menunjukkan kepada satu hotel tetamu hotel lain — mereka memang tiada dalam pangkalan datanya. Hotel yang berhenti membawa keluar keseluruhan failnya, bukan petikan daripada storan bersama.
Dua persetujuan dan versi dasar
Data kesihatan ialah kategori khas (Perkara 9 GDPR), dan «saya setuju dengan syarat» semasa pendaftaran tidak mencukupi dari segi undang-undang. Jadi ada dua persetujuan: yang umum semasa pendaftaran dan yang jelas untuk pemprosesan data kesihatan, sebelum soal selidik.
Turutan ini dikawal oleh pelayan, bukan antara muka: permintaan untuk persetujuan kedua akan ditolak jika dasar itu masih belum diterima.
Kedua-dua persetujuan disimpan bersama nombor versi dasar dan masanya. Versi naik apabila maksud berubah, bukan kerana salah taip — dan ketika itu portal meminta semua orang sekali lagi, dalam tetingkap yang muncul di atas mana-mana skrin.
Ini sudah berlaku 3 kali: versi 1.5 menambah penimbang di bilik dan komposisi badan, 1.6 menamakan model AI dan 3 pemindahan data keluar dari EEA, 1.7 menambah diari pemakanan dan gambar pinggan. Setiap kali, semua tetamu diminta semula.
Dasar portal berasingan daripada dasar hotel dan hanya meliputi portal: Akaun, soal selidik, laluan berjalan dan jam tangan. Tempahan bilik dan surat berita hotel berada di bawah dasarnya sendiri.
Dasar portal: 12 bahagian, terbuka tanpa log masuk×
Hak tetamu — dengan butang, bukan e-mel
Hak yang dijanjikan tetapi perlu dibuat dengan menulis kepada hotel, dalam amalan biasanya tidak terlaksana. Sebab itu dalam «Akaun» ada blok «Data saya», dan di dalamnya ada 4 butang.
Eksport — semua yang portal simpan tentang tetamu, dalam satu fail yang boleh dibaca mesin: soal selidik, laluan berjalan dengan titik trek, malam, ujian, preskripsi, profil (Perkara 20 — hak untuk pemindahan data).
Eksport HL7 FHIR — angka yang sama dalam bahasa sistem perubatan, dalam format FHIR R4: pesakit dan pemerhatian. Fail seperti ini boleh dibaca oleh sistem klinik, bukan hanya oleh manusia.
Tarik balik persetujuan — secara lalai bersama pemadaman: selepas persetujuan ditarik balik, tiada lagi asas untuk menyimpan data kesihatan.
Padam akaun (Perkara 17) — dengan pengesahan: tetamu menaip alamat e-mel sendiri, jika tidak butang itu tidak berfungsi.
«Data saya»: eksport, tarik balik persetujuan, pemadaman×
Apa yang butang ini tidak buat
Akaun kakitangan tidak boleh dipadam dengan butang ini. Di bawah tandatangan doktor ada preskripsi dan helaian pagi milik orang lain, jadi akaun seperti itu dibuang oleh pentadbir — supaya tandatangan itu tidak terputus begitu sahaja.
Dua tahap pemadaman dan apa yang kekal selepas pemadaman diterangkan dalam artikel Data peribadi anda: di situ juga dijelaskan mengapa jurnal penyerahan комплект kekal, manakala catatan kakitangan tentang tetamu dipadam.
Di mana data disimpan dan apa yang keluar
Pelayan berada di Kesatuan Eropah; negara pusat data itu dinyatakan dalam dasar hotel berkenaan. Data keluar daripadanya dalam tepat 3 keadaan, dan ketiga-tiganya disenaraikan satu per satu dalam dasar itu:
Log masuk melalui Google — hanya jika tetamu sendiri memilih cara itu, dan hanya untuk log masuk itu sendiri: alamat e-mel, nama dan pengecam akaun. Kata laluan Google tidak pernah sampai ke portal.
Awan Garmin — jam tangan yang dipinjamkan disegerakkan ke dalam akaun Garmin milik hotel dan menggunakan nombor комплект, bukan nama tetamu; pelayan Garmin berada di Amerika Syarikat. Asasnya ialah persetujuan jelas yang diberikan untuk jam tangan itu (Perkara 49(1)(a)).
Penyedia model — helaian pagi yang dinyahpengenal (umur, jantina dan angka, tanpa nama, tarikh lahir dan alamat e-mel), mesej doktor yang perlu diterjemah kata demi kata, dan gambar pinggan apabila tetamu sendiri menekan kamera.
Dan satu perkara yang kami tidak boleh padam
Tiada iklan dan tiada kaunter analitik dalam portal. Pelayar tetamu hanya menyimpan token sesi dan bahasa yang dipilih.
Tetapi sejarah harian dalam akaun Garmin tidak boleh dipadam: Garmin tidak menyediakan cara untuk itu. Hari-hari itu kekal di sana mengikut syarat Garmin sendiri walaupun salinan kami sudah dipadam. Portal hanya membaca daripada akaun seperti itu hari-hari dalam penginapan ketika комплект itu berada pada tetamu — tetapi lebih jujur untuk menyatakannya daripada berdiam diri.
Berapa lama setiap data disimpan
Tempoh dinyatakan berasingan bagi setiap jenis data, dan pemadaman di sini bermaksud baris dipadam daripada pangkalan data, bukan disembunyikan daripada antara muka.
Satu rekod memang dibiarkan kekal selepas tetamu tiada — baris bil untuk penginapan aktif: pautannya kepada akaun dijadikan kosong, jadi bulan itu masih ingat bahawa penginapan itu berlaku, tetapi tidak lagi menamakan sesiapa (cara tetamu aktif dikira).
Apa
Berapa lama
Akaun
sehingga tetamu memadamkannya
Soal selidik, laluan berjalan, profil, kur minum
3 tahun selepas aktiviti terakhir — atau sehingga persetujuan ditarik balik
Diari pemakanan dan gambar hidangan
3 tahun yang sama; gambar dipadam dari cakera bersama rekodnya, bukan hanya daripada senarai
Keadaan harian daripada jam tangan yang dipinjamkan
kekal pada kad tetamu antara penginapan, selama 3 tahun yang sama
Pautan untuk menetapkan semula kata laluan
60 minit
Log pelayan
sehingga 90 hari
Apa yang model lakukan dan apa yang tidak pernah diputuskannya
Sebahagian teks portal dirumuskan oleh model kecerdasan buatan: ayat untuk ringkasan pagi, terjemahan mesej daripada doktor, latar kad pos daripada laluan berjalan, anggaran kalori daripada gambar pinggan.
Model itu tidak mengira tahap risiko, tidak memilih zon kadar nadi dan tidak mengubah program — model hanya menerima apa yang portal sudah kira. Tiada langsung keputusan automatik yang mempunyai kesan undang-undang (Perkara 22 GDPR) dalam portal ini.
Bahawa sesuatu teks ditulis oleh model dinyatakan terus kepada tetamu dalam notis itu sendiri: Perkara 50 peraturan EU tentang kecerdasan buatan mewajibkannya.
Dan pengaman utamanya begini: tiada satu pun permintaan yang membawa teks peribadi akan dihantar sehingga super-admin mengesahkan bahawa perjanjian pemprosesan data dengan penyedia sudah dibuat. Secara lalai suis itu dimatikan — diam bukan persetujuan. Pelan percuma tidak sesuai untuk ini: menurut syarat penyedia sendiri, ia belajar daripada apa yang dihantar kepadanya.
Kalori daripada foto dipaparkan oleh portal sebagai julat dan boleh dibetulkan: ini anggaran daripada gambar, bukan ukuran.
Apa yang pelayan larang, bukan antara muka
Melihat melalui mata tetamu adalah baca sahaja. Doktor boleh membuka Akaun tetamu untuk melihat tepat apa yang dilihat oleh tetamu. Sebarang permintaan yang mengubah sesuatu dalam sesi seperti ini ditolak di pintu masuk aplikasi, sebelum pengendali: janji yang dijaga satu demi satu pada setiap laluan hanya bertahan sehingga laluan baharu yang pertama.
Setiap akses direkodkan. Siapa daripada kakitangan yang membuka Akaun tetamu, dan bila — semuanya menjadi satu baris dalam log. Pentadbir dibenarkan membuat perubahan dalam sesi seperti ini, dan harganya disebut terus terang: perubahan itu dihantar atas nama tetamu, dan log menyimpan tetingkap siapa yang sedang dibuka.
Tetamu hanya boleh mencapai baris mereka sendiri. Pengasingan peranan dibuat pada pelayan, bukan disembunyikan dalam menu.
Kata laluan tidak disimpan. Dalam pangkalan data hanya ada hash PBKDF2, dan pautan untuk menetapkan semula kata laluan hanya disimpan sebagai SHA-256 bagi kod itu. Jika pangkalan data bocor, kedua-duanya tetap tidak terdedah.
Menukar kata laluan mematikan kunci yang sudah dikeluarkan. Setiap token membawa generasi sesi: penukaran kata laluan, log keluar pada semua peranti atau perubahan peranan mematikan token yang sudah dikeluarkan, tanpa menunggu ia luput sendiri.
Apa yang hotel lakukan sebelum pelancaran
Isi butiran pengawal data. Selagi masih ada walau satu medan dalam kurungan sudut, portal menganggap notis itu belum boleh diterbitkan dan memberi amaran tentangnya dalam panel pentadbir.
Nyatakan saluran untuk permintaan data — dan, jika pegawai perlindungan data dilantik (Perkara 37), alamatnya. Peraturan tidak mewajibkan nama pegawai itu diterbitkan, tetapi cara untuk menghubunginya memang diwajibkan.
Nyatakan nama doktor. Tetamu yang menyerahkan data kesihatan berhak tahu siapa yang membacanya, bukan sekadar diberi frasa «doktor spa».
Buat perjanjian pemprosesan data — dengan platform, dan jika model dihidupkan, juga dengan penyedianya. Sehingga perkara itu disahkan, suis kekal dimatikan dan tiada teks peribadi dihantar.
Semak pemasaran dengan klasifikasi. Janji rawatan di laman web hotel membatalkan rangka «sokongan gaya hidup».
Ingat had umur. Portal ini ditujukan untuk orang dewasa; Akaun tidak dibuat untuk sesiapa yang berumur di bawah 16 tahun.
Ketahui pihak berkuasa penyeliaan anda. Badan itu dinyatakan dalam notis bersama alamat dan laman webnya; untuk Republik Czech, badannya ialah Úřad pro ochranu osobních údajů.
Soalan dan jawapan
Adakah portal ini peranti perubatan? Tidak. Ia tidak mendakwa tujuan perubatan: ia tidak membuat diagnosis, tidak menetapkan rawatan dan tidak menjanjikan hasil terapeutik. Ia mengumpul dan memaparkan angka; doktor yang membuat keputusan.
Siapa yang bertanggungjawab kepada tetamu — hotel atau platform? Hotel: hotel ialah pengawal data. Platform ialah pemproses, dan ia bekerja mengikut kontrak serta arahan hotel.
Adakah persetujuan diperlukan jika tetamu hanya memakai jam tangan? Ya. Keadaan harian ialah data kesihatan, iaitu kategori khas di bawah Perkara 9 GDPR. Portal mengambil persetujuan nyata yang berasingan untuknya, dan persetujuan itu boleh ditarik balik dengan satu klik.
Adakah data keluar dari EU? Pelayan berada di EU. Ada 3 perkara yang keluar, dan ketiga-tiganya disebut dalam notis: log masuk melalui Google, awan Garmin di sebalik jam tangan yang dipinjamkan, dan teks tanpa pengenalan diri yang diberikan kepada model.
Adakah model belajar daripada data tetamu? Tidak. Selagi perjanjian pemprosesan data dengan penyedia belum disahkan, tiada teks peribadi dihantar keluar sama sekali, dan perjanjian itu sendiri melarang penggunaan semula serta latihan.
Apa yang tinggal jika tetamu memadam semuanya? Malam penginapan, laluan kesihatan, preskripsi, diari pemakanan dan catatan kakitangan tentangnya akan dipadam daripada pangkalan data. Yang tinggal ialah rekod hotel tentang dirinya sendiri: jurnal penyerahan комплект dan baris bil yang tidak lagi menamakan sesiapa.
