Wellness & Lifestyle Intelligence en GDPR: het kader
Het portaal ondersteunt de leefstijl en stelt geen diagnoses: het schrijft geen behandeling voor. Gezondheidsgegevens worden verwerkt onder GDPR — met uitdrukkelijke toestemming van de gast, op een server in de EU.
De klasse. Wellness & Lifestyle Intelligence ondersteunt de leefstijl: het portaal verzamelt cijfers van horloge en weegschaal, toont ze aan de gast en de arts en bewaart wat de arts heeft voorgeschreven. Het stelt geen diagnose en schrijft geen behandeling voor.
Wie verantwoordelijk is voor de gegevens. De verwerkingsverantwoordelijke is het hotel: in het privacybeleid van het portaal staan de rechtspersoon, registratienummers, het adres en de naam van de arts. longev.eu is de verwerker: die beheert de code en de server.
Elk hotel heeft zijn eigen database. De code is één, maar elk hotel heeft zijn eigen proces, eigen map en eigen database. Er is geen gedeelde tabel met gasten van alle hotels.
Er zijn 2 toestemmingen. Een algemene bij de registratie, en een uitdrukkelijke voor gezondheidsgegevens vóór de vragenlijst. Beide worden vastgelegd met het versienummer van het beleid: nu is dat versie 1.7 van 17.08.2026, 12 onderdelen in 36 talen.
Rechten zitten achter knoppen. Alles exporteren in 1 bestand, een HL7 FHIR-export voor het systeem van een kliniek, toestemming intrekken met wissen, het Account verwijderen. Zonder brief aan het hotel en zonder wachten.
Wat de EU verlaat. 3 dingen, en alle 3 worden expliciet genoemd: inloggen via Google, de Garmin-cloud achter het uitgeleende horloge en de geanonimiseerde tekst die aan het model wordt gegeven.
Termijnen. Gezondheidsgegevens — 3 jaar na de laatste activiteit, serverlogboeken — tot 90 dagen, een link om het wachtwoord te wijzigen — 60 minuten.
Voor wie dit document is. Voor het hotel dat een platform kiest, en voor de gast die wil weten wat er met zijn cijfers is gebeurd. Bijgewerkt op 23.08.2026.
Wat Wellness & Lifestyle Intelligence betekent
Wellness & Lifestyle Intelligence is een productklasse die de leefstijl ondersteunt: slaap, beweging, water, voeding en behandelingen van het hotel. Het werkt met dezelfde cijfers als de geneeskunde, maar claimt geen medisch doel en belooft geen therapeutisch resultaat.
Wat het portaal doet: het neemt de dagelijkse waarden van het horloge en de weegmomenten van de weegschaal over, vergelijkt die met het eigen gemiddelde van de gast, toont het beeld aan de gast in het Account en aan de arts op het Dashboard, en bewaart en toont wat de arts heeft voorgeschreven.
Wat het nooit doet: een ziekte benoemen, een medicijn of dieet voorschrijven, een voorschrift van een arts intrekken of vervangen, of beloven dat een behandeling iets zal genezen.
Het verschil zie je waar het algoritme het plan raakt. Wat gratis is en van ons is — een wandeling, een sauna die bij het verblijf hoort — verplaatst het portaal zelf. Een betaalde behandeling stelt het alleen voor om te verplaatsen, en de arts beslist (hoe dat werkt).
Waar de grens met een medisch hulpmiddel ligt
Wat software tot een medisch hulpmiddel maakt, is niet hoe ingewikkeld het algoritme is, maar het doel dat de fabrikant eraan geeft: diagnose, preventie, bewaking, voorspelling, prognose, behandeling of verlichting van ziekte (Verordening (EU) 2017/745 betreffende medische hulpmiddelen, artikel 2). Het portaal claimt zo'n doel niet — en dat is geen verklaring, maar op 3 plekken in het product zelf te zien:
Het risiconiveau uit de vragenlijst kiest een wandelroute en een hartslagzone, geen diagnose. Het heeft geen juridische gevolgen, en een arts kan het overrulen.
De drinkkuur wordt na onderzoek voorgeschreven door de hoofdarts van het hotel. Het portaal bewaart die, toont die en herinnert aan een inname — zelf kan het die niet voorschrijven (meer).
De nachtlus verplaatst een behandeling, maar behandelt niet. De drempels waarop dat gebeurt, komen van de artsen en zijn openbaar (de cijfers en regels).
Het horloge is een consumentenapparaat
De kit van het hotel bestaat uit een gewone Garmin Forerunner 165 Music en een gewone Garmin Index S2-weegschaal, gekocht in een winkel. Het portaal gebruikt geen medische functies daarvan: Garmin schakelt de ECG-app alleen in waar die is goedgekeurd als medisch hulpmiddel, en een horloge dat in een ander land is gekocht, kan die helemaal niet hebben.
Hartslag, variabiliteit, slaapfasen, ademhaling en zuurstof in het bloed zijn metingen van een optische consumentensensor op de pols. Zo presenteert het portaal ze ook: als de dynamiek van het eigen lichaam van de gast, niet als de uitkomst van een analyse (wat het horloge precies meet).
De classificatie hangt niet aan een regel in een document, maar aan de beloften. Marketing van een hotel die zegt «we stellen een diagnose met het horloge» of «we genezen u in een week», breekt dit kader sneller dan welke wijziging in de code ook.
Wie waarvoor verantwoordelijk is
De rollen onder GDPR zijn zo verdeeld, en die verdeling is belangrijker dan welke woorden over partnerschap ook: tegenover de gast en tegenover de toezichthouder is het hotel verantwoordelijk.
Rol
Wie dat is
Wat die doet
Verwerkingsverantwoordelijke
het hotel als rechtspersoon
bepaalt waarom de gegevens worden verzameld; legt verantwoording af aan de gast en aan de toezichthouder; de gegevens staan in het portaalbeleid
Verwerker
longev.eu
beheert de code en de server, werkt op basis van een verwerkersovereenkomst en volgens de instructies van het hotel
Arts
de hoofdarts van het hotel, met naam genoemd
ziet de gegevens van het verblijf, schrijft de kuur en behandelingen voor; is gebonden aan het medisch beroepsgeheim
Hosting
de hostingprovider, datacenter in de EU
houdt de server draaiend; is ook een verwerker, op contractbasis
Garmin
de Garmin-cloud
ontvangt de gegevens van het horloge: via het eigen account van de gast of via het account van het hotel achter een uitgeleende комплект
Google
inloggen en het model
inloggen via Google is de keuze van de gast; het model werkt zolang het hotel de functie ingeschakeld houdt
Kaarten
OpenStreetMap, mapy.com
de browser van de gast vraagt de kaarttegels rechtstreeks op; het spoor van de route gaat niet naar hen
Waarom elk hotel een eigen database heeft
Het platform is niet multi-tenant in de gebruikelijke zin: gasten van verschillende hotels worden niet gescheiden door een kolom in een gedeelde tabel. Elk hotel heeft zijn eigen proces op de server, zijn eigen map en zijn eigen database, terwijl de code overal dezelfde is.
Dat verschil is praktisch. Een fout in een query kan het ene hotel geen gasten van een ander hotel laten zien — die staan gewoon niet in zijn database. Een hotel dat vertrekt, neemt zijn bestand in zijn geheel mee, niet een selectie uit een gedeelde opslag.
Twee toestemmingen en de versie van het beleid
Gezondheidsgegevens zijn een bijzondere categorie (artikel 9 GDPR), en «ik ga akkoord met de voorwaarden» bij registratie is daarvoor juridisch niet genoeg. Daarom zijn er 2 toestemmingen: een algemene bij registratie en een uitdrukkelijke voor de verwerking van gezondheidsgegevens, vóór de vragenlijst.
De volgorde wordt door de server bewaakt, niet door de interface: een verzoek om de tweede toestemming terwijl het beleid nog niet is geaccepteerd, wordt afgewezen.
Beide toestemmingen worden bewaard samen met het versienummer van het beleid en het tijdstip. De versie gaat omhoog als de betekenis verandert, niet bij een typefout — en dan vraagt het portaal het iedereen opnieuw, in een venster over elk scherm heen.
Dat is al 3 keer gebeurd: versie 1.5 voegde de weegschaal op de kamer en de lichaamssamenstelling toe, 1.6 noemde het AI-model en de 3 doorgiften van gegevens buiten de EER, 1.7 het voedingsdagboek en de foto van een bord. Elke keer zijn de gasten opnieuw gevraagd.
Het portaalbeleid staat los van het beleid van het hotel en geldt alleen voor het portaal: het Account, de vragenlijst, de routes en het horloge. Het boeken van een kamer en de nieuwsbrief van het hotel vallen onder het eigen beleid van het hotel.
Het portaalbeleid: twaalf onderdelen, open zonder in te loggen×
Rechten van de gast lopen via knoppen, niet via e-mail
Een recht dat wel wordt beloofd, maar alleen per mail aan het hotel kan worden uitgevoerd, werkt in de praktijk niet. Daarom staat in «Account» het blok «Mijn gegevens», met daarin vier knoppen.
Export — alles wat het portaal over de gast bewaart, in één machineleesbaar bestand: vragenlijsten, routes met trackpunten, nachten, tests, voorschriften en profiel (artikel 20 — recht op overdraagbaarheid).
HL7 FHIR-export — dezelfde cijfers in de taal van medische systemen, in FHIR R4: een patiënt en observaties. Zo'n bestand kan een klinisch systeem lezen, niet alleen een mens.
Toestemming intrekken — standaard samen met wissen: zonder toestemming is er geen grond meer om gezondheidsgegevens te bewaren.
Account verwijderen (artikel 17) — met bevestiging: de gast typt zijn eigen e-mailadres in, anders doet de knop niets.
Een personeelsaccount kunt u met deze knoppen niet verwijderen. Onder de handtekening van een arts staan voorschriften en ochtendbladen van andere mensen, dus zo'n account wordt door een beheerder verwijderd — zodat een handtekening niet stilzwijgend losraakt.
De twee niveaus van wissen, en wat een verwijdering overleeft, staan uitgelegd in Persoonsgegevens: daar staat ook waarom het logboek van uitgegeven kits blijft, terwijl notities van het personeel over een gast verdwijnen.
Waar de gegevens staan en wat naar buiten gaat
De server staat in de Europese Unie; het land van het datacenter staat genoemd in het beleid van het betreffende hotel. Gegevens verlaten die server in precies 3 gevallen, en alle 3 staan daar met naam genoemd:
Inloggen via Google — alleen als de gast zelf voor die ingang kiest, en alleen voor het inloggen zelf: het e-mailadres, de naam en de account-id. Het Google-wachtwoord komt nooit bij het portaal terecht.
De Garmin-cloud — een uitgeleend horloge synchroniseert met een Garmin-account dat van het hotel is en het kitnummer draagt, niet de naam van de gast; de servers van Garmin staan in de Verenigde Staten. De grondslag is de uitdrukkelijke toestemming die voor het horloge is gegeven (artikel 49(1)(a)).
De provider van het model — het gepseudonimiseerde ochtendblad (leeftijd, geslacht en cijfers, zonder naam, geboortedatum of e-mailadres), een bericht van de arts dat woordelijk moet worden vertaald, en een foto van een bord, als de gast zelf op de camera heeft gedrukt.
En 1 ding dat wij niet kunnen wissen
Het portaal heeft geen advertenties en geen analysetellers. De browser van de gast bewaart alleen het sessietoken en de gekozen taal.
De daggeschiedenis in een Garmin-account kunnen we niet verwijderen: Garmin biedt die mogelijkheid niet. Die dagen blijven daar staan onder de eigen voorwaarden van Garmin, ook nadat onze kopie is gewist. Het portaal leest uit zo'n account alleen de dagen van het verblijf waarin de gast die kit had — maar dat zeggen is eerlijker dan erover zwijgen.
Hoe lang wat wordt bewaard
Voor elk soort gegevens geldt een eigen termijn, en verwijderen betekent hier dat rijen uit de database verdwijnen, niet dat ze alleen uit de interface worden verborgen.
1 regel blijft bewust langer bestaan dan de gast zelf — de factuurregel voor een actief verblijf: de koppeling naar het account wordt daarin op nul gezet, zodat de maand onthoudt dat het verblijf er was, maar niemand meer noemt (hoe een actieve gast wordt geteld).
Wat
Hoe lang
Account
tot de gast het verwijdert
Vragenlijsten, routes, profiel, drinkkuur
3 jaar na de laatste activiteit — of tot de toestemming wordt ingetrokken
Voedingsdagboek en foto's van gerechten
dezelfde 3 jaar; een foto verdwijnt samen met de invoer van de schijf, niet alleen uit de lijst
Dagelijkse toestanden van een uitgeleend horloge
blijven tussen verblijven op de kaart van de gast staan, dezelfde 3 jaar
Een link om het wachtwoord te wijzigen
60 minuten
Serverlogboeken
tot 90 dagen
Wat het model doet en wat het niet beslist
Een deel van de teksten in het portaal wordt verwoord door een model voor kunstmatige intelligentie: de formulering van het ochtendoverzicht, de vertaling van een bericht van de arts, de achtergrond van een ansichtkaart van een route, de schatting van de calorieën op een foto van een bord.
Het model berekent geen risiconiveau, kiest geen hartslagzone en verandert het programma niet — het krijgt door wat het portaal al heeft berekend. Een geautomatiseerd besluit met rechtsgevolg (artikel 22 GDPR) bestaat in het portaal helemaal niet.
Dat een tekst door een model is geschreven, wordt de gast rechtstreeks in de verklaring verteld: artikel 50 van de EU-verordening over kunstmatige intelligentie eist dat.
En de belangrijkste beveiliging: geen enkel verzoek met persoonlijke tekst gaat de deur uit voordat de super-admin heeft bevestigd dat er met de provider een verwerkersovereenkomst is gesloten. De schakelaar staat standaard uit — zwijgen is geen toestemming. Een gratis abonnement is hiervoor niet geschikt: volgens de voorwaarden van de provider zelf leert het van wat er wordt ingestuurd.
Calorieën op basis van een foto toont het portaal als een bereik en ze mogen worden gecorrigeerd: het is een schatting op basis van een beeld, geen meting.
Wat de server verbiedt, niet de interface
Kijken door de ogen van de gast is alleen-lezen. Een arts kan het Account van de gast openen om precies te zien wat de gast ziet. Elk verzoek dat iets verandert, wordt in zo'n sessie al bij binnenkomst in de applicatie geweigerd, vóór de handler: een belofte die per route apart is nagekomen, houdt stand tot de eerste nieuwe route.
Elke toegang wordt vastgelegd. Welke medewerker het Account van een gast heeft geopend, en wanneer — dat is één regel in het logboek. Een admin mag in zo'n sessie wel wijzigen, en de prijs wordt hardop genoemd: de wijziging gaat uit onder de naam van de gast, en het logboek onthoudt in wiens venster gekeken moet worden.
Een gast komt alleen bij zijn eigen regels. De scheiding van rollen zit op de server, niet verstopt in een menu.
Wachtwoorden worden niet opgeslagen. In de database staat een PBKDF2-hash, en de link om het wachtwoord te wijzigen alleen als een SHA-256 van de code. Een gelekte database geeft geen van beide prijs.
Een wachtwoordwijziging maakt uitgegeven sleutels ongeldig. In elke token staat een sessiegeneratie: een wachtwoordwijziging, afmelden op alle apparaten of een wijziging van de rol maakt al uitgegeven sleutels ongeldig, in plaats van te wachten tot ze vanzelf verlopen.
Wat het hotel vóór de start doet
Vul de gegevens van de verwerkingsverantwoordelijke in. Zolang ook maar één veld nog tussen punthaken staat, beschouwt het portaal de verklaring als niet publiceerbaar en waarschuwt het daarvoor in het beheerderspaneel.
Noem een kanaal voor gegevensverzoeken — en, als er een functionaris voor gegevensbescherming is aangewezen (artikel 37), diens adres. De verordening eist niet dat de naam van die functionaris wordt gepubliceerd, maar wel een manier om contact op te nemen.
Noem de arts bij naam. Een gast die gezondheidsgegevens afgeeft, mag weten wie die leest, en hoeft geen genoegen te nemen met de formulering «kuurarts».
Sluit de verwerkersovereenkomsten af — met het platform, en als het model wordt ingeschakeld ook met de provider ervan. Totdat dat is bevestigd, staat de schakelaar uit en gaan persoonlijke teksten niet de deur uit.
Leg de marketing naast de classificatie. Een belofte van behandeling op de website van het hotel haalt het kader «ondersteuning van de levensstijl» onderuit.
Houd de leeftijdsgrens in gedachten. Het portaal is bedoeld voor volwassenen; voor iemand jonger dan 16 wordt geen Account aangemaakt.
Ken uw toezichthoudende autoriteit. Die staat in de verklaring met adres en website; voor Tsjechië is dat de Úřad pro ochranu osobních údajů.
Vragen en antwoorden
Is het portaal een medisch hulpmiddel? Nee. Het claimt geen medisch doel: het stelt geen diagnoses, schrijft geen behandeling voor en belooft geen therapeutisch resultaat. Het verzamelt cijfers en toont ze; de arts neemt de beslissingen.
Wie is tegenover de gast verantwoordelijk — het hotel of het platform? Het hotel: dat is de verwerkingsverantwoordelijke. Het platform is de verwerker en werkt op basis van een overeenkomst en volgens de instructies van het hotel.
Is toestemming nodig als de gast alleen een horloge draagt? Ja. Dagelijkse toestanden zijn gezondheidsgegevens, een bijzondere categorie onder artikel 9 GDPR. Het portaal vraagt daarvoor afzonderlijke uitdrukkelijke toestemming, en die kan met 1 klik worden ingetrokken.
Gaan gegevens buiten de EU? De server staat in de EU. Er gaan 3 dingen naar buiten, en alle 3 staan in het privacybeleid: inloggen via Google, de Garmin-cloud achter een uitgeleend horloge en de geanonimiseerde tekst die aan het model wordt gegeven.
Leert het model van gegevens van gasten? Nee. Zolang de verwerkersovereenkomst met de aanbieder niet is bevestigd, gaat er helemaal geen persoonlijke tekst naar buiten, en de overeenkomst zelf verbiedt hergebruik en training.
Wat blijft er over als een gast alles verwijdert? De nachten, wandelingen, voorschriften, het voedingsdagboek en de notities van het personeel over de gast verdwijnen uit de database. Wat overblijft zijn de eigen gegevens van het hotel: het uitgifteregister van de kits en een factuurregel die niemand meer bij naam noemt.
