Wellness & Lifestyle Intelligence og GDPR: rettslig ramme
Portalen støtter en livsstil, men stiller ikke diagnoser og foreskriver ikke behandling. Helseopplysninger behandles etter GDPR — med gjestens uttrykkelige samtykke, på en server i EU.
Klassen. Wellness & Lifestyle Intelligence er støtte for livsstil: portalen samler tall fra klokke og vekt, viser dem til gjesten og legen og lagrer det legen har foreskrevet. Den stiller ikke diagnose og foreskriver ikke behandling.
Hvem som har ansvar for dataene. Behandlingsansvarlig er hotellet: portalens personvernerklæring oppgir juridisk enhet, registreringsnumre, adresse og legen ved navn. longev.eu er databehandler og drifter kode og server.
Hvert hotell har sin egen database. Koden er den samme, men hvert hotell har sin egen prosess, sin egen katalog og sin egen database. Det finnes ingen felles tabell med gjester fra alle hotellene.
Det er to samtykker. Et generelt ved registrering, og et uttrykkelig for helseopplysninger før spørreskjemaet. Begge lagres med versjonsnummeret til erklæringen: nå versjon 1.7 fra 17.08.2026, med 12 deler på 36 språk.
Rettighetene ligger i knapper. Last ned alt i én fil, last ned HL7 FHIR for klinikkens system, trekk tilbake samtykke med sletting, slett kontoen. Uten brev til hotellet og uten ventetid.
Hva som går ut av EU. Tre ting, og alle tre er nevnt tydelig: innlogging med Google, Garmin-skyen bak den utlånte klokken og avidentifisert tekst som sendes til modellen.
Tidsfrister. Helseopplysninger — 3 år etter siste aktivitet, serverlogger — opptil 90 dager, lenke for å bytte passord — 60 minutter.
Hvem dette dokumentet er for. Hotellet som velger plattform, og gjesten som vil vite hva som skjer med tallene deres. Oppdatert 23.08.2026.
Hva Wellness & Lifestyle Intelligence betyr
Wellness & Lifestyle Intelligence er en produktklasse som støtter livsstil: søvn, bevegelse, vann, mat og hotellets behandlinger. Den arbeider med de samme tallene som medisinen gjør, men har ikke et medisinsk formål og lover ikke et behandlingsresultat.
Dette gjør portalen: den tar imot daglige tilstander fra klokken og veiinger fra vekten, sammenligner dem med gjestens eget gjennomsnitt, viser bildet til gjesten i kontoen og til legen i kontrollpanelet, og lagrer og viser det legen har foreskrevet.
Dette gjør den aldri: setter navn på en sykdom, foreskriver verken legemiddel eller diett, opphever eller erstatter legens ordinasjon, eller lover at en behandling vil kurere noe.
Forskjellen vises der algoritmen berører planen. Det som er gratis og vårt eget — en kurvandring, en badstue som er inkludert i oppholdet — flytter portalen selv. En betalt behandling foreslår den bare å flytte, og legen avgjør (slik fungerer det).
Hvor grensen går mot medisinsk utstyr
Det som gjør programvare til medisinsk utstyr, er ikke hvor avansert algoritmen er, men formålet produsenten har gitt den: diagnostikk, forebygging, overvåking, prediksjon, prognose, behandling eller lindring av sykdom (forordning (EU) 2017/745 om medisinsk utstyr, artikkel 2). Portalen oppgir ikke et slikt formål — og det er ikke bare en erklæring, men noe som vises tre steder i selve produktet:
Risikonivået fra spørreskjemaet velger en kurvandring og en pulssone, ikke en diagnose. Det får ingen rettslige følger, og legen kan overstyre det.
Drikkekuren foreskrives av hotellets overlege etter undersøkelse. Portalen lagrer den, viser den og minner om inntak — den kan ikke foreskrive den selv (mer om dette).
Nattsløyfen flytter en behandling, den behandler ikke. Tersklene den gjør dette etter, er satt av legene og er åpne (tallene og reglene).
Klokken er en forbrukerenhet
Hotellets kit er en vanlig Garmin Forerunner 165 Music og en vanlig Garmin Index S2-vekt, kjøpt i butikk. Portalen bruker ingen av de medisinske funksjonene deres: Garmin aktiverer selv EKG-appen bare der den er godkjent som medisinsk utstyr, og en klokke kjøpt i et annet land kan mangle den helt.
Puls, variabilitet, søvnfaser, pust og oksygenmetning i blodet er målinger fra en optisk forbrukersensor på håndleddet. Slik presenterer portalen dem også: som utviklingen i gjestens egen kropp, ikke som et analyseresultat (hva klokken faktisk måler).
Klassifiseringen holdes oppe av løfter, ikke av en linje i et dokument. Markedsføring fra hotellet som sier «vi stiller diagnose med klokken» eller «vi kurerer deg på en uke», bryter rammen raskere enn enhver endring i koden.
Hvem som har ansvar for hva
Rollene i GDPR er fordelt slik, og denne fordelingen er viktigere enn alle ord om partnerskap: det er hotellet som har ansvar overfor gjesten og tilsynsmyndigheten.
Rolle
Hvem det er
Hva de gjør
Behandlingsansvarlig
hotellet som juridisk enhet
avgjør hvorfor data samles inn; står ansvarlig overfor gjesten og tilsynsmyndigheten; opplysningene står i portalens personvernerklæring
Databehandler
longev.eu
driver koden og serveren, etter en databehandleravtale og etter instruks fra hotellet
Legen
hotellets overlege, nevnt ved navn
ser data for oppholdet, foreskriver kuren og behandlingene; er bundet av taushetsplikt
Driftsplattform
hosting, datasenter i EU
holder serveren i drift; er også databehandler, etter avtale
Garmin
Garmin-skyen
tar imot data fra klokken: enten gjestens egen konto eller hotellets konto for det utlånte settet
Google
innlogging og modellen
innlogging med Google er gjestens valg; modellen brukes så lenge hotellet holder funksjonen slått på
Kart
OpenStreetMap, mapy.com
gjestens nettleser henter kartfliser direkte; sporet fra helsestien sendes ikke dit
Hvorfor hvert hotell har sin egen database
Plattformen er ikke multitenant i vanlig forstand: gjester fra ulike hoteller skilles ikke med en kolonne i en felles tabell. Hvert hotell har sin egen prosess på serveren, sin egen katalog og sin egen database, mens koden er den samme for alle.
Forskjellen er praktisk. En feil i en spørring kan ikke vise ett hotell gjestene til et annet — de finnes rett og slett ikke i dets database. Et hotell som går ut, tar med seg hele filen sin, ikke et uttrekk fra et felles lager.
To samtykker og versjonen av personvernerklæringen
Helseopplysninger er en særskilt kategori (artikkel 9 i GDPR), og «jeg godtar vilkårene» ved registrering er juridisk ikke nok for dem. Derfor er det to samtykker: et generelt ved registrering og et uttrykkelig samtykke til behandling av helseopplysninger før spørreskjemaet.
Rekkefølgen styres av serveren, ikke av grensesnittet: en forespørsel om det andre samtykket blir avvist hvis personvernerklæringen ennå ikke er godtatt.
Begge samtykkene lagres sammen med versjonsnummeret til personvernerklæringen og tidspunktet. Versjonen øker når meningen endres, ikke ved en skrivefeil — og da spør portalen alle på nytt i et vindu over hvilken som helst skjerm.
Dette har allerede skjedd 3 ganger: versjon 1.5 la til vekten på rommet og kroppssammensetning, 1.6 navnga KI-modellen og 3 overføringer av data ut av EØS, og 1.7 la til kostdagbok og bilde av en tallerken. Hver gang ble gjestene spurt på nytt.
Portalens personvernerklæring er separat fra hotellets og dekker bare portalen: kontoen, spørreskjemaet, helsestiene og klokken. Rombestilling og hotellets nyhetsbrev hører inn under hotellets egen erklæring.
Portalens personvernerklæring: tolv deler, åpen uten innlogging×
Gjestens rettigheter ligger i knapper, ikke i en e-post
En rettighet som er lovet, men som i praksis krever at man skriver til hotellet, blir ikke oppfylt. Derfor har siden «Konto» en blokk «Mine data» med fire knapper.
Eksport — alt portalen har om gjesten, i én maskinlesbar fil: spørreskjemaer, turer med trackpunkter, netter, tester, ordinasjoner og profil (artikkel 20 — retten til dataportabilitet).
HL7 FHIR-eksport — de samme tallene på språket til medisinske systemer, i FHIR R4: pasient og observasjoner. En slik fil kan leses av klinikkens system, ikke bare av et menneske.
Trekk tilbake samtykke — som standard sammen med sletting: uten samtykke finnes det ikke lenger noe grunnlag for å oppbevare helseopplysninger.
Slett konto (artikkel 17) — med bekreftelse: gjesten må skrive inn sin egen e-postadresse, ellers virker ikke knappen.
«Mine data»: eksport, trekk tilbake samtykke, sletting×
Dette gjør ikke knappene
En ansattkonto kan ikke slettes med disse knappene. En leges signatur står under andres ordinasjoner og morgenark, så en slik konto fjernes av en administrator — slik at signaturen ikke forsvinner stille.
To nivåer av sletting og det som blir igjen etter sletting, er forklart i artikkelen Personopplysninger: der står det også hvorfor journalen over utleverte kit blir stående, mens personalets notater om en gjest forsvinner.
Hvor dataene ligger, og hva som går ut
Serveren står i EU, og landet der datasenteret ligger, er oppgitt i personvernerklæringen for det enkelte hotellet. Data forlater den bare i 3 tilfeller, og alle 3 er nevnt ved navn i erklæringen:
Logg inn med Google — bare hvis gjesten selv valgte den veien, og bare selve innloggingen: e-postadresse, navn og konto-ID. Google-passordet kommer aldri til portalen.
Garmin-skyen — en utlånt klokke synkroniseres til en Garmin-konto som tilhører hotellet og har kitnummeret, ikke gjestens navn. Garmin-serverne står i USA. Grunnlaget er uttrykkelig samtykke gitt for klokken (artikkel 49(1)(a)).
Modellleverandøren — det avidentifiserte morgenarket med alder, kjønn og tall, uten navn, fødselsdato eller e-postadresse, en melding fra legen som skal oversettes ordrett, og et bilde av tallerkenen når gjesten selv trykket på kameraet.
Og én ting vi ikke kan slette
Portalen har verken reklame eller analysetellere. Gjestens nettleser lagrer bare sesjonstokenet og valgt språk.
Daghistorikken i en Garmin-konto kan derimot ikke slettes: Garmin gir ikke den muligheten. De dagene blir liggende hos Garmin på Garmins egne vilkår også etter at vår kopi er slettet. Portalen leser bare dagene fra det oppholdet da gjesten hadde dette kitet — men det er ærligere å si det enn å tie om det.
Hvor lenge ulike data lagres
Hver type data har sin egen lagringstid, og sletting betyr at radene fjernes fra databasen, ikke bare skjules i grensesnittet.
Én oppføring blir med vilje stående etter gjesten — fakturalinjen for et aktivt opphold: lenken til kontoen nullstilles, så måneden husker at oppholdet fantes, men nevner ikke lenger noen (hvordan en aktiv gjest telles).
Hva
Hvor lenge
Konto
til gjesten sletter den
Spørreskjemaer, turer, profil, drikkekur
3 år etter siste aktivitet — eller til samtykket trekkes tilbake
Matdagbok og bilder av retter
de samme 3 årene; bildet slettes fra disken sammen med oppføringen, ikke bare fra listen
Daglige tilstander fra en utlånt klokke
blir stående på gjestens kort mellom oppholdene, de samme 3 årene
Lenke for å bytte passord
60 minutter
Serverlogger
opptil 90 dager
Hva modellen gjør, og hva den ikke avgjør
Noen av tekstene i portalen blir formulert av en modell for kunstig intelligens: teksten i morgenoversikten, oversettelsen av en melding fra legen, bakgrunnen på et postkort fra en helsesti og anslaget for kalorier ut fra et bilde av tallerkenen.
Den beregner ikke risikonivå, velger ikke pulssone og endrer ikke programmet — den får det portalen allerede har regnet ut. Det finnes ingen automatisert avgjørelse med rettsvirkning i portalen i det hele tatt (artikkel 22 GDPR).
At en tekst er skrevet av en modell, blir sagt direkte til gjesten i selve erklæringen: det krever artikkel 50 i EUs forordning om kunstig intelligens.
Og den viktigste sikringen: ikke én forespørsel med personlig tekst går ut før superadmin har bekreftet at det finnes en databehandleravtale med leverandøren. Bryteren er av som standard — stillhet er ikke samtykke. En gratisplan duger ikke her: etter leverandørens egne vilkår lærer den av det som blir sendt inn.
Kalorier fra et fotografi viser portalen som et intervall og lar deg rette: det er et anslag fra et bilde, ikke en måling.
Hva serveren forbyr, ikke grensesnittet
Å se med gjestens øyne er bare lesing. En lege kan åpne gjestens konto for å se det samme som gjesten ser. Enhver forespørsel som endrer noe i en slik økt, blir avvist ved inngangen til applikasjonen, før den når noen handler: et løfte som holdes rute for rute, varer bare til den første nye ruten.
Hver innlogging blir loggført. Hvem i personalet som åpnet gjestens konto, og når, står på én linje i loggen. En administrator kan gjøre endringer i en slik økt, og prisen blir sagt rett ut: endringen går ut i gjestens navn, og loggen husker hvilket vindu man skal se i.
Gjesten kommer bare til sine egne rader. Rolleskillet ligger på serveren, ikke gjemt i en meny.
Passord lagres ikke. I databasen ligger en PBKDF2-hash, og lenken for å bytte passord bare som en SHA-256 av koden. En lekket database gir fra seg verken det ene eller det andre.
Å bytte passord slår av nøkler som allerede er utstedt. Hver token har med seg en sesjonsgenerasjon: bytte av passord, utlogging på alle enheter eller endring av rolle gjør allerede utstedte nøkler ugyldige, i stedet for å vente til de går ut av seg selv.
Hva hotellet gjør før oppstart
Fyll inn opplysningene om behandlingsansvarlig. Så lenge minst ett felt fortsatt står i vinkelparenteser, regner portalen erklæringen som upubliserbar og varsler om det i administratorpanelet.
Oppgi en kanal for henvendelser om data — og, hvis det er utpekt et personvernombud (artikkel 37), adressen dit. Forordningen krever ikke at ombudets navn publiseres, men den krever en måte å komme i kontakt på.
Oppgi legen ved navn. En gjest som gir fra seg helseopplysninger, har rett til å vite hvem som leser dem, og ikke nøye seg med formuleringen «kurlegen».
Inngå databehandleravtaler — med plattformen, og med modellens leverandør hvis modellen slås på. Inntil dette er bekreftet, er bryteren av og ingen personlige tekster går ut.
Sjekk markedsføringen mot klassifiseringen. Et løfte om behandling på hotellets nettsted stryker rammen «livsstøtte».
Husk aldersgrensen. Portalen er laget for voksne; det opprettes ingen konto for noen under 16 år.
Kjenn til din tilsynsmyndighet. Den er oppgitt i erklæringen med adresse og nettsted; for Tsjekkia er det Úřad pro ochranu osobních údajů.
Spørsmål og svar
Er portalen medisinsk utstyr? Nei. Den oppgir ikke noe medisinsk formål: den stiller ikke diagnoser, foreskriver ikke behandling og lover ikke noe behandlingsresultat. Den samler inn tall og viser dem; legen tar beslutningene.
Hvem står ansvarlig overfor gjesten — hotellet eller plattformen? Hotellet: det er behandlingsansvarlig. Plattformen er databehandler og arbeider etter avtale og etter hotellets instrukser.
Trengs samtykke hvis gjesten bare går med klokken? Ja. Daglige tilstander er helseopplysninger, en særskilt kategori etter artikkel 9 i GDPR. Portalen innhenter et eget uttrykkelig samtykke til dem, og det kan trekkes tilbake med ett klikk.
Forlater data EU? Serveren står i EU. Tre ting går ut, og alle tre er nevnt i erklæringen: innlogging med Google, Garmin-skyen bak en utlånt klokke og avidentifisert tekst som sendes til modellen.
Lærer modellen av gjestenes data? Nei. Så lenge databehandleravtalen med leverandøren ikke er bekreftet, sendes ingen personlig tekst ut i det hele tatt, og avtalen forbyr i seg selv gjenbruk og opplæring.
Hva blir igjen hvis en gjest sletter alt? Netter, helsestier, ordinasjoner, kostdagbok og personalets notater om gjesten fjernes fra databasen. Det som blir igjen, er hotellets egne oppføringer om seg selv: loggen over utleverte sett og en fakturalinje som ikke lenger nevner noen.
