Wiki

Wellness & Lifestyle Intelligence i GDPR: ramy prawne

Portal wspiera styl życia, a nie stawia diagnoz i nie ordynuje leczenia. Dane o zdrowiu są przetwarzane zgodnie z GDPR — za wyraźną zgodą gościa, na serwerze w UE.

Updated 2026-08-28 · Przykład zabiegów Luxury Spa & Medical Wellness Hotel Prezident

W skrócie

• Klasa. Wellness & Lifestyle Intelligence wspiera styl życia: portal zbiera dane z zegarka i wagi, pokazuje je gościowi i lekarzowi oraz przechowuje zalecenia lekarza. Nie stawia diagnozy i nie ordynuje leczenia.
• Kto odpowiada za dane. Administratorem jest hotel: w polityce portalu podane są osoba prawna, numery rejestrowe, adres i lekarz z imienia i nazwiska. longev.eu jest podmiotem przetwarzającym: utrzymuje kod i serwer.
• Każdy hotel ma własną bazę. Kod jest jeden, ale każdy hotel ma własny proces, własny katalog i własną bazę danych. Nie ma wspólnej tabeli gości ze wszystkich hoteli.
• Są 2 zgody. Ogólna — przy rejestracji, wyraźna zgoda na dane o zdrowiu — przed ankietą. Obie są zapisywane z numerem wersji polityki: obecnie jest to wersja 1.7 z 17.08.2026, 12 sekcji w 36 językach.
• Prawa są pod przyciskami. Eksport wszystkiego w jednym pliku, eksport HL7 FHIR do systemu kliniki, wycofanie zgody razem z usunięciem danych, usunięcie konta. Bez pisania do hotelu i bez czekania.
• Co wychodzi poza UE. 3 rzeczy, i wszystkie 3 są nazwane wprost: logowanie przez Google, chmura Garmin dla wypożyczonego zegarka i zanonimizowany tekst przekazany modelowi.
• Okresy. Dane o zdrowiu — 3 lata od ostatniej aktywności, logi serwera — do 90 dni, link do zmiany hasła — 60 minut.
• Dla kogo jest ten dokument. Dla hotelu, który wybiera platformę, i dla gościa, który chce wiedzieć, co stało się z jego danymi. Zaktualizowano 23.08.2026.

Co znaczy Wellness & Lifestyle Intelligence

Wellness & Lifestyle Intelligence to klasa produktu, która wspiera styl życia: sen, ruch, wodę, jedzenie i zabiegi hotelu. Pracuje na tych samych danych co medycyna, ale nie deklaruje celu medycznego i nie obiecuje efektu leczniczego.

Portal robi to, że przyjmuje dobowe odczyty z zegarka i pomiary z wagi, porównuje je z własną średnią gościa, pokazuje ten obraz gościowi na koncie i lekarzowi w Panelu oraz przechowuje i wyświetla zalecenia wprowadzone przez lekarza.

Nigdy nie robi tego, że nie rozpoznaje choroby, nie ordynuje ani leku, ani diety, nie odwołuje i nie zastępuje zaleceń lekarza oraz nie obiecuje, że zabieg coś wyleczy.

Różnicę widać tam, gdzie algorytm dotyka planu. To, co jest bezpłatne i nasze — trasę zdrowotną, saunę wliczoną w pobyt — portal zmienia sam. Przy płatnym zabiegu tylko proponuje zmianę terminu, a decyzję podejmuje lekarz (jak to działa).

Gdzie przebiega granica wyrobu medycznego

O tym, czy program jest wyrobem medycznym, nie decyduje złożoność algorytmu, tylko cel nadany mu przez producenta: diagnoza, profilaktyka, monitorowanie, przewidywanie, rokowanie, leczenie lub łagodzenie choroby (Rozporządzenie (UE) 2017/745 w sprawie wyrobów medycznych, art. 2). Portal nie deklaruje takiego celu — i nie widać tego w oświadczeniu, tylko w 3 miejscach samego produktu:

• Poziom ryzyka z ankiety służy do wyboru trasy zdrowotnej i zakresu tętna, a nie do diagnozy. Nie wywołuje skutków prawnych, a lekarz może go zmienić.
• Kurację pitną zleca naczelny lekarz hotelu po badaniu. Portal ją przechowuje, pokazuje i przypomina o porcji — sam nie może jej zlecić (więcej).
• Pętla nocna przenosi zabieg, a nie leczy. Progi, według których to robi, są ustalone przez lekarzy i jawne (liczby i zasady).

Zegarek to urządzenie konsumenckie

Komplet hotelu to zwykły Garmin Forerunner 165 Music i waga Garmin Index S2, kupione w sklepie. Portal nie korzysta z ich funkcji medycznych: aplikację EKG Garmin włącza tylko tam, gdzie została zatwierdzona jako wyrób medyczny, a zegarek kupiony w innym kraju może jej w ogóle nie mieć.

Tętno, jego zmienność, fazy snu, oddech i natlenienie krwi to odczyty z konsumenckiego czujnika optycznego na nadgarstku. Portal pokazuje je właśnie tak: jako dynamikę własnego ciała gościa, a nie jako wynik badania (co dokładnie mierzy zegarek).

O klasyfikacji nie decyduje jedno zdanie w dokumencie, tylko obietnice. Marketing hotelu, który powie «postawimy diagnozę na podstawie zegarka» albo «wyleczymy w tydzień», łamie te ramy szybciej niż jakakolwiek zmiana w kodzie.

Kto za co odpowiada

Role w GDPR są rozłożone właśnie tak, i ten podział jest ważniejszy niż wszelkie słowa o partnerstwie: wobec gościa i wobec organu nadzorczego odpowiada hotel.

Dlaczego każdy hotel ma własną bazę danych

Platforma nie jest wielodostępna w zwykłym sensie: gości różnych hoteli nie rozdziela kolumna we wspólnej tabeli. Każdy hotel ma własny proces na serwerze, własny katalog i własną bazę danych, a kod jest wszędzie ten sam.

Ta różnica ma praktyczne znaczenie. Błąd w zapytaniu nie może pokazać jednemu hotelowi gości innego, bo po prostu nie ma ich w jego bazie. Hotel, który odchodzi, zabiera cały swój plik, a nie wycinek ze wspólnego magazynu danych.

Dwie zgody i wersja polityki

Dane o zdrowiu to szczególna kategoria danych (art. 9 GDPR), a «zgadzam się z warunkami» przy rejestracji prawnie nie wystarcza. Dlatego są 2 zgody: ogólna przy rejestracji i wyraźna zgoda na przetwarzanie danych o zdrowiu, przed ankietą.

O kolejność dba serwer, nie interfejs: prośba o drugą zgodę jest odrzucana, jeśli polityka nie została jeszcze zaakceptowana.

Obie zgody są przechowywane razem z numerem wersji polityki i czasem. Wersja rośnie wtedy, gdy zmienia się sens, a nie literówka — i wtedy portal pyta wszystkich od nowa w oknie nad każdym ekranem.

Tak było już 3 razy: wersja 1.5 dodała wagę w pokoju i skład ciała, 1.6 podała nazwę modelu AI i 3 przypadki wyjścia danych poza EOG, a 1.7 — dziennik odżywiania i zdjęcie talerza. Za każdym razem gości pytano ponownie.

Polityka portalu jest oddzielna od polityki hotelu i obejmuje tylko portal: Konto, ankietę, trasy zdrowotne i zegarek. Rezerwacja pokoju i newsletter hotelu są opisane w jego własnej polityce.

×

Prawa gościa załatwia się przyciskami, nie e-mailem

Prawo, które jest obiecane, ale wymaga napisania do hotelu, w praktyce nie działa. Dlatego w «Konto» jest blok «Moje dane», a w nim 4 przyciski.

• Eksport — wszystko, co portal przechowuje o gościu, w jednym pliku do odczytu maszynowego: ankiety, trasy spacerowe z punktami śladu, noce, testy, zalecenia, profil (artykuł 20 — prawo do przenoszenia danych).
• Eksport HL7 FHIR — te same liczby w języku systemów medycznych, w formacie FHIR R4: pacjent i obserwacje. Taki plik odczyta system kliniki, nie tylko człowiek.
• Wycofanie zgody — domyślnie razem z usunięciem danych: po wycofaniu zgody nie ma już podstawy do przechowywania danych o zdrowiu.
• Usunięcie konta (artykuł 17) — z potwierdzeniem: gość wpisuje swój adres e-mail, inaczej przycisk nie zadziała.

×

Czego te przyciski nie robią

Tymi przyciskami nie da się usunąć konta pracownika. Pod podpisem lekarza są zalecenia i poranne karty innych osób, więc takie konto usuwa administrator — żeby podpis nie odłączył się po cichu.

Dwa poziomy usuwania i to, co zostaje po usunięciu, opisuje artykuł Dane osobowe: tam też wyjaśniono, dlaczego dziennik wydań kompletów zostaje, a notatki personelu o gościu znikają.

Gdzie są dane i co wychodzi na zewnątrz

Serwer znajduje się w Unii Europejskiej; kraj centrum danych jest podany w polityce konkretnego hotelu. Dane opuszczają go dokładnie w 3 przypadkach i wszystkie 3 są w polityce wymienione z nazwy:

• Logowanie przez Google — tylko jeśli gość sam wybrał tę drogę, i tylko samo logowanie: adres e-mail, imię i identyfikator konta. Hasło Google nigdy nie trafia do portalu.
• Chmura Garmin — wydany zegarek synchronizuje się z kontem Garmin, które należy do hotelu i ma numer kompletu, a nie imię gościa; serwery Garmin znajdują się w USA. Podstawą jest wyraźna zgoda udzielona na zegarek (artykuł 49(1)(a)).
• Dostawca modelu — zanonimizowana karta poranna (wiek, płeć i liczby, bez imienia, daty urodzenia i adresu e-mail), wiadomość od lekarza, którą trzeba przetłumaczyć dosłownie, oraz zdjęcie talerza, gdy gość sam nacisnął aparat.

I jedna rzecz, której nie możemy usunąć

W portalu nie ma reklam ani liczników analitycznych. Przeglądarka gościa przechowuje tylko token sesji i wybrany język.

Nie da się natomiast usunąć historii dobowej z konta Garmin: Garmin nie daje takiej możliwości. Te dni zostają u niego na jego własnych warunkach nawet po usunięciu naszej kopii. Portal odczytuje z takiego konta tylko dni tego pobytu, podczas którego komplet był u gościa — ale uczciwiej to powiedzieć, niż przemilczeć.

Jak długo co jest przechowywane

Termin jest podany osobno dla każdego rodzaju danych, a usunięcie oznacza tu usunięcie wierszy z bazy, a nie ukrycie ich w interfejsie.

Jeden zapis celowo zostaje dłużej niż gość — pozycja rozliczeniowa za aktywny pobyt: odnośnik do konta jest w niej zerowany, więc miesiąc pamięta, że pobyt był, ale nikogo już nie wskazuje (jak liczy się aktywnego gościa).

Co robi model i czego nigdy nie rozstrzyga

Część tekstów w portalu układa model sztucznej inteligencji: treść porannego raportu, tłumaczenie wiadomości od lekarza, tło pocztówki z trasy zdrowotnej, oszacowanie kalorii ze zdjęcia talerza.

Nie oblicza poziomu ryzyka, nie wybiera strefy tętna i nie zmienia programu — dostaje to, co portal już wyliczył. W portalu w ogóle nie ma zautomatyzowanej decyzji wywołującej skutki prawne (art. 22 GDPR).

To, że tekst napisał model, jest powiedziane gościowi wprost w polityce: wymaga tego art. 50 unijnego rozporządzenia o sztucznej inteligencji.

I główny bezpiecznik: ani jedno żądanie z tekstem osobowym nie wychodzi, dopóki superadmin nie potwierdzi, że z dostawcą zawarto umowę powierzenia przetwarzania. Domyślnie przełącznik jest wyłączony — milczenie nie oznacza zgody. Darmowy plan się do tego nie nadaje: według warunków samego dostawcy uczy się na tym, co dostaje.

Kalorie ze zdjęcia portal pokazuje jako zakres i pozwala je poprawić: to oszacowanie z obrazu, a nie pomiar.

Czego pilnuje serwer, a nie interfejs

• Widok oczami gościa jest tylko do odczytu. Lekarz może otworzyć Konto gościa, żeby zobaczyć dokładnie to samo, co widzi gość. Każde żądanie, które coś zmienia, jest odrzucane już przy wejściu do aplikacji, przed obsługą: obietnica dopilnowana osobno na każdej trasie działa tylko do pierwszej nowej trasy.
• Każde wejście jest zapisane. Kto z personelu i kiedy otwierał Konto gościa — to osobny wiersz w dzienniku. Administrator może w takiej sesji wprowadzać zmiany i cena jest powiedziana wprost: zmiana wychodzi w imieniu gościa, a dziennik pamięta, przez czyje okno patrzeć.
• Gość sięga tylko do swoich wierszy. Podział ról jest zrobiony po stronie serwera, a nie ukryty w menu.
• Hasła nie są przechowywane. W bazie jest hash PBKDF2, a link do zmiany hasła tylko jako SHA-256 kodu. Wyciekła baza nie ujawnia ani jednego, ani drugiego.
• Zmiana hasła unieważnia już wydane klucze. W każdym tokenie jest zapisane pokolenie sesji: zmiana hasła, wylogowanie na wszystkich urządzeniach albo zmiana roli unieważniają już wydane klucze, zamiast czekać, aż same wygasną.

Co hotel robi przed uruchomieniem

• Uzupełnić dane administratora. Dopóki choć jedno pole jest jeszcze w nawiasach ostrych, portal uznaje politykę za nienadającą się do publikacji i ostrzega o tym w Panelu administratora.
• Wskazać kanał do wniosków dotyczących danych — a jeśli wyznaczono inspektora ochrony danych (art. 37), także jego adres. Rozporządzenie nie wymaga publikowania nazwiska inspektora, ale wymaga sposobu kontaktu.
• Wskazać lekarza z imienia i nazwiska. Gość, który przekazuje dane o zdrowiu, ma prawo wiedzieć, kto je czyta, a nie zadowolić się formułą «lekarz uzdrowiskowy».
• Zawrzeć umowę powierzenia przetwarzania — z platformą, a jeśli model jest włączany, także z jego dostawcą. Do czasu potwierdzenia przełącznik jest wyłączony i żadne teksty osobowe nie wychodzą.
• Sprawdzić marketing pod kątem klasyfikacji. Obietnica leczenia na stronie hotelu przekreśla ramę «wsparcie stylu życia».
• Pamiętać o granicy wieku. Portal jest przeznaczony dla dorosłych; nie zakłada się Konta osobie poniżej 16 lat.
• Znać swój organ nadzorczy. W polityce jest wskazany z adresem i stroną internetową; dla Czech jest to Úřad pro ochranu osobních údajů.

Pytania i odpowiedzi

• Czy portal jest wyrobem medycznym? Nie. Nie deklaruje celu medycznego: nie stawia diagnoz, nie zleca leczenia i nie obiecuje efektu terapeutycznego. Zbiera liczby i je pokazuje, a decyzje podejmuje lekarz.
• Kto odpowiada przed gościem — hotel czy platforma? Hotel: to on jest administratorem danych. Platforma jest podmiotem przetwarzającym, działa na podstawie umowy i według wskazań hotelu.
• Czy zgoda jest potrzebna, jeśli gość tylko nosi zegarek? Tak. Dzienne stany to dane o zdrowiu, czyli szczególna kategoria z art. 9 GDPR. Portal zbiera na nie osobną wyraźną zgodę i można ją wycofać jednym kliknięciem.
• Czy dane wychodzą poza UE? Serwer jest w UE. Poza nią wychodzą 3 rzeczy, wszystkie są wymienione w polityce: logowanie przez Google, chmura Garmin przy wydanym zegarku i zanonimizowany tekst przekazany modelowi.
• Czy model uczy się na danych gości? Nie. Dopóki umowa powierzenia przetwarzania z dostawcą nie zostanie potwierdzona, żaden tekst osobowy w ogóle nie wychodzi, a sama umowa zakazuje ponownego użycia i trenowania.
• Co zostanie, jeśli gość usunie wszystko? Z bazy znikną noce, trasy zdrowotne, zalecenia, dziennik odżywiania i notatki personelu o nim. Zostaną zapisy hotelu o nim samym: rejestr wydań kompletów i pozycja na rachunku, która nikogo już nie wskazuje.

Źródła

Rozporządzenie (UE) 2016/679 — GDPR · Rozporządzenie (UE) 2017/745 w sprawie wyrobów medycznych · Rozporządzenie (UE) 2024/1689 w sprawie sztucznej inteligencji · Úřad pro ochranu osobních údajů

Dalej w tym temacie

Dane osobowe: 2 zgody, eksport i usunięcie — te same prawa po stronie gościa, krok po kroku.

Jak platforma przydziela zabiegi — gdzie kończy się algorytm, a zaczyna lekarz.

Ceny: Setup, Base i Active Guest — co wchodzi w uruchomienie i jak liczy się aktywnego gościa.

Co mierzy zegarek — jakie dokładnie liczby przychodzą z nadgarstka.

Recepcja: praca z aplikacjami — dlaczego komplet jest czyszczony przed wydaniem następnemu gościowi.

Pełna polityka portalu jest dostępna bez logowania, na stronie prywatności.