Wiki

Wellness & Lifestyle Intelligence e GDPR: quadro legal

O portal apoia o estilo de vida, não faz diagnósticos nem prescreve tratamentos. Os dados de saúde são tratados ao abrigo do GDPR, com consentimento explícito do hóspede, num servidor na UE.

Updated 2026-08-28 · Sample procedures Luxury Spa & Medical Wellness Hotel Prezident

Em resumo

• Classe. Wellness & Lifestyle Intelligence é apoio ao estilo de vida: o portal recolhe os valores do relógio e da balança, mostra-os ao hóspede e ao médico e guarda as prescrições do médico. Não faz diagnósticos nem prescreve tratamentos.
• Quem responde pelos dados. O responsável pelo tratamento é o hotel: a política do portal indica a entidade jurídica, os números de registo, a morada e o nome do médico. O subcontratante é a longev.eu: mantém o código e o servidor.
• Cada hotel tem a sua própria base de dados. O código é um só, mas cada hotel tem o seu próprio processo, o seu próprio diretório e a sua própria base de dados. Não existe uma tabela comum com os hóspedes de todos os hotéis.
• Há dois consentimentos. Um geral, no registo, e um explícito para os dados de saúde, antes do questionário. Ambos ficam registados com o número da versão da política: neste momento é a versão 1.7 de 17.08.2026, com doze secções em 36 línguas.
• Os direitos estão em botões. Exportação de tudo num único ficheiro, exportação HL7 FHIR para o sistema da clínica, retirada do consentimento com eliminação dos dados, eliminação da Conta. Sem carta para o hotel e sem espera.
• O que sai da UE. Três coisas, e as três são indicadas de forma clara: a entrada com Google, a nuvem Garmin por trás do relógio emprestado e o texto despersonalizado enviado ao modelo.
• Prazos. Dados de saúde — 3 anos após a última atividade, registos do servidor — até 90 dias, ligação para mudar a palavra-passe — 60 minutos.
• Para quem é este documento. Para o hotel que está a escolher uma plataforma e para o hóspede que quer saber o que aconteceu aos seus valores. Atualizado em 23.08.2026.

O que significa Wellness & Lifestyle Intelligence

Wellness & Lifestyle Intelligence é uma classe de produto que apoia o estilo de vida: sono, movimento, água, alimentação e procedimentos do hotel. Trabalha com os mesmos valores que a medicina, mas não declara finalidade médica nem promete resultado terapêutico.

O portal faz o seguinte: recebe os estados diários do relógio e as pesagens da balança, compara-os com a média do próprio hóspede, mostra o quadro ao hóspede na Conta e ao médico no Painel de controlo, e guarda e mostra as prescrições feitas pelo médico.

O que nunca faz: não identifica uma doença, não prescreve nem medicamentos nem dieta, não anula nem substitui a prescrição do médico e não promete que um procedimento cure.

A diferença vê-se onde o algoritmo mexe no plano. O que é gratuito e do próprio hotel — uma caminhada, uma sauna incluída na estadia — o portal altera por si. Um procedimento pago, o portal apenas propõe mudar, e a decisão é do médico (como isto funciona).

Onde fica a fronteira com o dispositivo médico

O que torna um programa um dispositivo médico não é a complexidade do algoritmo, mas a finalidade que o fabricante lhe atribuiu: diagnóstico, prevenção, monitorização, predição, prognóstico, tratamento ou alívio de doença (Regulamento (UE) 2017/745 relativo aos dispositivos médicos, artigo 2). O portal não declara essa finalidade, e isso não está só num texto: vê-se em 3 pontos do próprio produto:

• O nível de risco do questionário serve para escolher um percurso de caminhada e um intervalo de pulsação, não um diagnóstico. Não produz efeitos jurídicos, e o médico pode alterá-lo.
• A cura de água é prescrita pelo médico-chefe do hotel após o exame. O portal guarda-a, mostra-a e lembra cada toma — não a pode prescrever por si (mais).
• O circuito noturno muda um procedimento de horário, não trata. Os limiares usados para isso são definidos pelos médicos e estão publicados (os números e as regras).

O relógio é um dispositivo de consumo

O kit do hotel é um Garmin Forerunner 165 Music normal e uma balança Garmin Index S2 normal, comprados em loja. O portal não usa as suas funções médicas: a própria Garmin só ativa a aplicação de ECG onde ela está aprovada como dispositivo médico, e um relógio comprado noutro país pode nem sequer tê-la.

Pulsação, variabilidade, fases do sono, respiração e oxigénio no sangue são leituras de um sensor ótico de consumo no pulso. É assim que o portal as apresenta: como a dinâmica do próprio corpo do hóspede, e não como resultado de uma análise (o que o relógio mede exatamente).

A classificação não se sustenta por uma linha num documento, mas pelas promessas feitas. O marketing de um hotel que diga «fazemos um diagnóstico pelo relógio» ou «curamos em uma semana» quebra este enquadramento mais depressa do que qualquer alteração no código.

Quem responde por quê

No GDPR, os papéis distribuem-se assim, e essa distribuição é mais importante do que qualquer formulação sobre parceria: perante o hóspede e perante a autoridade de controlo, quem responde é o hotel.

Porque cada hotel tem a sua própria base de dados

A plataforma não é multi-inquilino no sentido habitual: os hóspedes de hotéis diferentes não são separados por uma coluna numa tabela comum. Cada hotel tem o seu próprio processo no servidor, a sua própria pasta e a sua própria base de dados, e o código é o mesmo para todos.

A diferença é prática. Um erro numa consulta não pode mostrar a um hotel os hóspedes de outro — eles simplesmente não estão na sua base de dados. Um hotel que sai leva o seu ficheiro completo, e não uma seleção de um armazenamento comum.

Dois consentimentos e a versão da política

Os dados de saúde são uma categoria especial (artigo 9 do GDPR), e «concordo com os termos» no registo não é juridicamente suficiente para eles. Por isso há dois consentimentos: um geral no registo e outro explícito para o tratamento de dados de saúde, pedido antes do questionário.

A ordem é controlada pelo servidor, não pela interface: um pedido do segundo consentimento, se a política ainda não tiver sido aceite, é recusado.

Os dois consentimentos ficam guardados com o número da versão da política e a hora. A versão sobe quando muda o sentido, e não por causa de uma gralha — e então o portal volta a pedir a todos, numa janela sobre qualquer ecrã.

Isso já aconteceu 3 vezes: a versão 1.5 acrescentou a balança no quarto e a composição corporal, a 1.6 indicou o modelo de IA e as 3 saídas de dados do EEE, e a 1.7 o diário alimentar e a fotografia do prato. De cada vez, os hóspedes foram novamente questionados.

A política do portal é separada da política do hotel e cobre apenas o portal: a Conta, o questionário, as caminhadas e o relógio. A reserva do quarto e a newsletter do hotel ficam na política própria do hotel.

×

Os direitos do hóspede são exercidos por botões, não por e-mail

Um direito prometido, mas que na prática exige escrever para o hotel, acaba por não ser exercido. Por isso, na «Conta» existe o bloco «Os meus dados», com 4 botões.

• Exportação — tudo o que o portal guarda sobre o hóspede, num único ficheiro legível por máquina: questionários, percursos com os pontos do trajeto, noites, testes, prescrições e perfil (artigo 20 — direito à portabilidade).
• Exportação HL7 FHIR — os mesmos números na linguagem dos sistemas médicos, em FHIR R4: paciente e observações. Este ficheiro pode ser lido por um sistema clínico, não apenas por uma pessoa.
• Retirar o consentimento — por defeito, junto com o apagamento: sem consentimento, deixa de haver base para guardar dados de saúde.
• Eliminar a conta (artigo 17) — com confirmação: o hóspede tem de escrever o seu endereço de e-mail, caso contrário o botão não funciona.

×

O que os botões não fazem

A conta de um colaborador não pode ser eliminada por estes botões. A assinatura de um médico fica em prescrições e folhas da manhã de outras pessoas, por isso essa conta é removida por um administrador — para que a assinatura não se desligue em silêncio.

Os 2 níveis de apagamento e o que sobrevive à eliminação estão explicados em Dados pessoais: aí também se explica por que motivo o registo de entrega dos kits fica, enquanto as notas da equipa sobre o hóspede desaparecem.

Onde os dados ficam e o que sai para fora

O servidor fica na União Europeia; o país do centro de dados é indicado na política de cada hotel. Os dados saem de lá em exatamente 3 casos, e os 3 estão indicados na política pelo nome:

• Iniciar sessão com Google — só se o hóspede escolher essa via, e apenas para o próprio acesso: endereço de e-mail, nome e identificador da conta. A palavra-passe do Google nunca chega ao portal.
• A cloud da Garmin — o relógio emprestado sincroniza com uma conta Garmin que pertence ao hotel e usa o número do kit, não o nome do hóspede; os servidores da Garmin ficam nos Estados Unidos. A base é o consentimento explícito dado para o relógio (artigo 49(1)(a)).
• O fornecedor do modelo — a folha da manhã sem identificação (idade, sexo e números, sem nome, data de nascimento nem endereço de e-mail), uma mensagem do médico que precisa de ser traduzida palavra por palavra e a fotografia do prato, quando o próprio hóspede carrega na câmara.

E uma coisa que não conseguimos apagar

O portal não tem publicidade nem contadores de análise. O navegador do hóspede guarda apenas o token da sessão e o idioma escolhido.

Já o histórico diário na conta Garmin não pode ser apagado: a Garmin não dá essa possibilidade. Esses dias ficam com a Garmin segundo as condições da própria Garmin, mesmo depois de a nossa cópia ser apagada. O portal lê dessa conta apenas os dias da estadia em que o kit esteve com o hóspede — mas é mais honesto dizer isto do que ficar calado.

Durante quanto tempo cada coisa é guardada

O prazo é indicado separadamente para cada tipo de dados, e eliminação aqui significa remover linhas da base de dados, não escondê-las da interface.

Um registo sobrevive ao hóspede de propósito — a linha de faturação de uma estadia ativa: a ligação à conta é anulada, por isso o mês lembra que a estadia existiu, mas já não identifica ninguém (como é contado um hóspede ativo).

O que a modelo faz e o que nunca decide

Uma parte dos textos do portal é redigida por uma modelo de inteligência artificial: a formulação da folha da manhã, a tradução de uma mensagem do médico, o texto de fundo de um postal de percurso e a estimativa de calorias a partir da fotografia do prato.

Ela não calcula o nível de risco, não escolhe a zona de frequência cardíaca nem altera o programa — recebe o que o portal já calculou. No portal não existe qualquer decisão automatizada com efeito jurídico (artigo 22 do GDPR).

O hóspede é informado diretamente na política de que o texto foi escrito por uma modelo: é isso que exige o artigo 50 do regulamento da UE sobre inteligência artificial.

E a principal proteção é esta: nenhum pedido com texto pessoal é enviado enquanto o superadministrador não confirmar que existe um contrato de tratamento de dados com o fornecedor. Por predefinição, o interruptor fica desligado — o silêncio não é consentimento. Um plano gratuito não serve para isto: pelas próprias condições do fornecedor, ele aprende com o que lhe é enviado.

As calorias calculadas a partir da fotografia são mostradas como intervalo e podem ser corrigidas: é uma estimativa pela imagem, não uma medição.

O que o servidor proíbe, e não a interface

• Ver pelos olhos do hóspede é só leitura. O médico pode abrir a Conta do hóspede para ver exatamente o que o hóspede vê. Qualquer pedido que altere alguma coisa nessa sessão é recusado à entrada da aplicação, antes de chegar ao processador: uma promessa cumprida percurso a percurso dura só até aparecer o primeiro percurso novo.
• Cada acesso fica registado. Quem da equipa abriu a Conta do hóspede, e quando, fica numa linha do registo. Numa sessão destas, o administrador pode editar, e o preço disso é dito claramente: a alteração sai em nome do hóspede, e o registo guarda em cuja janela se estava a olhar.
• O hóspede só chega às suas próprias linhas. A separação de papéis é feita no servidor, não escondida num menu.
• As palavras-passe não são guardadas. Na base de dados fica um hash PBKDF2, e o link para redefinir a palavra-passe fica apenas como SHA-256 do código. Uma fuga da base de dados não revela nem uma coisa nem a outra.
• Mudar a palavra-passe invalida as chaves já emitidas. Cada token traz a geração da sessão: mudar a palavra-passe, terminar sessão em todos os dispositivos ou alterar o papel invalida os tokens já emitidos, em vez de esperar que expirem por si.

O que o hotel faz antes do arranque

• Preencher os dados do responsável pelo tratamento. Enquanto houver pelo menos um campo entre parênteses angulares, o portal considera a política não publicável e avisa disso no painel do administrador.
• Indicar um canal para pedidos sobre dados — e, se tiver sido nomeado um encarregado da proteção de dados (artigo 37), o seu endereço. O regulamento não exige publicar o nome do encarregado, mas exige uma forma de contacto.
• Indicar o nome do médico. O hóspede que entrega dados de saúde tem o direito de saber quem os lê, e não ficar apenas com a fórmula «médico do balneário».
• Celebrar os contratos de tratamento de dados — com a plataforma e, se a modelo for ativada, também com o seu fornecedor. Até isso ser confirmado, o interruptor fica desligado e os textos pessoais não são enviados.
• Conferir o marketing com a classificação. Uma promessa de tratamento no site do hotel anula o enquadramento de «apoio ao estilo de vida».
• Lembrar o limite de idade. O portal foi pensado para adultos; não se cria uma Conta para ninguém com menos de 16 anos.
• Saber qual é a sua autoridade de controlo. Ela é indicada na política com morada e site; na República Checa é o Úřad pro ochranu osobních údajů.

Perguntas e respostas

• O portal é um dispositivo médico? Não. Não declara qualquer finalidade médica: não faz diagnósticos, não prescreve tratamento e não promete resultado terapêutico. Recolhe e mostra números; as decisões são tomadas pelo médico.
• Quem responde perante o hóspede — o hotel ou a plataforma? O hotel: é o responsável pelo tratamento dos dados. A plataforma é o subcontratante e trabalha por contrato e segundo as instruções do hotel.
• É preciso consentimento se o hóspede apenas usar o relógio? Sim. Os estados diários são dados de saúde, uma categoria especial ao abrigo do artigo 9 do GDPR. O portal pede para eles um consentimento explícito separado, e esse consentimento pode ser retirado com um clique.
• Os dados saem da UE? O servidor fica na UE. Há 3 coisas que saem, e as 3 estão indicadas na política: a entrada com Google, a nuvem Garmin dos relógios emprestados e o texto despersonalizado enviado ao modelo.
• O modelo aprende com os dados dos hóspedes? Não. Enquanto o acordo de tratamento de dados com o fornecedor não estiver confirmado, nenhum texto pessoal é enviado, e o próprio acordo proíbe a reutilização e o treino.
• O que fica se o hóspede apagar tudo? Da base de dados saem as noites, as caminhadas, as prescrições, o diário alimentar e as notas da equipa sobre essa pessoa. Ficam os registos do hotel sobre si próprio: o registo de entrega dos kits e uma linha de faturação que já não identifica ninguém.

Fontes

Regulamento (UE) 2016/679 — GDPR · Regulamento (UE) 2017/745 relativo aos dispositivos médicos · Regulamento (UE) 2024/1689 relativo à inteligência artificial · Úřad pro ochranu osobních údajů

Mais sobre este tema

Os seus dados pessoais: 2 consentimentos, uma exportação e uma eliminação — os mesmos direitos do lado do hóspede, botão por botão.

Como a plataforma atribui procedimentos — onde o algoritmo para e o médico começa.

Preços: Setup, Base e Active Guest — o que entra no arranque e como é contado um hóspede ativo.

O que o relógio mede — que números chegam exatamente do pulso.

Receção: trabalhar com as aplicações — porque é que o kit é apagado antes de passar ao hóspede seguinte.

A política completa do portal está aberta sem iniciar sessão, na página de privacidade.