Wiki

Wellness & Lifestyle Intelligence și GDPR: cadrul legal

Portalul sprijină stilul de viață, nu pune diagnostice și nu prescrie tratament. Datele de sănătate sunt prelucrate conform GDPR — cu consimțământul explicit al oaspetelui, pe un server din UE.

Updated 2026-08-28 · Sample procedures Luxury Spa & Medical Wellness Hotel Prezident

Pe scurt

• Clasa. Wellness & Lifestyle Intelligence înseamnă sprijin pentru stilul de viață: portalul adună valorile de pe ceas și cântar, le arată oaspetelui și medicului și păstrează ce a prescris medicul. Nu pune diagnostice și nu prescrie tratament.
• Cine răspunde pentru date. Operatorul este hotelul: în politica portalului sunt indicate entitatea juridică, numerele de înregistrare, adresa și numele medicului. longev.eu este persoana împuternicită: ține codul și serverul.
• Fiecare hotel are propria bază. Codul este unul singur, dar fiecare hotel are propriul proces, propriul director și propria bază de date. Nu există un tabel comun cu oaspeții tuturor hotelurilor.
• Consimțămintele sunt două. Unul general la înregistrare, iar cel explicit pentru datele de sănătate înainte de chestionar. Ambele se înregistrează cu numărul versiunii politicii: acum este versiunea 1.7 din 17.08.2026, cu 12 secțiuni în 36 de limbi.
• Drepturile sunt pe butoane. Exportul tuturor datelor într-un singur fișier, exportul HL7 FHIR pentru sistemul clinicii, retragerea consimțământului cu ștergere, ștergerea contului. Fără scrisoare către hotel și fără așteptare.
• Ce iese din UE. Trei lucruri, și toate trei sunt numite direct: autentificarea prin Google, cloudul Garmin din spatele ceasului împrumutat și textul depersonalizat trimis modelului.
• Termenele. Datele de sănătate — 3 ani de la ultima activitate, jurnalele serverului — până la 90 de zile, linkul pentru schimbarea parolei — 60 de minute.
• Pentru cine este acest document. Pentru hotelul care alege platforma și pentru oaspetele care vrea să știe ce s-a întâmplat cu valorile lui. Actualizat la 23.08.2026.

Ce înseamnă Wellness & Lifestyle Intelligence

Wellness & Lifestyle Intelligence este o clasă de produs care sprijină stilul de viață: somnul, mișcarea, apa, alimentația și procedurile hotelului. Lucrează cu aceleași valori ca medicina, dar nu declară un scop medical și nu promite un rezultat terapeutic.

Ce face portalul: preia stările zilnice de pe ceas și cântăririle de pe cântar, le compară cu media proprie a oaspetelui, arată imaginea oaspetelui în Cont și medicului în Tablou de bord și păstrează și afișează ce a prescris medicul.

Ce nu face niciodată: nu numește o boală, nu prescrie nici medicament, nici dietă, nu anulează și nu înlocuiește prescripția medicului și nu promite că o procedură va vindeca.

Diferența se vede acolo unde algoritmul atinge planul. Ce este gratuit și al nostru — o cură de teren, sauna inclusă în ședere — portalul mută singur. Pentru o procedură cu plată doar propune mutarea, iar decizia o ia medicul (cum funcționează).

Unde este granița față de dispozitivul medical

Ceea ce face un program dispozitiv medical nu este complexitatea algoritmului, ci scopul pe care i l-a dat producătorul: diagnostic, prevenție, monitorizare, predicție, prognostic, tratament sau ameliorarea bolii (Regulamentul (UE) 2017/745 privind dispozitivele medicale, articolul 2). Portalul nu declară un asemenea scop — și asta nu este doar o formulare, ci se vede în 3 locuri din produs:

• Nivelul de risc din chestionar alege traseul de cură de teren și intervalul pulsului, nu un diagnostic. Nu produce efecte juridice, iar medicul îl poate modifica.
• Cura de apă este prescrisă de medicul-șef al hotelului după consultație. Portalul o păstrează, o afișează și amintește de administrare — nu o poate prescrie singur (detalii).
• Bucla de noapte mută o procedură, nu tratează. Pragurile după care face asta sunt stabilite de medici și sunt publice (valorile și regulile).

Ceasul este un dispozitiv de consum

Kitul hotelului este format dintr-un Garmin Forerunner 165 Music obișnuit și un cântar Garmin Index S2 obișnuit, cumpărate din magazin. Portalul nu preia de la ele funcții medicale: aplicația ECG este activată de Garmin doar acolo unde este aprobată ca dispozitiv medical, iar un ceas cumpărat în altă țară poate să nu o aibă deloc.

Pulsul, variabilitatea lui, fazele somnului, respirația și oxigenarea sângelui sunt citiri ale unui senzor optic de consum purtat la încheietură. Așa le prezintă și portalul: ca dinamică a propriului corp al oaspetelui, nu ca rezultat al unei analize (ce măsoară de fapt ceasul).

Clasificarea nu se ține de un rând dintr-un document, ci de promisiuni. Marketingul hotelului care spune «vom pune un diagnostic după ceas» sau «vă vindecăm într-o săptămână» rupe acest cadru mai repede decât orice schimbare în cod.

Cine răspunde pentru ce

Rolurile în GDPR sunt împărțite astfel, iar această împărțire contează mai mult decât orice formulare despre parteneriat: în fața oaspetelui și a autorității de supraveghere răspunde hotelul.

De ce fiecare hotel are propria bază de date

Platforma nu este multi-tenant în sensul obișnuit: oaspeții hotelurilor diferite nu sunt despărțiți printr-o coloană într-un tabel comun. Fiecare hotel are propriul proces pe server, propriul director și propria bază de date, iar codul este același pentru toți.

Diferența este practică. O greșeală într-o interogare nu poate arăta unui hotel oaspeții altuia — pur și simplu nu sunt în baza lui de date. Un hotel care pleacă își ia fișierul întreg, nu o selecție dintr-un depozit comun.

Două consimțăminte și versiunea politicii

Datele despre sănătate sunt o categorie specială (articolul 9 GDPR), iar pentru ele «sunt de acord cu termenii» la înregistrare nu este suficient din punct de vedere juridic. De aceea sunt două consimțăminte: unul general la înregistrare și unul explicit pentru prelucrarea datelor despre sănătate, înainte de chestionar.

Ordinea este ținută de server, nu de interfață: o cerere pentru al doilea consimțământ este respinsă dacă politica nu a fost încă acceptată.

Ambele consimțăminte se păstrează împreună cu numărul versiunii politicii și cu momentul. Versiunea crește când se schimbă sensul, nu pentru o greșeală de tipar — iar atunci portalul îi întreabă din nou pe toți, într-o fereastră afișată peste orice ecran.

Așa s-a întâmplat deja de 3 ori: versiunea 1.5 a adăugat cântarul din cameră și compoziția corporală, 1.6 a numit modelul de IA și cele 3 ieșiri ale datelor din SEE, iar 1.7 — jurnalul alimentar și fotografia farfuriei. De fiecare dată, oaspeții au fost întrebați din nou.

Politica portalului este separată de politica hotelului și acoperă doar portalul: contul, chestionarul, curele de teren și ceasul. Rezervarea camerei și newsletterul hotelului țin de propria lui politică.

×

Drepturile oaspetelui se exercită prin butoane, nu prin e-mail

Un drept promis, dar care se exercită printr-un mesaj trimis hotelului, în practică nu se exercită. De aceea, în «Cont» există blocul «Datele mele», iar în el sunt 4 butoane.

• Export — tot ce păstrează portalul despre oaspete, într-un singur fișier care poate fi citit automat: chestionare, trasee cu punctele traseului, nopți, teste, recomandări, profilul (articolul 20 — dreptul la portabilitate).
• Export HL7 FHIR — aceleași valori în limbajul sistemelor medicale, în format FHIR R4: pacient și observații. Un astfel de fișier poate fi citit de sistemul unei clinici, nu doar de o persoană.
• Retragerea consimțământului — implicit împreună cu ștergerea: după retragerea consimțământului nu mai există temei pentru păstrarea datelor de sănătate.
• Ștergerea contului (articolul 17) — cu confirmare: oaspetele își introduce adresa de e-mail, altfel butonul nu funcționează.

×

Ce nu fac butoanele

Contul unui angajat nu poate fi șters cu aceste butoane. Sub semnătura medicului stau recomandările și fișele de dimineață ale altor persoane, iar un astfel de cont este eliminat de administrator, ca semnătura să nu dispară pe tăcute.

Cele două niveluri de ștergere și ceea ce rămâne salvat după eliminare sunt explicate în articolul Date personale: tot acolo se explică de ce registrul de predare a kiturilor se păstrează, în timp ce notițele personalului despre oaspete se șterg.

Unde sunt datele și ce pleacă în afară

Serverul este în Uniunea Europeană; țara centrului de date este indicată în politica hotelului respectiv. Datele ies de acolo exact în 3 cazuri, iar toate 3 sunt enumerate nominal în politică:

• Autentificare cu Google — doar dacă oaspetele a ales singur această variantă și doar pentru autentificare: adresa de e-mail, numele și identificatorul contului. Parola Google nu ajunge niciodată la portal.
• Cloudul Garmin — ceasul împrumutat se sincronizează într-un cont Garmin care aparține hotelului și poartă numărul kitului, nu numele oaspetelui; serverele Garmin sunt în SUA. Temeiul este consimțământul explicit dat pentru ceas (articolul 49(1)(a)).
• Furnizorul modelului — fișa de dimineață depersonalizată (vârsta, sexul și valorile, fără nume, dată de naștere și adresă de e-mail), mesajul medicului care trebuie tradus literal și fotografia farfuriei, atunci când oaspetele a apăsat singur pe cameră.

Și un lucru pe care nu îl putem șterge

Portalul nu are reclame și nici contoare de analiză. Browserul oaspetelui păstrează doar tokenul sesiunii și limba aleasă.

În schimb, istoricul zilnic din contul Garmin nu poate fi șters: Garmin nu oferă această posibilitate. Aceste zile rămân acolo după propriile condiții Garmin chiar și după ce copia noastră a fost ștearsă. Portalul citește dintr-un astfel de cont doar zilele șederii în care kitul a fost la oaspete — dar este mai corect să spunem asta decât să tăcem.

Cât timp se păstrează fiecare lucru

Termenul este indicat separat pentru fiecare tip de date, iar ștergerea înseamnă ștergerea rândurilor din baza de date, nu doar ascunderea lor din interfață.

O înregistrare rămâne intenționat și după oaspete — linia de facturare pentru o ședere activă: legătura ei cu contul este anulată, astfel încât luna păstrează faptul că șederea a existat, dar nu mai numește pe nimeni (cum este numărat un oaspete activ).

Ce face modelul și ce nu decide niciodată

O parte din textele portalului sunt formulate de un model de inteligență artificială: formularea foii de dimineață, traducerea unui mesaj de la medic, fundalul unei cărți poștale de pe traseu, estimarea caloriilor din fotografia farfuriei.

El nu calculează nivelul de risc, nu alege zona de puls și nu schimbă programul — primește ce a calculat deja portalul. În portal nu există deloc o decizie automatizată cu efect juridic (articolul 22 GDPR).

Faptul că textul a fost scris de un model îi este spus oaspetelui direct în politică: asta cere articolul 50 din regulamentul UE privind inteligența artificială.

Și principala siguranță: nici o cerere cu text personal nu pleacă până când super-adminul nu confirmă că există un contract de prelucrare cu furnizorul. În mod implicit, comutatorul este oprit — tăcerea nu înseamnă consimțământ. Un plan gratuit nu este potrivit aici: după chiar condițiile furnizorului, el învață din ce i se trimite.

Caloriile din fotografie sunt afișate în portal ca interval și pot fi corectate: este o estimare după imagine, nu o măsurare.

Ce interzice serverul, nu interfața

• Privirea prin ochii oaspetelui este doar pentru citire. Medicul poate deschide Contul oaspetelui ca să vadă exact ce vede și oaspetele. Orice cerere care schimbă ceva într-o astfel de sesiune este respinsă la intrarea în aplicație, înainte de procesare: o promisiune respectată separat pe fiecare rută ține până la prima rută nouă.
• Fiecare acces este înregistrat. Cine din personal a deschis Contul oaspetelui și când — asta rămâne ca un rând în jurnal. Administratorul are voie să facă modificări într-o astfel de sesiune, iar prețul este spus pe față: modificarea pleacă în numele oaspetelui, iar jurnalul ține minte prin a cui fereastră s-a privit.
• Oaspetele ajunge doar la propriile lui rânduri. Separarea rolurilor este făcută pe server, nu ascunsă într-un meniu.
• Parolele nu sunt păstrate. În baza de date se află un hash PBKDF2, iar linkul pentru schimbarea parolei există doar ca SHA-256 al codului. O bază de date scursă nu dezvăluie nici una, nici alta.
• Schimbarea parolei anulează cheile deja emise. În fiecare token este trecută generația sesiunii: schimbarea parolei, ieșirea de pe toate dispozitivele sau modificarea rolului anulează cheile deja emise, fără să aștepte să expire singure.

Ce face hotelul înainte de lansare

• Completați datele operatorului. Cât timp măcar un câmp rămâne între paranteze unghiulare, portalul consideră politica nepublicabilă și avertizează despre asta în panoul administratorului.
• Indicați un canal pentru cererile privind datele — și, dacă a fost desemnat un responsabil cu protecția datelor (articolul 37), adresa lui. Regulamentul nu cere publicarea numelui responsabilului, dar cere o modalitate de contact.
• Numiți medicul pe nume. Oaspetele care oferă date despre sănătate are dreptul să știe cine le citește, nu să se mulțumească cu formularea «medicul stațiunii».
• Încheiați contractul de prelucrare — cu platforma și, dacă modelul este activat, și cu furnizorul lui. Până la confirmare, comutatorul este oprit și textele personale nu pleacă.
• Verificați marketingul față de clasificare. O promisiune de tratament pe site-ul hotelului anulează cadrul «sprijin pentru stilul de viață».
• Țineți minte pragul de vârstă. Portalul este destinat adulților; nu se creează Cont pentru o persoană sub 16 ani.
• Cunoașteți autoritatea de supraveghere competentă. Ea este indicată în politică, cu adresă și site; pentru Cehia este Úřad pro ochranu osobních údajů.

Întrebări și răspunsuri

• Portalul este un dispozitiv medical? Nu. El nu declară un scop medical: nu pune diagnostice, nu prescrie tratament și nu promite un rezultat terapeutic. Adună cifrele și le afișează; deciziile le ia medicul.
• Cine răspunde în fața oaspetelui — hotelul sau platforma? Hotelul: el este operatorul de date. Platforma este persoana împuternicită, care lucrează pe bază de contract și după instrucțiunile hotelului.
• Este nevoie de consimțământ dacă oaspetele doar poartă ceasul? Da. Stările zilnice sunt date despre sănătate, o categorie specială potrivit articolului 9 GDPR. Portalul cere pentru ele un consimțământ explicit separat, iar acesta poate fi retras printr-un singur clic.
• Datele ies din UE? Serverul este în UE. În afară ies 3 lucruri, toate 3 sunt numite în politică: autentificarea prin Google, cloudul Garmin din spatele ceasului împrumutat și textul depersonalizat trimis modelului.
• Modelul învață din datele oaspeților? Nu. Până când acordul de prelucrare a datelor cu furnizorul nu este confirmat, niciun text personal nu pleacă deloc, iar acordul însuși interzice reutilizarea și antrenarea.
• Ce rămâne dacă oaspetele șterge tot? Din baza de date dispar nopțile, curele de teren, prescripțiile, jurnalul alimentar și notițele personalului despre el. Rămân evidențele hotelului despre sine: registrul de predare a kiturilor și o linie de facturare care nu mai numește pe nimeni.

Surse

Regulamentul (UE) 2016/679 — GDPR · Regulamentul (UE) 2017/745 privind dispozitivele medicale · Regulamentul (UE) 2024/1689 privind inteligența artificială · Úřad pro ochranu osobních údajů

Mai departe pe această temă

Datele personale: 2 consimțăminte, export și ștergere — aceleași drepturi din partea oaspetelui, buton cu buton.

Cum atribuie platforma procedurile — unde se oprește algoritmul și de unde începe medicul.

Prețuri: Setup, Base și Active Guest — ce intră în lansare și cum este numărat un oaspete activ.

Ce măsoară ceasul — ce numere vin efectiv de la încheietură.

Recepție: lucrul cu aplicațiile — de ce kitul este șters înainte să fie dat următorului oaspete.

Politica completă a portalului este deschisă fără autentificare, pe pagina de confidențialitate.