Вики

Wellness & Lifestyle Intelligence и GDPR: правовая рамка

Портал поддерживает образ жизни, а не ставит диагнозы: лечения он не назначает. Данные о здоровье обрабатываются по GDPR — по явному согласию гостя, на сервере в ЕС.

Обновлено 2026-08-28 · Пример процедур Luxury Spa & Medical Wellness Hotel Prezident

Коротко

• Класс. Wellness & Lifestyle Intelligence — поддержка образа жизни: портал собирает числа с часов и весов, показывает их гостю и врачу и хранит назначения врача. Диагноза он не ставит и лечения не назначает.
• Кто отвечает за данные. Контролёр — отель: в политике портала названы юридическое лицо, регистрационные номера, адрес и врач поимённо. longev.eu — обработчик: держит код и сервер.
• У каждого отеля своя база. Код один, но у каждого отеля свой процесс, свой каталог и своя база данных. Общей таблицы гостей всех отелей не существует.
• Согласий два. Общее — при регистрации, явное на данные о здоровье — перед анкетой. Оба записываются с номером версии политики: сейчас это версия 1.7 от 17.08.2026, двенадцать разделов на 36 языках.
• Права — кнопками. Выгрузка всего одним файлом, выгрузка HL7 FHIR для системы клиники, отзыв согласия со стиранием, удаление учётной записи. Без письма в отель и без ожидания.
• Что уходит из ЕС. Три вещи, и все три названы вслух: вход через Google, облако Garmin у выданных часов и обезличенный текст, отданный модели.
• Сроки. Данные о здоровье — три года после последней активности, журналы сервера — до 90 дней, ссылка на смену пароля — 60 минут.
• Кому этот документ. Отелю, который выбирает платформу, и гостю, который хочет знать, что стало с его числами. Обновлён 23.08.2026.

Что значит Wellness & Lifestyle Intelligence

Wellness & Lifestyle Intelligence — класс продукта, который поддерживает образ жизни: сон, движение, воду, еду и процедуры отеля. Он работает с теми же числами, что и медицина, но не заявляет медицинского назначения и не обещает лечебного результата.

Что портал делает: принимает суточные состояния с часов и взвешивания с весов, сравнивает их с собственным средним гостя, показывает картину гостю в кабинете и врачу на панели, хранит и отображает назначения, которые сделал врач.

Чего он не делает никогда: не называет болезнь, не назначает ни лекарство, ни диету, не отменяет и не заменяет назначение врача, не обещает, что процедура вылечит.

Разница видна там, где алгоритм касается плана. Бесплатное и своё — прогулку, включённую в проживание сауну — портал правит сам. Платную процедуру он только предлагает перенести, и решает врач (как это устроено).

Где проходит граница с медицинским изделием

Программу делает медицинским изделием не сложность алгоритма, а назначение, которое дал ей производитель: диагностика, профилактика, наблюдение, предсказание, прогноз, лечение или облегчение болезни (Регламент (ЕС) 2017/745 о медицинских изделиях, статья 2). Портал такого назначения не заявляет — и это не декларация, а три места в самом продукте:

• Уровень риска из анкеты — отбор маршрута прогулки и коридора пульса, а не диагноз. Юридических последствий он не порождает, и врач его переопределяет.
• Питьевую куру назначает главный врач отеля после осмотра. Портал её хранит, показывает и напоминает о приёме — назначить сам он не может (разбор).
• Ночной контур переносит процедуру, а не лечит. Пороги, по которым он это делает, врачебные и открыты (числа и правила).

Часы — потребительское устройство

Комплект отеля — обычные Garmin Forerunner 165 Music и весы Garmin Index S2, купленные в магазине. Медицинских функций портал у них не берёт: приложение ЭКГ сам Garmin включает только там, где оно одобрено как медицинское изделие, и часы, купленные в другой стране, его могут не иметь вовсе.

Пульс, вариабельность, фазы сна, дыхание, насыщение крови кислородом — показания бытового оптического датчика на запястье. Портал так их и подаёт: как динамику собственного тела гостя, а не как результат анализа (что именно измеряют часы).

Классификация держится не строчкой в документе, а обещаниями. Маркетинг отеля, который скажет «поставим диагноз по часам» или «вылечим за неделю», ломает рамку быстрее любой правки в коде.

Кто за что отвечает

Роли в GDPR распределены так, и это распределение важнее любых слов о партнёрстве: перед гостем и перед надзорным органом отвечает отель.

Почему у каждого отеля своя база

Платформа не мультиарендная в привычном смысле: гостей разных отелей не разделяет колонка в общей таблице. У каждого отеля свой процесс на сервере, свой каталог и своя база данных, а код у всех один и тот же.

Разница практическая. Ошибка в запросе не может показать одному отелю гостей другого — их просто нет в его базе. Отель, который уходит, забирает свой файл целиком, а не выборку из общего хранилища.

Два согласия и версия политики

Данные о здоровье — особая категория (статья 9 GDPR), и «согласен с условиями» при регистрации для них юридически недостаточно. Поэтому согласия два: общее при регистрации и явное — на обработку данных о здоровье, перед анкетой.

Порядок держит сервер, а не интерфейс: запрос на второе согласие, если политика ещё не принята, отклоняется.

Оба согласия хранятся вместе с номером версии политики и временем. Версия растёт, когда меняется смысл, а не опечатка, — и тогда портал спрашивает всех заново окном поверх любого экрана.

Так было уже трижды: версия 1.5 добавила весы в номере и состав тела, 1.6 назвала модель ИИ и три выхода данных из ЕЭЗ, 1.7 — дневник питания и снимок тарелки. Каждый раз гостей спросили заново.

Политика портала отдельная от политики отеля и покрывает только портал: учётную запись, анкету, прогулки и часы. Бронирование номера и рассылка отеля живут в его собственной политике.

×

Права гостя — кнопками, а не письмом

Право, которое обещано, но выполняется письмом в отель, на практике не выполняется. Поэтому в «Учётной записи» стоит блок «Мои данные», и в нём четыре кнопки.

• Выгрузка — всё, что портал держит о госте, одним машиночитаемым файлом: анкеты, прогулки с точками трека, ночи, тесты, назначения, профиль (статья 20 — право на переносимость).
• Выгрузка HL7 FHIR — те же числа на языке медицинских систем, в формате FHIR R4: пациент и наблюдения. Такой файл читает система клиники, а не только человек.
• Отзыв согласия — по умолчанию вместе со стиранием: держать данные о здоровье после отозванного согласия было бы не на чем.
• Удаление учётной записи (статья 17) — с подтверждением: гость печатает свой адрес почты, иначе кнопка не срабатывает.

×

Чего кнопки не делают

Учётную запись сотрудника этими кнопками не удалить. Под подписью врача стоят назначения и утренние листы других людей, и такую запись убирает администратор — чтобы подпись не отвалилась молча.

Стирание разной глубины и то, что переживает удаление, разобраны в статье Персональные данные: там же объяснено, почему журнал выдачи комплектов остаётся, а заметки персонала о госте уходят.

Где лежат данные и что уходит наружу

Сервер стоит в Европейском союзе; страна ЦОД названа в политике конкретного отеля. Данные покидают его ровно в трёх случаях, и все три перечислены в политике поимённо:

• Вход через Google — только если гость сам выбрал эту дверь, и только сам вход: адрес почты, имя и идентификатор учётной записи. Пароль Google порталу не достаётся никогда.
• Облако Garmin — выданные часы синхронизируются в учётную запись Garmin, которая принадлежит отелю и носит номер комплекта, а не имя гостя; серверы Garmin стоят в США. Основание — явное согласие, данное на часы (статья 49(1)(a)).
• Провайдер модели — обезличенный утренний лист (возраст, пол и числа, без имени, даты рождения и адреса почты), сообщение врача, которое надо перевести дословно, и снимок тарелки, когда гость сам нажал камеру.

И одно, чего мы стереть не можем

Рекламы и аналитических счётчиков в портале нет. Браузер гостя держит только токен сессии и выбранный язык.

А вот суточную историю из учётной записи Garmin удалить нельзя: такой возможности Garmin не даёт. Эти дни остаются у него по его собственным условиям даже после того, как наша копия стёрта. Портал читает из такой записи только дни того заезда, в котором комплект был у гостя, — но сказать об этом честнее, чем промолчать.

Сколько что хранится

Срок назван по каждому виду данных отдельно, и удаление в нём означает удаление строк из базы, а не скрытие их из интерфейса.

Одна запись переживает гостя намеренно — строка счёта за активный заезд: ссылка на учётную запись в ней обнуляется, и месяц помнит, что заезд был, но уже никого не называет (как считается активный гость).

Что делает модель и чего она не решает

Часть текстов портала кладёт в слова модель искусственного интеллекта: формулировку утреннего листа, перевод сообщения врача, фон открытки с прогулки, оценку калорий по снимку тарелки.

Она не считает уровень риска, не выбирает пульсовую зону и не меняет программу — ей передают то, что портал уже посчитал. Автоматизированного решения с юридическим последствием (статья 22 GDPR) в портале нет вовсе.

То, что текст написан моделью, сказано гостю прямо в политике: этого требует статья 50 регламента ЕС об искусственном интеллекте.

И главный предохранитель: ни один запрос с личным текстом не уходит, пока супер-админ не подтвердил, что с провайдером заключён договор об обработке. По умолчанию переключатель выключен — молчание не согласие. Бесплатный тариф для этого не годится: по условиям самого провайдера он учится на присланном.

Калории по фотографии портал показывает с вилкой и разрешает исправить: это оценка по картинке, а не измерение.

Что запрещает сервер, а не интерфейс

• Взгляд глазами гостя — только чтение. Врач может открыть кабинет гостя, чтобы увидеть то же, что видит гость. Любой изменяющий запрос в такой сессии отбивается на входе в приложение, до обработчика: обещание, выполненное в каждом маршруте по отдельности, живёт до первого нового маршрута.
• Каждый вход записан. Кто из персонала и когда открывал кабинет гостя — строка в журнале. Админу править в такой сессии разрешено, и цена названа вслух: правка уходит от имени гостя, а журнал помнит, в чьё окно смотреть.
• Гость дотягивается только до своих строк. Разделение ролей сделано на сервере, а не спрятано в меню.
• Пароли не хранятся. В базе лежит хеш PBKDF2, а ссылка на смену пароля — как SHA-256 от кода. Утёкшая база не выдаёт ни того, ни другого.
• Смена пароля гасит выданные ключи. В каждом токене записано поколение сессий: смена пароля, выход на всех устройствах или правка роли убивают уже выданные ключи, а не ждут, пока те истекут сами.

Что отель делает до запуска

• Заполнить реквизиты контролёра. Пока хоть одно поле стоит в угловых скобках, портал считает политику непубликуемой и предупреждает об этом в панели администратора.
• Назвать канал для запросов по данным — и, если назначен специалист по защите данных (статья 37), его адрес. Публиковать имя специалиста регламент не требует, а способ связи — требует.
• Назвать врача поимённо. Гость, отдающий данные о здоровье, вправе знать, кто их читает, а не довольствоваться формулировкой «врач курорта».
• Заключить договор об обработке — с платформой, а если включается модель, то и с её провайдером. До подтверждения переключатель выключен и личные тексты не уходят.
• Сверить маркетинг с классификацией. Обещание лечения на сайте отеля перечёркивает рамку «поддержка образа жизни».
• Помнить о пороге возраста. Портал рассчитан на взрослых; учётную запись человеку младше 16 лет не заводят.
• Знать свой надзорный орган. Он назван в политике адресом и сайтом; для Чехии это Úřad pro ochranu osobních údajů.

Вопросы и ответы

• Портал — медицинское изделие? Нет. Он не заявляет медицинского назначения: не ставит диагнозов, не назначает лечения и не обещает лечебного результата. Числа он собирает и показывает, решения принимает врач.
• Кто отвечает перед гостем — отель или платформа? Отель: он контролёр данных. Платформа — обработчик, она работает по договору и по указаниям отеля.
• Нужно ли согласие, если гость просто носит часы? Да. Суточные состояния — данные о здоровье, особая категория по статье 9 GDPR. Портал берёт на них отдельное явное согласие, и отозвать его можно в один клик.
• Данные выезжают из ЕС? Сервер в ЕС. Наружу уходят три вещи, все три названы в политике: вход через Google, облако Garmin у выданных часов и обезличенный текст, отданный модели.
• Учится ли модель на данных гостей? Нет. Пока договор об обработке с провайдером не подтверждён, личный текст не уходит вовсе, а сам договор запрещает переиспользование и обучение.
• Что останется, если гость удалит всё? Из базы уйдут ночи, прогулки, назначения, дневник питания и заметки персонала о нём. Останутся записи отеля о себе: журнал выдачи комплектов и строка счёта, которая уже никого не называет.

Источники

Регламент (ЕС) 2016/679 — GDPR · Регламент (ЕС) 2017/745 о медицинских изделиях · Регламент (ЕС) 2024/1689 об искусственном интеллекте · Úřad pro ochranu osobních údajů

Дальше по теме

Персональные данные: два согласия, выгрузка и удаление — те же права со стороны гостя, кнопка за кнопкой.

Как платформа назначает процедуры — где алгоритм останавливается и начинается врач.

Цены: Setup, Base и Active Guest — что входит в запуск и как считается активный гость.

Что измеряют часы — какие именно числа приходят с запястья.

Ресепшен: работа с приложениями — почему комплект стирается перед выдачей следующему.

Полная политика портала открыта без входа, на странице приватности.