Wellness & Lifestyle Intelligence in GDPR: pravni okvir
Portal podpira življenjski slog, ne postavlja diagnoz in ne predpisuje zdravljenja. Zdravstveni podatki se obdelujejo po GDPR — na podlagi izrecnega soglasja gosta in na strežniku v EU.
Razred. Wellness & Lifestyle Intelligence je podpora življenjskemu slogu: portal zbira številke z ure in tehtnice, jih pokaže gostu in zdravniku ter hrani zdravnikova naročila. Ne postavlja diagnoze in ne predpisuje zdravljenja.
Kdo odgovarja za podatke. Upravljavec je hotel: v pravilih portala so navedeni pravna oseba, registrske številke, naslov in zdravnik po imenu. longev.eu je obdelovalec: skrbi za kodo in strežnik.
Vsak hotel ima svojo bazo. Koda je ena, vendar ima vsak hotel svoj proces, svoj imenik in svojo podatkovno bazo. Skupne tabele gostov vseh hotelov ni.
Soglasji sta dve. Splošno ob registraciji in izrecno za zdravstvene podatke pred vprašalnikom. Obe se zapišeta s številko različice pravil: trenutno je to različica 1.7 z dne 17.08.2026, z dvanajstimi razdelki v 36 jezikih.
Pravice so na gumbih. Izvoz vsega v eni datoteki, izvoz HL7 FHIR za sistem klinike, preklic soglasja z izbrisom in izbris računa. Brez pisanja hotelu in brez čakanja.
Kaj gre iz EU. Tri stvari, in vse tri so jasno navedene: prijava prek Google, oblak Garmin pri izposojeni uri in anonimizirano besedilo, poslano modelu.
Roki. Zdravstveni podatki — tri leta po zadnji aktivnosti, strežniški dnevniki — do 90 dni, povezava za spremembo gesla — 60 minut.
Komu je ta dokument namenjen. Hotelu, ki izbira platformo, in gostu, ki želi vedeti, kaj se je zgodilo z njegovimi številkami. Posodobljeno 23.08.2026.
Kaj pomeni Wellness & Lifestyle Intelligence
Wellness & Lifestyle Intelligence je razred izdelka, ki podpira življenjski slog: spanje, gibanje, vodo, hrano in hotelske procedure. Deluje z istimi številkami kot medicina, vendar nima medicinskega namena in ne obljublja terapevtskega učinka.
Portal dela to: prejema dnevna stanja z ure in tehtanja s tehtnice, jih primerja z gostovim lastnim povprečjem, sliko pokaže gostu v računu in zdravniku na nadzorni plošči ter hrani in prikazuje naročila, ki jih je določil zdravnik.
Tega pa nikoli ne dela: ne poimenuje bolezni, ne predpiše ne zdravila ne diete, ne prekliče in ne nadomesti zdravnikovega naročila ter ne obljublja, da bo procedura kaj pozdravila.
Razlika se vidi tam, kjer se algoritem dotakne načrta. Kar je brezplačno in naše — sprehod, savna, vključena v bivanje — portal prestavi sam. Pri plačljivi proceduri samo predlaga prestavitev, odloči pa zdravnik (kako to deluje).
Kje je meja z medicinskim pripomočkom
Program ni medicinski pripomoček zaradi zahtevnosti algoritma, ampak zaradi namena, ki mu ga je dal proizvajalec: diagnostika, preventiva, spremljanje, napovedovanje, prognoza, zdravljenje ali lajšanje bolezni (Uredba (EU) 2017/745 o medicinskih pripomočkih, člen 2). Portal takega namena ne navaja — in to ni le izjava, ampak se vidi na treh mestih v samem izdelku:
Raven tveganja iz vprašalnika izbere pot za sprehod in območje srčnega utripa, ne diagnoze. Nima pravnih posledic, zdravnik pa jo lahko spremeni.
Pitno kuro po pregledu predpiše glavni zdravnik hotela. Portal jo hrani, prikazuje in opominja na odmerek — sam je ne more predpisati (več).
Nočni krog prestavi proceduro, ne zdravi. Pragovi, po katerih to dela, so zdravniški in javno objavljeni (številke in pravila).
Ura je potrošniška naprava
Hotelski komplet sta običajna Garmin Forerunner 165 Music in tehtnica Garmin Index S2, kupljena v trgovini. Portal ne uporablja njunih medicinskih funkcij: aplikacijo EKG Garmin omogoči samo tam, kjer je odobrena kot medicinski pripomoček, ura, kupljena v drugi državi, pa je morda sploh nima.
Srčni utrip, njegova variabilnost, faze spanja, dihanje in nasičenost krvi s kisikom so odčitki potrošniškega optičnega senzorja na zapestju. Portal jih tako tudi prikazuje: kot dinamiko gostovega lastnega telesa, ne kot rezultat preiskave (kaj ura dejansko meri).
Razvrstitev ne stoji na eni vrstici v dokumentu, ampak na obljubah. Hotelsko oglaševanje, ki reče «postavili bomo diagnozo po uri» ali «pozdravili vas bomo v enem tednu», ta okvir poruši hitreje kot katerakoli sprememba kode.
Kdo za kaj odgovarja
Vloge po GDPR so razdeljene tako, in ta razdelitev je pomembnejša od vseh besed o partnerstvu: gostu in nadzornemu organu odgovarja hotel.
Vloga
Kdo je to
Kaj dela
Upravljavec
hotel kot pravna oseba
odloča, zakaj se podatki zbirajo; odgovarja gostu in nadzornemu organu; njegovi podatki so navedeni v politiki portala
Obdelovalec
longev.eu
skrbi za kodo in strežnik, dela po pogodbi o obdelavi podatkov in po navodilih hotela
Zdravnik
glavni zdravnik hotela, naveden z imenom
vidi podatke bivanja, predpiše kuro in procedure; zavezuje ga zdravniška molčečnost
Gostovanje
ponudnik gostovanja, podatkovni center v EU
skrbi za delovanje strežnika; tudi obdelovalec, po pogodbi
Garmin
oblak Garmin
prejema podatke z ure: bodisi gostov lasten račun bodisi hotelski račun pri izposojenem kompletu
Google
prijava in model
prijava prek Google je gostova izbira; model deluje, dokler hotel pušča funkcijo vklopljeno
Zemljevidi
OpenStreetMap, mapy.com
brskalnik gosta ploščice zemljevida zahteva neposredno; sled poti jim ne gre
Zakaj ima vsak hotel svojo bazo
Platforma ni večnajemniška v običajnem pomenu: gostov različnih hotelov ne ločuje stolpec v skupni tabeli. Vsak hotel ima svoj proces na strežniku, svoj imenik in svojo bazo podatkov, koda pa je pri vseh ista.
Razlika je praktična. Napaka v poizvedbi enemu hotelu ne more pokazati gostov drugega, ker jih v njegovi bazi preprosto ni. Hotel, ki odide, vzame svojo datoteko v celoti, ne pa izpisa iz skupne shrambe.
Dve soglasji in različica politike
Podatki o zdravju so posebna kategorija (člen 9 GDPR) in zanje «strinjam se s pogoji» ob registraciji pravno ne zadošča. Zato sta soglasji dve: splošno ob registraciji in izrecno za obdelavo podatkov o zdravju pred vprašalnikom.
Za vrstni red skrbi strežnik, ne vmesnik: zahteva za drugo soglasje se zavrne, če politika še ni sprejeta.
Obe soglasji se hranita skupaj s številko različice politike in časom. Različica se poveča, ko se spremeni pomen, ne pa zaradi tipkarske napake — in takrat portal vse znova vpraša v oknu čez kateri koli zaslon.
Tako je bilo že 3-krat: različica 1.5 je dodala tehtnico v sobi in telesno sestavo, 1.6 je navedla model UI in 3 iznose podatkov iz EGP, 1.7 pa dnevnik prehrane in fotografijo krožnika. Vsakič so goste vprašali znova.
Politika portala je ločena od politike hotela in pokriva samo portal: račun, vprašalnik, poti in uro. Rezervacija sobe in hotelske novice sodijo v njegovo lastno politiko.
Obvestilo portala: dvanajst razdelkov, odprto brez prijave×
Pravice gosta so gumbi, ne e-pošta
Pravica, ki je obljubljena, vendar se uveljavlja s pisanjem hotelu, se v praksi ne uveljavlja. Zato je v «Račun» blok «Moji podatki» in v njem štirje gumbi.
Izvoz — vse, kar portal hrani o gostu, v eni strojno berljivi datoteki: vprašalniki, poti s točkami sledi, noči, testi, naročila, profil (člen 20 — pravica do prenosljivosti).
Izvoz HL7 FHIR — iste številke v jeziku medicinskih sistemov, v formatu FHIR R4: pacient in opazovanja. Tako datoteko bere sistem klinike, ne le človek.
Preklic soglasja — privzeto skupaj z izbrisom: po preklicanem soglasju ne bi bilo več podlage za hrambo zdravstvenih podatkov.
Izbris računa (člen 17) — s potrditvijo: gost vpiše svoj e-poštni naslov, sicer gumb ne deluje.
Računa zaposlenega s temi gumbi ni mogoče izbrisati. Pod zdravnikovim podpisom so naročila in jutranji listi drugih ljudi, zato tak račun odstrani skrbnik — da se podpis ne odklopi potiho.
Dve ravni izbrisa in to, kaj izbris preživi, sta razloženi v članku Osebni podatki: tam je tudi pojasnjeno, zakaj dnevnik izdaj kompletov ostane, opombe osebja o gostu pa se izbrišejo.
Kje so podatki in kaj gre ven
Strežnik je v Evropski uniji; država podatkovnega centra je navedena v obvestilu posameznega hotela. Podatki ga zapustijo natanko v treh primerih, in vsi trije so v obvestilu navedeni poimensko:
Prijava z Google — samo če je gost sam izbral ta način, in samo za prijavo: e-poštni naslov, ime in identifikator računa. Geslo Google portal nikoli ne dobi.
Oblak Garmin — izposojena ura se sinhronizira v račun Garmin, ki pripada hotelu in nosi številko kompleta, ne imena gosta; strežniki Garmin so v ZDA. Podlaga je izrecno soglasje, dano za uro (člen 49(1)(a)).
Ponudnik modela — anonimiziran jutranji list (starost, spol in številke, brez imena, datuma rojstva in e-poštnega naslova), zdravnikovo sporočilo, ki ga je treba prevesti dobesedno, in fotografija krožnika, ko gost sam pritisne kamero.
In ena stvar, ki je ne moremo izbrisati
Portal nima oglasov in analitičnih sledilcev. Gostov brskalnik hrani samo žeton seje in izbrani jezik.
Dnevne zgodovine v računu Garmin pa ni mogoče izbrisati: Garmin te možnosti ne ponuja. Ti dnevi pri njem ostanejo po njegovih lastnih pogojih tudi potem, ko je naša kopija izbrisana. Portal iz takega računa bere samo dneve tistega bivanja, v katerem je bil komplet pri gostu — vendar je pošteneje to povedati, kot zamolčati.
Kako dolgo se kaj hrani
Rok je naveden posebej za vsako vrsto podatkov, izbris pa pomeni izbris vrstic iz baze, ne skrivanje iz vmesnika.
En zapis gosta namenoma preživi — obračunska vrstica za aktivno bivanje: povezava na račun se v njej izniči, tako da si mesec zapomni, da je bivanje bilo, vendar nikogar več ne imenuje (kako se šteje aktivni gost).
Kaj
Kako dolgo
Račun
dokler ga gost ne izbriše
Vprašalniki, poti, profil, pitna kura
3 leta po zadnji aktivnosti — ali do preklica soglasja
Dnevnik prehrane in fotografije jedi
ista 3 leta; fotografija se z diska izbriše skupaj z zapisom, ne le s seznama
Dnevna stanja z izposojene ure
ostanejo na kartici gosta med bivanji, ista 3 leta
Povezava za spremembo gesla
60 minut
Dnevniki strežnika
do 90 dni
Kaj model dela in česa ne odloča
Del besedil v portalu ubesedi model umetne inteligence: besedilo jutranjega pregleda, prevod zdravnikovega sporočila, ozadje razglednice s poti, oceno kalorij s fotografije krožnika.
Ne izračuna ravni tveganja, ne izbira območja srčnega utripa in ne spreminja programa — dobi to, kar je portal že izračunal. V portalu sploh ni avtomatizirane odločitve s pravnim učinkom (člen 22 GDPR).
Da je besedilo napisal model, je gostu povedano neposredno v obvestilu: to zahteva člen 50 uredbe EU o umetni inteligenci.
In glavno varovalo: nobena zahteva z osebnim besedilom ne gre ven, dokler superadmin ne potrdi, da je s ponudnikom sklenjena pogodba o obdelavi. Privzeto je stikalo izklopljeno — molk ni privolitev. Brezplačni paket za to ni primeren: po pogojih samega ponudnika se uči iz poslanega.
Kalorije s fotografije portal pokaže v razponu in jih dovoli popraviti: to je ocena po sliki, ne meritev.
Kaj prepove strežnik, ne vmesnik
Pogled skozi gostove oči je samo za branje. Zdravnik lahko odpre gostov račun, da vidi isto kot gost. Vsaka zahteva, ki kaj spremeni, se v taki seji zavrne že na vhodu v aplikacijo, pred obdelavo: obljuba, izpolnjena posebej na vsaki poti, zdrži do prve nove poti.
Vsak vstop se zapiše. Kdo iz osebja je odprl gostov račun in kdaj, je ena vrstica v dnevniku. Administrator sme v taki seji urejati, cena pa je povedana na glas: sprememba gre v imenu gosta, dnevnik pa si zapomni, v čigavo okno je treba pogledati.
Gost pride samo do svojih vrstic. Ločevanje vlog je narejeno na strežniku, ne skrito v meniju.
Gesla se ne hranijo. V bazi je hash PBKDF2, povezava za spremembo gesla pa samo kot SHA-256 kode. Ušla baza ne izda ne enega ne drugega.
Sprememba gesla prekliče že izdane ključe. Vsak žeton vsebuje generacijo seje: sprememba gesla, odjava v vseh napravah ali sprememba vloge takoj prekličejo že izdane žetone, namesto da bi čakali, da potečejo sami.
Kaj hotel uredi pred zagonom
Izpolniti podatke upravljavca. Dokler je vsaj eno polje še v kotnih oklepajih, portal obvestilo šteje za neobjavljivo in na to opozori v skrbniški plošči.
Navesti kanal za zahteve glede podatkov — in, če je imenovana pooblaščena oseba za varstvo podatkov (člen 37), njen naslov. Uredba ne zahteva objave imena te osebe, zahteva pa način za stik.
Navesti zdravnika po imenu. Gost, ki daje zdravstvene podatke, ima pravico vedeti, kdo jih bere, ne pa se zadovoljiti z besedami «zdravnik zdravilišča».
Skleniti pogodbo o obdelavi — s platformo, če se model vklopi, pa tudi z njegovim ponudnikom. Do potrditve je stikalo izklopljeno in osebna besedila ne odhajajo.
Uskladiti marketing s klasifikacijo. Obljuba zdravljenja na spletni strani hotela prečrta okvir «podpora življenjskemu slogu».
Ne pozabiti na starostno mejo. Portal je namenjen odraslim; računa se ne ustvari nikomur, mlajšemu od 16 let.
Poznati svoj nadzorni organ. V obvestilu je naveden z naslovom in spletno stranjo; za Češko je to Úřad pro ochranu osobních údajů.
Vprašanja in odgovori
Je portal medicinski pripomoček? Ne. Ne navaja medicinskega namena: ne postavlja diagnoz, ne predpisuje zdravljenja in ne obljublja terapevtskega rezultata. Številke zbira in prikazuje, odločitve pa sprejema zdravnik.
Kdo odgovarja gostu — hotel ali platforma? Hotel: on je upravljavec podatkov. Platforma je obdelovalec, ki dela po pogodbi in po navodilih hotela.
Ali je privolitev potrebna, če gost samo nosi uro? Da. Dnevna stanja so zdravstveni podatki, posebna kategorija po členu 9 GDPR. Portal zanje pridobi ločeno izrecno privolitev, preklicati pa jo je mogoče z enim klikom.
Ali podatki zapustijo EU? Strežnik je v EU. Izven nje gredo tri stvari in vse tri so navedene v pravilih: prijava prek Google, oblak Garmin pri izposojeni uri in razosebljeno besedilo, poslano modelu.
Ali se model uči iz podatkov gostov? Ne. Dokler pogodba o obdelavi podatkov s ponudnikom ni potrjena, osebno besedilo sploh ne odhaja, sama pogodba pa prepoveduje ponovno uporabo in učenje.
Kaj ostane, če gost izbriše vse? Iz baze izginejo noči, sprehodi, naročila, prehranski dnevnik in zapiski osebja o njem. Ostanejo hotelski zapisi o lastnem delu: dnevnik predaje kompletov in postavka na računu, ki ne navaja več nikogar.
