Wiki

Wellness & Lifestyle Intelligence och GDPR: rättslig ram

Portalen stödjer levnadssättet och ställer inga diagnoser: den ordinerar ingen behandling. Hälsodata behandlas enligt GDPR — med gästens uttryckliga samtycke, på en server i EU.

Updated 2026-08-28 · Sample procedures Luxury Spa & Medical Wellness Hotel Prezident

Kort sagt

• Klassen. Wellness & Lifestyle Intelligence är stöd för levnadssättet: portalen samlar in siffror från klockan och vågen, visar dem för gästen och läkaren och lagrar läkarens ordinationer. Den ställer inga diagnoser och ordinerar ingen behandling.
• Vem som ansvarar för uppgifterna. Personuppgiftsansvarig är hotellet: i portalens policy anges den juridiska personen, registreringsnummer, adress och läkaren med namn. longev.eu är personuppgiftsbiträde: där finns koden och servern.
• Varje hotell har sin egen databas. Koden är densamma, men varje hotell har sin egen process, sin egen katalog och sin egen databas. Det finns ingen gemensam tabell med gäster från alla hotell.
• Det finns två samtycken. Ett allmänt vid registrering och ett uttryckligt för hälsodata före frågeformuläret. Båda registreras med policyns versionsnummer: just nu version 1.7 från 17.08.2026, tolv avsnitt på 36 språk.
• Rättigheterna finns som knappar. Export av allt i en fil, export i HL7 FHIR för klinikens system, återkallelse av samtycke med radering och borttagning av kontot. Utan brev till hotellet och utan väntetid.
• Vad som lämnar EU. Tre saker, och alla tre nämns uttryckligen: inloggning via Google, Garmin-molnet bakom den utlånade klockan och avidentifierad text som lämnas till modellen.
• Tiderna. Hälsodata — 3 år efter den senaste aktiviteten, serverloggar — upp till 90 dagar, länk för lösenordsbyte — 60 minuter.
• Vem dokumentet är till för. För hotellet som väljer plattform och för gästen som vill veta vad som hände med deras siffror. Uppdaterad 23.08.2026.

Vad Wellness & Lifestyle Intelligence betyder

Wellness & Lifestyle Intelligence är en produktklass som stödjer levnadssättet: sömn, rörelse, vatten, mat och hotellets behandlingar. Den arbetar med samma siffror som vården, men anger inget medicinskt syfte och lovar inget behandlingsresultat.

Det portalen gör är att ta emot dygnsvärden från klockan och vägningar från vågen, jämföra dem med gästens eget medelvärde, visa bilden för gästen i kontot och för läkaren på instrumentpanelen samt lagra och visa de ordinationer som läkaren har gjort.

Det den aldrig gör är att ange en sjukdom, ordinera vare sig läkemedel eller diet, upphäva eller ersätta en läkares ordination eller lova att en behandling botar något.

Skillnaden syns där algoritmen rör planen. Det som är gratis och vårt eget — en promenadrutt, en bastu som ingår i vistelsen — flyttar portalen själv. En betald behandling föreslår den bara att flytta, och läkaren avgör (hur det fungerar).

Var gränsen går mot medicinteknisk produkt

Det som gör ett program till en medicinteknisk produkt är inte hur avancerad algoritmen är, utan vilket syfte tillverkaren har gett den: diagnos, prevention, övervakning, prediktion, prognos, behandling eller lindring av sjukdom (förordning (EU) 2017/745 om medicintekniska produkter, artikel 2). Portalen anger inget sådant syfte — och det syns inte bara i en deklaration utan på tre ställen i själva produkten:

• Risknivån från frågeformuläret väljer en promenadrutt och en pulskorridor, inte en diagnos. Den får inga rättsliga följder, och läkaren kan ändra den.
• Dryckeskuren ordineras av hotellets chefsöverläkare efter undersökning. Portalen lagrar den, visar den och påminner om intaget — den kan inte ordinera den själv (mer om detta).
• Nattkretsen flyttar en behandling, den behandlar inte. Trösklarna som den gör det efter är satta av läkarna och öppet redovisade (siffrorna och reglerna).

Klockan är en konsumentenhet

Hotellets kit är en vanlig Garmin Forerunner 165 Music och en vanlig Garmin Index S2-våg, köpta i butik. Portalen använder inga av deras medicinska funktioner: Garmin aktiverar själv EKG-appen bara där den är godkänd som medicinteknisk produkt, och en klocka som köpts i ett annat land kan sakna den helt.

Puls, pulsvariation, sömnfaser, andning och blodets syremättnad är avläsningar från en optisk konsumentsensor på handleden. Portalen visar dem också så: som förändringar i gästens egen kropp, inte som resultatet av en analys (vad klockan faktiskt mäter).

Klassificeringen hålls uppe av löften, inte av en rad i ett dokument. Marknadsföring från hotellet som säger «vi ställer diagnos med klockan» eller «vi botar dig på en vecka» bryter ramen snabbare än någon ändring i koden.

Vem som ansvarar för vad

Rollerna i GDPR är fördelade så här, och den fördelningen är viktigare än alla formuleringar om partnerskap: det är hotellet som ansvarar inför gästen och tillsynsmyndigheten.

Varför varje hotell har en egen databas

Plattformen är inte multitenant i vanlig mening: gäster från olika hotell hålls inte isär med en kolumn i en gemensam tabell. Varje hotell har sin egen process på servern, sin egen katalog och sin egen databas, medan koden är densamma för alla.

Skillnaden är praktisk. Ett fel i en fråga kan inte visa ett hotell gäster från ett annat — de finns helt enkelt inte i dess databas. Ett hotell som lämnar tar med sig hela sin fil, inte ett urval ur ett gemensamt lager.

Två samtycken och policyversionen

Hälsouppgifter är en särskild kategori enligt artikel 9 i GDPR, och «jag godkänner villkoren» vid registrering räcker juridiskt inte för dem. Därför finns det två samtycken: ett allmänt vid registreringen och ett uttryckligt för behandling av hälsouppgifter före enkäten.

Det är servern, inte gränssnittet, som håller ordningen: en begäran om det andra samtycket avslås om policyn ännu inte har godkänts.

Båda samtyckena sparas tillsammans med policyversionens nummer och tidpunkten. Versionen höjs när innebörden ändras, inte vid ett stavfel — och då frågar portalen alla på nytt i ett fönster ovanpå vilken skärm som helst.

Det har redan hänt 3 gånger: version 1.5 lade till vågen på rummet och kroppssammansättning, 1.6 angav AI-modellen och 3 överföringar av uppgifter ut ur EES, 1.7 matdagboken och ett foto av tallriken. Varje gång fick gästerna frågan på nytt.

Portalens policy är skild från hotellets och gäller bara portalen: Kontot, enkäten, hälsorutterna och klockan. Rumsbokning och hotellets utskick ligger i hotellets egen policy.

×

Gästens rättigheter finns som knappar, inte som e-post

En rättighet som utlovas men kräver att man skriver till hotellet blir i praktiken inte utförd. Därför finns blocket «Mina uppgifter» i «Konto», med fyra knappar.

• Export — allt som portalen har om gästen i en maskinläsbar fil: frågeformulär, promenader med spårpunkter, nätter, tester, ordinationer och profil (artikel 20 — rätten till dataportabilitet).
• HL7 FHIR-export — samma värden på medicinska systems språk, i FHIR R4: patient och observationer. En sådan fil kan läsas av klinikens system, inte bara av en människa.
• Återkalla samtycke — som standard tillsammans med radering: utan samtycke finns ingen grund för att behålla hälsodata.
• Radera konto (artikel 17) — med bekräftelse: gästen skriver in sin egen e-postadress, annars fungerar inte knappen.

×

Vad knapparna inte gör

Ett personalkonto kan inte raderas med de här knapparna. En läkares signatur står under andra personers ordinationer och morgonblad, så ett sådant konto tas bort av en administratör — så att signaturen inte försvinner tyst.

De två nivåerna av radering och det som finns kvar efter en radering beskrivs i artikeln Personuppgifter: där förklaras också varför journalen över utlämnade kit blir kvar medan personalens anteckningar om gästen försvinner.

Var uppgifterna finns och vad som lämnar systemet

Servern står i Europeiska unionen, och vilket land datacentret ligger i anges i det enskilda hotellets policy. Uppgifter lämnar den bara i 3 fall, och alla 3 står med namn i policyn:

• Inloggning med Google — bara om gästen själv valde den vägen, och bara för själva inloggningen: e-postadress, namn och kontoidentifierare. Google-lösenordet når aldrig portalen.
• Garmin-molnet — utlånade klockor synkroniseras till ett Garmin-konto som tillhör hotellet och har kitnumret i stället för gästens namn. Garmins servrar står i USA. Grunden är det uttryckliga samtycke som gavs för klockan (artikel 49(1)(a)).
• Modellens leverantör — det avidentifierade morgonbladet (ålder, kön och värden, utan namn, födelsedatum eller e-postadress), ett meddelande från läkaren som ska översättas ordagrant och en bild av tallriken när gästen själv har tryckt på kameran.

Och en sak som vi inte kan radera

Portalen har varken reklam eller analysräknare. Gästens webbläsare lagrar bara sessionstoken och valt språk.

Däremot går det inte att radera dygnshistoriken i ett Garmin-konto: Garmin ger inte den möjligheten. De dagarna ligger kvar hos Garmin enligt Garmins egna villkor även efter att vår kopia har raderats. Portalen läser bara dagarna från den vistelse då gästen hade det kitet — men det är ärligare att säga det än att tiga om det.

Hur länge olika uppgifter sparas

Varje typ av uppgift har sin egen lagringstid, och radering betyder att rader tas bort ur databasen, inte att de bara döljs i gränssnittet.

En post finns medvetet kvar efter gästen — fakturaraden för en aktiv vistelse: länken till kontot nollställs, så månaden minns att vistelsen fanns men namnger inte längre någon (hur en aktiv gäst räknas).

Vad modellen gör och vad den aldrig avgör

En del av portalens texter formuleras av en modell för artificiell intelligens: texten i morgonbladet, översättningen av ett meddelande från läkaren, bakgrunden på ett vykort från en hälsorutt och uppskattningen av kalorier från en bild av tallriken.

Den räknar inte ut risknivån, väljer inte pulszon och ändrar inte programmet — den får det som portalen redan har räknat fram. Något automatiserat beslut med rättslig verkan (artikel 22 GDPR) finns inte alls i portalen.

Att en text har skrivits av en modell sägs direkt till gästen i policyn: det kräver artikel 50 i EU:s förordning om artificiell intelligens.

Och den viktigaste spärren: ingen begäran med personlig text skickas iväg förrän superadmin har bekräftat att det finns ett personuppgiftsbiträdesavtal med leverantören. Reglaget är avstängt som standard — tystnad är inte samtycke. En gratistjänst duger inte här: enligt leverantörens egna villkor lär den sig av det som skickas in.

Kalorier från ett foto visar portalen som ett intervall och låter dig rätta: det är en uppskattning från en bild, inte en mätning.

Vad servern förbjuder, inte gränssnittet

• Att se med gästens ögon är bara läsning. En läkare kan öppna gästens konto för att se exakt det som gästen ser. Varje begäran som ändrar något stoppas redan vid ingången till appen, före vidare hantering: ett löfte som hålls rutt för rutt lever bara till den första nya rutten.
• Varje inloggning loggas. Vem i personalen som öppnade gästens konto, och när, blir en rad i loggen. En administratör får ändra i en sådan session, och priset sägs öppet: ändringen går iväg i gästens namn, och loggen minns i vems fönster man ska titta.
• Gästen kommer bara åt sina egna rader. Rollerna skiljs åt på servern, inte genom att gömmas i en meny.
• Lösenord lagras inte. I databasen finns en PBKDF2-hash, och länken för att byta lösenord bara som en SHA-256 av koden. En läckt databas lämnar inte ut något av dem.
• Ett lösenordsbyte släcker redan utfärdade nycklar. I varje token finns en generationsmarkering för sessioner: ett lösenordsbyte, utloggning på alla enheter eller en ändring av rollen dödar nycklar som redan har delats ut, i stället för att vänta på att de ska löpa ut själva.

Vad hotellet gör före start

• Fyll i den personuppgiftsansvariges uppgifter. Så länge minst ett fält fortfarande står inom vinkelparenteser räknar portalen policyn som opublicerbar och varnar om det i administratörens panel.
• Ange en kanal för dataförfrågningar — och, om ett dataskyddsombud har utsetts (artikel 37), dess adress. Förordningen kräver inte att ombudets namn publiceras, men väl ett sätt att nå det.
• Nämn läkaren vid namn. En gäst som lämnar ut hälsodata har rätt att veta vem som läser dem, och inte nöja sig med formuleringen «kurortsläkaren».
• Teckna personuppgiftsbiträdesavtal — med plattformen och, om modellen slås på, också med dess leverantör. Tills det är bekräftat är reglaget avstängt och inga personliga texter skickas iväg.
• Stäm av marknadsföringen mot klassificeringen. Ett löfte om behandling på hotellets webbplats stryker ramen «livsstilsstöd».
• Kom ihåg åldersgränsen. Portalen är gjord för vuxna; något konto skapas inte för den som är under 16.
• Känn till din tillsynsmyndighet. Den anges i policyn med adress och webbplats; för Tjeckien är det Úřad pro ochranu osobních údajů.

Frågor och svar

• Är portalen en medicinteknisk produkt? Nej. Den gör inget medicinskt anspråk: den ställer inga diagnoser, ordinerar ingen behandling och lovar inget behandlingsresultat. Den samlar in siffror och visar dem; läkaren fattar besluten.
• Vem ansvarar inför gästen — hotellet eller plattformen? Hotellet: det är personuppgiftsansvarig. Plattformen är personuppgiftsbiträde och arbetar enligt avtal och på hotellets instruktioner.
• Behövs samtycke om gästen bara bär klockan? Ja. Dagliga tillstånd är hälsodata, en särskild kategori enligt artikel 9 GDPR. Portalen tar in ett separat uttryckligt samtycke för dem, och det kan återkallas med ett klick.
• Lämnar data EU? Servern finns i EU. Tre saker går utanför, och alla tre står i policyn: inloggning via Google, Garmin-molnet bakom de utlånade klockorna och avidentifierad text som lämnas till modellen.
• Lär sig modellen av gästernas data? Nej. Tills personuppgiftsbiträdesavtalet med leverantören är bekräftat skickas ingen personlig text ut alls, och avtalet förbjuder i sig återanvändning och träning.
• Vad blir kvar om en gäst raderar allt? Nätter, promenader, ordinationer, kostdagbok och personalens anteckningar om gästen försvinner ur databasen. Kvar blir hotellets egna uppgifter om sig självt: journalen över utlämnade kit och en fakturarad som inte längre nämner någon.

Källor

Förordning (EU) 2016/679 — GDPR · Förordning (EU) 2017/745 om medicintekniska produkter · Förordning (EU) 2024/1689 om artificiell intelligens · Úřad pro ochranu osobních údajů

Vidare läsning

Personuppgifter: två samtycken, export och radering — samma rättigheter från gästens sida, knapp för knapp.

Hur plattformen tilldelar behandlingar — var algoritmen stannar och läkaren tar vid.

Priser: Setup, Base och Active Guest — vad som ingår i starten och hur en aktiv gäst räknas.

Vad klockan mäter — vilka siffror som faktiskt kommer från handleden.

Reception: arbete med apparna — varför ett kit raderas innan det lämnas ut till nästa gäst.

Portalens fullständiga policy är öppen utan inloggning på integritetssidan.