Вікі

Wellness & Lifestyle Intelligence і GDPR: правова рамка

Портал підтримує спосіб життя, а не ставить діагнози: лікування він не призначає. Дані про здоров’я обробляються за GDPR — за явною згодою гостя, на сервері в ЄС.

Updated 2026-10-11 · Sample procedures Luxury Spa & Medical Wellness Hotel Prezident

Коротко

• Клас. Wellness & Lifestyle Intelligence — це підтримка способу життя: портал збирає показники з годинника і ваги, показує їх гостю та лікарю і зберігає призначення лікаря. Діагнозів він не ставить і лікування не призначає.
• Хто відповідає за дані. Контролер — готель: у політиці порталу названі юридична особа, реєстраційні номери, адреса і лікар на ім’я. longev.eu — обробник: він підтримує код і сервер.
• У кожного готелю своя база. Код один, але в кожного готелю свій процес, свій каталог і своя база даних. Спільної таблиці гостей усіх готелів не існує.
• Згоди дві. Загальна — під час реєстрації, явна на дані про здоров’я — перед анкетою. Обидві записуються з номером версії політики: зараз це версія 1.7 від 17.08.2026, 12 розділів 36 мовами.
• Права — кнопками. Вивантаження всього одним файлом, вивантаження HL7 FHIR для системи клініки, відкликання згоди зі стиранням, видалення облікового запису. Без листа в готель і без очікування.
• Що виходить за межі ЄС. Три речі, і всі три названі прямо: вхід через Google, хмара Garmin у виданого годинника і знеособлений текст, переданий моделі.
• Строки. Дані про здоров’я — 3 роки після останньої активності, журнали сервера — до 90 днів, посилання на зміну пароля — 60 хвилин.
• Для кого цей документ. Для готелю, який обирає платформу, і для гостя, який хоче знати, що сталося з його показниками. Оновлено 23.08.2026.

Що означає Wellness & Lifestyle Intelligence

Wellness & Lifestyle Intelligence — це клас продукту, який підтримує спосіб життя: сон, рух, воду, їжу і процедури готелю. Він працює з тими самими показниками, що й медицина, але не заявляє медичного призначення і не обіцяє лікувального результату.

Що робить портал: приймає добові стани з годинника і зважування з ваги, порівнює їх із власним середнім гостя, показує картину гостю в обліковому записі і лікарю на панелі, зберігає і показує призначення, які зробив лікар.

Чого він не робить ніколи: не називає хворобу, не призначає ні ліки, ні дієту, не скасовує і не замінює призначення лікаря, не обіцяє, що процедура щось вилікує.

Різницю видно там, де алгоритм торкається плану. Безплатне і своє — прогулянку, сауну, включену в проживання, — портал змінює сам. Платну процедуру він лише пропонує перенести, а вирішує лікар (як це влаштовано).

Де проходить межа з медичним виробом

Програму робить медичним виробом не складність алгоритму, а призначення, яке їй дав виробник: діагностика, профілактика, спостереження, передбачення, прогноз, лікування або полегшення хвороби (Регламент (ЄС) 2017/745 про медичні вироби, стаття 2). Портал такого призначення не заявляє — і це не декларація, а 3 місця в самому продукті:

• Рівень ризику з анкети — це вибір маршруту прогулянки і коридору пульсу, а не діагноз. Юридичних наслідків він не породжує, і лікар може його перевизначити.
• Питний курс призначає головний лікар готелю після огляду. Портал його зберігає, показує і нагадує про прийом — сам призначити його він не може (докладніше).
• Нічний контур переносить процедуру, а не лікує. Пороги, за якими він це робить, визначені лікарями і відкриті (числа і правила).

Годинник — споживчий пристрій

Комплект готелю — звичайний Garmin Forerunner 165 Music і вага Garmin Index S2, куплені в магазині. Медичних функцій портал у них не бере: застосунок ЕКГ сам Garmin вмикає лише там, де його схвалено як медичний виріб, і годинник, куплений в іншій країні, може не мати його взагалі.

Пульс, його варіабельність, фази сну, дихання, насичення крові киснем — це показники побутового оптичного датчика на зап’ясті. Портал так їх і подає: як динаміку власного тіла гостя, а не як результат аналізу (що саме вимірює годинник).

Класифікація тримається не на рядку в документі, а на обіцянках. Маркетинг готелю, який скаже «поставимо діагноз за годинником» або «вилікуємо за тиждень», ламає цю рамку швидше за будь-яку правку в коді.

Хто за що відповідає

Ролі в GDPR розподілені так, і цей розподіл важливіший за будь-які слова про партнерство: перед гостем і перед наглядовим органом відповідає готель.

Чому в кожного готелю своя база даних

Платформа не є мультитенантною у звичному сенсі: гостей різних готелів не розділяє стовпець у спільній таблиці. У кожного готелю свій процес на сервері, свій каталог і своя база даних, а код у всіх той самий.

Різниця практична. Помилка в запиті не може показати одному готелю гостей іншого — їх просто немає в його базі. Готель, який іде, забирає свій файл цілком, а не вибірку зі спільного сховища.

Дві згоди і версія політики

Дані про здоров’я — особлива категорія (стаття 9 GDPR), і «погоджуюся з умовами» під час реєстрації для них юридично недостатньо. Тому згоди дві: загальна під час реєстрації і явна — на обробку даних про здоров’я, перед анкетою.

Порядок тримає сервер, а не інтерфейс: запит на другу згоду, якщо політику ще не прийнято, відхиляється.

Обидві згоди зберігаються разом із номером версії політики і часом. Версія зростає, коли змінюється зміст, а не друкарська помилка, — і тоді портал знову запитує всіх у вікні поверх будь-якого екрана.

Так уже було 3 рази: версія 1.5 додала ваги в номері і склад тіла, 1.6 назвала модель ШІ і 3 виходи даних з ЄЕЗ, 1.7 — щоденник харчування і знімок тарілки. Щоразу гостей запитували знову.

Політика порталу окрема від політики готелю і охоплює тільки портал: Обліковий запис, анкету, прогулянки і годинник. Бронювання номера і розсилка готелю описані в його власній політиці.

×

Права гостя — кнопками, а не листом

Право, яке обіцяне, але виконується листом до готелю, на практиці не виконується. Тому в «Обліковому записі» є блок «Мої дані», а в ньому 4 кнопки.

• Вивантаження — усе, що портал зберігає про гостя, одним машиночитаним файлом: анкети, маршрути з точками треку, ночі, тести, призначення, профіль (стаття 20 — право на перенесення даних).
• Вивантаження HL7 FHIR — ті самі числа мовою медичних систем, у форматі FHIR R4: пацієнт і спостереження. Такий файл читає система клініки, а не лише людина.
• Відкликання згоди — за замовчуванням разом зі стиранням: зберігати дані про здоров’я після відкликаної згоди вже не буде на чому.
• Видалення облікового запису (стаття 17) — із підтвердженням: гість вводить свою адресу електронної пошти, інакше кнопка не спрацює.

×

Чого кнопки не роблять

Обліковий запис співробітника цими кнопками не видалити. Під підписом лікаря стоять призначення і ранкові листи інших людей, тому такий запис прибирає адміністратор — щоб підпис не відпав мовчки.

Стирання різної глибини і те, що переживає видалення, розібрані в статті Персональні дані: там само пояснено, чому журнал видачі комплектів залишається, а нотатки персоналу про гостя зникають.

Де лежать дані і що йде назовні

Сервер стоїть у Європейському Союзі; країна дата-центру названа в політиці конкретного готелю. Дані залишають його рівно у 3 випадках, і всі 3 перелічені в політиці поіменно:

• Вхід через Google — лише якщо гість сам обрав ці двері, і лише сам вхід: адреса електронної пошти, ім’я та ідентифікатор облікового запису. Пароль Google портал не отримує ніколи.
• Хмара Garmin — виданий годинник синхронізується в обліковий запис Garmin, який належить готелю і має номер комплекту, а не ім’я гостя; сервери Garmin стоять у США. Підстава — явна згода, надана на годинник (стаття 49(1)(a)).
• Провайдер моделі — знеособлений ранковий лист (вік, стать і числа, без імені, дати народження та адреси електронної пошти), повідомлення лікаря, яке треба перекласти дослівно, і знімок тарілки, коли гість сам натиснув камеру.

І одна річ, яку ми не можемо стерти

Реклами й аналітичних лічильників у порталі немає. Браузер гостя тримає лише токен сесії та вибрану мову.

А от добову історію з облікового запису Garmin видалити не можна: Garmin такої можливості не дає. Ці дні залишаються в нього за його власними умовами навіть після того, як нашу копію стерто. Портал читає з такого запису лише дні того перебування, під час якого комплект був у гостя, — але сказати про це чесніше, ніж промовчати.

Скільки що зберігається

Строк названо для кожного виду даних окремо, і видалення тут означає видалення рядків із бази, а не приховування їх в інтерфейсі.

Один запис навмисно переживає гостя — рядок виставлення рахунків за активне перебування: його зв’язок з обліковим записом обнулено, тому місяць запам’ятовує, що перебування відбулося, але більше нікого не називає (контракти, виставлені рахунки за перебування).

Що робить модель і чого вона не вирішує

Частину текстів у порталі формулює модель штучного інтелекту: текст ранкового листа, переклад повідомлення від лікаря, тло листівки з прогулянки, оцінку калорій за фото тарілки.

Вона не рахує рівень ризику, не обирає пульсову зону і не змінює програму — їй передають те, що портал уже порахував. Автоматизованого рішення з юридичним наслідком (стаття 22 GDPR) у порталі немає взагалі.

Про те, що текст написала модель, гостю прямо сказано в політиці: цього вимагає стаття 50 регламенту ЄС про штучний інтелект.

І головний запобіжник: жоден запит з особистим текстом не піде, поки супер-адмін не підтвердить, що з провайдером укладено договір про обробку. За замовчуванням перемикач вимкнений — мовчання не є згодою. Безкоштовний тариф для цього не підходить: за умовами самого провайдера він навчається на надісланому.

Калорії за фотографією портал показує діапазоном і дозволяє виправити: це оцінка за зображенням, а не вимірювання.

Що забороняє сервер, а не інтерфейс

• Погляд очима гостя — лише читання. Лікар може відкрити кабінет гостя, щоб побачити те саме, що бачить гість. Будь-який запит, що щось змінює, у такій сесії відхиляється на вході в застосунок, ще до обробника: обіцянка, виконана окремо в кожному маршруті, живе до першого нового маршруту.
• Кожен вхід записаний. Хто з персоналу і коли відкривав кабінет гостя, — це окремий рядок у журналі. Адміну в такій сесії дозволено вносити зміни, і ціну цього названо прямо: правка йде від імені гостя, а журнал пам’ятає, у чиє вікно дивитися.
• Гість має доступ лише до своїх рядків. Розмежування ролей зроблено на сервері, а не заховано в меню.
• Паролі не зберігаються. У базі лежить хеш PBKDF2, а посилання для зміни пароля — лише як SHA-256 від коду. База, що витекла, не видає ні одного, ні другого.
• Зміна пароля гасить уже видані ключі. У кожному токені записано покоління сесій: зміна пароля, вихід на всіх пристроях або зміна ролі вбивають уже видані ключі, а не чекають, поки ті самі спливуть.

Що готель робить до запуску

• Заповнити реквізити контролера. Поки хоча б одне поле стоїть у кутових дужках, портал вважає політику непридатною до публікації і попереджає про це в панелі адміністратора.
• Назвати канал для запитів щодо даних — і, якщо призначено фахівця із захисту даних (стаття 37), його адресу. Публікувати ім’я фахівця регламент не вимагає, а спосіб зв’язку — вимагає.
• Назвати лікаря поіменно. Гість, який передає дані про здоров’я, має право знати, хто їх читає, а не задовольнятися формулюванням «лікар курорту».
• Укласти договір про обробку — з платформою, а якщо вмикається модель, то і з її провайдером. До підтвердження перемикач вимкнений і особисті тексти не йдуть.
• Звірити маркетинг із класифікацією. Обіцянка лікування на сайті готелю перекреслює рамку «підтримка способу життя».
• Пам’ятати про віковий поріг. Портал розрахований на дорослих; обліковий запис людині молодшій за 16 років не створюють.
• Знати свій наглядовий орган. Його названо в політиці з адресою і сайтом; для Чехії це Úřad pro ochranu osobních údajů.

Питання і відповіді

• Портал — медичний виріб? Ні. Він не заявляє медичного призначення: не ставить діагнозів, не призначає лікування і не обіцяє лікувального результату. Числа він збирає і показує, рішення приймає лікар.
• Хто відповідає перед гостем — готель чи платформа? Готель: він є контролером даних. Платформа — обробник, вона працює за договором і за вказівками готелю.
• Чи потрібна згода, якщо гість просто носить годинник? Так. Добові стани — це дані про здоров’я, особлива категорія за статтею 9 GDPR. Портал бере на них окрему явну згоду, і відкликати її можна в один клік.
• Дані виходять за межі ЄС? Сервер розміщений у ЄС. Назовні йдуть 3 речі, і всі 3 названі в політиці: вхід через Google, хмара Garmin у виданого годинника та знеособлений текст, переданий моделі.
• Чи навчається модель на даних гостей? Ні. Поки договір про обробку даних із провайдером не підтверджено, особистий текст узагалі не передається, а сам договір забороняє повторне використання й навчання.
• Що залишиться, якщо гість видалить усе? Із бази підуть ночі, прогулянки, призначення, щоденник харчування та нотатки персоналу про нього. Залишаться записи готелю про себе: журнал видачі комплектів і рядок рахунку, який уже нікого не називає.

Джерела

Регламент (ЄС) 2016/679 — GDPR · Регламент (ЄС) 2017/745 про медичні вироби · Регламент (ЄС) 2024/1689 про штучний інтелект · Úřad pro ochranu osobních údajů

Далі за темою

Персональні дані: 2 згоди, вивантаження і видалення — ті самі права з боку гостя, кнопка за кнопкою.

Як платформа призначає процедури — де алгоритм зупиняється і починається лікар.

Ціноутворення: Програма та комплекти — що включає запуск і як розраховується ціна.

Що вимірює годинник — які саме числа надходять із зап’ястя.

Рецепція: робота із застосунками — чому комплект стирають перед видачею наступному.

Повна політика порталу відкрита без входу, на сторінці приватності.