Wiki

Wellness & Lifestyle Intelligence và GDPR: khung pháp lý

Cổng thông tin hỗ trợ lối sống, không chẩn đoán và không chỉ định điều trị. Dữ liệu sức khỏe được xử lý theo GDPR — trên cơ sở sự đồng ý rõ ràng của khách, trên máy chủ tại EU.

Updated 2026-08-28 · Sample procedures Luxury Spa & Medical Wellness Hotel Prezident

Tóm tắt

• Phân loại. Wellness & Lifestyle Intelligence là công cụ hỗ trợ lối sống: cổng thông tin thu thập các chỉ số từ đồng hồ và cân, hiển thị cho khách và bác sĩ, đồng thời lưu các chỉ định của bác sĩ. Hệ thống không chẩn đoán và không tự chỉ định điều trị.
• Ai chịu trách nhiệm về dữ liệu. Bên kiểm soát dữ liệu là khách sạn: trong chính sách của cổng thông tin có nêu pháp nhân, số đăng ký, địa chỉ và tên bác sĩ. longev.eu là bên xử lý dữ liệu: đơn vị này vận hành mã nguồn và máy chủ.
• Mỗi khách sạn có cơ sở dữ liệu riêng. Mã nguồn là một, nhưng mỗi khách sạn có tiến trình riêng, thư mục riêng và cơ sở dữ liệu riêng. Không có bảng chung chứa khách của tất cả khách sạn.
• Có 2 lần đồng ý. Một lần là đồng ý chung khi đăng ký, một lần là đồng ý rõ ràng cho dữ liệu sức khỏe trước khi làm bảng hỏi. Cả hai đều được ghi lại kèm số phiên bản chính sách: hiện là phiên bản 1.7 ngày 17.08.2026, gồm 12 phần bằng 36 ngôn ngữ.
• Các quyền đều có nút riêng. Xuất toàn bộ dữ liệu thành 1 tệp, xuất HL7 FHIR cho hệ thống của phòng khám, rút lại sự đồng ý kèm xóa dữ liệu, xóa «Tài khoản». Không cần gửi thư cho khách sạn và không phải chờ.
• Những gì ra ngoài EU. Có 3 mục, và cả 3 đều được nêu rõ: đăng nhập qua Google, đám mây Garmin của đồng hồ được cấp, và văn bản đã khử định danh được gửi cho mô hình.
• Thời hạn. Dữ liệu sức khỏe được giữ 3 năm sau hoạt động cuối cùng, nhật ký máy chủ tối đa 90 ngày, liên kết đổi mật khẩu là 60 phút.
• Tài liệu này dành cho ai. Dành cho khách sạn đang chọn nền tảng và cho khách muốn biết các chỉ số của mình đã được xử lý ra sao. Cập nhật ngày 23.08.2026.

Wellness & Lifestyle Intelligence là gì

Wellness & Lifestyle Intelligence là một nhóm sản phẩm hỗ trợ lối sống: giấc ngủ, vận động, nước, ăn uống và các trị liệu của khách sạn. Hệ thống làm việc với cùng các chỉ số mà y khoa cũng dùng, nhưng không tuyên bố mục đích y tế và không hứa hẹn kết quả điều trị.

Cổng thông tin làm những việc sau: nhận trạng thái hằng ngày từ đồng hồ và các lần cân từ cân, so sánh với mức trung bình riêng của khách, hiển thị bức tranh tổng thể cho khách trong «Tài khoản» và cho bác sĩ trên «Bảng điều khiển», đồng thời lưu và hiển thị các chỉ định do bác sĩ đưa ra.

Có những việc hệ thống tuyệt đối không làm: không nêu tên bệnh, không chỉ định thuốc hay chế độ ăn, không hủy hoặc thay thế chỉ định của bác sĩ, và không hứa rằng một trị liệu sẽ chữa khỏi bệnh.

Khác biệt này thấy rõ khi thuật toán tác động vào kế hoạch. Với dịch vụ miễn phí và do khách sạn tự tổ chức — như một tuyến đi bộ trị liệu hay buổi sauna đã bao gồm trong lưu trú — cổng thông tin tự điều chỉnh. Với trị liệu có tính phí, hệ thống chỉ đề xuất dời lịch, còn bác sĩ là người quyết định (cách hoạt động).

Ranh giới với thiết bị y tế nằm ở đâu

Một phần mềm được xem là thiết bị y tế không phải vì thuật toán phức tạp đến đâu, mà vì mục đích mà nhà sản xuất gán cho nó: chẩn đoán, phòng ngừa, theo dõi, dự đoán, tiên lượng, điều trị hoặc làm giảm bệnh (Quy định (EU) 2017/745 về thiết bị y tế, Điều 2). Cổng thông tin không tuyên bố mục đích như vậy — và điều này không chỉ nằm trên giấy, mà thể hiện ngay ở 3 chỗ trong chính sản phẩm:

• Mức rủi ro từ bảng hỏi dùng để chọn lộ trình đi bộ trị liệu và khoảng nhịp tim, không phải để chẩn đoán. Nó không tạo ra hệ quả pháp lý, và bác sĩ có thể ghi đè.
• Liệu trình uống nước khoáng do bác sĩ trưởng của khách sạn chỉ định sau khi thăm khám. Cổng thông tin chỉ lưu, hiển thị và nhắc giờ dùng — hệ thống không thể tự chỉ định (xem thêm).
• Vòng đêm dời lịch trị liệu, không phải để điều trị. Các ngưỡng dùng để dời lịch là do bác sĩ đặt ra và được công khai (các con số và quy tắc).

Đồng hồ là thiết bị tiêu dùng

Bộ thiết bị của khách sạn gồm Garmin Forerunner 165 Music và cân Garmin Index S2 thông thường, mua tại cửa hàng. Cổng thông tin không lấy các chức năng y tế của chúng: ứng dụng ECG chỉ được Garmin bật ở những nơi nó đã được phê duyệt là thiết bị y tế, và đồng hồ mua ở nước khác có thể hoàn toàn không có ứng dụng này.

Nhịp tim, độ biến thiên, các giai đoạn ngủ, nhịp thở và độ bão hòa oxy trong máu là số đo từ cảm biến quang học dân dụng trên cổ tay. Cổng thông tin cũng trình bày đúng như vậy: như diễn biến của chính cơ thể khách, không phải như kết quả xét nghiệm (đồng hồ thực sự đo gì).

Phân loại này được giữ bằng những gì người ta hứa, không phải bằng một dòng trong tài liệu. Nếu phần quảng bá của khách sạn nói «chúng tôi sẽ chẩn đoán qua đồng hồ» hoặc «chúng tôi sẽ chữa khỏi trong 1 tuần», thì khung pháp lý sẽ bị phá vỡ nhanh hơn bất kỳ chỉnh sửa nào trong mã nguồn.

Ai chịu trách nhiệm việc gì

Các vai trò theo GDPR được phân chia như sau, và cách phân chia này quan trọng hơn mọi cách gọi là đối tác: trước khách và trước cơ quan giám sát, bên chịu trách nhiệm là khách sạn.

Vì sao mỗi khách sạn có cơ sở dữ liệu riêng

Nền tảng này không phải kiểu đa bên thuê theo nghĩa thường thấy: khách của các khách sạn khác nhau không được tách nhau bằng một cột trong cùng một bảng chung. Mỗi khách sạn có tiến trình riêng trên máy chủ, thư mục riêng và cơ sở dữ liệu riêng, còn mã nguồn thì giống nhau.

Khác biệt này có ý nghĩa thực tế. Một lỗi trong truy vấn không thể làm một khách sạn thấy khách của khách sạn khác, vì đơn giản là dữ liệu đó không có trong cơ sở dữ liệu của họ. Khách sạn rời hệ thống sẽ lấy toàn bộ tệp của mình, không phải một phần trích ra từ kho dùng chung.

Hai lần đồng ý và phiên bản chính sách

Dữ liệu sức khỏe là nhóm dữ liệu đặc biệt (Điều 9 GDPR), và câu «Tôi đồng ý với điều khoản» khi đăng ký là chưa đủ về mặt pháp lý cho nhóm này. Vì vậy có 2 lần đồng ý: một lần chung khi đăng ký và một lần đồng ý rõ ràng cho việc xử lý dữ liệu sức khỏe, trước bảng câu hỏi.

Thứ tự này do máy chủ kiểm soát, không phải giao diện: nếu chính sách vẫn chưa được chấp nhận thì yêu cầu cho lần đồng ý thứ 2 sẽ bị từ chối.

Cả 2 lần đồng ý đều được lưu вместе với số phiên bản của chính sách và thời điểm. Phiên bản chỉ tăng khi nội dung thay đổi về ý nghĩa, không phải vì lỗi gõ — và khi đó cổng thông tin sẽ hỏi lại tất cả mọi người bằng một cửa sổ hiện đè lên mọi màn hình.

Việc này đã xảy ra 3 lần: phiên bản 1.5 thêm cân trong phòng và thành phần cơ thể, 1.6 nêu tên mô hình AI và 3 lần dữ liệu ra khỏi EEA, 1.7 thêm nhật ký dinh dưỡng và ảnh chụp đĩa thức ăn. Mỗi lần như vậy, khách đều được hỏi lại.

Chính sách của cổng thông tin tách riêng với chính sách của khách sạn và chỉ áp dụng cho cổng thông tin: Tài khoản, bảng câu hỏi, các tuyến đi bộ và Đồng hồ. Việc đặt phòng và thư gửi của khách sạn nằm trong chính sách riêng của khách sạn.

×

Quyền của khách nằm ở các nút bấm, không phải ở e-mail

Một quyền mà được hứa có, nhưng lại phải viết thư cho khách sạn mới thực hiện, thì trên thực tế là không thực hiện được. Vì vậy trong «Tài khoản» có khối «Dữ liệu của tôi», và trong đó có 4 nút.

• Xuất dữ liệu — toàn bộ những gì cổng thông tin lưu về khách, trong 1 tệp máy có thể đọc được: bảng hỏi, các tuyến đi bộ với điểm trên lộ trình, các đêm ngủ, bài kiểm tra, chỉ định, hồ sơ (Điều 20 — quyền chuyển dữ liệu).
• Xuất HL7 FHIR — cũng là các số đó, nhưng theo ngôn ngữ của hệ thống y tế, ở định dạng FHIR R4: bệnh nhân và các quan sát. Tệp này hệ thống của phòng khám có thể đọc được, không chỉ con người.
• Rút lại sự đồng ý — mặc định đi cùng với việc xóa: khi sự đồng ý đã bị rút lại thì không còn cơ sở nào để giữ dữ liệu sức khỏe nữa.
• Xóa Tài khoản (Điều 17) — có bước xác nhận: khách phải nhập địa chỉ e-mail của mình, nếu không thì nút sẽ không hoạt động.

×

Những việc các nút không làm

Không thể xóa tài khoản nhân viên bằng các nút này. Chữ ký của bác sĩ nằm dưới chỉ định và phiếu buổi sáng của người khác, nên tài khoản như vậy do quản trị viên gỡ bỏ — để chữ ký không tự tách ra mà không ai biết.

Mức độ xóa khác nhau và những gì vẫn còn sau khi xóa được giải thích trong bài Dữ liệu cá nhân của bạn: ở đó cũng nói rõ vì sao sổ giao комплект vẫn được giữ lại, còn ghi chú của nhân viên về khách thì bị xóa.

Dữ liệu nằm ở đâu và những gì đi ra ngoài

Máy chủ đặt trong Liên minh châu Âu; quốc gia của trung tâm dữ liệu được nêu rõ trong chính sách của từng khách sạn. Dữ liệu chỉ rời khỏi đó trong đúng 3 trường hợp, và cả 3 đều được liệt kê đích danh trong chính sách:

• Đăng nhập bằng Google — chỉ khi khách tự chọn cách này, và chỉ cho chính việc đăng nhập: địa chỉ e-mail, tên và mã định danh tài khoản. Mật khẩu Google không bao giờ đến cổng thông tin.
• Đám mây Garmin — đồng hồ được cấp sẽ đồng bộ vào một tài khoản Garmin thuộc về khách sạn và mang số комплект, không mang tên khách; máy chủ của Garmin đặt tại Hoa Kỳ. Cơ sở là sự đồng ý rõ ràng đã được đưa ra cho đồng hồ (Điều 49(1)(a)).
• Nhà cung cấp mô hình — phiếu buổi sáng đã ẩn danh hóa (tuổi, giới tính và các con số, không có tên, ngày sinh hay địa chỉ e-mail), tin nhắn của bác sĩ cần được dịch nguyên văn, và ảnh chụp đĩa thức ăn khi chính khách tự bấm máy ảnh.

Và có 1 thứ chúng tôi không thể xóa

Cổng thông tin không có quảng cáo và cũng không có bộ đếm phân tích. Trình duyệt của khách chỉ giữ token phiên và ngôn ngữ đã chọn.

Nhưng lịch sử theo ngày trong tài khoản Garmin thì không thể xóa: Garmin không cung cấp cách làm việc đó. Những ngày này vẫn ở lại với Garmin theo chính điều khoản của Garmin, ngay cả sau khi bản sao của chúng tôi đã bị xóa. Cổng thông tin chỉ đọc từ tài khoản đó những ngày của lần lưu trú mà khách đang giữ комплект — nhưng nói rõ điều này vẫn trung thực hơn là im lặng.

Mỗi loại dữ liệu được giữ bao lâu

Thời hạn được nêu riêng cho từng loại dữ liệu, và việc xóa ở đây có nghĩa là xóa các dòng khỏi cơ sở dữ liệu, không phải chỉ ẩn khỏi giao diện.

Có 1 bản ghi được cố ý giữ lại sau khi khách đã đi — dòng tính phí cho lần lưu trú đang hoạt động: liên kết tới tài khoản trong đó được đặt về rỗng, để tháng đó vẫn nhớ là đã có lần lưu trú, nhưng không còn gọi tên ai nữa (cách tính khách đang hoạt động).

Mô hình làm gì và không quyết định gì

Một phần văn bản trong cổng thông tin được mô hình trí tuệ nhân tạo diễn đạt thành lời: câu chữ của bản tổng kết buổi sáng, bản dịch tin nhắn của bác sĩ, phần nền của bưu thiếp từ tuyến đi bộ, và ước tính lượng calo từ ảnh chụp đĩa thức ăn.

Mô hình không tính mức rủi ro, không chọn vùng nhịp tim và không thay đổi chương trình — nó chỉ nhận những gì cổng thông tin đã tính sẵn. Trong cổng thông tin hoàn toàn không có quyết định tự động nào có hậu quả pháp lý (Điều 22 GDPR).

Việc văn bản do mô hình viết được nói rõ với khách ngay trong chính sách: Điều 50 của quy định AI của EU yêu cầu như vậy.

Và chốt an toàn chính là thế này: không một yêu cầu nào có chứa văn bản cá nhân được gửi đi cho đến khi super-admin xác nhận đã có hợp đồng xử lý dữ liệu với nhà cung cấp. Theo mặc định công tắc ở trạng thái tắt — im lặng không phải là đồng ý. Gói miễn phí không dùng được cho việc này: theo chính điều khoản của nhà cung cấp, nó học từ dữ liệu được gửi đến.

Lượng calo từ ảnh được cổng thông tin hiển thị theo khoảng và cho phép sửa lại: đây là ước tính từ hình ảnh, không phải phép đo.

Điều máy chủ chặn, không phải giao diện

• Xem bằng góc nhìn của khách chỉ là chế độ đọc. Bác sĩ có thể mở Tài khoản của khách để thấy đúng những gì khách thấy. Mọi yêu cầu làm thay đổi dữ liệu trong phiên như vậy đều bị chặn ngay từ cửa vào của ứng dụng, trước khi tới bộ xử lý: nếu chỉ giữ lời hứa này ở từng lộ trình riêng lẻ thì nó chỉ tồn tại đến lộ trình mới đầu tiên.
• Mỗi lần vào đều được ghi lại. Ai trong nhân viên đã mở Tài khoản của khách, và vào lúc nào, đều có một dòng trong nhật ký. Quản trị viên được phép sửa trong phiên như vậy, và cái giá của việc đó được nói thẳng: chỉnh sửa được gửi đi dưới tên của khách, còn nhật ký thì nhớ phải nhìn vào cửa sổ của ai.
• Khách chỉ chạm tới các dòng của chính mình. Việc tách vai trò được thực hiện ở máy chủ, không phải giấu trong menu.
• Mật khẩu không được lưu. Trong cơ sở dữ liệu chỉ có mã băm PBKDF2, còn liên kết đổi mật khẩu chỉ được lưu dưới dạng SHA-256 của mã. Nếu cơ sở dữ liệu bị lộ thì cũng không lấy ra được cái nào trong hai thứ đó.
• Đổi mật khẩu sẽ vô hiệu hóa các khóa đã cấp. Mỗi token đều mang một thế hệ phiên: đổi mật khẩu, đăng xuất trên tất cả thiết bị hoặc sửa vai trò sẽ làm các khóa đã cấp mất hiệu lực ngay, thay vì chờ chúng tự hết hạn.

Khách sạn cần làm gì trước khi đưa vào hoạt động

• Điền đủ thông tin của bên kiểm soát dữ liệu. Chỉ cần còn 1 trường vẫn để trong dấu ngoặc nhọn, cổng thông tin sẽ coi chính sách là chưa thể công bố và báo điều đó trong Bảng điều khiển của quản trị viên.
• Nêu rõ kênh tiếp nhận yêu cầu về dữ liệu — và, nếu đã chỉ định cán bộ bảo vệ dữ liệu theo Điều 37, thì nêu địa chỉ liên hệ của người đó. Quy định không bắt buộc công bố tên của cán bộ này, nhưng bắt buộc phải có cách liên hệ.
• Nêu rõ tên bác sĩ. Khách giao dữ liệu sức khỏe của mình có quyền biết ai là người đọc dữ liệu đó, chứ không chỉ nhận một cách gọi chung là «bác sĩ khu nghỉ dưỡng».
• Ký hợp đồng xử lý dữ liệu — với nền tảng, và nếu bật mô hình thì cả với nhà cung cấp của mô hình. Cho đến khi việc này được xác nhận, công tắc vẫn tắt và văn bản cá nhân sẽ không được gửi đi.
• Đối chiếu nội dung tiếp thị với cách phân loại. Nếu website của khách sạn hứa hẹn điều trị, thì khung «hỗ trợ lối sống» không còn đứng vững nữa.
• Nhớ mốc tuổi. Cổng thông tin được thiết kế cho người trưởng thành; không tạo Tài khoản cho người dưới 16 tuổi.
• Biết rõ cơ quan giám sát của mình. Cơ quan này được nêu trong chính sách kèm địa chỉ và website; với Cộng hòa Séc, đó là Úřad pro ochranu osobních údajů.

Câu hỏi và trả lời

• Cổng thông tin có phải là thiết bị y tế không? Không. Nó không được tuyên bố cho mục đích y tế: không chẩn đoán, không chỉ định điều trị và không hứa hẹn kết quả chữa trị. Nó thu thập và hiển thị các con số; quyết định là do bác sĩ đưa ra.
• Ai chịu trách nhiệm trước khách — khách sạn hay nền tảng? Khách sạn: đó là bên kiểm soát dữ liệu. Nền tảng là bên xử lý, làm việc theo hợp đồng và theo chỉ dẫn của khách sạn.
• Có cần sự đồng ý nếu khách chỉ đơn giản đeo đồng hồ không? Có. Trạng thái hằng ngày là dữ liệu sức khỏe, thuộc nhóm dữ liệu đặc biệt theo Điều 9 GDPR. Cổng thông tin xin sự đồng ý riêng và rõ ràng cho phần này, và có thể rút lại chỉ bằng 1 lần nhấn.
• Dữ liệu có ra khỏi EU không? Máy chủ ở EU. Có 3 thứ đi ra ngoài, và cả 3 đều được nêu trong chính sách: đăng nhập qua Google, đám mây Garmin của đồng hồ được cấp, và văn bản đã khử nhận dạng được gửi cho mô hình.
• Mô hình có học từ dữ liệu của khách không? Không. Chừng nào thỏa thuận xử lý dữ liệu với nhà cung cấp chưa được xác nhận thì hoàn toàn không có văn bản cá nhân nào được gửi ra ngoài, và chính thỏa thuận đó cũng cấm tái sử dụng và huấn luyện.
• Nếu khách xóa hết thì còn lại gì? Các đêm lưu trú, các tuyến đi bộ, các chỉ định, nhật ký dinh dưỡng và ghi chú của nhân viên về khách sẽ bị xóa khỏi cơ sở dữ liệu. Phần còn lại là các bản ghi của khách sạn về chính mình: sổ giao bộ thiết bị và một dòng tính tiền không còn nêu tên ai nữa.

Nguồn

Quy định (EU) 2016/679 — GDPR · Quy định (EU) 2017/745 về thiết bị y tế · Quy định (EU) 2024/1689 về trí tuệ nhân tạo · Úřad pro ochranu osobních údajů

Xem thêm

Dữ liệu cá nhân: 2 đồng ý, xuất dữ liệu và xóa — cùng những quyền đó từ phía khách, theo từng nút.

Nền tảng sắp trị liệu như thế nào — chỗ thuật toán dừng lại và bác sĩ bắt đầu.

Giá: Setup, Base và Active Guest — phần khởi chạy gồm những gì và cách tính khách đang hoạt động.

Đồng hồ đo những gì — chính xác những con số nào được gửi từ cổ tay.

Lễ tân: làm việc với các ứng dụng — vì sao bộ thiết bị được xóa trước khi giao cho khách tiếp theo.

Toàn bộ chính sách của cổng thông tin được mở không cần đăng nhập, trên trang quyền riêng tư.