Wiki

Wellness & Lifestyle 與 GDPR：法律框架

這個入口網站是用來支持生活方式，不會做出診斷，也不會開立治療。健康資料依 GDPR 處理——以住客的明確同意為前提，並存放在歐盟伺服器上。

Updated 2026-08-28 · Sample procedures Luxury Spa & Medical Wellness Hotel Prezident

簡單說

• 類別。 Wellness & Lifestyle Intelligence 是生活方式支持：入口網站會收集手錶和體重計的數值，顯示給住客和醫師，並保存醫師的處方。它不會做出診斷，也不會開立治療。
• 誰對資料負責。 控制者是飯店：入口網站的政策中會列出法人實體、登記編號、地址，以及醫師姓名。longev.eu 是處理者：負責程式碼和伺服器。
• 每家飯店都有自己的資料庫。 程式碼只有一套，但每家飯店都有自己的程序、自己的目錄和自己的資料庫。不存在所有飯店住客共用的一張總表。
• 同意有 2 個。 一個是註冊時的一般同意，另一個是在問卷前對健康資料的明確同意。兩者都會連同政策版本號一起記錄：目前是 17.08.2026 的 1.7 版，共 12 個章節，提供 36 種語言。
• 權利就是按鈕。 可以把全部資料匯出成 1 個檔案，也可以匯出 HL7 FHIR 給診所系統，還可以撤回同意並刪除資料，或刪除「帳戶」。不用寫信給飯店，也不用等待。
• 哪些資料會離開歐盟。 有 3 項，而且 3 項都會明白寫出來：透過 Google 登入、借用手錶所連接的 Garmin 雲端，以及提供給模型的去識別化文字。
• 保存期限。 健康資料保存到最後一次活動後 3 年，伺服器日誌最多 90 天，重設密碼連結有效 60 分鐘。
• 這份文件是給誰看的。 給正在選平台的飯店，也給想知道自己那些數值後來怎麼處理的住客。更新於 23.08.2026。

Wellness & Lifestyle Intelligence 是什麼意思

Wellness & Lifestyle Intelligence 是一類支持生活方式的產品：睡眠、活動、飲水、飲食和飯店理療都在其中。它使用的數值和醫療會看的數值相同，但不宣稱醫療用途，也不承諾治療效果。

這個入口網站會做的事是：接收手錶的每日狀態和體重計的量測結果，拿它們和住客自己的平均值比較，在住客的「帳戶」中顯示給本人看，也在醫師的「儀表板」上顯示，並保存和展示醫師開立的處方。

它絕對不會做的事是：指出疾病名稱、不會開藥也不會開飲食處方、不會取消或取代醫師的處方，也不會承諾某項理療能治好什麼。

差別在演算法碰到安排時最清楚。免費而且屬於飯店本身的項目——例如步行路線、住宿已含的三溫暖——入口網站會自行調整。付費理療它只會提出改期建議，最後由醫師決定（這是怎麼運作的）。

和醫療器材的界線在哪裡

讓一套軟體成為醫療器材的，不是演算法有多複雜，而是製造商賦予它的用途：診斷、預防、監測、預測、預後、治療或減輕疾病（歐盟醫療器材規則 (EU) 2017/745，第 2 條）。這個入口網站不宣稱這類用途——而且這不只是文件上的說法，產品本身有 3 個地方可以看出來：

• 問卷得出的風險等級是用來選擇步行路線和心率區間，不是診斷。它不會產生法律效果，而且醫師可以覆蓋它。
• 飲泉療程由飯店總醫師在檢查後開立。入口網站只會保存、顯示並提醒住客飲用時間——它自己不能開立（詳解）。
• 夜間流程會調整理療時間，不會治療。它用來調整的門檻值由醫師制定，而且是公開的（數值與規則）。

手錶是消費型裝置

飯店提供的 комплект 是一般商店購買的 Garmin Forerunner 165 Music 和 Garmin Index S2 體重計。入口網站不會使用它們的醫療功能：ECG 應用程式只有在 Garmin 將其核准為醫療器材的地區才會啟用，而在其他國家購買的手錶甚至可能完全沒有這個功能。

心率、變異性、睡眠階段、呼吸和血氧，都是手腕上消費型光學感測器的讀值。入口網站也是這樣呈現它們：把它們當成住客自己身體的變化，而不是檢查結果（手錶實際量的是什麼）。

這個分類靠的不是文件裡的一行字，而是對外做出的承諾。要是飯店的宣傳說出「我們會根據手錶替你診斷」或「我們 1 週內就能治好你」，比起任何程式碼修改，都更快破壞這條界線。

誰負責什麼

GDPR 下的角色分配就是這樣，而且這種分配比任何「合作夥伴」的說法都更重要：對住客和對監管機關負責的是飯店。

為什麼每家飯店都有自己的資料庫

這個平台不是一般意義上的多租戶系統：不同飯店的住客不是靠共用資料表中的一個欄位來區分。每家飯店在伺服器上都有自己的程序、自己的目錄和自己的資料庫，而程式碼則完全相同。

這個差別很實際。查詢就算出錯，也不可能讓一家飯店看到另一家飯店的住客，因為那些資料根本不在它的資料庫裡。飯店若要離開，帶走的是自己的完整檔案，不是從共用儲存中匯出的一部分。

兩個同意與政策版本

健康資料屬於特殊類別（GDPR 第 9 條），因此註冊時的「我同意條款」在法律上並不足夠。所以會有兩個同意：一個是註冊時的一般同意，另一個是在問卷前針對健康資料處理的明確同意。

這個順序由伺服器控制，不是由介面控制：如果政策尚未接受，第二個同意的請求就會被拒絕。

兩個同意都會連同政策版本號和時間一起保存。只有內容意義改變時版本才會增加，不會因為更正錯字而變更；到那時，入口網站會用覆蓋在任何畫面上的視窗重新詢問所有人。

這種情況已經發生過 3 次：1.5 版新增了房內體重計和身體組成，1.6 版寫明了 AI 模型和 3 個資料離開 EEA 的情況，1.7 版則新增了飲食日記和餐盤照片。每一次都重新詢問了所有住客。

入口網站的政策和飯店本身的政策是分開的，而且只涵蓋入口網站：帳戶、問卷、健走路線和手錶。客房預訂和飯店電子報則適用飯店自己的政策。

×

住客的權利是用按鈕，不是寫信

一項權利如果說有，但實際上要靠寫信給飯店才能行使，通常就等於沒有。所以在「帳戶」裡放了「我的資料」區塊，裡面有 4 個按鈕。

• 匯出——把入口網站保存的住客全部資料整理成 1 個機器可讀檔案：問卷、含軌跡點的健康路線、夜間資料、測試、安排項目、個人資料（第 20 條——資料可攜權）。
• 匯出 HL7 FHIR——同樣的數值，但用醫療系統能讀的語言，格式是 FHIR R4：病人與觀察資料。這種檔案不只人看得懂，診所系統也能讀。
• 撤回同意——預設會連同刪除一起進行：同意一旦撤回，就沒有依據再保存健康資料。
• 刪除帳戶（第 17 條）——需要確認：住客必須輸入自己的電子郵件地址，否則按鈕不會生效。

×

這些按鈕不做什麼

員工帳戶不能用這些按鈕刪除。醫師的簽名會出現在其他人的安排項目和晨間表單下方，所以這類帳戶要由管理員移除——這樣簽名才不會悄悄失去連結。

不同深度的刪除，以及刪除後哪些資料會保留，都在個人資料一文中說明；那裡也解釋了，為什麼 комплект 發放紀錄會保留，而員工對住客的備註會刪除。

資料存放在哪裡，哪些會送出

伺服器位於歐盟；資料中心所在國家會在各飯店自己的政策中寫明。資料只有在 3 種情況下會離開那裡，而且政策裡會逐一列出：

• 使用 Google 登入——只有在住客自己選了這個入口時才會發生，而且只限登入本身：電子郵件地址、姓名和帳戶識別碼。Google 密碼絕不會到入口網站。
• Garmin 雲端——借出的手錶會同步到一個屬於飯店的 Garmin 帳戶，帳戶使用的是 комплект 編號，不是住客姓名；Garmin 的伺服器位於美國。法律依據是對手錶所給出的明確同意（第 49(1)(a) 條）。
• 模型供應商——去識別化的晨間摘要（年齡、性別和各項數值，不含姓名、出生日期和電子郵件地址）、需要逐字翻譯的醫師訊息，以及住客自己按下相機時拍攝的餐盤照片。

還有一樣我們無法刪除的東西

入口網站沒有廣告，也沒有分析追蹤碼。住客的瀏覽器只會保存工作階段權杖和所選語言。

但 Garmin 帳戶中的每日歷史無法刪除：Garmin 沒有提供這個功能。即使我們的副本已刪除，這些天的資料仍會依 Garmin 自己的條款保留在那裡。入口網站只會從這類帳戶讀取住客持有該 комплект 的那次入住期間資料——但把這點說清楚，比不提更誠實。

各類資料保存多久

每一類資料都有各自的保存期限，而這裡所說的刪除，是指從資料庫刪除資料列，不是只在介面上隱藏。

有 1 筆紀錄會刻意比住客留得更久——有效入住的計費項目：其中連到帳戶的連結會被清空，這樣該月份仍會記得這次入住發生過，但不再指向任何人（有效住客如何計算）。

模型會做什麼，不會替你決定什麼

入口網站有一部分文字是由人工智慧模型寫成的：晨間摘要的措辭、醫師訊息的翻譯、步行明信片的背景文字，以及根據餐盤照片估算的卡路里。

它不會計算風險等級、不會選擇心率區間，也不會更改計畫——它接收到的，是入口網站已經算好的結果。入口網站完全沒有會產生法律效果的自動化決定（GDPR 第 22 條）。

如果文字是由模型撰寫，會直接在告知內容中向客人說明：這是歐盟人工智慧法規第 50 條的要求。

還有最重要的一道保險：只要超級管理員還沒確認已與供應商簽訂資料處理協議，任何帶有個人文字的請求都不會送出。開關預設是關閉的——沉默不等於同意。免費方案不適合用在這裡：依供應商自己的條款，它會從收到的內容中學習。

入口網站會把照片估出的卡路里顯示為一個範圍，並允許更正：這是根據圖片做的估算，不是測量。

哪些事是由伺服器禁止，不是介面隱藏

• 用客人的視角查看時，只能讀取。 醫師可以打開客人的帳戶，看見和客人完全一樣的內容。在這種工作階段裡，任何會造成變更的請求，都會在進入應用程式時就被擋下，還沒到處理程式之前：如果只是逐條路由各自遵守這個承諾，那只要新增第一條路由，承諾就會失效。
• 每一次進入都有記錄。 哪一位員工在什麼時間打開了客人的帳戶，都會在日誌裡留下一行。管理員在這種工作階段中可以修改，代價也說得很清楚：修改會以客人的名義送出，但日誌會記得該去看的是誰的視窗。
• 客人只能存取自己的資料列。 角色區分是在伺服器端完成的，不是藏在選單裡。
• 密碼不會被儲存。 資料庫裡存的是 PBKDF2 雜湊值，而重設密碼連結只會以代碼的 SHA-256 形式保存。就算資料庫外洩，也拿不到這兩樣。
• 更改密碼會讓已發出的金鑰失效。 每個 token 都記錄了工作階段世代：更改密碼、從所有裝置登出，或修改角色，都會直接讓已發出的金鑰失效，而不是等它們自己過期。

飯店在上線前要做什麼

• 填好控制者資料。 只要還有任何一個欄位停留在角括號裡，入口網站就會把這份政策視為不可發布，並在管理員儀表板中提示。
• 指定資料請求的聯絡管道——如果已任命資料保護官（第 37 條），也要提供其聯絡地址。法規不要求公開資料保護官的姓名，但要求提供聯絡方式。
• 寫明醫師姓名。 客人既然交出了健康資料，就有權知道是誰在閱讀，而不只是看到「溫泉醫師」這種說法。
• 簽好資料處理協議——要和平台簽，如果啟用模型，也要和模型供應商簽。在確認之前，開關會保持關閉，個人文字不會送出。
• 核對行銷內容是否符合分類。 如果飯店網站承諾治療效果，就會推翻「生活方式支持」這個框架。
• 記得年齡門檻。 入口網站是為成年人設計的；未滿 16 歲的人不會建立帳戶。
• 知道自己的監管機關。 政策中會寫明它的地址和網站；在捷克，這個機關是 Úřad pro ochranu osobních údajů。

常見問題

• 入口網站是醫療器材嗎？ 不是。它不主張醫療用途：不做診斷、不開立治療，也不承諾治療結果。它負責收集並顯示數字，決定由醫師來做。
• 對客人負責的是飯店還是平台？ 是飯店：它是資料控制者。平台是處理者，依合約和飯店的指示工作。
• 如果客人只是戴著手錶，也需要同意嗎？ 需要。每日狀態屬於健康資料，是 GDPR 第 9 條下的特殊類別。入口網站會為此取得單獨且明確的同意，而且可以一鍵撤回。
• 資料會離開歐盟嗎？ 伺服器在歐盟內。會出去的有 3 項，而且都寫在隱私政策裡：用 Google 登入、借出手錶使用的 Garmin 雲端，以及交給模型的去識別化文字。
• 模型會用住客資料來學習嗎？ 不會。在與供應商的資料處理協議確認之前，個人文字內容完全不會送出；而協議本身也禁止再利用和訓練。
• 如果住客把所有資料都刪掉，還會剩下什麼？ 資料庫裡會刪除住宿夜數、健康路線、安排項目、飲食日記，以及員工對他的備註。留下的是飯店自己的紀錄：套組交接記錄，以及一筆已不再指向任何人的帳單項目。

來源

歐盟規章 (EU) 2016/679 — GDPR · 歐盟醫療器材規章 (EU) 2017/745 · 歐盟人工智慧規章 (EU) 2024/1689 · Úřad pro ochranu osobních údajů

延伸閱讀

個人資料：2 個同意、匯出與刪除 — 從住客這一側看同樣的權利，按鈕一步一步說明。

平台如何安排理療 — 哪裡是演算法停止，哪裡開始由醫師接手。

價格：Setup、Base 和 Active Guest — 啟用包含哪些內容，以及 Active Guest 是怎麼計算的。

手錶測量什麼 — 實際從手腕傳來的是哪些數字。

接待處：如何使用應用程式 — 為什麼套組在交給下一位住客前要先清除。

入口網站的完整隱私政策可在隱私頁面直接查看，不需要登入。