Data pribadi: dua persetujuan, ekspor, dan penghapusan
Apa yang disimpan portal tentang Anda, siapa saja yang dapat melihatnya, cara mengunduh semuanya dalam satu berkas, dan cara menghapusnya. Cukup lewat tombol di akun, tanpa perlu mengirim surat ke hotel.
Kebijakan privasi hotel tidak cukup untuk portal: di dalamnya tidak ada data kesehatan, akun, maupun perangkat wearable. Oleh karena itu, portal memiliki kebijakannya sendiri — dua belas bagian di `#/privacy`, dalam semua bahasa antarmuka.
Pengendali data dicantumkan dengan jelas, lengkap dengan rincian registrasi dan alamat; tersedia kotak surat khusus untuk pertanyaan seputar data; dan server berlokasi di Jerman, yaitu di dalam Uni Eropa.
Kebijakan portal: dua belas bagian, dapat dibuka tanpa perlu masuk×
Ada dua persetujuan, dan ini bukan sekadar formalitas
Yang pertama bersifat umum, saat pendaftaran. Yang kedua bersifat eksplisit, untuk pemrosesan data kesehatan, dan diminta sebelum Anda mengisi kuesioner.
Keduanya harus dipisahkan karena data kesehatan termasuk kategori khusus: sekadar «menyetujui ketentuan» saat pendaftaran secara hukum tidaklah cukup.
Kedua persetujuan dicatat bersama nomor versi kebijakan. Ketika kebijakan berubah secara substansial — misalnya saat timbangan di kamar dan komposisi tubuh ditambahkan — nomor versi akan naik dan portal akan meminta persetujuan ulang dari semua orang. Itulah jendela «satu hal sebelum melanjutkan» yang muncul menutupi layar.
«Data saya»: empat tombol
Di bagian «Akun» terdapat blok «Data saya», dan hak-hak yang dijamin oleh peraturan diwujudkan dalam bentuk tombol, bukan alamat email.
Ekspor — semua data tentang Anda, dalam satu berkas.
Ekspor HL7 FHIR — data yang sama dalam bahasa sistem medis: pasien dan observasi dengan kode LOINC. Berkas ini dapat dibaca oleh sistem rumah sakit, bukan hanya oleh manusia.
Tarik persetujuan — sekaligus menghapus data kesehatan.
Penghapusan memiliki dua tingkat kedalaman, dan perbedaannya dijelaskan secara terbuka. Data kesehatan — riwayat tidur malam, jalan spa, prosedur yang diresepkan, penimbangan, catatan staf tentang Anda, serta pesan dokter yang ditujukan langsung untuk Anda. Akun — semua hal tersebut ditambah akses masuknya itu sendiri.
Yang tetap tersimpan adalah catatan yang dibuat hotel tentang aktivitasnya sendiri: log penyerahan kit, log staf yang membuka akun tamu, dan pengumuman umum hotel. Ini bukan data pribadi Anda, melainkan rekaman hotel atas tindakannya sendiri.
Secara terpisah: opsi «Hapus semua rekaman» di meja resepsionis tidaklah sama. Opsi ini membersihkan kit dan akun Garmin miliknya agar tamu berikutnya tidak melihat riwayat tidur orang lain, tanpa menyentuh akun Anda (selengkapnya).
Siapa lagi yang melihat layar Anda
Staf dapat membuka «Akun tamu» — melihat halaman yang sama persis seperti yang Anda lihat. Bagi dokter, akses ini hanya-baca: setiap upaya untuk menulis atau mengubah data dalam sesi tersebut akan ditolak oleh server, bukan sekadar disembunyikan di antarmuka.
Setiap akses masuk dicatat ke dalam log: siapa dan kapan. Log ini adalah catatan hotel tentang aktivitasnya sendiri, sehingga tetap ada saat data medis dihapus dan baru akan hilang bersamaan dengan penghapusan akun.
Catatan staf tentang tamu berlaku sebaliknya: catatan tersebut ditulis mengenai Anda dan akan dihapus bersamaan dengan data kesehatan.
Bagaimana ini bekerja bagi tamu
Saat hendak pulang dan ingin membawa semua data — tekan «Ekspor», dan berkas akan tersimpan di ponsel Anda. Ingin memberikannya kepada dokter pribadi di rumah — pilih «Ekspor HL7 FHIR», dan sistem mereka dapat membacanya. Ingin agar hotel menghapus semua tentang Anda — pilih «Hapus akun», tanpa perlu meminta izin kepada siapa pun.
Apa yang dilakukan meja resepsionis
Meja resepsionis tidak menghapus atau mengekspor data atas nama tamu: tombol-tombol tersebut adalah kendali Anda sendiri. Resepsionis melakukan hal lain — mereset kit saat diserahkan ke tamu berikutnya, selalu dan secara otomatis (alasannya).
