Co portal przechowuje na Twój temat, kto to widzi, jak pobrać wszystko w jednym pliku i jak to usunąć. Za pomocą przycisków na koncie, a nie listu do hotelu.
Hotelowa polityka prywatności nie jest odpowiednia dla portalu: nie obejmuje danych o zdrowiu, konta ani urządzeń noszonych. Dlatego portal ma własną politykę — dwanaście rozdziałów pod adresem `#/privacy`, we wszystkich językach interfejsu.
Administrator jest wymieniony z nazwy, wraz z danymi rejestracyjnymi i adresem; do pytań dotyczących danych służy osobna skrzynka pocztowa; serwer znajduje się w Niemczech, czyli w UE.
Polityka portalu: dwanaście rozdziałów, dostępna bez logowania×
Są dwie zgody i nie jest to formalność
Pierwsza to zgoda ogólna, przy rejestracji. Druga jest wyraźna, na przetwarzanie danych o zdrowiu, i portal prosi o nią przed ankietą.
Trzeba je było rozdzielić, ponieważ dane o zdrowiu to kategoria szczególna: dla nich «zgoda na warunki» przy rejestracji jest prawnie niewystarczająca.
Obie zgody są zapisywane z numerem wersji polityki. Gdy polityka zmienia się w istotny sposób — na przykład, gdy dodano wagi w pokoju i skład ciała — wersja wzrasta, a portal pyta wszystkich ponownie. To jest to okno «jeszcze jedna rzecz, zanim przejdziemy dalej», które pojawia się na każdym ekranie.
«Moje dane»: cztery przyciski
W zakładce «Konto» znajduje się sekcja «Moje dane», a prawa wynikające z rozporządzenia są realizowane za pomocą przycisków, a nie adresu e-mail.
Eksport — wszystko, co o Tobie mamy, w jednym pliku.
Eksport HL7 FHIR — to samo w języku systemów medycznych: pacjent i obserwacje z kodami LOINC. Taki plik może odczytać system szpitalny, a nie tylko człowiek.
Wycofanie zgody — wraz z usunięciem danych o stanie zdrowia.
Usuwanie danych ma dwa poziomy, a różnica jest jasno określona. Dane o stanie zdrowia to dane o śnie, spacery, zlecenia, ważenia, notatki personelu o Tobie oraz wiadomości od lekarza skierowane osobiście do Ciebie. Konto to wszystko to oraz sam dostęp.
Pozostają zapisy, które hotel utworzył o sobie samym: rejestr wydanych zestawów, rejestr logowań personelu na konto gościa, ogłoszenia ogólne. To nie są Twoje dane osobowe, lecz zapis własnych działań hotelu.
Osobno: «Wymaż wszystkie zapisy» w recepcji to nie to samo. Czyści to zestaw i konto Garmin, aby następny gość nie widział cudzych nocy, ale nie dotyka Twojego konta (więcej).
Kto jeszcze widzi Twoje ekrany
Personel może otworzyć «Konto gościa» — te same strony widziane Twoimi oczami. Dla lekarza jest to tryb tylko do odczytu: każda próba zapisu w takiej sesji jest odrzucana przez serwer, a nie tylko ukrywana w interfejsie.
Każde takie wejście jest zapisywane w dzienniku: kto i kiedy. Dziennik jest zapisem hotelu o samym sobie, dlatego przetrwa usunięcie danych medycznych i znika dopiero wraz z kontem.
Notatki personelu o gościu — wręcz przeciwnie: są pisane o Tobie i są usuwane razem z danymi o zdrowiu.
Jak to działa z perspektywy gościa
Wyjeżdżasz i chcesz zabrać wszystko ze sobą — «Eksport», a plik znajdzie się na Twoim telefonie. Chcesz przekazać dane swojemu lekarzowi w domu — «Eksport HL7 FHIR», a jego system je odczyta. Chcesz, aby hotel o Tobie zapomniał — «Usuń konto», i nie musisz nikogo o to prosić.
Co robi recepcja
Recepcja nie usuwa ani nie eksportuje danych gościa: do tego służą Twoje przyciski. Robi coś innego — czyści zestaw przy wydaniu go następnemu gościowi, zawsze i automatycznie (dlaczego).
