Dados pessoais: dois consentimentos, exportação e eliminação
O que o portal guarda sobre si, quem mais tem acesso, como descarregar tudo num único ficheiro e como eliminar. Tudo através de botões na conta, sem precisar de escrever para o hotel.
A política de privacidade do hotel não serve para o portal: não inclui dados de saúde, nem conta de utilizador, nem dispositivos vestíveis. Por isso, o portal tem a sua própria política — doze secções em `#/privacy`, em todos os idiomas da interface.
O responsável pelo tratamento está identificado com dados de registo e morada; existe um endereço de e-mail específico para questões sobre dados; e o servidor localiza-se na Alemanha, ou seja, na UE.
A política do portal: doze secções, acessível sem iniciar sessão×
Existem dois consentimentos, e isso não é uma formalidade
O primeiro é geral, no momento do registo. O segundo é explícito, para o tratamento de dados de saúde, e é solicitado antes do questionário.
Foi necessário separá-los porque os dados de saúde são uma categoria especial: para eles, «aceitar os termos» no registo não é juridicamente suficiente.
Ambos os consentimentos são guardados com o número da versão da política. Quando a política sofre alterações substanciais — por exemplo, com a inclusão da balança no quarto e da composição corporal —, a versão avança e o portal volta a pedir a confirmação de todos. É a janela «um pormenor antes de continuar» que surge sobre qualquer ecrã.
«Os meus dados»: quatro botões
Na secção «Conta» existe o bloco «Os meus dados», e os direitos previstos pelo regulamento estão disponíveis através de botões, sem necessidade de enviar e-mails.
Exportar — tudo o que existe sobre si, num único ficheiro.
Exportação HL7 FHIR — os mesmos dados na linguagem dos sistemas clínicos: o paciente e as observações com códigos LOINC. Este ficheiro pode ser lido por sistemas hospitalares, não apenas por pessoas.
Retirar consentimento — juntamente com a eliminação dos dados de saúde.
Eliminar conta — por completo.
«Os meus dados»: exportação, retirada de consentimento, eliminação×
O que é apagado e o que permanece
A eliminação tem dois níveis e a diferença é clara. Dados de saúde — noites de sono, caminhadas, prescrições, pesagens, notas da equipa sobre si e mensagens do médico dirigidas pessoalmente a si. Conta — tudo isso e ainda o próprio acesso.
Permanecem os registos que o hotel fez sobre si próprio: o registo de entrega de kits, o histórico de acessos da equipa à conta do hóspede e os avisos gerais. Não são dados pessoais seus, mas sim o registo interno das operações do hotel.
À parte disso: «Apagar todos os registos» na receção não é a mesma coisa. Essa opção limpa o kit e a respetiva conta Garmin para que o próximo hóspede não veja noites alheias, sem mexer na sua conta (detalhes).
Quem mais pode ver os seus ecrãs
A equipa pode aceder à «Conta do hóspede» — as mesmas páginas vistas pelos seus olhos. Para o médico, este acesso é apenas de leitura: qualquer tentativa de gravar dados durante esta sessão é rejeitada pelo servidor, não apenas ocultada na interface.
Cada acesso deste tipo fica registado: quem entrou e quando. Como o registo pertence ao histórico de operações do hotel, ele permanece mesmo após a eliminação dos dados de saúde e desaparece apenas ao eliminar a conta.
Já as notas da equipa sobre o hóspede funcionam ao contrário: foram escritas a seu respeito e são eliminadas juntamente com os dados de saúde.
Como funciona na prática para o hóspede
Está de partida e quer levar tudo consigo — escolha «Exportar» e o ficheiro fica no telemóvel. Quer entregar ao seu médico assistente — use «Exportação HL7 FHIR», que o sistema dele saberá ler. Quer que o hotel apague o seu registo — clique em «Eliminar conta», sem ter de pedir autorização a ninguém.
O que faz a receção
A receção não elimina nem exporta os dados pelo hóspede: essas opções estão nos seus próprios botões. A receção trata de outra tarefa — repõe o kit a zeros antes de o entregar ao hóspede seguinte, sempre e de forma automática (porquê).
