Отельная политика приватности для портала не годится: в ней нет данных о здоровье, нет учётной записи и нет носимых устройств. Поэтому у портала своя политика — двенадцать разделов на `#/privacy`, на всех языках интерфейса.
Оператор назван поимённо, с реквизитами и адресом; контакт по вопросам данных — отдельный почтовый ящик; сервер стоит в Германии, то есть в ЕС.
Политика портала: двенадцать разделов, открыта без входа×
Согласий два, и это не формальность
Первое — общее, при регистрации. Второе — явное, на обработку данных о здоровье, и его спрашивают перед анкетой.
Разделять пришлось потому, что данные о здоровье — особая категория: «согласие с условиями» при регистрации для них юридически недостаточно.
Оба согласия записываются с номером версии политики. Когда политика меняется по существу — например, когда добавились весы в номере и состав тела, — версия растёт, и портал спрашивает всех заново. Это то самое окно «одно дело перед продолжением», которое встаёт поверх любого экрана.
«Мои данные»: четыре кнопки
В «Учётной записи» есть блок «Мои данные», и права по регламенту реализованы кнопками, а не почтой.
Выгрузка — всё, что о вас есть, одним файлом.
Выгрузка HL7 FHIR — то же самое на языке медицинских систем: пациент и наблюдения с кодами LOINC. Такой файл понимает больничная система, а не только человек.
Отзыв согласия — вместе с удалением данных о здоровье.
Стирание бывает двух глубин, и разница названа вслух. Данные о здоровье — ночи, прогулки, назначения, взвешивания, заметки персонала о вас, врачебные сообщения, адресованные лично вам. Учётная запись — это же плюс сам вход.
Остаются записи, которые отель сделал о себе: журнал выдачи комплектов, журнал входов персонала в кабинет гостя, массовые объявления. Это не ваши персональные данные, а память отеля о собственных действиях.
Отдельно: «Стереть все записи» на стойке — не то же самое. Оно чистит комплект и учётную запись Garmin, чтобы следующий гость не увидел чужие ночи, а ваш кабинет не трогает (разбор).
Кто ещё видит ваши экраны
Персонал может открыть «Кабинет гостя» — те же страницы вашими глазами. Врачу это только чтение: любая попытка что-то записать в такой сессии отклоняется сервером, а не прячется в интерфейсе.
Каждый такой вход записывается в журнал: кто и когда. Журнал — запись отеля о себе, поэтому он переживает стирание медданных и уходит вместе с учётной записью.
Заметки персонала о госте — наоборот: они написаны про вас и стираются вместе с данными о здоровье.
Как это работает для человека
Вы уезжаете и хотите забрать всё с собой — «Выгрузка», файл на телефоне. Хотите отдать своему врачу дома — «Выгрузка HL7 FHIR», её прочтёт его система. Хотите, чтобы отель забыл вас, — «Удалить учётную запись», и спрашивать никого не нужно.
Что делает стойка
Стойка не удаляет за гостя данные и не выгружает их: это ваши кнопки. Она делает другое — стирает комплект при выдаче следующему гостю, всегда и автоматически (почему).
Google Analytics показывает нам, какие страницы читают, — и включается только с вашего согласия. Язык и сам выбор в любом случае остаются в вашем браузере.
