Загальна політика конфіденційності готелю для порталу не підходить: у ній немає даних про здоров'я, немає облікового запису та немає носимих пристроїв. Тому портал має власну політику — дванадцять розділів на `#/privacy`, усіма мовами інтерфейсу.
Оператора названо поіменно, з реквізитами та адресою; для питань щодо даних є окрема поштова скринька; сервер розташований у Німеччині, тобто в ЄС.
Політика порталу: дванадцять розділів, доступна без входу×
Згод дві, і це не формальність
Перша — загальна, під час реєстрації. Друга — явна, на обробку даних про здоров'я, і її запитують перед анкетою.
Розділити довелося тому, що дані про здоров'я — особлива категорія: простої «згоди з умовами» під час реєстрації для них юридично недостатньо.
Обидві згоди зберігаються з номером версії політики. Коли політика істотно змінюється — наприклад, коли додали ваги в номері та склад тіла, — версія зростає, і портал запитує всіх знову. Це те саме вікно «одна справа перед продовженням», що з'являється поверх будь-якого екрана.
«Мої дані»: чотири кнопки
В «Обліковому записі» є блок «Мої дані», і передбачені регламентом права реалізовані кнопками, а не листуванням електронною поштою.
Експорт — усе, що про вас зібрано, одним файлом.
Експорт HL7 FHIR — те саме мовою медичних систем: пацієнт і спостереження з кодами LOINC. Такий файл здатна прочитати лікарняна система, а не лише людина.
Відкликання згоди — разом із видаленням даних про здоров'я.
Видалення буває двох рівнів, і різниця чітко визначена. Дані про здоров'я — ночі, оздоровчі прогулянки, призначення, зважування, нотатки персоналу про вас, лікарські повідомлення, адресовані особисто вам. Обліковий запис — усе це плюс сам доступ до акаунту.
Залишаються записи, які готель зробив про себе: журнал видачі комплектів, журнал входів персоналу в кабінет гостя, загальні оголошення. Це не ваші персональні дані, а фіксація готелем власних дій.
Окремо: «Стерти всі записи» на рецепції — це не те саме. Ця дія очищає комплект та обліковий запис Garmin, щоб наступний гість не бачив чужих ночей, і взагалі не торкається вашого облікового запису (докладніше).
Хто ще бачить ваші екрани
Персонал може відкрити «Кабінет гостя» — ті самі сторінки вашими очима. Для лікаря це тільки читання: будь-яка спроба щось змінити в такій сесії відхиляється сервером, а не просто приховується в інтерфейсі.
Кожен такий вхід фіксується в журналі: хто і коли. Журнал — це службовий запис готелю про власні дії, тому він зберігається при видаленні медичних даних і зникає лише разом з обліковим записом.
Нотатки персоналу про гостя — навпаки: їх написано про вас, тому вони видаляються разом із даними про здоров'я.
Як це працює на практиці
Ви виїжджаєте й хочете забрати все з собою — натискаєте «Експорт», і файл у вас на телефоні. Хочете передати його своєму лікарю вдома — «Експорт HL7 FHIR», його розпізнає його система. Хочете, щоб готель забув про вас, — «Видалити обліковий запис», і нікого не треба про це просити.
Що робить рецепція
Рецепція не видаляє дані за гостя і не вивантажує їх: для цього є ваші власні кнопки. Вона робить інше — очищає комплект перед видачею наступному гостю, завжди й автоматично (чому так).
