个人数据：双重同意、导出与删除

门户网站保存了您的哪些数据、谁可以看到这些数据、如何将全部数据打包导出为单个文件以及如何删除。直接在账户中点击按钮即可完成，无需向酒店发送邮件申请。

Contents

门户网站有独立的隐私政策

酒店常规的隐私政策并不适用于门户网站：它未涉及健康数据、账户体系和穿戴设备。因此门户网站拥有自己独立的隐私政策——共12个章节，可在 `#/privacy` 查看，支持所有界面语言。

数据控制方已明确列出，包含注册信息与地址；数据相关问题设有专属邮箱；服务器位于德国，即欧盟境内。

第一项是注册时的通用同意。第二项是关于处理健康数据的明确同意，会在填写问卷前向您征询。

之所以需要分开处理，是因为健康数据属于特殊类别：在法律上，注册时简单的«同意条款»不足以作为处理该数据的依据。

两项同意都会记录对应的政策版本号。当政策发生实质性变更时（例如增加了客房体重秤和身体成分测量），版本号便会更新，门户网站会重新向所有人征询同意。这就是覆盖在当前屏幕上的«在继续之前需确认的事项»弹窗。

«账户»页面中设有«我的数据»板块，法规所赋予的各项权利均通过按钮直接实现，无需通过电子邮件申请。

数据清除分为两种深度，两者区别明确。健康数据——夜间睡眠、健步走路线、处方与疗程安排、称重记录、员工关于您的备注，以及专门发给您的医生消息。账户——除上述所有内容外，还包括登录凭证本身。

保留的是酒店记录自身运营的数据：套件发放日志、员工查看客人账户的访问日志以及全店通用公告。这些不属于您的个人数据，而是酒店自身操作的记录归档。

另外需要说明：前台操作的«清除所有记录»并不是同一回事。它清除的是设备套件及对应的 Garmin 账户，以免下一位客人看到其他人的睡眠数据，这不会影响您的个人账户（详细解析）。

酒店员工可以打开«客人账户»——以您的视角查看相同的页面。对医生而言这仅供只读：在该会话中写入任何数据的尝试都会直接被服务器拒绝，而不仅仅是在界面上隐藏输入框。

每次此类访问都会被记录在日志中：访问人员及访问时间。日志属于酒店自身的运营记录，因此在清除健康数据时仍会保留，只有在彻底删除账户时才会一同移除。

员工关于客人的备注则恰恰相反：它们是针对您本人的记录，会在清除健康数据时一并删除。

您在离店时若想带走所有数据——点击«导出»，文件就会下载到手机上。若想提供给家乡的主治医生——点击«HL7 FHIR导出»，对方的系统即可直接读取。若希望酒店彻底删除您的信息——点击«删除账户»即可，无需向任何人申请。

前台不会代客人删除或导出数据：这些操作均由您在账户中自主完成。前台执行的是另一项工作——在将设备套件交付给下一位客人时清除设备数据，此操作始终自动执行（原因说明）。