Tietosuojaseloste
Näin Tilvir käsittelee käyttäjien, yritysasiakkaiden yhteyshenkilöiden sekä palveluun liittyvien tukiyhteydenottojen henkilötietoja.
1. Rekisterinpitäjä ja yhteystiedot
Rekisterinpitäjä: Monifix IT-palvelut Oy
Y-tunnus: 3601766-4
Postiosoite: Jukolantanhua 2, 85100 Kalajoki
Tietosuojaan liittyvät pyynnöt: info@tilvir.fi
Yleiset yhteydenotot: info@tilvir.fi
Tämä seloste kattaa Tilvir-palveluntarjoajan oman SaaS-käyttäjä- ja sopimusrekisterin sekä palvelun teknisen turvallisuuden käsittelyn. Tilviriä käyttävä yritys on tavallisesti rekisterinpitäjä omien loppuasiakkaidensa tiedoille. Näiden tietojen käsittely tapahtuu yrityksen toimeksiannosta henkilötietojen käsittelysopimuksen (DPA) mukaan, ja loppuasiakkaan tulee saada tietosuojainformaatio omalta palveluntarjoajaltaan.
2. Mitä henkilötietoja käsittelemme?
- Käyttäjän nimi, sähköpostiosoite, yritysjäsenyys, rooli ja tilin perustamiseen liittyvät tiedot.
- Kirjautumisiin, kaksivaiheiseen tunnistautumiseen, istuntoihin ja palvelun tietoturvaan liittyvät tekniset tapahtumatiedot sekä esimerkiksi IP-osoitteet.
- Yritysasiakkuuteen ja yhteyshenkilöihin liittyvät sopimus-, tuki- ja viestintätiedot sekä yrityksen edustajan käyttöehtojen ja DPA:n hyväksynnän versionumero ja ajankohta.
- Ilmaisen pilotin asiakkuuden hallinnan tiedot. Mahdollinen maksullinen tilaus edellyttää tulevaisuudessa erillistä hyväksyntää; palvelu ei tällä hetkellä käsittele maksukorttitietoja.
Tietoja saadaan käyttäjän rekisteröityessä, yrityksen kutsuessa käyttäjän, palvelua käytettäessä sekä yhteydenottojen ja sopimussuhteen aikana.
3. Käsittelyn tarkoitukset ja oikeusperusteet
| Tarkoitus | Oikeusperuste |
|---|---|
| Käyttäjätilin ja yrityksen työtilan tarjoaminen, kirjautuminen sekä asiakastuki | Sopimuksen täytäntöönpano, kun rekisteröity itse on sopimuksen osapuoli; muissa tilanteissa oikeutettu etu toteuttaa sovittu yrityspalvelu ja hallinnoida käyttäjäoikeuksia. |
| Tietoturva, väärinkäytösten ehkäisy ja palvelun toimintavarmuus | Oikeutettu etu suojata palvelua, yrityksiä ja käyttäjiä; soveltuvin osin lakisääteinen velvoite. |
| Kirjanpito, lakisääteiset laskuasiakirjat ja viranomaisvelvoitteet | Lakisääteinen velvoite. |
| Asiakkuuden viestintä ja sopimusten hallinnointi | Sopimus tai yrityksen palvelusuhteeseen liittyvä oikeutettu etu tilanteen mukaan. |
Tilvir ei käytä tämän selosteen perusteella tietoja käyttäjien profilointiin suoramarkkinointia varten. Mahdollinen myöhemmin käyttöönotettava suoramarkkinointi edellyttää erillistä lainmukaisen perusteen ja informoinnin arviointia.
4. Kenelle tietoja luovutetaan?
Tietoja voivat käsitellä vain tehtäviensä perusteella oikeutetut henkilöt sekä palvelun toimittamiseen tarvittavat sopimuksenmukaiset alikäsittelijät, esimerkiksi pilvi-infrastruktuurin, sähköpostien lähettämisen tai tietoturvasuojauksen tarjoajat.
Palvelun tekniset toimittajat: Alla oleva luettelo sisältää käytetyt palvelut. Osapuolten käsittelijä- tai rekisterinpitäjärooli vaihtelee käsittelytilanteittain. Sopimusten ja siirtoperusteiden erillinen vahvistus vaaditaan ennen lakitekstien julkaisua.
| Palveluntarjoaja | Käyttötarkoitus | Käsittelyalue |
|---|---|---|
| Laravel Holdings Inc. (Laravel Cloud) | Tilvirin sovelluksen ja MySQL-tietokannan isännöinti, varmuuskopiointi ja ylläpito | MySQL-tietokanta: Frankfurt, Saksa (EU); palvelun muu käsittely, ylläpito ja toimittajaketju voivat ulottua ETA:n ulkopuolelle |
| Planeetta Internet Oy (Domainhotelli) | Tilvirin SMTP-sähköpostien lähetys ja sähköpostipalvelu | Suomi; palveluntarjoajan yleinen palvelinalue Helsinki. SMTP-palvelun tarkat tietovirrat ja alihankkijat vahvistettava. |
| Cloudflare, Inc. (Turnstile) | Rekisteröitymisen bottisuojaus ja siihen liittyvät tekniset signaalit | Globaali palvelu; mahdollista henkilötietojen käsittelyä ETA:n ulkopuolella |
Tietoja voidaan lisäksi luovuttaa lakisääteisen velvoitteen tai asianmukaisen viranomaispyynnön perusteella.
5. Kansainväliset tietojensiirrot
Palveluntarjoajien käsittely- ja ylläpitoalueet sekä mahdolliset EU/ETA-alueen ulkopuoliset siirrot selvitetään käyttöönotetun palveluketjun mukaan. Mahdolliset siirrot on perustettava soveltuvaan siirtoperusteeseen, kuten Euroopan komission tietosuojan riittävyyspäätökseen tai vakiosopimuslausekkeisiin tarvittavine lisäsuojatoimineen.
Tilvirin vahvistettu tietovirtojen ja siirtojen kuvaus: Tilvirin MySQL-tietokanta sijaitsee Frankfurtissa (EU). Laravel Cloudin ylläpitoon ja Cloudflare Turnstileen voi liittyä henkilötietojen käsittelyä ETA:n ulkopuolella, kuten Yhdysvalloissa. Mahdollisiin ETA:n ulkopuolisiin siirtoihin on sovellettava GDPR:n V luvun siirtoperustetta, kuten komission riittävyyspäätöstä tai vuoden 2021 vakiosopimuslausekkeita tarvittavine lisäsuojatoimineen. Tarkempia siirtoperustetietoja saa osoitteesta info@tilvir.fi.
6. Kuinka kauan tietoja säilytetään?
Henkilötiedot säilytetään vain niiden käyttötarkoituksen ja soveltuvien lakisääteisten velvoitteiden edellyttämän ajan. Alla kuvataan sovitut tavoitteet ja nykyiset tekniset rajoitukset. Yritys- ja käyttäjätilien automaattiset poistot sekä audit-lokien siivous pidetään pois käytöstä, kunnes niiden todellinen tuotantototeutus on erikseen hyväksytty; tapauskohtainen dokumentoitu käsittely on mahdollista.
| Tietoryhmä | Säilytysaika tai poistokriteeri |
|---|---|
| Käyttäjätilit ja asiakkuuteen liittyvät tiedot | Tavoite: vain päättyneeseen asiakkuuteen liittyvät, muissa yrityksissä käyttämättömät käyttäjätilit poistetaan 90 päivän kuluessa päättymisestä. Poisto käsitellään hallitusti; automatiikka ei ole käytössä ennen erillistä käyttöönottohyväksyntää. Lakisääteiset säilytysperusteet ja yhteiskäyttöiset tunnukset rajataan pois. |
| Kirjautumis- ja tietoturvatapahtumat | Tilvirin omien audit-tapahtumien suunniteltu säilytysaika on 180 päivää; siivous tapahtuu vain erillisellä hyväksytyllä siivouskytkimellä. Aktiiviset tietoturvatutkinnan säilytyslukot voivat pidentää aikaa. Infrastruktuuri- ja sähköpostilokeilla voi olla omat säilytysaikansa. |
| Yritysasiakkaan sisältödata | Asiakkuuden päättyessä annetaan 30 päivän tietojen vientiaika; sisältödatan poistotavoite on viimeistään 60 päivää päättymisestä. Poistaminen edellyttää todettua vientimenettelyä ja erillistä operatiivista hyväksyntää. Laskut, muut säilytysvelvollisuudet, oikeusriidat ja vanhat liitteet voivat edellyttää erillistä käsittelyä ja pidempää säilytystä. |
| Varmuuskopiot | Laravel Cloudin MySQL-tietokannan automaattisia varmuuskopioita säilytetään 30 päivää, minkä jälkeen ne poistuvat palveluntarjoajan säilytyskierron mukaisesti. |
| Kirjanpitoaineisto | Sovellettavan kirjanpitolainsäädännön edellyttämä aika. |
7. Tietoturva
Tilvirin tavoitteena on rajoittaa tietojen käyttö niiden tehtävien mukaisesti, joihin käyttäjälle on annettu oikeus. Käytössä olevien suojausten ja varmistusten todellinen tila tarkistetaan ennen asiakaskäyttöä. Käyttäjien on pidettävä tunnuksensa salassa ja käytettävä tarjottuja kaksivaiheisia tunnistautumismenetelmiä.
Palveluntarjoaja käsittelee tietoturvapoikkeamat sovellettavien velvoitteiden mukaisesti ja ilmoittaa henkilötietojen tietoturvaloukkauksista niitä koskevien vastuiden ja sopimusten perusteella.
8. Rekisteröidyn oikeudet
Sinulla voi tilanteesta riippuen olla oikeus saada pääsy tietoihisi, oikaista niitä, vaatia niiden poistamista, rajoittaa käsittelyä, vastustaa oikeutettuun etuun perustuvaa käsittelyä sekä saada soveltuvat tiedot siirrettyä järjestelmästä toiseen. Oikeudet eivät ole ehdottomia, esimerkiksi lakisääteiset säilytysvelvoitteet voivat rajoittaa poistamista.
Voit lähettää pyynnön osoitteeseen info@tilvir.fi . Henkilöllisyytesi voidaan varmistaa asianmukaisesti. Mikäli pyyntö koskee Tilvirin asiakasyrityksen omia loppuasiakastietoja, pyyntö ohjataan rekisterinpitäjänä toimivalle asiakasyritykselle. Tietosuojaa koskeviin pyyntöihin vastataan tavallisesti yhden kuukauden kuluessa, ellei lainmukainen pidennys sovellu.
Voit myös tehdä valituksen tietosuojavaltuutetun toimistolle.
9. Evästeet ja vastaavat tekniikat
Palvelu käyttää toiminnalleen välttämättömiä tekniikoita esimerkiksi kirjautumisistunnon ylläpitoon ja lomakkeiden CSRF-suojaukseen. Välttämättömät evästeet eivät yleensä edellytä erillistä suostumusta, mutta niistä informoidaan.
Jos käyttöön otetaan valinnaista analytiikkaa, markkinointitekniikoita tai muita ei-välttämättömiä evästeitä, niistä kerrotaan ennen niiden käyttöä ja tarvittava suostumus pyydetään. Rekisteröitymisen bottisuojauksessa käytetään Cloudflare Turnstilea. Turnstile voi käsitellä esimerkiksi IP-osoitetta, selaimen teknisiä ominaisuuksia ja väärinkäytön tunnistamiseen tarvittavia signaaleja. Cloudflare kuvaa käsittelyn myös omassa Turnstile-tietosuojailmoituksessaan. Tilvir ei käyttäjän ilmoituksen mukaan käytä erillistä markkinointianalytiikkaa tai maksunvälityspalvelua nykyisessä pilotissa.
10. Automaattinen päätöksenteko
Tässä kuvattuja henkilötietoja ei käytetä GDPR:n 22 artiklassa tarkoitettuun yksinomaan automaattiseen päätöksentekoon, jolla olisi käyttäjään kohdistuvia oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia. Palvelussa voi olla automaattisia väärinkäytön esto- ja lähetysrajoituksia.
11. Selosteen muutokset
Tietosuojaselostetta päivitetään, kun henkilötietojen käsittely muuttuu. Olennaisista muutoksista tiedotetaan käyttäjille tarkoituksenmukaisesti. Selosteen ajantasainen versio ja voimaantulopäivä näkyvät tämän sivun alussa.