Tietosuojaseloste
Rekisterinpitäjä
Rekisterinpitäjä on Leanex Oy (Suomi). Tietosuoja-asioissa tavoitat meidät osoitteesta tietosuoja@leanex.fi. Vastaamme pyyntöihin viimeistään kuukauden kuluessa.
Palvelun tarjoaa Leanex Oy (Y-tunnus 2823738-4, ALV-tunniste FI28237384), Helsinki.
Mitä tietoja käsittelemme
Tilistäsi tallennamme nimen, sähköpostiosoitteen, salasanan tiivisteenä, kielivalinnan ja organisaationimen, jos annat sen. Tehtävistä tallennamme tekijöiden nimet ja sähköpostiosoitteet sekä tekijöiden antamat tilannearviot ja kommentit — nämä tiedot syöttää tehtävän luonut koordinaattori. Kun tekijä ilmoittaa poissaolostaan, tallennamme hänen nimensä, sähköpostiosoitteensa, poissaolon aikavälin ja hänen itse kirjoittamansa syyn. Sidosryhmäraporttien vastaanottajista tallennamme nimen ja sähköpostiosoitteen. Salkkukutsuista tallennamme kutsutun sähköpostiosoitteen. Lähetetyistä viesteistä säilytämme kopion viestiarkistossa. Kirjautumisistunnoista tallennamme IP-osoitteen ja selaimen tiedot. Pilottilomakkeella keräämme sähköpostiosoitteesi ja nimesi, jos annat sen.
Itserekisteröityneestä tilistä tallennamme myös tiedon siitä, onko sähköpostiosoite varmennettu, ja varmennuksen ajankohdan. Tietoturvaa ja väärinkäytösten selvittämistä varten pidämme tapahtumalokia: turvallisuuden kannalta merkittävistä tapahtumista — kuten kirjautumisista ja niiden yrityksistä, sähköpostin varmennuksista, salasanan vaihdoista ja palautuspyynnöistä, tilin poistoista, ylläpidon toimista ja API-avainten hallinnasta — tallennamme aikaleiman, tapahtumatyypin, IP-osoitteen, selaimen tiedot, tilin tunnisteen sekä tapahtuman selvittämiseen tarvittavat rajatut lisätiedot, kuten kirjautumisyrityksessä käytetyn sähköpostiosoitteen. Jos otat käyttöön AI-rajapinnan (Pro), tallennamme luomastasi API-avaimesta antamasi nimen, avaimen yksisuuntaisen tiivisteen, tunnistamista helpottavan lyhyen otteen avaimen alusta ja lopusta, likimääräisen viimeisimmän käyttöajan sekä avaimelle valitsemasi oikeustason, valitsemasi kokoelmarajauksen (kaikki kokoelmat vai vain valitut) ja ne tehtäväkokoelmat, joihin avain on rajattu. Avain tallennetaan lisäksi salattuna, jotta voit kopioida sen myöhemmin uudelleen tilisivultasi; jokainen nouto kirjataan tapahtumalokiin. Kun pyydät lisätiedot sähköpostiisi etusivun lomakkeella, tallennamme osoitteen ja pyynnön ajankohdan; nimeä emme kysy. Jos koordinaattori nimeää tehtävälle eskalointiyhteyshenkilön, tallennamme hänen nimensä ja sähköpostiosoitteensa — ja kerromme hänelle nimeämisestä viestillä.
Kun tilaat Pron, tallennamme Stripen antaman asiakas- ja tilaustunnisteen, tilauksen tilan, laskutuskauden päättymispäivän ja tiedon siitä, päättyykö tilaus kauden lopussa. Korttitietojasi emme näe missään vaiheessa: annat ne suoraan Stripelle, ja meille palautuu vain tunniste. Laskutusosoite ja mahdollinen alv-tunniste jäävät Stripen puolelle laskua ja verolaskentaa varten.
Mihin käytämme tietoja
Käytämme tietoja palvelun tuottamiseen: tehtävien seurantaan, muistutuksiin, eskalaatioihin ja raportteihin. Tilitietojen käsittely perustuu sopimukseen (GDPR 6.1.b). Tekijöiden ja sidosryhmien tietojen käsittely perustuu oikeutettuun etuun (GDPR 6.1.f): koordinaattori on käynnistänyt tehtävien seurannan, ja jokaisesta viestistä käy ilmi, mistä on kyse ja kuka seurannan aloitti. Pilottilomakkeen tietojen käsittely perustuu suostumukseesi (GDPR 6.1.a). Emme käytä tietoja markkinointiin emmekä myy tai luovuta niitä ulkopuolisille. Ainoat tietoja käsittelevät tahot ovat kohdassa 5 mainitut alihankkijat, jotka toimivat ohjeidemme mukaan ja tietojenkäsittelysopimuksella — he eivät ole GDPR:n tarkoittamia kolmansia osapuolia.
Tietoturvalokin, lomakkeiden bottitarkistusten ja API-avainten hallintatietojen käsittely perustuu oikeutettuun etuumme (GDPR 6.1.f) suojata palvelua ja käyttäjätilejä sekä selvittää väärinkäytöksiä. Lisätietopyynnön käsittely perustuu suostumukseesi (GDPR 6.1.a): osoitetta käytetään vain pyytämäsi yhden viestin lähettämiseen, eikä sitä liitetä postituslistaan. AI-rajapinta (Pro) antaa valitsemallesi tekoälyagentille tai muulle järjestelmälle pääsyn omistamiesi kokoelmien tietoihin sinun avaimillasi ja toimeksiannostasi — huomaa, että näihin tietoihin sisältyy myös tekijöiden ja sidosryhmien henkilötietoja. Kun siirrät tietoja rajapinnan kautta ulkopuoliseen palveluun, sinä tai organisaatiosi vastaatte siitä, että siirrolle ja jatkokäsittelylle on asianmukainen peruste ja riittävät suojatoimet. Wayfinissä tapahtuvasta käsittelystä vastaamme edelleen me tämän selosteen mukaisesti.
Maksullisen tilauksen käsittely perustuu sopimukseen (GDPR 6.1.b): ilman tilaustunnistetta emme tietäisi, mitä olet ostanut ja mihin asti. Kirjanpito- ja arvonlisäverovelvoitteet ovat lakisääteinen velvoite (GDPR 6.1.c) — tositteita on säilytettävä silloinkin, kun pyydät tilisi poistoa.
Kuinka kauan säilytämme tietoja
Tilisi ja sen sisältö säilyvät, kunnes poistat tilin tai pyydät poistoa. Viestiarkiston viestit poistamme viimeistään 12 kuukauden kuluttua lähetyksestä. Kirjautumisistunnot poistamme 90 päivän kuluttua, joten kirjaudut sisään uudelleen viimeistään noin kolmen kuukauden välein. Tekijän ilmoittaman poissaolon tiedot poistamme viimeistään 6 kuukauden kuluttua poissaolon päättymisestä — ja aiemmin, jos poissaolo ei enää liity yhteenkään tehtäväkokoelmaan. Pilottilomakkeen yhteystiedot poistamme viimeistään 6 kuukauden kuluttua, jos pilotti ei toteudu kanssasi. Poistot ajetaan automaattisesti.
Varmentamattoman itserekisteröidyn tilin poistamme 7 päivän kuluttua, jos tilillä ei ole yhtään kokoelmaa eikä jäsenyyttä. Tietoturvalokin tapahtumat poistamme viimeistään 12 kuukauden kuluttua kirjauksesta. Voimassa olevan API-avaimen tiedot säilyvät, kunnes peruutat avaimen tai poistat tilisi; peruutetun avaimen tietueen poistamme viimeistään 12 kuukauden kuluttua peruutuksesta. Lisätietopyynnön osoitteen poistamme samassa 6 kuukauden ikkunassa kuin muutkin lomakkeella jätetyt yhteystiedot.
Tilauksen tiedot säilyvät niin kauan kuin tilisi on olemassa. Maksutositteet ovat eri asia: kirjanpitolaki velvoittaa säilyttämään ne kuusi vuotta sen kalenterivuoden lopusta, jonka aikana tilikausi päättyy. Ne jäävät siis Stripelle ja kirjanpitoomme myös tilin poiston jälkeen. Muut tilisi tiedot poistamme niin kuin edellä lupaamme.
Missä tiedot sijaitsevat ja ketkä niitä käsittelevät
Palvelu toimii EU:ssa sijaitsevalla palvelimella (Hostinger). Kun sähköpostien lähetys on käytössä, viestit välittää SMTP2GO EU-alueen palvelimiltaan (Amsterdam) tietojenkäsittelysopimuksella. Palveluntarjoaja on uusiseelantilainen Sand Dune Mail Ltd, ja Uusi-Seelanti kuuluu EU-komission tietosuojan riittävyyspäätöksen piiriin.
Rekisteröitymissivulla botit torjuu Cloudflare Turnstile: Cloudflare, Inc. käsittelee puolestamme tarkistustunnistetta, IP-osoitettasi ja selaimen teknisiä signaaleja tietojenkäsittelysopimuksella, ja tietoja voidaan käsitellä myös Yhdysvalloissa. Cloudflare on sertifioitu EU:n ja Yhdysvaltain välisen Data Privacy Framework -järjestelyn mukaisesti, ja sen sopimus sisältää myös EU:n vakiosopimuslausekkeet. Käytämme tarkistusta vain väärinkäytön torjuntaan, emme mainontaan tai profilointiin.
Maksut välittää Stripe. Sopimuskumppanimme on Stripe Payments Europe, Limited (Irlanti), joka käsittelee maksutapahtuman tiedot puolestamme tietojenkäsittelysopimuksella. Stripe käsittelee tietoja myös Yhdysvalloissa; siirtoa suojaavat EU:n vakiosopimuslausekkeet, ja Stripen yhdysvaltalainen yhtiö on sertifioitu EU:n ja Yhdysvaltain välisen Data Privacy Framework -järjestelyn mukaisesti. Petostentorjunnassa Stripe toimii lisäksi omana rekisterinpitäjänään — sitä käsittelyä ohjaa Stripen oma tietosuojaseloste, ei tämä.
Tuotannon virhetilanteet kirjataan Sentryyn (Functional Software, Inc.), jotta vika näkyy meille ennen kuin ehdit ilmoittaa siitä. Tiedot käsitellään EU-alueella. Lähetys on rajattu virheen teknisiin tietoihin: emme lähetä IP-osoitteita, evästeitä emmekä pyyntöjen sisältöä. Käsittely perustuu oikeutettuun etuumme (GDPR 6.1.f) pitää palvelu toimivana.
Evästeet
Käytämme vain välttämättömiä evästeitä. Kirjautumiseväste pitää sinut kirjautuneena. Tekninen istuntoeväste muistaa kielivalintasi ja sen, oletko jo nähnyt sidosryhmäraportin esittelyn, ja suojaa lomakkeet väärinkäytöltä; se vanhenee, kun suljet selaimen. Seuranta- tai markkinointievästeitä ei ole, joten evästebanneria ei tarvita.
Rekisteröitymissivun bottitarkistus (kohta 5) voi käyttää tarkistuksen toteuttamiseen välttämätöntä evästettä tai selaimen teknistä tallennustilaa. Sitäkään ei käytetä seurantaan eikä markkinointiin.
Maksusivu on Stripen omalla verkkotunnuksella, ja Stripe asettaa siellä petostentorjuntaan tarvittavat evästeet. Ne ovat Stripen sivulla, eivät Wayfinin, eikä niitä käytetä mainontaan.
Oikeutesi
Sinulla on oikeus tarkastaa tietosi, pyytää niiden oikaisua tai poistoa, rajoittaa käsittelyä ja vastustaa sitä. Voit poistaa tilisi itse tilisivulta. Myös tehtävän tekijä ja raportin vastaanottaja voivat pyytää tietojensa tarkastusta tai poistoa suoraan meiltä: tietosuoja@leanex.fi. Jos katsot, että käsittelemme tietoja väärin, voit valittaa tietosuojavaltuutetulle (tietosuoja.fi).
Organisaatioasiakkaat
Kun organisaatiosi ottaa Wayfinin käyttöön, tietojen käsittelyyn sovelletaan tietojenkäsittelysopimusta (DPA), joka on luettavissa palvelussa. Siinä organisaatiosi toimii rekisterinpitäjänä ja Leanex käsittelijänä, ja se luettelee myös käyttämämme aliprosessorit. Palvelun käyttö organisaation lukuun muodostaa sopimuksen hyväksynnän — erillistä allekirjoitusta ei tarvita.
Muutokset tähän selosteeseen
Jos muutamme selostetta olennaisesti, kerromme siitä palvelussa. Sivun alusta näet, milloin seloste on viimeksi päivitetty.