Tietosuojaseloste

1. Rekisterinpitäjä

Jyri Puhakka (toiminimi Krasis)

Y-tunnus: 3338223-6
Postiosoite: Kontiontie 9 B 12, 02110 Espoo
Sähköposti: hello@tilaajavastuupaketti.fi

Rekisterinpitäjä vastaa henkilötietojen käsittelystä EU:n yleisen tietosuoja-asetuksen (GDPR 2016/679) ja Suomen tietosuojalain (1050/2018) mukaisesti. Tietosuoja-asioissa ota yhteyttä yllä mainittuun sähköpostiosoitteeseen.

2. Kerättävät henkilötiedot

Palvelu käsittelee seuraavia tietoja:

• Kirjautumistiedot: Sähköpostiosoite, nimi ja Googlen pysyvä käyttäjätunniste (OAuth sub-tunniste, jota käytetään tilin yksilöintiin kirjautumisten välillä) Google-kirjautumisen kautta (mikäli käytetty).
• Maksutiedot: Stripe-maksunvälittäjä käsittelee maksutapahtuman. Emme itse näe emmekä tallenna maksukorttinumeroita — saamme ainoastaan maksun ID:n ja tapahtuman tilan.
• Käyttötiedot: Raportin luontiaika, käsitelty Y-tunnus ja maksun viitetunnus.
• Liitedokumentit: Käyttäjän lataamat alkuperäiset tiedostot (verotodistukset, vakuutustodistukset jne.) käsitellään ainoastaan selaimessa eikä niitä lähetetä palvelimelle eikä tallenneta tietokantaan. Tiedostoista koostettu PDF-raportti sen sijaan lähetetään sähköpostiin Resend-palvelun kautta (ks. alla).
• Sähköpostiviestit ja PDF-kooste: Maksun jälkeen generoitu PDF-kooste lähetetään automaattisesti käyttäjän sähköpostiosoitteeseen. Tätä varten kooste siirretään rekisterinpitäjän palvelun kautta Resend Inc. -sähköpostipalveluun, joka toimii rekisterinpitäjän lukuun tietojenkäsittelijänä (GDPR 28 art.). Resend käsittelee koosteen välityksen ajan ja tallentaa metatiedot (vastaanottaja, lähetysaika, toimitustila) omien käytäntöjensä mukaisesti. Käyttäjä hyväksyy koosteen välityksen Resendin tietojenkäsittelyehtojen mukaisesti. Alkuperäisiä liitetiedostoja ei tallenneta rekisterinpitäjän palvelimille.
• Raportin tunnistemerkintä: Jokaiseen luotuun PDF-koosteeseen upotetaan koneluettava tunnistemerkintä, joka sisältää raportin tunnuksen, yrityksen Y-tunnuksen ja koosteen luontipäivän. Merkinnän tarkoitus on koosteen aitouden ja alkuperän todentaminen. Merkintä on osa käyttäjälle toimitettavaa asiakirjaa; sitä ei tallenneta erikseen rekisterinpitäjän palvelimille.

3. Käyttötarkoitukset ja oikeusperusteet

Henkilötietoja käytetään ainoastaan seuraaviin tarkoituksiin. Jokaisen tarkoituksen kohdalla on mainittu GDPR:n mukainen käsittelyn oikeusperuste.

• Palvelun tuottaminen ja raportin toimittaminen

  Käyttäjäprofiilin ylläpito, PDF-koosteen generointi ja toimitus sähköpostiin.

  Oikeusperuste: Sopimuksen täytäntöönpano (GDPR art. 6(1)(b))

• Maksutapahtumat ja kirjanpito

  Maksun todentaminen, ostokuitin toimittaminen ja kirjanpitovelvoitteen täyttäminen (kirjanpitolaki 7 v.).

  Oikeusperuste: Lakisääteinen velvoite (GDPR art. 6(1)(c))

• Tekninen kehitys, virheiden korjaus ja tietoturva

  Anonymisoitu käyttödata palvelun laadun parantamiseen ja tietoturvan ylläpitoon.

  Oikeusperuste: Oikeutettu etu (GDPR art. 6(1)(f)) — intressi: palvelun luotettavuus ja tietoturva

• Kävijäanalytiikka ja mainonnan mittaus

  Palvelun käytön mittaaminen (Google Analytics) ja mainonnan toimivuuden seuranta (Google Ads -konversiot). Käytetään vain, jos annat siihen suostumuksen evästebannerissa. Ilman suostumusta näitä evästeitä ei aseteta; Googlelle välittyy tällöin vain nimetön, evästeetön signaali ilman pysyvää tunnistetta (Google Consent Mode).

  Oikeusperuste: Suostumus (GDPR art. 6(1)(a))

Emme myy henkilötietoja kolmansille osapuolille. Analytiikka- ja mainosmittausta tehdään ainoastaan suostumuksellasi (ks. kohta 9 Evästeet), ja voit peruuttaa suostumuksen milloin tahansa.

4. Dokumenttien käsittely selaimessa

Käyttäjän lataamat alkuperäiset tiedostot (verotodistukset, vakuutustodistukset jne.) käsitellään täysin selaimessa JavaScript-koodilla. Tiedostot yhdistetään PDF-raporttiin selaimen muistissa. Alkuperäiset tiedostot eivät siirry palvelimelle eivätkä tallennu tietokantaan, ja ne poistuvat selaimen muistista raportin lataamisen jälkeen automaattisesti.

Selaimessa koostettu PDF-raportti lähetetään sen sijaan käyttäjän sähköpostiin Resend-palvelun kautta. Tältä osin data poistuu käyttäjän laitteelta ja siirtyy kolmannen osapuolen käsiteltäväksi rekisterinpitäjän lukuun — tarkemmin kuvattu kohdassa 2 (Sähköpostiviestit ja PDF-kooste) sekä kohdassa 5 (Resend Inc.).

Referenssityökaluun syötetyt tiedot, myös asiakkaiden yhteyshenkilöiden nimet ja yhteystiedot sekä yrityksen logo, käsitellään selaimessa. Keskeneräinen luonnos säilyy vain käyttäjän selaimen paikallisessa tallennustilassa enintään 24 tuntia. Valmis referenssiluettelo lähetetään käyttäjän sähköpostiin Resend-palvelun kautta samalla tavalla kuin raportti, eikä sitä tallenneta palvelun tietokantaan. Tietokantaan kirjataan ostosta vain yrityksen nimi, Y-tunnus ja tuotteen tyyppi. Jos käyttäjä ei poista valintaa, PDF:ään liitetään samat tiedot koneluettavana liitteenä, jotta luetteloa voi myöhemmin päivittää. Liitteessä ei ole käyttölupia eikä luottamuksellisen asiakkaan nimeä. Kun käyttäjä lataa aiemman PDF:n takaisin työkaluun, tiedosto luetaan selaimessa eikä sitä lähetetä palvelimelle.

Palvelu pyytää käyttäjää merkitsemään liitteet ohjauksellisessa tarkoituksessa: tarkoituksena on varmistaa, että käyttäjä hankkii ja tallentaa tarvittavat dokumentit itse ennen selvityksen lähettämistä eteenpäin.

5. Tietojen luovuttaminen ja siirrot ETA-alueen ulkopuolelle

Luovutamme tietoja ainoastaan seuraaville alihankkijoille palvelun tuottamiseksi:

• Stripe Inc. ETA-alueen ulkopuolelle siirto

  Maksunvälitys. Stripe käsittelee maksutapahtuman tiedot, joihin voi sisältyä nimi ja sähköpostiosoite. Stripe toimii osin Yhdysvalloissa. Siirto tapahtuu EU-U.S. Data Privacy Frameworkin (DPF) ja/tai EU:n komission hyväksymien vakiosopimuslausekkeiden (SCC) nojalla.

  stripe.com/fi/privacy

• Supabase Inc.

  Tietokannan isännöinti. Tallentaa kirjautumistiedot (sähköposti, nimi), raporttitunnisteet ja maksuviitteet. Palvelimet sijaitsevat EU-alueella (Frankfurt).

  supabase.com/privacy

• Google LLC ETA-alueen ulkopuolelle siirto

  OAuth-kirjautuminen. Google vastaanottaa kirjautumisen yhteydessä tunnistetiedot. Google toimii osin Yhdysvalloissa; siirto tapahtuu vakiosopimuslausekkeiden (SCC) nojalla.

  policies.google.com/privacy

• Google Ireland Ltd. / Google LLC — Analytics & Ads ETA-alueen ulkopuolelle siirto vain suostumuksella

  Kävijäanalytiikka (Google Analytics 4) ja mainonnan konversiomittaus (Google Ads). Käsittelee vasta suostumuksesi jälkeen mm. IP-osoitteen, selain- ja laitetietoja sekä evästetunnisteita palvelun käytön ja ostotapahtumien mittaamiseen. Google toimii osin Yhdysvalloissa; siirto tapahtuu vakiosopimuslausekkeiden (SCC) ja EU–U.S. Data Privacy Frameworkin nojalla. Käytämme Google Consent Mode -toimintoa: ennen suostumusta evästeitä ei aseteta, ja Googlelle välittyy vain nimetön, evästeetön signaali ilman pysyvää tunnistetta.

  policies.google.com/privacy

• Resend Inc. ETA-alueen ulkopuolelle siirto

  Sähköpostinvälitys. Resend käsittelee ja välittää PDF-koosteen liitteenä käyttäjän sähköpostiosoitteeseen. Resend tallentaa metatiedot (vastaanottaja, lähetysaika, toimitustila) omien lokikäytäntöjensä mukaisesti. Resend toimii osin Yhdysvalloissa; siirto tapahtuu vakiosopimuslausekkeiden (SCC) nojalla.

  resend.com/legal/privacy-policy

Muille tahoille ei luovuteta tietoja ilman lakisääteistä velvoitetta tai nimenomaista suostumusta.

6. Säilytysajat

• Käyttäjäprofiili: Niin kauan kuin tili on aktiivinen. Tili katsotaan passiiviseksi, jos kirjautumisia ei ole 24 kuukauden aikaan — passiiviset tilit poistetaan ilman erillistä ilmoitusta. Tili voidaan poistaa myös käyttäjän pyynnöstä tai palvelun lopettuessa.
• Maksutapahtumatiedot: 7 vuotta (kirjanpitolain vaatimus).
• Käyttölokit: Enintään 90 päivää.
• Liitedokumentit: Ei tallenneta — käsitellään vain käyttäjän selaimessa.

7. Rekisteröidyn oikeudet (GDPR)

EU:n tietosuoja-asetuksen mukaan sinulla on oikeus:

• Tarkastusoikeus (15 art.) — saada tieto itseäsi koskevista tiedoista.
• Oikaisupyyntö (16 art.) — korjata virheelliset tiedot.
• Poisto-oikeus (17 art.) — pyytää tietojen poistamista ("oikeus tulla unohdetuksi"), ellei lakisääteinen velvoite estä.
• Käsittelyn rajoittamisoikeus (18 art.) — pyytää henkilötietojesi käsittelyn rajoittamista tietyissä tilanteissa, esimerkiksi tietojen oikeellisuuden tarkistamisen ajaksi.
• Siirto-oikeus (20 art.) — saada tiedot koneluettavassa muodossa.
• Vastustamisoikeus (21 art.) — vastustaa tiettyä tietojen käsittelyä.

Palvelu ei tee automaattista päätöksentekoa eikä profilointia, jolla olisi sinuun oikeudellisia tai vastaavia merkittäviä vaikutuksia (GDPR 22 art.).

Kävijäanalytiikka ja mainonnan mittaus (Google Analytics ja Google Ads) perustuvat suostumukseesi (GDPR 6 art. 1 kohta a). Sinulla on oikeus peruuttaa suostumus milloin tahansa (7 art. 3 kohta) sivun alatunnisteen ”Evästeasetukset”-linkistä ilman, että se vaikuttaa ennen peruuttamista suoritetun käsittelyn lainmukaisuuteen. Palvelun muu käsittely (tilin ylläpito, maksut, raportin toimitus) ei perustu suostumukseen vaan yllä kohdassa 3 mainittuihin oikeusperusteisiin.

Pyyntöihin vastataan 30 päivän kuluessa. Ota yhteyttä: hello@tilaajavastuupaketti.fi

Sinulla on myös oikeus tehdä valitus tietosuojavaltuutetulle: tietosuoja.fi

8. Tietoturva

Kaikki liikenne palvelun ja selaimen välillä on salattu HTTPS-protokollalla. Tietokanta on suojattu käyttöoikeustasoin ja sijaitsee EU-alueella. Maksuliikenne kulkee PCI-DSS-sertifioidun Stripen kautta emmekä koske maksukorttitietoihin.

9. Evästeet

Käytämme kahdenlaisia evästeitä:

• Välttämättömät evästeet: Istuntoevästeet kirjautumistilan ylläpitämiseen. Nämä ovat teknisesti välttämättömiä palvelun toiminnalle eivätkä vaadi erillistä suostumusta.
• Analytiikka- ja mainosevästeet (Google Analytics ja Google Ads): Näitä käytetään palvelun käytön mittaamiseen ja mainonnan toimivuuden seurantaan. Ne asetetaan vain, jos annat siihen suostumuksen sivustolla näytettävässä evästebannerissa. Käytämme Google Consent Mode -toimintoa: ennen suostumustasi evästeitä ei aseteta, ja Google saa ainoastaan nimettömän, evästeettömän signaalin (ns. cookieless ping) ilman pysyvää tunnistetta.

Voit muuttaa tai peruuttaa suostumuksesi milloin tahansa sivun alatunnisteen ”Evästeasetukset”-linkistä. Peruuttaminen ei vaikuta ennen peruuttamista tehdyn käsittelyn lainmukaisuuteen.

10. Käytännön muutokset

Päivitämme tätä käytäntöä tarvittaessa. Oleellisista muutoksista ilmoitamme palvelussa. Jatkamalla palvelun käyttöä hyväksyt tietosuojakäytännön.