Tietosuojaseloste
Versio 2026-10-26 · EU:n yleinen tietosuoja-asetus (2016/679) 13–14 art. ja tietosuojalaki (1050/2018)
1. Rekisterinpitäjä
ChaosBuddy Oy, Y-tunnus 3648800-1, Lukkarinkatu 11 B 14, 21100 Naantali. Tietosuoja-asiat: [tietosuoja@yritys.fi].
2. Kaksi roolia
- Rekisterinpitäjänä käsittelemme ChaosBuddyn käyttäjätilien tietoja (tämä seloste).
- Henkilötietojen käsittelijänä käsittelemme tietoja, joita asiakasorganisaatiot tallentavat palveluun omista asiakkaistaan, osallistujistaan, työntekijöistään, esiintyjistään ja yhteyshenkilöistään (myös julkisen esiintyjälomakkeen kautta saadut tiedot). Näiden tietojen rekisterinpitäjä on asiakasorganisaatio, ja käsittelyä ohjaa henkilötietojen käsittelysopimus. Ota näissä asioissa yhteyttä kyseiseen organisaatioon.
3. Käsiteltävät tiedot
- Tilitiedot: nimi, sähköposti, salasanan tiiviste (emme näe salasanaa), kieliasetus, käyttöehtojen hyväksymisaika.
- Käyttöön liittyvät tiedot: organisaatiojäsenyydet ja roolit, sinulle osoitetut tehtävät, jättämäsi kulukorvaukset ja kuitit.
- Tekniset tiedot: kirjautumisajat ja muutoslokin merkinnät (kuka muutti mitä ja milloin – ei muutettuja sisältöjä).
4. Käsittelyn tarkoitukset ja oikeusperusteet
| Tarkoitus | Oikeusperuste |
|---|---|
| Palvelun tarjoaminen ja käyttäjätilin hallinta | Sopimus (6 art. 1 b) |
| Kirjanpitoaineiston (laskut, kulukorvaukset) säilyttäminen | Lakisääteinen velvoite (6 art. 1 c), kirjanpitolaki 2:10 § |
| Tietoturva ja väärinkäytösten estäminen, muutosloki | Oikeutettu etu (6 art. 1 f) |
Emme käytä tietojasi markkinointiin, profilointiin tai automaattiseen päätöksentekoon emmekä myy niitä.
5. Säilytysajat
- Käyttäjätili: kunnes poistat sen (Asetukset → Poista tilini).
- Kirjanpitoaineisto: vähintään 6 vuotta sen vuoden lopusta, jona tilikausi päättyi (kirjanpitolaki 2:10 §). Tilin poistamisen jälkeen kulukorvauksiin jää vain nimesi.
- Muutosloki: 24 kuukautta; laskuihin, kulukorvauksiin ja maksuihin liittyvät merkinnät 6 vuotta sen vuoden lopusta, jona ne kirjattiin (kirjausketju, kirjanpitolaki 2:5 §).
- Tiedostot: poistetaan, kun dokumentti, tili tai organisaatio poistetaan (viimeistään seuraavana yönä). Varmuuskopioista tiedot poistuvat varmuuskopioiden säilytysajan kuluessa.
- Osallistujatiedot: asiakasorganisaation valitsema aika (oletus 24 kk viimeisestä tapahtumasta); ruokavaliotiedot poistetaan 30 päivää tapahtuman jälkeen.
- Esiintyjälomakkeen kautta lähetetyt tiedot: poistetaan automaattisesti 12 kuukauden kuluttua.
- Viestit ja niiden liitteet: asiakasorganisaation valitsema aika (oletus 24 kuukautta). Lähettäjä voi poistaa oman viestinsä milloin tahansa. Kun henkilö poistetaan organisaatiosta, hän ei enää näe sen keskusteluja.
6. Vastaanottajat ja siirrot EU:n ulkopuolelle
Käytämme seuraavia alihankkijoita. Tietokanta ja tiedostot sijaitsevat EU:ssa, ja sovelluksen palvelinkoodi ajetaan EU:ssa (Frankfurt). Alihankkijat ovat yhdysvaltalaisia yhtiöitä, joten niillä voi olla pääsy tietoihin EU:n ulkopuolelta esimerkiksi ylläpidon yhteydessä. Tällaiset siirrot perustuvat EU:n komission vakiosopimuslausekkeisiin tai EU–USA-tietosuojakehykseen, ja olemme arvioineet niiden riskit.
| Alihankkija | Tarkoitus | Sijainti ja suojatoimet |
|---|---|---|
| Supabase Inc. | Tietokanta, tunnistautuminen, tiedostot, reaaliaikaisuus | EU (valittu alue), USA-yhtiö – EU:n vakiosopimuslausekkeet |
| Vercel Inc. | Sovelluksen hosting | EU (Frankfurt), USA-yhtiö – EU–USA-tietosuojakehys ja vakiosopimuslausekkeet |
| Resend Inc. | Ilmoitussähköpostit | USA – EU:n vakiosopimuslausekkeet |
7. Evästeet
Käytämme vain palvelun toiminnalle välttämättömiä evästeitä: kirjautumisistunto (Supabase), kielivalinta (lang) ja valittu organisaatio (org). Lisäksi selaimesi tallentaa laitteellesi käyttöliittymäasetuksia (suljetut valikkoryhmät, viimeksi avatut sivut, kalenterin ja etusivun näkymä) sekä Chaos Bot -keskusteluhistoriasi. Ne eivät lähde laitteeltasi. Keskustelun voi poistaa botin näkymässä, ja kaikki tiedot poistuvat tyhjentämällä selaimen tiedot. Emme käytä analytiikka- tai mainosevästeitä, joten suostumusta ei tarvita (laki sähköisen viestinnän palveluista 205 §).
8. Oikeutesi
- Oikeus saada pääsy tietoihin ja siirtää ne: Asetukset → Lataa omat tietoni (JSON).
- Oikeus tietojen oikaisemiseen: muokkaa profiiliasi tai ota yhteyttä.
- Oikeus tietojen poistamiseen: Asetukset → Poista tilini. Lakisääteisesti säilytettävä kirjanpitoaineisto säilyy (17 art. 3 b).
- Oikeus vastustaa käsittelyä ja rajoittaa sitä.
- Oikeus tehdä valitus valvontaviranomaiselle: Tietosuojavaltuutetun toimisto, tietosuoja.fi.
Vastaamme pyyntöihin kuukauden kuluessa osoitteessa [tietosuoja@yritys.fi]. Jos pyyntö on laaja tai monimutkainen, määräaikaa voidaan jatkaa enintään kahdella kuukaudella; kerromme siitä ensimmäisen kuukauden aikana (12 art. 3 kohta).
9. Tietoturva
Salattu yhteys (HTTPS), rivitason käyttöoikeudet tietokannassa (organisaatiot eivät näe toistensa tietoja), yksityinen tiedostotallennus lyhytaikaisilla linkeillä ja tiedostotyyppirajoituksilla, roolipohjaiset oikeudet, muutosloki, kutsujen ja julkisen lomakkeen käyttörajat sekä automaattiset tietoturvatestit kehityksen aikana. Ilmoitamme tietoturvaloukkauksista Tietosuojavaltuutetulle 72 tunnin kuluessa ja tarvittaessa sinulle (33–34 art.).