Tässä selosteessa kerromme, miten Aatosmaailma tmi (3103020-2) käsittelee henkilötietoja EU:n yleisen tietosuoja-asetuksen (GDPR) ja Suomen tietosuojalain mukaisesti Aleksis-palvelun tarjoamisessa.
1. Rekisterinpitäjä
Aatosmaailma tmi
Y-tunnus: 3103020-2
Suomi
Tietosuoja-asiat: miska@aatosdigital.fi
2. Mitä tietoja käsittelemme
Käyttäjä (asiakkaamme)
- Nimi, sähköposti, salasanan tiiviste
- Työtilan tiedot, jäsenroolit, kutsut
- Laskutus- ja maksutiedot (käsittelijänä Stripe)
- Käyttölokit (kirjautumiset, IP-osoite, käyttäjäagentti)
Ladatut sisällöt
- Dokumentit, verkkosivustojen sisällöt ja Q&A-parit, jotka lataat tietopankkiin
- Näistä muodostetut tekstipätkät ja vektoriesitykset (embeddings)
Loppukävijät (asiakkaasi verkkosivulla)
- Kävijän anonyymi tunniste (visitor_id, cookie)
- Chat-viestit ja niiden aikaleimat
- Vapaaehtoisesti annetut yhteystiedot (liidikeruu)
- Sivuston osoite ja selaimen käyttäjäagentti
3. Käsittelyn tarkoitukset ja oikeusperusteet
- Palvelun tarjoaminen — sopimuksen täytäntöönpano (GDPR 6(1)(b))
- Laskutus ja kirjanpito — lakisääteinen velvoite (GDPR 6(1)(c))
- Palvelun kehittäminen ja tietoturva — oikeutettu etu (GDPR 6(1)(f))
- Markkinointiviestintä — suostumus (GDPR 6(1)(a)), voit perua koska tahansa
Emme käytä ladattua sisältöäsi tai loppukävijöiden viestejä tekoälymallien kouluttamiseen.
4. Säilytysajat
- Tilitiedot: tilin voimassaoloajan + 30 päivää
- Laskutusdata: 6 vuotta (kirjanpitolaki 2 luku 10§)
- Käyttölokit: 12 kuukautta
- Chat-keskustelut: kunnes poistat ne, tai enintään 24 kk viimeisimmästä viestistä
- Tietopankin sisällöt: kunnes poistat ne
5. Alikäsittelijät ja tietojen siirto
Toimimme asiakkaidemme puolesta henkilötietojen käsittelijänä (GDPR 28 artikla) ja käytämme seuraavia alikäsittelijöitä. Käytön ehdoista sovitaan tietojenkäsittelysopimuksessa (DPA), ja jokaisen alikäsittelijän kanssa on solmittu vastaava sopimus.
- Supabase (Lovable Cloud) (Supabase Inc. / Lovable Labs Incorporated) — Tietokanta, autentikointi, tiedostotallennus (EU (Frankfurt))
- OpenAI (OpenAI Ireland Ltd.) — Tekoälyvastaukset ja embeddings (ensisijainen malli) (USA / globaali)
- Lovable AI Gateway (Lovable Labs Incorporated) — varapolku — Tekoälyvastausten varapolku, jos ensisijainen malli ei vastaa (EU / globaali)
- Cloudflare (Cloudflare, Inc.) — Sovelluksen ajoympäristö, CDN ja tietoturva (Globaali)
- Stripe (Stripe Payments Europe, Ltd.) — Maksujen käsittely ja laskutus (Irlanti / USA)
- Resend (Resend, Inc.) — Sähköpostien lähetys (mm. tukipyynnöt ja ilmoitukset) (EU / USA)
- Freshdesk (Freshworks) (Freshworks Inc.) — Tukitiketin luonti, kun asiakas lähettää tukipyynnön (vain jos työtila on ottanut integraation käyttöön) (EU / globaali)
Tekoälyvastaukset ja hakuvektorit tuotetaan ensisijaisesti OpenAI:n rajapinnalla. Jos se ei ole käytettävissä, käytämme varapolkuna Lovable AI Gatewayta. Kumpikaan toimittaja ei käytä asiakkaan sisältöä mallien kouluttamiseen sopimustemme mukaan. Näissä kutsuissa tietoja voi käsitellä EU/ETA-alueen ulkopuolella EU-komission vakiosopimuslausekkeiden (SCC) turvin.
Tietopankin sisällöt, chat-lokit ja käyttäjätiedot tallennetaan EU-alueella (Frankfurt, Saksa). Yksittäisen kysymyksen käsittely tekoälymallissa ja sovelluksen ajoympäristössä voi tapahtua EU:n ulkopuolella yllä kuvatuin suojatoimin.
Kaikkien käsittelijöiden kanssa on solmittu tietojenkäsittelysopimus (DPA). Kun tietoja siirretään EU/ETA-alueen ulkopuolelle, siirto perustuu EU-komission vakiosopimuslausekkeisiin (SCC) tai vastaavaan suojatoimeen.
6. Sinun oikeutesi
Sinulla on oikeus:
- Saada tietää, mitä tietoja sinusta käsittelemme (art. 15)
- Vaatia virheellisten tietojen korjaamista (art. 16)
- Vaatia tietojesi poistamista (art. 17)
- Rajoittaa tai vastustaa käsittelyä (art. 18 ja 21)
- Siirtää tiedot toiseen järjestelmään koneluettavassa muodossa (art. 20)
- Tehdä valitus tietosuojavaltuutetun toimistolle (tietosuoja.fi)
Voit hallita ja poistaa työtilasi tiedot itsepalveluna sovelluksesta tai lähettää pyynnön osoitteeseen miska@aatosdigital.fi.
7. Tietoturva
Käytämme salattua yhteyttä (TLS), tietokannan rivitason käyttöoikeuksia (RLS), salasanojen tiivistämistä ja säännöllistä varmuuskopiointia. Henkilötietojen loukkauksesta ilmoitamme viranomaisille 72 tunnin sisällä ja tarvittaessa rekisteröidyille ilman aiheetonta viivytystä.
8. Muutokset
Päivitämme selostetta palvelun kehittyessä. Merkittävistä muutoksista ilmoitamme käyttäjille sähköpostitse tai sovelluksessa.