Tietojenkäsittelysopimus
Versio 1.1, voimassa 17.10.2026 alkaen sen hyväksyneille yrityksille (kohta 12). Julkaistu osoitteessa nuohous.net/kasittelysopimus. Tämä tiedosto on sivun ainoa lähde: sivu renderöi tämän tekstin, joten julkaistu sopimus ei voi erota siitä mitä täällä lukee.
Muutokset edelliseen versioon nähden. Versio 1.0 tuli voimaan 11.8.2026, ja sitä sovelletaan edelleen yrityksiin, jotka ovat hyväksyneet sen mutta eivät vielä versiota 1.1 (kohta 12). Muutokset:
- Käsiteltäviin tietoihin lisättiin asiakkaan asiointikieli ja yhteydenottopyynnön lomakkeen kieli (kohta 2). Ne poistetaan samalla tavalla kuin muut asiakkaan ja pyynnön henkilötiedot (kohta 9).
- Alihankkijoihin lisättiin Pingen tulevaa kirjeiden lähetystä varten (kohta 6). Se ei ole vielä käytössä.
- Kohtaan 6 lisättiin palveluntarjoajan velvollisuus sitoa alihankkijat samoihin tietosuojavelvoitteisiin ja vastuu niistä (28 artiklan 4 kohta).
- Kohta 9 kertoo tarkemmin, mitä asiakkaan poiston jälkeen säilyy.
- Kohta 12 kertoo, miten uusi versio hyväksytään ja mitä siihen asti sovelletaan.
Tämä on liite palvelun käyttöehtoihin ja täyttää yleisen tietosuoja-asetuksen (EU 2016/679) 28 artiklan 3 kohdan vaatimuksen kirjallisesta sopimuksesta rekisterinpitäjän ja käsittelijän välillä.
Sisältö on kirjoitettu vastaamaan sitä mitä järjestelmä tosiasiassa tekee, ei yleistä mallipohjaa. Jokainen tekninen väite alla on todennettavissa koodista tai dokumentaatiosta, ja viittaukset on merkitty. Jos toteutus muuttuu, tämä muuttuu samassa PR:ssä.
1. Osapuolet ja roolit
Rekisterinpitäjä: palvelua käyttävä nuohousyritys.
Käsittelijä: Turunen Safety Studios (Y-tunnus 2694418-1), jäljempänä "palveluntarjoaja".
Roolijako on sama kuin tietosuojaselosteessa: nuohousyritys on rekisterinpitäjä omien asiakkaidensa tiedoille (asiakasrekisteri, kohteet, työt, nuohoustodistukset, yhteydenottopyynnöt). Palveluntarjoaja käsittelee näitä tietoja yksinomaan rekisterinpitäjän lukuun.
Palveluntarjoaja on itse rekisterinpitäjä omista tiedoistaan: käyttäjätilit, yritystiedot ja laskutus. Ne eivät kuulu tämän sopimuksen piiriin vaan tietosuojaselosteen piiriin.
2. Käsittelyn kohde, kesto, luonne ja tarkoitus
Kohde: rekisterinpitäjän asiakkaiden ja kohteiden henkilötiedot.
Kesto: sopimussuhteen ajan sekä kohdassa 9 kuvatun palautus- ja poistoajan.
Luonne ja tarkoitus: tietojen tallentaminen, järjestäminen, näyttäminen ja välittäminen palvelun tuottamiseksi: työnohjaus, asiakasrekisteri, lakisääteisen nuohoustodistuksen laatiminen ja toimittaminen sekä yhteydenottopyyntöjen välittäminen.
Rekisteröityjen ryhmät: rekisterinpitäjän asiakkaat (kuluttajat ja yritykset) sekä palvelun kautta yhteydenottopyynnön jättäneet.
Henkilötietoryhmät:
- nimi, sähköpostiosoite, puhelinnumero
- kohteen katuosoite ja postinumero
- tulisija- ja hormitiedot sekä havaitut viat
- työhistoria ja nuohoustodistukset
- yhteydenottopyynnön vapaa viesti
- yhteydenottopyynnön yhteydessä kuluttajan oma ilmoitus siitä, onko hän asioinut yrityksen kanssa aiemmin (kyllä / ei vastausta)
- asiointikieli: kieli, jolla rekisterinpitäjän asiakkaalle lähetetään viestit ja nuohoustodistus, sekä yhteydenottopyynnön lomakkeen kieli (suomi tai ruotsi)
Erityisiä henkilötietoryhmiä ei käsitellä. Palvelussa ei ole kenttää terveystiedoille eikä muille 9 artiklan tiedoille, eikä niitä pyydetä missään lomakkeessa.
3. Rekisterinpitäjän ohjeet
Palveluntarjoaja käsittelee henkilötietoja vain rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti. Palvelun käyttöehdot ja tämä sopimus muodostavat nämä ohjeet.
Palveluntarjoaja ilmoittaa rekisterinpitäjälle, jos ohje on palveluntarjoajan näkemyksen mukaan tietosuojalainsäädännön vastainen.
4. Luottamuksellisuus
Henkilötietoihin pääsevät vain ne henkilöt, joiden on välttämätöntä päästä niihin palvelun tuottamiseksi, ja heitä sitoo salassapito.
Palveluntarjoajalla on tällä hetkellä yksi henkilö, jolla on tekninen pääsy tuotantoympäristöön. Tämä kerrotaan avoimesti, koska rekisterinpitäjän on voitava arvioida riski.
5. Turvatoimet (32 artikla)
Seuraavat ovat käytössä ja todennettavissa:
Asiakaskohtainen eristys tietokantatasolla. Jokaisessa asiakaskohtaisessa taulussa on organisaatiotunniste ja PostgreSQL:n rivitason suojaus pakotettuna (`FORCE ROW LEVEL SECURITY`). Käytännöt generoidaan tietokannan luettelosta, ei kirjoiteta käsin taulukohtaisesti. Näin uusi taulu ei voi jäädä vahingossa suojaamatta. Automaattinen testi vaatii, että jokainen taulu on joko asiakaskohtaisesti eristetty tai kirjattu perusteltuna poikkeuksena.
Sovellusrooli ei omista mitään. Sovelluksen tietokantarooli ei omista tauluja eikä voi ohittaa rivitason suojausta. Kaikki tietokantakäyttö kulkee repository-kerroksen läpi, joka asettaa asiakaskontekstin transaktiossa.
Ristiin pääsy on testattu, ei oletettu. Jokaiselle rajapinnalle generoidaan automaattinen testi: toisen asiakkaan tunnuksella tehty pyyntö toisen asiakkaan resurssiin palauttaa "ei löydy". Vastaus ei ole "kielletty", jottei resurssin olemassaoloakaan paljastuisi.
Laskutus- ja lokitiedot ovat muuttumattomia. Laskutustapahtumia ja audit-lokia ei voi muokata eikä poistaa kukaan, ei myöskään palveluntarjoaja, koska tietokantaliipaisin estää sen.
Todistuksen sisällössä ei ole henkilötietoa. Nuohoustodistuksen sisältöosassa asiakkaaseen viitataan vain tunnisteella. Nimi ja osoite liitetään vasta PDF:ää muodostettaessa.
Salasanoja ei ole. Kirjautuminen tapahtuu Google-tunnistautumisella tai sähköpostiin lähetettävällä kertakoodilla, joten palvelussa ei ole salasanatietokantaa.
Ylläpitonäkymä ei näytä asiakastietoja. Palveluntarjoajan ylläpitonäkymässä näkyvät yrityksen käyttäjät, profiili ja laskutustila, mutta ei yhtäkään asiakasta, työtä tai nuohoustodistusta. Käyttäjien sähköpostiosoitteet näytetään peitettyinä.
Siirto ja levossa oleva data. Liikenne on salattu (HTTPS), ja tietokanta on alihankkijan salaama levossa.
Varmuuskopiot ja koeponnistettu palautus. Tietokannasta otetaan varmuuskopiot, ja palautus on testattu viimeksi 29.7.2026, jolloin koko tietokanta palautettiin tyhjään ympäristöön ja verrattiin lähteeseen taulu kerrallaan. Samalla todennettiin, että viimeisteltyjen nuohoustodistusten tarkistussummat täsmäävät palautuksen jälkeen ja että laskutustapahtumat pysyvät muuttumattomina. Palveluntarjoaja ei lupaa palautusaikaa sopimustasona, mutta kertoo milloin palautus on viimeksi tehty. Menettely: `docs/palautusharjoitus.md`.
Ajantasainen tekninen kuvaus: nuohous.net/tietoturva
6. Alihankkijat (28 artiklan 2 ja 4 kohta)
Rekisterinpitäjä antaa yleisen ennakkohyväksynnän alla luetelluille alihankkijoille. Palveluntarjoaja ilmoittaa muutoksista vähintään 30 päivää etukäteen, ja rekisterinpitäjä voi vastustaa muutosta; jos vastustus estää palvelun tuottamisen, rekisterinpitäjä voi irtisanoa sopimuksen ilman seuraamuksia. Palveluntarjoaja sitoo alihankkijansa kirjallisella sopimuksella samoihin tietosuojavelvoitteisiin kuin tässä sopimuksessa ja vastaa rekisterinpitäjälle alihankkijoidensa velvoitteiden täyttämisestä (28 artiklan 4 kohta).
| Alihankkija | Tehtävä | Mitä henkilötietoja se käsittelee | Sijainti |
|---|---|---|---|
| Supabase | tietokanta ja kirjautuminen | kaikki kohdan 2 tiedot | EU |
| Fly.io | sovelluksen ajoympäristö | kaikki kohdan 2 tiedot käsittelyn aikana | Tukholma |
| Resend (Plus Five Five, Inc.) | sähköpostin toimitus | vastaanottajan osoite sekä viestin sisältö: nuohoustodistuksen linkki ja palvelupyynnön yhteystiedot (nimi, puhelin, sähköposti, osoite, vapaa viesti) | Yhdysvallat; siirtoperusteena EU:n vakiosopimuslausekkeet ja EU:n ja Yhdysvaltain välinen Data Privacy Framework |
| Stripe (Stripe Technology Company, Limited) | palveluntarjoajan oma laskutus nuohousyritykselle | ei rekisterinpitäjän asiakastietoja. Vain yrityksen nimi, Y-tunnus, laskutusosoite ja koostesummat | Irlanti (Stripen päätoimipaikka EU:ssa); siirrot Yhdysvaltoihin vakiosopimuslausekkeilla ja Data Privacy Frameworkilla |
| Pingen (Pingen GmbH) | kirjeiden tulostus ja postitus, ei vielä käytössä | kirjeen vastaanottajan nimi ja postiosoite sekä kirjeen sisältö, esimerkiksi nuohoustodistus | Sveitsi, jolla on EU:n komission tietosuojan riittävyyspäätös. Suomeen menevät kirjeet tulostaa SPS Outline AG (Sveitsi), ja ne kuljettaa Swissmail International AG (Sveitsi) tai DHL Global Mail (Deutsche Post AG, Saksa) Postille jaettavaksi |
Stripe-rivi on tarkistettu koodista 29.7.2026: laskuriveille lähetetään senttisummat ja tapahtumatyyppi, ei yhtäkään kuluttajan tietoa. Resendin osuus laajeni 29.7.2026, kun palvelupyynnöistä alettiin lähettää ilmoitus yritykselle. Sitä ennen sähköpostitse kulki vain todistuslinkki, nyt myös kuluttajan yhteystiedot.
Pingen ei ole vielä käytössä. Se on mukana tässä versiossa, jotta nuohoustodistusten, muistutusten ja muiden kirjeiden lähettäminen rekisterinpitäjän omille asiakkaille voidaan myöhemmin ottaa käyttöön ilman uutta sopimusversiota. Kirjeet muille kuin rekisterinpitäjän asiakkaille, esimerkiksi kampanjakirjeet ostettuihin osoitteisiin, edellyttävät uutta versiota, koska kohdan 2 rekisteröityjen ryhmät eivät kata niiden vastaanottajia. Pingen saa tietoja vain niistä kirjeistä, jotka rekisterinpitäjä itse lähettää palvelun kautta. Käyttöönotosta ilmoitetaan vähintään 30 päivää etukäteen, ja rekisterinpitäjä voi vastustaa sitä samoin kuin muita alihankkijamuutoksia. Ennen käyttöönottoa palveluntarjoaja tekee Pingenin kanssa kirjallisen sopimuksen, jossa Pingenille asetetaan samat tietosuojavelvoitteet kuin tässä sopimuksessa (28 artiklan 4 kohta). Pingenille ei siirretä mitään tietoja ennen käyttöönottoa.
Ajantasainen lista käytössä olevista alihankkijoista on tietosuojaselosteessa osoitteessa nuohous.net/tietosuoja.
Siirrot EU:n ulkopuolelle. Resend käsittelee tietoja Yhdysvalloissa. Siirto perustuu Euroopan komission hyväksymiin vakiosopimuslausekkeisiin ja siihen, että Resend on sertifioitunut EU:n ja Yhdysvaltain väliseen Data Privacy Frameworkiin. Stripen sopimuskumppani on irlantilainen yhtiö, ja sen omat siirrot Yhdysvaltoihin nojaavat samoihin järjestelyihin. Tiedot on tarkistettu alihankkijoiden omista ehdoista 11.8.2026. Pingen käsittelee tietoja Sveitsissä, ja Suomeen menevät kirjeet kuljetetaan Sveitsin tai Saksan kautta. Sveitsillä on Euroopan komission riittävyyspäätös, ja Saksa on EU:n jäsenvaltio, joten nämä siirrot eivät tarvitse vakiosopimuslausekkeita. Pingenin omat alihankkijat on lueteltu sen julkisessa alihankkijalistassa. Kirjeiden tulostajien ja kuljettajien lisäksi kirjeen vastaanottajan nimeä tai osoitetta käsittelevät niistä Mailgun Technologies, Inc. (Pingenin sähköposti-ilmoitukset palveluntarjoajalle) ja Unwired Labs (India) Pvt Ltd (osoitteen muuntaminen sijaintikoordinaateiksi, kun Pingen poistaa osoitteen). Pingen ilmoittaa molempien käsittelypaikaksi EU:n. Asiakastukeen ja sähköpostiin Pingen käyttää yhdysvaltalaisia palveluja, kuten Help Scoutia, Googlea ja Slackia. Palveluntarjoaja ei lähetä Pingenille tukipyynnöissä henkilötietoja. Pingenin tiedot on tarkistettu sen alihankkijalistasta (versio 1.8, päivätty 1.8.2026) 17.10.2026.
Tekoälytyökalut kehityksessä ja ylläpidossa. Palveluntarjoaja käyttää ohjelmiston kehittämisessä ja alustan ylläpidossa tekoälyavusteisia työkaluja (mm. Anthropic Claude). Ne eivät ole tämän sopimuksen alihankkijoita, koska niillä ei käsitellä rekisterinpitäjän henkilötietoja. Tämä pidetään totta työtapasäännöllä (linjaus 31.7.2026):
- Tekoälytyökaluihin ei viedä henkilötietoja: ei tuotannon asiakastietoja, yhteystietoja eikä näkymiä joissa niitä on (esim. toimitus- ja riitautusjonot).
- Vianselvitys tehdään pseudonymisoidulla tai keksityllä datalla. Tuotannosta saa lukea vain sisältöä jossa ei ole henkilötietoja (hinnasto, etusivun sisältö, koodi, lokien virheluokat).
- Jos työtapa joskus muuttuu niin, että henkilötietoa kulkisi tekoälytyökalun kautta, työkalun tarjoaja lisätään ensin kohdan 6 alihankkijataulukkoon siirtoperusteineen. Sääntö puretaan kirjaamalla, ei lipsumalla.
Tuotteessa itsessään ei ole tekoälytoimintoja, joten EU:n tekoälyasetuksen (2024/1689) velvoitteet eivät koske palvelua. Jos tuotteeseen myöhemmin lisätään tekoälyominaisuus, sen läpinäkyvyysvelvoitteet (mm. 50 artikla) arvioidaan ennen julkaisua ja tämä kohta päivitetään.
7. Avustaminen rekisterinpitäjää
Palveluntarjoaja avustaa rekisterinpitäjää:
- Rekisteröidyn oikeuksien toteuttamisessa. Palvelussa on toiminnot asiakkaan tietojen katseluun, oikaisuun ja poistoon, joten rekisterinpitäjä voi toteuttaa pyynnöt itse ilman erillistä yhteydenottoa.
- Tietoturvaloukkauksen käsittelyssä kohdan 8 mukaisesti.
- Vaikutustenarvioinnissa ja ennakkokuulemisessa kohtuullisessa laajuudessa.
8. Tietoturvaloukkaukset (33 artikla)
Palveluntarjoaja ilmoittaa rekisterinpitäjälle ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa siitä, kun se on tullut tietoiseksi rekisterinpitäjän tietoja koskevasta tietoturvaloukkauksesta.
Ilmoitus sisältää loukkauksen luonteen, arvion koskevista rekisteröidyistä ja tietoryhmistä, todennäköiset seuraukset sekä tehdyt ja ehdotetut toimenpiteet. Rekisterinpitäjä vastaa ilmoituksesta valvontaviranomaiselle ja rekisteröidyille.
9. Tietojen palautus ja poisto
Sopimuksen päättyessä rekisterinpitäjä voi pyytää tietonsa koneluettavassa muodossa. Pyyntö on esitettävä 30 päivän kuluessa päättymisestä.
Tämän jälkeen palveluntarjoaja poistaa henkilötiedot 90 päivän kuluessa, lukuun ottamatta:
- kirjanpitolain edellyttämää laskutusaineistoa
- nuohoustodistusten sisältöä, joka on lakisääteinen asiakirja ja jossa ei ole henkilötietoja
Poisto asiakastasolla korvaa nimen ja poistaa yhteystiedot ja asiointikielen. Työhistoria säilyy, koska todistus on lakisääteinen. Siihen jäävät kohteen katuosoite, joka näkyy todistuksessa, tieto siitä, millä kielellä kukin todistus lähetettiin, sekä rekisterinpitäjän omat muistiinpanot työstä, joissa voi olla henkilötietoja.
Yhteydenottopyynnöt poistuvat ilman erillistä pyyntöä. Jos pyyntö ei johda asiakassuhteeseen, sen henkilötiedot (nimi, sähköposti, puhelin, osoite, vapaa viesti ja lomakkeen kieli) poistetaan automaattisesti 90 päivän kuluttua ajastetussa ajossa. Rivi itse jää tilastotiedoksi ilman henkilötietoja.
Asiakastason poisto on toteutettu palveluun 29.7.2026 ja yhteydenottopyyntöjen ajastettu poisto 17.10.2026. Kielitiedot kuuluvat molempiin 17.10.2026 alkaen.
Ulosvienti on itsepalveluna Profiili-sivulla: omistaja tai pääkäyttäjä lataa kaikki yrityksen tiedot yhtenä JSON-tiedostona (asiakkaat, kohteet, tulisijat, työt, todistukset, palvelupyynnöt, lähetykset, muistutukset sekä laskutushistoria). Lataus kirjautuu audit-lokiin.
Poisto tehdään palveluntarjoajan toimesta rekisterinpitäjän pyynnöstä. Se ei ole itsepalvelutoiminto: toimenpide on peruuttamaton ja poistaa vuosien tiedot, ja tämä sopimus antaa sille joka tapauksessa 30 + 90 päivän ikkunan. Suorittaminen edellyttää yrityksen Y-tunnuksen kirjoittamista vahvistukseksi, ja poiston jälkeen järjestelmä lukee taulut uudelleen ja raportoi, jäikö yhtään tunnistavaa kenttää jäljelle.
10. Auditointi (28 artiklan 3 kohdan h alakohta)
Palveluntarjoaja antaa rekisterinpitäjälle pyynnöstä tiedot, jotka ovat tarpeen tämän sopimuksen noudattamisen osoittamiseksi, ja sallii auditoinnit. Auditoinnista sovitaan etukäteen, se tehdään virka-aikana eikä se saa vaarantaa muiden asiakkaiden tietoturvaa.
Rekisterinpitäjä vastaa auditoinnin kustannuksista, ellei auditointi paljasta olennaista puutetta.
11. Sopimuksen etusija
Ristiriitatilanteessa tämä sopimus syrjäyttää käyttöehdot henkilötietojen käsittelyn osalta.
12. Hyväksyminen ja voimaantulo
Sopimus hyväksytään palvelussa, ei erillisellä allekirjoituksella. Rekisteröityessään yritys hyväksyy tämän sopimuksen: hyväksyntä on kirjattu rekisteröitymislomakkeeseen napin yläpuolelle. Ennen version 1.0 julkaisua rekisteröityneet yritykset hyväksyvät sopimuksen työlistan yläreunassa näkyvästä kortista. Molemmissa tapauksissa hyväksynnän voi antaa vain yrityksen omistaja tai pääkäyttäjä, koska vain he voivat sitoutua yrityksen puolesta.
Hyväksynnästä tallennetaan kolme tietoa: sopimuksen versionumero, hyväksymishetki ja hyväksynyt käyttäjä. Versionumero on olennainen, koska ilman sitä myöhemmin ei tiedettäisi mihin tekstiin yritys sitoutui. Yritys näkee oman hyväksyntänsä tiedot pyynnöstä.
Uusi versio on uusi sopimus. Kun tämän sopimuksen sisältö muuttuu olennaisesti, versionumero kasvaa ja hyväksyntä pyydetään uudelleen; vanha hyväksyntä ei kata uutta versiota. Kirjoitusvirheiden korjaukset ja muut sisältöä muuttamattomat täsmennykset eivät kasvata versionumeroa.
Version 1.1 hyväksyminen. Version 1.0 hyväksyneet yritykset hyväksyvät version 1.1 samasta työlistan kortista. Kortti ei estä palvelun käyttöä. Hyväksyntään asti yritykseen sovelletaan versiota 1.0: palvelu ei tallenna sen asiakkaiden asiointikieltä eikä yhteydenottopyyntöjen lomakkeen kieltä, eikä Pingen käsittele sen tietoja. Versio 1.0 ei estä lähettämästä yksittäistä nuohoustodistusta ruotsiksi eikä valitsemasta yritykselle oletuskieltä, koska kumpikaan ei tallenna kieltä asiakkaan tietoihin. Palveluun jää kuitenkin tieto siitä, millä kielellä kukin todistus lähetettiin (kohta 9). Version 1.0 teksti toimitetaan pyynnöstä. Aiempi hyväksyntä säilyy palvelun muuttumattomassa lokissa, kun uusi versio hyväksytään.
Aiheeseen liittyvät sivut: Tietosuojaseloste · Tietoturva