Tietoturva

Päivitetty 29.7.2026

Tämä sivu kertoo miten palvelu suojaa asiakasyritysten tietoja ja mitä siitä voi todentaa. Se on kirjoitettu luettavaksi myös ostopäätöstä tekevälle, ei vain kehittäjälle.

Emme väitä palvelun olevan täysin turvallinen — sellaista lupausta ei voi pitää. Sen sijaan jokainen alla oleva väite on rakenteellinen: se pätee siksi että järjestelmä on rakennettu niin, ei siksi että joku muistaa toimia oikein.

Kuka omistaa tiedot

Nuohousyritys on rekisterinpitäjä omien asiakkaidensa tiedoille. Nuohous.net on käsittelijä eli tekninen alusta. Emme käytä asiakasyritysten asiakastietoja mihinkään omaan tarkoitukseen, emmekä myy tai luovuta niitä.

Yritysten välinen eristys

• Jokaisessa asiakaskohtaisessa tietokantataulussa on organisaatiotunniste ja PostgreSQL:n rivitason suojaus pakotettuna. Kysely ilman yrityskontekstia ei palauta riviäkään.
• Suojauskäytännöt generoidaan tietokannan rakenteesta — niitä ei kirjoiteta käsin taulu kerrallaan. Uusi taulu ei siis voi jäädä vahingossa suojaamatta, ja automaattinen testi vaatii että jokainen taulu on joko eristetty tai kirjattu perusteltuna poikkeuksena.
• Jokaiselle rajapinnalle luodaan automaattisesti testi, jossa toisen yrityksen tunnuksilla haetaan toisen yrityksen tietoa. Vastaus on "ei löydy" — ei "ei oikeuksia", jottei edes tiedon olemassaolo paljastu.
• Sovelluksen tietokantatunnus ei omista yhtään taulua eikä voi ohittaa rivitason suojausta.

Kirjautuminen ja pääsy

• Salasanoja ei ole. Kirjautuminen tapahtuu Google-tunnistautumisella tai sähköpostiin lähetettävällä kertakoodilla, joten palvelussa ei ole salasanatietokantaa joka voisi vuotaa.
• Ylläpitonäkymämme ei näytä asiakastietoja. Näemme yrityksen käyttäjät, profiilin ja laskutustilan, mutta emme yhtäkään asiakasta, työtä tai nuohoustodistusta. Käyttäjien sähköpostiosoitteet näkyvät peitettyinä.
• Julkinen hakemisto luetaan erillisellä tunnuksella, jolla on lukuoikeus vain julkaistuihin profiileihin ja palvelualueisiin — ei mihinkään muuhun.

Muuttumattomat tiedot

• Laskutustapahtumia ei voi muokata eikä poistaa kukaan — ei myöskään palveluntarjoaja. Tietokantaliipaisin estää sen, ja korjaus tehdään aina uutena hyvitysrivinä. Lasku on siksi jälkikäteen todennettavissa.
• Audit-loki on samalla tavalla muuttumaton: hyvitykset, mitätöinnit ja tietojen poistot jäävät jälkeen, eikä jälkeä voi siistiä.
• Vahvistettu nuohoustodistus on muuttumaton. Korjaus on uusi versio, ja sisällöstä lasketaan tarkistussumma, jolla asiakirjan eheys voidaan todentaa jälkikäteen.

Tietojen minimointi

• Nuohoustodistuksen sisällössä ei ole henkilötietoja. Asiakkaaseen viitataan vain tunnisteella, ja nimi liitetään vasta PDF:ää muodostettaessa.
• Asiakkaan tietojen poisto korvaa nimen ja poistaa yhteystiedot. Työhistoria säilyy ilman henkilötietoja, koska nuohoustodistus on lakisääteinen asiakirja.
• Yhteydenottopyyntöjen henkilötiedot poistetaan 90 päivän kuluttua, jos pyyntö ei johda työhön.

Missä tiedot sijaitsevat

Tietokanta ja sovellus ovat EU-alueella (Tukholma). Alihankkijat on lueteltu tietosuojaselosteessa, ja lista pidetään ajan tasalla samassa muutoksessa jossa pino muuttuu. Tietosuojaseloste

Varmuuskopiot ja palautus

Tietokannasta otetaan varmuuskopiot, ja palautus on koeponnistettu — viimeksi 29.7.2026, jolloin koko tietokanta palautettiin tyhjään ympäristöön ja tarkistettiin rivi riviltä lähdettä vastaan. Testasimme myös että nuohoustodistusten tarkistussummat täsmäävät palautuksen jälkeen ja että laskutustapahtumat pysyvät muuttumattomina. Emme lupaa palautusaikaa sopimustasona, mutta kerromme milloin palautus on viimeksi oikeasti tehty.

Mitä emme lupaa

Nämä kannattaa tietää ennen ostopäätöstä, ja kerromme ne itse ennemmin kuin annamme niiden löytyä myöhemmin.

• Palveluntarjoajalla on yksi henkilö, jolla on tekninen pääsy tuotantoympäristöön. Ylläpitonäkymä ei näytä asiakastietoja, mutta tietokannan ylläpito edellyttää pääsyä — kuten jokaisessa ylläpidetyssä palvelussa.
• Palvelulla ei ole ISO 27001- tai vastaavaa sertifiointia. Se on tietoinen valinta pilottivaiheessa; kuvaamme mieluummin mitä oikeasti teemme.
• Palvelu on uusi. Pisin mahdollinen käyttökokemus on lyhyt, eikä sitä voi korvata väitteillä.

Tietojenkäsittelysopimus

Asiakasyrityksenä olet rekisterinpitäjä ja me käsittelijä, joten väliltämme tarvitaan tietosuoja-asetuksen 28 artiklan mukainen sopimus. Pyydä se osoitteesta info@nuohous.net.

Löysitkö haavoittuvuuden

Kerro siitä meille suoraan, niin korjaamme sen. Emme ryhdy oikeustoimiin sellaista vastaan, joka raportoi löydöksen vilpittömästi eikä käytä sitä väärin tai vahingoita muiden tietoja. info@nuohous.net