Tässä selosteessa kerrotaan, miten Mooseville Industries Oy käsittelee henkilötietoja rekisterinpitäjänä. Seloste täyttää EU:n yleisen tietosuoja-asetuksen (2016/679, jäljempänä tietosuoja-asetus) 13 ja 14 artiklan mukaisen tiedonantovelvollisuuden. Käsittelyyn sovelletaan lisäksi tietosuojalakia (1050/2018).
1 Rekisterinpitäjä
Mooseville Industries Oy (Y-tunnus 3014886-6, jäljempänä yhtiö) Aurorankatu 9 A 2, 00100 Helsinki
Yhteyshenkilö tietosuoja-asioissa: Rami Hirvelä, rami@rhirvela.com, 050 328 3421
Yhtiöllä ei ole tietosuoja-asetuksen 37 artiklassa tarkoitettua tietosuojavastaavaa, koska nimittämisen edellytykset eivät täyty.
2 Selosteen soveltamisala
Tämä seloste koskee käsittelyä, jossa Mooseville Industries Oy on rekisterinpitäjä: oman liiketoiminnan hoitamista, myyntiä, asiakassuhteita ja toimeksiantojen dokumentointia.
Seloste ei koske sellaista käsittelyä, jossa yhtiö toimii toimeksiannon perusteella asiakkaan lukuun henkilötietojen käsittelijänä. Silloin rekisterinpitäjä on asiakas, käsittelyyn sovelletaan asiakkaan omaa tietosuojaselostetta ja käsittely tapahtuu asiakkaan kanssa tehdyn tietojenkäsittelysopimuksen ja asiakkaan kirjallisten ohjeiden mukaisesti. Raja kulkee siinä, kenen lukuun tietoja käsitellään: asiakkaan järjestelmissä asiakkaan toimeksiannosta tehtävä työ on käsittelyä asiakkaan lukuun, kun taas yhtiön omat muistiinpanot, yhteystiedot ja toimeksiantoa koskevat merkinnät ovat yhtiön omaa rekisterinpitoa.
3 Rekisteröityjen ryhmät ja käsiteltävät tiedot
| Ryhmä | Tiedot |
|---|---|
| Asiakkaiden ja mahdollisten asiakkaiden yhteyshenkilöt | Nimi, titteli, tehtävä, työnantaja, työsähköpostiosoite, työpuhelinnumero, LinkedIn-osoite |
| Toimeksiannoissa tavatut asiakkaan työntekijät | Nimi, tehtävä, yksikkö sekä palaverien, haastattelujen ja työpajojen muistiinpanot, tallenteet ja litteraatit |
| Prospektit eli henkilöt, joiden organisaatio on tunnistettu mahdolliseksi asiakkaaksi | Nimi, titteli, työnantaja, julkisesti saatavilla oleva ammatillinen tausta, julkiset kirjoitukset ja yhteystiedot |
| Yhteistyökumppanit ja alihankkijat | Nimi, tehtävä, yhteystiedot, sopimus- ja laskutustiedot |
| Verkkosivuston ja jaettujen aineistojen käyttäjät | Ks. 9 luku |
Erityisiin henkilötietoryhmiin kuuluvia tietoja ei kerätä eikä käsitellä.
4 Käsittelyn tarkoitukset ja oikeusperusteet
| Tarkoitus | Oikeusperuste |
|---|---|
| Asiakassuhteen hoitaminen ja toimeksiannon toteuttaminen | Oikeutettu etu (tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohta); yhteyshenkilö ei itse ole sopimuksen osapuoli, vaan edustaa asiakasorganisaatiota |
| Yhteydenpito, viestintä ja tapaamisten järjestäminen | Oikeutettu etu |
| Toimeksiannon dokumentointi: muistiot, päätökset ja tehtävät | Oikeutettu etu |
| Myynti, prospektointi ja yritysten välinen suoramarkkinointi | Oikeutettu etu |
| Laskutus, kirjanpito ja verotus | Lakisääteinen velvoite (6 artiklan 1 kohdan c alakohta) |
| Oikeudellisten vaatimusten laatiminen, esittäminen ja puolustaminen | Oikeutettu etu |
Oikeutettuun etuun perustuvasta käsittelystä on tehty tasapainotesti. Käsittely rajoittuu ammattiroolissa oleviin henkilöihin ja heidän työtehtäviinsä liittyviin tietoihin. Tiedot ovat laadultaan tavanomaisia työelämän yhteystietoja, eikä käsittely kohdistu yksityiselämään. Rekisteröidyllä on 10 luvussa kuvattu oikeus vastustaa käsittelyä.
5 Tietolähteet
Tiedot saadaan rekisteröidyltä itseltään, hänen työnantajaltaan tai asiakkaalta toimeksiannon yhteydessä.
Prospektointia varten tietoja kerätään lisäksi julkisista lähteistä: organisaatioiden verkkosivuilta, LinkedInistä, julkisista rekrytointi-ilmoituksista, uutismedioista, kaupparekisteristä ja vastaavista julkisista tietolähteistä.
Kun tietoja on kerätty muualta kuin rekisteröidyltä itseltään, rekisteröidylle annetaan tietosuoja-asetuksen 14 artiklan mukaiset tiedot viimeistään ensimmäisen yhteydenoton yhteydessä, ja tämä seloste on julkisesti saatavilla osoitteessa www.rhirvela.com.
6 Tietojen säilytysaika
| Aineisto | Säilytysaika |
|---|---|
| Asiakassuhteen yhteystiedot ja toimeksiantoa koskevat merkinnät | Asiakassuhteen ajan ja kolme vuotta sen päättymisestä |
| Palaverien ja haastattelujen tallenteet | Enintään 12 kuukautta, minkä jälkeen jäljelle jää kirjallinen muistiinpano |
| Prospektitiedot | Enintään 24 kuukautta viimeisimmästä merkityksellisestä kontaktista tai päivityksestä, minkä jälkeen tiedot poistetaan tai päivitetään |
| Laskutus- ja kirjanpitoaineisto | Kirjanpitolain (1336/1997) edellyttämän ajan |
| Tarjoukset ja sopimukset | Sopimussuhteen ajan ja vanhentumisajan |
| Verkkosivuston käyntitiedot ja IP-osoitteet | Enintään 7 päivää käynnistä. IP-osoitteesta muodostettu tiiviste enintään 30 päivää, jotta samaa osoitetta ei selvitetä uudelleen |
Säilytysaikoja arvioidaan säännöllisesti, ja tarpeettomat tiedot poistetaan.
7 Tietojen vastaanottajat ja käytettävät palvelut
Henkilötietoja ei myydä eikä luovuteta kolmansille markkinointitarkoituksiin. Tietoja käsitellään seuraavissa palveluissa, jotka toimivat pääsääntöisesti henkilötietojen käsittelijöinä:
| Palvelu | Käyttötarkoitus | Käsittelyn sijainti |
|---|---|---|
| Oma asiakkuudenhallinta (Twenty, itse ylläpidetty) | Yhteystiedot ja myyntitilanne | Yhtiön omat laitteet, Suomi |
| Oma tiedostopohjainen muistiinpanojärjestelmä | Toimeksiantojen muistiinpanot | Yhtiön omat laitteet, Suomi |
| GitHub (Microsoft) | Muistiinpanojen versiointi ja varmuuskopiointi yksityisissä säilöissä | Yhdysvallat |
| Google Workspace | Sähköposti, kalenteri ja tiedostot | EU ja Yhdysvallat |
| Anthropic (Claude) | Muistiinpanojen ja litteraattien käsittely sekä dokumenttien laatiminen | Yhdysvallat |
| Palaverien tallennus- ja litterointipalvelu | Tallenteet ja litteraatit | Ks. 8 luku |
| Vercel | Verkkosivuston ja jaettujen aineistojen tekninen alusta | EU ja Yhdysvallat |
| Tilitoimisto ja kirjanpitojärjestelmä | Laskutus ja kirjanpito | Suomi |
Tietoja voidaan lisäksi luovuttaa viranomaisille, kun siihen on lakisääteinen velvoite, sekä yhtiön oikeudellisille neuvonantajille, joita sitoo salassapitovelvollisuus.
8 Siirrot Euroopan unionin ja Euroopan talousalueen ulkopuolelle
Osa edellä mainituista palveluista käsittelee tietoja Yhdysvalloissa. Siirrot perustuvat Euroopan komission hyväksymiin vakiolausekkeisiin tai muuhun tietosuoja-asetuksen V luvun mukaiseen siirtoperusteeseen, ja palveluntarjoajan kanssa on tehty tietojenkäsittelysopimus silloin, kun palvelu toimii käsittelijänä.
Anthropicin Claude-palvelua käytetään kuluttajaehdoilla, joihin ei sisälly erillistä tietojenkäsittelysopimusta. Tämän vuoksi palvelussa käsitellään vain yhtiön omia muistiinpanoja, litteraatteja ja työdokumentteja. Asiakkaan lukuun käsiteltäviä henkilötietoja ei viedä palveluun, vaan tällainen käsittely tapahtuu asiakkaan omissa järjestelmissä ja asiakkaan omien sopimusten alaisuudessa. Mallien kouluttaminen on kytketty pois päältä palvelun asetuksista.
Palaverien tallennus- ja litterointipalvelusta sovitaan asiakaskohtaisesti ennen ensimmäistä tallennusta. Ensisijaisesti käytetään asiakkaan omaa palvelua, jolloin tallenne jää asiakkaan järjestelmään.
9 Verkkosivusto, analytiikka ja jaetut aineistot
Analytiikka. Sivustolla www.rhirvela.com käytetään kahta kävijämittauspalvelua, Umamia ja Ahrefs Web Analyticsia. Palveluntarjoajien mukaan kumpikaan ei aseta evästeitä eikä kerää henkilötietoja, ja Umami tiivistää IP-osoitteet tallentamatta niitä sellaisenaan. Tämän vuoksi evästesuostumusta ei pyydetä.
Organisaatiotason kävijätunnistus. Sivuston käynneistä tallennetaan ajankohta, avattu sivu, viittaava osoite, selaintunniste, maa ja IP-osoite. IP-osoitteen perusteella selvitetään julkisesta IP-osoiterekisteristä (RIPE NCC, Alankomaat), minkä organisaation verkosta käynti tuli. Tunnistus tehdään organisaatiotasolla: henkilöä ei tunnisteta, evästeitä ei aseteta, eikä kävijästä muodosteta profiilia. Jos käynti tulee yrityksestä, joka kuuluu rekisterinpitäjän myynnin kohderyhmään, käynti kirjataan yrityksen tietoihin myyntisignaalina ilman IP-osoitetta. Käsittelyn tarkoitus on yritysten välinen myynti, ja oikeusperuste on oikeutettu etu. Kirjausta ei tehdä, jos selain lähettää Do Not Track- tai Global Privacy Control -pyynnön. Säilytysajat ovat kohdassa 6.
Jaetut aineistot. Asiakkaille jaetaan aineistoja salasanalla suojatuissa osoitteissa. Kun aineisto avataan, selaimeen asetetaan tekninen istuntoeväste, joka pitää istunnon voimassa. Eväste on sivuston toiminnan kannalta välttämätön, joten siihen ei pyydetä suostumusta (sähköisen viestinnän palveluista annettu laki 917/2014).
Avaamisesta tallennetaan lisäksi ajankohta, maa, kaupunki ja selaintunniste, ja tiedot lähetetään ilmoituksena rekisterinpitäjälle. Käsittelyn tarkoitus on tietoturva ja sen seuraaminen, saavuttiko aineisto vastaanottajansa. Avaus kirjataan lisäksi vastaanottajan yrityksen tietoihin myyntisignaaliksi, jotta rekisterinpitäjä voi ajoittaa yhteydenoton. Oikeusperuste on oikeutettu etu. Tiedot poistetaan 12 kuukauden kuluessa.
10 Rekisteröidyn oikeudet
Rekisteröidyllä on oikeus
- saada pääsy tietoihinsa ja saada niistä jäljennös
- oikaista virheelliset ja täydentää puutteelliset tiedot
- pyytää tietojen poistamista
- rajoittaa käsittelyä
- vastustaa oikeutettuun etuun perustuvaa käsittelyä henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella
- vastustaa suoramarkkinointia milloin tahansa ilman perustelua
- siirtää tiedot järjestelmästä toiseen siltä osin kuin käsittely perustuu sopimukseen tai suostumukseen ja on automaattista
Pyynnön voi tehdä osoitteeseen rami@rhirvela.com. Pyyntöön vastataan kuukauden kuluessa. Pyytäjän henkilöllisyys voidaan tarvittaessa varmistaa.
Jos rekisteröity katsoo, ettei käsittely ole lainmukaista, hänellä on oikeus tehdä valitus valvontaviranomaiselle. Suomessa valvontaviranomainen on Tietosuojavaltuutetun toimisto (tietosuoja.fi).
11 Automaattinen päätöksenteko
Yhtiö pisteyttää mahdollisia asiakasorganisaatioita myynnin kohdentamiseksi. Pisteytys kohdistuu organisaatioon, ei yksittäiseen henkilöön, ja sen ainoa seuraus on se, otetaanko organisaatioon yhteyttä. Yhtiö ei tee tietosuoja-asetuksen 22 artiklassa tarkoitettuja automaattisia päätöksiä, joilla on rekisteröityä koskevia oikeusvaikutuksia tai jotka vaikuttavat häneen vastaavalla merkittävällä tavalla.
12 Tietoturva
Tiedot säilytetään laitteilla ja palveluissa, jotka on suojattu salasanalla ja kaksivaiheisella tunnistautumisella. Laitteiden levyt on salattu. Tietoihin on pääsy vain rekisterinpitäjällä. Jaetut aineistot ovat salasanan takana ja salattuina levossa. Käytettävien palveluiden tietoturvasta vastaavat palveluntarjoajat omilta osiltaan.
Jos tapahtuu henkilötietojen tietoturvaloukkaus, siitä ilmoitetaan valvontaviranomaiselle ja tarvittaessa rekisteröidylle tietosuoja-asetuksen 33 ja 34 artiklan mukaisesti.
13 Selosteen muuttaminen
Selostetta päivitetään, kun käsittely, käytettävät palvelut tai lainsäädäntö muuttuvat. Voimassa oleva versio on saatavilla osoitteessa www.rhirvela.com.