Tietosuoja

1. Rekisterinpitäjä

Verrixa Point · Korvatunturintie 2 00970 Helsinki, Suomi
Yleiset yhteydenotot: [email protected]

Tietosuojaa koskevat kyselyt: [email protected] (otsikko GDPR). Vastaamme 30 päivän kuluessa.

2. Mitä henkilötietoja käsittelemme

• Tilitiedot: nimi, sähköpostiosoite, salasanan bcrypt-tiiviste.
• Tilaustiedot: Premium-tilauksen tyyppi (kk/v/kerta), tilauksen tila, alkamis- ja päättymispäivä sekä laskutusjakson päivämäärät.
• Maksutiedot: maksunvälittäjältä saatava tapahtumatunnus, veloitettu summa, maksuvälineen tyyppi sekä kortin neljä viimeistä numeroa kuittia varten. Emme käsittele emmekä tallenna täydellisiä korttinumeroita, CVC-koodeja tai pankkitunnuksia — ne menevät suoraan maksunvälittäjän suojattuun ympäristöön (PCI DSS).
• Laskutustiedot: kuitin numero, laskutusosoite (jos annettu), ALV-numero (jos yritysasiakas), ALV-maa.
• Tekniset tiedot: kielivalinta ja evästeilmoituksen valinta selaimen paikallisessa tallennustilassa.
• Lokit: kirjautumisaika ja IP-osoite tietoturvaa varten (90 päivää).

Emme kerää sijaintitietoja, profilointidataa, mainosseurantatietoja emmekä biometrisiä tietoja.

3. Käsittelyn tarkoitus ja oikeusperuste (GDPR 6 art.)

• Sopimus (6 art. 1 b): käyttäjätilin luominen ja kirjautuminen, Premium-tilauksen toimittaminen, laskutus ja peruutusten käsittely.
• Lakisääteinen velvoite (6 art. 1 c): kirjanpitolain mukainen kirjanpitoaineiston säilytys, arvonlisäverolain mukaiset velvoitteet ja muut viranomaisvaatimukset.
• Suostumus (6 art. 1 a): uutiskirjeen lähettäminen (peruttavissa milloin tahansa) ja ei-välttämättömät evästeet.
• Oikeutettu etu (6 art. 1 f): palvelun tietoturva sekä väärinkäytösten ja maksupetosten estäminen. Emme profiloi käyttäjiä emmekä tee automaattisia päätöksiä.

4. Säilytysajat

• Tilin tiedot: tilin elinikä; viimeistään 30 päivää poistopyynnön jälkeen.
• Kirjanpitoaineisto (kuitit, laskut, tapahtumatunnukset): 6 vuotta tilikauden päättymisestä.
• Tilauksen perustiedot: tilauksen elinkaaren ajan + 12 kuukautta kiistanalaisten veloitusten varalta.
• Kirjautumislokit ja IP-osoitteet: 90 päivää.
• Uutiskirjeen tilaus: kunnes peruutat tilauksen.
• Selaimeen tallennetut tunnisteet: ks. evästekäytäntö.

5. Tietojen vastaanottajat ja siirrot

Emme myy emmekä vuokraa henkilötietoja. Tietoja ei luovuteta kolmansille osapuolille markkinointi- tai analytiikkatarkoituksiin.

Käytämme seuraavia henkilötietojen käsittelijöitä (GDPR 28 art.):

• Maksunvälittäjä (EU) — korttiveloitukset ja kuittien luonti, PCI DSS -sertifioitu.
• Palvelinpalvelu (EU/ETA) — palvelimet ja konesalipalvelu.
• Sähköpostipalvelu (EU) — tapahtuma- ja kuittisähköpostien välitys.

Kaikkien käsittelijöiden kanssa on solmittu GDPR 28 art. mukainen tietojenkäsittelysopimus. Ajantasainen luettelo on saatavilla pyynnöstä osoitteesta [email protected].

6. Rekisteröidyn oikeudet (GDPR 15–22 art.)

• Oikeus saada pääsy omiin tietoihin (15 art.).
• Oikeus tietojen oikaisuun (16 art.).
• Oikeus tulla unohdetuksi (17 art.).
• Oikeus käsittelyn rajoittamiseen (18 art.).
• Oikeus siirtää tiedot järjestelmästä toiseen (20 art.).
• Oikeus vastustaa käsittelyä (21 art.), erityisesti suoramarkkinointia.
• Oikeus peruuttaa suostumus milloin tahansa.
• Oikeus tehdä valitus tietosuojavaltuutetun toimistolle.

7. Tietoturva

Salasanat tallennetaan ainoastaan bcrypt-tiivisteinä. Liikenne suojataan TLS-salauksella. Tili lukitaan useiden epäonnistuneiden kirjautumisyritysten jälkeen.

8. Käytännön muutokset

Päivitämme tätä käytäntöä tarvittaessa. Olennaisista muutoksista ilmoitamme rekisteröityneille käyttäjille sähköpostitse tai sivuston ilmoituksella vähintään 14 päivää etukäteen.