Tietosuojaseloste

Rekisterinpitäjä

DeepEnd Solutions Oy (CertusLex-palvelu)
Y-tunnus: 3620565-7
Sähköposti: info@certuslex.fi
Verkkosivu: certuslex.fi

Henkilötietojen käsittelyn tarkoitus

Käsittelemme henkilötietoja seuraaviin tarkoituksiin:

• Asiakirjojen tarkastuspalvelun toteuttaminen (Dokumenttikone)
• Tarjousten luominen ja hallinta (Tarjouskone)
• Sopimusten generointi ja sähköinen allekirjoitus
• Kilpailutusprosessien hallinnointi ja seuranta
• Lausunnon ja tarjouksen toimittaminen sähköpostitse
• B2B-portaalin käyttäjähallinta
• Asiakasviestintä, viikkokoosteet ja muistutukset
• Laskutus ja maksujen käsittely (Stripe)
• Lakisääteisten velvoitteiden täyttäminen

Käsiteltävät henkilötiedot

Keräämme palvelun käytön yhteydessä seuraavat tiedot:

• Perustiedot: sähköpostiosoite, nimi, puhelinnumero, yrityksen nimi ja Y-tunnus
• Asiakirjat: lähetettyjen asiakirjojen sisältö (tarkastusta varten)
• Tarjoukset: tarjousten sisältö, hinnoittelu, vastaanottajatiedot, lähetyshistoria
• Sopimukset: sopimusten sisältö, allekirjoitustiedot (nimi, aika, IP-osoite)
• Yritysprofiili: yrityksen tiedot, logo, brändivärit (Tarjouskone)
• Käyttötiedot: palvelupaketti, käyttökerrat, aikaleima
• Tekniset tiedot: selaintyyppi (user-agent), IP-osoite (allekirjoituksissa)

Emme kerää tarpeettomia tietoja emmekä pyydä tunnistetietoja kuten henkilötunnusta.

Käsittelyn oikeusperuste

Henkilötietojen käsittely perustuu sopimuksen täytäntöönpanoon (GDPR 6 art. 1 b-kohta) — käsittelemme tietoja palvelun tuottamiseksi asiakkaan tilauksesta. Lisäksi käsittely perustuu lakisääteisen velvoitteen noudattamiseen kirjanpito- ja arkistointivelvollisuuksien osalta.

Tietojen säilytysaika

Säilytämme tietoja seuraavasti:

• Tarjoukset ja sopimukset: 3 vuotta luomisesta tai sopimuksen päättymisestä
• Tarjousluonnokset: 6 kuukautta viimeisestä muokkauksesta
• Asiakirjat ja lausunnot: 2 vuotta palvelun toimittamisesta
• Sähköpostiosoite ja käyttäjätili: 2 vuotta viimeisestä kirjautumisesta
• Sähköiset allekirjoitukset ja suostumuslokit: 10 vuotta (eIDAS-asetus, juridinen velvoite — ei poisteta GDPR-pyynnöstä)
• Analytiikka ja sivukatselut: 1 vuosi
• Kirjanpitoaineisto (laskut): 6 vuotta tilikauden päättymisestä (kirjanpitolaki 2:10§)
• GDPR-toimenpidelokit: 5 vuotta (osoitusvelvollisuus, GDPR 5(2) art.)

Tiedot poistetaan automaattisesti säilytysajan päätyttyä tai rekisteröidyn pyynnöstä (ks. kohta 8).

Tietojen luovutus ja vastaanottajat

Emme myy tai luovuta henkilötietoja kolmansille osapuolille markkinointitarkoituksiin. Tietoja voidaan luovuttaa:

• Palvelua tarkastava juristi — asiakirjan tarkastusta varten (vaitiolovelvollisuuden alainen)
• Google Firebase / Firestore — tietojen tallennusalusta (EU-palvelin: Frankfurt, Saksa — europe-west3, GDPR-yhteensopiva)
• Anthropic (Claude AI) — asiakirjojen, tarjousten ja arvonmääritysten laadinta. Käsittely tapahtuu Anthropicin kaupallisen rajapinnan (API) kautta: tietoja ei käytetä tekoälymallien kouluttamiseen eikä luovuteta muille asiakkaille, ja niitä säilytetään vain rajatun ajan väärinkäytösten estämiseksi. Tiedot eivät tallennu pysyvästi malliin.
• Replicate (kuvageneraatio) — havainnekuvien luonti tarjouksiin. Käsittelee vain rakenteen kuvauksen (mitat ja materiaalit) — ei henkilö- eikä taloustietoja. Käsittely API-kutsun kautta, ei mallien koulutusta.
• Resend — sähköpostien lähetys (EU-yhteensopiva)
• Stripe — maksujen käsittely (PCI DSS -sertifioitu)
• Railway — palvelun hosting-alusta (EU-tietosuojaa noudattava)
• Viranomaiset — lakisääteisen velvoitteen perusteella

Tietojen siirto EU:n ulkopuolelle

Tietojen ensisijainen tallennuspaikka on EU:n alueella. Firestore-tietokanta sijaitsee Googlen datakeskuksessa Frankfurtissa, Saksassa (europe-west3). Asiakastiedot, tarjoukset, sopimukset ja asiakirjat eivät poistu EU:n alueelta.

Tekstin ja asiakirjojen analysointi tapahtuu Anthropicin (Claude AI) kaupallisen rajapinnan kautta. Tämä on läpikulkuoperaatio: tiedot lähetetään käsiteltäväksi, eikä niitä käytetä tekoälymallien kouluttamiseen. Anthropic säilyttää API-kutsujen tietoja vain rajatun ajan väärinkäytösten estämiseksi. Anthropicin ja muiden EU:n ulkopuolisten käsittelijöiden siirrot tapahtuvat EU:n komission hyväksymien vakiosopimuslausekkeiden (SCC) nojalla.

Pysyvä tallennus (asiakastiedot, tarjoukset, sopimukset, asiakirjat, arvonmääritykset ja varmuuskopiot) tapahtuu yksinomaan EU:n alueella Frankfurtissa. Eri asiakasorganisaatioiden tiedot on eristetty toisistaan, eivätkä ne ole muiden asiakkaiden saatavilla.

Rekisteröidyn oikeudet

Sinulla on seuraavat oikeudet (GDPR 15–22 art.):

• Tarkastusoikeus (Art. 15) — pyytää pääsy kaikkiin sinusta tallennettuihin tietoihin. Toimitamme tiedot JSON-muodossa 30 päivän kuluessa.
• Oikaisupyyntö (Art. 16) — pyytää virheellisten tietojen korjaamista
• Poistopyyntö (Art. 17) — pyytää tietojesi poistamista kaikista järjestelmistä ("oikeus tulla unohdetuksi"). Poisto kattaa kaikki kokoelmat lukuun ottamatta sähköisiä allekirjoituksia ja suostumuslokeja, joiden säilyttäminen on lakisääteinen velvoite (eIDAS-asetus).
• Käsittelyn rajoittaminen (Art. 18) — pyytää käsittelyn rajoittamista tietyissä tilanteissa
• Siirto-oikeus (Art. 20) — saada kaikki tietosi koneluettavassa muodossa (JSON). Toimitamme tiedot 30 päivän kuluessa.
• Vastustamisoikeus (Art. 21) — vastustaa tietojen käsittelyä

Näin käytät oikeuksiasi: Lähetä pyyntö osoitteeseen info@certuslex.fi. Vahvistamme henkilöllisyytesi ja toteutamme pyynnön 30 päivän kuluessa. Pyynnöt ovat maksuttomia.

Poistopyynnön laajuus: Poistamme kaikki tietosi seuraavista kokoelmista: tarjoukset, sopimukset, asiakirjat, yritysprofiili, käyttäjätili, käyttökoodit, keskusteluhistoria, tilaukset sekä Firebase Authentication -tili. Suostumuslokeja ja sähköisiä allekirjoituksia ei poisteta lakisääteisen velvoitteen vuoksi.

Sinulla on myös oikeus tehdä valitus tietosuojavaltuutetulle: tietosuoja.fi

Tietoturva

Suojaamme henkilötiedot asianmukaisin teknisin ja organisatorisin toimenpitein:

• Tietojen salaus ja sijainti: kaikki tiedot tallennetaan salattuina Google Firestore -alustalle EU:n alueella (Frankfurt, Saksa). Tiedonsiirto on HTTPS-salattu (TLS 1.3).
• Pääsynhallinta: Firestore-tietokanta on suojattu roolipohjaisin säännöin — käyttäjä pääsee vain omiin tietoihinsa. Admin-pääsy on rajoitettu nimettyihin henkilöihin.
• API-autentikointi: kaikki rajapintakutsut vaativat Firebase Authentication -tokenin tai admin-salasanan.
• Sähköiset allekirjoitukset: allekirjoitustapahtumat kirjataan muuttumattomaan lokiin (IP-osoite, aikaleima, user-agent) eIDAS-asetuksen mukaisesti.
• Varmuuskopiointi: automaattinen varmuuskopiointi päivittäin, säilytys 30 päivää.
• Lokitus: kaikki GDPR-toimenpiteet (haku, vienti, poisto) kirjataan auditointilokiin.

Evästeet ja seuranta

CertusLex ei käytä seurantaevästeitä eikä kolmansien osapuolten analytiikkatyökaluja (ei Google Analytics, ei Facebook Pixel). Palvelu ei seuraa käyttäjien toimintaa sivuston ulkopuolella. Käytämme ainoastaan teknisesti välttämättömiä evästeitä (kirjautumistilan ylläpito, kieliasetus).

Tietosuojaselosteen päivittäminen

Pidätämme oikeuden päivittää tätä tietosuojaselostetta. Olennaisista muutoksista ilmoitetaan palvelun verkkosivulla. Suosittelemme tutustumaan tietosuojaselosteeseen säännöllisesti.

Yhteydenotot

Tietosuojaan liittyvissä kysymyksissä ota yhteyttä:
info@certuslex.fi
DeepEnd Solutions Oy / CertusLex