Tietosuojaseloste

1. Rekisterinpitäjä

2. Tietosuojavastaava

Tietosuojaan liittyvissä asioissa ota yhteyttä: tietosuoja@it-elmeri.fi

3. Käsiteltävät henkilötiedot

Käsittelemme seuraavia henkilötietoja:

• Nimi ja sähköpostiosoite (käyttäjätunnuksen luonnin yhteydessä)
• Organisaation nimi (tenant-tieto)
• Tukipyyntöjen sisältö ja niihin liitetty kirjeenvaihto
• Tikettien toimintaloki: suoritettu toiminto ja sen kuvaus, toiminnon tekijän sähköpostiosoite ja aikaleima (tenant-kohtainen)
• Kirjautumisloki: sähköposti, IP-osoite, aikaleima, onnistuminen/epäonnistuminen, selaintieto (palvelutason loki, ei tenant-kohtainen)
• Tyytyväisyyskyselyjen vastaukset (CSAT-arvio 1–5 ja vapaamuotoinen kommentti, jos annettu tiketin sulkemisen jälkeen)
• Markkinointiviestinnän suostumustieto (jos annettu rekisteröitymisen yhteydessä)
• Palvelimen pääsyloki: IP-osoite, pyydetty osoite, aikaleima ja selaintieto
• Palvelinvirheiden raportit: virhetilanteen tekniset tiedot. Raporttiin ei liitetä IP-osoitetta, ja sähköpostiosoitteet siivotaan ennen lähetystä.
• Kirjautumisyritysten laskurit: sähköpostiosoite ja IP-osoite välimuistissa 15 minuuttia kirjautumisyritysten rajoittamiseksi
• Laitteen nimi tai sarjanumero, jos käsittelijä merkitsee tiketin koskevan tiettyä laitetta
• Salaisen linkin lähettäjän ja vastaanottajan sähköpostiosoitteet (linkin sisältöä emme pysty lukemaan)

4. Käsittelyn tarkoitus ja oikeusperuste

5. Henkilötietojen käsittelijät (alihankkijat)

IT-Elmeri käyttää seuraavia alihankkijoita, joilla on pääsy henkilötietoihin palvelun tuottamisen yhteydessä. Jokaiseen alihankkijasuhteeseen sovelletaan kyseisen palveluntarjoajan vakiosopimusehtoihin sisältyviä tietojenkäsittelyehtoja (Data Processing Addendum), jotka tulevat voimaan asiakassopimuksen myötä.

Microsoft-kirjautuminen (Entra ID) on valinnainen. Organisaatiot, jotka käyttävät pelkkää sähköposti/salasana-kirjautumista, eivät kosketa Microsoft-rajapintaa lainkaan.

Sähköpostitse luotujen tukipyyntöjen sisältö kulkee Google Workspacen kautta ja säilyy siellä postilaatikossa myös sen jälkeen, kun viesti on käsitelty tiketiksi. Jos organisaationne ei halua tikettien sisältöjen kulkevan sähköpostin kautta lainkaan, sähköpostitiketöinti voidaan kytkeä pois päältä organisaatiokohtaisesti. Ilmoitusviestit lähetetään silti Google Workspacen kautta.

Alihankkijoiden muuttuessa tämä lista päivitetään. Aiemmin sähköpostiliikenne kulki Mailgunin (Sinch) kautta; palveluntarjoaja vaihtui elokuussa 2026.

6. Tietojen säilytysaika

• Aktiivisen asiakassuhteen aikana: Henkilötietoja säilytetään koko asiakassuhteen ajan.
• Asiakassuhteen päättyessä: Tiedot poistetaan 90 päivän kuluessa sopimuksen päättymisestä, ellei laista tai viranomaisvaatimuksesta muuta johdu. Tenant-kohtainen tiketti- ja toimintaloki poistetaan tenantin poistamisen yhteydessä. Poistetut tiedot säilyvät varmuuskopioissa vielä enintään 30 vuorokautta.
• Kirjautumisloki (palvelutason loki): Kirjautumistapahtumat säilytetään 12 kuukautta tietoturvan varmistamiseksi, minkä jälkeen ne poistetaan automaattisesti. Loki on erillinen tenant-datasta eikä poistu tenantin poistamisen yhteydessä.
• Palvelimen pääsyloki: enintään 14 vuorokautta, minkä jälkeen se poistetaan automaattisesti.
• Virheraportit: Sentryn säilytysajan mukaan.
• Kirjanpitoaineisto: Lakisääteinen säilytysaika (kirjanpitolaki, 6 vuotta).

7. Tietojen sijainti ja luovuttaminen

Palvelun tietokanta sijaitsee Suomessa (UpCloud, Helsinki). Sähköpostit käsitellään Google Workspacessa ja virheraportit Sentryssä EU/ETA-alueella. Microsoft-kirjautumisen yhteydessä tietoja voidaan siirtää Yhdysvaltoihin EU:n vakiosopimuslausekkeiden perusteella. Tietoja ei luovuteta kolmansille osapuolille markkinointitarkoituksiin.

Tietoja voidaan luovuttaa Suomen viranomaisille, jos laki niin vaatii (esim. poliisin esitutkintapyyntö). Tällaisesta luovutuksesta ilmoitetaan rekisteröidylle, ellei se vaaranna viranomaistoimintaa.

8. Rekisteröidyn oikeudet

Sinulla on seuraavat oikeudet. Pyyntöihin vastataan viimeistään yhden kuukauden kuluessa.

• Tarkastusoikeus (Art. 15): Oikeus saada tieto sinusta tallennetuista henkilötiedoista.
• Oikaisuoikeus (Art. 16): Oikeus vaatia virheellisten tietojen korjaamista.
• Poisto-oikeus (Art. 17): Oikeus vaatia tietojen poistoa (“oikeus tulla unohdetuksi”), ellei säilyttämiseen ole lakisääteistä perustetta.
• Käsittelyn rajoittaminen (Art. 18): Oikeus vaatia käsittelyn rajoittamista tietyissä tilanteissa.
• Siirto-oikeus (Art. 20): Oikeus saada tiedot koneluettavassa muodossa, jos käsittely perustuu suostumukseen tai sopimukseen.
• Vastustamisoikeus (Art. 21): Oikeus vastustaa oikeutettuun etuun perustuvaa käsittelyä.
• Suostumuksen peruuttaminen: Markkinointisuostumuksen voi peruuttaa milloin tahansa ilman perusteluja.

Lähetä pyyntösi osoitteeseen: tietosuoja@it-elmeri.fi

9. Automaattinen päätöksenteko

IT-Elmeri ei käytä automaattista päätöksentekoa tai profilointia (GDPR Art. 22), jolla olisi rekisteröityä koskevia oikeudellisia tai vastaavia merkittäviä vaikutuksia.

10. Tietoturvaloukkaukset

IT-Elmeri on toteuttanut tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi. Jos tietoturvaloukkaus tapahtuu:

• Ilmoitamme Suomen tietosuojavaltuutetun toimistolle viimeistään 72 tunnin kuluessa havaitsemisesta (GDPR Art. 33)
• Ilmoitamme rekisteröidyille viipymättä, jos loukkaus todennäköisesti aiheuttaa korkean riskin heidän oikeuksilleen ja vapauksillensa (GDPR Art. 34)
• Dokumentoimme kaikki poikkeamat sisäisesti

11. Evästeet

Käytämme ainoastaan kirjautumiseen tarvittavia evästeitä: istuntoevästettä sekä kirjautumisen aikaisia suojausevästeitä (CSRF-suojaus ja Microsoft-kirjautumisen tila). Istuntoeväste vanhenee, kun palvelua ei ole käytetty 10 tuntiin, tai kun kirjaudut ulos. Emme käytä seuranta- tai analytiikkaevästeitä.

12. Valitusoikeus valvontaviranomaiselle

Jos katsot, että henkilötietojesi käsittelyssä rikotaan tietosuoja-asetusta, sinulla on oikeus tehdä valitus Suomen tietosuojaviranomaiselle: