Tietosuojaseloste

Viimeksi päivitetty: 13.9.2026

Tämä tietosuojaseloste koskee Turvix-sovellusta. Se kertoo, miten Turvix Oy (Y-tunnus 3573062-8) käsittelee sovelluksen käyttäjien, käyttäjäksi kutsuttujen henkilöiden, asiakasorganisaatioiden yhteyshenkilöiden sekä muiden asiakkaan sovellukseen lisäämien henkilöiden henkilötietoja.

Palvelu on tarkoitettu yrityksille, julkisyhteisöille, yhdistyksille ja muille organisaatioille sekä elinkeino- ja ammattitoimintaan. Sitä ei ole tarkoitettu kuluttajakäyttöön.

1. Rekisterinpitäjä ja käsittelyroolit

Turvix Oy (Y-tunnus 3573062-8) on rekisterinpitäjä tilien, tunnistautumisen, laskutuksen, tuen, palvelun tietoturvan ja oman toimintansa hallintaa varten käsitellyille henkilötiedoille.

Kun asiakasorganisaatio päättää sovellukseen lisäämiensä henkilötietojen käsittelyn tarkoituksista ja keinoista, asiakasorganisaatio on rekisterinpitäjä ja Turvix Oy käsittelee tietoja asiakkaan lukuun palvelun tarjoamiseksi. Tällaisia tietoja koskevissa pyynnöissä ota ensisijaisesti yhteyttä kyseiseen organisaatioon. Asiakasorganisaatio vastaa siitä, että sillä on asianmukainen peruste lisätä palveluun muiden henkilöiden tietoja.

Tietosuojaa koskevat yhteydenotot: support@turvix.fi

2. Käsittelemämme henkilötiedot

Käsittelemme palvelun käytöstä ja valituista ominaisuuksista riippuen seuraavia tietoja:

• Tili- ja profiilitiedot: sähköpostiosoite, etu- ja sukunimi, kirjautumispalvelun ja sovelluksen käyttäjätunnisteet, kielivalinta sekä sähköposti-ilmoitusten asetus.
• Tunnistautumis- ja istuntotiedot: kirjautumistapahtumat ja -istunnot sekä monivaiheisen tunnistautumisen ja passkey-kirjautumisavainten tunnisteet, nimet, tila sekä luonti- ja viimeisen käytön ajat. Emme saa tietoomme laitteen biometrisiä tietoja.
• Organisaatio- ja kutsutiedot: organisaation nimi, jäsenyydet, roolit, kutsutun henkilön sähköpostiosoite ja mahdollinen nimi, kutsuja sekä kutsun tila ja voimassaolo.
• Asiakkaan syöttämät tiedot: kyselyvastaukset, verkkotunnukset, työ- ja yhteyssähköpostiosoitteet, palveluntarjoajia ja tietojen käsittelyä koskevat tiedot sekä tehtävien, riskien ja dokumenttien muodostamisen tiedot. Päivityksiin voidaan liittää käyttäjätunniste ja aikaleima.
• Automaattisten tarkistusten tiedot: tarkistuskohteet, ajastus, tila, tekniset tulokset ja ilmoitushistoria. Tuloksiin voi sisältyä DNS-, TLS-, HTTP-, RDAP- ja WHOIS-tietoja sekä tietomurtojen nimiä, päivämääriä ja kuvauksia. Tallennamme myös väärää hälytystä koskevat ilmoitukset ja niiden käsittelijät.
• Tuki ja palaute: profiilista tai sähköpostiosoitteesta johdettu lähettäjän nimi, viestin tyyppi, aihe ja sisältö, käyttöliittymän kieli, vastauspyyntö sekä viestiin liittyvä käyttäjä- ja organisaatiotunniste.
• Tilaus- ja laskutustiedot: tilaus, laskutustila sekä Stripen asiakas- ja tilaustunnisteet. Maksukortti- ja muut varsinaiset maksutiedot annetaan Stripelle, eikä Turvix tavallisesti tallenna niitä omaan tietokantaansa.
• Tekniset ja tietoturvatiedot: IP-osoite väärinkäytön estämistä ja nopeusrajoitusta varten, pyyntötunnisteet, virheet sekä kirjautumis-, organisaatio-, kutsu-, jäsenyys- ja tilaustapahtumat. Lokeihin voi sisältyä käyttäjä-, organisaatio- tai kohdehenkilötunnisteita ja tapahtuman tarpeellisia lisätietoja.

3. Tietojen lähteet

Saamme tietoja:

• sinulta kirjautumisen, profiilin, lomakkeiden ja tukipyyntöjen yhteydessä
• asiakasorganisaatiolta ja sen ylläpitäjiltä, esimerkiksi käyttäjäkutsujen ja tarkistuskohteiden yhteydessä
• tunnistautumis- ja laskutuspalveluilta, kuten Supabaselta ja Stripeltä
• julkisista tai tarkistuksen kohteena olevista palveluista, kuten DNS-, RDAP- ja WHOIS-palveluista, verkkosivustoilta ja Have I Been Pwned -palvelusta.

Asiakasorganisaatio vastaa siitä, että se informoi henkilöitä, joiden tietoja se lisää palveluun. Otamme näihin henkilöihin yhteyttä vain, kun se on tarpeen palvelun tarjoamiseksi, esimerkiksi kutsujen, kirjautumislinkkien ja ilmoitusten yhteydessä. Emme ilmoita erikseen jokaiselle henkilölle, jonka tietoja sisältyy asiakkaan sisältöön, tarkistuskohteisiin tai julkisiin lähteisiin, jos ilmoittaminen on mahdotonta tai vaatisi kohtuutonta vaivaa. Tämä seloste kuvaa kyseistä käsittelyä.

4. Käsittelyn tarkoitukset ja oikeusperusteet

• Tilin luominen, tunnistautuminen ja palvelun käyttäminen: käsittely on tarpeen kanssasi tehdyn sopimuksen täyttämiseksi. Jos asiakas on työnantajasi tai muu organisaatio, perusteena on oikeutettu etumme ja asiakkaan oikeutettu etu tarjota ja hallita organisaation tilaamaa palvelua.
• Organisaation, kutsujen ja käyttöoikeuksien hallinta: perusteena on sopimuksen täyttäminen tai oikeutettu etu hallita asiakkaan käyttäjiä ja suojata pääsy palveluun.
• Asiakkaan syöttämien tietojen, dokumenttien ja tarkistusten käsittely: toimimme asiakkaan ohjeiden mukaan palvelun tuottamiseksi. Kun toimimme rekisterinpitäjänä, perusteena on sopimuksen täyttäminen tai oikeutettu etu tuottaa asiakkaan pyytämä tietoturvapalvelu.
• Tarkistustulokset ja tietoturvailmoitukset: tarkoituksena on havaita asiakkaan määrittämiin kohteisiin liittyviä tietoturvariskejä ja ilmoittaa niistä. Perusteena on sopimus tai oikeutettu etu suojata asiakkaan järjestelmiä ja käyttäjiä. Voit poistaa sähköposti-ilmoitukset käytöstä profiilissasi.
• Maksulliset tilaukset ja kirjanpito: perusteena on sopimuksen täyttäminen sekä soveltuvien kirjanpito- ja muiden lakisääteisten velvoitteiden noudattaminen.
• Tuki ja palaute: perusteena on sopimuksen täyttäminen tai oikeutettu etu vastata yhteydenottoihin ja kehittää palvelun laatua.
• Lokit, väärinkäytön estäminen ja virheiden selvittäminen: perusteena on oikeutettu etumme suojata palvelua ja käyttäjiä, ehkäistä väärinkäytöksiä, selvittää poikkeamia sekä ylläpitää palvelun luotettavuutta.

Emme käytä sovelluksessa tällä hetkellä mainos- tai käyttäjäseuranta-analytiikkaa.

5. Vastaanottajat ja palveluntarjoajat

Tietoja voivat käsitellä tehtäviensä edellyttämässä laajuudessa Turvix Oy, asiakasorganisaation valtuutetut käyttäjät sekä seuraavat palveluntarjoajat:

• Supabase: tietokanta, tunnistautuminen ja istunnot
• Vercel: sovelluksen isännöinti ja verkkoliikenne
• Resend: palveluviestit, mukaan lukien kirjautumislinkit, kutsut, tarkistusilmoitukset ja muut palveluviestit
• Stripe: maksut, tilaukset ja laskutusportaali
• Have I Been Pwned: sähköpostiosoitteen tietomurtotarkistus, jos ominaisuus on käytössä
• Upstash: nopeusrajoituksen tekniset tunnisteet, jos ulkoinen Redis-palvelu on käytössä
• GitHub: ajastetut operatiiviset työt, mukaan lukien tietokannan varmuuskopiointi
• Backblaze: salattujen tietokantavarmuuskopioiden säilytys
• julkiset DNS-, RDAP- ja WHOIS-palvelut sekä asiakkaan nimeämät verkkosivustot: asiakkaan verkkotunnusten ja muiden tarkistuskohteiden tekniset tarkistukset.

Voimme luovuttaa tietoja viranomaisille tai neuvonantajille, jos laki sitä edellyttää tai se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi. Emme luovuta henkilötietoja tällä hetkellä mainostajille.

6. Siirrot EU- ja ETA-alueen ulkopuolelle

Osa palveluntarjoajista toimii kansainvälisesti ja voi käsitellä tietoja EU- tai ETA-alueen ulkopuolella, mukaan lukien Yhdysvalloissa. Siirrot perustuvat palveluntarjoajien sopimuksiin, joihin sisältyvät tietosuojalainsäädännön mukaiset suojatoimet, kuten Euroopan komission riittävyyspäätökset, vakiosopimuslausekkeet ja muut soveltuvat siirtomekanismit. Lisätietoja saat osoitteesta support@turvix.fi.

7. Säilytysajat

• Tili-, profiili-, jäsenyys-, organisaatio- ja asiakassisältöä säilytetään asiakassuhteen ja tilin käytön ajan. Tämän jälkeen tiedot poistetaan tuotantojärjestelmistä kohtuullisessa ajassa ja varmuuskopioista niiden kiertokulun mukaisesti, paitsi jos lakisääteinen velvoite tai oikeusvaade edellyttää pidempää säilytystä.
• Tarkistustulokset poistetaan tavallisesti 90 päivän kuluttua. Tulokseen liittyvä väärän hälytyksen ilmoitus poistuu tuloksen mukana.
• Odottava käyttäjäkutsu vanhenee oletusarvoisesti 7 päivän kuluttua. Kutsun tila- ja auditointitietoja säilytetään tämän jälkeen vain käyttöoikeuksien hallinnan, väärinkäytön estämisen tai oikeusvaateiden edellyttämän ajan.
• Tuki- ja palautetietoja säilytetään, kunnes asia on käsitelty eikä jatkotoimia kohtuudella odoteta, ja tämän jälkeen vain oikeusvaateiden tai lakisääteisten velvoitteiden edellyttämän ajan.
• Auditointi- ja virhelokit säilytetään tavallisesti 90 päivää palvelun suojaamiseksi, väärinkäytösten estämiseksi ja poikkeamien selvittämiseksi. Tietoja voidaan säilyttää pidempään keskeneräisen tietoturvapoikkeaman, väärinkäytöksen selvityksen tai oikeusvaateen vuoksi.
• Laskutus- ja kirjanpitotietoja säilytetään asiakassuhteen ajan ja sen jälkeen soveltuvan kirjanpitolainsäädännön ja oikeusvaateiden edellyttämän ajan. Stripe säilyttää hallussaan olevia tietoja oman tietosuojaselosteensa mukaisesti.

Kun säilytysperustetta ei enää ole, tiedot poistetaan tai anonymisoidaan, jos se on kohtuudella mahdollista.

8. Evästeet ja laitteen paikallinen tallennus

Sovellus käyttää palvelun toiminnan kannalta tarpeellisia evästeitä ja paikallista tallennusta:

• tunnistautumispalvelun evästeet kirjautumisistunnon ylläpitämiseen; kesto määräytyy istunto- ja tunnistautumisasetusten mukaan
• valitun organisaation tunniste enintään yhdeksi vuodeksi
• kirjautumistapahtuman päällekkäisen kirjaamisen estävä tunniste enintään 30 päiväksi tai uloskirjautumiseen asti
• paikalliset käyttöliittymäasetukset, kuten tarkistuslistan piilotustila, kunnes poistat ne selaimesta.

Näitä tietoja käytetään pyytämäsi palvelun ja toimintojen tarjoamiseen, ei mainontaan. Jos otamme käyttöön ei-välttämättömiä analytiikka- tai mainosteknologioita, pyydämme niihin suostumuksen silloin, kun laki sitä edellyttää.

9. Automaattiset tarkistukset

Sovellus tekee automaattisia teknisiä tarkistuksia ja muodostaa niiden perusteella tiloja, löydöksiä ja ohjeita. Tarkistukset eivät tee henkilöä koskevia yksinomaan automaattisia päätöksiä, joilla olisi oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia.

10. Pakolliset ja vapaaehtoiset tiedot

Sähköpostiosoite tarvitaan kirjautumiseen ja organisaation nimi palvelun käyttöönottoon. Ilman niitä emme voi tarjota käyttäjätiliä ja organisaation työtilaa. Nimi on vapaaehtoinen. Tarkistuskohteiden antaminen on vapaaehtoista, mutta ilman niitä kyseisiä tarkistuksia ei voida tehdä. Maksullisen tilauksen edellyttämät laskutus- ja maksutiedot annetaan Stripelle; ilman niitä maksullista tilausta ei voida aktivoida.

11. Oikeutesi

Soveltuvin edellytyksin sinulla on oikeus:

• saada vahvistus siitä, käsittelemmekö tietojasi, sekä päästä tietoihin
• vaatia virheellisten tai puutteellisten tietojen oikaisua
• vaatia tietojen poistamista
• vaatia käsittelyn rajoittamista
• saada sopimuksen perusteella automaattisesti käsitellyt, itse toimittamasi tiedot siirrettävässä muodossa
• vastustaa henkilökohtaiseen tilanteeseesi liittyvällä perusteella oikeutettuun etuun perustuvaa käsittelyä.

Oikeudet eivät ole ehdottomia, ja niiden soveltuminen riippuu käsittelyn tarkoituksesta ja oikeusperusteesta. Lähetä pyyntö osoitteeseen support@turvix.fi. Voimme pyytää tarpeellisia lisätietoja henkilöllisyytesi varmistamiseksi. Vastaamme ilman aiheetonta viivytystä ja tavallisesti kuukauden kuluessa.

Voit tehdä valituksen erityisesti asuin- tai työskentelymaasi tai väitetyn rikkomisen tapahtumapaikan valvontaviranomaiselle. Suomessa valvontaviranomainen on Tietosuojavaltuutetun toimisto.

12. Muutokset tähän selosteeseen

Voimme päivittää tätä selostetta palvelun tai käsittelyn muuttuessa. Jos alamme käsitellä henkilötietoja muuhun kuin siihen tarkoitukseen, jota varten ne on kerätty, annamme tietosuoja-asetuksen edellyttämät tiedot ennen kyseisen käsittelyn aloittamista.

---

Rekisterinpitäjä: Turvix Oy (Y-tunnus 3573062-8)
Tietosuojayhteys: support@turvix.fi