Tietosuojaseloste

Päivitetty: 2026-05-26

Tämä tietosuojaseloste kertoo, miten AdRific Oy (jäljempänä "me" tai "AdRific") käsittelee henkilötietoja VAREK-palvelussa (jäljempänä "Palvelu"). Käsittely tapahtuu EU:n yleisen tietosuoja-asetuksen (GDPR, 2016/679) ja Suomen tietosuojalain (1050/2018) mukaisesti.

1. Rekisterinpitäjä

AdRific Oy
Y-tunnus: 2811204-7 (ALV: FI28112047)
Postiljooninkatu 13 A 19, 00240 Helsinki, Suomi
Sähköposti: tietosuoja@varek.fi

Emme ole nimittäneet erillistä tietosuojavastaavaa, koska GDPR:n 37 artiklan edellytykset eivät täyty. Voit ottaa kaikissa tietosuojaan liittyvissä asioissa yhteyttä yllä olevaan sähköpostiosoitteeseen.

2. Käsiteltävät henkilötiedot

Käsittelemme seuraavia henkilötietoryhmiä:

2.1 Tilitiedot

  • Sähköpostiosoite ja salasanan tiiviste (Supabase Auth)
  • Etu- ja sukunimi, kun se annetaan rekisteröitymisen tai kutsun yhteydessä
  • Käyttäjäroolit ja jäsenyydet taloyhtiöissä (super_admin, board_admin, board_member, shareholder, asiantuntija)
  • Konsultti-roolin tapauksessa annetut hienojakoiset käyttöoikeudet
  • Kirjautumistapahtumat, viimeisen kirjautumisen aikaleima

2.2 Taloyhtiöön liittyvät tiedot

  • Taloyhtiön nimi, osoite, Y-tunnus, rakentaja ja valmistumis-/hallinnonluovutuspäivät
  • Huoneistojen tunnistetiedot ja niihin liittyvät omistajatiedot (nimi, sähköposti, puhelin) — vain ylläpitäjien ja kyseisen huoneiston omistajan saatavilla
  • Käyttäjän itse luomat vikailmoitukset, reklamaatiot, määräajat, kommentit ja edit-historia

2.3 Sisältötiedot

  • Ladatut dokumentit (sopimukset, pohjapiirustukset, raportit, kuvat jne.) ja niihin liittyvät metatiedot, kategoriat, tagit, näkyvyysasetukset ja kommentit
  • Vikailmoitusten kuvaukset, valokuvat ja annotaatiot pohjapiirustuksilla
  • Tarkastuksien tulokset ja niihin liittyvät havainnot ja kuvat
  • Käyttäjän dokumenttichatissa kysymät kysymykset ja saadut vastaukset (säilytetään keskusteluhistoriassa)

2.4 Tekniset tiedot

  • IP-osoite, selaintunniste ja muut HTTP-pyyntöjen yhteydessä välitettävät tekniset tiedot — käytetään tietoturvaa ja virheenkorjausta varten, ei pitkäaikaiseen analytiikkaan
  • Selainmuistissa (localStorage, IndexedDB) säilytettävät istuntotunnukset ja paikalliset välimuistit (esim. pdf-notes-työtilat, kuvien välimuisti)
  • Mobiilisovelluksen push-ilmoitustunniste (laitekohtainen Expo-tunniste) — tallennetaan vain, jos sallit ilmoitukset sovelluksessa; käytetään yksinomaan ilmoitusten toimittamiseen laitteellesi. Tunniste poistetaan kun kirjaudut ulos sovelluksesta, kun laite poistuu käytöstä (automaattinen siivous) tai kun käyttäjätili poistetaan

3. Käsittelyn tarkoitukset ja oikeusperusteet

Käsittelyn tarkoitukset ja niitä vastaavat GDPR:n 6 artiklan oikeusperusteet:

  • Palvelun tarjoaminen ja ylläpito — käyttäjätilien luonti, taloyhtiöiden hallinta, vikailmoitusten ja reklamaatioiden käsittely, määräaikamuistutukset, dokumenttiarkisto. Oikeusperuste: sopimuksen täyttäminen (6(1)(b)).
  • Lakisääteisten velvoitteiden noudattaminen — kirjanpito, verotus. Oikeusperuste: lakisääteinen velvoite (6(1)(c)).
  • Tietoturva ja väärinkäytösten estäminen — IP-osoitteiden lokitus, kirjautumistapahtumien seuranta. Oikeusperuste: oikeutettu etu (6(1)(f)) — Palvelun ja sen käyttäjien suojaaminen.
  • Palvelun kehittäminen — anonymisoitujen virhe- ja käyttötilastojen kerääminen tuotteen parantamiseksi. Oikeusperuste: oikeutettu etu (6(1)(f)).
  • Sähköpostiviestintä — tapahtumailmoitukset (kutsut, määräaikamuistutukset, reklamaatioiden lähetykset). Oikeusperuste: sopimuksen täyttäminen (6(1)(b)).

4. Henkilötietojen säilytysajat

  • Tilitiedot säilytetään niin kauan kuin käyttäjätili on aktiivinen. Tilin poiston jälkeen tiedot poistetaan 90 päivän kuluessa, ellei lainsäädäntö edellytä pidempää säilytystä.
  • Taloyhtiöön liittyvät tiedot säilytetään niin kauan kuin taloyhtiö on Palvelun käyttäjä. Tilin tai taloyhtiön poiston jälkeen 90 päivän viive ennen lopullista poistoa palautusta varten.
  • Reklamaatioihin ja vikailmoituksiin liittyvät dokumentit voidaan säilyttää enintään 10 vuotta hallinnonluovutuksesta, jotta ne ovat saatavilla 10-vuotisvastuun ajan.
  • Dokumenttichat-keskustelut säilytetään niin kauan kuin käyttäjätili on aktiivinen, mutta käyttäjä voi poistaa keskustelut milloin tahansa Palvelussa.
  • Tietoturvalokit (kirjautumiset, IP-osoitteet) säilytetään 12 kuukautta.

5. Tietojen vastaanottajat ja käsittelijät

Rekisterinpitäjän (AdRific Oy) valtuutetulla alustan ylläpidolla on tekninen pääsy kaikkiin Palvelussa käsiteltyihin tietoihin — mukaan lukien taloyhtiöiden sisältöihin, kuten vikailmoituksiin, asiakirjoihin, viestintäkanaviin ja talousnäkymiin — palvelun tuottamista, ylläpitoa, tukea ja väärinkäytösten torjuntaa varten.

Käytämme seuraavia kolmannen osapuolen palveluntarjoajia (alikäsittelijöitä), joiden kanssa olemme tehneet GDPR-vaatimukset täyttävät käsittelysopimukset:

  • Supabase (Supabase Inc., USA / EU-konesali) — tietokanta, autentikointi ja tiedostotallennus. Tiedot tallennetaan EU-alueelle Frankfurtin konesaliin (Saksa), mutta yhtiö on yhdysvaltalainen.
  • Cloudflare, Inc. (USA) — verkkosivujen ja API:n edge-hosting, DNS, DDoS-suojaus. Käsittelee IP-osoitteita ja pyyntölokia tietoturvaa ja toimitusta varten.
  • Resend (USA / EU-konesali) — sähköpostien välitys (tapahtumailmoitukset, kutsut, reklamaatiosähköpostit). Viestit välitetään EU-alueen palvelimilta Irlannista.
  • Anthropic PBC (USA) — Dokumenttichatin tekoälyvastausten generointi (Claude API). Vain ne dokumenttien osat, jotka ovat relevantteja käyttäjän kysymykseen, lähetetään tekoälylle.
  • Voyage AI (USA) — Tekstinpätkien vektoriupotusten luonti hakua varten (Dokumenttichat). Dokumenttien tekstisisältö lähetetään pätkittäin upotusten luontia varten ja tulos tallennetaan omaan Supabase-tietokantaamme.
  • GitHub, Inc. (USA) — Lähdekoodin säilytys ja jatkuva julkaisu (CI/CD). Ei pääsyä tuotantotietoihin.

Emme luovuta henkilötietoja muille kolmansille osapuolille ilman nimenomaista suostumustasi, ellei laki sitä edellytä (esim. viranomaisille).

6. Tietojen siirto EU:n ulkopuolelle

Edellä mainitut alikäsittelijät ovat osittain Yhdysvaltoihin sijoittuvia yhtiöitä. Siirrot Yhdysvaltoihin perustuvat:

  • EU-komission hyväksymiin vakiosopimuslausekkeisiin (Standard Contractual Clauses, päätös 2021/914), joita on täydennetty tarvittavilla lisätoimenpiteillä, sekä
  • tarvittaessa EU–U.S. Data Privacy Framework -järjestelyyn (Anthropic, Cloudflare ja Supabase ovat sertifioineet itsensä DPF:n piirissä).

Pyrimme pitämään tiedot EU-alueella aina kun se on kohtuudella mahdollista (esim. Supabase-tietokanta Frankfurtissa ja Resendin sähköpostivälitys Irlannissa). Tekoäly-prosessorien (Anthropic, Voyage) palvelimet sijaitsevat tällä hetkellä Yhdysvalloissa.

7. Tekoäly ja automaattinen päätöksenteko

Palvelu sisältää tekoälyavusteisia toimintoja, kuten Dokumenttichatin (RAG-pohjainen kysymys-vastaus omista dokumenteistasi) ja automaattiset kategoriaehdotukset ladatuille dokumenteille.

  • Tekoäly ei tee oikeudellisesti sitovia päätöksiä käyttäjien puolesta. Kaikki tekoälyn antamat suositukset ja vastaukset ovat ohjeellisia.
  • Kun lähetät kysymyksen Dokumenttichattiin, kysymyksesi ja relevanttien dokumenttien osat lähetetään Anthropicin Claude-mallille (Yhdysvallat) vastauksen generointia varten. Anthropic ei käytä API-rajapinnan kautta lähetettyä dataa mallien koulutukseen.
  • Dokumenttien tekstisisältö lähetetään Voyage AI:lle vektoriupotusten luontia varten. Upotukset tallennetaan vain omaan Supabase-tietokantaamme.
  • Käyttöoikeustasot vaikuttavat siihen, mitä dokumentteja kullekin käyttäjälle palautetaan, mutta tekoälyprosessorit voivat nähdä dokumenttien sisältöä silloin kun haku osuu niihin — näkyvyysrajaus tapahtuu vasta haun tuloksissa.

8. Rekisteröidyn oikeudet

Sinulla on GDPR:n nojalla seuraavat oikeudet:

  • Tarkastusoikeus — oikeus saada vahvistus siitä, käsitelläänkö sinua koskevia tietoja, ja saada jäljennös niistä.
  • Oikaisuoikeus — oikeus saada virheelliset tai puutteelliset tiedot korjatuiksi.
  • Poisto-oikeus ("oikeus tulla unohdetuksi") — oikeus saada tietosi poistetuiksi tietyissä tilanteissa.
  • Käsittelyn rajoittaminen — oikeus pyytää käsittelyn rajoittamista tiettyjen kiistanalaisten tilanteiden ajaksi.
  • Vastustamisoikeus — oikeus vastustaa käsittelyä, joka perustuu oikeutettuun etuun.
  • Siirto-oikeus — oikeus saada antamasi tiedot koneluettavassa muodossa ja siirtää ne toiselle palveluntarjoajalle.
  • Suostumuksen peruuttaminen milloin tahansa, kun käsittely perustuu suostumukseen.

Oikeuksien käyttämistä varten ota meihin yhteyttä yllä mainittuun sähköpostiin. Vastaamme pyyntöihin yhden kuukauden kuluessa. Voit myös tehdä valituksen Tietosuojavaltuutetun toimistolle, jos koet, että käsittelemme tietojasi tietosuojalainsäädännön vastaisesti.

9. Evästeet ja vastaavat tekniikat

Palvelu käyttää ainoastaan välttämättömiä evästeitä ja selainmuistiratkaisuja Palvelun toiminnan kannalta:

  • Istunto- ja autentikointitokeneita (Supabase Auth)
  • Käyttäjän valitsema taloyhtiö, näkymäasetukset (localStorage)
  • Pdf-notes-työtilojen paikallinen välimuisti (IndexedDB) — säilyy vain selaimessa, ei lähetetä takaisin meille

Emme käytä mainontaan tai seurantaan tarkoitettuja kolmannen osapuolen evästeitä. Koska kaikki evästeet ovat välttämättömiä, suostumusta evästeisiin ei pyydetä erikseen.

10. Tietoturva

Suojamme henkilötietoja asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä:

  • HTTPS/TLS kaikessa tiedonsiirrossa selaimen ja palvelimen välillä
  • PostgreSQL Row Level Security (RLS) — käyttöoikeudet tarkistetaan tietokantatasolla, ei vain sovellustasolla
  • Vahva salasanapolitiikka (vähintään 8 merkkiä)
  • Sähköpostipohjainen kirjautumisvarmennus
  • Palvelinten päivitykset ja tietoturva-auditit alikäsittelijöiden (Supabase, Cloudflare) toimesta
  • Pääsy tuotantotietoihin rajoitettu vain AdRificin valtuutettuihin henkilöihin

11. Selosteen muuttaminen

Voimme päivittää tätä tietosuojaselosteita ajoittain. Olennaisista muutoksista ilmoitamme rekisteröityneille käyttäjille sähköpostitse tai Palvelussa näkyvällä ilmoituksella ennen muutoksen voimaantuloa. Voimassa oleva versio on aina saatavilla tällä sivulla, ja viimeisin päivityspäivä näkyy ylhäällä.