Privacy Policy / Tietosuojaseloste

Rekisterinpitäjä ja yhteystiedot

Kasvialusta Oy (”Gunvald”) toimii palvelun rekisterinpitäjänä. Olemme vastuussa henkilötietojen käsittelystä, joka liittyy Gunvald-palvelun tarjoamiseen ja ylläpitoon.

• Yritys: Kasvialusta Oy (Y-tunnus 1234567-8)
• Käyntiosoite: Sippulantie 4 A 18, 40520 Jyväskylä, Suomi
• Sähköposti: support@gunvald.fi
• Puhelin: +358 45 200 6802

Voit käyttää yllä olevia yhteystietoja myös tietosuoja-asioihin liittyviin pyyntöihin.

Mitä tietoja keräämme

Keräämme henkilötietoja ainoastaan palvelun toteuttamisen, asiakassuhteen hoitamisen sekä lainmukaisten velvoitteiden täyttämisen kannalta tarpeellisessa laajuudessa.

Tietojen käyttötarkoitukset

Käytämme kerättyjä tietoja seuraaviin tarkoituksiin:

• Palvelun tarjoaminen ja käyttäjätunnusten hallinta
• Sisältöjen suunnittelu, ajastus, julkaisu ja analytiikka
• Laskutus, maksujen käsittely ja tilauksen ylläpito
• Teknisen tuen ja asiakasviestinnän tarjoaminen
• Palvelun kehityshankkeet ja käyttökokemuksen parantaminen
• Väärinkäytösten ja tietoturvapoikkeamien ennaltaehkäisy
• Lakien ja viranomaismääräysten noudattaminen (esim. kirjanpito)

Käsittelyn oikeusperusteet

• Sopimus (GDPR art. 6.1.b): palvelun tuottaminen asiakkaille ja käyttäjille
• Lakisääteinen velvoite (GDPR art. 6.1.c): kirjanpito- ja verosääntely
• Oikeutettu etu (GDPR art. 6.1.f): palvelun kehittäminen, tietoturva sekä väärinkäytösten ehkäisy
• Suostumus (GDPR art. 6.1.a): markkinointiviestit ja tietyt analytiikkakeksit

Tietojen luovutukset ja alikäsittelijät

Hyödynnämme luotettavia palveluntarjoajia palvelun toteuttamisessa. Jokaisen toimijan kanssa on solmittu tietojenkäsittelysopimus (DPA), ja heidän ajantasainen listansa ylläpidetään `docs/gdpr/dpa-summary.md` -tiedostossa.

Lisäksi hyödynnämme yksittäisiä muita alihankkijoita infrastruktuurin ylläpitoon; lista päivitetään aina ennen uuden palveluntarjoajan käyttöönottoa.

Säilytysajat

Säilytämme henkilötietoja vain niin kauan kuin se on tarpeen käyttötarkoitusten toteuttamiseksi tai lain niin edellyttäessä. Yksityiskohtainen taulukko löytyy `docs/gdpr/retention-policy.md` -tiedostosta.

• Käyttäjätili ja profiilitiedot: 30 päivää tilin poiston jälkeen, minkä jälkeen tiedot poistetaan ajastetusti.
• Lataamasi media ja sisältö: poistetaan samalla ajastetulla kierrolla kuin käyttäjätili.
• Stripe-laskut ja maksutapahtumat: säilytys 6 vuotta kirjanpitolain nojalla (henkilötiedot minimoidaan).
• Analytiikka (PostHog): 12 kuukautta, jonka jälkeen data anonymisoidaan tai poistetaan.
• Virhelokit (Sentry): 90 päivää.

Käyttäjän oikeudet

Voit käyttää GDPR:n mukaisia oikeuksiasi ottamalla yhteyttä osoitteeseen support@gunvald.fi tai käyttämällä palveluun toteutettuja toiminnallisuuksia (tulossa roadmapin seuraavissa vaiheissa).

• Oikeus saada pääsy tietoihin ja kopio kerätyistä tiedoista (data export).
• Oikeus oikaista virheelliset tai puutteelliset tiedot.
• Oikeus poistoon (“oikeus tulla unohdetuksi”) lain sallimissa rajoissa.
• Oikeus rajoittaa käsittelyä tietyissä tilanteissa.
• Oikeus vastustaa käsittelyä, esimerkiksi suoramarkkinointia.
• Oikeus siirtää tiedot järjestelmästä toiseen.
• Oikeus peruuttaa suostumus milloin tahansa (ei vaikuta aiemmin tehtyyn käsittelyyn).

Vastaamme kaikkiin pyyntöihin viimeistään 30 päivän kuluessa ja kirjaamme toteutetut toimet audit-lokiin.

Evästeet ja analytiikka

Käytämme välttämättömiä evästeitä palvelun toiminnan mahdollistamiseksi sekä erillisen suostumuksen perusteella analytiikka- ja markkinointievästeitä. Voit hallita valintoja evästeasetuksista sekä selaimen asetuksista.

• Välttämättömät evästeet: istunto ja CSRF-suojaus
• Analytiikka: PostHog (anonymisoidut tunnisteet)
• Markkinointi: otetaan käyttöön vain erillisen opt-in -suostumuksen perusteella

Katso tarkemmat tiedot evästekäytännöstä sivulta /help/support/legal/cookies.

Tietojen siirrot EU/ETA-alueen ulkopuolelle

Osa alikäsittelijöistämme sijaitsee EU/ETA-alueen ulkopuolella. Varmistamme tietojen suojan käyttämällä Euroopan komission hyväksymiä vakiolausekkeita (SCC) ja tarvittaessa täydentäviä suojatoimia (esim. pseudonymisointi).

Tietojen siirrot ja suojausmekanismit on kuvattu tarkemmin DPA-yhteenvedossa.

Tietoturva

• Kaikki liikenne salataan (TLS).
• Käyttöoikeudet rajataan vähimmäistarpeen periaatteella; pääsynhallinta auditoidaan säännöllisesti.
• Supabase ja Clerk käyttävät rivitason suojausta (RLS) ja monivaiheista tunnistautumista.
• Virhelokit suodatetaan henkilökohtaisista tiedoista ennen lähetystä.
• Teemme vuosittain tietoturvaharjoituksia (tabletop) ja seuraamme haavoittuvuuksia.

Muutokset tähän tietosuojaselosteeseen

Päivitämme tietosuojaselostetta aina, kun toimintaamme tai tietosuojakäytäntöjämme muutetaan. Merkittävistä muutoksista ilmoitetaan palvelussa tai sähköpostitse. Historiatiedot tallennetaan `docs/gdpr/evidence/changelog.md` -tiedostoon.

Data Controller & Contact Details

Kasvialusta Oy ("Gunvald") acts as the data controller for the Gunvald service. We are responsible for processing personal data on behalf of our customers and users.

• Company: Kasvialusta Oy (Business ID 1234567-8)
• Registered office: Sippulantie 4 A 18, 40520 Jyväskylä, Finland
• Email: support@gunvald.fi
• Phone: +358 45 200 6802

Use the contact details above for any privacy-related questions or data subject requests.

Personal Data We Collect

We only collect personal data that is necessary to operate the service, maintain the customer relationship, and comply with legal obligations.

Why We Process Personal Data

• To provide, secure, and maintain the Gunvald service
• To generate, schedule, and publish content on behalf of customers
• To manage billing, subscriptions, and payments
• To deliver technical support and customer communications
• To improve the product and develop new features
• To detect, investigate, and prevent fraud or abuse
• To fulfil statutory obligations such as accounting and tax reporting

Legal Bases

• Contract (GDPR art. 6(1)(b)): providing the Gunvald service
• Legal obligation (GDPR art. 6(1)(c)): accounting and tax compliance
• Legitimate interest (GDPR art. 6(1)(f)): service development and security
• Consent (GDPR art. 6(1)(a)): marketing communications and optional cookies

Processors & Disclosures

We rely on trusted sub-processors to offer the Gunvald service. Up-to-date details and evidence of signed DPAs are kept in `docs/gdpr/dpa-summary.md`.

We evaluate and document any new vendor before onboarding them into production.

Retention Periods

We retain personal data only for as long as necessary and in line with documented retention schedules (`docs/gdpr/retention-policy.md`).

• Account and profile data: deleted 30 days after an account deletion request.
• Uploaded media and generated content: deleted together with the user account.
• Billing records: retained for six years to meet statutory accounting requirements (personal data minimised where possible).
• Analytics (PostHog): kept for 12 months before anonymisation or deletion.
• Error logs (Sentry): retained for 90 days.

Your Rights

You can exercise your rights under GDPR by contacting support@gunvald.fi or using the forthcoming in-product tooling (export/delete) described in our roadmap.

• Right of access and data portability
• Right to rectification
• Right to erasure (subject to legal exceptions)
• Right to restriction of processing
• Right to object, including to direct marketing
• Right to withdraw consent at any time
• Right to lodge a complaint with a supervisory authority

Cookies & Analytics

We use strictly necessary cookies to operate the service and, with consent, optional analytics or marketing cookies.

• Necessary: session management and CSRF protection
• Analytics: PostHog (hashed identifiers)
• Marketing: disabled by default; enabled only with explicit opt-in

See /help/support/legal/cookies for a detailed cookie list and instructions.

International Transfers

When data is transferred outside the EU/EEA, we rely on Standard Contractual Clauses (SCCs) and supplementary safeguards such as pseudonymisation.

Transfer details are documented in each processor’s DPA.

Security Measures

• TLS encryption for all data in transit
• Role-based access control and least-privilege principles
• Supabase row-level security and Clerk MFA for administrative users
• Automated scrubbing of personal data from error logs
• Regular security reviews, tabletop exercises, and vulnerability monitoring

Policy Updates

We update this policy whenever our practices change. Significant changes are communicated in-app or via email. Revision history is stored in `docs/gdpr/evidence/changelog.md`.