Privacy Policy / Tietosuojaseloste / Integritetspolicy

Rekisterinpitäjä ja yhteystiedot

Gunvald Oy toimii Gunvald-palvelun rekisterinpitäjänä. Käsittelemme henkilötietoja palvelun tuottamiseksi, asiakassuhteen hoitamiseksi, julkaisuintegraatioiden käyttämiseksi ja lakisääteisten velvoitteiden täyttämiseksi.

• Yritys: Gunvald Oy
• Osoite: Sippulantie 4 A 18, 40520 Jyväskylä, Suomi
• Sähköposti: support@gunvald.fi
• Puhelin: +358 45 200 6802

Mitä tietoja keräämme

• Käyttäjän nimi, sähköposti, yrityksen tiedot, rooli ja kirjautumisen tekniset tunnisteet.
• Brändi-, kohderyhmä-, kampanja- ja sisältöasetukset, joita käytetään julkaisujen suunnitteluun.
• Luonnokset, hyväksytyt julkaisut, kuvat, videot, tekoälyn tuottamat sisällöt, hashtagit ja julkaisukalenterin tiedot.
• Sosiaalisten alustojen OAuth-tunnisteet, sivu- ja kanavatunnisteet, publish-ready-tilat, tokenien voimassaolot ja alustojen palauttamat julkaisu- tai virhekoodit.
• Maksetussa monikanavamainonnassa käyttäjän valitsemien Meta-, Google Search-, YouTube-, LinkedIn- ja TikTok-kanavien provider-, mainostili-, Business-, Page-, organisaatio- ja publisher-identity-tunnisteet, roolit ja valmiustiedot, valuutta ja aikavyöhyke sekä brief, suunnitelmaversiot, hyväksynnät, budjetti ja kanava-allokaatiot, ajastus, kohdennuskriteerit, tekstit, linkit, kuva-, video- ja logoassetit, EU/DSA-tiedot, kampanja- ja muut etäobjektitunnisteet, provider-tilat, näyttökerrat, klikkaukset, kulutus, virhe- ja reconciliation-tiedot sekä auditointitapahtumat.
• Käyttö-, loki-, analytiikka- ja virhetiedot palvelun tietoturvan, laadun ja vianmäärityksen varmistamiseksi.
• Laskutus-, tilaus-, maksutapahtuma- ja tukipyyntötiedot.

Tietojen käyttötarkoitukset ja oikeusperusteet

• Sopimus: käyttäjätilin, työtilan, julkaisujen, videojulkaisujen, ajastusten, maksetun mainonnan ja laskutuksen toteuttaminen.
• Oikeutettu etu: tietoturva, virheiden selvittäminen, väärinkäytösten estäminen ja palvelun kehittäminen.
• Lakisääteinen velvoite: kirjanpito, verotus ja viranomaisvaatimukset.
• Suostumus: vapaaehtoiset markkinointiviestit ja ei-välttämättömät evästeet. OAuth-valtuutus on tekninen käyttöoikeus eikä yksin määritä henkilötietojen käsittelyn oikeusperustetta.

Sosiaalisen median ja videoalustojen käsittely

Kun yhdistät Meta-, LinkedIn-, Google Business Profile-, TikTok- tai YouTube-kanavan, Gunvald käsittelee vain ne tunnisteet ja sisällöt, joita tarvitaan valtuutetun kanavan tarkistamiseen, julkaisuvalmiuden näyttämiseen, sisällön julkaisemiseen ja julkaisun tilan seuraamiseen.

Julkaistu sisältö voi jäädä kolmannen osapuolen alustalle sen omien ehtojen ja säilytyskäytäntöjen mukaisesti. Kanavan irrottaminen Gunvaldista estää uudet julkaisut, mutta ei välttämättä poista jo alustalle julkaistua sisältöä.

Kun kyseinen provider-yhteys ja rollout-vaihe ovat käytettävissä, Paid Ads -yhteydet mahdollistavat käyttäjän valitsemien Meta-, Google Search-, YouTube-, LinkedIn- ja TikTok-mainostilien sekä niihin liittyvien identiteettien näyttämisen, mainosmateriaalin ja aikataulun valmistelun, kampanjaobjektien luomisen providerin vastaavaan PAUSED-, inactive- tai DRAFT-tilaan, erikseen vahvistettavan aktivoinnin sekä provider-tilojen ja tulosten näyttämisen. Epävarmassa provider-vastauksessa fail-closed reconciliation lukee ja täsmäyttää etäobjekteja, mutta ei aktivoi niitä. Ads-yhteyden irrottaminen estää uudet Gunvald-toimet, mutta ei automaattisesti pysäytä, poista tai muuta providerissa jo olevia objekteja. Gunvald ei lähetä OAuth-tokeneita OpenAI:lle. Sisältöä välitetään tekoälypalvelulle vain käyttäjän pyytämän generoinnin edellyttämässä laajuudessa.

Alikäsittelijät ja tietojen luovutukset

Käytämme palvelun toteuttamiseen arvioituja palveluntarjoajia. Lisäksi käyttäjän valitsemat some- ja mainosalustat vastaanottavat vain valtuutetun toiminnon edellyttämät tiedot ja voivat käsitellä niitä omien ehtojensa mukaisesti myös itsenäisinä rekisterinpitäjinä. Käytämme EU:n vakiolausekkeita ja täydentäviä suojatoimia silloin, kun ne soveltuvat kyseiseen palveluntarjoajaan ja siirtoon.

Säilytysajat

• Käyttäjä- ja työtilatiedot poistetaan pääsääntöisesti 30 päivän kuluessa tilin poistamisesta, ellei laki edellytä pidempää säilytystä.
• Sisällöt, mediat ja ajastustiedot poistetaan käyttäjätilin poiston yhteydessä tai erillisestä poistopyynnöstä.
• Alustatokenit poistetaan, kun kanava irrotetaan tai oikeudet perutaan.
• Paid Ads -yhteys-, tili-, identiteetti-, brief-, suunnitelma-, hyväksyntä-, kampanja-, asset-, insight-, reconciliation- ja auditointitiedot poistetaan työtilan poistossa tai erillisestä pyynnöstä pääsääntöisesti 30 päivän kuluessa, ellei laki tai turvallisen virhetilan selvittäminen edellytä rajattua pidempää säilytystä. Poiston jälkeen voidaan säilyttää minimaalinen tekninen poistotombstone sekä poistettujen rivien määrät todentava purge-auditointi; ne estävät datan palautumisen eivätkä sisällä OAuth-tokeneita tai mainossisältöä. Meta-, Google Ads-, LinkedIn- tai TikTok-provideriin luodut objektit voivat jäädä providerille, kunnes asiakas pysäyttää tai poistaa ne siellä.
• Laskutus- ja kirjanpitotiedot säilytetään lain edellyttämän ajan.
• Virhelokeja säilytetään tyypillisesti 90 päivää ja tuoteanalytiikkaa 12 kuukautta.

Käyttäjän oikeudet

• Oikeus saada pääsy omiin tietoihin, oikaista tietoja ja pyytää tietojen poistamista.
• Oikeus rajoittaa tai vastustaa käsittelyä sekä siirtää tiedot järjestelmästä toiseen soveltuvissa tilanteissa.
• Oikeus peruuttaa suostumus, mukaan lukien markkinointiviestit, evästeet ja alustojen OAuth-valtuutukset.
• Oikeus tehdä valitus valvontaviranomaiselle.

Evästeet ja analytiikka

Käytämme välttämättömiä evästeitä kirjautumiseen, istuntoihin, tietoturvaan ja maksuprosesseihin. Ei-välttämättömiä analytiikka- tai markkinointievästeitä käytetään vain suostumuksella.

Tarkempi evästekuvaus on sivulla /legal/cookies.

Tietoturva

• Liikenne salataan TLS-yhteydellä ja pääsyoikeudet rajataan vähimmäistarpeen mukaan.
• Alustatokenit ja salaisuudet tallennetaan suojattuihin palveluihin eikä niitä näytetä käyttöliittymässä.
• Lokeista pyritään poistamaan tarpeettomat henkilötiedot ennen analysointia.
• Seuraamme virheitä, väärinkäyttöä ja haavoittuvuuksia tuotantoympäristössä.

Controller and contact details

Gunvald Oy is the controller for the Gunvald service. We process personal data to provide the product, manage customer relationships, operate publishing integrations, and meet legal obligations.

• Company: Gunvald Oy
• Address: Sippulantie 4 A 18, 40520 Jyväskylä, Finland
• Email: support@gunvald.fi
• Phone: +358 45 200 6802

Personal data we collect

• User name, email, company details, role, and technical authentication identifiers.
• Brand, audience, campaign, and content preferences used for planning publications.
• Drafts, approved posts, images, videos, AI-generated content, hashtags, and calendar data.
• Social platform OAuth identifiers, page and channel IDs, publish-ready statuses, token validity, and provider publication or error codes.
• For paid multichannel advertising: provider, ad-account, Business, Page, organisation, and publisher-identity identifiers, roles and readiness data for the Meta, Google Search, YouTube, LinkedIn, and TikTok channels selected by the user; currency and time zone; briefs, plan versions, approvals, budgets and channel allocations, schedules, targeting criteria, copy, links, image, video and logo assets, EU/DSA disclosures, campaign and other remote-object identifiers, provider statuses, impressions, clicks, spend, error and reconciliation data, and audit events.
• Usage, log, analytics, and error data used for security, quality, and troubleshooting.
• Billing, subscription, payment event, and support request data.

Purposes and legal bases

• Contract: operating accounts, workspaces, posts, video publishing, scheduling, paid advertising, and billing.
• Legitimate interest: security, troubleshooting, abuse prevention, and product improvement.
• Legal obligation: accounting, taxation, and authority requests.
• Consent: optional marketing communications and non-essential cookies. OAuth authorisation is a technical permission and does not by itself determine the legal basis for personal-data processing.

Social and video platform processing

When you connect Meta, LinkedIn, Google Business Profile, TikTok, or YouTube, Gunvald processes only the identifiers and content needed to verify the authorised channel, display publish readiness, publish content, and track publishing status.

Published content may remain on the third-party platform under that platform's own terms and retention practices. Disconnecting a channel from Gunvald prevents new publishing but may not remove content already published to the platform.

When the relevant provider connection and rollout phase are available, Paid Ads connections let Gunvald list the Meta, Google Search, YouTube, LinkedIn, and TikTok ad accounts and related identities selected by the user, prepare ad material and schedules, create campaign objects in the provider-equivalent PAUSED, inactive, or DRAFT state, request activation through a separate explicit confirmation, and display provider status and results. If a provider outcome is uncertain, fail-closed reconciliation reads and matches remote objects but never activates them. Disconnecting Ads prevents new Gunvald actions but does not automatically pause, delete, or otherwise change objects already held by a provider. Gunvald never sends OAuth tokens to OpenAI. Content is sent to an AI provider only to the extent required for generation requested by the user.

Processors and disclosures

We use assessed service providers to operate Gunvald. Social and advertising platforms selected by the user receive only the data required for the authorised action and may also process it as independent controllers under their own terms. We rely on EU Standard Contractual Clauses and supplementary safeguards when they apply to the relevant provider and transfer.

Retention

• User and workspace data is normally deleted within 30 days after account deletion unless law requires longer retention.
• Content, media, and scheduling data is deleted with the account or following a separate deletion request.
• Platform tokens are removed when a channel is disconnected or authorisation is revoked.
• Paid Ads connection, account, identity, brief, plan, approval, campaign, asset, insight, reconciliation, and audit data is normally deleted within 30 days after workspace deletion or a separate request, unless law or investigation of a safety-critical uncertain outcome requires limited longer retention. After deletion, Gunvald may retain a minimal technical deletion tombstone and a purge audit containing deleted-row counts to prevent data resurrection and prove completion; they contain no OAuth tokens or advertising content. Objects created at Meta, Google Ads, LinkedIn, or TikTok may remain with the provider until the customer pauses or deletes them there.
• Billing and accounting records are retained for the legally required period.
• Error logs are typically retained for 90 days and product analytics for 12 months.

Your rights

• Right to access, correct, and request deletion of your data.
• Right to restrict or object to processing and to data portability where applicable.
• Right to withdraw consent, including marketing, cookies, and platform OAuth authorisations.
• Right to lodge a complaint with a supervisory authority.

Cookies and analytics

We use necessary cookies for login, sessions, security, and payment flows. Optional analytics or marketing cookies are used only with consent.

The detailed cookie description is available at /legal/cookies.

Security

• Traffic is encrypted with TLS and access rights follow least-privilege principles.
• Platform tokens and secrets are stored in protected services and are not exposed in the UI.
• We aim to remove unnecessary personal data from logs before analysis.
• We monitor errors, abuse, and vulnerabilities in production.

Personuppgiftsansvarig och kontaktuppgifter

Gunvald Oy är personuppgiftsansvarig för Gunvald-tjänsten. Vi behandlar personuppgifter för att leverera produkten, hantera kundrelationen, driva publiceringsintegrationer och uppfylla lagstadgade skyldigheter.

• Företag: Gunvald Oy
• Adress: Sippulantie 4 A 18, 40520 Jyväskylä, Finland
• E-post: support@gunvald.fi
• Telefon: +358 45 200 6802

Personuppgifter vi samlar in

• Användarens namn, e-post, företagsuppgifter, roll och tekniska inloggningsidentifierare.
• Varumärkes-, målgrupps-, kampanj- och innehållsinställningar som används för planering av publikationer.
• Utkast, godkända inlägg, bilder, videor, AI-genererat innehåll, hashtaggar och kalenderdata.
• OAuth-identifierare, sid- och kanal-ID:n, publiceringsberedskap, tokenstatus samt plattformarnas publicerings- eller felkoder.
• För betald flerkanalsannonsering: provider-, annonskonto-, Business-, Page-, organisations- och publisher identity-ID, roller och beredskapsdata för de Meta-, Google Search-, YouTube-, LinkedIn- och TikTok-kanaler som användaren väljer; valuta och tidszon; briefar, planversioner, godkännanden, budgetar och kanalfördelningar, scheman, målgruppskriterier, texter, länkar, bild-, video- och logotillgångar, EU/DSA-uppgifter, kampanj- och andra fjärrobjekt-ID, providerstatus, visningar, klick, kostnad, fel- och reconciliation-data samt revisionshändelser.
• Användnings-, logg-, analys- och feldata för säkerhet, kvalitet och felsökning.
• Fakturerings-, abonnemangs-, betalnings- och supportdata.

Ändamål och rättsliga grunder

• Avtal: konton, arbetsytor, inlägg, videopublicering, schemaläggning, betald annonsering och fakturering.
• Berättigat intresse: säkerhet, felsökning, förebyggande av missbruk och produktutveckling.
• Rättslig skyldighet: bokföring, beskattning och myndighetskrav.
• Samtycke: frivilliga marknadsföringsmeddelanden och icke-nödvändiga cookies. OAuth-auktorisering är en teknisk behörighet och avgör inte ensam den rättsliga grunden för personuppgiftsbehandlingen.

Behandling för sociala medier och videoplattformar

När du ansluter Meta, LinkedIn, Google Business Profile, TikTok eller YouTube behandlar Gunvald endast de identifierare och det innehåll som behövs för att verifiera den auktoriserade kanalen, visa publiceringsberedskap, publicera innehåll och följa publiceringsstatus.

Publicerat innehåll kan finnas kvar på den externa plattformen enligt plattformens egna villkor och lagringspraxis. Att koppla bort en kanal från Gunvald stoppar nya publikationer men tar inte nödvändigtvis bort innehåll som redan har publicerats.

När den relevanta provideranslutningen och rollout-fasen är tillgängliga gör Paid Ads-anslutningar det möjligt för Gunvald att visa de Meta-, Google Search-, YouTube-, LinkedIn- och TikTok-annonskonton och tillhörande identiteter som användaren väljer, förbereda annonsmaterial och scheman, skapa kampanjobjekt i providerns motsvarande PAUSED-, inactive- eller DRAFT-status, begära aktivering genom en separat uttrycklig bekräftelse samt visa providerstatus och resultat. Om ett providerutfall är osäkert läser och matchar fail-closed reconciliation fjärrobjekt men aktiverar dem aldrig. Att koppla bort Ads stoppar nya Gunvald-åtgärder men pausar, raderar eller ändrar inte automatiskt objekt som redan finns hos en provider. Gunvald skickar aldrig OAuth-token till OpenAI. Innehåll skickas till en AI-leverantör endast i den omfattning som krävs för den generering användaren begär.

Biträden och utlämnanden

Vi använder bedömda tjänsteleverantörer för att driva Gunvald. Sociala plattformar och annonsplattformar som användaren väljer får endast de uppgifter som den auktoriserade åtgärden kräver och kan också behandla dem som självständigt personuppgiftsansvariga enligt sina egna villkor. Vi använder EU:s standardavtalsklausuler och kompletterande skyddsåtgärder när de är tillämpliga på leverantören och överföringen.

Lagringstider

• Användar- och arbetsytedata raderas normalt inom 30 dagar efter kontoborttagning om lagen inte kräver längre lagring.
• Innehåll, media och schemaläggningsdata raderas med kontot eller efter en separat raderingsbegäran.
• Plattformstokens tas bort när en kanal kopplas bort eller auktoriseringen återkallas.
• Paid Ads-anslutnings-, konto-, identitets-, brief-, plan-, godkännande-, kampanj-, asset-, insight-, reconciliation- och revisionsdata raderas normalt inom 30 dagar efter att arbetsytan raderats eller efter en separat begäran, om inte lag eller utredning av ett säkerhetskritiskt osäkert utfall kräver begränsad längre lagring. Efter radering kan Gunvald behålla en minimal teknisk raderingstombstone och en purge-revision med antal raderade rader för att förhindra att data återskapas och bevisa att raderingen slutförts; de innehåller inga OAuth-token eller annonsinnehåll. Objekt som skapats hos Meta, Google Ads, LinkedIn eller TikTok kan finnas kvar hos providern tills kunden pausar eller raderar dem där.
• Fakturerings- och bokföringsdata sparas under den tid lagen kräver.
• Felloggar sparas normalt i 90 dagar och produktanalys i 12 månader.

Dina rättigheter

• Rätt att få tillgång till, korrigera och begära radering av dina uppgifter.
• Rätt att begränsa eller invända mot behandling samt till dataportabilitet där det är tillämpligt.
• Rätt att återkalla samtycke, inklusive marknadsföring, cookies och OAuth-auktoriseringar.
• Rätt att lämna klagomål till en tillsynsmyndighet.

Cookies och analys

Vi använder nödvändiga cookies för inloggning, sessioner, säkerhet och betalningsflöden. Frivilliga analys- eller marknadsföringscookies används endast med samtycke.

Den detaljerade cookie-beskrivningen finns på /legal/cookies.

Säkerhet

• Trafik krypteras med TLS och åtkomsträttigheter följer principen om minsta möjliga behörighet.
• Plattformstokens och hemligheter lagras i skyddade tjänster och visas inte i användargränssnittet.
• Vi strävar efter att ta bort onödiga personuppgifter från loggar före analys.
• Vi övervakar fel, missbruk och sårbarheter i produktion.