Oddley’s Workbench – tietosuojailmoitus
Tämä tietosuojailmoitus kertoo, mitä henkilötietoja Oddley’s Workbenchissä käsitellään, miksi niitä tarvitaan, kenelle niitä välitetään ja miten voit käyttää oikeuksiasi. Ilmoitus kuvaa palvelun toimintaa ja erottaa Oddlybrightin oman rekisterinpitäjän roolin asiakkaan työtilan tietojen käsittelystä. Yhteys: support@oddlybright.fi.
1. Palveluntarjoaja ja tietosuoja-asioiden yhteyspiste
Oddlybright Oy, Y-tunnus 3664827-1. Palvelu: Oddley’s Workbench. Tietosuojapyynnöt ja ilmoitusta koskevat kysymykset: support@oddlybright.fi.
Tämä ilmoitus koskee Workbenchin käyttäjätilejä, asiakassuhteen hoitoa, työtilojen käyttöä, Oddley-tekoälytoimintoja sekä käyttäjän käyttöön ottamia yhteyksiä muihin palveluihin. Verkkosivuston yleinen tietosuoja ja Oddlybrightin omien myyntiyhteydenottojen tietosuoja kuvataan erillisissä ilmoituksissa.
2. Kuka vastaa mistäkin tiedoista
Oddlybright on rekisterinpitäjä omiin asiakassuhteisiinsa, palvelun käyttöoikeuksien hallintaan, laskutukseen, tukipyyntöihin ja oman palvelunsa turvallisuuden varmistamiseen liittyvässä käsittelyssä.
Asiakasorganisaatio on lähtökohtaisesti rekisterinpitäjä työtilaansa tallentamistaan henkilötiedoista, kuten henkilöstö-, asiakas-, yhteyshenkilö- ja projektitiedoista. Oddlybright käsittelee näitä tietoja asiakkaan lukuun ja tämän dokumentoitujen ohjeiden mukaisesti palvelun toteuttamiseksi. Asiakas vastaa aineistojensa käsittelyperusteesta, tietojen tarpeellisuudesta, käyttäjien valtuuksista ja omien rekisteröityjensä informoinnista. Käsittelystä ja mahdollisesta alikäsittelystä sovitaan erikseen asiakassuhteessa.
Työtilan sisältöä koskevan pyynnön ensisijainen vastaanottaja on oma organisaatiosi. Jos et tiedä oikeaa yhteyshenkilöä, voit ottaa yhteyttä Oddlybrightiin. Tämä ilmoitus ei itsessään solmi tai muuta asiakkaan henkilötietojen käsittelysopimusta eikä tee osapuolista yhteisrekisterinpitäjiä.
3. Keiden tietoja käsitellään
Palvelussa voidaan käsitellä kutsuttujen käyttäjien, asiakasorganisaatioiden pääkäyttäjien ja yhteyshenkilöiden sekä työtilan aineistoissa esiintyvien henkilöiden tietoja. Aineisto voi koskea esimerkiksi työntekijöitä, projektien vastuuhenkilöitä, asiakkaita tai yhteistyökumppanien ammatillisia yhteyshenkilöitä.
Palvelu on organisaatioiden työväline. Sinne tulee tallentaa vain käyttötarkoituksen kannalta tarpeellisia tietoja. Henkilötunnuksia, terveystietoja, salasanoja tai muita erityisen arkaluonteisia tietoja ei tule sisällyttää tavallisiin työtila-aineistoihin, tiedostotuontiin tai AI-pyyntöihin. Mahdollinen erillinen arkaluonteisten tietojen käsittely edellyttää sitä koskevaa nimenomaista sopimusta ja asianmukaista toteutusta.
4. Tarkoitukset ja oikeusperusteet
Käyttäjätilien, kutsujen, käyttöoikeuksien ja asiakasorganisaation palvelun hallinnan tarkoituksena on toteuttaa sovittu palvelu ja varmistaa, että tietoja käyttävät vain oikeutetut henkilöt. Kun henkilö itse on sopimusosapuoli, tarpeellinen käsittely perustuu sopimukseen tai hänen pyytämilleen sopimusta edeltäville toimille (GDPR 6 artiklan 1 kohdan b alakohta). Asiakasorganisaation työntekijöiden ja edustajien osalta Oddlybrightin oman käsittelyn peruste on oikeutettu etu hoitaa yritysten välistä asiakassuhdetta ja tarjota turvallinen palvelu (f alakohta).
Tuki, virheiden selvittäminen, väärinkäytösten ehkäisy, käyttöoikeuksien valvonta ja tarpeellinen tapahtumahistoria perustuvat palvelun turvallista ja luotettavaa toimintaa koskevaan oikeutettuun etuun (f alakohta). Kirjanpitoon, verotukseen ja muihin velvoittaviin säännöksiin perustuvat tiedot käsitellään lakisääteisen velvoitteen nojalla (c alakohta).
Jos tietty lisätoiminto tai muu käsittely perustuu suostumukseen, suostumus pyydetään erikseen ja sen voi peruuttaa (a alakohta). Ulkoisen tilin tekninen OAuth-valtuutus määrittää palvelun käyttöoikeudet; se ei yksin ratkaise kaiken yhteyden kautta käsiteltävän henkilötiedon GDPR-perustetta. Asiakas määrittää työtilansa sisällön ja siihen käyttöönotettujen toimintojen käsittelyperusteet.
5. Käsiteltävät tiedot
Käsittelemme käyttäjän nimeä, sähköpostiosoitetta, tunnistautumis- ja käyttöoikeustietoja sekä organisaation ja asiakassuhteen tietoja. Työtilan aineisto voi sisältää käyttäjien tallentamia henkilöstö-, asiakas-, yhteyshenkilö-, projekti-, kokous- ja päätöstietoja sekä tekstejä ja tiedostoja.
Tekoälytoiminnoissa käsitellään käyttäjän pyyntöjä, keskusteluja, toiminnolle tarpeellista aineistoa ja tuotettuja vastauksia. Ulkoisista yhteyksistä käsitellään tarvittavat tili-, valtuutus- ja siirtotiedot. Sähköpostitoiminnot voivat käsitellä viestejä, liitteitä ja lähetys- ja vastaanottotietoja.
Teknisiä tietoja ovat esimerkiksi IP-osoite, selain- ja laitetiedot, pyyntöajat, käyttömäärät sekä virhe-, turvallisuus- ja toimitustiedot.
6. Tietolähteet
Tietoja saadaan käyttäjältä, asiakasorganisaatiolta, tunnistuspalvelusta ja erikseen valtuutetuista ulkoisista palveluista. Asiakkaan toimittama aineisto voi sisältää myös muiden henkilöiden tietoja.
Käyttöön otettu haku voi käyttää julkisia verkkosivuja ja rekistereitä, kuten PRH:n ja Tilastokeskuksen aineistoja. Julkisuus ei poista henkilötietojen käsittelyä koskevia velvoitteita. Asiakas vastaa toimittamiensa tietojen käsittelyperusteesta ja käyttöoikeuksista.
7. Näkyvyys työtilassa ja ylläpidon pääsy
Työtilan tietojen näkyvyys määräytyy käyttäjälle myönnettyjen käyttöoikeuksien ja jakovalintojen perusteella. Asiakasorganisaatio hallinnoi omia käyttäjiään ja oikeuksiaan. Yksityisiä keskusteluja ei jaeta muille käyttäjille ilman käyttäjän erillistä toimintaa.
Oddlybrightin valtuutettu ylläpito ja tekniset palveluntarjoajat voivat käsitellä tietoja palvelun toimittamiseksi, tukemiseksi, ylläpitämiseksi ja suojaamiseksi tarpeellisessa laajuudessa. Käyttäjäkohtainen yksityisyys ei estä kaikkea palveluntarjoajan teknistä pääsyä.
8. Oddley ja tekoälykäsittely
Tekoäly käsittelee käyttäjän pyyntöä ja kyseiseen toimintoon käyttöoikeuksien puitteissa valittua tai liitettyä aineistoa. Aineisto voi sisältää henkilötietoja. Käsittelyyn osallistuvat Lovable ja sen kautta käytetty OpenAI-mallipalvelu. Pyynnöt ja tulokset voivat tallentua palveluun; toimittajien turvallisuus- ja palvelulokeihin voi jäädä tietoja.
Oddlybright ei käytä asiakkaiden työtilasisältöjä oman yleiskäyttöisen tekoälymallin kouluttamiseen. Lovable ilmoittaa, ettei julkaistujen sovellusten loppukäyttäjien tietoja käytetä sen mallien koulutukseen. Tämä ei tarkoita kaikkien tietojen välitöntä poistamista tai nollasäilytystä.
Tekoälyn tulokset voivat olla virheellisiä. Käyttäjä tarkistaa olennaiset tiedot ja hyväksyy toimet. Palvelua ei ole tarkoitettu henkilöitä koskeviin yksinomaan automaattisiin päätöksiin, joilla on oikeudellisia tai vastaavia merkittäviä vaikutuksia. Asiakas vastaa oman käyttötapansa lainmukaisuuden arvioinnista.
9. OneDrive, SharePoint ja tiedostojen tuonti
Microsoftin tiedostoyhteydet edellyttävät käyttäjän erillistä valtuutusta ja tarvittaessa asiakasorganisaation hyväksyntää. Pyydettävät oikeudet näkyvät valtuutuksen yhteydessä. Tietoja käsitellään käyttöön otetun toiminnon ja myönnettyjen oikeuksien mukaisesti.
Tuotu tiedosto ja siitä käsitellyt tiedot voivat tallentua Workbenchiin. Tiedostoyhteyden käyttöönotto ei itsessään tarkoita koko ulkoisen tilin jatkuvaa synkronointia. Yhteyden katkaiseminen estää sen myöhemmän käytön, mutta ei poista jo tuotuja tietoja. Myös muut ulkoiset yhteydet edellyttävät erillistä käyttöönottoa ja valtuutusta.
10. LinkedIn-yhteys ja yrityssivujen julkaisut
LinkedIn-yhteys edellyttää käyttäjän valtuutusta ja tarvittavia palveluntarjoajan hyväksymiä oikeuksia. Käsiteltäviä tietoja ovat tarpeelliset tili- ja yrityssivutunnisteet, hallintaoikeudet, valtuutustiedot sekä julkaistava sisältö ja sen toimitustiedot.
Hyväksytty julkaisu toimitetaan LinkedIniin valitun yleisön nähtäväksi. Pelkkä yhdistäminen ei julkaise sisältöä eikä anna yleistä pääsyä yksityisviesteihin tai henkilökohtaiseen verkostoon. Yhteyden voi katkaista Workbenchissä ja valtuutuksen peruuttaa LinkedInissä. Workbenchin katkaisutoiminto tyhjentää tallennetun käyttöoikeustunnuksen; jo julkaistun tai tallennetun sisällön poistaminen käsitellään erikseen.
11. Sähköposti ja muut käyttöön otetut kanavat
Asiakas voi yhdistää oman sähköposti- tai muun kanavapalvelunsa erillisellä käyttöönotolla ja tarvittavilla valtuuksilla. Käsittely koskee toiminnon edellyttämiä tiliasetuksia, valtuutuksia, lähettäjä- ja vastaanottajatietoja, viestejä, liitteitä sekä synkronointi- ja toimitustietoja. Postilaatikon vastaanottotietojen hakeminen edellyttää vastaanottoyhteyden käyttöönottoa.
Viestit välitetään valittuun kanavapalveluun ja vastaanottajan palveluun. Workbenchiin voi tallentua viestintä- ja tapahtumahistoriaa. Asiakas vastaa viestinnän käsittelyperusteesta ja vastaanottajien informoinnista.
12. Vastaanottajat ja palveluntarjoajat
Tietoja käsittelevät käyttöoikeuksiensa mukaisesti asiakkaan käyttäjät, Oddlybrightin valtuutettu henkilöstö ja palvelun toteuttamiseen osallistuvat toimittajat. Keskeisiä toimijoita ovat Lovable (pilvi-, tallennus-, tunnistus- ja tekniset palvelut), sen kautta käytetty OpenAI-mallipalvelu (tekoäly) ja Parallel (käyttöön otettu verkkohaku). Lovablen ajantasainen toimittajaluettelo on sen Trust Centerissä.
Microsoft, Google ja LinkedIn käsittelevät tietoja siltä osin kuin niiden tunnistus- tai tilipalvelut on otettu käyttöön. Google saa myös ulkoisten Google Fonts -fonttipyyntöjen IP- ja selaintietoja. Sähköpostia käsittelevät valittu lähetys- tai vastaanottopalvelu sekä vastaanottajan palvelu; Oddlybrightin oma sähköposti käyttää Zoneria. PRH ja Tilastokeskus ovat julkisten aineistojen lähteitä.
Ulkoiset tilipalvelut voivat toimia oman toimintansa osalta itsenäisinä rekisterinpitäjinä. Viranomaisille luovutetaan tietoja lain edellyttämissä tilanteissa. Oddlybright ei myy työtilojen henkilötietoja eikä käytä niitä muiden yritysten omaan suoramarkkinointiin.
13. Käsittelyalueet ja kansainväliset siirrot
Tuotannon tietokanta sijaitsee Irlannissa. Pilvi-, tunnistus-, sähköposti-, tuki-, verkkohaku- ja tekoälypalvelut voivat käsitellä tietoja myös EU:n ja ETA:n ulkopuolella, mukaan lukien Yhdysvallat. Tietokannan sijainti ei määritä kaiken käsittelyn maita. Asiakkaan ulkoisten tilipalvelujen alueisiin vaikuttavat myös niiden omat asetukset.
ETA:n ulkopuolisten siirtojen tulee perustua soveltuvaan riittävyyspäätökseen tai asianmukaisiin suojatoimiin, kuten Euroopan komission vakiolausekkeisiin ja tarvittaessa lisäsuojiin. Lovable kertoo käyttävänsä vakiolausekkeita ja tarvittaessa siirtojen vaikutusten arviointeja. Sen palveluntarjoajasäännöt kuvaavat myös Parallel-käsittelyn Yhdysvalloissa. Toimittajan yleinen kuvaus ei yksin vahvista jokaisen asiakaskohtaisen sopimusketjun soveltuvuutta.
Voit pyytää omia tietojasi koskevat tarkemmat vastaanottaja-, käsittelyalue- ja siirtotiedot sekä jäljennöksen sovellettavista suojatoimista osoitteesta support@oddlybright.fi. Jäljennöksissä suojataan muiden henkilöiden tiedot ja liikesalaisuudet.
14. Säilytysajat ja niiden määräytyminen
Käyttäjä- ja käyttöoikeustietoja säilytetään tilin ja oikeuksien hallinnan ajan. Tämän jälkeen tarpeellista tapahtumahistoriaa voidaan säilyttää turvallisuuden, vastuiden tai oikeusvaateiden selvittämiseksi.
Työtila-aineiston, tiedostojen, keskustelujen ja tekoälytulosten säilytys määräytyy asiakkaan dokumentoitujen ohjeiden, käyttötarkoituksen, sovitun palvelun elinkaaren ja lakisääteisten velvoitteiden perusteella. Yhden sisällön poistaminen ei välttämättä poista siitä aiemmin erikseen tallennettuja tietoja tai tarpeellista muutoshistoriaa. Ulkoisen yhteyden tunnuksia säilytetään yhteyden ylläpitämiseksi; Workbenchin katkaisutoiminto poistaa tai tyhjentää tallennetun tunnuksen.
Tuki- ja tietosuojapyyntöjä säilytetään asian hoitamiseksi ja velvoitteiden täyttämisen osoittamiseksi tarpeellinen aika. Sopimus-, laskutus- ja kirjanpitotietoja säilytetään soveltuvien lakisääteisten velvoitteiden ja tarpeellisten vaateiden käsittelyn ajan. Turvallisuus- ja virhetietojen säilytys määräytyy valvonnan ja poikkeamien selvittämistarpeen perusteella.
Varmuuskopioiden ja toimittajien lokien poistuminen noudattaa niiden erillisiä säilytys- ja palautuskäytäntöjä. Poistot eivät välttämättä toteudu kaikissa kopioissa välittömästi. Palvelun päättyessä palautus ja poistaminen käsitellään sovitulla tavalla. Tarkemmat tietoryhmäkohtaiset tiedot saat yhteyspisteestämme.
15. Yhteyksien katkaisu ja poistopyynnöt
Ulkoisen yhteyden voi katkaista Workbenchissä tai peruuttaa palveluntarjoajan sovellusoikeuksista. Valtuutuksen peruuttaminen ei poista jo tuotuja tietoja, eikä Workbenchissä tehty poisto automaattisesti poista tietoja lähdepalvelusta tai julkisesta julkaisusta.
Työtilatietojen poistopyyntö osoitetaan ensisijaisesti asiakasorganisaatiolle. Oddlybrightin omia rekistereitä ja epäselviä tilanteita koskevat pyynnöt: support@oddlybright.fi. Yksilöi pyynnön kohde; älä lähetä salasanoja tai käyttöoikeusavaimia. Henkilöllisyys ja valtuudet varmistetaan tarpeellisessa laajuudessa.
Poisto-oikeutta voivat rajoittaa esimerkiksi lakisääteinen säilytysvelvoite tai oikeusvaade. Mahdollinen rajaus ja sen peruste selitetään pyytäjälle.
16. Evästeet ja selaimen tallennus
Workbench käyttää evästeitä ja selaimen paikallista tallennusta kirjautumisistuntoon, istunnon uusimiseen, valittuun työtilaan ja käyttöliittymän asetuksiin, kuten ulkoasuun. Istuntoon liittyviä tietoja käsittelevät myös tunnistuspalvelut. Työtilavalinnan palvelinevästeiden enimmäiskesto on nykyisessä toteutuksessa 90 päivää. Muiden tunnistus- ja asetustallenteiden kesto määräytyy istunnon, käyttäjän valinnan tai palveluntarjoajan käytännön mukaan; paikallinen tallenne voi säilyä, kunnes käyttäjä poistaa sen.
Välttämättömiä tunnistus- ja turvallisuustallenteita tarvitaan palvelun toimintaan. Käyttäjän omat asetukset tallentuvat hänen tekemiensä valintojen toteuttamiseksi. Palvelualusta voi käsitellä teknisiä käyttö- ja turvallisuustietoja omien ehtojensa mukaisesti. Google Fonts -lataus voi välittää IP- ja selaintietoja Googlelle. Selaintallennuksen poistaminen voi kirjata ulos tai nollata asetuksia, mutta se ei poista palvelimelle tallennettuja työtilatietoja.
17. Tietoturva ja tietoturvaloukkaukset
Tietoja suojataan käyttöoikeuksien hallinnalla, salauksella, suojatuilla yhteyksillä ja muilla teknisillä ja organisatorisilla toimenpiteillä. Pääsy rajataan tehtävien ja myönnettyjen oikeuksien perusteella.
Käyttäjän tulee suojata tilinsä ja laitteensa sekä välttää tarpeettoman aineiston tallentamista. Epäillystä tietovuodosta tai väärästä näkyvyydestä ilmoitetaan viipymättä osoitteeseen support@oddlybright.fi. Oddlybright selvittää poikkeamat roolinsa mukaisesti ja toimittaa rekisterinpitäjälle tarvittavat tiedot. Ilmoitukset viranomaisille ja rekisteröidyille tehdään lain edellyttämissä tilanteissa ja määräajoissa.
18. Oikeutesi ja pyynnön käsittely
Sinulla on soveltuvin osin oikeus saada tietoa käsittelystä ja pääsy omiin tietoihisi, pyytää virheellisten tai puutteellisten tietojen oikaisua, tietojen poistamista tai käsittelyn rajoittamista sekä vastustaa oikeutettuun etuun perustuvaa käsittelyä henkilökohtaiseen tilanteeseesi liittyvällä perusteella. Voit vastustaa suoramarkkinointia ja siihen liittyvää profilointia milloin tahansa maksutta. Jos käsittely perustuu suostumukseen, voit peruuttaa sen ilman vaikutusta ennen peruuttamista tapahtuneen käsittelyn lainmukaisuuteen.
Tietojen siirto-oikeus koskee lain edellytyksin itse antamiasi tietoja, joita käsitellään automaattisesti sopimuksen tai suostumuksen perusteella. Tiedot toimitetaan oikeuden soveltuessa jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa. Tiedonsaannissa ja jäljennöksissä suojataan myös muiden henkilöiden oikeudet. Työtilan sisältöpyyntö osoitetaan ensisijaisesti omalle organisaatiolle ja Oddlybrightin omaan käsittelyyn liittyvä pyyntö osoitteeseen support@oddlybright.fi.
Vastaamme Oddlybrightin ratkaistavaksi kuuluvaan pyyntöön ilman aiheetonta viivytystä ja lähtökohtaisesti kuukauden kuluessa. Jos lain sallima enintään kahden lisäkuukauden aika on tarpeen, ilmoitamme siitä ja syistä ensimmäisen kuukauden aikana. Jos emme toteuta pyyntöä, kerromme perusteen ja käytettävissä olevat oikeussuojakeinot. Pyyntö on yleensä maksuton; lain mukaiset poikkeukset arvioidaan erikseen.
19. Tietojen antamisen vapaaehtoisuus ja valvontaviranomainen
Workbenchin käyttäjäksi ryhtyminen ei ole yleinen lakisääteinen velvollisuus. Käyttäjän tunnistamiseksi ja oikeuksien myöntämiseksi tarvitaan kuitenkin tietyt tili- ja organisaatiotiedot; niiden puuttuminen voi estää palvelun käytön. Ulkoisten tilien yhdistäminen on valinnainen toiminto, jonka käyttämättä jättäminen estää vain kyseistä yhteyttä edellyttävät toiminnot. Työnantajasi tai muun asiakasorganisaation tiedonantovelvoitteista ja vaihtoehdoista vastaa kyseinen organisaatio.
Jos katsot, että tietojasi käsitellään lainvastaisesti, voit tehdä valituksen tietosuojavaltuutetun toimistolle: https://tietosuoja.fi. Voit käyttää myös muita GDPR:n mukaisia hallinnollisia ja oikeudellisia oikeussuojakeinoja. Voit ottaa ensin yhteyttä meihin asian selvittämiseksi, mutta tämä ei ole valituksen edellytys.
20. Ilmoituksen ajantasaisuus
Julkisesti näytetään vain ajantasainen tietosuojailmoitus. Sen versio, julkaisuajankohta ja voimaantulopäivä näkyvät asiakirjan yhteydessä. Aiemmat versiot säilytetään sisäisessä dokumentaatiossa; niitä ei julkaista tällä sivulla.
Ilmoitus päivitetään henkilötietojen käsittelyn muuttuessa olennaisesti. Uudesta käyttötarkoituksesta annetaan lain edellyttämät tiedot ennen käsittelyn aloittamista. Päivitys ei itsessään anna uusia ulkoisten tilien valtuuksia eikä muuta asiakassopimuksia.