Tietosuojaseloste — SYKÄ

Tämä seloste kertoo, mitä tietoja SYKÄ-sovellus ja -verkkopalvelu käsittelevät sinusta, miksi ja millä perusteilla, kuinka pitkään säilytämme tietoja ja miten voit käyttää oikeuksiasi.

Tiivistelmä

Kuka rekisterinpitäjä on? HIO Labs Oy (Y-tunnus 3634554-5, Laivalahdenkaari 13, 00810 Helsinki). Yhteydenotot tietosuoja-asioissa: info@syka.fi.

Mitä tietoja keräämme? SYKÄ tarvitsee sähköpostiosoitteesi, jotta voit luoda tilin, ja tallentaa suosikkisi, kalenterimerkintäsi ja seuraamasi järjestäjät sinulle itsellesi. Mittaamme lisäksi nimettömästi (ilman henkilöyhteyttä), mitkä harrastukset kiinnostavat käyttäjiä yleisesti, jotta järjestäjät näkevät oman ilmoituksensa kiinnostavuuden.

Miksi keräämme? Pääosin siksi että palvelun toiminta sitä vaatii (sopimus kanssasi). Joissain tapauksissa myös palvelun kehittämiseksi (oikeutettu etu — voit vastustaa).

Miten käytät oikeuksiasi? Voit ladata kaikki tietosi ja poistaa tilisi itse sovelluksessa. Lisää kohdassa 7.

Vierailijat ilman tiliä: Voit selailla harrastuksia kirjautumatta. Keräämme silloin vain nimettömän käyttötilaston (asennuskohtainen tunniste ilman henkilöyhteyttä).

Lapset: Tilin voi luoda 13-vuotiaana tai vanhempana. Alle 13-vuotiaat voivat selailla sovellusta ilman tiliä.

1. Rekisterinpitäjä ja yhteystiedot

Rekisterinpitäjä: HIO Labs Oy
Y-tunnus: 3634554-5
Postiosoite: Laivalahdenkaari 13, 00810 Helsinki
Yhteyssähköposti tietosuoja-asioissa: info@syka.fi
Yleinen yhteyssähköposti: info@syka.fi

Kaikki tietosuoja-asioita koskevat yhteydenotot ohjautuvat tähän samaan osoitteeseen ja niitä käsittelee rekisterinpitäjä. Jos organisaatio myöhemmin kasvaa niin että erillinen tietosuojayhteystaho on tarpeen, tämä kohta päivitetään.

2. Mitä tietoja käsittelemme ja mistä ne saadaan

2.1 Mobiilisovelluksen käyttäjät (rekisteröityneet)

Kun luot tilin ja käytät sovellusta, käsittelemme seuraavia tietoja:

Tilin perustiedot (sinulta itseltäsi, palvelimelle tallennettuna):

• Sähköpostiosoite
• Salasana (tallennetaan vain salatussa muodossa, emme näe sitä)

Käyttäytymistiedot (kun käytät sovellusta, palvelimelle tallennettuna):

• Suosikkiharrastukset, jotka tallennat
• Kalenterimerkinnät tulevista harrastuksista
• Seuraamasi järjestäjät

Tiedot jotka jäävät vain laitteellesi (eivät lähde palvelimelle):

• Ikä (13–120) — käytetään ikäryhmäpohjaiseen suodatukseen suoraan sovelluksessa
• Sijaintisi sovellusta käyttäessä — vain hetkellisesti muistissa etäisyyslaskua varten, ei tallenneta
• Sovelluksen asetukset (kategoriavalinnat, hakuetäisyys, ikäryhmäsuodatin, kielivalinta)
• Viimeksi katsomasi harrastukset (nopeuttaa palaamista)
• Ilmoitusasetuksesi

2.2 Kirjautumattomat vierailijat

Voit käyttää sovellusta luomatta tiliä. Silloin käsittelemme:

• Sovelluksen asetuksesi (tallentuvat vain laitteellesi)
• Asennuskohtaisen, nimettömän tunnisteen, joka liitetään analytiikkatapahtumiin (ks. kohta 2.5)

Vierailijoita ei voi yhdistää henkilöllisyyteen — kyseessä on täysin nimetön tunniste.

2.3 Järjestäjäportaalin käyttäjät

Jos rekisteröidyt järjestäjäksi (yhdistys, seura, opisto, yritys, säätiö, julkisyhteisö), käsittelemme lisäksi yllä mainittuihin:

• Organisaation nimi
• Yhteyssähköposti ja puhelinnumero
• Verkkosivu (jos annettu)
• Kuvaus
• Y-tunnus tai yhdistysnumero
• Organisaation tyyppi
• Toimialat (valitut harrastuskategoriat)
• Logo
• Hyväksyntätiedot moderoinnin dokumentointiin

Huom yksityisille elinkeinonharjoittajille (toiminimi-järjestäjille): Yksityisen elinkeinonharjoittajan Y-tunnus voi olla henkilötieto, koska se voi yksilöidä luonnollisen henkilön. SYKÄ käsittelee toiminimen Y-tunnusta samoilla perusteilla ja samoin rekisteröidyn oikeuksin kuin muitakin henkilötietoja.

2.4 Kaupunkien avoimesta datasta saadut tiedot

SYKÄ näyttää myös harrastuksia, jotka on saatu Helsingin ja Espoon kaupunkien julkisista rajapinnoista (avointa dataa, CC BY 4.0 -lisenssi). Nämä tiedot voivat sisältää järjestäjien ja ohjaajien yhteystietoja (nimi, sähköposti, puhelin).

Aineisto on alunperin julkista avointa dataa, ja käytämme sitä alkuperäiseen tarkoitukseen — harrastusten löydettävyyteen. Jokaisen aineistoon sisältyvän järjestäjän tai ohjaajan yksilöllinen etukäteisinformointi ei ole käytännössä mahdollista aineiston laajuuden vuoksi (kymmeniä tuhansia aktiviteetteja, tuhansia järjestäjiä, jatkuva päivitys). Sen sijaan tämä julkinen seloste kuvaa myös näiden tietojen käsittelyä, ja vanhentuneet tiedot poistuvat säilytysajan päätyttyä (ks. kohta 4).

Jos olet yhteyshenkilönä avoimessa datassa ja haluat käyttää tietosuojaoikeuksiasi (esim. pyytää tiedon poistoa SYKÄstä), ota yhteyttä info@syka.fi.

2.5 Analytiikkatapahtumat

Mittaamme nimettömästi, miten harrastusilmoituksia katsellaan, klikataan ja tallennetaan suosikiksi. Tämä koskee vain järjestäjien itse SYKÄssä luomia harrastuksia, ei avoimesta datasta saatuja.

Kerättävät tiedot:

• Tapahtumatyyppi (esim. näkyvä listalla, avattu detaljit)
• Harrastuksen tunniste
• Asennuskohtainen nimetön tunniste
• Aikaleima

Emme tallenna IP-osoitetta, käyttäjätunnistetta tai laitetietoja tapahtumien yhteyteen. Järjestäjät näkevät omista harrastuksistaan vain summautuneet luvut — eivät yksittäisiä käyttäjiä. Jos et halua että tapahtumia jää edes nimettömänä, ota yhteyttä info@syka.fi — keskustellaan tapauskohtaisesta ratkaisusta.

2.6 Julkaisuilmoituksen tilaajat (verkkosivun waitlist)

Jos jätät sähköpostiosoitteesi syka.fi-verkkosivun ”Ilmoita minulle” -lomakkeella, käsittelemme sähköpostiosoitettasi. Käytämme osoitetta vain lähettääksemme sinulle ilmoituksen, kun sovellus julkaistaan. Peruste on suostumuksesi, jonka annat lähettämällä lomakkeen. Osoite tallennetaan uutiskirjepalvelu Resendin yhteystietolistaan (ks. kohta 5.1). Voit peruuttaa tilauksen milloin tahansa lähettämämme viestin peruutuslinkistä tai ottamalla yhteyttä info@syka.fi. Poistamme waitlist-osoitteet viimeistään kohtuullisen ajan kuluessa julkaisusta. Emme jaa osoitetta kolmansille emmekä käytä sitä muuhun markkinointiin.

3. Käsittelyn tarkoitukset ja oikeusperusteet

Käsittelemme tietojasi seuraaviin tarkoituksiin:

Entä varmuuskopiot? Otamme tiedoista automaattiset varmuuskopiot, jotta ne eivät katoa laitevian tai virheen takia. Varmuuskopiointi ei ole oma käyttötarkoituksensa, minkä vuoksi sillä ei ole omaa riviä yllä: se on tietoturvatoimi, jota tietosuoja-asetus itse edellyttää (art. 32.1 c — kyky palauttaa tietojen saatavuus häiriön jälkeen). Varmuuskopiolla on sama peruste kuin sillä tiedolla jonka se kopioi — jos tili on tallessa sopimuksen nojalla, niin on sen varmuuskopiokin. Säilytysaika on kohdassa 4 ja turvatoimet kohdassa 10.

Mitä ”oikeutettu etu” tarkoittaa? Voimme käyttää tietojasi joihinkin tarkoituksiin oikeutetun edun nojalla — eli kun se on perusteltua palvelun toiminnan kannalta ja kun se ei loukkaa oikeuksiasi. Voit aina vastustaa tätä käsittelyä (ks. kohta 7).

4. Säilytysajat

Säilytämme tietoja vain niin pitkään kuin on tarpeen palvelun toimimiseen tai lakisääteisten velvoitteiden täyttämiseen.

Poisto ja varmuuskopiot. Kun poistat tietoja tai tilisi, tiedot poistuvat aktiivisesta tietokannasta välittömästi eivätkä ne enää näy palvelussa. Tiedot voivat kuitenkin säilyä automaattisissa varmuuskopioissa enintään 7 vuorokautta, minkä jälkeen ne poistuvat varmuuskopioiden kierron mukana. Varmuuskopioita ei käytetä yksittäisten tietojen palauttamiseen, vaan ainoastaan koko palvelun palauttamiseen vika- ja poikkeustilanteissa.

5. Kenelle tietoja luovutetaan (vastaanottajat)

5.1 Henkilötietojen käsittelijät

Käytämme seuraavia teknisiä palveluntarjoajia, jotka käsittelevät tietoja puolestamme:

Viisi kuudesta käsittelijästä toimii EU-alueella. Anthropic on ainoa Yhdysvalloissa toimiva käsittelijä. Sille lähetetään vain harrastusten ja järjestäjien kuvaustekstit käännettäväksi — ei tilitietoja, ei sijaintia, ei analytiikkaa. Osa kuvausteksteistä on kaupunkien avointa dataa ja voi sisältää yhteystietoja (ks. 2.4). Siirron suojatoimet: kohta 6.

Sentry vastaanottaa vain teknisen virhekuvauksen — käyttäjän tunniste, IP-osoite, evästeet ja pyynnön sisältö poistetaan jo sovelluksen päässä ennen lähetystä.

5.2 Itsenäiset rekisterinpitäjät — eivät käsittelijöitämme

Seuraavat tahot eivät ole käsittelijöitämme, vaan itsenäisiä rekisterinpitäjiä. Ne käsittelevät tietojasi omaan tarkoitukseensa, omilla tietosuojakäytännöillään — sinun ja heidän suhteensa on suora. Velvollisuutemme on kertoa sinulle näistä tahoista ja tarjota linkit heidän käytäntöihinsä.

5.3 Sisäiset vastaanottajat — moderointi

SYKÄn admin (moderaattori) näkee järjestäjien rekisteröitymisvaiheessa heidän yhteystietonsa ja perustietonsa hyväksyntäpäätöstä varten. Admin ei näe kuluttajakäyttäjien henkilötietoja (esim. suosikkeja, kalenterimerkintöjä).

6. Tietojen siirrot EU/ETA-alueen ulkopuolelle

Käsittelijöistämme viisi toimii EU-alueella (ks. kohta 5.1). Yksi — Anthropic — käsittelee tietoja Yhdysvalloissa: sille siirretään harrastusten ja järjestäjien kuvaustekstejä konekäännöstä varten. Siirto perustuu EU:n vakiosopimuslausekkeisiin (SCC, moduuli 2: rekisterinpitäjä– käsittelijä), jotka sisältyvät Anthropicin tietojenkäsittelysopimukseen (DPA) osana sen kaupallisia käyttöehtoja.

Jos tietoja siirtyy EU/ETA-alueen ulkopuolelle muiden käsittelijöiden osalta — esimerkiksi teknisen infrastruktuurin taustatoimintojen takia — tukeudumme EU:n hyväksymiin suojatoimiin: joko EU:n vakiosopimuslausekkeisiin (SCC) tai EU-US Data Privacy Framework -mekanismiin (DPF), kummankin osalta käsittelijästä riippuen.

Karttojen näyttäminen (Google Maps, Apple Maps) sekä sovelluskauppojen (App Store, Play Store) toiminta voivat globaaleina palveluina siirtää tietojasi EU:n ulkopuolelle. Nämä ovat itsenäisiä rekisterinpitäjiä (ks. kohta 5.2), joten heidän tietosuojakäytäntönsä pätevät suoraan sinun ja heidän välisessä suhteessa.

7. Sinun oikeutesi ja miten käytät niitä

Sinulla on GDPR:n mukaiset oikeudet käsittelemiimme tietoihin. Käytä oikeuksia joko itsepalveluna sovelluksessa tai lähettämällä viestin osoitteeseen info@syka.fi.

Oikeus saada pääsy tietoihin

Voit ladata kaikki tietosi JSON-muodossa itsepalveluna:

• Mobiilisovelluksessa: Profiili → Lataa tietoni
• Web-portaalissa (järjestäjät): Profiili → Tietosi → Lataa tietoni

Oikeus saada tiedot siirrettävässä muodossa

Sama painike kuin yllä — ladattu JSON-tiedosto on koneluettava ja sisältää kaikki tietosi. Voit siirtää datan toiseen palveluun.

Oikeus tietojen oikaisuun

• Mobiilissa: sähköpostiosoitteen vaihto Profiili-välilehden kautta. Vaihto edellyttää nykyisen salasanan vahvistuksen sekä vanhan että uuden osoitteen vahvistuslinkin klikkaamisen — kaksivaiheinen suoja tilihaltuunotolta.
• Web-portaalissa (järjestäjät): organisaation nimi, yhteystiedot, verkkosivu, kuvaus, logo, toimialat muokattavissa Profiili-näytöltä.
• Provider-sähköpostin vaihto: ei ole itsepalvelu — ota yhteyttä info@syka.fi. Perustelu: provider-sähköposti on liiketoiminta-identiteetin osa, ja tilihaltuunotto voi olla vakavampaa kuin kuluttajatilissä.
• Y-tunnuksen tai yhdistysnumeron korjaus: ota yhteyttä info@syka.fi. Tämä tunniste lukitaan hyväksynnän jälkeen, koska sillä on varmistettu järjestäjän aitous — muutos edellyttää uutta tarkistusta.
• Paikalliset asetukset (mobiili): ikä, kategoria- ja etäisyyssuodattimet ovat muokattavissa Profiili-välilehdellä. Nämä tallentuvat vain laitteellesi.

Oikeus tietojen poistamiseen

Voit poistaa tilisi pysyvästi itse:

• Mobiilissa: Profiili-välilehti → Poista tili. Sähköposti ja salasana poistuvat, ja kaikki sinuun liittyvä käyttäjädata (suosikit, kalenteri, seuratut) häviää.
• Web-portaalissa (järjestäjät): Profiili → Poista tili. Kirjoita ”POISTA” vahvistukseksi. Profiilisi anonymisoidaan, harrastukset arkistoidaan (käyttäjien suosikkilistoilla ne näkyvät merkinnällä ”ei enää aktiivinen”), ja tilisi poistetaan.

Poisto on pysyvä. Tiedot poistuvat aktiivisesta tietokannasta välittömästi, mutta ne voivat säilyä automaattisissa varmuuskopioissa enintään 7 vuorokautta, minkä jälkeen ne poistuvat kierron mukana (ks. kohta 4).

Oikeus käsittelyn rajoittamiseen

Ota yhteyttä info@syka.fi — käsittelemme pyynnön tapauskohtaisesti.

Oikeus vastustaa käsittelyä

Voit vastustaa käsittelyä, joka perustuu oikeutettuun etuun:

• Analytiikkatapahtumat: on suunniteltu nimettömiksi (vain istuntokohtainen tunniste, ei henkilöyhteyttä) ja säilytetään enintään 14 kuukautta. Täysi katkaisu edellyttää tilin poistamista. Jos et halua että tapahtumia jää edes nimettömänä, ota yhteyttä info@syka.fi.

Oikeus olla joutumatta automatisoitujen päätösten kohteeksi

SYKÄ ei tee automatisoituja päätöksiä, joilla on oikeudellisia vaikutuksia sinulle. Harrastusehdotukset perustuvat sääntöpohjaiseen suodatukseen (ikä, sijainti, kategoria), eivät koneoppimiseen tai profilointiin.

Oikeus tehdä valitus valvontaviranomaiselle

Jos koet että käsittelemme tietojasi GDPR:n vastaisesti, voit tehdä valituksen Suomen Tietosuojavaltuutetulle:

• Tietosuojavaltuutetun toimisto — Lintulahdenkuja 4, 00530 Helsinki
• Verkkolomake: tietosuoja.fi
• Vaihde: 029 566 6700

8. Lapset

SYKÄn tilin voi luoda 13 vuotta täyttänyt. Ikä perustuu omaan ilmoitukseen. Alle 13-vuotiaita estetään rekisteröitymästä.

Suomen tietosuojalain mukaan 13-vuotiailla on oikeus käyttää tietoyhteiskunnan palveluita ilman huoltajan suostumusta, kun käsittely perustuu sopimukseen. SYKÄssä tämä on yleisin peruste, joten 13–17-vuotiaiden käyttö on lainmukaista ilman erillistä vanhempien lupaa.

Alle 13-vuotiaat voivat selailla sovellusta ilman kirjautumista. Silloin keräämme vain nimettömän, asennuskohtaisen tunnisteen analytiikkaa varten. Emme käytä sitä henkilön tunnistamiseen.

Tämä seloste on kirjoitettu niin, että 13-vuotias ymmärtää sen. Jos jokin kohta jää epäselväksi, ota yhteyttä info@syka.fi.

9. Evästeet ja paikallistallennus

Web-portaali: käyttää Supabasen kirjautumiseen tarkoitettua istunto-evästettä. Tämä on välttämätön, jotta pysyt kirjautuneena. Emme käytä mainosevästeitä tai kolmansien osapuolten seurantatekniikoita.

Verkkosivusto syka.fi: mittaa kävijämääriä Vercel Web Analyticsilla. Se ei aseta laitteellesi evästeitä eikä muuta tallennettavaa tietoa. Käynti tunnistetaan pyynnöstä laskettavalla tiivisteellä, joka hylätään 24 tunnin kuluttua — sitä ei yhdistetä sinuun, tiliisi eikä muihin sivustoihin. Käynnistä tallentuu: aikaleima, sivun osoite, mistä saavuit sivulle, karkea sijainti (maa, alue, kaupunki), selain, käyttöjärjestelmä ja laitetyyppi. IP-osoitettasi ei tallenneta käynnin yhteyteen. Näemme vain summautuneita lukuja — montako kävijää millä sivulla — emme yksittäisten ihmisten liikkumista sivustolla. Lisäksi tallennamme tiedon siitä, kun kävijä painaa sovelluskaupan latauspainiketta: kumpi kauppa (App Store vai Google Play) ja mistä kohdasta sivua painike painettiin. Emme tallenna muuta. Koska mittaus ei tallenna mitään laitteellesi eikä tunnista sinua, se ei edellytä evästesuostumusta.

Mobiilisovellus: ei käytä evästeitä, mutta tallentaa laitteellesi paikallisesti seuraavat tiedot:

• Sovelluksen asetukset (kategoriavalinnat, hakuetäisyys, ikäryhmäsuodatin, erityisryhmien näyttö)
• Ikä (13–120), käytetään ikäryhmäpohjaiseen suodatukseen
• Kielivalinta (suomi/englanti)
• Viimeksi katsomasi harrastukset
• Ilmoitusasetukset
• Kirjautumistietosi (jotta pysyt kirjautuneena)
• Asennuskohtainen nimetön analytiikkatunniste

Voit tyhjentää nämä poistamalla sovelluksen.

10. Tietoturva

Suojaamme tietoja seuraavin tavoin:

• Kaikki liikenne salataan HTTPS:llä
• Käyttäjätunnistus ja tietokanta ovat suojattuja palvelimen puolella
• Salasanat tallennetaan vain salatussa muodossa (emme näe niitä)
• Käytämme luotettavia teknisiä palveluntarjoajia (ks. kohta 5.1), jotka noudattavat tunnustettuja tietoturvakäytäntöjä
• Tiedoista otetaan automaattiset päivittäiset varmuuskopiot, joilla turvataan tietojen saatavuus ja palautettavuus häiriötilanteissa. Varmuuskopiot säilyvät enintään 7 vuorokautta (ks. kohta 4).

Jos havaitsemme tietoturvaloukkauksen, joka voi vaikuttaa oikeuksiisi:

1. Ilmoitamme Tietosuojavaltuutetulle 72 tunnin sisällä havainnosta.
2. Ilmoitamme sinulle ilman aiheetonta viivytystä, jos loukkaus voi aiheuttaa suuren riskin sinulle.

Yhteydenotot tietoturvaan liittyen: info@syka.fi.

11. Muutokset tähän selosteeseen

Voimme päivittää tätä selostetta esimerkiksi lainsäädännön muuttuessa tai palvelun kehittyessä. Olennaisista muutoksista ilmoitamme sovelluksessa ja tarvittaessa sähköpostilla rekisteröityneille käyttäjille.

Selosteen voimaantulopäivämäärä päivitetään aina kun sisältö muuttuu.

12. Yhteystiedot

HIO Labs Oy
Sähköposti: info@syka.fi
Osoite: Laivalahdenkaari 13, 00810 Helsinki
Y-tunnus: 3634554-5

Tämä seloste on kirjoitettu selkokieliseksi. Jos jokin kohta on epäselvä tai kaipaa täsmennystä, ota yhteyttä — vastaamme mielellämme.