Tässä tietosuojaselosteessa kuvataan, miten Smooth Solutions Oy käsittelee henkilötietoja osoitteessa smoothbooking.fi sekä iOS- ja Android-sovelluksissa (yhdessä "Palvelu"). Palvelu on ajanvaraus- ja jonohallintajärjestelmä, jonka kautta asiakas voi varata aikoja tai liittyä jonoon yhteistyökumppaneidemme liikkeisiin, ja yrittäjä voi hallita varauksia, asiakkaita ja kampanjoita omassa liikkeessään.
Käsittelemme henkilötietoja EU:n yleisen tietosuoja-asetuksen (GDPR) ja Suomen tietosuojalain (1050/2018) mukaisesti.
1. Rekisterinpitäjä
Smooth Solutions Oy
Y-tunnus: Y-tunnus rekisteröidään pian
Topeliuksenkatu 18 C 33 00250 HELSINKI
2. Yhteyshenkilö tietosuoja-asioissa
Tietosuoja-asioissa voit olla yhteydessä sähköpostitse: smoothbooking.app@gmail.com. Yleiset yhteydenotot: smoothbooking.app@gmail.com.
Emme ole nimittäneet erillistä tietosuojavastaavaa, sillä toimintamme ei täytä tietosuoja-asetuksen 37 artiklan mukaisia edellytyksiä. Arvioimme tilannetta uudelleen, jos toimintamme laajuus olennaisesti muuttuu.
3. Rekisterin nimi
SmoothBooking-palvelun käyttäjä- ja varausrekisteri.
4. Mitä tietoja keräämme
Keräämme vain tietoja, jotka ovat tarpeellisia palvelun tuottamiseksi.
Asiakkaalta (loppukäyttäjä)
- Nimi, sähköpostiosoite ja puhelinnumero
- Salasana salatussa muodossa (emme säilytä salasanoja luettavina)
- Profiilikuva, jos lisäät sellaisen
- Kieli- ja ilmoitusasetukset, mukaan lukien markkinointisuostumus
- Varaukset, jonotukset ja niihin liittyvät vapaamuotoiset muistiinpanot
- Lunastetut kupongit ja alennukset
Yrittäjältä (Pro-käyttäjä)
- Edellä mainittujen lisäksi yrityksen nimi, Y-tunnus ja liiketoimintatiedot
- Toimipisteiden osoitteet, aukioloajat ja palvelukuvaukset
- Työntekijöiden nimet ja yhteystiedot
- Omien asiakkaiden tiedot ja asiakashistoria (käyntitiheys, viimeiset palvelut)
Automaattisesti
- IP-osoite ja selaimen perustiedot väärinkäytösten estämiseksi (lyhytaikainen käsittely)
- Palvelun käyttöön tarvittavat istuntoevästeet (ks. evästekäytäntö)
- Mobiilisovelluksessa push-ilmoituksia varten annettu laitekohtainen tunniste (vapaaehtoinen)
- Virhe- ja tietoturvalokit, joissa käyttäjän tunnisteet on peitetty
- Kaatumis-, virhe- ja suorituskykytiedot mobiilisovelluksesta ja verkkopalvelusta (ks. alla "Virheraportointi mobiilisovelluksessa")
Virheraportointi mobiilisovelluksessa ja verkkopalvelussa
Käytämme Sentryä (Functional Software, Inc.) kaatumisten, virheiden ja suorituskykyongelmien havaitsemiseen. Kun sovellus kaatuu tai kohtaa virheen, Sentryyn lähetetään tekninen virheraportti: virheilmoitus ja koodin kutsupino, laitemalli, käyttöjärjestelmän ja sovelluksen versio, sekä tapahtumapolku virhettä edeltäneistä toiminnoista (esim. mikä näkymä oli auki). iOS-laitteilla raporttiin voi liittyä virhehetkeä edeltävä näyttötallenne, jossa kaikki teksti, kuvat ja grafiikka on automaattisesti peitetty: tallenteesta ei voi lukea sisältöä.
Automaattisissa virheraporteissa emme lähetä Sentryyn nimeä, sähköpostiosoitetta, puhelinnumeroa emmekä IP-osoitetta. (Poikkeus: jos käytät "Ilmoita ongelmasta" -lomaketta, antamasi nimi, sähköpostiosoite ja kuvaus välitetään sellaisenaan, jotta voimme vastata sinulle.) Kirjautuneelle käyttäjälle liitetään ainoastaan yksisuuntainen SHA-256-tiiviste käyttäjätunnuksesta, jotta saman käyttäjän virheet voidaan ryhmitellä. Tiivisteestä ei voi palauttaa henkilöllisyyttä. Osoitteissa esiintyvät tunnisteet (varaus-, asiakas- ja käyttäjätunnukset, kertakäyttötokenit, sähköposti) poistetaan automaattisesti ennen lähetystä, eikä kirjautumis- tai salasanapyyntöjen sisältöä lähetetä lainkaan. Käsittelyperuste on oikeutettu etu (palvelun virheiden korjaaminen ja tietoturva) ja säilytysaika enintään 90 päivää.
Mobiilisovelluksen karttanäkymä hakee karttakuvat Mapboxilta, jolloin Mapbox näkee pyynnön IP-osoitteen ja katsellun kartta-alueen. Sijaintitietoa käytetään lähellä olevien liikkeiden näyttämiseen ja etäisyyden laskentaan; sijainnin jakaminen on vapaaehtoista ja sen voi kytkeä pois laitteen asetuksista.
Arkaluonteiset tiedot
Emme pyydä palvelun käytössä terveys- tai muita tietosuoja-asetuksen 9 artiklan mukaisia arkaluonteisia tietoja. Suosittelemme jättämään vapaamuotoiset muistiinpanot yleiselle tasolle.
5. Mihin käytämme tietoja ja käsittelyn perusteet
| Käyttötarkoitus | Peruste |
|---|---|
| Käyttäjätilin luominen ja ylläpito, kirjautuminen | Sopimuksen täyttäminen |
| Varausten, jonojen ja kuponkien hallinta | Sopimuksen täyttäminen |
| Suoramarkkinointi sähköpostilla tai push-ilmoituksella | Käyttäjän suostumus |
| Laskutus ja kirjanpito | Lakisääteinen velvoite (kirjanpitolaki 1336/1997) |
| Palvelun tietoturva ja väärinkäytösten estäminen | Oikeutettu etu |
| Palvelun kehittäminen ja virheiden korjaus | Oikeutettu etu |
6. Säilytysajat
- Käyttäjätilin tiedot: kunnes käyttäjä poistaa tilin. Tilin poistamisen jälkeen tunnistetiedot (nimi, sähköposti, puhelinnumero) poistetaan viivyttelemättä.
- Kirjanpitoaineisto: jos käyttäjälle on muodostunut maksutapahtumia, säilytämme ainoastaan kirjanpitolain edellyttämät tositetiedot (tapahtumapäivä, summa, laskutunniste, vastapuolen nimi) rajoitetussa muodossa 6 vuotta tilikauden päättymisestä.
- Markkinoinnin lähetyslokit: enintään 90 päivää, jonka jälkeen ne poistetaan automaattisesti.
- Arvostelupyyntöjen kielto: jos olet pyytänyt, ettemme lähetä sinulle arvostelupyyntöjä, säilytämme tästä merkinnän toistaiseksi, myös tilin poistamisen jälkeen. Merkintä sisältää ainoastaan käyttäjätunnuksesi tai sähköpostiosoitteestasi lasketun yksisuuntaisen tiivisteen sekä ajankohdan. Se ei sisällä nimeäsi eikä sähköpostiosoitettasi sellaisenaan. Säilytämme merkinnän, koska ilman sitä emme voisi tunnistaa pyyntöäsi ja arvostelupyynnöt alkaisivat uudelleen. Käsittelyn peruste on tietosuoja-asetuksen 17 artiklan 3 kohta: säilytämme vähimmäistiedon, jota vastustuksesi toteuttaminen edellyttää. Merkintä ei vaikuta muuhun viestintään, kuten varausvahvistuksiin tai muistutuksiin.
- Istuntoevästeet: enintään 14 päivää tai kunnes kirjaudut ulos.
- IP-osoitteet tietoturvakäytössä: enintään 15 minuuttia.
- Virhe- ja tietoturvalokit: enintään 30 päivää.
- Kaatumis- ja virheraportit virheraportointipalvelussa (Sentry): enintään 90 päivää, jonka jälkeen ne poistuvat automaattisesti.
7. Tietojen vastaanottajat ja luovutukset
Emme myy henkilötietoja. Tietoja voidaan luovuttaa seuraaville tahoille:
- Yrittäjälle, jolle asiakas tekee varauksen tai jonka liikkeeseen liittyy jonoon. Yrittäjä saa varauksen toteuttamiseksi asiakkaan nimen, yhteystiedot ja varauksen tiedot. Yrittäjä toimii näiden tietojen osalta itsenäisenä rekisterinpitäjänä omien asiakkaittensa osalta. Asiakas voi tarvittaessa esittää tietosuojapyyntönsä suoraan yrittäjälle.
- Alihankkijoille, jotka tuottavat teknisiä palveluita. Näitä ovat muun muassa pilvipalveluiden ylläpitäjät sekä sähköposti- ja push-ilmoitusten välittäjät. Alihankkijat käsittelevät tietoja toimeksiannostamme kirjallisten sopimusten mukaisesti.
- Viranomaisille pakottavan lainsäädännön perusteella, jos laki sitä vaatii tai jos olemme osallisena oikeudenkäynnissä tai vastaavassa menettelyssä.
- Yritysjärjestelyn osapuolille, jos olemme osallisena liiketoimintakaupassa, yhdistymisessä tai muussa yritysjärjestelyssä. Tällöin huolehdimme, että siirronsaaja sitoutuu noudattamaan tätä tietosuojaselostetta.
Keskeiset alihankkijat
| Alihankkija | Tehtävä | Sijainti |
|---|---|---|
| Google Ireland Ltd. (Firebase / Google Cloud) | Tunnistautuminen, tietokanta, tiedostotallennus, taustapalvelut sekä push-ilmoitusten välitys (FCM) | EU ja Yhdysvallat |
| Vercel Inc. | Verkkopalvelun tekninen isännöinti — kaikki pyynnöt ja niiden IP-osoitteet kulkevat alustan kautta. Lisäksi evästeetön kävijämäärien mittaus. | Yhdysvallat |
| Resend Inc. | Kaikkien sähköpostien lähetys (SMTP): varausvahvistukset ja -peruutukset, varausmuistutukset, arvostelupyynnöt, salasanan nollaus sekä pilotti- ja ylläpitoviestit. Käsittelee vastaanottajan sähköpostiosoitetta ja viestin sisältöä. | Yhdysvallat |
| Upstash Inc. | Pyyntömäärien rajoitus väärinkäytön estämiseksi (IP-osoitteiden lyhytaikainen käsittely) | EU (Frankfurt) |
| Functional Software, Inc. (Sentry) | Virhetilanteiden, kaatumisten ja käyttökatkojen valvonta verkkopalvelussa sekä iOS- ja Android-sovelluksissa: henkilötiedot suodatetaan automaattisesti ennen lähetystä (nimet, sähköpostiosoitteet, puhelinnumerot, evästeet ja vapaa teksti poistetaan). Kirjautuneeseen käyttäjään liitetään vain yksisuuntainen SHA-256-tiiviste käyttäjätunnuksesta, ei IP-osoitetta. Lisäksi "Ilmoita ongelmasta" -lomake, johon käyttäjä antaa itse vapaaehtoisesti nimen, sähköpostiosoitteen ja ongelman kuvauksen — nämä välitetään sellaisenaan, jotta voimme vastata. | EU (Frankfurt) |
| Mapbox, Inc. | Karttojen näyttäminen ja osoitehakujen muunnos koordinaateiksi. Selain ja mobiilisovellus hakevat karttakuvat suoraan palveluntarjoajalta, jolloin tämä näkee käyttäjän IP-osoitteen ja katsellun kartta-alueen. Lisäksi palvelua käytetään varajärjestelmänä sijaintisi muuntamiseksi kaupungin nimeksi: jos ensisijainen palvelu ei vastaa, laitteesi sijaintikoordinaatit välitetään palvelimemme kautta tälle palvelulle. Koordinaatteja ei tallenneta palvelimellemme eikä niitä yhdistetä käyttäjätiliisi. | Yhdysvallat |
| OpenStreetMap Foundation (Nominatim) | Osoitteiden geokoodaus sekä sijaintisi muuntaminen kaupungin nimeksi. Jos annat sovellukselle sijaintiluvan, laitteesi sijaintikoordinaatit välitetään palvelimemme kautta tälle palvelulle kaupungin nimen selvittämiseksi. Koordinaatteja ei tallenneta palvelimellemme eikä niitä yhdistetä käyttäjätiliisi. | Britannia (adekvaattisuuspäätös) |
| 650 Industries, Inc. (Expo) | Push-ilmoitusten välitys mobiilisovelluksiin (laitetunniste ja ilmoituksen sisältö) | Yhdysvallat |
| Apple Inc. (Apple Push Notification service) | Push-ilmoitusten ja jonon live-näkymän välitys Apple-laitteisiin (laitetunniste ja ilmoituksen sisältö) | Yhdysvallat |
| Selainvalmistajien push-palvelut (Google, Mozilla, Apple) | Selaimeen lähetettävien ilmoitusten välitys. Vastaanottava palvelu määräytyy käyttäjän oman selaimen mukaan, ja viestin sisältö on salattu päästä päähän. | EU ja Yhdysvallat |
| Cal.com, Inc. | Pilottiyrittäjien esittelytapaamisten varaaminen — nimi, sähköpostiosoite, yrityksen tiedot, varattu aika ja videoyhteyden linkki | Yhdysvallat |
| Slack Technologies, LLC (Salesforce, Inc.) | Sisäiset ilmoitukset perustajien tiimikanavalle uusista yhteydenotoista ja esittelyvarauksista: yrityksen nimi, toimiala, ajankohta, kieli ja tekninen tunniste. Yhteyshenkilön nimeä, sähköpostiosoitetta tai kirjoittamaa viestiä EI välitetä — ne kulkevat vain sähköpostitse. | Yhdysvallat |
8. Siirrot EU- ja ETA-alueen ulkopuolelle
Osa alihankkijoistamme sijaitsee Yhdysvalloissa. Siirrämme tietoja EU:n ja ETA-alueen ulkopuolelle ainoastaan silloin, kun siirrolle on tietosuojalainsäädännön edellyttämä suojatoimi: EU-komission hyväksymä EU–US Data Privacy Framework -järjestely tai komission hyväksymät vakiolausekkeet. Lisätietoja saa tämän selosteen kohdan 2 yhteyshenkilöltä.
9. Evästeet
Käytämme ainoastaan palvelun toiminnan kannalta välttämättömiä evästeitä, joita ovat kirjautumisen säilyttävä istuntoeväste, turvallisuuseväste sekä kielivalintaa muistava eväste. Emme käytä mainonta- tai seurantaevästeitä, emmekä jaa tietoja analytiikka- tai mainosverkostoille. Tarkemmat tiedot: evästekäytäntö.
10. Rekisteröidyn oikeudet
Sinulla on oikeus:
- Saada tietää, mitä tietoja sinusta käsittelemme, ja saada niistä kopio.
- Vaatia virheellisten tai puutteellisten tietojen oikaisemista.
- Pyytää tietojesi poistamista tai käsittelyn rajoittamista lain sallimissa rajoissa.
- Saada antamasi tiedot siirrettävässä muodossa.
- Vastustaa käsittelyä, joka perustuu oikeutettuun etuun.
- Perua markkinointisuostumus milloin tahansa, jokaisessa markkinointiviestissä on mukana peruutuslinkki, joka toimii yhdellä klikkauksella.
Voit käyttää oikeuksiasi lähettämällä sähköpostin osoitteeseen smoothbooking.app@gmail.com tai lataamalla omat tietosi ja poistamalla tilisi profiilisivulta. Vastaamme pyyntöihin ilman aiheetonta viivytystä, viimeistään kuukauden kuluessa.
11. Oikeus valittaa valvontaviranomaiselle
Jos katsot, että käsittelemme tietojasi tietosuojalainsäädännön vastaisesti, voit tehdä valituksen Tietosuojavaltuutetun toimistolle:
Tietosuojavaltuutetun toimisto
PL 800, 00521 Helsinki
Puhelin: 029 566 6700
tietosuoja@om.fi · tietosuoja.fi
12. Tietojen suojaaminen
Suojaamme henkilötietoja asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä. Yhteydet ovat salattuja, salasanat tallennetaan tiivisteinä ja käyttöoikeudet tietoihin rajataan rooleittain. Käsittelemme tietoja vain niin suurelle määrälle henkilökuntaa kuin tehtävien hoitaminen vaatii, ja kaikki henkilöstömme ovat vaitiolovelvollisia.
Jos havaitsemme tietoturvaloukkauksen, joka todennäköisesti aiheuttaa riskin rekisteröidyille, ilmoitamme siitä Tietosuojavaltuutetulle 72 tunnin kuluessa sekä asianomaisille käyttäjille tilanteen edellyttämällä tavalla.
13. Automaattinen päätöksenteko
Emme tee käyttäjään kohdistuvia automaattisia päätöksiä, joilla olisi oikeusvaikutuksia tai joilla olisi vastaavalla tavalla merkittävä vaikutus käyttäjään. Palvelun turvallisuuteen liittyvät automaattiset rajoitukset (kuten väärinkäytösten tilapäinen esto) voi aina saattaa ihmisen arvioitavaksi ottamalla yhteyttä asiakaspalveluumme.
14. Alaikäiset
Palvelu on tarkoitettu vähintään 18-vuotiaille. Emme tietoisesti kerää tietoja tätä nuoremmilta. Jos huomaat, että alaikäinen on luonut tilin, ilmoita siitä meille niin poistamme sen.
15. Muutokset tähän selosteeseen
Voimme päivittää tätä tietosuojaselostetta palvelun kehittyessä tai lainsäädännön muuttuessa. Olennaisista muutoksista ilmoitamme palvelussa tai sähköpostitse vähintään 30 päivää ennen niiden voimaantuloa.