Me otamme tietosuoja-asiat vakavasti. Pidämme hyvää huolta kaikesta tiedosta, mitä asiakkaistamme keräämme tai saamme. Mahdollistamme myös asiakkaille pääsyn omiin tietoihinsa sekä tulla unohdetuksi.
DigiAuran asiakkaan on hyväksyttävä tässä tietosuojaselosteessa kuvatut tiedonkeruun sekä -käsittelyn keinot. Tämä hyväksyminen varmistetaan ja kirjataan järjestelmiimme tilauksen yhteydessä (sopimus), asiakastilin luonnin/käytön yhteydessä (suostumus) tai muun vastaavaa tiedonkeruuta vaativan toimenpiteen yhteydessä.
Me siis tallennamme ja säilytämme kolmenlaista tietoa: verkkopalveluiden käytöstä havaittavaa, käyttäjien itsensä antamaa sekä analytiikan avulla johdettavaa tietoa.
5.8.2019
DIGIPALVELU AURA OY:N rekisteri- ja tietosuojaseloste
1. Rekisterinpitäjä
Rekisterinpitäjä Digipalvelu Aura Oy
Y-tunnus
2988635-1
Rekisteriasioiden yhteyshenkilö on: Jani Nieminen
Digipalvelu Aura Oy (myöhemmin DigiAura)
Osoite: Sirkkalankatu 24, 20700 Turku
Puhelin:
045 654 4441
Sähköposti: info@digiaura.fi
2. Rekisterin nimi
Rekisterin nimi on DigiAuran asiakasrekisteri.
3. Henkilötietojen käsittelyn tarkoitus
Käytännössä tietojen lähde on verkkosivujen käyttäjä/asiakas itse. Henkilötietoja käsitellään tarkoituksissa, jotka liittyvät asiakassuhteen hoitamiseen, hallinnointiin ja kehittämiseen, palvelujen tarjoamiseen ja toimittamiseen sekä palvelujen kehittämiseen ja laskutukseen liittyen. Henkilötietoja käsitellään myös mahdollisten reklamaatioiden ja muiden vaatimusten selvittämisen edellyttämissä tarkoituksissa.
Lisäksi henkilötietoja käsitellään asiakkaille suunnatussa viestinnässä, kuten tiedotus- ja uutisointitarkoituksissa sekä markkinoinnissa, jonka osana henkilötietoja käsitellään myös suoramarkkinointiin ja sähköiseen suoramarkkinointiin liittyvissä tarkoituksissa.
Asiakkaalla on oikeus kieltää hänelle kohdistettu suoramarkkinointi. Rekisterinpitäjä käsittelee tietoja itse sekä hyödyntää henkilötietojen käsittelyssä rekisterinpitäjän puolesta ja lukuun toimivia alihankkijoita.
4. Käsittelyn oikeusperusteet
Henkilötietojen käsittelyn oikeusperusteita ovat seuraavat EU:n yleisen tietosuoja-asetuksen (jäljempänä myös ”GDPR”) mukaiset perusteet:
- rekisteröity
on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa
erityistä tarkoitusta varten (GDPR 6 art. 1.a); - käsittely
on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity
on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden
toteuttamiseksi rekisteröidyn pyynnöstä (GDPR 6 art. 1.b); - käsittely
on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen
toteuttamiseksi (GDPR 6 art. 1.f).
Edellä mainittu rekisterinpitäjän oikeutettu etu perustuu rekisteröidyn henkilön ja rekisterinpitäjän välillä olevaan merkitykselliseen ja asianmukaiseen suhteeseen, joka on seurausta siitä, että rekisteröity on rekisterinpitäjän asiakas, ja kun käsittely tapahtuu tarkoituksiin, joita rekisteröity on kohtuudella voinut odottaa henkilötietojen keräämisen ajankohtana ja asianmukaisen suhteen yhteydessä.
5. Rekisterin tietosisältö (käsiteltävät henkilötietoryhmät)
Mitä tietoja DigiAura kerää ja säilyttää?
- Käyttäjän
itsensä antamat tiedot- Tunnistautumistiedot,
kuten nimi - Yhteystiedot,
kuten puhelinnumero, sähköpostiosoite ja postiosoite - Maksutiedot,
kuten laskutustiedot sekä maksuvälinetiedot - Sijaintitiedot
palvelun lokalisointia varten (valuutat, toimitustavat) - Tuotearvostelut
- Suoramarkkinointiluvat
ja -kiellot. - Toivelistan
tuotteet
- Tunnistautumistiedot,
- Palveluiden
käytöstä havaitut tiedot- Toimitustiedot,
kuten toimitusosoite ja valittu maksutapa - Ostoshistoria,
kuten tilatut tuotteet, palautukset ja maksut - Verkkokaupan
selaus- ja käyttötiedot - Päätelaitteen
tunnistetiedot - Verkkokauppasessiotapahtumat,
kuten ostoskorilisäykset
- Toimitustiedot,
- Analytiikalla
päätellyt tiedot- Selaus-
ja ostotiedoista pääteltävät tuotesuositukset - Ostotiedoista
päätellyt asiakasryhmittelyt ja kiinnostuksen kohteet - Ostotiedoista
päätellyt kokotiedot kokosuositusten antamista varten
- Selaus-
6. Säännönmukaiset tietolähteet
Henkilötietoja kerätään rekisteröidyltä henkilöltä itseltään.
Henkilötietoja kerätään ja päivitetään myös sovellettavan lainsäädännön rajoissa yleisesti saatavilla olevista lähteistä, jotka liittyvät rekisterinpitäjän ja rekisteröidyn henkilön välisen asiakassuhteen toteuttamiseen ja joiden avulla rekisterinpitäjä toteuttaa asiakassuhteiden ylläpitämiseen liittyviä velvollisuuksiaan.
7. Chatbot ja tekoälyavusteinen asiakaspalvelu
Verkkosivustolla käytetään tekoälyä hyödyntävää chatbotia Digikaupan tuotteisiin ja laitteisiin liittyvään osto-opastukseen, huolto- ja vianmääritykseen, DigiApuun ja käyttöönottoon, digitointipalveluihin ohjaamiseen, asiakaspalveluun sekä yhteydenotto- ja tarjouspyyntöjen vastaanottamiseen.
Chatbotissa voidaan käsitellä käyttäjän itse antamia tietoja, kuten nimeä, sähköpostiosoitetta, puhelinnumeroa, yrityksen nimeä, vapaamuotoista viestiä sekä laitetta, tuotetta, käyttöjärjestelmää, vikaa, huoltotarvetta, osto-opastusta, käyttöönottoa, digitointia tai muuta teknistä palvelutarvetta koskevia tietoja. Keskustelusta voidaan laatia tekoälyavusteinen yhteenveto.
Tietoja käsitellään asiakaspalvelun ja teknisen neuvonnan tarjoamiseksi, tuotteisiin ja palveluihin ohjaamiseksi, yhteydenotto- ja tarjouspyyntöjen käsittelemiseksi, chatbotin teknisen toimivuuden ja laadun varmistamiseksi sekä palvelun käytön raportoinniksi. Käsittelyn oikeusperusteena on tilanteesta riippuen Digipalvelu Aura Oy:n oikeutettu etu tarjota ja kehittää asiakaspalvelua sekä käyttäjän pyynnöstä toteutettavat toimenpiteet ennen sopimuksen tekemistä.
Chatbotin teknisessä toteutuksessa käytetään JNE GROUP Oy:tä / Nujimarketingia henkilötietojen käsittelijänä. Teknisiä palveluntarjoajia ovat Voiceflow chatbot-alustana, Voiceflown kulloinkin käyttämät tekoälymallipalvelut, ensisijaisesti OpenAI, Make / Celonis automaatioalustana sekä Google Workspace yhteydenottojen sähköpostivälityksessä.
Osa palveluntarjoajista tai niiden alikäsittelijöistä voi käsitellä tietoja EU- tai ETA-alueen ulkopuolella. Tällöin siirrot toteutetaan sovellettavan tietosuojalainsäädännön mukaisilla suojatoimilla, kuten Euroopan komission vakiosopimuslausekkeilla tai riittävyyspäätöksen perusteella.
Voiceflow muodostaa keskusteluista transkriptit. Kunkin kalenterikuukauden transkriptit säilytetään laadunvalvontaa, virheiden selvittämistä, chatbotin kehittämistä ja kuukausiraportointia varten kuukauden loppuun asti, minkä jälkeen ne poistetaan mahdollisimman pian ja viimeistään 14 päivän kuluessa kuukauden päättymisestä.
Jos käyttäjä jättää yhteydenottopyynnön, käyttäjän antamat tiedot ja tekoälyn laatima yhteenveto välitetään Digipalvelu Aura Oy:lle ja niitä säilytetään niin kauan kuin yhteydenoton käsittely, asiakassuhde tai lakisääteiset velvoitteet edellyttävät. JNE GROUP Oy:n tekninen sähköpostikopio poistetaan viimeistään 30 päivän kuluessa onnistuneesta välityksestä.
Chatbotin tietoja ei käytetä JNE GROUP Oy:n omaan suoramarkkinointiin. Chatbot ei tee käyttäjää koskevia oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia aiheuttavia automaattisia päätöksiä. Käyttäjää ohjeistetaan olemaan antamatta chatbotille henkilötunnuksia, maksukorttitietoja, salasanoja, PIN-koodeja, käyttäjätunnuksia, terveystietoja tai muita arkaluonteisia tietoja. Chatbot tiedottaa käyttäjälle tietosuojasta ja tekoälyn käytöstä asianmukaisesti.
8. Henkilötietojen säilytysaika
Rekisteriin kerättyjä tietoja säilytetään ainoastaan niin kauan ja siinä laajuudessa kuin on tarpeellista suhteessa niihin alkuperäisiin tai yhteensopiviin tarkoituksiin, joihin henkilötiedot on kerätty.
Säilytämme tietoja tarvittavan ajan, jotta pystymme toteuttamaan tässä selosteessa mainitut käyttötarkoitukset. Epäaktiiviseksi toteamamme asiakastilin henkilötiedot poistamme viimeistään viiden vuoden kuluttua aktiivisuuden päättymisestä. Joitain tietoja saatetaan säilyttää kauemmin, mikäli laki meitä siihen edellyttää. Esimerkiksi kirjanpitotositteita säilytetään kuusi vuotta tilikauden päättymisestä.
Rekisterinpitäjä arvioi tietojen säilyttämisen tarpeellisuutta säännöllisesti sisäisten käytännesääntöjensä mukaisesti. Lisäksi rekisterinpitäjä toteuttaa kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden epätarkat, virheelliset tai vanhentuneet henkilötiedot poistetaan tai oikaistaan viipymättä.
9. Henkilötietojen vastaanottajat (vastaanottajaryhmät) sekä tietojen säännönmukaiset luovutukset
Joissakin tapauksissa meillä on tarve siirtää tietoa kolmansille osapuolille, esim. säilytystä, analytiikkaa tai markkinointia varten. Käytämme näihin tarkoituksiin vain luotettuja yhteistyökumppaneita, joiden kanssa olemme tehneet kattavat tietosuoja- ja tiedonkäsittelysopimukset. Sopimuksissa on AINA otettu huomioon lainsäädännön sekä EU:n tietosuoja-asetuksen asettamat vaatimukset.
Kullekin taholle lähetetään vain palvelun toteutumisen kannalta välttämättömin tieto eikä näillä palveluntarjoajilla ole oikeutta käyttää tietojasi muuhun kuin palvelun toteuttamiseen. Kaikki tiedonsiirto tapahtuu salattujen yhteyksien kautta.
10. Tietojen siirto EU:n tai ETA:n ulkopuolelle
DigiAura käyttää uutiskirjeviestinnässä yhdysvaltalaista MailChimp -sähköpostipalvelua, jolloin tiedot voivat palvelun sisällä siirtyä EU:n tai ETA:n ulkopuolelle. Lisäksi DigiAura käyttää joissain tapauksissa Googlen ja HubSpotin palveluita. Henkilötiedot ovat kuitenkin suojattuna henkilötietolain edellyttämällä tavalla.
MailChimp, Google ja HubSpot ovat yhdysvaltalaisia yhtiöitä, jolloin henkilötietoja siirtyy Euroopan unionin ulkopuolelle. Jokainen näistä yrityksistä kuuluu USA:n ja EU:n välisen Privacy Shield -kehyksen sertifioitujen yritysten listalle ja ne noudattavat omalta osaltaan EU:n tietosuoja-asetusta.
11. Rekisterin suojauksen periaatteet
Henkilötietoja sisältäviä aineistoja säilytetään lukituissa tiloissa, joihin on pääsy ainoastaan nimetyillä ja tehtäviensä vuoksi pääsyyn valtuutetuilla henkilöillä.
Henkilötietoja sisältävä tietokanta on palvelimella, jota säilytetään lukitussa tilassa, johon on pääsy ainoastaan nimetyillä ja tehtäviensä vuoksi pääsyyn valtuutetuilla henkilöillä. Palvelin on suojattu asianmukaisella palomuurilla ja teknisellä suojauksella.
Tietokantoihin ja järjestelmiin on pääsy vain erikseen myönnettävillä henkilökohtaisilla käyttäjätunnuksilla ja salasanoilla. Rekisterinpitäjä on rajannut käyttöoikeudet ja -valtuudet tietojärjestelmiin ja muihin tallennusalustoihin siten, että tietoja pääsevät tarkastelemaan ja käsittelemään ainoastaan niiden lainmukaisen käsittelyn kannalta tarpeelliset henkilöt. Lisäksi tietokantojen ja järjestelmien käyttötapahtumat rekisteröityvät rekisterinpitäjän IT-järjestelmän lokitietoihin.
Rekisterinpitäjän työntekijät ja muut henkilöt ovat sitoutuneet noudattamaan vaitiolovelvollisuutta ja pitämään salassa henkilötietojen käsittelyn yhteydessä saamansa tiedot.
12. Rekisteröidyn oikeudet
Rekisteröidyllä on seuraavat EU:n yleisen tietosuoja-asetuksen mukaiset oikeudet:
- oikeus
saada rekisterinpitäjältä vahvistus siitä, että häntä koskevia
henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos näitä
henkilötietoja käsitellään, oikeus saada pääsy henkilötietoihin sekä
seuraavat tiedot: (i) käsittelyn tarkoitukset; (ii) kyseessä olevat
henkilötietoryhmät; (iii) vastaanottajat tai vastaanottajaryhmät, joille
henkilötietoja on luovutettu tai on tarkoitus luovuttaa; (iv)
mahdollisuuksien mukaan henkilötietojen suunniteltu säilytysaika tai jos
se ei ole mahdollista, tämän ajan määrittämiskriteerit; (v) rekisteröidyn
oikeus pyytää rekisterinpitäjältä häntä itseään koskevien henkilötietojen
oikaisemista tai poistamista taikka henkilötietojen käsittelyn
rajoittamista tai vastustaa tällaista käsittelyä; (vi) oikeus tehdä
valitus valvontaviranomaiselle; (vii) jos henkilötietoja ei kerätä
rekisteröidyltä, kaikki tietojen alkuperästä käytettävissä olevat tiedot
(GDPR 15 art.). Nämä kuvatut perustiedot (i)–(vii) annetaan
rekisteröidylle henkilölle tällä lomakkeella; - oikeus
peruuttaa suostumus milloin tahansa tämän vaikuttamatta suostumuksen
perusteella ennen sen peruuttamista suoritetun käsittelyn lainmukaisuuteen
(GDPR 7 art.); - oikeus
vaatia, että rekisterinpitäjä oikaisee ilman aiheetonta viivytystä
rekisteröityä koskevat epätarkat ja virheelliset henkilötiedot sekä oikeus
saada puutteelliset henkilötiedot täydennettyä, muun muassa toimittamalla
lisäselvitys ottaen huomioon tarkoitukset, joihin tietoja käsiteltiin
(GDPR 16 art.); - oikeus
saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot
ilman aiheetonta viivytystä, edellyttäen, että (i) henkilötietoja ei enää
tarvita niihin tarkoituksiin, joita varten ne kerättiin tai joita varten
niitä muutoin käsiteltiin; (ii) rekisteröity peruuttaa suostumuksen, johon
käsittely on perustunut, eikä käsittelyyn ole muuta laillista perustetta;
(iii) rekisteröity vastustaa käsittelyä henkilökohtaiseen erityiseen
tilanteeseensa liittyvällä perusteella eikä käsittelyyn ole olemassa
perusteltua syytä tai rekisteröity vastustaa käsittelyä
suoramarkkinointitarkoituksia varten; (iv) henkilötietoja on käsitelty
lainvastaisesti; tai (v) henkilötiedot on poistettava unionin oikeuteen
tai kansallisen lainsäädäntöön perustuvan rekisterinpitäjään sovellettavan
lakisääteisen velvoitteen noudattamiseksi (GDPR 17 art.); - oikeus
siihen, että rekisterinpitäjä rajoittaa käsittelyä, jos (i) rekisteröity
kiistää henkilötietojen paikkansapitävyyden, jolloin käsittelyä
rajoitetaan ajaksi, jonka kuluessa rekisterinpitäjä voi varmistaa niiden
paikkansapitävyyden; (ii) käsittely on lainvastaista ja rekisteröity
vastustaa henkilötietojen poistamista ja vaatii sen sijaan niiden käytön
rajoittamista; (iii) rekisterinpitäjä ei enää tarvitse kyseisiä
henkilötietoja käsittelyn tarkoituksiin, mutta rekisteröity tarvitsee
niitä oikeudellisen vaateen laatimiseksi, esittämiseksi tai
puolustamiseksi; tai (iv) rekisteröity on vastustanut henkilötietojen
käsittelyä henkilökohtaiseen erityiseen tilanteeseensa liittyvällä
perusteella odotettaessa sen todentamista, syrjäyttävätkö
rekisterinpitäjän oikeutetut perusteet rekisteröidyn perusteet (GDPR 18
art.); - oikeus
saada itseään koskevat henkilötiedot, jotka rekisteröity on toimittanut
rekisterinpitäjälle, jäsennellyssä, yleisesti käytetyssä ja koneellisesti
luettavassa muodossa, ja oikeus siirtää kyseiset tiedot toiselle
rekisterinpitäjälle sen rekisterinpitäjän estämättä, jolle henkilötiedot
on toimitettu, jos käsittely perustuu asetuksen tarkoittamaan suostumukseen
ja käsittely suoritetaan automaattisesti (GDPR 20 art.); - oikeus
tehdä valitus valvontaviranomaiselle jos rekisteröity katsoo, että häntä
koskevien henkilötietojen käsittelyssä rikotaan EU:n yleistä
tietosuoja-asetusta (GDPR 77 art.).
Rekisteröidyn oikeuksien toteuttamista koskevat pyynnöt osoitetaan kohdassa 1 mainitulle rekisterinpitäjän yhteyshenkilölle.