Tämä tietosuojaseloste kuvaa, miten Verstaani Oy kerää, käyttää, säilyttää ja suojaa henkilötietoja, kun käytät Verstaani-korjaamohallintajärjestelmää.

Olemme sitoutuneet suojaamaan yksityisyyttäsi ja noudattamaan EU:n yleistä tietosuoja-asetusta (GDPR), Suomen tietosuojalakia ja muuta soveltuvaa tietosuojalainsäädäntöä.

Rekisterinpitäjä:
Verstaani Oy
Y-tunnus: 3586657-6
Sähköposti: asiakaspalvelu@verstaani.fi

2. Keräämämme tiedot

2.1 Käyttäjätilitiedot

Kun luot tilin, keräämme:

• Sähköpostiosoitteen (toimii käyttäjätunnuksenasi)
• Koko nimen
• Salasanan (tallennetaan salattuun muotoon Argon2-hajautuksella)

2.2 Organisaatiotiedot

Palveluamme käyttäviltä yrityksiltä keräämme:

• Yrityksen nimi ja Y-tunnus
• Yhteystiedot (osoite, puhelin, sähköposti)
• Pankkitiedot (IBAN, BIC) laskujen luomista varten
• ALV-numero
• Laskutusasetukset ja -mieltymykset
• Työaikasetukset (aikavyöhyke, työajat)

2.3 Asiakastiedot (sinun asiakkaasi)

Kun lisäät asiakkaita järjestelmään, seuraavat tiedot voidaan tallentaa:

• Yksityisasiakkaat: Nimi, sähköposti, puhelin, osoite
• Yritysasiakkaat: Yrityksen nimi, yhteyshenkilö, Y-tunnus, ALV-numero
• Verkkolaskuosoitteet (OVT)
• Viestintäasetukset (ensisijainen kieli)
• Hinnoitteluasetukset (kateprosentit, alennukset)

2.4 Ajoneuvotiedot

Huoltokirjauksia varten:

• Ajoneuvon rekisterinumero
• Ajoneuvon valmistenumero (VIN)
• Valmistaja, malli, vuosimalli ja variantti
• Tekniset tiedot (moottori, polttoainetyyppi jne.)
• Rengastiedot

2.5 Huolto- ja palvelutiedot

• Työmääräykset ja kuvaukset
• Varaosat ja työtunnit hinnoitteluineen
• Tilahistoria ja aikaleimat
• Muistiinpanot (sisäiset ja asiakkaalle näkyvät)
• Muistiinpanoihin liitetyt kuvat
• Aikataulutustiedot

2.6 Lasku- ja maksutiedot

• Laskunumerot ja summat
• Rivitiedot ja ALV-laskelmat
• Maksutila ja -historia
• Verkkolaskujen toimitustiedot
• Stripe-asiakastunnisteet tilausten hallintaa varten

2.7 Viestintälokit

• SMS-viestilokit (vastaanottaja, sisältö, tila)
• Sähköpostitoimitusten tiedot
• Ilmoitushistoria

2.8 Tekniset ja käyttötiedot

• IP-osoitteet
• Selaimen tyyppi ja versio
• Laitetiedot
• Istuntotiedot
• Virhelokit vianmääritystä varten

3. Tietojen käyttötarkoitukset

3.1 Palvelun tuottaminen

• Käyttäjätilien luominen ja hallinta
• Huoltokirjausten ja laskujen käsittely
• Aikataulutus ja kalenterin hallinta
• Ilmoitusten lähettäminen asiakkaillesi (sähköposti/SMS)
• Raporttien ja analytiikan tuottaminen liiketoiminnallesi

3.2 Maksujen käsittely

• Tilausmaksujen käsittely Stripen kautta
• Tilauksesi laskutuksen hallinta
• Käyttöpohjaisten veloitusten seuranta (SMS, verkkolaskut)

3.3 Palvelun kehittäminen

• Käyttömallien analysointi palvelun parantamiseksi
• Uusien ominaisuuksien kehittäminen
• Teknisten ongelmien selvittäminen

3.4 Lakisääteisten velvoitteiden täyttäminen

• Kirjanpito- ja verovelvoitteiden täyttäminen
• Laillisiin pyyntöihin vastaaminen
• Käyttöehtojemme noudattamisen varmistaminen

4. Käsittelyn oikeusperuste

Käsittelemme henkilötietoja seuraavilla GDPR:n 6 artiklan oikeusperusteilla:

• Tilin luominen ja palvelun toimittaminen: Sopimuksen täytäntöönpano (6(1)(b))
• Maksujen käsittely: Sopimuksen täytäntöönpano (6(1)(b))
• Asiakasilmoitukset: Oikeutettu etu (6(1)(f))
• Palvelun parantaminen: Oikeutettu etu (6(1)(f))
• Kirjanpito- ja veronoudattaminen: Lakisääteinen velvoite (6(1)(c))
• Markkinointiviestintä: Suostumus (6(1)(a))

5. Tietojen jakaminen ja kolmannen osapuolen palvelut

Jaamme tietoja seuraavien vastaanottajaryhmien kanssa:

5.1 Maksujenkäsittely

Stripe, Inc. - Käsittelee tilausmaksut ja hallinnoi laskutusta. Stripe on sertifioitu EU-US Data Privacy Framework -kehyksessä.

5.2 Sähköpostipalvelut

SendGrid (Twilio) - Toimittaa tapahtumasähköpostit puolestasi.

5.3 SMS-palvelut

Twilio - Lähettää SMS-ilmoituksia asiakkaillesi.

5.4 Verkkolaskutus

Maventa (Visma) - Toimittaa suomalaisia verkkolaskuja pankkiverkon kautta.

5.5 Tekoälypalvelut

OpenAI - Käsittelee kuvia ja tekstiä tekoälypohjaista varaosien tunnistusta, tietojen tuontia (kenttien automaattinen tunnistus) sekä valinnaisia asiakasviestien kirjoitusominaisuuksia varten. Tietoja käsitellään OpenAI:n yritysehtojen mukaisesti ilman koulutusta tiedoillasi. Emme syötä OpenAI-palveluun henkilötietoja ilman asianmukaista käsittelyperustetta.

Google Gemini - Käsittelee kuvia ja tekstiä tekoälypohjaista varaosien tunnistusta ja tietojen tuontia (kenttien automaattinen tunnistus) varten. Tietoja käsitellään Googlen yritysehtojen mukaisesti ilman koulutusta tiedoillasi. Emme syötä Google Gemini -palveluun henkilötietoja ilman asianmukaista käsittelyperustetta.

5.6 Pilvi-infrastruktuuri

UpCloud - Isännöi palvelun infrastruktuuria ja säilyttää tiedot Suomessa.

Emme myy henkilötietojasi kolmansille osapuolille.

6. Kansainväliset tiedonsiirrot

Tietosi säilytetään pääasiassa Euroopan unionissa/Euroopan talousalueella (EU/ETA). Kun tietoja siirretään EU/ETA:n ulkopuolelle (esim. yhdysvaltalaisille palveluntarjoajille), varmistamme asianmukaiset suojatoimet:

• EU-US Data Privacy Framework -sertifiointi
• Vakiosopimuslausekkeet (SCC)
• Sitovat yrityssäännöt soveltuvin osin

7. Tietojen säilytys ja poistaminen

Säilytämme tietojasi niin kauan kuin tilauksesi on voimassa. Tilauksen päättymisen jälkeen poistamme organisaatiosi tiedot enintään kahden (2) kuukauden kuluessa, pois lukien tiedot, joita olemme velvollisia säilyttämään lakisääteisten velvoitteiden (esim. kirjanpitolaki) vuoksi.

8. Tietoturva

Toteutamme kattavat turvatoimenpiteet tietojesi suojaamiseksi:

• Salaus: Kaikki tiedot salataan siirron aikana (TLS 1.3)
• Salasanaturvallisuus: Salasanat hajautetaan Argon2-algoritmilla
• Pääsynhallinta: Roolipohjainen pääsy organisaatioissa
• Tunnistautuminen: Token-pohjainen API-tunnistautuminen, istuntojen hallinta
• Infrastruktuuri: Isännöidään turvallisilla EU-palvelimilla säännöllisillä tietoturvapäivityksillä
• Valvonta: Jatkuva tietoturvauhkien seuranta
• Varmuuskopiot: Säännölliset salatut varmuuskopiot turvalliseen tallennustilaan

9. Oikeutesi GDPR:n mukaan

9.1 Oikeus saada pääsy tietoihin (15 artikla)

Voit pyytää kopion kaikista henkilötiedoista, joita meillä on sinusta.

9.2 Oikeus oikaista tietoja (16 artikla)

Voit pyytää virheellisten tai puutteellisten tietojen korjaamista.

9.3 Oikeus poistaa tiedot (17 artikla)

Voit pyytää tietojesi poistamista lakisääteisten säilytysvaatimusten rajoissa.

9.4 Oikeus rajoittaa käsittelyä (18 artikla)

Voit pyytää rajoitusta siihen, miten käsittelemme tietojasi.

9.5 Oikeus siirtää tiedot järjestelmästä toiseen (20 artikla)

Voit pyytää tietojasi koneellisesti luettavassa muodossa.

9.6 Vastustamisoikeus (21 artikla)

Voit vastustaa oikeutettuun etuun perustuvaa käsittelyä.

9.7 Oikeus peruuttaa suostumus (7 artikla)

Kun käsittely perustuu suostumukseen, voit peruuttaa sen milloin tahansa.

Käyttääksesi näitä oikeuksia, ota yhteyttä: asiakaspalvelu@verstaani.fi

Vastaamme pyyntöihin 30 päivän kuluessa.

10. Evästeet ja seuranta

Käytämme seuraavia evästeitä:

• sessionid: Käyttäjän tunnistautumisistunto (istunnon kesto)
• csrftoken: CSRF-suojaus (1 vuosi)

Emme käytä kolmannen osapuolen seuranta- tai analytiikkaevästeitä ilman suostumustasi.

11. Rekisterinpitäjä vs. henkilötietojen käsittelijä

Kun toimimme rekisterinpitäjänä

• Käyttäjätilitietosi
• Tilaus- ja laskutustiedot
• Tekniset ja käyttölokit

Kun toimimme henkilötietojen käsittelijänä

• Asiakkaidesi henkilötiedot
• Ajoneuvojen omistajatiedot
• Kaikki kolmansia osapuolia koskevat tiedot, jotka syötät järjestelmään

Henkilötietojen käsittelijänä käsittelemme näitä tietoja vain ohjeidesi ja tämän tietosuojaselosteen mukaisesti. Sinä pysyt asiakkaidesi tietojen rekisterinpitäjänä ja olet vastuussa:

• Asianmukaisen oikeusperusteen hankkimisesta käsittelylle
• Asiakkaidesi informoimisesta tietojen käsittelystä
• Asiakkaidesi rekisteröityjen oikeuksia koskeviin pyyntöihin vastaamisesta

12. Tietosuojayhteydenotot

Tietosuojaan liittyvissä kysymyksissä ota yhteyttä:

• Sähköposti: asiakaspalvelu@verstaani.fi
• Aiherivi: "Tietosuojakysely"

13. Valvontaviranomainen

Sinulla on oikeus tehdä valitus tietosuojavaltuutetun toimistolle:

Tietosuojavaltuutetun toimisto
Verkkosivusto: www.tietosuoja.fi
Sähköposti: tietosuoja@om.fi
Puhelin: 029 566 6700

14. Muutokset tähän selosteeseen

Saatamme päivittää tätä tietosuojaselostetta aika ajoin. Ilmoitamme merkittävistä muutoksista:

• Sähköposti-ilmoituksella rekisteröityneille käyttäjille
• Sovelluksen sisäisellä ilmoituksella
• Päivitetyllä "Päivitetty"-päivämäärällä selosteen alussa

Palvelun käytön jatkaminen muutosten jälkeen merkitsee päivitetyn selosteen hyväksymistä.

15. Lasten tietosuoja

Palvelumme on suunniteltu yrityskäyttöön eikä ole tarkoitettu alle 18-vuotiaille. Emme tietoisesti kerää henkilötietoja lapsilta.

16. Yhteystiedot

Kysymyksissä tästä tietosuojaselosteesta tai tietojenkäsittelykäytännöistämme:

Verstaani Oy
Y-tunnus: 3586657-6
Sähköposti: asiakaspalvelu@verstaani.fi
Verkkosivusto: https://verstaani.fi

This Privacy Policy describes how Verstaani Oy collects, uses, stores, and protects personal data when you use the Verstaani workshop management system.

We are committed to protecting your privacy and complying with the EU General Data Protection Regulation (GDPR), the Finnish Data Protection Act, and other applicable data protection legislation.

Data Controller:
Verstaani Oy
Business ID: 3586657-6
Email: asiakaspalvelu@verstaani.fi

2. Data We Collect

2.1 User Account Data

When you create an account, we collect:

• Email address (used as your username)
• Full name
• Password (stored in encrypted form using Argon2 hashing)

2.2 Organization Data

For businesses using our Service, we collect:

• Company name and Finnish business ID (Y-tunnus)
• Contact information (address, phone, email)
• Banking details (IBAN, BIC) for invoice generation
• VAT number (ALV-numero)
• Invoice settings and preferences
• Work schedule settings (timezone, working hours)

2.3 Customer Data (Your Customers)

When you add customers to the system, the following data may be stored:

• Individual customers: Name, email, phone, address
• Business customers: Company name, contact person, business ID, VAT number
• E-invoice addresses (OVT/Verkkolasku)
• Communication preferences (preferred language)
• Pricing settings (margin percentages, discounts)

2.4 Vehicle Data

For vehicle maintenance records:

• Vehicle registration number
• Vehicle Identification Number (VIN)
• Manufacturer, model, year, and variant
• Technical specifications (engine, fuel type, etc.)
• Tire specifications

2.5 Maintenance and Service Records

• Work orders and descriptions
• Parts and labor items with pricing
• Status history and timestamps
• Notes (internal and customer-visible)
• Images attached to notes
• Scheduling information

2.6 Invoice and Payment Data

• Invoice numbers and amounts
• Line items and VAT calculations
• Payment status and history
• E-invoice delivery records
• Stripe customer identifiers for subscription management

2.7 Communication Logs

• SMS message logs (recipient, content, status)
• Email delivery records
• Notification history

2.8 Technical and Usage Data

• IP addresses
• Browser type and version
• Device information
• Session data
• Error logs for troubleshooting

3. How We Use Your Data

3.1 Service Provision

• Creating and managing user accounts
• Processing maintenance records and invoices
• Scheduling and calendar management
• Sending notifications to your customers (email/SMS)
• Generating reports and analytics for your business

3.2 Payment Processing

• Processing subscription payments via Stripe
• Managing billing and invoices for your subscription
• Tracking usage-based charges (SMS, e-invoices)

3.3 Service Improvement

• Analyzing usage patterns to improve the Service
• Developing new features
• Troubleshooting technical issues

3.4 Legal Compliance

• Fulfilling accounting and tax obligations
• Responding to legal requests
• Enforcing our Terms of Service

4. Legal Basis for Processing

We process personal data based on the following legal grounds under GDPR Article 6:

• Account creation and service delivery: Contract performance (Art. 6(1)(b))
• Payment processing: Contract performance (Art. 6(1)(b))
• Customer notifications: Legitimate interest (Art. 6(1)(f))
• Service improvement: Legitimate interest (Art. 6(1)(f))
• Accounting and tax compliance: Legal obligation (Art. 6(1)(c))
• Marketing communications: Consent (Art. 6(1)(a))

5. Data Sharing and Third-Party Services

We share data with the following categories of recipients:

5.1 Payment Processing

Stripe, Inc. - Processes subscription payments and manages billing. Stripe is certified under EU-US Data Privacy Framework.

5.2 Email Services

SendGrid (Twilio) - Delivers transactional emails on your behalf.

5.3 SMS Services

Twilio - Sends SMS notifications to your customers.

5.4 E-Invoicing

Maventa (Visma) - Delivers Finnish e-invoices (Verkkolasku) through the bank network.

5.5 AI Services

OpenAI - Processes images and text for AI-powered part extraction, data imports (automatic field mapping), and optional customer message writing features. Data is processed according to OpenAI's business terms with no training on your data. We do not submit personal data to OpenAI without an appropriate legal basis for processing.

Google Gemini - Processes images and text for AI-powered part extraction and data imports (automatic field mapping). Data is processed according to Google's business terms with no training on your data. We do not submit personal data to Google Gemini without an appropriate legal basis for processing.

5.6 Cloud Infrastructure

UpCloud - Hosts the Service infrastructure and stores data in Finland.

We do not sell your personal data to third parties.

6. International Data Transfers

Your data is primarily stored within the European Union/European Economic Area (EU/EEA). When data is transferred outside the EU/EEA (e.g., to US-based service providers), we ensure appropriate safeguards are in place:

• EU-US Data Privacy Framework certification
• Standard Contractual Clauses (SCCs)
• Binding Corporate Rules where applicable

7. Data Retention and Deletion

We retain your data for as long as your subscription is active. After your subscription ends, we will delete your organization's data within two (2) months, except for data we are required to retain due to legal obligations (e.g., accounting law).

8. Data Security

We implement comprehensive security measures to protect your data:

• Encryption: All data is encrypted in transit (TLS 1.3)
• Password Security: Passwords are hashed using Argon2 algorithm
• Access Control: Role-based access within organizations
• Authentication: Token-based API authentication, session management
• Infrastructure: Hosted on secure EU-based servers with regular security updates
• Monitoring: Continuous monitoring for security threats
• Backups: Regular encrypted backups with secure storage

9. Your Rights Under GDPR

9.1 Right of Access (Art. 15)

You can request a copy of all personal data we hold about you.

9.2 Right to Rectification (Art. 16)

You can request correction of inaccurate or incomplete data.

9.3 Right to Erasure (Art. 17)

You can request deletion of your data, subject to legal retention requirements.

9.4 Right to Restrict Processing (Art. 18)

You can request limitation of how we process your data.

9.5 Right to Data Portability (Art. 20)

You can request your data in a machine-readable format.

9.6 Right to Object (Art. 21)

You can object to processing based on legitimate interests.

9.7 Right to Withdraw Consent (Art. 7)

Where processing is based on consent, you can withdraw it at any time.

To exercise these rights, contact us at: asiakaspalvelu@verstaani.fi

We will respond to requests within 30 days.

10. Cookies and Tracking

We use the following cookies:

• sessionid: User authentication session (session duration)
• csrftoken: CSRF protection (1 year)

We do not use third-party tracking or analytics cookies without your consent.

11. Data Controller vs. Data Processor

When We Act as Data Controller

• Your user account data
• Subscription and billing information
• Technical and usage logs

When We Act as Data Processor

• Your customers' personal data
• Vehicle owner information
• Any data you enter about third parties

As a data processor, we process this data only according to your instructions and this Privacy Policy. You remain the data controller for your customers' data and are responsible for:

• Obtaining appropriate legal basis for processing
• Informing your customers about data processing
• Responding to data subject requests from your customers

12. Data Protection Contact

For privacy-related inquiries, contact:

• Email: asiakaspalvelu@verstaani.fi
• Subject line: "Tietosuojakysely / Privacy Inquiry"

13. Supervisory Authority

You have the right to lodge a complaint with the Finnish Data Protection Ombudsman:

Office of the Data Protection Ombudsman (Tietosuojavaltuutetun toimisto)
Website: www.tietosuoja.fi
Email: tietosuoja@om.fi
Phone: +358 29 566 6700

14. Changes to This Policy

We may update this Privacy Policy from time to time. We will notify you of significant changes via:

• Email notification to registered users
• In-app notification
• Updated "Last updated" date at the top of this policy

Continued use of the Service after changes constitutes acceptance of the updated policy.

15. Children's Privacy

Our Service is designed for business use and is not intended for children under 18. We do not knowingly collect personal data from children.

16. Contact Us

For questions about this Privacy Policy or our data practices:

Verstaani Oy
Business ID: 3586657-6
Email: asiakaspalvelu@verstaani.fi
Website: https://verstaani.fi