Tietosuojaseloste

1. Rekisterinpitäjä ja yhteystiedot

Epoch 505 Oy, Y-tunnus 3654705-9, Reppukatu 13 A 2, 00770 Helsinki.

Lähetä tietosuojaa koskevat kysymykset ja oikeuksiesi käyttöä koskevat pyynnöt osoitteeseen [email protected]. Kun yritys on rekisterinpitäjä, voit ottaa yhteyttä myös suoraan yritykseen; sen yhteystiedot ovat sen varaussivustolla.

2. Käsiteltävät tiedot

Vuoroinia käyttävien yritysten asiakkaista:

• Yhteystiedot: etu- ja sukunimi, sähköpostiosoite ja puhelinnumero.
• Tilin tiedot: salasana vain yksisuuntaisena tiivisteenä, tieto sähköpostiosoitteen vahvistamisesta, tilin luontiaika ja salasanan viimeisin vaihtoaika. Vieraana varattaessa tallennetaan yhteystiedot ilman salasanaa. Jos kirjaudut Google- tai Apple-tilillä, tallennamme lisäksi kyseisen yhtiön tunnisteen tilillesi, jonka avulla sama Google- tai Apple-tili ohjautuu aina samalle Vuoroin-tilille. Jos käytät Applen ”Kätke sähköpostiosoitteeni” -toimintoa, saamamme osoite on Applen välitysosoite, josta viestit ohjataan sinulle.
• Varaukset: mitä ja milloin varasit, ajanvarauksen työntekijä, maksutapa ja maksun tila, alennuskoodit ja alennukset, peruutukset ja hyvitykset, jonopaikat ja -tarjoukset sekä sisäänkirjausajat.
• Vastaukset kysymyksiin, joita yritys esittää varauksen yhteydessä. Vapaamuotoiset vastaukset tallennetaan sellaisinaan.
• Sarjakortit, jäsenyydet, kanta-asiakaspisteet ja lahjakortit. Lahjakortista tallennetaan myös ostajan ja saajan sähköpostiosoite sekä mahdollinen viesti.
• Sisäänkirjauskoodi: satunnainen tunniste, joka näytetään profiilissasi QR-koodina, jos yritys käyttää sisäänkirjausta. Se ei ole henkilötunnuksesi.
• Yrityksen henkilökunnan sinusta kirjoittamat muistiinpanot. Vain kyseisen yrityksen henkilökunta näkee ne.
• Sinulle lähetetyt sähköpostit: osoite, aihe ja toimitustila. Viestit, jotka yritys lähettää asiakkailleen Vuoroinin kautta, tallennetaan yrityksen tietoihin.

Yrityksistä ja niiden henkilökunnasta:

• Yrityksen omistajan ja jokaisen työntekijän nimi, sähköpostiosoite ja salasanan tiiviste, rooli sekä aikataulutusta varten syötetyt työajat ja poissaolot.
• Yrityksen tiedot: markkinointinimi ja virallinen nimi, Y-tunnus, yhteyssähköposti ja puhelinnumero, verkkosivusto, sosiaalisen median tilit, toimipisteet osoitteineen ja aukioloaikoineen, logo ja kuvat.
• Tilaus: tilaustyyppi, kokeilujakson ja tilauksen tila sekä asiakas- ja tilaustunnisteet Stripessä. Korttitietoja käsittelee Stripe, eivätkä ne koskaan päädy palvelimillemme.
• Maksuasetukset: maksujen vastaanottamiseen yhdistetty Stripe-tili ja sen tila sekä Epassin kauppiastunnukset, jotka tallennetaan salattuina.
• Loki toimista, joita alustan ylläpitäjät tekevät yrityksen tilillä.

Kaikista palvelun käyttäjistä:

• Palvelun toimittamiseen ja suojaamiseen tarvittavat tekniset tiedot, kuten IP-osoite, selaimen tyyppi ja pyynnön ajankohta. IP-osoitteita käytetään toistuvien kirjautumisyritysten ja muun väärinkäytön rajoittamiseen. Niitä pidetään muistissa hetken, eikä niitä tallenneta tietokantaan.
• Selaimen lähettämät virheraportit, kun sivu ei toimi: virheilmoitus, sivun osoite ja selaimen tyyppi.

3. Käsittelyn tarkoitukset ja oikeusperusteet

Kun Vuoroin on rekisterinpitäjä:

• Palvelun tarjoaminen yrityksille ja niiden henkilökunnalle: sopimus yrityksen kanssa (GDPR 6 artiklan 1 kohdan b alakohta). Työntekijöiden osalta oikeutettu etumme tarjota palvelu, jonka työnantaja on tilannut (f alakohta).
• Käyttäjätilisi ja kirjautuminen, mukaan lukien sähköpostiosoitteen vahvistus ja salasanan palautus: sopimus kanssasi (b alakohta).
• Laskutus ja kirjanpito: kirjanpito- ja verolainsäädännön velvoitteet (c alakohta).
• Tietoturva, väärinkäytösten estäminen, virheiden seuranta ja ylläpitäjien loki: oikeutettu etumme pitää palvelu ja sen käyttäjien tiedot turvassa (f alakohta).

Kun yritys on rekisterinpitäjä, yritys päättää käsittelyn tarkoituksista ja vastaa oikeusperusteesta. Tavallisesti peruste on sinun ja yrityksen välinen sopimus (b alakohta): varauksen ja maksun vastaanottaminen, vahvistusten, muistutusten, kalenterikutsujen, jonotarjousten ja peruutusilmoitusten lähettäminen, hyvitysten käsittely ja sisäänkirjaus.

Vuoroin ei käytä asiakkaiden tietoja omaan markkinointiinsa, ei myy henkilötietoja eikä käytä mainonnan tai analytiikan seurantatyökaluja.

4. Tietojen vastaanottajat

Yritys, jolta varaat, ja sen henkilökunta roolinsa mukaisesti. Maksunvälittäjät saavat maksun käsittelyyn tarvittavat tiedot. Viranomaisille tietoja luovutetaan vain lain niin vaatiessa.

Vuoroin käyttää seuraavia palveluntarjoajia (alihankkijoita). Kukin käsittelee tietoja vain oman osuutensa toimittamiseksi tietojenkäsittelysopimuksen perusteella:

• Hetzner Online GmbH: palvelimet ja tietokanta Helsingissä sijaitsevassa konesalissa.
• Cloudflare, Inc.: nimipalvelu, verkon suojaus ja palvelun toimitus sekä Cloudflare R2 -tallennustila ladatuille kuville ja tietokannan varmuuskopioille EU:ssa.
• Resend: sähköpostien lähetys sen EU-alueelta.
• Stripe Payments Europe, Limited: korttimaksut, tilaukset ja hyvitykset. Asiakkaan korttimaksu käsitellään yrityksen omalla Stripe-tilillä, ja Stripe on lisäksi itsenäinen rekisterinpitäjä omissa tarkoituksissaan, kuten petosten estämisessä.
• Epassi: työsuhde-etumaksut, kun valitset Epassin. Kirjaudut Epassin omalla sivustolla.

Jos valitset ”Jatka Google-tilillä” tai ”Jatka Apple-tunnuksella”, kirjaudut kyseisen yhtiön omalla sivulla, ja se kertoo meille sähköpostiosoitteesi ja sen, onko osoite vahvistettu – Google lisäksi nimesi ja kielesi. Emme koskaan näe Google- tai Apple-salasanaasi. Google (Google Ireland Limited) ja Apple (Apple Distribution International Ltd.) ovat itsenäisiä rekisterinpitäjiä niiden kautta tapahtuvassa kirjautumisessa omien tietosuojakäytäntöjensä mukaisesti; ne eivät ole Vuoroinin alihankkijoita.

5. Tietojen siirrot EU:n ja ETA:n ulkopuolelle

Tietokanta, varmuuskopiot, ladatut kuvat ja sähköpostit säilytetään EU:ssa. Stripe, Cloudflare ja Resend kuuluvat yhdysvaltalaisiin konserneihin, ja henkilötietoja voidaan käsitellä myös Yhdysvalloissa, esimerkiksi sähköpostin toimittamiseksi, verkon suojaamiseksi tai maksupetosten estämiseksi. Siirrot perustuvat EU:n ja Yhdysvaltojen väliseen tietosuojakehykseen (Data Privacy Framework), jos palveluntarjoaja on sertifioitu sen mukaisesti, ja muutoin Euroopan komission vakiosopimuslausekkeisiin. Google ja Apple kuuluvat yhdysvaltalaisiin konserneihin ja käsittelevät niiden kautta tapahtuvan kirjautumisen omien ehtojensa ja siirtosuojatoimiensa mukaisesti.

6. Säilytysajat

• Tiliäsi säilytetään, kunnes poistat sen (ks. kohta 7).
• Yrityksen sinua koskevia tietoja, kuten varauksia, säilytetään niin kauan kuin yritys käyttää Vuoroinia, ellei yritys poista niitä aiemmin. Kun yrityksen kokeilujakso tai tilaus päättyy, kaikki sen tiedot poistetaan 90 päivän kuluttua.
• Keskeneräiset yritysrekisteröinnit poistetaan 7 päivän kuluttua. Maksamatta jääneet varaukset raukeavat muutamassa minuutissa.
• Salasanan palautuslinkit vanhenevat lyhyessä ajassa.
• Vuoroinin omia laskutustietoja säilytetään kirjanpitolain edellyttämän ajan, enintään 10 vuotta.
• Tietokannan varmuuskopioita säilytetään enintään 30 päivää, joten poistetut tiedot häviävät myös varmuuskopioista 30 päivän kuluessa.
• Palvelinlokit kierrätetään, ja niitä säilytetään vain lyhyen aikaa.

7. Oikeutesi

• Tarkastusoikeus: näet tietosi ja varauksesi profiilissasi ja voit pyytää meiltä kopion kaikista sinua koskevista tiedoista.
• Siirto-oikeus: kirjautuneena voit milloin tahansa ladata profiilistasi tilisi tiedot, varaukset, jonopaikat ja kanta-asiakaspisteet koneluettavana JSON-tiedostona.
• Oikaisu: voit korjata nimesi ja puhelinnumerosi profiilissasi. Muiden tietojen muuttamiseksi ota meihin yhteyttä.
• Poistaminen: profiilissasi voit poistaa tietosi itse. Poisto poistaa nimesi, sähköpostiosoitteesi, puhelinnumerosi, sisäänkirjauskoodisi ja salasanasi sekä tyhjentää varauksen yhteydessä antamasi vapaamuotoiset vastaukset. Aiemmat varauksesi jäävät vain nimettöminä tietoina, joita yritykset tarvitsevat kirjanpitoonsa ja osallistumishistoriaansa. Myös yrityksen henkilökunnan sinusta kirjoittamat muistiinpanot poistetaan.
• Käsittelyn rajoittaminen ja vastustaminen: voit pyytää meitä rajoittamaan käsittelyä ja vastustaa oikeutettuun etuun perustuvaa käsittelyä.
• Valitus: voit tehdä valituksen valvontaviranomaiselle. Suomessa se on tietosuojavaltuutetun toimisto (tietosuoja.fi).

Vastaamme pyyntöihin kuukauden kuluessa. Kun yritys on rekisterinpitäjä, lähetä kyseistä yritystä koskevat pyynnöt yritykselle. Jos otat yhteyttä meihin, välitämme pyynnön eteenpäin ja autamme yritystä vastaamaan.

8. Tietoturva

• Kaikki yhteydet on salattu (HTTPS).
• Yritysten tiedot erotetaan toisistaan itse tietokannassa valvottavilla käyttöoikeussäännöillä, ei pelkästään sovelluksessa.
• Salasanat tallennetaan yksisuuntaisina tiivisteinä ja maksunvälittäjien tunnukset salattuina.
• Kirjautumisyrityksiä rajoitetaan, ja salasanan vaihtaminen päättää muut istuntosi.
• Korttitiedot syötetään Stripen maksulomakkeisiin, eivätkä ne koskaan päädy palvelimillemme.
• Henkilökunnan pääsyä rajoitetaan roolin mukaan, ja alustan ylläpitäjien toimet yrityksen tilillä kirjataan lokiin.

Jos tietoturvaloukkaus tapahtuu, ilmoitamme siitä asianomaisille yrityksille ilman aiheetonta viivytystä. Kun Vuoroin on rekisterinpitäjä, ilmoitamme tietosuojavaltuutetulle ja asianomaisille henkilöille lain edellyttämällä tavalla.

9. Evästeet

Vuoroin käyttää vain evästeitä, jotka ovat palvelun toiminnan kannalta välttämättömiä tai muistavat tekemäsi valinnan. Ne eivät edellytä suostumusta. Emme käytä analytiikka-, mainos- tai seurantaevästeitä.

• Kirjautumisistunto: pitää sinut kirjautuneena enintään 7 päivää. Se kattaa vuoroin.fi-sivuston ja yritysten varaussivustot, joten yksi kirjautuminen toimii kaikilla.
• Kirjautumisen suojaus: suojaa kirjautumislomaketta ja muistaa, minne palataan kirjautumisen jälkeen. Voimassa, kunnes suljet selaimen.
• Kieli: muistaa valitsemasi kielen.
• Teema: muistaa vaalean tai tumman tilan vuoden ajan.
• Evästeilmoitus: muistaa vuoden ajan, että olet sulkenut ilmoituksen. Istunnon tavoin se kattaa vuoroin.fi-sivuston ja yritysten varaussivustot, joten ilmoitus näytetään kerran eikä jokaisella sivustolla.
• Yrityksen rekisteröinti: kun luot yritystä Vuoroiniin, muistaa 24 tunnin ajan, että varaamasi verkko-osoite on sinun, jotta uudelleen yritetty rekisteröinti ei löydä sitä varattuna.
• Stripe: kun maksat kortilla, Stripen maksulomake asettaa omia evästeitään petosten estämiseksi. Lisätietoja: stripe.com/privacy.
• Cloudflare voi asettaa evästeen erottaakseen ihmiset boteista ja suojatakseen palvelua hyökkäyksiltä.

Voit poistaa tai estää evästeet selaimesi asetuksista. Ilman istuntoevästettä et voi kirjautua sisään.

10. Automaattinen päätöksenteko

Emme tee pelkästään automaattiseen käsittelyyn perustuvia päätöksiä, joilla on sinuun oikeusvaikutuksia tai muita vastaavia merkittäviä vaikutuksia. Jotkin asiat tapahtuvat automaattisesti yrityksen julkaisemien ehtojen mukaan, esimerkiksi hyvitys lasketaan yrityksen peruutusehdoista, tai tunti perutaan ja hyvitetään, jos ilmoittautuneita on liian vähän.

11. Muutokset

Kun käsittelymme muuttuu, päivitämme tämän selosteen ja sen alussa olevan päivämäärän. Kerromme yrityksille olennaisista muutoksista etukäteen sähköpostitse.