Tietosuojaseloste (GDPR)

1. Rekisterinpitäjä

Verkkovaruste Oy (jäljempänä "palveluntarjoaja")
Y-tunnus: 3506068-7
Toimipaikka: Seinäjoki
Palvelu: Toripäivä.fi
Yhteydenotot: asiakaspalvelu-lomakkeen kautta · Sähköposti: a•••@•••.fi

2. Mitä tietoja keräämme

• Yksityiskäyttäjän rekisteröinti: ainoastaan sähköpostiosoite ja salasana. Nimeä, puhelinnumeroa tai osoitetta ei kerätä rekisteröinnin yhteydessä.
• Yrityskäyttäjän rekisteröinti: sähköposti, salasana, yrityksen nimi ja Y-tunnus. Yrityksen osoitetiedot (katuosoite, postinumero, paikkakunta) haetaan automaattisesti YTJ:stä (Yritys- ja yhteisötietojärjestelmä).
• Myöhemmin tarvittaessa: yksityiskäyttäjältä kysytään nimi, puhelinnumero ja osoite vasta silloin, kun toiminto sitä edellyttää (esim. vuokrasopimuksen laatiminen, maksutosite tai KYC-tunnistautuminen).
• Ilmoitusten sisältö (otsikko, kuvaus, hinta, sijainti, kuvat)
• Viestit käyttäjien välillä
• Maksutiedot (summa, ajankohta) — emme tallenna kortti- tai pankkitietoja
• Tekniset tiedot: IP-osoite, selaintyyppi, käyttöjärjestelmä

3. Mihin tarkoitukseen tietoja käytetään

• Käyttäjätilin hallinta
• Ilmoitusten julkaisu ja näyttäminen
• Viestintä käyttäjien välillä
• Maksunvälitys ja kirjanpitolain mukaiset tositteet
• Palvelun kehittäminen ja turvallisuus

4. Kuvien tallennus (Hetzner, Helsinki)

Toripäivä.fi käyttää ilmoituskuvien ja yrityslogojen tallennukseen Hetzner Online GmbH:n pilvitallennusta, joka sijaitsee fyysisesti Helsingissä, Suomessa (EU/ETA). Kuvat eivät siis lähde EU:n ulkopuolelle. Hetzner toimii henkilötietojen käsittelijänä Toripäivä.fi:n lukuun, ja yhtiöiden välillä on EU:n yleisen tietosuoja-asetuksen (GDPR art. 28) mukainen tietojenkäsittelysopimus (DPA).

Kuvia käytetään ainoastaan ilmoitusten ja yrityslogojen yhteydessä. Kuvien säilytysajat Hetznerin tallennuksessa ovat seuraavat:

• Aktiiviset ilmoitukset: Kuvat säilytetään niin kauan kuin ilmoitus on julkaistuna palvelussa.
• Käyttäjän poistama ilmoitus: Kuvat poistetaan Hetznerin tallennuksesta välittömästi ilmoituksen poistamisen yhteydessä (yleensä sekunneissa, viimeistään 24 tunnin kuluessa).
• Vanhentuneet ilmoitukset: Ilmoitukset vanhenevat automaattisesti 60 päivän kuluttua julkaisusta. Vanhentuneiden ilmoitusten kuvat poistetaan Hetzneristä 30 päivän kuluessa vanhentumisesta.
• Käyttäjätilin poisto: Kun käyttäjä poistaa tilinsä, kaikki hänen ilmoituksiinsa ja profiiliinsa liittyvät kuvat (mukaan lukien yrityslogot) poistetaan Hetzneristä 30 päivän kuluessa tilin poistosta.
• Varmuuskopiot: Hetzner säilyttää teknisiä varmuuskopioita enintään 30 päivää, minkä jälkeen poistetut kuvat häviävät myös varmuuskopioista lopullisesti.

Poistot tapahtuvat automaattisten taustaprosessien avulla. Jos haluat varmistaa tiettyjen kuvien poiston tai pyytää tietojesi poistoa GDPR:n nojalla, ota yhteyttä osoitteeseen tietosuoja@toripaiva.fi.

4b. Osoitetiedot ja niiden yksityisyys

Yksityiskäyttäjiltä ei kerätä osoitetietoja rekisteröinnin yhteydessä. Katuosoitetta, postinumeroa ja paikkakuntaa kysytään vasta silloin, kun jokin palvelun toiminto sitä nimenomaisesti vaatii — esimerkiksi ennen vuokrasopimuksen laatimista, maksutositteen luontia tai KYC-tunnistautumista. Ilmoituksen paikkakunta on aina käyttäjän itsensä valittavissa ilmoituskohtaisesti.

Yrityskäyttäjien osoitetiedot (katuosoite, postinumero, paikkakunta) haetaan rekisteröinnin yhteydessä automaattisesti YTJ:stä (Yritys- ja yhteisötietojärjestelmä, ytj.fi). Nämä tiedot ovat kaupparekisterilain (564/2023) nojalla julkista tietoa ja niitä käytetään:

• Kirjanpitolain mukaiset tositteet: Osoitetta käytetään maksutositteissa kirjanpitolain (1336/1997) edellyttämällä tavalla.
• Yrityksen tunnistaminen: Kuluttajansuojalain (38/1978) mukaan elinkeinonharjoittajan tulee olla ostajan tunnistettavissa.

Yksityisyys: Yksityishenkilön katuosoite ja postinumero eivät näy julkisesti muille käyttäjille eivätkä ilmoituksissa missään tilanteessa. Vain käyttäjän ilmoitukseen valitsema paikkakunta on julkinen tieto.

4c. Crediittiostot ja maksutiedot

Toripäivä-crediittien ostot käsitellään Stripe-maksupalvelussa (Stripe Payments Europe, Ltd., Irlanti). Toripäivä ei käsittele eikä tallenna maksukortin numeroa, CVC-koodia eikä voimassaoloaikaa — nämä menevät suoraan Stripelle ja PCI-DSS-sertifioiduille järjestelmille.

Mitä Toripäivä tallentaa: ostohistorian (paketin koko, hinta, ALV, ajankohta, Stripen viittaustunniste), crediittien tapahtuma­historian (ostot, käyttö nostoihin/kuukausimaksuihin, saldo) sekä eräkohtaiset vanhentumistiedot (jokainen osto on oma erä, jolla on oma 24 kuukauden vanhentumispäivä). Tämä on välttämätöntä kirjanpidon, kuittien, saldon näyttämisen ja vanhentumisvaroitusten lähettämisen toteuttamiseksi.

Oikeusperuste: sopimuksen täytäntöönpano (GDPR Art. 6(1)(b)) crediittien toimittamiseksi ja lakisääteinen velvoite (GDPR Art. 6(1)(c)) kirjanpitolain (1336/1997) ja arvonlisäverolain (1501/1993) edellyttämien tositteiden säilyttämiseen.

Säilytysaika: ostotositteet säilytetään kirjanpitolain edellyttämä 6 vuotta tilikauden päättymisestä, vaikka käyttäjätili poistettaisiin sitä aiemmin. Tositteet anonymisoidaan tilin poiston yhteydessä siltä osin kuin laki sen sallii.

4d. Karttapalvelu (Maanmittauslaitos) ja sijaintitiedot

Sivuston karttanäkymät (mm. /kartta ja sijainnin valinta ilmoituksen luonnissa) käyttävät Maanmittauslaitoksen avointa taustakarttaa (WMTS-rajapinta) lisenssillä CC BY 4.0. Attribuutio "© Maanmittauslaitos" näytetään kartan kulmassa lisenssin edellyttämällä tavalla.

Tietosuoja: karttalaatat haetaan Toripäivän oman palvelimen kautta (proxy), joten selaimesi IP-osoitetta tai muita pyyntötietoja ei välitetä Maanmittauslaitokselle. Karttojen tekninen renderöinti tapahtuu avoimen Leaflet-kirjaston avulla selaimessa, eivätkä karttaelementit aseta evästeitä.

Ilmoituksessa annetun paikkakunnan koordinaatit haetaan kertaalleen Maanmittauslaitoksen avoimesta geokoodauspalvelusta Toripäivän palvelimen kautta. Tulokset välimuistitetaan paikkakuntatasolla, eikä käyttäjän henkilötietoja välitetä geokoodauspyynnön mukana.

Nykyisen sijainnin käyttö (selaimen GPS): Voit halutessasi keskittää karttanäkymän nykyiseen sijaintiisi. Toripäivä pyytää tähän erillisen suostumuksen joka kerta, kun toiminto aktivoidaan. Sijainti haetaan selaimen Geolocation API:lla suoraan laitteeltasi, käytetään ainoastaan kartan keskittämiseen selaimessasi eikä koordinaatteja lähetetä Toripäivän palvelimille, tallenneta tietokantaan eikä jaeta kolmansille osapuolille. Oikeusperuste on suostumus (GDPR Art. 6(1)(a)), jonka voit perua milloin tahansa sulkemalla välilehden tai poistamalla sijainti­luvan selaimen asetuksista.

Sijaintitietojen käyttötarkoitukset: Sijaintitietoja käytetään ainoastaan (a) ilmoitusten välimatkan arviointiin, (b) hakutulosten järjestämiseen ja (c) karttahaun toimintaan. Niitä ei käytetä profilointiin, markkinointiin eikä luovuteta kolmansille osapuolille.

Automaattinen päätöksenteko: Sijaintitietoja ei käytetä GDPR:n artiklan 22 tarkoittamaan automaattiseen päätöksentekoon, jolla olisi oikeudellisia tai muutoin merkittäviä vaikutuksia sinuun.

Välimuisti laitteellasi: Etäisyysarvion laskennan nopeuttamiseksi selaimesi voi säilyttää nykyisen sijaintisi paikallisesti enintään 30 minuuttia. Tämä tieto pysyy laitteellasi eikä lähetetä Toripäivän palvelimille.

5. Vuokrausprosessin tietojen käsittely

Kun käytät palvelun lyhytaikaisen vuokrauksen ominaisuuksia (vuokrausilmoitukset, varauskalenteri, varauspyynnöt, vuokrasopimuspohja ja käyttäjien välinen viestintä), käsittelemme näitä tietoja seuraavasti:

• Vuokrausilmoitukset: ilmoituksen sisältö, hinnoittelu, saatavuus ja sijainti näkyvät julkisesti kuten muutkin ilmoitukset.
• Varauspyynnöt: päivämäärät, majoittujien / lasten / lemmikkien tiedot sekä viestikentän vapaa teksti tallennetaan tietokantaan ja näkyvät vain vuokranantajalle, vuokraajalle ja ylläpidolle.
• Käyttäjien välinen viestintä: viestit tallennetaan tietokantaan ja näkyvät vain keskustelun osapuolille sekä ylläpidolle väärinkäyttötapauksissa.
• Vuokrasopimukset (JSON-snapshot): kun varaus hyväksytään, järjestelmä muodostaa automaattisesti muuttumattoman JSON-snapshotin sopimuksen tiedoista (ilmoitus, osapuolet, vuokra-aika, hinta, vakuus, maksutavat, sopimusehdot ja sopimusversio). JSON toimii sopimuksen ainoana virallisena tietolähteenä; ilmoituksen myöhemmät muutokset eivät muuta olemassa olevaa sopimusta.
• PDF-esitys: PDF muodostetaan käyttäjän omassa selaimessa JSON-snapshotin pohjalta silloin kun käyttäjä valitsee "Lataa PDF" tai "Tulosta". PDF-tiedostoa ei tallenneta Toripäivän palvelimille eikä lähetetä sähköpostin liitteenä.
• Audit-loki: pidämme append-only -tapahtumalokia sopimuksen palvelinpuolen elinkaaresta (luonti, katselu, poisto/anonymisointi). Selaimessa tapahtuvasta PDF-luonnista tai tulostuksesta ei synny palvelinlokia, koska tiedosto ei kulje palvelimen kautta.
• Käyttöoikeudet: sopimuksen ja sen lokitietojen sisältöä pääsevät katsomaan vain vuokranantaja, vuokraaja ja ylläpito. Käyttöoikeudet tarkistetaan aina palvelimella (Row Level Security).
• Ilmoitukset vuokrauksesta: varauspyynnöt, hyväksynnät, hylkäykset ja sopimukseen liittyvät viestit toimitetaan Toripäivän sisäisessä viestijärjestelmässä kirjautuneelle käyttäjälle. Vuokraukseen liittyviä sähköposti-ilmoituksia ei tällä hetkellä lähetetä; mahdollinen sähköpostitoteutus otetaan käyttöön myöhemmin ja tietosuojaseloste päivitetään ennen sen käyttöönottoa.
• Säilytysaika: vuokrasopimuksen JSON-snapshot ja siihen liittyvät varaustiedot säilyvät oletuksena 90 päivää vuokra-ajan päättymisestä. Säilytysajan päätyttyä sopimus poistetaan tai anonymisoidaan Toripäivän tietojen säilytyskäytännön mukaisesti. Käyttäjän omalle laitteelle ladattuja PDF-tiedostoja Toripäivä ei hallinnoi eikä poista.
• Toripäivä-sinetti (sähköinen vahvistus): kun ilmoitus käyttää Toripäivän virallista vuokrasopimuspohjaa, sopimukseen tallennetaan lisäksi molempien osapuolten sähköinen hyväksyntä, hyväksymisajankohdat, sopimusnumero, tapahtumaloki sekä Toripäivä-sinetti. Nämä tiedot ovat osa vuokrasopimuksen JSON-snapshotia ja säilytetään samoilla säilytysehdoilla kuin muu sopimusdata.
• Henkilötietojen minimointi: tallennamme vain vuokrauksen toteuttamisen kannalta tarpeelliset tiedot emmekä kerää uusia henkilötietoja ilman todellista käyttötarvetta.

Toripäivä ei ole vuokrasopimuksen osapuoli, ei käsittele maksuja tai vakuuksia eikä tarjoa vakuutuksia — nämä velvoitteet ovat sopimuksen osapuolilla. Katso tarkemmin käyttöehtojen vuokrausta koskevat kohdat.

6. Tietojen säilytysaika

Henkilötietoja säilytetään niin kauan kuin käyttäjätili on aktiivinen. Tilin poistamisen jälkeen tiedot poistetaan 30 päivän kuluessa. Maksutositteet (mukaan lukien crediittiostot) anonymisoidaan mutta säilytetään kirjanpitolain edellyttämä 6 vuotta.

7. Käyttäjän oikeudet

• Oikeus tarkastaa omat tiedot
• Oikeus pyytää tietojen korjaamista
• Oikeus pyytää tietojen poistamista
• Oikeus pyytää tietojen siirtoa toiseen palveluun
• Oikeus vastustaa tietojen käsittelyä

Pääset itse lataamaan tietosi (JSON) ja poistamaan tilisi Oma profiili -sivun kautta. Muut pyynnöt: asiakaspalvelulomake.

8. Evästeet

Käytämme evästeitä palvelun toiminnan varmistamiseksi. Lisätietoja evästekäytännöstä.

9. GDPR artikla 17 — Oikeus tulla unohdetuksi

EU:n yleisen tietosuoja-asetuksen (GDPR) artikla 17 antaa sinulle oikeuden vaatia henkilötietojesi poistamista ilman aiheetonta viivytystä. Voit käyttää tätä oikeutta suoraan palvelussa: kirjaudu sisään, siirry kohtaan Oma profiili ja valitse osion Tilin poisto alta "Poista tili".

Rajoitukset (GDPR 17(3)): Tietojen poistamista voidaan rajoittaa tai lykätä lakisääteisten velvoitteiden (esim. kirjanpito) tai oikeudellisten vaateiden (esim. kesken olevat kaupat) vuoksi.

10. Henkilötietojen käsittelijät (alihankkijat)

Toripäivä toimii rekisterinpitäjänä. Käytämme alla lueteltuja palveluntarjoajia toiminnan tukena. Kukin niistä käsittelee tietoja vain ohjeidemme mukaisesti ja huolehtii asianmukaisesta tietoturvasta.

11. Tietoturvaloukkauksen ilmoittaminen

Jos havaitset epäillyn tietoturvaloukkauksen tai tietosuojaongelman, voit ilmoittaa siitä luottamuksellisesti — käsittelemme ilmoituksen GDPR Art. 33 mukaisesti 72 tunnin kuluessa.

12. Valitusoikeus

Mikäli katsot, ettei henkilötietojen käsittely ole tietosuojalainsäädännön mukaista, sinulla on oikeus tehdä valitus tietosuojavaltuutetulle: tietosuoja.fi

13. Rahanpesun estäminen (AML)

Toripäivä.fi myy käyttäjille palvelun sisäisiä crediittejä eikä toimi maksunvälittäjänä käyttäjien välillä. Maksut tapahtuvat Stripe Payments Europe Ltd:n kautta, joka vastaa korttimaksujen käsittelystä ja siihen liittyvistä tunnistamisvelvoitteista.

Toripäivä.fi noudattaa Suomen rahanpesulain (444/2017) edellyttämää riskiperusteista lähestymistapaa siltä osin kuin se koskee palvelun omaa toimintaa. Käytännössä tämä tarkoittaa, että poikkeuksellisia tai epäilyttäviä ostotapahtumia voidaan tarkastella ja niistä voidaan tarvittaessa pyytää lisäselvityksiä.

Jos havaitaan perusteltua syytä epäillä rahanpesua tai terrorismin rahoittamista, voidaan tehdä ilmoitus rahanpesun selvittelykeskukselle (FIU) ja palvelun käyttö voidaan keskeyttää asian selvittämisen ajaksi. Lain edellyttämät tiedot säilytetään viisi (5) vuotta.

14. Yhteystiedot ja tietopyynnöt

Verkkovaruste Oy / Toripäivä.fi
Y-tunnus: 3506068-7 · Seinäjoki
Yhteydenotot: asiakaspalvelulomake.
Sähköposti: a•••@•••.fi

Tietosuoja-asiat (GDPR-yhteyspiste): tietosuoja@toripaiva.fi

Voit myös lähettää GDPR- ja tietopyyntösi (tarkastus, oikaisu, poisto, siirto, vastustus) suoraan alla olevalla lomakkeella. Käsittelemme pyynnöt 30 päivän kuluessa.