Tietosuojaseloste
EU:n yleisen tietosuoja-asetuksen (GDPR) 13 ja 14 artiklan mukainen seloste käsittelytoimista. Päivitetty 12.8.2026.
Tärkein ensin: asiakirjojesi sisältö ei tule meille. PDF-tiedostot ja kuvat käsitellään kokonaan omalla laitteellasi, eikä niitä lähetetä, tallenneta tai varmuuskopioida meidän järjestelmiimme. Tämä seloste koskee siis muita tietoja: yhteydenottoja, tilauksia, lisenssien hallintaa ja sivuston kävijätilastoja.
1. Rekisterinpitäjä
- Rekisterinpitäjä
- Koukku Kapital Oy (aputoiminimi Koukku Digital)
- Y-tunnus
- 3331246-5
- Kotipaikka
- Turku
- Käyntiosoite
- Kärsämäentie 35, 20360 Turku
- Postiosoite
- PL 3, 20201 Turku
- Tietosuoja-asioiden yhteyshenkilö
- John Tammi, tietosuojayhteyshenkilö, john@koukku.ai
- Tilaus- ja lisenssiasiat
- myynti@koukku.ai
Emme ole nimittäneet tietosuojavastaavaa, koska GDPR 37 artiklan edellytykset eivät täyty. Tietosuoja-asiat hoitaa yllä nimetty yhteyshenkilö.
2. Keitä tiedot koskevat
- Tarjouspyynnön, kokeilupyynnön tai yhteydenottolomakkeen lähettäneet henkilöt
- Asiakasorganisaatioiden yhteyshenkilöt ja lisenssien tilaajat
- Asiakasorganisaatioiden työasemien käyttäjät siltä osin kuin työasemakohtaisia lisenssiavaimia myönnetään (kohta 3.3)
- Verkkosivuston kävijät
3. Mitä tietoja käsittelemme
3.1 Yhteydenotto- ja tarjouspyyntötiedot
Nimi, sähköpostiosoite, organisaation nimi, työasemien määrä, Y-tunnus, verkkolaskuosoite (OVT), mahdollinen puhelinnumero sekä viestin vapaamuotoinen sisältö.
3.2 Asiakkuus-, lisenssi- ja laskutustiedot
Yhteyshenkilön nimi ja sähköposti, tilausnumero, tilattu lisenssimäärä, sopimuskausi, myönnetyt lisenssiavaimet, laskutus- ja maksutiedot sekä asiakasviestintä.
3.3 Työaseman tekninen tunnusluku
Kun asiakas tilaa työasemakohtaiset lisenssiavaimet, asiakkaan oma IT ajaa työasemilla toimittamamme keräysskriptin ja lähettää meille sen tuottaman tiedoston. Käsittelemme tästä tiedostosta:
- työaseman tekninen tunnusluku: yksisuuntainen tunnusluku, joka on laskettu koneelta luetuista teknisistä arvoista. Alkuperäisiä arvoja ei tallenneta eikä lähetetä sellaisenaan, eikä niitä voi laskea tunnusluvusta takaisin;
- asiakkaan ilmoittama konenimi: sarake on tiedostossa asiakkaan omaa seurantaa varten. Asiakas voi poistaa sarakkeen ennen tiedoston lähettämistä, ja avaimet myönnetään silti oikein.
Emme väitä tätä tietoa anonyymiksi. Tiivistäminen rajaa vahinkoa, mutta koska ylläpidämme tunnuslukua nimenomaan tunnistamista varten ja työasema on usein nimetyn henkilön käytössä, käsittelemme sitä henkilötietona ja sovellamme siihen tämän selosteen kaikkia oikeuksia ja velvoitteita.
Keräysskripti ei lue käyttäjänimiä, IP-osoitteita, tiedostoja, asiakirjoja eikä asennettuja ohjelmia. Sovellus ei lähetä tunnuslukua käytön aikana minnekään: se lasketaan ja verrataan koneella paikallisesti. Ainoa siirto on tämä kertaluontoinen keräys, jonka asiakas tekee itse ja jonka tuloksen asiakas näkee ennen lähettämistä. Kuvaus on myös käyttöönotto-ohjeessa.
3.4 Verkkosivuston kävijätiedot
Sivusto käyttää Plausible Analyticsia, evästeetöntä ja EU-alueella isännöityä kävijämittausta. Siinä käsitellään sivupolkuja, viittaavaa osoitetta, selain- ja laitetyyppiä sekä IP-osoitteesta johdettua karkeaa sijaintia (maa).
Mittaus ei tallenna eikä lue mitään laitteeltasi — ei evästettä, ei selaimen paikallista muistia, ei laitteen sormenjälkeä. Tämän vuoksi mittaus ei kuulu sähköisen viestinnän palveluista annetun lain (917/2014) 205 §:n soveltamisalaan eikä sivustolla siksi ole evästebanneria.
Emme väitä mittausta täysin tiedottomaksi. Uniikit kävijät lasketaan palvelimella tiivisteestä, joka muodostetaan päiväkohtaisesta satunnaissuolasta, verkkotunnuksesta, IP-osoitteesta ja selaintiedosta. Suola vaihtuu ja tuhoutuu 24 tunnin välein, eikä IP-osoitetta tai selaintietoa tallenneta missään vaiheessa. IP-osoitteen hetkellinen käsittely on henkilötietojen käsittelyä, jonka perusteena on oikeutettu etu (GDPR 6 artiklan 1 kohdan f alakohta): tarve tietää sivuston käyttömääriä ilman kävijöiden seurantaa.
Työpöytäsovellus ei lataa analytiikkaa lainkaan — se ei avaa verkkoyhteyksiä käyttöä varten.
3.5 Mitä emme käsittele
Emme vastaanota, tallenna emmekä käsittele käsittelemiesi asiakirjojen sisältöä, tiedostonimiä emmekä niissä olevia henkilötietoja. Emme myöskään käsittele maksukorttitietoja: sivustolla ei ole korttimaksua.
4. Käyttötarkoitukset ja oikeusperusteet
| Tarkoitus | Tietoryhmä | Oikeusperuste (GDPR 6 art.) |
|---|---|---|
| Tarjouspyyntöihin ja yhteydenottoihin vastaaminen, tarjousten laatiminen | 3.1 | Sopimuksen tekemistä edeltävät toimenpiteet (6.1 b) |
| Kokeiluavaimen toimittaminen | 3.1 | Sopimuksen tekemistä edeltävät toimenpiteet (6.1 b) |
| Tilauksen toimittaminen, lisenssin hallinta ja asiakastuki | 3.2 | Sopimuksen täytäntöönpano (6.1 b) |
| Lisenssin myöntäminen työasemakohtaisesti ja sovitun lisenssimäärän todentaminen | 3.3 | Sopimuksen täytäntöönpano (6.1 b) |
| Laskutus ja kirjanpito | 3.2 | Lakisääteinen velvoite (6.1 c) — kirjanpitolaki |
| Sivuston käytön mittaaminen ja kehittäminen | 3.4 | Oikeutettu etu (6.1 f): palvelun toimivuuden ja käytettävyyden seuranta |
| Kertaluonteinen yhteydenotto kokeilun jälkeen | 3.1 | Oikeutettu etu (6.1 f): asiakassuhteen luominen |
5. Mistä tiedot saadaan
Tiedot saadaan pääsääntöisesti rekisteröidyltä itseltään sivuston lomakkeilla tai sähköpostitse. Kohdan 3.3 tiedot saadaan asiakasorganisaatiolta, joka kerää ne omilla työasemillaan ja lähettää ne meille. Kohdan 3.4 tiedot syntyvät sivuston käytöstä.
6. Käsittelijät — mitä palveluita käytämme ja mihin
Käytämme seuraavia palveluntarjoajia. Kukin käsittelee henkilötietoja vain meidän lukuumme ja ohjeidemme mukaisesti. Yksikään niistä ei käsittele asiakirjojesi sisältöä, koska sisältö ei poistu laitteeltasi.
| Palvelu | Mihin sitä käytetään | Tietoryhmä | Käsittelyn sijainti |
|---|---|---|---|
| Google — Firebase Hosting ja Cloud Functions | Sivuston ja sovelluksen jakelu selaimeen; lomakkeiden vastaanotto | 3.1, 3.4 | Käyttämämme palvelinalue on EU (europe-west1). Palveluntarjoaja on osa yhdysvaltalaista konsernia. |
| Google — Firestore | Tarjous- ja kokeilupyyntöjen tallennus | 3.1 | EU-alue |
| Plausible Analytics | Sivuston evästeetön kävijämittaus | 3.4 | EU-alue. Palveluntarjoaja on virolainen yhtiö ja infrastruktuuri eurooppalaisten yhtiöiden omistuksessa; kävijätiedot eivät poistu EU:sta. |
| Resend | Tilaus-, kokeilu- ja lisenssisähköpostien lähetys | 3.1, 3.2 | Yhdysvallat |
| HubSpot | Asiakkuudenhallinta: tarjouspyynnöt, tarjoukset ja asiakasviestintä | 3.1, 3.2 | Yhdysvallat |
Kohdan 3.3 työasemien tunnuslukuja ei viedä yllä oleviin markkinointi- tai analytiikkapalveluihin. Ne käsitellään lisenssien myöntämisessä ja säilytetään erillään. Niitä ei luovuteta kolmansille osapuolille.
Emme myy emmekä vuokraa henkilötietoja. Tietoja voidaan luovuttaa viranomaiselle, jos laki sitä edellyttää.
Huomio kävijämittauksesta: sivusto käytti aiemmin Google Analyticsia. Se korvattiin 12.8.2026 EU-alueella isännöidyllä, evästeettömällä mittauksella, joten kävijätietoja ei enää siirretä Yhdysvaltoihin eikä sivusto tarvitse suostumusta kävijämittaukseen. Julkishallinnon asiakkaille voidaan edelleen tarjota versio kokonaan ilman kolmannen osapuolen analytiikkaa.
7. Siirrot EU/ETA-alueen ulkopuolelle
Osa käsittelijöistämme (Resend ja HubSpot) on yhdysvaltalaisia palveluita, joten osa henkilötiedoista siirtyy EU/ETA-alueen ulkopuolelle. Tämä koskee kohtien 3.1 ja 3.2 tietoja — ei asiakirjojen sisältöä, ei kohdan 3.3 tunnuslukuja eikä kohdan 3.4 kävijätietoja.
Kävijämittaus ei enää siirry EU:n ulkopuolelle. Google Analytics korvattiin 12.8.2026 EU-alueella isännöidyllä, evästeettömällä mittauksella, joten kohdan 3.4 tiedot käsitellään kokonaan EU:ssa.
Siirtojen perusteena käytetään EU:n komission hyväksymiä vakiosopimuslausekkeita (SCC) tai riittävää tietosuojan tasoa koskevaa päätöstä (EU–US Data Privacy Framework) sen mukaan, kumpi kunkin palveluntarjoajan kohdalla on voimassa. Voimme toimittaa siirtoperustetta koskevan selvityksen pyynnöstä hankinnan liitteeksi.
Asiakirjojen sisältöä ei siirretä lainkaan — ei EU:n sisällä eikä ulkopuolelle — koska se ei poistu käyttäjän laitteelta. Tämän vuoksi GDPR:n V luvun siirtoarvioinnit eivät kohdistu asiakirjatyöhön.
8. Säilytysajat
| Tietoryhmä | Säilytysaika |
|---|---|
| Tarjous- ja kokeilupyynnöt, joista ei synny asiakkuutta | 24 kuukautta viimeisestä yhteydenotosta |
| Asiakkuus- ja lisenssitiedot | Sopimuksen voimassaolon ajan ja sen päättymisen jälkeen 24 kuukautta |
| Työaseman tekninen tunnusluku ja konenimi (3.3) | Sopimuskauden ajan ja sen päättymisen jälkeen enintään 12 kuukautta, jotta uusiminen ja rikkoutuneen koneen korvaava avain voidaan hoitaa |
| Laskutus- ja kirjanpitoaineisto | Kirjanpitolain mukaisesti kuusi vuotta sen kalenterivuoden lopusta, jonka aikana tilikausi päättyy |
| Kävijämittauksen tiedot | Tunnistamisen mahdollistava tekijä (päiväkohtainen suola) tuhoutuu 24 tunnin välein. IP-osoitetta ja selaintietoa ei tallenneta lainkaan, joten säilytettäväksi jää vain henkilöön yhdistämätön tilasto, joka säilytetään palvelun voimassaolon ajan. |
Säilytysajan päätyttyä tiedot poistetaan tai muutetaan sellaisiksi, ettei niitä voi yhdistää henkilöön.
9. Evästeet
Sivusto ei käytä analytiikka- eikä markkinointievästeitä. Kävijämittaus on evästeetön: se ei tallenna eikä lue mitään laitteeltasi.
Laitteellesi tallennetaan vain toiminnan kannalta välttämättömiä tietoja, jotka säilytetään selaimen paikallisessa muistissa omalla laitteellasi: kielivalinta, lisenssiavaimen tila, kohdassa 12 kuvattu paikallinen käyttöloki sekä itse antamasi asetukset kuten tallennettu allekirjoitus ja merkintöjen tekijänimi. Ne ovat sähköisen viestinnän palveluista annetun lain (917/2014) 205 §:n tarkoittamia palvelun toteuttamiseksi välttämättömiä tietoja, joihin ei tarvita suostumusta. Mikään näistä ei välity meille — ne pysyvät laitteellasi.
Tämän vuoksi sivustolla ei ole evästebanneria. Banneri ei ole jäänyt pois vahingossa: sivustolla ei ole mitään, mihin suostumusta pitäisi pyytää. Voit halutessasi tyhjentää paikallisen muistin selaimesi asetuksista; tällöin kielivalinta ja mahdollinen lisenssiavain palautuvat oletuksiin.
Työpöytäsovellus ei aseta evästeitä, ei lataa analytiikkaa eikä ota verkkoyhteyttä käyttöä varten.
10. Rekisteröidyn oikeudet
Sinulla on oikeus:
- saada pääsy tietoihisi ja saada niistä jäljennös
- oikaista virheelliset tai puutteelliset tiedot
- pyytää tietojen poistamista
- rajoittaa käsittelyä ja vastustaa oikeutettuun etuun perustuvaa käsittelyä
- siirtää antamasi tiedot järjestelmästä toiseen
- peruuttaa suostumus, jos käsittely perustuu suostumukseen
Pyynnön voi tehdä osoitteeseen john@koukku.ai. Vastaamme kuukauden kuluessa. Voimme pyytää todentamaan henkilöllisyytesi ennen tietojen luovuttamista.
Jos työskentelet organisaatiossa, joka on hankkinut lisenssin, ja pyyntösi koskee kohdan 3.3 tietoja, ohjaamme sinut ensin oman organisaatiosi IT-vastaavalle: konetunnisteiden keräyksen tekee ja päättää työnantajasi. Käsittelemme pyyntösi silti myös itse.
11. Oikeus tehdä valitus
Jos katsot, että käsittelemme henkilötietojasi tietosuojalainsäädännön vastaisesti, voit tehdä valituksen valvontaviranomaiselle. Suomessa valvontaviranomainen on tietosuojavaltuutetun toimisto (tietosuoja.fi).
12. Tietojen suojaaminen
- Tiedot ovat vain digitaalisessa muodossa. Pääsy on rajattu henkilöihin, joiden työtehtävät sitä edellyttävät, ja se on suojattu henkilökohtaisin tunnuksin ja monivaiheisella tunnistautumisella.
- Liikenne sivuston ja käyttäjän välillä on salattu (HTTPS).
- Kohdan 3.3 tunnusluvut säilytetään erillään markkinointi- ja analytiikkajärjestelmistä.
- Sovelluksessa on paikallinen käyttöloki GDPR:n osoitusvelvollisuuden tueksi. Se tallentuu vain käyttäjän omalle laitteelle ja on käyttäjän itsensä tarkasteltavissa ja tyhjennettävissä — meille se ei tule.
13. Rooli GDPR:n näkökulmasta
Asiakirjojesi osalta emme tyypillisesti ole henkilötietojen käsittelijä lainkaan, koska sisältö ei poistu rekisterinpitäjän hallinnasta. Lisenssi- ja yhteystietojen osalta toimimme itse rekisterinpitäjänä. Mikäli hankinta edellyttää tietojenkäsittelysopimusta, toimitamme sen: DPA-malli.
14. Muutokset tähän selosteeseen
Päivitämme selosteen, kun käsittelytoimet muuttuvat. Olennaisista muutoksista ilmoitamme asiakkaillemme. Sivun alussa on aina viimeisin päivityspäivä.