Tietosuojaseloste

1. Rekisterinpitäjä

norppa.io-palvelun yhteydessä käsiteltyjen henkilötietojen rekisterinpitäjä on:

• Oikeushenkilö: Norteris Oy
• Y-tunnus: 3621127-2
• Aputoiminimi: norppa.io
• Rekisteröity osoite: Sturenkatu 26, 00510 Helsinki
• Yhteystiedot: [email protected]

2. Käsittelemämme henkilötiedot

2.1 Asiakastilin tiedot

Kun tilaat norppa.io:n, käsittelemme:

• Yrityssähköpostiosoite (käytetään todennukseen ja hälytyksiin)
• Yrityksen nimi ja ALV-/Y-tunnus (laskutusta ja oman organisaatiosi pakotelistatarkistusta varten)
• Laskutuksen yhteystiedot (käsittelee EU-maksunvälittäjämme Irlannissa ja vuosilaskujen osalta EU-pankkimme Suomessa)

2.2 Palvelun käyttötiedot

• Toimittajadomainit ja yritystunnisteet, jotka lähetät seurattaviksi
• Tiedustelupipelinemme tuottamat löydökset lähetetyistä domaineista
• Itsearviointikyselyn (SAQ) vastaukset
• Raporttien lataushistoria ja portaalin toimintalokit

2.3 Tekniset tiedot

• IP-osoite ja selaimen metatiedot, jotka kerätään kirjautumisen yhteydessä (istunnon turvallisuus)
• Istuntotokenit, jotka tallennetaan EU:hun (lyhytikäisiä, ei yhdistetty selauskäyttäytymiseen)

2.4 Evästeet

Käytämme vain ehdottoman välttämättömiä evästeitä:

• Istuntoeväste: lyhytikäinen todennustoken, joka tallennetaan selaimeesi kirjautumisistunnon ylläpitämiseksi sisäänkirjautumisen jälkeen. Ehdottoman välttämätön palvelun toiminnalle; ei seuraa selauskäyttäytymistä.

Emme käytä analytiikka-, mainos-, seuranta- tai kolmannen osapuolen evästeitä, emmekä siksi näytä evästesuostumusbanneria.

2.5 Skannauksen aikana löydetyt tiedot

Tiedustelupipelinemme voi hakea julkisesti saatavilla olevaa dataa, joka sisältää satunnaisesti henkilötietoja: esimerkiksi WHOIS-tietueissa, tietomurtokokoelmissa tai paste-sivustoilla julkaistuja sähköpostiosoitteita. Tätä dataa käsitellään yksinomaan turvallisuuslöydösten tuottamiseksi tilillesi, eikä sitä käytetä mihinkään muuhun tarkoitukseen. Emme luo profiileja yksilöistä.

3. Käsittelyn oikeusperuste

• Sopimuksen täytäntöönpano (GDPR 6(1)(b)): käsittely, joka on tarpeen tilaamasi palvelun toimittamiseksi.
• Lakisääteinen velvoite (GDPR 6(1)(c)): laskutus, verotositteet ja viranomaisten laillisiin pyyntöihin vastaaminen.
• Oikeutettu etu (GDPR 6(1)(f)): palvelun turvallisuus, väärinkäytösten estäminen ja aggregoitu analytiikka alustamme parantamiseksi. Olemme arvioineet, etteivät nämä edut syrjäytä perusoikeuksiasi.

4. Tietojen säilytys

• Aktiivinen tilaus: kaikki tili- ja löydöstiedot säilytetään tilauksen voimassaolon ajan.
• Irtisanomisen jälkeen: tiedot säilytetään 90 päivää raporttien noutamista varten, minkä jälkeen ne poistetaan.
• Laskutustositteet: säilytetään 7 vuotta Suomen kirjanpitolain (1336/1997) mukaisesti.
• Tietoturvalokit: säilytetään 12 kuukautta.

5. Alikäsittelijät ja tiedonsiirrot

Käytämme rajattua joukkoa alikäsittelijöitä, jotka kaikki toimivat EU:n/ETA:n sisällä. Täydellinen, kunkin entiteetin nimeävä lista on saatavilla pyynnöstä, ja ilmoitamme vähintään 30 päivää etukäteen ennen alikäsittelijän lisäämistä tai vaihtamista.

• EU-infrastruktuuritoimittaja (USA-emoyhtiö, EU-alueen datatallennus): sisällönjakelu, istuntojen hallinta ja raporttien tallennus: kaikki asiakasdata tallennetaan EU:n datakeskuksiin. Vakiosopimuslausekkeet (SCC, 2021/914) voimassa USA-emoyhtiön mahdollisen satunnaisen hallinnollisen pääsyn varalta.
• EU-maksunvälittäjä (Irlanti): korttimaksujen käsittely ja tilaustenhallinta itsepalvelutilauksille. Käsittely EU:ssa; itsenäinen rekisterinpitäjä laskutustietojen osalta. Ei siirtoa kolmanteen maahan.
• EU-pankki-/laskutuspalvelu (Suomi): yrityspankkipalvelut ja pankkisiirrolla maksettavien vuositilausten manuaalinen laskutus. Itsenäinen rekisterinpitäjä maksu- ja pankkisiirtotietojen osalta. Vain EU.
• EU-tapahtumasähköpostipalvelu (Ranska): tapahtuma- ja ilmoitussähköpostien toimitus (todennuslinkit, hälytysilmoitukset, asiakasviestintä). EU-datasijainti; salattu siirrettäessä (TLS). Ei siirtoa kolmanteen maahan.

Kaikki asiakkaan löydöstiedot, skannaustulokset ja raportit tallennetaan EU:n sisällä (Frankfurtin alue). Tavanomaisessa toiminnassa henkilötietoja ei siirretä EU:n ulkopuolelle; USA-emoyhtiön infrastruktuurin mahdollinen satunnainen hallinnollinen pääsy katetaan vakiosopimuslausekkeilla (EU 2021/914).

6. Oikeutesi

GDPR:n nojalla sinulla on oikeus:

• Saada pääsy sinusta tallentamiimme henkilötietoihin (15 artikla)
• Oikaista virheelliset tiedot (16 artikla)
• Poistaa tiedot (”oikeus tulla unohdetuksi”), kun mikään lakisääteinen velvoite ei edellytä säilyttämistä (17 artikla)
• Rajoittaa käsittelyä tietyissä tilanteissa (18 artikla)
• Siirtää tiedot koneluettavassa muodossa (20 artikla)
• Vastustaa oikeutettuun etuun perustuvaa käsittelyä (21 artikla)

Emme tee pelkästään automatisoituja päätöksiä, joilla on oikeudellisia tai vastaavalla tavalla merkittäviä vaikutuksia yksilöihin (GDPR 22 artikla).

Käyttääksesi näitä oikeuksia ota yhteyttä osoitteeseen [email protected]. Vastaamme 30 päivän kuluessa. Jos katsot oikeuksiasi loukatun, voit tehdä valituksen tietosuojavaltuutetun toimistolle (tietosuoja.fi).

7. Tietoturva

Toteutamme asianmukaiset tekniset ja organisatoriset turvatoimet, mukaan lukien pääsynhallinta, tiedonsiirron salaus (TLS) ja infrastruktuurin eristys. Arviointi-infrastruktuurimme toimii vakaista ulkoisista IP-osoitteista eikä ole suoraan tavoitettavissa internetistä. Suoritamme sisäisiä tietoturvakatselmuksia säännöllisesti. Lisätiedot Tietoturva-sivulla.

8. Muutokset tähän selosteeseen

Voimme päivittää tätä selostetta. Olennaisista muutoksista ilmoitetaan sähköpostitse aktiivisille tilaajille vähintään 30 päivää ennen voimaantuloa. Voimassa oleva versio on aina saatavilla osoitteessa norppa.io/privacy.