Tietosuojaseloste

1. Rekisterinpitäjä ja yhteystiedot

HavuHR Oy, Y-tunnus 3149813-9

Osoite: Lapinlahdenkatu 16, 00180 Helsinki

Tietosuojasta vastaava henkilö: Susanna Vilkka

Sähköposti: susanna.vilkka@havuhr.fi

Puhelin: 040 809 6591

2. Roolimme: rekisterinpitäjä vai käsittelijä?

HavuHR Oy toimii rekisterinpitäjänä omien verkkosivu-, myynti-, markkinointi- ja asiakassuhdetietojensa osalta. Tämä seloste kuvaa ensisijaisesti tätä käsittelyä.

Kun HavuHR käsittelee asiakasorganisaation työntekijöiden ja muiden henkilöiden HR-tietoja HavuHR-palvelussa asiakkaan lukuun, asiakasorganisaatio toimii rekisterinpitäjänä ja HavuHR henkilötietojen käsittelijänä. Kumppanin kautta toimitetussa palvelussa loppuasiakas on rekisterinpitäjä, kumppani käsittelijä ja HavuHR alikäsittelijä. Tarkat roolit, käsittelyohjeet ja vastuut määräytyvät asiakkaan kanssa tehdyn palvelusopimuksen ja tietojenkäsittelysopimuksen (DPA) perusteella.

Jos olet asiakasorganisaation työntekijä, osoita henkilötietojasi koskevat pyynnöt ensisijaisesti työnantajallesi, joka on tietojesi rekisterinpitäjä.

3. Mitä henkilötietoja käsittelemme ja miksi?

Verkkosivut ja yhteydenotot

Käsittelemme nimen, yhteystiedot, yrityksen, roolin sekä viestin sisällön, kun otat meihin yhteyttä lomakkeella tai sähköpostitse. Tietoja käytetään yhteydenpitoon, asiakaspalveluun ja palvelun kehittämiseen.

Oikeusperuste: sopimuksen valmistelu ja täytäntöönpano sekä oikeutettu etu (yhteydenpito ja asiakassuhteen hoito).

Säilytysaika: kaksi (2) vuotta viimeisestä yhteydenotosta, ellei yhteydenotto johda asiakassuhteeseen, jolloin tietoja säilytetään asiakastietojen säilytysaikojen mukaisesti.

Asiakassuhteen hoito ja myynti

Käsittelemme asiakkaidemme ja heidän yhteyshenkilöidensä nimiä, yhteystietoja (sähköposti, puhelin, osoite) sekä sopimus-, tilaus-, ostohistoria- ja viestintätietoja asiakassuhteen hoitamiseksi, tuotteen kehittämiseksi ja asiakashankintaa varten.

Oikeusperuste: sopimuksen täytäntöönpano ja oikeutettu etu (asiakassuhteen hoito ja kehittäminen).

Säilytysaika: asiakassuhteen ajan ja sen päättymisen jälkeen niin kauan kuin se on tarpeen sopimukseen perustuvien oikeuksien ja velvollisuuksien hoitamiseksi, esimerkiksi mahdollisten reklamaatioiden tai laskutukseen liittyvien vaatimusten käsittelemiseksi. Kirjanpitoon kuuluvat tiedot, kuten laskut ja sopimukset, säilytämme kirjanpitolain edellyttämän ajan.

Viestintä ja asiakaspalvelu

Käsittelemme sähköposteja, Microsoft 365 -viestejä ja liitteitä yrityksen sisäiseen ja ulkoiseen viestintään sekä asiakaspalveluun.

Oikeusperuste: sopimuksen täytäntöönpano ja oikeutettu etu (tehokas viestintä).

Säilytysaika: niin kauan kuin viestintä on tarpeen sen käyttötarkoituksen kannalta. Poistamme viestit, kun niitä ei enää tarvita, kuitenkin viimeistään, kun asiakassuhde tai muu käsittelyn peruste on päättynyt. Viestit, jotka kuuluvat sopimus- tai kirjanpitoaineistoon, säilytämme asiakastietojen säilytysaikojen mukaisesti.

Markkinointi

Käsittelemme yhteystietoja markkinointiviestintää, uutiskirjeitä ja tapahtumakutsuja varten. Voit peruuttaa suostumuksesi tai kieltää suoramarkkinoinnin milloin tahansa ilmoittamalla siitä meille tai käyttämällä viestien peruutuslinkkiä.

Oikeusperuste: suostumus tai oikeutettu etu (markkinointi olemassa oleville asiakkaille).

Säilytysaika: suostumukseen perustuvia tietoja säilytetään, kunnes peruutat suostumuksesi. Asiakkuuteen perustuvaa markkinointia jatkamme asiakassuhteen ajan ja kohtuullisen ajan sen päättymisen jälkeen, ellet kiellä markkinointia aiemmin. Markkinointikieltoa koskeva tieto säilytetään toistaiseksi kiellon noudattamiseksi.

HavuHR-palvelu

Käsittelemme palvelun käyttäjien käyttäjä-, työ- ja yhteystietoja, käyttöoikeuksia ja palvelun käyttöön liittyviä tapahtumia sekä asiakkaan HavuHR:ään tallentamia HR-tietoja. Asiakkaan tallentamien HR-tietojen osalta HavuHR toimii henkilötietojen käsittelijänä kohdassa 2 kuvatulla tavalla, ja käsittelyn tarkempi sisältö kuvataan asiakkaan kanssa tehdyssä DPA:ssa.

Integraatiot (Microsoft Teams, Slack, Netvisor)

Kun asiakas ottaa integraation käyttöön, käsittelemme vain kyseisen toiminnon kannalta tarpeellisia tunnisteita, asetuksia, viestejä, synkronoitavia tietoja, lokeja ja suojattuja tunnuksia. Integraatiokohtainen käsittely kuvataan kohdassa 5.

4. Käsittelyn oikeusperusteet ja tietolähteet

Käsittely perustuu tilanteesta riippuen sopimukseen tai sen valmisteluun, asiakkaan dokumentoituihin ohjeisiin (kun toimimme käsittelijänä), lakisääteiseen velvoitteeseen, suostumukseen tai HavuHR:n oikeutettuun etuun palvelun suojaamisessa, ylläpidossa ja kehittämisessä.

Saamme henkilötiedot pääosin sinulta itseltäsi (esim. yhteydenottolomakkeet ja sähköpostit), asiakassuhteen ja yhteistyön yhteydessä syntyvistä tiedoista sekä asiakkaan HavuHR-palveluun tallentamista tiedoista. Voimme lisäksi käyttää julkisia lähteitä, kuten yritysten verkkosivuja.

Asiakas vastaa siitä, että sillä on oikeus käsitellä ja siirtää henkilöstötietoja valitsemiinsa integraatioihin ja että henkilöstöä on informoitu asianmukaisesti.

5. Integraatiokohtainen käsittely

Microsoft Teams

• Helmi-avustaja toimii vain henkilökohtaisessa Teams-keskustelussa. Kanava- ja ryhmäkeskusteluista ei luovuteta yrityksen tietoja.
• Käsittelemme Microsoft Entra -ympäristön tunnistetta, käyttäjän pysyvää Entra-tunnistetta, kirjautumisen perustietoja sekä suojattua henkilökohtaista vastausviitettä. Tunnistamista ei tehdä Teamsin näyttönimen perusteella.
• Yhdistämisessä pyydetään vain openid-, profile- ja email-tiedot. Integraatio ei pyydä Microsoft Graph -käyttöoikeuksia eikä tallenna Microsoftin käyttö- tai päivityspoletteja.
• Tekninen tapahtumakuitti ei sisällä kysymystä, vastausta, liitteitä tai raakaa Teams-tapahtumaa. Helmi-kysymykset ja -vastaukset käsitellään HavuHR:n suojatussa Helmi-keskustelutallennuksessa.
• Yhteyden katkaiseminen poistaa aktiivisen Microsoft-ympäristösidoksen ja työntekijöiden henkilökohtaiset vastausviitteet.

Slack

• HavuHR yhdistää aktiivisen työntekijän Slack-käyttäjään työsähköpostin perusteella.
• Slackista voidaan käsitellä henkilökohtaisia viestejä ja komentoja, jotka liittyvät Helmi-kysymyksiin, avoimiin tehtäviin, tehtävän valmistumiseen tai tuettuun omaan poissaolopyyntöön.
• HavuHR voi lähettää tehtävä- ja koosteviestejä, allekirjoituslinkkejä ja muistutuksia, Helmi-vastauksia sekä testiviestejä. Allekirjoituksen kertakäyttöistä vahvistuskoodia ei lähetetä Slackiin.
• Sovellus käyttää oikeuksia chat:write, im:write, im:history, users:read ja users:read.email sekä vastaanottaa message.im-tapahtumia.
• Botin tunnus tallennetaan salattuna. Tekninen tapahtumakuitti ei kopioi viestitekstiä tai tiedostoja, ja yli seitsemän päivää vanhat kuitit poistetaan. Valmistuneen poissaololuonnoksen tekniset metatiedot poistetaan viimeistään 30 päivän jälkeen.
• Slack-yhteyden katkaiseminen HavuHR:ssa poistaa asennus- ja toimintatilan, työntekijälinkit, tapahtumakuitit, tehtäväviestien metatiedot ja keskeneräiset poissaololuonnokset.

Netvisor

• Pääasiallinen tietovirta kulkee HavuHR:stä Netvisoriin. Valituista asetuksista riippuen siirrettäviä tietoja voivat olla työntekijän perustiedot, henkilötunnus tai ulkomainen tunniste, yhteys- ja osoitetiedot, työsuhdetiedot, toimipaikka, kieli- ja aluetiedot, pankkitiedot, suljetut työaikarivit ja hyväksytyt poissaolot.
• HavuHR lukee Netvisorista turvallisen synkronoinnin tarvitsemia työntekijä-, työsuhde-, palkkalaji- ja työpäivätietoja.
• Työaikarivin kuvaus voi sisältää työtyypin nimen ja työaikamerkinnän muistiinpanon. Poissaolorivin kuvaus sisältää poissaolotyypin nimen, ei poissaolopyynnön kommentteja, viestejä tai peruutussyitä.
• Asiakkaan Customer key ja valitut henkilökohtaiset korvausarvot tallennetaan salattuina. Synkronointilokeista säilytetään enintään uusimmat 1 000 riviä, eikä yli 90 päivää vanhoja rivejä säilytetä.
• HavuHR muuttaa tai poistaa vain integraation hallinnoimiksi todetut Netvisor-työaikarivit. Työntekijän poistaminen HavuHR:stä ei automaattisesti poista Netvisorin palkka- tai työaikahistoriaa.

6. Vastaanottajat ja kansainväliset siirrot

Tietoja käsittelevät HavuHR:n valtuutetut henkilöt sekä palvelun tuottamiseen tarvittavat palveluntarjoajat (henkilötietojen käsittelijät ja alikäsittelijät). Näitä ovat muun muassa:

• Google Cloud Platform (Google LLC): HavuHR-palvelun pääinfrastruktuuri, tietokanta ja ladatut tiedostot. Myös Helmi-tekoälyavustajan vastaukset tuotetaan Anthropicin Claude-kielimallilla, jota ajetaan Google Cloud Platform -ympäristössä. Käsittelysijainti: Eurooppa (Hamina, Suomi).
• Microsoft Azure (Microsoft Corporation): palvelun automaattiset sähköposti-ilmoitukset. Käsittelysijainti: Eurooppa (Pohjois-Eurooppa).
• HubSpot (HubSpot, Inc.): asiakkuudenhallinta eli asiakas-, myynti- ja markkinointitietojen käsittely.
• Microsoft 365 (Microsoft Corporation): HavuHR:n oma sähköposti, Teams-viestintä ja dokumentit. Käsittelysijainti: EU.
• Calendly (Calendly LLC): verkkosivuston ajanvaraus. Käsittelee varauksen yhteydessä annetun nimen, sähköpostin ja valitun ajan.
• Muut palvelun tuottamisessa tarvittavat palveluntarjoajat, kuten IT-palvelut ja tilitoimisto omissa tehtävissään.

Integraatiota käytettäessä tietoja välitetään asiakkaan valitsemalle Microsoft-, Slack- tai Netvisor-palvelulle. Nämä toimivat asiakkaan valinnan mukaisina vastaanottajina, ja niiden omaan käsittelyyn sovelletaan kyseisten palveluntarjoajien ehtoja ja tietosuojakäytäntöjä.

Tietoja voidaan luovuttaa viranomaisille lakisääteisten velvoitteiden täyttämiseksi. Emme luovuta henkilötietoja kolmansille osapuolille kaupallisiin tarkoituksiin.

Käsittelemme HavuHR-palvelun henkilötiedot EU/ETA-alueella. Osa käyttämistämme palveluntarjoajista, kuten HubSpot ja Calendly, on yhdysvaltalaisia yrityksiä, joten tietoja voidaan käsitellä myös EU/ETA-alueen ulkopuolella. Näissä tilanteissa huolehdimme siitä, että siirrolla on lain edellyttämä peruste: joko palveluntarjoaja on sitoutunut EU:n ja Yhdysvaltojen väliseen tietosuojakehykseen (EU–US Data Privacy Framework) tai olemme sopineet Euroopan komission hyväksymistä vakiosopimuslausekkeista.

Ajantasainen alikäsittelijäluettelo on saatavilla pyynnöstä tai verkkosivuillamme.

7. Tietoturva

Suojaamme tiedot asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä. Käytämme muun muassa salattuja yhteyksiä, tietojen salausta ja pseudonymisointia soveltuvin osin, monivaiheista tunnistautumista (MFA), roolipohjaisia käyttöoikeusrajoituksia, asiakas- ja käyttäjäkohtaista eristystä, suojattua salaisuuksien hallintaa, allekirjoitettujen tapahtumien tarkistusta, lokitusta ja poikkeamien seurantaa sekä säännöllistä varmuuskopiointia ja palautettavuuden varmistamista. Henkilöstömme on sitoutettu salassapitovelvoitteisiin. Integraatiot käyttävät vain toiminnon vaatimia oikeuksia.

8. Säilytys ja poistaminen

Säilytämme henkilötietoja vain niin kauan kuin se on tarpeen palvelun tuottamiseksi, sopimusvelvoitteiden täyttämiseksi, tietoturvan varmistamiseksi tai lain noudattamiseksi. Tietoryhmäkohtaiset säilytysajat on kuvattu kohdassa 3.

HavuHR-palvelussa asiakkaan lukuun käsiteltävät henkilötiedot poistetaan tai anonymisoidaan tietojenkäsittelysopimuksen mukaisesti viimeistään 90 päivän kuluessa sopimuksen päättymisestä.

Integraation katkaiseminen lopettaa tulevan käsittelyn ja poistaa kohdassa 5 kuvatut paikalliset yhteys- ja linkitystiedot. Aiemmin Microsoftiin, Slackiin tai Netvisoriin siirretyt tiedot voivat jäädä kyseiseen palveluun asiakkaan asetusten, sopimuksen ja lakisääteisten säilytysaikojen mukaisesti. Asiakas vastaa niiden poistamisesta kyseisessä palvelussa.

9. Rekisteröidyn oikeudet

Sinulla on soveltuvan lainsäädännön mukaisesti seuraavat oikeudet:

• Tarkastusoikeus: saada tieto siitä, mitä tietoja sinusta on tallennettu.
• Oikaisuoikeus: pyytää virheellisten tietojen oikaisua.
• Poistamisoikeus: pyytää tietojesi poistamista tietyissä tilanteissa (”oikeus tulla unohdetuksi”).
• Käsittelyn rajoittamisoikeus: pyytää tietojesi käsittelyn rajoittamista.
• Vastustamisoikeus: vastustaa käsittelyä, erityisesti suoramarkkinointia.
• Siirto-oikeus: saada tietosi koneellisesti luettavassa muodossa ja siirtää ne toiselle rekisterinpitäjälle.
• Suostumuksen peruuttaminen: peruuttaa suostumuksesi milloin tahansa, jos käsittely perustuu suostumukseen.

Asiakasorganisaation työntekijän tulee ensisijaisesti osoittaa pyyntö työnantajalleen. HavuHR:n omia rekistereitä koskevat pyynnöt voi lähettää tietosuojasta vastaavalle henkilölle Susanna Vilkalle osoitteeseen susanna.vilkka@havuhr.fi. Sinulla on myös oikeus tehdä valitus valvontaviranomaiselle. Suomessa valvontaviranomainen on Tietosuojavaltuutetun toimisto, www.tietosuoja.fi.

10. Evästeet

Käytämme verkkosivustolla välttämättömiä evästeitä sivuston toiminnan varmistamiseksi.

Sivustolla on käytössä Calendly-ajanvarauspalvelu, joka voi asettaa omia evästeitään ajanvaraustoiminnon yhteydessä. Suostumuksesi perusteella voimme lisäksi käyttää analytiikkaevästeitä sivuston kehittämiseksi. Evästevalintoja voi hallita sivuston evästeasetuksissa.

11. Tietoturvaloukkaukset

Mikäli havaitsemme henkilötietojen tietoturvaloukkauksen, joka todennäköisesti aiheuttaa riskin oikeuksillesi ja vapauksillesi, ilmoitamme siitä sinulle ja tarvittaessa valvontaviranomaiselle ilman aiheetonta viivytystä. Kun toimimme henkilötietojen käsittelijänä, ilmoitamme rekisterinpitäjänä toimivalle asiakkaalle tämän tietoihin vaikuttavista poikkeamista ilman aiheetonta viivästystä.

12. Muutokset tähän selosteeseen

Päivitämme tätä selostetta, kun palvelu, integraatiot tai käsittelytavat muuttuvat. Ajantasainen versio ja päivityspäivä ovat aina tällä sivulla. Merkittävistä muutoksista ilmoitamme erikseen.