Tietosuojaseloste

1. Rekisterinpitäjä

Cardwallet.fi
Sähköposti: [email protected]

Cardwallet.fi:n toimitus toimii tämän selosteen mukaisen henkilötietojen käsittelyn rekisterinpitäjänä. Sivustolla ei ole erillistä tietosuojavastaavaa (DPO), sillä käsittelymäärä ja -laatu jäävät alle GDPR:n artiklan 37 määrittelemän pakollisen nimitysvelvollisuuden. Tietosuoja-asiat hoidetaan keskitetysti yllä mainitun sähköpostiosoitteen kautta.

2. Käsittelyn tarkoitus ja oikeusperusta

Cardwallet.fi käsittelee henkilötietoja seuraaviin tarkoituksiin:

• Yhteydenottopyyntöjen käsittely — sähköpostitse osoitteeseen [email protected] tulleet viestit. Oikeusperusta: oikeutettu etu (GDPR art. 6(1)(f)) — vastausvelvollisuuden täyttäminen ja palvelun ylläpito.
• Sivuston tekninen toiminta ja tietoturva — palvelinlokit, IP-osoitteet ja käyttäjäagentit virhetilanteiden ja tietoturvauhkien havaitsemiseksi. Oikeusperusta: oikeutettu etu (GDPR art. 6(1)(f)) — tietoturvavelvoitteen (GDPR art. 32) täyttäminen.
• Eväste-suostumuksen tallennus — käyttäjän tekemä valinta (välttämättömät / analytiikka / markkinointi) tallennetaan selaimen localStorageen. Oikeusperusta: rekisteröidyn suostumus (GDPR art. 6(1)(a)).

Cardwallet.fi ei kerää henkilötietoja markkinointitarkoituksiin eikä käytä mainoseväste- tai analytiikkatyökaluja ilman käyttäjän nimenomaista suostumusta. Vuoden 2026 v1-vaiheessa sivustolla ei ole käytössä Google Analyticsia, Facebook-pixeliä tai vastaavia tracking-tagit.

3. Kerätyt henkilötiedot

• Yhteydenottoviestit: lähettäjän sähköpostiosoite, käyttäjän itse antama nimi (vapaaehtoinen) ja viestin sisältö. Yhteystiedot tallentuvat sähköpostipalveluntarjoajan järjestelmiin (ks. kohta 7).
• Palvelinlokit: IP-osoite, käyttäjäagentti (selaimen ja käyttöjärjestelmän kuvaus), pyynnön ajankohta ja pyydetty resurssi. Säilytysaika: enintään 30 vuorokautta.
• Eväste-suostumus (localStorage): avain cw_consent_v1, sisältö { version, timestamp, necessary, analytics, marketing }. Tallennetaan vain käyttäjän omalle selaimelle — ei lähetetä palvelimelle eikä yhdistetä henkilötunnistettavaan tietoon.
• Admin-sessio (vain /admin-puolella): istuntotunniste-eväste (HttpOnly, Secure) joka tunnistaa toimittajan sisäänkirjautumisen. Ei näy julkisille käyttäjille.

Cardwallet.fi ei kerää erityisiin tietoryhmiin kuuluvia tietoja (GDPR art. 9, esim. terveystieto, uskonnollinen vakaumus, biometriset tiedot) eikä käsittele alaikäisten henkilötietoja kohdennetusti.

4. Evästeet ja localStorage

Sähköisen viestinnän palveluista annettu laki (917/2014, 205 §) edellyttää, että käyttäjälle annetaan tieto evästeiden käytöstä ja niihin pyydetään suostumus, jos evästeet eivät ole sivuston perustoiminnalle välttämättömiä.

Cardwallet.fi:n evästekäytäntö:

• Välttämättömät (suostumus ei vaadittu) — admin-sessio, tekniset välttämättömät localStorage-arvot kuten eväste-suostumus itsessään.
• Analytiikka (opt-in) — ei käytössä v1-vaiheessa. Jos analytiikka (esim. Plausible, Cloudflare Web Analytics) lisätään, se aktivoidaan vasta käyttäjän suostumuksen jälkeen.
• Markkinointi (opt-in) — ei käytössä v1-vaiheessa. Affiliate-linkkien kohdesivustot voivat asettaa omia evästeitä — niistä päättää linkin kohdesivusto, ei Cardwallet.fi.

Eväste-suostumuksen voi muuttaa milloin tahansa tyhjentämällä selaimen localStoragen Cardwallet.fi:n osalta tai ottamalla yhteyttä [email protected].

5. Tietojen säilytysaika

• Yhteydenottoviestit: enintään 12 kuukautta vastauksen toimittamisen jälkeen.
• Palvelinlokit: enintään 30 vuorokautta.
• Eväste-suostumus (localStorage): kunnes käyttäjä tyhjentää selaimen tilan.
• Admin-sessioevästeet: enintään 7 vuorokautta tai uloskirjautumiseen.

Säilytysajat on määritetty käyttötarkoituksen perusteella (GDPR art. 5(1)(e) säilytyksen rajoittaminen). Tarpeettomat tiedot poistetaan automaattisesti.

6. Tietojen luovutus ja kansainväliset siirrot

Cardwallet.fi ei myy eikä luovuta henkilötietoja kolmansille osapuolille markkinointitarkoituksiin. Tietoja voidaan luovuttaa vain:

• Suomen lainsäädännön edellyttämissä tilanteissa (esim. viranomaisten lakisääteinen pyyntö, tutkintaviranomaisten pyyntö pakkokeinolain mukaisesti).
• Sivuston teknisille palveluntarjoajille toiminnan ylläpitämiseksi (ks. käsittelijät kohta 7).

Kansainväliset siirrot: Cloudflare käsittelee palvelinlokit edge-verkossaan globaalisti. Cloudflare on sitoutunut EU:n vakiosopimuslausekkeisiin (SCCs) ja Data Privacy Framework -järjestelyyn (DPF, USA:n riittävyyspäätös 2023). Cloudflarella on EU-datasäilytys mahdollistettuna Enterprise-tasolla, mutta v1:ssä käytetään peruspakettia jolloin datavirta on globaalia.

7. Käsittelijät (alikäsittelijät)

Cardwallet.fi käyttää seuraavia alihankkijoita henkilötietojen käsittelyyn (GDPR art. 28 — henkilötietojen käsittelysopimukset DPA):

• Cloudflare, Inc. — CDN, edge-hosting, palvelinlokit. Privacy Policy
• Sähköpostipalveluntarjoaja — [email protected] -osoitteen käsittelyyn käytetään tavanomaista sähköpostipalvelua (esim. Microsoft 365 tai Google Workspace). Tarkka palveluntarjoaja täsmennetään Phase 7 -tuotantojulkaisun yhteydessä.

8. Rekisteröidyn oikeudet

EU:n yleisen tietosuoja-asetuksen mukaisesti sinulla on seuraavat oikeudet henkilötietoihisi:

• Tarkastusoikeus (GDPR art. 15) — voit pyytää tiedot siitä, mitä tietoja sinusta on tallennettu.
• Oikaisuoikeus (GDPR art. 16) — voit pyytää virheellisten tietojen korjaamista.
• Oikeus poistoon ("oikeus tulla unohdetuksi", GDPR art. 17) — voit pyytää tietojesi poistamista, kun käsittelyperuste ei enää päde.
• Käsittelyn rajoitusoikeus (GDPR art. 18).
• Vastustamisoikeus (GDPR art. 21) — erityisesti suoramarkkinointia vastaan; Cardwallet.fi ei harjoita suoramarkkinointia.
• Siirto-oikeus (GDPR art. 20) — voit pyytää tietosi koneellisesti luettavassa muodossa siirrettäväksi toiselle rekisterinpitäjälle.
• Suostumuksen peruuttamisoikeus (GDPR art. 7(3)) — voit milloin tahansa peruuttaa antamasi suostumuksen.
• Valitusoikeus valvontaviranomaiselle (GDPR art. 77) — Suomessa Tietosuojavaltuutetun toimisto: tietosuoja.fi.

Vastaamme rekisteröidyn pyyntöihin ilman aiheetonta viivytystä, viimeistään yhden kuukauden kuluessa pyynnön vastaanottamisesta (GDPR art. 12(3)). Tarvittaessa määräaikaa voidaan jatkaa kahdella kuukaudella, jolloin siitä ilmoitetaan pyytäjälle.

9. Tietoturva

Cardwallet.fi noudattaa GDPR:n artiklan 32 mukaisia teknisiä ja organisatorisia toimenpiteitä henkilötietojen suojaamiseksi. Käytännön toimet:

• HTTPS-salaus kaikessa liikenteessä (TLS 1.3 / SSL).
• Admin-puolen kirjautumiseen kohdistuva pääsynvalvonta (HttpOnly-evästeet, PBKDF2-salasanasalaus).
• Säännölliset varmuuskopiot tietokannasta.
• Phase 7 -tuotannossa edge-tason DDoS-suojaus ja WAF (Cloudflare).
• Tietoturvavuodon havaitsemistapauksessa rekisteröityjä tiedotetaan ilman aiheetonta viivytystä (GDPR art. 33-34).

10. Yhteydenotot ja valitukset

Tietosuojakysymyksissä ota yhteyttä: [email protected]

Jos koet, että henkilötietojesi käsittely rikkoo voimassaolevaa lainsäädäntöä, voit tehdä valituksen myös Tietosuojavaltuutetun toimistolle:

Tietosuojavaltuutetun toimisto
PL 800, 00521 Helsinki
Käyntiosoite: Lintulahdenkuja 4, 00530 Helsinki
Sähköposti: [email protected]
Verkkosivut: tietosuoja.fi

11. Muutokset selosteeseen

Rekisterinpitäjä pidättää oikeuden päivittää tätä selostetta. Versionumero ja päivityspäivä näkyvät sivun yläosassa. Olennaisista muutoksista tiedotetaan etusivulla tai uutiskirjeessä. Käytön jatkaminen muutoksen jälkeen katsotaan päivitetyn version hyväksymiseksi.

Versio 1.0 — voimassa 2026-05-22 alkaen.