Tietosuojaseloste

1. Rekisterinpitäjä

Kybervartio on yhden ihmisen yritys. Kaikkia henkilötietoja käsittelee sama henkilö, joka vastaa viesteihin ja tekee kartoitukset. Erillistä tietosuojavastaavaa ei ole nimetty eikä laki sitä tässä toiminnassa edellytä.

2. Mitä tietoja käsitellään

Yhteydenottolomake ja sähköposti

Kun lähetätte etusivun lomakkeen tai sähköpostia, käsittelen antamianne tietoja: verkkotunnus, sähköpostiosoite, nimi (vapaaehtoinen) ja viestin sisältö. Lomake ei tallenna mitään tietokantaan eikä lokitiedostoon: viesti lähtee sähköpostina osoitteeseen jesse@kybervartio.fi ja jää sinne.

Mistä tulitte sivulle

Lomakkeen mukana lähtee yksi lisätieto: mistä saavuitte sivulle. Arvo on joko linkissä ollut lähdemerkintä (esimerkiksi utm_source=linkedin, joka näkyy selaimen osoiterivillä koko ajan) tai selaimen ilmoittaman edellisen sivuston verkkotunnus, esimerkiksi google.com. Yksittäistä sivua, hakusanaa tai käyttäjää ei välitetä.

Tieto luetaan vasta lomaketta lähetettäessä eikä sitä tallenneta selaimeenne: sivusto ei aseta evästettä eikä käytä selaimen muistia tähän. Tieto kulkee vain yhteydenottoviestin mukana samaan sähköpostiin kuin muutkin kentät. Käyttötarkoitus on tietää mikä kanava tuottaa yhteydenottoja; sitä ei yhdistetä muuhun tietoon eikä käytetä profilointiin. Oikeusperuste on oikeutettu etu.

Roskapostisuojaus

Lomakkeen väärinkäytön estämiseksi palvelin laskee lähetykset IP-osoitetta kohti (enintään viisi tunnissa). Tätä varten IP-osoitteesta tallennetaan väliaikaistiedostoon tiiviste (SHA-1) ja lähetysten aikaleimat, ei IP-osoitetta sellaisenaan. Tuntia vanhemmat aikaleimat poistuvat käytöstä. Oikeusperuste on oikeutettu etu: ilman rajoitinta lomake olisi roskapostirobottien käytössä vuorokaudessa.

Palvelimen lokitiedot

Verkkohotelli kirjaa tavanomaiset palvelinlokit (IP-osoite, aikaleima, pyydetty osoite, selaintunniste). Nämä syntyvät automaattisesti eikä niitä käytetä kävijäseurantaan tai profilointiin.

Sähköpostiturvan tarkistus

Pikatarkistus toimii kokonaan selaimessanne. Kun painatte Tarkista-painiketta, selaimenne tekee julkisen DNS-kyselyn Cloudflaren nimipalvelimelle (varalla Googlen), aivan kuten avatessanne minkä tahansa verkko-osoitteen. Kyselyn näkevät kyseiset nimipalvelut, eivät me: Kybervartio ei näe eikä tallenna syöttämäänne verkkotunnusta. Tarkistuksen tulokset eivät poistu selaimestanne.

Asiakastiedot

Toimeksiannon yhteydessä käsitellään sopimustiedot (yritys, yhteyshenkilön nimi ja yhteystiedot, laskutustiedot) sekä kartoituksessa syntyvä aineisto. Perustarkastuksen, seurannan ja Laajatarkastuksen aineisto koskee järjestelmiä, mutta voi sisältää henkilötietoa esimerkiksi julkisista lähteistä löytyvien työsähköpostiosoitteiden muodossa. Laajatarkastuksessa käsitellään lisäksi tiedot, jotka asiakas antaa sisäpuolen tarkistuslistassa, yleiset sähköpostiosoitteet tietovuototarkistuksessa sekä sovitun testiviestin vastaanottajan osoite, jonka asiakas nimeää luvassa. Uhka-arvio koskee myös henkilöitä, ks. seuraava kohta.

Uhka-arvio

Uhka-arviossa kootaan julkisista lähteistä tietoa asiakasyrityksen henkilöstöstä siltä osin kuin se liittyy työrooliin: nimet, tehtävänimikkeet ja roolit, julkiset työyhteystiedot, sähköpostiosoitteiden muoto sekä tieto siitä, esiintyykö työsähköpostiosoite julkisissa tietovuodoissa. Lähteitä ovat yrityksen oma verkkosivu, hakukoneet, julkiset ammattiprofiilit, työpaikkailmoitukset, tiedotteet, yrityksen omat somekuvat ja julkiset tietovuotoluettelot. Lisäksi käsitellään tiedot, jotka asiakas antaa sisäpuolen tarkistuslistassa. Asiakas ilmoittaa henkilöstölle arviosta etukäteen. Vuototietoa ja asiakkaan tarkistuslistassa antamia tietoja lukuun ottamatta mukaan otetaan vain tietoa, jonka yritys tai henkilö on itse julkaissut. Yksityiselämään ei mennä, eikä vuotaneita salasanoja nähdä, käsitellä eikä tallenneta.

Käyttötarkoitus on näyttää asiakasyritykselle, millä tiedoilla sitä vastaan voitaisiin rakentaa huijaus tai kalastelu, jotta se voi suojautua. Tietoja ei käytetä mihinkään muuhun eikä yhdistetä muihin toimeksiantoihin. Oikeusperuste on oikeutettu etu: asiakasyritys on tilannut uhka-arvion sopimuksella oman tietoturvansa arvioimiseksi, ja käsittely rajautuu työrooliin liittyvään julkiseen tietoon. Raportti luovutetaan vain tilaajalle. Säilytys noudattaa samaa periaatetta kuin muu kartoitusaineisto (kohta 4).

Yhteydenotot, joita ette ole pyytäneet

Otan yhteyttä myös yrityksiin, jotka eivät ole ottaneet yhteyttä minuun. Näissä tapauksissa tiedot on kerätty yrityksen omilta verkkosivuilta ja julkisista yritysrekistereistä. Käsiteltävät tiedot ovat: yrityksen nimi, verkkotunnus, julkinen sähköpostiosoite, mahdollinen yhteyshenkilön nimi sekä verkkotunnuksesta julkisista lähteistä tehdyt havainnot.

Yhteydenottoja on enintään kaksi: ensimmäinen viesti ja yksi muistutus. Kolmatta ei lähetetä, vaikka ette vastaisi kumpaankaan.

Kiellon saa yhdellä viestillä. Vastatkaa mitä tahansa osoitteeseen jesse@kybervartio.fi, niin osoite poistetaan enkä ota uudelleen yhteyttä. Perusteluja ei tarvitse esittää. Jotta kieltoa ei rikottaisi vahingossa myöhemmin, kiellettu sähköpostiosoite jää estolistalle. Estolistalla säilytetään osoite, yritys, verkkotunnus ja tieto aiemmista yhteydenotoista, ja sen ainoa käyttötarkoitus on estää uusi yhteydenotto.

3. Mihin tietoja käytetään ja millä perusteella

• Yhteydenottoihin vastaaminen: oikeutettu etu (te otitte yhteyttä ja odotatte vastausta).
• Palvelun toimittaminen: sopimuksen täytäntöönpano.
• Uhka-arvion henkilötiedot: oikeutettu etu (asiakasyrityksen tilaama tietoturvan arviointi, ks. kohta 2).
• Kirjanpito ja laskutus: lakisääteinen velvoite.
• Lomakkeen väärinkäytön esto: oikeutettu etu.
• Sen tietäminen mikä kanava tuotti yhteydenoton: oikeutettu etu.
• Yhteydenotto yrityksen ulkoisesta tietoturvasta: oikeutettu etu. Yhteydenotto kohdistuu yritykseen, ei henkilöön, ja koskee sen omaa tietoturvaa. Sähköisen viestinnän palveluista annetun lain 200 § sallii suoramarkkinoinnin yhteisölle, kunnes se kielletään.

Tietoja ei käytetä profilointiin eikä automaattiseen päätöksentekoon. Yhteydenottolomakkeen kautta saatuja osoitteita ei käytetä suoramarkkinointiin eikä liidirekisteriin.

Teillä on oikeus vastustaa oikeutettuun etuun perustuvaa käsittelyä. Yhteydenottojen osalta se tarkoittaa käytännössä yhtä viestiä, ks. kohta 2.

4. Kuinka kauan tietoja säilytetään

• Yhteydenotot, jotka eivät johda toimeksiantoon: enintään 24 kuukautta, minkä jälkeen viesti poistetaan.
• Asiakassuhteen tiedot ja kartoitusaineisto, myös Uhka-arvion aineisto: poistetaan sopimuksen päätyttyä. Aineisto ei siirry seuraavaan toimeksiantoon.
• Kirjanpitoaineisto: kirjanpitolain vaatimat kuusi vuotta tilikauden päättymisestä.
• Roskapostirajoittimen tiivisteet: väliaikaistiedostossa, sisältö vanhenee tunnissa.
• Palvelinlokit: verkkohotellin oman kierron mukaisesti, tyypillisesti muutamia viikkoja.
• Yhteydenottotiedot yrityksistä, joihin olen ollut yhteydessä: enintään 12 kuukautta viimeisestä viestistä, minkä jälkeen tiedot poistetaan. Kiellon esittäneiden osoitteet säilytetään estolistalla toistaiseksi, jotta kieltoa ei rikota.

5. Kenelle tietoja luovutetaan

Tietoja ei myydä, vuokrata eikä luovuteta markkinointitarkoituksiin. Käytössä ovat nämä tekniset palveluntarjoajat, jotka käsittelevät tietoja puolestani:

• Hostingpalvelu Oy (Suomi): verkkosivun ja sähköpostin palvelinalusta.
• Google Ireland Ltd.: osoitteeseen jesse@kybervartio.fi saapuvista viesteistä välitetään kopio Gmail-postilaatikkoon, jotta viesteihin ehditään vastata myös liikkeellä. Käytännössä tämä tarkoittaa, että yhteydenottoviestinne tallentuu myös Googlen palvelimille. Myös Kybervartion lähettämät myyntiviestit kulkevat Googlen sähköpostipalvelun kautta.
• Anthropic: myyntiviestien ja sähköpostin käsittelyssä käytetään Claude-tekoälypalvelua, jolle välittyy yritysten nimiä, yhteystietoja ja viestien sisältöä.

Viranomaiselle tietoja luovutetaan vain, jos laki siihen velvoittaa.

6. Siirto EU:n ulkopuolelle

Palvelimet sijaitsevat EU:ssa. Googlen sähköpostipalvelun osalta tietoja voidaan käsitellä myös EU:n ulkopuolella Googlen käyttämien Euroopan komission vakiosopimuslausekkeiden ja EU–Yhdysvallat-tietosuojakehyksen nojalla. Julkisiin lähteisiin tehtävät kyselyt voivat kohdistua EU:n ulkopuolisiin palveluihin (kohta 5). Myyntiviestien ja sähköpostin käsittelyssä käytettävä Anthropic toimii Yhdysvalloissa.

7. Evästeet ja seuranta

Sivusto ei käytä evästeitä. Sivustolla ei ole kävijäseurantaa, mainosverkkoja, sosiaalisen median liitännäisiä eikä ulkopuolisia fontteja tai skriptejä, eikä sivu tee yhtään ulkoista kutsua selaimestanne. Ainoa poikkeus on pikatarkistus, jonka käynnistätte itse painiketta painamalla (ks. kohta 2).

8. Tietojen suojaus

• Yhteydet sivustolle on salattu (HTTPS, pakotettu HSTS-otsakkeella).
• Sähköpostiliikenne käyttää salattua yhteyttä, ja domainissa on käytössä SPF, DKIM ja DMARC.
• Kartoitusaineisto säilytetään laitteessa, johon ei ole muilla pääsyä.
• Tietoihin pääsee käsiksi vain rekisterinpitäjä itse. Alihankkijoita ei käytetä.

9. Oikeutenne

Teillä on oikeus:

• saada tietää, mitä tietoja teistä on, ja saada niistä kopio;
• vaatia virheellisen tiedon oikaisua;
• pyytää tietojen poistamista, ellei laki edellytä säilyttämistä (esimerkiksi kirjanpito);
• vaatia käsittelyn rajoittamista tai vastustaa oikeutettuun etuun perustuvaa käsittelyä;
• saada antamanne tiedot siirrettävässä muodossa.

Pyyntö lähetetään osoitteeseen jesse@kybervartio.fi. Vastaan kuukauden kuluessa. Henkilöllisyys voidaan joutua varmistamaan ennen tietojen luovuttamista. Muuten selosteesta tulisi itsessään tietovuoto.

Jos katsotte, ettei tietojanne käsitellä lainmukaisesti, voitte tehdä valituksen valvontaviranomaiselle: Tietosuojavaltuutetun toimisto, PL 800, 00531 Helsinki.

10. Muutokset

Jos käsittelytavat muuttuvat, päivitän tämän selosteen ja muutan yllä olevan päivämäärän. Olennaisista muutoksista kerron asiakkaille sähköpostitse.