Tietosuojaseloste

Päivitetty 4.5.2026

1. Rekisterinpitäjä

Hapek Oy
Y-tunnus: 3452276-3
Osoite: Tähtääjäntie 24, 90540 Oulu
Sähköposti: hannu.kaikkonen@hapek.fi

2. Rekisterin nimi

Hapro-sovelluksen käyttäjärekisteri ja siihen liittyvät projekti- ja kustannuslaskentatiedot.

3. Henkilötietojen käsittelyn tarkoitus ja oikeusperuste

Henkilötietoja käsitellään seuraaviin tarkoituksiin:

• Käyttäjien tunnistaminen ja kirjautuminen sovellukseen
• Käyttöoikeuksien hallinta ja sovelluksen käytön mahdollistaminen
• Asiakassuhteen hoitaminen ja palvelun tuottaminen
• Käyttäjän tekemien muutosten kirjaaminen (audit-loki) palvelun eheyden varmistamiseksi

Käsittelyn oikeusperuste on sopimussuhde (palvelun käyttö) sekä rekisterinpitäjän oikeutettu etu (palvelun ylläpito, kehittäminen ja tietoturvan varmistaminen).

4. Käsiteltävät henkilötiedot

Rekisterissä käsitellään seuraavia tietoja:

• Nimi ja sähköpostiosoite
• Yrityksen nimi
• Käyttäjärooli sovelluksessa (esim. SuperAdmin, Admin, Laskija, Katsoja)
• Kirjautumistiedot (Microsoft- tai Google-tilin tunniste, salasanan tiiviste paikallisille tunnuksille)
• Profiilikuva, jos käyttäjä on itse ladannut sen asetuksista
• Käyttäjän tekemät projektit, laskelmat, määräluettelot, suunnitelmat ja niiden muutoshistoria
• Käyttäjäkohtaiset asetukset (työpöytänäkymät, taustakuvat, värivalinnat)
• Audit-loki: aikaleimat, tehty toiminto, kohde-ID — käytetään palvelun eheyden ja vastuiden seurantaan
• Tekninen lokitieto (IP-osoite, selain, virhetiedot) palvelun käyttöongelmien selvittämiseksi

4.1 Profiilikuva

Profiilikuvaa ei haeta automaattisesti Microsoft- tai Google-tilistä. Käyttäjä voi halutessaan ladata oman kuvan asetuksista (Asetukset → Yleiset → Profiili). Kuva pakataan JPEG-muotoon ja kokoon enintään 256×256 pikseliä. Käyttäjä voi poistaa kuvan koska tahansa samasta paikasta. Default = nimikirjaimet.

5. Tietolähteet

Henkilötiedot saadaan:

• Käyttäjältä itseltään rekisteröitymisen ja sovelluksen käytön yhteydessä
• Yrityksen ylläpitäjältä, joka lisää käyttäjän järjestelmään
• Microsoft- tai Google-kirjautumispalvelusta vain perustiedot (nimi, sähköposti) — ei profiilikuvaa eikä muuta tietoa

6. Tietojen sijainti ja palveluntarjoajat

Henkilötietoja ei luovuteta kolmansille osapuolille markkinointitarkoituksiin.

Tietoja käsitellään seuraavien palveluntarjoajien avulla:

• Microsoft Azure (Pohjois-Eurooppa, EU/ETA-alue) — sovelluksen ylläpito (Azure App Service), tietokanta (Azure SQL Database) ja tiedostot (Azure Blob Storage). Konkreettisesti:
  • App Service: hapro-prod (tuotanto), kustannusapp-hapek (beta)
  • Tietokanta: hapro-prod-db (tuotanto), kustannusdb (beta)
  • Blob storage: drawings-prod (suunnitelma-PDF:t, tuotanto), avatars-prod (profiilikuvat, tuotanto)
• Microsoft Identity Platform — kirjautuminen Microsoft-tilillä (vain nimi + sähköposti välitetään palveluun)
• Google Identity Services — kirjautuminen Google-tilillä (vain nimi + sähköposti välitetään palveluun)

Tietoja ei siirretä EU/ETA-alueen ulkopuolelle, paitsi siltä osin kuin edellä mainittujen kirjautumispalveluiden käyttö sitä edellyttää (Microsoft Identity / Google Identity). Näiden palveluntarjoajien tiedonsiirroissa noudatetaan EU:n tietosuoja-asetuksen mukaisia suojamekanismeja (EU-US Data Privacy Framework).

7. Tietojen säilytysaika ja deaktivointi

Käyttäjätilejä ei lähtökohtaisesti poisteta vaan deaktivoidaan: kirjautuminen estetään, mutta käyttäjän tekemät tallennukset ja audit-merkinnät säilyvät yrityksen kirjanpidon ja vastuukysymysten vuoksi.

Käyttäjä voi pyytää tietojensa täydellistä poistamista ottamalla yhteyttä rekisterinpitäjään. Tällöin poistetaan käyttäjän henkilökohtaiset tiedot (nimi, sähköposti, profiilikuva) ja anonymisoidaan käyttäjäviittaukset projekti- ja audit-aineistossa, ellei lainsäädäntö (kirjanpitolaki, sopimussuhteen vastuukysymykset) edellytä muuta.

Profiilikuva poistetaan blob-storagesta heti kun käyttäjä painaa Poista-painiketta tai tilin deaktivoinnin yhteydessä.

Tekninen lokitieto säilyy enintään 90 päivää.

8. Rekisterin suojaus

Rekisterin tiedot on suojattu seuraavasti:

• Sovellus vaatii kirjautumisen (Microsoft/Google-tunnistautuminen tai vahva salasana)
• Tietoliikenne on salattu (HTTPS/TLS, automaattinen sertifikaatti)
• Tietokanta on Azure SQL, suojattuna palomuurilla ja salatuilla yhteyksillä
• Käyttöoikeudet rajattu rooliperusteisesti (SuperAdmin / Admin / Laskija / Katsoja)
• Yrityskohtainen tietojen eristys (CompanyId-suodatus kaikissa tietokyselyissä)
• Käyttäjän deaktivoinnissa istuntotunnus (SecurityStamp) mitätöityy noin minuutin sisällä → automaattinen uloskirjautuminen

9. Rekisteröidyn oikeudet

Rekisteröidyllä on oikeus:

• Saada pääsy omiin henkilötietoihinsa
• Pyytää tietojensa oikaisemista
• Pyytää tietojensa poistamista (tarkennus kohdassa 7)
• Rajoittaa tietojensa käsittelyä
• Siirtää tietonsa toiseen järjestelmään
• Vastustaa tietojensa käsittelyä
• Tehdä valitus valvontaviranomaiselle (Tietosuojavaltuutetun toimisto, tietosuoja.fi)

Oikeuksien käyttämiseksi ota yhteyttä: hannu.kaikkonen@hapek.fi

10. Evästeet

Sovellus käyttää vain välttämättömiä evästeitä kirjautumisen ja istunnon ylläpitämiseksi (kirjautumiskeksi ja antiforgery-token). Näitä evästeitä ei käytetä seurantaan tai mainontaan eikä niitä jaeta kolmansille osapuolille.

11. Selosteen muutokset

Tätä tietosuojaselostetta voidaan päivittää palvelun kehittyessä tai lainsäädännön muuttuessa. Olennaisista muutoksista tiedotetaan käyttäjiä sovelluksen sisällä tai sähköpostitse.