Tietosuojaseloste

1. Johdanto – Keitä olemme

Synqo on palveluna toimitettava (SaaS) työvoiman hallintaohjelmisto, joka auttaa työnantajia ja organisaatioita hallitsemaan työvuorolistoja, läsnäoloa, vapaita ja työvoima-analytiikkaa. Synqoa ylläpitää yksityinen elinkeinonharjoittaja, jonka kotipaikka on Bosnia ja Hertsegovina, ja palvelu on käytettävissä osoitteessa https://synqo.work.

Tässä tietosuojaselosteessa kerrotaan, mitä henkilötietoja keräämme, miten niitä käytetään, kenelle niitä luovutetaan, miten ne suojataan ja mitä oikeuksia rekisteröidyllä on tietoihinsa nähden. Seloste koskee kaikkia verkkosivustomme ja sovelluksemme käyttäjiä, mukaan lukien omistajat, esihenkilöt ja työntekijät, jotka käyttävät palvelua.

Synqo-palvelun käyttäminen tarkoittaa, että tämä tietosuojaseloste on luettu ja ymmärretty. Jos selosteen jokin kohta ei ole hyväksyttävä, palvelua ei tule käyttää.

2. Keräämämme tiedot

Keräämme eri tietoryhmiä palvelun tuottamiseksi ja parantamiseksi. Alla on kuvattu käsittelemämme tietoryhmät.

2.1 Tilitiedot

Kun Synqoon rekisteröidytään, keräämme koko nimen, sähköpostiosoitteen, organisaation nimen ja toimialan. Näitä tietoja tarvitaan tilin luomiseen ja hallintaan.

2.2 Työntekijä- ja työvoimatiedot

Kun ylläpitäjä tai esihenkilö lisää työntekijöitä alustalle, keräämme heidän nimensä, sähköpostiosoitteensa, puhelinnumeronsa, työntekijänumeronsa, määritetyt roolinsa, työsuhteen tilan ja sopimuspäivämääränsä. Organisaation ylläpitäjä syöttää nämä tiedot työntekijöiden puolesta.

2.3 Läsnäolo- ja työaikatiedot

Alusta tallentaa työntekijöiden sisäänleimaus- ja ulosleimausajat, QR-koodien skannaukset, taukoajat ja työtuntien kokonaismäärän. Nämä tiedot ovat keskeisiä palvelun läsnäolo- ja työajanseurannassa.

Läsnäolotietojen luotettavuuden varmistamiseksi tallennamme jokaisen sisäänleimauksen, ulosleimauksen, sovellukseen kirjautumisen ja epäonnistuneen QR-skannauksen yhteydessä laitetunnisteen (eväste synqo-device), IP-osoitteen ja selaimen tyypin, ja epäonnistuneen skannauksen yhteydessä myös koodin iän. Samat tiedot tallennetaan toimipisteen QR-koodeja näyttävästä tabletista. Näiden perusteella Synqo ilmoittaa organisaation omistajalle mahdollisista väärinkäytöksistä, esimerkiksi siitä, että samaa puhelinta käytetään usealle työntekijälle tai että skannattu koodi on vanha. Organisaatiossa nämä tiedot näkee vain omistaja ja kukin työntekijä omansa (esihenkilöt näkevät vain omien toimipisteidensä hälytykset ilman IP-osoitteita ja laitetietoja). Tietoja ei lähetetä sähköpostitse, ja ne poistetaan 90 päivän kuluttua.

2.4 Työvuorolistatiedot

Käsittelemme tietoja vuoroista, palkallisista vapaista (PTO) koskevista pyynnöistä, juhlapyhistä, vuoronvaihtopyynnöistä ja työvuorolistoista. Nämä tiedot mahdollistavat työvuorosuunnittelun ja vapaiden hallinnan toiminnot.

2.5 Maksutiedot

Kun tilataan maksullinen paketti, käsittelemme tilaus- ja laskutustietoja. Maksuja käsittelee kumppanimme Lemon Squeezy (Paddle). Emme tallenna luottokorttinumeroita emmekä maksuvälineiden täydellisiä tietoja palvelimillemme.

2.6 Tekniset tiedot

Keräämme automaattisesti teknisiä tietoja palvelun käytön yhteydessä, kuten IP-osoitteet, user agent -merkkijonot, selaintiedot, laitetyypin ja käyttöjärjestelmätiedot. Nämä tiedot auttavat ylläpitämään tietoturvaa ja parantamaan suorituskykyä.

2.7 Viestintätiedot

Keräämme tiedot, jotka toimitetaan yhteydenottolomakkeiden, virheilmoitusten ja uutiskirjetilausten kautta. Näitä ovat sähköpostiosoite, nimi ja viestin sisältö.

2.8 Evästeet ja vastaavat tekniikat

Käytämme evästeitä ja vastaavia tekniikoita istunnon todentamiseen, kieliasetusten tallentamiseen ja analytiikkaan. Lisätietoja on tämän selosteen kohdassa 9 (Evästeet).

3. Tietojen käyttö

Tietoja käytetään seuraaviin tarkoituksiin:

• Palvelun tarjoaminen ja ylläpito – tilin, organisaation, toimipisteiden ja käyttöoikeuksien hallinta.
• Työvuorosuunnittelu, läsnäolon seuranta ja vapaiden hallinta – vuorojen luominen, työaikojen kirjaaminen, vapaapyyntöjen käsittely ja juhlapyhien hallinta.
• Maksujen käsittely ja tilausten hallinta – veloitukset, pakettimuutokset, peruutukset ja laskutus laskutuskumppanimme kautta.
• Tapahtumapohjaisten sähköpostien lähettäminen – tervetuloviestit, työntekijäkutsut, tilausvahvistukset, muutosilmoitukset ja salasanan palautus.
• Analytiikka ja palvelun kehittäminen – käyttötapojen analysointi suorituskyvyn, käyttökokemuksen ja alustan toiminnallisuuden parantamiseksi.
• Tietoturva, petosten ehkäisy ja väärinkäytösten havaitseminen – alustan eheyden suojaaminen, luvattoman käytön havaitseminen ja palvelun väärinkäytön estäminen.
• Lainsäädännön noudattaminen – sovellettavien lakien, säännösten ja oikeudellisten velvoitteiden noudattaminen, mukaan lukien viranomaisten lainmukaisiin pyyntöihin vastaaminen.

4. Käsittelyn oikeusperuste (GDPR)

Yleisen tietosuoja-asetuksen (GDPR) ja Bosnia ja Hertsegovinan sovellettavan tietosuojalainsäädännön mukaisesti henkilötietoja käsitellään seuraavilla oikeusperusteilla:

• Sopimuksen täyttäminen — käsittely on välttämätöntä rekisteröidyn palvelun tarjoamiseksi, mukaan lukien tilinhallinta, työvuorolistat, läsnäolo ja vapaiden hallinta.
• Oikeutetut edut — tiettyjä tietoja käsitellään oikeutettujen liiketoimintaetujemme perusteella, esimerkiksi alustan tietoturvan, analytiikan, palvelun kehittämisen ja väärinkäytösten ehkäisyn vuoksi, edellyttäen etteivät nämä edut syrjäytä käyttäjän oikeuksia.
• Suostumus — tietyissä käsittelytoimissa, kuten uutiskirjeen tilauksessa ja valinnaisissa evästeissä, pyydetään nimenomainen suostumus. Suostumus voidaan peruuttaa milloin tahansa.
• Lakisääteinen velvoite — tiettyjä tietoja on säilytettävä lakisääteisten velvoitteiden noudattamiseksi, esimerkiksi vero- ja kirjanpitotietoja.

5. Tietojen jakaminen ja kolmannet osapuolet

Henkilötietoja ei myydä. Tietoja jaetaan vain sellaisille palveluntarjoajille, jotka ovat välttämättömiä alustamme toiminnalle. Jokainen palveluntarjoaja käsittelee tietoja omien tietojenkäsittelysopimustensa mukaisesti.

• Supabase — tunnistautuminen ja tietokannan ylläpito. Kaikki sovelluksen tiedot (käyttäjätilit, organisaation tiedot, läsnäolomerkinnät, työvuorolistat) tallennetaan Supabasen infrastruktuuriin.
• Vercel — ylläpito, käyttöönotto ja analytiikka. Vercel käsittelee pyyntölokeja, suorituskykytietoja ja sivukäyntitietoja.
• Lemon Squeezy / Paddle — maksujen käsittely ja tilausten hallinta. Ne käsittelevät laskutustietoja, tilaustietoja ja tapahtumatietoja. Kaikki maksukorttitiedot käsitellään yksinomaan näiden kumppanien toimesta.
• Resend — tapahtumapohjaisten sähköpostien toimitus. Käsittelee sähköpostiosoitteita ja viestien sisältöä palveluun liittyvien viestien (kutsut, vahvistukset, ilmoitukset) toimittamiseksi.
• Sentry — virheiden seuranta. Kerää teknisiä virhetietoja, jotka voivat sisältää käyttäjätunnisteita, ongelmien selvittämiseksi ja korjaamiseksi.
• Google Analytics (jos käytössä) — anonymisoitu käyttöanalytiikka kävijämallien ymmärtämiseksi ja käyttökokemuksen parantamiseksi.
• Anthropic — AI-työvuoroavustaja (vain jos otettu käyttöön yrityksessä). Kun omistaja esittää kysymyksen, Anthropic käsittelee kysymyksen ja vastaamiseen tarvittavat työvuorolistan tiedot (työntekijöiden nimet, vuorot, säännöt). Anthropic ei käytä näitä tietoja malliensa kouluttamiseen.
• Groq — AI-työvuoroavustaja (vain jos otettu käyttöön yrityksessä). Se vastaa ensin; Anthropic ottaa vastuun, kun Groq ei ole käytettävissä. Groq käsittelee samat tiedot kuin Anthropic eikä käytä niitä mallien kouluttamiseen.

6. Tietojen siirrot kansainvälisesti

Osa palveluntarjoajistamme toimii Euroopan talousalueen (ETA) ja Bosnia ja Hertsegovinan ulkopuolella. Supabase, Vercel, Resend, Anthropic ja Groq sijaitsevat Yhdysvalloissa.

Kun tietoja siirretään ETA:n tai Bosnia ja Hertsegovinan ulkopuolelle, varmistetaan asianmukaiset suojatoimet, kuten Euroopan komission hyväksymät vakiosopimuslausekkeet (SCC) tai muut laillisesti tunnustetut siirtomekanismit.

Tietojen siirtoihin sovellettavista suojatoimista saa lisätietoja osoitteesta privacy@synqo.work.

7. Tietojen säilytys

Tietoja säilytetään vain niin kauan kuin tässä selosteessa kuvattujen tarkoitusten kannalta on tarpeen. Säilytyskäytännöt ovat:

• Aktiiviset tilit — tietoja säilytetään, kun tili on aktiivinen ja palvelua käytetään.
• Tilin poistamisen jälkeen — henkilötiedot poistetaan 30 päivän kuluessa tilin sulkemisesta, paitsi jos säilytys on lain mukaan pakollista.
• Varmuuskopiot — tiedot voivat säilyä salatuissa varmuuskopioissa enintään 90 päivää poistamisen jälkeen.
• Lakisääteiset velvoitteet — tiettyjä tietoja (esim. vero- ja kirjanpitotietoja) säilytetään lain edellyttämän ajan, yleensä vähintään 5 vuotta.
• Laitetiedot — sisäänleimausten, ulosleimausten, sisäänkirjautumisten ja epäonnistuneiden skannausten yhteydessä tallennettu laitetunniste, IP-osoite ja selaimen tyyppi poistetaan 90 päivän kuluttua; sisäänleimaus- ja ulosleimausajat säilyvät.
• Uutiskirje — sähköpostiosoitetta säilytetään, kunnes uutiskirjeen tilaus perutaan.
• Yhteydenotot — yhteydenottolomakkeilla ja virheilmoituksilla lähetettyjä tietoja säilytetään 12 kuukautta.

8. Rekisteröidyn oikeudet (GDPR)

Sovellettavan tietosuojalainsäädännön mukaan rekisteröidyllä on seuraavat oikeudet henkilötietoihinsa:

• Oikeus tutustua tietoihin — oikeus pyytää jäljennös rekisteröidystä säilytettävistä henkilötiedoista.
• Oikeus tietojen oikaisemiseen — oikeus pyytää virheellisten tai puutteellisten tietojen oikaisua.
• Oikeus tietojen poistamiseen (“oikeus tulla unohdetuksi”) — oikeus pyytää henkilötietojen poistamista tiettyjen lakisääteisten rajoitusten puitteissa.
• Oikeus käsittelyn rajoittamiseen — oikeus pyytää tietojen käsittelyn rajoittamista tietyissä tilanteissa.
• Oikeus siirtää tiedot järjestelmästä toiseen — oikeus saada tiedot jäsennellyssä, yleisesti käytetyssä ja koneluettavassa muodossa.
• Vastustamisoikeus — oikeus vastustaa tietojen käsittelyä, joka perustuu oikeutettuihin etuihin.
• Oikeus peruuttaa suostumus — jos käsittely perustuu suostumukseen, suostumus voidaan peruuttaa milloin tahansa. Peruuttaminen ei vaikuta ennen peruuttamista tehdyn käsittelyn lainmukaisuuteen.
• Oikeus tehdä valitus — jos katsotaan, että henkilötietoja on käsitelty sovellettavien säännösten vastaisesti, valitus voidaan tehdä toimivaltaiselle tietosuojaviranomaiselle.

Edellä mainittujen oikeuksien käyttämiseksi voi ottaa yhteyttä osoitteeseen privacy@synqo.work. Pyyntöön vastataan 30 päivän kuluessa.

9. Evästeet

Verkkosivustomme käyttää evästeitä, jotka ovat laitteelle tallennettavia pieniä tekstitiedostoja. Käytämme seuraavia evästeluokkia:

Välttämättömät evästeet

Nämä evästeet ovat välttämättömiä verkkosivuston toiminnalle, eikä niitä voi poistaa käytöstä. Niihin kuuluvat kirjautumisistunnon evästeet ja kieliasetuksen tallennus. Ilman näitä evästeitä palvelu ei toimi oikein. Sovelluksessa ja QR-tabletilla käytämme lisäksi synqo-device-evästettä: satunnaista laitetunnistetta, joka säilyy enintään 400 päivää ja jota käytetään vain läsnäolokirjausten suojaamiseen (ks. kohta 2.3).

Analytiikkaevästeet

Käytämme Vercel Analyticsia ja valinnaisesti Google Analyticsia sivuston käytön anonymisoidun tiedon keräämiseen. Nämä evästeet auttavat ymmärtämään, miten käyttäjät käyttävät alustaa ja miten sitä voidaan parantaa.

Mainosevästeet

Emme käytä mainosevästeitä emmekä kolmansien osapuolten seurantaevästeitä.

Evästeasetuksia voi hallita ensimmäisellä käyntikerralla näkyvän evästesuostumusbannerin kautta tai selaimen asetuksista.

10. Tietoturva

Toteutamme asianmukaiset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi luvattomalta pääsyltä, muuttamiselta, luovuttamiselta ja tuhoamiselta. Turvatoimiimme kuuluvat:

• Salaus siirrossa — kaikki selaimen ja palvelimiemme välinen liikenne on suojattu HTTPS/TLS-salauksella.
• Salaus levossa — tietokantaan tallennetut tiedot on suojattu tallennustason salauksella.
• Pääsynhallinta ja tunnistautuminen — tietojen käyttö on rajattu valtuutetuille käyttäjille tunnistautumisen ja roolipohjaisen käyttöoikeusjärjestelmän avulla.
• Row Level Security (RLS) -käytännöt — tietokantatasolla käytetään rivitason suojauskäytäntöjä, jotka varmistavat yritysten tietojen eristyksen. Yhden yrityksen käyttäjät eivät pääse toisen yrityksen tietoihin.
• Säännölliset tietoturvakäytännöt — tarkistamme ja päivitämme turvatoimiamme ja -käytäntöjämme säännöllisesti alan standardien mukaisesti.

Pyrkimyksistämme huolimatta mikään internetin kautta tapahtuva siirto- tai tallennustapa ei ole 100 % turvallinen. Tietojen ehdotonta turvallisuutta ei voida taata, mutta sitoudumme soveltamaan kohtuullisia suojatoimia.

11. Lasten yksityisyys

Synqo-palvelua ei ole tarkoitettu alle 16-vuotiaille lapsille. Emme tietoisesti kerää henkilötietoja lapsilta. Jos havaitsemme keränneemme tietoja alle 16-vuotiaalta lapselta ilman asianmukaista huoltajan suostumusta, ryhdymme toimiin tietojen poistamiseksi viipymättä.

Jos olet huoltaja ja katsot lapsesi antaneen henkilötietoja palvelun kautta, ota yhteyttä osoitteeseen privacy@synqo.work, jotta voimme ryhtyä tarvittaviin toimiin.

12. Tämän käytännön muutokset

Tämä tietosuojaseloste voidaan päivittää ajoittain käytäntöjemme, teknologioidemme, lakisääteisten vaatimusten tai muiden toiminnallisten syiden muutosten huomioimiseksi.

Merkittävistä muutoksista ilmoitetaan sähköpostitse tai sovelluksen ilmoituksella ennen muutosten voimaantuloa. Sivun yläreunan päivityspäivämäärä muutetaan jokaisen päivityksen yhteydessä.

Synqo-palvelun käytön jatkaminen muutosten julkaisemisen jälkeen merkitsee päivitetyn käytännön hyväksymistä.

Tämän käytännön aiemmat versiot ovat saatavilla pyynnöstä. Aiempien versioiden saamiseksi voi ottaa yhteyttä osoitteeseen privacy@synqo.work.

13. Yhteystiedot

Tähän tietosuojaselosteeseen tai henkilötietojen käsittelyyn liittyvissä kysymyksissä, pyynnöissä tai valituksissa voi ottaa yhteyttä: