Tietosuojakäytäntö

1. Johdanto

NexPath Oy ("me", "meidän" tai "meihin") ylläpitää NexPath uraohjauspalvelun. Tämä tietosuojakäytäntö selittää, kuinka keräämme, käytämme, luovutamme ja suojaamme tietojasi, kun käytät palvelujamme.

Olemme sitoutuneet suojelemaan yksityisyyttäsi ja varmistamaan GDPR-vaatimustenhmukaisen toiminnan. Uskomme läpinäkyvyyteen tietokäytäntöistämme ja oikeuksistasi.

2. Keräämämme tiedot

2.1 Sinun toimittamasi tiedot

• Tilin tiedot: Nimi, sähköpostiosoite, organisaation sidonnaisuus
• Arviointitiedot: Vastaukset uraarviointeihin, kiinnostuksen kohteet, arvot, työskentelytavat
• Profiilin tiedot: Koulutuksellinen tausta, uratavoitteet, demografiset tiedot (valinnainen)
• Viestinnän tiedot: Palvelun kautta lähetetyt viestit, tukipyynnöt

2.2 Automaattisesti kerätyt tiedot

• Käyttötiedot: Vieraillut sivut, käytetyt ominaisuudet, käytetty aika, klikkausmallit
• Laitteen tiedot: Selaimen tyyppi, laitteen tyyppi, käyttöjärjestelmä, IP-osoite
• Evästeet: Istunnon hallinta, asetukset, analytiikka (katso evästekäytäntö)

3. Kuinka käytämme tietojasi

Käytämme tietojasi seuraavasti:

• Tarjoa henkilökohtaistettua uraohjausta ja suosituksia
• Analysoi arviointivastauksesi algoritmien avulla (RIASEC, Work Adjustment Theory)
• Luo raportteja ohjaajille ja ylläpitäjille (oikeuden perusteella)
• Paranna algoritmejamme ja alustan toiminnallisuutta
• Viesti tärkeistä päivityksistä, uusista ominaisuuksista tai tukivastauksista
• Noudata lakisääteisiä vaatimuksia ja estä petokset

3.1 Miten käytämme tekoälyä

Arviointisi pisteytetään deterministisellä, sääntöpohjaisella moottorilla — profiilisi ja urasi vastaavuudet tuottavat laskelmat ovat matematiikkaa, eivät tekoälyä. Käytämme kolmannen osapuolen tekoälypalveluita vain rajatussa, tukevassa roolissa:

• Sanallinen tulkinta: jo laskettujen tulosten ilmaisemiseen selkeällä, luettavalla kielellä.
• Ohjaaja-avustaja (NexPilot™): auttaa ohjaajia tarkastelemaan osallistujan valmista profiilia sekä yleistä, julkisesti saatavilla olevaa ura- ja lainsäädäntötietoa.
• Uraneuvonnan keskustelu, ansioluettelon rakentaja ja osaamisvajeen analyysi: vastaavat kysymyksiin ja luonnostelevat tekstiä profiilistasi sekä kirjoittamastasi tai tuomastasi sisällöstä.

Tekoäly ei suorita eikä muuta arvioinnin pisteytystä. Työtään varten se voi saada arviointitulokset (pisteet mukaan lukien), ikäsi ja sukupuolesi jos olet ne antanut sekä tekoälyominaisuuksiin kirjoittamasi tekstin; nimesi, sähköpostiosoitteesi ja käyttäjätunnuksesi poistetaan ennen pyynnön lähettämistä. Tekoälykäsittelyn suorittaa tekoälyalihankkijamme (katso §4.2), jota ohjeistamme käyttämään vain tarjoajia, jotka eivät kerää sisältöä eivätkä kouluta sillä. Trust Centerin Tekoäly-sivu listaa jokaisen tekoälyominaisuuden ja sen saamat tiedot.

4. Tietojen jakaminen ja luovutus

4.1 Organisaatiossamme

Jos käytät NexPathia koulun tai organisaation kautta, valtuutetut ohjaajat ja ylläpitäjät voivat nähdä arviointiarvosanasi ja edistymisesi. Yksittäiset vastaukset yhdistetään organisaation näkemyksiksi.

4.2 Alihankkijat

Käytämme pientä joukkoa tarkastettuja palveluntarjoajia ("alihankkijoita") NexPathin toimintaan. Kukin on sidottu tietojenkäsittelysopimukseen ja käsittelee tietojasi vain ohjeidemme mukaisesti:

• Isännöinti ja infrastruktuuri: Hetzner Online — palvelimet sijaitsevat Helsingissä, Suomessa (EU), jonne tili- ja arviointitietosi tallennetaan.
• Verkko, reuna ja varmuuskopiot: Cloudflare — DNS, TLS-päätös ja R2-objektitallennus, jossa säilytetään salatut tietokantavarmuuskopiot.
• Todennus: Supabase — vain kirjautuminen ja sosiaalinen kirjautuminen. Arviointitietoja ei tallenneta sinne.
• Tekoäly: OpenRouter — välittää pyynnöt kielimalleille tuottaakseen sanallisia tulkintoja ja toimiakseen ohjaaja-avustajana (katso §3.1).
• Sähköposti: Resend — tapahtumasähköpostit (tili-, suostumus- ja ilmoitusviestit).
• Uutiskirje ja yhteydenottolomakkeet: Loops (Yhdysvallat) — vastaanottaa uutiskirje- ja yhteydenottolomakkeisiin antamasi nimen, sähköpostiosoitteen ja organisaation lähettääkseen pyytämäsi viestit. Siirrot perustuvat vakiolausekkeisiin tai EU–USA-tietosuojakehykseen (§9).
• Verkkosivuston analytiikka (vain suostumuksellasi): Google Analytics ja Google Tag Manager — sivuston käytön mittaus. Mitään ei lähetetä, ennen kuin hyväksyt analytiikkaevästeet evästebannerissa (katso evästekäytäntö).
• Virheenseuranta ja lokitus: Sentry ja Better Stack — tekninen virhe- ja lokitieto palvelun luotettavuuden ja turvallisuuden ylläpitämiseksi.
• Maksun käsittely: Stripe turvallista maksun käsittelyä varten. Kun teet ostoksen, Stripe vastaanottaa maksukorttitietosi, laskutusosoitteesi ja sähköpostiosoitteesi tapahtuman käsittelyä varten. NexPath ei tallenna maksukorttinumeroitasi. Katso Stripen tietosuojakäytäntö.

Kaikki alihankkijat ovat sopimuksesti velvoitettuja suojelemaan tietojasi GDPR-standardien mukaisesti. Ajantasainen luettelo ylläpidetään Trust Center -sivustollamme; ilmoitamme asiakkaille olennaisista muutoksista.

4.3 Lakisääteiset vaatimukset

Voimme luovuttaa tietoja, jos se vaaditaan lain, tuomioistuimen päätöksen tai omien tai muiden oikeuksien, turvallisuuden tai turvallisuuden suojelemisen vuoksi.

Laskutus- ja maksutiedot (organisaation nimi, maksajan nimi ja sähköpostiosoite sekä summat) luovutetaan Suomessa toimivalle tilitoimistollemme lakisääteisten kirjanpito- ja verovelvoitteidemme hoitamiseksi.

5. Tietoturva

Otamme käyttöön alan standardin mukaiset turvatoimet:

• Salaus siirron aikana (TLS 1.2+) kaikissa yhteyksissä, myös tietokantoihin
• Tietokantavarmuuskopiot salattu levossa ja tallennettu erilleen live-järjestelmästä (ensisijainen tietokantalevy on salattu levossa, LUKS2)
• JWT-pohjainen todennus ja vähimmän oikeuden pääsynvalvonta; hallinnollinen pääsy vain suojattujen, ei-julkisten kanavien kautta
• EU:ssa isännöity, yhden vuokralaisen infrastruktuuri tiukalla verkkoeristyksellä ja palomuurauksella
• Jatkuva valvonta, ulkoinen lokien kokoaminen, testatut varmuuskopiot ja dokumentoitu häiriönhallintaprosessi

6. Oikeutesi (GDPR)

GDPR:n nojalla sinulla on oikeus:

• Pääsy: Pyydä kopio henkilökohtaisista tiedoistasi
• Oikaisu: Korjaa epätarkkoja tai puutteellisia tietoja
• Poistaminen ("Oikeus unohtaa"): Pyydä tietojesi poistamista
• Siirrettävyys: Vie tietosi koneluettavassa muodossa (JSON)
• Käsittelyn rajoittaminen: Rajoita kuinka käytämme tietojasi
• Vastustaminen: Kieltäydy tietyistä tietojen käytöistä (esim. markkinointi)
• Suostumuksen peruuttaminen: Peruuta suostumus milloin tahansa

Jos haluat käyttää näitä oikeuksia, ota yhteyttä osoitteeseen [email protected] tai käytä tilin asetuksia palvelussa.

7. Tietojen säilytys

• Tili- ja arviointitiedot: säilytetään tilin olemassaolon ajan ja poistetaan, kun poistat tilisi tai tietosi.
• Poistetut tilit: kun vahvistat poiston, henkilötietosi poistetaan pysyvästi ja peruuttamattomasti järjestelmistämme — mukaan lukien todennuspalvelusta — ilman aiheetonta viivytystä, paitsi kun meidän on lain mukaan säilytettävä tiettyjä tietueita (alla).
• Laskutustiedot: laskut, maksutietueet ja tapahtumahistoria säilytetään 6 vuotta Suomen kirjanpitolain mukaisesti (Kirjanpitolaki 1336/1997).
• Vahvistamattomat alaikäisten tilit: jos vanhempien suostumusta pyydetään mutta sitä ei vahvisteta 7 päivän kuluessa, tili poistetaan automaattisesti.

8. Lasten yksityisyys

NexPath käsittelee alaikäisten tietoja vain koulu- tai ohjauskontekstissa tai asianmukaisella suostumuksella. Alle 16-vuotiaiden osalta vaadimme todennettavan vanhempien suostumuksen — tai, kun koulu toimii rekisterinpitäjänä, koulun valtuutuksen — ennen kuin heidän arviointitietojaan käsitellään, GDPR:n 8 artiklan mukaisesti. Jos vanhempien suostumusta pyydetään mutta sitä ei vahvisteta 7 päivän kuluessa, tili ja sen tiedot poistetaan automaattisesti. Mittaamamme piirteet rajoittuvat urakiinnostuksiin ja persoonallisuuteen; emme kerää erityisiä henkilötietoryhmiä.

9. Kansainväliset tiedonsiirrot

Tili- ja arviointitietosi säilytetään EU:ssa, palvelimilla, jotka sijaitsevat Helsingissä, Suomessa. Osa alihankkijoistamme (esimerkiksi tekoälykäsittely, maksut ja virheenseuranta) voi käsitellä rajallista tietoa EU:n ulkopuolella. Tällaisia siirtoja säätelevät Euroopan komission vakiosopimuslausekkeet tai vastaava riittävyysmekanismi.

10. Muutokset tähän käytäntöön

Voimme päivittää tätä tietosuojakäytäntöä ajoittain. Muutokset lähetetään tälle sivulle päivitetyllä "Päivitetty" -päivämäärällä. Merkittävät muutokset ilmoitetaan sähköpostitse tai alustan kautta.

11. Ota yhteyttä

Tietosuojakysymyksissä, tietopyyntöjä tai valituksissa: