Tietosuojakäytäntö

1. Johdanto

NexPath Oy ("me", "meidän" tai "meihin") ylläpitää NexPath uraohjauspalvelun. Tämä tietosuojakäytäntö selittää, kuinka keräämme, käytämme, luovutamme ja suojaamme tietojasi, kun käytät palvelujamme.

Olemme sitoutuneet suojelemaan yksityisyyttäsi ja varmistamaan GDPR-vaatimustenhmukaisen toiminnan. Uskomme läpinäkyvyyteen tietokäytäntöistämme ja oikeuksistasi.

2. Keräämämme tiedot

2.1 Sinun toimittamasi tiedot

• Tilin tiedot: Nimi, sähköpostiosoite, organisaation sidonnaisuus
• Arviointitiedot: Vastaukset uraarviointeihin, kiinnostuksen kohteet, arvot, työskentelytavat
• Profiilin tiedot: Koulutuksellinen tausta, uratavoitteet, demografiset tiedot (valinnainen)
• Viestinnän tiedot: Palvelun kautta lähetetyt viestit, tukipyynnöt

2.2 Automaattisesti kerätyt tiedot

• Käyttötiedot: Vieraillut sivut, käytetyt ominaisuudet, käytetty aika, klikkausmallit
• Laitteen tiedot: Selaimen tyyppi, laitteen tyyppi, käyttöjärjestelmä, IP-osoite
• Evästeet: Istunnon hallinta, asetukset, analytiikka (katso evästekäytäntö)

3. Kuinka käytämme tietojasi

Käytämme tietojasi seuraavasti:

• Tarjoa henkilökohtaistettua uraohjausta ja suosituksia
• Analysoi arviointivastauksesi algoritmien avulla (RIASEC, Work Adjustment Theory)
• Luo raportteja ohjaajille ja ylläpitäjille (oikeuden perusteella)
• Paranna algoritmejamme ja alustan toiminnallisuutta
• Viesti tärkeistä päivityksistä, uusista ominaisuuksista tai tukivastauksista
• Noudata lakisääteisiä vaatimuksia ja estä petokset

3.1 Miten käytämme tekoälyä

Arviointisi pisteytetään deterministisellä, sääntöpohjaisella moottorilla — profiilisi ja urasi vastaavuudet tuottavat laskelmat ovat matematiikkaa, eivät tekoälyä. Käytämme kolmannen osapuolen tekoälypalveluita vain rajatussa, tukevassa roolissa:

• Sanallinen tulkinta: jo laskettujen tulosten ilmaisemiseen selkeällä, luettavalla kielellä.
• Ohjaaja-avustaja (NexPilot™): auttaa ohjaajia tarkastelemaan osallistujan valmista profiilia sekä yleistä, julkisesti saatavilla olevaa ura- ja lainsäädäntötietoa.

Tekoäly ei suorita eikä muuta arvioinnin pisteytystä, ja se toimii laadullisen profiilitiedon pohjalta raakojen numeeristen pisteidesi sijaan. Tekoälykäsittelyn suorittaa tekoälyalihankkijamme (katso §4.2). Vähennämme asteittain tekoälypyyntöihin sisältyviä henkilötietoja.

4. Tietojen jakaminen ja luovutus

4.1 Organisaatiossamme

Jos käytät NexPathia koulun tai organisaation kautta, valtuutetut ohjaajat ja ylläpitäjät voivat nähdä arviointiarvosanasi ja edistymisesi. Yksittäiset vastaukset yhdistetään organisaation näkemyksiksi.

4.2 Alihankkijat

Käytämme pientä joukkoa tarkastettuja palveluntarjoajia ("alihankkijoita") NexPathin toimintaan. Kukin on sidottu tietojenkäsittelysopimukseen ja käsittelee tietojasi vain ohjeidemme mukaisesti:

• Isännöinti ja infrastruktuuri: Hetzner Online — palvelimet sijaitsevat Helsingissä, Suomessa (EU), jonne tili- ja arviointitietosi tallennetaan.
• Verkko, reuna ja varmuuskopiot: Cloudflare — DNS, TLS-päätös ja R2-objektitallennus, jossa säilytetään salatut tietokantavarmuuskopiot.
• Todennus: Supabase — vain kirjautuminen ja sosiaalinen kirjautuminen. Arviointitietoja ei tallenneta sinne.
• Tekoäly: OpenRouter — välittää pyynnöt kielimalleille tuottaakseen sanallisia tulkintoja ja toimiakseen ohjaaja-avustajana (katso §3.1).
• Sähköposti: Resend — tapahtumasähköpostit (tili-, suostumus- ja ilmoitusviestit).
• Virheenseuranta ja lokitus: Sentry ja Better Stack — tekninen virhe- ja lokitieto palvelun luotettavuuden ja turvallisuuden ylläpitämiseksi.
• Maksun käsittely: Stripe turvallista maksun käsittelyä varten. Kun teet ostoksen, Stripe vastaanottaa maksukorttitietosi, laskutusosoitteesi ja sähköpostiosoitteesi tapahtuman käsittelyä varten. NexPath ei tallenna maksukorttinumeroitasi. Katso Stripen tietosuojakäytäntö.

Kaikki alihankkijat ovat sopimuksesti velvoitettuja suojelemaan tietojasi GDPR-standardien mukaisesti. Ajantasainen luettelo ylläpidetään Trust Center -sivustollamme; ilmoitamme asiakkaille olennaisista muutoksista.

4.3 Lakisääteiset vaatimukset

Voimme luovuttaa tietoja, jos se vaaditaan lain, tuomioistuimen päätöksen tai omien tai muiden oikeuksien, turvallisuuden tai turvallisuuden suojelemisen vuoksi.

5. Tietoturva

Otamme käyttöön alan standardin mukaiset turvatoimet:

• Salaus siirron aikana (TLS 1.2+) kaikissa yhteyksissä, myös tietokantoihin
• Tietokantavarmuuskopiot salattu levossa ja tallennettu erilleen live-järjestelmästä (ensisijaisen tietokantalevyn levossa-salaus on käyttöönotossa)
• JWT-pohjainen todennus ja vähimmän oikeuden pääsynvalvonta; hallinnollinen pääsy vain suojattujen, ei-julkisten kanavien kautta
• EU:ssa isännöity, yhden vuokralaisen infrastruktuuri tiukalla verkkoeristyksellä ja palomuurauksella
• Jatkuva valvonta, ulkoinen lokien kokoaminen, testatut varmuuskopiot ja dokumentoitu häiriönhallintaprosessi

6. Oikeutesi (GDPR)

GDPR:n nojalla sinulla on oikeus:

• Pääsy: Pyydä kopio henkilökohtaisista tiedoistasi
• Oikaisu: Korjaa epätarkkoja tai puutteellisia tietoja
• Poistaminen ("Oikeus unohtaa"): Pyydä tietojesi poistamista
• Siirrettävyys: Vie tietosi koneluettavassa muodossa (JSON)
• Käsittelyn rajoittaminen: Rajoita kuinka käytämme tietojasi
• Vastustaminen: Kieltäydy tietyistä tietojen käytöistä (esim. markkinointi)
• Suostumuksen peruuttaminen: Peruuta suostumus milloin tahansa

Jos haluat käyttää näitä oikeuksia, ota yhteyttä osoitteeseen [email protected] tai käytä tilin asetuksia palvelussa.

7. Tietojen säilytys

• Tili- ja arviointitiedot: säilytetään tilin olemassaolon ajan ja poistetaan, kun poistat tilisi tai tietosi.
• Poistetut tilit: kun vahvistat poiston, henkilötietosi poistetaan pysyvästi ja peruuttamattomasti järjestelmistämme — mukaan lukien todennuspalvelusta — ilman aiheetonta viivytystä, paitsi kun meidän on lain mukaan säilytettävä tiettyjä tietueita (alla).
• Laskutustiedot: laskut, maksutietueet ja tapahtumahistoria säilytetään 6 vuotta Suomen kirjanpitolain mukaisesti (Kirjanpitolaki 1336/1997).
• Vahvistamattomat alaikäisten tilit: jos vanhempien suostumusta pyydetään mutta sitä ei vahvisteta 7 päivän kuluessa, tili poistetaan automaattisesti.

8. Lasten yksityisyys

NexPath käsittelee alaikäisten tietoja vain koulu- tai ohjauskontekstissa tai asianmukaisella suostumuksella. Alle 16-vuotiaiden osalta vaadimme todennettavan vanhempien suostumuksen — tai, kun koulu toimii rekisterinpitäjänä, koulun valtuutuksen — ennen kuin heidän arviointitietojaan käsitellään, GDPR:n 8 artiklan mukaisesti. Jos vanhempien suostumusta pyydetään mutta sitä ei vahvisteta 7 päivän kuluessa, tili ja sen tiedot poistetaan automaattisesti. Mittaamamme piirteet rajoittuvat urakiinnostuksiin ja persoonallisuuteen; emme kerää erityisiä henkilötietoryhmiä.

9. Kansainväliset tiedonsiirrot

Tili- ja arviointitietosi säilytetään EU:ssa, palvelimilla, jotka sijaitsevat Helsingissä, Suomessa. Osa alihankkijoistamme (esimerkiksi tekoälykäsittely, maksut ja virheenseuranta) voi käsitellä rajallista tietoa EU:n ulkopuolella. Tällaisia siirtoja säätelevät Euroopan komission vakiosopimuslausekkeet tai vastaava riittävyysmekanismi.

10. Muutokset tähän käytäntöön

Voimme päivittää tätä tietosuojakäytäntöä ajoittain. Muutokset lähetetään tälle sivulle päivitetyllä "Päivitetty" -päivämäärällä. Merkittävät muutokset ilmoitetaan sähköpostitse tai alustan kautta.

11. Ota yhteyttä

Tietosuojakysymyksissä, tietopyyntöjä tai valituksissa: