TuntiTassu Soolo – dataskydds­beskrivning

Version 1.5, gäller från 24.9.2026

Detta är en översättning av den finskspråkiga dataskyddsbeskrivningen, version 1.5. Översättningen är för information. Vid avvikelser gäller den finskspråkiga versionen.

I denna beskrivning berättar vi vilka personuppgifter som behandlas i tjänsten TuntiTassu Soolo, varför och hur länge. Beskrivningen har upprättats i enlighet med artikel 13 i allmänna dataskyddsförordningen (EU) 2016/679.

Beskrivningen gäller tjänsten TuntiTassu Soolo. TuntiTassu Tiimi, som är avsedd för organisationer, hör inte till denna beskrivnings tillämpningsområde.

1. Personuppgiftsansvarig

Digitahti Oy
FO-nummer 3514735-2
Metsäkulmankatu 38, 48910 Kotka
Telefon +358 41 327 4360
tuki@tuntitassu.fi

Kontaktperson i dataskyddsfrågor är Kai Nyyssönen. Något dataskyddsombud har inte utsetts, eftersom villkoren i artikel 37 i allmänna dataskyddsförordningen inte är uppfyllda.

2. När vi är personuppgiftsansvariga och när vi är personuppgiftsbiträde

Vår roll beror på vems uppgifter det gäller.

Vi är personuppgiftsansvariga när vi behandlar dina egna uppgifter: din e-postadress, din profil, din prenumeration och dina egna arbetstidsnoteringar. För dessa uppgifter bestämmer vi varför och hur de behandlas. Denna beskrivning berättar hur det sker.

Vi är personuppgiftsbiträde när du för in personuppgifter om tredje parter i tjänsten. Det sker till exempel om du skriver namnet på din egen kund i en uppgiftsbeskrivning eller i ett projektnamn. För dessa uppgifter är du personuppgiftsansvarig, och vi behandlar dem för din räkning och enligt dina instruktioner. Då tillämpas personuppgiftsbiträdesavtalet, som är en bilaga till användarvillkoren.

I praktiken innebär skillnaden följande: vi bestämmer inte vad du skriver i uppgiftsbeskrivningen, och vi läser den inte. Ansvaret för att det finns en grund för att föra in uppgifter om tredje parter ligger hos dig. Ansvaret för att uppgifterna förblir säkra ligger hos oss.

3. Vilka uppgifter vi behandlar

Autentisering

E-postadress. Den är den enda obligatoriska uppgiften och fungerar som användarnamn i tjänsten. Det finns inget lösenord, och något lösenord sparas inte. Inloggningen sker med en engångslänk eller en engångskod.

Uppgifter som du lämnar

Visningsnamn, timpris och språkval. Alla är frivilliga. Timpriset behövs bara om du vill ha faktureringsvärden i rapporterna.

Arbetstidsnoteringar

Datum, projektets namn, antal timmar, uppgiftsbeskrivning, kategori, fördelning per kategori, fakturerbarhet, markering av distansarbete och timpris per notering.

Uppgiftsbeskrivningen och projektets namn är fritext, vars innehåll du väljer själv. De kan innehålla namn på dina kunder eller andra uppgifter om tredje parter. För dessa uppgifter tillämpas rollfördelningen enligt avsnitt 2.

Prenumerations- och faktureringsuppgifter

Prenumerationens status, faktureringsperiod, identifierare för prenumerationen och händelserna samt tidsstämpeln för godkännandet av villkoren och versionsbeteckningen för de godkända villkoren.

När du tecknar prenumerationen kan du dessutom frivilligt ange ditt företags namn och FO-nummer, så att de skrivs ut på kvittona. Dessa sparas i Stripes kunduppgifter.

Uppgifter om provperioden

Start- och sluttiden för den kostnadsfria provperioden, versionsbeteckningen för de användarvillkor som godkändes när provperioden började samt uppgift om när påminnelsemeddelandena om provperioden har skickats. Provperiodens starttid är samtidigt tidsstämpeln för godkännandet av villkoren.

Tekniska uppgifter

Loggar från tjänsten och dess underleverantörer, där IP-adressen och uppgifter om webbläsaren registreras. De används endast för informationssäkerhet och felsökning.

På startsidan för prenumerationen sparas dessutom e-postadressen och IP-adressen i ett dygn för att begränsa antalet förfrågningar – även när prenumerationen inte slutförs och inget konto skapas.

Betalningsuppgifter

Betalkortsuppgifter behandlas inte och sparas inte alls i tjänsten. De behandlas av Stripe på Stripes egen sida. Till tjänsten förmedlas endast prenumerationens status och händelsens identifierare.

För den kostnadsfria provperioden samlas inga betalningsuppgifter alls in. De lämnas till Stripe först om du bestämmer dig för att fortsätta använda tjänsten mot betalning.

4. Vad uppgifterna används till och på vilken grund

För den behandling som grundar sig på berättigat intresse har en intresseavvägning gjorts. Du kan begära information om den på adressen tuki@tuntitassu.fi.

Meddelanden om provperioden. När provperioden börjar skickar vi dig en bekräftelse, där vi anger provperiodens start- och slutdatum samt vilken version av användarvillkoren du har godkänt, och som har användarvillkoren som bilaga. Om du inte har en gällande prenumeration skickar vi dessutom två påminnelser: cirka tre dagar innan provperioden upphör och efter att provperioden har upphört, när ditt konto låses. I påminnelserna anges när provperioden upphör och kontot låses, när uppgifterna tidigast raderas och hur du kan ladda ner dina uppgifter eller fortsätta använda tjänsten.

Grunden är fullgörande av avtal. Meddelandena är underrättelser som hör samman med tillhandahållandet av tjänsten och raderingen av uppgifter och som i god tid informerar om följderna enligt användarvillkoren: att provperioden upphör, att kontot låses och att uppgifterna raderas. Påminnelserna och den varning före radering som beskrivs i avsnitt 8 innehåller ingen marknadsföring, inga priser och inga erbjudanden.

Varningen före radering hänger dessutom samman med principen om lagringsminimering (artikel 5.1 e): uppgifterna raderas när de inte längre behövs, och varningen ger dig tillfälle att ladda ner dem före raderingen.

Uppgifterna används inte för profilering eller för automatiserat beslutsfattande som skulle ha rättsliga följder för dig eller annars i betydande grad påverka dig.

Uppgifterna säljs inte och lämnas inte ut för marknadsföringsändamål.

Uppgifterna används inte för att träna AI-modeller. Tjänsten har ett programmeringsgränssnitt för uppgiftsförslag, men det är en funktion i Tiimi-versionen, och servern avvisar förfrågningar från personliga arbetsytor. Inga uppgifter från Soolos användare skickas till någon språkmodell.

5. Är det obligatoriskt att lämna uppgifter

Att du anger din e-postadress är en förutsättning för att starta en provperiod och ingå avtalet. Utan den går det inte att prova eller prenumerera på tjänsten eller att logga in i den, eftersom adressen fungerar som användarnamn.

Alla andra uppgifter är frivilliga. Du kan använda tjänsten utan namn, timpris eller företagsuppgifter. En del funktioner är då inte tillgängliga: utan timpris får rapporterna inga faktureringsvärden, och utan företagets namn och FO-nummer skrivs de inte ut på kvittona.

Innehållet i arbetstidsnoteringarna bestämmer du själv.

6. Vem som behandlar uppgifterna för vår räkning

En aktuell förteckning med kontaktuppgifter finns på sidan underbiträden.

Ett personuppgiftsbiträdesavtal enligt artikel 28 i allmänna dataskyddsförordningen har ingåtts med varje underleverantör.

Inga arbetstidsuppgifter går via Resend. Inga arbetstidsuppgifter förmedlas till Stripe.

Supportärenden är en egen helhet. I ett supportärende ingår ditt namn och din e-postadress samt det som du själv skriver eller bifogar i meddelandet. Dina arbetstidsnoteringar överförs inte automatiskt till supportsystemet – de hamnar där endast om du själv bifogar till exempel en skärmdump. Ett supportärende kan skickas per e-post, med formuläret på supportwebbplatsen eller via raden ”Hjälp och support” i appen.

Den del av Vercels behandling som sker i USA gäller botidentifieringen på prenumerationssidan samt plattformens gränssnitt för administration och loggar. Serverfunktionerna är låsta till Stockholm, och arbetstidsuppgifter behandlas inte i USA (se avsnitt 7).

Stripes roll är tvådelad. Stripe är personuppgiftsbiträde till den del Stripe behandlar uppgifter för vår räkning, och självständigt personuppgiftsansvarig när det gäller behandlingen av betalningstransaktioner, förhindrandet av missbruk och Stripes egna lagstadgade förpliktelser. På Stripes egen behandling tillämpas Stripes integritetspolicy: stripe.com/privacy

Uppgifter kan dessutom lämnas ut till myndigheter för att fullgöra lagstadgade förpliktelser.

Tjänstens statiska innehåll, till exempel sidmallar, stilmallar och bilder, distribueras via ett globalt innehållsleveransnätverk. Inga personuppgifter följer med det.

Marknadsföringswebbplatsen har inget innehåll från tredje parter. Ingen besöksspårning, inga inbäddningar, inga externa typsnittsladdningar.

7. Överförs uppgifter utanför EU

Tjänstens uppgifter behandlas huvudsakligen inom EU:

• databas och autentisering i Stockholm;
• funktioner som körs på servern i Stockholm; samt
• utskick av e-postmeddelanden i Irland.

Ett undantag är förmedlingen av betalningar. Stripe behandlar betalningstransaktioner även i USA. Överföringen grundar sig i första hand på det genomförandebeslut (EU) 2023/1795 som Europeiska kommissionen antog den 10.7.2023 och genom vilket dataskyddsramen mellan EU och USA konstaterades vara adekvat. Stripe Inc. är certifierat enligt denna ram.

I andra hand tillämpas på överföringen standardavtalsklausuler som Europeiska kommissionen har antagit och som ingår i Stripes dokument Data Transfers Addendum.

Ett annat undantag är Vercels plattform. Identifieringen av automatiserad trafik (BotID) på startsidan för prenumerationen samt plattformens gränssnitt för administration och loggar kan behandla uppgifter, såsom IP-adressen, även i USA. Appens serverfunktioner och databas finns kvar i Stockholm, och arbetstidsuppgifter behandlas inte i USA. Överföringen grundar sig i första hand på samma genomförandebeslut (EU) 2023/1795 – Vercel Inc. är certifierat enligt dataskyddsramen – och i andra hand på standardavtalsklausuler som ingår i Vercels dokument Data Processing Addendum.

Ett tredje undantag är hanteringen av supportärenden. Supportärendena lagras i Zohos datacenter inom Europeiska ekonomiska samarbetsområdet, men Zohos koncernbolag i Indien kan få åtkomst till dem när support och felsökning kräver det. Överföringen grundar sig på standardavtalsklausuler som Europeiska kommissionen har antagit och som ingår i det personuppgiftsbiträdesavtal som undertecknades den 24.8.2026 (Zoho Corporation B.V., Utrecht, Nederländerna). Dataskyddsramen mellan EU och USA tillämpas inte på avtalet, eftersom överföringen inte sker till USA.

Du kan begära en kopia av de skyddsåtgärder som tillämpas på överföringen på adressen tuki@tuntitassu.fi.

8. Hur länge uppgifterna lagras

Kontots uppgifter

Dina uppgifter lagras så länge ditt konto finns.

När du själv raderar ditt konto

När du raderar ditt konto med funktionen i inställningarna raderas uppgifterna omedelbart från produktionsdatabasen. Raderingen kan inte ångras. De uppgifter som raderas är kontot, profilen, noteringarna och inställningarna.

Efter raderingen finns i 30 dygn en anteckning om raderingen kvar, som endast innehåller kontots identifierare, grunden för raderingen och tidpunkten – inget namn och ingen adress. Med hjälp av den genomförs raderingen på nytt, om databasen måste återställas från en säkerhetskopia.

En paus är en annan sak. Den raderar ingenting direkt – se nedan.

Låst konto

När prenumerationen har upphört eller en betalning har misslyckats låses kontot. Uppgifterna finns kvar, och du kan ladda ner dem när som helst.

Ett låst konto och dess uppgifter raderas när kontot inte har använts på 12 månader. Som användning räknas att göra och ändra arbetstidsnoteringar samt en gällande prenumeration. Enbart inloggning eller nedladdning av egna uppgifter är inte användning.

Raderingen meddelas per e-post i god tid i förväg, så att du hinner ladda ner dina uppgifter eller fortsätta din prenumeration. Raderingen görs tidigast 30 dygn efter meddelandet och senast 13 månader efter den senaste användningen. Den övre gränsen finns för att uppgifter som hör till en adress som inte går att nå inte ska lagras utan tidsgräns. Om raderingen fördröjs på grund av en teknisk störning, görs den utan dröjsmål när hindret har upphört.

Denna punkt tillämpas också på ett konto som började med en provperiod, om du har angett dina betalningsuppgifter och inte har ångrat avtalet under provperioden. På ett konto för vilket betalningsuppgifter aldrig har angetts och på ett konto vars avtal du har ångrat under provperioden tillämpas följande punkt.

Konto som låsts efter att provperioden upphört

Om provperioden upphör och du inte har angett dina betalningsuppgifter, låses kontot. Detsamma gäller ett konto vars avtal du har ångrat under provperioden. Uppgifterna finns kvar, och du kan se dem och ladda ner dem.

Kontot och dess uppgifter raderas när tre månader har gått sedan provperioden upphörde. Raderingen meddelas per e-post minst 30 dygn i förväg, och raderingen görs tidigast 30 dygn efter meddelandet och senast fyra månader efter att provperioden upphörde. Om raderingen fördröjs på grund av en teknisk störning, görs den utan dröjsmål när hindret har upphört.

Lagringstiden är kortare än för ett låst konto som tillhör en kund som har betalat, eftersom provkontot inte har använts mot betalning. Tre månader räcker för att du ska hinna ladda ner dina uppgifter eller bestämma dig för om du vill fortsätta.

Övriga lagringstider

Loggarna anges per underleverantör, eftersom lagringstiderna skiljer sig från varandra och en enda siffra inte skulle beskriva dem korrekt. Loggar är en annan sak än betalnings-, kund- och faktureringsuppgifter: de senare raderas inte i takt med dessa tidsfrister, utan bevaras enligt de nedre raderna i tabellen.

Uppgifter om betalningstransaktioner finns kvar hos Stripe även efter att kontot har raderats. Detta material varken kan eller får raderas på begäran, eftersom bevarandet grundar sig på en lagstadgad förpliktelse.

Säkerhetskopior

Uppgifterna raderas genast från produktionsdatabasen. Säkerhetskopiorna roterar i en egen cykel, och raderade uppgifter försvinner ur dem i takt med rotationen. Rotationscykeln är högst 7 dygn.

Säkerhetskopiorna används endast för att återställa tjänsten vid en störning. Enskilda uppgifter hämtas inte ur dem, och de används inte för något annat ändamål. Om en återställning måste göras, genomförs efter återställningen på nytt de raderingar som har gjorts efter att säkerhetskopian togs.

9. Dina rättigheter

Du har rätt att

1. få veta vilka uppgifter om dig som behandlas och få en kopia av dem (artikel 15);
2. få de uppgifter som du har lämnat i ett maskinläsbart format och överföra dem till en annan tjänsteleverantör (artikel 20);
3. få felaktiga eller ofullständiga uppgifter rättade (artikel 16);
4. få dina uppgifter raderade (artikel 17);
5. få behandlingen begränsad (artikel 18);
6. invända mot behandling som grundar sig på berättigat intresse (artikel 21); samt
7. lämna in ett klagomål till en tillsynsmyndighet (artikel 77).

Hur du utövar dina rättigheter

Punkterna 1, 2, 3 och 4 kan du sköta direkt i tjänsten. I inställningarna kan du ladda ner dina egna uppgifter i maskinläsbart format (CSV och JSON), ändra din profil och dina noteringar samt radera ditt konto. Ingen avgift tas ut för nedladdningen.

Kontakta oss i övriga frågor på adressen tuki@tuntitassu.fi.

Svarstid. Begäranden besvaras senast inom en månad. Tidsfristen kan vid behov förlängas med två månader, och då meddelar vi detta och anger skälen till förseningen (artikel 12.3).

Rätten till radering är inte bunden till tidsfrister. Du kan kräva att dina uppgifter raderas när som helst, även när kontot är pausat eller låst. De tidsfrister som beskrivs i avsnitt 8 begränsar inte denna rätt.

Tillsynsmyndighet

Om du anser att dina uppgifter behandlas i strid med lag, kan du lämna in ett klagomål till tillsynsmyndigheten. I Finland är tillsynsmyndigheten dataombudsmannen:

Dataombudsmannens byrå
Besöksadress: Fågelviksgränden 4, 00530 Helsingfors
Postadress: PB 800, 00531 Helsingfors
Telefon: 029 566 6700
E-post: tietosuoja@om.fi
tietosuoja.fi

Vi hoppas att du först kontaktar oss. Det är oftast ett snabbare sätt att få saken rättad.

10. Informationssäkerhet

Förbindelserna är krypterade. Trafiken mellan webbläsaren och tjänsten samt mellan tjänsten och underleverantörerna är krypterad.

Behörigheterna är begränsade på databasnivå. Begränsningen bygger på databasens radnivåpolicyer och inte enbart på användargränssnittet. Användaren ser endast sina egna uppgifter.

Det finns inga lösenord, så de kan inte läcka. Inloggningen sker med en engångslänk eller en engångskod, som slutar gälla efter kort tid. Du kan begära att alla dina sessioner ogiltigförklaras på adressen tuki@tuntitassu.fi.

Tjänsteleverantörens åtkomst till uppgifterna

Detta finns det skäl att berätta öppet om, eftersom det är den enskilt viktigaste frågan för informationssäkerheten.

Administratörsrollen ger inte läsrätt till noteringarna. Tjänsteleverantören har ett administratörskonto, med vilket organisationer och behörigheter hanteras. Det är nödvändigt för att skapa konton och sköta supportärenden. Det ger inte åtkomst till arbetstidsnoteringarna i en personlig arbetsyta eller till deras uppgiftsbeskrivningar. Begränsningen är genomförd på databasnivå.

Det finns en direkt databasanslutning. Som systemets administratör har tjänsteleverantören en teknisk databasanslutning, som behövs för felsökning och säkerhetskopiering. Den kan inte tekniskt uteslutas – detsamma gäller varje tjänsteleverantör som administrerar sitt eget system. I detta avseende består skyddet av rutiner:

• anslutningen används endast för felsökning och säkerhetskopiering;
• endast namngivna personer har åtkomst, för närvarande en person;
• innehållet i noteringarna läses inte;
• innehållet används inte för marknadsföring, profilering, statistik eller för att träna AI-modeller.

I Soolo-versionen visas inget val för samtycke alls, så du kan inte ge läsrätt via appen ens om du vill. Via appen kan vi alltså inte på något sätt komma åt innehållet i dina noteringar.

Personuppgiftsincidenter

Om en personuppgiftsincident inträffar, anmäler vi den till Dataombudsmannens byrå utan onödigt dröjsmål och senast inom 72 timmar efter att vi har fått kännedom om den. Den enda situation då anmälan inte görs är när det är osannolikt att incidenten medför en risk för fysiska personers rättigheter och friheter. Om incidenten sannolikt leder till en hög risk för dina rättigheter, informerar vi även dig om den utan onödigt dröjsmål.

11. Uppgifter som sparas i terminalutrustningen

I webbläsarens lokala lagring sparas endast uppgifter som behövs för att tjänsten ska fungera: inloggningssessionen och funktionella val, till exempel språkval eller att ett meddelande har stängts. De används inte för spårning.

Eftersom lagringen är begränsad till det som är nödvändigt för att tillhandahålla den tjänst som du har begärt, behövs inget samtycke till den. Grunden är 205 § 2 mom. i lagen om tjänster inom elektronisk kommunikation (917/2014).

Tjänsten har inga spårningskakor, inga reklamkakor och ingen besöksspårning.

Identifiering av automatiserad trafik. På startsidan för prenumerationen används Vercels BotID-identifiering, som skiljer automatiserad trafik från mänskliga användare. Kontrollen är osynlig, den används endast på startsidan för prenumerationen, och dess signaler används endast för att förhindra missbruk. Uppgifterna används inte för reklam, spårning eller för att identifiera enskilda användare i andra sammanhang.

12. Ändringar i denna beskrivning

Väsentliga ändringar meddelas per e-post innan de träder i kraft. Den aktuella versionen av beskrivningen finns alltid på vår webbplats.

Varje version numreras och dateras. Tidigare versioner fås på begäran på adressen tuki@tuntitassu.fi.

Digitahti Oy · FO-nummer 3514735-2 · Metsäkulmankatu 38, 48910 Kotka · +358 41 327 4360 · tuki@tuntitassu.fi