Tietosuojaseloste
Privacy Policy · Viimeksi päivitetty: 2.4.2026
1. Rekisterinpitäjä
NeurFlow Oy (Y-tunnus: 3597951-1)
Helsinki, Suomi
Sähköposti: privacy@neurflow.fi
2. Roolit: Rekisterinpitäjä ja Henkilötietojen käsittelijä
NeurFlow rekisterinpitäjänä: Keräämme ja käsittelemme asiakastietoja (nimi, sähköposti, yritystiedot) liiketoimintasuhteen hoitamiseksi.
NeurFlow henkilötietojen käsittelijänä (Data Processor): Kun Asiakas (Data Controller) syöttää Palveluun telemetriadataa, joka sisältää henkilötietoja (esim. kuljettajan nimi, GPS-sijainti), NeurFlow käsittelee näitä tietoja Asiakkaan puolesta ja ohjeiden mukaisesti. Telemetriadatan käsittelyn oikeusperuste määräytyy Asiakkaan roolissa rekisterinpitäjänä; NeurFlow käsittelee tietoja DPA:n mukaisesti Asiakkaan ohjein.
3. Kerättävät tiedot
| Tietotyyppi | Esimerkkejä | Peruste (GDPR Art.) |
|---|---|---|
| Asiakastiedot | Nimi, sähköposti, yritys, Y-tunnus | 6(1)(b) Sopimus |
| Telemetriadataa | GPS, nopeus, polttoaine, SOC%, moottoridataa | 6(1)(f) Oik. etu / 6(1)(b) |
| Kuljettajatiedot | Nimi, ajotunnit, väsymysindikaattorit | 6(1)(b) + DPA |
| Sovereign Scan -liidi | Domain, sähköposti, IP-hash, suostumusaika | 6(1)(a) Suostumus |
| ArcturaLens-selainlaajennus | Tuetun listing-sivun URL, markkinapaikan domain, pisteytykseen tarvittavat jäsennellyt kentät (esim. hinta, vuosimalli, osoite, MMSI) | 6(1)(b) Pyydetty palvelu + 6(1)(f) väärinkäytön esto |
| Käyttölokit | IP-osoite, selain, sivulataukset | 6(1)(f) Oik. etu |
| Yhteydenottolomake | Nimi, sähköposti, viesti | 6(1)(a) Suostumus |
4. Datan säilytys ja sijainti
🇪🇺 EU-suvereeni tallennusympäristö
- • Microsoft Azure: Sweden Central (EU)
- • Supabase: EU-alue (managed database, row-level tenant isolation)
- • Analytiikka: Managed database (EU region, auditloki ja analytiikka)
- • Salaus: Industry-standard encryption (AES-256) levossa + TLS 1.3 siirrossa
Pääsääntöisesti käsittelemme ja säilytämme dataa EU/ETA-alueella. Sovereignty Switch: Asiakas voi valita EU-moodin, jolloin AI-käsittely käyttää vain EU-pohjaisia malleja (Mistral, Aleph Alpha) — yksikään bitti ei poistu Euroopasta.
Joissain rajatuissa tapauksissa käytämme alihankkijoita EU/ETA-alueen ulkopuolella (esim. transaktionaalinen sähköposti ja Global-moodin AI-palvelut). Tällöin käytämme GDPR:n mukaisia suojatoimia (esim. SCC/DPF), minimoimme siirrettävän datan, ja vältämme suorat henkilötunnisteet aina kun mahdollista. Ajantasainen alihankkijalista: Alikäsittelijät, DPA.
Julkinen Sovereign Scan analysoi vain käyttäjän syöttämän domainin ja scan-tuloksen toimittamista varten kerätyn sähköpostiosoitteen. Scan-tulos tallennetaan Supabaseen EU-alueelle. Kun pyydät raportin toimitusta, sähköposti ja scan-yhteenveto voidaan siirtää Resendiin (toimitus) ja HubSpotiin (liidinkäsittely). Julkisen domainin sisältö voidaan hakea Firecrawlilta tai DuckDuckGo:lta rikastusta varten.
ArcturaLens-selainlaajennus: Laajennus lukee dataa vain tuetuilla julkisilla listing-sivuilla, muodostaa pisteytyspyynnön sivulta jäsennellyistä kentistä ja lähettää pyynnön osoitteeseen api.neurflow.fi. Laajennus tallentaa paikallisesti vain omat käyttötilastonsa (esim. scan-laskurit) Chrome-laajennuksen storageen.
5. Datan jakaminen
Emme myy, vuokraa tai jaa henkilötietoja kolmansille osapuolille markkinointitarkoituksiin.
Dataa jaetaan ainoastaan:
- Tekniset alihankkijat (Supabase, Azure, Resend, HubSpot, Firecrawl) — DPA/SCC/DPF-tarkistukset voimassa tarpeen mukaan
- Lakisääteiset velvollisuudet (viranomaispyynnöt)
- Asiakkaan nimenomaisella suostumuksella
6. Säilytysajat
- Asiakastilin tiedot: sopimuksen ajan + 12 kuukautta
- Telemetriadata: asiakkaan määrittelemä aika, oletuksena 24 kuukautta
- Käyttölokit: 90 päivää
- Sovereign Scan ilman sähköpostia: 7 päivää
- Sovereign Scan sähköpostikaappauksella: 90 päivää tai aiemmin, jos perut tilauksen
- Yhteydenottolomakkeen tiedot: 12 kuukautta
- DLP-puhdistettu analytiikkadata (anonyymi): rajaton
7. Rekisteröidyn oikeudet
GDPR:n mukaisesti sinulla on oikeus:
- Pääsy — pyytää kopio tiedoistasi
- Oikaisu — korjata virheelliset tiedot
- Poisto — pyytää tietojen poistamista (“oikeus tulla unohdetuksi”)
- Rajoittaminen — rajoittaa tietojen käsittelyä
- Siirrettävyys — saada tiedot koneluettavassa muodossa
- Vastustaminen — vastustaa käsittelyä oikeutetun edun perusteella
Pyynnöt: privacy@neurflow.fi. Vastaamme 30 päivän kuluessa. Voit myös tehdä valituksen tietosuojavaltuutetulle (tietosuoja.fi).
8. Evästeet
neurflow.fi käyttää ainoastaan välttämättömiä teknisiä evästeitä. Emme käytä kolmannen osapuolen seuranta- tai mainosevästeitä.
- sb-* — Supabase-autentikaation istuntokeksit (kirjautuminen). Kesto: istunnon ajan.
- nf_sub_cache — allekirjoitettu tilauscache, nopeuttaa tilaustarkastusta middleware-tasolla. Kesto: 5 min.
- arctura_aurora — allekirjoitettu (HMAC-SHA256) Aurora-funnel-istuntokeksi, sisältää stakeholder-tunnisteen, sähköpostin, tenant-tunnisteen ja Aurora-vaiheen (T0–T3). Asetetaan vain kun kutsulinkki (QR/NFC/jaettu URL) redeemataan desktop- selaimella. HttpOnly + Secure + SameSite=Lax. Kesto: enintään 7 päivää. Voidaan mitätöidä kutsujen hallinnasta (revoke).
9. Tietoturvaloukkaukset
NIS2-direktiivin ja GDPR:n mukaisesti ilmoitamme henkilötietojen tietoturvaloukkauksista tietosuojavaltuutetulle 72 tunnin kuluessa ja rekisteröidyille ilman aiheetonta viivytystä, jos loukkaus todennäköisesti aiheuttaa korkean riskin oikeuksille.
10. ArcturaLens-selainlaajennus — Aurora-engagement-tracking
Kun asennat ArcturaLens-selainlaajennuksen (v0.4.0 alkaen), se luo sinulle anonyymin Aurora-tunnuksen (allekirjoitettu scoped-token) ja tallentaa sen laajennuksen paikalliseen tallennustilaan (chrome.storage.local). Tunnus ei sisällä sähköpostia, nimeä, URL-osoitteita eikä selainhistoriaa.
Mitä tallennamme palvelinpuolella:
lens_install— yksi tapahtuma per asennus (aikaleima)lens_scan— kun pisteytät listingin (vertikaali + arvosana A–F, EI URL eikä henkilötietoja)- Aggregoitu engagement-pisteytys (numeerinen) jolla ohjataan Aurora-kutsuohjelmaa
Oikeusperuste: GDPR 6(1)(f) — oikeutettu etu (tuotekehitys + Aurora-kutsuohjelman vaikuttavuuden mittaus). Käsittely ei sisällä henkilöllisyyttä yhdistäviä tunnuksia.
Säilytysaika: Paikallinen tunnus 90 päivää (tai kunnes poistat laajennuksen). Palvelinpuolen event-rivit anonymisoidaan 30 päivän kuluttua tunnuksen vanhenemisesta.
Opt-out: Poista laajennus Chrome/Edge/Brave-selaimen asetuksista — kaikki paikallinen data tuhoutuu välittömästi. Et voi luoda uutta tunnusta uudelleen asentamatta laajennusta.
Jos käytät laajennusta osana B2B-pilottia työnantajasi kanssa, käsittely voi olla DPA:n mukaista — tällöin työnantajasi on rekisterinpitäjä.
11. Muutokset
Päivitämme tätä selostetta tarvittaessa. Oleellisista muutoksista ilmoitetaan sähköpostitse.
NeurFlow Oy · Y-tunnus: 3597951-1 · Helsinki, Suomi
Tietosuojavastaava: privacy@neurflow.fi