Tietosuoja ja turvallisuus

Salattu siirto

Viestintä Evyllan kanssa kulkee HTTPS/TLS:llä.

IMAP-sovellus- ja laatikkosalasanat sekä OAuth-tunnukset tallennetaan salattuina AES-256-GCM:llä. Evylla-tilin salasana tallennetaan vain peruuttamattomana tiivisteenä.

Pääsy vähimmän oikeuden periaatteella

Evyllan tulee käyttää vain niitä tietoja, joita toiminto tarvitsee.

Sisäiset käyttöoikeudet myönnetään vähimmän oikeuden periaatteella.

Tallennettujen tietojen suoja

Henkilötietoja ja muita suojattavia tietoja suojataan teknisillä ja organisatorisilla toimilla. Tietolajista riippuen niihin kuuluvat erityisesti:

• TLS encryption for every connection to the application
• AES-256-GCM for stored credentials of connected accounts
• Password hashing according to the current state of the art
• CSRF protection, session hardening and server-side permission checks on every request
• Separate roles and permissions for regular accounts and administration
• Regular backups with limited retention
• Logging of security-relevant events with short retention

Käytettävät toimet riippuvat käsittelyn luonteesta, laajuudesta ja riskistä.

Evylla kehitetään niin, että tietosuoja otetaan huomioon jo toimintoa suunniteltaessa.

Tämä tarkoittaa esimerkiksi:

Privacy by design
New features are designed from the outset to work with as little personal data as possible.

Privacy by default
The data-minimising setting is the default. Additional processing only happens when you actively trigger it.

Purpose limitation
Data collected for your purchase history is not reused for other purposes.

Deletability
Every kind of data that is created must also be removable – individually or completely.

Transparency
You should not have to guess what happens. That is why this page exists.

This follows the principle of “data protection by design and by default” in Art. 25 GDPR.

Se riippuu käyttämistäsi toiminnoista.

Käyttäjätili

Evylla-tiliäsi varten voidaan käsitellä esimerkiksi näitä tietoja:

• First and last name
• Username and email address
• Country and – if provided – phone number
• Password hash as well as session and security attributes
• Plan, payment status and billing identifiers
• Timestamps such as registration, last sign-in or verification

Sähköpostiyhteydet

Jos yhdistät sähköpostitilin, Evylla voi käsitellä luvalla avaamiasi viestejä tunnistaakseen ostotietoja.

Niihin voi kuulua esimerkiksi:

• IMAP server, port and username of the connection
• Encrypted app password used for retrieval
• Sender, subject, date and identifiers of the recognised emails
• Recognised order data: merchant, order number, items, amounts, currency, status
• Time and result of the last synchronisation

Evylla pyrkii käsittelemään vain toiminnon tarvitsemat tiedot, ei enempää.

Maksu- ja rahoituspalvelut

Jos yhdistät myöhemmin maksu- tai rahoituspalvelun, palveluntarjoajasta ja antamistasi oikeuksista riippuen voidaan käsitellä esimerkiksi näitä tietoja:

• Customer and subscription identifiers of the payment provider
• Status of payment and term
• References to invoices and receipts

Tarkka laajuus riippuu palveluntarjoajasta ja yhteydestä.

🤖 Tekoäly ja automaattinen käsittely

Evylla voi käyttää automatisoituja ja tarvittaessa tekoälyavusteisia menetelmiä tunnistaakseen ja jäsentääkseen tietoja aineistostasi.

Esimerkiksi oston vahvistus voidaan tunnistaa automaattisesti:

« Tilaus kauppiaalta X – 14.09.2026 – 79,99 € – tuote Y »

Automaattinen käsittely valmistaa tiedot pyytämiäsi Evylla-toimintoja varten.

Automaattinen analyysi ei tarkoita, että sinusta tehtäisiin oikeudellisesti merkittävä automatisoitu päätös.

Jos Evylla ottaa käyttöön toimintoja, joissa on GDPR 22 artiklan mukaisia automatisoituja päätöksiä tai profilointia, tarvittavat tiedot annetaan erikseen.

🧠 Tietojasi ei käytetä muihin tarkoituksiin

Antamiasi tietoja käsitellään lähtökohtaisesti niihin tarkoituksiin, joita varten käytät Evyllaa.

Osto- ja tilitietojasi ei pidä käyttää mielivaltaisiin muihin tarkoituksiin.

Käyttö lisätarkoituksiin, esimerkiksi tiettyyn analyysiin, markkinointiin tai koulutukseen, tapahtuu vain, jos siihen on oikeusperuste ja tietosuojavaatimukset täyttyvät.

🚫 Henkilötietojasi ei myydä

Evylla ei myy käyttäjiensä henkilötietoja.

Luovutus voi silti olla tarpeen, jos palveluntarjoajat ylläpitävät Evyllaa tai laki sitä edellyttää.

Nämä palveluntarjoajat saavat vain tehtävänsä edellyttämän pääsyn.

Evylla voi tukea eri ulkoisia palveluita.

Niihin voi kuulua esimerkiksi:

• Email accounts via IMAP (active)
• Sign-in via OAuth without an app password (in preparation)
• PayPal receipts (in preparation)
• Bank and card transactions (in preparation)

Kun yhdistät palvelun, näet mitä oikeuksia yhteys tarvitsee.

Yhteyden katkaisu lopettaa uudet haut; tallennetut ostot jäävät. Sähköpostitilin poisto poistaa yhteyden, viestit ja niihin liittyvät ostot.

Voit poistaa myös vain yhteyden tuodut tiedot; itse yhteys jää.

🗑️ Tietojesi poisto

Tilillä kohdassa Tietosuoja ja turvallisuus valitset tarkasti, mitä poistetaan.

Poistossa lakisääteiset säilytysajat tai tarvittavat varmuuskopiot voivat johtaa siihen, etteivät kaikki tiedot katoa heti kaikista järjestelmistä.

Nämä tiedot poistetaan tai anonymisoidaan säilytys- tai varmuuskopiointiajan päätyttyä, ellei muu oikeusperuste edellytä säilyttämistä.

Konkreettiset poistoajat:

• Account data: until the account is deleted
• Order and mail data: until you delete it or remove the account
• Server logs: as a rule up to 14 days
• Administrative SQL backups: a maximum of 20 versions, older ones are pruned automatically – with regular backups typically up to about 90 days
• Invoices and payment records: as long as statutory retention obligations apply

📦 Tietojen vienti

Sinulla on lähtökohtaisesti oikeus saada henkilötietosi jäsennellyssä, yleisessä ja koneellisesti luettavassa muodossa, kun siirrettävyyden ehdot täyttyvät.

Evylla voi tarjota tähän vientitoiminnon.

Siirto-oikeus on GDPR 20 artiklassa.

Lakisääteisistä edellytyksistä riippuen sinulla on erityisesti nämä oikeudet:

Pääsy tietoihin

Voit pyytää tiedon siitä, mitä henkilötietoja käsittelemme sinusta.

Oikaisu

Voit vaatia virheellisten henkilötietojen oikaisua.

Poisto

Voit lakisääteisten edellytysten täyttyessä vaatia henkilötietojesi poistoa.

Käsittelyn rajoittaminen

Voit tietyin edellytyksin vaatia tietojesi käsittelyn rajoittamista.

Vastustaminen

Voit lakisääteisten edellytysten täyttyessä vastustaa käsittelyä.

Siirrettävyys

Voit lakisääteisten edellytysten täyttyessä saada antamasi henkilötiedot jäsennellyssä, yleisessä ja koneellisesti luettavassa muodossa.

Suostumuksen peruutus

Jos käsittely perustuu suostumukseesi, voit peruuttaa sen milloin tahansa tulevaisuutta koskien. Peruutukseen asti tehdyn käsittelyn lainmukaisuus säilyy.

⚖️ Millä perusteella Evylla käsittelee tietoja

Konkreettinen oikeusperuste riippuu käsittelytoimesta.

Toiminnosta riippuen voivat olla merkityksellisiä erityisesti nämä perusteet:

GDPR 6 art. 1 kohdan a alakohta
Suostumus.

GDPR 6 art. 1 kohdan b alakohta
Käsittely, joka on tarpeen sopimuksen täyttämiseksi tai sopimusta edeltäviin toimiin.

GDPR 6 art. 1 kohdan c alakohta
Käsittely lakisääteisen velvoitteen noudattamiseksi.

GDPR 6 art. 1 kohdan f alakohta
Käsittely oikeutetun edun perusteella, kun lakisääteiset edellytykset täyttyvät.

Mikä peruste koskee mitäkin käsittelyä, selitetään täydessä tietosuojaselosteessa.

🏢 Rekisterinpitäjä

Henkilötietojen käsittelystä vastaava on:

URBAN
Friedensplatz 13
SAN-39164 Seehausen Börde
Deutschland

Edustaja: Udo Urban

Sähköposti

…

🛡️ Tietosuojavastaava

Tietosuojavastaavaa ei ole nyt nimetty, koska lakisääteiset edellytykset eivät täyty.

🔧 Käsittelijät ja tekniset palveluntarjoajat

Evyllan toimintaan voidaan käyttää teknisiä palveluntarjoajia.

Niihin voi kuulua erityisesti:

• Hosting and infrastructure providers for servers, database and backups
• Stripe as payment service provider for passes and subscriptions
• Mail delivery service for system emails such as confirmations and password links

Kun nämä tarjoajat käsittelevät henkilötietoja toimeksiannostamme, se tapahtuu tarvittavien tietosuojasopimusten perusteella.

Ajantasainen yhteenveto tarjoajista ja käsittelystä on täydessä tietosuojaselosteessa.

🌍 Missä tietojasi käsitellään

Käsittely voi tapahtua Euroopan unionissa tai Euroopan talousalueella.

Jos palveluntarjoajat käsittelevät tietoja EU:n tai ETA:n ulkopuolella, siirto tehdään vain tietosuojavaatimuksia noudattaen.

Nykyiset säilytys- ja käsittelypaikat:
Sovellus, tietokanta ja varmuuskopiot toimivat Saksassa tai Euroopan unionissa.

Siirrot kolmansiin maihin:
Stripe (Yhdysvallat) voi käsitellä maksutietoja EU:n ulkopuolella ja nojaa asianmukaisiin suojatoimiin, erityisesti vakiosopimuslausekkeisiin. Tiedot: https://stripe.com/privacy

💳 Maksutiedot

Maksullisten Evylla-tariffien maksut voidaan hoitaa ulkoisten maksupalveluntarjoajien kautta.

Maksutietojen käsittely noudattaa silloin kyseisen tarjoajan ehtoja ja tietosuojasääntöjä.

Evylla ei tallenna täysiä korttinumeroita, ellei toiminto sitä vaadi ja tekninen maksu kulje erikoistuneen tarjoajan kautta.

Käytetyt maksupalveluntarjoajat:
Stripe Payments Europe, Ltd. ja konsernin lähiyhtiöt; tiedot: stripe.com/privacy.

🔒 Tekniset ja organisatoriset toimet

Evylla käyttää asianmukaisia teknisiä ja organisatorisia toimia suojatakseen henkilötietoja häviämiseltä, tuhoutumiselta, muuttamiselta ja luvattomalta käytöltä.

Niihin voi kuulua erityisesti:

• Encryption in transit (TLS) and for sensitive stored values (AES-256-GCM)
• Role and permission model with server-side checks on every access
• Protection against CSRF, brute-force attempts and session hijacking
• Separation of development and production environments
• Regular backups with a limited number of versions
• Updates of the components and dependencies in use
• Logging of security-relevant events with short retention

Toimet tarkistetaan ja niitä kehitetään tekniikan tason ja riskin mukaan.

GDPR 32 artikla edellyttää asianmukaisia teknisiä ja organisatorisia toimia ottaen huomioon muun muassa tekniikan tason, kustannukset, käsittelyn luonteen ja laajuuden sekä riskin ihmisten oikeuksille ja vapauksille.

🚨 Tietoturvaloukkaukset

Laajoista turvatoimista huolimatta mikään internetpalvelu ei voi taata täysin riskitöntä järjestelmää.

Jos henkilötietojen suoja vaarantuu, Evylla arvioi tapahtuman viipymättä ja ryhtyy tarvittaviin toimiin.

Kun laki sitä edellyttää, valvontaviranomaisille ja rekisteröidyille ilmoitetaan sovellettavien sääntöjen mukaan.