TIETOSUOJASELOSTE

1. Tietosuojaselosteen tarkoitus ja soveltamisala

Tässä tietosuojaselosteessa kerrotaan, miten Buchanon Company Ltd käsittelee henkilötietoja verkkosivustojensa, verkkokauppojensa, maksusivujensa, koulutusten, valmennusten, jäsenyyksien, konsultoinnin, asiantuntijapalveluiden, webinaarien, yhteisöjen, markkinoinnin ja muun liiketoiminnan yhteydessä.

Seloste koskee muun muassa seuraavia henkilöitä:

• verkkosivustojen kävijät;
• liidit ja yhteydenottajat;
• uutiskirjeiden ja muun markkinointiviestinnän tilaajat;
• webinaareihin, koulutuksiin ja tapahtumiin rekisteröityneet;
• kuluttaja-asiakkaat;
• yritysasiakkaat ja heidän yhteyshenkilönsä;
• potentiaaliset asiakkaat ja yhteistyökumppanit;
• valmennuksiin, verkkokursseille, jäsenyyksiin ja yhteisöihin osallistuvat; sekä
• henkilöt, jotka asioivat kanssamme sähköpostilla, puhelimella, videoyhteydellä, sosiaalisessa mediassa tai muulla tavalla.

Tätä selostetta sovelletaan muun muassa verkkosivustoihin markopyhajarvi.fi, markopyhajarvi.com sekä muihin Buchanon Company Ltd:n tai sen käyttämien brändien ylläpitämiin sivustoihin, lomakkeisiin, checkout-sivuihin ja palvelualustoihin silloin, kun ne viittaavat tähän tietosuojaselosteeseen.

2. Rekisterinpitäjä

Henkilötietojen rekisterinpitäjä on:

Buchanon Company Ltd
UK company number: 11111405

toimien Sveitsissä sivuliikkeensä kautta:

BUCHANON COMPANY LTD, London, Zweigniederlassung Zug
UID: CHE-494.154.374
Dammstrasse 16
6300 Zug
Switzerland

Tietosuoja-asioiden yhteydenotot:
info@buchanoncompany.com

Buchanon Company Ltd määrittää tässä selosteessa kuvatun henkilötietojen käsittelyn tarkoitukset ja olennaiset keinot, ellei jäljempänä erikseen todeta, että toimimme toisen rekisterinpitäjän henkilötietojen käsittelijänä.

2.1 EU-edustaja

Koska rekisterinpitäjä on sijoittautunut Euroopan unionin ulkopuolelle ja tarjoaa palveluja myös EU:ssa oleville henkilöille, EU:n yleisen tietosuoja-asetuksen 27 artikla voi edellyttää EU:ssa sijaitsevan edustajan nimeämistä.

EU:ssa olevat rekisteröidyt voivat ottaa GDPR:ää koskevissa asioissa yhteyttä joko rekisterinpitäjään tai EU-edustajaan.

3. Sovellettava tietosuojalainsäädäntö

Henkilötietojen käsittelyyn sovelletaan tilanteen mukaan erityisesti:

• Sveitsin liittovaltion tietosuojalakia (Federal Act on Data Protection, FADP);
• EU:n yleistä tietosuoja-asetusta 2016/679 (GDPR), kun sen alueellinen soveltamisala täyttyy;
• Yhdistyneen kuningaskunnan tietosuojasääntelyä silloin, kun se soveltuu;
• sähköiseen viestintään, evästeisiin ja suoramarkkinointiin soveltuvaa kansallista lainsäädäntöä; sekä
• muuta kulloinkin pakottavasti sovellettavaa tietosuoja- ja yksityisyydensuojalainsäädäntöä.

Tällä selosteella ei rajoiteta rekisteröidylle pakottavan lainsäädännön nojalla kuuluvia oikeuksia.

4. Mitä henkilötietoja käsittelemme

Käsittelemme henkilötietoja vain siinä laajuudessa kuin se on tarpeellista tässä selosteessa kuvattuja tarkoituksia varten.

4.1 Perus- ja yhteystiedot

Voimme käsitellä esimerkiksi:

• nimeä;
• sähköpostiosoitetta;
• puhelinnumeroa;
• postiosoitetta;
• asuinmaata;
• yrityksen nimeä;
• Y-tunnusta, VAT-/UID-numeroa tai muuta yritystunnistetta;
• tehtävänimikettä ja asemaa yrityksessä; sekä
• käyttäjätilin tai yhteisön käyttäjätunnistetta.

4.2 Tilaus-, asiakkuus- ja maksutiedot

Voimme käsitellä esimerkiksi:

• ostettua tuotetta tai palvelua;
• tilauspäivää;
• tilausnumeroa;
• tilauksen arvoa;
• laskutus- ja verotietoja;
• valittua maksutapaa;
• maksun tilaa;
• maksueriin, palautuksiin, peruutuksiin ja maksukiistoihin liittyviä tietoja; sekä
• maksupalveluntarjoajan meille toimittamia tapahtuma- ja viitetietoja.

Maksukorttitiedot ja muut varsinaiset maksuvälinetiedot käsittelee yleensä maksupalveluntarjoaja. Emme lähtökohtaisesti saa tai tallenna täydellisiä maksukorttitietoja omiin järjestelmiimme.

Klarna, PayPal, Stripe tai muu maksu-, rahoitus- tai luottopalveluntarjoaja voi toimia tiettyjen käsittelytoimiensa osalta itsenäisenä rekisterinpitäjänä. Tällöin sen oma tietosuojaseloste koskee kyseistä käsittelyä.

4.3 Palvelun ja valmennuksen toteuttamiseen liittyvät tiedot

Voimme käsitellä esimerkiksi:

• asiakkaan tavoitteita ja lähtötilannetta;
• liiketoimintaa, ammattia, osaamista ja kokemusta koskevia tietoja;
• yrityksen liikevaihtoa, markkinointia, tuotteita ja asiakashankintaa koskevia tietoja;
• asiakkaan käytettävissä olevia resursseja, budjettia tai muita palvelun toteuttamiseen olennaisesti liittyviä taloudellisia tietoja;
• tehtäviä, vastauksia, suunnitelmia, analyysejä ja asiakaspalautetta;
• konsultointi- ja valmennuskeskusteluiden sisältöä;
• asiakkaan vapaaehtoisesti meille toimittamia tiedostoja ja muita materiaaleja; sekä
• asiakkaan käyttämiä verkkokauppa-, markkinointi-, analytiikka- ja muita järjestelmiä koskevia tietoja.

Kun tarvitsemme asiakkaan puolesta toteutettavaan työhön pääsyn asiakkaan järjestelmään, pääsyoikeuksia ja tunnuksia käsitellään vain siinä laajuudessa ja niin kauan kuin niitä tarvitaan sovitun työn tekemiseen.

4.4 Viestintä- ja asiakaspalvelutiedot

Voimme käsitellä esimerkiksi:

• sähköposti- ja chat-viestejä;
• tukipyyntöjä;
• puheluihin tai videoneuvotteluihin liittyviä tietoja;
• tapaamisvarauksia;
• palautetta;
• reklamaatioita;
• peruutus- ja palautuspyyntöjä; sekä
• sopimus- ja maksukiistoihin liittyvää viestintää.

4.5 Koulutus-, yhteisö- ja osallistumistiedot

Voimme käsitellä esimerkiksi:

• kurssi- ja koulutusalustan kirjautumis- ja käyttödataa;
• suoritettuja oppitunteja ja tehtäviä;
• yhteisössä julkaistuja viestejä ja kommentteja;
• live-valmennuksiin ja webinaareihin osallistumista;
• esitettyjä kysymyksiä; sekä
• mahdollisia tapaamistallenteita.

Jos live-tapaaminen tallennetaan, osallistujille ilmoitetaan tallentamisesta. Osallistuja voi yleensä osallistua kamera ja mikrofoni suljettuna silloin, kun palvelun luonne tämän mahdollistaa.

4.6 Verkkosivuston tekniset ja käyttötiedot

Voimme käsitellä esimerkiksi:

• IP-osoitetta;
• selainta ja laitetyyppiä;
• käyttöjärjestelmää;
• sivuja ja sisältöjä, joita käytetään;
• vierailun ajankohtaa ja kestoa;
• liikenteen lähdettä;
• teknisiä tunnisteita;
• eväste- ja suostumusasetuksia; sekä
• verkkosivuston turvallisuuteen ja väärinkäytösten torjuntaan liittyviä lokitietoja.

Ei-välttämättömiä evästeitä ja vastaavia seurantatekniikoita käytetään vain sovellettavan lain sallimalla tavalla ja tarvittaessa käyttäjän ennakkosuostumuksen perusteella.

4.7 Markkinointi- ja kiinnostustiedot

Voimme käsitellä esimerkiksi:

• uutiskirjeen tilaamista;
• markkinointisuostumusta ja sen ajankohtaa;
• markkinointikieltoa;
• lähetettyihin viesteihin liittyviä avaus-, klikkaus- ja muita sitoutumistietoja silloin, kun tällainen seuranta on lain mukaan sallittua;
• mainoskampanjan, lomakkeen tai muun lähteen, jonka kautta henkilö tuli palveluumme; sekä
• henkilön ilmaisemia kiinnostuksen kohteita palveluihimme liittyen.

4.8 Julkisista tai kolmannen osapuolen lähteistä saadut tiedot

Yritysasiakkaisiin, potentiaalisiin B2B-asiakkaisiin ja yhteistyökumppaneihin liittyviä ammatillisia tietoja voidaan saada myös esimerkiksi:

• yritysten verkkosivuilta;
• kaupparekistereistä ja muista julkisista yrityslähteistä;
• LinkedInistä tai vastaavista ammatillisista palveluista;
• tapahtumista;
• suosittelijoilta ja yhteistyökumppaneilta; sekä
• asiakkaan käyttämistä palveluista hänen valtuutuksellaan.

Kun henkilötietoja ei ole saatu suoraan rekisteröidyltä, annamme GDPR:n 14 artiklan mukaiset tiedot silloin ja siinä laajuudessa kuin sovellettava laki sitä edellyttää.

5. Henkilötietojen käsittelyn tarkoitukset ja oikeusperusteet

Kun GDPR soveltuu, henkilötietojen käsittely perustuu yhteen tai useampaan GDPR:n 6 artiklan mukaiseen oikeusperusteeseen.

5.1 Sopimuksen tekeminen ja täyttäminen – GDPR 6(1)(b)

Käsittelemme henkilötietoja esimerkiksi kun:

• käsittelemme tilausta;
• avaamme käyttöoikeuden;
• toimitamme verkkokurssin, valmennuksen, konsultoinnin tai muun palvelun;
• hoidamme asiakasviestintää;
• käsittelemme palveluun liittyviä kysymyksiä;
• toteutamme asiakkaan pyytämiä sopimusta edeltäviä toimenpiteitä; sekä
• hallinnoimme osallistumista koulutuksiin ja tapaamisiin.

5.2 Lakisääteinen velvoite – GDPR 6(1)(c)

Käsittely voi olla tarpeen esimerkiksi:

• kirjanpitoa varten;
• verotusta ja arvonlisäveroa varten;
• lakisääteisten tositteiden säilyttämiseksi;
• viranomaisen lainmukaiseen tietopyyntöön vastaamiseksi; sekä
• lakisääteisten kuluttaja- ja tietosuojavelvoitteiden noudattamiseksi.

5.3 Oikeutettu etu – GDPR 6(1)(f)

Voimme käsitellä tietoja oikeutetun etumme perusteella esimerkiksi:

• asiakassuhteiden hallintaan;
• asiakkaan tai potentiaalisen asiakkaan yhteydenottoon vastaamiseen;
• B2B-myynnin ja liiketoimintasuhteiden kehittämiseen sovellettavan lain sallimissa rajoissa;
• palvelujen kehittämiseen;
• väärinkäytösten, petosten ja tietoturvauhkien ehkäisemiseen;
• maksujen, saatavien ja sopimusvelvoitteiden selvittämiseen;
• oikeusvaateiden laatimiseen, esittämiseen ja puolustamiseen;
• liiketoimintadokumentaation säilyttämiseen kohtuullisen ajan; sekä
• palveluidemme toimivuuden ja suorituskyvyn analysointiin silloin, kun suostumusta ei lain mukaan tarvita.

Oikeutettuun etuun perustuvassa käsittelyssä arvioimme käsittelyn tarpeellisuutta sekä rekisteröidyn oikeuksia ja vapauksia.

5.4 Suostumus – GDPR 6(1)(a)

Pyydämme suostumuksen silloin, kun laki sitä edellyttää, esimerkiksi:

• kuluttajille lähetettävään sähköiseen suoramarkkinointiin, ellei laissa säädetty olemassa olevan asiakassuhteen poikkeus sovellu;
• ei-välttämättömiin evästeisiin ja seurantatekniikoihin;
• tiettyyn vapaaehtoiseen profilointiin; sekä
• nimellä, kuvalla, videolla tai muulla tunnistettavalla tavalla julkaistavaan asiakastarinoiden, palautteiden tai suosittelujen käyttöön silloin, kun suostumus on asianmukainen oikeusperuste.

Suostumuksen voi peruuttaa milloin tahansa. Peruuttaminen ei vaikuta ennen peruuttamista tapahtuneen käsittelyn lainmukaisuuteen.

5.5 Onko henkilötietojen antaminen pakollista?

Osa henkilötiedoista on tarpeen sopimuksen tekemiseksi, palvelun toimittamiseksi tai lakisääteisen velvoitteen täyttämiseksi.

Esimerkiksi nimi, yhteystiedot, laskutus- ja tilaustiedot voivat olla välttämättömiä tilauksen käsittelemiseksi ja palvelun toimittamiseksi.

Jos tällaista tarpeellista tietoa ei anneta, emme välttämättä pysty tekemään sopimusta, käsittelemään tilausta, toimittamaan palvelua tai täyttämään tiettyä pyyntöä.

Vapaaehtoiseen markkinointiin, ei-välttämättömiin evästeisiin tai muuhun suostumukseen perustuvaan käsittelyyn liittyvien tietojen antaminen ei ole palvelun ostamisen edellytys, ellei kyseinen tieto ole samalla muusta syystä tarpeellinen palvelun toimittamiseksi.

6. Suoramarkkinointi

Voimme lähettää markkinointia silloin, kun siihen on sovellettavan lain mukainen peruste.

Luonnollisille henkilöille lähetettävän sähköposti-, tekstiviesti- tai muun vastaavan sähköisen suoramarkkinoinnin osalta noudatamme sovellettavia ennakkosuostumusta koskevia sääntöjä.

Olemassa olevalle asiakkaalle voidaan lain sallimissa tilanteissa lähettää omia samaan tuoteryhmään kuuluvia tai muuten vastaavia tuotteita tai palveluita koskevaa sähköistä markkinointia ilman erillistä uutta suostumusta, jos lain kaikki kyseistä poikkeusta koskevat edellytykset täyttyvät.

B2B-suoramarkkinoinnin yhteydessä voimme käsitellä yritysten ja organisaatioiden yhteystietoja sekä niiden ammatillisten yhteyshenkilöiden tietoja siinä määrin kuin sovellettava tietosuoja- ja sähköisen viestinnän lainsäädäntö sallii.

Jokaisella rekisteröidyllä on oikeus vastustaa henkilötietojensa käyttöä suoramarkkinointiin.

Sähköisissä markkinointiviesteissä annetaan helppo tapa kieltää tulevat markkinointiviestit.

Voimme säilyttää markkinointikiellon toteuttamiseksi tarvittavan vähimmäismäärän tietoja niin sanotulla sulkulistalla, jotta voimme varmistaa, ettei henkilölle lähetetä vastoin hänen kieltoaan uutta markkinointia.

7. Evästeet ja vastaavat tekniikat

Sivustomme voivat käyttää evästeitä, pikseleitä, paikallista tallennusta ja muita vastaavia tekniikoita.

7.1 Välttämättömät tekniikat

Välttämättömiä evästeitä ja vastaavia tekniikoita voidaan käyttää esimerkiksi:

• sivuston tekniseen toimintaan;
• tietoturvaan;
• kirjautumiseen;
• istunnon hallintaan;
• maksuprosessin toteuttamiseen; sekä
• evästevalintojen tallentamiseen.

7.2 Analytiikka-, toiminnallisuus- ja markkinointitekniikat

Sellaisia tekniikoita, jotka eivät ole käyttäjän nimenomaisesti pyytämän palvelun toteuttamiseksi välttämättömiä, käytetään vain siinä laajuudessa kuin sovellettava laki sallii ja tarvittaessa käyttäjän ennakkosuostumuksen perusteella.

Käyttäjän tulee voida hyväksyä tai hylätä ei-välttämättömät evästeet ja muuttaa valintaansa myöhemmin.

Suostumuksesta voidaan säilyttää tarpeelliset todisteet, kuten suostumuksen ajankohta, annettu valinta sekä tieto siitä, millä tavalla suostumus pyydettiin.

Tarkemmat tiedot käytössä olevista evästeistä, seuranta- ja analytiikkapalveluista, niiden käyttötarkoituksista ja säilytysajoista annetaan erillisessä evästekäytännössä ja evästeasetuksissa.

Evästekäytäntö

8. Kenelle henkilötietoja voidaan antaa käsiteltäväksi tai luovuttaa

Käytämme liiketoiminnassamme kolmansien osapuolten palveluita.

Henkilötietoja voidaan antaa käsiteltäväksi tai luovuttaa tarpeellisessa laajuudessa esimerkiksi seuraaville vastaanottajaryhmille:

• verkkosivu-, hosting- ja pilvipalvelujen tarjoajat;
• verkkokauppa- ja checkout-palvelut;
• maksu-, rahoitus- ja luottopalveluntarjoajat;
• kurssi-, jäsenyys- ja yhteisöalustat;
• CRM- ja markkinointiautomaatiojärjestelmät;
• sähköpostipalvelut;
• webinaari- ja videoneuvottelupalvelut;
• ajanvarauspalvelut;
• tiedosto- ja dokumenttipalvelut;
• analytiikka- ja mittauspalvelut;
• mainos- ja sosiaalisen median alustat;
• tekoäly- ja automaatiopalvelut;
• tietoturva- ja petostentorjuntapalvelut;
• kirjanpitäjät, tilintarkastajat, veroasiantuntijat ja oikeudelliset neuvonantajat;
• perintä- ja maksunvalvontapalvelut; sekä
• viranomaiset silloin, kun luovuttaminen perustuu lakiin tai lainmukaiseen määräykseen.

Palveluntarjoaja voi tilanteesta riippuen toimia henkilötietojen käsittelijänä, alikäsittelijänä, yhteisrekisterinpitäjänä tai itsenäisenä rekisterinpitäjänä.

Kun palveluntarjoaja käsittelee henkilötietoja meidän lukuumme, käytämme sovellettavan lain edellyttämiä henkilötietojen käsittelyä koskevia sopimuksia.

Emme myy henkilötietoja erillisenä kaupallisena tuotteena.

9. Asiakkaiden puolesta käsittelemämme henkilötiedot

Joissakin konsultointi-, markkinointi-, CRM-, verkkokauppa-, automaatio- tai toteutuspalveluissa saatamme päästä käsiksi yritysasiakkaamme asiakkaiden, liidien, käyttäjien tai työntekijöiden henkilötietoihin.

Tällöin emme välttämättä toimi kyseisten henkilötietojen rekisterinpitäjänä, vaan henkilötietojen käsittelijänä asiakkaamme puolesta.

Asiakas määrittää tällöin henkilötietojen käsittelyn tarkoitukset ja olennaiset keinot sekä vastaa omasta tietosuojainformaatiostaan ja käsittelyn lainmukaisuudesta.

Käsittelemme kyseisiä tietoja asiakkaan dokumentoitujen ohjeiden sekä osapuolten välisen henkilötietojen käsittelysopimuksen mukaisesti.

Jos henkilön tietoja käsitellään vain asiakkaamme puolesta, tietosuojaoikeutta koskeva pyyntö tulee lähtökohtaisesti osoittaa kyseiselle asiakkaalle rekisterinpitäjänä. Avustamme asiakastamme lain ja käsittelysopimuksen edellyttämällä tavalla.

10. Tekoäly- ja automaatiopalvelujen käyttö

Voimme käyttää tekoälyä ja automaatiota esimerkiksi:

• tekstien, suunnitelmien ja analyysien laatimiseen;
• liiketoimintadatan analysointiin;
• koulutus- ja konsultointityön tukena;
• asiakaspalvelun ja sisäisten prosessien tehostamiseen; sekä
• markkinointi- ja muun sisällön tuottamiseen.

Pyrimme minimoimaan tekoälypalveluihin siirrettävät henkilötiedot ja käyttämään käsittelyn luonteeseen nähden asianmukaisia tietosuoja- ja turvallisuustoimenpiteitä.

Asiakkaan toimittamaa salassa pidettävää, erityisiin henkilötietoryhmiin kuuluvaa tai muutoin arkaluonteista henkilötietoa ei tule toimittaa meille tarpeettomasti.

Jos henkilötietojen käsittely tekoälypalvelussa on tarpeen asiakkaalle toimitettavan palvelun toteuttamiseksi, käsittely toteutetaan sovellettavan lain, sopimuksen ja tarvittaessa henkilötietojen käsittelysopimuksen mukaisesti.

11. Kansainväliset henkilötietojen siirrot

Rekisterinpitäjä toimii Sveitsissä ja käyttää kansainvälisiä teknologia- ja palveluntarjoajia.

Henkilötietoja voidaan palvelusta riippuen käsitellä muun muassa:

• Sveitsissä;
• EU- ja ETA-maissa;
• Yhdistyneessä kuningaskunnassa;
• Yhdysvalloissa; sekä
• muissa maissa, joissa käyttämämme palveluntarjoaja tai sen asianmukaisesti käyttämä alikäsittelijä toimii.

Kun henkilötietoja siirretään maahan, jonka tietosuojan tasosta on voimassa soveltuva riittävyyspäätös, siirto voidaan perustaa kyseiseen päätökseen.

Kun tällaista riittävyyspäätöstä ei ole, käytämme sovellettavan lain edellyttämällä tavalla asianmukaista siirtomekanismia, kuten:

• Euroopan komission hyväksymiä vakiosopimuslausekkeita;
• Sveitsin FDPIC:n tunnustamia vakiosopimuslausekkeita tarvittavin Sveitsi-mukautuksin;
• soveltuvaa hyväksyttyä tietosuojakehystä silloin, kun vastaanottaja kuuluu siihen; tai
• muuta sovellettavan tietosuojalainsäädännön hyväksymää siirtoperustetta.

Tarvittaessa arvioimme myös siirtoon liittyvät olosuhteet ja toteutamme täydentäviä suojaustoimia.

Palveluntarjoajien käyttämät alikäsittelijät ja käsittelymaat voivat muuttua. Päivitämme tätä selostetta tai muuta asiaankuuluvaa tietosuojainformaatiota, jos muutos on rekisteröidyn kannalta olennainen.

12. Henkilötietojen säilytysajat

Emme säilytä henkilötietoja pidempään kuin niitä kohtuudella tarvitaan tässä selosteessa kuvattuun käyttötarkoitukseen, sopimuksen toteuttamiseen, lakisääteisiin velvoitteisiin tai oikeusvaateiden laatimiseen, esittämiseen tai puolustamiseen.

Säilytysaikaa määritettäessä huomioimme muun muassa tiedon tyypin, käyttötarkoituksen, asiakassuhteen keston, lakisääteiset säilytysajat, mahdolliset vanhentumisajat sekä tietojen säilyttämiseen liittyvät riskit.

12.1 Kirjanpito-, laskutus- ja verotiedot

Kirjanpitoaineistoa, laskuja, maksuihin liittyviä tositteita ja muita lakisääteisesti säilytettäviä liiketoiminta-asiakirjoja säilytetään pääsääntöisesti vähintään 10 vuotta sovellettavan Sveitsin kirjanpito- ja verolainsäädännön edellyttämällä tavalla.

Tietoja voidaan säilyttää pidempään, jos erityinen laki, käynnissä oleva veroasia, viranomaismenettely, oikeusriita tai muu oikeudellinen peruste sitä edellyttää.

12.2 Asiakkuus- ja sopimustiedot

Asiakassuhteen aikana tarvittavia tietoja säilytetään asiakassuhteen ajan.

Sopimuksia, tilausvahvistuksia, suostumuksia, käyttöoikeuksiin liittyviä tietoja, olennaista asiakasviestintää ja muita oikeudellisesti merkityksellisiä tietoja voidaan säilyttää asiakassuhteen päätyttyä niin kauan kuin se on kohtuudella tarpeen lakisääteisten velvoitteiden täyttämiseksi tai oikeusvaateiden laatimiseksi, esittämiseksi tai puolustamiseksi, tyypillisesti enintään noin 10 vuotta, ellei pidempi aika ole perustellusti tarpeen.

12.3 Potentiaaliset asiakkaat ja yhteydenotot

Yhteydenottoihin, tarjouksiin ja myyntikeskusteluihin liittyviä tietoja säilytetään niin kauan kuin yhteydenotto, tarjousprosessi tai mahdollinen asiakkuus on kohtuudella relevantti.

Tarpeettomat tiedot poistetaan tai anonymisoidaan kohtuullisen ajan kuluttua, ellei niiden säilyttämiseen ole muuta lainmukaista perustetta.

12.4 Markkinointitiedot

Markkinointiin käytettäviä tietoja voidaan säilyttää:

• voimassa olevan suostumuksen ajan;
• siihen asti, kun henkilö vastustaa markkinointia; tai
• niin kauan kuin markkinointisuhde on muutoin lainmukaisesti relevantti.

Markkinointikiellon noudattamiseksi voidaan säilyttää tarvittava vähimmäistieto sulkulistalla myös sen jälkeen, kun muu markkinointidata on poistettu.

12.5 Kurssi- ja koulutustiedot sekä tallenteet

Kurssi- ja koulutusalustalla olevia tietoja voidaan säilyttää niin kauan kuin käyttäjällä on sovittu käyttöoikeus palveluun tai materiaaliin sekä tämän jälkeen siinä laajuudessa kuin oikeudelliset, sopimukselliset tai tekniset syyt sitä edellyttävät.

Tallenteita säilytetään niin kauan kuin niitä kohtuudella tarvitaan siihen palveluun tai tarkoitukseen, jota varten tallenne on tehty, ellei pidempi säilyttäminen perustu muuhun lainmukaiseen perusteeseen.

12.6 Evästeet ja analytiikka

Evästeiden, seurantatunnisteiden ja analytiikkatietojen tarkemmat säilytysajat kuvataan evästekäytännössä ja evästeasetuksissa.

13. Tietoturva

Suojaamme henkilötietoja käsittelyn luonteeseen ja riskeihin nähden asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä.

Käytettävät toimenpiteet voivat tilanteesta riippuen sisältää esimerkiksi:

• käyttöoikeuksien rajoittamisen henkilöihin, jotka tarvitsevat tietoja tehtäviensä hoitamiseen;
• vahvaa tunnistautumista ja monivaiheista tunnistautumista palveluissa, joissa se on tarkoituksenmukaista;
• salattuja verkkoyhteyksiä;
• palveluntarjoajien tarjoamaa tietojen salausta;
• laite- ja käyttäjätilien suojausta;
• varmuuskopiointia ja palautumismenettelyjä;
• palveluntarjoajien tietoturvan arviointia;
• käyttöoikeuksien poistamista, kun niitä ei enää tarvita; sekä
• henkilötietojen minimointia.

Mikään sähköinen järjestelmä ei ole täysin riskitön, emmekä voi taata absoluuttista tietoturvaa.

Jos tapahtuu henkilötietojen tietoturvaloukkaus, arvioimme sen sovellettavan lainsäädännön mukaisesti ja teemme lain edellyttämät ilmoitukset valvontaviranomaiselle ja tarvittaessa rekisteröidyille.

14. Erityisiin henkilötietoryhmiin kuuluvat ja muut erityisen suojattavat tiedot

Emme lähtökohtaisesti tarvitse palvelujemme toteuttamiseen GDPR:n 9 artiklan mukaisia erityisiin henkilötietoryhmiin kuuluvia tietoja tai rikostuomioita ja rikoksia koskevia henkilötietoja.

Tällaisia tietoja voivat olla esimerkiksi terveystiedot, biometriset tai geneettiset tiedot, uskontoa tai vakaumusta koskevat tiedot, poliittiset mielipiteet, ammattiliittoon kuuluminen tai seksuaalista suuntautumista koskevat tiedot.

Pyydämme välttämään tällaisten tietojen lähettämistä, elleivät ne ole nimenomaisesti tarpeellisia kyseisessä asiassa.

Jos tällaisia tietoja kuitenkin saadaan tai niiden käsittely on aidosti tarpeen, niitä käsitellään vain sovellettavan lain sallimalla perusteella ja tietojen minimoinnin periaatetta noudattaen.

15. Alaikäiset

Palvelumme on pääsääntöisesti suunnattu täysi-ikäisille henkilöille ja yrityksille.

Emme tietoisesti kohdista maksullisia liiketoiminta-, verkkokauppa-, konsultointi- tai valmennuspalvelujamme lapsille.

Jos saamme tietoomme, että alaikäisen henkilötietoja on kerätty tavalla, jolle ei ole asianmukaista oikeusperustetta, ryhdymme tilanteeseen nähden tarpeellisiin toimenpiteisiin.

16. Profilointi ja automatisoitu päätöksenteko

Voimme käyttää automaatiota esimerkiksi:

• markkinointiviestien segmentointiin;
• kiinnostuksen tai asiakkuuden vaiheen arviointiin;
• verkkosivujen analytiikkaan;
• petos- tai väärinkäytösriskien tunnistamiseen; sekä
• palvelujen ja viestinnän personointiin.

Emme lähtökohtaisesti tee itse yksinomaan automaattiseen henkilötietojen käsittelyyn perustuvia päätöksiä, joilla olisi rekisteröityyn GDPR:n 22 artiklassa tarkoitettu oikeusvaikutus tai vastaava merkittävä vaikutus, ellei tästä ilmoiteta erikseen ja käsittelylle ole asianmukaista oikeusperustetta.

Maksu-, rahoitus- tai luottopalveluntarjoaja, esimerkiksi Klarna, voi tehdä omassa toiminnassaan automatisoituja luotto-, maksu- tai petostentorjuntapäätöksiä itsenäisenä rekisterinpitäjänä. Tällaisesta käsittelystä vastaa kyseinen palveluntarjoaja oman tietosuojaselosteensa mukaisesti.

17. Rekisteröidyn oikeudet

Rekisteröidyn oikeudet riippuvat sovellettavasta lainsäädännöstä ja käsittelyn oikeusperusteesta.

Kun GDPR soveltuu, rekisteröidyllä voi olla oikeus:

• saada tieto siitä, käsittelemmekö hänen henkilötietojaan;
• saada pääsy häntä koskeviin henkilötietoihin;
• saada virheelliset henkilötiedot korjatuiksi;
• saada puutteelliset tiedot täydennetyiksi;
• pyytää henkilötietojen poistamista;
• pyytää käsittelyn rajoittamista;
• vastustaa oikeutettuun etuun perustuvaa käsittelyä;
• vastustaa suoramarkkinointia milloin tahansa;
• saada tietyissä tilanteissa itse toimittamansa tiedot jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa;
• siirtää tällaiset tiedot toiselle rekisterinpitäjälle silloin, kun oikeus tietojen siirrettävyyteen soveltuu;
• peruuttaa antamansa suostumus milloin tahansa;
• tehdä valitus toimivaltaiselle tietosuojaviranomaiselle; sekä
• käyttää automatisoitua päätöksentekoa koskevia oikeuksia silloin, kun GDPR:n 22 artikla soveltuu.

Sveitsin FADP:n soveltuessa rekisteröidyllä on sovellettavan lain mukaisesti muun muassa oikeus saada tietoa henkilötietojensa käsittelystä sekä tietyissä tilanteissa pyytää tietojen korjaamista, poistamista, luovuttamista tai siirtämistä.

Kaikki oikeudet eivät sovellu jokaiseen käsittelytilanteeseen. Esimerkiksi tietojen poistamista koskeva oikeus ei oikeuta poistamaan tietoa, jonka säilyttäminen on tarpeen lakisääteisen velvoitteen täyttämiseksi tai oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.

18. Oikeuksien käyttäminen

Tietosuojaoikeutta koskevan pyynnön voi lähettää osoitteeseen:

info@buchanoncompany.com

Pyynnössä kannattaa ilmoittaa:

• nimi;
• sähköpostiosoite tai muu tieto, jonka avulla kyseinen asiakkuus tai henkilötiedot voidaan tunnistaa; sekä
• mitä oikeutta halutaan käyttää.

Voimme pyytää henkilöllisyyden vahvistamiseksi tarpeellisia lisätietoja, jos meillä on perusteltu syy epäillä pyynnön esittäjän henkilöllisyyttä.

Emme pyydä henkilöllisyyden varmistamista varten enempää henkilötietoja kuin tilanteessa on tarpeen.

GDPR:n alaiset pyynnöt käsitellään lähtökohtaisesti kuukauden kuluessa. Määräaikaa voidaan asetuksen sallimissa tilanteissa jatkaa enintään kahdella kuukaudella, jolloin rekisteröidylle ilmoitetaan jatkosta ja sen perusteesta.

Pyyntö on lähtökohtaisesti maksuton. Ilmeisen perusteettomista tai kohtuuttomista, erityisesti toistuvista pyynnöistä voidaan lain sallimissa tilanteissa periä kohtuullinen maksu tai kieltäytyä toteuttamasta pyyntöä.

19. Oikeus tehdä valitus

Jos henkilö katsoo, että hänen henkilötietojaan on käsitelty lainvastaisesti, hän voi ensin ottaa yhteyttä meihin osoitteeseen:

info@buchanoncompany.com

19.1 Sveitsi

Sveitsissä toimivaltainen liittovaltion tietosuojaviranomainen on:

Federal Data Protection and Information Commissioner (FDPIC)
Feldeggweg 1
3003 Bern
Switzerland
www.edoeb.admin.ch

19.2 Euroopan unioni ja Suomi

Kun GDPR soveltuu, rekisteröidyllä on oikeus tehdä valitus toimivaltaiselle EU-/ETA-alueen valvontaviranomaiselle, erityisesti vakituisen asuinpaikkansa, työpaikkansa tai väitetyn rikkomisen tapahtumapaikan viranomaiselle.

Suomessa valvontaviranomainen on:

Tietosuojavaltuutetun toimisto
PL 800
00531 Helsinki
Suomi
tietosuoja.fi

20. Tietojen luovuttaminen yritysjärjestelyissä

Jos liiketoimintamme, sen osa, palvelu tai omaisuus myydään, yhdistetään, uudelleenorganisoidaan tai siirretään toiselle toimijalle, henkilötietoja voidaan luovuttaa tai siirtää mahdolliselle ostajalle, sijoittajalle, neuvonantajalle tai uudelle toimijalle siinä laajuudessa kuin se on tarpeellista ja lainmukaista.

Tällaisessa tilanteessa käytämme olosuhteisiin nähden asianmukaisia salassapito-, tietosuoja- ja muita suojaustoimia.

Jos rekisterinpitäjä tai henkilötietojen käsittelyn tarkoitus muuttuu olennaisesti, rekisteröidyille annetaan sovellettavan lain edellyttämät tiedot.

21. Viranomaispyynnöt ja oikeudelliset vaatimukset

Voimme luovuttaa henkilötietoja viranomaiselle, tuomioistuimelle tai muulle taholle silloin, kun:

• laki velvoittaa siihen;
• toimivaltainen viranomainen tai tuomioistuin antaa lainmukaisen määräyksen;
• se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi; tai
• se on tarpeen petoksen, rikoksen, väärinkäytöksen tai tietoturvauhan selvittämiseksi ja luovutukselle on asianmukainen oikeusperuste.

Emme lupaa ilmoittaa rekisteröidylle jokaisesta viranomaispyynnöstä, koska ilmoittaminen voi joissakin tilanteissa olla lain mukaan kiellettyä tai muutoin tilanteeseen nähden epäasianmukaista.

22. Tämän tietosuojaselosteen muuttaminen

Voimme päivittää tätä tietosuojaselostetta esimerkiksi, jos:

• palvelumme tai järjestelmämme muuttuvat;
• henkilötietojen käsittely muuttuu;
• palveluntarjoajat tai käsittelymaat muuttuvat;
• lainsäädäntö tai viranomaisohjeistus muuttuu; tai
• selostetta on muutoin tarpeen täsmentää.

Uusin versio julkaistaan verkkosivustolla ja sen yhteydessä ilmoitetaan viimeisin päivityspäivä.

Jos muutos vaikuttaa olennaisesti henkilötietojen käsittelyyn, annamme muutoksesta sovellettavan lain edellyttämällä tavalla erillisen ilmoituksen.

Jos henkilötietoja aiotaan käyttää uuteen tarkoitukseen, annamme ennen tällaista jatkokäsittelyä lain edellyttämät tiedot ja pyydämme uuden suostumuksen silloin, kun uusi käsittely edellyttää suostumusta.

Pelkkää verkkosivuston käytön jatkamista ei pidetä uutena suostumuksena sellaiseen henkilötietojen käsittelyyn, johon laki edellyttää nimenomaista suostumusta.

Voimme säilyttää aikaisempia versioita tästä tietosuojaselosteesta dokumentointia ja oikeudellisia tarpeita varten.

23. Yhteystiedot

Tietosuojaan, henkilötietojen käsittelyyn tai rekisteröidyn oikeuksiin liittyvät yhteydenotot:

EU:ssa olevat rekisteröidyt voivat GDPR:n soveltuessa ottaa yhteyttä myös kohdassa 2.1 ilmoitettuun EU-edustajaan.

---

Tämän version kieli: suomi
Voimassa: 1.6.2025 alkaen
Viimeksi päivitetty: 1.6.2025
Versio: 1.0