Tietosuojakäytäntö

1. Rekisterinpitäjä

RetreatsMapia ylläpitää Competly, UAB (yritystunnus 308157857, ALV-numero LT100020947016), Svajonių al. 4, Jonučių II k., Garliavos apyl. sen., LT-53272 Kauno r. sav., Lithuania. Olemme tässä käytännössä kuvattujen henkilötietojen rekisterinpitäjä.

Tietosuojaa koskevissa kysymyksissä tai oikeuksiesi käyttämiseksi kirjoita osoitteeseen [email protected].

Kun varaat tapahtuman, sen järjestäjä saa varaustietosi ja vastaa niiden käytöstä. Kun maksat verkossa, maksun käsittelee Stripe — katso kohta 5.

2. Mitä henkilötietoja keräämme

Itse antamasi tiedot

• Tilitiedot — nimi, sähköpostiosoite, salasana (tallennetaan vain yksisuuntaisena tiivisteenä) ja vapaaehtoinen profiilikuva.
• Julkaisemasi sisältö — tapahtumat, paikat, opettajaprofiilit, kuvaukset, aikataulut, kuvat, yhteystiedot ja somekanavat, jotka päätät lisätä.
• Varaukset — kun ilmoittaudut tapahtumaan: nimi, sähköpostiosoite, puhelinnumero (vapaaehtoinen), osallistujamäärä, valittu päivä ja viestisi järjestäjälle.
• Maksut ja laskutus — verkkovarauksissa ja tilauksissa: summa, valuutta, maksun tila ja Stripen viitenumerot; tilauksissa myös laskutusnimi, osoite ja ALV-numero. Syötät korttitiedot Stripen suojatulle sivulle — emme koskaan näe tai tallenna koko kortin numeroa.
• Tilitystilit (järjestäjät) — kun otat verkkomaksut käyttöön, Stripe kerää suoraan henkilöllisyys-, yritys- ja pankkitietosi tunnistaakseen sinut. Saamme vain Stripe-tilisi tunnuksen, maan ja tiedon siitä, ovatko maksut ja tilitykset käytössä.
• Viestintä — yhteydenottolomakkeen viestit, viestit järjestäjille tai opettajille ja tukipyynnöt.

Automaattisesti kerättävät tiedot

• Tekniset tiedot — IP-osoite, selaimen tyyppi ja versio, laitetyyppi, käyttöjärjestelmä, kieliasetus ja viittaava sivu. Varauksen yhteydessä tallennamme myös IP-osoitteen ja selaimen, joilla se tehtiin, väärinkäytösten estämiseksi.
• Käyttötiedot — vieraillut sivut, käytetty aika, haut ja klikkaukset. Kerätään vain, jos sallit analytiikkaevästeet.
• Likimääräinen sijainti — päätellään IP-osoitteesta lähellä olevien tapahtumien ehdottamiseksi. Emme tallenna tarkkoja GPS-koordinaatteja, ellet syötä niitä itse (esimerkiksi julkaistessasi paikan).

Muista lähteistä saadut tiedot

• Julkiset lähteet — jotta kartta olisi hyödyllinen alusta asti, kokoamme ilmoituksia retriittikeskuksista, studioista, opettajista ja tapahtumista julkisesti saatavilla olevista tiedoista, kuten niiden omilta verkkosivuilta ja julkisista yrityshakemistoista (myös Google Mapsista). Ne voivat sisältää yrityksen nimen, osoitteen, julkisen yhteyssähköpostin tai puhelinnumeron, kuvia ja tapahtumatietoja. Jos ilmoitus koskee sinua, voit ottaa sen haltuun rekisteröitymällä siinä näkyvällä sähköpostilla, korjata sen tai pyytää meitä poistamaan sen milloin tahansa.
• Kirjautumispalvelut — jos kirjaudut kolmannen osapuolen tilillä, saamme nimesi ja sähköpostiosoitteesi kyseiseltä palveluntarjoajalta.
• Stripe — maksujen, palautusten ja kiistojen tila sekä järjestäjien Stripe-tilin tila.

3. Miten käytämme tietojasi ja käsittelyperusteet

Käsittelemme henkilötietoja vain selkeästi määriteltyihin tarkoituksiin ja GDPR:n 6 artiklan mukaisella perusteella:

• Tilisi luominen ja hallinta — sopimuksen täytäntöönpano.
• Lähettämäsi sisällön julkaiseminen — sopimuksen täytäntöönpano.
• Varauksesi välittäminen järjestäjälle sekä varausvahvistusten ja tilapäivitysten lähettäminen — sopimuksen täytäntöönpano pyytämiesi toimien toteuttamiseksi.
• Verkkomaksujen, palautusten ja tilausten käsittely Stripen kautta sekä laskujen laatiminen — sopimuksen täytäntöönpano.
• Kirjanpito- ja veroaineiston säilyttäminen — lakisääteinen velvoite.
• Julkisten ilmoitusten kokoaminen retriittikeskuksista, studioista ja opettajista — oikeutettu etumme tarjota kattava hakemisto ja heidän etunsa tulla löydetyiksi. Voit vastustaa käsittelyä milloin tahansa.
• Julkaistun sisällön automaattinen kääntäminen — sopimuksen täytäntöönpano ja oikeutettu etumme tehdä ilmoituksista kaikille luettavia.
• Yhteydenottolomakkeen viesteihin vastaaminen — oikeutettu etumme tarjota tukea.
• Sivuston suojaaminen, petosten estäminen ja virheiden seuranta — oikeutettu etumme turvalliseen ja luotettavaan palveluun.
• Kävijäanalytiikka ja sivuston kehittäminen — suostumuksesi.
• Henkilökohtainen markkinointi ja mainonnan mittaus — suostumuksesi.
• Muiden lakisääteisten velvoitteiden noudattaminen — kun laki sitä edellyttää.

4. Evästeet ja vastaavat tekniikat

Evästeet ovat pieniä tekstitiedostoja, jotka tallennetaan laitteellesi, kun vierailet verkkosivustolla. Käytämme myös vastaavia tekniikoita, kuten selaimen paikallista tallennustilaa; tässä kohdassa kutsumme niitä kaikkia "evästeiksi".

Ensimmäisellä käynnilläsi valitset, mitkä evästeluokat sallit. Voit muuttaa valintaasi milloin tahansa alatunnisteen linkistä "Evästeasetukset". Suostumuksen peruminen ei vaikuta aiempaan käsittelyyn.

Välttämättömät (aina käytössä)

• authjs.session-token — pitää sinut kirjautuneena. Tarjoaja: RetreatsMap. Kesto: enintään 30 päivää.
• cookie-consent-v1 (selaimen paikallinen tallennustila) — muistaa evästevalintasi. Tarjoaja: RetreatsMap. Kesto: kunnes tyhjennät selaimen tallennustilan.
• Cloudflare Turnstile — varmistaa, että lomakkeet lähettää ihminen eikä botti. Tarjoaja: Cloudflare, Inc. Kesto: istunto.
• Stripe — kun avaat Stripen maksu- tai laskutussivun, Stripe asettaa omalle verkkotunnukselleen omia evästeitään maksun käsittelyä ja petosten estämistä varten. Niihin sovelletaan Stripen evästekäytäntöä.

Analytiikka (valinnaiset — vaativat suostumuksesi)

• _ga ja _ga_<ID> — erottavat kävijät ja säilyttävät istunnon tilan. Tarjoaja: Google Analytics 4 (Google Ireland Ltd.). Kesto: 2 vuotta.
• Sentryn istuntotallennus — tallentaa virheiden kontekstin korjaamista varten. Tarjoaja: Functional Software, Inc. (Sentry, EU-alue). Kesto: istunto.

Markkinointi (valinnaiset — vaativat suostumuksesi)

• _gcl_au — mittaa Google Ads -kampanjoiden tuloksia. Tarjoaja: Google Ireland Ltd. Kesto: 90 päivää.
• _uetsid ja _uetvid — mittaavat Microsoft Advertising -kampanjoiden tuloksia. Tarjoaja: Microsoft Ireland Operations Ltd. Kesto: 1 päivä ja 13 kuukautta.
• _fbp — mittaa Metan (Facebook, Instagram) mainontaa ja uudelleenkohdentamista. Tarjoaja: Meta Platforms Ireland Ltd. Kesto: 90 päivää.
• __kla_id — tunnistaa sinut uutiskirjettä ja henkilökohtaisia sähköposteja varten. Tarjoaja: Klaviyo, Inc. Kesto: 2 vuotta.

Voit myös poistaa evästeet selaimen asetuksista. Ilman välttämättömiä evästeitä kirjautuminen ja muut perustoiminnot eivät toimi.

5. Verkkomaksut Stripellä

RetreatsMapin verkkomaksut käsittelee Stripe (Stripe Payments Europe, Ltd., Irlanti, ja sen konserniyhtiöt).

• Varausten maksut — kun maksat tapahtumasta, maksat suoraan järjestäjälle, tämän omalle Stripe-tilille; myyjä on järjestäjä. RetreatsMap saa alustamaksun järjestäjältä, ei sinulta. Stripe käsittelee kortti- ja maksutietojasi itsenäisenä rekisterinpitäjänä maksujen käsittelyä, petosten estämistä ja omia lakisääteisiä velvoitteitaan varten.
• Tilaukset — kun järjestäjä ostaa RetreatsMap-tilauksen, Stripe käsittelee puolestamme maksun ja laskutustiedot, laskee arvonlisäveron ja laatii laskut. Stripen laskutusportaalissa voit vaihtaa korttia, ladata laskuja tai irtisanoa tilauksen.
• Järjestäjien tunnistaminen — saadakseen tilityksiä järjestäjät todentavat henkilöllisyytensä ja yrityksensä Stripellä Stripen ehtojen mukaisesti. Emme saa henkilöllisyysasiakirjoja tai täydellisiä tilinumeroita.
• Palautukset ja kiistat — järjestäjät hoitavat ne Stripe-tilillään. Saamme palautuksen tilan, jotta voimme päivittää varauksen ja ilmoittaa sinulle sähköpostilla.

Voit lukea, miten Stripe käsittelee henkilötietoja, osoitteessa stripe.com/privacy.

6. Kenelle luovutamme tietojasi

Emme myy henkilötietojasi. Luovutamme niitä vain, kun se on tarpeen palvelun tarjoamiseksi:

• Tapahtumien järjestäjät — heille lähettämäsi varaustiedot.
• Stripe — verkkomaksut, tilaukset ja laskut (katso kohta 5).
• Palvelintila — palveluntarjoajamme, jonka palvelimet sijaitsevat EU:ssa.
• Sähköpostien lähetys — sähköpostipalvelumme, joka lähettää tili- ja varausviestit.
• Cloudflare (Cloudflare, Inc.) — sisällönjakelu, DDoS-suojaus ja bottitarkistus (Turnstile).
• Käännöspalvelut — julkaistu sisältö (ei tilitietojasi) käännetään automaattisesti tekoälypohjaisilla käännöspalveluilla, kuten OpenAI.
• Google (Google Ireland Ltd.) — Google Mapsin paikkatiedot julkisiin ilmoituksiin; Google Analytics ja Google Ads vain suostumuksellasi.
• Sentry (Functional Software, Inc., EU-alue) — virheiden seuranta, vain suostumuksellasi.
• Meta Platforms Ireland Ltd., Microsoft Ireland Operations Ltd. ja Klaviyo, Inc. — mainonta ja sähköpostimarkkinointi, vain suostumuksellasi.

Palveluntarjoajat toimivat ohjeidemme mukaan sopimuksilla, jotka velvoittavat ne suojaamaan tietosi. Voimme myös luovuttaa tietoja, kun laki sitä edellyttää, esimerkiksi tuomioistuimen määräyksestä tai viranomaisen pätevästä pyynnöstä.

7. Siirrot EU:n ulkopuolelle

Osa palveluntarjoajistamme sijaitsee Yhdysvalloissa tai muissa Euroopan talousalueen ulkopuolisissa maissa. Tällaisissa siirroissa käytämme GDPR:n 44–49 artiklan suojatoimia:

• Euroopan komission vakiosopimuslausekkeet;
• EU:n ja Yhdysvaltojen tietosuojakehys, kun vastaanottaja on sertifioitu;
• muut lainsäädännössä tunnustetut suojatoimet.

8. Kuinka kauan säilytämme tietojasi

• Tilitiedot — kunnes poistat tilisi, minkä jälkeen enintään 30 päivää salatuissa varmuuskopioissa.
• Julkaistu sisältö — kunnes poistat sen, tai enintään 24 kuukautta tapahtuman päättymisen jälkeen.
• Varaukset — enintään 24 kuukautta tapahtuman päivämäärän jälkeen; järjestäjä voi säilyttää oman kopionsa oman käytäntönsä mukaan.
• Maksu-, lasku- ja kirjanpitoaineisto — niin kauan kuin kirjanpito- ja verolainsäädäntö edellyttää (Liettuassa enintään 10 vuotta).
• Julkiset ilmoitukset — kunnes yritys ottaa ilmoituksen haltuunsa (silloin sovelletaan tilin sääntöjä) tai pyytää sen poistamista.
• Yhteydenottolomakkeen viestit — 24 kuukautta.
• Palvelinlokit ja tekniset tiedot — 30 päivää.
• Analytiikkatiedot — 14 kuukautta.

9. Oikeutesi

GDPR:n (ja vastaavan Yhdistyneen kuningaskunnan ja Sveitsin lainsäädännön) mukaan sinulla on oikeus:

• Pääsy tietoihin — saada kopio sinusta säilyttämistämme henkilötiedoista.
• Oikaisu — korjata virheelliset tai puutteelliset tiedot.
• Poistaminen — pyytää meitä poistamaan tietosi lakisääteisiä säilytysvelvoitteita lukuun ottamatta.
• Käsittelyn rajoittaminen — pyytää meitä rajoittamaan käsittelyä tietyissä tilanteissa.
• Siirto-oikeus — saada tietosi jäsennellyssä, koneluettavassa muodossa.
• Vastustaminen — vastustaa oikeutettuun etuun perustuvaa käsittelyä, mukaan lukien suoramarkkinointi ja julkiset ilmoitukset.
• Suostumuksen peruminen — milloin tahansa, kun käsittely perustuu suostumukseen, vaikuttamatta aiempaan käsittelyyn.

Käyttääksesi näitä oikeuksia kirjoita osoitteeseen [email protected]. Voit myös tehdä valituksen tietosuojaviranomaiselle — Liettuassa valtion tietosuojatarkastusvirastolle (vdai.lrv.lt) tai asuinmaasi viranomaiselle (Suomessa tietosuojavaltuutetun toimisto).

10. Lapset

RetreatsMap ei ole tarkoitettu alle 16-vuotiaille, emmekä tietoisesti kerää heidän tietojaan. Jos uskot lapsen antaneen meille henkilötietoja, ota yhteyttä, niin poistamme ne.

11. Tietoturva

Suojaamme tietojasi alan vakiintuneilla keinoilla: HTTPS-salaus, salasanojen tiivisteet, roolipohjainen pääsy tietokantaan ja jatkuva valvonta. Korttimaksut hoitaa kokonaan Stripe, jolla on PCI DSS -tason 1 sertifiointi, korkein maksuturvallisuuden taso. Mikään järjestelmä ei ole 100 % turvallinen, mutta pienennämme riskejä ja reagoimme nopeasti häiriöihin.

12. Muutokset tähän käytäntöön

Voimme päivittää tätä käytäntöä ajoittain; yläreunan päivämäärä kertoo viimeisimmän muutoksen. Olennaisista muutoksista — esimerkiksi uusista tietotyypeistä tai vastaanottajista — ilmoitamme etukäteen sähköpostilla tai selvällä ilmoituksella sivustolla.