Tietosuojakäytäntö

1. Johdanto

NexPath Oy ("me", "meidän" tai "meihin") ylläpitää NexPath uraohjauspalvelun. Tämä tietosuojakäytäntö selittää, kuinka keräämme, käytämme, luovutamme ja suojaamme tietojasi, kun käytät palvelujamme.

Olemme sitoutuneet suojelemaan yksityisyyttäsi ja varmistamaan GDPR-vaatimustenhmukaisen toiminnan. Uskomme läpinäkyvyyteen tietokäytäntöistämme ja oikeuksistasi.

2. Keräämämme tiedot

2.1 Sinun toimittamasi tiedot

• Tilin tiedot: Nimi, sähköpostiosoite, organisaation sidonnaisuus
• Arviointitiedot: Vastaukset uraarviointeihin, kiinnostuksen kohteet, arvot, työskentelytavat
• Profiilin tiedot: Koulutuksellinen tausta, uratavoitteet, demografiset tiedot (valinnainen)
• Viestinnän tiedot: Palvelun kautta lähetetyt viestit, tukipyynnöt

2.2 Automaattisesti kerätyt tiedot

• Käyttötiedot: Vieraillut sivut, käytetyt ominaisuudet, käytetty aika, klikkausmallit
• Laitteen tiedot: Selaimen tyyppi, laitteen tyyppi, käyttöjärjestelmä, IP-osoite
• Evästeet: Istunnon hallinta, asetukset, analytiikka (katso evästekäytäntö)

3. Kuinka käytämme tietojasi

Käytämme tietojasi seuraavasti:

• Tarjoa henkilökohtaistettua uraohjausta ja suosituksia
• Analysoi arviointivastauksesi algoritmien avulla (RIASEC, Work Adjustment Theory)
• Luo raportteja ohjaajille ja ylläpitäjille (oikeuden perusteella)
• Paranna algoritmejamme ja alustan toiminnallisuutta
• Viesti tärkeistä päivityksistä, uusista ominaisuuksista tai tukivastauksista
• Noudata lakisääteisiä vaatimuksia ja estä petokset

3.1 Miten käytämme tekoälyä

Arviointisi pisteytetään deterministisellä, sääntöpohjaisella moottorilla — profiilisi ja urasi vastaavuudet tuottavat laskelmat ovat matematiikkaa, eivät tekoälyä. Käytämme kolmannen osapuolen tekoälypalveluita vain rajatussa, tukevassa roolissa:

• Sanallinen tulkinta: jo laskettujen tulosten ilmaisemiseen selkeällä, luettavalla kielellä.
• Ohjaaja-avustaja (NexPilot™): auttaa ohjaajia tarkastelemaan osallistujan valmista profiilia sekä yleistä, julkisesti saatavilla olevaa ura- ja lainsäädäntötietoa.
• Uraneuvonnan keskustelu, ansioluettelon rakentaja ja osaamisvajeen analyysi: vastaavat kysymyksiin ja luonnostelevat tekstiä profiilistasi sekä kirjoittamastasi tai tuomastasi sisällöstä.

Tekoäly ei suorita eikä muuta arvioinnin pisteytystä. Työtään varten se voi saada vastauksesi ja antamasi tiedot, kuten iän, maan ja sukupuolen, arviointitulokset (pisteet mukaan lukien) sekä tekoälyominaisuuksiin kirjoittamasi tekstin; nimesi, sähköpostiosoitteesi ja käyttäjätunnuksesi poistetaan ennen pyynnön lähettämistä. Tekoälykäsittelyn suorittaa tekoälyalihankkijamme (katso §4.2), jota ohjeistamme käyttämään vain tarjoajia, jotka eivät kerää sisältöä eivätkä kouluta sillä. Trust Centerin Tekoäly-sivu listaa jokaisen tekoälyominaisuuden ja sen saamat tiedot.

4. Tietojen jakaminen ja luovutus

4.1 Organisaatiossamme

Jos käytät NexPathia koulun tai organisaation kautta, valtuutetut ohjaajat ja ylläpitäjät voivat nähdä arviointiarvosanasi ja edistymisesi. Yksittäiset vastaukset yhdistetään organisaation näkemyksiksi.

4.2 Alihankkijat

Käytämme pientä joukkoa tarkastettuja palveluntarjoajia ("alihankkijoita") NexPathin toimintaan. Kukin on sidottu tietojenkäsittelysopimukseen ja käsittelee tietojasi vain ohjeidemme mukaisesti:

• Isännöinti ja infrastruktuuri: Hetzner Online — palvelimet sijaitsevat Helsingissä, Suomessa (EU), jonne tili- ja arviointitietosi tallennetaan.
• Verkko, reuna ja varmuuskopiot: Cloudflare — DNS, TLS-päätös ja R2-objektitallennus, jossa säilytetään salatut tietokantavarmuuskopiot.
• Todennus: Supabase — vain kirjautuminen ja sosiaalinen kirjautuminen. Arviointitietoja ei tallenneta sinne.
• Tekoäly: OpenRouter — välittää pyynnöt kielimalleille tuottaakseen sanallisia tulkintoja ja toimiakseen ohjaaja-avustajana (katso §3.1).
• Sähköposti: Resend — tapahtumasähköpostit (tili-, suostumus- ja ilmoitusviestit).
• Uutiskirje ja yhteydenottolomakkeet: Loops (Yhdysvallat) — vastaanottaa uutiskirje- ja yhteydenottolomakkeisiin antamasi nimen, sähköpostiosoitteen ja organisaation lähettääkseen pyytämäsi viestit. Siirrot perustuvat vakiolausekkeisiin tai EU–USA-tietosuojakehykseen (§9).
• Verkkosivuston analytiikka (vain suostumuksellasi): Google Analytics ja Google Tag Manager — sivuston käytön mittaus. Mitään ei lähetetä, ennen kuin hyväksyt analytiikkaevästeet evästebannerissa (katso evästekäytäntö).
• Virheraportointi (Sentry): kun jokin menee rikki, saamme teknisen virheraportin, jotta voimme korjata vian. Se voi joskus sisältää henkilötietoja, kuten tilisi tunnisteen. Virheraportointi on aina käytössä eikä aseta evästeitä.
• Lokitus: Better Stack — tallentaa teknisiä lokitietoja palvelun luotettavuuden ja turvallisuuden ylläpitämiseksi.
• Maksun käsittely: Stripe turvallista maksun käsittelyä varten. Kun teet ostoksen, Stripe vastaanottaa maksukorttitietosi, laskutusosoitteesi ja sähköpostiosoitteesi tapahtuman käsittelyä varten. NexPath ei tallenna maksukorttinumeroitasi. Katso Stripen tietosuojakäytäntö.

Kaikki alihankkijat ovat sopimuksesti velvoitettuja suojelemaan tietojasi GDPR-standardien mukaisesti. Ajantasainen luettelo ylläpidetään Trust Center -sivustollamme; ilmoitamme asiakkaille olennaisista muutoksista.

4.3 Lakisääteiset vaatimukset

Voimme luovuttaa tietoja, jos se vaaditaan lain, tuomioistuimen päätöksen tai omien tai muiden oikeuksien, turvallisuuden tai turvallisuuden suojelemisen vuoksi.

Laskutus- ja maksutiedot (organisaation nimi, maksajan nimi ja sähköpostiosoite sekä summat) luovutetaan Suomessa toimivalle tilitoimistollemme lakisääteisten kirjanpito- ja verovelvoitteidemme hoitamiseksi.

5. Tietoturva

Otamme käyttöön alan standardin mukaiset turvatoimet:

• Salaus siirron aikana (TLS 1.2+) kaikissa yhteyksissä, myös tietokantoihin
• Tietokantavarmuuskopiot salattu levossa ja tallennettu erilleen live-järjestelmästä (ensisijainen tietokantalevy on salattu levossa, LUKS2)
• JWT-pohjainen todennus ja vähimmän oikeuden pääsynvalvonta; hallinnollinen pääsy vain suojattujen, ei-julkisten kanavien kautta
• EU:ssa isännöity, yhden vuokralaisen infrastruktuuri tiukalla verkkoeristyksellä ja palomuurauksella
• Jatkuva valvonta, ulkoinen lokien kokoaminen, testatut varmuuskopiot ja dokumentoitu häiriönhallintaprosessi

6. Oikeutesi (GDPR)

GDPR:n nojalla sinulla on oikeus:

• Pääsy: Pyydä kopio henkilökohtaisista tiedoistasi
• Oikaisu: Korjaa epätarkkoja tai puutteellisia tietoja
• Poistaminen ("Oikeus unohtaa"): Pyydä tietojesi poistamista
• Siirrettävyys: Vie tietosi koneluettavassa muodossa (JSON)
• Käsittelyn rajoittaminen: Rajoita kuinka käytämme tietojasi
• Vastustaminen: Kieltäydy tietyistä tietojen käytöistä (esim. markkinointi)
• Suostumuksen peruuttaminen: Peruuta suostumus milloin tahansa

Jos haluat käyttää näitä oikeuksia, ota yhteyttä osoitteeseen privacy@nexpath.eu tai käytä tilin asetuksia palvelussa.

7. Tietojen säilytys

• Tili- ja arviointitiedot: säilytetään tilin olemassaolon ajan ja poistetaan, kun poistat tilisi tai tietosi.
• Poistetut tilit: kun vahvistat poiston, henkilötietosi poistetaan pysyvästi ja peruuttamattomasti järjestelmistämme — mukaan lukien todennuspalvelusta — ilman aiheetonta viivytystä, paitsi kun meidän on lain mukaan säilytettävä tiettyjä tietueita (alla).
• Laskutustiedot: laskut, maksutietueet ja tapahtumahistoria säilytetään 6 vuotta Suomen kirjanpitolain mukaisesti (Kirjanpitolaki 1336/1997).
• Vahvistamattomat alaikäisten tilit: jos vanhempien suostumusta pyydetään mutta sitä ei vahvisteta 7 päivän kuluessa, tili poistetaan automaattisesti.

8. Lasten yksityisyys

NexPath käsittelee alaikäisten tietoja pääasiassa koulu- tai ohjauskontekstissa. Kun koulu tai organisaatio käyttää NexPathia, se päättää, tarvitaanko alle 16-vuotiaiden käyttäjien osalta vanhemman tai huoltajan suostumus. Jos suostumus vaaditaan, pyydämme vanhempaa tai huoltajaa vahvistamaan sen, ja jos kukaan ei vahvista sitä 7 päivän kuluessa, tili ja sen tiedot poistetaan. Jos olet alle 16-vuotias ja käytät NexPathia omin päin, kysy ensin vanhemmaltasi tai huoltajaltasi. Mittaamamme piirteet rajoittuvat urakiinnostuksiin ja persoonallisuuteen emmekä pyydä erityisiin henkilötietoryhmiin kuuluvia tietoja.

9. Kansainväliset tiedonsiirrot

Tili- ja arviointitietosi säilytetään EU:ssa, palvelimilla, jotka sijaitsevat Helsingissä, Suomessa. Osa alihankkijoistamme (esimerkiksi tekoälykäsittely, maksut ja virheenseuranta) voi käsitellä rajallista tietoa EU:n ulkopuolella. Tällaisia siirtoja säätelevät Euroopan komission vakiosopimuslausekkeet tai vastaava riittävyysmekanismi.

10. Muutokset tähän käytäntöön

Voimme päivittää tätä tietosuojakäytäntöä ajoittain. Muutokset lähetetään tälle sivulle päivitetyllä "Päivitetty" -päivämäärällä. Merkittävät muutokset ilmoitetaan sähköpostitse tai alustan kautta.

11. Ota yhteyttä

Tietosuojakysymyksissä, tietopyyntöjä tai valituksissa: