Scope

Päivitetty 2026-09-03

Tietosuojaseloste

Tämä tietosuojaseloste kuvaa, miten Leadership as a Service Company Oy ("me") käsittelee henkilötietoja Scope-palvelun ("Palvelu") yhteydessä EU:n yleisen tietosuoja-asetuksen (GDPR) mukaisesti.

1. Rekisterinpitäjä

Leadership as a Service Company Oy
Y-tunnus 3089216-9
Åkerlundinkatu 8, 33100 Tampere
Tietosuoja-asioiden yhteyshenkilö: johanna.pystynen@laas.fi

Rekisterinpitäjä vs. käsittelijä

Toimimme rekisterinpitäjänä Palvelun käyttäjätilien ja asiakassuhteen tietojen osalta (esim. käyttäjän nimi ja sähköposti). Kun asiakasorganisaatio syöttää Palveluun tietoja omista työntekijöistään tai sidosryhmistään, asiakasorganisaatio toimii rekisterinpitäjänä ja me toimimme henkilötietojen käsittelijänä. Tästä on erillinen tietojenkäsittelysopimus (DPA).

2. Käsiteltävät tiedot

Käyttäjätilien tiedot

  • Nimi, sähköpostiosoite, profiilikuva (jos annat)
  • Kirjautumis- ja käyttötiedot (viimeisin kirjautuminen, aikaleimat)
  • Organisaatiojäsenyys ja rooli (admin/jäsen)

Palvelussa syötetyt sisällöt

  • Organisaation kuvaustiedot, muutokset, haastatteluvastaukset
  • Tietoja työntekijöistä ja rooleista (nimet, tehtävät, osaamiset) sikäli kun asiakas niitä syöttää
  • AI:n tuottamat analyysit ja suositukset
  • Kommentit, tehtävät ja muistiinpanot, joita käyttäjät kirjoittavat muutoksiin
  • Palvelusta annettu palaute (vapaa teksti, arvosana, sivupolku ja selaintieto)
  • Käynnistettyjen kyselyiden sanoitukset ja tunnistetiedot (kysymykset, linkki, sulkeutumisaika ja se, kuka kyselyn käynnisti). Kyselyn vastaukset eivät tallennu Scopeen vaan erilliseen Guidin Survey -palveluun, ks. kohta 5.
  • Roskakoriin siirretyt sisällöt, jotka säilyvät palautettavina ennen lopullista poistoa

Tekniset tiedot

  • IP-osoite (tarvittaessa tietoturvasyistä), selain, aikaleimat
  • Välttämättömät istunto- ja kirjautumisevästeet
  • Suostumusloki (hyväksytyn dokumentin versio, aikaleima, selaintieto ja IP-osoitteen tiiviste)
  • AI-käytön lokitus (kuka teki generoinnin ja milloin) kiintiöiden ja väärinkäytön eston vuoksi
  • Virhetilanteiden tekninen diagnostiikka, josta vapaat tekstit, sähköpostit ja puhelinnumerot poistetaan automaattisesti ennen lähetystä

3. Käsittelyn tarkoitukset ja oikeusperusteet

  • Sopimuksen täyttäminen (GDPR 6.1(b)) — käyttäjätilien luonti, laskutus, Palvelun tuottaminen.
  • Oikeutettu etu (GDPR 6.1(f)) — Palvelun tietoturva, väärinkäytösten estäminen, Palvelun kehittäminen anonymisoidun käyttödatan perusteella.
  • Lakisääteinen velvoite (GDPR 6.1(c)) — kirjanpitolain mukaiset laskutustiedot.
  • Suostumus (GDPR 6.1(a)) — vapaaehtoiset markkinointiviestit, mikäli sellaisiin liitytään.
  • Oikeutettu etu (GDPR 6.1(f)) — ilman tiliä tilatun esimerkin kirjoittaminen ja siihen liittyvä yhteydenotto (ks. kohta 6).

4. Tekoälyn käyttö tietojen käsittelyssä

Palvelu käyttää generatiivista tekoälyä tuottaakseen kehittämisehdotuksia ja analyysejä. Kun käytät AI-toimintoja, syöttämäsi tekstit ja niihin liittyvä konteksti (organisaation kuvaus, muutoksen tavoitteet) lähetetään AI-mallin toimittajalle käsittelyä varten EUrouter-gatewayn kautta. AI-toimittaja käsittelee pyyntösi generoidakseen vastauksen. Käsittely tapahtuu kokonaan EU-alueella: gateway ei säilytä pyyntöjen eikä vastausten sisältöä, ja mallin suorituksesta vastaavan Microsoftin sopimusehdot kieltävät asiakasdatan käytön mallien koulutukseen. AI:lle ei lähetetä tietoisesti erityisiin henkilötietoryhmiin kuuluvia tietoja (kuten terveystietoja).

Automaattinen päätöksenteko: Palvelu ei tee GDPR:n 22 artiklan tarkoittamia täysin automaattisia päätöksiä, joilla olisi oikeusvaikutuksia. AI:n tuotokset ovat päätöksenteon tukea, jonka arvioinnista ja käytöstä käyttäjä vastaa itse.

5. Henkilöstölle lähetettävät kyselyt

Palvelusta voi käynnistää kyselyitä (osaamiskartoitus ja pulssikyselyt), jotka lähetetään Asiakkaan valitsemille vastaajille. Kysely toteutetaan erillisessä Guidin Survey -palvelussa, joka on saman Palveluntarjoajan tuottama palvelu. Scopeen tallentuu kyselyn sanoitus, linkki ja sulkeutumisaika sekä se, kuka kyselyn käynnisti; vastaukset käsitellään ja säilytetään Survey-palvelussa sen omien ehtojen ja tietosuojaselosteen mukaisesti.

Vastaajien joukossa voi olla henkilöitä, jotka eivät ole Palvelun käyttäjiä. Asiakas toimii näiden tietojen osalta rekisterinpitäjänä ja vastaa siitä, että vastaajille kerrotaan kyselystä ja sen tarkoituksesta. Tulokset näytetään vasta, kun vastaajia on vähintään kyselylle asetettu anonymiteettiraja — sitä pienempiä ryhmiä ei näytetä, jotta yksittäistä vastaajaa ei voi tunnistaa. Kyselyt ovat erikseen ostettavia; ostosta jää Palveluun ja maksunvälittäjälle tavanomainen laskutustieto.

6. Esimerkin tilaaminen ilman tiliä

Verkkosivuiltamme voi tilata esimerkin ilman käyttäjätiliä. Tilaaja kertoo toimialan ja halutessaan yhden tarkasteltavan roolin sekä yhteystietonsa: nimi, sähköpostiosoite, organisaatio ja ammattinimike. Näistä muodostetaan tekoälyn avulla yksi valmis esimerkki, joka näytetään omassa verkko-osoitteessaan. Lomakkeella ei ole vapaata tekstikenttää tilanteen kuvaamiseen: näin tiedämme tarkalleen, mitä tietoa meille kertyy, eikä lomakkeelle voi vahingossa päätyä yksittäisiä henkilöitä koskevia tai salassa pidettäviä tietoja.

Lähtötiedot lähetetään AI-mallin toimittajalle esimerkin kirjoittamista varten samoin ehdoin kuin muukin Palvelun AI-käyttö (ks. kohta 4): käsittely tapahtuu EU-alueella, eikä syötettyä tietoa saa sopimusehtojen mukaan käyttää mallien koulutukseen. Yhteystiedot ja tilauksen sisältö lähetetään lisäksi myyntiosoitteeseemme yhteydenottoa varten.

Esimerkin osoite toimii ilman kirjautumista. Osoitteen tunniste on arvaamaton eikä sivua indeksoida hakukoneisiin, mutta osoitteen haltija näkee esimerkin — tilaaja voi siis halutessaan jakaa sen eteenpäin. Osoite on voimassa 90 päivää.

Käsittelyn oikeusperuste on oikeutettu etu (GDPR 6.1(f), ks. myös johdanto-osan 47 kohta): tilaaja on itse pyytänyt esimerkin, ja yhteystietoja käytetään sen toimittamiseen sekä työkaluistamme kertoviin viesteihin. Viestintä kohdistuu vastaanottajan työtehtävään, ja sen voi kieltää milloin tahansa — jokaisessa viestissä kerrotaan miten, ja kiellon jälkeen viestintä loppuu. Tiedot voi pyytää poistettavaksi milloin tahansa kohdan 10 mukaisesti.

7. Tietojen luovutus ja käsittelijät (alihankkijat)

Käytämme seuraavia alikäsittelijöitä Palvelun toteuttamiseen:

  • Supabase (tietokanta, autentikointi, tiedostot): EU-alue (Frankfurt)
  • Resend (palvelusähköpostit): EU-käsittelyalue; edelleensiirroissa SCC
  • Render (sovelluksen ajoalusta): EU-alue (Frankfurt)
  • EUrouter (AI-pyyntöjen välitys): EU/ETA (Alankomaat); ei siirtoja ETA:n ulkopuolelle, eikä pyyntöjen tai vastausten sisältöä säilytetä
  • Microsoft (OpenAI:n GPT-mallien suoritus): EU-alue (EU DataZone); sopimusehdot kieltävät asiakasdatan käytön mallien koulutukseen
  • Guidin Survey (kyselyiden toteutus): EU-alue; saman Palveluntarjoajan oma palvelu, jolle välitetään kyselyn sanoitus ja organisaation tunniste — vastaukset kertyvät sinne, eivät Scopeen
  • Stripe: maksaminen ja laskutus; EU / USA, SCC
  • Google (OAuth-kirjautuminen): vain jos käyttäjä valitsee Google-kirjautumisen
  • Sentry (virheiden tekninen seuranta): EU-alue; käytössä vain jos virheseuranta on kytketty päälle. Vapaat tekstit ja tunnistetiedot suodatetaan pois ennen lähetystä.

Tietojen jakaminen käyttäjän omasta aloitteesta

Palvelussa voi kutsua muita organisaation jäseniä muutoksiin ja jakaa yksittäisen muutoksen nimetylle henkilölle katselu- tai muokkausoikeudella. Jaon saanut näkee kyseisen muutoksen sisällön. Jakojen luonti, voimassaolo ja sulkeminen ovat Asiakkaan omassa hallinnassa, ja Asiakas vastaa siitä, kenelle sisältöä jaetaan.

Asiakkaan pääkäyttäjä voi lisäksi rajata jäsenen pääsyn osiokohtaisesti, jolloin jäsen näkee vain ne osiot, jotka hänelle on myönnetty. Ilman rajausta jäsenellä on pääsy kaikkiin osioihin. Rajaus on Asiakkaan oma pääsynhallinnan keino, ja sen käytöstä päättää Asiakas.

Ajantasainen lista alikäsittelijöistä on alikäsittelijäsivulla. Emme myy henkilötietoja kolmansille osapuolille.

8. Tietojen sijainti ja siirrot EU:n ulkopuolelle

Palvelun päädata sijaitsee EU:ssa (Frankfurt), ja myös AI-käsittely tapahtuu kokonaan EU-alueella. Mahdolliset siirrot EU:n ulkopuolelle (esim. maksunvälitys ja Google-kirjautuminen, sekä alikäsittelijöiden edelleensiirrot) tapahtuvat EU-komission hyväksymien vakiosopimuslausekkeiden (SCC) turvin.

9. Säilytysajat

  • Käyttäjätili: niin kauan kuin tili on aktiivinen. Tilin poistamisen jälkeen tiedot poistetaan 30 päivän kuluessa, ellei laki edellytä pidempää säilytystä.
  • Asiakassisältö (muutokset, analyysit): tilauksen voimassaoloajan. Tilauksen päätyttyä Asiakkaalla on 30 päivää aikaa ladata omat tiedot, jonka jälkeen ne poistetaan.
  • Arkistoidut muutokset: 24 kuukautta arkistoinnista, minkä jälkeen anonymisoidaan tai poistetaan.
  • Laskutustiedot: 6 vuotta kirjanpitolain mukaisesti.
  • Roskakori (poistetut kohteet): 30 päivää, minkä jälkeen sisältö poistetaan lopullisesti.
  • Palaute: enintään 24 kuukautta palautteen käsittelystä.
  • Tilattu esimerkki ja sen lähtötiedot (toimiala, rooli, valmis sisältö): 90 päivää tilauksesta, minkä jälkeen ne poistetaan — sama aika, jonka esimerkin osoite on voimassa.
  • Esimerkin tilaajan yhteystiedot: enintään 24 kuukautta viimeisimmästä yhteydenpidosta, koska tilaaja on pyytänyt kuulla työkaluistamme. Poistamme ne aiemmin pyynnöstä, ja jokaisessa viestissä kerrotaan, miten viestit voi lopettaa.
  • Kyselytiedot Scopessa (sanoitus, linkki, sulkeutumisaika): muutoksen elinkaaren ajan. Vastausten säilytys määräytyy Guidin Survey -palvelun mukaan.
  • AI-käytön loki: 12 kuukautta väärinkäytön eston ja kiintiöiden seurannan vuoksi.
  • Virhediagnostiikka: enintään 90 päivää.
  • Suostumusloki: 6 vuotta osoitusvelvollisuuden täyttämiseksi.

10. Teidän oikeutenne

Teillä on GDPR:n mukaan seuraavat oikeudet:

  • Tarkastusoikeus — saada tietää, mitä tietoja teistä käsitellään.
  • Oikaisu — korjata virheelliset tiedot.
  • Poisto ("unohdetuksi tuleminen") — pyytää tietojenne poistamista.
  • Käsittelyn rajoittaminen ja vastustamisoikeus.
  • Tietojen siirto-oikeus — saada tietonne koneluettavassa muodossa.
  • Oikeus peruuttaa suostumus, kun käsittely perustuu suostumukseen.
  • Oikeus tehdä valitus valvontaviranomaiselle (Tietosuojavaltuutetun toimisto, tietosuoja.fi).

Voitte käyttää oikeuksianne joko Palvelun käyttäjäasetuksista ("Lataa omat tiedot" ja "Poista tilini") tai lähettämällä pyynnön osoitteeseen johanna.pystynen@laas.fi. Vastaamme pyyntöön viimeistään 30 päivän kuluessa.

11. Tietoturva

Suojaamme tiedot asianmukaisin teknisin ja organisatorisin toimenpitein: salattu TLS-yhteys, roolipohjainen ja osiokohtainen pääsynhallinta, tietokantatason rivikohtainen käyttöoikeushallinta (RLS), pääsylokit ja säännölliset tietoturvakatselmoinnit, automaattinen uloskirjaus pitkän käyttämättömyyden jälkeen sekä rajattu ylläpito-oikeus, jota käytetään vain tuen ja väärinkäytösten selvittämisen edellyttämässä laajuudessa. Havaitusta tietoturvaloukkauksesta ilmoitamme valvontaviranomaiselle 72 tunnin kuluessa GDPR 33 artiklan mukaisesti ja rekisteröidyille tarvittaessa.

12. Evästeet

Käytämme ainoastaan Palvelun toiminnan kannalta välttämättömiä evästeitä (istunto ja autentikointi). Emme käytä mainos- tai seurantaevästeitä ilman erillistä suostumustasi.

13. Työtila ilman tilausta

Työtilan voi luoda ilman tilausta, jolloin sisällöt säilyvät, ovat luettavissa ja ladattavissa koneluettavassa muodossa, mutta uusien tekoälyavusteisten sisältöjen luonti avautuu vasta tilauksella. Jos tilausta ei oteta käyttöön, työtilassa syntyneet tiedot poistetaan 90 päivän kuluessa viimeisestä käytöstä, ellei Asiakas pyydä poistoa aiemmin. Vain luku -tilassa selattava esimerkkimuutos ei sisällä asiakkaiden tietoja.

14. Muutokset tietosuojaselosteeseen

Voimme päivittää tätä selostetta. Ilmoitamme olennaisista muutoksista Palvelun kautta tai sähköpostitse vähintään 30 päivää ennen muutosten voimaantuloa. Selosteen versionumero ja päivitysajankohta näkyvät yllä.