Tietosuojaseloste

Versio 1.0 · Voimassa 2. lokakuuta 2026 alkaen

Tässä selosteessa kerrotaan, miten Kytrai Oy käsittelee henkilötietoja MaalariPro-palvelussa. Kuvaus perustuu palvelun nykyiseen toteutukseen.

1. Rekisterinpitäjä ja roolit

MaalariPro on Kytrai Oy:n (Y-tunnus 3656055-2, Suomi) tarjoama palvelu. Tietosuoja-asioissa ja rekisteröidyn oikeuksiin liittyvissä pyynnöissä yhteystieto on info@maalaripro.fi.

Kytrai Oy toimii rekisterinpitäjänä käyttäjätilien, laskutuksen, asiakastuen, palautteen sekä palvelun tietoturvan ja teknisen toiminnan osalta.

Kun asiakasyrityksen käyttäjä syöttää tai lataa palveluun omien asiakkaidensa tai muiden henkilöiden tietoja (esimerkiksi asiakasrekisteri, tarjoukset, kohteiden tiedot ja ladatut tiedostot), asiakasyritys on näiden tietojen rekisterinpitäjä ja Kytrai Oy käsittelee tietoja asiakasyrityksen lukuun sen ohjeiden mukaisesti. Käsittelyn ohjeet ovat palvelun toiminnot, käyttöehdot ja tämä seloste. Erillinen tietojenkäsittelysopimus voidaan sopia pyynnöstä.

2. Käsittelemämme tiedot, tarkoitukset, oikeusperusteet ja säilytys

Alla on kuvattu todelliset tietoryhmät. Palvelu ei kerää mainos- tai seurantatietoa.

Käyttäjä- ja tilitiedot

Tiedot: Nimi (näyttönimi ja koko nimi), sähköpostiosoite, käyttäjätunnus (tekninen ID), rooli yrityksessä, yritys, tilin luontiaika, kielen ja ulkoasun asetukset. Salasanaa käsittelee tunnistautumispalvelu (Supabase Auth), joka tallentaa sen suojattuna tiivisteenä. Kytrai Oy ei näe salasanaasi.
Tarkoitus: Tilin luominen ja ylläpito, kirjautuminen, palvelun tarjoaminen yrityksen käyttäjille.
Oikeusperuste: Sopimuksen täytäntöönpano (GDPR 6(1)(b)) käyttäjäorganisaation kanssa.
Säilytys: Tilin voimassaolon ajan. Kun poistat tilin asetuksista, profiilin sähköpostiosoite anonymisoidaan ja tili merkitään poistetuksi. Täydellistä poistoa tunnistautumispalvelusta ja yrityksen tiedoista voi pyytää osoitteesta info@maalaripro.fi.

Yritys-, asiakas-, projekti- ja tarjoustiedot

Tiedot: Käyttäjän syöttämät tiedot: yrityksen tiedot, asiakkaiden nimet, osoitteet, sähköpostit, puhelinnumerot, Y-tunnukset ja muistiinpanot, kohde- ja työmaatiedot, tarjousten sisältö ja hinnoittelu, varastotiedot sekä muistiinpanot. Tiedot voivat sisältää kolmansien henkilöiden henkilötietoja.
Tarkoitus: Palvelun tarjoaminen: tarjousten laskenta, dokumenttien luonti ja asiakasyrityksen oman toiminnan tukeminen.
Oikeusperuste: Asiakasyritys on rekisterinpitäjä ja vastaa käsittelyn oikeusperusteesta. Kytrai Oy käsittelee tiedot asiakasyrityksen puolesta sopimuksen täyttämiseksi.
Säilytys: Siihen asti, kunnes asiakasyritys poistaa tiedot tai pyytää poistoa, tai sopimussuhteen päätyttyä käyttöehtojen mukaisesti. Käyttäjä voi poistaa tietoja palvelussa itse.

Käyttäjän lataamat tiedostot

Tiedot: Kuvat, PDF-dokumentit ja muut analyysiin ladatut liitteet (esimerkiksi piirustukset ja tarjouspyynnöt) sekä niistä erotettu teksti. Tiedostoissa voi olla kolmansien henkilöiden henkilötietoja.
Tarkoitus: Tarjouksen analysointi ja luonnoksen tuottaminen.
Oikeusperuste: Kuten yritys-, asiakas- ja tarjoustiedoissa: asiakasyritys on rekisterinpitäjä, Kytrai Oy käsittelee tiedot sen lukuun.
Säilytys: Tiedostot tallennetaan suojattuun tiedostotallennukseen. Oletuksena ne säilyvät, kunnes ne poistetaan. Asetuksissa voi valita, ettei tiedostoja säilytetä analyysin jälkeen; tilapäisen säilytyksen automaattinen poistoajo ei vielä ole käytössä, joten poistoa voi pyytää myös osoitteesta info@maalaripro.fi.

AI-käsittelyyn lähetettävä tieto

Tiedot: Analyysiin liittyvät tiedostot, kirjoitettu kuvaus ja rakennuksen tiedot, ks. kohta 4.
Tarkoitus: Tarjousluonnoksen, työvaiheiden ja määrien ehdottaminen käyttäjälle.
Oikeusperuste: Kuten yllä: palvelun tarjoaminen asiakasyrityksen lukuun.
Säilytys: AI:n tuottama luonnos tallennetaan osaksi analyysiä ja tarjousta samoin kuin muu tarjousdata. Kytrai Oy ei tallenna erillistä AI-pyyntöjen ja vastausten sisältölokia. Tekninen käyttöloki (malli, tokenimäärät, kesto, onnistuminen) tallennetaan ilman sisältöä.

Laskutus- ja sopimustiedot

Tiedot: Valittu pilottijakso ja hinta, laskutusnimi, Y-tunnus, yhteyshenkilö, laskutussähköposti, puhelinnumero ja laskutusosoite (vapaaehtoinen) sekä käyttöehtojen hyväksymistieto (hyväksytty versio, aika, käyttäjä ja yritys).
Tarkoitus: Laskutus, sopimuksen hallinta, väärinkäytösten ehkäisy (saman laskutusidentiteetin käyttö usealla yrityksellä) ja hyväksynnän osoittaminen.
Oikeusperuste: Sopimuksen täytäntöönpano (6(1)(b)), lakisääteinen velvoite kirjanpidossa (6(1)(c)) sekä oikeutettu etu väärinkäytösten ehkäisyyn ja sopimuksen todentamiseen (6(1)(f)).
Säilytys: Kirjanpitoaineisto säilytetään kirjanpitolain edellyttämän ajan. Hyväksymistiedot säilytetään sopimussuhteen ajan ja sen jälkeen sen verran kuin sopimuksen osoittaminen vaatii. Automaattista poistoa ei ole vielä toteutettu.

Tuki- ja palautetiedot

Tiedot: Palautelomakkeella tai sähköpostilla lähettämäsi viesti, mahdolliset kuvakaappaukset, sivu josta palaute lähetettiin sekä sovellusversio.
Tarkoitus: Tuen antaminen ja palvelun parantaminen.
Oikeusperuste: Sopimuksen täytäntöönpano (tuki) ja oikeutettu etu palvelun kehittämiseen (6(1)(f)).
Säilytys: Siihen asti, kun palaute on käsitelty ja sen käyttö palvelun parantamiseen on tarpeen. Kuvakaappaukset ovat yksityisessä tallennustilassa. Automaattista poistoa ei ole vielä toteutettu; voit pyytää poistoa.

Turvallisuus- ja tekniset lokitiedot

Tiedot: Tilikohtainen tapahtumaloki (toiminto, kohde, aikaleima, IP-osoite ja selaimen tunnistetieto sellaisista toiminnoista, jotka tallennetaan lokiin, kuten laskutuksen aloitus, tietojen vienti ja poisto), AI-käytön tekninen loki (malli, tokenimäärät, kesto, virhekoodi), palvelimen ja virheiden lokit sekä kirjautumisistuntoon liittyvät tekniset tiedot. Palvelussa ei käytetä erillistä virheseuranta- tai analytiikkapalvelua.
Tarkoitus: Tietoturva, väärinkäytösten ja virhetilanteiden selvittäminen, kustannusten hallinta ja palvelun toimintavarmuus.
Oikeusperuste: Oikeutettu etu palvelun turvallisuuteen ja toimintaan (6(1)(f)).
Säilytys: Tapahtumalokia säilytetään toistaiseksi tilin elinkaaren ajan; määräaikaista automaattista poistoa ei ole vielä toteutettu. Palvelinlokien säilytys määräytyy hosting-palvelun käytännön mukaan.

3. Kolmansien henkilöiden tiedot

Käyttäjä voi syöttää palveluun omien asiakkaidensa ja muiden henkilöiden tietoja. Käyttäjäorganisaatio vastaa siitä, että sillä on oikeus käsitellä ja ladata nämä tiedot sekä että henkilöitä on informoitu käsittelystä. Tällaisten henkilöiden oikeuspyynnöt tulee ensisijaisesti osoittaa kyseiselle asiakasyritykselle. Jos pyyntö saapuu Kytrai Oy:lle, välitämme sen tai autamme asiakasyritystä sen hoitamisessa.

4. Tekoälykäsittely

MaalariPro käyttää tekoälyä tarjousanalyysin luonnostelussa. Palveluntarjoaja on OpenAI (mallit gpt-5.6-luna ja gpt-5.6-terra). Muita AI-palveluja ei tuotannossa käytetä.

Palveluntarjoajalle lähetetään analyysiin valitut tiedostot (kuvat ja PDF-dokumentit), käyttäjän kirjoittama kuvaus ja rakennuksen perustiedot.
Ennen lähetystä kirjoitettu teksti ja osoitekentät suojataan automaattisella tunnisteiden peittämisellä (sähköposti, puhelinnumero, osoite, henkilötunnus, IBAN, Y-tunnus). Ladattujen kuvien ja PDF-tiedostojen sisältöä ei peitetä, joten niissä näkyvät henkilötiedot voivat päätyä AI-palveluntarjoajan käsiteltäväksi. Lataa vain aineistoa, jonka käsittelyyn sinulla on oikeus.
OpenAI:n julkisen API-dokumentaation mukaan API:lle lähetettyä dataa ei käytetä OpenAI:n mallien kouluttamiseen oletuksena. Palvelu pyytää OpenAI:ta olemaan säilyttämättä vastauksia (store: false). OpenAI voi silti säilyttää väärinkäytösten seurantalokeja enintään 30 päivää sopimusehtojensa mukaisesti.
Tulos on luonnos. Käyttäjä tarkistaa ja muokkaa määrät, työvaiheet ja hinnat, ennen kuin tarjous lähetetään asiakkaalle.

5. Vastaanottajat ja palveluntarjoajat

Käytämme seuraavia alihankkijoita ja vastaanottajia. Luettelo kattaa palvelut, jotka ovat tällä hetkellä käytössä tuotannossa.

Supabase – tietokanta, tunnistautuminen ja tiedostotallennus (tietokantaprojektin alue: Pohjois-EU, Tukholma).
Railway – sovelluksen ajoympäristö ja palvelinlokit.
OpenAI – tekoälyanalyysi, ks. kohta 4.
Resend – järjestelmäsähköpostien lähetys (esimerkiksi pilotin vahvistus, laskutusilmoitukset ja palautteen välitys).
Maanmittauslaitos (avoin paikkatieto) ja OpenStreetMap Overpass API – rakennustietojen haku sijaintikoordinaateilla, kun käyttäjä käyttää rakennustietohakua. Hakuun lähetetään koordinaatit, ei käyttäjän tai asiakkaan nimeä.
Selaimen ilmoituspalvelut (esimerkiksi selaimen valmistajan push-palvelu) – vain jos otat selainilmoitukset käyttöön.

Lisäksi tietoja voidaan luovuttaa viranomaiselle, kun laki sitä edellyttää. Kytrai Oy ei myy henkilötietoja.

6. Tietojen siirto EU/ETA-alueen ulkopuolelle

Tietokanta ja tiedostot sijaitsevat Supabase-projektissa, jonka alue on Pohjois-EU (Tukholma). Sovelluksen ajoympäristön (Railway) sijaintia ei ole tässä selosteessa vahvistettu EU/ETA-alueelle.

AI-käsittely tapahtuu OpenAI:n palveluissa. Palvelun tuotantoympäristö ei ole konfiguroitu OpenAI:n EU-datan sijaintialueelle, joten AI-käsittely voi tapahtua EU/ETA-alueen ulkopuolella, erityisesti Yhdysvalloissa. Samoin muiden palveluntarjoajien käsittely voi sisältää siirtoja EU/ETA:n ulkopuolelle.

Siirroissa nojaudumme GDPR:n V luvun mukaisiin siirtomekanismeihin, jotka palveluntarjoajat tarjoavat sopimusehdoissaan (esimerkiksi komission vakiosopimuslausekkeet tai EU–USA tietosuojakehys). Pyydä lisätietoja osoitteesta info@maalaripro.fi.

7. Säilytysajat ja varmuuskopiot

Säilytysajat on kuvattu tietoryhmittäin kohdassa 2. Yleisperiaate: säilytämme tietoja vain niin kauan kuin tarkoitus, sopimus tai laki sitä edellyttää.

Palvelun tietokannan varmuuskopioita ylläpitää Supabase omien käytäntöjensä mukaan. Poistettu tieto voi säilyä varmuuskopioissa rajatun ajan, jonka jälkeen se ylikirjoittuu.

Kerromme erikseen kohdassa 2, jos jokin säilytysaika ei vielä toteudu automaattisesti. Näissä tapauksissa poisto tehdään pyynnöstä.

8. Evästeet ja selaimen tallennus

MaalariPro käyttää vain palvelun toiminnan kannalta välttämättömiä evästeitä ja selaimen tallennusta. Emme käytä analytiikka-, mainonta- tai seurantaevästeitä emmekä kolmannen osapuolen seurantaskriptejä, joten evästesuostumusbanneria ei tarvita.

Kirjautumisistunnon evästeet (Supabase Auth): pitävät sinut kirjautuneena ja uudistavat istunnon.
Kielivalinta: muistaa valitun kielen (suomi tai englanti).
Selaimen paikallinen tallennus (localStorage ja sessionStorage): ulkoasuasetukset, keskeneräisen tarjouksen ja analyysin tila, valitut työtilan asetukset sekä ilmoitusten sulkemisen muistaminen. Tiedot pysyvät laitteellasi; osa tyhjennetään uloskirjautumisessa.
Palvelutyöntekijä (PWA): tallentaa julkisia staattisia tiedostoja ja offline-sivun. Se ei tallenna kirjautumis-, tarjous- tai ladattua dataa.
Selainilmoitukset: valinnaiset ja käyttöön vain selaimen luvallasi. Suostumuksen voi peruuttaa selaimen asetuksista.

9. Oikeutesi

Sinulla on soveltuvin osin oikeus tarkastaa tietosi, oikaista ne, pyytää niiden poistamista, rajoittaa tai vastustaa käsittelyä sekä saada tietosi siirrettävässä muodossa. Jos käsittely perustuu suostumukseen, voit perua sen milloin tahansa. Oikeuksiin voi olla GDPR:ssa säädettyjä poikkeuksia.

Pyyntö tehdään sähköpostitse osoitteeseen info@maalaripro.fi. Voimme pyytää sinua tunnistautumaan. Vastaamme ilman aiheetonta viivytystä ja pääsääntöisesti kuukauden kuluessa.

Palvelun asetuksista voit itse ladata tietosi JSON-tiedostona (tarjoukset ja varastotiedot) ja poistaa käyttäjätilisi. Muut tiedot, kuten asiakasrekisterin tiedot, toimitamme pyynnöstä.

Sinulla on oikeus tehdä valitus valvontaviranomaiselle. Suomessa toimivaltainen viranomainen on tietosuojavaltuutetun toimisto (tietosuoja.fi).

10. Automatisoitu päätöksenteko

MaalariPro ei tee GDPR 22 artiklan tarkoittamaa automatisoitua päätöksentekoa, jolla olisi oikeudellisia vaikutuksia sinuun tai vastaavaa merkittävää vaikutusta. AI ehdottaa tarjousluonnoksen sisältöä ja laskennan lähtötietoja, ja käyttäjä tarkistaa ja päättää, mitä tarjoukseen lopulta tulee ja lähetetäänkö se.

11. Tietoturva

Suojaamme tietoja muun muassa salatuilla yhteyksillä, pääsynhallinnalla ja yrityskohtaisella tietojen erottelulla (käyttäjä näkee vain oman yrityksensä tiedot), palvelutason avainten pitämisellä vain palvelimella, yksityisellä tiedostotallennuksella sekä tapahtumalokin avulla. Mikään tietoturvakeino ei kuitenkaan ole täydellinen.

12. Muutokset tähän selosteeseen

Päivitämme selostetta, kun palvelu tai käsittely muuttuu. Olennaisista muutoksista ilmoitetaan sovelluksessa tai sähköpostitse ennen muutoksen voimaantuloa. Nykyinen versio ja voimaantulopäivä näkyvät sivun yläreunassa.