Tietosuojaseloste – rental.fi

Tämä tietosuojaseloste kuvaa, miten Suomen Kierrätyskone Oy ("yritys", "me") käsittelee henkilötietoja, kun käytät rental.fi-palvelua. Sitoudumme noudattamaan EU:n yleistä tietosuoja-asetusta (GDPR) ja soveltuvaa lainsäädäntöä.

1. Rekisterinpitäjä ja yhteystiedot

2. Käsittelyn tarkoitukset ja oikeusperusteet

Käsittelemme henkilötietoja seuraaviin tarkoituksiin:

1. Palvelun tarjoaminen ja käyttäjätilien hallinta (tilin luonti, kirjautuminen, käyttöoikeudet, sopimuksen täytäntöönpano).
   Oikeusperuste: sopimus ja/tai sopimusta edeltävät toimet (GDPR 6(1)(b)).
2. Tarjouspyyntöjen välittäminen vuokrausyrityksille ja vuokrauspalvelun mahdollistaminen.
   Oikeusperuste: sopimus ja/tai sopimusta edeltävät toimet (GDPR 6(1)(b)).
3. Asiakaspalvelu ja viestintä (yhteydenotot, tukipyynnöt, häiriötiedotteet).
   Oikeusperuste: oikeutettu etu tarjota ja suojata palvelua (GDPR 6(1)(f)).
4. Palvelun kehittäminen ja turvallisuus (suorituskyvyn seuranta, virhe- ja tietoturvalokit).
   Oikeusperuste: oikeutettu etu (GDPR 6(1)(f)). Huom: tällä hetkellä emme käytä analytiikkaa tai muita kuin välttämättömiä evästeitä; jos analytiikka otetaan käyttöön, se asennetaan vain suostumuksellasi (GDPR 6(1)(a) ja ePrivacy).
5. Lakisääteiset velvoitteet (kirjanpito, verotus, viranomaispyynnöt).
   Oikeusperuste: lakisääteinen velvoite (GDPR 6(1)(c)).
6. Mahdollinen sähköinen suoramarkkinointi (uutiskirjeet yms.) – vain jos otetaan käyttöön.
   Oikeusperuste: suostumus (GDPR 6(1)(a)) tai oikeutettu etu olemassa olevien asiakkaiden samankaltaisista palveluista viestimiseen; aina oikeus vastustaa.

3. Käsiteltävät henkilötietoryhmät

• Käyttäjätili: nimi, sähköpostiosoite, puhelinnumero, salasana (hashattuna), käyttäjärooli (vuokraaja/vuokrausyritys).
• Yritystiedot (vuokrausyritykset): yrityksen nimi ja Y-tunnus, liiketoimintaosoite, yhteyshenkilön tiedot, yrityksen verkkosivun osoite (valinnainen), YTJ/PRH-rekisteritiedot.
• Palvelun käyttötiedot: tarjouspyyntöjen sisältö ja metatiedot, vuokraushistoria ja transaktiot, viestintä palvelussa, kirjautumis- ja käyttölokit.
• Tekniset tiedot: IP-osoite, laite- ja selainversiotiedot, käyttöjärjestelmä, käyttötilastot, evästetunnisteet ja vastaavat tekniikat.
• Laskutus- ja maksutiedot: laskutusosoite, maksutapahtumien viitetiedot; emme tallenna maksukortin numeroita – korttitietoja käsittelee valittu maksupalveluntarjoaja.

4. Tietolähteet

• Sinulta suoraan (tilin luonti, lomakkeet, viestintä)
• Automaattisesti palvelun käytöstä (lokit, evästeet ja vastaavat tekniikat)
• Julkiset rekisterit (YTJ/PRH yritystietojen varmentamiseksi, Postin osoiterkisteri osoitteen varmistamiseksi)
• Kolmannet osapuolet (esim. maksupalveluntarjoaja – maksutapahtuman vahvistus)

Jos saamme henkilötietoja muualta kuin sinulta, täytämme GDPR 14 artiklan tiedonantovelvollisuuden.

5. Vastaanottajat ja vastaanottajaryhmät

Luovutamme henkilötietoja vain tässä selosteessa kuvattuihin tarkoituksiin:

• Vuokrausyritykset (itsenäiset rekisterinpitäjät): Kun lähetät tarjouspyynnön, välitämme sille tarpeelliset tiedot (yhteystiedot, pyyntösi sisältö) tarjouksen antamista varten.
• Henkilötietojen käsittelijät (palveluntarjoajat): Infrastruktuuri/hosting (palvelun ylläpito ja tietoturva), maksupalvelut (korttitiedot suoraan maksupalvelulle), viestintäpalvelut (sähköpostit ja notifikaatiot). (Analytiikka voidaan ottaa käyttöön myöhemmin vain suostumuksellasi; silloin päivitämme tämän kohdan ja evästekuvaukset.)

Käytämme vain toimijoita, joiden kanssa on GDPR:n mukaiset sopimukset (DPA) ja jotka noudattavat tietoturvavaatimuksiamme. Tarvittaessa toimitamme ajantasaisen toimittajalistan pyynnöstä tai erillisellä sivulla.

6. Kansainväliset siirrot EU/ETA-alueen ulkopuolelle

Joidenkin palveluntarjoajien palvelimet tai organisaatiot voivat sijaita EU/ETA-alueen ulkopuolella (esim. USA). Tällöin siirrot tehdään GDPR:n luvallisilla perusteilla, kuten EU–US Data Privacy Framework -järjestelyn tai komission vakiolausekkeiden (SCC) nojalla, ja niitä täydennetään tarvittaessa lisäsuojilla. Tällä hetkellä emme käytä analytiikkaa tai kolmannen osapuolen evästeitä, joten evästeisiin liittyviä siirtoja ei tapahdu. (Siirtoja voi silti syntyä esim. viestintä- tai maksupalveluissa; ajantasainen toimittajalista toimitetaan pyynnöstä.)

7. Henkilötietojen säilytysajat

Säilytämme tietoja vain niin kauan kuin on tarpeen tarkoitusten toteuttamiseksi tai lain edellyttämän ajan. Esimerkkiajat:

Säilytysajan päätyttyä poistamme tai anonymisoimme tiedot turvallisesti.

8. Tietoturva

Sovellamme asianmukaisia teknisiä ja organisatorisia toimenpiteitä: SSL/TLS-salaus, salasanat hashattuina, pääsynhallinta ja vähimmän oikeuden periaate, palomuuri ja tunkeutumisenesto, lokitus ja valvonta, toimittajahallinta ja henkilöstön tietoturvakoulutus.

9. Pakolliset tiedot ja seuraamukset niiden puuttumisesta

Sopimuksen ja palvelun tarjoamisen kannalta pakollisia tietoja ovat vähintään nimi, sähköpostiosoite ja puhelinnumero (sekä yrityskohtaiset tiedot vuokrausyrityksille). Ilman näitä tietoja emme voi luoda tiliä tai välittää tarjouspyyntöä.

10. Profilointi ja automatisoitu päätöksenteko

Emme tee automatisoituja yksittäispäätöksiä tai profilointia, joilla olisi oikeusvaikutuksia sinuun tai jotka vaikuttaisivat sinuun merkittävästi vastaavalla tavalla.

11. Alaikäiset

Palvelu ei ole suunnattu alle 13-vuotiaille. Emme tietoisesti kerää alaikäisten tietoja.

12. Oikeutesi

Sinulla on GDPR:n mukaisesti oikeus:

• Tarkastaa itseäsi koskevat tiedot ja saada niistä kopio.
• Oikaista virheelliset tai puutteelliset tiedot.
• Poistaa tietoja tietyissä tilanteissa ("oikeus tulla unohdetuksi").
• Rajoittaa käsittelyä tietyissä tilanteissa.
• Siirtää tiedot järjestelmästä toiseen (koneluettavassa muodossa).
• Vastustaa käsittelyä, joka perustuu oikeutettuun etuun (mm. palvelun suojaksi tehtävä lokitus; oikeus vastustaa suoramarkkinointia milloin tahansa).
• Peruuttaa suostumuksesi milloin tahansa (jos myöhemmin otetaan käyttöön suostumusta vaativia toimintoja, esim. analytiikka tai uutiskirjeet) – peruutus ei vaikuta ennen peruutusta tehtyyn käsittelyyn.

13. Evästeet ja suostumuksen hallinta

Käytämme vain välttämättömiä ensiosapuolen evästeitä palvelun toiminnan varmistamiseksi. Tästä syystä emme tällä hetkellä pyydä evästesuostumusta tai näytä evästebanneria. Jos myöhemmin otamme käyttöön tilasto-/markkinointievästeitä, päivitämme tämän selosteen ja lisäämme suostumuksenhallinnan.

13.1 Käytössä olevat evästeet

Säilytys ja käsittely: Istuntotiedot säilytetään palvelinympäristössä tiedostopohjaisessa sessiovarastossa (Laravel file driver), polussa storage/framework/sessions/. Salaus: session-data ei ole erikseen levysalattua; palvelin ja tiedostojärjestelmä on suojattu pääsynhallinnalla.

13.2 Kolmannen osapuolen evästeet

13.3 Huomioita tietoturvasta

• Secure-lippu: tuotannossa (HTTPS) asetamme Secure=true molemmille evästeille. Kehitysympäristössä (localhost/HTTP) Secure voi olla false, mikä ei vaikuta tuotantoon.
• SameSite=Lax auttaa suojaamaan CSRF-hyökkäyksiltä pitäen samalla normaalit navigaatiovirrat toimivina.

14. Valitusoikeus valvontaviranomaiselle

Jos katsot, että käsittelemme henkilötietojasi lainvastaisesti, sinulla on oikeus tehdä valitus:

15. Muutokset tähän selosteeseen

Kehitämme palvelua jatkuvasti. Voimme päivittää tätä selostetta ajoittain. Ilmoitamme olennaisista muutoksista palvelun kautta tai sähköpostitse rekisteröityneille käyttäjille. Suosittelemme tarkistamaan selosteen säännöllisesti.

16. Yhteystiedot

Liite A – Käsittelytoimien yhteenvedot (tiivistelmä)