Tietojen sijainti ja viranomaispääsy
Versio 2026-11-04 · voimassa 4.11.2026 alkaen
Kuvaus koskee tuotantopalvelua, ja se tulee voimaan käyttöehtojen kanssa. Tuotantoympäristöä ei ole vielä pystytetty, joten sivu kertoo myös, mikä on jo käytössä ja mikä otetaan käyttöön tuotannon pystytyksessä.
Palveluntarjoaja on Enarra Oy (Y-tunnus 3664892-5, Artturintie 4, 43500 Karstula), jäljempänä Enarra. Enarra tarjoaa Enarra Memo -nimistä ohjelmistopalvelua (aiemmin Tarumo). Tällä sivulla kerromme, missä palvelun tiedot käsitellään ja säilytetään, kuka niitä käsittelee, voiko niihin päästä EU:n ja ETA:n ulkopuolelta ja miten Enarra estää EU:n ulkopuolisten viranomaisten laittoman pääsyn tietoihin. Sivu täyttää EU:n datasäädöksen (2023/2854) 28 artiklan tiedotusvelvollisuuden ja kuvaa 32 artiklan 1 kohdan mukaiset toimet. Se perustuu käsittelysopimuksen kohtiin 10–12 ja käyttöehtojen kohtaan 10, ja ne ovat ensisijaisia.
Lyhyesti
- Sitoudumme siihen, että palvelimet, tietokanta, varmuuskopiot, tekoäly ja puheentunnistus sijaitsevat EU:ssa.
- Palvelimet ja tietokanta ovat Helsingissä. Tekoäly, puheentunnistus ja sähköpostien lähetys ovat Pariisissa.
- Kaikki käsittely ei tapahdu EU:ssa. Sähköpostipalvelumme tekninen tuki voi päästä tietoihin Intiasta, ja Teams-sovelluksen viestit voivat kulkea Microsoftin maailmanlaajuisten palvelujen kautta, jos Asiakas ottaa sovelluksen käyttöön.
- Testiympäristö toimii Helsingissä keksityllä esimerkkiaineistolla. Siinä ei käsitellä asiakkaiden tietoja.
Palvelut, sijainnit ja suojatoimet
| Tehtävä | Palveluntarjoaja ja lainkäyttöalue | Tallennus ja varmuuskopiot | Pääsy EU:n ja ETA:n ulkopuolelta | Suojatoimet ja tila |
|---|---|---|---|---|
| Palvelimet, PostgreSQL-tietokanta ja sanelujen äänitteet | UpCloud Oy, Suomi | Helsinki. Tietokantapalvelun omat varmuuskopiot säilyvät enintään 15 päivää; niiden sijaintia ei ole vielä vahvistettu kirjallisesti. | Ei tiedossa. UpCloudin omia alihankkijoita ei ole vielä vahvistettu. | Yhteydet salattu (TLS). Levyjen ja tietokannan salausta levossa ei ole vielä vahvistettu kirjallisesti; se vahvistetaan ja otetaan käyttöön ennen kuin palvelussa käsitellään asiakkaiden tietoja. |
| Enarran omat varmuuskopiot tietokannasta | UpCloud Oy, Suomi | Helsinki (UpCloudin objektitallennus). Varmuuskopio poistuu viimeistään 36 päivän kuluttua sen tekemisestä. | Ei tiedossa. | Salataan Enarran avaimilla ennen tallennusta. Toimii testiympäristössä; tuotannon yöllinen varmuuskopio ja kuukausittainen palautustesti otetaan käyttöön tuotannon pystytyksessä. |
| Varmuuskopioiden lukittu kopio | Scaleway SAS, Ranska | Pariisi | Ei tiedossa. | Suunniteltu tuotantoon. Ei vielä käytössä. |
| Tekoälymallit ja puheentunnistus | Scaleway SAS, Ranska | Pariisi. Scaleway ei tallenna kehotteiden eikä vastausten sisältöä, paitsi jos pyyntö aiheuttaa virheen tai vaikuttaa väärinkäytöltä: silloin pyynnön koko sisältö voi säilyä Scalewayn järjestelmissä enintään kaksi viikkoa. | Ei tiedossa. | Yhteydet salattu (TLS). Scalewayn tietosuojaehtojen mukaan sisältöä ei käytetä mallien koulutukseen. |
| Palvelun sähköpostien lähetys ja toimitusilmoitukset | Scaleway SAS, Ranska | Pariisi | Ei tiedossa. | Yhteydet salattu (TLS). |
| Enarran sähköpostilaatikot, myös tuki, joihin voi tulla Asiakkaan henkilötietoja tukipyynnöissä | Zoho Corporation B.V. (Alankomaat) | Zohon EU-datakeskus | Zohon intialainen konserniyhtiö Zoho Corporation Pvt. Ltd. voi päästä tietoihin teknistä tukea varten. | EU:n vakiosopimuslausekkeet. Siirtovaikutusten arvioinnin luonnos on laadittu. Pyydämme Asiakkaita olemaan lähettämättä tarpeettomia henkilötietoja tukiviestissä. |
| Teams-sovellus (Azure Bot Service), vain jos Asiakas ottaa sen käyttöön | Microsoft Ireland Operations Ltd, Irlanti | Botti EU-alueella. Microsoft tallentaa keskustelusta kopion Asiakkaan omaan Microsoft 365 -ympäristöön. | Osa Bot Framework -palveluista on maailmanlaajuisia. | EU:n ja Yhdysvaltojen tietosuojakehys ja vakiosopimuslausekkeet Microsoftin ehtojen mukaan. Asiakkaan ylläpitäjä päättää käyttöönotosta. |
| Kirjautuminen Microsoft- tai Google-tilillä, jos Asiakas valitsee sen | Microsoft tai Google, Asiakkaan oma palveluntarjoaja | Palveluntarjoajan ehtojen mukaan | Palveluntarjoajan ehtojen mukaan | Asiakas valitsee ja sopii palvelusta itse. |
Alikäsittelijöiden ajantasainen luettelo on käsittelysopimuksen kohdassa 11. Enarra ilmoittaa uudesta tai vaihtuvasta alikäsittelijästä Asiakkaan ylläpitäjille vähintään 30 päivää etukäteen. Alikäsittelijäsopimukset tehdään Enarra Oy:n nimiin ennen kuin palvelussa käsitellään asiakkaiden tietoja.
Verkkotilausten korttimaksut on tarkoitus hoitaa Stripen kautta, mutta verkkotilaus ei ole vielä avattu. Verkkolaskut on tarkoitus lähettää Maventan kautta, kun verkkolaskutus aloitetaan; sekään ei ole vielä käytössä, ja sen sopimusosapuoli, sijainnit ja siirrot vahvistetaan ennen käyttöönottoa. Stripe ja Maventa käsittelisivät vain Enarran omia asiakas- ja laskutustietoja, eivät Asiakkaan palveluun tallentamia tietoja. Niistä kerrotaan tietosuojaselosteessa.
Henkilötietojen siirrot EU:n ulkopuolelle
Henkilötietojen siirroista säädetään tietosuoja-asetuksen V luvussa. Enarra ei itse siirrä Asiakkaan henkilötietoja EU:n ja ETA:n ulkopuolelle. Alikäsittelijän kolmannessa maassa oleva konserniyhtiö voi kuitenkin päästä tietoihin poikkeuksellisesti, ja vain komission riittävyyspäätöksen tai vakiosopimuslausekkeiden ja tarvittavien lisätoimien perusteella (käsittelysopimuksen kohta 12):
- Zohon tekninen tuki voi päästä tukiviesteihin Intiasta. Siirto perustuu Zoho Corporation B.V.:n ja Zoho Corporation Pvt. Ltd:n välisiin EU:n vakiosopimuslausekkeisiin. EU-datakeskus ei yksin poista siirtoa, joten Enarra on laatinut siitä siirtovaikutusten arvioinnin luonnoksen. Zohon käsittelysopimus tehdään Enarra Oy:n nimissä ennen kuin palvelussa käsitellään asiakkaiden tietoja.
- Teams-viestit voivat kulkea Microsoftin maailmanlaajuisten palvelujen kautta. Perusteena ovat EU:n ja Yhdysvaltojen tietosuojakehys ja vakiosopimuslausekkeet. Teams-sovellus ei ole oletuksena käytössä.
- Microsoft- ja Google-kirjautuminen kuuluu Asiakkaan omiin palveluihin, ja niiden tarjoajat käsittelevät kirjautumistietoja omien ehtojensa mukaan.
Vakiosopimuslausekkeista saa kopion pyytämällä sitä osoitteesta tietosuoja@enarra.fi.
Lainkäyttövalta
Sopimuksen osapuoli on Enarra Oy, joka on suomalainen osakeyhtiö. Sopimukseen sovelletaan Suomen lakia (käyttöehtojen kohta 18). Palvelun infrastruktuuri on Suomessa ja Ranskassa EU:hun sijoittautuneilla palveluntarjoajilla. Niiden konserniyhtiöt voivat olla EU:n ulkopuolella, kuten edellä kerrotaan.
Toimet EU:n ulkopuolisten viranomaisten pääsyn estämiseksi
Datasäädöksen 32 artiklan 1 kohta velvoittaa Enarran toteuttamaan riittävät tekniset, oikeudelliset ja organisatoriset toimet, joilla estetään EU:n ulkopuolisten maiden viranomaisia pääsemästä EU:ssa oleviin Asiakkaan muihin kuin henkilötietoihin tai siirtämästä niitä, jos se olisi vastoin EU:n tai Suomen lakia. Toimemme ovat:
- Sopimukset: Asiakkaan tiedot tallennetaan EU:hun sijoittautuneiden palveluntarjoajien EU:ssa sijaitseviin palveluihin. Enarra sitoo alikäsittelijät kirjallisesti samoihin velvoitteisiin kuin käsittelysopimuksessa ja vastaa niistä kuin omastaan.
- Luovutukset: Enarra luovuttaa tietoja EU:n ulkopuolisen maan viranomaiselle vain, jos luovutus on datasäädöksen 32 artiklan mukainen. Enarra tarkistaa pyynnön oikeusperustan, luovuttaa vain välttämättömän ja kertoo Asiakkaalle pyynnöstä ennen luovutusta, ellei laki kiellä.
- Erottelu ja pääsynhallinta: asiakkaiden tiedot pidetään erillään tietokannan rivitason suojauksella. Ylläpitopaneeli näyttää organisaatioista vain lukumääriä ja tiloja, ei Asiakkaan sisältöä, ja vaatii kaksivaiheisen tunnistuksen. Palvelimille pääsee vain henkilökohtaisilla SSH-avaimilla. Teknisiä pääkäyttäjäoikeuksia on vain kahdella perustajalla.
- Salaus: yhteydet palveluun ja tietokantaan on salattu (TLS), ja Enarran omat varmuuskopiot salataan Enarran avaimilla. Salaus levossa palveluntarjoajan levyillä vahvistetaan ennen tuotantokäyttöä.
Versiot ja kysymykset
Tämä sivu kuvaa ajantasaisen tilanteen. Sen aiemmat versiot säilyvät sivuston versionhallinnassa, ja toimitamme pyynnöstä version, joka oli voimassa tiettynä päivänä. Muutoksista, jotka heikentävät tietojen suojaa, ilmoitetaan käsittelysopimuksen mukaisesti etukäteen. Sopimusta koskevat kysymykset voi lähettää osoitteeseen myynti@enarra.fi, tietosuojaa koskevat osoitteeseen tietosuoja@enarra.fi ja tietoturvaa koskevat osoitteeseen security@enarra.fi. Tietojen viennistä kerromme sivulla Tietojen vienti.