Devella One -palvelun tietosuojaseloste

In English

Viimeksi päivitetty 4.9.2026

1. Rekisterinpitäjä

Devella Oy
Y-tunnus: 3288286-1
Kokkola

2. Yhteyshenkilö tietosuoja-asioissa

Panu Haaraniemi
Sähköposti: panu.haaraniemi@devella.fi

Tietosuojaa koskevat pyynnöt ja kysymykset voi lähettää yllä olevaan osoitteeseen.

3. Selosteen soveltamisala ja osapuolten roolit

Tämä seloste koskee Devella One -verkkosivusto- ja sisällönhallintapalvelua sekä sen ylläpitoa, käyttäjätilejä, AI-avustajaa, lomakkeita, ajanvarausta, maksamista ja integraatioita.

Devella Oy toimii rekisterinpitäjänä käsitellessään omien asiakkaidensa ja palvelun käyttäjien tietoja esimerkiksi sopimuksen tekemistä, käyttäjätunnusten hallintaa, laskutusta, asiakaspalvelua, palvelun turvallisuutta ja kehittämistä varten.

Jokainen Devella Onen asiakas vastaa oman verkkosivustonsa tietosuojasta. Kun asiakas kerää sivustollaan kävijöiden tietoja esimerkiksi lomakkeella, ajanvarauksessa tai maksamisen yhteydessä, asiakas toimii rekisterinpitäjänä ja Devella Oy käsittelee tietoja asiakkaan dokumentoitujen ohjeiden mukaisesti henkilötietojen käsittelijänä.

Asiakas määrittelee käsittelyn tarkoitukset, oikeusperusteet ja säilytysajat sekä vastaa muun muassa:

• oman ajantasaisen tietosuojaselosteensa ja evästeilmoituksensa laatimisesta ja julkaisemisesta
• rekisteröityjen informoinnista ja heidän oikeuksiensa toteuttamisesta
• tarvittavien suostumusten hankkimisesta ja hallinnasta
• kerättävien lomake- ja varaustietojen tarpeellisuudesta
• käyttöön ottamiensa maksu-, kalenteri-, analytiikka-, markkinointi-, CAPTCHA-, upotus- ja muiden kolmansien osapuolten palvelujen lainmukaisuudesta.

Tämä Devella Oy:n seloste ei ole asiakkaan oman verkkosivuston tietosuojaseloste eikä korvaa sitä. Devella Onen tarjoamat tekniset tietosuoja- ja evästetoiminnot eivät myöskään siirrä rekisterinpitäjän vastuuta asiakkaalta Devella Oy:lle.

4. Rekisteröityjen ryhmät

Palvelussa voidaan käsitellä seuraavien henkilöryhmien tietoja:

• Devella Onen asiakkaiden yhteyshenkilöt ja muut asiakasorganisaatioiden edustajat
• palvelun ylläpito- ja kehittäjäkäyttäjät
• asiakkaiden verkkosivustojen kävijät, yhteydenottajat, varaajat ja maksajat
• asiakaspalveluun tai Devella Oy:hyn muutoin yhteyttä ottavat henkilöt
• kalenteri- tai muun integraatiotilin palveluun yhdistävät henkilöt.

5. Käsiteltävät henkilötiedot

Käsiteltävät tiedot riippuvat käytössä olevista ominaisuuksista.

Käyttäjä- ja asiakkuustiedot

• nimi, sähköpostiosoite, puhelinnumero ja kielivalinta
• yritys, Y-tunnus, laskutus- ja osoitetiedot sekä asiakkuuteen liittyvät tiedot
• käyttäjäroolit, käyttöoikeudet, kutsut ja käyttäjätilin tila
• kirjautumis-, monivaiheisen tunnistautumisen ja tilin palauttamisen tiedot suojatussa muodossa
• asiakaspalveluviestit ja muut käyttäjän itse toimittamat tiedot.

Sivustojen sisältö ja mediatiedot

• sivustolle tallennetut tekstit, kuvat, tiedostot, yhteystiedot ja metatiedot
• sisältöjen versiohistoria, luonnokset, julkaisutiedot ja muutosten tekijät
• kuviin liittyvät tiedostonimet, kuvatekstit, vaihtoehtoiset tekstit, tekijätiedot ja tekniset metatiedot.

Käyttäjän tulee varmistaa, että hänellä on oikeus tallentaa palveluun lisäämänsä henkilötiedot ja aineistot.

Lomake-, varaus- ja maksutiedot

• lomakkeella annetut tiedot, jotka voivat sisältää esimerkiksi nimen, yhteystiedot, viestin, valinnat ja liitteet
• varauksen ajankohta, palvelu, resurssi, tila, lisävalinnat, muistiinpanot ja asiakkaan ilmoittamat tiedot
• maksun summa, valuutta, verotiedot, tuotteet, maksupalveluntarjoaja, tapahtuma- ja viitetunnisteet sekä maksun tila
• sähköpostien toimitustila, vastaanottajan suojattu tunniste, vastaanottajan verkkotunnus, viestin aihe ja palveluntarjoajan viestitunniste.

Devella One ei tallenna maksukortin numeroa, verkkopankkitunnuksia tai muita maksuvälineen salaisia tunnistetietoja. Maksupalveluntarjoaja käsittelee ne omassa palvelussaan.

Tekniset, turvallisuus- ja käyttötiedot

• IP-osoitteesta muodostettu suojattu tiiviste, selaimen ja laitteen tiedot, viittaava osoite sekä tapahtuma-aika
• istunto-, API-tunniste- ja tietoturvatapahtumat suojatussa muodossa
• kirjautumisyritykset, viimeisin kirjautuminen, lokit, virheet ja auditointitiedot
• evästevalinnat ja niihin liittyvä pseudonyymi kävijätunniste
• palvelun käyttömääriä, suorituskykyä ja virhetilanteita koskevat tiedot.

Lomakelähettäjän raakaa IP-osoitetta ei tallenneta lomakelähetyksen yhteyteen, vaan siitä muodostetaan väärinkäytösten torjuntaa varten HMAC-suojattu tiiviste. Palvelininfrastruktuurin teknisissä lokeissa IP-osoite voi kuitenkin esiintyä rajoitetun ajan.

AI-avustajan tiedot

• käyttäjän keskustelut, ohjeet ja palautteet
• keskusteluun valittu tai työkalujen hakema sivuston sisältö ja asetukset
• käyttäjän toimittamat liitteet ja kuvankaappaukset silloin, kun niitä tarvitaan pyydettyyn tehtävään
• AI:n vastaukset, työkalukutsut, ehdotetut muutokset ja niiden hyväksymis- tai hylkäystiedot
• käytetty malli, token- ja kustannustiedot, pyyntötunnisteet, vasteaika ja virhetila.

AI-toiminnon käyttämiseksi tarpeelliset tiedot välitetään OpenRouterille ja käyttäjän tai palvelun valitsemalle kielimallipalveluntarjoajalle. AI-keskusteluun ei pidä syöttää tarpeettomia arkaluonteisia tai salassa pidettäviä henkilötietoja. AI-avustajaa ei käytetä henkilöä koskevaan automaattiseen päätöksentekoon, jolla olisi oikeudellisia tai vastaavia merkittäviä vaikutuksia.

6. Kalenteri-integraatiot

Käyttäjä voi vapaaehtoisesti yhdistää Google Calendar- tai Microsoft Outlook -kalenterinsa Devella Onen varausominaisuuteen.

Integraatio voi käsitellä:

• yhdistetyn tilin sähköpostiosoitetta
• kalenteriluettelon tunnisteita, nimiä ja käyttöoikeustietoja
• käyttäjän valitseman kalenterin vapaa–varattu-aikoja
• Devella Onen varauksista luotuja kalenteritapahtumia ja niiden tunnisteita
• OAuth-käyttö- ja päivitystunnuksia salattuina
• myönnettyjä käyttöoikeuksia, tokenin vanhenemisaikaa sekä synkronoinnin tila- ja virhetietoja.

Google Calendarissa palvelu hakee kalenteriluettelon, lukee valitusta kalenterista vapaa–varattu-tiedot sekä luo, päivittää ja poistaa Devella Onen omista varauksista muodostettuja tapahtumia. Palvelu ei lue muiden tapahtumien otsikoita, kuvauksia tai osallistujatietoja vapaa–varattu-tarkistusta varten. Varaajan henkilötietoja viedään kalenteritapahtumaan vain, jos asiakas ottaa tämän asetuksen erikseen käyttöön; muutoin tapahtuma sisältää vain varauksen toteuttamiseen tarvittavat yleiset tiedot.

Kalenteriyhteyden voi katkaista Devella Onen asetuksista ja käyttöoikeuden voi peruuttaa myös Google- tai Microsoft-tilin asetuksista. Yhteyden katkaisemisen jälkeen uusia kalenteritietoja ei haeta ja palveluun tallennetut käyttö- ja päivitystunnukset poistetaan, kun samaa tiliä ei käytetä muissa palvelun kalenteriyhteyksissä. Aiemmin ulkoiseen kalenteriin luodut tapahtumat voivat jäädä kyseiseen kalenteriin, kunnes käyttäjä poistaa ne siellä.

Devella Onen Google API -palveluista saamien tietojen käyttö noudattaa Google API Services User Data Policya, mukaan lukien sen Limited Use -vaatimukset. Google-kalenteritietoja ei myydä, käytetä mainontaan, luottokelpoisuuden arviointiin eikä yleisten AI- tai koneoppimismallien kouluttamiseen. Ihminen tarkastelee Google-kalenteritietoja vain käyttäjän nimenomaisella luvalla tukitilanteessa tai silloin, kun se on välttämätöntä tietoturvan tai lain noudattamisen vuoksi.

7. Henkilötietojen käsittelyn tarkoitukset ja oikeusperusteet

Kun Devella Oy toimii rekisterinpitäjänä, tietoja käsitellään seuraaviin tarkoituksiin:

Tarkoitus	Pääasiallinen oikeusperuste
Palvelun ja käyttäjätilin tuottaminen, sopimuksen tekeminen ja asiakassuhteen hoitaminen	sopimus tai sopimusta edeltävät toimet
Laskutus, kirjanpito ja viranomaisvelvoitteet	lakisääteinen velvoite
Asiakaspalvelu, palveluviestintä ja asiakkaan pyyntöihin vastaaminen	sopimus tai oikeutettu etu
Palvelun turvallisuus, väärinkäytösten estäminen, virheiden selvittäminen ja oikeusvaateisiin varautuminen	oikeutettu etu
Palvelun käytettävyyden ja toiminnan kehittäminen	oikeutettu etu; mahdollisen ei-välttämättömän seurannan osalta suostumus
Vapaaehtoisten integraatioiden ja AI-toimintojen tarjoaminen	sopimus ja käyttäjän pyytämä toimenpide
Sähköinen suoramarkkinointi	suostumus tai soveltuvan lain sallima olemassa oleva asiakassuhde

Devella Oy:n oikeutettu etu perustuu tarpeeseen ylläpitää turvallista ja toimivaa palvelua, hoitaa asiakassuhdetta sekä puolustaa oikeuksiaan. Rekisteröity voi vastustaa oikeutettuun etuun perustuvaa käsittelyä henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella.

Kun Devella Oy toimii asiakkaan henkilötietojen käsittelijänä, asiakas yksin määrittää käsittelyn tarkoitukset ja oikeusperusteet. Devella Oy ei määritä niitä asiakkaan puolesta. Lomakkeen lähettäminen tai varauksen tekeminen ei yksin aina tarkoita tietosuoja-asetuksen mukaista suostumusta, vaan peruste voi olla esimerkiksi sopimus, sopimusta edeltävä toimi, lakisääteinen velvoite tai rekisterinpitäjän oikeutettu etu.

8. Tietolähteet

Tietoja saadaan:

• rekisteröidyltä itseltään käyttäjätilin, lomakkeen, varauksen, maksamisen, yhteydenoton tai muun palvelun käytön yhteydessä
• Devella Onen asiakkaalta, esimerkiksi kun asiakas kutsuu käyttäjän palveluun tai ylläpitää yhteyshenkilötietoja
• käyttäjän yhdistämistä Google- tai Microsoft-palveluista käyttäjän myöntämien käyttöoikeuksien mukaisesti
• maksu-, sähköposti-, varmennus- ja muilta palveluntarjoajilta siltä osin kuin palvelun toimittaminen edellyttää
• palvelun käytöstä automaattisesti syntyvistä teknisistä tapahtumista.

9. Vastaanottajat ja palveluntarjoajat

Henkilötietoja ei myydä. Tietoja käsittelevät vain Devella Oy:n valtuuttamat henkilöt ja palveluntarjoajat siinä laajuudessa kuin palvelun tuottaminen edellyttää.

Käytössä olevista ominaisuuksista riippuen tietoja voidaan käsitellä seuraavissa palveluissa:

• Google Cloud: palvelininfrastruktuuri ja mediatiedostojen tallennus
• Mailgun tai asiakkaan määrittämä sähköpostipalvelu: järjestelmä- ja lomakeviestien välitys
• OpenRouter ja valittu kielimallipalveluntarjoaja: AI-avustajan pyyntöjen käsittely
• Google ja Microsoft: käyttäjän vapaaehtoisesti yhdistämät kalenteripalvelut
• Stripe ja Paytrail: verkkomaksujen käsittely
• Cloudflare Turnstile tai hCaptcha: lomakkeiden väärinkäytösten torjunta, jos asiakas ottaa toiminnon käyttöön
• asiakkaan valitsemat analytiikka-, markkinointi- ja sisältöpalvelut, kuten Google Analytics, Google Tag Manager, Meta Pixel, LinkedIn Insight, Matomo, Hotjar, Microsoft Clarity tai sivustolle upotettu kolmannen osapuolen sisältö.

Maksu-, kalenteri-, analytiikka-, CAPTCHA- ja muiden ulkoisten palvelujen tarjoajat voivat toimia omien palvelujensa osalta itsenäisinä rekisterinpitäjinä. Niiden oma tietosuojaseloste soveltuu niiden suorittamaan käsittelyyn. Asiakas vastaa omalle sivustolleen valitsemiensa kolmansien osapuolten palvelujen lainmukaisuudesta ja niitä koskevasta kävijäinformaatiosta.

Tietoja voidaan luovuttaa viranomaiselle tai muulle taholle, jos laki tai sitova viranomaismääräys sitä edellyttää. Tietoja voidaan käsitellä myös yritysjärjestelyn yhteydessä sovellettavan lain sallimissa rajoissa.

10. Tietojen siirrot EU:n ja ETA:n ulkopuolelle

Palvelun ensisijainen tuotantoinfrastruktuuri sijaitsee EU-alueella. Osa palveluntarjoajista tai niiden alihankkijoista voi käsitellä tietoja EU:n tai ETA:n ulkopuolella. Tämä koskee erityisesti AI-mallipalveluja ja voi koskea myös muita asiakkaan käyttöön ottamia ulkoisia palveluja.

Siirrot toteutetaan sovellettavan tietosuojalainsäädännön mukaisesti esimerkiksi Euroopan komission riittävyyspäätöksen, EU:n vakiosopimuslausekkeiden ja tarvittaessa täydentävien suojatoimien perusteella. Lisätietoja kulloinkin käytössä olevista palveluntarjoajista ja siirtoperusteista saa kohdassa 2 mainitulta yhteyshenkilöltä.

11. Tietojen säilytys

Tietoja säilytetään vain niin kauan kuin se on tarpeen niiden käyttötarkoituksen, sopimusvelvoitteiden, tietoturvan, oikeusvaateiden tai lakisääteisten velvoitteiden vuoksi.

• Asiakkuus-, sopimus- ja käyttäjätilitietoja säilytetään asiakassuhteen ajan ja sen jälkeen niin kauan kuin lakisääteiset velvoitteet tai oikeusvaateisiin varautuminen edellyttävät.
• Kirjanpitoon kuuluvaa aineistoa säilytetään kirjanpitolainsäädännön edellyttämän ajan.
• Ylläpitoistunto on voimassa 30 päivää viimeisimmästä uusimisesta ja enintään 90 päivää sen luomisesta. Vanhentunut istuntotietue poistetaan normaalisti vuorokauden kuluessa vanhenemisesta.
• Lomakelähetyksen säilytysajan määrittää asiakas lomakekohtaisesti. Oletus on 365 päivää ja valittavissa oleva aika 0–3650 päivää. Arvo 0 poistaa automaattisen määräaikaispoiston käytöstä, jolloin tiedot säilyvät, kunnes asiakas tai Devella Oy poistaa ne muun sovitun poistomenettelyn mukaisesti.
• Lomakkeisiin liittyviä sähköpostien toimituslokeja säilytetään enintään 180 päivää.
• Sivuston sisältöjä, mediatiedostoja ja niiden versiohistoriaa säilytetään palvelun ja palautustoimintojen tuottamista varten asiakassuhteen ajan. Pehmeästi poistettu sisältö voi säilyä versiohistoriassa lopulliseen poistoon asti.
• AI-keskustelut, ehdotetut muutokset ja käyttöraportit säilyvät lähtökohtaisesti asiakassuhteen ajan tai kunnes ne poistetaan käyttäjän tai asiakkaan pyynnöstä. AI-keskusteluilla ei ole tällä hetkellä automaattista määräaikaispoistoa.
• Kalenterin OAuth-tunnukset säilytetään kalenteriyhteyden ajan ja poistetaan kohdan 6 mukaisesti yhteyden katkaisemisen jälkeen. Kalenterisynkronoinnin teknisiä tila- ja auditointitietoja voidaan säilyttää tietoturvan ja virheiden selvittämisen edellyttämän ajan.
• Maksutapahtumien tietoja säilytetään maksun käsittelyn, kirjanpidon, väärinkäytösten torjunnan ja oikeusvaateiden edellyttämän ajan. Maksupalveluntarjoaja säilyttää omat tietonsa oman tietosuojaselosteensa mukaisesti.
• Tietoturva- ja auditointilokeja säilytetään niin kauan kuin palvelun turvallisuus, tapahtumien jäljitettävyys ja oikeusvaateisiin varautuminen kohtuudella edellyttävät.

Kun tiedot poistetaan aktiivisesta järjestelmästä, niistä mahdollisesti jääneet kopiot poistuvat varmuuskopioiden normaalin kierron yhteydessä, ellei säilyttämiseen ole lakisääteistä perustetta.

12. Evästeet ja muut päätelaitetunnisteet

Devella Onen käyttää välttämättömiä evästeitä palvelun turvalliseen toimintaan. Asiakkaiden julkisilla sivustoilla muut kuin välttämättömät evästeet ja skriptit käynnistetään vain kävijän suostumuksen perusteella, jos sivuston evästesuostumus on otettu käyttöön ja integraatio on merkitty suostumusta vaativaksi.

Keskeisiä Devella Onen omia evästeitä ovat:

Eväste tai tallenne	Tarkoitus	Tyypillinen voimassaolo
__Host-dv_session	ylläpidon kirjautumisistunto	30 päivää kerrallaan, enintään 90 päivää
__Host-dv_csrf	sivustopyyntöjen väärentämisen estäminen	30 päivää
dv_admin_locale	ylläpidon kielivalinta	365 päivää
dv_locale	julkisen sivuston kielivalinta	sivuston määrittämä voimassaolo
dv:consent	julkisen sivuston evästevalinnat	180 päivää
__Host-dv_gate	salasanasuojatun sivuston käyttöoikeus	7 päivää
__Host-dv_payment_attempt	maksun paluun turvallinen yhdistäminen alkuperäiseen selainistuntoon	30 minuuttia

Kehitysympäristössä ja suojaamattomassa paikallisessa yhteydessä evästeiden nimissä ei käytetä __Host--etuliitettä. Sivuston komponenttien näyttötiheyden hallinta voi lisäksi käyttää evästettä, localStoragea tai sessionStoragea asiakkaan määrittämän ajan.

Asiakkaan käyttöön ottamat analytiikka-, markkinointi-, CAPTCHA- ja upotuspalvelut voivat asettaa omia evästeitään ja käsitellä teknisiä tunnisteita omien ehtojensa mukaisesti. Asiakas vastaa siitä, että nämä palvelut, käsittelytarkoitukset, oikeusperusteet ja säilytysajat kuvataan sen oman verkkosivuston eväste- tai tietosuojailmoituksessa. Devella Onen evästebanneri on tekninen työkalu eikä sen käyttöönotto yksin täytä asiakkaan informointi- ja suostumusvelvoitteita. Kävijä voi muuttaa suostumusvalintojaan sivuston evästeasetuksista tai poistaa tallennetut tiedot selaimestaan.

13. Tietojen suojaaminen

Tietoja suojataan teknisin ja organisatorisin toimenpitein. Näihin kuuluvat muun muassa:

• salattu HTTPS-tiedonsiirto
• rooli- ja sivustokohtaiset käyttöoikeudet
• salasanojen vahva yksisuuntainen tiivistäminen
• istunto- ja API-tunnisteiden tallentaminen yksisuuntaisina tiivisteinä
• integraatio-, SMTP- ja muut salaisuudet salattuina levossa
• monivaiheisen tunnistautumisen tuki
• auditointilokit, väärinkäytösten rajoitukset ja tietoturvavalvonta
• käyttöoikeuksien rajaaminen työtehtävien ja tarpeen mukaan
• suojattu palvelininfrastruktuuri ja varmuuskopiointi.

Vaikka tietojen suojaamiseen käytetään asianmukaisia toimenpiteitä, mikään sähköinen palvelu ei ole täysin riskitön.

14. Automaattinen päätöksenteko ja profilointi

Devella Oy ei käytä tämän selosteen piiriin kuuluvia henkilötietoja sellaiseen täysin automaattiseen päätöksentekoon tai profilointiin, jolla olisi rekisteröityyn kohdistuvia oikeudellisia tai vastaavia merkittäviä vaikutuksia.

Lomakkeiden tekninen roskaposti- ja väärinkäytösarvio voi automaattisesti merkitä lähetyksen tarkistettavaksi. Maksu- ja CAPTCHA-palveluntarjoajat voivat tehdä omia petosten torjuntaan liittyviä arvioitaan omien tietosuojaselosteidensa mukaisesti.

15. Rekisteröidyn oikeudet

Soveltuvan tietosuojalainsäädännön mukaisesti rekisteröidyllä voi olla oikeus:

• saada vahvistus siitä, käsitelläänkö hänen henkilötietojaan, ja saada pääsy tietoihin
• pyytää virheellisten tai puutteellisten tietojen oikaisua
• pyytää tietojen poistamista
• pyytää käsittelyn rajoittamista
• vastustaa oikeutettuun etuun perustuvaa käsittelyä ja suoramarkkinointia
• saada itse toimittamansa tiedot jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa silloin, kun siirrettävyysoikeus soveltuu
• peruuttaa suostumus milloin tahansa ilman, että peruutus vaikuttaa sitä edeltäneen käsittelyn lainmukaisuuteen
• tehdä valitus valvontaviranomaiselle.

Suomessa valvontaviranomainen on Tietosuojavaltuutetun toimisto: tietosuoja.fi.

Jos pyyntö koskee Devella Onen asiakkaan verkkosivustolla annettuja lomake-, varaus- tai muita tietoja, pyyntö tulee ensisijaisesti osoittaa kyseiselle asiakkaalle, joka toimii rekisterinpitäjänä. Devella Oy avustaa asiakasta pyynnön toteuttamisessa henkilötietojen käsittelijänä. Devella Oy:n omassa rekisterinpitäjän roolissa käsittelemiä tietoja koskevat pyynnöt osoitetaan kohdassa 2 mainitulle yhteyshenkilölle.

Pyynnön esittäjän henkilöllisyys voidaan tarvittaessa varmistaa ennen pyynnön toteuttamista. Oikeuksia voidaan rajoittaa vain laissa säädetyillä perusteilla.

16. Selosteen muutokset

Tätä selostetta päivitetään, kun palvelu, henkilötietojen käsittely tai sovellettavat vaatimukset muuttuvat. Ajantasainen versio pidetään saatavilla Devella Oy:n verkkosivustolla. Olennaisista muutoksista ilmoitetaan palvelussa tai muulla tarkoituksenmukaisella tavalla.