Tietosuojaseloste

Päivitetty 2.11.2026 · EU:n yleinen tietosuoja-asetus (GDPR) 13–14 artikla

1. Rekisterinpitäjä

Caneron (toiminimi)
Y-tunnus: 3632581-9
Tietosuoja-asioiden yhteyssähköposti: leo@caneron.fi

2. Mitä henkilötietoja käsittelemme

• Tilitiedot: sähköpostiosoite, salasanan tiiviste (bcrypt, emme näe salasanaasi), tilin luontiaika, tilauksen tila.
• Yritysprofiili: yrityksen nimi, Y-tunnus, toimiala, CPV-koodit, paikkakunta, toiminta-alueet, henkilöstömäärä, liikevaihto, erityisosaaminen, referenssit.
• Lataamasi liiteaineisto: hankintojen liitetiedostoista poimittu teksti, jonka lataat itse palveluun (esim. Cloudia Tarjouspalvelusta, johon sinulla on tarjoajana laillinen pääsy). Tallennamme vain tekstin, emme alkuperäisiä tiedostoja. Voit poistaa aineiston milloin tahansa.
• Kysymykset ja muistiinpanot: hankinnoista esittämäsi kysymykset (chat) ja tiimin jaetut muistiinpanot.
• Käyttötiedot: profiilillesi haetut tarjouspyynnöt, niiden tilamerkinnät (tarjottu/voitettu/hävitty) sekä tekoälykäytön määrä (token-tilasto seurantaa ja kulurajaa varten).

Emme käsittele erityisiä henkilötietoryhmiä (arkaluonteisia tietoja). Pyydämme, ettet lataa liiteaineistoon arkaluonteisia henkilötietoja.

3. Käsittelyn tarkoitus ja oikeusperuste

• Palvelun tuottaminen (hankintojen haku, pisteytys, tarjousluonnokset, ilmoitukset), oikeusperuste: sopimuksen täytäntöönpano (GDPR 6 art. 1 b).
• Sähköposti-ilmoitukset ja -muistutukset, oikeusperuste: sopimus; voit kytkeä ne pois profiilisi asetuksista.
• Palvelun turvallisuus ja väärinkäytön esto, oikeusperuste: oikeutettu etu (6 art. 1 f).

Kun käsittelet palvelussa oman yrityksesi tai asiakasyrityksen tietoja, Caneron toimii näiden tietojen osalta henkilötietojen käsittelijänä ja sinä (tai yrityksesi) rekisterinpitäjänä. Tilitietojesi osalta Caneron on rekisterinpitäjä.

4. Tietojen vastaanottajat ja alikäsittelijät

Käytämme seuraavia luotettuja alikäsittelijöitä palvelun toteuttamiseen:

• Anthropic, PBC (tekoälypisteytys ja -analyysi, Claude API), yritysprofiili, tarjouspyynnön tiedot ja lataamasi liiteteksti lähetetään analysoitavaksi. Sijainti: Yhdysvallat. Siirron suoja: EU:n vakiosopimuslausekkeet (SCC) osana Anthropicin tietojenkäsittelysopimusta (DPA). Anthropic ei käytä rajapinnan kautta lähetettyä dataa mallien koulutukseen.
• Supabase (tietokanta), kaikki yllä mainittu data tallennetaan. Sijainti: EU (AWS, Irlanti / eu-west-1).
• Render (sovelluspalvelin / hosting), palvelun ajo. Sijainti: EU (Frankfurt, Saksa).
• Resend (sähköpostien lähetys), sähköpostiosoitteesi ilmoitus- ja palautusviestien toimittamiseksi. Sijainti: Yhdysvallat; siirron suoja SCC.
• Google (Google Workspace -sähköposti), yrityksille lähetettävät yhteydenottoviestit ja niihin vastaaminen (ks. kohta 11). Google voi käsitellä tietoja myös EU:n ulkopuolella; siirrot suojataan Googlen tietojenkäsittelyehtojen vakiosopimuslausekkeilla (SCC).

Emme myy emmekä luovuta henkilötietojasi kolmansille markkinointitarkoituksiin.

5. Tietojen siirto EU:n ulkopuolelle

Osa alikäsittelijöistämme (Anthropic, Resend ja Google) sijaitsee Yhdysvalloissa tai voi käsitellä tietoja siellä. Näihin siirtoihin sovelletaan Euroopan komission hyväksymiä vakiosopimuslausekkeita (SCC), jotka takaavat GDPR:n mukaisen suojan tason. Sovelluspalvelin (Render, Frankfurt) ja tietokanta (Supabase, Irlanti) sijaitsevat EU-alueella.

6. Säilytysaika

Säilytämme tietojasi niin kauan kuin tilisi on voimassa. Kun poistat tilisi, kaikki henkilötietosi (profiilit, referenssit, tarjouspyynnöt, liiteaineisto, kysymykset ja generoidut dokumentit) poistetaan pysyvästi. Voit poistaa tilisi itse asetuksista.

7. Oikeutesi rekisteröitynä

Sinulla on GDPR:n mukaan oikeus:

• saada pääsy tietoihisi ja saada niistä kopio, palvelussa: Lataa kaikki tietoni;
• oikaista virheelliset tiedot, muokkaa profiiliasi asetuksista;
• tulla unohdetuksi (poistaa tietosi), poista tilisi asetuksista;
• siirtää tietosi (saat ne koneluettavana JSON-tiedostona);
• vastustaa tai rajoittaa käsittelyä;
• tehdä valitus valvontaviranomaiselle: tietosuojavaltuutetun toimisto, tietosuoja.fi.

8. Evästeet

Käytämme vain palvelun toiminnan kannalta välttämättömiä evästeitä: kirjautumissession ylläpito ja CSRF-suojaus. Emme käytä seuranta-, mainos- tai analytiikkaevästeitä, joten erillistä evästesuostumusta ei tarvita.

9. Tietoturva

Salasanat tallennetaan vain bcrypt-tiivisteenä. Yhteydet salataan (HTTPS). Istunto- ja CSRF-evästeet ovat HttpOnly-, SameSite- ja Secure-suojattuja. Pääsynvalvonta tehdään palvelinpuolella jokaisella pyynnöllä niin, että jokainen käyttäjä näkee ja käsittelee vain omia tietojaan.

10. Muutokset tähän selosteeseen

Voimme päivittää selostetta palvelun kehittyessä. Merkittävistä muutoksista ilmoitamme palvelussa tai sähköpostitse.

11. Yhteydenotot yrityksiin (B2B-markkinointi)

Otamme sähköpostitse yhteyttä yrityksiin, jotka ovat voittaneet alansa julkisia hankintoja ja joille on juuri nyt auki sopiva julkinen hankinta. Tämä kohta kertoo, miten käsittelemme näissä yhteydenotoissa tarvittavia tietoja (tietosuoja-asetuksen 14 artikla).

• Rekisterinpitäjä: Caneron (toiminimi), Y-tunnus 3632581-9, leo@caneron.fi.
• Mitä tietoja käsittelemme: yrityksen nimi, Y-tunnus, yhtiömuoto, kotipaikka, toimiala, hankintailmoituksessa ilmoitettu kokoluokka, viimeisen 12 kuukauden aikana voitetut julkiset hankinnat (hankkija, otsikko, arvo, päivämäärä), verkkosivujen osoite ja yksi sähköpostiosoite. Käytämme ensisijaisesti yleisosoitteita, kuten info@ tai myynti@. Nimettyä työosoitetta käytämme vain, jos olemme etukäteen todenneet, että henkilön työtehtävät liittyvät julkisiin hankintoihin, tarjouksiin tai yrityksen johtamiseen, ja kirjanneet perusteen. Tallennamme lähetetyt viestit ja niiden tilan sekä tiedon siitä, onko viestin pilottilinkki avattu tai pilotti aloitettu. Emme seuraa viestien avaamista emmekä käytä seurantakuvia. Vastauksista luemme vain otsaketiedot (lähettäjä, aihe, viittaus viestiimme), emme tallenna vastausten sisältöä.
• Mistä tiedot saadaan: HILMA-hankintailmoituspalvelun julkiset jälki-ilmoitukset ja hankintailmoitukset, PRH:n avoin YTJ-data ja yrityksen omat verkkosivut. Kerromme jokaisessa viestissä, mistä yhteystieto on saatu.
• Tarkoitus ja oikeusperuste: Caneron-palvelun markkinointi yrityksille, oikeutettu etu (tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohta). Olemme punninneet etumme ja yhteyshenkilön oikeudet: tiedot ovat julkisia, viesti koskee vastaanottajan omaa toimialaa ja juuri nyt auki olevia hankintoja, lähetämme yritykselle enintään kaksi viestiä (viestin ja yhden muistutuksen), emme ota uudelleen yhteyttä puoleen vuoteen ja lopetamme heti pyynnöstä. Jokainen viesti tarkistetaan ja hyväksytään ennen lähetystä. Emme ota yhteyttä yksityisiin elinkeinonharjoittajiin (toiminimiin). Sähköinen suoramarkkinointi yritykselle perustuu sähköisen viestinnän palveluista annetun lain 202 §:ään. Nimettyyn työosoitteeseen lähetämme vain, jos palvelu liittyy olennaisesti vastaanottajan työtehtäviin.
• Tekoäly: arvioimme tekoälyllä (Anthropic) vain sen, sopiiko avoin hankinta yrityksen aiemmin voittamien hankintojen alaan. Tekoälylle lähetetään vain julkisten hankintojen tekstejä, ei sähköpostiosoitteita eikä henkilöiden nimiä. Tekoäly ei kirjoita vastaanottajalle lähtevää tekstiä.
• Vastaanottajat: Google Workspace (sähköpostin lähetys ja vastaanotto), Supabase (tietokanta, EU), Render (sovelluspalvelin, EU) ja Anthropic (sopivuusarvio julkisesta tekstistä). Siirrot EU:n ulkopuolelle suojataan vakiosopimuslausekkeilla. Emme myy emmekä luovuta tietoja muille.
• Säilytysaika: jos emme ota yritykseen yhteyttä, poistamme yhteystiedot 60 päivän kuluessa. Lähetettyjen viestien yhteystiedot ja viestien tekstit poistetaan noin 6 kuukauden kuluttua viimeisestä viestistä, ellei keskustelu jatku tai pilottia aloiteta. Kiellon jälkeen säilytämme vain osoitteen, verkkotunnuksen ja Y-tunnuksen tiivisteen estolistalla, jotta emme ota uudelleen yhteyttä.
• Oikeus kieltää viestit: voit kieltää viestit milloin tahansa ja maksutta viestin lopetuslinkistä, vastaamalla viestiin "ei kiitos" tai kirjoittamalla osoitteeseen leo@caneron.fi. Kielto tulee voimaan heti, ja lopetamme myös mahdollisen muistutuksen.
• Muut oikeudet: oikeus saada pääsy tietoihin, oikaista ja poistaa ne sekä vastustaa käsittelyä. Jos pyydät tietojen poistamista, kerromme, haluatko säilyttää estolistan tunnisteen, joka estää uudet yhteydenotot. Voit tehdä valituksen tietosuojavaltuutetulle (tietosuoja.fi).