Tietosuoja

Tietosuojaseloste

Päivitetty: toukokuu 2026 · Rubber Wheels Oy · kumipyorat.fi

1. Rekisterinpitäjä

Rubber Wheels Oy
Y-tunnus: 3610628-8
00750 Helsinki
Sähköposti: privacy@kumipyorat.fi

Tietosuoja-asioissa voit ottaa yhteyttä sähköpostitse osoitteeseen privacy@kumipyorat.fi. Vastaamme kaikkiin pyyntöihin 30 päivän kuluessa vastaanottamisesta (GDPR Art. 12(3)).

2. Kerättävät henkilötiedot

Tunnistetiedot: nimi, sähköpostiosoite, puhelinnumero
Henkilötunnus (hetu): kerätään kuljettajilta verottajan DAC7-raportointivelvoitteen täyttämiseksi
Sijaintitiedot: reaaliaikainen GPS-sijainti aktiivisten toimitusten aikana (vain kuljettajan suostumuksella)
Reitti- ja kuljetustiedot: nouto- ja toimitusosoitteet, toimitushistoria
Maksu- ja pankkitiedot: Stripe Connect -palvelun kautta käsitellyt maksutiedot
Valokuvat: tavarakuvat (lähettäjä) ja toimitustodistekuvat (kuljettaja)
Viestit: käyttäjien väliset chat-viestit sovelluksessa
Arvostelut ja pisteet: tähtiarvosteluhistoria, luottamuspisteet, luotettavuuspisteet
Laitetunniste: push-ilmoitusten rekisteröintitoken
Evästeet ja käyttöloki: verkkosivuston toimintaan liittyvät evästeet, IP-osoite ja käyttöloki turvallisuuden ja väärinkäytösten valvontaan

3. Käsittelyn oikeusperuste

Käsittelytarkoitus	Oikeusperuste
Käyttäjätilin hallinta ja tunnistautuminen	Sopimus (Art. 6(1)(b))
Kuljetusten välittäminen ja matchaus	Sopimus (Art. 6(1)(b))
Maksujen käsittely ja tilittäminen	Sopimus (Art. 6(1)(b))
DAC7-raportointi Vero.fi:lle	Lakisääteinen velvollisuus (Art. 6(1)(c))
Kirjanpitoaineiston säilytys	Lakisääteinen velvollisuus (Art. 6(1)(c))
Petosten torjunta ja turvallisuus	Oikeutettu etu (Art. 6(1)(f))
Push-ilmoitukset palvelupäivityksistä	Oikeutettu etu (Art. 6(1)(f))
Välttämättömät evästeet (sivuston toiminta)	Oikeutettu etu (Art. 6(1)(f))
Analytiikka- ja markkinointievästeet	Suostumus (Art. 6(1)(a))

4. Tietojen käyttötarkoitus

Palvelun tarjoaminen: kuljetusten välittäminen lähettäjien ja kuljettajien välillä
Käyttäjätilin hallinta ja tunnistautuminen
Maksujen käsittely, escrow-pidätys ja tilittäminen kuljettajille
DAC7-raportointi Verohallinnolle (kuljettajien ansiotiedot)
Luottamus- ja luotettavuuspistelaskenta (ks. kohta 8)
Palvelun kehittäminen ja turvallisuuden varmistaminen
Lakisääteisten velvoitteiden täyttäminen

5. Tietojen säilytysajat

Tietotyyppi	Säilytysaika
Käyttäjätili ja profiilitiedot	Tilin aukiolon ajan + 30 päivää poistopyynnöstä
Kuljetushistoria	5 vuotta (Kirjanpitolaki)
Maksutiedot ja tositteet	7 vuotta (Kirjanpitolaki 2:10 §)
GPS-sijaintitiedot (aktiivinen toimitus)	Poistetaan toimituksen vahvistamisen jälkeen
Toimitustodistekuvat	12 kuukautta toimituksesta
Chat-viestit	12 kuukautta viimeisestä viestistä
Push-ilmoitustokenit	Poistetaan uloskirjautumisen yhteydessä
DAC7-raportointitiedot (hetu, osoite)	7 vuotta (verolaki)
Evästeet	Istuntoevästeet: poistetaan selaimen sulkemisen yhteydessä. Pysyvät evästeet: 1–13 kuukautta (ks. kohta 10)

Tiedot tallennetaan EU:n alueelle. Käytämme alan standardien mukaisia salausmenetelmiä siirron ja säilytyksen aikana.

6. Kolmannet osapuolet

Jaamme tietoja ainoastaan palvelun toteuttamiseksi välttämättömille osapuolille:

Stripe, Inc. — maksujen käsittely ja kuljettajien KYC-tunnistus (PCI DSS -sertifioitu, EU:n tietosuojasopimus)
Supabase, Inc. — tietokanta ja autentikointi (palvelimet Frankfurt, EU)
Railway — backend-sovelluspalvelin (palvelimet EU)
Google LLC — osoitehaku (Google Places API)
Expo / Expo Push Notification Service — push-ilmoitukset mobiililaitteille
Link Mobility — SMS-vahvistusviestit

Kaikkien alihankkijoiden kanssa on laadittu tietosuoja-asetuksen mukainen tietojenkäsittelysopimus (DPA). Emme myy henkilötietoja kolmansille osapuolille.

7. Kansainväliset tiedonsiirrot

Pääsääntöisesti tiedot käsitellään EU/ETA-alueella (Supabase Frankfurt, Railway EU). Yhdysvaltalaiset palveluntarjoajat (Stripe, Google, Expo) noudattavat EU:n standardisopimuslausekkeita (SCC) tai toimivat EU:n tietosuojakehyksen (EU-U.S. DPF) piirissä. Siirtoihin liittyvän dokumentaation voi pyytää osoitteesta privacy@kumipyorat.fi.

8. Automaattinen pisteytys ja algoritmit

Palvelu laskee automaattisesti seuraavat pisteet:

Luottamuspisteet (0–125 p): lasketaan vahvistettujen tietojen perusteella (sähköposti, Stripe, puhelin, vakuutus, GPS-seuranta, toimitusmäärä, profiili, arvostelut). Pisteet määrittävät käyttäjän luottamustason (Uusi / Perus / Vahvistettu / Luotettu).
Luotettavuuspisteet (0–20 p): vähenevät peruutusten myötä ja palautuvat suoritettujen toimitusten kautta. Vaikuttaa käyttäjän näkyvyyteen alustalla.
Ilmoitusten kohdentaminen: push-ilmoitukset kohdennetaan kotikuntasi ja aktiivisten reittisi perusteella. Emme tee automatisoituja rekrytointi- tai irtisanomispäätöksiä.

Sinulla on oikeus pyytää ihmisen suorittamaa arviointia automaattisen pisteytyksen tuloksista. Ota yhteyttä: privacy@kumipyorat.fi

9. Sponsoroidut reittisuositukset (vapaaehtoinen)

Voit erikseen antaa suostumuksen mainostajien tarjoamien reittikohtaisten suositusten vastaanottamiseen push-ilmoituksina. Suostumus on oletuksena pois päältä ja annetaan eksplisiittisellä toggle-painikkeella sovelluksesta (Profiili → Notifikaatiot → Reittisuositukset).

Oikeusperuste: Suostumus (GDPR Art. 6(1)(a)) yhdistettynä ePrivacy-direktiivin Art. 13 vaatimukseen sähköisen markkinoinnin opt-inistä.
Mitä tietoja käytetään: aktiivisen kuljetuksen lähtö- ja määränpääosoite (reitin täsmäys mainoskampanjan geofence-alueeseen) sekä kotikuntasi karkealla tasolla.
Mitä tietoja EI käytetä: kuljetettavan tavaran sisältöä, painoa, käyttäjän hintabudjettia, tarkkaa reaaliaikaista sijaintia. Emme profiloi terveys-, uskonto-, etnisyys-, sukupuoli-identiteetti- tai poliittisen vakaumuksen perusteella.
Tietojen jakaminen mainostajalle: Mainostaja ei saa henkilötietojasi. Saamme heille tilastolukuja näyttömääristä ja klikeistä — ei yksittäisiä käyttäjiä tunnistettavassa muodossa.
Frekvenssirajoitus: Enintään yksi mainos-push 24 tunnissa ja enintään kolme viikossa per käyttäjä, riippumatta kampanjamääristä.
Mainoksen tunnistus: Jokainen push on selvästi merkitty ”Mainos · [Mainostajan nimi]” -etiketillä otsikossa (DSA Art. 26 + EU:n epäreilun kauppatavan direktiivi).
Hiljaiset tunnit: Reittisuosituspushit kunnioittavat hiljaisia tunteja samoin kuin muut push-ilmoitukset.

Suostumuksen peruutus (GDPR Art. 7(3)): Voit perua suostumuksen koska tahansa sovelluksesta (Profiili → Notifikaatiot → Reittisuositukset). Peruutus on yhtä helppoa kuin antaminen, ja sen jälkeen et saa enää reittisuosituspusheja. Aiemmin annettu suostumus on pätevä peruutushetkeen asti.

Mainosrekisteri (DSA Art. 26): Pidämme julkista mainosrekisteriä aktiivisista ja päättyneistä kampanjoista. Rekisteri näyttää mainostajan, mainoksen sisällön, kohderyhmäkriteerit ja näyttömäärät — ei yksittäisten käyttäjien tietoja. Rekisteri julkaistaan ennen ensimmäisen mainoskampanjan käynnistämistä osoitteessa kumipyorat.fi/mainosrekisteri.

Säilytysaika: Push-lähetyslokit säilytetään 13 kuukautta DSA Art. 39 -mukaisesti, jonka jälkeen ne anonymisoidaan kampanjakohtaisiksi yhteenvedoiksi.

10. Sinun oikeutesi (GDPR)

Tarkastusoikeus (Art. 15): oikeus saada kopio sinua koskevista tiedoista
Oikaisupyyntö (Art. 16): oikeus korjata virheelliset tiedot
Poisto-oikeus (Art. 17): oikeus pyytää tietojen poistamista — tilin voi poistaa myös suoraan sovelluksesta (Profiili → Tietosi ja yksityisyys → Poista tili)
Siirto-oikeus (Art. 20): oikeus saada tiedot siirrettävässä muodossa
Rajoitusoikeus (Art. 18): oikeus rajoittaa tietojen käsittelyä
Vastustamisoikeus (Art. 21): oikeus vastustaa oikeutettuun etuun perustuvaa käsittelyä
Suostumuksen peruuttaminen (Art. 7(3)): voit peruuttaa evästeasetukset milloin tahansa selaimen asetuksista tai sivuston evästehallinnasta, ja sovelluksen markkinointisuostumukset (sähköposti-vinkit, sponsoroidut reittisuositukset) Profiili → Notifikaatiot-näkymästä
Automaattinen päätöksenteko (Art. 22): oikeus vaatia ihmisen tekemää arviointia

Lähetä pyyntö: privacy@kumipyorat.fi
Vastaamme 30 päivän kuluessa pyynnön vastaanottamisesta.

Valitusoikeus: Sinulla on oikeus tehdä valitus Suomen tietosuojavaltuutetulle, jos katsot, että henkilötietojesi käsittely loukkaa tietosuoja-asetusta.
Tietosuojavaltuutetun toimisto: tietosuoja.fi · tietosuoja@om.fi

11. Evästeet

Verkkosivustomme (kumipyorat.fi) käyttää evästeitä seuraavasti:

Evästeryhmä	Tarkoitus	Vaatii suostumuksen
Välttämättömät	Kirjautumissessio, WordPress-toiminnot, tietosuojasuostumuksen tallennus	Ei
Analytiikka	Sivustoliikenteen seuranta (esim. Google Analytics / Matomo)	Kyllä
Markkinointi	Kohdennettu mainonta	Kyllä

Voit hallita evästeasetuksiasi selaimen asetuksista tai sivustolla näytettävän evästebannerin kautta. Analytiikka- ja markkinointievästeitä ei aseteta ilman nimenomaista suostumustasi. Voit peruuttaa suostumuksesi milloin tahansa muuttamalla evästeasetuksia.

12. Muutokset tähän selosteeseen

Päivitämme tätä tietosuojaselostetta tarvittaessa. Merkittävistä muutoksista ilmoitamme sovelluksen kautta push-ilmoituksella tai sähköpostitse vähintään 14 päivää ennen muutoksen voimaantuloa. Jatkamalla palvelun käyttöä muutoksen jälkeen hyväksyt päivitetyn selosteen.

Rubber Wheels Oy · Y-tunnus: 3610628-8

00750 Helsinki

Kysyttävää tietosuojasta?

privacy@kumipyorat.fi

Alaikäiset

Palvelu on tarkoitettu vähintään 18 vuotta täyttäneille. Emme tietoisesti käsittele alaikäisten henkilötietoja. Jos saamme tietoomme, että alaikäinen on rekisteröitynyt palveluun, poistamme tilin ja siihen liittyvät henkilötiedot ilman aiheetonta viivytystä.

Jos olet huoltaja ja epäilet, että alaikäinen on rekisteröitynyt palveluun, ota yhteyttä: privacy@kumipyorat.fi.

Tietoturvaloukkausten käsittely

Mikäli henkilötietojesi tietoturvaa on loukattu tavalla, joka todennäköisesti aiheuttaa korkean riskin oikeuksillesi ja vapauksillesi, ilmoitamme siitä sinulle ilman aiheetonta viivytystä, viimeistään 72 tunnin kuluessa siitä, kun loukkaus tuli tietoomme. Ilmoitus toimitetaan sähköpostitse rekisteröimääsi osoitteeseen ja tarvittaessa myös sovelluksen sisäisellä viestillä (GDPR Art. 34).

Ilmoitamme tietoturvaloukkauksesta tietosuojavaltuutetun toimistolle 72 tunnin kuluessa havainnosta GDPR Art. 33 mukaisesti, jollei loukkaus ole epätodennäköisesti aiheuttanut riskiä rekisteröidyille.