Tietosuojaseloste

1. Rekisterinpitäjä

RK9 AI Oy (y-tunnus 3612536-6, jäljempänä Ololla)
Rantalankatu 9, 30100 Forssa
Sähköposti: tietosuoja@ololla.fi

2. Käsittelyn tarkoitukset ja oikeusperusteet

Erityisiä henkilötietoryhmiä (Art. 9) — kuten terveystiedot tai uskonnolliset vakaumukset — saattaa esiintyä varauksen lisätiedoissa (erityisruokavaliot, esteettömyystarpeet). Näitä käsitellään nimenomaisen suostumuksen perusteella (Art. 9.2.a), salataan AES-256-GCM-salauksella, eikä niitä luovuteta ulkopuolisille ilman lupaa.

3. Käsiteltävät henkilötiedot

• Yhteystiedot: nimi, sähköpostiosoite, puhelinnumero
• Varaukset: majoitusajat, majoitustyyppi, hinta, maksutapa
• Lisätiedot: varauksen erityispyynnöt (salattu)
• Viestintä: mökin isäntien ja asiakkaiden väliset viestit alustalla
• Tekniset tiedot: IP-osoite, selain, evästetunnisteet, istuntoloki
• Kampanjatunnisteet: jos saavut sivulle mainoksen linkistä, osoitteen kampanjatunnisteet (utm_source, utm_medium, utm_campaign, utm_content, utm_term) liitetään varauspyyntöösi ja tallennetaan varauksen audit-lokiin 2 vuodeksi. Niillä mittaamme, mikä mainonta tuo varauksia, ja vertaamme sesonkia edellisen vuoden vastaavaan. Tunnisteita ei tallenneta selaimeesi. Käsittelyn peruste on oikeutettu etu (markkinoinnin mittaus ja sesonkien vuosivertailu).
• Maksutiedot: Stripe käsittelee maksukorttitiedot. Varausmaksut ohjataan Stripe Connectin kautta isännän maksutilille, ja Ololla perii komissionsa sovellusmaksuna (application fee). Ololla ei tallenna korttinumeroita. Isännän kuukausimaksun kortista Ololla tallentaa vain Stripen viitetunnisteen, kortin merkin, neljä viimeistä numeroa ja voimassaoloajan.
• 3D-kierrosten kuvat: kun isäntä teettää kohteesta 3D-kierroksen, käsittelemme hänen lataamansa kuvat tai videon kohteen tiloista sekä tilan ja kohteen nimen. Pyydämme kuvaamaan tilat ilman ihmisiä, mutta kuvissa voi silti näkyä henkilöitä tai henkilötietoja. Valokuvista poistetaan sijainti- ja muut metatiedot latauksen yhteydessä. Videoista metatietoja ei toistaiseksi poisteta. Käsittelyn peruste on sopimus isännän kanssa (3D-kierros on isännän tilaama palvelu) ja kuvissa mahdollisesti näkyvien muiden henkilöiden osalta oikeutettu etu.
• Hostin tunnistautumistiedot (KYC): henkilötunnus (yksityisisäntä), Y-tunnus (yritys), IBAN, syntymäaika, osoite. Tiedot välitetään suoraan Stripen KYC-rajapintaan rahanpesulain (444/2017) edellyttämää tunnistamista varten. Ololla säilyttää vain tunnistetut viitearvot (esim. tilin tunniste, tunnistuksen aikaleima) — ei raakaa henkilötunnusta selkotekstinä.

4. Tietojen vastaanottajat

Luovutamme henkilötietoja seuraaville tahoille:

• Mökkien isännät — varauksen toteuttamiseksi välitetään vieraan nimi, sähköposti ja varauksen tiedot. Mökin isäntä toimii itsenäisenä rekisterinpitäjänä saamansa aineiston osalta.
• Stripe Payments Europe Ltd (maksupalveluntarjoaja, Irlanti, EU/ETA) — maksutapahtumien käsittely Stripe Connect -mallilla kaikkien isäntienvarauksille sekä isäntien kuukausimaksujen veloitus tallennetulta kortilta. Stripe vastaanottaa hostin KYC-tunnistautumistiedot (nimi, henkilö- tai Y-tunnus, syntymäaika, osoite, IBAN) rahanpesulain (444/2017) edellyttämää tunnistamista varten sekä maksukortin tiedot kuluttajavarauksissa. Stripe toimii itsenäisenä rekisterinpitäjänä maksujen käsittelyn osalta.
• Stripe, LLC (USA) — henkilötietojen käsittelijä Olollan lukuun Stripen palveluiden tuottamisessa (tietojenkäsittelysopimus, DPA). Tietoja voidaan siirtää Stripe-konsernin sisällä USA:han. Siirto perustuu Stripe, LLC:n EU-US Data Privacy Framework (DPF) -sertifiointiin (Art. 45 tietosuojan riittävyys) sekä EU:n vakiosopimuslausekkeisiin (SCC, Art. 46.2.c).
• Amazon Web Services EMEA SARL (sähköpostipalvelu, EU) — sähköpostiviestien lähetys ja vastaanotto Amazon SES -palvelulla. Käsittely EU-alueella (eu-north-1, Tukholma) — tietoja ei siirretä EU:n ulkopuolelle.
• Hetzner Online GmbH (palvelininfrastruktuuri, Saksa/Suomi) — palvelimen ylläpito. Käsittely ETA-alueella.
• Plausible Analytics (kävijätilastot, ylläpidämme itse) — sivun osoite ja viittaava sivu, maa, laite-, selain- ja käyttöjärjestelmätyyppi sekä mahdolliset kampanjatunnisteet (UTM). Ohjelmisto toimii omalla palvelimellamme Hetznerillä ETA-alueella, eikä tietoja luovuteta Plausiblen kehittäjälle. Plausible ei käytä evästeitä eikä tallenna IP-osoitetta: IP-osoitteesta ja selaimen tunnisteesta lasketaan päivittäin vaihtuva tiiviste, josta alkuperäistä tietoa ei voi palauttaa. Tilastot ovat koostettuja, eikä niistä voi tunnistaa yksittäistä kävijää. Käsittelyn peruste on oikeutettu etu (kohta 2: palvelun kehittäminen ja analytiikka).
• Anthropic PBC (tekoälypalvelu, USA) — hakukoneen luonnollisen kielen käsittely (NLP), chatbot-toiminnallisuus sekä saapuvien asiakastukiviestien (tuki@ololla.fi) AI-avusteinen käsittely Paperclip-alustan kautta. Tekoäly (Anthropic Claude) laatii vastausehdotuksen — ihminen tarkastaa ja hyväksyy jokaisen lähtevän tukivastauksen ennen lähetystä. Käsittely perustuu tietojenkäsittelysopimukseen (DPA); Anthropic ei käytä API:n kautta käsiteltyä dataa mallien kouluttamiseen. Käsiteltävät tiedot: hakufraasit, chatbot-kyselyt, tukiviestien sisältö. Siirto EU:n ulkopuolelle EU vakiosopimuslausekkein (SCC, Art. 46.2.c).
• World Labs Technologies, Inc. (3D-kierrosten tekoälypalvelu, USA) — tekee isännän lataamista kuvista tai videosta kohteen 3D-kierroksen. Käsiteltävät tiedot: kohteen tilojen kuvat tai video, tilan nimi ja kohteen nimi. Kun katsot kohdesivulla 3D-kierrosta tai sen esikatselukuvaa, selaimesi lataa kierroksen tiedostot World Labsin tai sen jakelupalvelun palvelimelta, jolloin palvelin saa IP-osoitteesi ja selaimesi tiedot. World Labsin oman tietosuojaselosteen mukaan tietoja voidaan siirtää ja käsitellä Yhdysvalloissa. World Labsin alihankkijalistan mukaan se käyttää alihankkijoita, kuten Google Cloudia tallennukseen ja tiedostojen jakeluun. World Labsin ehtojen mukaan se voi käyttää sille ladattua sisältöä mallien kehittämiseen, ellei maksava asiakas ole kieltänyt sitä. Selvitämme, onko kielto voimassa Olollan tilillä. Selvitämme parhaillaan siirron perusteen ja suojatoimet (GDPR 44–49 art.). Lisätietoja: tietosuoja@ololla.fi.
• OpenRouter Inc. (tekoälypalvelun reititys, USA) — chatbot-pyyntöjen reititys LLM-palveluntarjoajille. Käsiteltävät tiedot: chatbot-kyselyt. Siirto EU:n ulkopuolelle EU vakiosopimuslausekkein (SCC, Art. 46.2.c).

LLM-palveluntarjoajat (Anthropic, OpenRouter) eivät käsittele maksu- eivätkä KYC-tunnistautumistietoja — nämä virtaavat yksinomaan Stripen kanavissa eikä niitä lähetetä chatbot- tai hakukyselyjen mukana.

Emme myy henkilötietoja kolmansille osapuolille emmekä käytä niitä kohdennettuun mainontaan.

5. Tietojen säilytysajat

6. Rekisteröidyn oikeudet

Sinulla on seuraavat oikeudet henkilötietoihisi:

• Tarkastusoikeus (Art. 15): oikeus saada kopio sinusta tallentamistamme tiedoista. Voit ladata tietosi suoraan profiilisivultasi.
• Oikaisupyyntö (Art. 16): oikeus vaatia virheellisten tietojen korjaamista.
• Poisto-oikeus (Art. 17): oikeus vaatia tietojesi poistamista. Voit poistaa tilisi profiilisivulla, kun sinulla ei ole kesken olevia varauksia etkä ole minkään poistamattoman kohteen ainoa ylläpitäjä. Kirjanpidollisia tietoja ei voida poistaa lakisääteisen säilytysvelvollisuuden vuoksi.
• Käsittelyn rajoittaminen (Art. 18): oikeus vaatia käsittelyn rajoittamista tietyissä tilanteissa.
• Siirto-oikeus (Art. 20): oikeus saada tietosi koneluettavassa muodossa, kun käsittely perustuu sopimukseen tai suostumukseen.
• Vastustamisoikeus (Art. 21): oikeus vastustaa oikeutettuun etuun perustuvaa käsittelyä, ml. suoramarkkinointi.
• Suostumuksen peruuttaminen (Art. 7.3): voit peruuttaa antamasi suostumuksen koska tahansa. Tämä ei vaikuta ennen peruuttamista tapahtuneen käsittelyn lainmukaisuuteen.

Oikeuksien käyttämiseksi ota yhteyttä: tietosuoja@ololla.fi

7. Automaattinen päätöksenteko ja profilointi

Palvelu käyttää tekoälypohjaista hintasuositusmoottoria, joka perustuu mökkikohtaiseen kysyntä- ja saatavuusdataan. Kyseessä on aggregoitu kysynnänanalyysi — hinnoittelu ei perustu yksittäisen käyttäjän profilointiin eikä se aiheuta sinuun kohdistuvia oikeudellisia tai muita merkittäviä vaikutuksia (GDPR Art. 22 ei sovellu). Voit pyytää lisätietoja hinnoitteluperiaatteista ottamalla yhteyttä.

8. Oikeus tehdä valitus viranomaiselle

Sinulla on oikeus tehdä valitus tietosuojavaltuutetulle, jos katsot, että henkilötietojesi käsittely loukkaa GDPR:ää tai Suomen tietosuojalakia.

Tietosuojavaltuutetun toimisto
Lintulahdenkuja 4, 00530 Helsinki
tietosuoja@om.fi · +358 29 566 6700
tietosuoja.fi

9. Evästeet

Käytämme evästeitä palvelun toiminnan mahdollistamiseksi ja käyttökokemuksen parantamiseksi. Katso tarkemmat tiedot evästekäytännöstämme.

10. Muutokset tähän selosteeseen

Pidätämme oikeuden päivittää tätä tietosuojaselostetta. Merkittävistä muutoksista ilmoitamme rekisteröidyille sähköpostitse vähintään 30 päivää ennen muutoksen voimaantuloa. Ajantasainen versio on aina saatavilla tällä sivulla.