Tekniset ja organisatoriset toimenpiteet (tietosuoja-asetuksen 32 artikla)

Versio 3, 30.9.2026. Tämä asiakirja on tietojenkäsittelysopimuksen liite 2. Se on luettavissa osoitteessa app.tilatutka.fi/ehdot/tietoturva ja toimitetaan pyynnöstä toimittajakyselyihin. Se kuvaa toimenpiteet sellaisina kuin ne ovat 23.9.2026; keskeneräiset kohdat on merkitty määräajalla, eikä niitä esitetä valmiina. Hallintakeinot on jäsennetty ISO/IEC 27001:2022 -standardin liitteen A mukaan (tarkempi taulukko Hallintakeinot_SoA.md). Tilatutkalla ei ole ISO 27001 -sertifikaattia.

1. Organisaatio ja vastuut

• Tietoturvasta ja tietosuojasta vastaa Tilatutka Oy:n toimitusjohtaja. Tietosuojayhteydenotot: info@tilatutka.fi.
• Tietoturvapolitiikka, riskirekisteri ja poikkeamien hallintaohje on dokumentoitu ja katselmoidaan vuosittain; riskirekisteri päivitetään aina, kun ympäristö muuttuu (versio 2: 23.9.2026).
• Jokainen järjestelmään pääsevä henkilö on sitoutunut salassapitoon: itsenäiset kartoittajat toimeksiantosopimuksella, asiakkaan käyttäjät Alustan käyttöehdoilla.

2. Pääsynhallinta ja tunnistus

• Hallinta ja Alusta vaativat kirjautumisen. Julkisia ovat vain verkkosivusto, anonyymi trendisivu, ehdot, palvelun tarkistusosoite ja lomakkeen vastaanotto API-avaimella.
• Jokaisella käyttäjällä on henkilökohtainen tunnus. Salasanat tallennetaan vain suolattuina tiivisteinä (werkzeug, PBKDF2), eivät koskaan selväkielisinä. Vähimmäisvaatimus pakotetaan kaikille: 12 merkkiä, iso ja pieni kirjain, numero ja erikoismerkki; uusi salasana ei saa olla sama kuin nykyinen. Uuden käyttäjän alkusalasana on vaihdettava ensimmäisellä kirjautumisella.
• Kirjautumisen toinen vaihe on pakollinen kaikille: sähköpostiin lähetettävä kertakäyttöinen koodi (voimassa 10 minuuttia, 5 yritystä, lähetysten määrä rajattu). Tunnistussovellus (TOTP) on valinnainen vaihtoehto. Luotettu laite muistetaan 30 päivää käyttäjäkohtaisella evästeellä; salasanan vaihto ja "muut istunnot ulos" mitätöivät muut laitteet.
• Kirjautumisyritykset rajoitetaan palvelimella (nginx-nopeusrajoitus, fail2ban-esto toistuvista yrityksistä) ja kirjataan lokiin tunnuksen ja IP-osoitteen tiivisteinä. Epäonnistuneet yritykset näkyvät pääkäyttäjälle.
• Istuntoeväste on Secure, HttpOnly ja SameSite=Lax. Istunto vanhenee 12 tunnissa, ja käyttäjä näkee omat istuntonsa ja laitteensa. Julkaisu palvelimelle päättää kaikki istunnot.
• Roolit: pääkäyttäjä, soittaja (kartoittaja) ja asiakkaan käyttäjä. Hallinnon näkymät on lueteltu koodissa, ja soittajan rooli saa niistä kieltovastauksen. Asiakkaan käyttäjät näkevät vain oman sopimuksensa alueiden ja tason mukaiset tiedot; asiakkaan merkinnät ovat asiakaskohtaisia. Tasorajaus koskee myös vientejä ja on testattu. Asiakkaan pääkäyttäjä hallinnoi tiiminsä käyttäjiä itse, ja toimet vahvistetaan kertakäyttökoodilla.

3. Tietojen sijainti ja siirto

• Alusta, tietokanta ja paikalliset varmuuskopiot ovat Hetzner Online GmbH:n palvelimella Suomessa (Helsinki). Salattu etävarmuuskopio on Hetznerin Storage Boxissa (EU).
• Sähköposti ja asiakirjat: tilatutka.fi Microsoft 365:ssä (EU-datakeskukset); kartoitusviestit ja Alustan ilmoitukset tilatutkat.fi-osoitteesta Google Workspacessa (EU-tietojen sijainti valittu).
• Kaikki yhteydet verkkosivustoon, Alustaan ja sähköpostiin salataan TLS 1.2:lla tai uudemmalla; Alustalla on HSTS-otsake. Palvelimen hallintayhteys on SSH vain avaimella; salasanakirjautuminen on pois käytöstä.
• Henkilötietoja ei siirretä EU:n tai ETA:n ulkopuolelle muuten kuin alikäsittelijäluettelossa mainituin perustein (Google-palvelut verkkosivustolla, Microsoftin ja Googlen tukitoiminnot).
• Kehitystyöasemalla on testikanta; tuotantokannan henkilötietoja ei näytetä kehitystyökaluille (kyselyt tulostavat määriä, eivät rivejä).

4. Salaus

• Tietoliikenne: TLS 1.2 ja 1.3; vanhemmat protokollat on poistettu. Varmenteet uusiutuvat automaattisesti, ja valvonta varoittaa 14 päivää ennen vanhenemista.
• Salasanat: tiivisteet (ks. kohta 2). Kirjautumiskoodit ja luotettujen laitteiden tunnisteet tallennetaan tiivisteinä.
• Etävarmuuskopio on salattu (restic, AES-256) ja avain on vain palvelimella ympäristömuuttujatiedostossa, jonka lukuoikeus on rajattu.
• Palvelimen levyä ei ole salattu tiedostojärjestelmätasolla, eivätkä paikalliset varmuuskopiot ole salattuja. Levysalaus tai salatut paikalliset kopiot otetaan käyttöön 31.12.2026 mennessä (riskirekisteri R4).

5. Varmuuskopiointi ja jatkuvuus

• Tietokanta varmuuskopioidaan päivittäin SQLiten backup-rajapinnalla, joka tuottaa eheän kopion myös käytön aikana. Paikallinen kopio säilytetään 7 päivän kierrolla, ja salattu etäkopio viedään Storage Boxiin päivittäin; etäkopioita säilytetään 14 päivän, 8 viikon ja 12 kuukauden kierrolla.
• Palautus harjoitellaan automaattisesti kuukausittain: uusin etäkopio palautetaan, eheys tarkistetaan ja rivimäärät verrataan tuotantoon. Tulos kirjataan ja näkyy valvonnassa. Ensimmäinen harjoitus 16.9.2026 onnistui.
• Terveysvalvonta tarkistaa 10 minuutin välein sivuston, Alustan, kaikki näkymät, ajastetut ajot, varmuuskopioiden iän, levyn, muistin ja sähköpostin. Kriittinen vika hälyttää ulkoisen valvontapalvelun kautta; ajastettujen ajojen epäonnistumiset näkyvät hallinnan ajovalvonnassa ja aamukoosteessa, ja väliin jääneet ajot käynnistetään uudelleen automaattisesti.
• Asiakkaan tiedot poistuvat varmuuskopioista kierron mukaisesti; paikallisista 7 päivässä ja etäkopioista viimeistään 12 kuukauden kuluessa poistosta.

6. Lokitus ja valvonta

• Tapahtumaloki tallentaa keskeiset toiminnot (liidin luonti, varmennus, toimitus, sopimuksen tilamuutokset, poistot, tilauspyynnöt, käyttäjä- ja asetusmuutokset) käyttäjätunnuksella ja aikaleimalla. Poistotapahtumiin ei kirjata henkilötietoa, eikä lokiin kirjata yhteystietosisältöä.
• Kirjautumiset (istunnot), epäonnistuneet kirjautumisyritykset (tiivisteinä) ja viennit (tekijä, rajaus ja rivimäärä, ei rivisisältöä) kirjataan. Pääkäyttäjä selaa kaikkia lokeja yhdestä näkymästä ja voi viedä ne CSV-muodossa.
• Keruu- ja ajoskriptit kirjoittavat lokia palvelimelle; lokeissa on osoitteita ja määriä, ei yhteystietosisältöä. Lokeja säilytetään 12 kuukautta.
• Palvelimen käyttöjärjestelmä- ja verkkotason lokit (SSH, nginx, fail2ban) ovat journalissa.

7. Tiedon minimointi, poisto ja rekisteröityjen oikeudet

• Kerätään vain työyhteystietoja yritysten julkisilta sivuilta; jokaiseen tietoon tallennetaan lähdeosoite ja hakupäivä.
• Kieltolista: rekisteröidyn kielto tallennetaan tunnisteena, ja keruu ohittaa kiellettyjen tiedot pysyvästi. Kielto välitetään asiakkaille, joille liidi on toimitettu. Kartoitusviesteissä on kieltolinkki ja List-Unsubscribe-otsake.
• Tietopyyntötyökalu hakee henkilön kaikista tauluista sähköpostilla, puhelimella tai nimellä ja yrityksellä, ja poistaa tai vie tiedot kerralla. Käsittelyaika alle kuukausi, tyypillisesti sama päivä.
• Säilytysajat: työyhteystiedot 24 kk keräämisestä tai tarkistuksesta (automaattinen poisto kuukausittain), liidien ja kartoitusten henkilötiedot 24 kk viimeisestä yhteydenpidosta (anonymisointi toteutetaan 31.10.2026 mennessä, R14), asiakkaan Alustan tiedot yksi kuukausi sopimuksen päättymisestä (automaattinen poisto), lokit 12 kk.

8. Ohjelmistokehitys ja muutostenhallinta

• Jokainen muutos suunnitellaan kirjallisesti, toteutetaan, testataan ja kirjataan muutoslokiin. Koodi on versionhallinnassa (yksityinen GitHub-repositorio), ja ennen isoja muutoksia otetaan varmuuskopio. Julkaisu palvelimelle tehdään yhdellä skriptillä, joka tarkistaa palvelun vastaavan julkaisun jälkeen.
• Tietokantakyselyt ovat parametrisoituja, kaikki tulosteet koodataan HTML-turvallisesti, ja jokaisessa lomakkeessa on CSRF-suojaus. Alusta lähettää Content Security Policy -otsakkeen ilman sivun sisäisiä skriptejä (pyyntökohtainen nonce) sekä HSTS-, X-Frame-Options-, nosniff-, Referrer-Policy- ja Permissions-Policy-otsakkeet.
• Salaisuudet ovat ympäristömuuttujissa palvelimella, eivät koodissa eivätkä versionhallinnassa.
• Testit ajetaan erillisellä testikannalla, ja kaikki näkymät renderöidään automaattisesti tunnin välein tuotannossa (terveysvalvonta) sekä ennen julkaisua (kultaiset sivut).
• Käyttöjärjestelmän tietoturvapäivitykset asennetaan automaattisesti. Sovelluskirjastojen tunnetut haavoittuvuudet tarkistetaan viikoittain (pip-audit) ja poikkeama hälyttää. Palvelinohjelmiston versiotietoja ei paljasteta.
• Sovelluspalvelu ajetaan eristettynä: kirjoitusoikeus vain omaan datakansioon, ei pääsyä kotihakemistoihin, ei oikeuksien korotusta. Palomuurissa ovat auki vain SSH, HTTP ja HTTPS.
• Uusi versio tarkistetaan ennen julkaisua erillisessä testi-instanssissa samalla palvelimella (26.10.2026). Sen tietokanta on tuotantokannan päivittäinen kopio, jota suojataan kuten tuotantoa: sama salaus ja samat suojaotsakkeet, omat salaisuudet, pääsy vain kahdelle nimetylle sisäiselle tunnukselle (asiakkaiden ja kartoittajien tunnukset eivät toimi testissä), istunnot ja linkkitunnisteet puhdistetaan jokaisessa kopiossa, viestit asiakkaille ja ulkoiset rajapinnat on estetty ohjelmallisesti, kopio korvataan päivittäin eikä sitä varmuuskopioida erikseen. Käsittelyn tarkoitus on ohjelmiston testaus; rekisterinpitäjä, palvelin ja alihankkija ovat samat kuin tuotannossa.

9. Haittaohjelmasuojaus ja päätelaitteet

• Kehitystyöasemalla Windows 11, Microsoft Defender ja automaattiset päivitykset. Näytön lukitus poistuttaessa. Työasemalla on testikanta; tuotanto on palvelimella.
• Tietokantaa ei kopioida kannettaville laitteille tai irrotettaville medioille.

10. Alihankkijat

• Henkilötietoja käsittelevät alihankkijat on lueteltu tietojenkäsittelysopimuksen liitteessä 3. Jokaiselta edellytetään tietosuoja-asetuksen 28 artiklan mukaista sopimusta ja EU-sijaintia. Muutoksista ilmoitetaan asiakkaille 30 päivää etukäteen.
• Itsenäiset kartoittajat käsittelevät päättäjien tietoja Tilatutkan lukuun Alustalla omilla tunnuksillaan toimeksiantosopimuksen salassapito- ja tietosuojaehtojen mukaisesti.

11. Poikkeamien hallinta

• Poikkeamat luokitellaan, käsitellään ja dokumentoidaan ohjeen mukaan. Asiakkaalle ilmoitetaan sen tietoja koskevasta henkilötietojen tietoturvaloukkauksesta viimeistään 24 tunnin kuluessa havaitsemisesta; tietosuojavaltuutetulle 72 tunnin kuluessa, kun ilmoitusvelvollisuus täyttyy. Jokaisesta poikkeamasta tehdään jälkiarvio ja riskirekisterin päivitys.

12. Osoitusvelvollisuus

Asiakas saa pyynnöstä: tämän asiakirjan ajantasaisen version, alikäsittelijäluettelon, yhteenvedon poikkeamalokista ja hallintakeinojen soveltuvuustaulukon. Tarkastusoikeus on kuvattu tietojenkäsittelysopimuksen kohdassa B9.