Tietosuojaseloste

Lyriot (”me”, ”meidät”) on sitoutunut suojaamaan yksityisyyttäsi. Tässä käytännössä kerrotaan, miten keräämme, käytämme, luovutamme ja suojaamme henkilötietojasi yleisen tietosuoja-asetuksen (GDPR) ja sovellettavan Ranskan lainsäädännön mukaisesti.

Keräämme seuraavia tietoryhmiä:

• Rekisteröitymistiedot: koko nimi, sähköpostiosoite, salattu salasana (bcrypt), kaupunki, maa, sukupuoli, syntymäaika, puhelinnumero (vapaaehtoinen).
• Profiilitiedot: profiilikuva (tallennettu Cloudflare R2 -palveluun), esittely, kiinnostuksen kohteet.
• Toimintatiedot: luomasi ja osallistumasi tapahtumat, ilmoittautumiset jonotuslistalle, julkaisemasi kommentit, reaktiot, QR-koodilla tehdyt sisäänkirjaukset, vaihdetut viestit (sisältö ja ajankohta), kaverisuhteet, viestien lukutila (lukukuittaukset), avatut saavutukset, aktiivisuusputket, kutsukoodi ja kutsuttujen luettelo.
• Pelillistämistiedot: kertyneet pisteet lähteittäin, nykyinen arvo, tulostaulukkohistoria, aktiiviset tehosteet ja niiden voimassaolon päättyminen, pistelompakon saldo ja historia.
• Maksutiedot: tapahtumahistoria (tilaukset, maksulliset tapahtumat, tehosteet), voimassa oleva tilaus ja uusimispäivä. Pankki- ja korttitietoja käsittelee yksinomaan Stripe – me emme säilytä niitä koskaan.
• Järjestäjän tiedot (Stripe Connect): maksuja vastaanottavilta järjestäjiltä Stripe kerää henkilöllisyyden varmistamiseen tarvittavat tiedot suoraan: henkilöllisyys (nimi, syntymäaika, skannattu henkilöllisyystodistus), täydellinen postiosoite, pankkiyhteystiedot (IBAN tai tilinumero) ja tarvittaessa yritystiedot (toiminimi, verotunniste). Näihin tietoihin sovelletaan Stripen tietosuojakäytäntöä.
• Sijaintitiedot: GPS-koordinaatit (leveys- ja pituusaste), jotka annetaan tapahtumaa luotaessa, kartan näyttämiseksi ja lähialuehaun mahdollistamiseksi. Emme koskaan kerää sijaintiasi jatkuvasti. Jos olet jo sallinut sijainnin laitteessasi, noin kymmeneen kilometriin pyöristettyä sijaintiasi käytetään myös kaupunkiehdotusten järjestämiseen; sitä ei tallenneta tilillesi.
• Hakemustiedot: ansioluettelo, hakemuskirje ja LinkedIn-osoite, jotka lähetetään osoitteen /careers/apply kautta ja tallennetaan Cloudflare R2 -palveluun (bucket ”resumes”). Niitä säilytetään enintään 2 vuotta.
• Yhteydenottotiedot: nimi, sähköpostiosoite ja lomakkeella /contact lähetettyjen viestien sisältö.
• Tekniset tiedot: IP-osoite, selaimen tyyppi, vieraillut sivut, yhteyden päivämäärä ja kellonaika, istuntotunniste (NextAuth), push-ilmoitusten tunnukset (Firebase).

Tietojasi käytetään seuraaviin tarkoituksiin:

• Palvelujemme tarjoaminen, ylläpito ja kehittäminen
• Tunnistautumisesi ja tilisi suojaaminen (kirjautuminen sähköpostilla ja salasanalla tai Google OAuthin kautta)
• Sinulle merkityksellisten tapahtumien, profiilien ja tulostaulukoiden näyttäminen
• Maksujen käsittely (tilaukset, maksulliset tapahtumat, tehosteet) Stripen kautta
• Varojen tilittäminen maksullisten tapahtumien järjestäjille Stripe Connectin kautta
• Ilmoitusten lähettäminen (sähköposti Resendillä, push Firebasella)
• Pisteiden automaattinen myöntäminen 15 minuutin välein ajastetuilla tehtävillä (cron)
• Käyttäjien arvojen automaattinen laskenta ja päivitys
• Toistuvien tapahtumien toistokertojen luominen (viikoittain, kuukausittain ja niin edelleen)
• Tapahtumamaksujen veloittaminen ja tilittäminen järjestäjille
• Viikko-, kuukausi- ja vuositulostaulukoiden säännöllinen nollaus
• Kutsuohjelman ehtojen tarkistaminen (väärinkäytösten ehkäisy)
• Verkkotilasi ja viimeisimmän toimintasi näyttäminen kavereillesi
• Sisällön moderoinnin ja ilmoitusten käsittelyn mahdollistaminen
• Petosten, väärinkäytösten ja monitilien ehkäiseminen
• Lakisääteisten ja kirjanpidollisten velvoitteidemme täyttäminen

Käsittelemme tietojasi seuraavilla oikeusperusteilla:

• Sopimuksen täyttäminen: jotta voimme tarjota sinulle tilaamasi Lyriot-palvelut (tili, tapahtumat, maksut, viestit)
• Oikeutettu etu: alustan kehittämiseksi, petosten ehkäisemiseksi, tietoturvan varmistamiseksi, verkkotilan näyttämiseksi ja tulostaulukoiden ylläpitämiseksi
• Suostumus: push-ilmoituksiin (peruutettavissa milloin tahansa asetuksista) ja vapaaehtoiseen markkinointiviestintään
• Lakisääteinen velvoite: sovellettavan lainsäädännön noudattamiseksi, erityisesti kirjanpitovelvoitteiden (5 vuoden säilytys) ja viranomaisten tietopyyntöjen osalta

Emme koskaan myy henkilötietojasi. Luovutamme niitä vain teknisille palveluntarjoajillemme ja ainoastaan siinä määrin kuin palvelun tuottaminen edellyttää:

• Stripe: maksujen käsittely (tilaukset, maksulliset tapahtumat, tehosteet) ja tilitykset järjestäjille Stripe Connectin kautta — Stripen käytäntö
• OVH: PostgreSQL-tietokannan ylläpito (VPS, Ranska); Cloudflare R2: tiedostojen tallennus (profiilikuvat, ansioluettelot)
• Resend: tapahtumasähköpostien lähetys (rekisteröitymisen vahvistus, salasanan palautus, tapahtumailmoitukset)
• Mapbox: interaktiivisten karttojen näyttäminen tapahtumien sijainnille ja lähialuehaulle
• Photon (komoot) ja Nominatim (OpenStreetMap Foundation, tiedot Yhdistyneessä kuningaskunnassa ja Alankomaissa): kaupunkiehdotukset kirjoittaessasi; Nominatimia käytetään vain, jos Photon ei vastaa. Palvelimemme lähettävät niille vain kirjoitetun tekstin ja Photonille likimääräisen sijainnin: maasi keskipisteen tai, jos olet jo sallinut sijainnin, noin kymmeneen kilometriin pyöristetyn sijaintisi. Nimeäsi, IP-osoitettasi tai tiliäsi ei koskaan lähetetä niille.
• Firebase (Google): push-ilmoitusten lähetys laitteillesi (jos olet ottanut ne käyttöön)
• Google OAuth: jos kirjaudut Google-tunnuksella, nimesi, sähköpostiosoitteesi ja Google-profiilikuvasi välitetään Lyriotille
• Toimivaltaiset viranomaiset: kun laki, tuomioistuimen päätös tai oikeutettujen oikeuksiemme puolustaminen sitä edellyttää

Osa palveluntarjoajista on sijoittautunut Euroopan unionin ulkopuolelle (Firebase/Google, Stripe, Yhdysvalloissa). Nämä siirrot on suojattu seuraavasti:

• Euroopan komission hyväksymät vakiosopimuslausekkeet
• Komission tietosuojan riittävyyttä koskevat päätökset (esimerkiksi EU:n ja Yhdysvaltain tietosuojakehys Stripen ja Googlen osalta)
• Yleisen tietosuoja-asetuksen 46 artiklassa tarkoitetut asianmukaiset suojatoimet

Säilytämme tietojasi niin kauan kuin tilisi on aktiivinen. Jos poistat sen, tiedot poistetaan 30 päivän kuluessa, ellei laki muuta edellytä:

• Tapahtumatiedot: 5 vuotta (Ranskan kirjanpitovelvoite)
• Hakemustiedot (ansioluettelot, kirjeet): enintään 2 vuotta
• Tekniset lokit: 12 kuukautta
• Moderointi- ja seuraamushistoria: toistaiseksi (tietoturva ja väärinkäytösten ehkäisy)
• Poistetut yksityisviestit: metatiedot (päivämäärä, osallistujat) voidaan säilyttää sisällön poistamisen jälkeenkin

Yleisen tietosuoja-asetuksen nojalla sinulla on seuraavat oikeudet:

• Oikeus saada pääsy tietoihin: nähdä sinusta säilyttämämme tiedot
• Oikeus oikaisuun: korjata virheelliset tietosi (suoraan Asetuksissa tai ottamalla meihin yhteyttä)
• Oikeus poistamiseen: poistaa tilisi kohdasta Asetukset → Arkaluonteinen alue (käsitellään 30 päivän kuluessa)
• Oikeus siirtää tiedot: saada kopio tiedoistasi jäsennellyssä muodossa
• Vastustamisoikeus: vastustaa tiettyä käsittelyä (esimerkiksi markkinointiviestintää tai verkkotilan näyttämistä)
• Oikeus käsittelyn rajoittamiseen: pyytää käsittelyn keskeyttämistä tietyissä tapauksissa
• Automaattisiin päätöksiin liittyvät oikeudet: saada tieto automaattisesta käsittelystä (pisteiden myöntäminen, arvon laskenta, kutsujen tarkistus) ja riitauttaa sen lopputulos

Näiden oikeuksien käyttäminen: yhteydenottolomake. Voit myös tehdä valituksen CNILille.

Käyttöön otetut tekniset ja organisatoriset toimenpiteet:

• Kaiken siirrettävän liikenteen salaus (HTTPS/TLS)
• Salasanat salattu bcryptillä (ei koskaan tallenneta selkokielisenä)
• Pääsy tietoihin rajattu vähimpien oikeuksien periaatteen mukaisesti
• Tiedostojen turvallinen tallennus Cloudflare R2 -palveluun (pääsy tilapäisesti allekirjoitetulla URL-osoitteella)
• CSRF-suojaus kaikissa lomakkeissa (NextAuth-tunnus)
• Ylläpitotoimien lokitus
• Tietokannan säännölliset varmuuskopiot
• Tietoturvaloukkauksen sattuessa asianosaisille ilmoitetaan 72 tunnin kuluessa yleisen tietosuoja-asetuksen mukaisesti

Käytämme teknisiä evästeitä, jotka ovat välttämättömiä alustan toiminnalle (käyttäjäistunto, CSRF-suojaus). Käytämme myös selaimesi paikallista tallennustilaa muistaaksemme asetuksesi (vaalea tai tumma teema, näyttövaluutta, kieli): nämä tiedot eivät koskaan poistu laitteeltasi. Lisätietoja on evästekäytännössämme.

Lyriot on avoin vähintään 15-vuotiaille Ranskan tietosuojalain 7-1 artiklan mukaisesti. Maissa, joiden lainsäädäntö asettaa toisen ikärajan (esimerkiksi 13 vuotta Yhdysvalloissa COPPA-lain nojalla tai 16 vuotta joissakin EU:n jäsenvaltioissa), sovelletaan suojaavampaa ikärajaa. Emme kerää tietoisesti tietoja alaikäisistä, jotka eivät ole saavuttaneet vaadittua ikää. Jos epäilet tällaisen alaikäisen luoneen tilin, ota meihin välittömästi yhteyttä.

Euroopan yleisen tietosuoja-asetuksen lisäksi Lyriot noudattaa seuraavia tietosuojasäännöksiä asuinmaasi mukaan:

• Kalifornia (CCPA/CPRA): jos asut Kaliforniassa, sinulla on lisäoikeuksia California Consumer Privacy Actin ja California Privacy Rights Actin nojalla: oikeus tietää, mitä henkilötietoja kerätään, oikeus poistamiseen, oikeus kieltää tietojen myynti (me emme myy tietojasi) ja oikeus olla joutumatta syrjityksi näiden oikeuksien käyttämisen vuoksi. Kirjoita meille osoitteeseen contact@lyriot.com käyttääksesi niitä.
• Yhdistynyt kuningaskunta (UK GDPR): noudatamme brexitin jälkeistä Yhdistyneen kuningaskunnan tietosuoja-asetusta. Valvontaviranomainen on ICO (Information Commissioner's Office). Oikeutesi vastaavat Euroopan asetuksen mukaisia oikeuksia.
• Brasilia (LGPD): Lei Geral de Proteção de Dados Pessoais -lain nojalla sinulla on oikeus saada pääsy tietoihin sekä oikeus oikaisuun, poistamiseen, siirtämiseen ja vastustamiseen. Toimivaltainen viranomainen on ANPD (Autoridade Nacional de Proteção de Dados).
• Kanada (PIPEDA + laki 25): noudatamme henkilötietojen ja sähköisten asiakirjojen suojasta annettua lakia (PIPEDA) ja Québecissä lakia 25 (laki henkilötietojen suojaa koskevien säännösten uudistamisesta). Viranomaiset: OPC (liittovaltio) ja CAI (Québec).
• Australia (Privacy Act 1988): noudatamme Australian tietosuojalakia ja Australian Privacy Principles -periaatteita. Toimivaltainen viranomainen on OAIC (Office of the Australian Information Commissioner).
• Japani (APPI): henkilötietojen suojasta annetun lain (個人情報の保護に関する法律) nojalla täytämme APPI:n velvoitteet. Toimivaltainen viranomainen on PPC (Personal Information Protection Commission / 個人情報保護委員会).
• Kiina (PIPL): henkilötietojen suojasta annetun lain (个人信息保护法) nojalla käsittelemme tietojasi laillisuuden, oikeutuksen ja tarpeellisuuden periaatteiden mukaisesti. Toimivaltainen viranomainen on CAC (Cyberspace Administration of China / 国家互联网信息办公室).
• Etelä-Korea (PIPA): henkilötietojen suojasta annetun lain (개인정보 보호법) nojalla sinulla on oikeus saada pääsy tietoihin sekä oikeus oikaisuun, poistamiseen ja vastustamiseen. Toimivaltainen viranomainen on PIPC (Personal Information Protection Commission / 개인정보보호위원회).
• Intia (DPDP Act 2023): Digital Personal Data Protection Act 2023 -lain nojalla sinulla on oikeus saada tietoa sekä oikeus digitaalisten henkilötietojesi oikaisuun ja poistamiseen. Toimivaltainen elin on Data Protection Board of India (MeitY:n perustettavana).
• Turkki (KVKK): henkilötietojen suojasta annetun lain nro 6698 (Kişisel Verilerin Korunması Kanunu) nojalla sinulla on oikeus saada pääsy tietoihin sekä oikeus oikaisuun ja poistamiseen. Toimivaltainen viranomainen on KVKK (Kişisel Verileri Koruma Kurumu).
• Indonesia (UU PDP): henkilötietojen suojasta annetun lain nro 27/2022 (Undang-Undang Perlindungan Data Pribadi) nojalla oikeuksiisi kuuluvat pääsy tietoihin, oikaisu ja poistaminen. Toimivaltainen elin on Kementerian Komunikasi dan Informatika.
• Thaimaa (PDPA): Personal Data Protection Act B.E. 2562 (2019) -lain nojalla sinulla on oikeus saada pääsy tietoihin sekä oikeus siirtämiseen, poistamiseen ja vastustamiseen. Toimivaltainen elin on PDPC (Personal Data Protection Committee).
• Saudi-Arabia (PDPL): Personal Data Protection Law -lain (نظام حماية البيانات الشخصية) nojalla sinulla on oikeus saada pääsy tietoihin ja oikeus oikaisuun. Toimivaltainen viranomainen on SDAIA (Saudi Data and AI Authority / الهيئة السعودية للبيانات والذكاء الاصطناعي).

Valvontaviranomaiset maittain :

Voimme päivittää tätä käytäntöä milloin tahansa. Olennaisista muutoksista ilmoitamme sinulle sähköpostitse tai alustalla näytettävällä ilmoituksella. Lyriotin käytön jatkaminen tällaisen ilmoituksen jälkeen katsotaan muutosten hyväksymiseksi.

Tämä käytäntö on laadittu ranskaksi. Muunkieliset versiot ovat käännöksiä, jotka on tarkoitettu vain tiedoksi; ristiriitatilanteessa ainoastaan ranskankielinen versio on oikeudellisesti sitova.

Rekisterinpitäjä: Lyriot, Ranska.

Kaikissa henkilötietojasi koskevissa kysymyksissä, GDPR-oikeuksiesi käyttämiseksi (pääsy tietoihin, oikaisu, poistaminen, siirrettävyys, vastustaminen, rajoittaminen) tai tietojesi käsittelyä koskevissa valituksissa: yhteydenottolomake tai suoraan contact@lyriot.com.

Voit myös tehdä valituksen toimivaltaiselle valvontaviranomaiselle: Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, 75007 Pariisi.