Viimeisin päivitys: 20. toukokuuta 2026
1. Johdanto
Tämä tietojenkäsittelysopimus ("DPA") on osa Aihio AI:n käyttöehtoja ja sitoo rekisterinpitäjää ("Asiakas") ja henkilötietojen käsittelijää ("Aihio AI"). Sopimus koskee henkilötietojen käsittelyä, jota Aihio AI suorittaa Asiakkaan puolesta chatbot-palvelun yhteydessä.
2. Määritelmät
Tässä sopimuksessa käytetään EU:n yleisen tietosuoja-asetuksen (GDPR, 2016/679) mukaisia määritelmiä:
- "Henkilötieto" tarkoittaa kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja.
- "Käsittely" tarkoittaa kaikkia henkilötietoihin kohdistuvia toimintoja, kuten keräämistä, tallentamista, käyttöä ja poistamista.
- "Rekisterinpitäjä" tarkoittaa Asiakasta, joka määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot.
- "Henkilötietojen käsittelijä" tarkoittaa Aihio AI:ta, joka käsittelee henkilötietoja Rekisterinpitäjän puolesta.
3. Käsittelyn kohde ja laajuus
Aihio AI käsittelee henkilötietoja seuraavissa tarkoituksissa:
- Chatbot-keskustelujen käsittely ja tallennus
- Tietopohjan materiaalien indeksointi ja haku (RAG)
- Käyttöanalytiikka ja raportit
- Käyttäjätilien ja tiimien hallinta
4. Käsiteltävät henkilötiedot
Käsiteltävät henkilötietotyypit voivat sisältää:
- Loppukäyttäjien chat-viestit ja niihin liittyvät metatiedot (aikaleimat, istuntotunnisteet)
- Asiakkaan chatbotille syöttämä materiaali, joka voi sisältää henkilötietoja
- Asiakkaan hallintapaneelin käyttäjätiedot (nimi, sähköposti, rooli)
5. Käsittelijän velvollisuudet
Aihio AI sitoutuu seuraaviin velvollisuuksiin:
- Käsittelee henkilötietoja ainoastaan Asiakkaan dokumentoitujen ohjeiden mukaisesti
- Varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitovelvollisuuteen
- Toteuttaa asianmukaiset tekniset ja organisatoriset suojatoimet (GDPR art. 32)
- Avustaa Asiakasta rekisteröityjen oikeuksia koskevien pyyntöjen täyttämisessä
- Poistaa tai palauttaa kaikki henkilötiedot palvelun päättyessä Asiakkaan valinnan mukaisesti
- Antaa Asiakkaan käyttöön tiedot, jotka ovat tarpeen GDPR-vaatimusten noudattamisen osoittamiseksi
6. Alikäsittelijät
Aihio AI käyttää seuraavia alikäsittelijöitä palvelun tuottamisessa:
- Supabase (EU West, Irlanti): Tietokanta, käyttäjähallinta ja tiedostojen tallennus
- Vercel (EU-alue): Sovellusalustan (app.aihio.ai) hosting ja rajapinnat
- UpCloud (Suomi): Markkinointisivuston staattisten tiedostojen tallennus ja hostaus. Sisältää vain julkaistun sivuston tiedostot; ei keskustelu-, tili- eikä yhteydenottotietoja.
- Bunny (BunnyWay d.o.o., Slovenia, EU): Markkinointisivuston sisällönjakeluverkko ja edge-reititys. Välittää yhteydenottolomakkeen ja rajapintojen pyynnöt Aihion sovellukseen ja käsittelee tässä yhteydessä kävijän IP-osoitteen pyyntökohtaisesti. Ei tallenna keskustelusisältöä.
- Mistral AI (Ranska, EU): Kielimallien rajapinnat chat-vastausten generoimiseen. Ainoa kielimallialikäsittelijä; kaikki inferenssi EU:ssa.
- Stripe: Maksujen käsittely (ei tallenna chat-dataa)
- Sentry (EU, Saksa): Virheenseuranta ja suorituskyvyn valvonta
- Resend (EU, Irlanti): Sähköpostiviestintä (transaktionaaliset viestit)
- Crawl4AI (Railway, EU-alue, Irlanti): Asiakkaiden chatbottien tietopohjien indeksointi verkkosivustoilta. Itsehostattu palvelu Railway-infrastruktuurissa EU-alueella — kerätty sisältö pysyy Aihion oman pinon sisällä, ei siirry kolmannelle osapuolelle. Railway (alusta-infrastruktuuri) on osa olemassa olevia alikäsittelijöitä.
- Twilio (Yhdysvallat) — vain BYO SMS -kanavan kanssa: SMS-viestien välitys, kun Asiakas aktivoi oman Twilio-tilinsä Aihion BYO SMS -kanavalle. Asiakas tuo omat tunnukset (Account SID + Auth Token) ja toimii Twilion suorana rekisterinpitäjänä — Aihio ei välitä eikä laskuta Twilion käyttömaksuja. Käsittelee asiakkaan saapuvat SMS-viestit ja Aihion generoimat vastausviestit. Twilion EU-asiakkaiden tietoja käsitellään tytäryhtiön Twilio Ireland Limited kautta SCC-pohjalla. Tämä alikäsittelijä ei ole käytössä asiakkaille, jotka eivät ole aktivoineet SMS-kanavaa chatbotilleen.
- Upstash (Redis, EU-alue): Pyyntörajoituslaskurit ja vastausvälimuisti. Avaimet ovat lyhytikäisiä (minuutteja) ja voivat sisältää kävijän IP-osoitteen; ei chat-viestien sisältöä.
- PostHog (EU, Frankfurt): Tuoteanalytiikka ja käyttömittarit. Kerää tietoa vain nimenomaisella evästesuostumuksella; autocapture pois päältä.
Ilmoitamme alikäsittelijöiden muutoksista Asiakkaalle etukäteen. Asiakkaalla on oikeus vastustaa muutosta.
7. Tietojen siirrot
Henkilötiedot säilytetään EU:n alueella. Kielimallirajapinnat ovat EU:ssa (Mistral AI, Ranska) – keskustelutietoja ei siirretä EU:n ulkopuolelle kielimalli-inferenssiä varten. Verkkosivustojen indeksointi tehdään itsehostatulla Crawl4AI-palvelulla Railway-infrastruktuurissa EU-alueella. Kaksi alikäsittelijää on yhdysvaltalaisia yhtiöitä: Upstash (Redis), jonka instanssi sijaitsee EU-alueella ja joka tallentaa lyhytikäisiä pyyntörajoituslaskureita, sekä Twilio, joka on käytössä vain Asiakkaan erikseen aktivoimalla BYO SMS -kanavalla. Molemmissa tapauksissa siirto nojaa EU-komission vakiosopimuslausekkeisiin (SCC).
7b. EU:n tekoälyasetus (AI Act) — Läpinäkyvyysvelvoitteet
Aihio AI:n chatbot-palvelu hyödyntää yleiskäyttöisiä tekoälymalleja (GPAI). EU:n tekoälyasetuksen (2024/1689) mukaisesti noudatamme seuraavia läpinäkyvyysvelvoitteita:
- Chatbotin tuottamat vastaukset tunnistetaan selkeästi tekoälyn generoimiksi
- Asiakkaille tarjotaan tietoa käytetyistä tekoälymalleista ja niiden tarjoajista
- Tekoälymallin tuottamaa sisältöä ei esitetä ihmisen tuottamana
- Asiakkaita avustetaan heidän omien tekoälyasetuksen mukaisten velvoitteidensa täyttämisessä
8. Tietoturvatoimenpiteet
Aihio AI toteuttaa seuraavat tekniset ja organisatoriset suojatoimenpiteet:
- Tietojen salaus siirron aikana (TLS 1.2+) ja levossa (AES-256)
- Rivitason tietoturva (RLS) tietokantatasolla — asiakkaat eivät pääse toistensa tietoihin
- Roolipohjainen pääsynhallinta (RBAC) tiimitasolla
- Säännölliset tietoturvapäivitykset ja haavoittuvuustarkistukset
- Lokitus ja valvonta poikkeavuuksien havaitsemiseksi
9. Tietoturvaloukkaukset
Aihio AI ilmoittaa Asiakkaalle tietoturvaloukkauksesta ilman aiheetonta viivytystä, viimeistään 48 tunnin kuluessa loukkauksen havaitsemisesta. Ilmoitus sisältää kuvauksen loukkauksesta, sen todennäköisistä seurauksista ja toteutetuista korjaavista toimenpiteistä.
10. Rekisteröityjen oikeudet
Aihio AI avustaa Asiakasta rekisteröityjen seuraavien oikeuksien toteuttamisessa:
- Oikeus saada pääsy omiin tietoihinsa
- Oikeus tietojen oikaisemiseen
- Oikeus tietojen poistamiseen ("oikeus tulla unohdetuksi")
- Oikeus käsittelyn rajoittamiseen
- Oikeus tietojen siirrettävyyteen
11. Sopimuksen kesto ja päättyminen
Tämä DPA on voimassa niin kauan kuin Aihio AI käsittelee henkilötietoja Asiakkaan puolesta. Palvelun päättyessä Aihio AI poistaa kaikki henkilötiedot 30 päivän kuluessa, lukuun ottamatta lokitietoja, joita säilytetään enintään 90 päivää tietoturvasyistä, varmuuskopioita, joita tarvitaan palautumiseen, sekä tietoja, joiden säilyttämistä lainsäädäntö edellyttää. Tällaisiin tietoihin sovelletaan edelleen tämän sopimuksen salassapito- ja turvallisuusvelvoitteita.
12. Yhteydenotto
Tietojenkäsittelysopimukseen liittyvissä kysymyksissä ota yhteyttä: