Tietosuoja

Tietosuojaseloste

1. Rekisterinpitäjä

Jonna Pennanen (yksityinen elinkeinonharjoittaja)
Y-tunnus: 2685462-9
Sähköposti: lyhytterapeuttijonna@protonmail.com

2. Käsittelyn tarkoitus

Henkilötietoja käsitellään lyhytterapian palvelusuhteen hoitamiseen:

• Ajanvaraukset ja tapaamisten järjestäminen
• Asiakassopimuksen täyttäminen
• Laskutus ja kirjanpito
• Terapiatyöskentelyn dokumentointi rekisterinpitäjän oman muistin tueksi

Lyhytterapiatapaamisten sisältöä ei kirjata sähköiseen potilastietojärjestelmään eikä Kanta-palveluun.

3. Käsittelyn oikeusperuste

• Sopimus (GDPR 6 art 1 b) — asiakassopimuksen täyttäminen
• Nimenomainen suostumus (GDPR 9 art 2 a) — asiakkaan antamien mielenterveyteen ja hyvinvointiin liittyvien tietojen käsittely erityisenä henkilötietona. Suostumus pyydetään asiakassopimuksessa erikseen ja se voidaan peruuttaa milloin tahansa.
• Lakisääteinen velvoite (GDPR 6 art 1 c) — kirjanpitolaki, verolait, lastensuojelulaki
• Oikeutettu etu (GDPR 6 art 1 f ja 9 art 2 f) — asiakassuhteeseen liittyvien asiakirjojen säilyttäminen 12 kuukauden ajan lyhytterapian päätyttyä mahdollisen oikeudellisen vaateen laatimista, esittämistä tai puolustamista varten.

4. Käsiteltävät tiedot

• Nimi ja yhteystiedot (sähköposti, puhelinnumero, tarvittaessa osoite)
• Syntymäaika
• Asiakassopimuksen tiedot
• Tapaamisajat ja rekisterinpitäjän muistiinpanot terapiatapaamisilta
• Asiakkaan itsensä antamat tiedot omasta tilanteestaan ja hyvinvoinnistaan
• Laskutustiedot

Terapiatapaamisissa mahdollisesti syntyneet kirjalliset työskentelymateriaalit (esim. harjoitukset, kaaviot) luovutetaan asiakkaalle terapiaprosessin päättyessä tai hävitetään tietoturvallisesti asiakkaan pyynnöstä.

Käsittelyssä noudatetaan tietojen minimointiperiaatetta — kerätään vain palvelun toteuttamisen kannalta välttämättömät tiedot.

5. Tietojen luovutus

Henkilötietoja ei luovuteta muille. Poikkeuksena laissa edellytetty ilmoitus- tai luovutusvelvollisuus, kuten lastensuojelulain 25 §:n mukainen ilmoitus.

Rekisterinpitäjä noudattaa vaitiolovelvollisuutta. Vaitiolovelvollisuus säilyy myös asiakassuhteen päätyttyä.

6. Säilytysajat

Tieto	Säilytysaika
Laskutus- ja kirjanpitotiedot	6 vuotta tilikauden päättymisestä (kirjanpitolaki)
Asiakassopimus	Asiakassuhteen ajan + 6 vuotta
Terapiatapaamisten muistiinpanot ja asiakkuuteen liittyvät asiakirjat	Poistetaan tietoturvallisesti 12 kuukauden kuluessa lyhytterapian päätyttyä
Sähköpostiviestintä	Asiakassuhteen ajan + 1 vuosi

7. Rekisteröidyn oikeudet

Sinulla on oikeus:

• Tarkastaa mitä tietoja sinusta on tallennettu
• Pyytää oikaisua virheellisiin tietoihin
• Pyytää tietojen poistamista, kun käsittelylle ei ole enää perustetta (lakisääteiset säilytysvelvoitteet voivat kuitenkin estää välittömän poistamisen)
• Peruuttaa suostumus milloin tahansa
• Tehdä valitus valvontaviranomaiselle: Tietosuojavaltuutetun toimisto, tietosuoja.fi, tietosuoja@om.fi

Oikeuksien käyttäminen: lähetä pyyntö sähköpostilla kohdan 1 osoitteeseen. Vastaamme viimeistään kuukauden kuluessa.

8. Tietoturva

• Rekisterinpitäjä pitää muistiinpanoja sekä käsin että sähköisesti
• Sähköiset muistiinpanot tallennetaan salatulle irrotettavalle tallennusvälineelle, joka säilytetään lukitussa tilassa. Muistiinpanoja ei säilytetä tietokoneen kovalevyllä
• Käsin tehdyt muistiinpanot ja muut paperidokumentit säilytetään lukitussa tilassa
• Sähköpostiviestintä käyttää TLS-siirtosalausta. Arkaluonteiset asiakirjat lähetetään salasanasuojattuna PDF-tiedostona, salasana toimitetaan erikseen
• Arkaluonteisia terveystietoja ei käsitellä sähköpostissa
• Etätapaamiset toteutetaan Proton Meet -videopalvelun kautta. Palvelu on päästä päähän salattu, eikä palveluntarjoaja (Proton AG, Sveitsi) pääse tapaamisen sisältöön. Tapaamisia ei tallenneta. Rekisterinpitäjä käyttää palvelua yrityksen puolesta, jolloin palveluun sovelletaan Proton AG:n tietojenkäsittelysopimusta (DPA), joka on osa Protonin yleisiä käyttöehtoja.

9. Verkkosivut ja evästeet

Sivustolla käytetään evästeitä ja tapahtumaseurantaa vain käyttäjän nimenomaisella suostumuksella. Ensimmäisellä käyntikerralla käyttäjälle näytetään suostumusbanneri, jossa hän voi hyväksyä tai hylätä evästekategorioita. Käyttäjä voi muuttaa valintaansa myöhemmin sivun alalaidan ”Evästeasetukset” -linkistä.

9.1 Evästekategoriat

• Välttämättömät (aina päällä): teknisen toiminnan ja tietoturvan kannalta pakolliset evästeet, kuten käyttäjän evästesuostumuksen tallentaminen selaimen paikalliseen tallennukseen (localStorage). Nämä eivät seuraa käyttäjää.
• Analytiikka (suostumus vaaditaan): Google Analytics 4 kerää anonymisoituja tilastotietoja siitä, kuinka sivustoa käytetään (kävijämäärä, sivuvierailut, laite, yleinen sijainti maan tasolla). IP-osoite anonymisoidaan. Käytetään sivuston kehittämiseen. Google Ireland Ltd. toimii tietojen käsittelijänä; siirrot Yhdysvaltoihin perustuvat EU:n ja Yhdysvaltojen väliseen tietosuojakehykseen (Data Privacy Framework). Googlen evästekäytännöt.
• Markkinointi (suostumus vaaditaan): Meta Pixel (Facebook/Instagram) kerää tietoa sivustolla käynnistä, jotta mahdollisia tulevia mainoskampanjoita voidaan kohdentaa ja mitata. Meta Platforms Ireland Ltd. toimii tietojen käsittelijänä; siirrot Yhdysvaltoihin perustuvat EU:n ja Yhdysvaltojen väliseen tietosuojakehykseen. Metan evästekäytännöt.

9.2 Suostumustila (Consent Mode v2)

Sivusto käyttää Googlen Consent Mode v2 -tekniikkaa. Se tarkoittaa, että ennen käyttäjän valintaa mitään seurantaskriptejä ei ladata. Jos käyttäjä hylkää evästeet, Google Analytics ja Meta Pixel eivät saa tunnistetietoa.

9.3 Käyttäjän oikeudet ja valinnan peruuttaminen

Käyttäjä voi milloin tahansa peruuttaa antamansa suostumuksen sivun alalaidan ”Evästeasetukset” -linkin kautta. Peruuttamisen jälkeen kerätty aikaisempi data säilyy Googlen ja Metan järjestelmissä käsittelijän tietosuojakäytäntöjen mukaisen säilytysajan verran.

9.4 Muut kolmannen osapuolen palvelut

Sivuston fontit ladataan Bunny Fonts -palvelusta (fonts.bunny.net), joka toimii EU:n alueella eikä kirjaa käyttäjien IP-osoitteita tai muita tunnistetietoja. Yhteydenottolomake toimii Netlify Forms -palvelun kautta (palvelin EU-alueella) ja tallentaa vain lomakkeessa annetut tiedot.

10. Selosteen muutokset

Rekisterinpitäjällä on oikeus muuttaa tätä selostetta tarvittaessa. Olennaiset muutokset ilmoitetaan asiakkaille. Selosteen viimeisin päivityspäivä on kerrottu selosteen alussa.