Tietosuojaseloste

Rekisterinpitäjä on ToCar Oy (Y-tunnus 3636957-1), Uutistie 7, 01770 Vantaa.

Tietosuojaa koskevat pyynnöt ja kysymykset voi lähettää osoitteeseen support@tocar.fi.

ToCar Oy on rekisterinpitäjä jäljempänä kohdissa 3–8 kuvattujen ryhmien A–F henkilötiedoille. Näitä ovat esimerkiksi korjaamon tilin omistajien, korjaamon työntekijäkäyttäjien, demopyynnön lähettäjien ja verkkosivun kävijöiden tiedot.

Korjaamolla tarkoitamme tässä selosteessa yritystä, joka on rekisteröitynyt palvelun asiakkaaksi. Tiedoille, jotka korjaamo tallentaa palveluun omista asiakkaistaan, ajoneuvoista ja työtilauksista, rekisterinpitäjä on korjaamo ja ToCar Oy on henkilötietojen käsittelijä. Tätä käsittelyä sääntelee henkilötietojen käsittelysopimus (/data-processing-agreement).

Jos korjaamo käsittelee tietojasi, ota yhteyttä kyseiseen korjaamoon. Meille erehdyksessä lähetetyn pyynnön välitämme oikealle korjaamolle ja kerromme sinulle välittämisestä.

Tähän ryhmään kuuluvat henkilöt, jotka rekisteröivät korjaamon palveluun tai hallinnoivat korjaamon tiliä, sekä korjaamon laskutusyhteyshenkilöt.

Tarkoitus	Tiedot	Oikeusperuste	Säilytysaika
Käyttäjätilin luominen ja hallinta sekä palvelun tuottaminen korjaamolle	Nimi, sähköpostiosoite, puhelinnumero, käyttäjärooli, kielivalinta, korjaamon nimi, Y-tunnus ja osoite	Tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohta (sopimus)	Sopimuskausi + 90 päivää
Sopimuksen hyväksymisen osoittaminen	Hyväksyttyjen ehtojen versiot, hyväksymisaika, IP-osoite ja selaintieto	Tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohta (sopimus)	Sopimuskausi + 90 päivää
Laskutus ja maksujen hallinta	Laskutussähköposti, laskutusosoite, laskut, maksutapahtuman tunniste, summa ja tila	Tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohta (sopimus)	Sopimuskausi + 90 päivää; kirjanpitoaineisto jäljempänä mainitun ajan
Korttimaksut	Maksun tunniste, summa ja tila; korttimaksun toteuttaa Mollie B.V. itsenäisenä rekisterinpitäjänä	Tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohta (sopimus)	Sopimuskausi + 90 päivää
Kirjanpito	Laskut ja maksutositteet	Tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohta (lakisääteinen velvoite); kirjanpitolain (1336/1997) 2 luvun 10 §	Kirjanpitoaineisto kymmenen vuotta ja tositteet kuusi vuotta tilikauden päättymisestä
Korjaamon oman sähköpostipalvelun yhdistäminen (valinnainen)	Sähköpostipalvelun tunnukset tai valtuutustunniste salattuna	Tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohta (sopimus)	Sopimuskausi + 90 päivää
Tietoturva ja väärinkäytösten selvittäminen	Kirjautumis- ja tapahtumalokit, istuntotiedot, IP-osoite, selaintieto, virheraportit	Tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohta (oikeutettu etu: palvelun ja tietojen suojaaminen)	Tapahtumalokit 90 päivää; päättyneet istunnot 30 päivää; sovelluslokit enintään 14 päivää; virheraportit 30 päivää

Sopimuskausi + 90 päivää tarkoittaa, että poistamme käyttäjätilin ja korjaamon tiedot 90 päivän kuluttua sopimuksen päättymisestä. Kirjanpitoaineistoa säilytämme tämän jälkeenkin kirjanpitolain 2 luvun 10 §:n edellyttämän ajan.

Rekisteröinnissä ja laskutuksessa pyydetyt tiedot ovat sopimuksen tekemisen edellytys. Ilman niitä käyttäjätiliä ei voi luoda eikä palvelua laskuttaa. Muiden tietojen antaminen on vapaaehtoista.

Tähän ryhmään kuuluvat henkilöt, jotka korjaamo on kutsunut palvelun käyttäjiksi, esimerkiksi mekaanikot ja työnjohtajat. Sopimus palvelusta on korjaamon eikä työntekijän, joten käsittelemme työntekijäkäyttäjän tietoja oikeutetun edun perusteella. Oikeutettu etu on palvelun tuottaminen korjaamolle, joka on valinnut käyttäjänsä itse.

Tarkoitus	Tiedot	Oikeusperuste	Säilytysaika
Käyttäjätilin luominen ja palvelun tuottaminen korjaamolle	Nimi, sähköpostiosoite, puhelinnumero, käyttäjärooli, kielivalinta	Tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohta (oikeutettu etu: palvelun tuottaminen korjaamolle)	Sopimuskausi + 90 päivää
Tietoturva ja väärinkäytösten selvittäminen	Kirjautumis- ja tapahtumalokit, istuntotiedot, IP-osoite, selaintieto, virheraportit	Tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohta (oikeutettu etu: palvelun ja tietojen suojaaminen)	Tapahtumalokit 90 päivää; päättyneet istunnot 30 päivää; sovelluslokit enintään 14 päivää; virheraportit 30 päivää

Työntekijäkäyttäjä voi vastustaa oikeutettuun etuun perustuvaa käsittelyä kohdassa 12 kuvatulla tavalla. Käyttäjätilin poistaa korjaamo tai ToCar korjaamon pyynnöstä. Työntekijäkäyttäjä voi esittää poisto- tai vastustamispyynnön myös suoraan meille, ja arvioimme sen tietosuoja-asetuksen mukaisesti. Työntekijäkäyttäjän tiedot saamme korjaamolta, joka kutsuu käyttäjän.

Kun varaat demon verkkosivullamme, käsittelemme antamiasi tietoja: nimi, korjaamon nimi, sähköpostiosoite, puhelinnumero, tieto nykyisestä järjestelmästä sekä lomakkeen vapaa viestikenttä. Tallennamme lisäksi lomakkeen lähetysajan, kielivalinnan, IP-osoitteen ja selaintiedon sekä sen markkinointikampanjan tunnisteet, jonka kautta saavuit sivulle.

Käsittelyn tarkoitus on vastata pyyntöösi ja valmistella mahdollista sopimusta. Oikeusperusteena ovat sopimuksen tekemistä edeltävät toimenpiteet ja oikeutettu etu. Demopyyntöjen tiedot säilytetään 24 kuukautta viimeisimmästä yhteydenotosta, minkä jälkeen ne poistetaan automaattisesti.

Jos annat erillisen suostumuksen markkinointiviestintään, käsittelemme yhteystietojasi myös tähän tarkoitukseen suostumuksen perusteella. Markkinointiviestejä luonnollisille henkilöille lähetämme vain suostumuksella. Tallennamme suostumuksen antamisajan, hyväksytyn tekstin version, IP-osoitteen ja selaintiedon suostumuksen osoittamiseksi.

Voit peruuttaa suostumuksen milloin tahansa. Rekisteröityneenä käyttäjänä peruutat suostumuksen profiilisivun asetuksesta "Markkinointiviestit sähköpostiin", ja kaikissa tapauksissa voit peruuttaa sen sähköpostitse osoitteeseen support@tocar.fi. Peruuttaminen ei vaikuta ennen peruuttamista tehdyn käsittelyn lainmukaisuuteen.

Tarkoitus	Tiedot	Oikeusperuste	Säilytysaika
Demopyyntöön vastaaminen ja sopimuksen valmistelu	Nimi, korjaamon nimi, sähköpostiosoite, puhelinnumero, nykyinen järjestelmä, viesti, lähetysaika, kielivalinta, IP-osoite, selaintieto, kampanjatunnisteet	Tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohta (sopimusta edeltävät toimenpiteet) ja f alakohta (oikeutettu etu: pyyntöön vastaaminen)	24 kuukautta viimeisimmästä yhteydenotosta
Markkinointiviestintä luonnollisille henkilöille	Nimi, sähköpostiosoite, suostumuksen antamisaika, hyväksytyn tekstin versio, IP-osoite, selaintieto	Tietosuoja-asetuksen 6 artiklan 1 kohdan a alakohta (suostumus) ja sähköisen viestinnän palveluista annetun lain (917/2014) 200 §	Suostumuksen peruuttamiseen asti; tieto suostumuksesta ja sen peruuttamisesta käyttäjätilin säilytysajan

Tähän ryhmään kuuluvat henkilöt, jotka ottavat meihin yhteyttä sähköpostitse tai muulla tavalla, esimerkiksi tukipyynnön tai tietosuojaa koskevan pyynnön vuoksi. Sähköpostilaatikkomme sijaitsevat Infomaniak Network SA:n (Sveitsi) palvelussa, ja Infomaniak käsittelee viestejä lukuumme henkilötietojen käsittelijänä.

Tarkoitus	Tiedot	Oikeusperuste	Säilytysaika
Tukipyyntöihin, tietosuojaa koskeviin pyyntöihin ja muihin yhteydenottoihin vastaaminen	Nimi, sähköpostiosoite, korjaamo, viestin sisältö ja liitteet, viestien ajankohdat	Tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohta (sopimus), kun yhteydenotto koskee korjaamon sopimusta; muutoin f alakohta (oikeutettu etu: yhteydenottoihin vastaaminen)	24 kuukautta asian päättymisestä

Tähän ryhmään kuuluvat julkisten sivujemme, kuten etusivun, rekisteröintisivun ja tämän selosteen, kävijät. Julkisilla sivuilla käytämme istuntoevästettä ja lomakkeiden suojaamiseen tarvittavaa suojausevästettä (CSRF). Käytämme lisäksi Plausible Analytics -palvelua kävijätilastointiin; se ei aseta analytiikkaevästeitä. Emme käytä julkisilla sivuilla muita evästeitä.

Tarkoitus	Tiedot	Oikeusperuste	Säilytysaika
Sivuston toiminta ja tietoturva	Palvelinlokit: IP-osoite, selaintieto, pyydetty sivu ja aika	Tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohta (oikeutettu etu: sivuston suojaaminen ja vikojen selvittäminen)	Enintään 14 päivää
Lomakkeiden toiminta	Istuntoeväste ja suojauseväste (CSRF)	Tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohta (oikeutettu etu: sivuston toiminta)	Istunnon ajan
Kävijätilastointi	Sivun polku, viittaava sivusto, kampanjatunnisteet, selain- ja laitetyyppi, sijaintimaa, päiväkohtainen tunniste sekä sivutapahtuma- ja istuntotiedot	Tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohta (oikeutettu etu: palvelun kehittäminen)	Valitun Plausible-tilauksen säilytysrajan mukaisesti; Starter- ja Growth-tilauksissa enintään 3 vuotta, Business-tilauksessa enintään 5 vuotta.

Verkkosivustomme kävijämäärien mittaamiseen käytämme Plausible Analytics -palvelua (Plausible Insights OÜ, Viro). Palvelu tallentaa sivutapahtuma- ja istuntotietoja ja esittää tilastot koottuina lukuina. Se ei tallenna raakaa IP-osoitetta eikä kokonaista selaimen User-Agent-otsaketta; näistä johdetaan kuitenkin esimerkiksi sijaintimaa, selain- ja laitetyyppi sekä päiväkohtainen tunniste. Oikeusperusteena on oikeutettu etumme kehittää palveluamme. Plausible käsittelee verkkosivuston kävijätietoja ToCarin lukuun henkilötietojen käsittelijänä Euroopan unionin alueella. Analytiikka ei koske asiakkaidemme Palveluun tallentamia tietoja, joten Plausible ei ole asiakkaidemme alikäsittelijäluettelossa.

Haemme tietoja kahdesta ulkopuolisesta lähteestä. Kumpikin lähde on itsenäinen rekisterinpitäjä omalle käsittelylleen.

Tarkoitus	Tiedot	Oikeusperuste	Säilytysaika
Korjaamon yritystietojen täydentäminen rekisteröinnissä	Y-tunnuksen perusteella Patentti- ja rekisterihallituksen (PRH) avoimesta tietopalvelusta haettu yrityksen nimi ja osoite	Tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohta (sopimus)	Sopimuskausi + 90 päivää
Ajoneuvotietojen haku korjaamon pyynnöstä	Korjaamon syöttämä rekisterinumero lähetetään Biluppgifter-palveluun (Ruotsi), joka palauttaa ajoneuvon tiedot	Käsittely tapahtuu korjaamon lukuun henkilötietojen käsittelijänä henkilötietojen käsittelysopimuksen mukaisesti	Korjaamon tallentamana tietona henkilötietojen käsittelysopimuksen mukaisesti

Ajoneuvohaun käynnistää aina korjaamo. Biluppgifter saa haussa vain rekisterinumeron ja käsittelee sitä itsenäisenä rekisterinpitäjänä.

Emme myy henkilötietoja. Käytämme palvelun tuottamiseen palveluntarjoajia, jotka käsittelevät henkilötietoja lukuumme henkilötietojen käsittelijöinä. Korjaamojen tietoja käsittelevät palveluntarjoajat ovat korjaamojen tietojen osalta alikäsittelijöitämme, ja ajantasainen alikäsittelijäluettelo on osoitteessa /subprocessors. Plausible Analytics käsittelee verkkosivustomme kävijätietoja lukuumme eikä ole korjaamojen tietojen alikäsittelijä.

Seuraavat vastaanottajat ovat itsenäisiä rekisterinpitäjiä, jotka vastaavat omasta käsittelystään:

• Mollie B.V. (Alankomaat): ToCar Oy:n oma korttilaskutus sekä korjaamoiden asiakkailleen lähettämät maksulinkit;
• Biluppgifter (Ruotsi): ajoneuvotietojen haku rekisterinumerolla korjaamon pyynnöstä;
• Patentti- ja rekisterihallitus (PRH): yritystietojen haku rekisteröinnissä; sekä
• viranomaiset: luovutamme tietoja, kun laki velvoittaa siihen, esimerkiksi viranomaisen lainmukaisesta vaatimuksesta.

Korjaamo voi yhdistää palveluun oman sähköpostipalvelunsa. Silloin kyseinen palveluntarjoaja on korjaamon oma henkilötietojen käsittelijä, ja ToCar Oy säilyttää yhteyden tunnukset salattuna.

Palvelun tiedot sijaitsevat Suomessa. Seuraavat henkilötietojen käsittelijät ovat sijoittautuneet Euroopan talousalueen (ETA) ulkopuolelle tai voivat käsitellä tietoja sen ulkopuolella:

• Laravel Forge (Laravel Holdings, Inc., Yhdysvallat), palvelinten hallinta: siirtoperuste on EU:n ja Yhdysvaltojen välinen tietosuojakehys (EU-U.S. Data Privacy Framework), johon yhtiö on sertifioitu, ja toissijaisesti Euroopan komission vakiosopimuslausekkeet (päätös (EU) 2021/914);
• Sentry (Functional Software, Inc., Yhdysvallat), virheraportointi: tiedot tallennetaan EU:n alueella sijaitsevalle tietoalueelle, ja yhdysvaltalaista yhtiötä koskee tietosuojakehys ja toissijaisesti vakiosopimuslausekkeet; sekä
• Infomaniak Network SA (Sveitsi), sähköpostilaatikot: Sveitsiä koskee Euroopan komission päätös tietosuojan riittävyydestä.

Saat jäljennöksen siirtoperusteesta pyytämällä sitä osoitteesta support@tocar.fi.

Suojaamme henkilötietoja teknisillä ja organisatorisilla toimenpiteillä, kuten käyttöoikeuksien hallinnalla, lokituksella ja varmuuskopioinnilla. Korjaamoasiakkaille toimenpiteet kuvataan henkilötietojen käsittelysopimuksessa (/data-processing-agreement). Ilmoitamme henkilötietojen tietoturvaloukkauksesta tietosuoja-asetuksen 33 ja 34 artiklan mukaisesti.

Sinulla on tietosuoja-asetuksen mukaan oikeus:

• saada pääsy itseäsi koskeviin henkilötietoihin;
• pyytää virheellisen tiedon oikaisemista;
• pyytää tietojen poistamista;
• pyytää käsittelyn rajoittamista;
• vastustaa oikeutettuun etuun perustuvaa käsittelyä;
• saada antamasi tiedot siirrettävässä muodossa, kun käsittely perustuu sopimukseen tai suostumukseen; sekä
• peruuttaa antamasi suostumus milloin tahansa, mikä ei vaikuta ennen peruuttamista tehdyn käsittelyn lainmukaisuuteen.

Lähetä pyyntö osoitteeseen support@tocar.fi. Varmistamme henkilöllisyytesi ennen pyynnön toteuttamista, esimerkiksi vastaamalla tiliisi liitettyyn sähköpostiosoitteeseen tai pyytämällä lisätietoja. Vastaamme pyyntöön viimeistään yhden kuukauden kuluessa sen vastaanottamisesta.

Jos katsot, että käsittelemme tietojasi lainvastaisesti, voit tehdä valituksen valvontaviranomaiselle. Suomessa valvontaviranomainen on Tietosuojavaltuutetun toimisto, jonka ohjeet ovat osoitteessa tietosuoja.fi.

Emme tee päätöksiä, jotka perustuisivat pelkästään automaattiseen käsittelyyn ja joilla olisi sinua koskevia oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia tietosuoja-asetuksen 22 artiklassa tarkoitetulla tavalla.

Palvelu on tarkoitettu yrityskäyttöön, eikä sitä ole suunnattu lapsille. Emme tietoisesti kerää lasten henkilötietoja omiin tarkoituksiimme.

Voimme päivittää tätä selostetta, kun käsittely, lainsäädäntö tai palvelu muuttuu. Selosteen versio on sen päivämäärä, joka näkyy selosteen alussa. Rekisteröinnin yhteydessä tallennamme sen version, johon käyttäjä on tutustunut.

Olennaisista muutoksista ilmoitamme korjaamon laskutussähköpostiin 30 päivää ennen muutoksen voimaantuloa.

Jokainen julkaistu versio on saatavilla muuttumattomana arkistosta osoitteessa /legal-archive/privacy/{versio}, jossa {versio} on selosteen päivämäärä muodossa VVVV-KK-PP, esimerkiksi /legal-archive/privacy/2026-04-04.

Jos kieliversiot ovat ristiriidassa, suomenkielinen versio on ratkaiseva.