Tietosuojakäytäntö

Viimeksi tarkistettu: 2026-10-14

1. Johdanto

Tämä tietosuojakäytäntö selittää, kuinka TO BRIEF Ι.Κ.Ε. ("TO BRIEF", "me", "meitä") kerää, käyttää ja suojaa henkilötietoja liittyen verkkosivustoihin tobrief.gr ja tobrief.eu, To Brief -mobiilisovelluksiin iOS- ja Android-käyttöjärjestelmille sekä niihin liittyviin palveluihin (yhdessä "Palvelu"). TO BRIEF on Palvelun kautta käsiteltävien henkilötietojen rekisterinpitäjä, paitsi jos toinen rekisterinpitäjä on nimenomaisesti yksilöity alla.

Rekisterinpitäjän tiedot

• Virallinen nimi: TO BRIEF Ι.Κ.Ε. (Ιδιωτική Κεφαλαιουχική Εταιρεία)
• Rekisteröity toimipaikka: Troon 26, 118 51, Αθήνα, Αττική, Ελλάδα
• GEMI: 188116103000
• AFM: 803045387
• Sähköposti: [email protected]
• Tietosuojan yhteyshenkilö: [email protected]

Emme tällä hetkellä käytä lakisääteisesti nimettyä tietosuojavastaavaa; kaikista tietosuojaan liittyvistä tiedusteluista huolehditaan kuitenkin yllä mainitun yhteystiedon kautta, ja niitä käsitellään dokumentoidun prosessin mukaisesti, joka täyttää GDPR:n artiklojen 37–39 mukaiset tietosuojavastaavan toiminnalle asetetut vaatimukset soveltuvin osin.

2. Mitä tietoja keräämme

Keräämme vain vähimmäismäärän tietoja, joita tarvitaan Palvelun ylläpitämiseen ja lakisääteisten velvollisuuksiemme täyttämiseen.

2.1 Tilitiedot

Kun rekisteröit tilin, tallennamme: sähköpostiosoitteesi, turvallisesti hajautetun salasanan, valitsemasi näyttönimen (valinnainen), tilin luomispäivän, version, jonka kautta rekisteröidyit (GR tai EU), sekä tilaustilan. Oikeusperuste: sopimuksen täytäntöönpano (GDPR artikla 6(1)(b)).

2.2 Verkkosivuston käyttö- ja analytiikkatiedot

Jos — ja vain jos — annat valinnaisen suostumuksen mittaukseen evästebannerimme kautta, keräämme koostettuja käyttötietoja Google Analytics 4:n kautta, UX-analytiikkaa/istuntotietoja Contentsquare/Hotjarin kautta, konversiosignaaleja X-pikselin kautta sekä konversiosignaaleja Meta (Facebook/Instagram) -pikselin kautta: katsotut sivut, laite/selainluokka, likimääräinen maantieteellinen sijainti (maa/alue IP-osoitteesta, ei koskaan raaka IP), viittaava sivu, istunnon kesto, vuorovaikutustapahtumat, käyttökokemuksen kitkasignaalit, rekisteröitymiset ja tilauskonversiot. Oikeusperuste: suostumus (GDPR artikla 6(1)(a) ja ePrivacy-direktiivi artikla 5(3)). Samalla suostumuksella palvelimemme ilmoittaa myös OpenAI:lle, kun luot tilin verkkosivustollamme tai kun ensimmäinen tilausmaksusi vahvistetaan siellä, jotta voimme mitata ja parantaa To Briefin mainoksia ChatGPT:ssä. OpenAI saa sähköpostiosoitteesi tiivistetyssä (hash) muodossa, tiivistetyn satunnaisen asiakastunnisteen, ChatGPT-mainoksen napsautusviitteen, jos tulit tällaisen mainoksen kautta, ajankohdan sekä tilauksen osalta summan ja valuutan. OpenAI ei tallenna evästettä eikä lataa skriptiä selaimeesi. Oikeusperuste: suostumus (GDPR:n 6 artiklan 1 kohdan a alakohta).

2.3 Maksutiedot

Tilausmaksut käsittelee Stripe Payments Europe, Limited ("Stripe"). Korttitietojen syöttämistä hallinnoi Stripe; korttinumeroita ja CVV-koodeja ei lähetetä sovelluspalvelimillemme kassatoiminnon kautta. Stripen tietosuojailmoitus löytyy osoitteesta https://stripe.com/privacy. Vastaanotamme tiedot, joita tarvitaan tilausten hallintaan ja maksujen varmentamiseen: asiakas-, tilaus-, lasku- ja hyvitystunnisteet; maksujen/hyvitysten määrät ja valuutat; päivämäärät ja tila; laskutustiedot ja laskutustietueet. Yhdistämme nämä tiedot To Brief -tiliisi. Oikeusperuste: sopimuksen täytäntöönpano ja lakisääteinen velvoite laskutusta ja kirjanpitoa varten. Varmennetun maksun valinnainen mainoskäyttö noudattaa kohdan §2.7 erillisiä sääntöjä.

2.4 Valitukset ja raportointitiedot

Kun käytät /report-toimintoa tai lähetät valituksen sähköpostitse, tallennamme: sähköpostiosoitteesi, valituksen tekstin, toimittamasi liitteet, suolatun tiivisteen IP-osoitteestasi (ei raakaa IP-osoitetta), määrittämämme tikettinumeron sekä tutkinnan lopputuloksen. Oikeusperuste: oikeutettu etu (vastuullisen uutispalvelun ylläpitäminen ja oikeudellisten vaatimusten puolustaminen) ja lakisääteinen velvoite (EMFA artikla 20, DSA artikla 16).

2.5 Laite- ja selaintiedot

Palvelimemme vastaanottavat tavallisia HTTP-pyyntöjen metatietoja — user-agent, Accept-Language, viittaava sivu, katkaistu IP-osoite — jotka säilytetään lokitiedoissa. Oikeusperuste: oikeutettu etu (turvallisuus, petosten ehkäisy, diagnostiikka).

2.6 Arkaluonteiset kategoriat

Emme tietoisesti kerää erityisiä henkilötietoryhmiä (GDPR artikla 9), kuten tietoja terveydestä, uskonnosta, poliittisista mielipiteistä tai seksuaalisesta suuntautumisesta. Älä lähetä tällaisia tietoja vapaatekstikenttien kautta.

2.7 Mobiilisovelluksen mittaus

Käytämme AppsFlyer-palvelua ymmärtääksemme, mitkä kampanjat tuovat sovellusasennuksia ja maksavia tilaajia, sekä parantaaksemme To Brief -mainontaa Meta (Facebook/Instagram), X ja Reddit -palveluissa. Tämä mainonnan mittaus on valinnainen ja perustuu suostumukseen. Tilin käyttöoikeus, tilausten hallinta ja turvallisuustiedot, joita tarvitaan valintojesi kunnioittamiseen, pysyvät erillisinä palvelutoimintoina.

Tässä versiossa vain uudet käyttäjät. Valinnainen AppsFlyer-mittaus alkaa vasta, kun olemme vahvistaneet uuden tilin ja käyttöönoton alkamisen jälkeen tehdyn ensiasennuksen ja olet antanut luvan. Olemassa olevat tilit, päivitykset, uudelleenasennukset ja alkuperältään epäselvät asennukset rajataan pois. Tarkistamme ehdot ennen seurantaluvan pyytämistä tai AppsFlyerin lataamista. Nykyisten lukijoiden mittausvalinnat eivät muutu.

Kun sovelluksen mittaus on käytössä ja sallittu, AppsFlyer vastaanottaa asennustunnisteensa, käytettävissä olevan mainostunnisteen, sovelluksen käynnistykset sekä tekniset sovellus-/laitetiedot, joita käytetään attribuutioon, analytiikkaan ja petosten ehkäisyyn. Tämä voi sisältää käyttöjärjestelmä- ja sovellusversiot, kielen, käynnistysdiagnostiikan ja verkkotiedot. Sen palvelimet vastaanottavat yhteyden IP-osoitteen ja voivat johtaa siitä likimääräisen maantieteellisen sijainnin. Emme pyydä tarkkaa sijaintia tai GPS-pääsyä tätä mittausta varten. Taustajärjestelmämme säilyttää asennusyhteyden, lupatilan ja versiot, sovellus-/alustatiedot, alkuperäisen asennusajan sekä rajoitetun kampanjahavainnon, jos saatavilla.

Kelvollisen ensimmäisen tilin sisäänkirjautumisen jälkeen yhdistämme asennuksen kyseiseen tiliin käyttämällä erillistä satunnaista asiakastunnistetta. Tallennamme rekisteröitymisen, sovelluksen ensimmäisen kelvollisen käytön, kassan aloittamisen ja varmennetut tilaustapahtumat. Jos maksat verkkosivustollamme käyttäen samaa To Brief -tiliä, voimme yhdistää kyseisen maksun kelvolliseen sovellusasennukseen. AppsFlyerin kautta lähetetyt sallitut tapahtumat voivat sisältää rekisteröitymisen ja tilausmaksut, uusimiset tai hyvitykset, tapahtumatunnisteen, määrän, valuutan ja ajan. Jokainen kumppani vastaanottaa integraatiolleen määritetyt tapahtumat; kaikkia tapahtumia ei lähetetä jokaiselle kumppanille. Samalla sovelluksen luvalla palvelimemme lähettää myös suoraan OpenAI:lle enintään kolme tapahtumaa, jotta voimme mitata ja parantaa To Briefin mainoksia ChatGPT:ssä: rekisteröitymisen, ensimmäisen vahvistetun tilausmaksun ja sovelluksen uuden asennuksen. Niitä lähetetään vain kelpoisista uusista asennuksista ja vain luvan antamisen jälkeisistä tapahtumista, ei koskaan olemassa olevista asennuksista, sovelluspäivityksistä tai uudelleenasennuksista. Jokainen tapahtuma sisältää sähköpostiosoitteesi tiivistetyssä muodossa, tiivistetyn satunnaisen asiakastunnisteen, ChatGPT-mainoksen napsautusviitteen, jos se tallennettiin rekisteröitymisen yhteydessä, ajankohdan sekä tilauksen osalta summan ja valuutan. Uusimisia ja hyvityksiä ei lähetetä OpenAI:lle.

Emme sisällytä sähköpostiosoitettasi, nimeäsi, puhelinnumeroasi, kommenttitekstiäsi, artikkelien otsikoita, lukemiasi aiheita, hakukyselyitäsi, poliittisia kiinnostuksen kohteitasi, korttitietojasi tai laskudokumenttejasi näihin mainostapahtumien hyötykuormiin. Kumppanien kanssa jakaminen voi sisältää kelvollisia uusia käyttäjiä orgaanisista ja muista kampanjalähteistä, ei vain kyseiselle kumppanille attribuoituja käyttäjiä. Ainoa poikkeus ovat kohdassa §2.2 ja tässä osiossa kuvatut OpenAI:lle lähetettävät tapahtumat, jotka sisältävät sähköpostiosoitteesi vain tiivistetyssä muodossa, ei koskaan selväkielisenä.

Valintasi. iOS-laitteissa Applen standardi App Tracking Transparency (ATT) -kehote on ainoa seurannan lupakehote. Voit muuttaa sitä myöhemmin iPhonen asetuksista. Android-laitteissa käytä sovelluksen mittausvalintaa ja sen asetuksia. Voit käyttää sovellusta kieltäytymisen jälkeen. Verkkosivuston evästevalinta ei voi ohittaa sovelluksen seurannan kieltämistä. Sovellus tarkistaa alustan valinnan uudelleen, kun se palaa etualalle; taustajärjestelmämme tarkistaa nykyisen tallennetun luvan ja tiliyhteyden ennen jonossa olevien tapahtumien lähettämistä. Peruuttaminen pysäyttää SDK:n laitteella ja päivittää taustajärjestelmämme; jos laite on offline-tilassa, kyseinen palvelinpäivitys yritetään uudelleen, kun yhteys palautuu.

Applen erillinen koostettu attribuutiomekanismi voi pysyä aktiivisena ATT-kieltäytymisen jälkeen. Se raportoi rajoitettuja konversioarvoja ilman tili- tai AppsFlyer-tunnisteitamme. Peruuttaminen pysäyttää tulevan henkilökohtaisen mainonnan mittauksen; se ei ole automaattinen poisto tiedoista, jotka palveluntarjoaja on jo vastaanottanut. Tilin poistaminen käynnistää soveltuvan poistoprosessin, poistaa paikalliset kampanjahavainnot ja katkaisee mainosyhteydet säilytetyistä laskutustiedoista. Palveluntarjoajan hallussa olevia tietoja käsitellään poistoprosessin kautta sen sijaan, että oletettaisiin niiden poistuvan välittömästi. Voit myös pyytää tietojen poistamista osoitteesta [email protected]. Kohdan §4 säilytyseroja sovelletaan.

3. Miksi käytämme tietojasi

Tarkoitus	Tietokategoriat	Oikeusperuste
Lukukokemuksen tarjoaminen	Tili, laite	Sopimus, oikeutettu etu
Laskutus, petosten ehkäisy, verotuksen noudattaminen	Maksu, tili	Sopimus, lakisääteinen velvoite
Sitoutumisen mittaaminen ja tuotteen parantaminen	Mittaus	Suostumus
UX-analytiikka Contentsquare/Hotjarin kautta	Mittaus	Suostumus
Konversiomittaus X-pikselin kautta	Mittaus	Suostumus
Konversiomittaus Meta-pikselin kautta	Mittaus	Suostumus
OpenAI-mainosten konversioiden mittaus (palvelimelta)	Mittaus	Suostumus
Valinnainen sovellushankinnan ja tilauksen mittaus	Asennus, lupa, tili- ja maksutapahtumat	Suostumus
Valitusten ja korjausten käsittely	Valitukset, tili	Oikeutettu etu, lakisääteinen velvoite
Turvallisuus, väärinkäytösten havaitseminen, reagointi	Laite, tili	Oikeutettu etu
Lainmukaisten pyyntöjen noudattaminen	Kaikki kategoriat, soveltuvin osin	Lakisääteinen velvoite

Emme käytä henkilötietoja automatisoituun päätöksentekoon, jolla on oikeudellisia tai vastaavia merkittäviä vaikutuksia sinuun (GDPR artikla 22).

4. Kuinka kauan säilytämme tietojasi

• Paikalliset sovelluskampanjahavainnot: vanhenevat 89 päivää sen jälkeen, kun on tapahtunut joko ensimmäinen taustajärjestelmän asennusrekisteröinti tai kampanjahavainnon vastaanottaminen, ja ne poistetaan aiemmin peruutuksen tai tilin poistamisen yhteydessä. Toistuvat kampanjatakaisinkutsut eivät pidennä ajanjaksoa.
• Suorat tapahtuma-asennus-yhteydet: suljetaan pois mittausraportoinnista 89 päivän kuluttua tapahtumasta ja poistetaan ajastetulla siivouksella. Vanhat selainkonversio-vaatimukset poistetaan myös 89 päivän kuluttua. Taloudelliset identiteetit, määrät ja vähimmäistapahtumatietueet, joita tarvitaan päällekkäisten maksu-/konversiotietueiden estämiseksi, ovat erillään näistä mainosyhteyksistä.
• Lupa- ja poistotietueet: asennustietueet, joita tarvitaan valintojen täytäntöönpanoon, tilin uudelleenmäärityksen estämiseen ja poistopyyntöjen täyttämiseen, säilytetään erillään kampanjahavainnoista. Keskeneräistä poistopyyntöä varten vaadittava palveluntarjoajan tunniste säilyy, kunnes suoritus on vahvistettu. Rajoitettua poistotietuetta säilytetään, jotta estetään kyseisen poistetun identiteetin uudelleenkäyttö mainontaan. Nämä tietueet eivät ole anonyymejä, eikä niitä käytetä kampanjakohderyhmätietoina. Palveluntarjoajan puoleinen säilytys ja yksittäinen poistopyyntö ovat erillään paikallisesta kampanjoiden vanhenemisesta.
• Tilitiedot: niin kauan kuin tili on aktiivinen ja enintään kaksi (2) vuotta sulkemisen jälkeen, sulkemisen jälkeisten kiistojen ja takaisinperintöjen käsittelemiseksi.
• Analytiikkatiedot: neljätoista (14) kuukautta GA4:lle; Contentsquare/Hotjar-mittausevästeet säilytetään niiden tarkoituksen mukaisesti ja yleensä enintään kolmetoista (13) kuukautta kävijätason UX-analytiikkaevästeille.
• Maksu-/laskutustiedot: seitsemän (7) vuotta Kreikan verotuksellisten arkistointivelvoitteiden (Κ.Φ.Α.Σ. / Laki 4174/2013) noudattamiseksi.
• Valitustiedot: kolme (3) vuotta lopullisesta vastauksesta, linjassa sopimusvaatimusten viiden vuoden vanhentumisajan kanssa, mutta mahdollisuuksien mukaan lyhennettynä.
• Lokitiedot: yhdeksänkymmentä (90) päivää.
• Varmuuskopiot: salatut varmuuskopiot poistuvat 35 päivän kuluessa.

Näiden ajanjaksojen jälkeen poistamme tai anonymisoimme tiedot peruuttamattomasti.

5. Kenelle jaamme tietoja

Jaamme henkilötietoja vain tässä lueteltujen vastaanottajien kanssa ja tässä mainittuihin tarkoituksiin. Emme myy henkilötietoja millekään kolmannelle osapuolelle.

• Stripe (maksut, itsenäisenä rekisterinpitäjänä).
• Google Ireland Limited (GA4) — vain jos annat suostumuksesi analytiikkaan.
• Contentsquare/Hotjar — vain jos annat suostumuksesi valinnaiseen UX-analytiikan mittaukseen.
• X — valinnainen verkkosivuston konversiomittaus ja sallittu sovellustapahtumien jakaminen AppsFlyerin kautta.
• Meta (Facebook/Instagram) — valinnainen verkkosivuston konversiomittaus ja sallittu sovellustapahtumien jakaminen AppsFlyerin kautta.
• AppsFlyer — mobiiliattribuutio- ja mittauspalveluntarjoajamme, mukaan lukien kohdassa §2.7 kuvattu sallittu tili-tilaus-yhteys ja poistojen käsittely.
• Reddit — sallittu sovellustapahtumien jakaminen AppsFlyerin kautta To Brief -kampanjoiden mittaamiseksi ja parantamiseksi.
• OpenAI (OpenAI Ireland Limited): To Briefin ChatGPT-mainosten valinnainen konversioiden mittaus, jonka palvelimemme lähettää kohtien §2.2 ja §2.7 mukaisesti.
• Isännöinti- ja infrastruktuuripalveluntarjoajat (esim. Vercel, AWS, Cloudflare), jotka toimivat tiukasti käsittelijöinä artiklan 28 mukaisten sopimusten alaisina.
• Ammattimaiset neuvonantajat (lakimiehet, kirjanpitäjät, tilintarkastajat) silloin, kun se on oikeudellisesti välttämätöntä ja luottamuksellisuuden alaisena.
• Toimivaltaiset viranomaiset, kun meitä velvoittaa laillinen, yksilöity ja oikeasuhtainen pyyntö (oikeuden määräys, tietosuojaviranomainen, veroviranomainen).

Ajantasainen, auditoitavissa oleva lista alikäsittelijöistä ylläpidetään sisäisesti ja se voidaan toimittaa pyynnöstä.

6. Kansainväliset tiedonsiirrot

Jotkut käsittelijöistämme on sijoittautuneet Yhdysvaltoihin tai toimivat maailmanlaajuisesti. Kun henkilötietoja siirretään ETA-alueen ulkopuolelle, luotamme:

• Euroopan komission vakiosopimuslausekkeisiin (päätös 2021/914), tai
• tietosuojan riittävyyttä koskevaan päätökseen (esim. EU-U.S. Data Privacy Framework, Stripelle, Googlelle ja muille sertifioiduille vastaanottajille), tai
• nimenomaiseen suostumukseesi rajoitettuja, kohdennettuja siirtoja varten.

Lisätoimenpiteitä, kuten salaus siirron aikana (TLS 1.2+), salaus levossa ja pääsynvalvonta, sovelletaan oikeudellisen siirtomekanismin lisäksi.

7. GDPR-oikeutesi

Sinulla on seuraavat oikeudet GDPR:n artiklojen 15–22 mukaisesti:

• Pääsy — vahvistus siitä, että käsittelemme tietojasi, ja kopio niistä.
• Oikaiseminen — epätarkkojen tai puutteellisten tietojen korjaaminen.
• Poistaminen ("oikeus tulla unohdetuksi") — tietojen poistaminen, jos perusteet ovat olemassa.
• Rajoittaminen — tietojen käsittelyn rajoittaminen tarkistuksen aikana.
• Siirrettävyys — koneellisesti luettava kopio tiedoista, jotka olet toimittanut sopimuksen tai suostumuksen perusteella.
• Vastustaminen — oikeutettuihin etuihin perustuvaan käsittelyyn, mukaan lukien profilointi.
• Suostumuksen peruuttaminen — milloin tahansa, vaikuttamatta ennen peruuttamista suoritettuun käsittelyyn.
• Valittaminen valvontaviranomaiselle — erityisesti Kreikan tietosuojaviranomaiselle (katso §12).

Käyttääksesi mitä tahansa oikeutta, lähetä sähköpostia osoitteeseen [email protected] rekisteröidystä osoitteesta tai tarjoa muu kohtuullinen keino henkilöllisyyden varmentamiseen. Vastaamme yhden (1) kuukauden kuluessa, jota voidaan jatkaa kerran kahdella (2) kuukaudella monimutkaisten pyyntöjen kohdalla; selitämme mahdollisen jatkoajan.

8. Evästeet

Käytämme evästeitä ja vastaavia teknologioita. Kunkin evästeen kategoriat, tarkoitukset ja kesto on kuvattu evästekäytännössä. Voit määrittää asetuksesi ja peruuttaa suostumuksesi milloin tahansa osoitteessa /cookie-preferences.

9. Lapset

Palvelua ei ole suunnattu alle viisitoistavuotiaille (15) lapsille, mikä on digitaalisen suostumuksen ikäraja Kreikassa lain 4624/2019 artiklan 21 mukaisesti. Emme tietoisesti kerää tietoja nuoremmilta lapsilta. Jos uskot, että lapsi on rekisteröitynyt, ota yhteyttä [email protected] ja poistamme tilin.

10. Turvallisuus

Sovellamme kaupallisesti kohtuullisia teknisiä ja organisatorisia toimenpiteitä — mukaan lukien TLS, hajautetut salasanat (Argon2-perhe), eristetyt ympäristöt, vähimpien oikeuksien periaate, lokitus, varmuuskopiot ja reagointimenettelyt — mutta mikään järjestelmä ei ole täysin turvallinen. Jos tapahtuu henkilötietojen tietoturvaloukkaus, joka todennäköisesti aiheuttaa riskin oikeuksillesi, ilmoitamme siitä Kreikan tietosuojaviranomaiselle 72 tunnin kuluessa GDPR:n artiklan 33 mukaisesti, ja jos riski on korkea, ilmoitamme siitä myös suoraan sinulle.

11. Muutokset tähän käytäntöön

Julkaisemme tarkistetun version tässä URL-osoitteessa ja ilmoitamme olennaisista muutoksista vähintään kolmekymmentä (30) päivää etukäteen Palvelun kautta tai sähköpostitse. "Viimeksi tarkistettu" -päivämäärä ylhäällä heijastaa aina uusinta päivitystä. Tämän asiakirjan historialliset versiot säilytetään lakisivujen muutoslokissa.

12. Yhteystiedot ja valvontaviranomainen

• Tietosuojaa koskevat tiedustelut: [email protected]
• Postiosoite: Troon 26, 118 51, Αθήνα, Αττική, Ελλάδα

Sinulla on oikeus tehdä valitus Kreikan tietosuojaviranomaiselle (Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα):

• Verkkosivusto: https://www.dpa.gr
• Postiosoite: Kifissias 1-3, 115 23 Athens, Greece

EU-asukkaat Kreikan ulkopuolella voivat myös ottaa yhteyttä asuinmaansa valvontaviranomaiseen.