Tietosuojaseloste — weakestlink
Päivitetty viimeksi: 29. syyskuuta 2026
Tässä selosteessa kuvataan, miten weakestlink käsittelee henkilötietoja niiden tietojen osalta, joiden rekisterinpitäjä olemme itse. Jos työnantajasi käyttää weakestlinkiä tietoturvakoulutukseen, työnantaja on rekisterinpitäjä työntekijätietojen osalta, ja weakestlink toimii henkilötietojen käsittelijänä — katso Liite A.
1. Rekisterinpitäjä
WEAKESTLINK ApS (tanskalainen y-tunnus, CVR 46614011) on henkilötietojen käsittelystä vastaava rekisterinpitäjä osoitteessa weakestlink.io. Yhteystiedot: info@weakestlink.io.
2. Mitä tietoja käsittelemme, mihin tarkoitukseen ja millä oikeusperusteella
| Tiedot | Käyttötarkoitus | Oikeusperuste (GDPR 6 art.) | Poistetaan |
|---|---|---|---|
| Asiakkaan yhteyshenkilö (nimi, sähköposti, tehtävänimike) | Organisaation tilin luominen ja hallinta | Sopimus (6 art. 1 kohta b alakohta) | Asiakassuhteen päättyessä |
| Laskutustiedot | Laskutus ja kirjanpito | Lakisääteinen velvoite (6 art. 1 kohta c alakohta) | 5 vuotta, Tanskan kirjanpitolain (bogføringsloven) mukaisesti |
| Palvelinlokit (IP-osoite, ajankohta) | Käyttö ja tietoturva | Oikeutettu etu (6 art. 1 kohta f alakohta) | 90 päivää |
| Sähköpostiosoite, kun ilmoittaudut itse saamaan tietoa tulevasta moduulista (AI-Klar, deepfake) | Ilmoitamme sinulle, kun moduuli on valmis | Suostumus (6 artiklan 1 kohdan a alakohta) — voit peruuttaa sen kirjoittamalla meille | Viimeistään 12 kuukauden kuluttua ilmoittautumisesta |
| Googlen klik-id (klikkaustunniste), kun tulet Google-mainoksen kautta, klikkauksen ajankohta sekä tieto siitä, luotiinko tili tai alkoiko se maksullisena | Mainonnan mittaus: selvitämme, johtiko Google-mainos tilin luomiseen | Oikeutettu etu (art. 6(1)(f)) — voit vastustaa käsittelyä, katso kohta 7 | 90 päivää klikkauksesta. Jos konversio on ilmoitettu Googlelle, se poistetaan 90 päivän kuluttua ilmoittamisesta |
| Kävijätilastot: sivujen katselut ja painikkeiden klikkaukset sekä selaintyyppi, laite ja maa. Ilman evästeitä, eikä IP-osoitetta tallenneta | Näemme, mitä sivuja käytetään, jotta voimme parantaa niitä. Tilastointi toimii omalla palvelimellamme (Umami), eikä tietoja jaeta kolmansille osapuolille | Oikeutettu etu (art. 6(1)(f)) | Tallennetaan koottuna tilastona ilman nimeä, sähköpostiosoitetta tai IP-osoitetta |
Emme käsittele henkilötunnuksia emmekä muita arkaluonteisia tietoja (GDPR art. 9).
3. Tekoälykäsittely
Käytämme tekoälyä (Anthropicin Claude) koulutussisällön ja simulaatiopohjien laatimiseen — oppitunteihin, visoihin ja houkutussähköposteihin — sisäisesti ennen julkaisua. Tekoälypalveluihin ei lähetetä asiakastietoja eikä työntekijöidenne henkilötietoja, eikä tietojanne käsitellä tekoälyllä palvelun käytön aikana.
4. Käsittelijät ja alikäsittelijät
Käytämme seuraavia käsittelijöitä. EU/ETA-alueen ulkopuolisten toimittajien osalta siirto perustuu Euroopan komission tietosuojan riittävyyspäätökseen (EU–U.S. Data Privacy Framework) ja/tai vakiosopimuslausekkeisiin (SCC):
| Toimittaja | Palvelu | Maa | Siirtoperuste |
|---|---|---|---|
| Anthropic PBC | Koulutussisällön laatiminen tekoälyllä (offline-tilassa) | USA | DPF/SCC |
| Brevo (Sendinblue SAS) | Lähtevät transaktio- ja ilmoitussähköpostit (esim. sähköpostin vahvistus) | Frankrig | — |
| Cloudflare, Inc. | Verkko, TLS ja DDoS-suojaus | USA | DPF/SCC |
Palvelinympäristö sijaitsee omalla infrastruktuurillamme Tanskassa.
Jos maksatte kortilla, kortitiedot ja maksutiedot käsittelevät maksunvälittäjämme QuickPay (QuickPay ApS, Tanska) ja korttimaksujen vastaanottaja Clearhaus (Clearhaus A/S, Tanska) itsenäisinä rekisterinpitäjinä maksupalvelulainsäädännön nojalla — eivät meidän henkilötietojen käsittelijöinämme. Emme koskaan saa täydellistä korttinumeroanne. QuickPayn ja Clearhausin omat tietosuojaselosteet koskevat kyseistä käsittelyä.
5. Tietojen luovuttaminen
Luovutamme tietoja vain, kun se on tarpeen palvelun tarjoamiseksi, kun laki sitä edellyttää tai suostumuksellasi. Yksi poikkeus: jos tulit meille Google-mainoksen kautta, lähetämme mainoksen klik-id:n (klikkaustunnisteen), ajankohdan sekä tiedon siitä, luotiinko tili tai maksettiinko se, yhtiölle Google Ireland Ltd. (Google Ads), jotta näemme, mitkä mainokset toimivat. Emme lähetä nimeä, sähköpostiosoitetta emmekä IP-osoitetta. Google voi siirtää tiedot Google LLC:lle Yhdysvaltoihin. Googlen mukaan siirto perustuu EU-U.S. Data Privacy Framework -järjestelyyn, jonka piiriin Google LLC on sertifioitu, ja muussa tapauksessa vakiosopimuslausekkeisiin (SCC). Emme koskaan myy tietoja.
6. Säilytys ja poistaminen
Tarkat säilytysajat on kuvattu kohdan 2 taulukossa. Kirjanpitoaineistoa säilytetään 5 vuotta tilikauden päättymisestä kirjanpitolain mukaisesti. Tämän jälkeen tiedot poistetaan tai anonymisoidaan.
7. Oikeutesi
Sinulla on oikeus saada pääsy tietoihisi sekä oikeus tietojen oikaisemiseen, poistamiseen, käsittelyn rajoittamiseen, tietojen siirtämiseen järjestelmästä toiseen ja käsittelyn vastustamiseen (GDPR art. 15–21). Jos olet antanut suostumuksen, voit perua sen milloin tahansa tulevaisuuden osalta. Kirjoita osoitteeseen info@weakestlink.io — vastaamme viimeistään kuukauden kuluessa yhteydenotostasi. Jos et halua meidän käyttävän mainoksen klik-id:tä (kohdat 2 ja 5), voit vastustaa käsittelyä (art. 21) kirjoittamalla samaan osoitteeseen — poistamme tällöin klik-id:n emmekä ilmoita tilistäsi mitään Googlelle. Jos olet asiakkaamme työntekijä, voit ottaa yhteyttä myös työnantajaasi, joka on rekisterinpitäjä (ks. liite A).
8. Valitus
Voit valittaa käsittelystämme Tanskan tietosuojaviranomaiselle Datatilsynetille, osoite Carl Jacobsens Vej 35, 2500 Valby, www.datatilsynet.dk. Voit myös tehdä valituksen tietosuojavaltuutetun toimistolle, www.tietosuoja.fi.
9. Evästeet
Käytämme kahta evästettä: istuntoevästettä, jota tarvitaan kirjautumiseen ja tietoturvaan, sekä — jos valitset kielen itse kielivalitsimesta — evästettä, joka muistaa valintasi. Jos tulet Google-mainoksen kautta, tallennamme mainoksen klik-id:n istuntoon palvelimellemme, jotta voimme kertoa Googlelle, johtiko klikkaus tilin luomiseen (ks. kohta 5). Itse eväste sisältää vain satunnaisen istuntotunnisteen. Emme käytä muita seurantaevästeitä emmekä kolmansien osapuolten evästeitä, eikä kävijätilastointimme (Umami) käytä evästeitä lainkaan.
10. Muutokset
Tähän tietosuojaselosteeseen tehtävistä olennaisista muutoksista ilmoitetaan osoitteessa weakestlink.io ja/tai sähköpostitse.
Liite A — roolijako henkilöstökoulutuksessa
Kun yritys (työnantajasi) käyttää weakestlink-palvelua tietoturvakoulutukseen ja phishing-simulaatioihin, yritys toimii rekisterinpitäjänä työntekijätietojen osalta, ja weakestlink toimii henkilötietojen käsittelijänä. Käsittely tapahtuu henkilötietojen käsittelysopimuksessa annettujen ohjeiden mukaisesti, ja sopimus tehdään käyttöönoton yhteydessä. Tämä tietosuojaseloste koskee siis vain niitä tietoja, joiden osalta olemme itse rekisterinpitäjä (asiakkaan yhteys- ja laskutustiedot sekä palvelun ylläpito).
Phishing-simulaatioita suoritetaan vain dokumentoidun laillisen perusteen nojalla (organisaation suostumus ja hyväksytty oikeutetun edun arviointi). Raportit ovat koottuja ja näyttävät lukuja vain vähintään viiden henkilön ryhmistä. Yksittäisen työntekijän tulokset (riskipisteet, kurssien eteneminen ja simulaatiotapahtumat) näkee vain organisaation ylläpitäjä — ja esimiehet, jos organisaatio itse ottaa sen käyttöön. Tarkoitus on kohdennettu lisäkoulutus, ei koskaan nolaaminen tai seuraamukset. Tuloksia säilytetään asiakassuhteen ajan ja ne poistetaan sen päättyessä henkilötietojen käsittelysopimuksen mukaisesti. Emme koskaan tallenna sitä, mitä työntekijä kirjoittaa simulaatiossa, ainoastaan sen, että tapahtuma sattui.