Tietosuojaseloste

1. Rekisterinpitäjä

Emperor Labs Oy

Y-tunnus: 3621062-4

Test

Tietosuoja-asioissa ota yhteyttä: info@emperorlabs.fi

Palvelu on saatavilla osoitteessa https://pelaajaporssi.fi sekä mobiilisovelluksena (iOS, Android).

2. Käsiteltävät henkilötiedot

Käyttäjätili ja profiili

• Sähköpostiosoite (kirjautumistunnus ja yhteydenotoille)
• Näyttönimi ja vapaamuotoinen esittelyteksti
• Tilityypin valinta (pelaaja / yritys)
• Valittu suosikkilaji
• Maalivahtiprofiilitieto (jos käyttäjä on sen täyttänyt)

Pelit, tapahtumat ja osallistumiset

• Luomasi pelit (laji, aika, osoite, hinta, pelaajamäärä)
• Peleihin liittyminen ja rooli (pelaaja, maalivahti)
• Joukkuejäsenyydet ja joukkuetapahtumat
• Kenttävuorot, joihin olet osallistunut tai jotka olet tarjonnut

Sijaintitiedot

• Pelien ja kenttävuorojen osoite — tallennetaan tietokantaan koordinaattina (PostGIS) pelien hakua varten.
• GPS-sijainti lähipelien hakuun — käytetään vain haun aikana palvelimella tietokantakyselyssä, ei tallenneta tietokantaan eikä selaimen tallennustilaan.
• Manuaalisesti syötetty hakutermi (kaupunki, postinumero tai alue) — lähetetään palvelimelle ja sieltä Nominatim-geokoodauspalveluun koordinaattien hakemiseksi; välimuistetaan palvelimella enintään 30 minuuttia; ei tallenneta pysyvästi tietokantaan.

Maksutiedot

• Maksutapahtuman tila, summa, valuutta ja viitetunniste
• Stripe PaymentIntent -tunniste
• Kortti- tai pankkitilitietoja ei tallenneta Pelaajapörssiin — ne käsittelee yksinomaan Stripe PCI DSS -standardin mukaisesti.
• Kenttävuoroja myyville käyttäjille: Stripe Connect -tilitunniste (stripe_connect_account_id).

Tekniset lokitiedot

• Supabase ja Vercel voivat tallentaa teknisissä palvelinlokeissaan IP-osoitteen, pyynnön ajankohdan ja käytetyn agenttitiedon palvelun tietoturvan ja toiminnan varmistamiseksi. Näitä tietoja ei yhdistetä käyttäjäprofiiliin eikä käytetä mainontaan.

3. Käsittelyn tarkoitukset ja oikeusperusteet

Käsittelemme henkilötietoja seuraavilla tarkoituksilla ja oikeusperusteilla (GDPR art. 6):

4. Tietojen säilytysajat

• Käyttäjätili ja profiili: tilin aktiivisuuden ajan; poistetaan käyttäjän pyytäessä tai tilin poistamisen yhteydessä.
• Pelitiedot ja osallistumiset: tilin elinkaaren ajan; poistetaan tilin poistamisen yhteydessä.
• Maksutapahtumat: kirjanpitolain mukainen aika — Suomessa 6 vuotta sen tilikauden päättymisestä, jonka aikana maksutapahtuma on kirjattu (kirjanpitolaki 2:10 §). Tietojen säilytys perustuu lakisääteiseen velvoitteeseen eikä tilin poisto poista näitä tietoja ennenaikaisesti.
• GPS-koordinaatit: ei tallenneta pysyvästi.
• Geokoodaushakutermit: välimuisti enintään 30 minuuttia; ei pysyvää tallennusta.

5. Tietojen vastaanottajat ja henkilötietojen käsittelijät

Käytämme seuraavia alikäsittelijöitä. Olemme solmineet tai sitoudumme solmimaan kunkin kanssa GDPR:n edellyttämän tietojenkäsittelysopimuksen (DPA):

• Supabase Inc. (USA) — tietokanta, tunnistautuminen ja Edge Functions. Tiedot tallennetaan EU-alueelle (Frankfurt, eu-central-1). Supabasella on EU:n vakiosopimuslausekkeet (SCCs) ja se on osallistunut EU–US Data Privacy Frameworkiin. Supabase-tietosuoja | DPA.
• Stripe, Inc. (USA) — maksupalvelu. Stripe käsittelee maksutietoja PCI DSS -standardin mukaisesti. Stripe on osallistunut EU–US Data Privacy Frameworkiin ja tarjoaa SCCs-pohjaiset DPA-ehdot. Stripen tietosuoja | DPA.
• Vercel Inc. (USA) — web-sovelluksen hosting. Vercel käsittelee pyyntöjä EU:n edge-verkon kautta ja tarjoaa SCCs-pohjaiset DPA-ehdot. Vercelin tietosuoja | DPA.
• OpenStreetMap Foundation / Nominatim (UK) — geokoodauspalvelu manuaaliseen sijaintihakuun. Käyttäjää pyydetään syöttämään kaupunki, postinumero tai alue — ei kotiosoitetta. Kirjoittamasi hakuteksti lähetetään palvelimeltamme Nominatim-rajapintaan koordinaattien hakemiseksi. Nominatim voi käsitellä teknisiä lokitietoja (IP-osoite, ajankohta, selainagenttitieto) omien käyttöehtojensa mukaisesti. Hakutekstejä ei tallenneta pysyvästi Pelaajapörssin järjestelmiin. GPS-koordinaatteja ei lähetetä Nominatimiin. OSMF-tietosuoja.

Palvelu käyttää Stripen lähettämiä maksuvahvistussähköposteja suoraan Stripen kautta (receipt_email-kenttä PaymentIntentissä). Pelaajapörssi ei käytä erillistä sähköpostipalvelua.

6. Siirrot EU/ETA-alueen ulkopuolelle

Osa alikäsittelijöistä (Supabase, Vercel, Stripe) on yhdysvaltalaisia yrityksiä, jotka voivat siirtää tai käsitellä tietoja EU/ETA-alueen ulkopuolella. Kansainvälisissä siirroissa käytetään GDPR:n edellyttämiä suojatoimia:

• EU–US Data Privacy Framework (DPF): Stripe ja Supabase ovat ilmoittautuneet DPF:ään, joka on Euroopan komission hyväksymä siirtoperuste.
• Euroopan komission vakiosopimuslausekkeet (SCCs): Kaikki alikäsittelijät tarjoavat SCC-pohjaiset DPA-ehdot varmistusmekanismina.

Tietojen ensisijainen tallennus tapahtuu EU-alueella (Supabase Frankfurt).

7. Rekisteröidyn oikeudet

GDPR:n nojalla sinulla on oikeus:

• Tarkastaa mitä tietoja sinusta on tallennettu (art. 15).
• Oikaista virheelliset tai puutteelliset tiedot (art. 16).
• Pyytää poistamaan tietosi (“oikeus tulla unohdetuksi”, art. 17). Kaikkia tietoja ei voida poistaa välittömästi, jos niiden säilyttäminen perustuu lakisääteiseen velvoitteeseen (esim. kirjanpitolain mukaiset maksutiedot).
• Rajoittaa käsittelyä (art. 18).
• Vastustaa käsittelyä oikeutetun edun perusteella (art. 21).
• Siirtää tietosi koneluettavassa muodossa toiselle rekisterinpitäjälle (art. 20).

Lähetä oikeuksiasi koskeva pyyntö osoitteeseen info@emperorlabs.fi. Vastaamme ilman aiheetonta viivytystä, viimeistään kuukauden sisällä. Pyyntö voidaan hylätä tai sen täyttämistä voidaan rajoittaa, jos laki sitä edellyttää (esim. lakisääteiset kirjanpitovelvoitteet).

Sinulla on oikeus tehdä valitus tietosuojavaltuutetun toimistolle (tietosuojavaltuutettu.fi), jos katsot, että henkilötietojesi käsittely loukkaa GDPR:ää.

8. Automaattinen päätöksenteko

Pelaajapörssi ei tee automaattisia päätöksiä (profilointi mukaan lukien), joilla olisi merkittäviä oikeudellisia tai muita vastaavia vaikutuksia käyttäjiin (GDPR art. 22). Pelipaikkojen täyttyminen perustuu ilmoittautumisjärjestykseen eikä käyttäjäprofiloinnista johdettuun päätökseen.

9. Tietoturva

• Kaikki tietoliikenne salataan TLS-yhteydellä.
• Tietokantakyselyt on suojattu rivitason pääsynhallinnalla (Row Level Security, RLS) — käyttäjä näkee vain omat tietonsa.
• Maksuliikenne kulkee Stripen PCI DSS -sertifioidun ympäristön kautta.
• API-avainten käyttöoikeuksia rajoitetaan vähimmäisoikeusperiaatteen mukaisesti (restricted keys).
• Palvelimet sijaitsevat EU-alueella.

Tietoturvaloukkauksesta ilmoitetaan tietosuojaviranomaiselle ja asianomaisille käyttäjille GDPR:n (art. 33–34) edellyttämässä ajassa (tyypillisesti 72 tunnin sisällä havaitsemisesta).

10. Evästeet ja paikallinen tallennus

Välttämättömät istuntoevästeet: Palvelu käyttää Supabase Auth -istunnon ylläpitoon evästeessä tallennettavaa istuntotietoa. Nämä evästeet ovat teknisesti välttämättömiä — niitä ei voi poistaa käytöstä ilman että kirjautuminen lakkaa toimimasta. Suostumus ei ole tarpeen (Sähköisen viestinnän tietosuojalaki 26 §, ePrivacy-direktiivi 5(3) artiklan poikkeus).

Paikallinen tallennus (localStorage): Selaimen localStorage-tallennustilaan voidaan tallentaa käyttäjän valitsema hakusäde (km) sijaintihaun säilyttämiseksi istuntojen välillä. Tämä ei sisällä henkilötietoa.

Emme käytä seuranta-, mainonta- tai analytiikkaevästeitä.

11. Selosteen muutokset

Päivitetty tietosuojaseloste tulee voimaan siinä ilmoitettuna päivänä. Ilmoitamme olennaisista muutoksista palvelussa tai käyttäjän sähköpostiosoitteeseen, kun se on tarkoituksenmukaista. Aiemmat versiot ovat saatavilla pyydettäessä.