Strategia.Worksin tietosuojaseloste
Päivitetty 26.9.2026
Tässä tietosuojaselosteessa kerrotaan, miten Outstanding Oy käsittelee henkilötietoja Strategia.Works-verkkosivustolla ja -palvelussa. Seloste koskee verkkosivuston kävijöitä, Quick Diagnosticin käyttäjiä, kokeiluun rekisteröityviä, asiakkaita, asiakkaiden käyttäjiä, yhteyshenkilöitä ja uutiskirjeen tilaajia.
1. Rekisterinpitäjä ja yhteystiedot
Outstanding Oy (Strategia.Works)
Y-tunnus: 2164504-3
Postiosoite: Kauksaarentie 21, 13800 Katinala
Tietosuoja-asiat:
2. Roolit henkilötietojen käsittelyssä
Outstanding Oy on rekisterinpitäjä käyttäjätiliä, asiakassuhdetta, laskutusta, käyttöoikeuksia, palvelun turvallisuutta, tukipyyntöjä ja palvelun teknistä käyttöä koskeville tiedoille.
Kun asiakas tai Partner-käyttäjä syöttää palveluun omia työntekijöitään, asiakkaitaan tai muita henkilöitä koskevia tietoja, asiakas määrittää käsittelyn tarkoitukset ja toimii näiden tietojen rekisterinpitäjänä. Outstanding Oy toimii tältä osin henkilötietojen käsittelijänä asiakkaan lukuun. Tarvittaessa osapuolet tekevät erillisen tietojenkäsittelysopimuksen.
3. Käsiteltävät tiedot
Palvelussa voidaan käsitellä seuraavia tietoryhmiä:
- käyttäjätilin tiedot, kuten nimi, sähköpostiosoite, käyttäjätunnus, organisaatio, rooli ja käyttöoikeudet;
- yritys- ja organisaatiotiedot, kuten yrityksen nimi, Y-tunnus, toimiala, koko, sijainti, asiakassegmentit ja strategiset tavoitteet;
- käyttäjän palveluun syöttämät vastaukset, muistiinpanot, raportit, luonnokset ja organisaatiosynteesit;
- tilaus-, lisenssi- ja laskutustiedot sekä maksun tilaa koskevat viitteet; Strategia.Works ei tallenna maksukortin täydellisiä tietoja;
- tekniset tiedot, kuten käyttäjätunniste, istuntoon liittyvä suojattu tunniste, aikaleimat, lokitiedot, IP-osoitteesta muodostettu suolattu tiiviste, selaintieto ja tietoturvatapahtumat;
- AI-käytön metatiedot, kuten palveluntarjoaja, malli, toiminto, syöte-, välimuisti- ja tulostetokenien määrä, alueellinen päätepiste, organisaatiokohdistus ja arvioitu kustannus;
- tukipyyntöjen ja muun asiakasviestinnän sisältö.
AI-kustannusseurantaan ei tallenneta kehotteita, mallin vastauksia, API-avaimia tai henkilötunnuksia.
4. Käsittelyn tarkoitukset ja oikeusperusteet
Tietoja käsitellään palvelun toimittamiseksi, käyttäjän tunnistamiseksi, käyttöoikeuksien hallitsemiseksi, strategiaraporttien ja asiakkaan pyytämien AI-avusteisten sisältöjen tuottamiseksi, asiakastueksi, laskutukseksi, väärinkäytösten estämiseksi, tietoturvan varmistamiseksi ja palvelun kehittämiseksi.
Käsittely perustuu tilanteen mukaan sopimuksen täytäntöönpanoon, rekisterinpitäjän lakisääteisiin velvoitteisiin, oikeutettuun etuun palvelun turvallisessa ylläpidossa ja kehittämisessä tai suostumukseen silloin, kun laki sitä edellyttää. Asiakkaan lukuun käsiteltävät tiedot käsitellään asiakkaan dokumentoitujen ohjeiden mukaisesti.
5. Tietolähteet
Tiedot saadaan käyttäjältä, asiakkaan pääkäyttäjältä, Partner-käyttäjältä, palvelun käytöstä, tilaus- ja maksujärjestelmästä sekä käyttäjän valitsemista julkisista yritys- ja tilastolähteistä. Quick Diagnostic voi käyttää julkista verkkohakua ajankohtaisen yrityssignaalin löytämiseen, jos toiminto on ylläpidossa otettu käyttöön.
6. Tekoälyn käyttö
Strategia.Works voi lähettää OpenAI API:lle raportin tai avustavan toiminnon kannalta tarpeellisia yritys- ja strategiatietoja. Ennen lähetystä järjestelmä rajaa aineistoa, poistaa tarpeettomia tunnisteita ja suodattaa yleisiä henkilötunnisteita. Core 2.0:n organisaatiosynteesissä yrityksen Y-tunnusta ei sisällytetä mallipyyntöön. Käyttäjää ohjeistetaan olemaan syöttämättä henkilötunnuksia, terveystietoja, maksukorttitietoja, salasanoja, API-avaimia tai muita salassa pidettäviä henkilötietoja.
OpenAI API -pyynnöt lähetetään asetuksella store=false. OpenAI ilmoittaa, ettei API:n kautta lähetettyä asiakasdataa käytetä mallien kouluttamiseen ilman asiakkaan nimenomaista valintaa. Tavallisessa API-käsittelyssä väärinkäytösten valvontalokit voivat sisältää asiakassisältöä enintään 30 vuorokauden ajan. Zero Data Retention tai Modified Abuse Monitoring voidaan ottaa käyttöön vain, jos OpenAI hyväksyy projektin kyseiseen hallintamalliin.
Palvelun päätepiste voidaan määrittää globaaliksi, EU- tai US-päätepisteeksi. EU-alueellinen käsittely ja säilytys toteutuvat vain, kun OpenAI-projekti ja käytetty malli on erikseen määritetty ja hyväksytty niitä varten. Muutoin tietoja voidaan käsitellä Euroopan talousalueen ulkopuolella sovellettavien sopimusjärjestelyjen, kuten EU:n vakiosopimuslausekkeiden, perusteella.
AI tuottaa ehdotuksia, tulkintoja ja luonnoksia. Se ei tee käyttäjää koskevia oikeusvaikutteisia tai vastaavalla tavalla merkittäviä automaattisia päätöksiä. Käyttäjä vastaa lopullisen sisällön arvioinnista ja hyväksymisestä.
7. Vastaanottajat ja alihankkijat
Tietoja voidaan käsitellä vain siinä laajuudessa kuin palvelun tuottaminen edellyttää seuraavissa palveluryhmissä:
- hosting-, varmistus- ja tietoturvapalvelut;
- OpenAI API tekoälytoimintoja varten;
- tilaus- ja maksupalvelut, kuten Membership Pro ja Paytrail, käyttöönoton mukaisesti;
- sähköposti- ja asiakastukipalvelut;
- analytiikkapalvelut, kuten Matomo, jos ne on kyseisessä ympäristössä otettu käyttöön.
Ajantasainen alihankkijaluettelo annetaan asiakkaalle pyynnöstä ja se on tarkistettava ennen tämän selosteen julkaisemista.
8. Säilytysajat
Tietoja säilytetään vain niin kauan kuin se on tarpeen käyttötarkoituksen tai lakisääteisen velvoitteen vuoksi. Operatiiviset säilytysajat on vahvistettava tuotantoympäristössä ennen julkaisemista. Lähtökohtainen säilytysmalli on:
- käyttäjä- ja asiakkuustiedot asiakassuhteen ajan ja enintään 12 kuukautta sen päättymisen jälkeen, ellei lakisääteinen velvoite vaadi pidempää aikaa;
- raportit, syötteet ja organisaatiosisällöt asiakkuuden ajan tai kunnes asiakas poistaa ne tai pyytää niiden poistamista;
- tekniset virhelokit enintään 30 päivää, ellei tietoturvatapaus edellytä rajattua pidempää säilytystä;
- henkilötietoja sisältävät audit-tiedot oletuksena 30 päivää ja muut audit-tapahtumat 365 päivää komponentin asetusten mukaisesti;
- AI-käytön token- ja kustannusmetatiedot 24 kuukautta kustannusten seurantaa ja poikkeamien selvitystä varten;
- varmuuskopiot enintään 90 päivää niiden kiertävän säilytysjakson mukaisesti;
- OpenAI:n väärinkäytösten valvontalokit tavallisessa API-palvelussa enintään 30 päivää, ellei hyväksytty ZDR/MAM-asetus muuta käsittelyä;
- lakisääteinen kirjanpitoaineisto lain edellyttämän ajan.
Kun tietoa ei enää tarvita, se poistetaan tai anonymisoidaan turvallisesti. Varmuuskopioista tieto poistuu varmuuskopioiden normaalin kierron myötä.
9. Tietojen suojaaminen ja organisaatioeristys
Pääsy tietoihin rajataan työtehtävän ja käyttöoikeuden perusteella. Yhteydet suojataan HTTPS/TLS-salauksella. API-avaimet suositellaan säilytettäväksi palvelinympäristön salaisuuksina. Lokituksesta poistetaan API-avaimet, mallivastaukset ja yleiset henkilötunnisteet.
Core 2.0:ssa raportin lukuoikeus tarkistetaan raportin omistajuuden, hyväksytyn organisaatiojäsenyyden tai Partner-hallintasuhteen perusteella. Kukin Partner-asiakas käsitellään omana organisaationaan, eikä eri asiakasorganisaatioiden AI-kontekstia yhdistetä. Pääkäyttäjän tulee tarkistaa jäsenyydet ja Partner-asiakassuhteet säännöllisesti.
10. Rekisteröidyn oikeudet
Rekisteröidyllä on soveltuvan lain mukaisesti oikeus saada pääsy tietoihinsa, pyytää virheellisten tietojen oikaisua, pyytää tietojen poistamista tai käsittelyn rajoittamista, vastustaa oikeutettuun etuun perustuvaa käsittelyä ja saada itse toimittamansa tiedot siirrettävässä muodossa. Suostumuksen voi peruuttaa milloin tahansa ilman vaikutusta sitä edeltäneen käsittelyn lainmukaisuuteen.
Pyyntö lähetetään kohdassa 1 mainittuun tietosuojayhteyteen. Henkilöllisyys voidaan varmistaa ennen pyynnön toteuttamista. Jos käsittely tapahtuu asiakkaan lukuun, pyyntö ohjataan ensisijaisesti kyseiselle asiakkaalle rekisterinpitäjänä.
Rekisteröidyllä on oikeus tehdä valitus toimivaltaiselle valvontaviranomaiselle, Suomessa Tietosuojavaltuutetun toimistolle.
11. Evästeet ja analytiikka
Palvelu käyttää toiminnan kannalta välttämättömiä istunto- ja tietoturvaevästeitä. Valinnainen analytiikka otetaan käyttöön vain sovellettavan evästesuostumuksen ja käyttöympäristön asetusten mukaisesti. Evästekategoriat, säilytysajat ja käytössä oleva analytiikkaratkaisu kuvataan erillisessä evästekuvauksessa.
12. Muutokset
Selostetta päivitetään, kun palvelun toiminnallisuudet, alihankkijat tai käsittelytavat muuttuvat olennaisesti. Ajantasainen versio julkaistaan Strategia.Worksin verkkopalvelussa, ja olennaisista muutoksista ilmoitetaan asiakkaille kohtuullisella tavalla.