Strategia.Worksin tietosuojaseloste

Päivitetty 28.8.2026

Tässä tietosuojaselosteessa kerrotaan, miten Outstanding Oy käsittelee henkilötietoja Strategia.Works-verkkosivustolla ja -palvelussa. Seloste koskee verkkosivuston kävijöitä, Quick Diagnosticin käyttäjiä, kokeiluun rekisteröityviä, asiakkaita, asiakkaiden käyttäjiä, yhteyshenkilöitä ja uutiskirjeen tilaajia.

1. Rekisterinpitäjä

Outstanding Oy
Y-tunnus: 2164504-3
Kauksaarentie 21
13800 Katinala, Suomi

2. Henkilötietojen käsittelystä vastaava yhteyshenkilö

Pete Herranen
Sähköposti: Tämä sähköpostiosoite on suojattu spamboteilta. Tarvitset JavaScript-tuen nähdäksesi sen.
Puhelin: +358 44 042 0420

Tietosuojaa koskevat pyynnöt ja kysymykset pyydetään lähettämään ensisijaisesti sähköpostitse.

3. Rekisterinpitäjän ja asiakkaan roolit

Outstanding Oy toimii rekisterinpitäjänä, kun se määrittää henkilötietojen käsittelyn tarkoitukset ja keinot. Tällaisia tietoja ovat esimerkiksi käyttäjätili-, asiakkuus-, tilaus-, viestintä-, analytiikka- ja tietoturvatiedot.

Jos asiakas syöttää Strategia.Worksiin työntekijöitään, asiakkaitaan tai muita henkilöitä koskevia tietoja omiin tarkoituksiinsa, asiakas toimii lähtökohtaisesti näiden tietojen rekisterinpitäjänä ja Outstanding Oy asiakkaan henkilötietojen käsittelijänä. Asiakas vastaa käsittelyn oikeusperusteesta, rekisteröityjen informoinnista ja siitä, että palveluun syötetään vain tarpeellisia ja lainmukaisesti käsiteltäviä tietoja.

4. Käsiteltävät henkilötiedot

Voimme käsitellä seuraavia tietoryhmiä:

• käyttäjä- ja yhteystiedot: nimi, sähköpostiosoite, puhelinnumero, käyttäjätunnus ja organisaatiorooli;
• organisaatio- ja käyttöoikeustiedot: yrityksen nimi, Y-tunnus, organisaatiojäsenyys, pääkäyttäjä- ja lisäkäyttäjäroolit, kutsut sekä käyttöoikeudet;
• asiakkuus- ja tilaustiedot: palvelutaso, lisenssikausi, tilauksen tila, laskutus- ja maksutapahtuman tiedot sekä asiakaspalveluviestit;
• strategiatyön sisältö: lomakevastaukset, käyttäjän syöttämät yritys- ja toimintaympäristötiedot, päätavoitteet, arviot, raportit, painopisteet, toimenpiteet ja seurantatiedot;
• Quick Diagnostic -tiedot: valittu yritys ja Y-tunnus, vapaaehtoinen verkkosivusto, vastaajan rooli, vastaukset, tulos ja palveluun jatkamista koskevat tapahtumat;
• tekniset ja tietoturvatiedot: IP-osoite, selain- ja laitetiedot, istunto- ja evästetunnisteet, kirjautumis- ja tapahtumalokit, virhetilanteet, lähettävä sivu ja liikenteen lähdetiedot;
• viestintä- ja suostumustiedot: yhteydenotot, uutiskirjeen tilaus, markkinointisuostumus, evästevalinnat sekä muistutus- ja ilmoitusasetukset.

Strategia.Works ei ole tarkoitettu erityisiin henkilötietoryhmiin kuuluvien tietojen, kuten terveystietojen, eikä tarpeettomien henkilötunnusten tai maksukorttitietojen tallentamiseen. Käyttäjän tulee välttää tarpeettomien henkilötietojen, liikesalaisuuksien ja salassa pidettävien tietojen syöttämistä palveluun.

5. Käsittelyn tarkoitukset ja oikeusperusteet

Kun käsittely perustuu oikeutettuun etuun, arvioimme käsittelyn tarpeellisuuden sekä rekisteröidyn oikeudet ja kohtuulliset odotukset. Suostumuksen voi peruuttaa milloin tahansa. Peruuttaminen ei vaikuta ennen peruuttamista tehdyn käsittelyn lainmukaisuuteen.

6. Henkilötietojen lähteet

Tietoja saadaan käyttäjältä itseltään, asiakkaan organisaation pääkäyttäjältä, palvelun käytöstä ja teknisistä järjestelmistä, maksupalveluntarjoajalta sekä asiakassuhteen aikana tapahtuvasta viestinnästä. Yritys- ja markkinatietoja voidaan täydentää julkisista lähteistä, kuten PRH:n ja YTJ:n rekistereistä, Tilastokeskuksen aineistoista sekä julkisista verkkolähteistä.

7. Tekoälyavusteinen käsittely ja OpenAI

Quick Diagnosticin valinnainen yrityskohtainen havainto sekä Strategia.Worksin palvelutasosta riippuvat tekoälyominaisuudet voivat käyttää OpenAI API -palvelua analyysien, synteesien, suositusten ja havaintojen muodostamiseen. OpenAI:lle välitetään vain käyttäjän pyytämän toiminnon toteuttamiseksi tarpeellinen osa syötteistä, yritystiedoista ja analyysikontekstista. Core-toiminnoissa, joissa tekoälyä ei käytetä, lomakesyötteitä ei lähetetä OpenAI API:lle.

OpenAI API:lle lähetettyä asiakassisältöä ei oletusarvoisesti käytetä OpenAI-mallien kouluttamiseen tai parantamiseen, ellei API-asiakas ole nimenomaisesti valinnut tietojen jakamista tähän tarkoitukseen. Outstanding Oy ei ota tällaista vapaaehtoista jakamista käyttöön Strategia.Worksin asiakassisällölle. Strategia.Works käyttää Responses- ja Chat Completions API -pyynnöissä asetusta store=false.

OpenAI voi käsitellä API-pyyntöjä ja -vastauksia väärinkäytösten valvontalokeissa enintään 30 vuorokauden ajan. Säilytys voi poikkeuksellisesti jatkua pidempään, jos laki sitä edellyttää tai jos se on välttämätöntä vakavan väärinkäytöksen tutkimiseksi tai estämiseksi. Lisätietoja: OpenAI Enterprise Privacy, OpenAI API Data Controls ja OpenAI Data Processing Addendum.

Tekoälyn tuottama sisältö voi olla puutteellista, virheellistä tai vanhentunutta. Strategia.Works ei tee luonnollista henkilöä koskevia oikeusvaikutteisia tai vastaavalla tavalla merkittäviä päätöksiä yksinomaan automaattisen käsittelyn perusteella.

8. Vastaanottajat ja palveluntarjoajat

Henkilötietoja käsittelevät Outstanding Oy:n lukuun vain ne henkilöt, joille käsittely on työtehtävien vuoksi tarpeellista. Tietoja voidaan käsitellä seuraavissa palveluntarjoajaryhmissä:

• verkkopalvelun hosting-, ylläpito-, tietoturva-, varmuuskopiointi- ja IT-palvelut;
• sähköposti-, asiakaspalvelu- ja viestintäpalvelut;
• OpenAI-konsernin soveltuva yhtiö ja sen alikäsittelijät tekoälytoiminnoissa;
• Paytrail Oyj maksupalvelun toteuttamisessa; lisätietoja on Paytrailin tietosuojaselosteessa;
• Matomo-analytiikka sekä suostumuksen perusteella Meta Platforms Ireland Limited ja muut hyväksytyt analytiikka- tai markkinointipalvelut;
• kirjanpito-, laki- ja muut asiantuntijapalvelut siinä laajuudessa kuin tehtävän hoitaminen edellyttää.

Tietoja voidaan luovuttaa viranomaiselle tai muulle taholle, jos laki, viranomaisen määräys tai oikeusvaateen käsittely sitä edellyttää. Henkilötietoja ei myydä.

9. Tietojen siirrot Euroopan talousalueen ulkopuolelle

Osa palveluntarjoajista tai niiden alikäsittelijöistä voi käsitellä tietoja Euroopan talousalueen ulkopuolella. Siirroissa käytetään soveltuvaa laillista siirtoperustetta ja suojatoimia, kuten Euroopan komission riittävyyspäätöstä, EU:n vakiosopimuslausekkeita sekä tarvittaessa täydentäviä teknisiä ja organisatorisia suojatoimia. OpenAI käsittelee ETA-alueelta peräisin olevia asiakastietoja OpenAI Ireland Limitedin kautta sovellettavan tietojenkäsittelysopimuksen mukaisesti.

10. Säilytysajat

• Käyttäjätili-, organisaatio-, lomake- ja raporttitiedot säilytetään asiakas- ja sopimussuhteen ajan. Ne poistetaan tai anonymisoidaan lähtökohtaisesti 30 vuorokauden kuluessa käyttäjätilin ja asiakassuhteen päättymisestä, ellei käyttäjä poista tietoja aikaisemmin tai pidempi säilytys ole tarpeen lakisääteisen velvoitteen tai oikeusvaateen vuoksi.
• Quick Diagnosticin keskeneräiset istuntotiedot ja palveluun jatkamatta jääneet tunnistettavat tiedot poistetaan tai anonymisoidaan viimeistään 30 vuorokauden kuluessa. Jos käyttäjä jatkaa kokeiluun tai asiakkaaksi, tarpeelliset tiedot siirtyvät käyttäjätilin palvelusisällöksi.
• Tekniset, tietoturva- ja toimituslokit säilytetään pääsääntöisesti enintään 30 vuorokautta. Turvallisuuspoikkeamaan liittyviä tietoja voidaan säilyttää pidempään asian selvittämiseksi ja oikeusvaateiden käsittelemiseksi.
• OpenAI API:n valvontalokit voivat sisältää asiakassisältöä enintään 30 vuorokauden ajan kohdassa 7 kuvatuin poikkeuksin.
• Varmuuskopioissa olevat poistettavat tiedot poistuvat enintään 30 vuorokauden varmuuskopiokierron mukaisesti, ellei varmuuskopiota ole eristetty tietoturvapoikkeaman tai lakisääteisen velvoitteen vuoksi.
• Laskutus-, maksu- ja kirjanpitotiedot säilytetään kirjanpito- ja muun pakottavan lainsäädännön edellyttämän ajan.
• Markkinointitiedot säilytetään, kunnes suostumus peruutetaan, markkinointia vastustetaan tai tieto ei enää ole käyttötarkoitukseen tarpeellinen.

11. Evästeet, analytiikka ja markkinointi

Sivusto käyttää palvelun toiminnan, kirjautumisen, tietoturvan, istunnon ja käyttäjän valintojen kannalta välttämättömiä evästeitä. Välttämättömät evästeet eivät edellytä suostumusta.

Valinnaisia analytiikka- ja markkinointievästeitä, kuten Matomoa tai Meta-pikseliä, käytetään vain käyttäjän antaman suostumuksen perusteella. Suostumuksen voi antaa, evätä tai peruuttaa sivuston evästeasetuksista. Suostumuksen peruuttaminen ei estä palvelun välttämättömien toimintojen käyttämistä.

12. Tietojen suojaaminen

Henkilötietoja suojataan käyttötarkoitukseen ja riskeihin nähden asianmukaisin teknisin ja organisatorisin toimenpitein. Toimenpiteitä ovat muun muassa salatut verkkoyhteydet, henkilökohtaiset käyttäjätunnukset, rooli- ja organisaatiokohtaiset käyttöoikeudet, lokitus, järjestelmäpäivitykset, varmuuskopiointi, pääsyn rajaaminen sekä palveluntarjoajien sopimuksellinen ohjaus. Henkilöstöä ja palveluntarjoajia sitoo salassapitovelvollisuus.

13. Rekisteröidyn oikeudet

Sovellettavan lainsäädännön ja käsittelyn oikeusperusteen mukaisesti rekisteröidyllä voi olla oikeus:

• saada tietoa henkilötietojensa käsittelystä ja tarkastaa itseään koskevat tiedot;
• vaatia virheellisten tai puutteellisten tietojen oikaisemista;
• vaatia tietojen poistamista;
• vaatia käsittelyn rajoittamista;
• vastustaa oikeutettuun etuun perustuvaa käsittelyä ja suoramarkkinointia;
• peruuttaa suostumus milloin tahansa;
• saada itse toimittamansa tiedot jäsennellyssä ja koneellisesti luettavassa muodossa sekä siirtää ne toiselle rekisterinpitäjälle silloin, kun oikeus soveltuu;
• olla joutumatta yksinomaan automaattiseen käsittelyyn perustuvan, oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia aiheuttavan päätöksen kohteeksi.

Oikeuksien käyttämistä koskeva pyyntö lähetetään kohdassa 2 mainitulle yhteyshenkilölle. Pyytäjän henkilöllisyys voidaan varmistaa ennen pyynnön toteuttamista. Pyyntö käsitellään ilman aiheetonta viivytystä ja lähtökohtaisesti kuukauden kuluessa. Oikeudet eivät ole ehdottomia, vaan niiden soveltuminen riippuu käsittelyn oikeusperusteesta ja tilanteesta.

Rekisteröidyllä on oikeus tehdä valitus Tietosuojavaltuutetun toimistolle, jos hän katsoo henkilötietojensa käsittelyn olevan tietosuojalainsäädännön vastaista. Toivomme, että mahdollinen asia voidaan ensin selvittää kanssamme.

14. Tietojen antamisen pakollisuus

Käyttäjätilin, organisaation ja tilauksen edellyttämät tiedot on annettava, jotta palvelu, käyttöoikeus ja laskutus voidaan toteuttaa. Lomakkeella pakolliseksi merkityt tiedot tarvitaan kyseisen analyysin tai raportin muodostamiseen. Vapaaehtoisten tietojen antamatta jättäminen ei estä palvelun muiden osien käyttöä. Ilman välttämättömiä tietoja käyttäjätiliä, tilausta tai pyydettyä raporttia ei välttämättä voida muodostaa.

15. Selosteen muutokset

Voimme päivittää tätä selostetta, jos palvelu, henkilötietojen käsittely tai lainsäädäntö muuttuu. Ajantasainen versio julkaistaan Strategia.Worksin verkkosivustolla. Olennaisista muutoksista ilmoitetaan tarvittaessa palvelussa tai sähköpostitse.