Tärppi · Artikkelit · Hinnoittelu

Tietosuojaseloste

Tämä seloste kuvaa, miten Tärppi käsittelee henkilötietoja. Se täyttää EU:n yleisen tietosuoja-asetuksen (GDPR) 13 ja 14 artiklan tiedonantovelvoitteen ja toimii samalla rekisteriselosteena.

1. Rekisterinpitäjä

Rekisterinpitäjä on Tärppi-palvelun ylläpitäjä.

Yhteydenotot tietosuoja-asioissa: tietosuoja@tarppi.app.

Jos palvelua operoi Suomessa rekisteröity yritys, Y-tunnus ja postiosoite julkaistaan tässä kohdassa. Siihen asti rekisterinpitäjä tunnistetaan palvelun nimellä ja yllä olevalla sähköpostiosoitteella.

    2. Rekisterin nimi

    Tärppi-palvelun käyttäjä- ja hakemusrekisteri.

      3. Mitä tietoja käsittelemme

      Käsittelemme vain tietoja, jotka annat palveluun tai jotka syntyvät sen käytöstä.

      • Tilin tiedot: sähköpostiosoite, salasanan tiiviste (ei selväkielistä salasanaa), sähköpostin vahvistus, tilin luonti- ja päivitysajat, käyttöönoton tila sekä merkintä kertaluonteisesta CV-tuonnista.
      • Profiili: nimi, ammattinimike, yhteystiedot, osoite, työskentelyoikeus, irtisanomisaika, kielitaito CEFR-tasoineen, työkokemus, koulutus, taidot, projektit ja suosittelijat.
      • Valinnaiset CV-kentät: syntymäaika, kansalaisuus, valokuva, ajokortti, asevelvollisuus ja harrastukset.
      • Hakemukset: työnantaja, tehtävänimike, ilmoituksen osoite ja teksti, tila, muistiinpanot sekä tekoälyn tuottamat CV:t ja hakemuskirjeet.
      • Tekoälyasetukset: valitsemasi palvelu ja malli, salattu API-avain sekä avaimen neljä viimeistä merkkiä.
      • Laskutus: ostetut hakemuspaketit, käytetyt hakemukset, Stripe-asiakas- ja maksutunnisteet. Kortin numeroa ei tallenneta Tärppiin.
      • Käyttölokit: tekoälykutsujen ajankohta ja tyyppi kiintiöiden valvontaa varten.
      • Väärinkäytön esto: normalisoitu sähköpostiosoite, kertakäyttöosoitteiden esto sekä IP-osoitteen tiiviste (ei selväkielistä IP-osoitetta) rekisteröinnin ja ilmaisen paketin rajoittamista varten. Tietoja säilytetään noin 90 päivää.
      • Cloudflare Turnstile -vahvistus rekisteröinnissä, kun se on käytössä.
      • Istunto: HttpOnly-eväste applykit_session (tuotannossa __Host-applykit_session).
      • Evästesuostumus: cc_cookie.
      • Valinnaiset näyttöasetukset: kieli ja teema (localStorage), jos hyväksyt toiminnalliset evästeet.

      4. Mistä tiedot saadaan

      • Sinulta, kun luot tilin, täytät profiilin, tuot olemassa olevan CV:n tai luot hakemuksen.
      • Patentti- ja rekisterihallituksen (PRH) avoimesta YTJ-aineistosta työnantajien perustietoja varten. YTJ-tiedot eivät ole sinun henkilötietojasi.
      • Valitsemaltasi tekoälypalvelulta, kun se palauttaa asiakirjaluonnoksen.
      • Tärpin valitsemalta tekoälytoimittajalta, kun luot hakemuksen Tärpin tekoälyllä.
      • Stripe-palvelulta, kun ostat hakemuspaketin (maksun tila ja vahvistus).
      • Resend-palvelulta, kun lähetämme vahvistus- tai salasanan palautusviestin.

      5. Käyttötarkoitukset ja oikeusperusteet

      Käsittelemme tietoja seuraaviin tarkoituksiin:

      • Tilin luominen ja tunnistautuminen — sopimus (GDPR 6 art. 1 b).
      • Profiilin ja hakemusten tallentaminen sekä CV:n ja hakemuskirjeen tuottaminen — sopimus (6 art. 1 b).
      • Istuntoeväste ja tietoturva — sopimus ja oikeutettu etu (6 art. 1 b ja f).
      • Evästesuostumuksen tallennus — lakisääteinen velvoite / suostumus (6 art. 1 a ja c).
      • Kieli- ja teema-asetukset — suostumus (6 art. 1 a), jos hyväksyt toiminnalliset evästeet.
      • Kiintiöiden valvonta ja väärinkäytön esto — oikeutettu etu (6 art. 1 f).
      • Hakemuspakettien laskutus ja Tärpin tekoälyllä tehtävä asiakirjojen luominen — sopimus (6 art. 1 b).

      6. Valinnaiset ja arkaluonteiset kentät

      Valokuva, syntymäaika, kansalaisuus ja asevelvollisuus ovat suomalaisessa CV-käytännössä tavallisia mutta vapaaehtoisia. Emme käytä valokuvaa biometriseen tunnistamiseen. Voit jättää nämä kentät tyhjäksi.

      Suosittelijoiden yhteystiedot ovat kolmansien henkilöiden tietoja. Varmista, että sinulla on oikeus tallentaa ne.

        7. Tekoälykäsittely

        Asiakirjojen luomisessa käytetään tekoälyä. Tärppi ei tee GDPR:n 22 artiklan mukaista automaattista päätöstä, jolla olisi sinua koskevia oikeusvaikutuksia: luonnokset ovat muokattavissasi, ja työnantaja tekee rekrytointipäätöksen.

        Voit käyttää omaa API-avaintasi (xAI/Grok, OpenAI, Anthropic, Google Gemini tai muu yhteensopiva palvelu). Avain salataan AES-256-GCM:llä eikä sitä palauteta selaimeen. Kun pyydät asiakirjojen luomista, profiilisi ja ilmoitusteksti lähetetään valitsemallesi palvelulle. Tämä siirto tapahtuu sinun toimeksiannostasi.

        Jos et lisää avainta, asiakirjojen luomisessa käytetään Tärpin tekoälyä hakemussaldon puitteissa. Silloin pyyntö menee Tärpin valitsemalle toimittajalle Tärpin avaimella.

        Voit ladata olemassa olevan CV:n kerran tiliä kohden (PDF, DOCX tai kuva) käyttöönoton aikana tai profiilissa. Tiedosto tarkistetaan haitallisen sisällön varalta, teksti tai kuva lähetetään Tärpin tekoälylle kenttien esitäyttöä varten, eikä alkuperäistä tiedostoa tallenneta. Tuonti ei kuluta hakemussaldoa eikä oman avaimen luomiskiintiötä.

          8. Tietojen sijainti (EU)

          Tärpin omaa rekisteriä pyritään käsittelemään Euroopan unionissa:

          • Sovellus ja rajapinta: Vercel (Frankfurt, fra1).
          • Tietokanta: Neon Postgres (EU, aws-eu-central-1).
          • YTJ-haut: Patentti- ja rekisterihallitus, Suomi.

          9. Käsittelijät ja luovutukset

          Emme myy henkilötietoja. Käytämme seuraavia käsittelijöitä ja vastaanottajia:

          • Vercel Inc. — hosting ja serverless-funktiot (EU-alueella, fra1).
          • Neon — PostgreSQL-tietokanta (EU).
          • PRH / YTJ — julkiset yritystiedot.
          • Valitsemasi tekoälytoimittaja — asiakirjaluonnosten käsittely omalla avaimellasi (ks. kohta 10).
          • Tärpin valitsema tekoälytoimittaja — Tärpin tekoälyllä tehdyt asiakirjaluonnokset (ks. kohta 10).
          • Stripe — hakemuspakettien maksujen käsittely. Korttitiedot jäävät Stripeen.

          10. Siirrot EU/ETA:n ulkopuolelle

          Tärpin omaa hostingia ja tietokantaa on tarkoitus käyttää EU-alueella. Tekoälytoimittajat (xAI, OpenAI, Anthropic, Google ja osa OpenAI-yhteensopivista rajapinnoista) voivat käsitellä pyyntöjä Yhdysvalloissa tai muualla ETA:n ulkopuolella.

          Omalla avaimella tehtävä siirto perustuu siihen, että lisäät itse kyseisen palvelun avaimen ja pyydät luomista. Isännöidyssä luonnissa Tärppi lähettää pyynnön valitsemalleen toimittajalle, joka voi sijaita ETA:n ulkopuolella. Toimittajat julkaisevat omat siirtomekanisminsa (yleensä komission mallisopimuslausekkeet). Voit käyttää ETA-alueella sijaitsevaa OpenAI-yhteensopivaa tai paikallista mallia.

            11. Säilytysajat

            • Tili, profiili, hakemukset ja asiakirjat: kunnes poistat tilin. Tuodun CV:n alkuperäistä tiedostoa ei säilytetä; vain poimitut profiilikentät jäävät.
            • Istuntoeväste: 14 päivää tai uloskirjautumiseen asti.
            • Evästesuostumus: noin 182 päivää, minkä jälkeen kysymme uudelleen.
            • Tekoälykäyttöloki: kiintiöiden valvontaan, tyypillisesti 24 tuntia aktiivisessa laskennassa; rivit poistuvat tilin poiston yhteydessä.
            • Varmuuskopiot noudattavat hosting-toimittajan säilytysaikoja, minkä jälkeen tiedot poistuvat myös niistä.

            12. Suojaus

            • Salasanat tiivistetään (Argon2).
            • API-avaimet salataan AES-256-GCM:llä; salausavainta ei palauteta selaimeen.
            • Istuntoeväste on HttpOnly, SameSite=Lax ja tuotannossa Secure.
            • Yhteydet tuotannossa HTTPS:llä.
            • Pääsy tietokantaan on rajattu palvelimen yhteydelle.

            13. Rekisteröidyn oikeudet

            Sinulla on oikeus tarkastaa tiedot, pyytää oikaisua, poistaa tiedot, rajoittaa käsittelyä, siirtää tiedot (tietojen siirrettävyys), vastustaa oikeutettuun etuun perustuvaa käsittelyä ja peruuttaa suostumus.

            • Oikaisu: muokkaa profiilia ja hakemuksia asetuksissa.
            • Siirrettävyys: lataa JSON-tiedosto asetusten Tietosuoja-välilehdeltä.
            • Poisto: poista tili samasta näkymästä. Poisto on lopullinen.
            • Evästesuostumus: Evästeasetukset-painike sivun alalaidassa.
            • Muut pyynnöt: tietosuoja@tarppi.app.

            14. Valitusoikeus

            Sinulla on oikeus tehdä valitus Tietosuojavaltuutetun toimistolle (https://tietosuoja.fi), Lintulahdenkuja 4, 00530 Helsinki.

              15. Evästeet

              Välttämättömät evästeet (istunto ja suostumus) ovat palvelun toiminnan kannalta tarpeen. Toiminnalliset asetukset (kieli, teema) tallennetaan vain, jos hyväksyt ne. Emme käytä tällä hetkellä analytiikka- tai markkinointievästeitä. Hakemuspaketin maksu tapahtuu Stripen Checkout-sivulla; Tärppi ei aseta Stripe-evästeitä omalle verkkotunnukselleen. Lisätietoja on evästekäytännössä.

                16. Lapset

                Palvelu on tarkoitettu työnhakijoille. Emme tietoisesti kerää alle 16-vuotiaiden tietoja.

                  17. Muutokset

                  Päivitämme selosteen, kun käsittely muuttuu (esimerkiksi Tärpin tekoäly tai maksaminen). Merkittävästä muutoksesta ilmoitetaan palvelussa. Voimassaolopäivä on sivun yläosassa.