Tietoturva

Mitä me teemme

Kirjautuminen

• Kirjautumiseen tarvitaan sähköposti, salasana ja kertakäyttöinen koodi, joka lähetetään sähköpostiin.
• Koodi on voimassa 10 minuuttia. Väärän koodin voi syöttää enintään 5 kertaa.
• Koodeja ja salasanoja ei tallenneta selväkielisinä, vaan suojattuina tiivisteinä.
• Voit merkitä laitteen muistetuksi. Silloin koodia ei kysytä 30 päivään. Kun vaihdat salasanan, kaikki muistetut laitteet poistetaan.
• Salasanan ja sähköpostiosoitteen vaihto vahvistetaan koodilla. Uusi sähköpostiosoite otetaan käyttöön vasta, kun siihen lähetetty koodi on syötetty, ja vanhaan osoitteeseen lähetetään ilmoitus vaihdosta.
• Herkät toiminnot, kuten salasanan vaihto ja Meta- tai Google-tilin liittäminen, vaativat uuden koodivahvistuksen.

Käyttöoikeudet

• Jokaisella työtilan jäsenellä on rooli: omistaja, ylläpitäjä, sisällöntuottaja, hyväksyjä, mainosbudjetin hyväksyjä tai katselija. Rooli ratkaisee, mitä jäsen voi tehdä.
• Tietokanta erottaa työtilat toisistaan rivitason suojauksella (PostgreSQL row-level security). Yhden työtilan jäsen ei näe toisen työtilan tietoja.

Mainokset ja tekoäly

• Mainoskampanjat luodaan aina pysäytettyinä. Rahaa ei kulu, ennen kuin budjetti on hyväksytty.
• Tekoälyn käytöllä on kuukausikohtainen kiintiö työtilaa kohden ja koko palvelussa.
• Julkaisujen ja Meta-mainosten tekstiin lisätään merkintä “(käytetty tekoälyä)”.

Tietojen säilytys ja salaus

• Palvelu toimii Microsoft Azuressa EU:n alueella.
• Yhteydet palveluun on salattu (HTTPS).
• Metan ja Googlen käyttöoikeustunnukset tallennetaan salattuina.
• Saneluäänitteet poistetaan automaattisesti 30 päivän kuluttua. Litterointi eli teksti säilyy.
• Pyydämme, ettei tekoälypalvelu (OpenAI) tallenna vastauksia omaan palveluunsa.
• Verkkosivujen seurantatagi ei käytä evästeitä eikä tallenna IP-osoitteita. Kävijätunniste vaihtuu päivittäin.

Mitä sinä voit tehdä

• Käytä vahvaa salasanaa, jota et käytä missään muualla. Salasananhallinta auttaa.
• Älä jaa tunnuksiasi. Kutsu työkaverit työtilaan, niin jokaisella on omat tunnukset ja oma rooli.
• Anna katselijan rooli henkilöille, joiden tarvitsee vain nähdä tiedot.
• Tarkista viimeisin kirjautuminen ja muistetut laitteet IP-osoitteineen kohdassa Asetukset. Poista laite, jota et tunnista, ja vaihda salasana.
• Poista työtilasta jäsenet, jotka eivät enää tarvitse pääsyä.
• Älä kirjoita sisältöihin arkaluonteisia henkilötietoja, kuten terveystietoja tai henkilötunnuksia.
• Jos huomaat jotain outoa, ilmoita siitä palvelun Tuki-painikkeella.

Haavoittuvuuksien ilmoittaminen

Jos löydät palvelusta tietoturva-aukon, kerro siitä meille osoitteeseen hei@pohina.app tai hei@pohina.app. Kerro, mitä löysit ja miten sen voi toistaa.

• Älä käytä aukkoa hyväksesi äläkä katso, muuta tai poista muiden tietoja.
• Älä kerro aukosta julkisesti, ennen kuin olemme korjanneet sen.
• Kiitämme jokaisesta ilmoituksesta ja kerromme, miten asia etenee.

Tietoturvapoikkeamien käsittely

Jos tietoturvassa tapahtuu poikkeama, toimimme näin:

1. Havaitseminen. Selvitämme, mitä on tapahtunut.
2. Rajaaminen. Pysäytämme poikkeaman ja estämme lisävahingot, esimerkiksi sulkemalla tunnuksia.
3. Arviointi. Arvioimme, mitä tietoja poikkeama koskee ja millainen riski siitä on ihmisille.
4. Ilmoittaminen. Ilmoitamme asiakkaalle eli rekisterinpitäjälle ilman aiheetonta viivytystä. Kun olemme itse rekisterinpitäjä ja laki sitä vaatii, ilmoitamme tietosuojavaltuutetulle 72 tunnin kuluessa ja tarvittaessa myös niille, joita poikkeama koskee.
5. Dokumentointi. Kirjaamme poikkeaman, sen vaikutukset ja korjaavat toimet, ja parannamme suojausta.

Tuki

Käsittelemme Tuki-painikkeella lähetetyt ilmoitukset 2 arkipäivän kuluessa. Voit ottaa yhteyttä myös sähköpostilla: hei@pohina.app.