Cloudpoint Oy Trust Center

1. Kaksijakoinen palvelu- ja hallintamalli

Cloudpoint Oy (Y-tunnus 2325703-6, Malminkaari 17-19B, 00700 Helsinki) toimii virallisena Google Cloud Premier Partner -kumppanina sekä suomalaisten kuntien, koulutuksen järjestäjien, oppilaitosten ja yritysten pilvi- ja tietoturvakumppanina. Jotta tietosuojavastaavat, tietoturvapäälliköt ja hankintayksiköt saavat tarkan kuvan tietojen käsittelystä, tämä järjestelmäkuvaus erittelee molemmat palvelukokonaisuutemme:

• Palvelukokonaisuus A — Ylläpito-, tuki-, tietoturva-auditointi- ja DPIA-asiantuntijapalvelut (MSP): Asiakkaan omaan pilviympäristöön kohdistuvat hallinta-, tuki-, laite- ja vaatimustenmukaisuuspalvelut.
• Palvelukokonaisuus B — Pilvipohjaiset SaaS- ja integraatiopalvelut: Cloudpointin ja sen lähiyhtiöiden tuottamat omat ohjelmistopalvelut (Edudata.io ja Nomen).

2. Palvelukokonaisuus A: Ylläpito- ja pilvitietoturvapalvelut (Managed Support / MSP)

Ylläpito- ja asiantuntijapalveluissa asiakkaan henkilötiedot sijaitsevat asiakkaan omassa Google Workspace- tai Microsoft 365 -ympäristössä. Cloudpointin asiantuntijat eivät tallenna oppilas- tai henkilöstörekistereitä omille työasemilleen, vaan kaikki hallintatoimet tehdään salattujen TLS 1.3 -yhteyksien yli käyttäen vahvaa MFA/2SV-tunnistautumista ja määräaikaista Just-In-Time (JIT) -pääsynhallintaa.

3. Oikeuskäytännön vaatimustenmukaisuus: KHO:2025:29 (diaarinumero 236353745124)

4. Palvelukokonaisuus B: SaaS- ja integraatioarkkitehtuuri

Asiantuntijapalveluiden rinnalla Cloudpoint kehittää ja ylläpitää kotimaisia pilvipalveluita, joiden tuotantoympäristö sijaitsee Google Cloud Platformin Suomen konesalissa (`europe-north1`, Hamina):

5. Konesalisuvereniteetti ja looginen asiakaseristys

• Ensisijainen konesali: Google Cloud Platform europe-north1 (Hamina, Suomi), joka on ISO/IEC 27001-, 27017-, 27018- ja SOC 1/2/3 -sertifioitu sekä toimii hiilineutraalilla energialla.
• Tiukka asiakaskohtainen eristys: Jokaisen kunta- ja yritysasiakkaan ympäristö on eristetty loogisesti tietokanta-, käyttöoikeus- (IAM) ja salausavaintasolla.
• Nolla toissijaista käyttöä: Ylläpitopalveluissa, Nomenissa tai Edudata.io:ssa käsiteltäviä henkilötietoja ei koskaan myydä, käytetä kohdennettuun mainontaan eikä hyödynnetä julkisten tekoälymallien kouluttamiseen.

Voimaantulopäivä: 1.4.2026 | Palveluntarjoaja: Cloudpoint Oy (Y-tunnus 2325703-6, ALV-tunnus FI23257036), Malminkaari 17-19B, 00700 Helsinki

1. Soveltamisala ja osapuolet

Näitä yleisiä käyttö- ja palveluehtoja ("Ehdot") sovelletaan Cloudpoint Oy:n ("Toimittaja" tai "Cloudpoint", Y-tunnus 2325703-6) sekä sen lähi- ja tuoteyhtiöiden (mukaan lukien Edudata.io 3460068-8 ja Nomen Finland Oy 2851575-1) yritys-, kunta-, oppilaitos- ja julkishallinnon asiakkaille ("Asiakas") toimittamiin ylläpitopalveluihin (Managed Support / MSP), konsultointi-, auditointi-, DPIA- ja koulutuspalveluihin, pilvilisensseihin sekä SaaS- ja integraatiopalveluihin.

2. Sopimusasiakirjojen soveltamisjärjestys (IT2022 & JIT 2015)

Elleivät osapuolet ole kirjallisessa tilaus- tai hankintasopimuksessa toisin sopineet, sopimussuhteeseen sovelletaan täydentävästi seuraavia kansallisia vakioehtoja:

• Kunnat, kuntayhtymät ja julkiset hankintayksiköt: Julkisen hallinnon IT-hankintojen yleiset ehdot (JIT 2015 — Yleiset ehdot sekä soveltuvat erityisehdot tietoverkon välityksellä toimitettavista palveluista ja konsultointipalveluista).
• Yritys- ja yksityissektorin asiakkaat: IT2022 Yleiset sopimusehdot (IT2022 YSE) sekä erityisehdot konsultointi- ja ylläpitopalveluista (IT2022 ETP) ja pilvipalveluista (IT2022 EKP).
• Henkilötietojen käsittely: Cloudpoint Oy:n sitova GDPR 28 artiklan mukainen Tietojenkäsittelysopimus (DPA) on erottamaton osa jokaista ylläpito-, Nomen- ja Edudata.io-palvelusopimusta.

3. Palvelukokonaisuudet ja palvelutasot (SLA)

4. Asiakkaan velvollisuudet ja pääsynhallinta

• Hallintavaltuudet: Ylläpito- ja auditointipalveluita varten Asiakas myöntää Cloudpointin nimetyille asiantuntijoille tehtävän suorittamisen edellyttämät vähimmän oikeuden periaatteen mukaiset tai määräaikaiset Just-In-Time (JIT) -käyttöoikeudet.
• Lisenssikausi ja uusiminen: Vuosisitoumukselliset pilvilisenssit (kuten Google Workspace for Education Plus, Teaching & Learning tai ChromeOS-lisenssit) noudattavat päämiehen lisenssikautta ja Delling Cloud -portaalin tilausehtoja.

5. SaaS-palveluiden erityisehdot (Edudata.io & Nomen)

Asiakkaalle myönnetään sopimuskauden ajaksi ei-yksinomainen ja ei-siirrettävä käyttöoikeus Edudata.io- ja Nomen-palveluihin Asiakkaan omaa sisäistä toimintaa varten. Palveluiden takaisinmallinnus, automaattinen tietojen kopiointi (scraping), kilpailija-analyysi tai käyttö kilpailevan tuotteen kehittämiseen on ehdottomasti kielletty ja johtaa käyttöoikeuden välittömään päättämiseen sekä sopimussakkoon (250 000 € Edudata.io-tietokannan ja arviointimenetelmän luvattomasta kilpailullisesta hyödyntämisestä).

6. Hinnoittelu, maksuehdot ja verkkolaskutustiedot

Hinnat ilmoitetaan ilman arvonlisäveroa (ALV 25,5 % tai kulloinkin voimassa oleva verokanta). Ellei hankintasopimuksessa ole toisin sovittu, maksuehto on 14 päivää netto laskun päiväyksestä (tai kuntien puitesopimuksissa 21–30 päivää netto). Viivästyskorko määräytyy korkolain (633/1982) mukaisesti.

7. Immateriaalioikeudet ja salassapito

Kumpikin osapuoli säilyttää täydet immateriaalioikeudet omaan ennalta olemassa olevaan aineistoonsa, ohjelmistoihinsa, menetelmiinsä ja työkaluihinsa. Asiakas saa maksusuoritusta vastaan pysyvän sisäisen käyttöoikeuden sille toimitettuihin asiakaskohtaisiin auditointi- ja DPIA-raportteihin. Osapuolet sitoutuvat pitämään toisen osapuolen luottamukselliset tiedot ja liikesalaisuudet salassa sopimuskauden ajan sekä viisi (5) vuotta sopimuksen päättymisestä (ja lakisääteiset salassapidettävät tiedot pysyvästi).

8. Vastuunrajoitus

Kumpikaan osapuoli ei vastaa välillisistä tai epäsuorista vahingoista, ellei vahinko johdu tahallisuudesta, törkeästä huolimattomuudesta tai salassapito-/kilpailukieltoehtojen rikkomisesta. Cloudpoint Oy:n kokonaisvastuu rajoittuu IT2022 YSE- ja JIT 2015 -ehtojen mukaisesti enintään Asiakkaan kyseisestä palvelusta vahinkotapahtumaa edeltäneiden 12 kuukauden aikana maksamiin palvelumaksuihin (pl. kolmansien osapuolten pilvilisenssimaksut).

9. Sovellettava laki ja riitojen ratkaisu

Näihin Ehtoihin ja osapuolten välisiin sopimuksiin sovelletaan Suomen lakia (pois lukien lainvalintasäännökset). Mahdolliset erimielisyydet pyritään ensisijaisesti ratkaisemaan osapuolten välisin neuvotteluin, ja mikäli sovintoon ei päästä 30 päivän kuluessa, riidat ratkaistaan ensi asteena Helsingin käräjäoikeudessa.

Alkuperäinen julkaisu: 4.2.2025 | Viimeksi päivitetty: Huhtikuu 2026 (Trust Center 2.0) | Viitekehys: EU GDPR (2016/679) & Tietosuojalaki (1050/2018)

Tämä on Cloudpoint Oy:n (jäljempänä "Cloudpoint" tai "Rekisterinpitäjä") EU:n yleisen tietosuoja-asetuksen (GDPR, (EU) 2016/679) 13 ja 14 artiklojen mukainen tietosuojaseloste. Selosteessa kuvataan, miten Cloudpoint Oy kerää, käsittelee, säilyttää ja suojaa asiakkaidensa, potentiaalisten asiakkaidensa, koulutus- ja webinaariosallistujiensa, tukipalvelun yhteyshenkilöiden sekä verkkosivuston vierailijoiden henkilötietoja. Cloudpoint Oy on osa pohjoismaista Delling Cloud -konsernia ja virallinen Google Cloud Premier Partner.

§ 1 Rekisterinpitäjä ja tietosuojavastaavan yhteystiedot

§ 2 Rekisteröidyt ja henkilörekisterin rakenne

Rekisterin nimi: Cloudpoint Oy:n asiakas-, sopimus-, koulutus-, tukipalvelu- ja markkinointirekisteri.

Rekisterissä käsitellään seuraavien rekisteröityjen ryhmien henkilötietoja:

• Nykyiset yritys- ja julkishallinnon asiakkaat: Kuntien, kuntayhtymien, oppilaitosten ja yritysten päättäjät, IT-pääkäyttäjät, sopimusyhteyshenkilöt ja taloushallinnon yhteyshenkilöt.
• Potentiaaliset asiakkaat (prospektit): Organisaatioiden edustajat, joiden tehtävänkuva liittyy pilvipalveluihin, oppimisympäristöihin, tietoturvaan tai IT-hankintoihin.
• Koulutus-, webinaari- ja tapahtumaosallistujat: Cloudpointin järjestämiin Google Workspace-, Google Cloud-, tekoäly- ja tietoturvakoulutuksiin, työpajoihin tai seminaareihin ilmoittautuneet henkilöt.
• Uutiskirjeen tilaajat ja oppaiden lataajat: Verkkosivustoilla (www.cloudpoint.fi ja blogi.cloudpoint.fi) uutiskirjeen tilanneet tai asiantuntijasisältöjä ladanneet henkilöt.
• Asiakastuen yhteyshenkilöt (tuki@cloudpoint.fi): Tukipyyntöjä, palvelupyyntöjä tai häiriöilmoituksia lähettäneet asiakasorganisaatioiden nimetyt edustajat.

§ 3 Henkilötietojen käsittelyn tarkoitukset ja oikeusperusteet (GDPR Art. 6)

Cloudpoint Oy käsittelee henkilötietoja vain ennalta määriteltyihin, nimenomaisiin ja laillisiin tarkoituksiin EU:n yleisen tietosuoja-asetuksen 6 artiklan mukaisilla oikeusperusteilla:

• Sopimuksen täytäntöönpano ja sopimusta edeltävät toimenpiteet (GDPR Art. 6(1)(b)): Asiakassuhteen perustaminen, lisenssi- ja palvelutoimitusten hallinta (Google Workspace, Google Cloud Platform, Chrome Enterprise / Education, Nomen, Edudata.io), pääkäyttäjäpalvelun ja teknisen tuen (tuki@cloudpoint.fi) toteuttaminen, koulutusten järjestäminen sekä laskutus ja perintä.
• Rekisterinpitäjän oikeutettu etu (GDPR Art. 6(1)(f)): Asiakassuhteen hoitaminen ja kehittäminen, asiakasviestintä ja tyytyväisyyskyselyt, B2B- ja julkissektorin päättäjäkohderyhmille suunnattu ammatillinen suoramarkkinointi, tapahtumakutsut sekä tietojärjestelmien tietoturvan, väärinkäytösten estämisen ja ISO/IEC 27001:2022 -hallintajärjestelmän ylläpitäminen. Oikeutetun edun osalta on suoritettu tasapainotesti, ja rekisteröidyllä on aina oikeus vastustaa suoramarkkinointia.
• Rekisteröidyn suostumus (GDPR Art. 6(1)(a)): Sähköisten uutiskirjeiden tilaaminen, suostumusta edellyttävä markkinointiviestintä sekä ei-välttämättömien analytiikka-, toiminnallisten ja markkinointievästeiden tallentaminen verkkosivuston suostumusbannerin kautta. Suostumuksen voi peruuttaa milloin tahansa.
• Lakisääteisen velvoitteen noudattaminen (GDPR Art. 6(1)(c)): Kirjanpitolain (1336/1997), arvonlisäverolain ja muun pakottavan viranomaislainsäädännön edellyttämä tositteiden säilyttäminen sekä tietosuoja- ja tietoturvalainsäädännön mukaisten velvoitteiden täyttäminen.

Automaattinen päätöksenteko (GDPR Art. 22): Cloudpoint Oy ei suorita henkilötietojen perusteella sellaista automaattista päätöksentekoa tai profilointia, jolla olisi rekisteröityä koskevia oikeusvaikutuksia tai muita merkittäviä vaikutuksia.

§ 4 Käsiteltävät henkilötietoryhmät ja säännönmukaiset tietolähteet

Rekisterissä käsitellään vain käyttötarkoituksen kannalta tarpeellisia tietoja (tietojen minimointiperiaate):

• Perus- ja yhteystiedot: Etunimi, sukunimi, työsähköpostiosoite, työpuhelinnumero ja toimipisteen postiosoite.
• Organisaatio- ja roolitiedot: Työnantaja- tai asiakasorganisaation nimi, Y-tunnus, henkilön tehtävänimike, vastuualue ja valtuutustiedot (esim. nimenkirjoitusoikeus tai nimetty pääkäyttäjäoikeus).
• Sopimus-, tilaus- ja laskutustiedot: Tiedot tilatuista palveluista, Google-lisensseistä, sopimuskausista, tilauksista, laskutusosoitteista ja maksuhistoriasta.
• Asiakastuki- ja tapahtumatiedot: Tukipyyntöjen sisältö ja aikaleimat (tuki@cloudpoint.fi), koulutus- ja webinaari-ilmoittautumiset, osallistumistiedot sekä mahdolliset asiakaspalautteet.
• Viestintä- ja suostumustiedot: Uutiskirjetilaukset, suoramarkkinointiluvat ja -kiellot sekä evästesuostumustiedot.
• Verkkosivuston tekniset lokitiedot: IP-osoite, selaintyyppi, käyttöjärjestelmä, istunnon kesto, vierailtu sivu sekä evästetunnisteet (ks. Dokumentti B).

Säännönmukaiset tietolähteet: Tiedot kerätään ensisijaisesti rekisteröidyltä itseltään tarjouspyyntöjen, sopimusneuvottelujen, tukipyyntöjen, verkkolomakkeiden, sähköpostiviestinnän ja tapahtumailmoittautumisten yhteydessä. Lisäksi tietoja voidaan kerätä asiakasorganisaation nimeämältä yhteyshenkilöltä sekä julkisista yritys- ja viranomaisrekistereistä (esim. YTJ, kuntien ja yritysten julkiset verkkosivustot, LinkedIn).

§ 5 Henkilötietojen säilytysajat

Cloudpoint Oy säilyttää henkilötietoja vain niin kauan kuin on tarpeen § 3:ssa määriteltyjen käyttötarkoitusten toteuttamiseksi tai lakisääteisten velvoitteiden täyttämiseksi:

• Aktiiviset asiakas- ja sopimussuhteet: Sopimus- ja yhteyshenkilötietoja säilytetään asiakas- ja sopimussuhteen voimassaolon ajan sekä sopimuksen päättymisen jälkeen enintään yleisen vanhentumisajan (3 vuotta) ajan mahdollisten oikeudellisten vaateiden varalta.
• Passiiviset markkinointikontaktit ja prospektit: Markkinointirekisterissä olevia potentiaalisten asiakkaiden tietoja säilytetään enintään 24 kuukautta viimeisimmästä aktiivisesta vuorovaikutuksesta (esim. koulutusosallistuminen, lomakkeen lähetys tai viestintä), minkä jälkeen tiedot poistetaan tai anonymisoidaan, ellei henkilö ole antanut uutta suostumusta. Markkinointikiellon antaneiden osalta säilytetään vain välttämätön tieto kiellon noudattamisen varmistamiseksi.
• Kirjanpito- ja laskutusaineisto: Suomen kirjanpitolain (1336/1997, 2 luku 10 §) mukaisesti tilikauden tositteita, laskuja ja liiketapahtumia koskevaa kirjeenvaihtoa säilytetään vähintään kuusi (6) vuotta sen kalenterivuoden lopusta, jonka aikana tilikausi on päättynyt.
• Tukipalvelun tikettihistoria (tuki@cloudpoint.fi): Säilytetään asiakassuhteen ajan palvelun laadun, auditointiketjun ja tietoturvan varmistamiseksi ja poistetaan tai anonymisoidaan viimeistään 24 kuukauden kuluessa sopimussuhteen päättymisestä.

§ 6 Hyväksytyt henkilötietojen käsittelijät (Rekisterinpitäjän alihankkijat)

Cloudpoint Oy käyttää rekisterinpitäjänä toimiessaan vain luotettavia, tietosuojalainsäädäntöön ja kirjallisiin tietojenkäsittelysopimuksiin (GDPR Art. 28) sitoutuneita palveluntarjoajia. Alla on täydellinen luettelo Cloudpoint Oy:n käyttämistä kahdeksasta (8) vahvistetusta alikäsittelijästä ja konsernikumppanista:

§ 7 Kansainväliset tietojen siirrot EU/ETA-alueen ulkopuolelle

Cloudpoint Oy säilyttää ja käsittelee henkilötietoja ensisijaisesti Euroopan unionin (EU) ja Euroopan talousalueen (ETA) sisällä sijaitsevissa konesaleissa (erityisesti Suomessa Haminan konesalialueella europe-north1 sekä muissa EU-konesaleissa). Henkilötietoja ei säännönmukaisesti siirretä EU/ETA-alueen ulkopuolelle.

Mikäli jokin § 6:ssa mainittu kansainvälinen teknologiatoimittaja (kuten Google, HubSpot, Atlassian tai Harvest) käsittelee rajoitettuja metatietoja tai teknisiä tukitietoja EU/ETA-alueen ulkopuolella (esim. Yhdysvalloissa), Cloudpoint Oy varmistaa tietosuojan korkean tason GDPR V luvun mukaisesti seuraavilla suojatoimilla:

• EU–U.S. Data Privacy Framework (DPF): Euroopan komission 10.7.2023 antama tietosuojan riittävyyspäätös (GDPR Art. 45) niille yhdysvaltalaisille organisaatioille, jotka ovat sertifioituja DPF-järjestelmään.
• Euroopan komission mallisopimuslausekkeet (Standard Contractual Clauses, SCC): Komission täytäntöönpanopäätöksen (EU) 2021/914 mukaiset vakiolausekkeet (GDPR Art. 46(2)(c)) täydennettyinä tiedonsiirron vaikutustenarvioinnilla (Transfer Impact Assessment, TIA) sekä vahvoilla teknisillä suojatoimilla (TLS 1.3 -salaus siirrossa ja AES-256-salaus levossa).

§ 8 Rekisteröidyn oikeudet (GDPR Art. 15–22) ja valvontaviranomainen

Jokaisella rekisteröidyllä on EU:n yleisen tietosuoja-asetuksen mukaisesti seuraavat oikeudet:

• Oikeus saada pääsy tietoihin (Art. 15): Oikeus saada vahvistus siitä, käsitteleekö Cloudpoint Oy häntä koskevia henkilötietoja, sekä oikeus saada jäljennös käsiteltävistä tiedoista.
• Oikeus tietojen oikaisemiseen (Art. 16): Oikeus vaatia epätarkkojen, virheellisten tai puutteellisten henkilötietojen korjaamista tai täydentämistä ilman aiheetonta viivytystä.
• Oikeus tietojen poistamiseen ("oikeus tulla unohdetuksi", Art. 17): Oikeus pyytää henkilötietojen poistamista, jos tietoja ei enää tarvita niihin tarkoituksiin, joita varten ne kerättiin, tai jos käsittely perustuu suostumukseen ja suostumus peruutetaan, eikä käsittelylle ole muuta lakisääteistä perustetta (kuten kirjanpitolaki).
• Oikeus käsittelyn rajoittamiseen (Art. 18): Oikeus vaatia käsittelyn rajoittamista esimerkiksi silloin, kun rekisteröity kiistää tietojen paikkansapitävyyden.
• Oikeus siirtää tiedot järjestelmästä toiseen (Art. 20): Oikeus saada itse toimittamansa henkilötiedot jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa, kun käsittely perustuu suostumukseen tai sopimukseen.
• Vastustamisoikeus (Art. 21): Oikeus vastustaa oikeutettuun etuun perustuvaa henkilötietojen käsittelyä henkilökohtaiseen erityiseen tilanteeseen liittyvällä perusteella sekä ehdoton oikeus milloin tahansa kieltää henkilötietojen käsittely suoramarkkinointitarkoituksiin.
• Oikeus peruuttaa suostumus (Art. 7(3)): Jos käsittely perustuu suostumukseen, rekisteröity voi peruuttaa suostumuksensa milloin tahansa esimerkiksi jokaisen uutiskirjeen lopussa olevasta peruutuslinkistä tai evästeasetuksista.

Oikeuksien käyttäminen: Pyynnöt tulee osoittaa kirjallisesti tietosuojavastaavalle: Lauri Kaski, lauri@cloudpoint.fi (tai info@cloudpoint.fi). Vastaamme pyyntöihin ilman aiheetonta viivytystä ja viimeistään yhden (1) kuukauden kuluessa pyynnön vastaanottamisesta (GDPR Art. 12(3)).

Alkuperäinen julkaisu: 2.7.2024 | Viimeksi päivitetty: Huhtikuu 2026 | Soveltamisala: www.cloudpoint.fi & blogi.cloudpoint.fi

Tämä evästekäytäntö ("Keksitarjoilu") selostaa, miten Cloudpoint Oy (2325703-6) käyttää evästeitä (cookies) ja vastaavia päätelaitteen tallennustekniikoita verkkosivustoillaan www.cloudpoint.fi ja blogi.cloudpoint.fi. Noudatamme sähköisen viestinnän palveluista annetun lain (917/2014, 205 §), EU:n yleisen tietosuoja-asetuksen (GDPR) sekä Liikenne- ja viestintävirasto Traficomin evästeohjeistuksen vaatimuksia.

1. Mitä evästeet ovat ja mihin lakiperusteeseen niiden käyttö perustuu?

Evästeet ovat pieniä tekstitiedostoja, jotka verkkoselain tallentaa käyttäjän päätelaitteelle (tietokoneelle, puhelimelle tai tabletille), kun käyttäjä vierailee verkkosivustolla. Evästeiden avulla sivusto muistaa käyttäjän kielivalinnat, istuntotiedot ja evästesuostumukset sekä auttaa meitä kehittämään sivuston toimivuutta ja sisältöä.

• Välttämättömät evästeet: Tallennetaan sähköisen viestinnän palvelulain 205 §:n nojalla ilman erillistä etukäteissuostumusta, sillä ne ovat teknisesti ehdottoman välttämättömiä sivuston tietoturvan, lomakkeiden toiminnan ja evästesuostumusvalinnan tallentamiseksi.
• Toiminnalliset, analytiikka- ja markkinointievästeet: Asetetaan päätelaitteelle vain käyttäjän nimenomaisella etukäteissuostumuksella (Opt-In, GDPR Art. 6(1)(a)), jonka käyttäjä antaa verkkosivuston HubSpot-evästebannerissa.

2. Käytettävät evästeryhmät sivustoilla www.cloudpoint.fi ja blogi.cloudpoint.fi

3. Evästesuostumuksen hallinta, muuttaminen ja peruuttaminen

Voit milloin tahansa tarkastella, muuttaa tai peruuttaa antamasi evästesuostumuksen seuraavilla tavoilla:

• Sivuston evästeasetukset: Napsauta verkkosivuston alatunnisteessa olevaa "Evästeasetukset" (Cookie Settings) -painiketta avataksesi HubSpot-suostumusbannerin uudelleen ja päivittääksesi valintasi välittömästi.
• Selaimen asetukset: Voit myös estää evästeiden käytön tai poistaa jo tallennetut evästeet selaimesi (Google Chrome, Mozilla Firefox, Apple Safari, Microsoft Edge) tietosuoja-asetuksista. Huomaathan, että välttämättömien evästeiden estäminen selaimesta voi vaikuttaa lomakkeiden ja sivuston joidenkin toimintojen käytettävyyteen.

Lisätietoja evästeistä ja henkilötietojen suojasta antaa tietosuojavastaavamme Lauri Kaski (lauri@cloudpoint.fi).

Versio: 2026.2 | Voimassaolo: Huhtikuu 2026 alkaen | Yhteensopivuus: EU GDPR Art. 28, JIT 2015, IT2022 & KHO:2025:29

§ 1 Määritelmät

Tässä tietojenkäsittelysopimuksessa ("DPA") noudatetaan Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus, "GDPR") sekä Suomen tietosuojalain (1050/2018) määritelmiä:

• Rekisterinpitäjä (GDPR Art. 4(7)): Asiakas, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot.
• Henkilötietojen käsittelijä (GDPR Art. 4(8)): Cloudpoint Oy, joka käsittelee henkilötietoja Rekisterinpitäjän lukuun Pääsopimuksen ja tämän DPA:n perusteella.
• Henkilötiedot (GDPR Art. 4(1)): Kaikki tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön ("Rekisteröity") liittyvät tiedot, joita Käsittelijä käsittelee Rekisterinpitäjän lukuun Liitteen 1 mukaisesti.
• Tietoturvaloukkaus (GDPR Art. 4(12)): Henkilötietojen tietoturvaloukkaus, jonka seurauksena on siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoutuminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin.
• Alikäsittelijä: Käsittelijän käyttämä Liitteessä 3 yksilöity alihankkija, joka käsittelee Rekisterinpitäjän henkilötietoja Käsittelijän lukuun.

§ 2 Soveltamisala, tarkoitus ja sopimusasiakirjojen pätemisjärjestys

Tämä DPA on erottamaton osa Osapuolten välistä palvelu-, puitesopimus- tai tilausasiakirjaa ("Pääsopimus"), jolla Cloudpoint Oy toimittaa Asiakkaalle Google Workspace-, Google Cloud Platform (GCP)-, Chrome Enterprise / Education (Chromebook)-, pääkäyttäjäpalvelu-, tuki-, auditointi-, DPIA-asiantuntija- tai Nomen (2851575-1) / Edudata.io (3460068-8) -integraatiopalveluita ("Palvelu").

Julkisen hallinnon asiakkaiden osalta tämä DPA täydentää JIT 2015 -ehtoja (Erityisehtoja henkilötietojen käsittelystä) ja yritysasiakkaiden osalta IT2022 ETP -erityisehtoja. Mikäli Pääsopimuksen ja tämän DPA:n välillä on ristiriitaa henkilötietojen suojaa koskevissa kysymyksissä, sovelletaan ensisijaisesti tätä DPA:ta ja pakottavaa tietosuojalainsäädäntöä, ellei Asiakkaan kanssa ole kirjallisesti sovittu tiukemmista asiakaskohtaisista erityisehdoista.

§ 3 Rekisterinpitäjän ja käsittelijän velvollisuudet (GDPR Art. 28(3))

• Rekisterinpitäjän vastuu: Rekisterinpitäjä vastaa siitä, että sillä on GDPR:n ja kansallisen lainsäädännön (esim. perusopetuslaki 628/1998 ja julkisuuslaki 621/1999) mukainen oikeusperuste henkilötietojen käsittelylle, vastaa rekisteröityjen informoinnista sekä antaa Käsittelijälle lainmukaiset, dokumentoidut ohjeet. Pääsopimus ja tämä DPA muodostavat Rekisterinpitäjän täydelliset alkuperäiset ohjeet.
• Käsittelijän velvollisuudet: Käsittelijä käsittelee henkilötietoja ainoastaan Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti ja vain Liitteessä 1 määriteltyihin tarkoituksiin. Käsittelijä ei koskaan käytä Rekisterinpitäjän henkilötietoja omiin tarkoituksiinsa, profilointiin tai kaupalliseen markkinointiin.
• Ilmoitusvelvollisuus lainvastaisesta ohjeesta: Jos Käsittelijä katsoo, että Rekisterinpitäjän antama ohje rikkoo GDPR:ää tai muuta unionin tai Suomen tietosuojasäännöstä, Käsittelijän on ilmoitettava tästä Rekisterinpitäjälle välittömästi (GDPR Art. 28(3) alakohta h).
• Tietosuojavastaavien yhteystiedot: Rekisterinpitäjä ilmoittaa Käsittelijälle tietosuojavastaavansa (DPO) tai tietosuojayhteyshenkilönsä ajantasaiset yhteystiedot poikkeamailmoituksia ja tietosuojayhteistyötä varten.

§ 4 Zero Standing Privilege ja tarveperusteinen pääsynhallinta (JIT Admin Access)

Cloudpoint Oy noudattaa pääkäyttäjä- ja tukipalveluissaan tiukkaa Zero Standing Privilege (ZSP) ja Just-In-Time (JIT) -pääsynhallintaperiaatetta:

• Cloudpointin asiantuntijoilla ei ole jatkuvaa, valvomattomasti avointa pääsyä Asiakkaan luottamuksellisiin sisältötietoihin (kuten käyttäjien sähköposteihin tai Google Drive -tiedostoihin).
• Kaikki Asiakkaan Google Workspace-, GCP- tai Chromebook-hallintakonsolissa tehtävät ylläpitotoimenpiteet suoritetaan vain Asiakkaan nimetyn pääkäyttäjän valtuuttamana tai yksilöidyn tukipyynnön (tuki@cloudpoint.fi) perusteella.
• Jokainen ylläpitokirjautuminen on suojattu fyysisellä U2F/FIDO2-suojausavaimella (YubiKey MFA) ja tallentuu muuttumattomasti Asiakkaan omaan Google Admin Audit Log -valvontalokiin, joka on reaaliaikaisesti Asiakkaan tarkastettavissa.

§ 5 Salassapitovelvollisuus ja lakisääteinen vaitiolovelvollisuus

Käsittelijä varmistaa, että kaikki sen alaisuudessa toimivat henkilöt (työntekijät ja hyväksytyt asiantuntija-alihankkijat), joilla on oikeus käsitellä Rekisterinpitäjän henkilötietoja, ovat allekirjoittaneet erillisen salassapitosopimuksen (NDA) tai heitä sitoo lakisääteinen vaitiolovelvollisuus (GDPR Art. 28(3)(b)). Kuntien ja koulutuksen järjestäjien osalta henkilöstö sitoutuu noudattamaan viranomaisten toiminnan julkisuudesta annetun lain (621/1999) mukaisia salassapitovelvoitteita. Salassapitovelvollisuus pysyy voimassa rajoittamattoman ajan myös Pääsopimuksen ja tämän DPA:n päättymisen jälkeen.

§ 6 Tekniset ja organisatoriset turvatoimet (GDPR Art. 32)

Käsittelijä toteuttaa ja ylläpitää GDPR 32 artiklan edellyttämiä sekä ISO/IEC 27001:2022 -tietoturvan hallintajärjestelmän (ISMS) mukaisia teknisiä ja organisatorisia suojatoimia henkilötietojen luottamuksellisuuden, eheyden, käytettävyyden ja vikasietoisuuden varmistamiseksi. Vaatimustenmukaisuutta valvotaan jatkuvasti automatisoidulla Vanta-valvonta-alustalla. Yksityiskohtaiset turvatoimet ja kontrollit (mukaan lukien VPM-38, VPM-3 ja AST-4..AST-9) on kuvattu Liitteessä 2.

§ 7 Alikäsittelijät (GDPR Art. 28(2) & 28(4))

Rekisterinpitäjä antaa Käsittelijälle yleisen kirjallisen ennakkoluvan käyttää Liitteessä 3 lueteltuja hyväksyttyjä alikäsittelijöitä Palvelun tuottamisessa.

• Sopimusvelvoitteiden ketjuttaminen: Käsittelijä solmii jokaisen alikäsittelijän kanssa kirjallisen sopimuksen, jossa alikäsittelijälle asetetaan vähintään samantasoiset tietosuoja- ja tietoturvavelvoitteet kuin tässä DPA:ssa. Käsittelijä vastaa alikäsittelijöidensä työstä ja velvoitteiden täyttämisestä Rekisterinpitäjää kohtaan kuin omastaan (GDPR Art. 28(4)).
• Muutosilmoitukset ja vastustamisoikeus: Käsittelijä ilmoittaa Rekisterinpitäjälle kirjallisesti vähintään 30 päivää etukäteen kaikista suunnitelluista muutoksista, jotka koskevat uusien alikäsittelijöiden lisäämistä tai vaihtamista. Rekisterinpitäjällä on oikeus perustellusta tietosuojaan liittyvästä syystä vastustaa muutosta 14 päivän kuluessa ilmoituksesta. Mikäli Osapuolet eivät löydä korvaavaa ratkaisua, Rekisterinpitäjällä on oikeus irtisanoa sopimus kyseisen palveluosuuden osalta.

§ 8 Kansainväliset tiedonsiirrot ja EU/ETA-tietosijainti

Käsittelijä käsittelee ja säilyttää Rekisterinpitäjän henkilötietoja ensisijaisesti Euroopan unionin (EU) ja Euroopan talousalueen (ETA) sisällä (Suomi europe-north1 ja Belgia europe-west1). Käsittelijä ei siirrä Rekisterinpitäjän henkilötietoja EU/ETA-alueen ulkopuolelle ilman Rekisterinpitäjän dokumentoitua ohjetta tai hyväksyntää.

Mikäli Asiakkaan valitsema pilvipalvelukonfiguraatio (esim. Google Workspace tai Google Cloud) edellyttää rajoitettua kolmannen maan tukitoimintoa, siirto toteutetaan tiukasti GDPR V luvun mukaisesti käyttäen Euroopan komission tietosuojan riittävyyspäätöstä (EU–U.S. Data Privacy Framework, Art. 45), Euroopan komission mallisopimuslausekkeita (SCC (EU) 2021/914, Art. 46), tiedonsiirron vaikutustenarviointia (TIA) sekä Google Cloud Data Regions -tietosijaintirajoituksia.

§ 9 Avustamisvelvollisuus rekisteröityjen oikeuksien toteuttamisessa

Käsittelijä avustaa Rekisterinpitäjää asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä, jotta Rekisterinpitäjä voi täyttää velvollisuutensa vastata pyyntöihin, jotka koskevat GDPR III luvussa (Art. 15–22) säädettyjen rekisteröidyn oikeuksien käyttämistä (tarkastusoikeus, tietojen oikaisu, poisto, käsittelyn rajoittaminen, tietojen siirto ja vastustamisoikeus).

Mikäli rekisteröity esittää tällaisen pyynnön suoraan Käsittelijälle, Käsittelijä välittää pyynnön viipymättä Rekisterinpitäjälle eikä vastaa pyyntöön itsenäisesti ilman Rekisterinpitäjän kirjallista ohjetta.

§ 10 Henkilötietojen tietoturvaloukkauksista ilmoittaminen (48–72 tuntia)

Käsittelijän on ilmoitettava Rekisterinpitäjälle kirjallisesti ilman aiheetonta viivytystä ja viimeistään 48–72 tunnin kuluessa siitä, kun Käsittelijä on tullut tietoiseksi Rekisterinpitäjän henkilötietoihin kohdistuneesta tietoturvaloukkauksesta (kontrolli VPM-38, GDPR Art. 33(2)).

Ilmoituksen tulee sisältää vähintään GDPR 33(3) artiklan edellyttämät tiedot:

• Kuvaus henkilötietojen tietoturvaloukkauksesta, mukaan lukien asianomaisten rekisteröityjen ryhmät ja arvioidut lukumäärät sekä henkilötietotyyppien ryhmät ja arvioidut lukumäärät;
• Käsittelijän tietosuojavastaavan nimi ja yhteystiedot (Lauri Kaski, lauri@cloudpoint.fi, +358 9 4257 9280);
• Kuvaus tietoturvaloukkauksen todennäköisistä seurauksista;
• Kuvaus toimenpiteistä, joihin Käsittelijä on ryhtynyt tai joita se ehdottaa tietoturvaloukkauksen korjaamiseksi ja sen haittavaikutusten lieventämiseksi.

§ 11 Vaikutustenarviointi (DPIA) ja auditointioikeus (KHO:2025:29 -yhteensopivuus)

Käsittelijä avustaa Rekisterinpitäjää GDPR 35 artiklan mukaisen tietosuojaa koskevan vaikutustenarvioinnin (DPIA) ja 36 artiklan mukaisen valvontaviranomaisen ennakkokuulemisen toteuttamisessa. Kuntien ja koulutuksen järjestäjien osalta Cloudpoint Oy:n dokumentaatio, lokitus ja tekniset suojatoimet on suunniteltu tukemaan korkeimman hallinto-oikeuden vuosikirjapäätöksen KHO:2025:29 (ja päätöksen 236353745124) asettamia vaatimuksia oppilaiden henkilötietojen suojasta, käsittelyperusteiden rajauksesta, lokitietojen minimoinnista ja lisäpalveluiden teknisestä estämisestä Google Workspace for Education- ja Chromebook-ympäristöissä.

Auditointioikeus (GDPR Art. 28(3)(h)): Rekisterinpitäjällä tai sen valtuuttamalla riippumattomalla, salassapitositoumuksen allekirjoittaneella auditoijalla (joka ei ole Käsittelijän suora kilpailija) on oikeus tarkastaa Käsittelijän tämän DPA:n mukaisen toiminnan vaatimustenmukaisuus. Ensisijaisesti Käsittelijä toimittaa pyynnöstä ajantasaiset ISO/IEC 27001:2022 / Vanta -vaatimustenmukaisuusraportit ja kolmannen osapuolen penetraatiotestausyhteenvedot. Fyysinen tai järjestelmäauditointi voidaan suorittaa enintään kerran 12 kuukaudessa ilmoittamalla siitä kirjallisesti vähintään 30 päivää etukäteen, ellei todennettu tietoturvaloukkaus tai tietosuojaviranomaisen määräys edellytä välitöntä tarkastusta.

§ 12 Henkilötietojen palauttaminen ja poistaminen (30–90 päivää)

Pääsopimuksen päättyessä tai lakatessa olemasta voimassa Käsittelijä sitoutuu Rekisterinpitäjän valinnan mukaisesti joko palauttamaan tai poistamaan pysyvästi kaikki Käsittelijän hallussa olevat Rekisterinpitäjän henkilötiedot ja niiden kopiot sekä poistamaan kaikki Cloudpointin tuki- ja ylläpitotunnukset Asiakkaan ympäristöstä viimeistään 30–90 päivän kuluessa sopimuksen päättymisestä, ellei unionin oikeudessa tai Suomen lainsäädännössä vaadita tietojen säilyttämistä (GDPR Art. 28(3)(g)).

Asiakkaan omissa Google Workspace-, Google Cloud- ja Nomen/Edudata.io-projekteissa olevat tietokannat ovat Asiakkaan suorassa omistuksessa ja jäävät Asiakkaan hallintaan, ja Cloudpointin pääsyoikeudet niihin katkaistaan välittömästi sopimuksen päättyessä.

§ 13 Vastuu ja vahingonkorvaus

Osapuolten vastuu rekisteröidyille aiheutuneista vahingoista määräytyy GDPR 82 artiklan mukaisesti. Osapuolten keskinäinen sopimusperusteinen vastuu määräytyy Pääsopimuksen (mukaan lukien JIT 2015 tai IT2022 -ehdot) mukaisesti. Ellei Pääsopimuksessa tai pakottavassa lainsäädännössä toisin määrätä, Käsittelijän enimmäisvastuu on rajattu Pääsopimuksen mukaisten edeltävän 12 kuukauden palvelumaksujen määrään (100 %).

§ 14 Sopimuksen voimassaolo

Tämä DPA tulee voimaan Pääsopimuksen allekirjoitus- tai tilaushetkellä ja pysyy voimassa niin kauan kuin Käsittelijä käsittelee henkilötietoja Rekisterinpitäjän lukuun, mukaan lukien § 12:n mukainen 30–90 päivän palautus- ja poistojakso.

§ 15 Sovellettava laki ja riitojen ratkaisu

Tähän DPA:han sovelletaan Suomen lakia (pois lukien sen kansainvälisluonteiset lainvalintasäännökset). Tästä sopimuksesta aiheutuvat erimielisyydet pyritään ensisijaisesti ratkaisemaan Osapuolten välisillä neuvotteluilla. Mikäli sovintoon ei päästä, riidat ratkaistaan Helsingin käräjäoikeudessa tai Pääsopimuksessa sovitussa riidanratkaisuelimessä.

---

---

---

Versio: 2.0 | Voimassaolo: Huhtikuu 2026 alkaen | Viitekehys: EU AI Act ((EU) 2024/1689), GDPR & ISO/IEC 27001:2022

Tämä tekoälyn hallintamalli ja tietosuojapolitiikka määrittelee periaatteet, tekniset suojatoimet ja lainsäädännölliset reunaehdot, joita Cloudpoint Oy (2325703-6, osa Delling Cloud -konsernia ja virallinen Google Cloud Premier Partner) noudattaa suunnitellessaan, toimittaessaan ja ylläpitäessään generatiivisen tekoälyn ratkaisuja kunnille, koulutuksen järjestäjille ja yritysasiakkaille.

1. Google Workspace with Gemini & NotebookLM — Tietosuoja-arkkitehtuuri

Kun asiakasorganisaatio ottaa käyttöön Google Workspace with Gemini -toiminnot tai NotebookLM Enterprise / Education -työkalut Cloudpoint Oy:n kautta, palveluihin sovelletaan Googlen sitovia yritystason tietosuojaehtoja (Google Workspace Cloud Data Processing Addendum):

• Ei julkisten mallien koulutusta: Asiakkaan tietoja (sähköposteja, Google Docs/Slides/Sheets-asiakirjoja, Meet-tallenteita tai Gemini-keskusteluja) ei koskaan käytetä julkisten Gemini-kielimallien kouluttamiseen tai hienosäätämiseen.
• Ei ihmisten suorittamaa tarkastusta: Kukaan ulkopuolinen arvioija ei lue asiakkaan tekoälykehotteita tai vastauksia.
• Oikeuksien periytyminen (RBAC & Zero Trust): Gemini hyödyntää vain niitä asiakirjoja, joihin kirjautuneella käyttäjällä on jo ennestään lukuoikeus Google Workspacen käyttöoikeushallinnan puitteissa.
• Organisaatioyksikkö- (OU) ja ikärajaukset opetustoimessa: Cloudpoint konfiguroi asiakkaan Google Admin Consolessa tarkat organisaatioyksikkökohtaiset (OU) rajoitukset, joilla tekoälytoiminnot voidaan rajata hallitusti opetushenkilöstölle, hallinnolle ja ikärajat täyttäville opiskelijoille.

2. Vertex AI ja EU-tietosijainti (europe-north1 Suomi & europe-west1 Belgia)

Räätälöidyissä tekoälysovelluksissa, tietokantahaussa (RAG / Enterprise Search) ja automaatioratkaisuissa Cloudpoint Oy hyödyntää Google Cloud Platformin (GCP) Vertex AI -alustaa:

• EU Data Residency -takuu: Kaikki tekoälymallien päättely (inference), vektoritietokannat ja asiakasaineistojen tallennus lukitaan Euroopan unionin alueelle — ensisijaisesti Suomen Haminan konesaliin (europe-north1) tai Belgian konesaliin (europe-west1).
• Asiakkaan oma Google Cloud -projekti: Asiakasratkaisut toteutetaan asiakkaan omistamaan ja hallinnoimaan loogisesti eristettyyn GCP-projektiin, jossa asiakkaalla säilyy täysi kontrolli salausavaimiin (CMEK), IAM-pääsyoikeuksiin ja VPC Service Controls -reunasuojaukseen.
• Salaus siirrossa ja levossa: Kaikki Vertex AI -rajapintakutsut salataan TLS 1.3 -protokollalla ja tallennettu aineisto salataan levossa AES-256-algoritmilla.

3. EU:n tekoälyasetus ((EU) 2024/1689, EU AI Act) ja korkean riskin koulutussuojatoimet

Euroopan unionin tekoälyasetus ((EU) 2024/1689) luokittelee tietyt koulutuksessa ja ammatillisessa koulutuksessa käytettävät tekoälyjärjestelmät (Liite III, kohta 3) suuren riskin (High-Risk) järjestelmiksi. Cloudpoint Oy varmistaa, että sen toimittamat ja konfiguroimat ratkaisut noudattavat tekoälyasetuksen vaatimuksia:

• Kiellettyjen käytäntöjen ehdoton esto (EU AI Act Art. 5): Cloudpointin toimittamia tekoälyratkaisuja ei koskaan käytetä oppilaiden tai työntekijöiden tunnetilojen tunnistamiseen (emotion recognition), sosiaaliseen pisteytykseen (social scoring) tai piilotettuun käyttäytymisen manipulointiin.
• Inhimillinen valvonta — Human-in-the-Loop (EU AI Act Art. 14 & GDPR Art. 22): Tekoäly toimii aina opettajan, viranhaltijan tai asiantuntijan avustavana aputyökaluna (Co-Pilot). Tekoäly ei tee itsenäisiä, sitovia hallintopäätöksiä oppilaaksiotosta, oppimistulosten tai kokeiden arvioinnista eikä kurinpidollisista toimista.
• Läpinäkyvyysvelvoite (EU AI Act Art. 50): Käyttäjille kerrotaan aina selkeästi, milloin he ovat vuorovaikutuksessa tekoälyjärjestelmän kanssa ja milloin sisältö on tekoälyavusteisesti luonnosteltua.
• Tekoälylukutaidon tukeminen (EU AI Act Art. 4): Cloudpoint kouluttaa kuntien, oppilaitosten ja yritysten henkilöstöä tekoälyn turvalliseen, kriittiseen ja tietosuojan mukaiseen käyttöön.

4. Kuntien ja opetustoimen tekoäly-DPIA sekä KHO:2025:29-vaatimustenmukaisuus

Ennen generatiivisen tekoälyn käyttöönottoa kunnassa tai oppilaitoksessa rekisterinpitäjän on suoritettava GDPR 35 artiklan mukainen tietosuojaa koskeva vaikutustenarviointi (DPIA) sekä tarvittaessa tekoälyasetuksen 27 artiklan mukainen perusoikeusvaikutusten arviointi (FRIA).

Cloudpoint Oy ja konsernikumppanimme Edudata.io (3460068-8) tukevat kuntia ja koulutuksen järjestäjiä seuraavasti:

5. Yhteystiedot tekoäly- ja tietosuoja-asioissa

Kaikissa tekoälyn hallintamalliin, Gemini-tietoturvaan ja vaikutustenarviointeihin (DPIA) liittyvissä kysymyksissä voit olla yhteydessä tietosuojavastaavaamme: Lauri Kaski, CEO & DPO, Cloudpoint Oy, lauri@cloudpoint.fi, puh. +358 9 4257 9280.

Organisaatio: Cloudpoint Oy (2325703-6, osa Delling Cloud -konsernia) | Versio: 2.0 (Huhtikuu 2026) | Viitekehys: ISO/IEC 27001:2022 & Vanta

1. Johdon tiivistelmä (Executive Summary)

Cloudpoint Oy (Y-tunnus 2325703-6, ALV-tunnus FI23257036, virallinen Google Cloud Premier Partner) toimii suomalaisten kuntien, koulutuksen järjestäjien ja yritysten kriittisenä pilvikumppanina. Koska asiantuntijamme tukevat tuhansien opettajien, oppilaiden, viranhaltijoiden ja tietotyöläisten Google Workspace-, Google Cloud Platform (GCP)- ja Chromebook-ympäristöjä sekä Nomen- ja Edudata.io-integraatioita, tietoturva on kaiken toimintamme perusta.

Tämä tietoturvan Whitepaper kuvaa Cloudpoint Oy:n teknisen ja organisatorisen tietoturva-arkkitehtuurin, joka perustuu ISO/IEC 27001:2022 -standardiin, Zero Trust -pääsynhallintaan ja Privacy by Design -periaatteeseen.

2. ISMS-hallintamalli ja jatkuva valvonta Vanta-alustalla

Cloudpoint Oy:n tietoturvan hallintajärjestelmä (Information Security Management System, ISMS) on rakennettu vastaamaan täysimääräisesti ISO/IEC 27001:2022 -standardin vaatimuksia. Sen sijaan, että tietoturvaa tarkasteltaisiin vain kerran vuodessa tehtävillä pistokokeilla, Cloudpoint hyödyntää automatisoitua Vanta-vaatimustenmukaisuusalustaa reaaliaikaiseen valvontaan:

• Haavoittuvuuksien ja riskien hallinta (Kontrolli VPM-3): Vanta ja Google Cloud Security Command Center seuraavat jatkuvasti teknisiä haavoittuvuuksia, ohjelmistoriippuvuuksia ja pilviresurssien konfiguraatioita. Havaitut poikkeamat luokitellaan ja korjataan ennakoivasti osana säännöllistä riskienhallintaa.
• Järjestelmien kovennus ja poikkeamien hallinta (Kontrolli VPM-38): Tuotanto- ja hallintaympäristöt päivitetään ja kovennetaan säännöllisten ylläpitoprotokollien mukaisesti, ja tietoturvapoikkeamien hallinta on sidottu formaliin 4-portaiseen reagointisuunnitelmaan.
• Laitteiden ja omaisuuden elinkaarenhallinta (Kontrollit AST-4..AST-9): Kaikki Cloudpointin tieto- ja laiteomaisuus on inventoitu keskitettyyn laitehallintaan (MDM / Vanta Agent). Kontrollit AST-4, AST-5, AST-6, AST-7, AST-8 ja AST-9 varmistavat pakotetun seurannan laitteen hankinnasta ja käyttöönotosta aina työsuhteen päättymiseen, turvalliseen tyhjennykseen ja palautukseen asti.
• Henkilöstön tietoturvakoulutus ja salassapito: Jokainen työntekijä ja asiantuntija allekirjoittaa salassapitosopimuksen (NDA), suorittaa säännölliset tietosuoja- ja tietoturvakoulutukset sekä ylläpitää virallisia Google Cloud -sertifiointeja.

3. Pääsynhallinta ja pääkäyttäjäpalvelun tietoturva (YubiKey MFA & JIT)

Cloudpoint Oy soveltaa kaikissa sisäisissä järjestelmissään ja asiakkaiden pääkäyttäjäpalveluissa (tuki@cloudpoint.fi) tiukkaa Zero Trust - ja Least Privilege (RBAC) -mallia:

• Fyysiset U2F/FIDO2-suojausavaimet (YubiKey MFA): Kaikki pääsy tuotantojärjestelmiin, koodivarantoihin ja asiakkaiden hallintakonsoleihin vaatii kalastelunkestävän monivaiheisen tunnistautumisen laitteistopohjaisella YubiKey (U2F / FIDO2 / WebAuthn) -suojausavaimella.
• Zero Standing Privilege & Just-In-Time (JIT) -ylläpito: Cloudpointin asiantuntijoilla ei ole jatkuvaa avointa pääsyä asiakkaiden loppukäyttäjäsisältöihin. Hallintatoimenpiteet suoritetaan tarveperusteisesti (Just-In-Time) vain asiakkaan nimetyn pääkäyttäjän valtuuttamana tai dokumentoidun tukipyynnön perusteella.
• Täysi Admin Audit Log -läpinäkyvyys: Jokainen Cloudpointin asiantuntijan suorittama konfiguraatiomuutos tallentuu muuttumattomasti asiakkaan omaan Google Admin Audit Log -valvontalokiin (sisältäen tekijän, aikaleiman, IP-osoitteen ja tehdyn muutoksen).

4. Päätelaite-, verkko- ja salausturvallisuus

• Koko levyn salaus päätelaitteissa (Full Disk Encryption, FDE): Kaikki Cloudpointin työntekijöiden käyttämät työasemat on suojattu pakotetulla koko levyn salauksella (FDE — FileVault / BitLocker / LUKS), automaattisella näytönlukituksella sekä Vanta- ja MDM-etähallinnalla.
• Salaus levossa (Encryption at Rest — AES-256): Kaikki pilvitietokannat, kiintolevyt, lokitietovarastot ja varmuuskopiot on salattu levossa vahvalla AES-256-salausstandardilla.
• Salaus siirrossa (Encryption in Transit — TLS 1.2 / TLS 1.3): Kaikki verkkoliikenne asiakkaiden, selainten, rajapintojen ja mikropalveluiden välillä salataan käyttäen TLS 1.2- tai TLS 1.3 -suojausprotokollaa (HSTS pakotettuna).
• Sähköpostin ja verkkotunnusten suojaus (SPF / DKIM / DMARC): Cloudpoint valvoo ja ylläpitää tiukkoja SPF-, DKIM- ja DMARC (p=reject/quarantine) -tietueita sekä omille verkkotunnuksilleen että pääkäyttäjäpalvelun asiakasympäristöille identiteettivarkauksien ja tietojenkalastelun estämiseksi.

5. Kolmiportainen tiedonluokittelu (3-Tier Data Classification)

Cloudpoint Oy:n tiedonhallintapolitiikka (Data Management Policy) luokittelee kaiken käsiteltävän tiedon kolmeen suojaustasoon:

6. Fyysinen turvallisuus (Malminkaari 17-19B, 00700 Helsinki)

Cloudpoint Oy:n pääkonttori sijaitsee osoitteessa Malminkaari 17-19B, 00700 Helsinki. Toimitilojen ja konesaliympäristöjen fyysinen turvallisuus on varmistettu monikerroksisesti:

• Kulunvalvonta ja 24/7 valvonta: Toimitiloissa on sähköinen, henkilökohtaisiin kulkutunnisteisiin perustuva kulunvalvonta, murtohälytysjärjestelmä, vartiointi sekä 24/7 tallentava kameravalvonta kiinteistön sisäänkäynneillä.
• Vierailijakäytännöt ja puhtaan pöydän periaate (Clean Desk): Ulkopuoliset vierailijat kirjataan vierailijarekisteriin ja he liikkuvat tiloissa vain henkilökunnan saattamina. Toimistossa noudatetaan puhtaan pöydän ja lukitun näytön politiikkaa.
• Ei paikallisia palvelimia & salatut pilvivarmuuskopiot: Asiakasdataa ei säilytetä paikallisilla toimistopalvelimilla tai irrotettavilla USB-medioilla. Kaikki tuotantojärjestelmät ja salatut varmuuskopiot sijaitsevat ISO/IEC 27001 -sertifioiduissa Google Cloud EU-konesaleissa (ensisijaisesti europe-north1 Hamina, Suomi).

7. Tietoturvaloukkausten hallintasuunnitelma (VPM-38) ja penetraatiotestaus

Cloudpoint Oy ylläpitää dokumentoitua tietoturvaloukkausten reagointisuunnitelmaa (Incident Response Plan, kontrolli VPM-38), jota johtaa tietosuojavastaava ja toimitusjohtaja Lauri Kaski (lauri@cloudpoint.fi):

• Eristäminen ja jälkianalyysi (Post-Mortem / Root-Cause Analysis): Jokaisen poikkeaman yhteydessä uhka eristetään välittömästi (istuntojen katkaisu, avainten vaihto, oikeuksien poisto), minkä jälkeen suoritetaan juurisyyanalyysi vastaavien tapausten estämiseksi.
• Vuosittainen ulkoinen penetraatiotestaus: Cloudpointin ja sen konsernikumppaneiden (Nomen / Edudata.io) sovellus- ja pilviympäristöille suoritetaan vuosittain riippumattoman, sertifioidun kyberturvallisuusyrityksen toteuttama ulkoinen tietoturva-auditointi ja penetraatiotestaus.

Päivitetty: Huhtikuu 2026 | Tavoitetaso: WCAG 2.2 Level AA & EN 301 549 | Säädöspohja: Laki digitaalisten palvelujen tarjoamisesta (306/2019) & Direktiivi (EU) 2016/2102

1. Saavutettavuuden tila ja soveltamisala

Tämä saavutettavuusseloste koskee Cloudpoint Oy:n julkista verkkosivustoa (https://www.cloudpoint.fi) sekä sen osana toimivaa Trust Center 2.0 -vaatimustenmukaisuusportaalia. Koska Cloudpoint Oy toimii suomalaisten kuntien, koulutuksen järjestäjien ja julkishallinnon organisaatioiden kumppanina, noudatamme verkkopalvelussamme lakia digitaalisten palvelujen tarjoamisesta (306/2019), EU:n saavutettavuusdirektiiviä (EU) 2016/2102 sekä Web Content Accessibility Guidelines (WCAG) 2.2 Level AA -kriteeristöä.

Huhtikuussa 2026 suoritetun teknisen saavutettavuusauditoinnin perusteella www.cloudpoint.fi/trust-center -portaali täyttää kaikki WCAG 2.2 AA -tason vaatimukset, ja muu www.cloudpoint.fi-verkkosivusto täyttää vaatimukset pääosin.

2. Toteutetut WCAG 2.2 Level AA -tekniset saavutettavuuskontrollit

3. Saavutettavuuspalaute ja yhteystiedot

Huomasitko saavutettavuuspuutteen www.cloudpoint.fi-sivustolla tai tarvitsetko jonkin sopimus-, tietosuoja- tai DPIA-asiakirjamme vaihtoehtoisessa saavutettavassa muodossa? Ota meihin yhteyttä:

• Sähköposti: tietosuoja@cloudpoint.fi tai info@cloudpoint.fi
• Puhelin: +358 9 4257 9280
• Vastuuhenkilö: Lauri Kaski, toimitusjohtaja / tietosuojavastaava (lauri@cloudpoint.fi)
• Vastausaika: Vastaamme saavutettavuuspalautteeseen viipymättä ja viimeistään 14 vuorokauden kuluessa digipalvelulain (306/2019) mukaisesti.

4. Valvontaviranomainen (Traficom)

Jos huomaat sivustolla saavutettavuusongelmia, anna ensin palautetta meille eli sivuston ylläpitäjälle. Jos et ole tyytyväinen saamaasi vastaukseen tai et saa vastausta lainkaan kahden viikon (14 päivän) aikana, voit tehdä ilmoituksen valvovalle viranomaiselle: