Cloudpoint Oy Trust Center

Miten Cloudpoint Oy:n ylläpito-, asiakasportaali- ja SaaS-palveluarkkitehtuuri on rakennettu?

Cloudpoint Oy:n palveluarkkitehtuuri muodostuu kolmesta toisiaan tukevasta kokonaisuudesta: keskeisten pilviympäristöjen (Google ja Microsoft) konsultointi-, ylläpito- ja tietoturvapalveluista (MSP), Cloudpointin omasta asiointi-, sopimus- ja lisenssiportaalista (portal.cloudpoint.fi) ja GCP-jälleenmyyntiarkkitehtuurista (reseller.cloudpoint.fi) sekä omista SaaS- ja integraatioratkaisuista (Edudata.io ja Nomen). Kaikki palvelut hyödyntävät asiakaskohtaista Row-Level Security (RLS) -tietokantaeristystä, tarveperusteista Just-In-Time (JIT) -pääsynhallintaa sekä Suomen Google Cloud -konesalia (Hamina, europe-north1).

1. Kolmijakoinen palvelu- ja hallintamalli

Cloudpoint Oy (Y-tunnus 2325703-6, ALV-tunnus FI23257036, Malminkaari 17-19B, 00700 Helsinki) toimii keskeisten pilvipalveluiden konsulttina sekä ylläpito- ja tietoturvakumppanina — sekä Google- (Google Workspace ja Google Cloud Platform) että Microsoft-ympäristöissä (Microsoft 365, Entra ID ja Azure) — suomalaisille ja pohjoismaisille kunnille, koulutuksen järjestäjille, oppilaitoksille, yrityksille ja kuluttajille. Jotta tietosuojavastaavat, tietoturvapäälliköt ja hankintayksiköt saavat tarkan kuvan tietojen käsittelystä, tämä järjestelmäkuvaus erittelee kaikki kolme palvelukokonaisuuttamme:

• Palvelukokonaisuus A — Ylläpito-, SLA-tuki-, tietoturva-auditointi- ja DPIA-asiantuntijapalvelut (MSP): Asiakkaan omaan pilviympäristöön kohdistuvat hallinta-, tuki- (STANDARD 2 €, EXTENDED 8 €, PREMIUM 24/7 18 € sekä kunta- ja opetussektorille maksuton EDU 0 €), laite- ja vaatimustenmukaisuuspalvelut.
• Palvelukokonaisuus B — Cloudpoint Portal (portal.cloudpoint.fi) ja GCP Sub-Account -jälleenmyyntiarkkitehtuuri (reseller.cloudpoint.fi): portal.cloudpoint.fi (Cloudpoint Portal) on Cloudpoint Oy:n oma itsepalvelu-, sopimus-, lisenssi- ja pilvenhallinta-alusta Google Cloud Platform (europe-north1, Hamina, Suomi) -ympäristössä. Palvelu sisältyy suoraan kokonaispuitesopimukseen (yritys-, kunta- ja opetustoimen JIT- sekä kuluttajasopimukset, sopimusliite 3, 1–11 §), ja sitä ohjaavat yhtenäinen Cloudpoint DPA -tietojenkäsittelysopimus (GDPR 28 art.) sekä tiedonsäilytyspolitiikka. Palvelu kokoaa yhteen Google Channel API -lisenssiautomaation, PDL- ja Frontline-sääntövalvonnan, moniportaisen GCP-laskutusalitilihallinnan, vahvan sähköisen allekirjoituksen (Bink.fi ja Ruotsin BankID) sekä seitsemän vuoden muuttumattoman GCS WORM -arkistoinnin.
• Palvelukokonaisuus C — Pilvipohjaiset SaaS- ja integraatiopalvelut: Cloudpointin ja sen lähiyhtiöiden tuottamat omat ohjelmistopalvelut (Edudata.io ja Nomen).

2. Palvelukokonaisuus A: Ylläpito-, SLA-tuki- ja pilvitietoturvapalvelut (Managed Support / MSP)

Ylläpito- ja asiantuntijapalveluissa asiakkaan henkilötiedot sijaitsevat asiakkaan omassa Google Workspace- tai Microsoft 365 -ympäristössä. Cloudpointin asiantuntijat eivät tallenna oppilas- tai henkilöstörekistereitä omille työasemilleen, vaan kaikki hallintatoimet tehdään salattujen TLS 1.3 -yhteyksien yli käyttäen vahvaa MFA/2SV-tunnistautumista ja määräaikaista Just-In-Time (JIT) -pääsynhallintaa.

3. Palvelukokonaisuus B: Cloudpoint Portal (portal.cloudpoint.fi), sopimushallinta ja GCP-jälleenmyyntiarkkitehtuuri (reseller.cloudpoint.fi)

Cloudpoint Portal (portal.cloudpoint.fi) on Cloudpoint Oy:n oma itsepalvelu-, sopimus-, lisenssi- ja pilvenhallinta-alusta Google Cloud Platform (europe-north1, Hamina, Suomi) -ympäristössä. Palvelu sisältyy suoraan kokonaispuitesopimukseen (sopimusliite 3, 1–11 §), ja sitä ohjaavat yhtenäinen Cloudpoint DPA -tietojenkäsittelysopimus (GDPR 28 art.) sekä tiedonsäilytyspolitiikka:

• Automaattinen sopimusten ohjaus: Ohjaa jokaisen asiakkaan automaattisesti oikeaan kolmikieliseen (FI/EN/SV) sopimuskokonaisuuteen:
  • Yritysten puitesopimus (B2B): 14 pv netto tai Stripe-korttiennakko; edellyttää 1.1.2025 tai sen jälkeen allekirjoitettua sopimusta portaalissa.
  • Kunta- ja opetustoimen puitesopimus (JIT 2015 / JIT 2020): 21/30 pv netto verkkolasku verkkolaskulain (241/2019) mukaisesti; vapautettu erillisistä SLA-tukitasomaksuista (0,00 €/kk) eikä palvelun jatkuminen edellytä uutta sopimusprosessia.
  • Kuluttajien palveluehdot ja kuluttaja-DPA (B2C): Kuluttajansuojalain (38/1978) mukaisesti (14 vrk peruuttamisoikeus, 25,5 % ALV).
• GCP Sub-Account -alitilirakenne (reseller.cloudpoint.fi): Asiakkaan GCP-projektit liitetään eristettyihin GCP Sub-Account -laskutusalitileihin Cloudpointin jälleenmyyjäorganisaation alla. Asiakkaat voivat luoda portal.cloudpoint.fi-portaalissa erillisiä laskutusalitilejä projekti-, koulu-, lukio-, varhaiskasvatusyksikkö- tai toimialakohtaisesti. Jokaisen uuden alitilin oletusbudjettikatto on 0,00 € / kk, kunnes asiakas aktivoi itse Cloud Billing -tilin laskutuksen. GCP:n jaetun vastuun mallin mukaisesti Google ja Cloudpoint vastaavat fyysisestä infrastruktuurista (ISO 27001, SOC 1/2/3, PCI DSS), kun taas Asiakas (rekisterinpitäjä) vastaa IAM-oikeuksista, palomuureista sekä maantieteellisen GCP-alueen (Region / Zone) valinnasta (esim. europe-north1 Hamina, Suomi).
• Google Workspace PDL- ja Frontline-käytäntöjen valvonta: Portaali valvoo automaattisesti Googlen lisenssisääntöjä: enintään kaksi (2) lisenssitasoa pääverkkotunnusta kohden, omat organisaatioyksiköt (OU) Admin Consolessa, Business-sarjan 300 lisenssin enimmäisraja sekä Frontline-käyttörajoitus (enintään 20 % työajasta tietokoneella).
• Portaalin tietoturvakontrollit ja lakisääteinen arkistointi: Asiakaskohtainen Multi-Tenant Row-Level Security (RLS) -tietokantaeristys, TLS 1.3 -tiedonsiirtosalaus, AES-256-lepotilasalaus, SHA-256 IP-osoitteiden pseudonymisointi, vahva sähköinen allekirjoitus (Bink.fi ja Ruotsin BankID), PCI DSS Level 1 -sertifioitu Stripe-korttiennakko, Visma.net ERP -laskutussynkronointi sekä kirjanpitolain (1336/1997, 2 luku 10 §) mukainen seitsemän vuoden muuttumaton GCS WORM -arkistointi ja päivittäinen automaattinen tietojen poisto (allekirjoittamattomat sopimusluonnokset 30 vuorokaudessa, keskeneräiset sopimustietueet 180 vuorokaudessa ja operatiiviset tietoturvalokit 365 vuorokaudessa).

4. Palvelukokonaisuus C: SaaS- ja integraatioarkkitehtuuri

Asiantuntijapalveluiden ja asiakasportaalin rinnalla Cloudpoint kehittää ja ylläpitää kotimaisia pilvipalveluita, joiden tuotantoympäristö sijaitsee Google Cloud Platformin Suomen konesalissa (europe-north1, Hamina):

5. Tietojen sijainti EU/ETA-alueella ja looginen asiakaseristys

• Ensisijainen konesali: Google Cloud Platform europe-north1 (Hamina, Suomi), joka on ISO/IEC 27001-, 27017-, 27018- ja SOC 1/2/3 -sertifioitu sekä toimii hiilineutraalilla energialla.
• Tiukka asiakaskohtainen eristys: Jokaisen kunta- ja yritysasiakkaan ympäristö on eristetty loogisesti tietokanta- (Row-Level Security RLS), käyttöoikeus- (IAM) ja salausavaintasolla.
• Ei toissijaista käyttöä ja oppilastietojen suoja: Ylläpitopalveluissa, asiakasportaalissa, Nomenissa tai Edudata.io:ssa käsiteltäviä henkilötietoja ei koskaan myydä, käytetä kaupalliseen profilointiin tai kohdennettuun mainontaan (perusopetuslaki 628/1998 ja lukiolaki 714/2018) eikä hyödynnetä julkisten tekoälymallien kouluttamiseen.

Voimaantulopäivä: 11.8.2026 | Palveluntarjoaja: Cloudpoint Oy (Y-tunnus 2325703-6, ALV-tunnus FI23257036), Malminkaari 17-19B, 00700 Helsinki | Yhteystiedot: Myynti myynti@cloudpoint.fi (+358 9 4257 9282), Tuki tuki@cloudpoint.fi (+358 9 4257 9280 / +358 9 4257 9286), Tietosuojavastaava (DPO) tietosuoja@cloudpoint.fi

Mitkä sopimus- ja palveluehdot ohjaavat Cloudpoint Oy:n ylläpito-, asiantuntija- ja pilvipalveluita?

Cloudpoint Oy (Y-tunnus 2325703-6, ALV-tunnus FI23257036) ohjaa kaikkia pilvilisenssejä, Cloudpoint Portal -asiointipalvelua (portal.cloudpoint.fi), GCP-laskutusalitilejä (reseller.cloudpoint.fi), ylläpitopalveluita (MSP), asiantuntijatyötä sekä SaaS-alustoja (Nomen ja Edudata.io) kolmella sopimuskokonaisuudella: yritysten puitesopimus, kunta- ja opetustoimen JIT 2015/2020 -puitesopimus sekä kuluttajien palveluehdot Suomen lain mukaisesti.

1. Automaattinen sopimusten ohjaus (kolme sopimuspakettia — FI, EN, SV)

Cloudpoint Portal (portal.cloudpoint.fi) on Cloudpoint Oy:n itsepalvelu-, sopimus-, lisenssi- ja pilvenhallinta-alusta Google Cloud Platform (europe-north1, Hamina, Suomi) -ympäristössä. Palvelu on kiinteä osa kokonaispuitesopimusta (yritys-, kunta- ja opetustoimen JIT- sekä kuluttajasopimukset), ja sitä säätelevät yhtenäinen Cloudpoint Oy:n tietojenkäsittelysopimus (GDPR 28 art.) sekä tiedon säilytys- ja poistopolitiikka (23.6.2026). Portaali ohjaa jokaisen asiakasorganisaation tai yksityishenkilön automaattisesti oikeaan sitovaan sopimuskokonaisuuteen asiakastyypin ja Y-tunnuksen perusteella:

2. Puitesopimuksen keskeiset ehdot: Cloudpoint Portal (portal.cloudpoint.fi), GCP-laskutusalitilit, korttiennakkomaksut ja kansainvälinen arvonlisäverotus

• Sopimusosapuolet ja viralliset yhteystiedot: Toimittaja on Cloudpoint Oy (Y-tunnus 2325703-6, ALV-tunnus FI23257036, Malminkaari 17-19B, 00700 Helsinki; Myynti: myynti@cloudpoint.fi, +358 9 4257 9282; Tuki: tuki@cloudpoint.fi, +358 9 4257 9280 / +358 9 4257 9286; Tietosuojavastaava (DPO): tietosuoja@cloudpoint.fi). Konsernin ohjelmistoyhtiöihin kuuluvat Edudata.io (3460068-8) ja Nomen Finland Oy (2851575-1).
• GCP-laskutusalitilirakenne ja moniportainen laskutus (reseller.cloudpoint.fi ja portal.cloudpoint.fi): Asiakkaan Google Cloud Platform (GCP) -projektit ja resurssit liitetään automaattisesti omaan erilliseen GCP-laskutusalitiliin (GCP Sub-Account) Cloudpointin jälleenmyyjäorganisaation (reseller.cloudpoint.fi) alla. Asiakkaat (yritykset, kunnat ja oppilaitokset sekä kuluttajat) voivat luoda ja hallita portal.cloudpoint.fi-portaalissa useita erillisiä GCP-laskutusalitilejä (esim. projekti-, koulu-, lukio-, varhaiskasvatusyksikkö-, toimiala- tai kustannuspaikkakohtaisesti), jotka eritellään kuukausittaisella verkkolaskulla. Uusien GCP-laskutusalitilien oletusbudjettikatto on 0,00 € / kk; tuotantokäyttö edellyttää, että asiakas aktivoi itse Cloud Billing -laskutuksen portaalissa ja asettaa haluamansa budjettirajan.
• GCP:n jaetun vastuun malli (Shared Responsibility Model):
  • Google ja Cloudpoint: Fyysinen konesaliturvallisuus, palvelinlaitteisto, virtualisointikerros, runkoverkon suojaus sekä infrastruktuurisertifioinnit (ISO/IEC 27001, SOC 1/2/3, PCI DSS).
  • Asiakas (Rekisterinpitäjä): Käyttöoikeushallinta (IAM), API-avaimet ja tunnisteet, sovellustason salaus, palomuurisäännöt, tietokantaoikeudet sekä yksinomainen vastuu maantieteellisen GCP-konesalialueen (Region / Zone) valinnasta (esim. Suomi europe-north1 Hamina tai muut EU/ETA- ja kolmansien maiden alueet) ja GDPR V luvun noudattamisesta.
• Stripe-korttiennakkomaksut ja käsittelykulut (11.8.2026 alkaen): Luottokorttimaksut ja korttiennakot käsitellään yksinomaan PCI DSS Level 1 -sertifioidun Stripe Payments -järjestelmän kautta. GCP-kulutus ja korttilaskutettavat lisenssit edellyttävät ennakkosaldoa tai voimassa olevaa korttivaltuutusta:
  • EU/ETA-alueen maksukortit: 1,5 % + 0,25 € / maksutapahtuma
  • EU/ETA-alueen ulkopuoliset sekä kansainväliset ja AMEX-kortit: 2,9 % + 0,25 € / maksutapahtuma
  • Valuuttamuunnos (muunnos euroiksi Stripen ja EKP:n viitekurssilla): +1,0 %
• Kansainväliset asiakkaat, arvonlisäverotus (ALV) ja vahva sähköinen allekirjoitus:
  • Suomi: 25,5 % ALV (arvonlisäverolaki 1501/1993); vahva sähköinen allekirjoitus Bink.fi-palvelulla (FTN).
  • Pohjoismaat (SE, NO, DK): Paikallinen arvonlisävero / MOMS / MVA (25 %); ruotsalaiset asiakkaat allekirjoittavat sopimukset ja irtisanomisilmoitukset Swedish BankID -tunnistuksella.
  • EU-yritysmyynnin käännetty verovelvollisuus (Reverse Charge): 0 % ALV voimassa olevalla VIES-tarkistetulla EU-arvonlisäverotunnisteella (arvonlisäverodirektiivi 2006/112/EY 196 art.).
  • EU:n ulkopuolinen vienti: 0 % ALV vientimyynti EU:n veroalueen ulkopuolelle.

3. Cloudpoint Oy:n yleiset sopimusehdot (Sopimusliite 3, 1–11 §)

4. Tukipalvelutasot (SLA), Google Workspace PDL -lisenssisäännöt, laskutuskäytännöt ja irtisanominen

• Google Workspace Partial Domain Licensing (PDL) ja Frontline-erityisehdot:
  1. Enintään kaksi (2) lisenssitasoa verkkotunnusta kohden: Samassa ensisijaisessa verkkotunnuksessa (domainissa / ympäristössä) voi olla yhdistettynä enintään kaksi (2) eri Google Workspace -lisenssitasoa (esim. Business Standard + Business Plus tai Enterprise Standard + Frontline Starter).
  2. Omat organisaatioyksiköt (OU): Kullekin lisenssitasolle on määriteltävä oma erillinen organisaatioyksikkönsä (OU) Google Admin Consolessa automaattisten lisenssisääntöjen hallitsemiseksi.
  3. Business-sarjan 300 lisenssin enimmäisraja: Google Workspace Business -sarjan lisenssejä (Business Starter, Business Standard ja Business Plus) voi olla organisaatiolla yhteensä enintään 300 kappaletta; yli 300 käyttäjän organisaatioiden on siirryttävä Enterprise-sarjan lisensseihin.
  4. Frontline-lisenssien käyttörajoitus (enintään 20 % työajasta tietokoneella): Google Workspace Frontline -lisenssit on tarkoitettu yksinomaan kenttä- ja vuorotyöntekijöille, jotka eivät käytä tietokonetta pääasiallisena työvälineenään (enintään 20 % työajasta tietokoneella).
• Pienlaskutuksen yhdistäminen (< 50 € / kk), joustavien tilausten laskutus ja sopimusten ajantasaisuus:
  • Automaattinen laskutusvälin optimointi: Tilaukset, joiden kuukausiveloitus on ≤ 12 € / kk, laskutetaan vuosittain (12 kk); 12–25 € / kk puolivuosittain (6 kk); 25–50 € / kk neljännesvuosittain (3 kk); ja > 50 € / kk kuukausittain jälkikäteen.
  • Joustavien tilausten (FLEX) kuukausilaskutus: Kuukausittain jälkikäteen laskutettavat joustavat (1M FLEX) tilaukset veloitetaan laskutuskauden korkeimman yhtäaikaisen aktiivisen lisenssimäärän mukaisesti.
  • 1.1.2025 jälkeinen yritysasiakkaiden sopimusvahvistus: Kaupallisten yritysasiakkaiden, joilla ei ole 1.1.2025 tai sen jälkeen sähköisesti allekirjoitettua puitesopimusta, on vahvistettava päivitetty puitesopimus ja DPA portaalissa ennen itsepalvelulisenssimuutoksia (kunta- ja opetustoimen asiakkaat on vapautettu tästä velvoitteesta).
• Virallinen irtisanomisilmoitus: Tilausten tai puitesopimuksen irtisanominen edellyttää vahvalla sähköisellä allekirjoituksella (Bink.fi tai Swedish BankID) vahvistettua irtisanomisilmoitusta. Joustavat (FLEX) tilaukset päättyvät kuluvan laskutuskauden lopussa, kun taas määräaikaiset Commit-sitoumustilaukset (12, 24 tai 36 kk) päättyvät vasta sovitun sitoumuskauden lopussa (edellyttäen kirjallista irtisanomisilmoitusta vähintään 30 päivää ennen sitoumuskauden päättymistä).

Alkuperäinen julkaisu: 2.7.2024 | Viimeksi päivitetty: elokuu 2026 | Soveltamisala: www.cloudpoint.fi, blogi.cloudpoint.fi & portal.cloudpoint.fi

Miten Cloudpoint Oy käyttää evästeitä ja varmistaa ympäristöjen tiukan erottelun?

Cloudpoint Oy (Y-tunnus 2325703-6) erottaa tiukasti julkiset verkkosivustonsa (www.cloudpoint.fi ja blogi.cloudpoint.fi) sekä kirjautumista vaativan pilvi- ja sopimusportaalinsa (portal.cloudpoint.fi). Välttämättömät evästeet turvaavat tietoturvan ja istunnon eheyden, kun taas julkisen sivuston toiminnalliset, analytiikka- ja markkinointievästeet asetetaan vain käyttäjän nimenomaisella etukäteissuostumuksella (Opt-In, GDPR 6 art. 1 kohta a alakohta).

1. Mitä evästeet ovat ja mihin lakiperusteeseen niiden käyttö perustuu?

Evästeet (cookies) ovat pieniä tekstitiedostoja, jotka verkkoselain tallentaa käyttäjän päätelaitteelle verkkosivustolla vierailtaessa. Noudatamme sähköisen viestinnän palveluista annetun lain (917/2014, 205 §), EU:n yleisen tietosuoja-asetuksen (GDPR) sekä Liikenne- ja viestintävirasto Traficomin evästeohjeistuksen vaatimuksia:

• Välttämättömät evästeet: Tallennetaan sähköisen viestinnän palvelulain 205 §:n nojalla ilman erillistä etukäteissuostumusta, sillä ne ovat teknisesti välttämättömiä sivuston tietoturvan, CSRF- ja DDoS-suojauksen, portal.cloudpoint.fi-istunnon sekä evästesuostumusvalinnan tallentamiseksi.
• Toiminnalliset evästeet sekä analytiikka- ja markkinointievästeet: Asetetaan päätelaitteelle vain käyttäjän nimenomaisella etukäteissuostumuksella (Opt-In, GDPR 6 art. 1 kohta a alakohta) HubSpot-evästebannerissa sivustoilla www.cloudpoint.fi ja blogi.cloudpoint.fi.

2. Käytettävät evästeryhmät ja säilytysajat

A. Välttämättömät ja tietoturvaevästeet (aina aktiiviset)

B. Toiminnalliset, analytiikka- ja markkinointievästeet (edellyttävät suostumusta)

3. Evästesuostumuksen hallinta, muuttaminen ja peruuttaminen

• Sivuston evästeasetukset: Napsauta verkkosivuston alatunnisteessa olevaa "Evästeasetukset" (Cookie Settings) -painiketta avataksesi HubSpot-suostumusbannerin uudelleen ja päivittääksesi tai peruuttaaksesi suostumuksesi välittömästi.
• Selaimen asetukset: Voit myös estää evästeiden käytön tai poistaa jo tallennetut evästeet selaimesi tietosuoja-asetuksista.
• Tietosuojavastaavan yhteystiedot: Lisätietoja evästeistä ja henkilötietojen suojasta antaa Cloudpoint Oy:n tietosuojavastaava (DPO) (tietosuoja@cloudpoint.fi, Cloudpoint Oy, Tietosuojavastaava (DPO), Malminkaari 17-19B, 00700 Helsinki, puh. +358 9 4257 9280) sekä kattava Tietosuojaseloste ja tiedonsäilytyspolitiikka.

---

---

Miten Cloudpoint Oy:n tietojenkäsittelysopimus (DPA) turvaa yritysten, kuntien ja opetustoimen henkilötiedot?

Tämä EU:n yleisen tietosuoja-asetuksen (GDPR) 28 artiklan mukainen tietojenkäsittelysopimus (DPA, päivitetty 1.6.2026) määrittää sitovat velvoitteet, kun Cloudpoint Oy (2325703-6) käsittelee henkilötietoja yrityksen, kunnan, koulutuksen järjestäjän tai kuluttaja-asiakkaan lukuun. Sopimus sisältää kunta- ja opetustoimen erityisehdot (24 tunnin poikkeamailmoitus), 10 työpäivän alikäsittelijöiden vastustamisoikeuden sekä tietojen poiston 30–90 päivässä (varmuuskopiot 180 päivässä).

Sopimusversiot: Yritysten DPA 1.6.2026 | Erillinen DPA 5.5.2025 | Kunta- ja opetustoimen Edu DPA & JIT 2026.1 | Kuluttaja-DPA 2026.2 (11.8.2026) | Viitekehys: EU GDPR 28 art., Tietosuojalaki (1050/2018), JIT 2015/2020 ja IT2022

§ 1 Määritelmät ja sopimusrakenne

Tässä henkilötietojen käsittelysopimuksessa (”DPA”, Sopimusliite 2) noudatetaan Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus, ”GDPR”) sekä Suomen tietosuojalain (1050/2018) määritelmiä:

• Rekisterinpitäjä (GDPR 4 art. 7 kohta): Asiakas (Tilaaja), joka määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot.
• Henkilötietojen käsittelijä (GDPR 4 art. 8 kohta): Cloudpoint Oy (Toimittaja), joka käsittelee henkilötietoja Rekisterinpitäjän lukuun Pääsopimuksen ja tämän DPA:n perusteella.
• Henkilötiedot (GDPR 4 art. 1 kohta): Kaikki tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön (”Rekisteröity”) liittyvät tiedot, joita Käsittelijä käsittelee Rekisterinpitäjän lukuun Liitteen 1 mukaisesti.
• Henkilötietojen tietoturvaloukkaus (GDPR 4 art. 12 kohta): Tietoturvapoikkeama, jonka seurauksena on siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin.
• Alikäsittelijä: Käsittelijän käyttämä Liitteessä 3 yksilöity kolmas osapuoli (alihankkija tai päämies, kuten Google Cloud EMEA Limited / Google Ireland Limited), joka käsittelee henkilötietoja Rekisterinpitäjän lukuun.

§ 2 Soveltamisala, tarkoitus, portal.cloudpoint.fi-arkkitehtuuri ja etusijajärjestys

Tämä DPA on erottamaton osa Osapuolten välistä puitesopimusta tai tilaussopimusta (”Pääsopimus”), jolla Cloudpoint Oy toimittaa Asiakkaalle Google Workspace-, Google Cloud Platform (GCP)-, Microsoft 365 / Azure-, Chrome Enterprise / Education (Chromebook)-, pääkäyttäjäpalvelu-, tuki-, koulutus-, konsultointi-, tietoturva- ja vaikutustenarviointi- (DPIA) tai Nomen (2851575-1)- ja Edudata.io (3460068-8) -palveluita sekä pilvenhallintaportaalia (portal.cloudpoint.fi) (”Palvelu”).

Tätä DPA-kokonaisuutta sovelletaan asiakasryhmän mukaisesti kolmessa sopimuskokonaisuudessa:

• 1. Kaupallinen yritys- ja organisaatiosopimus (Puitesopimus, DPA 1.6.2026 ja erillinen DPA 5.5.2025): Soveltamisjärjestys: (1) Erillistilaus tai hankintasopimus, (2) Puitesopimuksen runko-osa, (3) Liite 1: Tilatut tuotteet ja palvelut, (4) tämä Liite 2: Henkilötietojen käsittelysopimus (DPA), (5) Liite 3: Cloudpoint Oy:n yleiset sopimusehdot (1–11 §) sekä (6) Päämiehen palveluehdot (Google Cloud / Workspace Terms of Service).
• 2. Kunta- ja opetustoimen puitesopimus (Edu DPA & JIT 2026.1): Täydentää julkisen hallinnon IT-hankintojen yleisiä sopimusehtoja (JIT 2015 / JIT 2020). Soveltamisjärjestys: (1) Erillinen hankintasopimus tai tilaus, (2) Kunta- ja opetustoimen puitesopimuksen runko-osa, (3) tämä Liite 2: Opetustoimen tietojenkäsittelysopimus (Edu DPA & JIT), (4) Liite 3: JIT Palveluja koskevat erityisehdot, (5) Liite 4: JIT Yleiset ehdot, (6) Liite 5: Cloudpoint Oy:n yleiset sopimusehdot (1–11 §) sekä (7) Päämiehen lisenssiehdot.
• 3. Yksityishenkilön kuluttaja-DPA (Osa II, 2026.2): Soveltuu GDPR 28 artiklan mukaisesti tilanteisiin, joissa kuluttaja-asiakas tallentaa pilvipalveluun kolmansien osapuolten henkilötietoja muuhun kuin puhtaasti henkilökohtaiseen tai kotitalouden toimintaan.

Mikäli Pääsopimuksen ja tämän DPA:n välillä on ristiriita henkilötietojen käsittelyä ja tietosuojaa koskevissa kysymyksissä, sovelletaan ensisijaisesti tätä DPA:ta ja pakottavaa tietosuojalainsäädäntöä.

§ 3 Rekisterinpitäjän ja Käsittelijän yleiset velvollisuudet (GDPR 28 art. 3 kohta)

• Rekisterinpitäjän vastuu: Rekisterinpitäjä vastaa siitä, että henkilötietojen käsittelylle on GDPR:n ja kansallisen lainsäädännön mukainen laillinen peruste, että rekisteröityjä on informoitu asianmukaisesti ja että Rekisterinpitäjän Käsittelijälle antamat dokumentoidut ohjeet ovat lainmukaisia. Pääsopimus ja tämä DPA muodostavat Rekisterinpitäjän dokumentoidut ohjeet.
• Käsittelijän sitoumus: Käsittelijä käsittelee henkilötietoja ainoastaan Rekisterinpitäjän antamien dokumentoitujen ohjeiden mukaisesti ja vain Liitteessä 1 määriteltyihin tarkoituksiin. Käsittelijä ei koskaan käytä Asiakkaan henkilötietoja omiin kaupallisiin tarkoituksiinsa.
• Ilmoitusvelvollisuus lainvastaisesta ohjeesta: Jos Käsittelijä katsoo, että Rekisterinpitäjän antama ohje rikkoo GDPR:ää tai muuta unionin tai Suomen tietosuojalainsäädäntöä, Käsittelijä ilmoittaa tästä välittömästi Rekisterinpitäjälle (GDPR 28 art. 3 kohdan h alakohta).

§ 4 Kunta- ja opetustoimen erityisehdot (Edu DPA 2026.1) sekä kuluttaja-DPA (B2C Osa II)

§ 5 Zero Standing Privilege -periaate, JIT-pääsynhallinta ja lakisääteinen salassapito

Cloudpoint Oy noudattaa henkilöstönsä pääsynhallinnassa ja salassapidossa tiukkaa Zero Standing Privilege (ZSP)- ja Just-In-Time (JIT) -periaatetta:

• Cloudpointin asiantuntijoilla ei ole jatkuvaa, valvomattomasti avointa pääsyä Asiakkaan luottamukselliseen sisältödataan (kuten sähköposteihin tai Google Drive -tiedostoihin).
• Kaikki hallintatoimenpiteet Asiakkaan Google Workspace-, GCP- tai Chromebook-hallintakonsolissa suoritetaan vain Asiakkaan nimetyn pääkäyttäjän valtuutuksella tai dokumentoidun tukipyynnön (tuki@cloudpoint.fi) perusteella. Jokainen hallintakirjautuminen vaatii fyysisen U2F/FIDO2-suojausavaimen (YubiKey MFA) ja tallentuu muuttumattomasti Asiakkaan omaan Google Admin Audit Log -valvontalokiin.
• Salassapitovelvollisuus (GDPR 28 art. 3 kohdan b alakohta): Kaikki henkilötietoja käsittelevät Cloudpointin työntekijät ja asiantuntijat ovat allekirjoittaneet salassapitosopimuksen (NDA) tai heitä sitoo lakisääteinen vaitiolovelvollisuus (mukaan lukien viranomaisten toiminnan julkisuudesta annetun lain 621/1999 mukainen salassapito julkishallinnon toimeksiannoissa). Salassapitovelvollisuus jatkuu sopimuksen päättymisen jälkeenkin.

§ 6 Tekniset ja organisatoriset turvatoimet (GDPR 32 art. ja ISO/IEC 27001:2022)

Käsittelijä toteuttaa ja ylläpitää GDPR 32 artiklan ja ISO/IEC 27001:2022 -tietoturvan hallintajärjestelmän (ISMS) mukaiset tekniset ja organisatoriset suojatoimenpiteet, joita valvotaan reaaliaikaisesti Vanta-alustalla. Yksityiskohtaiset turvatoimet, portaalin tekniset suojatoimet (Multi-Tenant RLS, TLS 1.3, AES-256, SHA-256 IP-pseudonymisointi ja 7 vuoden GCS WORM -arkistointi) sekä pilvipalveluiden jaetun vastuun malli (Shared Responsibility Model) on eritelty Liitteessä 2.

§ 7 Alikäsittelijät ja 10 työpäivän vastustamisoikeus (GDPR 28 art. 2 ja 4 kohta)

Rekisterinpitäjä antaa Käsittelijälle yleisen kirjallisen ennakkoluvan käyttää Liitteessä 3 yksilöityjä hyväksyttyjä alikäsittelijöitä Palvelun tuottamiseen.

• Sopimusvelvoitteiden ketjuttaminen: Käsittelijä sitoutuu tekemään jokaisen alikäsittelijän kanssa kirjallisen sopimuksen, jossa alikäsittelijälle asetetaan vähintään yhtä tiukat tietosuoja- ja tietoturvavelvoitteet kuin tässä DPA:ssa. Käsittelijä vastaa käyttämänsä alikäsittelijän työstä ja velvoitteiden täyttämisestä kuin omastaan (GDPR 28 art. 4 kohta).
• Ennakkoilmoitus ja 10 työpäivän vastustamisoikeus: Käsittelijä ilmoittaa Rekisterinpitäjälle kirjallisesti etukäteen kaikista suunnitelluista muutoksista, jotka koskevat uusien alikäsittelijöiden lisäämistä tai olemassa olevien vaihtamista. Rekisterinpitäjällä on oikeus perustellusta, tietosuojaan liittyvästä syystä vastustaa uutta alikäsittelijää kirjallisesti 10 työpäivän kuluessa ilmoituksen vastaanottamisesta.
• Ratkaisumenettely ja 30 päivän irtisanomisoikeus: Mikäli Rekisterinpitäjä vastustaa uutta alikäsittelijää perustellusta syystä eivätkä Osapuolet löydä korvaavaa ratkaisua 30 päivän kuluessa, Rekisterinpitäjällä on oikeus irtisanoa sopimus kyseisen palveluosan osalta ja saada hyvitys etukäteen maksetuista käyttämättömistä palvelumaksuista.

§ 8 Kansainväliset tietojen siirrot, EU/ETA-sijainti ja Asiakkaan vastuu GCP-aluevalinnasta

Käsittelijä käsittelee ja säilyttää henkilötietoja ensisijaisesti Euroopan unionin (EU) ja Euroopan talousalueen (ETA) sisällä (ensisijaisesti Suomessa Haminan europe-north1-konesalissa ja muissa EU/ETA-konesaleissa). Käsittelijä ei siirrä Asiakkaan henkilötietoja EU/ETA-alueen ulkopuolelle ilman Rekisterinpitäjän dokumentoitua ohjetta tai hyväksyntää.

Asiakkaan yksinomainen vastuu GCP-konesalialueen (Region / Zone) valinnasta: Google Cloud Platform (GCP) -ympäristössä Asiakas (Rekisterinpitäjä) hallinnoi itse GCP-projektejaan ja vastaa yksin maantieteellisen GCP-konesalialueen (esim. Suomi europe-north1 Hamina tai muut EU/ETA- ja kolmansien maiden alueet) valinnasta, konfiguroinnista sekä siitä, että valittu tallennusalue täyttää GDPR V luvun ja soveltuvan kansallisen lainsäädännön vaatimukset.

Siltä osin kuin Asiakkaan valitsema pilvipalvelukonfiguraatio tai globaali tukipalvelu edellyttää tietojen siirtoa kolmansiin maihin, siirto toteutetaan tiukasti GDPR V luvun mukaisesti käyttäen Euroopan komission tietosuojan riittävyyspäätöstä (EU–U.S. Data Privacy Framework, 45 art.), Euroopan komission mallisopimuslausekkeita (SCC (EU) 2021/914, 46 art.), täydentäviä teknisiä suojatoimia (TIA) sekä Google Cloud Data Regions -sijaintirajoituksia.

§ 9 Avustaminen rekisteröityjen oikeuksien toteuttamisessa ja vaikutustenarvioinneissa (DPIA)

Käsittelijä avustaa Rekisterinpitäjää asianmukaisin teknisin ja organisatorisin toimenpitein täyttämään Rekisterinpitäjän velvollisuuden vastata pyyntöihin, jotka koskevat rekisteröidyn oikeuksien käyttämistä (GDPR III luku, 15–22 art.), sekä avustaa Rekisterinpitäjää tietosuojaa koskevien vaikutustenarviointien (DPIA, 35 art.) ja ennakkokuulemisen (36 art.) toteuttamisessa. Jos rekisteröity esittää pyynnön suoraan Käsittelijälle, Käsittelijä välittää pyynnön viipymättä Rekisterinpitäjälle.

§ 10 Tietoturvaloukkauksista ilmoittaminen (24 h kunta- ja opetussektori / 72 h yritysasiakkaat)

Käsittelijä ilmoittaa Rekisterinpitäjälle kirjallisesti henkilötietojen tietoturvaloukkauksesta (GDPR 33 art. 2 kohta ja ISO/IEC 27001:2022 Liite A.5.24) seuraavien sitovien määräaikojen mukaisesti:

• Kunta- ja opetustoimen asiakkaat (Edu DPA § 6): Ilman aiheetonta viivytystä ja viimeistään 24 tunnin kuluessa poikkeaman todentamisesta.
• Kaupalliset yritysasiakkaat ja pilvenhallintaportaali (B2B DPA § 6 ja erillinen DPA § 9): Ilman aiheetonta viivytystä ja viimeistään 72 tunnin kuluessa siitä, kun Käsittelijä on tullut tietoiseksi tietoturvaloukkauksesta.

Ilmoituksessa annetaan vähintään GDPR 33 artiklan 3 kohdan mukaiset tiedot: kuvaus tietoturvaloukkauksesta, rekisteröityjen ryhmät ja arvioitu lukumäärä, tietosuojavastaavan (Tietosuojavastaava (DPO), tietosuoja@cloudpoint.fi, +358 9 4257 9280) yhteystiedot, loukkauksen todennäköiset seuraukset sekä Käsittelijän suorittamat korjaavat toimenpiteet.

§ 11 Auditointi- ja tarkastusoikeus (14 päivän ennakkoilmoitus)

Rekisterinpitäjällä tai sen valtuuttamalla riippumattomalla, salassapitosopimukseen sitoutuneella kolmannen osapuolen tarkastajalla (joka ei ole Käsittelijän suora kilpailija) on oikeus tarkastaa tämän DPA:n noudattaminen (GDPR 28 art. 3 kohdan h alakohta):

• Ilmoitusaika ja menettely: Rekisterinpitäjän on ilmoitettava auditoinnista kirjallisesti vähintään 14 päivää etukäteen. Auditointi suoritetaan Käsittelijän tavanomaisena työaikana häiritsemättä kohtuuttomasti Käsittelijän operatiivista toimintaa tai muiden asiakkaiden tietoturvaa.
• Sertifiointiraportit ja globaalit alikäsittelijät: Ensisijaisesti Käsittelijä toimittaa Rekisterinpitäjälle ajantasaiset ISO/IEC 27001:2022- ja Vanta-vaatimustenmukaisuusraportit. Suurten globaalien pilvi-infrastruktuurin alikäsittelijöiden (kuten Google Cloud ja Google Workspace) osalta tarkastusoikeus toteutetaan ensisijaisesti riippumattomien kolmannen osapuolen tarkastusraporttien ja sertifiointien (ISO/IEC 27001, ISO/IEC 27701, SOC 1/2/3 ja PCI DSS) avulla.

§ 12 Henkilötietojen palauttaminen ja peruuttamaton poistaminen (30–90 päivää aktiividata / enintään 180 päivää varmuuskopiot)

Pääsopimuksen päättyessä Käsittelijä Rekisterinpitäjän valinnan mukaan joko poistaa tai palauttaa kaikki Rekisterinpitäjän lukuun käsittelemänsä henkilötiedot ja poistaa Cloudpointin hallintaoikeudet Asiakkaan ympäristöstä välittömästi (DPA § 8 / § 10, GDPR 28 art. 3 kohdan g alakohta).

Aktiivisen datan poisto (30–90 päivää) ja lopullinen poisto varmuuskopioista (enintään 180 päivää): Asiakkaan aktiiviset henkilötiedot poistetaan tuotantojärjestelmistä 30–90 päivän kuluessa ja kaikki kopiot poistetaan peruuttamattomasti kaikista teknisistä järjestelmistä ja varmuuskopiosykleistä enintään 180 päivän kuluessa sopimuksen päättymisestä, ellei pakottava unionin oikeus tai Suomen lainsäädäntö (kuten kirjanpitolaki 1336/1997 2:10 §) vaadi tietyn sopimus- tai laskutusaineiston säilyttämistä.

§ 13 Vahingonkorvausvastuu

Osapuolten vastuu rekisteröidyille määräytyy GDPR 82 artiklan mukaisesti. Osapuolten keskinäiseen sopimusperusteiseen vastuuseen ja vastuunrajoituksiin sovelletaan Pääsopimuksen ehtoja (mukaan lukien Cloudpoint Oy:n yleiset sopimusehdot § 6 tai julkishallinnon sopimuksissa JIT 2015 / JIT 2020 -ehdot).

§ 14 Voimassaolo, sovellettava laki ja oikeuspaikka

Tämä DPA tulee voimaan, kun Pääsopimus tai tilaus allekirjoitetaan sähköisesti Cloudpoint-portaalissa (Bink.fi tai Swedish BankID) tai kun Käsittelijä ryhtyy käsittelemään henkilötietoja Rekisterinpitäjän lukuun, ja pysyy voimassa niin kauan kuin Käsittelijä käsittelee henkilötietoja Rekisterinpitäjän lukuun (mukaan lukien § 12 mukainen enintään 180 päivän poistojakso). Tähän DPA:han sovelletaan Suomen lakia, ja erimielisyydet ratkaistaan ensisijaisesti neuvotteluteitse ja viime kädessä Helsingin käräjäoikeudessa (kuluttaja-asiakkailla on lisäksi oikeus saattaa asia kuluttajariitalautakunnan käsiteltäväksi, www.kuluttajariita.fi).

---

---

---

Miten Cloudpoint Oy varmistaa Gemini- ja Vertex AI -tekoälyratkaisujen tietosuojan ja vaatimustenmukaisuuden?

Cloudpoint Oy:n (2325703-6) toimittamissa Google Workspace with Gemini-, NotebookLM- ja Google Cloud Vertex AI -ratkaisuissa asiakkaan, opettajien tai oppilaiden syötteitä ja asiakirjoja ei koskaan käytetä julkisten tekoälymallien kouluttamiseen, kaupalliseen profilointiin tai kohdennettuun mainontaan (perusopetuslaki 628/1998 ja lukiolaki 714/2018). Kaikki tietojenkäsittely eristetään asiakkaan omaan ympäristöön EU-konesaleissa (europe-north1 Suomi / europe-west1 Belgia) EU:n tekoälyasetuksen ((EU) 2024/1689) ja GDPR:n mukaisesti.

Versio: 2.1 | Voimassaolo: elokuu 2026 | Viitekehys: EU AI Act ((EU) 2024/1689), GDPR, Edu DPA 2026.1 & ISO/IEC 27001:2022

Tämä tekoälyn hallintamalli ja tietosuojapolitiikka määrittelee periaatteet, tekniset suojatoimet ja lainsäädännölliset reunaehdot, joita Cloudpoint Oy (2325703-6) noudattaa suunnitellessaan, konsultoidessaan, toimittaessaan ja ylläpitäessään generatiivisen tekoälyn ratkaisuja sekä Google- että Microsoft-ympäristöissä kunnille, koulutuksen järjestäjille ja yritysasiakkaille.

1. Google Workspace with Gemini ja NotebookLM — tietosuoja-arkkitehtuuri ja oppilastietojen suoja

Kun asiakasorganisaatio ottaa käyttöön Google Workspace with Gemini -toiminnot tai NotebookLM Enterprise / Education -työkalut Cloudpoint Oy:n kautta, palveluihin sovelletaan Googlen sitovia yritystason tietosuojaehtoja (Google Workspace Cloud Data Processing Addendum) sekä Cloudpointin tietojenkäsittelysopimusta (DPA / Edu DPA 2026.1):

• Ei julkisten mallien koulutusta: Asiakkaan tietoja (sähköposteja, Google Docs-, Slides- ja Sheets-asiakirjoja, Meet-tallenteita tai Gemini-keskusteluja) ei koskaan käytetä julkisten Gemini-kielimallien kouluttamiseen tai hienosäätämiseen.
• Ehdoton kielto kaupalliselle profiloinnille ja mainonnalle (perusopetuslaki 628/1998 ja lukiolaki 714/2018): Opetustoimen ympäristöissä oppilaiden, opiskelijoiden tai opetushenkilöstön tietoja ei koskaan käytetä kaupalliseen profilointiin, kohdennettuun mainontaan tai tietojen myyntiin.
• Ei ulkopuolista ihmisten suorittamaa tarkastusta: Kukaan ulkopuolinen arvioija ei lue asiakkaan tekoälykehotteita tai vastauksia.
• Oikeuksien periytyminen (RBAC ja Zero Trust): Gemini hyödyntää vain niitä asiakirjoja, joihin kirjautuneella käyttäjällä on jo ennestään lukuoikeus Google Workspacen käyttöoikeushallinnan puitteissa.
• Organisaatioyksikkö- (OU) ja ikärajaukset opetustoimessa: Jokaiselle lisenssitasolle ja käyttäjäryhmälle määritetään oma organisaatioyksikkö (OU) Google Admin Consolessa, jolloin tekoälytoiminnot rajataan hallitusti opetushenkilöstölle, hallinnolle ja ikärajat täyttäville opiskelijoille.

2. Vertex AI, tietojen sijainti EU-alueella ja GCP:n jaetun vastuun malli (europe-north1 Suomi)

Räätälöidyissä tekoälysovelluksissa, tietokantahaussa (RAG / Enterprise Search) ja automaatioratkaisuissa Cloudpoint Oy hyödyntää Google Cloud Platformin (GCP) Vertex AI -alustaa:

• Tietojen sijainti EU-alueella ja asiakkaan vastuu GCP-aluevalinnasta: Kaikki tekoälymallien päättely (inference), vektoritietokannat ja asiakasaineistojen tallennus suositellaan sijoitettavaksi Euroopan unionin alueelle — ensisijaisesti Suomen Haminan konesaliin (europe-north1) tai Belgian konesaliin (europe-west1). GCP:n jaetun vastuun mallin mukaisesti Asiakas (rekisterinpitäjä) hallinnoi GCP-laskutusalitiliään (reseller.cloudpoint.fi) ja vastaa valitsemastaan maantieteellisestä GCP-alueesta (Region / Zone).
• Asiakkaan oma Google Cloud -projekti ja Multi-Tenant RLS: Asiakasratkaisut toteutetaan asiakkaan hallinnoimaan loogisesti eristettyyn GCP-projektiin, jossa asiakkaalla säilyy täysi hallinta salausavaimiin (CMEK), IAM-pääsyoikeuksiin ja VPC Service Controls -reunasuojaukseen. Cloudpoint Portalin (portal.cloudpoint.fi) sopimus- ja alilaskutustiedot on eristetty Multi-Tenant Row-Level Security (RLS) -tietokantaeristyksellä.
• Salaus siirrossa ja lepotilassa: Kaikki Vertex AI -rajapintakutsut salataan TLS 1.3 -protokollalla ja tallennettu aineisto salataan lepotilassa AES-256-algoritmilla.

3. EU:n tekoälyasetus ((EU) 2024/1689, EU AI Act) ja suuren riskin koulutussuojatoimet

Euroopan unionin tekoälyasetus ((EU) 2024/1689) luokittelee tietyt koulutuksessa ja ammatillisessa koulutuksessa käytettävät tekoälyjärjestelmät (liite III, kohta 3) suuren riskin (High-Risk) järjestelmiksi. Cloudpoint Oy varmistaa, että sen toimittamat ja konfiguroimat ratkaisut noudattavat tekoälyasetuksen vaatimuksia:

• Kiellettyjen käytäntöjen ehdoton esto (EU AI Act 5 art.): Cloudpointin toimittamia tekoälyratkaisuja ei koskaan käytetä oppilaiden tai työntekijöiden tunnetilojen tunnistamiseen (emotion recognition), sosiaaliseen pisteytykseen (social scoring) tai piilotettuun käyttäytymisen manipulointiin.
• Ihmisen suorittama valvonta — Human-in-the-Loop (EU AI Act 14 art. & GDPR 22 art.): Tekoäly toimii aina opettajan, viranhaltijan tai asiantuntijan avustavana työkaluna. Tekoäly ei tee itsenäisiä, sitovia hallintopäätöksiä oppilaaksiotosta, oppimistulosten tai kokeiden arvioinnista eikä kurinpidollisista toimista.
• Läpinäkyvyysvelvoite (EU AI Act 50 art.): Käyttäjille kerrotaan aina selkeästi, milloin he ovat vuorovaikutuksessa tekoälyjärjestelmän kanssa ja milloin sisältö on tekoälyavusteisesti luonnosteltua.
• Tekoälylukutaidon tukeminen (EU AI Act 4 art.): Cloudpoint kouluttaa kuntien, oppilaitosten ja yritysten henkilöstöä tekoälyn turvalliseen, kriittiseen ja tietosuojan mukaiseen käyttöön.

4. Kuntien ja opetustoimen tekoäly-DPIA sekä kansalliset tietosuojavaatimukset

Ennen generatiivisen tekoälyn käyttöönottoa kunnassa tai oppilaitoksessa rekisterinpitäjän on suoritettava GDPR 35 artiklan mukainen tietosuojaa koskeva vaikutustenarviointi (DPIA) sekä tarvittaessa tekoälyasetuksen 27 artiklan mukainen perusoikeusvaikutusten arviointi (FRIA).

Cloudpoint Oy ja lähiyhtiömme Edudata.io (3460068-8) tukevat kuntia ja koulutuksen järjestäjiä seuraavasti:

5. Yhteystiedot tekoäly- ja tietosuoja-asioissa

Kaikissa tekoälyn hallintamalliin, Gemini-tietoturvaan ja vaikutustenarviointeihin (DPIA) liittyvissä kysymyksissä voit olla yhteydessä tietosuojavastaavaamme: Tietosuojavastaava (DPO), Cloudpoint Oy, Malminkaari 17-19B, 00700 Helsinki, tietosuoja@cloudpoint.fi, puh. +358 9 4257 9280.

Miten Cloudpoint Oy:n ISO/IEC 27001:2022 -tietoturvan hallintajärjestelmä (ISMS) suojaa asiakasympäristöjä?

Cloudpoint Oy:n (2325703-6) tietoturvan hallintajärjestelmä (ISMS) noudattaa ISO/IEC 27001:2022 -standardia (liitteen A kontrollit A.5.24–A.5.28, A.8.1, A.8.8 ja A.8.10), ja sen toteutumista valvotaan jatkuvasti Vanta-alustalla. Suojaamme asiakasympäristöt ja pilviportaalimme (portal.cloudpoint.fi) fyysisillä YubiKey U2F/FIDO2 -suojausavaimilla, tarveperusteisella Just-In-Time (JIT) -pääsynhallinnalla, asiakaskohtaisella Multi-Tenant Row-Level Security (RLS) -tietokantaeristyksellä, SHA-256 IP-pseudonymisoinnilla, seitsemän vuoden muuttumattomalla GCS WORM -arkistoinnilla sekä päästä päähän -salauksella (AES-256, TLS 1.3 ja FDE).

Organisaatio: Cloudpoint Oy (2325703-6) | Versio: 2.1 (elokuu 2026) | Viitekehys: ISO/IEC 27001:2022, Vanta & GCP Shared Responsibility Model

1. Johdon tiivistelmä (Executive Summary)

Cloudpoint Oy (Y-tunnus 2325703-6, ALV-tunnus FI23257036) toimii suomalaisten ja pohjoismaisten kuntien, koulutuksen järjestäjien ja yritysten pilvikonsultointi- ja tietoturvakumppanina sekä Google- että Microsoft-ympäristöissä. Koska asiantuntijamme tukevat tuhansien opettajien, oppilaiden, viranhaltijoiden ja tietotyöläisten Google Workspace-, Google Cloud Platform (GCP)-, Microsoft 365 / Azure- ja Chromebook-ympäristöjä sekä Nomen- ja Edudata.io-integraatioita, tietoturva on kaiken toimintamme perusta.

Tämä tietoturvaseloste (Whitepaper) kuvaa Cloudpoint Oy:n teknisen ja organisatorisen tietoturva-arkkitehtuurin, joka perustuu ISO/IEC 27001:2022 -standardiin, Zero Trust -pääsynhallintaan, GCP:n jaetun vastuun malliin (Shared Responsibility Model) sekä sisäänrakennettuun ja oletusarvoiseen tietosuojaan (Privacy by Design and by Default).

2. ISMS-hallintamalli ja jatkuva valvonta Vanta-alustalla

Cloudpoint Oy:n tietoturvan hallintajärjestelmä (Information Security Management System, ISMS) on rakennettu vastaamaan täysimääräisesti ISO/IEC 27001:2022 -standardin vaatimuksia, ja sitä valvotaan reaaliaikaisesti automatisoidulla Vanta-vaatimustenmukaisuusalustalla:

• Teknisten haavoittuvuuksien ja riskien hallinta (ISO/IEC 27001:2022 liite A.8.8): Vanta ja Google Cloud Security Command Center seuraavat jatkuvasti teknisiä haavoittuvuuksia, ohjelmistoriippuvuuksia ja pilviresurssien konfiguraatioita. Havaitut poikkeamat luokitellaan ja korjataan ennakoivasti osana säännöllistä riskienhallintaa.
• Järjestelmien kovennus ja poikkeamien hallinta (ISO/IEC 27001:2022 liite A.5.24–A.5.28): Tuotanto- ja hallintaympäristöt päivitetään ja kovennetaan säännöllisten ylläpitokäytäntöjen mukaisesti, ja tietoturvapoikkeamien hallinta perustuu dokumentoituun neliportaiseen toimintamalliin.
• Päätelaitteiden ja omaisuuden elinkaarihallinta (ISO/IEC 27001:2022 liite A.8.1): Kaikki Cloudpointin tieto- ja laiteomaisuus on rekisteröity keskitettyyn laitehallintaan (MDM ja Vanta Agent). Laitehallintakontrollit varmistavat aukottoman seurannan laitteen hankinnasta ja käyttöönotosta aina kryptografiseen tyhjennykseen ja palautukseen asti.
• Automaattinen tietojen poistaminen (ISO/IEC 27001:2022 liite A.8.10): Päivittäiset automaattiset taustaprosessit poistavat allekirjoittamattomat sopimusluonnokset 30 vuorokaudessa, keskeneräiset sopimustietueet 180 vuorokaudessa ja operatiiviset tietoturvalokit 365 vuorokaudessa.
• Henkilöstön tietoturvakoulutus ja salassapito: Jokainen työntekijä ja asiantuntija allekirjoittaa salassapitosopimuksen (NDA), suorittaa säännölliset tietosuoja- ja tietoturvakoulutukset sekä ylläpitää ajantasaisia Google- ja Microsoft-pilvisertifiointeja.

3. Pääsynhallinta ja pääkäyttäjäpalvelun tietoturva (YubiKey MFA ja JIT)

Cloudpoint Oy soveltaa kaikissa sisäisissä järjestelmissään ja asiakkaiden pääkäyttäjäpalveluissa (tuki@cloudpoint.fi) tiukkaa Zero Trust- ja Least Privilege (RBAC) -mallia:

• Fyysiset U2F/FIDO2-suojausavaimet (YubiKey MFA): Kaikki pääsy tuotantojärjestelmiin, koodivarantoihin ja asiakkaiden hallintakonsoleihin edellyttää tietojenkalastelulta suojaavaa monivaiheista tunnistautumista laitteistopohjaisella YubiKey (U2F / FIDO2 / WebAuthn) -suojausavaimella.
• Ei pysyviä pääkäyttäjäoikeuksia ja tarveperusteinen Just-In-Time (JIT) -ylläpito: Cloudpointin asiantuntijoilla ei ole jatkuvaa avointa pääsyä asiakkaiden loppukäyttäjäsisältöihin. Hallintatoimenpiteet suoritetaan tarveperusteisesti (Just-In-Time) vain asiakkaan nimetyn pääkäyttäjän valtuuttamana tai dokumentoidun tukipyynnön perusteella.
• Täysi Admin Audit Log -läpinäkyvyys: Jokainen Cloudpointin asiantuntijan suorittama konfiguraatiomuutos tallentuu muuttumattomasti asiakkaan omaan Google Admin Audit Log -valvontalokiin.

4. Portaalin (portal.cloudpoint.fi) tekninen tietoturva-arkkitehtuuri, salaus ja GCP:n jaetun vastuun malli

• Multi-Tenant Row-Level Security (RLS) -tietokantaeristys: Cloudpoint Portal -asiointipalvelun (portal.cloudpoint.fi, Google Cloud europe-north1 Hamina) tietokanta pakottaa rivitason käyttöoikeuseristyksen (Multi-Tenant RLS), joka eristää jokaisen asiakasorganisaation sopimus-, lisenssi- ja alilaskutustiedot teknisesti toisistaan.
• Salaus lepotilassa ja siirrossa (AES-256, TLS 1.3 ja FDE): Kaikki tietokannat, tallennusjärjestelmät ja varmuuskopiot on salattu lepotilassa AES-256-salausstandardilla, verkkoliikenne salataan TLS 1.3 -protokollalla (HSTS pakotettuna) ja kaikissa työasemissa on käytössä pakotettu koko levyn salaus (Full Disk Encryption, FDE).
• SHA-256 IP-pseudonymisointi ja automaattinen henkilötietojen peittäminen: Tietoturva- ja auditointilokeissa asiakkaiden IP-osoitteet pseudonymisoidaan SHA-256-tiivisteellä ja suorat henkilötiedot suojataan automaattisella maskauksella.
• Seitsemän vuoden muuttumaton GCS WORM -arkistointi (KPL 2:10): Sähköisesti allekirjoitetut sopimukset (Bink.fi / Ruotsin BankID) ja allekirjoitustodistukset arkistoidaan muuttumattomaan Google Cloud Storage WORM (Write Once, Read Many) -säilöön seitsemäksi vuodeksi Suomen kirjanpitolain (1336/1997, 2 luku 10 §) mukaisesti.
• GCP:n jaetun vastuun malli (Shared Responsibility Model): Google ja Cloudpoint Oy vastaavat fyysisestä konesaliturvallisuudesta, palvelinlaitteistosta, virtualisointikerroksesta, runkoverkosta, portaalin RLS-eristyksestä ja sertifioinneista (ISO 27001, SOC 1/2/3, PCI DSS). Asiakas (rekisterinpitäjä) vastaa omien GCP-alilaskutusprojektiensa (reseller.cloudpoint.fi) IAM-käyttöoikeuksista, API-avaimista, palomuurisäännöistä, tietokantaoikeuksista sekä maantieteellisen GCP Region/Zone -konesalialueen valinnasta (esim. Suomi europe-north1 Hamina).
• Sähköpostin ja verkkotunnusten suojaus (SPF / DKIM / DMARC): Cloudpoint ylläpitää tiukkoja SPF-, DKIM- ja DMARC (p=reject/quarantine) -määrityksiä sekä omille verkkotunnuksilleen että pääkäyttäjäpalvelun asiakasympäristöille.

5. Kolmiportainen tiedonluokittelu (3-Tier Data Classification)

Cloudpoint Oy:n tiedonhallintapolitiikka (Data Management Policy) luokittelee kaiken käsiteltävän tiedon kolmeen suojaustasoon:

6. Fyysinen turvallisuus (Malminkaari 17-19B, 00700 Helsinki)

Cloudpoint Oy:n päätoimipaikka sijaitsee osoitteessa Malminkaari 17-19B, 00700 Helsinki. Toimitilojen ja konesaliympäristöjen fyysinen turvallisuus on varmistettu monikerroksisesti:

• Kulunvalvonta ja ympärivuorokautinen valvonta: Toimitiloissa on sähköinen, henkilökohtaisiin kulkutunnisteisiin perustuva kulunvalvonta, murtohälytysjärjestelmä, vartiointi sekä ympärivuorokautinen tallentava kameravalvonta kiinteistön sisäänkäynneillä.
• Vierailijakäytännöt ja puhtaan pöydän periaate (Clean Desk): Ulkopuoliset vierailijat kirjataan vierailijarekisteriin, ja he liikkuvat tiloissa vain henkilökunnan saattamina. Toimistossa noudatetaan puhtaan pöydän ja lukitun näytön periaatetta.
• Ei paikallisia palvelimia ja salatut pilvivarmuuskopiot: Asiakasdataa ei säilytetä paikallisilla toimistopalvelimilla tai irrotettavilla tallennusvälineillä. Kaikki tuotantojärjestelmät ja salatut varmuuskopiot sijaitsevat ISO/IEC 27001 -sertifioiduissa Google Cloudin EU-konesaleissa (ensisijaisesti europe-north1 Hamina, Suomi).

7. Tietoturvaloukkausten hallintasuunnitelma (ISO/IEC 27001:2022 A.5.24–A.5.28) ja penetraatiotestaus

Cloudpoint Oy ylläpitää dokumentoitua tietoturvaloukkausten hallintasuunnitelmaa (Incident Response Plan, ISO/IEC 27001:2022 liite A.5.24–A.5.28), jota johtaa Cloudpoint Oy:n tietosuojavastaava (DPO) (tietosuoja@cloudpoint.fi, puh. +358 9 4257 9280):

• Eristäminen ja juurisyyanalyysi (Post-Mortem / Root-Cause Analysis): Jokaisen poikkeaman yhteydessä uhka eristetään välittömästi (istuntojen katkaisu, salausavainten vaihto ja käyttöoikeuksien poisto), minkä jälkeen suoritetaan perusteellinen juurisyyanalyysi vastaavien tapausten estämiseksi.
• Vuosittainen ulkoinen penetraatiotestaus: Cloudpointin ja sen lähiyhtiöiden (Nomen ja Edudata.io) sovellus- ja pilviympäristöille suoritetaan vuosittain riippumattoman, sertifioidun kyberturvallisuusyrityksen toteuttama ulkoinen tietoturva-auditointi ja penetraatiotestaus.

Päivitetty: 11.8.2026 | Tavoitetaso: WCAG 2.2 Level AA & EN 301 549 | Säädösperusta: Laki digitaalisten palvelujen tarjoamisesta (306/2019) & Direktiivi (EU) 2016/2102 | Yhtiö: Cloudpoint Oy (2325703-6, ALV FI23257036)

Miten www.cloudpoint.fi täyttää WCAG 2.2 AA -tason ja digipalvelulain saavutettavuusvaatimukset?

Cloudpoint Oy varmistaa www.cloudpoint.fi-verkkosivuston, Cloudpoint Portal -asiointipalvelun (portal.cloudpoint.fi) ja Trust Center -portaalin digitaalisen saavutettavuuden kansallisen digipalvelulain (306/2019), EU:n saavutettavuusdirektiivin (EU) 2016/2102 sekä WCAG 2.2 Level AA -kriteeristön mukaisesti. Käyttöliittymä takaa vähintään 4,5:1 värikontrastin, 48x48 pikselin kosketuskohteet, aria-live- ja aria-label-tunnisteet sekä 14 vuorokauden vastausajan osoitteessa tuki@cloudpoint.fi.

1. Saavutettavuuden tila, soveltamisala ja vanhat PDF-liitteet

Tämä saavutettavuusseloste koskee Cloudpoint Oy:n julkista verkkosivustoa (https://www.cloudpoint.fi), Cloudpoint Portal -asiointipalvelua (https://portal.cloudpoint.fi) sekä Trust Center -vaatimustenmukaisuusportaalia. Koska Cloudpoint Oy toimii suomalaisten kuntien, koulutuksen järjestäjien ja julkishallinnon organisaatioiden kumppanina, noudatamme verkkopalvelussamme lakia digitaalisten palvelujen tarjoamisesta (306/2019), EU:n saavutettavuusdirektiiviä (EU) 2016/2102 sekä Web Content Accessibility Guidelines (WCAG) 2.2 Level AA -kriteeristöä.

Vuonna 2026 suoritetun teknisen saavutettavuusauditoinnin perusteella www.cloudpoint.fi/trust-center-portaali ja asiakasportaali täyttävät kaikki WCAG 2.2 AA -tason vaatimukset. Huomautus vanhoista PDF-tiedostoista: Yksittäiset ennen vuotta 2026 luodut arkistoidut PDF-liitteet tai kolmansien osapuolten tuote-esitteet eivät välttämättä kaikilta osin sisällä täydellistä ruudunlukijamerkintää; kaikki nykyiset sopimukset, DPA-liitteet ja selosteet tarjotaan suoraan saavutettavana HTML5-tekstinä ja vektori-PDF-tulosteina (@media print), ja minkä tahansa asiakirjan voi pyytää saavutettavassa muodossa osoitteesta tuki@cloudpoint.fi.

2. Toteutetut WCAG 2.2 Level AA -tekniset saavutettavuuskontrollit

3. Saavutettavuuspalaute ja yhteystiedot (14 vrk vastausaika)

Huomasitko saavutettavuuspuutteen www.cloudpoint.fi-sivustolla tai asiakasportaalissa, tai tarvitsetko jonkin sopimus-, tietosuoja- tai DPIA-asiakirjamme vaihtoehtoisessa saavutettavassa muodossa? Ota meihin yhteyttä:

• Ensisijainen saavutettavuuspalautteen sähköposti: tuki@cloudpoint.fi (tai tietosuoja: tietosuoja@cloudpoint.fi)
• Puhelin: +358 9 4257 9280 / +358 9 4257 9286
• Vastaava taho: Tietosuojavastaava (DPO) ja saavutettavuusvalvonta, Cloudpoint Oy (tietosuoja@cloudpoint.fi)
• Lakisääteinen vastausaika (14 päivää): Vastaamme saavutettavuuspalautteeseen viipymättä ja viimeistään 14 päivän kuluessa digipalvelulain (306/2019) mukaisesti.

4. Valvontaviranomainen (Traficom / ESAVI)

Jos huomaat sivustolla saavutettavuusongelmia, anna ensin palautetta meille osoitteeseen tuki@cloudpoint.fi. Jos et ole tyytyväinen saamaasi vastaukseen tai et saa vastausta lainkaan kahden viikon (14 päivän) aikana, voit tehdä ilmoituksen valvovalle viranomaiselle (Liikenne- ja viestintävirasto Traficom / Etelä-Suomen aluehallintovirasto ESAVI):