Laskupiste ja GDPR

EU:n yleinen tietosuoja-asetus (GDPR) on ollut sovellettavaa lakia 25.5.2018 alkaen, ja Suomessa sitä täydentää tietosuojalaki (1050/2018). Kyse ei siis ole enää uudesta velvoitteesta vaan vakiintuneesta lainsäädännöstä, joka koskee jokaista henkilötietoja käsittelevää yritystä kotipaikasta riippumatta.

Tämä sivu on selkokielinen opas sinulle, joka käytät Laskupistettä — se auttaa hahmottamaan oman roolisi ja velvollisuutesi. Kuvauksen siitä, miten Laskupiste käsittelee henkilötietoja, löydät tietosuojaselosteesta, ja palvelun ehdot käyttöehdoista.

Tämä sivu on yleisluontoista opastusta, ei oikeudellista neuvontaa. Oman tilanteesi velvoitteet kannattaa varmistaa tarvittaessa asiantuntijalta tai Tietosuojavaltuutetun toimiston ohjeista.

Roolit: sinä olet rekisterinpitäjä, Laskupiste on käsittelijä

Kun käytät Laskupistettä, sinä toimit rekisterinpitäjänä ja Laskupiste henkilötietojen käsittelijänä. Kaikki tieto, joka on suoraan tai epäsuorasti liitettävissä tiettyyn henkilöön, on henkilötietoa — esimerkiksi asiakkaidesi nimet, osoitteet ja yhteystiedot. Tämä rekisteri on sinun, vaikka se sijaitsee palvelussamme.

Käsittelijänä meillä ei ole oikeutta käyttää tietojasi muuhun kuin palvelun tuottamiseen tai siihen, mihin laki meitä velvoittaa. Oikeus tietoihin — ja vastuu niiden lainmukaisesta käsittelystä — säilyy sinulla. Rekisterinpitäjänä huolehdit tietojen lainmukaisesta keräämisestä, luottamuksellisesta käsittelystä ja siitä, että oma tietosuojaselosteesi on ajantasainen. Lisätietoa rooleista ja velvollisuuksista saat Tietosuojavaltuutetun toimiston sivuilta.

GDPR edellyttää, että rekisterinpitäjä ja käsittelijä sopivat käsittelystä henkilötietojen käsittelysopimuksella (Data Processing Agreement, GDPR 28 art.). Käyttämällä Laskupistettä hyväksyt välisemme käsittelysopimuksen, jonka sisältö käy ilmi käyttöehdoista ja tietosuojaselosteesta.

Rekisteröidyn oikeudet — mitä asiakkaasi voivat pyytää

Henkilöllä, jonka tietoja käsittelet, on tietosuoja-asetuksen mukaiset oikeudet. Rekisterinpitäjänä sinä vastaat näihin pyyntöihin; Laskupiste tarjoaa työkalut, joilla toteutat ne. Keskeisimmät oikeudet:

• Tarkastusoikeus — saada tietää, mitä häntä koskevia tietoja käsittelet.
• Oikaisu — saada virheelliset tiedot korjatuiksi.
• Poisto-oikeus eli oikeus tulla unohdetuksi — saada tietonsa poistetuiksi, kun käsittelylle ei ole enää perustetta.
• Käsittelyn rajoittaminen ja vastustamisoikeus.
• Siirto-oikeus — saada antamansa tiedot koneluettavassa muodossa. Voit ladata yksittäiseen rekisteröityyn liittyvät tiedot palvelusta koneluettavana (JSON).

Tieto siitä, miten Laskupiste avustaa näiden oikeuksien toteuttamisessa, on tietosuojaselosteessa.

Tietojen poistaminen ja säilytysvelvollisuus

Jos henkilörekisterisi sijaitsee vain palvelussamme, poisto-pyyntöön riittää, että poistat tai anonymisoit kyseisen henkilön tiedot palvelusta. Huomioi kuitenkin kirjanpitovelvollisuus: kirjanpitolaki (1336/1997) edellyttää tositteiden — kuten laskujen — säilyttämistä vähintään 6 vuotta sen tilikauden päättymisvuoden lopusta. Laskuihin liittyviä tietoja ei siis poisteta poisto-pyynnön perusteella, sillä niiden säilyttämiselle on lakisääteinen peruste.

Käytännössä tämä tarkoittaa:

• Jos henkilöön liittyy laskuja, et voi poistaa häntä kokonaan — muokkaa tietoja ja anonymisoi tarpeettomat henkilötiedot (esim. korvaa nimi merkinnällä "Poistettu").
• Anonymisoinnin etu kokonaispoistoon nähden on, että edellisvuosien raportit pysyvät oikeina ja vertailukelpoisina.
• Laskutetut laskut säilyvät palvelussa kirjanpitoaineistona, joten niitä ei tarvitse poistaa erikseen — niiden säilyttämiseen sinulla on lakisääteinen peruste.

Alikäsittelijät ja tietojen siirrot EU- ja ETA-alueen ulkopuolelle

Palvelun tuottamiseen Laskupiste käyttää alikäsittelijöitä (esimerkiksi palvelininfrastruktuuria ja viestintätyökaluja). Osa niistä voi käsitellä tietoa EU- ja ETA-alueen ulkopuolella, jolloin siirroissa käytetään tietosuoja-asetuksen edellyttämiä asianmukaisia suojatoimia — vakiosopimuslausekkeita (SCC) tai EU:n ja Yhdysvaltojen välistä Data Privacy Framework -järjestelyä. (Vanha Privacy Shield -järjestely kumoutui Schrems II -tuomiossa 2020, ja sen korvasi DPF vuonna 2023.)

Ajantasaisen luettelon alikäsittelijöistä ja käytetyistä suojatoimista löydät aina tietosuojaselosteesta — se on tämän asian osalta auktoritatiivinen lähde.

Tietoturvaloukkaukset

Jos henkilötietoihin kohdistuu tietoturvaloukkaus, rekisterinpitäjän on pääsääntöisesti ilmoitettava siitä valvontaviranomaiselle (Tietosuojavaltuutetulle) 72 tunnin kuluessa. Käsittelijänä Laskupiste ilmoittaa tietoonsa tulleesta, henkilötietoja koskevasta loukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä, jotta ehdit täyttää oman ilmoitusvelvollisuutesi.

Miten huomioin Laskupisteen omassa tietosuojaselosteessani?

Jos sinulla ei vielä ole tietosuojaselostetta, se kannattaa laatia nyt. Koska käytät tietojen käsittelyyn ulkopuolista palveluntarjoajaa, mainitse selosteessasi, että käytät ulkopuolisia käsittelijöitä. Laskupistettä ei tarvitse mainita nimeltä, mutta sisäisesti kannattaa pitää kirjaa kaikista käyttämistäsi palveluntarjoajista, jotta tiedät, missä kaikkialla henkilötietoja käsitellään. Mainitse myös säännönmukaiset luovutukset.

Kun lähetän kirjanpitäjälleni henkilötietoa sisältävää aineistoa

Mainitse tietosuojaselosteessasi säännönmukaiset luovutukset ja ulkopuoliset käsittelijät. Olennaista on erottaa, luovutetaanko tietoja vai annetaanko oikeus käsitellä niitä. Yleensä tietoja ei tarvitse luovuttaa — riittää, että kirjanpitäjälle annetaan oikeus käsitellä tarvittavia tietoja toimeksiannon hoitamiseksi. Tietojen luovutukselle tai käsittelyoikeudelle on aina oltava lainmukainen peruste tai rekisteröidyn suostumus.

Miten Laskupiste on rakennettu tietosuoja huomioiden

Tietosuoja on huomioitu palvelussa sisäänrakennetusti (privacy by design & default):

• voit poistaa käyttäjätilin ja siihen liittyvät henkilötiedot palvelun kautta,
• voit ladata yksittäiseen rekisteröityyn liittyvät henkilötiedot koneluettavassa muodossa (JSON) siirto-oikeuden toteuttamiseksi,
• välisemme henkilötietojen käsittelysopimus (28 art.) on osa palvelun ehtoja,
• alikäsittelijät ja tietojen siirrot on kuvattu läpinäkyvästi tietosuojaselosteessa.

Olemme päivittäneet tietosuojaselosteemme ja käyttöehtomme vastaamaan voimassa olevaa lainsäädäntöä. Jos sinulla on kysyttävää henkilötietojen käsittelystä Laskupisteessä, otathan yhteyttä — autamme mielellämme.

Päivitetty 6/2026. Tämä on yleisluontoinen opas, ei oikeudellista neuvontaa.