Rekisterinpitäjä on:

Pyry Lysmä
Helsinki, Suomi
Tietosuoja-asiat: kivipeli.fi@gmail.com

Kivipeli on yksityishenkilön ylläpitämä indie-palvelu. GDPR Art. 37:n mukaista tietosuojavastaavaa (DPO) ei ole nimetty, sillä nimeämisvelvollisuuden kynnys ei täyty. Kaikki tietosuoja-asiat osoitetaan yllä mainittuun sähköpostiosoitteeseen.

Keräämme ainoastaan palvelun toiminnan kannalta välttämättömät tiedot:

• Tilitiedot: sähköpostiosoite, salattu salasana, käyttäjänimi, syntymävuosi.
• Sijaintitieto: GPS-koordinaatit tallennetaan löytö- ja piilotustapahtumiinläheisyyden vahvistamiseksi. Karttanäkymässä koordinaatteihin lisätään satunnainen siirtymä (10–30 m) haasteen säilyttämiseksi.
• Pelitiedot: piilotetut ja löydetyt kivet, kuvaukset, valokuvat, kommentit ja tykkäykset.
• Laite- ja selaintieto: laitteen tyyppi ja käyttöjärjestelmä palvelun kehittämistä varten (Vercel Analytics) — ei sisällä henkilötietoja.
• Vierailijatili: ilman rekisteröintiä luodaan tilapäinen istuntotunniste. Tallennetaan vain pelitapahtumat — ei sähköpostia tai muita henkilötietoja.

Ladattujen kuvien EXIF-metatiedot, mukaan lukien mahdolliset GPS-koordinaatit, poistetaan automaattisesti ennen tallennusta.

• Sopimuksen täytäntöönpano (Art. 6(1)(b)): tilitiedot ja sijaintidata palvelun toiminnan varmistamiseksi.
• Lakisääteinen velvoite (Art. 6(1)(c)): maksutapahtumien säilyttäminen kirjanpitolain (1336/1997) mukaisesti.
• Oikeutettu etu (Art. 6(1)(f)): turvallisuus, väärinkäytösten estäminen ja kuvantunnistus löytöjen vahvistamisessa.
• Suostumus (Art. 6(1)(a)): sähköposti-ilmoitukset — voit peruuttaa suostumuksen milloin tahansa.

• Tilitiedot ja pelitiedot — säilytetään tilin aktiivisuuden ajan.
• Tilin poiston jälkeen — profiilit, kommentit ja tykkäykset poistetaan 30 päivän kuluessa; kivet anonymisoidaan.
• Maksutapahtumat — säilytetään 6 vuotta kirjanpitolain (1336/1997) mukaisesti.
• Moderointitiedot — enintään 12 kuukautta toistuvien väärinkäytösten tunnistamiseksi.
• Analytiikkatapahtumat — aggregoidaan 90 päivän jälkeen.

Käytämme seuraavia alihankkijoita. Jokainen käsittelee henkilötietoja kirjallisen tietojenkäsittelysopimuksen (DPA) nojalla:

• Supabase, Inc. — tietokanta, autentikaatio ja tiedostovarasto. Palvelimet EU:ssa (Frankfurt).
• Vercel, Inc. — palvelun hostaus ja anonymisoitu käyttöanalytiikka. Ei evästeitä, ei henkilötietoja.
• Google LLC — tekoälypohjainen kuvantunnistus (Gemini API) ja kirjautuminen (Google Sign-In / OAuth 2.0). Google ei käytä API-käytöllä saatua dataa mallien kouluttamiseen.
• Resend, Inc. — sähköposti-ilmoitusten toimitus. Vastaanottaa sähköpostiosoitteen ilmoituksen lähettämistä varten.

Emme myy tai luovuta henkilötietojasi markkinointitarkoituksiin kolmansille osapuolille.

Palvelu on tarkoitettu 13 vuotta täyttäneille. Suomen tietosuojalain (1050/2018, §5) mukaisesti alle 13-vuotiaat tarvitsevat huoltajan suostumuksen. Rekisteröityminen edellyttää syntymävuoden ilmoittamista. Emme tietoisesti kerää alle 13-vuotiaiden tietoja. Jos epäilet alaikäisen rekisteröitymistä palveluun, ota yhteyttä osoitteeseen kivipeli.fi@gmail.com.

Sinulla on seuraavat oikeudet:

• Tarkastusoikeus (Art. 15) — oikeus saada tieto sinusta tallennetuista henkilötiedoista.
• Oikaisupyyntö (Art. 16) — virheelliset tiedot oikaistaan; useimmat kentät muokattavissa sovelluksessa.
• Poisto-oikeus (Art. 17) — tilin poisto löytyy asetuksista tai pyytämällä sähköpostitse.
• Tietojen siirto (Art. 20) — tietosi koneluettavassa JSON-muodossa pyynnöstä.
• Vastustamisoikeus (Art. 21) — tietojesi käsittely oikeutetun edun perusteella, mukaan lukien analytiikka.
• Käsittelyn rajoittaminen (Art. 18) — kiistanalaisten tietojen käsittely voidaan jäädyttää selvittelyn ajaksi.
• Ihmistarkistus (Art. 22) — oikeus pyytää ihmisen tekemää tarkistusta automaattisesta päätöksestä.
• Suostumuksen peruuttaminen (Art. 7) — milloin tahansa; ei vaikuta aiempaan käsittelyyn.

Voit käyttää oikeuksiasi ottamalla yhteyttä: kivipeli.fi@gmail.com. Vastaukseen pyritään 30 päivän kuluessa. Sinulla on myös oikeus tehdä valitus Tietosuojavaltuutetulle: tietosuoja.fi.

Supabase käsittelee dataa EU:ssa (Frankfurt). Vercel, Google LLC ja Resend ovat yhdysvaltalaisia yrityksiä. Tiedonsiirrot EU:n ulkopuolelle suojataan EU:n komission hyväksymillä vakiosopimuslausekkeilla (SCC, päätös 2021/914) sekä kuljetuksen ja tallennuksen aikaisella salauksella.

Kaksi automaattista prosessia käsittelee käyttäjien lähettämää sisältöä:

• Löydön kuvavahvistus — tekoäly (Google Gemini) vertaa löytökuvaa referenssikuvaan. Vastaavuuden ollessa ≥8/10 löytö vahvistetaan automaattisesti; muussa tapauksessa käyttäjä valitsee kiven listalta manuaalisesti.
• Sisältösuodatus — käyttäjänimet, kivien otsikot ja kuvaukset tarkistetaan automaattisesti asiattoman sisällön varalta ennen tallennusta.

Sinulla on oikeus pyytää ihmisen tekemää tarkistusta automaattisesta päätöksestä (GDPR Art. 22) — ota yhteyttä: kivipeli.fi@gmail.com.

• Kaikki liikenne salataan HTTPS/TLS:llä.
• Data tallennetaan AES-256-salattuna Supabase-palvelimille.
• Salasanoja ei tallenneta selväkielisenä — käytetään bcrypt-hajautusta.
• Kuvien EXIF-metatiedot (mukaan lukien GPS) poistetaan ennen tallennusta.
• Tuotantodataan pääsy on rajoitettu ja lokitettu.

Tietoturvaloukkauksesta ilmoitetaan asianomaisille käyttäjille ja Tietosuojavaltuutetulle 72 tunnin kuluessa GDPR Art. 33:n mukaisesti.

Käytämme istuntoevästeitä autentikaatioon (Supabase-sessio). Emme käytä seuranta- tai mainosevästeitä eikä erillistä evästehyväksyntäbanneria tarvita.

Pelin tila (löydetyt kivet, asetukset, karttasuodattimet) tallennetaan laitteen paikalliseen muistiin (localStorage) eikä siirry palvelimelle.

Merkittävistä muutoksista ilmoitetaan sähköpostitse tai sovelluksen sisäisellä ilmoituksella vähintään 14 päivää ennen muutoksen voimaantuloa. Jatkamalla palvelun käyttöä muutosten voimaantulon jälkeen hyväksyt päivitetyn käytännön.

Kaikki tietosuojaan liittyvät kysymykset, pyynnöt ja ilmoitukset:

Kivipeli.fi
kivipeli.fi@gmail.com

Pyrimme vastaamaan kaikkiin yhteydenottoihin 30 päivän kuluessa. Valvontaviranomainen: Tietosuojavaltuutetun toimisto, tietosuoja.fi.