Tietosuojakäytäntö

1. Rekisterinpitäjä

Hoken Tech S.r.l.
Via Ippolito Nievo, 25
70056 Molfetta (BA), Italy
Sähköposti: support@hokenpass.com
ALV / Y-tunnus: IT086677120720
REA: BA 642341
PEC: hokentech@pec.it

2. Tietosuojavastaava (DPO)

Yhteys: support@hokenpass.com

3. Käsiteltävät Henkilötietotyypit

Käsittelemme seuraavia henkilötietoluokkia:

• Tilitiedot: nimi, sähköpostiosoite, salasana (hajautettu)
• Organisaatiotiedot: yrityksen nimi, ALV-numero, maa, rooli (ylläpitäjä/muokkaaja/katselija)
• DPP-tiedot: tuotetiedot, passin sisältö, digitaaliset allekirjoitukset
• Lohkoketjutiedot: tapahtumatunnukset, kuorman tiivisteet (SHA-256), aikaleimat
• Käyttötiedot: IP-osoite, selaintyyppi, vieraillut sivut, suoritetut toiminnot
• Maksutiedot: laskutustiedot (käsittelee Stripe — katso heidän tietosuojakäytäntönsä)
• Suostumusrekisterit: evästeiden suostumus, markkinoinnin suostumus, aikaleimat

4. Käsittelyn Oikeusperuste

Käsittely perustuu:

• GDPR:n 6(1)(b) artikla — Sopimuksen täytäntöönpano (palvelun tarjoaminen)
• GDPR:n 6(1)(a) artikla — Suostumus (markkinointi, analytiikkaevästeet)
• GDPR:n 6(1)(c) artikla — Lainmukainen velvoite (verot, kirjanpito, rahanpesun torjunta)
• GDPR:n 6(1)(f) artikla — Oikeutettu etu (turvallisuus, petostentorjunta, palvelun parantaminen)

5. Käsittelyn Tarkoitus

• Hoken Pass SaaS -alustan tarjoaminen
• Digitaalisten tuotepassien luominen ja hallinta
• Lohkoketjun notaarin vahvistus ja aikaleimaus EOS/Vaulta-alustoilla
• QR-koodien, digitaalisten linkkien, PDF/JSON-vientien tuottaminen
• Tiimin hallinta ja roolipohjainen käyttöoikeuksien hallinta
• Maksujen käsittely ja tilauksenhallinta
• Transaktioviestien lähettäminen (tervetuloa, salasanan nollaus, tiimikutsut)
• Analytiikka ja palvelun parantaminen (suostumuksella)
• EU-säädösten noudattaminen (ESPR, CAD, eIDAS)
• Turvallisuuden seuranta ja petostentorjunta

6. Tietojen Vastaanottajat

Tietojasi voidaan jakaa seuraavien kanssa:

• Supabase — Tietokantahotellointi (EU-pohjainen, GDPR-yhteensopiva)
• Cloudflare — Tiedostojen tallennus (R2) ja CDN
• Stripe — Maksujen käsittely (PCI DSS -taso 1)
• Brevo — Transaktioviestien toimitus
• InfoCert / Openapi — Laadukas aikaleimaus (QTSP, eIDAS-yhteensopiva)
• EOS/Vaulta (Jungle4) — Lohkoketjun notaarin vahvistus (vain tiiviste, ei henkilötietoja)

7. Kansainväliset Tietojen Siirrot

Kaikki ensisijainen tietojenkäsittely tapahtuu EU:ssa/ETA:ssa. Kun tietoja siirretään EU:n ulkopuolelle (esim. lohkoketjun solmut), varmistamme asianmukaisten suojatoimien olemassaolon:

• Vakiosopimuslausekkeet (SCC) GDPR:n 46(2)(c) artiklan mukaisesti
• Riittävyyspäätökset, jos saatavilla
• Vain välttämätön vähimmäismäärä tietoja siirretään (vain tiiviste lohkoketjuun)

8. Tietojen Säilytys

• Tilitiedot: tilin kesto + 30 päivää poistamisen jälkeen
• DPP-tiedot: tilauksen kesto + 90 päivää varmuuskopioita varten
• Lohkoketjutiedot: pysyviä (muuttumattomia suunnittelultaan, mutta ei linkitettävissä off-chain-poiston jälkeen)
• Maksutiedot: 10 vuotta (Italian verolaki)
• Käyttölokit: 12 kuukautta
• Suostumusrekisterit: 3 vuotta viimeisestä vuorovaikutuksesta
• Markkinointitiedot: kunnes suostumus peruutetaan

9. Oikeutesi (GDPR:n 15–22 artikla)

Sinulla on oikeus:

• Tietojen tarkastukseen (15 artikla) — Pyytää kopio henkilötiedoistasi
• Oikaisuun (16 artikla) — Korjauttaa virheelliset tiedot
• Tietojen poistamiseen (17 artikla) — Pyytää tietojesi poistamista
• Käsittelyn rajoittamiseen (18 artikla) — Rajoittaa käsittelyä tietyissä tapauksissa
• Tietojen siirrettävyyteen (20 artikla) — Saada tietosi koneellisesti luettavassa muodossa
• Vastustamiseen (21 artikla) — Vastustaa oikeutettuun etuun perustuvaa käsittelyä
• Suostumuksen peruuttamiseen — Milloin tahansa, vaikuttamatta aiemman käsittelyn lainmukaisuuteen

Käyttääksesi oikeuksiasi, ota yhteyttä: support@hokenpass.com

10. Lohkoketju ja Oikeus Tietojen Poistamiseen (EDPB 02/2025)

EDPB:n lohkoketjua ja henkilötietoja koskevien suuntaviivojen 02/2025 mukaisesti:

• Vain avainperustaisia tiivisteitä (HMAC-SHA256) tallennetaan on-chain — ei henkilötietoja
• Kaikki henkilötiedot tallennetaan off-chain salattuun tietokantaamme
• Poistopyynnön yhteydessä poistamme kaikki off-chain-tiedot ja tuhoamme HMAC-avaimen, jolloin on-chain-tiivisteet eivät ole linkitettävissä (tehokas poisto)
• Kaikesta lohkoketjujen käsittelystä on tehty tietosuojaa koskeva vaikutustenarviointi (DPIA)
• Ylläpidämme käsittelytoimien rekisteriä (ROPA) GDPR:n 30 artiklan mukaisesti

11. eIDAS-vaatimustenmukaisuus

Laadukkaille aikaleimoille ja sähköisille sineteille:

• Aikaleimat tuottaa InfoCert S.p.A., joka on pätevä luottamuspalvelujen tarjoaja (QTSP) EU:n luottamuslistalla
• Aikaleimat ovat eIDAS-asetuksen (EU) 910/2014, 42 artiklan mukaisia
• Jokainen aikaleima sitoo UTC-päivämäärän/-ajan dokumentin tiivisteeseen QTSP:n allekirjoittamalla RFC 3161 -tokenilla

12. CAD-vaatimustenmukaisuus

Italian digitaalisen hallinnon säännöstön (D.Lgs. 82/2005) mukaisesti:

• Kaikki asiakirjat säilyttävät eheyden SHA-256-tiivistealgoritmin avulla
• Varmenteilla aikaleimat tarjoavat oikeudellisen todisteen olemassaolopäivästä
• Asiakirjojen metatiedot noudattavat AgID:n ohjeita
• Kaikista passitoiminnoista ylläpidetään tarkastuslokeja

13. Turvatoimenpiteet

• TLS 1.3 -salaus kaikelle siirrossa olevalle tiedolle
• AES-256-saalaus arkaluonteisille tiedoille levossa
• Roolipohjainen käyttöoikeuksien hallinta (RBAC) rooleilla ylläpitäjä/muokkaaja/katselija
• Säännölliset tietoturva-arvioinnit ja haavoittuvuusskannaukset
• Tietoturvaloukkausten hallintamenettelyt ACN:n (kansallisen kyberturvallisuusviraston) ohjeiden mukaisesti

14. Valitukset

Jos uskot tietosuojaoikeuksiesi tulleen loukatuiksi, voit tehdä valituksen:

Garante per la protezione dei dati personali
Piazza Venezia 11, 00187 Roma, Italy
www.garanteprivacy.it

15. Muutokset Tähän Käytäntöön

Voimme päivittää tätä tietosuojakäytäntöä. Olennaisista muutoksista ilmoitetaan sähköpostitse tai alustan bannerilla. Uusin versio on aina saatavilla tästä URL-osoitteesta.