Arwi – Tietosuojaseloste

Versio 1.0 – päivitetty 1.10.2026

Tässä tietosuojaselosteessa kerrotaan, miten Arwi Oy käsittelee henkilötietoja Arwi-palvelun yhteydessä.

1. Rekisterinpitäjä ja yhteystiedot

Tietosuoja-asioiden yhteydenotot: info@arwi.fi

Arwi Oy toimii rekisterinpitäjänä Arwin käyttäjätileihin ja Arwi Oy:n omaan palvelutoimintaan liittyvien henkilötietojen osalta.

Kun Arwia käytetään koulun, kunnan tai muun opetuksen järjestäjän toiminnassa ja palveluun tallennetaan oppilaiden henkilötietoja, kyseinen organisaatio toimii lähtökohtaisesti näiden tietojen rekisterinpitäjänä ja Arwi Oy henkilötietojen käsittelijänä rekisterinpitäjän lukuun.

Arwi Oy ei käytä palveluun tallennettuja oppilastietoja omiin tarkoituksiinsa, kuten markkinointiin, käyttäjäprofilointiin, tekoälymallien kouluttamiseen tai Arwi Oy:n omaan analytiikkaan.

2. Arwin käyttö oppilaiden henkilötietojen käsittelyyn

Ennen oppilaiden henkilötietojen tallentamista Arwiin käyttäjän tulee varmistaa, että hänen koulunsa tai opetuksen järjestäjänsä on hyväksynyt Arwin käytön kyseisten henkilötietojen käsittelyyn.

Rekisterinpitäjän ja Arwi Oy:n välillä tulee olla voimassa henkilötietojen käsittelysopimus (DPA), kun Arwi Oy käsittelee oppilaiden henkilötietoja rekisterinpitäjän lukuun. Opettaja ei saa hyväksyä tällaista sopimusta organisaationsa puolesta, ellei hänellä ole siihen asianmukaista valtuutusta.

Oppilaille ja tarvittaessa heidän huoltajilleen annettavista rekisterinpitäjän tietosuojatiedoista vastaa oppilastietojen rekisterinpitäjä.

3. Käsiteltävät henkilötiedot

Käyttäjätiliin liittyvät tiedot

• sähköpostiosoite
• salasanan suojattu tiiviste
• sähköpostiosoitteen vahvistamiseen ja salasanan palauttamiseen liittyvät tiedot
• käyttäjätiliin liittyvät tekniset tiedot ja aikaleimat
• kielivalinta ja muut palvelun käyttöön liittyvät asetukset

Arwi Oy ei tallenna käyttäjän salasanaa selväkielisenä.

Käyttäjän Arwiin tallentamat tiedot

• ryhmien tiedot
• oppilaiden nimet
• läsnäoloihin liittyvät tiedot
• arvioinnit ja arviointimerkinnät
• palautteet
• muistiinpanot
• muut käyttäjän itse palveluun syöttämät opetukseen liittyvät tiedot

Oppilastietojen käsittelyn tarkoituksista ja oikeusperusteesta vastaa kyseisten tietojen rekisterinpitäjä. Arwi Oy käsittelee niitä rekisterinpitäjän lukuun ja tämän dokumentoitujen ohjeiden mukaisesti.

Tekniset tiedot ja lokit

• IP-osoite
• pyynnön ajankohta
• pyydetty palveluresurssi
• sovelluksen tai laitteen tekniset tiedot
• teknisiin virhetilanteisiin liittyvät tiedot

Tietoja käytetään palvelun tietoturvan ja toimintavarmuuden ylläpitämiseen sekä teknisten ongelmien havaitsemiseen ja selvittämiseen. Arwin palvelimen verkkopalvelulokeja säilytetään pääsääntöisesti noin 14 vuorokautta. Teknisiin virhetilanteisiin liittyviin lokeihin voi poikkeustilanteessa sisältyä myös muuta virhetilanteeseen liittyvää henkilötietoa.

Puheentunnistus

Arwissa on vapaaehtoinen puheentunnistustoiminto, jonka avulla käyttäjä voi syöttää tekstiä puhumalla. Arwi Oy ei tallenna käyttäjän äänitallenteita omille palvelimilleen. Puheentunnistus toteutetaan laitteen käyttöjärjestelmän tarjoaman puheentunnistuspalvelun avulla. Puheentunnistusta käytettäessä äänidataa voidaan käsitellä laitteen valmistajan tai sen käyttämän puheentunnistuspalvelun järjestelmissä. Puheentunnistuksen tuottamaa tekstiä käsitellään samalla tavalla kuin käyttäjän itse kirjoittamaa tekstiä.

Sijaintitiedot

Arwi ei käytä laitteen sijaintipalveluja eikä kerää käyttäjän tarkkaa tai likimääräistä sijaintia laitteen sijaintitoimintojen avulla. Teknisesti käsiteltävästä IP-osoitteesta voi kuitenkin olla pääteltävissä karkea maantieteellinen sijainti.

4. Henkilötietojen käsittelyn tarkoitukset ja oikeusperusteet

• Arwi-palvelun tarjoaminen ja käyttäjätilin ylläpito
• käyttäjän tunnistaminen ja kirjautumisen mahdollistaminen
• sähköpostiosoitteen vahvistaminen ja salasanan palauttaminen
• palvelun tietoturvan ja toimintavarmuuden ylläpito
• teknisten ongelmien havaitseminen ja ratkaiseminen
• lakisääteisten velvoitteiden täyttäminen

Käsittely perustuu tilanteesta riippuen käyttäjän ja Arwi Oy:n välisen sopimuksen täytäntöönpanoon, Arwi Oy:n oikeutettuun etuun ylläpitää turvallista ja toimivaa palvelua tai Arwi Oy:tä koskevan lakisääteisen velvoitteen täyttämiseen. Oppilaiden henkilötietojen käsittelyn oikeusperusteen määrittää oppilastietojen rekisterinpitäjä. Arwi Oy käsittelee näitä tietoja henkilötietojen käsittelijänä rekisterinpitäjän dokumentoitujen ohjeiden ja henkilötietojen käsittelysopimuksen mukaisesti.

5. Palveluntarjoajat ja henkilötietojen vastaanottajat

Arwi käyttää palvelun toteuttamisessa ulkopuolisia teknisiä palveluntarjoajia.

• OVHcloud – Arwin tuotantopalvelin, tietokanta ja tekninen varmuuskopiointi. Arwin tuotantopalvelin sijaitsee Saksassa Euroopan unionin alueella.
• Sentry – sovelluksen teknisten virheiden havaitseminen ja selvittäminen. Arwin Sentry-ympäristön virheraportointitiedot tallennetaan EU-alueelle Saksaan. Henkilötietojen minimointiin tarkoitetut suodatukset sekä IP-osoitteiden tallentamisen esto ovat käytössä. Virheraporttien nykyinen säilytysaika on 30 päivää.
• Brevo – käyttäjätiliin liittyvien sähköpostien, kuten sähköpostiosoitteen vahvistus- ja salasanan palautusviestien, toimittaminen.
• Expo / Expo Application Services – mobiilisovelluksen teknisten ohjelmistopäivitysten toimittaminen. Päivityspalvelun käytön yhteydessä voidaan käsitellä teknisiä tietoja ja sovellusasennukseen liittyviä pseudonyymejä tunnisteita. Arwin oppilas-, arviointi- tai palautetietoja ei tarkoituksellisesti toimiteta Expolle tätä tarkoitusta varten.
• Gridly – Arwin käyttöliittymän käännösten toimittaminen. Arwin käyttäjätili-, oppilas-, arviointi- tai palautetietoja ei tarkoituksellisesti toimiteta Gridlylle. Gridlyn teknisissä verkkolokeissa voidaan kuitenkin käsitellä esimerkiksi IP-osoitetta ja laitetietoja.

Arwi Oy ei myy henkilötietoja.

6. Tietojen sijainti ja siirrot EU- ja ETA-alueen ulkopuolelle

Arwin varsinainen tuotantopalvelin ja tietokanta sijaitsevat EU-alueella Saksassa. Osa Arwin käyttämistä teknisistä palveluntarjoajista tai niiden alikäsittelijöistä voi käsitellä teknisiä henkilötietoja myös EU- tai ETA-alueen ulkopuolella. Jos henkilötietoja siirretään EU- tai ETA-alueen ulkopuolelle, siirrolle käytetään sovellettavan tietosuojalainsäädännön mukaista siirtoperustetta, kuten Euroopan komission tietosuojan riittävyyttä koskevaa päätöstä tai Euroopan komission hyväksymiä vakiosopimuslausekkeita.

7. Henkilötietojen säilytys ja poistaminen

• käyttäjätiliin liittyviä tietoja säilytetään lähtökohtaisesti niin kauan kuin käyttäjätili on käytössä tai tietojen säilyttämiselle on muu perusteltu ja lainmukainen tarve
• sähköpostiosoitteen vahvistamiseen käytettävä väliaikainen tunniste vanhenee normaalisti 24 tunnin kuluessa
• kirjautumisistunnon normaali käyttämättömyysaika on enintään noin seitsemän päivää
• palvelimen verkkopalvelulokeja säilytetään pääsääntöisesti noin 14 vuorokautta
• Sentryn teknisiä virheraportteja säilytetään tällä hetkellä 30 päivää

Kun käyttäjätili poistetaan, käyttäjätili ja siihen liittyvät käyttäjän hallinnoimat ryhmä-, oppilas-, arviointi- ja palautetiedot poistetaan aktiivisesta tietokannasta. Poistettuja tietoja voi säilyä rajoitetun ajan teknisissä varmuuskopioissa, minkä jälkeen ne poistuvat varmuuskopioiden normaalin kierron yhteydessä. Tietoja voidaan säilyttää pidempään siltä osin kuin lainsäädäntö sitä edellyttää tai säilyttäminen on välttämätöntä oikeudellisen vaatimuksen laatimiseksi, esittämiseksi tai puolustamiseksi.

8. Tietoturva

Arwi käyttää henkilötietojen suojaamiseksi teknisiä ja organisatorisia turvatoimia. Palvelun verkkoliikenne suojataan HTTPS-salauksella. Tuotantojärjestelmien käyttöoikeuksia rajoitetaan, ja Arwin varsinainen tuotantotietokanta sijaitsee EU-alueella Saksassa. Arwi käyttää lisäksi teknistä varmuuskopiointia, käyttöoikeuksien hallintaa sekä teknisten virheiden ja palvelimen toiminnan seurantaa. Tietoturvatoimia arvioidaan ja kehitetään palvelun sekä siihen liittyvien riskien muuttuessa.

9. Rekisteröidyn oikeudet

• saada tietoa henkilötietojensa käsittelystä
• tarkastaa häntä koskevat henkilötiedot
• pyytää virheellisten tietojen oikaisemista
• pyytää henkilötietojen poistamista silloin, kun poistamisen edellytykset täyttyvät
• pyytää käsittelyn rajoittamista
• vastustaa oikeutettuun etuun perustuvaa käsittelyä
• saada tietyissä tilanteissa itse toimittamansa tiedot koneellisesti luettavassa muodossa

Oikeuksien soveltuminen riippuu käsittelyn tilanteesta ja oikeusperusteesta. Arwi Oy:n rekisterinpitäjänä käsittelemiä tietoja koskevat pyynnöt voi lähettää osoitteeseen info@arwi.fi.

Jos pyyntö koskee koulun, kunnan tai muun opetuksen järjestäjän rekisterinpitäjänä hallinnoimia oppilastietoja, pyyntö tulee ensisijaisesti osoittaa kyseiselle rekisterinpitäjälle. Arwi Oy avustaa rekisterinpitäjää rekisteröityjen oikeuksien toteuttamisessa henkilötietojen käsittelysopimuksen mukaisesti.

Rekisteröidyllä on oikeus saattaa henkilötietojensa käsittelyä koskeva asia toimivaltaisen valvontaviranomaisen käsiteltäväksi. Suomessa valvontaviranomainen on Tietosuojavaltuutetun toimisto.

10. Automaattinen päätöksenteko

Arwi ei tee käyttäjiä tai oppilaita koskevia oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia aiheuttavia päätöksiä yksinomaan automaattisen henkilötietojen käsittelyn perusteella.

11. Tilin poistaminen

Käyttäjä voi poistaa Arwi-tilinsä Arwin tilinpoistotoiminnon kautta tai ottaa yhteyttä Arwi Oy:hyn osoitteessa info@arwi.fi. Tilin poistamisen yhteydessä käyttäjätili ja siihen liittyvät käyttäjän hallinnoimat tiedot poistetaan aktiivisesta tietokannasta kohdassa 7 kuvatulla tavalla.

12. Tietosuojaselosteen muutokset

Arwi Oy voi päivittää tätä tietosuojaselostetta palvelun, henkilötietojen käsittelyn tai lainsäädännön muuttuessa. Selosteen yhteydessä ilmoitetaan viimeisin päivityspäivä. Olennaisista muutoksista voidaan tarvittaessa ilmoittaa käyttäjille myös Arwi-palvelussa tai sähköpostitse.