Tietosuojakäytäntö

 

Tämä tietosuojakäytäntö kertoo, miten Somneia Oy, joka ylläpitää Kirjeklubi-verkkokauppaa, kerää, käyttää, säilyttää ja suojaa asiakkaidensa henkilötietoja.

Kirjeklubi on kuukausittainen tilauspalvelu, jossa asiakkaalle toimitetaan fyysinen kirje kerran kuukaudessa.

Tietosuojakäytäntöä sovelletaan Kirjeklubin verkkokauppaan, tilausten tekemiseen, tilausten toimittamiseen, asiakaspalveluun sekä muuhun asiakkaan ja Kirjeklubin väliseen asiointiin.

Henkilötietojen käsittelyssä noudatetaan Euroopan unionin yleistä tietosuoja-asetusta (EU) 2016/679 (GDPR) sekä muuta sovellettavaa tietosuojalainsäädäntöä.


1. Rekisterinpitäjä

Henkilötietojen rekisterinpitäjänä toimii:

Somneia Oy
Y-tunnus: 3542850-9

Sähköposti: info@kirjeklubi.fi

Tietosuojaa ja henkilötietojen käsittelyä koskevissa kysymyksissä voit ottaa yhteyttä: info@kirjeklubi.fi


2. Rekisterin nimi

Rekisterin nimi on ‘Kirjeklubin asiakasrekisteri'.


3. Mitä henkilötietoja käsittelemme?

Kirjeklubin toiminnan yhteydessä voimme käsitellä seuraavia henkilötietoja:

Asiakas- ja yhteystiedot

  • etu- ja sukunimi
  • toimitus- ja laskutusosoite
  • sähköpostiosoite
  • puhelinnumero

Tilaus- ja asiakastiedot

  • tilatut tuotteet ja palvelut
  • tilauksen ajankohta
  • tilauksen ja tilauksen tilan tiedot
  • tilauksen toimitustiedot
  • tilaushistoria
  • tilauksen peruuttamiseen, palautuksiin tai muihin muutoksiin liittyvät tiedot
  • asiakkaan kanssa käyty asiakaspalveluviestintä

Maksutiedot

Käsittelemme tilauksen ja maksun käsittelyyn liittyviä tietoja. Maksutapahtumat käsitellään Shopify Payments -maksupalvelun kautta.

Kirjeklubi ei lähtökohtaisesti tallenna eikä käsittele maksukortin täydellisiä korttitietoja itse.

Teknisiä tietoja

Verkkokaupan käytön yhteydessä voidaan käsitellä teknisiä tietoja, kuten:

  • IP-osoite
  • selaintyyppi ja selaimen asetukset
  • laitetyyppi
  • käyttöjärjestelmä
  • verkkokaupassa tehdyt toiminnot
  • sivujen katseluun ja verkkokaupan käyttöön liittyviä tietoja
  • evästeiden ja vastaavien teknologioiden avulla kerättäviä tietoja.

4. Mistä henkilötiedot saadaan?

Henkilötiedot saadaan pääsääntöisesti suoraan asiakkaalta esimerkiksi silloin, kun asiakas:

  • tekee tilauksen 
  • antaa yhteystietonsa verkkokaupassa
  • käyttää Kirjeklubin verkkokauppaa
  • ottaa yhteyttä asiakaspalveluun
  • käyttää tai hallinnoi tilaustaan.

Tietoja voidaan saada myös verkkokaupan teknisistä järjestelmistä sekä Kirjeklubin käyttämiltä palveluntarjoajilta, kuten maksupalvelun ja toimituspalvelun yhteydessä.

5. Mihin henkilötietoja käytetään?

Henkilötietoja käsitellään seuraaviin tarkoituksiin:

Tilauksen toteuttaminen

Henkilötietoja tarvitaan Kirjeklubin kuukausitilauksen toteuttamiseen, mukaan lukien kirjeen toimittaminen asiakkaalle.

Maksujen käsittely

Tietoja käsitellään maksun vastaanottamista, maksutapahtuman todentamista ja tilausten hallinnointia varten.

Asiakassuhteen hoitaminen

Tietoja käytetään asiakaspalveluun, asiakkaan kysymyksiin vastaamiseen sekä tilausta koskevaan viestintään.

Verkkokaupan ylläpito ja kehittäminen

Tietoja voidaan käsitellä verkkokaupan toiminnan, tietoturvan, toimivuuden ja kehittämisen kannalta tarpeellisella tavalla.

Petosten ja väärinkäytösten estäminen

Tietoja voidaan käsitellä maksupetosten, väärinkäytösten ja muun luvattoman toiminnan havaitsemiseksi ja estämiseksi.

Lakisääteisten velvoitteiden täyttäminen

Tietoja voidaan käsitellä esimerkiksi kirjanpitoa, verotusta ja muita lakisääteisiä velvoitteita varten.

Oikeudellisten vaatimusten käsittely

Tietoja voidaan käsitellä mahdollisten reklamaatioiden, riita-asioiden ja oikeudellisten vaatimusten selvittämiseksi ja puolustamiseksi.

6. Henkilötietojen käsittelyn oikeusperusteet

Henkilötietojen käsittely perustuu käyttötarkoituksesta riippuen seuraaviin GDPR:n mukaisiin oikeusperusteisiin:

Sopimuksen täytäntöönpano (GDPR 6(1)(b))

Henkilötietojen käsittely on tarpeen Kirjeklubin tilauksen toteuttamiseksi. Esimerkiksi asiakkaan nimi ja toimitusosoite tarvitaan kirjeen toimittamiseen.

Lakisääteinen velvoite (GDPR 6(1)(c))

Henkilötietoja käsitellään silloin, kun se on tarpeen Somneia Oy:tä koskevan lakisääteisen velvoitteen täyttämiseksi, kuten kirjanpidon ja verotuksen yhteydessä.

Oikeutettu etu (GDPR 6(1)(f))

Henkilötietoja voidaan käsitellä Somneia Oy:n oikeutetun edun perusteella esimerkiksi verkkokaupan tietoturvan ylläpitämiseksi, väärinkäytösten ehkäisemiseksi, asiakassuhteen hoitamiseksi sekä oikeudellisten vaatimusten selvittämiseksi.

Suostumus (GDPR 6(1)(a))

Jos jokin henkilötietojen käsittely perustuu suostumukseen, asiakkaalla on oikeus peruuttaa suostumuksensa milloin tahansa.

7. Kirjeen toimittaminen

Kirjeklubin kuukausittaisen kirjeen toimittamista varten asiakkaan nimi ja toimitusosoite luovutetaan tarvittavassa laajuudessa Postille tai muulle käytetylle toimituspalvelulle.

Tietoja käytetään toimituksen toteuttamiseen eikä niitä luovuteta Postille muihin tarkoituksiin kuin toimituksen järjestämiseksi ja siihen liittyvien palvelujen tuottamiseksi.

8. Shopify ja Shopify Payments

Kirjeklubi käyttää verkkokauppa-alustana Shopifyta.

Shopify käsittelee henkilötietoja Kirjeklubin verkkokaupan, tilausten ja verkkokauppapalveluiden teknisen toteuttamisen yhteydessä. Shopify voi käsitellä esimerkiksi asiakkaan yhteys-, tilaus-, maksu-, laite- ja verkkokaupan käyttöön liittyviä tietoja.

Kirjeklubissa on poistettu käytöstä Shopify Network Intelligence -ominaisuus.

Shopify käsittelee henkilötietoja myös omien palveluidensa ja lakisääteisten velvoitteidensa mukaisesti. Shopifylla voi olla henkilötietojen käsittelyssä myös omia itsenäisiä rekisterinpitäjän velvollisuuksiaan.

Shopifyn omaan henkilötietojen käsittelyyn voi tutustua Shopifyn tietosuojakäytännössä:

Shopifyn tietosuojakäytäntö

Kirjeklubin maksut käsitellään Shopify Payments -maksupalvelun kautta. Maksupalveluun liittyviä henkilötietoja käsitellään maksun toteuttamiseksi, maksutapahtuman todentamiseksi, petosten ehkäisemiseksi sekä sovellettavien lakisääteisten velvoitteiden täyttämiseksi.

9. Evästeet ja vastaavat teknologiat

Kirjeklubin verkkokauppa käyttää evästeitä ja muita vastaavia teknologioita.

Osa evästeistä on verkkokaupan toiminnan kannalta välttämättömiä. Niitä tarvitaan esimerkiksi ostoskorin, verkkokaupan toiminnallisuuksien, turvallisuuden ja tilausten käsittelyn mahdollistamiseksi.

Kirjeklubissa käytetään Shopifyn automaattista evästebanneria, jonka avulla kävijöille voidaan tarjota tietoa evästeiden käytöstä ja tarvittaessa pyytää suostumus sellaisiin evästeisiin tai teknologioihin, jotka eivät ole verkkokaupan toiminnan kannalta välttämättömiä.

Kirjeklubissa ei tämän tietosuojakäytännön laatimishetkellä käytetä erillistä Google Analytics -asennusta tai Shopify Customer Events -osiossa määritettyjä mukautettuja pikseleitä.

Verkkokaupan tekninen toiminta ja Shopifyn omat palvelut voivat kuitenkin käyttää välttämättömiä teknologioita osana Shopify-alustan toimintaa.

10. Markkinointi 

Kirjeklubi markkinoi tuotteitaan esimerkiksi Instagramissa.

Kirjeklubin Instagramissa julkaisema tai Instagramissa näyttämä mainonta ei itsessään tarkoita, että Kirjeklubille toimitettaisiin asiakkaiden henkilötietoja Instagramista tai että Kirjeklubi käyttäisi asiakkaan tilaustietoja Instagram-mainonnan kohdentamiseen.

Kirjeklubi ei tämän tietosuojakäytännön laatimishetkellä käytä erillistä sähköpostimarkkinointipalvelua, kuten Mailchimpia tai Klaviyoa.

Tilaukseen liittyviä välttämättömiä viestejä voidaan kuitenkin lähettää asiakkaalle esimerkiksi tilauksen vahvistamiseksi, maksujen tai toimituksen ilmoittamiseksi tai muuhun tilauksen hoitamiseen liittyen.

11. Henkilötietojen vastaanottajat

Henkilötietoja voidaan käsitellä seuraavien palveluntarjoajien yhteydessä:

  • Shopify: verkkokauppa-alustan ja tilausten hallinnan yhteydessä
  • Shopify Payments: maksujen käsittelyn yhteydessä
  • Posti: Kirjeklubin kirjeiden toimittamisen yhteydessä
  • muut palveluntarjoajat vain siinä määrin kuin se on tarpeen Kirjeklubin toiminnan toteuttamiseksi.

Henkilötietoja ei myydä kolmansille osapuolille.

12. Henkilötietojen siirrot EU:n tai ETA:n ulkopuolelle

Kirjeklubin käyttämät palveluntarjoajat, erityisesti Shopify, voivat käsitellä henkilötietoja EU:n tai Euroopan talousalueen ulkopuolella.

Mikäli henkilötietoja siirretään EU:n tai ETA:n ulkopuolelle, siirrot toteutetaan sovellettavan tietosuojalainsäädännön mukaisesti ja käyttäen asianmukaisia suojatoimia, kuten Euroopan komission hyväksymiä vakiosopimuslausekkeita tai muuta GDPR:n mukaista siirtomekanismia.

Shopifyn kansainvälisiä tietojensiirtoja koskevat tarkemmat tiedot löytyvät Shopifyn omasta tietosuojadokumentaatiosta.

13. Henkilötietojen säilyttäminen

Henkilötietoja säilytetään vain niin kauan kuin niitä tarvitaan tässä tietosuojakäytännössä kuvattuihin tarkoituksiin.

Aktiivisen Kirjeklubi-tilauksen aikana säilytämme tilaamiseen ja toimitukseen tarvittavat tiedot.

Tilauksen päätyttyä tietoja voidaan säilyttää edelleen, jos se on tarpeen esimerkiksi kirjanpitovelvollisuuden, verotuksen, reklamaatioiden, oikeudellisten vaatimusten tai muiden lakisääteisten velvoitteiden täyttämiseksi.

Kun henkilötietoja ei enää tarvita, ne poistetaan tai anonymisoidaan sovellettavan lainsäädännön mukaisesti.

14. Henkilötietojen suojaaminen

Somneia Oy pyrkii käyttämään asianmukaisia teknisiä ja organisatorisia toimenpiteitä henkilötietojen suojaamiseksi luvattomalta käytöltä, luovuttamiselta, muuttamiselta, häviämiseltä ja muulta väärinkäytöltä.

Pääsy henkilötietoihin rajoitetaan henkilöihin ja palveluntarjoajiin, jotka tarvitsevat tietoja tehtäviensä tai palveluidensa toteuttamiseksi.

Mikään sähköinen tiedonsiirto- tai tallennusmenetelmä ei kuitenkaan ole täysin riskitön, eikä täydellistä tietoturvaa voida taata.

15. Rekisteröidyn oikeudet

GDPR:n perusteella sinulla voi olla oikeus:

  1. saada tieto siitä, käsitelläänkö sinua koskevia henkilötietoja;
  2. saada pääsy henkilötietoihisi;
  3. pyytää virheellisten tai puutteellisten henkilötietojen korjaamista;
  4. pyytää henkilötietojesi poistamista tietyissä tilanteissa;
  5. pyytää henkilötietojesi käsittelyn rajoittamista tietyissä tilanteissa;
  6. vastustaa henkilötietojesi käsittelyä tietyissä tilanteissa;
  7. saada itse toimittamasi henkilötiedot jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa GDPR:n edellytysten täyttyessä;
  8. peruuttaa antamasi suostumus silloin, kun henkilötietojen käsittely perustuu suostumukseen; sekä
  9. vastustaa henkilötietojesi käsittelyä suoramarkkinointitarkoituksiin.

Oikeuksien toteuttamista koskeva pyyntö voidaan lähettää osoitteeseen: info@kirjeklubi.fi. Pyynnön yhteydessä voimme tarvittaessa pyytää lisätietoja henkilöllisyytesi varmistamiseksi.

Oikeuksien käyttämistä koskevaan pyyntöön vastataan GDPR:n mukaisessa määräajassa, lähtökohtaisesti kuukauden kuluessa pyynnön vastaanottamisesta.

16. Oikeus tehdä valitus valvontaviranomaiselle

Jos katsot, että henkilötietojasi käsitellään lainvastaisesti, sinulla on oikeus tehdä valitus toimivaltaiselle tietosuojaviranomaiselle.

Suomessa toimivaltainen valvontaviranomainen on:

Tietosuojavaltuutetun toimisto

Tietosuojavaltuutetun toimiston ajantasaiset yhteystiedot ja ohjeet löytyvät sen verkkosivuilta:

Tietosuojavaltuutetun toimisto

17. Tietosuojakäytännön muutokset

Voimme päivittää tätä tietosuojakäytäntöä esimerkiksi lainsäädännön, verkkokaupan toimintojen, palveluntarjoajien tai toimintatapojemme muuttuessa.

Ajantasainen tietosuojakäytäntö julkaistaan Kirjeklubin verkkokaupassa.

18. Yhteydenotot

Jos sinulla on kysyttävää tästä tietosuojakäytännöstä tai henkilötietojesi käsittelystä tai haluat käyttää GDPR:n mukaisia oikeuksiasi, voit ottaa yhteyttä: info@kirjeklubi.fi.

(Viimeksi päivitetty: 21.08.2026.)