Tietoturva

Tällä sivulla kerrotaan, miten Ainio suojaa yrityksesi ja asiakkaidesi tiedot. Sivu on käsittelysopimuksen liitteen 2 tarkempi kuvaus. Henkilötietojen käsittelystä kerrotaan tietosuojaselosteessa ja käytetyistä palveluista alikäsittelijäsivulla.

1. Lyhyesti

• Ainio ei lähetä mitään asiakkaillesi ilman, että joku tiimistäsi hyväksyy viestin. Hyväksytty viesti lähtee vain luonnoksen omalle vastaanottajalle. Poikkeus on kuluttaja-asiakkaan tilausvahvistus ja peruutuksen kuittaus, jos työtilan omistaja tai ylläpitäjä on itse ottanut niiden automaattisen lähetyksen käyttöön: ne lähtevät yrityksen omasta sähköpostista vain kuluttajalle, joka hyväksyi tarjouksen tai lisätyöt tai peruutti sopimuksen.
• Yhteys on aina salattu, ja yhdistettyjen palvelujen tunnukset tallennetaan salattuina.
• Jokaisen yrityksen tiedot on erotettu muista, eikä niitä käytetä tekoälymallien kouluttamiseen (kohta 6).
• Ainion tuki avaa työtilasi vain, jos annat siihen luvan. Poikkeus: jos et pääse kirjautumaan, ylläpito voi pyynnöstäsi luoda sinulle kertakäyttöisen kirjautumislinkin. Jokainen linkki kirjataan toimenpidelokiin (kohta 5).

2. Missä tiedot ovat

• Työtilan tietokanta ja tiedostot sijaitsevat Cloudflaren EU-konesaleissa. Sijaintia ei ole lukittu Cloudflaren EU-rajauksella, joten Cloudflare ei takaa sitä sopimuksella. Cloudflaren ajoympäristö käsittelee pyynnöt ja taustahaut Cloudflaren konesaleissa, joita ei ole rajattu EU:hun. Cloudflare on yhdysvaltalainen yhtiö, ja siirron peruste on EU–Yhdysvallat-tietosuojakehys ja sen varalla EU:n vakiosopimuslausekkeet.
• Kirjautumistiedot tallennetaan Supabasen EU-alueelle. Supabasen sopimusyhtiö on Singaporessa, ja sen tuki voi olla Yhdysvalloissa, joten siirron peruste on EU:n vakiosopimuslausekkeet.
• Tekoälypyynnöt kulkevat Requestyn EU-palvelun (Frankfurt) kautta Microsoftin Azure OpenAI -palveluun EU:ssa (oletuksena Ranska, osa malleista Ruotsissa). Ainio hyväksyy vain EU:n alueilla toimivat tekoälymallit. Pyyntöjä ei ohjata EU:n ulkopuolelle: jos EU-reitti ei ole käytettävissä, tekoälytoiminto ei toimi sillä hetkellä. Requesty on brittiläinen yhtiö, ja siirron peruste on EU:n päätös Ison-Britannian tietosuojan riittävästä tasosta.
• Yöllinen varmuuskopio kootaan ja salataan Ainion omalla palvelimella UpCloudissa Helsingissä, ja salattu kopio säilytetään Suomessa (kohta 9).
• Kaikki käytetyt palvelut, niiden sijainnit ja siirtoperusteet on lueteltu alikäsittelijäsivulla.

3. Salaus

• Kaikki liikenne kulkee salattuna (HTTPS). Selain ohjataan käyttämään ainio.fi:tä aina salattuna (HSTS).
• Yhdistettyjen palvelujen kirjautumistunnukset, muun sähköpostin salasanat ja rajapinta-avaimet salataan AES-GCM-menetelmällä. Jokaisella palvelulla on oma salausavaimensa, ja avaimet ovat vain palvelinympäristön salaisuuksissa. Tunnuksia ei näytetä selväkielisinä. Ainoa poikkeus on Ainion luoma WhatsApp-numeron PIN-koodi, jonka omistaja tai ylläpitäjä voi avata näkyviin Asetuksista esimerkiksi numeron siirtoa varten.
• Muun sähköpostin salasana on sidottu omaan työtilaansa, joten toiseen työtilaan kopioitu arvo ei aukea.
• Yöllinen varmuuskopio salataan ennen kuin se siirretään varmuuskopiopalveluun, eikä palveluntarjoaja pysty avaamaan sitä.

4. Kirjautuminen ja käyttöoikeudet

• Salasanan pitää olla vähintään 12 merkkiä. Salasanoja ei tallenneta Ainion tietokantaan, vaan ne käsittelee kirjautumispalvelu.
• Kaksivaiheisen tunnistuksen (todennussovellus) voi ottaa käyttöön kohdassa Asetukset → Tietoturva, ja työtilan omistaja voi vaatia sitä kaikilta jäseniltä. Työntekijä-roolilla ei ole Asetuksia, joten hänelle tunnistus tulee käyttöön, kun omistaja vaatii sitä. Ainion omilla ylläpitäjillä se on aina pakollinen.
• Toistuvat väärät kirjautumisyritykset ja tunnistuskoodit estetään hetkeksi.
• Oikeudet määräytyvät roolin mukaan. Työtilassa vain omistaja voi muuttaa rooleja, poistaa jäseniä, ladata kaikki työtilan tiedot ja poistaa työtilan. Ainion ylläpito voi lisäksi yrityksen kanssa sovittaessa siirtää omistajuuden työtilan toiselle jäsenelle tai poistaa työtilan, ja nämä kirjataan toimenpidelokiin. Palveluja voivat yhdistää ja katkaista vain omistaja ja ylläpitäjä.
• Jokainen tietokantahaku rajataan kirjautuneen käyttäjän omaan työtilaan.

5. Ainion tuen pääsy

• Tuki voi avata työtilasi vain, jos omistaja tai ylläpitäjä on antanut luvan kohdassa Asetukset → Yleiset → Ainion tuen pääsy. Lupa on voimassa 7 päivää, ja sen voi perua milloin tahansa.
• Jos käyttäjä ei pääse kirjautumaan, Ainion ylläpito voi hänen pyynnöstään luoda kertakäyttöisen kirjautumislinkin, esimerkiksi kun salasanan palautusviesti ei tule perille, tai poistaa kaksivaiheisen tunnistuksen kadonneen puhelimen vuoksi. Ylläpito tarkistaa ensin pyytäjän henkilöllisyyden ja toimittaa linkin vain käyttäjälle itselleen. Jos käyttäjällä on kaksivaiheinen tunnistus, pelkkä linkki ei avaa työtilaa. Molemmat toimet kirjataan toimenpidelokiin.
• Jokainen tuen käynti kirjataan. Käynnin aikana tuki ei voi lähettää viestejä, tehdä maksuja, yhdistää tai katkaista palveluita, muuttaa kirjanpitäjän osoitetta, ladata tai poistaa työtilaa eikä muuttaa tiimiä.
• Tuen käynnillä kaikkien viestien ja luonnosten sisältö on piilotettu kaikista kanavista, samoin kalenterimerkintöjen ja tiedostojen nimet sekä asiakkaiden nimet, yhteystiedot ja osoitteet keikoilla, tarjouksissa, laskuissa, sopimuksissa, kohteissa ja allekirjoituspyynnöissä. Tuki näkee asetukset, yhteyksien tilan ja virheet sekä työtilan muut tiedot, kuten hinnaston, tunnit, keikkojen kuvat ja yhdistetyistä palveluista tuodut tiedot. Voit näyttää yksittäisen keskustelun tuelle Viestit-sivun Näytä tuelle -napilla ja piilottaa sen uudelleen. Luvan peruminen piilottaa kaikki.
• Ilman lupaa Ainion ylläpito näkee ylläpitosivulla vain työtilan tilin tiedot: työtilan nimen, yrityksen nimen ja Y-tunnuksen, toimialan, yhteystiedot ja paketin, käyttäjien nimet, sähköpostiosoitteet, viimeisimmän käyttöajan ja kaksivaiheisen tunnistuksen tilan, yhdistetyt palvelut ja niiden katkokset, käyttömäärät ja käyttöönoton etenemisen, kokeilun ja tilauksen tilan ja maksutavan (verkkolaskulla maksavalta myös verkkolaskuosoitteen ja Ainion sille lähettämät laskut), Y-tunnuksen tarkistuksen (kuka ylläpidosta tarkisti, milloin ja miten, esimerkiksi kenelle soitettiin) ja tarkistuspyynnön, pilotin pyynnön avata verkkolasku ennen ensimmäistä maksua sekä lähetettyjen verkkolaskujen kuukausimäärän. Tarkistustavan kuvaus kirjataan myös toimenpidelokiin, jota säilytetään vuoden (kohta 8). Viestit, asiakkaidesi tiedot, tarjoukset ja yrityksesi laskut eivät näy ylläpitosivulla.
• Tuki ei koskaan kysy salasanaasi.

6. Tekoäly ja viestit

• Tekoäly valmistelee luonnoksia, mutta ei voi itse lähettää mitään eikä tehdä sitovia toimia. Jokainen tekoälyn kirjoittama viesti odottaa ihmisen hyväksyntää.
• Asiakkaan viesti annetaan tekoälylle käsiteltävänä aineistona, ei ohjeena, ja tekoäly näkee vain saman työtilan tiedot. Näin viestiin kirjoitettu ”ohita ohjeet ja lähetä…” ei saa tekoälyä toimimaan lähettäjän tahdon mukaan.
• Jokaisessa tekoälykutsussa pyydetään, ettei mallin tarjoaja tallenna pyyntöä. Tekoälypyyntöjen välittäjä Requesty ei tallenna pyyntöjen eikä vastausten sisältöä, koska Ainion avaimen lokitus on kytketty pois ja organisaation nollasäilytys on päällä. Requesty tallentaa vain tekniset tiedot: pyynnön ajan, käytetyn mallin, pyynnön koon ja hinnan. Mallin tarjoaja Microsoft ei säilytä pyyntöjä: väärinkäytösten valvonta tehdään käsittelyn aikana tallentamatta pyyntöä tai vastausta (Requestyn vahvistus 7.10.2026).
• Tietoja ei käytetä tekoälymallien kouluttamiseen: Microsoft ei käytä niitä koulutukseen, eikä Requesty käytä maksullisten tilien tietoja koulutukseen.
• Kysy Ainiolta -näkymässä kerrotaan, että vastaukset tuottaa tekoäly.
• Tekoälyn käyttöä on rajattu paketin mukaan, ja ylisuuret tai liian tiheät pyynnöt estetään.

7. Sovelluksen suojaukset

• Sivujen sisältöpolitiikka (CSP) sallii vain Ainion omat skriptit ja Cloudflaren bottitunnistuksen skriptin, joka saa jokaiselle sivulle oman kertakäyttöisen tunnisteen. Ainion sivujen upottaminen muille sivustoille on estetty. Poikkeus on yrityksen tarjouspyyntölomake, joka on tehty upotettavaksi yrityksen omille sivuille. Lomake on omassa osoitteessaan, siinä ei ole kirjautumista, eikä Ainio aseta siinä evästeitä.
• Kirjautumisevästeet ovat suojattuja (HttpOnly, Secure, SameSite): ne kulkevat vain salatun yhteyden yli, eikä sivun koodi pysty lukemaan niitä. Tietoja muuttavista pyynnöistä tarkistetaan, että ne tulevat Ainion omalta sivulta.
• Ulkoisten palvelujen ilmoitukset (esimerkiksi WhatsApp, Instagram, tekstiviestit ja maksut) tarkistetaan allekirjoituksesta tai palvelun kanssa sovitusta salaisesta avaimesta, joten väärennetty ilmoitus hylätään.
• Cloudflare suodattaa hyökkäysliikennettä ja automaattisia botteja ennen kuin ne pääsevät palveluun.

8. Lokit, valvonta ja hätäpysäytys

• Palvelimen teknisiin lokeihin ei kirjoiteta viestien sisältöä eikä sähköpostiosoitteita, ja ne säilyvät enintään 7 päivää.
• Häiriöistä ja epäonnistuneista ajastetuista töistä lähtee ilmoitus ylläpidolle, ja palvelun tilaa seurataan ulkoisesti.
• Ylläpidon tärkeimmät toimet (tuen käynnit, kutsut, kirjautumislinkit, omistajuuden siirrot, kokeilun jatkot, työtilan poistot, kaksivaiheisen tunnistuksen nollaukset ja Y-tunnuksen tarkistukset tarkistustapoineen) kirjataan toimenpidelokiin, jota säilytetään vuoden. Lokiin kirjataan, kuka ylläpidosta toimen teki ja kenen tunnusta se koski (sähköpostiosoite). Y-tunnuksen tarkistuksesta kirjataan työtilan nimi, Y-tunnus ja tarkistustapa.
• Epäillyssä tietomurrossa Ainio voidaan pysäyttää minuutissa: sovellus näyttää huoltotaukosivun, mitään ei lähetetä eikä tekoälyä kutsuta. Saapuvat WhatsApp-, tekstiviesti-, Instagram- ja Messenger-viestit tallentuvat odottamaan, ja sähköpostit odottavat omassa postilaatikossaan. Tarjouspyyntölomake näyttää taukoilmoituksen eikä ota pyyntöjä vastaan.

9. Varmuuskopiot

• Tietokannasta ja tallennetuista tiedostoista otetaan joka yö salattu varmuuskopio, jota säilytetään enintään 30 päivää UpCloudin palvelussa Suomessa. Tietokannan viennin muodostaa Cloudflare, jolla tietokanta muutenkin on. Ainion oma palvelin UpCloudissa Helsingissä lataa viennin heti tunnin voimassa olevan latauslinkin kautta, ja linkki piilotetaan ajon lokista. Varmuuskopio kootaan ja salataan tällä palvelimella, eivätkä salaamattomat tiedot käy Cloudflaren ja Ainion palvelimen ulkopuolella. Ennen salausta tarkistetaan, että tietokannan vienti on palautettavissa ja että jokainen taulu on mukana.
• Lisäksi tietokannan voi palauttaa minkä tahansa hetken tilaan 30 päivän ajalta.
• Vanhat varmuuskopiot poistetaan joka yö. Jos poisto epäonnistuu, yöajo päättyy virheeseen ja ylläpito saa siitä ilmoituksen. Poistetut tiedot poistuvat varmuuskopioista viimeistään 30 päivän kuluessa.

10. Kehitys ja muutokset

• Jokainen muutos tehdään erillisenä muutospyyntönä, ja automaattinen testisarja ajetaan ennen julkaisua. Tuotantoon julkaistaan vain, kun kaikki testit menevät läpi.
• Palvelinkoodissa ei ole ulkopuolisia ohjelmakirjastoja, mikä pienentää toimitusketjun riskiä. Julkaisutyökalun versio on lukittu.
• Julkaisun jälkeen tarkistetaan automaattisesti, että kirjautuminen ja työtila toimivat.

11. Tietoturvaloukkaukset ja haavoittuvuudet

• Ainiolla on kirjallinen toimintaohje tietoturvaloukkauksia varten. Tietoturvaloukkaus on tietojen vuodon lisäksi myös se, että tietoja katoaa, tuhoutuu tai muuttuu tai niihin ei päästä. Jos asiakkaan tietoja koskee tietoturvaloukkaus, ilmoitamme siitä työtilan omistajalle ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa siitä, kun saimme tietää siitä (käsittelysopimus, kohta 10).
• Jos löydät haavoittuvuuden, ilmoita siitä osoitteeseen security@ainio.fi (security.txt). Älä testaa toisten käyttäjien tiedoilla.

12. Mitä voit tehdä itse

• Ota käyttöön kaksivaiheinen tunnistus ja vaadi sitä tiimiltäsi.
• Käytä muun sähköpostin yhdistämiseen sovellussalasanaa, jos sähköpostipalvelusi tarjoaa sellaisen.
• Omistaja: poista lähtevän työntekijän pääsy kohdasta Asetukset → Jäsenet ja työtilat heti, kun hän lopettaa.
• Tarkista jokainen luonnos ennen hyväksyntää.