Tietosuojaseloste

1. Rekisterinpitäjä

XenGolf Oy
Y-tunnus: 3599871-2
Sähköposti: info@xengolf.fi

2. Yhteydenotot tietosuoja-asioissa

Tietosuojaa koskevat pyynnöt ja kysymykset: info@xengolf.fi. Vastaamme viimeistään kuukauden kuluessa.

3. Mitä tämä seloste kattaa ja roolimme

Seloste koskee seuraavia XenGolf Oy:n palveluita:

• Verkkosivusto www.xengolf.fi ja uutiskirje (kohta 4).
• Impact-palvelu: pelaajien web-sovellus app.xengolf.fi ja Impact Golf -mobiilisovellus (iOS, Android ja Apple Watch) sekä golfseurojen hallintanäkymä (kohdat 5–6).

Roolit. XenGolf on rekisterinpitäjä verkkosivuston, uutiskirjeen ja pelaajan oman Impact-käyttäjätilin osalta. Kun golfseura käyttää Impactia kilpailujen, lähtölistojen, jäsenrekisterin, jäsenhakemusten ja maksujen hallintaan, seura on rekisterinpitäjä ja XenGolf henkilötietojen käsittelijä. Käsittelystä sovitaan seuran kanssa tietosuojasopimuksella, jonka liitteenä on alikäsittelijälista.

4. Verkkosivusto ja uutiskirje

• Uutiskirje: sähköpostiosoite. Peruste: suostumus (tietosuoja-asetus 6(1)(a)).
• Yhteydenotto- ja demopyynnöt: nimi, seura, sähköpostiosoite ja viesti. Lomakkeen tiedot välitetään XenGolfin sisäiselle Slack-kanavalle, josta myynti ottaa yhteyttä. Peruste: oikeutettu etu (yhteydenottoon vastaaminen).
• Analytiikka: Google Analytics 4 vain evästesuostumuksella: evästetunnisteet, IP-osoite (anonymisoitu), selain- ja laitetiedot, vieraillut sivut. Peruste: suostumus.
• Palvelinlokit: sisällönjakeluverkon (CloudFront) lokit sisältävät IP-osoitteen, selaintiedot ja haetun sivun. Niistä lasketaan päivittäiset kävijämäärät ilman evästeitä. Peruste: oikeutettu etu (tietoturva ja sivuston toiminta).
• Upotettu video: etusivun esittelyvideo ladataan Vimeon palvelimilta ja selaimesi IP-osoite välittyy Vimeolle. Upotus on asetettu seurantakieltotilaan (Do Not Track), eikä Vimeo aseta evästeitä.
• Fontit ja kirjastot: Google Fonts ja jsDelivr-sisällönjakeluverkko saavat selaimesi IP-osoitteen ladattaessa fontteja ja evästebannerin kirjastoa.

5. Impact-palvelu: pelaajan tiedot

Käsittelemme seuraavia tietoja, kun käytät Impactia pelaajana web-sovelluksessa tai mobiilisovelluksessa:

• Tili: sähköpostiosoite, käyttäjätunnus, salasanan tiiviste, kieli, kotiseura, viimeisin kirjautuminen. Peruste: sopimus.
• Profiili: etu- ja sukunimi, syntymäaika, tasoitus (handicap), profiilikuva. Peruste: sopimus.
• Suomi Golf ID / eBirdie: Golfliiton eBirdie-rekisterin henkilötunniste, jäsenyystiedot ja tasoitus, jotka haetaan eBirdiestä tilin linkittämisen jälkeen. Linkitys tehdään sähköpostiin lähetetyllä koodilla tai Golf ID -tunnuksilla, jotka välitetään vain tunnistautumista varten eikä niitä tallenneta. Peruste: sopimus.
• Pelitiedot: kierrokset, väyläkohtaiset lyönnit, tilastot, kilpailutulokset ja tasoitushistoria. Tasoituskierrokset lähetetään eBirdieen vain, kun valitset sen itse. Peruste: sopimus.
• Hyvinvointitiedot (Apple Watch): kierroksen aikana kertyneet askeleet ja kävelty matka, jotka näytetään kierroksen yhteenvedossa ja tallennetaan kierroksen tietoihin. Kierros tallennetaan myös laitteen Health-sovellukseen Applen hallinnassa. Peruste: suostumus (HealthKit-lupa).
• Kaverit ja seurat: kaverisuhteet ja -pyynnöt (sähköpostilla tai QR-koodilla), pelaajaseurat (societies), reaktiot ja kommentit. Peruste: sopimus.
• Kilpailut ja maksut: ilmoittautumiset, ryhmät ja lähtöajat sekä osallistumismaksut Paytrail Oyj:n kautta. Paytrailille välitetään nimi, sähköposti, puhelinnumero ja maksun summa. XenGolf ei käsittele eikä tallenna maksukorttitietoja. Peruste: sopimus; maksujen osalta lakisääteinen kirjanpitovelvoite.
• Google- ja Apple-kirjautuminen: palveluntarjoajan käyttäjätunniste sekä ensimmäisellä kirjautumisella sähköposti ja nimi. Peruste: sopimus (valitsemasi kirjautumistapa).
• Sähköpostit: lähettämämme viestit (vahvistukset, salasanan palautus, kilpailuviestit, tulokset) tallennetaan lähetyslokiin vastaanottajan, aiheen ja sisällön osalta. Peruste: sopimus ja oikeutettu etu (toimituksen todentaminen).
• Palaute: vapaamuotoinen palaute, valinnaiset kuvakaappaukset, laite- ja selaintiedot. Peruste: suostumus.
• Sijainti: mobiilisovellus voi pyytää laitteen sijaintia lähimpien kenttien ja griinietäisyyden näyttämiseen. Sijaintia käsitellään vain laitteella, eikä sitä lähetetä XenGolfille tai kolmansille. Web-sovelluksen säänäkymä hakee kentän koordinaateilla säätiedot Open-Meteo-palvelusta suoraan selaimestasi, jolloin IP-osoitteesi välittyy Open-Meteolle. Peruste: suostumus (sijaintilupa), oikeutettu etu (sää).
• Push-ilmoitukset: kun push-ilmoitukset otetaan käyttöön, tallennamme laitteen asennustunnisteen ja Firebase Cloud Messaging -tokenin. Android-sovellus sisältää Google Firebase -kirjaston, joka välittää Googlelle sovelluksen asennustunnisteen. Peruste: sopimus.
• Kamera ja kuvat, biometrinen lukitus: profiilikuvan ottamiseen, QR-koodin lukemiseen ja sovelluksen valinnaiseen lukitukseen. Biometrinen tunnistus tapahtuu käyttöjärjestelmässä; biometrisiä tietoja ei toimiteta XenGolfille. Peruste: suostumus.
• Tekniset ja käyttötiedot: IP-osoite, selain- ja laitetiedot, sovellusversio, pyyntölokit sekä käyttötapahtumat (esimerkiksi kierros tallennettu, ilmoittautuminen tehty) käyttäjä- ja seuratunnisteella. Web-sovellus kerää lisäksi AWS CloudWatch RUM -palvelulla sivulataukset, virheet ja suorituskyvyn käyttäjätunnisteella. Peruste: oikeutettu etu (palvelun toiminta, tietoturva ja kehitys).

6. Impact-palvelu: golfseuran puolesta käsiteltävät tiedot

Seuran hallintanäkymässä XenGolf käsittelee seuran lukuun seuraavia tietoja. Rekisterinpitäjä on seura, ja seuran oma tietosuojaseloste kuvaa käsittelyn tarkemmin.

• Kilpailut: osallistujien nimi, tasoitus, Golf ID, seura, sähköposti, ryhmät, lähtöajat, tulokset ja maksut.
• Jäsenrekisteri: seuran jäsenten nimi, jäsennumero, jäsenyyden tila ja tasoitus, jotka haetaan Golfliiton eBirdie-rekisteristä.
• Jäsenhakemukset: hakijan nimi, syntymäaika, sukupuoli, yhteystiedot ja osoite, alaikäisen huoltajan tiedot, tasoitus ja green card -tiedot, markkinointi- ja yhteydenottosuostumukset, hakemuksen lähetysajan IP-osoite sekä hyväksytyt ehdot. Seuran tietosuojaseloste näytetään lomakkeella. Käsitellyt hakemukset poistetaan 12 kuukauden kuluttua päätöksestä.
• Seuran viestit: seuran osallistujille lähettämät sähköpostit ja niiden lähetysloki.

7. Vastaanottajat ja alikäsittelijät

Henkilötietoja käsittelevät puolestamme seuraavat alikäsittelijät. Ajantasainen lista sijainteineen ja siirtoperusteineen: Alikäsittelijät.

• Amazon Web Services (datakeskus Tukholma, eu-north-1): palvelun ylläpito, tietokanta, tiedostot, lokit ja käyttöanalytiikka.
• Resend (USA): palvelun sähköpostien lähetys.
• Paytrail Oyj (Suomi): maksunvälitys. Maksulaitoksena Paytrail säilyttää maksutiedot lakisääteisesti viisi vuotta omaan lukuunsa.
• Slack (USA): sisäiset ilmoitukset lomakkeista sekä virhe- ja käyttöhälytykset.
• Google: Google Analytics (suostumuksella), Firebase-kirjasto Android-sovelluksessa, Google Fonts.
• GitHub, Tailscale ja Anthropic: kehitys- ja ylläpitotyökalut, joilla XenGolfin tekninen henkilöstö voi rajatusti käsitellä palvelun tietoja vianselvityksessä.

Seuraavat tahot ovat itsenäisiä rekisterinpitäjiä, joille tietoja siirtyy palvelun käytön yhteydessä: Suomen Golfliitto ry (eBirdie, Golf ID, tasoitukset ja tulokset), Google ja Apple (kirjautuminen, sovelluskaupat, Apple Health). Lisäksi selaimesi kutsuu suoraan seuraavia kolmansia osapuolia, joille välittyy IP-osoitteesi mutta joille XenGolf ei luovuta palveluun tallennettuja tietoja: Vimeo (esittelyvideo), jsDelivr ja Google Fonts (sivuston kirjastot ja fontit) sekä Open-Meteo (sää web-sovelluksessa).

Tietoja ei myydä eikä luovuteta kolmansille osapuolille markkinointitarkoituksiin. Viranomaisille tietoja luovutetaan vain lain velvoittaessa.

8. Siirrot EU:n ja ETA:n ulkopuolelle

Palvelun tiedot säilytetään EU:ssa (AWS, Tukholma). Osa alikäsittelijöistä toimii Yhdysvalloissa (Resend, Slack, Google, Vimeo, GitHub, Anthropic), ja AWS:n sisällönjakeluverkko käyttää myös Pohjois-Amerikan reunapalvelimia. Siirrot perustuvat EU:n ja Yhdysvaltojen väliseen tietosuojakehykseen (EU-U.S. Data Privacy Framework) ja/tai Euroopan komission vakiosopimuslausekkeisiin. Tarkemmat tiedot toimittajittain: Alikäsittelijät.

9. Säilytysajat

• Käyttäjätili ja pelitiedot: niin kauan kuin tili on voimassa. Kun poistat tilin, tili suljetaan ja kirjautumiset, push-laitteet ja Apple-kirjautuminen mitätöidään välittömästi. Suljetun tilin tiedot poistetaan tai anonymisoidaan pelikauden päättymisen jälkeen tehtävässä siivouksessa, lukuun ottamatta tietoja, joita kirjanpitolaki tai seuran kilpailuhistoria edellyttää säilytettävän.
• Jäsenhakemukset: 12 kuukautta päätöksestä.
• Maksutiedot: kirjanpitolain mukaan 6 vuotta tilikauden päättymisestä.
• Sähköpostien lähetysloki: tilin voimassaolon ajan.
• Tekniset lokit: sovelluslokit 14 päivää, kuormantasaajan lokit 90 päivää, sisällönjakeluverkon lokit 30–90 päivää, käyttötapahtumat enintään 2 vuotta.
• Uutiskirje: kunnes peruutat tilauksen.
• Evästeet: katso kohta 12.

10. Rekisteröidyn oikeudet

Sinulla on EU:n yleisen tietosuoja-asetuksen mukaisesti oikeus:

• Pääsy tietoihin: saada tieto siitä, mitä henkilötietoja sinusta käsitellään.
• Tietojen oikaisu: pyytää virheellisten tietojen korjaamista. Profiilitietoja voit muokata itse sovelluksessa.
• Tietojen poisto: poistaa tilisi sovelluksessa (Profiili → Tilin asetukset → Poista tili) tai pyytää poistoa sähköpostitse.
• Käsittelyn rajoittaminen ja vastustaminen: oikeutettuun etuun perustuvan käsittelyn osalta.
• Siirto-oikeus: saada antamasi tiedot koneluettavassa muodossa.
• Suostumuksen peruutus: milloin tahansa. Uutiskirjeen voi peruuttaa osoitteeseen info@xengolf.fi, evästeasetukset voi muuttaa evästeasetuksista, ja sovelluksen luvat (sijainti, kamera, Health, ilmoitukset) laitteen asetuksista. Apple-kirjautumisen voi peruuttaa laitteen asetuksista (Asetukset → [nimi] → Kirjautuminen ja turvallisuus → Kirjaudu sisään Applella → Impact Golf).
• Valitus valvontaviranomaiselle: tietosuojavaltuutetun toimisto, tietosuoja.fi.

Seuran lukuun käsiteltävien tietojen (kohta 6) osalta pyynnöt ohjataan seuralle, ja autamme seuraa niiden toteuttamisessa.

11. Tietoturva

Kaikki yhteydet ovat HTTPS-salattuja. Tietokanta ja tallennetut tiedostot on salattu levossa. Salasanat tallennetaan vain tiivisteinä, kirjautumistunnukset säilytetään httpOnly-evästeissä (web) ja laitteen salatussa avainsäilössä (mobiili). Palvelua suojaa palomuuri (AWS WAF), ja pääsy henkilötietoihin on rajattu niille henkilöille, jotka tarvitsevat sitä työtehtävissään. Seurojen tiedot on eristetty toisistaan.

12. Evästeet ja vastaavat tekniikat

Verkkosivusto www.xengolf.fi

Web-sovellus app.xengolf.fi

Analytiikkaevästeet otetaan verkkosivustolla käyttöön vain suostumuksellasi: Muokkaa evästeasetuksia.

13. Selosteen muutokset

Pidätämme oikeuden päivittää tätä tietosuojaselostetta. Olennaisista muutoksista ilmoitamme sivustolla ja sovelluksessa. Alikäsittelijälistan muutoksista ilmoitamme seura-asiakkaille tietosuojasopimuksen mukaisesti.