Laki.ai:n tietosuojaseloste

Versio 2 – 4.8.2026

1. Rekisterinpitäjä, yhteystiedot ja soveltamisala

Rekisterinpitäjä on Helsinki AI Labs Oy (Y-tunnus 3296587-8), Sompasaarenlaituri 4 B 46, 00540 Helsinki. Tietosuoja-asiat ja rekisteröidyn pyynnöt: info@laki.ai.

Tämä seloste koskee Laki.ai-verkkosivuston ja -palvelun vierailijoita, käyttäjiä, organisaatioiden edustajia, tiimien omistajia, ylläpitäjiä ja jäseniä, kutsuttuja, laskutus- ja tukiyhteyshenkilöitä sekä Model Context Protocol -rajapinnan (MCP) ja dokumentoidun päättömän agenttiyhteyden käyttäjiä. Se kuvaa Laki.ai:n omaa käsittelyä. Organisaation tai käyttäjän valitsema ChatGPT-, Claude- tai muu kolmannen osapuolen tekoälyavustaja, päätön agentti tai isäntäpalvelu käsittelee tietoja omien ehtojensa mukaan.

2. Laki.ai:n, asiakkaan ja organisaation roolit

Laki.ai päättää tässä selosteessa kuvatun käsittelyn tarkoituksista ja olennaisista keinoista. Se on rekisterinpitäjä verkkosivuston, tunnistautumisen, tilien, tiimien, laskutuksen, turvallisuuden, viestinnän ja operatiivisen metadatan osalta. Organisaatio vastaa omista henkilöstöään, edustajiaan, roolejaan, käyttöoikeuksiaan ja työtehtäviään koskevista käsittelytarkoituksista. Se päättää esimerkiksi kutsuttavista henkilöistä, rooleista ja jäsenyyksien poistamisesta.

Tutkimussyötteisiin voi käyttöehtojen mukaisin edellytyksin sisältyä luottamuksellisia tietoja ja henkilötietoja, mukaan lukien yleisen tietosuoja-asetuksen 9 artiklan erityisiin henkilötietoryhmiin kuuluvia tietoja sekä 10 artiklassa tarkoitettuja rikostuomioita ja rikkomuksia koskevia henkilötietoja. Siltä osin kuin Laki.ai käsittelee tutkimussyötteisiin tai palvelun tuottamiin tuotoksiin sisältyviä henkilötietoja asiakkaan lukuun, Laki.ai toimii henkilötietojen käsittelijänä ja asiakas rekisterinpitäjänä. Asiakkaalla tarkoitetaan tässä selosteessa sovellettavien käyttöehtojen mukaista asiakasta, joka voi olla organisaatio tai henkilö. Käsittelystä määrätään yleisen tietosuoja-asetuksen 28 artiklan mukaisessa tietojenkäsittelyliitteessä (DPA), joka on osa asiakkaan sopimusta ja saatavilla alikäsittelijälistoineen osoitteessa laki.ai/fi/data-processing.

Asiakas vastaa rekisterinpitäjänä henkilötietojen käsittelyn oikeusperusteesta ja erityisten henkilötietoryhmien sekä rikostuomioita ja rikkomuksia koskevien henkilötietojen osalta 9 tai 10 artiklan mukaisesta lisäedellytyksestä, aineiston minimoinnista tutkimustehtävän kannalta tarpeelliseen sekä siitä, että sillä on oikeus antaa tieto valitsemansa kolmannen osapuolen tekoälyavustajan, Laki.ai:n ja alikäsittelijöiden käsiteltäväksi. Tutkimussyötteisiin ei saa sisältyä salasanoja, API-avaimia, OAuth-tunnuksia tai muita salaisia käyttö- tai todennustietoja eikä tietoa, jota asiakkaalla ei ole oikeutta antaa käsittelyketjulle; nämä rajaukset koskevat myös tekoälymallin itsenäisesti muodostamia työkalukutsuja. Ne eivät koske Laki.ai:n osoitettuihin tili-, tiimi-, kutsu-, laskutus-, sopimus- ja yhteydenottokenttiin tarvittavia hallinnollisia tietoja, kuten nimiä, työsähköposteja, organisaatiotietoja, rooleja ja laskutusyhteystietoja.

3. Tietoryhmät ja lähteet

Laki.ai voi käsitellä seuraavia tietoja:

• Tilit: nimi, työsähköposti ja sen vahvistus, kirjautumistapa, Firebase- ja Laki.ai-tunnisteet, tilin ajat, hyväksytty ehtoversio ja hyväksymisaika sekä kirjautumisen turvallisuustiedot. Firebase- ja Laki.ai-tunnisteet ovat tavallisia järjestelmätunnisteita, eivät salaisia kirjautumistietoja. Google Firebase käsittelee salasanat ja salaiset tunnistautumistiedot; Laki.ai ei tallenna salasanoja omaan tietokantaansa.
• Tiimit ja kutsut: organisaation nimi, rekisterinumero ja -maa, tiimin nimi, sallitut sähköpostiverkkotunnukset, jäsenmäärä ja -raja, työsähköposti, rooli, liittymis- ja kutsutiedot, hyväksyjän nimi, tili, työsähköposti, ilmoitettu edustusvalta ja hyväksymistodiste sekä lähetettyjen sähköpostien toimitus- ja sisältötiedot. Kutsutiedoissa voi olla lähettäjä, vastaanottaja, tila, ajat, palveluntarjoajan viestitunniste ja virhetieto. Jäsenet näkevät toistensa työsähköpostit, roolit ja liittymispäivät. Omistajat ja ylläpitäjät näkevät lisäksi vain tehtävänsä edellyttämät kutsu-, liittymislinkki-, verkkotunnus-, jäsenraja-, tilaus- ja laskutustiedot. Rooli ei anna pääsyä jäsenen tutkimussyötteisiin tai tuotoksiin. Kutsujen, liittymislinkkien ja muiden salaisina käyttöoikeustietoina toimivien tunnistearvojen osalta säilytetään mahdollisuuksien mukaan vain kryptografinen tiiviste; tavallisia tili-, käyttäjä-, tiimi- ja viestitunnisteita ei käsitellä salaisina tunnistearvoina.
• Laskutus: Stripe-asiakas- ja tilaustunnisteet, tuote, tila, laskutuskausi, paikka- ja hintatiedot, verokohtelu, laskutusnimi ja -osoite, alv-tunnisteet ja muut verotunnisteet, peruutus, maksutavan olemassaolo, maksuhäiriö ja laskutusyhteyshenkilö. Stripe käsittelee kortin täyden numeron ja turvakoodin; Laki.ai ei tallenna niitä.
• MCP ja tutkimus: tavalliset OAuth-asiakas-, resurssi-, käyttäjä- ja tiimi-tunnisteet, laajuudet, uudelleenohjausosoite, koodihaaste ja tunnisteiden ajat sekä henkilökohtaisen käyttöavaimen nimi ja viimeinen käyttö. Valtuutuskoodien, OAuth-käyttö- ja päivitystunnusten sekä henkilökohtaisten käyttöavainten salaiset arvot tallennetaan kryptografisina tiivisteinä, ei selväkielisinä. Tutkimussyöte voi muodostua käyttäjän tarkoituksellisesti kolmannen osapuolen tekoälyavustajalle tai Laki.ai:lle antamasta aineistosta sekä tekoälymallin tämän aineiston ja muun kontekstin perusteella itsenäisesti muodostamasta työkalukutsusta. Kumpaankin voi sisältyä kohdassa 2 kuvatuin edellytyksin luottamuksellisia tietoja ja henkilötietoja, joita Laki.ai käsittelee asiakkaan lukuun DPA:n mukaisesti. Kumpaankaan ei saa sisältyä salasanoja, API-avaimia, OAuth-tunnuksia, muita salaisia käyttö- tai todennustietoja eikä tietoa, jota asiakkaalla ei ole oikeutta antaa käsittelyketjulle. Tutkimuskontekstia käsitellään tilapäisesti: ensimmäinen konteksti voidaan pitää yhden palveluprosessin muistissa enintään kaksi tuntia ja poistetaan aiemmin prosessin käynnistyessä uudelleen tai istunnon valmistuessa. Laki.ai ei tallenna raakoja työkalusyötteitä, hakukyselyitä tai tutkimuskontekstia pysyvästi osana palvelun toimintaa. Laki.ai voi säilyttää luettujen ja lopullisiksi lähteiksi valittujen oikeudellisten asiakirjojen tunnisteet sekä sisällötöntä metadataa: istunto-, käyttäjä-, tiimi-, työkalu- ja yhteysprofiilitunnisteet, tila, kesto, lähdetunnisteet ja lukumäärät, malli, palveluntarjoaja, tokenmäärät ja kustannusarviot. Metadata ei sisällä kyselyn, kontekstin, oikeudellisen asiakirjan tai tuotoksen tekstiä. Kontekstia, lähdetekstiä ja ehdokasotteita voidaan välittää tilapäisesti Googlen haku-, vektori- ja mallipalveluihin (Google Cloud ja Vertex AI). Tutkimussyötteitä tai niistä tuotettuja tuotoksia sisältävät malli- ja embedding-pyynnöt käsitellään Vertex AI:n EU-alueella. Laki.ai suojaa palvelussa käsiteltävät tutkimussyötteet asianmukaisin teknisin ja organisatorisin toimin eikä käytä tutkimussyötteitä tai tuotoksia mallien kouluttamiseen tai yleiseen parantamiseen. Henkilöstön ja Laki.ai:n lukuun toimivien henkilöiden pääsy tutkimussyötteisiin rajataan välttämättömiin tilanteisiin, kuten käyttäjän pyytämään tukeen, väärinkäytös- tai tietoturvaepäilyn selvittämiseen ja lakisääteisten velvoitteiden täyttämiseen.
• Tekniikka, turvallisuus ja analytiikka: IP-osoite, tekninen asiakastyyppi, pyynnön aika ja reitti, istunto- ja tapahtumatunnisteet, vastaustila, väärinkäyttösignaalit, suorituskyky, virhe- ja ympäristötiedot sekä Plausiblen sivuosoite, viittaava sivu, laitteen, selaimen ja käyttöjärjestelmän yleinen luokka, maa- tai aluetaso ja aika. Virheraporteista pyritään poistamaan tunnistautumis- ja tutkimussisältö. Laki.ai saa Plausiblelta koontiraportteja.
• Tuki ja sopimukset: yhteyshenkilön nimi, organisaatio, tehtävä, työsähköposti, puhelinnumero, viestit, tukipyynnöt, tarjoukset, tilausasiakirjat, neuvottelut, edustusvaltaselvitykset sekä niiden ajat ja tilat.

Tiedot saadaan rekisteröidyltä, organisaation edustajalta tai tiimin hallinnoijalta; Firebaselta ja Stripelta; organisaation tai käyttäjän valitsemalta kolmannen osapuolen tekoälyavustajalta, agentilta tai isäntäpalvelulta, mukaan lukien tekoälymallin itsenäisesti muodostamat työkalukutsut; laitteelta, selaimelta ja verkkoyhteydestä; Laki.ai:n palveluista; sekä sähköposti-, virheseuranta- ja analytiikkapalveluilta. Edustusvaltaselvitys voidaan pyytää hyväksyjältä tai organisaatiolta.

4. Tarkoitukset ja oikeusperusteet

Taulukko koskee käsittelyä, jossa Laki.ai on rekisterinpitäjä. Siltä osin kuin tutkimussyötteisiin tai tuotoksiin sisältyy henkilötietoja, Laki.ai käsittelee niitä asiakkaan lukuun käsittelijänä DPA:n mukaisesti eikä määritä niille omaa oikeusperustetta; oikeusperusteesta vastaa rekisterinpitäjänä toimiva asiakas. Tarvittavat tili-, tiimi- ja laskutustiedot on annettava, jotta vastaava tili, tiimi tai maksullinen palvelu voidaan tarjota. Sopimuksen täytäntöönpano on oikeusperuste vain, jos rekisteröity itse on sopimuksen osapuoli tai pyytää sopimusta edeltäviä toimia. Organisaation edustajan, käyttäjän, laskutus- tai tukiyhteyshenkilön taikka muun sopimukseen nähden ulkopuolisen henkilön tietoja käsitellään tilanteen mukaan Laki.ai:n tai organisaation oikeutetun edun tai lakisääteisen velvoitteen perusteella, ei hänen henkilökohtaisen sopimuksensa perusteella. Viestintä kattaa myös kirjautumis-, kutsu-, palvelu- ja turvallisuusviestit sekä asiakassuhteen hoitamisen. Oikeutettuun etuun perustuva käsittely rajataan ammatillisen palvelun toimittamisen, hallinnon, turvallisuuden ja kehittämisen kannalta tarpeelliseen. Rekisteröity voi pyytää tietoa tasapainotestistä ja vastustaa käsittelyä henkilökohtaiseen erityiseen tilanteeseensa vedoten.

5. Selaimen tallennustila ja analytiikka

Firebase Auth käyttää välttämätöntä selaimen tallennustilaa ja tunnisteita kirjautumisistunnon ylläpitämiseen ja suojaamiseen. Vastaavaa välttämätöntä tallennustilaa voidaan käyttää käyttöliittymän asetuksiin ja turvallisuuteen, ei mainontaan. Plausible Analytics mittaa yleistä käyttöä ilman analytiikkaevästeitä tai pysyvää henkilökohtaista seurantatunnistetta tai käyttäjäprofiilia. Google Fonts ladataan Googlen palvelimelta, jolloin selain muodostaa teknisen yhteyden Googleen.

6. Vastaanottajat ja kansainväliset siirrot

Pääsy annetaan vain tarkoituksen vuoksi tarvitseville ja asianmukaisiin velvoitteisiin sidotuille henkilöille ja palveluntarjoajille. Vastaanottajia ovat seuraavat palveluntarjoajaryhmät: infrastruktuuri-, tietokanta-, tunnistautumis-, tiedosto- ja lokipalvelut, haku-, vektori- ja mallikäsittelypalvelut sekä fonttipalvelut; hosting-palvelut; maksu- ja laskutuspalvelut; sähköpostin välityspalvelut; virhe- ja suorituskykyseurantapalvelut; sekä evästeettömät analytiikkapalvelut. Tutkimussyötteitä ja niistä tuotettuja tuotoksia vastaanottavat alikäsittelijät nimetään erikseen päivätyssä alikäsittelijälistassa osoitteessa laki.ai/fi/data-processing. Tietoja voidaan antaa myös lain nojalla viranomaiselle tai tuomioistuimelle sekä tarpeellisin suojatoimin yritysjärjestelyn osapuolille ja neuvonantajille.

Organisaation tai käyttäjän valitsemat ChatGPT/OpenAI, Claude/Anthropic sekä päätön agentti tai sen isäntäpalvelu ovat erillisiä palveluja. Ne voivat nähdä niille annetun käyttäjän aineiston ja kontekstin, muodostaa niiden perusteella itsenäisesti Laki.ai:lle välitettäviä työkalukutsuja sekä nähdä Laki.ai:n palauttaman sisällön. Laki.ai ei määrää niiden sisältövalintoja, käsittelyn tarkoituksia, säilytystä tai mallikoulutusta eikä ennakkotarkasta, luokittele, suodata, poista tai estä niiden muodostamien työkalukutsujen sisältöä. Organisaation tai käyttäjän on arvioitava niiden ehdot, asetukset, käyttöoikeudet ja soveltuvuus käsiteltävälle tiedolle sekä varmistettava oikeutensa välittää tieto koko käsittelyketjulle.

Palveluntarjoajat ja alihankkijat voivat käsitellä tietoja Euroopan talousalueen ulkopuolella; kaikkea käsittelyä ei luvata rajata Suomeen tai Euroopan unioniin. Tarvittava siirtoperuste on Euroopan komission riittävyyspäätös, komission vakiosopimuslausekkeet täydentävine suojatoimineen tai muu lain sallima mekanismi. Tietyn tilanteen poikkeusta käytetään vain sen ehtojen täyttyessä. Siirtoperusteesta tai saatavilla olevasta jäljennöksestä voi kysyä osoitteesta info@laki.ai. Organisaation tai käyttäjän valitseman palvelun siirrot määräytyvät sen ehtojen mukaan.

7. Säilytys

Tiedot poistetaan tai anonymisoidaan, kun niitä ei enää tarvita. Säilytysaika määräytyy käsittelyn tarpeen, sopimussuhteen keston, turvallisuuden ja lakisääteisten velvoitteiden perusteella:

• tilapäinen MCP-konteksti poistetaan viimeistään kahdessa tunnissa ja aiemmin prosessin käynnistyessä uudelleen tai istunnon valmistuessa;
• tili-, tiimi-, tilaus-, kutsu-, tuki-, sopimus- ja edustusvaltatietoja sekä lähetettyjen viestien sisältöjä säilytetään asiakassuhteen, palvelun tarjoamisen ja sopimusten hallinnan edellyttämän ajan;
• turvallisuus-, loki- ja metatietoja sekä OAuth- ja käyttöavaintietueita säilytetään niiden voimassaolon sekä turvallisuuden ja toiminnan varmistamisen edellyttämän ajan; ja
• kirjanpitoaineisto säilytetään tietolajista riippuen kuusi tai kymmenen vuotta kirjanpitolain mukaan.

Oikeusvaade, lakisääteinen velvoite tai todetun väärinkäytöksen selvitys voi edellyttää tarpeellisen osan pidempää säilytystä kyseisen tarpeen ajan. Säilytys rajataan aina tarkoituksen kannalta välttämättömään.

8. Tietoturva

Tietoja suojataan riskiin nähden asianmukaisilla teknisillä ja organisatorisilla toimilla, kuten rajatuilla rooleilla ja käyttöoikeuksilla, henkilökohtaisilla tunnuksilla, salaisten tunnistearvojen kryptografisella tiivistyksellä, salatuilla verkkoyhteyksillä, palveluympäristöjen pääsynhallinnalla, lokien ja virheraporttien minimoinnilla, varmuuskopioilla, valvonnalla ja poikkeamien käsittelyllä. Henkilöstö ja alihankkijat saavat pääsyn vain tehtävänsä edellyttämässä laajuudessa. Pääsyä valvotaan ja se rajataan aina vähimpään tehtävän kannalta tarvittavaan tietoon. Käyttäjän on pidettävä kirjautumis-, kutsu-, OAuth- ja käyttöavaintunnisteiden salaiset arvot salassa ja ilmoitettava niiden vaarantumisesta heti.

9. Oikeudet ja automaattiset päätökset

Yleisen tietosuoja-asetuksen ehtojen täyttyessä rekisteröity voi saada vahvistuksen siitä, käsitelläänkö hänen tietojaan, ja pääsyn niihin; oikaista tai täydentää niitä; pyytää poistamista tai käsittelyn rajoittamista; vastustaa oikeutettuun etuun perustuvaa käsittelyä; sekä saada itse toimittamansa, sopimukseen tai suostumukseen perustuvassa automaattisessa käsittelyssä olevat tiedot jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa ja siirtää ne toiselle rekisterinpitäjälle. Jos käsittely perustuu suostumukseen, sen voi peruuttaa vaikuttamatta aiemman käsittelyn lainmukaisuuteen. Rekisteröity voi valittaa Tietosuojavaltuutetun toimistolle. Oikeutta voi rajoittaa esimerkiksi lakisääteinen säilytys tai oikeusvaade.

Pyynnön voi lähettää osoitteeseen info@laki.ai. Laki.ai voi pyytää tarpeelliset lisätiedot henkilöllisyyden ja pyynnön varmistamiseksi. Vastaus annetaan ilman aiheetonta viivytystä ja viimeistään kuukaudessa. Siltä osin kuin pyyntö koskee tutkimussyötteisiin tai tuotoksiin sisältyviä henkilötietoja, joiden rekisterinpitäjä on asiakas, Laki.ai ohjaa pyynnön ilman aiheetonta viivytystä asiakkaalle tai neuvoo rekisteröityä kääntymään asiakkaan puoleen ja avustaa asiakasta DPA:n mukaisesti. Määräaikaa voidaan pyyntöjen määrän tai monimutkaisuuden vuoksi jatkaa enintään kahdella kuukaudella; jatkosta ja syystä ilmoitetaan ensimmäisen kuukauden aikana. Tiimistä tai tiimin jäsenyydestä poistuminen ei poista henkilökohtaista tiliä. Henkilökohtaisen tilin poistoa ja henkilötietoja koskeva pyyntö tehdään erikseen samaan osoitteeseen.

Laki.ai ei tee pelkästään automaattisia henkilötietopäätöksiä, joilla on oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia. Automaattisia turvallisuus- ja käyttörajoituksia voidaan käyttää esimerkiksi väärinkäyttöepäilyn tai pyyntömäärän hallintaan, mutta merkittävän käyttöoikeuspäätöksen voi pyytää ihmisen arvioitavaksi osoitteesta info@laki.ai.

10. Muutokset

Selostetta päivitetään palvelun, käsittelyn tai lain muuttuessa. Ajantasainen versio julkaistaan versionumeron ja päiväyksen kanssa. Olennaisesta muutoksesta ilmoitetaan selkeästi ja tarkoituksenmukaisesti palvelussa tai käyttäjätiliin liitettyyn sähköpostiin.