Tietosuojaseloste

Päivitetty 8.10.2026

1. Rekisterinpitäjä

GPP Iisalmi Oy (CrossFit Iisalmi)
Y-tunnus: 3015909-8
Teollisuuskatu 13, 74120 Iisalmi
Puhelin: 040 775 33 67
Sähköposti: info@crossfitiisalmi.com

2. Rekisteriasioista vastaava henkilö

Ville Huttunen, hallituksen puheenjohtaja
Teollisuuskatu 13, 74120 Iisalmi
Puhelin: 040 775 33 67
Sähköposti: info@crossfitiisalmi.com

3. Henkilötietojen käyttötarkoitus

Kerättäviä henkilötietoja käytetään GPP Iisalmi Oy:n asiakkaiden tunnistautumiseen ja käyttöoikeuksien hallintaan, jäsenyyteen liittyvään tiedottamiseen, valmentamiseen liittyviin toimintoihin, salin palveluiden markkinointiin sekä laskutukseen, asiakassuhteiden ylläpitoon ja kehittämiseen.

Asiakasehdokkaat. Käsittelemme myös niiden henkilöiden tietoja, jotka ottavat meihin yhteyttä, varaavat ilmaisen intro-tapaamisen tai täyttävät esitietolomakkeen ennen mahdollista asiakkuutta. Tietoja käytetään yhteydenpitoon, intro-tapaamisen sopimiseen ja valmisteluun sekä myöhempään yhteydenpitoon, jos henkilö ei aloita valmennusta heti.

Käytämme valmennustyön, asiakasviestinnän, sisällöntuotannon ja palvelun kehittämisen tukena tekoälypohjaisia työkaluja. Tarkempi kuvaus on kohdassa 9.

4. Käsittelyn peruste

• Sopimuksen täytäntöönpano (GDPR 6.1.b): jäsenyys- ja valmennussopimuksen toteuttaminen, laskutus, palvelujen toimittaminen sekä rekisteröidyn pyynnöstä ennen sopimusta toteutettavat toimenpiteet, kuten intro-tapaamisen sopiminen ja valmistelu
• Oikeutettu etu (GDPR 6.1.f): asiakaspalvelun kehittäminen, sisäinen analytiikka, palvelujen laadun parantaminen, yhteydenpito asiakasehdokkaisiin sekä suosittelijoiden kiittäminen
• Suostumus (GDPR 6.1.a): sähköinen suoramarkkinointi (uutiskirjeet), markkinointiviestintä, evästeet ja seurantateknologiat, asiakastapaamisten tallennus
• Nimenomainen suostumus (GDPR 9.2.a): terveystietojen ja muiden erityisten henkilötietojen käsittely valmennustyössä ja tallennetuissa tapaamisissa

Asiakasehdokkailta ei kerätä terveystietoja kirjallisesti ennen asiakkuuden alkamista. Terveyteen liittyvät asiat käydään läpi intro-tapaamisessa. Jos tapaaminen tallennetaan, ennen tallennuksen aloittamista pyydetään erillinen suullinen suostumus tallennukseen, siinä käsiteltäviin terveystietoihin ja tallenteen litterointiin tekoälypalvelulla. Suostumus tallentuu tallenteen alkuun.

Oikeutettuun etuun perustuvat käsittelytoimet ovat: (i) palvelun laadun ja asiakaspalvelun kehittäminen asiakkuuden aikana, (ii) rajattu yhteydenpito asiakasehdokkaaseen kohdan 6 säilytysajan puitteissa, (iii) suosittelijoiden kiittäminen sekä (iv) tietoturvan ja palvelun toimivuuden varmistaminen. Oikeutettu etu ei ole terveystietojen käsittelyn peruste. Rekisterinpitäjä on tehnyt näistä kirjallisen tasapainotestin. Voit henkilökohtaiseen erityiseen tilanteeseesi liittyvällä perusteella vastustaa oikeutettuun etuun perustuvaa käsittelyä, ja voit aina vastustaa tietojesi käyttöä suoramarkkinointiin.

5. Rekisterin tietosisältö

Perustiedot: etunimi, sukunimi, syntymävuosi, osoite, sähköpostiosoite, puhelinnumero, käyttäjätunnus ja salasana, mahdollinen alennusryhmään kuulumisen peruste.

Asiakasehdokkailta (ennen asiakkuutta):

• Verkkosivun yhteydenottolomake: nimi, sähköpostiosoite, puhelinnumero ja sopiva tapaamisaika
• Viestit: Facebook Messengerin ja WhatsApp Businessin kautta käydyt keskustelut
• Esitietolomake: tunnistekoodi, syntymävuosi, elämäntilanne, tavoitteet, liikkumista vaikeuttaneet tekijät, liikuntahistoria, harjoitteluun käytettävissä oleva aika ja tieto siitä, mistä henkilö kuuli meistä. Lomakkeella ei kysytä nimeä, yhteystietoja eikä terveystietoja. Vastaus yhdistetään henkilöön tunnistekoodilla, jonka avain säilytetään erillään. Koodilla yhdistettävä vastaus on pseudonymisoitua henkilötietoa, ei anonyymiä.
• Suosittelutiedot: suosittelijan nimi, jos henkilö kertoo sen itse

Valmennusasiakkailta lisäksi: valmennustavoitteet, treenihistoria ja -tulokset, valmennukseen vaikuttavat terveystiedot (sairaudet, vammat, lääkitykset), kehonkoostumusmittaustulokset (InBody), ravintotottumukset ja muut asiakkaan vapaaehtoisesti antamat valmennukseen liittyvät tiedot.

Terveys- ja kehonkoostumustiedot ovat GDPR 9 artiklan mukaisia erityisiä henkilötietoja. Niiden käsittely perustuu nimenomaiseen suostumukseen. WODconnect-järjestelmään tallennettava valmennusdata ei muodosta terveydenhuollon potilasrekisteriä.

Asiakastapaamisten tallenteet. Rekisterinpitäjä tallentaa asiakastapaamisia (intro-tapaamiset, Goal Review -tapaamiset, etätapaamiset ja muut valmennukseen liittyvät keskustelut) valmennuksen laadun varmistamiseksi ja asiakaskohtaisten muistioiden tuottamiseksi. Ennen tallennusta asiakkaalle kerrotaan tallennuksen tarkoitus, terveystietojen mahdollinen käsittely, litterointi tekoälypalvelulla ja säilytysaika, ja häneltä pyydetään suullinen suostumus näihin. Suostumus tallentuu tallenteen alkuun. Jos asiakas on suostunut litterointiin, tallenne transkriboidaan tekoälypohjaisella työkalulla. Tallenteet ja transkriptiot säilytetään Notion-järjestelmässä. Niihin on pääsy ainoastaan rekisterinpitäjällä. Tallennuksesta voi kieltäytyä milloin tahansa ilman, että se vaikuttaa palvelun saatavuuteen.

6. Tietojen säilytysaika

• Esitietolomake ja verkkosivun yhteydenottolomake: enintään 90 päivää. Jos henkilö aloittaa valmennuksen, tarpeelliset tiedot siirretään asiakkuuden tietoihin.
• Intro-tapaamisen tallenne, jos asiakkuus ei ala: enintään 90 päivää
• Suosittelutieto: poistetaan, kun suosittelijaa on kiitetty, viimeistään 90 päivän kuluttua tiedon saamisesta
• Asiakasehdokkaiden viestikeskustelut: 6 kuukautta viimeisestä viestistä, jos asiakkuus ei ala, ellei henkilö itse pyydä myöhempää yhteydenottoa
• Asiakkuuden aikana: koko jäsenyys- tai valmennussuhteen ajan
• Asiakassuhteen päätyttyä: 2 vuotta, vain reklamaatioiden ja asiakaspalvelun kannalta välttämättömät tiedot: perustiedot sekä sopimus-, jäsenyys- ja maksuhistoria. Ei terveystietoja, InBody-tuloksia, treenitietoja eikä muita valmennustietoja
• Kirjanpitoaineisto: kirjanpitolain mukaisesti: tositteet ja muu kirjanpitoaineisto 6 vuotta sen vuoden lopusta, jonka aikana tilikausi päättyi; kirjanpitokirjat ja tililuettelo 10 vuotta tilikauden päättymisestä
• Markkinointiluvat: kunnes suostumus peruutetaan
• Terveystiedot ja valmennustiedot: poistetaan asiakassuhteen päätyttyä, ellei asiakas anna nimenomaista suostumusta pidempään säilytykseen
• Asiakkaiden tapaamistallenteet: asiakkuuden ajan. Koska tallenteissa ja transkriptioissa voi olla terveystietoja, ne poistetaan viimeistään asiakassuhteen päättyessä, tai aiemmin asiakkaan pyynnöstä

Tiedot poistetaan tai anonymisoidaan säilytysajan päätyttyä kaikista aktiivisista järjestelmistä. Tunnistekoodin avain poistetaan samassa yhteydessä kuin siihen liittyvä esitietovastaus. Palveluntarjoajien varmuuskopioista tiedot poistuvat niiden tavanomaisen varmuuskopiokierron mukaisesti.

7. Tietolähteet

Tiedot kerätään ensisijaisesti henkilöltä itseltään.

Lisäksi uusi asiakas tai asiakasehdokas voi kertoa, kuka suositteli meitä tai kenen kautta hän kuuli meistä (GDPR 14 artikla). Suosittelijan nimi tallennetaan vain, jos se on tarpeen suosittelijan kiittämiseksi, eikä tietoa käytetä muuhun tarkoitukseen. Kenenkään asiakkuutta ei vahvisteta ulkopuolisille. Kun tieto saadaan muualta kuin henkilöltä itseltään, hänelle annetaan GDPR 14 artiklan mukainen informaatio kohtuullisessa ajassa, viimeistään kuukauden kuluessa.

8. Tietojen luovutukset ja siirrot EU:n tai ETA:n ulkopuolelle

WODconnectia käytetään asiakas- ja jäsenyyshallintaan. Laskutus- ja maksutietoja käsittelevät lisäksi alla luetellut maksu- ja taloushallintopalvelut. Asiakkaan erillisestä pyynnöstä kulkuluvat tallennetaan Tolotech Oy:n järjestelmään (nimi ja puhelinnumero). Ostoksia tehdessään asiakas kirjoittaa nimensä ja ostoksensa salilla olevaan vihkoon, jonka sisältö tuhotaan kahden kuukauden välein. Perintätapauksissa tiedot välitetään Visma Amili Oy:lle (Y-tunnus 0922741-2).

Rekisterinpitäjä käyttää seuraavia palveluntarjoajia, joista osa säilyttää tietoja EU/ETA-alueen ulkopuolella:

• WODconnect Oy (Suomi/EU): asiakkuudenhallinta ja laskutus. Alihankkijoina mm. Salesforce, Stripe ja SendGrid (USA), joiden osalta sovelletaan EU:n komission hyväksymiä siirtomekanismeja.
• Laskentakonttori Taloushallintopalvelut / Kivijärvi & Korkala Oy (Suomi/EU): tilitoimisto, kirjanpito ja palkanlaskenta
• Fennoa Oy (Suomi/EU): sähköinen taloushallintojärjestelmä
• Svea Payments Oy (Suomi/EU): maksupalvelut WODconnectin kautta
• PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg/EU): maksupalvelut salilla. PayPal voi siirtää tietoja USA:han, jolloin sovelletaan EU:n komission hyväksymiä siirtomekanismeja.
• Epassi Finland Oy, Smartum Oy, Edenred Finland Oy (Suomi/EU): liikuntaetumaksut
• Tolotech Oy (Suomi): kulkuluvat
• Visma Amili Oy (Suomi): perintätapaukset
• Domainhotelli (Suomi): verkkosivujen ylläpito ja sähköposti, mukaan lukien yhteydenottolomakkeen viestit
• Mailchimp (USA): sähköpostimarkkinointi
• Notion Labs, Inc. (USA): sisäiset muistiinpanot sekä tapaamisten tallenteet ja transkriptiot
• Zoom Video Communications, Inc. (USA): etätapaamiset
• Canva: Tapaamisissa esitettävien materiaalien laatiminen
• Trustindex: Google- ja Facebook-arvostelujen näyttäminen verkkosivuilla
• Tekoälypalvelut: yleiskäyttöiset kielimallit, tällä hetkellä esimerkiksi Anthropic, OpenAI, Google, Perplexity ja Manus AI (USA)
• Meta Platforms (USA): Facebook- ja Instagram-markkinointi, Messenger- ja WhatsApp Business -viestintä, seurantapikselit
• Google (USA): Analytics sekä Forms, Drive ja Kalenteri (esitietolomake ja ajanvaraukset). Näitä käytetään tavallisella Google-tilillä, jolloin Google toimii omien ehtojensa mukaisesti erillisenä rekisterinpitäjänä. Siksi esitietolomakkeella ei kerätä nimiä, yhteystietoja eikä terveystietoja.

Henkilötietojen käsittelijöinä toimivia palveluja käytetään GDPR 28 artiklan mukaisten, palvelujen sopimusehtoihin sisältyvien käsittelyehtojen mukaisesti. Osa palveluntarjoajista, kuten Meta ja Google, toimii omalta osaltaan erillisenä rekisterinpitäjänä. ETA-alueen ulkopuolelle tehtävät siirrot perustuvat palveluntarjoajakohtaisesti joko Euroopan komission riittävyyspäätökseen (EU–USA Data Privacy Framework) tai komission hyväksymiin vakiolausekkeisiin. Ajantasainen palveluntarjoaja- ja siirtoperusteluettelo on saatavilla pyynnöstä.

Evästeet ja seurantateknologiat. Verkkosivuilla käytetään Google Analytics -analytiikkapalvelua kävijätilastointiin sekä Meta Platformsin seurantapikseli- ja mainontapalveluja. Niiden käyttö perustuu suostumukseen, joka pyydetään evästebannerilla. Suostumuksen voi peruuttaa milloin tahansa sivuston evästeasetuksista tai selaimen asetuksista.

9. Tekoälypohjaisten työkalujen käyttö

Käytämme tekoälytyökaluja asiakasviestinnän, valmennusdokumenttien, sisällöntuotannon ja liiketoimintaprosessien tukena, esimerkiksi viestien ja uutiskirjeiden luonnosteluun, valmennusmateriaalien kokoamiseen, yhteenvetoihin, asiakasprofiilien analysointiin, valmennuspolkujen suunnittelun tukemiseen ja tapaamistallenteiden transkriptioon.

Pseudonymisointi. Asiakastietoja käsitellään tekoälykeskusteluissa pääsääntöisesti asiakaskoodilla. Keskusteluihin ei syötetä nimiä, yhteystietoja, henkilötunnuksia, syntymäaikoja eikä osoitteita. Kun sama tekoälyavustaja käyttää kalenteria ajanvarausten hallintaan, se voi nähdä tapaamisen otsikosta asiakaskoodin sekä etunimen ja sukunimen alkukirjaimen ja siten yhdistää koodilla käsitellyn keskustelun henkilöön. Tällaisessa käytössä keskustelut ovat tekoälypalvelun näkökulmasta tunnistettavaa henkilötietoa eivätkä pseudonymisoituja. Koodin käytöllä vähennetään nimien esiintymistä keskusteluissa ja niiden otsikoissa. Kalenterimerkintöihin ei kirjata terveystietoja.

Asiakasehdokkaat. Asiakasehdokkaiden tietoja käsitellään tekoälykeskusteluissa asiakaskoodilla. Kalenteria käyttäessään tekoälyavustaja voi nähdä myös heidän etunimensä ja sukunimen alkukirjaimen. Asiakasehdokkailta ei kerätä kirjallisia terveystietoja.

Käsiteltävät tiedot. Tarpeen mukaan: perustiedot, valmennustavoitteet, harjoitteluhistoria, ravintotottumukset, kehonkoostumusmittaukset sekä asiakkaan ilmoittamat terveystiedot. Terveystietoja käsitellään vain, kun se on välttämätöntä valmennuspalvelun toteuttamiseksi, asiakaskoodilla ja mahdollisimman suppeina. Terveystiedot ovat GDPR 9 artiklan mukaisia erityisiä henkilötietoja myös koodilla käsiteltyinä, joten niiden käsittely perustuu aina asiakkaan nimenomaiseen suostumukseen.

Ei automaattista päätöksentekoa. Valmentaja tai muu vastuuhenkilö arvioi aina tekoälyn tuottaman sisällön ennen sen käyttämistä asiakastyössä.

Käsittelyperusteet. Samat kuin muissakin työvälineissä: sopimuksen täytäntöönpano (6.1.b) ja oikeutettu etu (6.1.f). Terveystietojen osalta nimenomainen suostumus (9.2.a): valmennusasiakkailta aloitusvaiheessa ja tallennettavissa tapaamisissa erikseen ennen tallennuksen alkua (ks. kohta 5).

Markkinointi ja sisällöntuotanto. Julkaistava asiakaskohtainen sisältö edellyttää aina asiakkaan suostumusta, jos asiakas on tunnistettavissa.

Kansainväliset siirrot. Osa palveluntarjoajista sijaitsee EU/ETA-alueen ulkopuolella, mukaan lukien Yhdysvallat. Siirroissa käytetään komission riittävyyspäätöstä (mm. EU–USA Data Privacy Framework) tai vakiolausekkeita palveluntarjoajakohtaisesti.

Mallikoulutus. Rajoitamme palvelujen asetuksin ja sopimusehdoin sitä, ettei syötettyjä henkilötietoja käytetä mallien kouluttamiseen, siinä laajuudessa kuin se on hallittavissa.

Oikeudet. Voit pyytää, ettei tietojasi käytetä tekoälytyökaluissa muutoin kuin anonymisoituna tai lainkaan, siltä osin kuin se ei ole välttämätöntä sopimuksen tai lakisääteisten velvoitteiden vuoksi.

10. Rekisterin suojaus

Tiedot siirretään salattua yhteyttä pitkin. Sähköiset tiedot on suojattu käyttäjätunnuksin, salasanoin ja biometrisella tunnistautumisella. Laitteet, joilla asiakastietoja käsitellään, on suojattu biometrisella lukituksella.

Käyttöoikeus on vain niillä henkilöillä, jotka tarvitsevat tietoja tehtävissään, ja vain tehtävän edellyttämässä laajuudessa. Asiakastietoja käsittelevät valmentajat ovat sitoutuneet kirjallisesti vaitioloon ja noudattavat rekisterinpitäjän tietosuojaohjetta. Asiakasviestintä hoidetaan yrityksen omilla kanavilla ja puhelinnumeroilla, ei henkilöstön yksityisillä tileillä. Valmentajille välitetään vain valmennuksen kannalta välttämättömät tiedot.

Tietoturvaloukkaukset. Loukkauksista, kuten laitteen katoamisesta tai tietojen päätymisestä väärälle vastaanottajalle, ilmoitetaan rekisteriasioista vastaavalle henkilölle viipymättä. Rekisterinpitäjä ilmoittaa loukkauksesta tarvittaessa Tietosuojavaltuutetun toimistolle 72 tunnin kuluessa sekä rekisteröidyille, jos siitä voi aiheutua heille korkea riski.

11. Automaattinen päätöksenteko

Automatisoituja yksittäispäätöksiä (GDPR 22 artikla) ei tehdä.

12. Rekisteröidyn oikeudet

Sinulla on oikeus:

• tarkastaa, mitä tietoja sinusta on tallennettu
• vaatia virheellisten tai vanhentuneiden tietojen oikaisua tai poistamista
• rajoittaa tai vastustaa tietojesi käsittelyä (GDPR 18 ja 21 artikla)
• saada tietosi koneellisesti luettavassa muodossa, jos käsittely perustuu suostumukseen tai sopimukseen ja on automaattista
• peruuttaa antamasi suostumus
• kieltää tietojesi käyttö suoramarkkinointiin
• tehdä valitus valvontaviranomaiselle

Pyynnöt voi lähettää osoitteeseen info@crossfitiisalmi.com. Tarkastus on lähtökohtaisesti maksuton. Henkilöllisyys varmistetaan tarvittaessa. Ilmeisen perusteettomasta tai kohtuuttomasta pyynnöstä voidaan periä kohtuullinen maksu tai pyyntö voidaan hylätä (GDPR 12.5 artikla).

Valvontaviranomainen: Tietosuojavaltuutetun toimisto, PL 800, 00531 Helsinki, tietosuoja@om.fi, tietosuoja.fi

13. Selosteen muuttaminen

Pidätämme oikeuden muuttaa selostetta toiminnan tai lainsäädännön muuttuessa. Muutoksista ilmoitetaan päivittämällä seloste verkkosivuille ja tarvittaessa sähköpostitse.