Palvelun tietosuojaseloste hankintayksiköille
Miten BIDI-palvelussa käsitellään hankintayksiköiden käyttäjien ja heidän kutsumiensa henkilöiden tietoja: missä roolissa, millä perusteella, kenen kanssa tietoja jaetaan ja kuinka kauan niitä säilytetään.
Päivitetty 22. syyskuuta 2026
Jos selosteen kieliversioiden välillä on ristiriita, suomenkielinen versio on ensisijainen.
1. Roolit ja yhteystiedot
BIDI (jäljempänä Palvelu) on The Better One Oy:n julkisten hankintojen kilpailutusalusta. Palvelussa käsitellään henkilötietoja kahdessa eri roolissa, ja niihin sovelletaan eri sääntöjä.
- Palvelun käyttäjätilien, kirjautumisen, tietoturvan ja Palvelun käytöstä syntyvien lokitietojen osalta The Better One Oy on rekisterinpitäjä. Tämä seloste kuvaa ensisijaisesti tätä käsittelyä.
- Hankinta-aineistoon, tarjouksiin ja muuhun asiakasorganisaation Palveluun tuomaan aineistoon sisältyvien henkilötietojen osalta rekisterinpitäjä on asiakasorganisaatio, ja The Better One Oy toimii käsittelijänä sen lukuun. Käsittelystä sovitaan asiakkaan kanssa tietojenkäsittelysopimuksella.
The Better One Oy, Y-tunnus 3597598-3, Itätuulenkuja 10 A, LT 1, 02100 Espoo, Suomi. Tietosuoja-asiat: tietosuoja@bidi.fi. Muut yhteydenotot: myynti@bidi.fi.
2. Mitä tämä seloste kattaa
Seloste koskee Palvelun käyttäjiä hankintayksikön puolella: hankintayksiköiden ja niiden lukuun työskentelevien edustajia, joilla on käyttäjätili, sekä henkilöitä, jotka nämä kutsuvat Palveluun ilman tiliä, kuten asiantuntijoita katselmointiin, määrittelyyn tai kyselyyn.
Tarjoajien käyttäjien henkilötietojen käsittely kuvataan erikseen tarjoajien palvelun tietosuojaselosteessa.
Verkkosivuston www.bidi.fi käyttö, yhteydenotot ja markkinointiviestintä kuvataan erikseen sivuston tietosuojaselosteessa.
3. Mitä henkilötietoja käsittelemme ja mistä ne saadaan
Käyttäjätili
Nimi, sähköpostiosoite, organisaatio ja rooli siinä, Palvelun käyttöoikeudet, kielivalinta sekä käyttöehtojen hyväksymisen ajankohta ja versio. Nimi ja sähköpostiosoite saadaan kirjautumispalvelusta, organisaatio ja rooli organisaation pääkäyttäjältä tai kutsusta.
Kirjautuminen
Palveluun kirjaudutaan Microsoftin työ- tai koulutilillä, Google-tilillä tai sähköpostiosoitteella ja salasanalla. Kirjautumispalvelu välittää Palvelulle nimen, sähköpostiosoitteen ja tunnisteen. Salasanaa Palvelu ei näe eikä tallenna: sähköpostikirjautumisen salasanoja hallinnoi Microsoft Entra External ID.
Palvelun käyttö
- Tekniset lokitiedot: käyttäjätunniste, sähköpostiosoite kirjautumisen ja uloskirjautumisen yhteydessä, organisaatio, pyydetty osoite ja aikaleima.
- Liitetiedostojen käsittelyloki: kuka latasi, avasi tai poisti tiedoston ja milloin, IP-osoite ja selaimen tunnistetiedot.
- Sopimuksen sähköinen allekirjoitus: allekirjoittajan nimi, tehtävänimike, sähköpostiosoite, allekirjoitus, ajankohta ja IP-osoite.
- Tekoälytoimintojen käyttö: toiminto, ajankohta ja käytetyn laskennan määrä. Lokiin tallentuu lisäksi enintään 240 merkin ote syötteestä ja vastauksesta.
- Palvelun sisäiset ilmoitukset ja sähköposti-ilmoitusten toimitustiedot.
Kutsutut henkilöt ilman käyttäjätiliä
Nimi, sähköpostiosoite ja organisaatio sen mukaan kuin kutsuja ne antaa, henkilön itse antamat vastaukset ja kommentit, sekä kertakäyttöinen vahvistuskoodi, jolla henkilö vahvistaa sähköpostiosoitteensa ennen aineiston avaamista.
Hankinta-aineisto
Hankinta-asiakirjoissa ja tarjouksissa on tyypillisesti yhteyshenkilöiden nimiä ja yhteystietoja, tarjoajan tiimin jäsenten ja referenssien yhteyshenkilöiden tietoja sekä hankintapäätöksen tekijän nimi. Näitä tietoja käsittelemme asiakasorganisaation lukuun kohdan 1 mukaisesti.
Emme pyydä arkaluonteisia henkilötietoja. Palvelun käyttäjä vastaa siitä, ettei tuo niitä Palveluun tarpeettomasti.
4. Käsittelyn tarkoitukset ja oikeusperusteet
Kun olemme rekisterinpitäjä, käsittelemme henkilötietoja seuraaviin tarkoituksiin EU:n yleisen tietosuoja-asetuksen (2016/679) mukaisilla perusteilla.
| Tarkoitus | Tiedot | Oikeusperuste |
|---|---|---|
| Palvelun tarjoaminen ja käyttöoikeuksien hallinta | Käyttäjätili, kirjautumistiedot | Sopimus (6 art. 1 b), tai oikeutettu etu (6 art. 1 f) kun sopimus on käyttäjän työnantajan kanssa |
| Palvelun ilmoitukset ja sähköpostit | Nimi, sähköpostiosoite, kielivalinta | Sopimus tai oikeutettu etu, kuten edellä |
| Käyttöehtojen hyväksymisen osoittaminen | Hyväksymisen ajankohta ja versio | Oikeutettu etu (6 art. 1 f) |
| Tietoturva, väärinkäytösten selvittäminen ja virheiden korjaaminen | Tekniset lokitiedot, tiedostojen käsittelyloki | Oikeutettu etu (6 art. 1 f): Palvelun ja siinä käsiteltävän aineiston suojaaminen |
| Tekoälytoimintojen käytön rajoittaminen ja seuranta | Käyttömäärät, lokiotteet | Oikeutettu etu (6 art. 1 f): kustannusten hallinta ja väärinkäytön estäminen |
| Kutsutun henkilön tunnistaminen | Nimi, sähköpostiosoite, vahvistuskoodi | Oikeutettu etu (6 art. 1 f): aineisto avautuu vain sille, jolle se on tarkoitettu |
Hankinta-aineistoon sisältyvien henkilötietojen käsittelyn tarkoituksen ja perusteen määrittää asiakasorganisaatio rekisterinpitäjänä.
5. Tekoälyn käyttö
Palvelu käyttää tekoälyä hankinta-aineiston laatimisen ja arvioinnin tukena. Kielimallina on OpenAI:n GPT-4o, jota käytetään Microsoftin Azure OpenAI -palvelun kautta Palveluntarjoajan omassa Azure-ympäristössä. Tekoälylle välitetään vain se aineisto, jota käyttäjän valitsema toiminto tarvitsee, ja siinä voi olla henkilötietoja.
- Microsoft ei käytä Palvelun syötteitä eikä vastauksia kielimallien kouluttamiseen, eikä niitä luovuteta OpenAI:lle.
- Azure OpenAI -resurssi sijaitsee EU:ssa, West Europe -alueella. Käyttöönottotapa on kuitenkin maailmanlaajuinen, joten Microsoft voi ohjata yksittäisen pyynnön käsiteltäväksi myös EU:n ja ETA-alueen ulkopuolella sijaitsevassa konesalissaan. Siirrosta kerrotaan kohdassa 7.
- Microsoft voi säilyttää syötteitä ja vastauksia väärinkäytösten valvontaa varten enintään 30 päivää omien ehtojensa mukaisesti.
Tekoäly ehdottaa ja perustelee, ihminen päättää. Tekoäly ei tee hankintapäätöksiä eikä muita päätöksiä, joilla olisi sinuun kohdistuvia oikeusvaikutuksia.
6. Vastaanottajat ja alihankkijat
Emme myy emmekä vuokraa henkilötietoja. Palvelun sisällä tiedot näkyvät niille, joille Palvelun käyttötarkoitus ne ohjaa: esimerkiksi tarjouksen yhteyshenkilö näkyy tarjouksen saaneelle hankintayksikölle, ja kutsutun asiantuntijan nimi näkyy kutsujalle.
Palvelun toteutuksessa käytämme seuraavia palveluntarjoajia. Kunkin kanssa on tietojenkäsittelysopimus.
- Microsoft Ireland Operations Ltd: Palvelun alusta Azure-pilvessä. Sovellukset, tietokanta, tiedostojen tallennus, viestijono, lokit, avainten säilytys, verkkoliikenteen suojaus, tiedostojen haittaohjelmatarkistus, sähköpostien lähetys (Azure Communication Services), kirjautuminen (Microsoft Entra ID ja Entra External ID) sekä tekoäly (Azure OpenAI).
- Google Ireland Limited: kirjautuminen, jos käyttäjä valitsee kirjautua Google-tilillä.
Kun hankintayksikkö julkaisee hankintailmoituksen, Palvelu välittää sen Hilmaan (hankintailmoitukset.fi). Ilmoituksessa on hankintayksikön ilmoittamat yhteyshenkilön tiedot ja jälki-ilmoituksessa voittaneen tarjoajan nimi ja Y-tunnus. Julkaisusta päättää hankintayksikkö.
Palvelu hakee yritysten perustietoja Patentti- ja rekisterihallituksen avoimesta rajapinnasta ja julkisia hankintailmoituksia EU:n TED-palvelusta. Näihin hakuihin ei liitetä henkilötietoja.
Lisäksi voimme luovuttaa tietoja viranomaiselle, kun laki siihen velvoittaa.
7. Tietojen sijainti ja siirrot EU:n ja ETA-alueen ulkopuolelle
Palvelun sovellukset, tietokanta, tiedostot ja lokit sijaitsevat Microsoftin Azure-pilvessä Ruotsissa (Sweden Central). Kirjautumispalvelun ja sähköpostipalvelun tiedot sijaitsevat Euroopassa.
EU:n ja ETA-alueen ulkopuolelle tietoja voi siirtyä kahdessa tilanteessa: tekoälypyyntöjen käsittelyssä kohdan 5 mukaisesti, sekä Microsoftin ja Googlen tukitoiminnoissa niiden omien ehtojen mukaisesti. Molemmat yhtiöt ovat sitoutuneet EU:n ja Yhdysvaltojen väliseen tietosuojakehykseen (EU-U.S. Data Privacy Framework), ja siirrot perustuvat lisäksi Euroopan komission hyväksymiin vakiosopimuslausekkeisiin.
8. Säilytysajat
| Tiedot | Säilytysaika |
|---|---|
| Käyttäjätili | Niin kauan kuin tili on käytössä. Tili poistetaan, kun organisaatio tai käyttäjä sitä pyytää ja kun tiliin ei enää liity hankinta-aineistoa, jonka säilyttäminen sitä edellyttää. |
| Tekniset lokitiedot ja tekoälyn lokiotteet | 30 päivää |
| Tiedostojen käsittelyloki ja sopimuksen allekirjoitustiedot | Yhtä kauan kuin hankinta-aineisto, johon ne liittyvät |
| Hankinta-aineisto | Asiakasorganisaation ohjeiden mukaisesti. Sopimuksen päättyessä aineisto luovutetaan asiakkaalle ja poistetaan Palvelusta käyttöehtojen mukaisesti. |
| Varmuuskopiot | 7 päivää |
9. Tietoturva
Suojaamme henkilötiedot teknisin ja organisatorisin toimenpitein.
- Kaikki liikenne Palveluun on salattu (TLS 1.2 tai uudempi), ja tiedot ovat salattuina myös tallennettuina.
- Liikenne kulkee verkkosovelluspalomuurin kautta, eivätkä Palvelun taustapalvelut ole suoraan internetin saavutettavissa.
- Kirjautumisistunto on salattu ja päättyy viimeistään kahdeksan tunnin kuluttua, ja käyttöoikeudet tarkistetaan tietokannasta muutaman minuutin välein.
- Käyttöoikeudet perustuvat rooleihin ja organisaatioon, ja tarjoukset avautuvat hankintayksikölle vasta tarjousajan päätyttyä.
- Tiedostojen lataus- ja avauslinkit ovat voimassa vain muutaman minuutin, ja ladatut tiedostot tarkistetaan haittaohjelmien varalta.
- Salaisuudet ja avaimet säilytetään Azure Key Vaultissa, eikä niitä tallenneta sovelluskoodiin.
Jos henkilötietojen tietoturvaloukkaus tapahtuu, ilmoitamme siitä tietosuojavaltuutetun toimistolle 72 tunnin kuluessa ja sinulle, jos loukkaus todennäköisesti aiheuttaa korkean riskin oikeuksillesi. Asiakasorganisaation aineistoa koskevasta loukkauksesta ilmoitamme asiakkaalle ilman aiheetonta viivytystä.
10. Evästeet ja selaimen tallennustila
Palvelu käyttää vain toiminnan kannalta välttämättömiä evästeitä: salattua kirjautumisistuntoa (enintään kahdeksan tuntia), kirjautumisen aikaista tarkistusevästettä (kymmenen minuuttia) ja kielivalintaa (vuosi). Kutsutun henkilön vahvistettu pääsy ja käyttöliittymän asetukset tallentuvat selaimen omaan tallennustilaan. Palvelu ei käytä analytiikka- eikä markkinointievästeitä.
11. Sinun oikeutesi
Sinulla on tietosuoja-asetuksen mukaiset oikeudet omiin henkilötietoihisi: oikeus saada tietää, käsittelemmekö tietojasi, ja saada niistä jäljennös, oikeus pyytää virheellisen tiedon oikaisua, tietojen poistamista ja käsittelyn rajoittamista, oikeus siirtää antamasi tiedot toiselle rekisterinpitäjälle sekä oikeus vastustaa oikeutettuun etuun perustuvaa käsittelyä.
Kun olemme rekisterinpitäjä, pyynnön voi tehdä sähköpostitse osoitteeseen tietosuoja@bidi.fi. Voimme pyytää tarkentamaan pyyntöä tai varmistaa henkilöllisyytesi ennen kuin toimimme. Vastaamme kuukauden kuluessa. Jos pyyntö on poikkeuksellisen laaja, voimme jatkaa määräaikaa enintään kahdella kuukaudella ja kerromme siitä sinulle.
Hankinta-aineistoon sisältyviä tietoja koskeva pyyntö on osoitettava asiakasorganisaatiolle, joka on niiden rekisterinpitäjä. Jos pyyntö tulee meille, ohjaamme sen asiakkaalle ja autamme asiakasta vastaamaan siihen.
Jos katsot, että käsittelemme tietojasi lainvastaisesti, voit tehdä valituksen tietosuojavaltuutetun toimistolle: PL 800, 00531 Helsinki, puhelin 029 566 6700, tietosuoja@om.fi. Toivomme kuitenkin, että olet ensin yhteydessä meihin.
12. Muutokset tähän selosteeseen
Päivitämme selostetta, kun Palvelu, käsittely tai käytettävät palveluntarjoajat muuttuvat. Ajantasainen versio on aina tällä sivulla, ja päivityspäivä näkyy sivun alussa. Olennaisista muutoksista kerromme Palvelussa, ja Palvelu pyytää sinua tutustumaan päivitettyyn selosteeseen seuraavan kirjautumisen yhteydessä.