Tietosuojaseloste

1. Rekisterinpitäjä

EHO Hieronta Oy
Y-tunnus: 3237117-2
Osoite: Eteläinen Hesperiankatu 10 A 3–5, 00100 Helsinki
Tietosuoja-asioiden yhteydenotot: info@eho.fi

EHO Hieronta Oy, jäljempänä ”Eho”, toimii tässä selosteessa kuvattujen asiakas-, jäsenyys-, ajanvaraus- ja potilastietojen rekisterinpitäjänä.

2. Selosteen soveltamisala

Tämä seloste koskee Ehon asiakkaiden, jäsenten, lahjakorttien ostajien ja vastaanottajien, verkkopalvelun käyttäjien sekä Ehoon yhteyttä ottavien henkilöiden henkilötietojen käsittelyä.

Ehon työntekijöiden, ammatinharjoittajien, työnhakijoiden ja yritysasiakkaiden yhteyshenkilöiden tietoja voidaan käsitellä erillisten tietosuojakäytäntöjen mukaisesti.

3. Mitä tietoja käsittelemme

Eho voi käsitellä seuraavia henkilötietoryhmiä:

• perustiedot, kuten nimi, syntymäaika, henkilötunnus silloin kun sen käsittely on terveydenhuollossa tarpeellista, sekä asiointikieli;
• yhteystiedot, kuten sähköpostiosoite, puhelinnumero ja osoite;
• asiakastilin tunnisteet, kirjautumis- ja tunnistautumistiedot sekä tilin turvallisuuteen liittyvät tiedot;
• ajanvaraustiedot, kuten palvelu, toimipiste, hieroja, ajankohta, varauksen tila, peruutukset ja asiakkaan varausta varten antamat lisätiedot;
• potilas- ja terveystiedot, kuten hoidon tarpeen arvioinnissa, toteuttamisessa ja kirjaamisessa tarvittavat tiedot sekä terveydenhuollon ammattihenkilön tekemät potilasmerkinnät;
• jäsenyyttä, kampanjaa, krediittejä ja käyttöoikeuksia koskevat tiedot;
• osto-, maksu- ja laskutustiedot, maksutapa, maksutapahtuman tila, palautukset sekä maksupalveluntarjoajan välittämät tunnisteet; Eho ei tallenna täydellisiä maksukorttitietoja;
• lahjakortin ostoa, toimittamista, lunastamista ja käyttöä koskevat tiedot;
• asiakaspalveluviestit, palautteet, reklamaatiot ja tietosuojapyynnöt;
• alaikäisen asiointiin ja tarvittavaan huoltajan hyväksyntään liittyvät tiedot;
• markkinointisuostumus, sen antamisen tai peruuttamisen ajankohta, markkinoinnin estotiedot sekä lähetettyjen markkinointiviestien avaamista ja niissä olevien linkkien käyttöä koskevat tiedot silloin, kun seurantaa käytetään;
• tekniset ja turvallisuustiedot, kuten IP-osoite, laite- ja selaintiedot, istunto-, kirjautumis-, käyttö- ja tapahtumalokit sekä väärinkäytösten torjuntaan tarvittavat tiedot; ja
• muut tiedot, jotka asiakas toimittaa Eholle tai joiden käsittely on palvelun toteuttamiseksi tai lakisääteisen velvoitteen täyttämiseksi tarpeellista.

4. Mistä tiedot saadaan

Tietoja saadaan ensisijaisesti asiakkaalta itseltään, hänen huoltajaltaan tai valtuuttamaltaan henkilöltä. Tietoja syntyy myös ajanvarauksen, hoidon, jäsenyyden, maksamisen, asiakaspalvelun ja verkkopalvelun käyttämisen yhteydessä.

Eho voi saada maksun toteuttamiseen ja vahvistamiseen tarvittavia tietoja maksupalveluntarjoajilta, henkilöstöetupalveluilta, lahjakorttipalveluilta ja laskutus- tai perintäpalveluilta. Potilastietoja voidaan saada tai luovuttaa Kanta-palvelujen kautta lainsäädännön ja asiakkaan antamien lupien mukaisesti.

5. Käsittelyn tarkoitukset ja oikeusperusteet

Palvelun, ajanvarauksen ja asiakassuhteen hoitaminen

Tietoja käsitellään varauksen tai muun sopimuksen tekemiseen ja toteuttamiseen, asiakkaan tunnistamiseen, ajanvarausten hallintaan, asiakasviestintään, maksamiseen, palautuksiin, lahjakortteihin, krediitteihin ja jäsenyyksiin. Käsittely perustuu sopimukseen ja sitä edeltäviin asiakkaan pyytämiin toimenpiteisiin.

Terveydenhuollon toteuttaminen ja potilastietojen käsittely

Potilas- ja terveystietoja käsitellään asiakkaan hoidon suunnittelua, toteuttamista, kirjaamista, jatkuvuutta ja turvallisuutta varten sekä terveydenhuollon lakisääteisten velvoitteiden täyttämiseksi. Erityisiin henkilötietoryhmiin kuuluvien terveystietojen käsittely perustuu terveydenhuollon toteuttamiseen ja sitä koskevaan lainsäädäntöön.

Laskutus, kirjanpito ja oikeudelliset velvoitteet

Tietoja käsitellään maksujen, laskujen, kirjanpidon, verotuksen, lakisääteisten ilmoitusten, potilasasiakirjojen säilyttämisen sekä viranomaisvelvoitteiden hoitamiseksi. Käsittely perustuu sopimukseen ja Ehon lakisääteisiin velvoitteisiin.

Palvelun turvallisuus ja väärinkäytösten estäminen

Teknisiä ja tapahtumatietoja voidaan käsitellä palvelujen turvallisuuden varmistamiseksi, väärinkäytösten, petosten ja maksuhäiriöiden estämiseksi, virheiden selvittämiseksi sekä oikeusvaateiden laatimiseksi, esittämiseksi tai puolustamiseksi. Käsittely perustuu Ehon ja sen asiakkaiden oikeutettuun etuun käyttää turvallista ja toimintavarmaa palvelua sekä tarvittaessa lakisääteisiin velvoitteisiin.

Palvelujen kehittäminen

Eho voi käyttää koottuja tai anonymisoituja tietoja toimintansa ja palvelujensa kehittämiseen, laadun seurantaan ja raportointiin. Jos kehittämiseen käytetään tunnistettavia henkilötietoja, käsittelylle määritetään erikseen asianmukainen oikeusperuste ja tietoja käsitellään vain tarpeellisessa laajuudessa.

Sähköinen suoramarkkinointi

Eho lähettää kuluttajille sähköistä suoramarkkinointia suostumuksen perusteella tai muulla sähköisen viestinnän lainsäädännön sallimalla perusteella. Markkinointiyhteystietoja ja suostumus- tai estotietoja voidaan siirtää Ehon uutiskirjelomakkeen, Snabbtin ja Mailchimpin välillä markkinointiviestien lähettämistä ja asiakkaan valintojen noudattamista varten. Eho voi mitata markkinointiviestien avaamista ja niissä olevien linkkien käyttöä viestinnän toimivuuden arvioimiseksi.

Suostumuksen voi peruuttaa milloin tahansa viestissä olevasta linkistä tai ottamalla yhteyttä osoitteeseen info@eho.fi. Markkinointisuostumuksen peruuttaminen ei vaikuta palveluviestien, kuten varausvahvistusten, maksuviestien tai jäsenyyttä koskevien tarpeellisten ilmoitusten lähettämiseen. Peruuttamista ja toimitusesteitä koskevia tietoja voidaan säilyttää sen varmistamiseksi, ettei henkilölle lähetetä markkinointia vastoin hänen valintaansa.

Tietojen antamisen pakollisuus

Osa tiedoista on tarpeen sopimuksen tekemiseen ja täyttämiseen, maksamiseen, palvelun turvalliseen toteuttamiseen tai Ehon lakisääteisten terveydenhuollon velvoitteiden täyttämiseen. Eho ilmoittaa tiedon pyytämisen yhteydessä, jos tieto on välttämätön. Jos välttämätöntä tietoa ei anneta, Eho ei ehkä voi tehdä varausta, toteuttaa maksua tai tarjota palvelua turvallisesti. Muut tiedot, palvelutoiveet ja markkinointivalinnat ovat vapaaehtoisia, eikä markkinointitietojen antamatta jättäminen estä Ehon palvelujen käyttämistä.

6. Automatisoitu päätöksenteko

Eho ei tee asiakkaasta sellaisia yksinomaan automaattiseen käsittelyyn perustuvia päätöksiä, joilla olisi asiakkaaseen kohdistuvia oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia.

7. Tietojen vastaanottajat ja palveluntarjoajat

Eho luovuttaa tai antaa pääsyn henkilötietoihin vain silloin, kun se on palvelun toteuttamiseksi tarpeellista, perustuu asiakkaan valintaan tai lupaan taikka kun laki sitä edellyttää.

Keskeisiä vastaanottajia ja palveluntarjoajaryhmiä ovat:

• Ehon henkilötietojen käsittelijänä toimiva Snabbt Oy, joka tarjoaa Eholle ajanvaraus-, asiakkuus-, jäsenyys-, maksu- ja viestintäjärjestelmän, sekä Snabbt Oy:n käyttämät alikäsittelijät;
• Ajas Oy ja Eneroc Oy potilas- ja asiakastietojärjestelmän toimittajina;
• Ajas-palvelun alikäsittelijät Atostek Oy Kanta-liitynnän toimittajana, UpCloud Oy konesalipalvelun toimittajana ja Amazon Web Services EMEA SARL salattujen tiedostojen tallennuspalvelun toimittajana;
• Kansaneläkelaitoksen ylläpitämät Kanta-palvelut ja muut terveydenhuollon lakisääteiset vastaanottajat;
• Stripe verkossa tehtävien korttimaksujen maksupalveluntarjoajana. Stripe käsittelee korttimaksun yhteydessä maksu-, tapahtuma-, yhteys- sekä selaimen ja laitteen turvallisuustietoja maksun toteuttamiseksi, tunnistamiseksi, turvallisuuden varmistamiseksi, väärinkäytösten torjumiseksi ja omien lakisääteisten velvoitteidensa täyttämiseksi;
• FlatPay Ehon toimipisteissä tehtävien korttimaksujen maksupalveluntarjoajana;
• asiakkaan valitsemat henkilöstöetu- ja lahjakorttipalvelut siltä osin kuin asiakas käyttää kyseistä palvelua maksamiseen. Eho ei luovuta niille henkilötietoja pelkästään sillä perusteella, että maksutapa kirjataan Ehon järjestelmään;
• Mailchimp sähköisen markkinoinnin, markkinointilistojen ja viestien avaus- ja linkkiseurannan palveluntarjoajana, jos asiakas on tilannut markkinointiviestintää;
• Plausible Insights OÜ Ehon osoitteessa eho.fi käyttämän yksityisyyttä suojaavan verkkosivustoanalytiikan palveluntarjoajana;
• Domainhotelli Ehon julkaisukäytössä olevan WordPress-blogin hosting-palveluntarjoajana; blogissa ei ole asiakaskommentteja, yhteydenottolomakkeita tai uutiskirjetilauksia;
• Cloudflare, Inc. EHO Hieronta Oy:n hallinnoiman julkisen eho.fi-sivuston hosting-, sisällönjakelu-, nimipalvelu- ja tietoturvapalvelujen tarjoajana;
• sähköposti-, tekstiviesti-, tunnistautumis-, hosting-, tietoturva- ja teknisen infrastruktuurin palveluntarjoajat;
• kirjanpito-, laskutus-, perintä-, tilintarkastus-, laki- ja muut Ehon hallinnolliset palveluntarjoajat; sekä
• viranomaiset ja muut tahot, joilla on lakiin perustuva oikeus saada tietoja.

Snabbt Oy julkaisee ajantasaisen luettelon käyttämistään alikäsittelijöistä osoitteessa snabbt.app/subprocessors. Ehon itse valitsemat henkilötietojen käsittelijät, muut palveluntarjoajat ja itsenäiset rekisterinpitäjät kuvataan tässä tietosuojaselosteessa niiden todellisen tehtävän mukaisesti.

Palveluntarjoajat käsittelevät tietoja Ehon tai Ehon käyttämän pääkäsittelijän ohjeiden ja sopimusten mukaisesti, elleivät ne toimi sovellettavan lainsäädännön perusteella itsenäisinä rekisterinpitäjinä.

8. Tietojen siirtäminen Euroopan talousalueen ulkopuolelle

Osa palveluntarjoajista voi käsitellä henkilötietoja Euroopan unionin tai Euroopan talousalueen ulkopuolella. Tällöin Eho tai sen käyttämä henkilötietojen käsittelijä huolehtii siitä, että siirrolle on tietosuoja-asetuksen mukainen peruste ja asianmukaiset suojatoimet, kuten Euroopan komission riittävyyspäätös tai hyväksymät vakiosopimuslausekkeet sekä tarvittaessa täydentävät suojatoimet.

Ajantasaiset tiedot Snabbt Oy:n alikäsittelijöiden käsittelyalueista kuvataan Snabbtin alikäsittelijäluettelossa. Ehon itse valitsemien palveluntarjoajien olennaiset käsittelyalueet kuvataan tässä tietosuojaselosteessa.

Mailchimp voi käsitellä markkinointitietoja Yhdysvalloissa ja muissa toimintamaissaan. Mailchimp ilmoittaa käyttävänsä Euroopan unionin ja Yhdysvaltojen välistä tietosuojakehystä sekä tarvittaessa Euroopan komission hyväksymiä vakiosopimuslausekkeita. Stripe voi käsitellä maksamiseen liittyviä tietoja Euroopan talousalueen ulkopuolella sovellettavan tietojenkäsittelysopimuksensa ja siinä kuvattujen siirtomekanismien mukaisesti.

9. Evästeet ja vastaavat teknologiat

Ehon verkkopalvelut käyttävät palvelun toiminnan, turvallisuuden, kirjautumisen, ajanvarauksen ja maksamisen kannalta välttämättömiä evästeitä ja vastaavia teknologioita. Välttämättömien teknologioiden käyttäminen ei edellytä erillistä suostumusta, koska palvelua ei voida tarjota turvallisesti ilman niitä.

Eho käyttää osoitteessa eho.fi yleisten kävijämäärien ja käyttötapojen mittaamiseen Plausible Insights OÜ:n tarjoamaa Plausible Analytics -pilvipalvelua. Käsittely perustuu Ehon oikeutettuun etuun seurata julkisen verkkosivustonsa yleistä käyttöä ja kehittää sivustoa. Plausible ei aseta analytiikkaevästeitä tai muodosta pysyviä käyttäjätunnisteita. Palvelu käyttää verkkopyynnön IP-osoitetta ja selaimen käyttäjäagenttia lyhytaikaisesti päiväkohtaisen tunnisteen muodostamiseen, mutta ei tallenna raakaa IP-osoitetta tai täydellistä käyttäjäagenttia. Mittaus tuottaa koottuja tilastotietoja eikä sitä käytetä asiakkaiden profilointiin tai mainonnan kohdentamiseen. Eho ei lähetä Plausiblelle asiakkaan nimi-, yhteys-, varaus-, maksu- tai terveystietoja. Plausiblen mukaan kävijätiedot käsitellään ja säilytetään Euroopan unionissa.

Stripeen liittyvät maksuteknologiat ladataan vasta, kun asiakas valitsee korttimaksutoiminnon, mukaan lukien Epassi-maksun jälkeen kortilla maksettava loppuosa. Stripe voi tällöin käyttää evästeitä sekä selaimen, laitteen ja käytön turvallisuussignaaleja maksun toteuttamiseen, tunnistamiseen, turvallisuuteen ja väärinkäytösten torjuntaan. Näitä teknologioita ei käytetä Ehon mainonnan kohdentamiseen eikä niitä ladata tavallisen selaamisen, palvelujen tarkastelun, ajan valinnan, asiakastilin tai kuittien katselun yhteydessä.

Eho ei tämän selosteen tullessa voimaan käytä verkkopalveluissaan suostumusta edellyttäviä analytiikka- tai markkinointievästeitä. Jos tällaisia teknologioita otetaan myöhemmin käyttöön, asiakkaalle annetaan niitä koskevat tiedot ja pyydetään tarvittava suostumus ennen niiden asettamista.

10. Henkilötietojen säilytysajat

Eho säilyttää henkilötietoja vain niin kauan kuin se on tarpeen tässä selosteessa kuvattuja käyttötarkoituksia varten tai kuin lainsäädäntö edellyttää.

Potilasasiakirjoja, hoitoon liittyviä yhteydenottoja, ajanvaraustietoja sekä potilastietojen käyttöä ja luovuttamista koskevia lokitietoja säilytetään sosiaali- ja terveydenhuollon lainsäädännössä määrättyjen asiakirjakohtaisten säilytysaikojen mukaisesti. Säilytysaika riippuu tiedon ja asiakirjan tyypistä. Keskeisiä potilasasiakirjoja voidaan joutua säilyttämään 12 vuotta potilaan kuolemasta tai, jos kuolinajasta ei ole tietoa, 120 vuotta potilaan syntymästä.

Kirjanpito- ja maksuaineistoa säilytetään kirjanpitolainsäädännön ja muiden lakisääteisten velvoitteiden edellyttämän ajan.

Asiakastiliä, jäsenyyttä, krediittejä, lahjakortteja, asiakaspalvelua, viestintää ja sopimusten toteuttamista koskevia muita kuin potilasasiakirjoiksi luokiteltavia tietoja säilytetään asiakassuhteen ajan ja sen jälkeen vain niin kauan kuin se on tarpeen sopimusvelvoitteiden, reklamaatioiden, saatavien, oikeusvaateiden tai muiden perusteltujen velvoitteiden hoitamiseksi.

Markkinointitietoja käsitellään markkinointisuostumuksen voimassaolon ajan. Suostumuksen antamisesta ja peruuttamisesta voidaan säilyttää tarpeellinen todiste myös suostumuksen peruuttamisen jälkeen.

Kun säilytysajalle ei enää ole lakisääteistä tai muuta asianmukaista perustetta, tiedot poistetaan tai anonymisoidaan turvallisesti. Lakisääteisen säilytysvelvollisuuden piiriin kuuluvia potilastietoja ei voida poistaa asiakkaan pyynnöstä ennen säilytysajan päättymistä.

11. Tietojen suojaaminen

Eho rajoittaa henkilötietojen käyttöoikeudet henkilöihin, jotka tarvitsevat tietoja työtehtäviensä hoitamiseksi. Potilas- ja muut salassa pidettävät tiedot ovat salassapito- ja vaitiolovelvollisuuden piirissä.

Tietoja suojataan asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä, kuten henkilökohtaisilla käyttöoikeuksilla, käyttöoikeuksien hallinnalla, lokituksella, salauksella, varmuuskopioinnilla, turvallisilla tietoliikenneyhteyksillä, henkilöstön ohjeistuksella ja palveluntarjoajien sopimusvelvoitteilla.

12. Rekisteröidyn oikeudet

Rekisteröidyllä on sovellettavan lainsäädännön mukaisesti oikeus:

• saada vahvistus siitä, käsitteleekö Eho häntä koskevia henkilötietoja, ja saada pääsy tietoihin;
• pyytää virheellisten tai puutteellisten tietojen oikaisemista;
• pyytää tietojen poistamista silloin, kun niiden säilyttämiselle ei ole enää oikeusperustetta;
• pyytää käsittelyn rajoittamista;
• vastustaa oikeutettuun etuun perustuvaa käsittelyä;
• vastustaa suoramarkkinointia milloin tahansa;
• peruuttaa suostumus milloin tahansa siltä osin kuin käsittely perustuu suostumukseen; ja
• saada itse toimittamansa tiedot siirrettyä järjestelmästä toiseen silloin, kun oikeuden lakisääteiset edellytykset täyttyvät.

Oikeudet eivät ole kaikissa tilanteissa ehdottomia. Esimerkiksi lakisääteisesti säilytettäviä potilasasiakirjoja tai kirjanpitoaineistoa ei voida poistaa pyynnöstä ennen säädetyn säilytysajan päättymistä. Potilasasiakirjoihin tehtävät korjaukset toteutetaan terveydenhuollon erityissääntöjen mukaisesti siten, että asiakirjojen eheys ja korjaushistoria säilyvät.

Pyynnön voi lähettää osoitteeseen info@eho.fi. Eho voi pyytää pyynnön esittäjää todistamaan henkilöllisyytensä tavalla, joka on tarpeellinen tietojen suojaamiseksi. Eho vastaa pyyntöön ilman aiheetonta viivytystä ja lähtökohtaisesti kuukauden kuluessa.

13. Alaikäisen asiakkaan tiedot

Alaikäisen potilaan oikeus päättää hoidostaan ja tietojensa luovuttamisesta arvioidaan hänen ikänsä, kehitystasonsa ja asian laadun perusteella terveydenhuollon lainsäädännön mukaisesti.

Huoltajan osallistuminen palvelun varaamiseen, maksamiseen tai jäsensopimuksen hyväksymiseen ei sellaisenaan anna huoltajalle oikeutta kaikkiin alaikäisen potilas- tai terveystietoihin. Tietojen antaminen huoltajalle ratkaistaan erikseen sovellettavien potilasoikeuksia koskevien sääntöjen perusteella.

14. Oikeus tehdä valitus

Jos rekisteröity katsoo, että hänen henkilötietojaan on käsitelty lainvastaisesti, hän voi ottaa yhteyttä Ehoon asian selvittämiseksi. Rekisteröidyllä on lisäksi oikeus tehdä valitus toimivaltaiselle valvontaviranomaiselle. Suomessa valvontaviranomainen on tietosuojavaltuutetun toimisto.

15. Selosteen muutokset

Eho voi päivittää tätä tietosuojaselostetta toiminnan, palvelujen, palveluntarjoajien tai lainsäädännön muuttuessa. Ajantasainen versio julkaistaan Ehon verkkosivustolla. Olennaisista muutoksista voidaan ilmoittaa lisäksi sähköisesti asiakkaille, joita muutos koskee.

Voimaantulo: Ehon uuden Snabbt-ajanvarauspalvelun käyttöönotto; täsmällinen päivämäärä lisätään käyttöönoton yhteydessä
Versio: 9/2026 (ennakkoversio)
Ennakkoversio julkaistu: 21.9.2026