Tietoturva

Päivitetty 4.11.2026. Tällä sivulla kerrotaan vain se, mitä palvelu oikeasti tekee tänään. Jos jokin kohta muuttuu, päivitämme sivun.

Avaimet eivät koskaan päädy selaimeen

Apurin tekoälykutsut ja sähköpostit lähetetään vain palvelimelta (Cloudflare). OpenAI-avain ja muut salaiset avaimet ovat Cloudflaren suojatuissa asetuksissa, eivät sivuston koodissa eivätkä kävijän selaimessa. Koodista ja sen koko muutoshistoriasta etsitään vuotaneita avaimia automaattisesti jokaisen muutoksen yhteydessä.

Mitä keskusteluista tallennetaan

Tämän sivuston myyntiapuri ja demot: keskustelujen sisältöä ei tallenneta NKCompanyn tietokantaan.

Asiakasyrityksen oma apuri: kun yritysportaalin tiedonkeruu on otettu käyttöön, kävijän kysymys ja apurin vastaus tallentuvat kyseisen yrityksen omaan keskusteluhistoriaan, jotta yritys voi seurata ja parantaa palveluaan. Kysymys-, vastaus- ja muistiinpanotekstit tyhjennetään automaattisesti 90 päivän jälkeen, ja yhteydenotot poistetaan 365 päivän jälkeen. Esikatselukeskusteluja ei tallenneta. Historiaa näkevät vain yrityksen omat käyttäjät, joille on annettu oikeus, sekä NKCompanyn ylläpito palvelun hoitamiseksi, ja oikeuden poisto katkaisee myös jo avatun istunnon.

OpenAI:lle pyynnöt lähetetään tallennusasetuksella store=false. OpenAI voi silti säilyttää pyyntöjä enintään 30 päivää väärinkäytön seurantaa varten. Tarkemmat säilytysajat ovat tietosuojasivulla.

Apuri toimii vain sinun sivullasi

Jokaisella asiakkaalla on oma apurinsa omilla asetuksillaan. Selain sallii apurin upottamisen vain asiakkaan omaan verkko-osoitteeseen, joten apuria ei voi upottaa toisen yrityksen sivulle. Yhteydenotot ohjautuvat aina palvelimelle tallennettuun vastaanottajaan: kävijä tai selain ei voi vaihtaa, kenelle viesti lähtee.

Väärinkäyttö ja kulut pysyvät kurissa

Keskusteluille, yhteydenotoille ja kirjautumisyrityksille on kävijäkohtaiset ja koko palvelun yhteiset käyttörajat. Kävijän IP-osoitetta ei tallenneta sellaisenaan, vaan rajoituslaskurissa käytetään siitä avaimella laskettua tunnistetta, joka vanhenee 48 tunnissa. Rajat ja yhteydenottojen vastaanottaja ovat palvelimella, joten niitä ei voi muuttaa keskustelussa.

Hallinta on lukittu

Hallintaan kirjaudutaan vähintään 14 merkin salasanalla, joka on tallennettu vain tiivisteenä (PBKDF2). Istuntotunniste on palvelimen allekirjoittama (HMAC), joten sitä ei voi väärentää, ja se tarkistetaan joka pyynnöllä palvelimen istuntolistasta. Eväste on HttpOnly, Secure ja SameSite=Strict, eli sivun skriptit eivät pääse siihen käsiksi eikä selain lähetä sitä toisilta sivustoilta. Istunto vanhenee 8 tunnissa. Jokainen muutos vaatii lisäksi erillisen CSRF-tunnisteen. Salasanan arvailu on estetty kirjautumisrajalla.

Selain suojaa sivua

Sivusto ja apuri käyttävät tiukkaa sisältöturvakäytäntöä (CSP): selain ajaa skriptejä vain omasta osoitteesta, ja tällä sivustolla lisäksi Cloudflaren kävijätilastopalvelusta (Cloudflare Web Analytics). Sivun sekaan kirjoitettua (inline) koodia ei ajeta. Yhteys on aina salattu (HTTPS ja HSTS). Kameraa, mikrofonia, sijaintia ja maksurajapintaa ei voi käyttää. Sivusto ei käytä mainos- tai seurantaevästeitä. Hallinta ja yritysportaali käyttävät kirjautumiseen välttämätöntä evästettä, ja sivusto voi muistaa valitsemasi mobiili- tai työpöytänäkymän.

Jokainen muutos tarkistetaan

Muutokset kulkevat versionhallinnan kautta. Testit ajetaan automaattisesti ennen jokaista julkaisua, ja jos ne kaatuvat, mitään ei julkaista. Lisäksi tarkistetaan vuotaneet avaimet, riippuvuuksien tunnetut haavoittuvuudet ja turvaotsakkeet. Cloudflaren ylläpitotilillä on käytössä kaksivaiheinen tunnistautuminen.

Mitä emme väitä

Palvelua ei ole vielä auditoinut ulkopuolinen tietoturvayritys, eikä sillä ole tietoturvasertifikaattia. Tekoäly voi vastata väärin, joten älä kirjoita apurille arkaluonteisia tietoja. Isoissa organisaatioissa tietoturvavaatimukset ja sopimukset käydään läpi erikseen.

Ilmoita haavoittuvuudesta

Jos löydät tietoturvaongelman, kerro siitä osoitteeseen [email protected]. Yhteystiedot löytyvät myös koneluettavana tiedostosta security.txt. Vastaamme mahdollisimman pian ja kerromme, miten asia korjataan.