Tietoturvakuvaus

Päivitetty 11.11.2026. Tämä sivu kertoo, miten DD-Vault-datahuone on suojattu. Se on kirjoitettu ostajan juristille ja IT-vastaavalle, ja siinä sanotaan myös se, mitä emme vielä tee.

Merkintä Tulossa tarkoittaa ominaisuutta, jota ei ole vielä tehty.

1. Missä aineisto on

• Aineisto säilytetään Suomessa, UpCloudin palvelimella Helsingissä. Sitä säilytetään ja käsitellään EU:ssa.
• Datahuone pyörii omalla palvelimellaan. Samalla koneella ei ole muita palveluja.
• Selaimesi ei ota palvelua käyttäessään yhteyttä mihinkään muuhun osoitteeseen: ei ulkoisia fontteja, skriptejä, seurantaa eikä mainosverkkoja.

2. Kuka pääsee käsiksi

• Oletuksena ei kukaan. Uusi käyttäjä, ryhmä tai kansio ei näy kenellekään ennen kuin huoneen ylläpitäjä antaa oikeuden.
• Rooleja on kaksi: ylläpitäjä (myyjän puoli) ja katselija (ostajan puoli). Katselijat kuuluvat ryhmiin, esimerkiksi Ostaja A ja Pankki.
• Oikeus annetaan ryhmälle pääkansio kerrallaan: ei näy, katselu tai lataus. Alikansiot perivät pääkansion oikeuden.
• Palvelin tarkistaa oikeuden jokaisella pyynnöllä. Osoitteen arvaaminen ei avaa asiakirjaa, ja toisen huoneen tai puuttuvan oikeuden vastaus on sama kuin olemattoman sivun.
• Ostajaryhmät eivät näe toisiaan, toistensa kysymyksiä eivätkä käyttäjälistaa tai lokia.
• Ylläpitäjä voi poistaa käyttäjän huoneesta. Pääsy päättyy heti, vaikka käyttäjä olisi kirjautuneena.

3. Kirjautuminen

• Kirjautumiseen tarvitaan sähköpostiosoite, salasana ja vaihtuva vahvistuskoodi puhelimen todennussovelluksesta. Koodi on pakollinen kaikille, myös ylläpitäjille.
• Käyttäjä saa kertakäyttöisen kutsulinkin, joka on voimassa 72 tuntia. Hän asettaa salasanan itse. Emme näe emmekä lähetä salasanoja.
• Salasanassa on oltava vähintään 12 merkkiä. Salasanoista tallennetaan vain tiiviste (PBKDF2-SHA256, 600 000 kierrosta).
• Viiden väärän vahvistuskoodin jälkeen kirjautuminen lukittuu 15 minuutiksi. Sama koodi ei kelpaa kahdesti.
• Salasanayrityksiä rajoitetaan verkko-osoitteen ja tilin mukaan. Tiliä ei lukita pelkillä väärillä salasanoilla, jottei ulkopuolinen voi lukita käyttäjää ulos esimerkiksi juuri ennen tarjousaikaa.
• Istunto päättyy 30 minuutin käyttämättömyyden jälkeen ja viimeistään 12 tunnin kuluttua kirjautumisesta.
• Kirjautumiseväste on ainoa eväste, joka liittyy tietoihisi. Sitä ei voi lukea skripteillä, se kulkee vain salatussa yhteydessä eikä sitä lähetetä muilta sivustoilta tuleviin pyyntöihin. Lisäksi kielivalinta muistetaan omalla evästeellään.

4. Salaus

• Levossa: jokainen tiedosto salataan ennen kuin se kirjoitetaan levylle (AES-256-GCM). Salaamaton tiedosto ei käy levyllä missään vaiheessa. Jokaisella huoneella on oma avain, ja jokaisella tiedostolla siitä johdettu oma avain.
• Salaus varmistaa myös eheyden: muutettu, katkaistu tai toiseen huoneeseen siirretty tiedosto ei aukea.
• Siirrossa: yhteys selaimesta palveluun on salattu (TLS), ja selain pakotetaan käyttämään salattua yhteyttä (HSTS).
• Avaimet: jokaisella huoneella on oma avain, ja avaimet säilytetään salattuina erillään tietokannasta.
• Kysymysten ja vastausten teksti, kansioiden ja tiedostojen nimet sekä loki ovat tietokannassa ilman erillistä salausta. Ne ovat samalla palvelimella ja saman pääsynhallinnan takana kuin tiedostot.

5. Loki

• Huoneen lokiin kirjataan jokainen sisääntulo, asiakirjan avaus ja lataus, lisäys ja poisto, oikeuksien muutos, kutsu, käyttäjän poisto, kysymys ja vastaus sekä lokin ja kysymysten vienti.
• Muutos ja sen lokirivi tallennetaan yhtenä kokonaisuutena. Muutosta ei voi tehdä ilman lokiriviä.
• Lokirivit on ketjutettu tiivisteillä. Jos riviä muutetaan tai poistetaan välistä, tarkistus paljastaa sen.
• Huoneen ylläpitäjä näkee oman huoneensa lokin ja saa sen ulos taulukkona. Hän ei näe käyttäjän toimintaa muissa huoneissa.
• Kirjautumiset ja epäonnistuneet yritykset kirjataan erilliseen järjestelmälokiin, jota huoneiden ylläpitäjät eivät näe.

6. Tiedostojen käsittely

• Sallitut tiedostotyypit ovat PDF, Word, Excel, PowerPoint, PNG- ja JPG-kuvat, TXT ja CSV. Tyyppi tarkistetaan tiedoston sisällöstä, ei nimestä. Muut hylätään, ja hylkäys kirjataan lokiin.
• Yhden tiedoston enimmäiskoko on rajattu.
• Tiedosto ajetaan virustarkistuksen läpi ennen tallennusta. Jos tarkistus ei ole käytettävissä, tiedostoa ei oteta vastaan.
• Asiakirja lähetetään selaimelle asetuksilla, jotka estävät sitä ajamasta mitään palvelun osoitteessa.
• Katseluoikeudella PDF avautuu selaimen omaan katselimeen. Siitä sen voi tällä hetkellä tallentaa. Vesileimattu esikatselu, jossa asiakirja näytetään kuvana katsojan nimellä ja ajalla, on tulossa. Tulossa

7. Kysymykset ja vastaukset

• Ostaja voi kysyä huoneessa, myös suoraan asiakirjan tai kansion kohdalta. Ylläpitäjä vastaa.
• Kysymys ja sen vastaukset näkyvät vain kysyjän ryhmälle ja huoneen ylläpitäjille. Toinen ryhmä ei näe kysymystä, sen olemassaoloa eikä kysymysten määrää.
• Kysymysten numerointi on ryhmäkohtainen, joten numerosta ei voi päätellä muiden ryhmien kysymysmäärää.
• Ostaja näkee vastaajana vain tekstin ”Ylläpitäjä”, ei henkilön nimeä.
• Viestejä ei voi muokata eikä poistaa jälkikäteen. Lokiin kirjataan, että kysymys esitettiin, mutta ei sen sisältöä.

8. Varmuuskopiot ja palautus

• Tietokanta ja tiedostot varmuuskopioidaan salattuina. Tiedostot ovat kopiossa samassa salatussa muodossa kuin palvelimella.
• Salausavaimet varmuuskopioidaan erilleen aineistosta, jotta kopio yksin ei riitä aineiston avaamiseen.
• Palautus testataan ennen ensimmäistä asiakashuonetta.
• Varmuuskopioiden sijainti ja säilytysaika kirjataan sopimukseen.

9. Poisto kaupan jälkeen

• Kun kauppa on valmis, poistamme huoneen aineiston pyynnöstäsi ja vahvistamme poiston kirjallisesti. Poiston aikataulu sovitaan sopimuksessa.
• Huoneen sulkeminen itse, arkiston vienti myyjälle ja huoneen salausavaimen tuhoaminen ovat tulossa. Kun avain on tuhottu, tiedostoja ei voi enää avata varmuuskopioistakaan. Tulossa

10. Kehitys ja testaus

• Palvelu on yksi ohjelma ja yksi tietokanta. Ulkopuolisia ohjelmakirjastoja on kaksi, ja niiden tunnetut haavoittuvuudet tarkistetaan automaattisesti jokaisen muutoksen yhteydessä.
• Palvelun sivuilla ei ole JavaScriptiä, ja palvelin kieltää selainta ajamasta skriptejä palvelun sivuilla.
• Jokaiselle roolin ja toiminnon yhdistelmälle on automaattinen testi. Testit ajetaan jokaisen muutoksen yhteydessä.

11. Alihankkijat

Alihankkijan vaihtumisesta ilmoitetaan etukäteen käsittelysopimuksen mukaisesti.

12. Mitä emme vielä tee

• Vesileimattua esikatselua ei vielä ole. Katseluoikeudella avatun PDF:n voi tallentaa.
• Emme voi estää näytön valokuvaamista. Loki kertoo, kuka asiakirjan avasi ja milloin.
• Sähköposti-ilmoituksia uusista asiakirjoista, kysymyksistä tai vastauksista ei vielä ole.
• Huoneen sulkemista, arkistoa ja avaimen tuhoamista ei vielä ole (kohta 9).
• Lokin viimeisintä tiivistettä ei vielä tallenneta palvelimen ulkopuolelle. Ketju paljastaa yksittäisen rivin muutoksen, mutta ei sitä, jos joku, jolla on täysi pääsy tietokantaan, kirjoittaisi koko ketjun uudelleen.
• Kansioiden numerot ovat pysyviä. Ostaja, joka näkee kansiot 1 ja 4, voi päätellä, että kansiot 2 ja 3 ovat olemassa. Niiden nimet tai sisältö eivät paljastu.

13. Haavoittuvuuden ilmoittaminen

Jos löydät palvelusta tai tältä sivustolta tietoturvaongelman, kirjoita osoitteeseen info@ddvault.fi. Vastaamme jokaiseen ilmoitukseen. Emme ryhdy oikeustoimiin hyvässä uskossa tehdyn ilmoituksen vuoksi, kun et ole lukenut, muuttanut tai poistanut muiden aineistoa.

Henkilötietojen käsittelystä kerrotaan tietosuojaselosteessa.