Privacy. Privacy PolicyTietosuojakäytäntö

UPDATED JULY 2026 · EFFECTIVE FROM 12 JULY 2026

This privacy policy explains how 36 Urban Spirit Oy ("we", "us", "our") collects, uses, and protects your personal data when you visit 36urbanspirit.com, pre-order our products, or otherwise interact with us. We are committed to protecting your privacy in accordance with the EU General Data Protection Regulation (GDPR) and the Finnish Personal Data Act.

1. Data controller

36 Urban Spirit Oy is the data controller for the processing of your personal data. Contact: dpo@36urbanspirit.com · Helsinki, Finland · Business ID: FI-pending.

2. What personal data we collect

We collect only the personal data necessary to provide our services and communicate with you.

Account & order data: name, email, shipping address, billing address, phone number (optional), order history
Payment data: processed by our payment provider (Stripe). We never see or store your full card number — only the last 4 digits and card brand for receipts.
Pre-order data: the same as account & order data, plus your selected product, size, and quantity.
Newsletter data: your email address and language preference if you signed up for our newsletter.
Analytics data: anonymized page views, traffic source, device type (only with your consent — see Cookie Policy).
Support data: any information you share when contacting us via email or social media.

3. How we use your data

To process and fulfil your orders (legal basis: contract performance)
To send you order updates, shipping confirmations, and delivery notifications (legal basis: contract performance)
To respond to your support requests (legal basis: legitimate interest)
To send newsletters and marketing emails only with your consent (legal basis: consent — you can withdraw at any time)
To analyse site usage with your consent (legal basis: consent — cookie-based)
To comply with legal obligations (e.g., tax record-keeping for 7 years, GDPR breach notification within 72 hours)

4. How we share your data

We do not sell your personal data. We share it only with carefully selected processors who help us operate:

Stripe — payment processing (US/EU, GDPR-compliant via Standard Contractual Clauses)
Posti / DHL / UPS — shipping and delivery (EU)
Mailchimp or equivalent — newsletter delivery (US, GDPR-compliant)
Web hosting provider — site hosting (EU)
Cloud analytics (only with consent) — Google Analytics 4 or Plausible (EU)

Each processor is bound by a data processing agreement (DPA) in line with GDPR Art. 28.

5. International transfers

Some of our processors (Stripe, Mailchimp, Google) are based outside the EU. In these cases, we rely on Standard Contractual Clauses (SCCs) approved by the European Commission, supplemented by additional safeguards where required by the European Data Protection Board (EDPB) recommendations.

6. How long we keep your data

Order data: 7 years (Finnish Accounting Act)
Account data: until you delete your account, plus 30 days for backup propagation
Newsletter data: until you unsubscribe
Analytics data: 14 months (anonymized)
Support emails: 24 months

7. Your rights under GDPR

You have the following rights regarding your personal data:

Right of access (Art. 15) — request a copy of the personal data we hold about you
Right to rectification (Art. 16) — correct inaccurate or incomplete data
Right to erasure (Art. 17) — request deletion of your data ("right to be forgotten")
Right to restrict processing (Art. 18) — limit how we use your data
Right to data portability (Art. 20) — receive your data in a machine-readable format
Right to object (Art. 21) — object to processing based on legitimate interest or for direct marketing
Right to withdraw consent (Art. 7(3)) — at any time, where processing is based on consent
Right to lodge a complaint with a supervisory authority — in Finland, the Office of the Data Protection Ombudsman (tietosuoja.fi)

To exercise any of these rights, email dpo@36urbanspirit.com. We will respond within 30 days.

8. Security

We use industry-standard security measures: HTTPS/TLS encryption for all data in transit, encrypted databases, restricted access (only the founder and one technical contractor have access to personal data, both under NDA), and regular security reviews.

Note: In the event of a personal data breach, we will notify affected users within 72 hours of becoming aware, in line with GDPR Art. 33-34.

9. Children

Our site is not directed at children under 16. We do not knowingly collect personal data from children. If you believe we have inadvertently collected data from a child, please contact dpo@36urbanspirit.com.

10. Changes to this policy

We may update this privacy policy from time to time. The "Last updated" date at the top reflects when the latest changes were made. For material changes, we will notify subscribers by email.

11. Contact

Data Protection Officer · 36 Urban Spirit Oy · Helsinki, Finland · dpo@36urbanspirit.com

Tämä tietosuojakäytäntö selittää, miten 36 Urban Spirit Oy ("me", "meitä", "meidän") kerää, käyttää ja suojaa henkilötietojasi, kun vierailet 36urbanspirit.com-sivustolla, ennakkotilaat tuotteitamme tai olet muuten vuorovaikutuksessa kanssamme. Olemme sitoutuneet suojaamaan yksityisyyttäsi EU:n yleisen tietosuoja-asetuksen (GDPR) ja Suomen henkilötietolain mukaisesti.

1. Rekisterinpitäjä

36 Urban Spirit Oy on henkilötietojesi käsittelyn rekisterinpitäjä. Yhteystiedot: dpo@36urbanspirit.com · Helsinki, Suomi · Y-tunnus: FI-valmisteilla.

2. Mitä henkilötietoja keräämme

Keräämme vain ne henkilötiedot, jotka ovat välttämättömiä palveluidemme tarjoamiseksi ja sinulle viestimiseksi.

Tili- ja tilaustiedot: nimi, sähköposti, toimitusosoite, laskutusosoite, puhelinnumero (valinnainen), tilaushistoria
Maksutiedot: käsittelee maksupalveluntarjoajamme (Stripe). Emme koskaan näe tai tallenna koko korttinumeroasi — vain viimeiset 4 numeroa ja kortin brändin kuitteja varten.
Ennakkotilaustiedot: samat kuin tili- ja tilaustiedot, sekä valitsemasi tuote, koko ja määrä.
Uutiskirjetiedot: sähköpostiosoitteesi ja kielivalintasi, jos olet tilannut uutiskirjeemme.
Analytiikkatiedot: anonymisoidut sivun katselut, liikenteen lähde, laitetyyppi (vain suostumuksellasi — katso evästekäytäntö).
Tukitiedot: kaikki tiedot, jotka jaat ottaessasi meihin yhteyttä sähköpostitse tai sosiaalisessa mediassa.

3. Miten käytämme tietojasi

Tilauksesi käsittelyyn ja toimittamiseen (oikeusperusta: sopimuksen täytäntöönpano)
Lähettääksemme sinulle tilauspäivityksiä, toimitusvahvistuksia ja toimitusilmoituksia (oikeusperusta: sopimuksen täytäntöönpano)
Vastataksemme tukipyyntöihisi (oikeusperusta: oikeutettu etu)
Lähettääksemme uutiskirjeitä ja markkinointisähköposteja vain suostumuksellasi (oikeusperusta: suostumus — voit peruuttaa milloin tahansa)
Analysoidaksemme sivuston käyttöä suostumuksellasi (oikeusperusta: evästepohjainen suostumus)
Noudattaaksemme lakisääteisiä velvoitteita (esim. kirjanpitolain mukainen 7 vuoden säilytysaika, GDPR:n mukainen 72 tunnin ilmoitus tietomurroista)

4. Miten jaamme tietojasi

Emme myy henkilötietojasi. Jaamme niitä vain huolellisesti valittujen käsittelijöiden kanssa, jotka auttavat meitä toiminnassa:

Stripe — maksujen käsittely (US/EU, GDPR-yhteensopiva vakiosopimuslausekkeiden kautta)
Posti / DHL / UPS — toimitus (EU)
Mailchimp tai vastaava — uutiskirjeiden toimitus (US, GDPR-yhteensopiva)
Web-hosting-palveluntarjoaja — sivuston hosting (EU)
Pilvianalytiikka (vain suostumuksella) — Google Analytics 4 tai Plausible (EU)

Jokainen käsittelijä on sitoutunut tietosuojasopimukseen (DPA) GDPR:n 28 artiklan mukaisesti.

5. Kansainväliset siirrot

Osa käsittelijöistämme (Stripe, Mailchimp, Google) sijaitsee EU:n ulkopuolella. Näissä tapauksissa turvaudumme Euroopan komission hyväksymiin vakiosopimuslausekkeisiin (SCC), joita täydennetään Euroopan tietosuojaneuvoston (EDPB) suositusten mukaisilla lisäsuojatoimilla.

6. Kuinka kauan säilytämme tietojasi

Tilaustiedot: 7 vuotta (Suomen kirjanpitolaki)
Tilitiedot: kunnes poistat tilisi, plus 30 päivää varmuuskopioiden leviämiselle
Uutiskirjetiedot: kunnes peruutat tilauksen
Analytiikkatiedot: 14 kuukautta (anonymisoitu)
Tukisähköpostit: 24 kuukautta

7. Oikeutesi GDPR:n nojalla

Sinulla on seuraavat oikeudet henkilötietojesi suhteen:

Oikeus saada pääsy tietoihin (15 art.) — pyytää kopio hallussamme olevista henkilötiedoista
Oikeus oikaista tiedot (16 art.) — korjata epätarkkoja tai puutteellisia tietoja
Oikeus tulla unohdetuksi (17 art.) — pyytää tietojen poistamista
Oikeus käsittelyn rajoittamiseen (18 art.) — rajoittaa tietojen käyttöä
Oikeus tietojen siirrettävyyteen (20 art.) — saada tiedot koneluettavassa muodossa
Oikeus vastustaa käsittelyä (21 art.) — vastustaa oikeutettuun etuun tai suoramarkkinointiin perustuvaa käsittelyä
Oikeus peruuttaa suostumus (7(3) art.) — milloin tahansa, kun käsittely perustuu suostumukseen
Oikeus tehdä valitus valvontaviranomaiselle — Suomessa tietosuojavaltuutetun toimisto (tietosuoja.fi)

Käyttääksesi näitä oikeuksia, lähetä sähköpostia dpo@36urbanspirit.com. Vastaamme 30 päivän kuluessa.

8. Tietoturva

Käytämme alan standardien mukaisia turvatoimia: HTTPS/TLS-salaus kaikelle siirrettävälle datalle, salatut tietokannat, rajoitettu pääsy (vain perustajalla ja yhdellä teknisellä toimihenkilöllä on pääsy henkilötietoihin, molemmat NDA:n alla) ja säännölliset tietoturvatarkastukset.

Huom: Henkilötietojen tietomurron sattuessa ilmoitamme asianomaisille käyttäjille 72 tunnin kuluessa tietoon tultua GDPR:n 33-34 artiklan mukaisesti.

9. Lapset

Sivustomme ei ole suunnattu alle 16-vuotiaille lapsille. Emme tietoisesti kerää henkilötietoja lapsilta. Jos uskot, että olemme vahingossa keränneet tietoja lapselta, ota yhteyttä dpo@36urbanspirit.com.

10. Muutokset tähän käytäntöön

Voimme päivittää tätä tietosuojakäytäntöä aika ajoin. Yllä oleva "Päivitetty"-päivämäärä kertoo viimeisimmistä muutoksista. Merkittävistä muutoksista ilmoitamme tilaajille sähköpostitse.

11. Yhteystiedot

Tietosuojavastaava · 36 Urban Spirit Oy · Helsinki, Suomi · dpo@36urbanspirit.com

Questions about this Privacy? Email hello@36urbanspirit.com. We respond within 48 hours.