Mitä FamilyApp tallentaa perheestäsi

Kun luot perheen tai liityt siihen, tallennamme antamasi sähköpostiosoitteen ja nimen. Salasanaa ei tallenneta sellaisenaan: siitä lasketaan tunniste, josta salasanaa ei saa takaisin. Sama koskee lapsen PIN-koodia, laitteiden salaisuuksia sekä liittymis- ja jakolinkkien koodeja.

Tallennamme myös, mihin perheeseen kuulut ja millä roolilla (vanhempi, lapsi tai vieras), sekä ne laitteet, jotka vanhempi on nimennyt perheen käyttöön — esimerkiksi ”Liinan tabletti”.

Tilille ei tallenneta syntymäaikaa. Perheenjäsenen syntymäaika on eri asia, ja siitä kerrotaan seuraavassa kohdassa.

Perheestä tallennetaan nimi, omistajan sähköpostiosoite, perheen valitsema osoite ja tilauksen tila. Perheen osoite on osa verkko-osoitetta, jolla perhe kirjautuu, joten se on julkinen tieto.

Jokaisesta perheenjäsenestä tallennetaan nimi, kalenterissa käytettävä väri ja valinnainen syntymäaika. Perheenjäsen ei tarvitse omaa kirjautumista: pieni lapsi voi olla pelkkä nimi perheen kalenterissa.

Jos syntymäaika on täytetty, siitä syntyy kalenteriin syntymäpäivämerkintöjä, esimerkiksi ”Venla täyttää 13 vuotta”.

Kalenterimerkinnät otsikoineen ja kuvauksineen, lukujärjestykset, harrastukset, työvuorot, ostoslistat hintoineen, reseptit, ruokalistat ja muistutukset. Tämä on perheen itse kirjoittamaa tekstiä, ja se tallennetaan sellaisenaan.

Tallennamme myös, kuka merkinnän teki, kenelle se kuuluu ja kuka kuittasi tehtävän tehdyksi.

Kaupan kuitin voi kuvata, jolloin sovellus lukee siltä rivit ja hinnat. Kuitista tallennetaan kuva ja siitä tehty pieni esikatselukuva sekä ne rivit, jotka kuitilta on luettu: tuotteen nimi sellaisena kuin se on painettu, määrä, yksikkö ja hinta. Lisäksi tallennetaan kaupan nimi, ostopäivä ja loppusumma sekä se, kuka kuitin tallensi.

Kuitin kuva on salattu — samalla tavalla kuin salasanasäilön sisältö ja toisin kuin kalenterimerkinnät. Salauksen avain säilytetään erillisessä avainholvissa, ei tietokannassa. Kuvalle ei myöskään ole omaa verkko-osoitetta: kuvan näkeminen vaatii aina kirjautumisen, koska palvelin purkaa salauksen vasta pyynnöstä, joka on tunnistettu.

Kuitilta luetut rivit ja hinnat tallennetaan selväkielisinä. Ne ovat se tieto, josta hintahistoria muodostuu — mitä perheen ostokset ovat eri aikoina maksaneet ja missä kaupassa. Rivi liitetään ostoslistan tuotteeseen vasta kun perheenjäsen vahvistaa, että kyse on samasta tuotteesta.

Kuva pienennetään selaimessa ennen lähetystä, joten puhelimen ottama alkuperäinen täysikokoinen valokuva ei lähde laitteelta — meille tulee siitä pienennetty versio. Muutoslokiin kuva ei päädy lainkaan: loki ei tallenna kuvia sen enempää kuin tekstiäkään.

Salasanasäilöön tallennettu salasana ja muistiinpano on salattu, ja salauksen avain säilytetään erillisessä avainholvissa. Merkinnän otsikko, käyttäjätunnus, osoite ja luokittelu tallennetaan selväkielisinä, jotta säilöä voi selata paljastamatta salaisuuksia.

Kirjaamme, kuka on paljastanut minkäkin salaisuuden ja milloin. Perhe näkee tämän merkintäkohtaisesti.

Maksukorttitietoja ei tallenneta eikä käsitellä missään vaiheessa. Maksusta jää talteen vain summa, valuutta, lopputulos ja aika.

Todellista maksamista ei ole toteutettu. Sovellus käyttää testimaksua, jossa käyttäjä itse valitsee, onnistuuko maksu. Maksuun liittyvää tietoa ei siis lähde millekään maksunvälittäjälle.

Tallennamme, kuka muutti mitä ja milloin. Loki kertoo, mikä rivi muuttui ja minkä kenttien arvot muuttuivat — mutta se ei tallenna tekstisisältöä: merkinnän otsikko tai kuvaus ei päädy lokiin.

Lokia ei voi katsella sovelluksesta, eikä sitä voi käytön aikana muuttaa tai poistaa. Muutosloki on ainoa tieto, jolla on toteutettu säilytysaika — siitä kerrotaan kohdassa 6.

Milloin: vain silloin, kun perheenjäsen käyttää sovelluksen avustajaa. Avustaja ei käynnisty itsestään.

Lasten tiedot lähtevät myös silloin, kun kysymys ei koske lasta. Tämä on mitattu eikä arvioitu. Tavallinen kysymys ”Mitä tällä viikolla tapahtuu?” vanhemman tunnuksella palautti kolme kalenterimerkintää, ja niistä kaksi nimesi lapsen — toinen siksi, että meno oli merkitty lapselle, toinen siksi, että syntymäpäivämerkinnän otsikko on muotoa ”Venla täyttää 13 vuotta”, jossa nimi ja ikä ovat samassa lauseessa. Riittää siis, että lapsella on kysytyllä aikavälillä yksi meno tai syntymäpäivä. Lapsiperheen arjessa se on käytännössä jokainen kalenterikysymys.

Mitä lähtee: kysymyksesi ja saman keskustelun aiemmat viestit, sekä kalenterin otsikot siltä ajalta, jota kysymys koskee. Otsikko tarkoittaa tässä enemmän kuin miltä kuulostaa: mukana ovat tapahtumat, tehtävät ja kotityöt, lukujärjestyksen oppitunnit ja harrastukset, työvuoron nimilappu, ateriat muodossa ”aamiainen: puuro” sekä syntymäpäivämerkinnät. Lisäksi lähetetään kaikkien perheenjäsenten nimet ja syntymäajat — myös lasten, ja syntymäaika lähtee tarkkana päivämääränä, ei ikänä.

Mitä ei lähde: kalenterimerkinnän kuvausteksti ei lähde koskaan — vain otsikko. Ostoslistat, reseptien ainesosat, muistiinpanot ja salasanasäilö eivät lähde avustajan kysymyksen mukana: avustajalla ei ole niihin pääsyä.

Kuitin lukeminen on tästä poikkeus, ja se on kuvattu heti alla omana kohtanaan. Vastaanottaja on sama palvelu, mutta kyseessä on eri toiminto, jonka perheenjäsen käynnistää erikseen ja jonka mukana lähtee eri sisältö. Emme niputa niitä yhteen, koska ne eivät ole sama asia.

Mitä Microsoft tekee vastaanottamallaan tiedolla. Alla oleva on luettu Microsoftin omasta julkisesta dokumentaatiosta. Kerromme sekä sen, mikä on hyvä tietää, että sen, mikä ei ole — pelkkä myönteinen puoli antaisi väärän kuvan.

• Tietoja ei käytetä tekoälymallien kouluttamiseen eikä palvelun parantamiseen, eivätkä ne ole OpenAI:n saatavilla tai muiden asiakkaiden nähtävissä. Malli itse ei säilytä mitään: se ei muista kysymystäsi seuraavalla kerralla.
• Palvelussa on väärinkäytön valvonta, ja se voi tallentaa ja katselmoida sisältöä. Jos sisältö liputetaan tai käyttö vaikuttaa epäilyttävältä, otos kysymyksistä ja vastauksista voidaan tallentaa erilliseen valvontavarastoon. Katselmointi tehdään ensin automaattisesti, ja tarvittaessa sen tekee ihminen — tehtävään valtuutettu Microsoftin työntekijä.
• Katselmoijat ovat Euroopan talousalueella. Microsoft kertoo, että Euroopan talousalueella käyttöön otettujen mallien kohdalla valtuutetut työntekijät ovat Euroopan talousalueella. Käyttämämme palvelu on Ruotsissa, ja valvontaa varten tallennettu aineisto jää samalle alueelle.
• Kysymyksen käsittely voi tapahtua muuallakin kuin Ruotsissa. Olemme ottaneet mallin käyttöön asetuksella, jonka kohdalla Microsoft sanoo, että kysymys ja vastaus voidaan käsitellä millä tahansa alueella, jolla mallia tarjotaan. Ruotsiin jää se, mitä tallennetaan.
• Emme tiedä, kuinka kauan valvontaa varten tallennettua aineistoa säilytetään. Lukemamme Microsoftin sivut eivät kerro sille aikaa, emmekä kirjoita tähän lukua, jota emme ole voineet tarkistaa.
• Emme voi luvata, että valvonnan saisi kytkettyä pois. Sitä voi muodollisesti hakea, mutta Microsoft on rajannut sen asiakkaisiin, joilla on oma Microsoftin asiakastiimi tai jotka kuuluvat erilliseen ohjelmaan. Me emme ole kumpaakaan, joten emme esitä tätä ratkaisuna.

Tämä kuvaa sitä, mitä tänään tapahtuu. Emme lupaa tässä, että lähetettävän tiedon määrä muuttuisi. Jos se joskus muuttuu, tämä kohta päivitetään.

Milloin: vain silloin, kun perheenjäsen on tallentanut kuitin ja painaa erikseen ”Lue kuitti”. Pelkkä kuitin tallentaminen ei lähetä mitään. Tallentaminen ja lukeminen ovat tarkoituksella kaksi eri painiketta, eikä lukeminen käynnisty itsestään.

Mitä lähtee: kuva kuitista ja sen mukana kaksi kiinteää ohjetta, jotka ovat joka kerta samat. Kuvassa on kaikki, mitä kuitissa lukee — ostetut tuotteet, hinnat, kaupan nimi, kellonaika ja kuitin omat tunnisteet. Emme rajaa kuvaa emmekä poista siitä mitään ennen lähetystä.

Mitä ei lähde: perheenjäsenten nimiä, syntymäaikoja, kalenteria tai ostoslistaa ei lähetetä kuitin mukana. Tämä on mitattu eikä arvioitu: samassa mittauksessa perheenjäsenen nimi löytyi avustajan lähettämästä viestistä ja ei löytynyt kuitin lähettämästä.

Vastaanottaja on sama Microsoftin tekoälypalvelu kuin avustajalla. Kaikki edellä kohdassa ”Microsoftin tekoälypalvelu” kerrottu koskee siis myös kuittikuvaa: tietoja ei käytetä mallien kouluttamiseen, mutta väärinkäytön valvonta voi tallentaa ja katselmoida sisältöä, emmekä tiedä kuinka kauan sitä säilytetään. Kuittikuva voi siis päätyä ihmisen katselmoitavaksi samalla tavalla kuin avustajalle kirjoitettu kysymys.

Kuka voi tehdä tämän: lukeminen vaatii kaksi oikeutta yhtä aikaa — oikeuden muokata ostoslistaa ja oikeuden käyttää avustajaa. Molemmat ovat oikeuksia, jotka vanhempi antaa perheenjäsenelle erikseen. Jos perheenjäsenellä ei ole avustajan käyttöoikeutta, hän voi tallentaa kuitin mutta ei lähettää sitä luettavaksi.

Lukeminen ei muuta ostoslistaa itsestään. Kuitilta luetut rivit ovat ehdotuksia, ja hinta siirtyy ostoslistan riville vasta kun perheenjäsen vahvistaa, että rivit tarkoittavat samaa tuotetta.

Jos otat muistutukset käyttöön selaimessa, selaimesi valmistajan palvelu välittää muistutuksen laitteellesi. Tallennamme selaimen antaman osoitteen ja salausavaimet, joilla viesti salataan.

Muistutuksen sisältö — merkinnän otsikko ja ajankohta — salataan ennen lähetystä, joten välittävä palvelu ei näe sitä. Se näkee, että laitteellesi lähetettiin viesti ja milloin.

Samaa tietä kulkee myös ilmoitus siitä, että perheen tilaus on päättymässä. Sen tekstin kirjoittaa palvelin valmiiksi, ja siinä on tilauksen päättymispäivä ja jäljellä olevien päivien määrä — ei kenenkään nimeä eikä kalenterin sisältöä. Se salataan samalla tavalla.

Puhelimen sovelluksessa muistutukset ajastetaan laitteelle itselleen. Puhelimesta ei lähde muistutuksia varten mitään ulos.

Sovelluksessa on valmius kirjautua Google-tunnuksella Microsoftin tunnistuspalvelun kautta, mutta se on kytketty pois päältä. Tällä hetkellä kirjaudutaan vain sähköpostilla ja salasanalla tai lapsen PIN-koodilla. Jos ominaisuus otetaan käyttöön, tämä kohta päivitetään.

Avustajalle voi sanella kysymyksen puhumalla selaimessa, ja vastauksen voi kuunnella ääneen sekä selaimessa että puhelinsovelluksessa. Kumpaakaan puhetta emme tee me: ne ovat selaimen ja puhelimen omia toimintoja. Emme tallenna ääntä emmekä käsittele sitä, eikä se kulje meidän palvelintemme kautta. Se ei tarkoita, ettei laitteelta lähtisi mitään — sanelun osalta mittasimme sen, ja ääneen lukemisen osalta kerromme alla myös sen, mitä emme ole mitanneet.

Mittaus tehtiin 2.9.2026 selaimen omasta verkkolokista. Sitä ei voi tehdä sivun puolelta: samassa mittauksessa sivu itse ei nähnyt yhtään ulospäin lähtevää pyyntöä samalla kun selain lähetti ääntä.

• Chrome: ääni lähtee Googlelle. Noin kahdeksan sekunnin sanelusta mitattiin 74 kilotavua ääntä. Mukana lähtee myös sen sivun osoite, jolla sanelu aloitettiin.
• Edge: ääni lähtee Microsoftille. Samasta koelauseesta 213 kilotavua.
• Firefox ja Safari: emme ole mitanneet näitä. Emme oleta niiden toimivan samoin kuin Chrome tai Edge, emmekä siksi väitä niistä mitään suuntaan tai toiseen.
• Puhelinsovelluksessa ei ole sanelua lainkaan. Yllä olevat mittaukset koskevat siis vain selainta. Vastauksen lukeminen ääneen sen sijaan on myös puhelimessa, ja siitä kerromme heti alla.

Ääni lähtee myös silloin, kun sanelu ei onnistu. Lähetys alkaa heti kun mikrofoni avataan, joten se ehtii tapahtua, vaikka yhtään sanaa ei tunnistettaisi. Molemmat Chrome-mittaukset päättyivät tuloksettomina, ja ääni oli silti lähetetty. Tätä on vaikea arvata, joten kerromme sen erikseen.

Lapsen tilillä sanelua ei ole. Mikrofonipainiketta ei näytetä eikä sanelua voi aloittaa. Lapsi käyttää avustajaa kirjoittamalla. Vastausten kuunteleminen ääneen on silti käytettävissä, ja se on eri asia kuin sanelu — siitä kerromme seuraavaksi. Sanelusta tarkemmin kohdassa 3.

Vastauksen kuunteleminen ääneen on eri asia kuin sanelu. Sanelussa laitteelta lähtee perheenjäsenen ääni. Ääneen lukemisessa liikkuu sen sijaan avustajan vastauksen teksti, joka voi sisältää perheen kalenterin sisältöä. Toiminto on sekä selaimessa että puhelinsovelluksessa, ja niistä tiedämme eri määrän.

• Selaimessa: siitä ei lähtenyt mitään ulos. Mittasimme ääneen lukemisen Chromessa 2.9.2026 samalla kertaa kuin sanelun. Muissa selaimissa emme ole tätä mitanneet.
• Puhelinsovelluksessa vastauksen lukee ääneen puhelimen oma puheohjelma. Se ei ole osa meidän sovellustamme: annamme vastauksen tekstin sille puheohjelmalle, jota puhelin käyttää — Android-puhelimessa se on tavallisesti Googlen.
• Emme ole mitanneet, lähettääkö puhelimen puheohjelma tekstin eteenpäin. Emme siis väitä kumpaankaan suuntaan. Osa puheohjelmista puhuu kokonaan laitteella, osa hakee puheen verkosta, ja se voi riippua puhelimen asetuksista ja valitusta äänestä. Kirjoitamme tuloksen tähän, kun olemme mitanneet sen.
• iPhonea emme ole mitanneet, koska sovellusta ei ole julkaistu iPhonelle. Emme oleta sen toimivan samoin kuin Android.

Puhelimessa ääneen lukeminen on oletuksena pois päältä. Se otetaan käyttöön erikseen avustajan näkymässä, ja valinta jää voimaan myös seuraavalla käyttökerralla. Kun se on pois, vastausta ei anneta puheohjelmalle lainkaan.

Kuka tahansa voi tarkistaa, onko jokin perheen osoite jo varattu. Vastaus on pelkkä kyllä tai ei: se ei kerro perheen nimeä eikä mitään muuta perheestä.

Kalenterin voi tilata puhelimen tai tietokoneen omaan kalenterisovellukseen. Kalenterisovellukset eivät osaa kirjautua, joten tunniste on osoitteessa itsessään: kuka tahansa, jolla on tuo osoite, näkee kalenterin ilman kirjautumista.

Osoite on sidottu siihen kirjautumiseen, joka sen loi, ja se näyttää saman kuin sovellus näyttää tälle henkilölle — kahta poikkeusta lukuun ottamatta. Kumpikin poikkeus jättää jotain pois eikä lisää mitään. Osoite näyttää siis vähemmän kuin sovellus, ei enempää.

Ensimmäinen poikkeus: ryhmälle jaetut merkinnät. Jos merkintä on jaettu ryhmälle, se näkyy sovelluksessa mutta ei tilausosoitteessa: kalenterisovellus ei kirjaudu, joten osoite ei tiedä, mihin ryhmiin sen omistaja kuuluu.

Toinen poikkeus: kauas tulevaisuuteen osuvat merkinnät. Osoite kattaa kuukauden taaksepäin ja noin vuoden eteenpäin. Sitä kauempana oleva merkintä näkyy sovelluksessa, mutta tulee osoitteeseen vasta ajankohdan lähestyessä.

Osoitteen voi vaihtaa uuteen, ja vanha lakkaa silloin toimimasta. Vaihtamisen tekee vanhempi — omalle osoitteelleen tai perheenjäsenen puolesta. Lapsi ei voi vaihtaa omaa osoitettaan itse.

• Näet ja voit muokata omia ja perheesi tietoja sovelluksessa.
• Näet salasanasäilön merkinnän käyttöhistorian.
• Voit ottaa kalenterin ulos tilausosoitteen kautta.
• Voit ladata perheenne tiedot yhtenä koneluettavana tiedostona sovelluksen kohdasta Oma tili. Tiedosto kertoo myös, mitä siihen ei otettu mukaan ja miksi: salasanasäilön salasanat jätetään pois, koska ne eivät kuulu tiedostoon joka päätyy latauskansioon. Lapsen suojatut merkinnät eivät tule mukaan vanhemman lataukseen — vienti noudattaa samaa ikärajaa kuin sovellus itse.
• Voit poistaa oman tilisi itse, sekä puhelimen sovelluksessa että selaimessa. Mitä siinä poistuu ja mitä jää perheelle, on kerrottu kohdassa 6. Sovelluksen omalla verkkosivulla on lisäksi julkinen ohjesivu tilin poistamiseen — sitä varten, ettei poisto vaatisi sovellusta, jota ei enää ole puhelimessa.

• Muutoslokia ei voi katsella.
• Suljetun perheen tietojen lopullista poistamista ei ole toteutettu. Poisto on tänään merkintä ja päivämäärä, ei tyhjennys — ks. kohta 6.