Privacy notice

Last updated 5 August 2026 · GDPR Art. 13 / Finnish Tietosuojalaki

This notice describes how Last Accounting Company ("LAC") handles personal data from this website and from the LAC accounting service. We've kept it short on purpose: we collect the data needed to respond to signups and to provide accounting work for customers.

1. Who is the controller

Bloom Systems Oy (Y-tunnus 3616618-4), Helsinki, Finland — operating as Last Accounting Company.
Contact for any privacy matter: hello@lastaccountingcompany.com.

2. What we collect

From the signup form:

Required — your name, company name, email address, the language you used, and the time you submitted.
Optional — your phone number, and anything you choose to write about your firm, accountant, payroll, invoices, timeline, or current pain points.
Technical — your browser's user-agent string and the referring URL, captured automatically when you submit. We use these to spot bot submissions and understand how people find us.
Analytics — aggregate page-view and event counts through Plausible Analytics, including page URL, referrer, browser, operating system, device type, and approximate location. Plausible does not use cookies, store raw IP addresses, or receive signup form contents.

If you use the LAC customer portal and choose to connect a Google account:

Gmail — we request read-only access so Björn can search and read messages, attachments, receipts, invoices, contracts, and bookkeeping context that you have chosen to make available for accounting work.
Google Drive — we request read-only access so Björn can inspect accounting files and Google Sheets you already keep in Drive.
OAuth account and token data — we store the connected Google account email, non-secret connection status, and OAuth token material needed to refresh the read-only grant.

These Google grants are read-only. LAC does not send, modify, delete, move, share, or create Gmail or Drive content through them.

The site also stores your language preference (lac-lang) in your browser's local storage. This never leaves your device.

3. Why we collect it and on what legal basis

Purpose — to respond to your signup, create a lead in our CRM, contact you about LAC, and understand whether our service fits your company.
Service purpose — to provide the accounting service for customers: finding source documents, attaching evidence, reconciling books, preparing review materials, and maintaining an audit trail.
Lawful basis — your consent (GDPR Art. 6(1)(a)), given by submitting the form. We also rely on legitimate interest (Art. 6(1)(f)) for understanding our prospective market — a low-impact use balanced by the small amount of data we collect.

We do not intentionally request special-category data. Connected Gmail or Google Drive content may contain such data if the user stores it there. If it does, we apply the same purpose, access, and security restrictions described in this notice. We do not make decisions based only on automated processing.

4. Who else sees this data

The signup data is stored in Google Cloud Firestore, which acts as our processor under GDPR Art. 28. The database lives in the EU multi-region eur3 (Belgium + Netherlands).

Signup entries — including entries submitted before 2 July 2026 — are also synced to Zero (Zero Technologies Oy, Finland), the customer-relationship system we use to keep track of signups and stay in touch. Zero likewise acts as our processor under Art. 28 and hosts the data in the EU. Some of Zero's sub-processors operate outside the EEA; those transfers are covered by Standard Contractual Clauses and the other GDPR Chapter V safeguards in Zero's data processing agreement.

A lead summary — such as your name, company, email, phone number, and other business context you submitted — is posted to LAC's internal Slack channel so our team can follow up. Slack Technologies Limited, part of Salesforce, acts as our processor. Unless Slack data residency is enabled, Slack stores customer data in the United States; transfers are protected by Slack's data processing addendum, Standard Contractual Clauses, and applicable Data Privacy Framework commitments. See Slack's data-residency information.

This site uses Plausible Analytics (Plausible Insights OÜ, Estonia) for cookie-free aggregate website analytics on EU-hosted infrastructure. Plausible processes only usage measurements for us, not the contents of signup forms.

To keep automated spam out of the signup form, this site is protected by Google reCAPTCHA Enterprise. When you load the page, Google processes technical signals about your browser and interaction (such as IP address and device information) to distinguish people from bots; this may involve transfers outside the EEA under Google's GDPR Chapter V safeguards. The Google Privacy Policy and Terms of Service apply. reCAPTCHA does not read what you type into the form.

This site loads typefaces from Fontshare; your IP address may be processed when fonts are fetched.

We will never sell your data or share it with anyone for marketing purposes.

Google API data used in the Service

When you connect Gmail or Google Drive, Google provides data to LAC only after you complete Google's OAuth consent flow. The grants are read-only. We use Google user data only to provide or improve the user-facing accounting features you enabled, keep the service secure, comply with law, and maintain accounting records and audit trails.

Sharing and disclosure. Google Cloud EMEA Limited processes and stores Google user data as the provider of LAC's application hosting, databases, file storage, and backups. OpenAI Ireland Ltd. may process the limited content needed by Björn to find, extract, classify, and link accounting evidence for the user-facing accounting service. Authorized LAC accountants and reviewers may read data that the customer has affirmatively made available for the relevant accounting work. Support and security personnel may access it only with customer permission for a support request, to investigate security or abuse, or where law requires it. These parties act under confidentiality and data-processing obligations. We use applicable transfer safeguards, including the European Commission's Standard Contractual Clauses, when processing involves a transfer outside the EEA.

We do not sell Google user data, use it for advertising, disclose it to data brokers or information resellers, use it to determine creditworthiness or for lending, or disclose it to unrelated third parties. We do not use or transfer information received from Google Workspace APIs to develop, improve, or train generalized or non-personalized artificial intelligence or machine-learning models. LAC's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.

How we protect Google user data. LAC uses HTTPS/TLS for traffic between users, LAC, and Google APIs. Google Cloud encrypts stored customer content at rest. OAuth token material is kept in a protected server-side credential store and is not placed in the user's browser, customer workspaces, or connection database rows. Accounting evidence is separated by customer in customer-specific databases and workspaces. Access requires authenticated identities, authorization checks, and least-privilege service identities. LAC also uses operational monitoring and incident-response procedures.

Disconnecting a Google connection in LAC stops new Google API reads. It does not delete content in Google. The user can separately revoke LAC's access in their Google Account. Google-sourced material that has already become accounting evidence may be retained as part of the customer's statutory bookkeeping records and audit trail. Other Google-sourced data and OAuth token material are deleted or minimized when they are no longer needed for the service, security, incident handling, legal obligations, or accounting records.

Newsletter (added 6 July 2026)

If you subscribe to our newsletter on the News page, we collect your email address to send you new articles (legal basis: your consent, Art. 6(1)(a)). We use double opt-in: nothing is sent beyond a single confirmation email until you click the confirmation link. Newsletter emails are delivered by Resend (Plus Five Five, Inc., USA), our processor under Art. 28, from EU-region infrastructure; any transfers outside the EEA are covered by Standard Contractual Clauses under Resend's data processing agreement. Every newsletter includes an unsubscribe link; unsubscribing or asking us to delete your address removes it from the list. Unconfirmed signups are not mailed again.

5. How long we keep it

We keep signup entries for up to 24 months after our last contact with you, or until you ask us to delete the entry — whichever comes first.

Google connection and accounting-evidence retention is described in the Google API data section above.

6. Your rights

Under the GDPR you can:

ask for a copy of the data we hold about you (right of access);
ask us to correct anything that's wrong (rectification);
ask us to delete the entry (erasure / "right to be forgotten");
ask us to limit how we use it (restriction);
get the data in a portable form (portability);
object to processing based on legitimate interest;
withdraw your consent at any time — that doesn't affect anything we did before you withdrew.

Email hello@lastaccountingcompany.com and we'll handle it. Usually within a few days.

If you think we've handled your data wrongly, you can complain to the Finnish Data Protection Ombudsman: tietosuoja.fi.

7. Updates to this notice

If we change anything material — what we collect, why, who sees it — we'll update this page and bump the date at the top. The date always reflects the version that applies, including to entries submitted earlier.

Tietosuojaseloste

Päivitetty 5.8.2026 · GDPR 13 art. / Tietosuojalaki

Tämä seloste kertoo, miten Last Accounting Company ("LAC") käsittelee henkilötietoja verkkosivustolla ja LAC-kirjanpitopalvelussa. Kerromme asiat lyhyesti: keräämme tiedot, joita tarvitsemme ilmoittautumisiin vastaamiseen ja asiakkaiden kirjanpitotyön tekemiseen.

1. Rekisterinpitäjä

Bloom Systems Oy (Y-tunnus 3616618-4), Helsinki, Suomi — toiminimi Last Accounting Company.
Yhteydenotot tietosuoja-asioissa: hello@lastaccountingcompany.com.

2. Mitä tietoja keräämme

Ilmoittautumislomakkeesta:

Pakolliset — nimesi, yrityksesi nimi, sähköpostiosoitteesi, käyttämäsi kieli ja lähetysaika.
Valinnaiset — puhelinnumerosi sekä se, mitä itse kerrot yrityksestäsi, nykyisestä tilitoimistosta, palkoista, laskutuksesta, aikataulusta tai nykyisistä kipukohdista.
Tekniset — selaimesi user-agent-tunniste ja viittaava URL, jotka tallentuvat automaattisesti lähetyksen yhteydessä. Käytämme näitä bottilähetysten torjumiseen ja sen ymmärtämiseen, miten kävijät löytävät sivustomme.
Analytiikka — Plausible Analyticsin kautta kerättävät koostetut sivunäyttö- ja tapahtumamäärät, kuten sivun URL, viittaava sivu, selain, käyttöjärjestelmä, laitetyyppi ja likimääräinen sijainti. Plausible ei käytä evästeitä, tallenna raakoja IP-osoitteita tai saa ilmoittautumislomakkeen sisältöä.

Jos käytät LAC-asiakasportaalia ja päätät yhdistää Google-tilin:

Gmail — pyydämme vain lukuoikeuden, jotta Björn voi hakea ja lukea viestejä, liitteitä, kuitteja, laskuja, sopimuksia ja kirjanpidon kannalta tarpeellista kontekstia, jonka olet päättänyt antaa kirjanpitotyöhön.
Google Drive — pyydämme vain lukuoikeuden, jotta Björn voi tarkastaa kirjanpitotiedostoja ja Google Sheetsejä, joita säilytät Drivessä.
OAuth-tili- ja tunnistetiedot — tallennamme yhdistetyn Google-tilin sähköpostiosoitteen, ei-salaisen yhteyden tilatiedon ja OAuth-tunnisteet, joita tarvitaan lukuoikeuden päivittämiseen.

Nämä Google-yhteydet ovat vain lukuoikeuksia. LAC ei lähetä, muokkaa, poista, siirrä, jaa tai luo Gmail- tai Drive-sisältöä niiden avulla.

Sivusto tallentaa myös kielivalintasi (lac-lang) selaimesi paikalliseen muistiin. Se ei poistu laitteeltasi.

3. Miksi keräämme ja millä oikeusperusteella

Käyttötarkoitus — vastata ilmoittautumiseesi, luoda liidi CRM-järjestelmäämme, ottaa sinuun yhteyttä LAC:sta sekä ymmärtää, sopiiko palvelumme yrityksellesi.
Palvelun käyttötarkoitus — tuottaa asiakkaiden kirjanpitopalvelu: etsiä tositteita, liittää evidenssiä, täsmäyttää kirjanpito, valmistella tarkastusaineistoa ja ylläpitää audit trailia.
Oikeusperuste — suostumuksesi (tietosuoja-asetuksen 6 art. 1 kohdan a alakohta), joka syntyy, kun lähetät lomakkeen. Lisäksi nojaamme markkinaymmärryksen osalta oikeutettuun etuun (6 art. 1 kohdan f alakohta) — vähän tietoa, vähän vaikutusta sinulle, asianmukainen tasapaino.

Emme pyydä tarkoituksella erityisiin henkilötietoryhmiin kuuluvia tietoja. Yhdistetyn Gmailin tai Google Driven sisältö voi kuitenkin sisältää niitä, jos käyttäjä on tallentanut niitä Google-tililleen. Tällaisiin tietoihin sovelletaan tässä selosteessa kuvattuja käyttötarkoitus-, käyttöoikeus- ja tietoturvarajoituksia. Emme tee päätöksiä vain automaattisen käsittelyn perusteella.

4. Kuka muu näkee nämä tiedot

Ilmoittautumistiedot tallennetaan Google Cloud Firestoreen, joka toimii käsittelijänämme tietosuoja-asetuksen 28 art. mukaisesti. Tietokanta sijaitsee EU:n monialueella eur3 (Belgia ja Alankomaat).

Ilmoittautumistiedot — myös ennen 2.7.2026 lähetetyt — synkronoidaan lisäksi Zero-asiakkuudenhallintajärjestelmään (Zero Technologies Oy, Suomi), jonka avulla pidämme kirjaa ilmoittautumisista ja yhteydenpidosta. Zero toimii niin ikään käsittelijänämme 28 art. mukaisesti ja säilyttää tiedot EU:ssa. Osa Zeron alikäsittelijöistä toimii ETA-alueen ulkopuolella; siirrot on suojattu vakiosopimuslausekkein ja muin tietosuoja-asetuksen V luvun suojatoimin Zeron tietojenkäsittelysopimuksen mukaisesti.

Liidistä julkaistaan yhteenveto — esimerkiksi nimesi, yrityksesi, sähköpostiosoitteesi, puhelinnumerosi ja muu lähettämäsi yritystä koskeva tieto — LAC:n sisäiselle Slack-kanavalle, jotta tiimimme voi hoitaa yhteydenoton. Salesforceen kuuluva Slack Technologies Limited toimii käsittelijänämme. Jos Slackin dataresidenssiä ei ole otettu käyttöön, Slack säilyttää asiakasdataa Yhdysvalloissa; siirrot on suojattu Slackin tietojenkäsittelysopimuksella, vakiosopimuslausekkeilla ja soveltuvilla Data Privacy Framework -sitoumuksilla. Katso Slackin dataresidenssiä koskevat tiedot.

Automaattisen roskapostin torjumiseksi sivustoa suojaa Google reCAPTCHA Enterprise. Kun lataat sivun, Google käsittelee selaimesi ja käyttösi teknisiä signaaleja (kuten IP-osoitetta ja laitetietoja) erottaakseen ihmiset boteista; tähän voi liittyä siirtoja ETA-alueen ulkopuolelle Googlen tietosuoja-asetuksen V luvun suojatoimien mukaisesti. Sovellettavina ovat Googlen tietosuojakäytäntö ja käyttöehdot. reCAPTCHA ei lue lomakkeeseen kirjoittamiasi tietoja.

Sivusto käyttää Plausible Analyticsia (Plausible Insights OÜ, Viro) evästeettömään ja koostettuun verkkosivuanalytiikkaan EU:ssa sijaitsevalla infrastruktuurilla. Plausible käsittelee puolestamme vain käyttömittauksia, ei ilmoittautumislomakkeiden sisältöä.

Sivusto lataa kirjasimet Fontshare-palvelusta, jolloin IP-osoitettasi voidaan käsitellä kirjasimia ladattaessa.

Emme koskaan myy tietojasi tai jaa niitä markkinointitarkoituksiin.

Palvelussa käytettävät Google-rajapintatiedot

Kun yhdistät Gmailin tai Google Driven, Google luovuttaa tietoja LAC:lle vasta sen jälkeen, kun olet hyväksynyt Googlen OAuth-suostumuksen. Yhteydet antavat vain lukuoikeuden. Käytämme Google-käyttäjätietoja vain aktivoimiesi asiakasnäkyvien kirjanpitotoimintojen tuottamiseen tai parantamiseen, palvelun suojaamiseen, lain noudattamiseen sekä kirjanpitoaineiston ja audit trailin ylläpitämiseen.

Tietojen luovuttaminen ja käsittely. Google Cloud EMEA Limited käsittelee ja säilyttää Google-käyttäjätietoja LAC:n sovelluksen, tietokantojen, tiedostovarastojen ja varmuuskopioiden palveluntarjoajana. OpenAI Ireland Ltd. voi käsitellä rajattua sisältöä, jota Björn tarvitsee kirjanpitoaineiston etsimiseen, tietojen poimintaan, luokitteluun ja yhdistämiseen asiakasnäkyvässä kirjanpitopalvelussa. LAC:n valtuutettu kirjanpitäjä tai tarkastaja voi lukea aineistoa, jonka asiakas on nimenomaisesti antanut kyseistä kirjanpitotyötä varten. Tuki- ja tietoturvahenkilöt voivat päästä tietoihin vain asiakkaan luvalla tukipyynnön ratkaisemiseksi, tietoturvan tai väärinkäytöksen selvittämiseksi tai lain vaatimuksesta. Näitä osapuolia sitovat salassapito- ja tietojenkäsittelyvelvoitteet. Jos käsittelyyn liittyy siirto ETA-alueen ulkopuolelle, käytämme sovellettavia suojatoimia, kuten Euroopan komission vakiosopimuslausekkeita.

Emme myy Google-käyttäjätietoja, käytä niitä mainontaan, luovuta niitä datanvälittäjille tai tiedon jälleenmyyjille, käytä niitä luottokelpoisuuden arviointiin tai luotonantoon emmekä luovuta niitä asiaankuulumattomille kolmansille osapuolille. Emme käytä tai siirrä Google Workspace -rajapinnoista saatuja tietoja yleisten tai personoimattomien tekoäly- tai koneoppimismallien kehittämiseen, parantamiseen tai kouluttamiseen. LAC käyttää ja siirtää Google-rajapinnoista saatuja tietoja Google API Services User Data Policy -käytännön ja sen Limited Use -vaatimusten mukaisesti.

Google-käyttäjätietojen suojaaminen. LAC käyttää HTTPS/TLS-suojausta käyttäjien, LAC:n ja Google-rajapintojen välisessä liikenteessä. Google Cloud salaa tallennetut asiakastiedot levossa. OAuth-tunnisteet säilytetään suojatussa palvelinpuolen tunnistevarastossa. Niitä ei tallenneta käyttäjän selaimeen, asiakkaan työtilaan tai yhteyden tietokantariville. Kirjanpitoaineisto erotetaan asiakaskohtaisiin tietokantoihin ja työtiloihin. Käyttö edellyttää todennettua käyttäjää, käyttöoikeustarkastusta ja vähimmillä oikeuksilla toimivia palvelutunnuksia. LAC käyttää myös toiminnan valvontaa ja tietoturvapoikkeamien käsittelymenettelyjä.

Google-yhteyden poistaminen käytöstä LAC:ssa lopettaa uudet Google-rajapintojen haut. Se ei poista sisältöä Googlesta. Käyttäjä voi erikseen perua LAC:n käyttöoikeuden Google-tilinsä asetuksissa. Kirjanpidon tositteeksi jo kopioitu Google-aineisto voidaan säilyttää osana asiakkaan lakisääteistä kirjanpitoaineistoa ja audit trailia. Muu Google-aineisto ja OAuth-tunnisteet poistetaan tai minimoidaan, kun niitä ei enää tarvita palveluun, tietoturvaan, poikkeamien käsittelyyn, lakisääteisiin velvoitteisiin tai kirjanpitoaineistoon.

Uutiskirje (lisätty 6.7.2026)

Jos tilaat uutiskirjeemme News-sivulla, keräämme sähköpostiosoitteesi uusien artikkelien lähettämistä varten (oikeusperuste: suostumuksesi, 6 art. 1 kohta a alakohta). Käytämme kaksivaiheista vahvistusta: lähetämme vain yhden vahvistusviestin, eikä mitään muuta ennen kuin klikkaat vahvistuslinkkiä. Uutiskirjeet toimittaa Resend (Plus Five Five, Inc., USA), käsittelijämme 28 art. mukaisesti, EU-alueen infrastruktuurista; mahdolliset siirrot ETA-alueen ulkopuolelle on suojattu vakiosopimuslausekkein Resendin tietojenkäsittelysopimuksen mukaisesti. Jokaisessa uutiskirjeessä on peruutuslinkki; peruutus tai poistopyyntö poistaa osoitteesi listalta. Vahvistamattomiin tilauksiin ei lähetetä lisäviestejä.

5. Säilytysaika

Säilytämme ilmoittautumistietoja enintään 24 kuukautta viimeisestä yhteydenotostamme, tai kunnes pyydät meitä poistamaan tiedot — sen mukaan kumpi tulee ensin.

Google-yhteyden ja kirjanpitoaineiston säilytys on kuvattu edellä Google-rajapintatietojen kohdassa.

6. Sinun oikeutesi

Tietosuoja-asetuksen mukaan sinulla on oikeus:

saada tieto sinusta tallennetuista tiedoista (tarkastusoikeus);
saada virheelliset tiedot oikaistuksi;
pyytää tietojesi poistamista ("oikeus tulla unohdetuksi");
rajoittaa käsittelyä;
saada tiedot siirtokelpoisessa muodossa;
vastustaa oikeutettuun etuun perustuvaa käsittelyä;
peruuttaa suostumuksesi milloin tahansa — peruutus ei vaikuta sitä edeltäneeseen käsittelyyn.

Lähetä viesti osoitteeseen hello@lastaccountingcompany.com, niin hoidamme asian — yleensä muutamassa päivässä.

Jos koet, että olemme käsitelleet tietojasi virheellisesti, voit tehdä valituksen tietosuojavaltuutetulle: tietosuoja.fi.

7. Muutokset tähän selosteeseen

Jos teemme olennaisia muutoksia — mitä keräämme, miksi, kenelle näytämme — päivitämme tämän sivun ja yläosan päivämäärän. Päivämäärä kertoo aina voimassa olevan version, joka koskee myös aiemmin lähetettyjä tietoja.