Toilet Map

Updated 13 September 2026. Suomenkielinen versio alempana.

In short

Toilet Map requires no account, shows no ads and contains no analytics or tracking. Your location is never stored on our servers. Two things are personal data, and this policy states them plainly: the e-mail address of a web-version buyer and the anonymous device identifier stored with a rating.

Controller

Cavalier Venues Oy · Business ID 3649639-4 · Helsinki, Finland. Privacy enquiries: support@toilets.fi.

Location

Your location is used for one thing: finding the nearest toilet and computing distances. It is never stored on our servers or linked to your identity.

To run a search, a coarsened location (rounded to roughly 100 metres) goes first to the app's own proxy, which queries OpenStreetMap's Overpass service. Overpass then sees our server's address, not yours. If our own server does not answer, the app queries Overpass directly (overpass-api.de, overpass.kumi.systems), and your IP address reaches them too.

Map tiles are fetched by your browser from CARTO (basemaps.cartocdn.com), so CARTO sees your IP address and the tiles you view. In the iOS app the map is drawn by Apple (MapKit) and place search uses Apple's search service.

In the web version your device keeps, in the browser's localStorage, your last position, the toilets you added yourself, your own ratings and the device identifier; the offline cache keeps search results for at most seven days. These stay on your device and are removed when you clear site data.

Place search

A place name typed into the web version's search box goes to our own server, which resolves it through OpenStreetMap's Nominatim service. Nominatim sees the search term and our server's address — not your IP address. In the iOS app the search is run by Apple's MKLocalSearch, so the term goes to Apple.

Ratings and device identifier

When you rate a toilet, the server stores the rating, the toilet's id and a randomly generated anonymous device identifier (UUID). It exists only so the same device can change its own rating and cannot vote twice. It is not linked to a name, e-mail, Apple ID, IP address or any other identifier, and it is not used to track you across apps or websites. The lawful basis is legitimate interest (GDPR 6(1)(f)): shared ratings do not work without some way to tell one device's repeat vote from another's.

Web licence and e-mail address

The web version at app.toilets.fi sits behind a one-time purchase. When you buy it we store your e-mail address, Paddle's transaction id and the licence status. The address is needed to send the sign-in link and to let you request a new one later. The lawful basis is performance of a contract (GDPR 6(1)(b)).

The sign-in link is sent by e-mail through Resend. The link itself is stored only as a hash (SHA-256); it expires in 15 minutes and works once.

Once signed in, your browser receives a tm_license cookie containing the licence id, an expiry and a signature — not your e-mail address. It lasts 12 months and is strictly necessary to deliver the service, so it requires no consent. No other cookies are set.

Purchases

The one-time iOS purchase is handled by Apple. The app never sees your payment details; it only asks Apple whether the purchase is active.

The web purchase is handled by Paddle, which acts as merchant of record and handles payment and VAT. Your payment details go to Paddle and we never see them. Paddle passes us the buyer's e-mail address so the licence can be issued. Paddle's checkout script loads on the landing page at www.toilets.fi, so your IP address reaches Paddle's content delivery network.

Your own additions and OSM notes

Toilets you add yourself stay on your device. If you explicitly choose to suggest one to OpenStreetMap, the name you typed and the location are sent directly from your device as an anonymous note to OpenStreetMap's public service, so your IP address reaches it too. The note is public and permanent. It is governed by OpenStreetMap's own privacy policy.

Directions

Opening directions sends you to Google Maps in the web version and to Apple Maps in the iOS app. The address includes the coordinates of the selected toilet. From that point that service's own privacy policy applies.

IP address and logs

Our server uses your IP address only to rate-limit requests and prevent abuse. It is not stored in the database and not written to the application's logs. The hosting platform Vercel records requests and their IP addresses in its own logs as part of providing the service.

Services that receive data

Vercel (EU/US) — application server and request logs
Neon (EU) — database: ratings, licences and e-mail addresses
CARTO — map tiles in the web version (IP address, area viewed)
OpenStreetMap / Overpass — toilet searches (coarsened location; IP address only if our own server fails)
OpenStreetMap / Nominatim — place search in the web version (search term, not your IP address)
OpenStreetMap — only if you send a note (name, location, IP address)
Resend (US) — sending the sign-in link (e-mail address)
Paddle (Paddle Payments Ltd, Ireland) — the web purchase (payment details, e-mail address, IP address)
Apple — App Store purchases, maps and place search (iOS only)
Google — only if you open directions in the web version

Retention

Ratings and device identifier — deleted when a rating has not been changed for two years
An active licence and its e-mail address — kept for as long as the licence is valid; a one-time purchase does not expire by itself
A revoked licence — deleted 90 days after revocation (the chargeback window)
Sign-in link hashes — deleted a day after use or expiry
Access cookie — 12 months, on your device

Deletions are carried out by a scheduled cleanup job that runs weekly.

Transfers outside the EU

Resend sends the sign-in e-mail on our behalf and processes in the United States. It is our processor, under its Data Processing Addendum, which incorporates the European Commission's Standard Contractual Clauses (SCC, GDPR 46(2)(c)) as Module Two, controller to processor.

Paddle is not one of these transfers. Our counterparty is Paddle Payments Ltd, registered in Dublin, so the purchase goes to a company inside the EU.

Paddle is not our processor either. As merchant of record it is the seller of the licence and a separate controller of the purchase, which means it decides its own processing and answers for it — the arrangement between us is a Data Sharing Addendum rather than a processing agreement. Where Paddle's own processing involves a transfer out of the EU, that transfer is covered by the Standard Contractual Clauses in that Addendum, Module One, controller to controller.

Your rights

You have the right to access your data, rectify it, request erasure, restrict or object to processing, and to data portability. In practice:

Deleting a rating is something you can do yourself: tap the same star count again and the row is removed.
Resetting the device identifier is done by clearing site data or deleting the app.
Deleting your e-mail address: ask for the licence to be revoked at support@toilets.fi. Revocation ends access to the web version, and the address is deleted 90 days later.

Ratings cannot be connected to you without the device identifier, so an access request for them requires you to supply that identifier. If you believe we process your data unlawfully, you may complain to the Finnish Data Protection Ombudsman.

Changes

The date this policy was last updated is shown at the top. We announce material changes on this page.

Tietosuojaseloste

Päivitetty 13.9.2026.

Lyhyesti

Vessakartta ei vaadi tiliä, ei näytä mainoksia eikä sisällä analytiikkaa tai seurantaa. Sijaintisi ei tallennu palvelimille. Kaksi asiaa on kuitenkin henkilötietoa, ja ne kerrotaan tässä selosteessa täsmällisesti: verkkoversion ostajan sähköpostiosoite ja arvion mukana tallentuva anonyymi laitetunniste.

Rekisterinpitäjä

Cavalier Venues Oy · Y-tunnus 3649639-4 · Helsinki. Yhteydenotot tietosuoja-asioissa: support@toilets.fi.

Sijainti

Sijaintiasi käytetään yhteen asiaan: lähimmän vessan etsimiseen ja etäisyyksien laskemiseen. Sitä ei tallenneta palvelimillemme eikä yhdistetä henkilöllisyyteesi.

Haun suorittamiseksi karkeistettu sijainti (pyöristettynä noin sadan metrin tarkkuuteen) lähetetään ensisijaisesti sovelluksen omalle välityspalvelimelle, joka hakee vessat OpenStreetMapin Overpass-palvelusta. Tällöin Overpass näkee vain palvelimemme osoitteen, ei sinun. Jos oma palvelin ei vastaa, sovellus kysyy vessat suoraan Overpassin palvelimilta (overpass-api.de, overpass.kumi.systems), jolloin myös IP-osoitteesi välittyy niille.

Karttakuvat haetaan selaimeesi CARTO:n palvelimilta (basemaps.cartocdn.com), jolloin CARTO näkee IP-osoitteesi ja katsomasi karttaruudut. iOS-sovelluksessa kartan piirtää Apple (MapKit), ja paikkahaku käyttää Applen hakupalvelua.

Verkkoversiossa laitteellesi jää selaimen localStorageen viimeisin sijaintisi, itse lisäämäsi vessat, omat arviosi ja laitetunniste; offline-välimuistiin jäävät vessahakujen tulokset enintään seitsemäksi vuorokaudeksi. Nämä ovat vain sinun laitteellasi ja poistuvat, kun tyhjennät selaimen tiedot.

Paikkahaku

Verkkoversion hakukenttään kirjoittamasi paikannimi lähetetään omalle palvelimellemme, joka hakee koordinaatit OpenStreetMapin Nominatim-palvelusta. Nominatim näkee hakusanan ja palvelimemme osoitteen — ei IP-osoitettasi. iOS-sovelluksessa haun tekee Applen MKLocalSearch, jolloin hakusana menee Applelle.

Arviot ja laitetunniste

Kun annat vessalle tähtiarvion, palvelimelle tallennetaan arvio, vessan tunniste sekä satunnaisesti luotu anonyymi laitetunniste (UUID). Tunnistetta käytetään vain siihen, että sama laite voi muuttaa omaa arviotaan eikä sama vessa saa moninkertaista ääntä. Sitä ei yhdistetä nimeen, sähköpostiin, Apple-tiliin, IP-osoitteeseen eikä mihinkään muuhun tunnisteeseen, eikä sillä seurata käyttöä sovellusten tai sivustojen välillä. Käsittelyperuste on oikeutettu etu (GDPR 6(1)(f)): jaettu arviotieto ei toimi ilman keinoa erottaa saman laitteen toistuva ääni.

Verkkoversion lisenssi ja sähköpostiosoite

Verkkoversio app.toilets.fi on kertaostoksen takana. Kun ostat sen, tallennamme tietokantaan sähköpostiosoitteesi, Paddlen tapahtumatunnuksen ja lisenssin tilan. Sähköpostiosoite on tarpeen kirjautumislinkin lähettämiseen ja siihen, että voit pyytää uuden linkin myöhemmin. Käsittelyperuste on sopimuksen täyttäminen (GDPR 6(1)(b)).

Kirjautumislinkki lähetetään sähköpostina Resendin kautta. Itse linkki tallennetaan tietokantaan vain tiivisteenä (SHA-256), se vanhenee 15 minuutissa ja toimii yhden kerran.

Kun olet kirjautunut, selaimeesi asetetaan eväste tm_license, joka sisältää lisenssin tunnisteen, vanhentumisajan ja allekirjoituksen — ei sähköpostiosoitettasi. Eväste on voimassa 12 kuukautta ja on välttämätön palvelun toimittamiseksi, joten se ei vaadi suostumusta. Muita evästeitä ei aseteta.

Ostot

iOS-sovelluksen kertaostoksen käsittelee Apple. Sovellus ei näe maksutietojasi; se kysyy Applelta ainoastaan, onko osto voimassa.

Verkkoversion ostoksen käsittelee Paddle, joka toimii myyjänä (merchant of record) ja hoitaa maksun sekä arvonlisäveron. Maksutietosi menevät Paddlelle emmekä me näe niitä. Paddle välittää meille ostajan sähköpostiosoitteen, jotta lisenssi voidaan myöntää. Paddlen oma checkout-skripti latautuu laskeutumissivulla www.toilets.fi, jolloin IP-osoitteesi välittyy Paddlen sisällönjakeluverkolle.

Omat lisäykset ja OSM-ehdotukset

Itse lisäämäsi vessat säilyvät vain omalla laitteellasi. Jos valitset erikseen ehdotuksen lähettämisen OpenStreetMapiin, kirjoittamasi nimi ja sijainti lähetetään suoraan laitteeltasi nimettömänä ilmoituksena OpenStreetMapin julkiseen palveluun, jolloin myös IP-osoitteesi välittyy sinne. Ilmoitus on julkinen ja pysyvä. Käsittelyä koskee OpenStreetMapin oma tietosuojakäytäntö.

Reittiohjeet

Kun avaat reittiohjeen, verkkoversio siirtää sinut Google Mapsiin ja iOS-sovellus Applen Karttoihin. Osoitteessa on mukana valitun vessan koordinaatit. Sen jälkeen käsittelyä koskee kyseisen palvelun oma tietosuojakäytäntö.

IP-osoite ja lokit

Palvelimemme käyttää IP-osoitetta ainoastaan pyyntömäärän rajoittamiseen väärinkäytön estämiseksi. Sitä ei tallenneta tietokantaan eikä kirjoiteta sovelluksen lokeihin. Palvelinalusta Vercel kirjaa pyynnöt ja niiden IP-osoitteet omiin lokeihinsa osana palvelun tuottamista.

Palvelut, joille tietoa välittyy

Vercel (EU/US) — sovelluksen palvelin ja pyyntölokit
Neon (EU) — tietokanta: arviot, lisenssit ja sähköpostiosoitteet
CARTO — karttakuvat verkkoversiossa (IP-osoite, katsottu alue)
OpenStreetMap / Overpass — vessahaut (karkeistettu sijainti; IP-osoite vain jos oma palvelimemme ei vastaa)
OpenStreetMap / Nominatim — paikkahaku verkkoversiossa (hakusana, ei IP-osoitettasi)
OpenStreetMap — vain jos lähetät ehdotuksen (nimi, sijainti, IP-osoite)
Resend (US) — kirjautumislinkin lähettäminen (sähköpostiosoite)
Paddle (Paddle Payments Ltd, Irlanti) — verkkoversion osto (maksutiedot, sähköpostiosoite, IP-osoite)
Apple — sovelluskaupan ostot, kartat ja paikkahaku (vain iOS)
Google — vain jos avaat reittiohjeen verkkoversiossa

Säilytysajat

Arviot ja laitetunniste — poistetaan, kun arviota ei ole muutettu kahteen vuoteen
Voimassa oleva lisenssi ja sen sähköpostiosoite — säilytetään niin kauan kuin lisenssi on voimassa; kertaosto ei vanhene itsestään
Peruutettu lisenssi — poistetaan 90 vuorokauden kuluttua peruutuksesta (maksunpalautusten takaraja)
Kirjautumislinkkien tiivisteet — poistetaan vuorokauden kuluttua käytöstä tai vanhenemisesta
Pääsyeväste — 12 kuukautta, laitteellasi

Poistot tekee ajastettu siivoustyö, joka ajetaan viikoittain.

Siirrot EU:n ulkopuolelle

Resend lähettää kirjautumisviestin puolestamme ja käsittelee tiedot Yhdysvalloissa. Se on käsittelijämme, ja suhdetta koskee sen tietojenkäsittelylisäys (Data Processing Addendum), johon sisältyvät Euroopan komission hyväksymät vakiosopimuslausekkeet (SCC, GDPR 46(2)(c)) moduulin 2 mukaan, rekisterinpitäjältä käsittelijälle.

Paddle ei ole näitä siirtoja. Vastapuolemme on Dublinissa rekisteröity Paddle Payments Ltd, joten osto menee EU:n sisällä olevalle yhtiölle.

Paddle ei ole myöskään käsittelijämme. Se on myyntitilittäjänä (merchant of record) lisenssin myyjä ja oston osalta itsenäinen rekisterinpitäjä, eli se päättää omasta käsittelystään ja vastaa siitä — välillämme oleva sopimus on tietojenjakolisäys (Data Sharing Addendum) eikä käsittelysopimus. Jos Paddlen oma käsittely sisältää siirron EU:n ulkopuolelle, sitä koskevat kyseisen lisäyksen vakiosopimuslausekkeet moduulin 1 mukaan, rekisterinpitäjältä rekisterinpitäjälle.

Oikeutesi

Sinulla on oikeus saada pääsy tietoihisi, oikaista ne, pyytää niiden poistamista, rajoittaa tai vastustaa käsittelyä sekä siirtää tiedot järjestelmästä toiseen. Käytännössä:

Arvion poisto onnistuu itse: napauta samaa tähtimäärää uudelleen, jolloin rivi poistetaan tietokannasta.
Laitetunnisteen nollaus onnistuu tyhjentämällä selaimen tiedot tai poistamalla sovellus.
Sähköpostiosoitteen poisto: pyydä lisenssin peruuttamista osoitteesta support@toilets.fi. Peruutus päättää pääsyn verkkoversioon, ja osoite poistetaan 90 vuorokauden kuluttua.

Arvioita ei voida yhdistää sinuun ilman laitetunnistetta, joten pääsypyyntö niihin edellyttää, että kerrot tunnisteen itse. Jos katsot, että käsittelemme tietojasi lainvastaisesti, voit tehdä valituksen tietosuojavaltuutetun toimistolle.

Muutokset

Selosteen päivityspäivä näkyy sivun yläreunassa. Olennaisista muutoksista kerromme tällä sivulla.

← Back to the map · Takaisin karttaan