Missä sähköpostilistasi oikeasti sijaitsee — seitsemän tietosuojaselostetta rinnakkain

Sähköpostityökalua valitessa datan sijaintia joko ei ajatella lainkaan tai se oletetaan ratkaistuksi väärään suuntaan. Tavallisin oletus on, että alan työkalut ovat amerikkalaisia. Kävimme läpi seitsemän palvelun omat tietosuojaselosteet 3.9.2026, emmekä hakemistoja tai toisten vertailusivustojen taulukoita, ja tulos on toinen: viisi seitsemästä säilyttää listadatan EU:ssa.

Lyhyt vastaus

EU:ssa: Brevo, GetResponse, Systeme.io, MailerLite ja EmailOctopus. EU:n ulkopuolella: Mailchimp ja ActiveCampaign. Kummankin käyttö on laillista, mutta se vaatii siirtoperusteen ja kirjauksen omaan tietosuojaselosteeseesi.

Seitsemän palvelua rinnakkain

Ensin sama vertailutaulukko kuin muillakin sivuillamme. Sarake Data EU:ssa on tämän sivun kannalta olennaisin, ja se tulee suoraan samasta datasta kuin hinnat — sitä ei kirjoiteta käsin yhdellekään sivulle.

← pyyhkäise →

Hinnat ilman ALV:tä, kuukausilaskutuksella, ellei toisin mainita.* = mainoslinkki

• Hinta on halvimman maksullisen tason kuukausihinta sillä listakoolla. Ilmaistaso-sarake kertoo, milloin sitä ei tarvitse maksaa.
• EmailOctopus ja ActiveCampaign: hinnastossa on vain vuosilaskutuksen kuukausihinta. Kuukausilaskutus maksaa enemmän.
• GetResponse ja ActiveCampaign: pienin myytävä lista on 1 000 kontaktia, joten 500 kontaktin sarakkeessa on sen hinta.

Mitä selosteet sanovat sopimusosapuolesta

Yllä oleva kyllä tai ei ei kerro koko asiaa. Alla se, kenen kanssa teet sopimuksen ja missä data selosteen mukaan on — tämä on se osa, jota vertailutaulukko ei voi tiivistää.

← pyyhkäise →

Luettu palveluiden omista tietosuojaselosteista 3.9.2026: MailerLite, Systeme.io, EmailOctopus ja ActiveCampaign. Brevon (Ranska), GetResponsen (Puola) ja Mailchimpin (Intuit, Yhdysvallat) osalta tieto on luettu samana päivänä palveluiden omista selosteista. Tarkistus toistetaan 90 päivän välein.

Yhtiön kotipaikka ei ole sama asia kuin datan sijainti

Tämä on taulukon tärkein rivi ja se, jonka useimmat vertailut ohittavat. Kaksi kysymystä on eri kysymystä:

• Kenen kanssa teet sopimuksen? Se ratkaisee, minkä maan yhtiö on henkilötietojen käsittelijä ja minkä maan viranomaisten toimivallan piirissä se on.
• Missä palvelimet ovat? Se ratkaisee, siirtyykö data fyysisesti EU:n ulkopuolelle.

Vertailussamme nämä eroavat kahdella palvelulla. EmailOctopusta operoi lontoolainen Three Hearts Digital Ltd, joka on brexitin jälkeen EU:n ulkopuolinen yhtiö — mutta listat ovat AWS:n Irlannin konesalissa ETA-alueella. MailerLitellä on ETA-asiakkaille oma irlantilainen sopimusosapuoli, MailerLite Limited, ja muille asiakkaille erillinen yhdysvaltalainen yhtiö. Kysy siis molemmat kysymykset, älä vain toista.

Mitä tästä pitää kirjata omaan selosteeseesi

Sähköpostityökalu on henkilötietojen käsittelijä, ja se kirjataan omaan tietosuojaselosteeseesi. Jos työkalu siirtää dataa EU:n ulkopuolelle, kirjattavaa on enemmän — ja velvoite tulee suoraan asetuksesta.

Tietosuoja-asetuksen 13 artiklan 1 kohdan f alakohta velvoittaa kertomaan rekisteröidylle kolme asiaa: että aiot siirtää tietoja kolmanteen maahan, onko komissio antanut siitä riittävyyspäätöksen, ja jos siirto perustuu 46 artiklan suojatoimiin, viittauksen niihin sekä siihen mistä niiden jäljennös on saatavilla. Alkuperäinen sanamuoto vaatii tiedon siirrosta ja ”the existence or absence of an adequacy decision by the Commission”.

Käytännössä tämä on muutama rivi. Ero EU-toimijan ja EU:n ulkopuolisen välillä ei siis ole se, että toinen olisi kielletty — se on se, että toinen vaatii sinulta kirjauksen, jonka on oltava oikein ja ajan tasalla. Suomen viranomaisen ohje on samansuuntainen: tietosuojavaltuutetun toimiston mukaan ”henkilötietojen siirroille on lisäksi oltava tietosuoja-asetuksen V luvussa määritelty siirtoperuste” ja ”siirtoperusteen tehokkuus ja täydentävien suojatoimien tarve on arvioitava tapauskohtaisesti”. Luettu 6.9.2026.

Yhdysvaltoihin siirtävät: mitä riittävyyspäätös kattaa

Kahdella vertailemallamme työkalulla data menee Yhdysvaltoihin. Niiden kohdalla ratkaiseva kysymys on, kattaako komission riittävyyspäätös juuri sen yrityksen — ja vastaus ei ole ”kyllä, koska Yhdysvallat”.

Komission täytäntöönpanopäätös (EU) 2023/1795 annettiin 10.7.2023, ja sen 1 artikla rajaa riittävyyden tarkasti: suojan taso on riittävä siirroissa ”to organisations in the United States that are included in the ’Data Privacy Framework List’, maintained and made publicly available by the U.S. Department of Commerce”. Riittävyys ei siis koske Yhdysvaltoja maana vaan yksittäisiä listalle liittyneitä organisaatioita.

Lista on julkinen osoitteessa dataprivacyframework.gov. Emme julkaise tällä sivulla yksittäisten palveluiden listastatusta, ja syy on menetelmällinen: status voi muuttua päivässä, eikä 90 päivän kierroksemme takaa sen ajantasaisuutta. Tarkista se itse ja käytä yrityksen virallista nimeä — palvelu voi olla listalla emoyhtiönsä nimellä, jolloin tuotenimellä haku ei löydä mitään. Jos yritystä ei löydy listalta, siirto tarvitsee tietosuoja-asetuksen 46 artiklan mukaisen suojatoimen — käytännössä komission vakiolausekkeet ja niiden tueksi tehdyn arvioinnin. Miksi näin on ja mitä vakiolausekkeilta vaaditaan: Schrems II ja sähköpostilistan siirto.

Milloin tällä on käytännön merkitystä

Datan sijainti ei ole yhtä tärkeä kaikille, ja se kannattaa sanoa suoraan. Kolme tilannetta, joissa se ratkaisee:

1. Vastaat asiakkaan tietosuojakysymyksiin. Yritysasiakkaan hankintakysely kysyy käsittelijät ja siirrot. EU:ssa säilytettävä data on yhden rivin vastaus; EU:n ulkopuolinen vaatii siirtoperusteen ja sen dokumentoinnin.
2. Käsittelet arkaluonteisia tietoja tai julkishallinnon dataa. Silloin oma organisaatiosi tai asiakkaasi on usein linjannut asian etukäteen.
3. Haluat pitää dokumentaation lyhyenä. Yhden hengen yrityksessä tämä on painavin peruste: jokainen kirjaus, jota ei tarvitse tehdä, on kirjaus jota ei tarvitse pitää ajan tasalla.

Jos mikään näistä ei koske sinua, datan sijainti on yksi kriteeri muiden joukossa — eikä sen takia kannata maksaa kalliimmasta työkalusta. Koko kentän vertailu: paras sähköpostimarkkinointiohjelma.

Mitä tämä sivu ei kerro

Kolme rajausta, jotta lukija tietää mitä tässä on mitattu ja mitä ei.

• Emme ole auditoineet ketään. Kaikki yllä oleva on luettu palveluiden omista tietosuojaselosteista. Seloste on yhtiön oma ilmoitus, ei kolmannen osapuolen varmennus.
• Emme kerro alihankkijoista. Jokaisella palvelulla on omia käsittelijöitään, ja niiden ketju voi ulottua muualle kuin päädatan sijainti. Palveluiden selosteet listaavat ne, ja jos vaatimuksesi on tiukka, ketju on käytävä läpi.
• Emme anna oikeudellista neuvontaa. Kerromme mitä lähteissä lukee ja mistä ne löytyvät. Sen soveltaminen omaan tilanteeseesi on sinun tai lakimiehesi työtä.

Menetelmä kokonaisuudessaan ja se mitä emme arvioi: näin vertailemme. Suostumus, osoitusvelvollisuus ja käsittelysopimus: sähköpostimarkkinointi ja GDPR.