Perjanjian Pemrosesan Data

Para Pihak

Perjanjian ini dibuat antara pelanggan yang berlangganan layanan BizConnect.id yang di-hosting (Pelanggan), selaku Pengendali Data Pribadi, dan Aiconec (Prosesor), selaku Prosesor Data Pribadi. Perjanjian ini merupakan bagian dari perjanjian antara Pelanggan dan Prosesor untuk layanan BizConnect.id yang di-hosting.

1. Definisi

• Data PribadiData tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi, sebagaimana didefinisikan dalam UU PDP.
• Subjek Data PribadiOrang perseorangan yang pada dirinya melekat Data Pribadi.
• PemrosesanSetiap tindakan terhadap Data Pribadi, termasuk pengumpulan, penyimpanan, penggunaan, transfer, dan penghapusan.
• PengendaliPelanggan, yang menentukan tujuan dan cara Pemrosesan.
• ProsesorAiconec, yang memproses Data Pribadi atas nama Pelanggan.
• SubprosesorPihak ketiga yang ditunjuk Prosesor untuk memproses Data Pribadi dalam rangka Layanan.
• LayananLayanan BizConnect.id yang di-hosting.
• WorkspaceSitus ERP milik Pelanggan pada Layanan, termasuk database dan file-nya.
• Halaman KeamananUraian langkah teknis dan organisatoris Prosesor yang dipublikasikan di /security.

2. Ruang lingkup dan tujuan

Prosesor memproses Data Pribadi hanya berdasarkan instruksi terdokumentasi dari Pelanggan dan hanya untuk menyediakan, memelihara, dan mendukung Layanan. Penggunaan Layanan oleh Pelanggan, beserta konfigurasi Workspace-nya, merupakan instruksi Pelanggan.

Prosesor tidak memproses Data Pribadi untuk kepentingannya sendiri.

3. Kategori data dan Subjek Data Pribadi

Pelanggan menentukan Data Pribadi apa yang dimasukkan ke dalam Workspace. Pada umumnya meliputi:

• Subjek Data PribadiKaryawan, pelanggan, dan pemasok dari Pelanggan, beserta narahubungnya.
• Kategori dataIdentitas dan data kontak, data kepegawaian dan penggajian, serta catatan transaksi dengan pelanggan dan pemasok.

4. Jangka waktu

Perjanjian ini berlaku selama masa langganan Pelanggan dan setelahnya selama Prosesor masih menyimpan Data Pribadi berdasarkan Pasal 11.

5. Kewajiban Prosesor

Prosesor wajib:

• memproses Data Pribadi hanya berdasarkan instruksi Pelanggan, dan memberi tahu Pelanggan apabila menurut Prosesor suatu instruksi bertentangan dengan UU PDP;
• menjaga kerahasiaan Data Pribadi, dan memastikan setiap personel yang memiliki akses terikat kewajiban kerahasiaan;
• menerapkan langkah keamanan teknis dan organisatoris sebagaimana diuraikan pada Halaman Keamanan;
• tidak memproses Data Pribadi melampaui apa yang diperlukan oleh Layanan;
• membantu Pelanggan memenuhi kewajibannya sendiri berdasarkan UU PDP, dalam batas Pasal 7 sampai 9.

6. Subprosesor

Pelanggan memberikan persetujuan kepada Prosesor untuk menggunakan Subprosesor yang tercantum pada Halaman Keamanan. Pada tanggal versi ini, Subprosesor tersebut adalah:

• RailwayHosting dan object storage — Singapura
• MidtransPemrosesan pembayaran — Indonesia
• Google WorkspaceEmail transaksional
• Penyedia model AIHanya bila Pelanggan mengaktifkan add-on AI Assistant (opsional)
• Layanan akses pintu Kuncie / AiconecHanya bila Pelanggan mengaktifkan aplikasi Office Lounge (opsional)

Prosesor memberikan pemberitahuan tertulis kepada Pelanggan 30 hari sebelum menambah atau mengganti Subprosesor. Pelanggan dapat mengajukan keberatan secara tertulis dalam jangka waktu tersebut. Apabila keberatan tidak dapat diselesaikan, Pelanggan dapat mengakhiri langganan yang terdampak sebelum perubahan berlaku. Prosesor tetap bertanggung jawab kepada Pelanggan atas kinerja Subprosesornya.

7. Permintaan Subjek Data Pribadi

Subjek Data Pribadi menyampaikan permintaannya kepada Pelanggan selaku Pengendali. Apabila suatu permintaan diterima Prosesor, Prosesor meneruskannya kepada Pelanggan tanpa menjawab substansinya.

Prosesor membantu Pelanggan menanggapi permintaan Subjek Data Pribadi dalam waktu 7 hari kerja sejak Pelanggan meminta bantuan tersebut.

8. Kegagalan pelindungan Data Pribadi

Prosesor memberitahukan kepada Pelanggan setiap kegagalan pelindungan Data Pribadi yang memengaruhi Workspace paling lambat 3 × 24 jam sejak Prosesor mengetahuinya, sebagaimana disyaratkan UU PDP. Pemberitahuan tersebut memuat informasi yang diperlukan Pelanggan untuk pemberitahuannya sendiri kepada Subjek Data Pribadi dan kepada lembaga yang berwenang:

• Data Pribadi yang terungkap, dan Subjek Data Pribadi yang terdampak;
• kapan dan bagaimana kegagalan tersebut terjadi;
• upaya penanganan dan pemulihan yang telah dilakukan;
• narahubung di pihak Prosesor.

Apabila belum seluruh informasi tersebut diketahui dalam jangka waktu itu, Prosesor menyampaikan informasi yang sudah ada dan melengkapinya begitu fakta menjadi jelas.

9. Audit

Sekali dalam setiap periode 12 bulan, dengan pemberitahuan tertulis 30 hari sebelumnya, Pelanggan dapat mengaudit kepatuhan Prosesor terhadap perjanjian ini, atau menunjuk auditor independen yang terikat kewajiban kerahasiaan untuk melakukannya. Prosesor dapat memenuhi permintaan tersebut dengan laporan tertulis yang menguraikan kepatuhannya. Audit dilakukan pada jam kerja dan tanpa mengganggu Layanan bagi pelanggan lain.

10. Transfer internasional

Layanan menyimpan Data Pribadi di Singapura (lihat "Di mana data Anda tersimpan" pada Halaman Keamanan). Dengan menggunakan Layanan, Pelanggan menginstruksikan Prosesor untuk mentransfer Data Pribadi ke luar wilayah Indonesia untuk tujuan tersebut, dan mengakui bahwa transfer dilakukan dengan memenuhi ketentuan Pasal 56 UU PDP.

Instalasi on-premise tersedia, dengan kontrak terpisah, bagi Pelanggan yang memerlukan datanya tetap berada di Indonesia.

11. Pengembalian dan penghapusan

Pelanggan dapat mengekspor datanya dari Workspace kapan saja selama masa langganan.

Setelah langganan dibatalkan, Workspace disimpan selama masa retensi platform, secara bawaan 30 hari, agar Pelanggan masih dapat mengekspor datanya. Pelanggan dapat meminta penghapusan lebih awal.

Setelah masa retensi berakhir, Workspace beserta file-nya dihapus. Satu backup akhir disimpan dan dihapus 180 hari setelah Workspace dihapus.

Backup yang dibuat selama masa langganan kedaluwarsa sesuai masa simpan backup 30 hari sebagaimana diuraikan dalam Perjanjian Tingkat Layanan.

12. Tanggung jawab

Total tanggung jawab masing-masing pihak kepada pihak lainnya berdasarkan perjanjian ini dibatasi sebesar biaya yang dibayarkan Pelanggan untuk Layanan dalam 12 bulan sebelum peristiwa yang menimbulkan klaim. Batasan ini tidak berlaku untuk tanggung jawab yang timbul dari kesengajaan (wilful misconduct).

13. Hukum yang berlaku dan penyelesaian sengketa

Perjanjian ini tunduk pada hukum Republik Indonesia. Sengketa yang tidak dapat diselesaikan secara musyawarah diajukan ke pengadilan yang berwenang di Jakarta.

14. Bahasa dan urutan keberlakuan

Perjanjian ini dibuat dalam bahasa Indonesia dan bahasa Inggris. Versi bahasa Indonesia mengikat; versi bahasa Inggris disediakan untuk kemudahan. Bila terdapat perbedaan, teks bahasa Indonesia yang berlaku.