Perjanjian Pemrosesan Data

Daftar Isi

1. 1. Ruang lingkup, peran, dan definisi
2. 2. Rincian Pemrosesan
3. 3. Instruksi Pelanggan
4. 4. Kerahasiaan orang yang berwenang
5. 5. Langkah-langkah keamanan
6. 6. Sub-prosesor
7. 7. Lokasi data dan transfer internasional
8. 8. Bantuan terkait permintaan Subjek Data
9. 9. Pemberitahuan Pelanggaran Data Pribadi
10. 10. Penilaian dampak dan konsultasi dengan regulator
11. 11. Informasi dan audit
12. 12. Pengembalian dan penghapusan data
13. 13. Permintaan pemerintah
14. 14. Tanggung jawab
15. 15. Jangka waktu dan keutamaan
16. 16. Kontak pelindungan data dan catatan pemrosesan
17. Lampiran 1: Rincian Pemrosesan
18. Lampiran 2: Langkah-langkah teknis dan organisasi
19. Lampiran 3: Sub-prosesor

Versi: 1.2 · Diterbitkan: 16 Oktober 2026 · Berlaku: sejak persetujuan untuk Ruang Kerja baru; untuk Ruang Kerja yang telah menyetujui Versi sebelumnya, pada tanggal yang diberikan STAK dalam pemberitahuannya berdasarkan Pasal 20 Ketentuan Layanan Pelanggan · Teks yang berlaku: Bahasa Inggris (Pasal 23.9 Ketentuan Layanan Pelanggan)

Diterbitkan oleh: STAK Global, LLC, sebuah perusahaan dengan tanggung jawab terbatas (limited liability company) yang dibentuk di Negara Bagian Delaware, Amerika Serikat (nomor berkas 10798493), yang memiliki STAK (ستاك) dan Layanan. Kontak: [email protected].

1. Ruang lingkup, peran, dan definisi

1.1 Perjanjian Pemrosesan Data ini merupakan bagian yang tidak terpisahkan dari Perjanjian berdasarkan Pasal 3.1 Ketentuan Layanan Pelanggan STAK (“Ketentuan”). Perjanjian ini mengatur Pemrosesan Data Pribadi Pelanggan oleh STAK. Istilah yang didefinisikan dalam Ketentuan memiliki arti yang sama dalam Perjanjian Pemrosesan Data ini.

1.2 Pelanggan adalah Pengendali Data Pribadi Pelanggan, dan STAK adalah Prosesor yang memprosesnya atas nama Pelanggan dan berdasarkan instruksinya.

• Pengendali dan Prosesor berarti padanannya berdasarkan Hukum Pelindungan Data yang Berlaku, seperti entitas pengendali dan entitas pemroses di Kerajaan Arab Saudi.
• Jika Pelanggan memproses data tersebut sebagai prosesor atas nama pengendali lain, STAK memprosesnya sebagai prosesor yang bertindak untuk Pelanggan, dan bukan Sub-prosesor dalam arti Pasal 1.3. Pelanggan memastikan bahwa instruksinya konsisten dengan instruksi pengendali tersebut.
• STAK memproses Data Akun sebagai Pengendali, sebagaimana dijelaskan dalam Kebijakan Privasi, dan Perjanjian Pemrosesan Data ini tidak berlaku untuknya. Rujukan ini maupun rujukan dalam Lampiran 3 tidak menimbulkan kewajiban kontraktual berdasarkan Pasal 3.2 Ketentuan.

1.3 Istilah berikut memiliki arti yang diberikan di samping masing-masing:

• Data Pribadi Pelanggan: Data Pribadi yang terdapat dalam Data Pelanggan, termasuk data tentang Pelanggan Akhir, karyawan, pemasok, dan Pengguna milik Pelanggan, selain Data Akun.
• Data Pribadi Sensitif: data kesehatan dan klinis, dan data apa pun yang diklasifikasikan sebagai sensitif oleh Hukum Pelindungan Data yang Berlaku.
• Pemrosesan: setiap operasi yang dilakukan terhadap Data Pribadi, seperti mengumpulkan, mencatat, menyimpan, mengambil, menggunakan, mengungkapkan, mentransfer, dan menghapusnya.
• Sub-prosesor: setiap pihak yang ditunjuk STAK untuk memproses Data Pribadi Pelanggan dalam rangka menyediakan Layanan.
• Subjek Data: orang perseorangan yang pada dirinya melekat Data Pribadi.
• Insiden Keamanan: setiap peristiwa yang mengancam, atau diduga mengancam, kerahasiaan, integritas, atau ketersediaan Layanan.
• Pelanggaran Data Pribadi: setiap pelanggaran keamanan yang menyebabkan penghancuran, kehilangan, atau perubahan yang tidak disengaja atau melanggar hukum atas, atau pengungkapan atau akses tanpa izin terhadap, Data Pribadi Pelanggan.
• Cadangan: setiap salinan Data Pelanggan yang dibuat untuk keperluan pemulihan, berdasarkan Pasal 12.3 dan Lampiran 2.
• Lingkungan Produksi: sistem dan basis data tempat Layanan berjalan dan yang digunakan Pelanggan, tidak termasuk Cadangan.
• Hukum Pelindungan Data yang Berlaku: peraturan perundang-undangan pelindungan data pribadi yang berlaku atas Pemrosesan, masing-masing sebagaimana berlaku, termasuk yang berikut:
  • di Negara Kuwait: Undang-Undang Nomor 20 Tahun 2014 tentang Transaksi Elektronik, serta Peraturan Pelindungan Privasi Data, Kerangka Regulasi Komputasi Awan, dan Kebijakan Klasifikasi Data yang diterbitkan oleh Otoritas Regulasi Komunikasi dan Teknologi Informasi, masing-masing dalam lingkupnya sendiri;
  • Undang-Undang Pelindungan Data Pribadi Kerajaan Arab Saudi, yang diterbitkan dengan Dekret Kerajaan Nomor (M/19) tanggal 9/2/1443 H, sebagaimana diubah, Peraturan Pelaksanaannya, dan Peraturan tentang Transfer Data Pribadi ke luar Kerajaan;
  • di Uni Emirat Arab: Dekret-Undang-Undang Federal Nomor (45) Tahun 2021 tentang Pelindungan Data Pribadi, Undang-Undang Federal Nomor (2) Tahun 2019 tentang Penggunaan Teknologi Informasi dan Komunikasi di Bidang Kesehatan, serta undang-undang pelindungan data Dubai International Financial Centre dan Abu Dhabi Global Market bagi pihak yang tunduk padanya;
  • Undang-Undang Nomor (30) Tahun 2018 tentang Penerbitan Undang-Undang Pelindungan Data Pribadi Kerajaan Bahrain;
  • Undang-Undang Nomor (13) Tahun 2016 tentang Pelindungan Privasi Data Pribadi Negara Qatar;
  • Undang-Undang Pelindungan Data Pribadi yang diterbitkan dengan Dekret Kerajaan Nomor (6/2022) Kesultanan Oman;
  • Peraturan Umum Pelindungan Data Uni Eropa (Regulasi (UE) 2016/679), jika berlaku bagi Pelanggan;
  • Peraturan Umum Pelindungan Data Britania Raya dan Data Protection Act 2018; Undang-Undang Federal Swiss tentang Pelindungan Data; California Consumer Privacy Act sebagaimana diubah, dan undang-undang privasi negara bagian komprehensif lainnya di Amerika Serikat; Personal Information Protection and Electronic Documents Act Kanada dan undang-undang provinsi; Lei Geral de Proteção de Dados Brasil (Undang-Undang Nomor 13.709/2018); Digital Personal Data Protection Act, 2023 India; Undang-Undang Nomor 6698 Turki tentang Pelindungan Data Pribadi; Undang-Undang Nomor 151 Tahun 2020 Mesir; Protection of Personal Information Act, 2013 Afrika Selatan; Personal Data Protection Act 2012 Singapura; Privacy Act 1988 Australia; dan undang-undang pelindungan data pribadi lainnya yang berlaku atas Pemrosesan.

2. Rincian Pemrosesan

Lampiran 1 menetapkan pokok bahasan, jangka waktu, sifat, dan tujuan Pemrosesan, kategori Subjek Data, dan kategori Data Pribadi.

3. Instruksi Pelanggan

3.1 STAK memproses Data Pribadi Pelanggan hanya atas instruksi Pelanggan yang terdokumentasi. Instruksi tersebut adalah:

• Perjanjian;
• pengaturan Ruang Kerja;
• tindakan yang dilakukan Pengguna di dalam Layanan;
• instruksi tertulis lain mana pun yang disepakati Para Pihak.

3.2 STAK dapat memproses data di luar instruksi tersebut jika Hukum yang Berlaku mewajibkannya. STAK memberitahukan Pelanggan terlebih dahulu kecuali hukum melarang pemberitahuan.

3.3 STAK memberitahukan Pelanggan jika STAK menilai bahwa suatu instruksi melanggar Hukum Pelindungan Data yang Berlaku. STAK dapat menolak melaksanakan instruksi tersebut sampai Pelanggan mengubahnya untuk menghilangkan pelanggaran, atau menegaskannya secara tertulis disertai pernyataan dasar hukumnya yang secara wajar diterima STAK.

3.4 Pelanggan bertanggung jawab atas keabsahan instruksinya dan atas kepemilikan dasar hukum yang sah untuk mengumpulkan dan memproses Data Pribadi Pelanggan. Hal ini mencakup memberi tahu Subjek Data dan memperoleh persetujuan mereka jika diperlukan, termasuk persetujuan atas transfer data mereka berdasarkan Pasal 7.

4. Kerahasiaan orang yang berwenang

STAK membatasi akses ke Data Pribadi Pelanggan hanya kepada karyawan dan kontraktor yang membutuhkannya untuk pekerjaan mereka, dan mengikat mereka pada kerahasiaan. Karyawan dan kontraktor STAK mengakses Data Pelanggan hanya dalam hal-hal berikut, dan dimulainya setiap akses semacam itu ke Lingkungan Produksi dicatat dalam log:

• (a) untuk memberikan dukungan yang diminta Pelanggan;
• (b) untuk mengoperasikan dan memelihara Layanan serta memulihkannya dari Cadangan;
• (c) untuk menyelidiki Insiden Keamanan atau dugaan pelanggaran terhadap Kebijakan Penggunaan yang Dapat Diterima;
• (d) jika hukum mewajibkannya.

5. Langkah-langkah keamanan

5.1 STAK menerapkan langkah-langkah teknis dan organisasi yang sesuai untuk melindungi Data Pribadi Pelanggan, dengan memperhatikan sifat dan risiko Pemrosesan. Langkah-langkah tersebut mencakup sekurang-kurangnya langkah-langkah dalam Lampiran 2.

5.2 STAK dapat memperbarui langkah-langkah tersebut, dengan syarat tingkat pelindungan secara keseluruhan tidak menurun.

5.3 Pelanggan bertanggung jawab atas langkah-langkah keamanan yang berada di bawah kendalinya sendiri, seperti mengelola Pengguna dan hak akses, mengaktifkan verifikasi dua langkah, mengamankan perangkat dan peralatannya, serta menjaga keamanan data yang diekspornya.

6. Sub-prosesor

6.1 Pelanggan memberi wewenang kepada STAK untuk menunjuk Sub-prosesor yang tercantum dalam Lampiran 3.

6.2 STAK wajib membuat kontrak tertulis dengan setiap Sub-prosesor. Kontrak tersebut wajib membebankan kewajiban pelindungan data yang memberikan tingkat pelindungan yang sesuai dengan Pemrosesan dan secara substansial setara dengan Perjanjian Pemrosesan Data ini. STAK tetap bertanggung jawab kepada Pelanggan atas pelaksanaan kewajiban Sub-prosesornya.

6.3 STAK memberitahukan Pelanggan tentang setiap Sub-prosesor baru sekurang-kurangnya 30 hari sebelum Sub-prosesor itu mulai memproses Data Pribadi Pelanggan, di dalam Layanan atau melalui email.

6.4 Selama jangka waktu pemberitahuan, Pelanggan dapat menyampaikan keberatan secara tertulis terhadap Sub-prosesor baru dengan alasan pelindungan data yang wajar. Jika Para Pihak tidak dapat menyepakati solusi, Pelanggan dapat mengakhiri langganan yang terdampak, atau Perjanjian, sebelum Pemrosesan dimulai dan menerima pengembalian Biaya yang dibayar di muka untuk sisa periode.

6.5 Penyedia Terhubung yang dihubungkan Pelanggan melalui akunnya sendiri bukan Sub-prosesor STAK. Penyedia tersebut mencakup Penyedia Layanan Pembayaran, Meta sehubungan dengan akun WhatsApp Business milik Pelanggan sendiri, dan platform pengantaran. Pengiriman data kepada mereka atas instruksi Pelanggan merupakan transfer yang dilakukan atas arahan dan atas nama Pelanggan.

6.6 Data dikirim kepada penyedia Fitur AI hanya ketika Pengguna meminta salah satu fitur tersebut, ketika Pengguna mengunggah dokumen untuk dibaca oleh salah satu fitur tersebut, seperti struk, atau ketika otomatisasi yang disiapkan Pengguna menjalankan langkah yang menggunakan AI, dan hanya data yang diperlukan untuk melaksanakan permintaan atau langkah tersebut yang dikirim. Penyedia tidak boleh menggunakannya untuk melatih modelnya. Data Pribadi Sensitif dikirim kepadanya hanya jika permintaan atau langkah itu sendiri memuatnya.

7. Lokasi data dan transfer internasional

7.1 Layanan dihosting, dan Data Pribadi Pelanggan terutama disimpan, di Lingkungan Produksi Amazon Web Services di wilayah Frankfurt, di Republik Federal Jerman. Cadangan disimpan di wilayah yang sama, dan salinannya dibuat ke wilayah Amazon Web Services terpisah di Republik Irlandia.

7.2 Pelanggan mengakui hal-hal berikut, dan secara tegas mengizinkan transfer yang dihasilkannya:

• (a) hosting dilakukan di Uni Eropa, yang mungkin berada di luar negara tempat Pelanggan berkedudukan atau menjalankan usaha;
• (b) Cloudflare memproses lalu lintas jaringan melalui jaringan globalnya setiap saat;
• (c) Sub-prosesor lain yang tercantum dalam Lampiran 3 memproses data di negara lain, termasuk Amerika Serikat, hanya ketika layanan yang bersangkutan digunakan;
• (d) karyawan STAK dapat mengakses data dari Negara Kuwait, hanya dalam hal-hal yang diatur dalam Pasal 4.

7.3 Untuk transfer Data Pribadi Pelanggan ke luar negara tempat data itu dikumpulkan, STAK menerapkan pengamanan berikut:

• (a) kontrak yang dimaksud dalam Pasal 6.2, termasuk klausul kontrak standar yang dimiliki STAK dengan Sub-prosesor di luar Uni Eropa;
• (b) enkripsi saat transit dan saat disimpan;
• (c) mekanisme transfer yang diakui oleh Hukum Pelindungan Data yang Berlaku jika hukum itu mewajibkannya, termasuk yang tercantum dalam Pasal 7.6.

7.4 Pelanggan wajib memperoleh persetujuan atau izin apa pun yang diwajibkan oleh hukum negaranya untuk mentransfer Data Pribadi Pelanggan ke luar negara tersebut, baik dari regulator maupun dari Subjek Data. STAK memberikan informasi yang diperlukan untuk itu atas permintaan.

7.5 STAK dapat memindahkan hosting utama atau Cadangan ke wilayah lain setelah memberitahukan Pelanggan sekurang-kurangnya 30 hari sebelumnya, dan Pelanggan dapat berkeberatan berdasarkan Pasal 6.4, dengan pengakhiran apa pun berdasarkan pasal tersebut berlaku sebelum tanggal pemindahan. Menjalankan Layanan sementara dari Cadangan di Republik Irlandia setelah hilangnya wilayah hosting utama bukan pemindahan berdasarkan pasal ini, dan STAK memberitahukan Pelanggan tentang hal itu tanpa penundaan.

7.6 Mekanisme transfer yang diwajibkan oleh hukum: tanpa memengaruhi Pasal 7.4:

• (a) Jika Peraturan Umum Pelindungan Data Uni Eropa berlaku bagi Pelanggan, klausul kontrak standar yang diadopsi dengan Keputusan Pelaksanaan Komisi Eropa (UE) 2021/914 (“SCC UE”) dimasukkan ke dalam Perjanjian Pemrosesan Data ini melalui rujukan: Modul Dua (pengendali ke prosesor) jika Pelanggan adalah pengendali, dan Modul Tiga (prosesor ke prosesor) jika Pelanggan memproses data untuk pengendali lain. Pelanggan adalah pengekspor data dan STAK adalah pengimpor data. Klausul 7 (klausul penyambungan) berlaku. Berdasarkan Klausul 9(a), Opsi 2 (otorisasi tertulis umum) berlaku, dengan jangka waktu pemberitahuan dalam Pasal 6.3. Rumusan opsional dalam Klausul 11(a) tidak berlaku. Berdasarkan Klausul 17 dan 18, hukum dan pengadilan Republik Irlandia berlaku. Otoritas pengawas yang berwenang ditentukan berdasarkan Klausul 13. Lampirannya dilengkapi dengan Lampiran 1, 2, dan 3. SCC UE tersebut didahulukan atas Perjanjian jika keduanya bertentangan.
• (b) Jika Undang-Undang Pelindungan Data Pribadi Kerajaan Arab Saudi berlaku bagi Pelanggan, Klausul Kontrak Standar untuk Transfer Data Pribadi yang diterbitkan oleh Saudi Data and Artificial Intelligence Authority, Templat Kedua (pengendali ke prosesor), dimasukkan ke dalam Perjanjian Pemrosesan Data ini melalui rujukan. Pelanggan adalah pengekspor data dan STAK adalah pengimpor data, dan apendiksnya dilengkapi dengan Lampiran 1, 2, dan 3. STAK memberikan kepada Pelanggan informasi yang dibutuhkannya untuk penilaian risiko transfer yang wajib dilakukannya berdasarkan Peraturan tentang Transfer Data Pribadi ke luar Kerajaan. Klausul tersebut didahulukan atas Perjanjian jika keduanya bertentangan.
• (c) Jika Dekret-Undang-Undang Federal Nomor (45) Tahun 2021 Uni Emirat Arab berlaku bagi Pelanggan, STAK menerapkan pada data yang ditransfer ketentuan, langkah, dan kontrol dari undang-undang tersebut, sejauh berlaku bagi prosesor.
• (d) Jika Peraturan Umum Pelindungan Data Britania Raya berlaku bagi Pelanggan, International Data Transfer Addendum terhadap SCC UE yang diterbitkan oleh UK Information Commissioner (versi B1.0, berlaku sejak 21 Maret 2022, sebagaimana diubah kemudian) dimasukkan melalui rujukan. Tabel 1 sampai 3 dilengkapi dengan rincian Para Pihak dalam Perjanjian dan Lampiran 1 sampai 3. Untuk Tabel 4, salah satu Pihak dapat mengakhiri Addendum sebagaimana diizinkan Bagian 19-nya.
• (e) Jika Undang-Undang Federal Swiss tentang Pelindungan Data berlaku bagi Pelanggan, SCC UE berlaku dengan perubahan berikut: Komisioner Pelindungan Data dan Informasi Federal Swiss adalah otoritas pengawas yang berwenang untuk transfer yang diatur oleh undang-undang tersebut; rujukan pada GDPR mencakup undang-undang tersebut; dan “Negara Anggota” dibaca sedemikian rupa sehingga subjek data di Swiss dapat mengajukan klaim di Swiss.
• (f) Jika Hukum Pelindungan Data yang Berlaku lainnya mewajibkan instrumen transfer tertentu, seperti klausul kontrak standar otoritas pelindungan data nasional Brasil atau kontrak standar berdasarkan Undang-Undang Nomor 6698 Turki, STAK menandatangani atau memasukkan instrumen tersebut atas permintaan Pelanggan, dengan rinciannya dilengkapi dari Lampiran 1 sampai 3.
• (g) Jika California Consumer Privacy Act atau undang-undang privasi negara bagian Amerika Serikat yang serupa berlaku, STAK bertindak sebagai penyedia layanan, kontraktor, atau prosesor bagi Pelanggan. STAK tidak menjual atau membagikan Data Pribadi Pelanggan. STAK tidak menyimpan, menggunakan, atau mengungkapkannya untuk tujuan apa pun selain menyediakan Layanan berdasarkan Perjanjian, atau di luar hubungan bisnis langsung dengan Pelanggan. STAK tidak menggabungkannya dengan informasi pribadi dari sumber lain kecuali sebagaimana diizinkan undang-undang tersebut. STAK mematuhi undang-undang tersebut dan memberikan tingkat pelindungan privasi yang sama seperti yang diwajibkannya. STAK memberi tahu Pelanggan jika STAK tidak lagi dapat memenuhi kewajiban ini. Pelanggan dapat mengambil langkah-langkah yang wajar untuk menghentikan dan memperbaiki penggunaan tanpa izin apa pun. STAK menyatakan bahwa STAK memahami pembatasan ini.

7.7 Data yang harus tetap berada di negara tertentu: Pelanggan tidak boleh menyimpan dalam Layanan data yang diwajibkan oleh Hukum yang Berlaku untuk disimpan atau diproses di dalam negara tertentu, kecuali Layanan menunjukkan, berdasarkan Pasal 9.5 Ketentuan, bahwa hosting di negara tersebut tersedia untuk Aplikasi yang bersangkutan. Hal ini mengikuti Pasal 13.4 Ketentuan dan Pasal 5.4 Kebijakan Penggunaan yang Dapat Diterima.

8. Bantuan terkait permintaan Subjek Data

8.1 Layanan memberi Pelanggan alat untuk melihat, mengekspor, dan memperbaiki Data Pribadi Pelanggan Akhirnya, alat untuk menghapusnya dengan mengganti identitas mereka dengan nama samaran (alias) sambil mempertahankan catatan yang diwajibkan hukum untuk disimpan, serta alat untuk melihat dan memperbaiki data karyawannya. Pelanggan menggunakan alat-alat ini untuk menanggapi permintaan Subjek Data, dan STAK membantu berdasarkan Pasal 8.3 untuk hal apa pun yang tidak tercakup olehnya, termasuk mengekspor dan menghapus data karyawan.

8.2 Jika STAK menerima permintaan langsung dari Subjek Data mengenai Data Pribadi Pelanggan, STAK meneruskannya kepada Pelanggan tanpa penundaan dan menanggapi hanya atas instruksi Pelanggan.

8.3 STAK memberikan bantuan yang wajar kepada Pelanggan untuk hal apa pun yang tidak tercakup oleh alat yang tersedia.

9. Pemberitahuan Pelanggaran Data Pribadi

9.1 STAK memberitahukan Pelanggan tanpa penundaan yang tidak semestinya setelah mengetahui adanya Pelanggaran Data Pribadi yang memengaruhi Data Pribadi Pelanggan. STAK melakukannya dalam waktu 24 jam setelah mengetahuinya jika memungkinkan, dan bagaimanapun juga dalam waktu 48 jam.

9.2 Pemberitahuan memuat, sejauh informasinya tersedia:

• (a) sifat pelanggaran;
• (b) kategori data dan Subjek Data serta perkiraan jumlahnya;
• (c) kemungkinan akibatnya;
• (d) langkah-langkah yang telah diambil dan diusulkan untuk menangani pelanggaran;
• (e) titik kontak di STAK.

STAK memberikan informasi lebih lanjut segera setelah tersedia.

9.3 STAK segera mengambil langkah-langkah yang wajar untuk menahan pelanggaran dan membatasi dampaknya. STAK bekerja sama dengan Pelanggan dalam memberitahukan regulator dan Subjek Data jika Pelanggan wajib melakukannya, dengan memperhitungkan tenggat yang ditetapkan hukum bagi Pelanggan. Jika Hukum yang Berlaku mewajibkan STAK sendiri untuk memberitahukan pelanggaran tersebut kepada regulator, STAK melakukannya dalam jangka waktu yang diwajibkan dan memberi tahu Pelanggan.

9.4 Pemberitahuan pelanggaran oleh STAK, atau kerja samanya dalam menanganinya, bukan pengakuan kesalahan atau tanggung jawab.

10. Penilaian dampak dan konsultasi dengan regulator

Atas permintaan Pelanggan, STAK memberikan informasi wajar yang diperlukan untuk melaksanakan penilaian dampak pelindungan data atau berkonsultasi dengan regulator, sejauh menyangkut Layanan.

11. Informasi dan audit

11.1 Atas permintaan Pelanggan, STAK memberikan informasi yang secara wajar diperlukan untuk menunjukkan kepatuhannya terhadap Perjanjian Pemrosesan Data ini. Hal ini mencakup dokumentasi keamanan dan jawaban atas satu kuesioner keamanan setiap tahun.

11.2 Pelanggan dapat, atas biayanya sendiri, melakukan audit, atau meminta auditor independen yang terikat kerahasiaan untuk melakukannya, dalam hal-hal berikut:

• (a) jika regulator mewajibkannya;
• (b) setelah Pelanggaran Data Pribadi yang memengaruhi datanya;
• (c) jika informasi yang diberikan berdasarkan Pasal 11.1 tidak memadai.

Audit tunduk pada ketentuan berikut:

• Pelanggan memberitahukan STAK tentang audit sekurang-kurangnya 30 hari sebelumnya.
• Audit dilakukan pada jam kerja pada Hari Kerja.
• Audit berdasarkan huruf (c) dilakukan tidak lebih dari sekali setahun.
• Tidak ada audit yang mencakup fasilitas Sub-prosesor. Sertifikasi dan laporan independen mereka sudah memadai sebagai gantinya.
• Tidak ada audit yang mencakup akses ke data pelanggan lain atau apa pun yang memengaruhi keamanan mereka.

12. Pengembalian dan penghapusan data

12.1 Pelanggan dapat mengekspor Data Pribadi Pelanggan kapan saja, dan selama 30 hari setelah Perjanjian berakhir, berdasarkan Pasal 19.5 Ketentuan.

12.2 Setelah masa ekspor, STAK menghapus Data Pribadi Pelanggan dari Lingkungan Produksi dalam waktu 30 hari, kecuali Hukum yang Berlaku mewajibkan data itu disimpan, dan dengan tunduk pada penahanan dalam Pasal 19.5 Ketentuan selama STAK telah diberi tahu tentang sengketa pengadilan, penyelidikan, atau permintaan dari otoritas yang berwenang.

12.3 Cadangan disimpan selama jangka waktu retensi berikut:

• (a) pemulihan ke titik waktu tertentu dan Cadangan harian: 35 hari sejak tanggal setiap Cadangan dibuat;
• (b) Cadangan logis malam hari dari basis data (database dump): 35 hari;
• (c) Cadangan bulanan: 12 bulan sejak tanggal setiap Cadangan dibuat;
• (d) versi lebih awal dari berkas yang diunggah: 90 hari sejak tanggal berkas tersebut diganti atau dihapus.

Aturan yang berlaku untuk Cadangan ini:

• Cadangan harian dan bulanan beserta salinannya disimpan dalam brankas cadangan yang kebijakannya mencegah siapa pun, termasuk staf STAK sendiri, menghapus suatu Cadangan sebelum jangka waktu retensinya berakhir atau mengubah jangka waktu tersebut, dan yang kuncinya dalam mode kepatuhan (compliance mode) penyedia hosting mencegah penghapusan Cadangan apa pun setidaknya selama 35 hari pertamanya.
• Cadangan logis malam hari dilindungi dari perubahan dan penghapusan sampai jangka waktu retensinya berakhir.
• STAK tidak menghapus Cadangan apa pun sebelum jangka waktu retensinya berakhir, bahkan atas permintaan Pelanggan.
• Semua Cadangan disimpan di luar penggunaan dan hanya digunakan untuk pemulihan teknis, dengan tunduk pada Pasal 12.4, atau jika hukum mewajibkannya.
• Semua Cadangan yang memuat data yang dihapus kedaluwarsa ketika jangka waktu ini berakhir, yaitu dalam waktu paling lama 12 bulan, dan data yang dihapus tersebut kemudian dimusnahkan secara permanen.
• Atas permintaan, STAK memberi tahu Pelanggan tanggal berakhirnya Cadangan terakhir yang memuat data yang dihapus, sehingga Pelanggan dapat memberi tahu Subjek Data.

12.4 Jika STAK memulihkan suatu Cadangan selama jangka waktu tersebut, STAK menerapkan kembali, sebelum data tersedia, penghapusan yang dilakukan berdasarkan Pasal 8.1 dan penghapusan yang dilakukan berdasarkan Pasal 12.2 setelah tanggal Cadangan tersebut, dengan menggunakan catatan yang dimilikinya tentang operasi tersebut.

13. Permintaan pemerintah

Jika STAK menerima permintaan mengikat dari otoritas pemerintah atau peradilan untuk mengungkapkan Data Pribadi Pelanggan, STAK memberitahukan Pelanggan kecuali hukum melarang pemberitahuan. STAK membatasi pengungkapan pada batas minimum yang diperlukan permintaan tersebut. STAK menolak permintaan yang secara wajar dianggapnya melanggar hukum, melalui sarana hukum yang tersedia.

14. Tanggung jawab

Tanggung jawab setiap Pihak berdasarkan Perjanjian Pemrosesan Data ini, termasuk tanggung jawabnya kepada Pihak lainnya berdasarkan klausul kontrak standar dalam Pasal 7.6, tunduk pada ketentuan pembatasan tanggung jawab dalam Pasal 16 Ketentuan, sejauh pasal-pasal tersebut mengizinkan dan tanpa memengaruhi hak Subjek Data berdasarkan klausul tersebut.

15. Jangka waktu dan keutamaan

15.1 Perjanjian Pemrosesan Data ini berlaku selama STAK memproses Data Pribadi Pelanggan.

15.2 Jika Perjanjian Pemrosesan Data ini bertentangan dengan Ketentuan, Perjanjian Pemrosesan Data ini didahulukan dalam hal-hal yang menyangkut Data Pribadi Pelanggan.

15.3 Jika Hukum Pelindungan Data yang Berlaku menetapkan kewajiban wajib yang lebih ketat daripada Perjanjian Pemrosesan Data ini, kewajiban tersebut berlaku dalam lingkupnya.

16. Kontak pelindungan data dan catatan pemrosesan

STAK telah menunjuk kontak pelindungan data, yang dapat dihubungi melalui email di [email protected]. STAK menyimpan catatan kegiatan pemrosesan yang dilakukannya atas nama pelanggan, dan menyampaikannya kepada regulator yang berwenang jika hukum mewajibkannya.

Lampiran 1: Rincian Pemrosesan

• Pokok bahasan: menyediakan Layanan kepada Pelanggan berdasarkan Ketentuan.
• Jangka waktu: jangka waktu Perjanjian, masa ekspor dan penghapusan setelahnya berdasarkan Pasal 12, jangka waktu retensi Cadangan dalam Pasal 12.3, dan jangka waktu retensi Sub-prosesor yang ditetapkan dalam Lampiran 3.
• Sifat dan tujuan:
  • menyimpan dan menghosting Data Pelanggan;
  • memproses penjualan, pesanan, reservasi, dan faktur;
  • mengelola inventaris, akuntansi, sumber daya manusia, dan penggajian;
  • mengirim pesan yang diminta Pelanggan melalui akunnya sendiri pada Penyedia Terhubung, atau melalui penyedia pesan yang digunakan STAK setelah tercantum dalam Lampiran 3;
  • menyediakan Fitur AI ketika digunakan;
  • Cadangan, keamanan, dan Dukungan.
• Kategori Subjek Data:
  • Pelanggan Akhir, tamu, dan pasien milik Pelanggan;
  • karyawan dan pelamar kerjanya;
  • Pengguna;
  • pemasoknya dan kontak mereka;
  • pengemudi dan kurir.
• Kategori Data Pribadi:
  • data identitas dan kontak, seperti nama, telepon, email, alamat, dan lokasi pengantaran;
  • catatan transaksi, pesanan, reservasi, dan faktur;
  • referensi yang terkait dengan pembayaran, tanpa nomor kartu lengkap;
  • data loyalitas, preferensi, dan persetujuan;
  • data tentang karyawan Pelanggan, seperti nomor Civil ID, rincian izin tinggal, gaji, nomor rekening bank internasional (IBAN), kehadiran, dan cuti;
  • foto dan dokumen yang diunggah Pelanggan;
  • log pesan dan jejak audit.
• Data Pribadi Sensitif: data kesehatan dan klinis ketika Aplikasi klinik digunakan, dengan tunduk pada Pasal 7.7 dan Pasal 13.4 Ketentuan, yang menetapkan bahwa fitur rekam pasien tidak boleh digunakan untuk pasien yang menerima layanan kesehatan di Negara Kuwait atau Uni Emirat Arab; dan data kesehatan dalam berkas sumber daya manusia, seperti surat keterangan sakit. Rekam klinis dan berkas sumber daya manusia dienkripsi dengan kunci terpisah, dan data ini hanya terlihat oleh Pengguna yang memegang peran yang berwenang untuk melihatnya. Kode diagnosis dan prosedur dalam klaim asuransi dan otorisasi awal, serta gambar kartu asuransi, dilindungi oleh enkripsi basis data dan penyimpanan dalam Lampiran 2.

Lampiran 2: Langkah-langkah teknis dan organisasi

1. Enkripsi:
   • Data saat transit dienkripsi dengan TLS versi 1.2 atau lebih baru, dan identitas server basis data diverifikasi pada setiap koneksi.
   • Data saat disimpan dalam basis data, disk, berkas, Cadangan, dan penyimpanan rahasia dienkripsi dengan AES-256, menggunakan kunci yang dikelola melalui AWS Key Management Service (AWS KMS) atau oleh penyedia hosting.
   • Berkas sumber daya manusia dan rekam klinis dienkripsi tambahan di dalam aplikasi dengan kunci terpisah, dan rincian koneksi untuk Penyedia Terhubung disimpan dalam penyimpanan rahasia terpisah yang dienkripsi dengan kunci terpisah.
2. Isolasi data setiap pelanggan: setiap catatan Data Pelanggan memuat pengenal Bisnis tempat catatan itu berada. Kebijakan keamanan tingkat baris (row-level security) di dalam basis data berlaku untuk peran aplikasi, dan peran aplikasi tidak memiliki izin untuk melewatinya. Batasan kunci komposit mencegah catatan satu Bisnis dihubungkan dengan catatan Bisnis lain.
3. Kontrol akses:
   • Akses diberikan berdasarkan prinsip hak istimewa minimum.
   • Akses ke Lingkungan Produksi dibatasi pada karyawan STAK yang disebutkan namanya, memerlukan autentikasi multifaktor, dan dimulainya setiap akses dicatat dalam log.
   • Akses administratif ke server hanya melalui AWS Systems Manager, tanpa login langsung (SSH).
4. Keamanan masuk Pengguna:
   • Untuk Pengguna, Layanan menawarkan kunci sandi (passkey), aplikasi autentikator, dan kode verifikasi yang dikirim ke telepon terverifikasi.
   • Untuk Pelanggan, Layanan menawarkan peran dan hak akses yang dapat disesuaikan, akses yang dibatasi per Cabang dan, pada Paket yang mencakupnya, aturan sesi tidak aktif serta peringatan kepada Pemilik untuk masuk dari perangkat baru.
5. Jejak audit: jejak audit atas perubahan disimpan dan tidak dapat diubah atau dihapus oleh Pengguna mana pun. Jejak ini mencatat pelaku, waktu, sumber, dan alamat IP. Ketika Pelanggan menghapus Data Pribadi seorang Pelanggan Akhir berdasarkan Pasal 8.1, entri kehilangan rincian pengenal orang tersebut tetapi tetap mencatat apa yang dilakukan, oleh siapa, dan kapan. Jejak audit dihapus bersama Data Pelanggan berdasarkan Pasal 12. Entri akuntansi dihubungkan dalam suatu rantai yang mengungkap setiap pemalsuan.
6. Cadangan dan pemulihan:
   • Cadangan otomatis yang berkelanjutan memungkinkan pemulihan ke titik waktu tertentu dalam 35 hari;
   • Cadangan harian disimpan selama 35 hari dan Cadangan bulanan selama 12 bulan, dan disalin ke wilayah geografis terpisah di Republik Irlandia. Kebijakan brankas cadangan mencegah penghapusannya sebelum jangka waktu retensi berakhir atau perubahan jangka waktu tersebut, dan kunci mode kepatuhan (compliance mode) mencegah penghapusan Cadangan apa pun setidaknya selama 35 hari pertamanya;
   • Cadangan logis basis data dibuat setiap malam dan disimpan selama 35 hari dalam penyimpanan yang dilindungi dari perubahan dan penghapusan;
   • pemulihan basis data dari Cadangan diuji setiap bulan.
7. Data pembayaran: Layanan dirancang agar STAK tidak menyimpan nomor kartu lengkap. Pembayaran dilakukan pada halaman yang dihosting oleh Penyedia Layanan Pembayaran atau pada terminal dan aplikasi penerimaan kartu mereka yang bersertifikat. Layar Layanan tidak memuat kolom untuk memasukkan data kartu, dan Layanan memungkinkan Pelanggan memindai kolom teks bebas untuk mencari nomor kartu yang dimasukkan secara keliru agar dapat dihapus.
8. Jaringan dan infrastruktur: basis data berjalan dalam jaringan privat yang tidak dapat dijangkau publik, di balik firewall. Web application firewall dan pelindungan terhadap serangan penolakan layanan (denial-of-service) disediakan melalui Cloudflare.
9. Manajemen kerentanan dan pengembangan yang aman: kode ditinjau dan pengujian otomatis dijalankan sebelum setiap rilis. Pustaka perangkat lunak diperiksa, dan pembaruan keamanan diterapkan tanpa penundaan.
10. Pemantauan dan penanganan insiden:
    • infrastruktur cloud dipantau secara otomatis sepanjang waktu, dengan peringatan langsung;
    • setiap tindakan administratif pada infrastruktur cloud dicatat dalam log, dan ancaman serta hak akses berlebih dideteksi secara otomatis melalui layanan khusus Amazon (AWS CloudTrail, GuardDuty, dan IAM Access Analyzer);
    • prosedur terdokumentasi berlaku untuk menanggapi Insiden Keamanan dan untuk pemberitahuan berdasarkan Pasal 9.
11. Kesinambungan bisnis: rencana kesinambungan dan pemulihan berlaku, sejalan dengan sasaran pemulihan dalam Perjanjian Tingkat Layanan.
12. Personel: Karyawan dan kontraktor STAK terikat kerahasiaan dan menerima pelatihan kesadaran keamanan.
13. Penghapusan yang aman: data dihapus berdasarkan Pasal 12, dan penyedia hosting memusnahkan media sesuai standarnya.

Lampiran 3: Sub-prosesor

Penyedia yang hanya digunakan saat diaktifkan. STAK telah menyiapkan penyedia berikut tetapi saat ini tidak menggunakannya untuk memproses Data Pribadi Pelanggan. STAK mulai menggunakan salah satunya hanya setelah memberikan pemberitahuan berdasarkan Pasal 6.3, sekurang-kurangnya 30 hari sebelumnya, dan pemberitahuan tersebut menyebutkan lokasi penyedia memproses data dan berapa lama penyedia menyimpannya.

Setelah STAK mengaktifkan nomor WhatsApp miliknya sendiri, Meta mengirim dari nomor itu kode masuk kepada Pengguna dan kode verifikasi kepada Pelanggan Akhir yang memverifikasi nomor telepon mereka pada Halaman Publik. Dalam melakukannya, Meta memproses data yang diproses STAK sebagai Pengendali berdasarkan Kebijakan Privasi, bukan Data Pribadi Pelanggan.

Selain penyedia di atas, STAK tidak menggunakan penyedia pesan teks, notifikasi push, dompet digital, atau pencarian alamat, verifikasi, dan pemetaan untuk memproses Data Pribadi Pelanggan.