Perjanjian Pemrosesan Data

Para pihak

Pengendali data ("Klien")

Pemroses ("Alvoru")

Selanjutnya secara bersama-sama: "Para pihak".

Menimbang bahwa

• Para pihak telah menandatangani perjanjian utama di mana Alvoru sebagai Pemroses memproses data pribadi atas nama Klien (selanjutnya: "Perjanjian Utama");
• berdasarkan pasal 28 ayat 3 GDPR diperlukan perjanjian pemrosesan data tertulis yang mencantumkan kesepakatan tentang cara Pemroses memproses data pribadi;
• perjanjian pemrosesan data ini (selanjutnya: "DPA") merupakan bagian integral dari Perjanjian Utama.

Pasal 1 — Definisi

Istilah yang ditulis dengan huruf kapital dalam DPA ini memiliki arti sebagaimana diberikan dalam GDPR, dilengkapi dengan definisi dalam Syarat dan Ketentuan Alvoru.

Pasal 2 — Objek dan jangka waktu

2.1 DPA ini mengatur pemrosesan data pribadi oleh Alvoru atas perintah Klien dalam kerangka Perjanjian Utama.

2.2 DPA ini berlaku pada tanggal mulainya Perjanjian Utama dan berakhir demi hukum saat berakhirnya Perjanjian Utama, tanpa mengurangi ketentuan yang menurut sifatnya dimaksudkan untuk tetap berlaku.

Pasal 3 — Sifat dan tujuan pemrosesan

3.1 Sifat dan tujuan pemrosesan terdiri dari penyediaan Layanan yang dijelaskan dalam Perjanjian Utama (layanan pelanggan AI, termasuk chatbot, email dan agenda).

3.2 Alvoru memproses data pribadi semata-mata atas instruksi terdokumentasi dari Klien, kecuali kewajiban hukum yang menyimpang (pasal 28 ayat 3 sub a GDPR). Dalam kasus terakhir, Alvoru memberi tahu Klien sebelum pemrosesan, kecuali jika undang-undang tersebut melarangnya karena alasan penting.

Pasal 4 — Jenis data pribadi dan kategori subjek data

Kategori khusus data pribadi (pasal 9 GDPR) dan data pidana (pasal 10 GDPR) tidak diproses, kecuali disepakati secara tertulis sebagai tambahan.

Pasal 5 — Kewajiban Pemroses

5.1 Alvoru memproses data pribadi semata-mata untuk tujuan sebagaimana ditetapkan dalam Perjanjian Utama dan DPA ini serta atas instruksi tertulis dari Klien.

5.2 Alvoru menjamin bahwa orang-orang yang memproses data pribadi memiliki kewajiban kerahasiaan, baik berdasarkan undang-undang maupun berdasarkan perjanjian.

5.3 Alvoru memberikan Klien, dengan mempertimbangkan sifat pemrosesan, bantuan yang wajar dalam memenuhi permintaan subjek data untuk menggunakan hak mereka berdasarkan GDPR.

5.4 Alvoru menyediakan Klien semua informasi yang diperlukan untuk membuktikan kepatuhan terhadap pasal 28 GDPR.

5.5 Larangan pelatihan AI. Alvoru tidak akan pernah menggunakan data pribadi yang diprosesnya atas nama Pengendali Data untuk melatih, fine-tuning atau dengan cara lain meningkatkan model AI, maupun untuk mengembangkan aplikasi AI sendiri atau pihak ketiga.

Pasal 6 — Langkah keamanan (pasal 32 GDPR)

Alvoru mengambil langkah teknis dan organisatoris yang sesuai untuk menjamin tingkat keamanan yang disesuaikan dengan risiko, antara lain:

• Enkripsi saat transit (TLS 1.2+) dan bila berlaku enkripsi saat diam;
• Kontrol akses berdasarkan least privilege; autentikasi dua faktor untuk administrator;
• Firewall, fail2ban dan monitoring intrusi;
• Backup harian terenkripsi dengan masa penyimpanan maksimal 90 hari;
• Hak akses file yang restriktif (600) pada file konfigurasi dan data;
• Logging dan monitoring akses ke sistem produksi;
• Evaluasi dan pemutakhiran langkah keamanan secara berkala.

Pasal 7 — Sub-pemroses

7.1 Klien memberikan Alvoru persetujuan tertulis umum untuk menggunakan sub-pemroses, asalkan Alvoru memenuhi ketentuan lain dari pasal ini.

7.2 Sub-pemroses yang saat ini digunakan adalah:

7.3 Alvoru mewajibkan sub-pemroses untuk memenuhi kewajiban perlindungan data yang sama sebagaimana tercantum dalam DPA ini (pasal 28 ayat 4 GDPR).

7.4 Alvoru memberi tahu Pemberi Tugas minimal 14 hari sebelumnya tentang penggantian atau penambahan sub-pemroses. Pemberi Tugas dapat mengajukan keberatan yang beralasan dalam jangka waktu tersebut. Jika keberatan itu berdasar, Pemberi Tugas berhak mengakhiri Perjanjian Utama tanpa biaya.

Pasal 8 — Transfer di luar EEA

Transfer data pribadi ke negara di luar Kawasan Ekonomi Eropa hanya dilakukan berdasarkan keputusan kelayakan (pasal 45 GDPR), aturan korporat yang mengikat, Klausul Kontrak Standar UE (pasal 46 ayat 2 sub c GDPR) atau jaminan lain yang diatur dalam GDPR, dilengkapi dengan langkah teknis dan organisatoris tambahan bila diperlukan.

Pasal 9 — Hak subjek data

9.1 Alvoru memberikan dukungan yang memadai kepada Pemberi Tugas dalam menangani permintaan subjek data (akses, perbaikan, penghapusan, pembatasan, keterpindahan, keberatan) melalui fungsionalitas teknis di portal pelanggan dan, bila diperlukan, bantuan tambahan.

9.2 Alvoru meneruskan tanpa penundaan permintaan subjek data yang masuk langsung ke Alvoru kepada Pemberi Tugas.

Pasal 10 — Kebocoran data

10.1 Alvoru memberi tahu Pemberi Tugas tanpa penundaan dan selambat-lambatnya dalam 48 jam setelah terdeteksinya pelanggaran terkait data pribadi (pasal 33 ayat 2 GDPR), sehingga Pemberi Tugas dapat memenuhi kewajiban pelaporannya secara tepat waktu dalam 72 jam kepada Autoriteit Persoonsgegevens.

10.2 Pemberitahuan tersebut sekurang-kurangnya memuat: sifat pelanggaran, kategori dan jumlah subjek data, kategori dan jumlah catatan yang terdampak, konsekuensi yang mungkin terjadi, serta langkah yang diambil atau diusulkan.

10.3 Alvoru memberikan bantuan yang memadai kepada Pemberi Tugas dalam pelaporan kepada Autoriteit Persoonsgegevens dan, bila relevan, kepada subjek data.

Pasal 11 — Audit

11.1 Pemberi Tugas dapat, sekali per tahun kalender, setelah pemberitahuan tertulis sebelumnya minimal 30 hari, melakukan (atau menugaskan) audit atas biaya sendiri terhadap kepatuhan Alvoru pada DPA ini.

11.2 Audit dilakukan oleh auditor independen yang terikat kerahasiaan, pada jam kerja dan dengan cara yang tidak mengganggu operasional normal Alvoru.

11.3 Sebagai pengganti audit di lokasi, Alvoru dapat mencukupkan diri dengan laporan terkini dari pihak ketiga independen (misalnya ISO 27001 atau SOC 2), asalkan laporan tersebut secara wajar memberikan jaminan yang memadai.

Pasal 12 — Pengakhiran dan penghapusan data

12.1 Setelah pengakhiran Perjanjian Utama, Alvoru akan, atas pilihan Pemberi Tugas dan pada permintaan tertulis pertama, menghapus atau mengembalikan semua data pribadi kepada Pemberi Tugas, sesuai pasal 28 ayat 3 sub g GDPR.

12.2 Permintaan semacam itu dapat diajukan dalam 60 hari setelah pengakhiran. Jika tidak, data akan dihapus secara otomatis setelah 60 hari.

12.3 Cadangan offline dihapus sesuai jadwal rotasi reguler selambat-lambatnya 90 hari setelah pengakhiran.

12.4 Data yang wajib disimpan Alvoru berdasarkan undang-undang disimpan selama jangka waktu yang ditentukan secara hukum.

Pasal 13 — Tanggung jawab

13.1 Tanggung jawab Alvoru berdasarkan DPA ini tercakup dalam dan dibatasi oleh ketentuan tanggung jawab pada Syarat dan Ketentuan Umum yang menyertai Perjanjian Utama.

13.2 Ketentuan GDPR yang bersifat memaksa tetap berlaku.

Pasal 13a — Catatan kegiatan pemrosesan

Alvoru menyimpan catatan kegiatan pemrosesan sesuai pasal 30 GDPR. Catatan ini sekurang-kurangnya memuat: nama dan kontak Alvoru sebagai pemroses, kategori pemrosesan yang dilakukan atas nama Pengendali Data, transfer ke negara ketiga dan jaminan yang diterapkan, serta gambaran umum langkah keamanan teknis dan organisatoris. Catatan tersebut tersedia atas permintaan untuk Autoriteit Persoonsgegevens.

Pasal 14 — Hukum yang berlaku dan sengketa

Hukum Belanda berlaku atas DPA ini. Sengketa diajukan ke pengadilan Overijssel, lokasi Almelo.

Penandatanganan

Kirim versi yang telah ditandatangani (dipindai atau ditandatangani secara digital) ke info@alvoru.com. Alvoru mengembalikan salinan yang turut ditandatangani.