Perjanjian Pemrosesan Data

1. Para Pihak

Perjanjian ini dibuat antara PT Zense Works (nama resmi menunggu pengesahan AHU) sebagai "Prosesor Data" dan Pengguna layanan LPK Pro yang tercantum pada formulir pendaftaran atau Perjanjian Berlangganan sebagai "Pengendali Data", bersama-sama disebut "Para Pihak". Perjanjian ini merupakan satu kesatuan dengan Ketentuan Layanan LPK Pro.

2. Definisi

1. 2.1
   "Data Pribadi", "Pengendali Data Pribadi", dan "Prosesor Data Pribadi" memiliki arti sebagaimana diatur dalam UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP").
2. 2.2
   "Pemrosesan" berarti setiap kegiatan atas Data Pribadi, termasuk pengumpulan, penyimpanan, perbaikan, penggunaan, pengiriman, dan penghapusan.
3. 2.3
   "Sub-prosesor" berarti pihak ketiga yang ditunjuk Prosesor Data untuk membantu Pemrosesan.

3. Objek dan Ruang Lingkup

Prosesor Data memproses Data Pribadi hanya untuk penyediaan Layanan dan hanya berdasarkan instruksi Pengendali Data, termasuk instruksi melalui konfigurasi dan penggunaan sistem.

4. Kewajiban Prosesor Data

1. 4.1
   Memproses Data Pribadi hanya sesuai instruksi Pengendali Data, kecuali diwajibkan lain oleh hukum.
2. 4.2
   Menerapkan langkah keamanan teknis dan organisasi sebagaimana diuraikan dalam Lampiran A.
3. 4.3
   Memastikan setiap personel yang dapat mengakses Data Pribadi terikat kewajiban kerahasiaan.
4. 4.4
   Membantu Pengendali Data memenuhi permintaan subjek data (akses, perbaikan, penghapusan) sepanjang secara teknis memungkinkan.
5. 4.5
   Memberitahu Pengendali Data tanpa penundaan, paling lambat 3 x 24 jam, apabila terjadi kegagalan pelindungan Data Pribadi. Pemberitahuan memuat paling sedikit: data yang terdampak, kapan dan bagaimana terjadi, serta langkah penanganan dan pemulihan.
6. 4.6
   Tidak memakai Data Pribadi untuk kepentingan sendiri, termasuk untuk melatih model AI, dan tidak menjual atau membagikannya kepada pihak lain di luar Sub-prosesor dalam Lampiran B.
7. 4.7
   Tidak mentransfer Data Pribadi ke luar wilayah Indonesia tanpa pelindungan yang memadai sesuai UU PDP.
8. 4.8
   Menghapus atau mengembalikan Data Pribadi setelah Perjanjian berakhir sesuai Pasal 10.

5. Kewajiban Pengendali Data

1. 5.1
   Memastikan dasar hukum yang sah, termasuk persetujuan subjek data bila diperlukan, sebelum memasukkan Data Pribadi ke Layanan, dan memberi pemberitahuan privasi kepada kandidat.
2. 5.2
   Memberikan instruksi Pemrosesan yang sah sesuai peraturan perundang-undangan.
3. 5.3
   Bertanggung jawab atas keakuratan Data Pribadi yang dimasukkan, dan atas pengaturan hak akses User-nya.

6. Sub-prosesor

1. 6.1
   Pengendali Data menyetujui Sub-prosesor yang tercantum dalam Lampiran B.
2. 6.2
   Prosesor Data memberitahu Pengendali Data minimal 14 hari sebelum menambah atau mengganti Sub-prosesor. Pengendali Data dapat menyampaikan keberatan yang beralasan dalam jangka waktu tersebut.
3. 6.3
   Prosesor Data memastikan setiap Sub-prosesor terikat kewajiban pelindungan data yang setara dengan Perjanjian ini, dan tetap bertanggung jawab atas pekerjaan Sub-prosesornya.

7. Langkah Keamanan

Langkah keamanan minimum diuraikan dalam Lampiran A dan dapat ditingkatkan dari waktu ke waktu tanpa menurunkan tingkat pelindungan.

8. Audit

Pengendali Data berhak meminta bukti kepatuhan, berupa ringkasan langkah keamanan atau laporan audit keamanan, paling banyak satu kali per tahun, dengan pemberitahuan tertulis minimal 14 hari sebelumnya dan tanpa mengganggu Layanan bagi Pengguna lain. Audit tambahan dapat dilakukan setelah terjadi insiden.

9. Transfer Data ke Luar Negeri

Apabila Pemrosesan melibatkan transfer Data Pribadi ke luar wilayah Indonesia, termasuk karena lokasi server atau Sub-prosesor, Prosesor Data memastikan pelindungan yang setara atau lebih tinggi sesuai UU PDP, dan memberitahukannya kepada Pengendali Data.

10. Penghapusan atau Pengembalian Data

Setelah berlangganan berakhir, Prosesor Data menyediakan fasilitas ekspor selama 30 hari. Setelah itu seluruh Data Pribadi terkait dihapus permanen dari sistem produksi, dan dari cadangan sesuai siklus pencadangan, kecuali diwajibkan lain oleh hukum. Atas permintaan tertulis, Prosesor Data memberi pernyataan bahwa penghapusan telah dilakukan.

11. Tanggung Jawab

Masing-masing pihak bertanggung jawab atas kerugian akibat pelanggaran kewajibannya berdasarkan Perjanjian ini dan UU PDP, dengan memperhatikan batasan tanggung jawab dalam Ketentuan Layanan.

12. Jangka Waktu dan Persetujuan

1. 12.1
   Perjanjian ini berlaku selama Pengendali Data menggunakan Layanan dan berakhir bersamaan dengan berakhirnya berlangganan. Kewajiban kerahasiaan dan penghapusan data tetap berlaku setelahnya.
2. 12.2
   Perjanjian ini dapat disetujui secara elektronik (klik "Setuju" saat pendaftaran) atau dengan tanda tangan. Keduanya memiliki kekuatan hukum yang sama.

Lampiran A — Langkah Keamanan Minimum

• Enkripsi saat transit (TLS 1.2 ke atas) dan saat disimpan (AES-256 atau setara);
• Isolasi data antar-Pengguna pada tingkat basis data (row-level security atau setara);
• Kontrol akses berbasis peran (Owner, Admin, Keuangan, Pendidikan) dan autentikasi dua langkah untuk akun Owner dan administrator;
• Log audit atas seluruh akses ke Data Kandidat, termasuk akses personel Prosesor Data;
• Pencadangan harian dengan retensi 14 hari, dan uji pemulihan berkala;
• Pengujian keamanan berkala dan pembaruan sistem secara rutin.

Lampiran B — Daftar Sub-prosesor

Penambahan atau penggantian sub-prosesor diberitahukan minimal 14 hari sebelumnya sesuai Pasal 6.2.

Lembar Persetujuan

DPA disetujui secara elektronik saat Pengendali Data mendaftar di panel, atau ditandatangani oleh wakil Para Pihak: