Adendum Pemrosesan Data

RingkasnyaSaat Anda menggunakan autoDM, kami memproses data Instagram para subscriber Anda atas nama Anda. Adendum ini menjelaskan apa yang akan dan tidak akan kami lakukan terhadap data tersebut: memprosesnya hanya berdasarkan instruksi Anda, menjaga keamanannya, memberi tahu Anda tentang kegagalan pelindungan data dalam waktu 3 × 24 jam, membantu Anda menanggapi permintaan subscriber, hanya menggunakan subprosesor yang tercantum di sini, dan menghapus data tersebut saat Anda berhenti menggunakan layanan kami. Adendum ini tunduk pada Undang-Undang Pelindungan Data Pribadi Indonesia.

1. Latar belakang dan ruang lingkup

Adendum Pemrosesan Data ini (“DPA”) merupakan bagian dari Syarat Layanan (“Perjanjian”) antara PT Kalachakra Wisnu Indonesia, yang beroperasi dengan nama autoDM (“autoDM”, “kami”), dan Pelanggan (“Anda”). DPA ini berlaku setiap kali kami memproses Data Subscriber atas nama Anda dalam rangka menyediakan Layanan. DPA ini dimaksudkan untuk memenuhi persyaratan pengaturan antara pengendali data pribadi dan prosesor data pribadi berdasarkan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”) beserta peraturan pelaksanaannya. Apabila Anda juga tunduk pada hukum pelindungan data lainnya, DPA ini dimaksudkan untuk dibaca secara selaras dengan hukum tersebut; beri tahu kami apabila Anda memerlukan ketentuan tambahan.

Apabila terdapat pertentangan antara DPA ini dan Perjanjian mengenai pemrosesan Data Subscriber, DPA ini yang berlaku.

2. Definisi

Pengendali Data Pribadi, Prosesor Data Pribadi, Data Pribadi, Subjek Data Pribadi, Pemrosesan, Kegagalan Pelindungan Data Pribadi

Memiliki arti sebagaimana diberikan untuk istilah padanannya dalam UU PDP (pengendali, prosesor, data pribadi, subjek data pribadi, pemrosesan, kegagalan pelindungan data pribadi).

Data Subscriber

Data Pribadi milik Subscriber (pengguna Instagram yang berinteraksi dengan Akun Instagram Terhubung Anda) yang kami proses untuk menjalankan Otomatisasi Anda, sebagaimana dijelaskan dalam Lampiran 1.

Subprosesor

Pihak ketiga yang kami libatkan untuk memproses Data Subscriber atas nama kami.

Instruksi

Instruksi terdokumentasi dari Anda untuk memproses Data Subscriber, yang terdiri atas Perjanjian, DPA ini, konfigurasi Akun dan Otomatisasi Anda, serta setiap instruksi tertulis lebih lanjut yang Anda berikan kepada kami.

3. Peran

Untuk Data Subscriber, Anda adalah Pengendali Data Pribadi dan kami adalah Prosesor Data Pribadi. Anda menyatakan bahwa Anda memiliki dasar hukum yang sah untuk pengumpulan dan pemrosesan Data Subscriber, termasuk setiap persetujuan atau pemberitahuan yang diwajibkan berdasarkan UU PDP dan kebijakan Meta, serta bahwa Instruksi Anda sah menurut hukum. Kami akan memberi tahu Anda apabila kami meyakini bahwa suatu Instruksi melanggar UU PDP.

Untuk data mengenai Anda dan tim Anda (data akun, penagihan, dan penggunaan), kami merupakan Pengendali Data Pribadi yang independen dan Kebijakan Privasi kami yang berlaku, bukan DPA ini.

4. Kewajiban kami sebagai Prosesor Data Pribadi

Kami akan:

1. Memproses hanya berdasarkan Instruksi. Memproses Data Subscriber hanya berdasarkan Instruksi Anda dan untuk tujuan yang tercantum dalam Lampiran 1, kecuali diwajibkan oleh hukum yang berlaku (dalam hal demikian, kami akan memberi tahu Anda sebelum pemrosesan, sepanjang diperbolehkan oleh hukum).
2. Kerahasiaan. Memastikan bahwa staf dan kontraktor yang memiliki akses ke Data Subscriber terikat oleh kewajiban kerahasiaan dan menerima pelatihan yang memadai, serta membatasi akses hanya kepada pihak yang memerlukannya.
3. Keamanan. Menerapkan dan memelihara langkah teknis dan organisasional yang dijelaskan dalam Lampiran 3, yang sesuai dengan risiko pemrosesan, dan tidak menguranginya secara material selama jangka waktu berlaku.
4. Subprosesor. Melibatkan Subprosesor hanya sesuai dengan Bagian 6.
5. Permintaan Subjek Data Pribadi. Segera memberi tahu Anda apabila kami menerima permintaan dari Subscriber terkait Data Pribadinya, tidak menanggapinya atas nama Anda kecuali sesuai instruksi Anda atau sebagaimana diwajibkan oleh kebijakan Meta, dan memberikan bantuan yang wajar kepada Anda (termasuk melalui fitur ekspor dan penghapusan dalam Layanan) untuk menanggapinya dalam jangka waktu yang diwajibkan oleh UU PDP.
6. Bantuan. Memberikan bantuan yang wajar, dengan mempertimbangkan sifat pemrosesan dan informasi yang tersedia bagi kami, terkait kewajiban Anda mengenai keamanan, pemberitahuan kegagalan pelindungan data, penilaian dampak pelindungan data, dan konsultasi dengan otoritas.
7. Catatan. Menyimpan catatan pemrosesan yang kami lakukan atas nama Anda dan menyediakannya kepada Anda atas permintaan.
8. Penghapusan. Menghapus atau mengembalikan Data Subscriber sesuai dengan Bagian 9.
9. Informasi. Menyediakan informasi yang secara wajar diperlukan untuk menunjukkan kepatuhan kami terhadap DPA ini dan mengizinkan audit sebagaimana diatur dalam Bagian 8.

5. Kegagalan Pelindungan Data Pribadi

Apabila kami mengetahui adanya Kegagalan Pelindungan Data Pribadi yang memengaruhi Data Subscriber, kami akan memberi tahu Anda tanpa penundaan yang tidak semestinya dan dalam hal apa pun paling lambat 3 × 24 jam, sebagaimana diwajibkan oleh Pasal 46 UU PDP, melalui email ke alamat Akun Anda. Pemberitahuan kami akan menjelaskan, sejauh yang diketahui, sifat kegagalan tersebut, kategori dan perkiraan jumlah Subscriber serta catatan yang terdampak, kemungkinan akibatnya, serta langkah yang telah diambil atau diusulkan untuk menanganinya dan memitigasi dampaknya. Kami akan memberikan informasi lebih lanjut begitu tersedia dan bekerja sama secara wajar dalam pemberitahuan yang Anda sampaikan sendiri kepada Subscriber dan otoritas. Pemberitahuan kami bukan merupakan pengakuan atas kesalahan atau tanggung jawab.

6. Subprosesor

6.1 Otorisasi

Anda memberikan otorisasi umum kepada kami untuk melibatkan Subprosesor yang tercantum dalam Lampiran 2 (dan pada halaman Penyedia Layanan kami, yang selalu kami perbarui). Kami akan membuat kontrak tertulis dengan setiap Subprosesor yang membebankan kewajiban pelindungan data yang tidak kurang protektif dibandingkan kewajiban dalam DPA ini, dan kami tetap bertanggung jawab atas pelaksanaan kewajiban mereka.

6.2 Perubahan

Kami akan memberikan pemberitahuan paling lambat 14 hari sebelumnya melalui email atau di dalam Layanan sebelum menambahkan atau mengganti Subprosesor. Anda dapat mengajukan keberatan atas dasar pelindungan data yang wajar dalam jangka waktu tersebut. Apabila Anda mengajukan keberatan, kami akan membahas kekhawatiran tersebut dengan iktikad baik; apabila kami tidak dapat menyelesaikannya, Anda dapat mengakhiri Perjanjian untuk bagian Layanan yang terdampak tanpa dikenai sanksi, dan kami akan mengembalikan biaya yang telah dibayar di muka untuk periode setelah pengakhiran.

7. Transfer internasional

Kami menyimpan Data Subscriber di Indonesia. Subprosesor dalam Lampiran 2 yang memproses data di luar Indonesia (Meta, untuk operasi API Instagram; Anthropic, khusus untuk Paket yang mendukung AI) melakukannya berdasarkan perjanjian tertulis yang mewajibkan pelindungan yang memadai, sesuai dengan Pasal 56 UU PDP. Selain itu, kami tidak akan mentransfer Data Subscriber ke luar Indonesia tanpa menerapkan pelindungan tersebut dan memberi tahu Anda.

8. Audit

Atas permintaan tertulis yang diajukan tidak lebih dari satu kali per tahun (atau lebih sering setelah terjadinya Kegagalan Pelindungan Data Pribadi atau apabila diwajibkan oleh otoritas), kami akan menyediakan informasi yang secara wajar diperlukan untuk menunjukkan kepatuhan terhadap DPA ini, termasuk ringkasan langkah keamanan kami dan sertifikasi terkini dari penyedia hosting kami. Apabila informasi tersebut tidak cukup secara wajar, Anda dapat melakukan, atau menunjuk auditor independen yang terikat kewajiban kerahasiaan untuk melakukan, audit atas sistem dan prosedur kami yang relevan, atas biaya Anda, selama jam kerja, dengan pemberitahuan paling lambat 30 hari sebelumnya, dan dengan cara yang tidak secara tidak wajar mengganggu operasional kami atau membahayakan data Pelanggan lain. Kami dapat mengenakan biaya yang wajar untuk audit yang melebihi dua hari kerja.

9. Penghapusan dan pengembalian

Anda dapat mengekspor dan menghapus Data Subscriber kapan saja menggunakan fitur dalam Layanan. Saat Akun Anda ditutup, atau atas permintaan tertulis Anda, kami akan menghapus seluruh Data Subscriber dalam waktu 30 hari dan menghapusnya secara permanen dari cadangan dalam waktu 90 hari, kecuali hukum mewajibkan kami untuk menyimpannya. Data Subscriber yang diperoleh dari Instagram juga segera dihapus saat Anda memutuskan sambungan akun Instagram terkait atau saat Meta mengirimkan permintaan penghapusan untuk seorang Subscriber kepada kami. Atas permintaan, kami akan mengonfirmasi penghapusan secara tertulis.

10. Tanggung jawab

Tanggung jawab masing-masing pihak berdasarkan DPA ini tunduk pada batasan dan pengecualian dalam Perjanjian. Tidak ada ketentuan dalam DPA ini yang membatasi tanggung jawab apa pun yang tidak dapat dibatasi berdasarkan UU PDP.

11. Jangka waktu dan perubahan

DPA ini berlaku selama kami memproses Data Subscriber atas nama Anda dan sampai seluruh Data Subscriber telah dihapus berdasarkan Bagian 9. Kami dapat memperbarui DPA ini untuk mencerminkan perubahan hukum atau Layanan dengan memberikan pemberitahuan paling lambat 14 hari sebelumnya; perubahan tidak akan mengurangi kewajiban kami kepada Anda secara material tanpa persetujuan Anda.

12. Hukum yang berlaku

DPA ini tunduk pada hukum Negara Republik Indonesia dan ketentuan penyelesaian sengketa dalam Perjanjian berlaku.

Lampiran 1: Rincian pemrosesan

Lampiran 2: Subprosesor yang Diizinkan

Daftar terkini dikelola di autodm.kalachakra.io/legal/service-providers.

Lampiran 3: Langkah teknis dan organisasional

• Kontrol akses. Akses berbasis peran; prinsip hak akses minimum; autentikasi multifaktor untuk akses staf ke sistem produksi; akses ditinjau saat terjadi perubahan peran dan segera dicabut saat staf keluar.
• Enkripsi. TLS 1.2 atau lebih tinggi untuk seluruh data yang sedang ditransmisikan; enkripsi saat disimpan untuk basis data dan cadangan; token akses Instagram disimpan dalam keadaan terenkripsi; kata sandi di-hash dengan algoritma modern.
• Infrastruktur. Hosting di pusat data IdCloudHost di Jakarta yang bersertifikat ISO/IEC 27001; segmentasi jaringan dan firewall; pemisahan lingkungan antara produksi dan pengembangan.
• Pencatatan log dan pemantauan. Log aplikasi, akses, dan keamanan yang terpusat dan disimpan selama 12 bulan; pemantauan ketersediaan; peringatan untuk aktivitas yang tidak wajar.
• Ketahanan. Pencadangan harian otomatis yang disimpan hingga 90 hari; prosedur pemulihan terdokumentasi yang diuji secara berkala.
• Pengembangan yang aman. Peninjauan kode sebelum deployment; pemindaian kerentanan dependensi; data rahasia disimpan di luar kode sumber; penambalan kerentanan yang diketahui dalam kerangka waktu berbasis risiko.
• Manajemen vendor. Subprosesor dinilai sebelum dilibatkan dan terikat oleh ketentuan pelindungan data tertulis.
• Sumber daya manusia. Kewajiban kerahasiaan dalam perjanjian kerja dan perjanjian kontraktor; pelatihan pelindungan data saat orientasi dan secara berkala.
• Respons insiden. Prosedur terdokumentasi untuk mendeteksi, menilai, menahan, dan memberitahukan Kegagalan Pelindungan Data Pribadi dalam kerangka waktu yang diatur dalam Bagian 5.
• Kepatuhan platform. Meta Business Verification telah diselesaikan; penanganan permintaan penghapusan data dari Meta dilakukan secara otomatis.