Perjanjian Pemrosesan Data ini (“ DPA ”) merupakan bagian integral dari Perjanjian antara ELXAO SASU (“ Pengolah ”) dan klien (“ Pengendali ”) dan menerapkan Pasal 28 Peraturan (EU) 2016/679 (“ GDPR ”) dan Undang-Undang Perlindungan Data Prancis (Loi n° 78-17 tanggal 6 Januari 1978 sebagaimana telah diubah). Perjanjian ini berlaku setiap kali ELXAO memproses data pribadi atas nama Pengendali dalam rangka penyediaan Layanan.
Definisi
Istilah-istilah “data pribadi”, “pemrosesan”, “pengontrol”, “pemroses”, “sub-pemroses”, “subjek data”, “data kategori khusus” dan “pelanggaran data pribadi” memiliki arti sebagaimana tercantum dalam Pasal 4 GDPR. Ketentuan Perjanjian ini berlaku untuk DPA ini kecuali jika DPA ini secara tegas mengesampingkannya.
Pokok bahasan, durasi & sifat pemrosesan
| Barang | Keterangan |
|---|---|
| Pokok bahasan | Penyediaan layanan operasional pemasaran (situs web, SEO, media berbayar, analitik, CRM/email, branding, media sosial, lokalisasi, PM/acara) atas nama Pengontrol Keuangan. |
| Lamanya | Durasi Perjanjian, ditambah periode penyimpanan yang tercantum di bawah ini. |
| Sifat dan tujuan | Penyimpanan, pengorganisasian, analisis, transfer, hosting, dan penghapusan data pribadi sebagaimana diperlukan untuk memberikan Layanan. |
| Kategori subjek data | Pengguna akhir Controller, calon pelanggan, pelanggan, pelanggan berlangganan, karyawan, pemasok, dan peserta acara. |
| Kategori data pribadi | Data identifikasi (nama, gelar), data kontak (email, telepon, alamat pos), data profesional (perusahaan, peran), pengidentifikasi daring (IP, cookie, ID perangkat), data perilaku (klik, sesi, konversi), data komersial (pesanan, penagihan), data acara (registrasi, kehadiran, lencana, rekaman). |
| Data kategori khusus | Tidak diproses secara default. Setiap pengecualian memerlukan instruksi tertulis dan pengamanan tambahan. |
Peran & instruksi
Pengontrol menentukan tujuan dan cara pemrosesan. ELXAO memproses data pribadi semata-mata berdasarkan instruksi tertulis dari Pengontrol, yang diformalkan oleh Perjanjian, pesanan, SLA, Kebijakan Privasi Pengontrol, dan instruksi tertulis khusus apa pun yang dikirim setelahnya. ELXAO akan memberi tahu Pengontrol tanpa penundaan yang tidak semestinya jika menganggap suatu instruksi melanggar hukum perlindungan data.
Kerahasiaan personel
ELXAO memastikan bahwa setiap individu yang berwenang memproses data pribadi terikat oleh kewajiban kerahasiaan yang dapat ditegakkan (kontrak kerja, kontrak pekerja lepas, atau NDA) dan telah menerima pelatihan tentang perlindungan data pribadi yang sesuai dengan peran mereka.
Langkah-langkah keamanan
ELXAO menerapkan langkah-langkah teknis dan organisasi yang sesuai (Pasal 32 GDPR), termasuk:
- Enkripsi TLS 1.2+ saat transmisi dan enkripsi AES-256 saat data disimpan untuk penyimpanan data produksi.
- Kontrol akses berbasis peran dengan prinsip hak akses minimal; otentikasi multi-faktor wajib untuk semua administrator.
- Infrastruktur yang diperkuat dan dihosting oleh Uni Eropa dengan pemindaian kerentanan dan penambalan secara berkala.
- Peninjauan kode, manajemen rahasia, SDLC yang aman, dan pemisahan lingkungan produksi/staging.
- Pencatatan terpusat yang terlindungi integritasnya; peringatan terhadap peristiwa otentikasi dan ekspor data yang mencurigakan.
- Cadangan data terenkripsi yang terpisah secara geografis dengan pengujian pemulihan yang terdokumentasi.
- Prosedur penerimaan/pemberhentian karyawan, pengelola kata sandi, laptop aman dengan enkripsi disk penuh.
- Rencana keberlangsungan bisnis dan respons insiden ditinjau setidaknya setiap tahun.
Sub-pemrosesan
Pengontrol memberikan otorisasi umum kepada ELXAO untuk melibatkan sub-prosesor untuk melakukan aktivitas pemrosesan tertentu (hosting, pengiriman email, analitik, platform iklan, alat dukungan pelanggan, platform manajemen acara). ELXAO memelihara daftar sub-prosesor terkini, yang tersedia atas permintaan di [email protected] , dan akan memberikan pemberitahuan setidaknya tiga puluh (30) hari sebelumnya tentang setiap penambahan atau penggantian yang direncanakan, di mana Pengontrol dapat mengajukan keberatan berdasarkan alasan perlindungan data yang wajar. ELXAO memberlakukan kewajiban perlindungan data kepada setiap sub-prosesor yang tidak kurang protektif daripada yang ditetapkan dalam Perjanjian Perlindungan Data ini.
Transfer internasional
Data pribadi diproses terutama di dalam Wilayah Ekonomi Eropa (EEA). Jika pemrosesan melibatkan transfer ke luar EEA ke negara tanpa keputusan kecukupan, ELXAO mengandalkan perlindungan yang sesuai berdasarkan Pasal 46 GDPR, terutama Klausul Kontrak Standar (SCC) Komisi Eropa tanggal 4 Juni 2021, yang dilengkapi dengan langkah-langkah tambahan yang diperlukan oleh penilaian dampak transfer.
Bantuan kepada Pengontrol
ELXAO membantu Pengontrol, dengan langkah-langkah teknis dan organisasi yang tepat, dalam memenuhi kewajibannya untuk menanggapi permintaan subjek data (Pasal 12–22 GDPR) dan dalam memastikan kepatuhan terhadap Pasal 32–36 GDPR (keamanan, pemberitahuan pelanggaran, DPIA, konsultasi sebelumnya). Bantuan standar termasuk dalam Layanan; pekerjaan substansial yang melebihi satu (1) Hari Kerja per permintaan dapat ditagih dengan tarif profesional ELXAO yang berlaku saat itu setelah pemberitahuan tertulis.
Pelanggaran data pribadi
ELXAO memberitahukan Pengontrol tanpa penundaan yang tidak semestinya dan dalam hal apa pun dalam waktu tujuh puluh dua (72) jam setelah mengetahui adanya pelanggaran data pribadi yang memengaruhi data Pengontrol. Pemberitahuan tersebut mencakup sifat pelanggaran, kategori dan perkiraan volume yang terpengaruh, kemungkinan konsekuensi, dan langkah-langkah yang diambil atau diusulkan untuk mengatasinya.
Audit
ELXAO menyediakan kepada Pengendali, atas permintaan yang wajar dan tidak lebih dari sekali setahun (kecuali setelah pelanggaran), informasi yang diperlukan untuk menunjukkan kepatuhan terhadap DPA ini, termasuk laporan tipe ISO 27001 / SOC 2 dari sub-prosesor jika tersedia. Audit di lokasi dapat dilakukan oleh Pengendali atau auditor pihak ketiga yang disetujui bersama dan terikat oleh kerahasiaan, dengan biaya Pengendali, dengan pemberitahuan sebelumnya yang wajar dan selama jam kerja, dengan cara yang tidak mengganggu operasi ELXAO secara tidak wajar.
Pengembalian atau penghapusan data
Setelah berakhirnya Perjanjian ini, ELXAO, atas pilihan Pengendali yang dinyatakan dalam waktu tiga puluh (30) hari, akan mengembalikan semua data pribadi dalam format terstruktur, umum digunakan, dan dapat dibaca mesin, atau menghapusnya dari semua sistem produksi dan operasional. Salinan cadangan dihapus pada siklus rotasi standar (hingga sembilan puluh (90) hari) dan dapat disimpan lebih lama dari periode tersebut hanya jika diwajibkan oleh hukum yang berlaku, dalam hal ini tetap tunduk pada kewajiban keamanan dan kerahasiaan DPA ini.
Beban
Ketentuan pertanggungjawaban dalam MSA berlaku untuk klaim yang timbul berdasarkan DPA ini. Masing-masing pihak tetap bertanggung jawab kepada subjek data dan otoritas pengawas sesuai dengan Pasal 82 GDPR.
Kontak
Untuk pertanyaan, permintaan, atau pemberitahuan apa pun terkait perlindungan data berdasarkan DPA ini, hubungi ELXAO di [email protected] .