Perjanjian Pemrosesan Data Pribadi
Versi 0.1 · Diperbarui · Belum ditetapkan tanggal berlaku
1. Para pihak dan peran
- Pelanggan ("Pengendali"): menentukan tujuan dan cara pemrosesan data pribadi pengunjung dan pihak ketiga lain yang datanya masuk lewat Situs Pelanggan ("Data Situs"), misalnya nomor WhatsApp atau data kontak yang tampil di Situs, data pelanggan yang Anda masukkan sendiri, dan data pengunjung yang terkumpul oleh alat yang Anda aktifkan di Situs (mis. analitik).
- Sidotcom ("Pemroses"): memproses Data Situs atas nama dan sesuai perintah Pelanggan semata-mata untuk menyediakan Layanan.
Untuk data akun Pelanggan sendiri (email, nama, kata sandi, data langganan), Sidotcom adalah pengendali dan berlaku Kebijakan Privasi Sidotcom, bukan lampiran ini.
2. Ruang lingkup pemrosesan
| Hal | Isi |
|---|---|
| Pokok | menyimpan, menampilkan, dan melayani Situs Pelanggan serta kontennya |
| Jangka waktu | selama Pelanggan memakai Layanan, ditambah masa penyimpanan setelah penghentian (Syarat Langganan) |
| Sifat | penyimpanan, penampilan, pencadangan wajar, pengiriman lewat jaringan, pencatatan akses teknis |
| Kategori subjek data | pengunjung Situs, calon pembeli, pihak yang kontaknya Pelanggan cantumkan di Situs |
| Kategori data | catatan akses (alamat IP, waktu, perangkat, halaman), data kontak yang Pelanggan tampilkan, dan data lain yang Pelanggan masukkan ke Konten. Data pribadi sensitif tidak boleh dimasukkan |
3. Kewajiban Sidotcom sebagai Pemroses
- Perintah. Memproses Data Situs hanya sesuai perintah tertulis Pelanggan (Syarat ini dan pemakaian Layanan oleh Pelanggan), kecuali diwajibkan hukum; dalam hal itu kami memberi tahu Pelanggan bila hukum mengizinkan.
- Kerahasiaan. Orang yang kami izinkan mengakses Data Situs terikat kewajiban menjaga kerahasiaan.
- Keamanan. Menerapkan langkah teknis dan organisasi yang wajar (Lampiran A-3 di bawah) dan memperbaruinya sesuai perkembangan.
- Sub-pemroses. Pelanggan menyetujui pemakaian sub-pemroses pada Lampiran A-2. Kami mengikat sub-pemroses dengan kewajiban perlindungan yang setara, memberi tahu Pelanggan sekurangnya 14 hari sebelum menambah atau mengganti sub-pemroses, dan Pelanggan boleh berkeberatan secara wajar; bila tidak ada jalan tengah, Pelanggan dapat menghentikan Layanan.
- Bantuan hak subjek data. Membantu Pelanggan, dengan upaya wajar dan dengan memperhatikan sifat pemrosesan, menanggapi permintaan subjek data (akses, perbaikan, penghapusan). Permintaan yang masuk langsung ke kami atas Data Situs diteruskan ke Pelanggan.
- Insiden. Memberi tahu Pelanggan tanpa penundaan yang tidak semestinya dan paling lambat
[ISI: 48 jam; usulan agar Pelanggan dapat memenuhi kewajiban notifikasi 3×24 jam]sejak kami mengetahui kegagalan pelindungan yang memengaruhi Data Situs, dengan informasi yang tersedia (sifat insiden, data yang terdampak, langkah penanganan). - Pengembalian dan penghapusan. Setelah Layanan berakhir, kami menyediakan Data Situs untuk diekspor atas permintaan dalam masa penyimpanan, lalu menghapusnya sesuai Ketentuan Langganan (30 hari setelah penghentian), kecuali hukum mewajibkan penyimpanan.
- Bukti kepatuhan. Menyediakan informasi yang wajar untuk menunjukkan kepatuhan lampiran ini dan
mendukung pemeriksaan yang wajar (dengan pemberitahuan sebelumnya, pada jam kerja, tanpa mengganggu
pelanggan lain, dan dengan menjaga kerahasiaan).
[PERLU TINJAUAN AHLI HUKUM]
4. Kewajiban Pelanggan sebagai Pengendali
- Memiliki dasar hukum untuk memproses Data Situs dan memberi tahu pengunjung Situs, termasuk menayangkan kebijakan privasi Situs (Sidotcom menyediakan templat halaman privasi dari Profil usaha; Pelanggan bertanggung jawab atas kebenaran dan kelengkapannya).
- Memperoleh persetujuan pengunjung bila diwajibkan (mis. cookie analitik atau iklan yang Pelanggan aktifkan), dan tidak mengaktifkan alat yang memerlukan persetujuan tanpa banner persetujuan.
- Tidak memasukkan data pribadi sensitif atau data yang dilarang ke Layanan.
- Memberi perintah yang sah dan menanggapi permintaan subjek data atas Data Situsnya.
5. Transfer ke luar negeri
Sebagian sub-pemroses mungkin memproses data di luar Indonesia (lihat A-2). Kami memastikan transfer
dilakukan dengan perlindungan yang sesuai ketentuan yang berlaku. [PERLU TINJAUAN AHLI HUKUM]
Lampiran A-1: Sidotcom sebagai pengendali atau pemroses menurut jenis data
| Data | Peran Sidotcom |
|---|---|
| Akun dan langganan Pelanggan | pengendali |
| Catatan keamanan platform (login, IP) | pengendali |
| Konten dan data kontak yang tampil di Situs | pemroses |
| Catatan akses Situs Pelanggan (IP pengunjung, halaman) | pemroses (untuk menayangkan Situs) |
| Statistik pengunjung bawaan (bila diaktifkan kelak: tanpa cookie, tanpa menyimpan IP) | pemroses |
Lampiran A-2: Sub-pemroses (harus selalu sesuai kenyataan)
| Sub-pemroses | Layanan | Lokasi |
|---|---|---|
[ISI: penyedia server/VM] | server aplikasi dan basis data | [ISI] |
| Biznet Gio (Biznet NEO Object Storage) | penyimpanan gambar | [ISI: dikonfirmasi] |
[ISI: penyedia email, belum dipilih] | email transaksional | [ISI] |
[ISI: registrar domain, belum dipilih] | pendaftaran dan pengelolaan domain | [ISI] |
| Penerbit sertifikat HTTPS (mis. Let's Encrypt) | sertifikat domain | [ISI] |
Penyedia yang Pelanggan sambungkan sendiri (mis. Google Analytics atau Google Ads pada Situs mereka) adalah pihak ketiga pilihan Pelanggan, bukan sub-pemroses Sidotcom.
Lampiran A-3: Langkah keamanan
Setiap butir harus benar di produksi pada saat tayang. Butir bertanda
[KONFIRMASI]belum terbukti.
- Sambungan terenkripsi (HTTPS) untuk platform dan Situs.
- Kata sandi disimpan sebagai hash argon2id; token sesi hanya disimpan sebagai hash; rahasia autentikasi dua langkah staf disimpan terenkripsi.
- Autentikasi dua langkah wajib untuk staf; pembatasan laju dan penguncian akun.
- Pemisahan data antar pelanggan di tingkat aplikasi (kebijakan tingkat basis data:
[KONFIRMASI setelah peran basis data A7 dipasang]); hak akses staf berbasis peran, dan semua tindakan staf pada Situs Pelanggan tercatat. - API tidak terbuka ke publik; akses database dan cache dibatasi
[KONFIRMASI setelah L4 dan L5 selesai]. - Pencadangan dan pemulihan:
[KONFIRMASI setelah L18 selesai; jangan dicantumkan sebelum aktif dan teruji]. - Pemantauan dan penanganan insiden:
[KONFIRMASI setelah L19/L24 dan prosedur insiden ada].