Perjanjian Pemrosesan Data (DPA)
Terakhir diperbarui: Juni 2026
Catatan Penggunaan
Perjanjian Pemrosesan Data ini ('DPA') merupakan bagian tidak terpisahkan dari Perjanjian Berlangganan antara Ailesh Plus dan Klien. DPA ini wajib ditandatangani sebelum AP mulai mengakses atau memproses Data Pribadi milik Klien, termasuk dalam tahap kustomisasi dan layanan Personal Assistant.
Para Pihak
Salinan untuk ditandatangani
Halaman ini memuat ketentuan DPA sebagaimana berlaku. Salinan lengkap dengan identitas para pihak dan blok tanda tangan disediakan saat proses berlangganan. Hubungi tim kami untuk memperolehnya.
| Pihak | Identitas |
|---|---|
| Prosesor Data ('Ailesh Plus' / 'AP') | PT Cipta Inovasi Berkelanjutan, suatu perseroan terbatas yang didirikan dan beroperasi berdasarkan hukum Republik Indonesia, beralamat di Antasena 2, Gg. Antasena II, RT.03/RW.18, Tegal Weru, Sariharjo, Kec. Ngaglik, Kabupaten Sleman, Daerah Istimewa Yogyakarta 55581, diwakili secara sah oleh Fano Alfian Ardyansyah selaku Direktur. |
| Pengendali Data ('Klien') | Entitas hukum yang mengadakan Perjanjian Berlangganan dengan AP. Identitas lengkap dicantumkan pada salinan yang ditandatangani. |
AP dan Klien selanjutnya secara bersama disebut 'Para Pihak' dan masing-masing disebut 'Pihak'.
1. Definisi
| Istilah | Definisi |
|---|---|
| 'Data Pribadi' | Setiap informasi yang berkaitan dengan orang perseorangan yang teridentifikasi atau dapat diidentifikasi, sebagaimana didefinisikan dalam UU PDP No. 27/2022. |
| 'Pemrosesan' | Setiap operasi yang dilakukan terhadap Data Pribadi, termasuk pengumpulan, pencatatan, penyimpanan, penggunaan, pengungkapan, penghapusan, atau pemusnahan. |
| 'Pengendali Data' | Klien, selaku pihak yang menentukan tujuan dan cara Pemrosesan Data Pribadi. |
| 'Prosesor Data' | AP, selaku pihak yang memproses Data Pribadi atas nama dan berdasarkan instruksi Klien. |
| 'Sub-prosesor' | Pihak ketiga yang ditunjuk AP untuk memproses Data Pribadi dalam rangka penyediaan Layanan. |
| 'Subjek Data' | Individu yang Data Pribadinya diproses dalam rangka DPA ini (termasuk karyawan Klien). |
| 'Data Breach' | Pelanggaran keamanan yang mengakibatkan penghancuran, kehilangan, perubahan, pengungkapan tidak sah, atau akses tidak sah terhadap Data Pribadi. |
| 'DPIA' | Data Protection Impact Assessment - penilaian dampak perlindungan data. |
| 'TOMs' | Technical and Organizational Measures - langkah-langkah teknis dan organisasi untuk keamanan data. |
2. Ruang Lingkup Pemrosesan
2.1 Detail Pemrosesan
| Parameter | Detail |
|---|---|
| Tujuan Pemrosesan | Penyediaan platform manajemen data lingkungan; pengolahan data mentah lingkungan; pembuatan laporan compliance dan sustainability; layanan Personal Assistant. |
| Jenis Data Pribadi | Nama, jabatan, dan informasi identifikasi karyawan Klien yang terkait dengan data lingkungan; alamat email dan nomor kontak bisnis; data log aktivitas pengguna. |
| Kategori Subjek Data | Karyawan Klien (termasuk engineer lingkungan, manajer, dan personel terkait); perwakilan resmi Klien. |
| Durasi Pemrosesan | Selama masa berlangganan aktif sesuai Perjanjian Berlangganan dan hingga penghapusan data selesai pasca-terminasi. |
| Sifat Pemrosesan | Penyimpanan, pengorganisasian, pengolahan, analisis, dan pelaporan data lingkungan yang mengandung Data Pribadi. |
3. Instruksi Pemrosesan
- 3.1 AP wajib memproses Data Pribadi hanya berdasarkan instruksi yang terdokumentasi dari Klien sebagaimana ditetapkan dalam DPA ini, Perjanjian Berlangganan, dan PRD yang disepakati.
- 3.2 AP tidak akan memproses Data Pribadi untuk tujuan selain yang ditetapkan dalam DPA ini tanpa persetujuan tertulis Klien.
- 3.3 Jika AP diwajibkan oleh hukum untuk memproses Data Pribadi di luar instruksi Klien, AP akan memberitahu Klien sebelumnya kecuali jika dilarang oleh hukum.
4. Kewajiban Kerahasiaan
- 4.1 AP menjamin bahwa seluruh personel yang memiliki akses ke Data Pribadi Klien (termasuk tim Personal Assistant) terikat kewajiban kerahasiaan yang memadai.
- 4.2 Akses terhadap Data Pribadi dibatasi hanya kepada personel yang benar-benar membutuhkan akses tersebut untuk penyediaan Layanan ('need-to-know basis').
- 4.3 AP akan memberikan pelatihan perlindungan data yang memadai kepada personel yang menangani Data Pribadi Klien.
5. Langkah Keamanan (TOMs)
5.1 AP berkomitmen untuk menerapkan dan mempertahankan langkah-langkah keamanan teknis dan organisasi yang sesuai, termasuk namun tidak terbatas pada:
5.2 Langkah Teknis
- Enkripsi data saat transit menggunakan protokol TLS 1.2 atau lebih tinggi
- Enkripsi data saat disimpan menggunakan standar AES-256
- Sistem autentikasi multi-faktor untuk akses ke sistem yang mengandung Data Pribadi
- Kontrol akses berbasis peran (RBAC) yang memastikan segregasi data antar klien
- Pemantauan keamanan dan deteksi intrusi secara berkelanjutan
- Backup data secara otomatis dan berkala
- Pengujian keamanan dan vulnerability assessment secara berkala
5.3 Langkah Organisasi
- Kebijakan privasi dan keamanan data internal yang dipatuhi seluruh karyawan
- Pelatihan keamanan data wajib bagi seluruh staf yang menangani Data Pribadi
- Prosedur respon insiden keamanan data yang terdokumentasi
- Penilaian risiko berkala atas sistem dan proses yang menangani Data Pribadi
6. Sub-prosesor
6.1 Klien memberikan otorisasi umum kepada AP untuk menunjuk Sub-prosesor, dengan ketentuan AP memberitahu Klien sebelumnya dan Klien berhak mengajukan keberatan yang beralasan.
6.2 Sub-prosesor yang saat ini digunakan AP:
| Sub-prosesor | Tujuan | Lokasi |
|---|---|---|
| Amazon Web Services (AWS) | Hosting infrastruktur dan penyimpanan data | Jakarta, Indonesia |
| Amazon Simple Email Service | Pengiriman notifikasi email | Jakarta, Indonesia |
- 6.3 AP bertanggung jawab atas kepatuhan Sub-prosesor terhadap kewajiban perlindungan data yang setara dengan DPA ini.
- 6.4 AP akan memberitahu Klien minimal 30 hari sebelum menambahkan atau mengganti Sub-prosesor yang akan memproses Data Pribadi.
7. Hak Subjek Data
- 7.1 AP wajib membantu Klien dalam memenuhi kewajiban Klien untuk merespons permohonan Subjek Data dalam batas waktu yang ditentukan oleh UU PDP.
- 7.2 AP akan segera (dalam 72 jam) meneruskan kepada Klien setiap permohonan yang diterima dari Subjek Data terkait hak-haknya.
- 7.3 Hak-hak Subjek Data yang dimaksud meliputi: hak akses, hak koreksi, hak penghapusan, hak pembatasan, hak portabilitas data, dan hak keberatan.
8. Notifikasi Pelanggaran Data (Data Breach)
8.1 AP akan memberitahu Klien tanpa penundaan yang tidak perlu dan paling lambat dalam 3x24 jam setelah AP mengetahui terjadinya Data Breach yang mempengaruhi Data Pribadi Klien.
8.2 Notifikasi minimal mencakup:
- Deskripsi sifat Data Breach termasuk kategori dan perkiraan jumlah data dan Subjek Data yang terdampak
- Informasi kontak dari narahubung AP untuk pertanyaan lebih lanjut
- Deskripsi kemungkinan konsekuensi dari Data Breach
- Deskripsi langkah-langkah yang telah atau diusulkan AP untuk mengatasi Data Breach
8.3 Klien bertanggung jawab untuk melaporkan Data Breach kepada otoritas yang berwenang sesuai UU PDP (dalam 14x24 jam) dan memberitahu Subjek Data jika diperlukan.
9. Data Protection Impact Assessment (DPIA)
AP akan memberikan bantuan yang diperlukan kepada Klien dalam melaksanakan DPIA jika diminta, khususnya terkait operasional pemrosesan yang dilakukan AP atas nama Klien.
10. Penghapusan dan Pengembalian Data
10.1 Setelah berakhirnya Perjanjian Berlangganan atau atas permintaan Klien, AP berkomitmen untuk:
- Menyediakan ekspor seluruh Data Klien dalam format standar yang dapat dibaca dalam waktu 30 hari
- Menghapus atau memusnahkan seluruh salinan Data Pribadi setelah periode ekspor berakhir atau setelah Klien mengkonfirmasi ekspor selesai
- Memberikan sertifikasi tertulis penghapusan data kepada Klien atas permintaan
10.2 Pengecualian: AP dapat mempertahankan Data Pribadi jika diwajibkan oleh hukum yang berlaku, dalam hal mana AP akan memberitahu Klien tentang kewajiban tersebut.
11. Hak Audit
- 11.1 AP akan menyediakan kepada Klien seluruh informasi yang diperlukan untuk mendemonstrasikan kepatuhan AP terhadap kewajiban dalam DPA ini.
- 11.2 AP mengizinkan dan berkontribusi terhadap audit dan inspeksi yang dilakukan oleh Klien atau auditor yang ditunjuk Klien, dengan pemberitahuan tertulis minimal 30 hari sebelumnya.
- 11.3 Klien menanggung biaya audit kecuali audit mengungkapkan pelanggaran material oleh AP.
12. Transfer Data Lintas Batas
- 12.1 AP tidak akan mentransfer Data Pribadi ke luar wilayah Indonesia kecuali dengan persetujuan tertulis Klien dan sesuai ketentuan Pasal 49 UU PDP No. 27/2022.
- 12.2 Jika transfer diperlukan (misalnya karena infrastruktur cloud), AP akan memastikan tersedianya perlindungan yang memadai sebelum transfer dilakukan.
13. Tanggung Jawab dan Ganti Rugi
- 13.1 Setiap Pihak bertanggung jawab atas kerugian yang diderita pihak lain akibat pelanggaran kewajibannya dalam DPA ini.
- 13.2 Batas tanggung jawab AP dalam DPA ini tunduk pada ketentuan batas tanggung jawab dalam Perjanjian Berlangganan, kecuali untuk pelanggaran yang disengaja atau kelalaian besar.
14. Masa Berlaku
DPA ini berlaku sejak ditandatangani dan berakhir bersamaan dengan berakhirnya Perjanjian Berlangganan, kecuali kewajiban-kewajiban yang secara eksplisit bertahan pasca terminasi.
15. Hukum yang Berlaku
DPA ini tunduk pada hukum Republik Indonesia, khususnya UU No. 27 Tahun 2022 tentang Perlindungan Data Pribadi.
Dokumen legal lain: Kebijakan Privasi · Syarat & Ketentuan · Kebijakan Cookie · Perjanjian Pemrosesan Data
Ada pertanyaan tentang dokumen ini? Hubungi tim kami.