Keamanan dan kepemilikan data lingkungan Anda

Data yang Anda unggah tetap milik perusahaan Anda. Halaman ini menjelaskan cara kami menjaganya, dan mengikuti Kebijakan Privasi serta DPA kata per kata.

Data yang Anda unggah tetap milik Anda

Data lingkungan adalah data operasional yang sensitif. Angka emisi, neraca limbah, dan lokasi fasilitas menggambarkan cara perusahaan Anda bekerja. Kedudukan hukumnya kami nyatakan tertulis, bukan sebagai janji pemasaran.

Status hukum data klien

Data lingkungan yang diunggah klien adalah MILIK KLIEN. Ailesh Plus bertindak sebagai Prosesor Data atas instruksi klien. Kami tidak menggunakan data ini untuk tujuan kami sendiri. Kutipan dari Kebijakan Privasi bagian 3.3.

Kepemilikan Data Klien tetap eksklusif pada perusahaan Anda; kami tidak mengklaim kepemilikan atasnya (Syarat & Ketentuan Pasal 7.2).
Kami memproses Data Pribadi hanya berdasarkan instruksi terdokumentasi dari Anda, melalui DPA, Perjanjian Berlangganan, dan PRD yang disepakati (DPA Pasal 3.1).
Ailesh Plus tidak menjual, menyewakan, atau memperdagangkan data pribadi kepada pihak mana pun untuk tujuan komersial (Kebijakan Privasi bagian 5.3).
Pengelolaan data klien diatur terpisah dalam DPA yang ditandatangani antara Ailesh Plus dan setiap klien.

Langkah keamanan yang kami terapkan

Daftar berikut adalah Technical and Organisational Measures (langkah teknis dan organisasi) yang tercantum di DPA Pasal 5.2 dan 5.3. Isinya sama persis dengan yang Anda tanda tangani.

Langkah	Jenis
Enkripsi data saat transit menggunakan protokol TLS 1.2 atau lebih tinggi	Teknis
Enkripsi data saat disimpan menggunakan standar AES-256	Teknis
Sistem autentikasi multi-faktor untuk akses ke sistem yang mengandung Data Pribadi	Teknis
Kontrol akses berbasis peran (RBAC) yang memastikan segregasi data antar klien	Teknis
Pemantauan keamanan dan deteksi intrusi secara berkelanjutan	Teknis
Backup data secara otomatis dan berkala	Teknis
Pengujian keamanan dan vulnerability assessment secara berkala	Teknis
Kebijakan privasi dan keamanan data internal yang dipatuhi seluruh karyawan	Organisasi
Pelatihan keamanan data wajib bagi seluruh staf yang menangani Data Pribadi	Organisasi
Prosedur respon insiden keamanan data yang terdokumentasi	Organisasi
Penilaian risiko berkala atas sistem dan proses yang menangani Data Pribadi	Organisasi

Kebijakan Privasi bagian 6 menambahkan dua hal yang berlaku pada seluruh pengguna platform: autentikasi dua faktor untuk akun administrator, serta audit keamanan internal dan pengujian penetrasi secara berkala.

Siapa yang dapat melihat data Anda

Akses dibatasi dari dua arah. Di dalam perusahaan Anda, administrator Anda sendiri yang mengatur peran pengguna. Di sisi kami, akses dibuka hanya sejauh yang dibutuhkan untuk menjalankan layanan.

Seluruh personel yang mengakses Data Pribadi Anda, termasuk tim Personal Assistant, terikat kewajiban kerahasiaan (DPA Pasal 4.1).
Akses dibatasi hanya kepada personel yang benar-benar membutuhkannya untuk penyediaan layanan — need-to-know basis (DPA Pasal 4.2).
Kontrol akses berbasis peran memastikan data satu klien terpisah dari klien lain (DPA Pasal 5.2).
Klien dilarang mengakses data klien lain melalui platform (Syarat & Ketentuan Pasal 5.2).
Log aktivitas pengguna termasuk data yang kami proses, dan disimpan sebagai log keamanan dan audit selama 12 bulan.

Kredensial akun tetap tanggung jawab Anda. Syarat & Ketentuan Pasal 4 meminta Anda menjaga kerahasiaannya, tidak membagikannya antar individu, dan segera memberitahu kami bila ada dugaan akses tidak sah.

Bila terjadi pelanggaran data

Urutan dan tenggatnya sudah ditetapkan di DPA Pasal 8, jadi tidak ada yang perlu dinegosiasikan saat insiden sedang berlangsung.

1Kami memberitahu Anda dalam 3x24 jamPemberitahuan dikirim tanpa penundaan yang tidak perlu, paling lambat 3x24 jam sejak kami mengetahui terjadinya Data Breach yang mempengaruhi Data Pribadi Anda.
2Isi pemberitahuan sudah ditentukanMinimal memuat sifat pelanggaran, kategori dan perkiraan jumlah data serta subjek data terdampak, narahubung kami, kemungkinan konsekuensi, dan langkah penanganan yang diambil.
3Pelaporan ke otoritas dalam 14x24 jamUU Perlindungan Data Pribadi No. 27 Tahun 2022 menetapkan tenggat 14x24 jam. DPA Pasal 8.3 menempatkan kewajiban pelapor pada Anda sebagai Pengendali Data, dan kami menyediakan bahannya.
4Mitigasi dan tindak lanjutKami menginformasikan langkah mitigasi yang telah dan akan diambil, sesuai komitmen di Kebijakan Privasi bagian 9.

Perbedaan peran yang perlu Anda perhatikan

Anda adalah Pengendali Data atas data karyawan dan data lingkungan perusahaan; kami Prosesor Data. Karena itu pelaporan ke otoritas dan pemberitahuan kepada subjek data adalah tindakan Anda, dengan bantuan kami.

Berapa lama data disimpan

Salinan tabel masa penyimpanan di Kebijakan Privasi bagian 7.

Jenis data	Masa penyimpanan
Data akun aktif	Selama masa berlangganan aktif
Data akun setelah terminasi	30 hari setelah terminasi untuk ekspor, kemudian dihapus
Log keamanan dan audit	12 bulan
Data penagihan	Sesuai kewajiban perpajakan (5 tahun)
Komunikasi dukungan	3 tahun
Data lingkungan klien	Sesuai DPA; dikembalikan atau dihapus dalam 30 hari pasca-terminasi

Saat langganan berakhir, data ikut pulang

1Ekspor dibukaKami menyediakan ekspor seluruh Data Klien dalam format standar yang dapat dibaca sistem lain. Periode ekspor berjalan 30 hari sejak terminasi (Kebijakan Privasi bagian 7).
2Penghapusan salinanSetelah periode ekspor berakhir, atau setelah Anda mengonfirmasi ekspor selesai, kami menghapus atau memusnahkan seluruh salinan Data Pribadi (DPA Pasal 10.1).
3Sertifikasi penghapusanAtas permintaan Anda, kami memberikan sertifikasi tertulis bahwa penghapusan telah dilakukan. Dokumen ini sering diminta tim audit internal.

Satu pengecualian tercatat di DPA Pasal 10.2: kami dapat mempertahankan Data Pribadi bila diwajibkan hukum yang berlaku. Dalam hal itu kami memberitahu Anda tentang kewajiban tersebut.

Hak audit yang Anda miliki

Kami menyediakan seluruh informasi yang diperlukan untuk mendemonstrasikan kepatuhan kami terhadap kewajiban dalam DPA (Pasal 11.1).
Kami mengizinkan dan berkontribusi terhadap audit dan inspeksi oleh Anda atau auditor yang Anda tunjuk, dengan pemberitahuan tertulis sebelumnya (Pasal 11.2).
Biaya audit ditanggung Anda, kecuali audit mengungkapkan pelanggaran material oleh kami (Pasal 11.3).
Kami membantu pelaksanaan Data Protection Impact Assessment bila Anda memintanya (Pasal 9).

Transfer data ke luar Indonesia

Ketentuannya tertutup, bukan terbuka. DPA Pasal 12.1 menyatakan kami tidak akan mentransfer Data Pribadi ke luar wilayah Indonesia tanpa persetujuan tertulis Anda.

Transfer hanya dilakukan sesuai Pasal 49 UU Perlindungan Data Pribadi No. 27 Tahun 2022.
Negara tujuan harus memiliki tingkat perlindungan data yang setara dengan Indonesia.
Bila tidak setara, harus tersedia perlindungan kontraktual yang memadai berupa klausul kontraktual standar.
Bila transfer diperlukan karena infrastruktur cloud, perlindungan tersebut disiapkan lebih dulu (DPA Pasal 12.2).

Yang belum kami klaim

Halaman keamanan mudah diisi lambang sertifikat. Kami memilih menulis apa yang benar-benar berlaku hari ini, karena tim procurement Anda akan memverifikasinya.

Yang berlaku hari ini

Kami mengacu pada praktik pengelolaan keamanan informasi ISO/IEC 27001.
Enkripsi, RBAC, MFA, dan prosedur respon insiden sudah tertulis mengikat di DPA.
Hak audit dan hak ekspor data Anda sudah berlaku sejak DPA ditandatangani.

Yang belum bisa kami nyatakan

Status tersertifikasi ISO/IEC 27001 maupun SOC 2 — hanya ditulis bila sertifikatnya benar-benar dimiliki.
Tingkat layanan dukungan teknis dalam angka — ditetapkan di Service Level Agreement.

Sub-prosesor dan lokasi server

Daftar sub-prosesor beserta lokasinya dicantumkan di Kebijakan Privasi bagian 5.1 dan DPA Pasal 6.2. Anda berhak mengajukan keberatan yang beralasan atas penunjukan sub-prosesor, dan kami memberitahu sebelum menambah atau menggantinya.

Dokumen yang bisa Anda minta

Kebijakan Privasi — dasar hukum pemrosesan, masa penyimpanan, dan hak subjek data.
Perjanjian Pemrosesan Data (DPA) — salinan siap tanda tangan, memuat seluruh langkah keamanan di atas.
Syarat dan Ketentuan Penggunaan — kewajiban kedua pihak, kepemilikan data, dan ketentuan pengakhiran.
Kebijakan Cookie — cookie yang dipakai situs dan cara mengaturnya.

Untuk pertanyaan perlindungan data, termasuk permohonan hak subjek data, hubungi [email protected]. Kami merespons dalam 14 hari kerja sesuai Kebijakan Privasi bagian 8.

Minta dokumen untuk proses pengadaan

Sebutkan dokumen yang diminta tim IT atau procurement Anda, dan kami kirimkan versi yang berlaku.

Hubungi kami