Data Processing Addendum
Berlaku 2026-05-28
DPA ini adalah bagian dari Ketentuan Layanan antara Pelanggan (controller) dan Enginara (processor), dan memuat kesepakatan kedua pihak soal pemrosesan data pribadi menurut GDPR Uni Eropa dan Inggris.
1. Definisi
Istilah berhuruf kapital yang tidak didefinisikan di sini punya arti seperti dalam GDPR atau Ketentuan Layanan. "Data Pelanggan" berarti data pribadi yang dikirim Pelanggan ke Layanan atau disimpan di dalamnya.
2. Peran masing-masing pihak
Pelanggan adalah controller atas Data Pelanggan. Enginara adalah processor dan hanya bertindak berdasarkan instruksi tertulis dari Pelanggan, kecuali bila hukum mengharuskan lain.
3. Rincian pemrosesan
| Pokok pemrosesan | Penarikan metadata engineering dan penyusunan laporan |
|---|---|
| Jangka waktu | Selama Perjanjian Layanan berlaku, ditambah masa simpan yang diatur di Kebijakan Privasi |
| Kategori data | Identitas karyawan (nama, email, username) dan metadata aktivitas |
| Kategori subjek data | Staf engineering Pelanggan dan pengguna source tool yang terhubung |
| Tujuan | Menghasilkan laporan dan dashboard engineering intelligence |
4. Sub-processor
Pelanggan memberi wewenang kepada Enginara untuk memakai sub-processor dalam menjalankan Layanan. Daftar terkini, lengkap dengan nama tiap sub-processor, data apa yang diproses, dan di mana beroperasi, bisa diminta lewat [email protected]. Kami memberi pemberitahuan 30 hari untuk setiap penambahan atau penggantian; Pelanggan boleh keberatan dengan alasan yang wajar, dan kedua pihak akan mencari alternatifnya dengan iktikad baik.
5. Keamanan
Kami menerapkan dan memelihara langkah teknis serta organisasional yang memadai, termasuk enkripsi saat transit (TLS 1.2+) dan saat disimpan (AES-256), kontrol akses, audit logging, dan penanganan insiden.
6. Kebocoran data pribadi
Kami akan memberi tahu Pelanggan tanpa penundaan yang tidak wajar (dan dalam 72 jam bila memungkinkan) atas setiap kebocoran data pribadi yang terkonfirmasi dan menyangkut Data Pelanggan, termasuk kategori data yang terdampak, kemungkinan akibatnya, dan langkah mitigasi yang sudah diambil.
7. Permintaan subjek data
Kami akan membantu Pelanggan menanggapi permintaan subjek data (akses, koreksi, penghapusan, portabilitas, keberatan, pembatasan) lewat fitur ekspor dan hapus data di dalam aplikasi, serta lewat tiket support bila fitur itu belum mencukupi.
8. Transfer antarnegara
Untuk Data Pelanggan yang ditransfer ke luar EEA atau Inggris, kedua pihak sepakat bahwa Standard Contractual Clauses (Module Two, 2021/914) dan UK International Data Transfer Addendum berlaku dan menjadi bagian dari perjanjian ini.
9. Audit
Pelanggan boleh meminta, paling banyak sekali setahun, salinan laporan audit keamanan terbaru kami (misalnya SOC 2 Type II bila sudah ada) dan CAIQ yang sudah kami isi. Audit di lokasi bisa diminta dengan pemberitahuan 30 hari, dengan tunduk pada kontrol kerahasiaan dan keamanan yang wajar.
10. Pengembalian dan penghapusan
Saat perjanjian berakhir, kami akan mengembalikan atau menghapus Data Pelanggan dalam 90 hari, menyesuaikan siklus backup dan kewajiban legal hold yang ada. Sertifikat penghapusan tersedia atas permintaan tertulis.
11. Pertentangan ketentuan
Kalau DPA ini bertentangan dengan Ketentuan Layanan atau Master Services Agreement yang ditandatangani, DPA ini yang berlaku sepanjang menyangkut pemrosesan data pribadi.
12. Kontak
Pertanyaan soal DPA: [email protected].