Terjemahan ini disediakan hanya untuk kemudahan. Jika terdapat perbedaan, versi bahasa Inggris yang berlaku.

Perjanjian Pemrosesan Data

Perjanjian Pemrosesan Data ini ("DPA") merupakan bagian dari perjanjian antara Anda ("Pengendali Data") dan Caliradi LLC, operator Caliradi.ai ("Prosesor Data"), dan berlaku apabila kami memproses data pribadi atas nama Anda dalam menyediakan Layanan Caliradi.

1. Definisi

Istilah dengan huruf kapital yang tidak didefinisikan di sini memiliki arti sebagaimana diberikan dalam GDPR (Regulation (EU) 2016/679):

• Pengendali Data — Anda, pelanggan Caliradi yang menentukan tujuan dan cara pemrosesan.
• Prosesor Data — Caliradi LLC, yang memproses data pribadi atas nama Anda.
• Subjek Data — pelanggan akhir, karyawan, atau kontak Anda yang data pribadinya diproses.
• Subprosesor — pihak ketiga mana pun yang kami libatkan untuk memproses data pribadi (lihat Bagian 7).

2. Ruang lingkup & pokok bahasan

Kami memproses data pribadi hanya untuk menyediakan Layanan Caliradi kepada Anda dan sesuai instruksi Anda. Durasi pemrosesan adalah masa berlaku paket Anda, ditambah periode retensi apa pun yang diwajibkan oleh hukum.

3. Kategori data pribadi & subjek data

4. Kewajiban Prosesor Data

Kami akan:

• Memproses data pribadi hanya berdasarkan instruksi terdokumentasi dari Anda, termasuk untuk transfer internasional.
• Memastikan bahwa personel yang berwenang mengakses data pribadi terikat oleh kewajiban kerahasiaan.
• Menerapkan langkah-langkah keamanan teknis dan organisasional yang sesuai (Bagian 6).
• Membantu Anda dalam menanggapi permintaan subjek data (akses, penghapusan, portabilitas, dll.).
• Membantu Anda dengan penilaian dampak perlindungan data dan konsultasi sebelumnya dengan otoritas pengawas.
• Memberi tahu Anda tentang pelanggaran data pribadi tanpa penundaan yang tidak semestinya, dan dalam 72 jam jika memungkinkan.
• Mengembalikan atau menghapus data pribadi pada akhir layanan, kecuali retensi diwajibkan oleh hukum.
• Menyediakan semua informasi yang diperlukan untuk menunjukkan kepatuhan dan mengizinkan audit (Bagian 8).

5. Kewajiban Pengendali Data

Anda akan:

• Memproses data pribadi sesuai dengan hukum yang berlaku.
• Memiliki dasar hukum yang sah untuk pemrosesan yang diinstruksikan (persetujuan, kontrak, kepentingan yang sah, dll.).
• Memberikan instruksi pemrosesan yang akurat dan sah menurut hukum.
• Memberi tahu Subjek Data tentang cara data mereka diproses, termasuk DPA ini apabila relevan.

6. Langkah-langkah keamanan

Kami menerapkan dan memelihara langkah-langkah teknis dan organisasional berikut:

• Enkripsi. TLS 1.2+ saat transit, AES-256 saat disimpan.
• Kontrol akses. Akses berbasis peran, MFA untuk sistem produksi, prinsip hak akses minimum (least privilege).
• Keamanan jaringan. Cloudflare WAF, perlindungan DDoS, daftar IP yang diizinkan (allowlist) untuk akses admin.
• Pemantauan. Pencatatan audit, deteksi intrusi, peringatan anomali otomatis.
• Cadangan. Pencadangan terenkripsi harian, retensi 30 hari, diuji setiap kuartal untuk kemampuan pemulihan.
• Personel. Pemeriksaan latar belakang, perjanjian kerahasiaan yang ditandatangani, pelatihan keamanan wajib.
• Manajemen vendor. Tinjauan keamanan dan DPA yang berlaku dengan setiap subprosesor.
• Respons insiden. Panduan penanganan (playbook) terdokumentasi, siaga 24/7, tinjauan pascainsiden (post-mortem).
• Kepatuhan. Sedang mengupayakan sertifikasi SOC-2 Type II.

7. Subprosesor

Anda memberi kami wewenang untuk melibatkan subprosesor berikut untuk tujuan yang dijelaskan:

Kami akan memberi tahu Anda setidaknya 14 hari sebelum menambahkan atau mengganti subprosesor. Anda dapat mengajukan keberatan atas dasar perlindungan data yang wajar; jika tidak tercapai penyelesaian, Anda dapat mengakhiri bagian Layanan yang terdampak.

8. Audit

Sekali per tahun, dengan pemberitahuan tertulis setidaknya 30 hari sebelumnya, Anda dapat mengaudit kepatuhan kami terhadap DPA ini. Kami dapat memenuhi kewajiban audit dengan menyediakan laporan audit pihak ketiga terbaru (misalnya, SOC-2). Audit harus menghormati kerahasiaan dan tidak mengganggu operasional.

9. Transfer internasional

Apabila data pribadi ditransfer ke luar Wilayah Ekonomi Eropa, Inggris, atau Swiss, kami mengandalkan Klausul Kontrak Standar Uni Eropa (SCC, Modul 2 — Pengendali Data ke Prosesor Data) dan UK International Data Transfer Addendum, sebagaimana berlaku. Dokumen-dokumen ini dimasukkan ke dalam DPA ini melalui rujukan.

10. Permintaan subjek data

Jika Subjek Data menghubungi kami secara langsung dengan permintaan untuk menggunakan haknya, kami akan merujuknya kepada Anda dan memberi tahu Anda. Kami akan secara wajar membantu Anda dalam menanggapi permintaan tersebut dalam jangka waktu yang ditentukan oleh hukum.

11. Tanggung jawab

Batas tanggung jawab dan ketentuan ganti rugi dalam Ketentuan Layanan kami berlaku untuk klaim yang timbul berdasarkan DPA ini, kecuali apabila hukum perlindungan data yang bersifat memaksa menentukan lain.

12. Jangka waktu & pengakhiran

DPA ini tetap berlaku selama kami memproses data pribadi atas nama Anda. Ketentuan yang dimaksudkan untuk tetap berlaku (kerahasiaan, audit, tanggung jawab, pengembalian/penghapusan data) tetap berlaku setelah pengakhiran.

13. Kontak