Perjanjian pemrosesan data

1. Para pihak dan peran

Perjanjian ini dibuat antara pelanggan bisnis yang menyetujui Syarat dan Ketentuan ("Pelanggan") dan PT. Degresh Teknologi Dinamis ("Degresh"), yang dapat dihubungi di hello@degresh.com.

Untuk data pribadi di dalam space Pelanggan, Pelanggan adalah pengendali data pribadi dan Degresh adalah prosesor data pribadi yang memproses atas nama Pelanggan (Pasal 51 UU PDP). Pelanggan bertanggung jawab memastikan ia punya dasar yang sah untuk memproses data itu dan telah memberi tahu subjek datanya.

2. Rincian pemrosesan

Pokok:

penyediaan layanan Degresh Finance kepada Pelanggan

Jangka waktu:

selama Pelanggan memakai layanan, ditambah masa penghapusan pada bagian 8

Sifat dan tujuan:

menyimpan, menghitung, menampilkan, mengekspor, dan mengirim email layanan, hanya untuk menjalankan layanan bagi Pelanggan

Jenis data:

nama dan alamat email anggota dan orang yang diundang; nama, keterangan, dan nilai transaksi tentang karyawan, klien, pemasok, atau pihak lain yang dicatat Pelanggan; berkas lampiran; serta catatan keamanan dan log aktivitas

Subjek data:

anggota space Pelanggan, dan karyawan, klien, pemasok, serta pihak lain yang dicatat di buku Pelanggan

Layanan tidak dirancang untuk data pribadi yang bersifat spesifik, seperti data kesehatan atau biometrik. Pelanggan sebaiknya tidak menyimpannya kecuali benar-benar perlu.

3. Kewajiban Degresh

• Memproses data hanya atas instruksi Pelanggan yang terdokumentasi: Syarat dan Ketentuan, perjanjian ini, dan pemakaian aplikasi oleh Pelanggan. Degresh memberi tahu Pelanggan jika menurutnya sebuah instruksi melanggar hukum.
• Tidak memakai data untuk tujuan lain: tidak untuk membangun fitur, melatih model apa pun, membagikannya, atau menjualnya.
• Menjaga kerahasiaan data, dan memastikan setiap orang yang bekerja untuk Degresh terikat kewajiban kerahasiaan. Aplikasi tidak memberi staf Degresh akses ke space Pelanggan.
• Membantu Pelanggan menanggapi permintaan subjek data dan, bila diperlukan, menyusun penilaian dampak pelindungan data pribadi.
• Menyimpan catatan kegiatan pemrosesan yang dilakukan atas nama Pelanggan.

4. Penyedia layanan (subprosesor)

Pelanggan memberi izin umum kepada Degresh untuk memakai penyedia layanan yang tercantum di halaman Penyedia layanan pihak ketiga. Rincian penyedia infrastruktur tersedia bagi Pelanggan atas permintaan. Degresh memberi tahu Pelanggan lewat email sedikitnya 14 hari sebelum menambah atau mengganti penyedia yang memproses data Pelanggan. Pelanggan dapat mengajukan keberatan dengan alasan yang wajar dalam masa itu; jika tidak tercapai jalan keluar, Pelanggan dapat berhenti memakai layanan.

Degresh mewajibkan setiap penyedia melindungi data setidaknya setara dengan perjanjian ini, dan tetap bertanggung jawab kepada Pelanggan atas pekerjaan penyedia tersebut.

5. Langkah keamanan

• Semua koneksi memakai HTTPS.
• Kata sandi disimpan sebagai hash satu arah; rahasia autentikasi dua faktor dienkripsi; tersedia kode pemulihan sekali pakai.
• Percobaan masuk dibatasi dan akun dikunci sementara setelah beberapa kegagalan; sesi dapat dilihat dan diakhiri.
• Akses di setiap space diatur lewat lima tingkat peran dan dapat dibatasi pada akun tertentu; pencatatan di atas batas tertentu dapat mewajibkan persetujuan orang kedua.
• Setiap perubahan dicatat di log aktivitas yang tidak dapat diubah atau dihapus lewat aplikasi, lengkap dengan pelaku, waktu, alamat IP, dan nilai sebelum dan sesudahnya.
• Entri yang sudah diposting tidak diubah, hanya dikoreksi lewat pembalikan atau pembatalan.
• Berkas disimpan di penyimpanan objek pribadi dengan versi, dan hanya dapat dicapai lewat aplikasi.
• Data dicadangkan secara berkala.

6. Pemberitahuan kegagalan pelindungan data

Jika Degresh mengetahui adanya kegagalan pelindungan data pribadi yang menyangkut data Pelanggan, Degresh memberi tahu Pelanggan tanpa penundaan, paling lambat 24 jam sejak mengetahuinya, agar Pelanggan dapat memenuhi kewajiban pemberitahuan 3×24 jam menurut Pasal 46 UU PDP. Pemberitahuan memuat data yang terdampak, waktu dan cara kejadiannya, serta langkah penanganan dan pemulihan, dan dilengkapi begitu informasi baru tersedia.

7. Permintaan dari pihak berwenang

Jika pengadilan atau instansi pemerintah meminta data Pelanggan, Degresh memeriksa keabsahan permintaan itu, memberi tahu Pelanggan kecuali hukum melarangnya, dan hanya memberikan data sebatas yang diwajibkan secara sah.

8. Pengembalian dan penghapusan data

Kapan saja, dan saat perjanjian berakhir, Pelanggan dapat mengekspor datanya: laporan ke PDF dan Excel, baris jurnal dan daftar akun ke CSV, dan lampiran dapat diunduh. Atas permintaan Pelanggan, Degresh menghapus data Pelanggan dari sistem aktif dalam 30 hari, dan salinan di cadangan disimpan untuk waktu terbatas demi pemulihan, lalu tertimpa. Degresh mengonfirmasi penghapusan secara tertulis jika diminta. Pengecualiannya adalah catatan yang wajib disimpan menurut hukum: catatan pembukuan serta log keamanan dan audit disimpan selama diwajibkan hukum Indonesia (untuk pembukuan, 10 tahun menurut ketentuan perpajakan), hanya dipakai untuk keamanan, memenuhi kewajiban hukum, dan menyelesaikan sengketa, lalu dihapus.

Degresh dapat menunda penghapusan selama akses ke space dibekukan berdasarkan Syarat dan Ketentuan.

9. Bantuan audit

Degresh menyediakan informasi yang diperlukan untuk menunjukkan kepatuhan pada perjanjian ini, termasuk menjawab kuesioner keamanan. Pelanggan dapat melakukan audit, sendiri atau lewat auditor independen yang terikat kerahasiaan, paling banyak sekali setahun kecuali setelah terjadi insiden, dengan pemberitahuan tertulis 30 hari sebelumnya dan atas biaya Pelanggan. Audit tidak mencakup akses ke data pelanggan lain.

10. Hubungan dengan Syarat dan Ketentuan

Batas tanggung jawab dalam Syarat dan Ketentuan berlaku untuk perjanjian ini. Jika ada pertentangan tentang pelindungan data pribadi, perjanjian ini yang berlaku. Perjanjian ini tunduk pada hukum Republik Indonesia. Pelanggan yang memerlukan salinan bertanda tangan dapat menghubungi hello@degresh.com.