Hukum
Perjanjian Pemrosesan Data
Terakhir diperbarui 1 November 2026
Terjemahan ini disediakan demi kenyamanan Anda. Versi bahasa Inggris adalah versi yang mengikat secara hukum, dan berlaku apabila terdapat perbedaan di antara keduanya. Baca versi bahasa Inggris.
Perjanjian Pemrosesan Data ("DPA") ini merupakan bagian dari Ketentuan Layanan antara Pelanggan dan Astrizon Technology Solutions Private Limited, perusahaan yang terdaftar di India ("Prosesor"). DPA berlaku setiap kali Prosesor memproses data pribadi atas nama Pelanggan melalui Zolensa. Jika Pelanggan bertindak sebagai prosesor bagi kliennya sendiri, Prosesor adalah sub-prosesornya dan ketentuan berlaku sebagaimana mestinya.
1. Definisi
"Hukum Perlindungan Data" berarti hukum yang berlaku untuk pemrosesan, termasuk Peraturan Perlindungan Data Umum Uni Eropa (GDPR), GDPR Inggris Raya dan Undang-Undang Perlindungan Data 2018, Undang-Undang Federal Swiss tentang Perlindungan Data, Undang-Undang Perlindungan Data Pribadi Digital India (DPDP) 2023, dan undang-undang negara bagian AS seperti Undang-Undang Privasi Konsumen California (CCPA). "Data Pribadi", "Pengendali", "Prosesor", "Subjek Data", "Pelanggaran Data Pribadi", dan "Pemrosesan" memiliki arti sebagaimana diberikan dalam GDPR. "Data Pribadi Pelanggan" berarti Data Pribadi yang diproses oleh Prosesor untuk Pelanggan melalui Layanan.
2. Peran dan instruksi
Pelanggan adalah Pengendali (atau Prosesor yang bertindak untuk kliennya) dan Prosesor memproses Data Pribadi Pelanggan hanya berdasarkan instruksi tertulis Pelanggan. Ketentuan, DPA ini, serta penggunaan dan pengaturan Layanan oleh Pelanggan merupakan instruksi tersebut. Prosesor memberi tahu Pelanggan jika Prosesor meyakini sebuah instruksi melanggar Hukum Perlindungan Data. Rincian pemrosesan terdapat dalam Lampiran I.
3. Kerahasiaan
Prosesor memastikan bahwa setiap orang yang berwenang memproses Data Pribadi Pelanggan terikat oleh kerahasiaan dan hanya memiliki akses yang dibutuhkan oleh perannya.
4. Keamanan
Prosesor menerapkan langkah-langkah teknis dan organisasi dalam Lampiran II, yang sesuai dengan risikonya, dan dapat memperbaruinya selama tingkat perlindungan secara keseluruhan tidak menurun.
5. Sub-prosesor
Pelanggan memberikan otorisasi umum untuk sub-prosesor yang tercantum di halaman Sub-prosesor. Prosesor memberikan pemberitahuan paling sedikit 30 hari mengenai sub-prosesor baru dengan memperbarui halaman tersebut dan mengirim email kepada pemilik ruang kerja. Pelanggan dapat keberatan atas dasar perlindungan data yang wajar dalam jangka waktu tersebut; jika para pihak tidak dapat menyepakati solusi, Pelanggan dapat mengakhiri layanan yang terdampak dan menerima pengembalian biaya yang telah dibayar di muka untuk sisa periode. Prosesor membebankan kewajiban perlindungan data kepada setiap sub-prosesor yang tidak kurang melindungi daripada DPA ini dan tetap bertanggung jawab atas mereka.
6. Transfer internasional
Prosesor menghosting Layanan di India dan beberapa sub-prosesor berada di negara lain. Untuk transfer Data Pribadi dari Wilayah Ekonomi Eropa, para pihak menyetujui Klausul Kontraktual Standar yang diadopsi dengan Keputusan Pelaksanaan Komisi (UE) 2021/914, Modul Dua (pengendali ke prosesor) dan, jika Pelanggan adalah prosesor, Modul Tiga (prosesor ke prosesor), yang dimasukkan melalui rujukan dengan pilihan berikut: Klausul 7 tidak berlaku; berdasarkan Klausul 9 opsi 2 (otorisasi umum) berlaku dengan pemberitahuan 30 hari; redaksi opsional dalam Klausul 11 tidak berlaku; Klausul 13 mengikuti domisili Pelanggan; berdasarkan Klausul 17 dan 18 berlaku hukum dan pengadilan Irlandia; Lampiran I dan II DPA ini melengkapi Lampiran pada Klausul. Untuk transfer dari Inggris Raya berlaku Addendum Transfer Data Internasional yang diterbitkan oleh Komisioner Informasi, dan untuk Swiss Klausul berlaku dengan rujukan dibaca sebagai rujukan pada hukum Swiss. Jika Klausul ini bertentangan dengan DPA ini, Klausul yang berlaku.
7. Membantu Pelanggan
Dengan memperhatikan sifat pemrosesan, Prosesor membantu Pelanggan, terutama melalui fitur Layanan, untuk menjawab permintaan Subjek Data, serta dalam hal keamanan, pemberitahuan pelanggaran, penilaian dampak perlindungan data, dan konsultasi dengan otoritas. Jika Subjek Data menghubungi Prosesor secara langsung, Prosesor meneruskan permintaan tersebut kepada Pelanggan tanpa menjawabnya, kecuali hukum menentukan lain.
8. Pelanggaran Data Pribadi
Prosesor memberi tahu Pelanggan tanpa penundaan yang tidak semestinya, dan dalam hal apa pun dalam waktu 48 jam sejak mengetahui adanya Pelanggaran Data Pribadi yang memengaruhi Data Pribadi Pelanggan, dengan informasi yang dibutuhkan Pelanggan untuk memenuhi kewajibannya sendiri, dan terus memberi kabar kepada Pelanggan seiring bertambahnya informasi. Prosesor mengambil langkah yang wajar untuk membatasi pelanggaran tersebut dan mengurangi dampaknya.
9. Penghapusan dan pengembalian
Pelanggan dapat mengekspor dan menghapus Data Pribadi Pelanggan kapan saja melalui Layanan, dan menetapkan masa retensi setiap studi. Ketika perjanjian berakhir, Prosesor menghapus seluruh Data Pribadi Pelanggan, termasuk berkas dalam penyimpanan, dalam 30 hari setelah periode ekspor dalam Ketentuan, kecuali hukum mewajibkannya menyimpan sebagian, dalam hal ini Prosesor menjaga kerahasiaan data tersebut dan memprosesnya hanya untuk tujuan itu.
10. Audit
Prosesor menyediakan informasi yang secara wajar diperlukan untuk menunjukkan kepatuhan terhadap DPA ini. Pelanggan dapat melakukan audit, atau meminta auditor independen yang terikat kerahasiaan untuk melakukan audit, sekali setahun dengan pemberitahuan 30 hari, pada jam kerja dan tanpa mengganggu Layanan atau data pelanggan lain, dengan biaya sendiri; atau lebih sering jika terjadi Pelanggaran Data Pribadi atau diwajibkan oleh otoritas.
11. Undang-undang privasi negara bagian AS
Jika Undang-Undang Privasi Konsumen California atau undang-undang serupa berlaku, Prosesor adalah penyedia layanan dan tidak akan menjual atau membagikan Data Pribadi Pelanggan, menyimpan, menggunakan, atau mengungkapkannya di luar hubungan bisnis langsung atau untuk tujuan apa pun selain Layanan, atau menggabungkannya dengan informasi pribadi lain kecuali sebagaimana diizinkan undang-undang tersebut. Prosesor akan memberi tahu Pelanggan jika tidak lagi dapat memenuhi kewajiban ini.
12. Tanggung jawab dan urutan prioritas
Tanggung jawab masing-masing pihak berdasarkan DPA ini tunduk pada batasan dalam Ketentuan, kecuali jika Hukum Perlindungan Data tidak mengizinkannya. Jika DPA ini bertentangan dengan Ketentuan mengenai perlindungan data, DPA ini yang berlaku.
13. Lampiran I: Rincian pemrosesan
| Pengendali | Pelanggan (agensi), sebagaimana tercantum di ruang kerjanya. Kontak: pemilik ruang kerja. |
|---|---|
| Prosesor | Astrizon Technology Solutions Private Limited, Bengaluru, India. Kontak: support@astrizon.com. |
| Subjek Data | Peserta riset yang diundang oleh Pelanggan; staf dan klien Pelanggan yang menggunakan Layanan. |
| Kategori data | Data identifikasi dan kontak (nama, email, nomor ponsel), bahasa dan zona waktu, catatan persetujuan, jawaban studi, video, foto, dan rekaman suara, pesan, informasi perangkat dan koneksi, catatan masuk dan audit. |
| Data sensitif | Tidak diminta oleh Layanan. Rekaman dapat mengungkapkan kategori data khusus (misalnya kesehatan, agama, atau asal etnis) tergantung pada studi Pelanggan; Pelanggan memutuskan apakah akan mengumpulkan data tersebut dan bertanggung jawab atas dasar hukumnya. Perlindungan: sebagaimana dalam Lampiran II. |
| Sifat dan tujuan | Hosting, penyimpanan, konversi media untuk pemutaran, penampilan kepada pengguna yang berwenang, pengiriman undangan, pengingat, dan pesan, terjemahan teks studi, transkripsi dan terjemahan rekaman, analisis AI atas jawaban saat Pelanggan menggunakannya, ekspor dan penghapusan, untuk menyediakan Layanan kepada Pelanggan. |
| Frekuensi | Berkelanjutan, selama berlangsungnya perjanjian. |
| Retensi | Sebagaimana ditetapkan Pelanggan untuk setiap studi, dan paling lambat sampai penghapusan setelah perjanjian berakhir (bagian 9). |
| Sub-prosesor | Sebagaimana tercantum di halaman Sub-prosesor, untuk hosting, pengiriman email dan, bila digunakan, terjemahan, transkripsi, analisis AI, pembayaran, dan pesan teks. |
14. Lampiran II: Langkah-langkah teknis dan organisasi
- Enkripsi dalam pengiriman dengan TLS untuk semua koneksi; rekaman disimpan secara privat dan disajikan melalui tautan bertanda tangan yang kedaluwarsa.
- Kata sandi di-hash dengan Argon2id; autentikasi dua faktor diwajibkan bagi pemilik ruang kerja dan staf platform; kunci penyedia dan rahasia verifikasi dua langkah dienkripsi saat disimpan.
- Akses berbasis peran dalam setiap ruang kerja; klien melihat peserta hanya dengan kode; data kontak dibatasi untuk tim studi.
- Pemisahan data pelanggan dalam aplikasi menurut ruang kerja; setiap permintaan diperiksa terhadap ruang kerja dan peran pengguna.
- Pembatasan laju untuk masuk, undangan, dan unggahan; perlindungan terhadap pemalsuan permintaan lintas situs; header keamanan.
- Log audit untuk proses masuk, undangan, persetujuan, ekspor, unduhan, dan penghapusan.
- Minimisasi data: data lokasi dihapus dari foto; unggahan diperiksa menurut jenis dan ukuran; unduhan kedaluwarsa setelah tujuh hari.
- Retensi per studi yang ditetapkan oleh Pelanggan; penghapusan peserta, studi, dan seluruh ruang kerja termasuk berkas.
- Pengerasan server, pembaruan keamanan berkala, firewall, dan cadangan yang disimpan oleh penyedia hosting.
- Staf yang memiliki akses terikat oleh kerahasiaan, dengan akses terbatas pada apa yang dibutuhkan pekerjaan mereka.
- Proses untuk mendeteksi, menilai, dan memberitahukan Pelanggaran Data Pribadi dalam 48 jam.