Perjanjian Pemrosesan Data

1.1. DPA ini mencerminkan kesepakatan para pihak terkait pemrosesan data pribadi oleh ChakraHQ atas nama Pengendali sehubungan dengan Layanan, sesuai dengan hukum perlindungan data yang berlaku. Pokok pemrosesan adalah penyediaan Layanan, dan pemrosesan akan dilakukan selama masa berlaku Perjanjian Induk Berlangganan yang mendasarinya. DPA ini berlaku hanya sepanjang ChakraHQ memproses data pribadi atas nama Pelanggan yang tunduk pada peraturan perundang-undangan perlindungan data yang berlaku (termasuk GDPR, jika relevan).

2.1. Istilah yang diawali huruf kapital dan tidak didefinisikan dalam DPA ini memiliki arti sebagaimana diberikan kepadanya dalam Perjanjian Induk Berlangganan. Selain itu:

• 2.1.1. "Data Pribadi Pelanggan" berarti data pribadi yang diproses oleh ChakraHQ sebagai Pemroses atas nama Pelanggan sehubungan dengan Layanan.
• 2.1.2. "Pengendali" dan "Pemroses" memiliki arti sebagaimana ditetapkan dalam peraturan perundang-undangan perlindungan data yang berlaku (termasuk GDPR).
• 2.1.3. "Pelanggaran Keamanan" berarti pelanggaran keamanan yang mengakibatkan pemusnahan, kehilangan, perubahan, pengungkapan tanpa izin, atau akses terhadap Data Pribadi Pelanggan secara tidak sengaja atau melanggar hukum.
• 2.1.4. "Klausul Kontraktual Standar" atau "SCC" berarti klausul kontraktual standar untuk transfer data pribadi ke negara ketiga yang dilampirkan pada Keputusan Pelaksanaan Komisi Eropa (EU) 2021/914, dan, jika relevan, Adendum Transfer Data Internasional Inggris yang diterbitkan oleh Kantor Komisioner Informasi Inggris.
• 2.1.5. "Sub-pemroses" berarti setiap pemroses pihak ketiga yang ditunjuk oleh ChakraHQ atau Afiliasinya untuk membantu memenuhi kewajiban ChakraHQ berdasarkan Perjanjian Induk Berlangganan dan yang memproses Data Pribadi Pelanggan.

3.1. ChakraHQ hanya akan memproses data pribadi berdasarkan instruksi terdokumentasi dari Pengendali, termasuk sehubungan dengan transfer data pribadi ke negara ketiga, kecuali jika diwajibkan oleh hukum yang berlaku. Dalam hal tersebut, ChakraHQ akan memberi tahu Pelanggan mengenai kewajiban hukum itu sebelum pemrosesan, kecuali jika hukum melarang pemberitahuan tersebut atas dasar kepentingan publik yang penting. Pokok, durasi, sifat, dan tujuan pemrosesan, serta jenis data pribadi dan kategori subjek data, tercantum dalam Formulir Pesanan yang berlaku atau Perjanjian Induk Berlangganan.

4.1. Pelanggan bertanggung jawab untuk memastikan bahwa: (a) semua pemberitahuan telah diberikan dan semua otorisasi yang diwajibkan berdasarkan peraturan perundang-undangan perlindungan data yang berlaku telah diperoleh agar ChakraHQ (beserta Afiliasi dan Sub-pemrosesnya) dapat memproses Data Pribadi Pelanggan sebagaimana dimaksud dalam Perjanjian Induk Berlangganan dan DPA ini; (b) Pelanggan telah dan akan terus mematuhi semua undang-undang privasi dan perlindungan data yang berlaku; dan (c) Pelanggan memiliki dan akan terus memiliki hak untuk mentransfer atau memberikan akses atas Data Pribadi Pelanggan kepada ChakraHQ untuk diproses sesuai dengan DPA ini. Pelanggan akan memastikan bahwa instruksi pemrosesannya mematuhi peraturan perundang-undangan perlindungan data yang berlaku. ChakraHQ tidak bertanggung jawab untuk menentukan undang-undang mana yang berlaku bagi usaha Pelanggan atau apakah Layanan memenuhi persyaratan undang-undang tersebut.

5.1. ChakraHQ akan memastikan bahwa setiap orang yang diberi wewenang olehnya untuk memproses Data Pribadi Pelanggan (termasuk karyawan, agen, dan kontraktornya) terikat kewajiban kerahasiaan, baik berdasarkan kontrak maupun kewajiban berdasarkan undang-undang, dan hanya memproses Data Pribadi Pelanggan untuk Tujuan yang Diizinkan sebagaimana dijelaskan dalam DPA ini dan Perjanjian Induk Berlangganan.

6.1. ChakraHQ akan memastikan bahwa orang-orang yang diberi wewenang untuk memproses data pribadi telah berkomitmen untuk menjaga kerahasiaan, menerapkan langkah-langkah teknis dan organisasi yang sesuai untuk memastikan tingkat keamanan yang sepadan dengan risikonya, serta membantu Pengendali memenuhi kewajibannya berdasarkan hukum perlindungan data yang berlaku, termasuk terkait penilaian dampak perlindungan data dan konsultasi sebelumnya dengan otoritas pengawas, dengan biaya wajar yang ditanggung Pelanggan.

7.1. Pelanggan memberikan otorisasi umum kepada ChakraHQ untuk menggunakan Subprosesor yang tercantum dalam Daftar Subprosesorkami, yang dapat diperbarui dari waktu ke waktu. ChakraHQ akan memberlakukan kewajiban perlindungan data terhadap setiap Subprosesor yang tingkat perlindungannya tidak kurang dari yang ditetapkan dalam DPA ini, membatasi akses Subprosesor ke Data Pribadi Pelanggan hanya sebatas yang benar-benar diperlukan untuk menyediakan Layanan, dan tetap bertanggung jawab atas tindakan dan kelalaian Subprosesornya.

7.2. ChakraHQ akan memberikan pemberitahuan kepada Pelanggan sekurang-kurangnya 20 hari sebelum menambahkan atau mengganti Subprosesor dalam Daftar Subprosesor. Jika Pelanggan secara wajar mengajukan keberatan terhadap Subprosesor baru dengan alasan yang berkaitan dengan perlindungan Data Pribadi Pelanggan dalam jangka waktu pemberitahuan tersebut, para pihak akan berupaya dengan iktikad baik untuk menemukan solusi alternatif; jika tidak tercapai kesepakatan dalam waktu yang wajar, Pelanggan dapat mengakhiri Layanan yang terdampak.

8.1. Dengan mempertimbangkan sifat pemrosesan, ChakraHQ akan membantu Pengendali dengan langkah-langkah teknis dan organisasional yang sesuai, sejauh memungkinkan, untuk memenuhi kewajiban Pengendali dalam menanggapi permintaan pelaksanaan hak subjek data berdasarkan hukum perlindungan data yang berlaku. Jika permintaan tersebut disampaikan langsung kepada ChakraHQ, dan ChakraHQ dapat mengidentifikasi Pelanggan sebagai pengendali data milik subjek data yang bersangkutan, ChakraHQ akan segera memberi tahu Pelanggan, dan Pelanggan bertanggung jawab sepenuhnya untuk menanggapi permintaan tersebut.

9.1. ChakraHQ menerapkan dan memelihara langkah-langkah keamanan teknis dan organisasional yang sesuai, yang dirancang untuk melindungi Data Pribadi Pelanggan dari kerusakan, kehilangan, perubahan, pengungkapan tanpa izin, atau akses yang tidak disengaja atau melanggar hukum, termasuk enkripsi data saat dikirim, kontrol akses yang membatasi akses ke Data Pribadi Pelanggan hanya bagi personel yang perlu mengetahuinya, serta peninjauan izin akses secara berkala. ChakraHQ dapat memperbarui langkah-langkah ini dari waktu ke waktu, dengan ketentuan bahwa pembaruan tersebut tidak mengakibatkan penurunan material pada keamanan Layanan secara keseluruhan. Informasi lebih lanjut mengenai praktik keamanan ChakraHQ tersedia berdasarkan permintaan dengan menghubungi kami melalui informasi di bagian "Hubungi Kami" di bawah.

10.1. Setelah mengetahui adanya Pelanggaran Keamanan yang berdampak pada Data Pribadi Pelanggan, ChakraHQ akan memberi tahu Pelanggan tanpa penundaan yang tidak semestinya dan memberikan informasi yang secara wajar mungkin diperlukan Pelanggan agar dapat memenuhi kewajiban pemberitahuan pelanggarannya sendiri berdasarkan hukum perlindungan data yang berlaku. Pemberitahuan atau tanggapan ChakraHQ terhadap Pelanggaran Keamanan tidak akan ditafsirkan sebagai pengakuan atas kesalahan atau tanggung jawab terkait Pelanggaran Keamanan tersebut.

11.1. Chakrasoft Private Limited berkedudukan di India. Jika ChakraHQ atau Subprosesornya mentransfer Data Pribadi Pelanggan ke luar yurisdiksi tempat data tersebut semula dikumpulkan, ChakraHQ akan memastikan bahwa transfer tersebut dilakukan sesuai dengan hukum perlindungan data yang berlaku.

11.2. Jika transfer Data Pribadi Pelanggan dari Pelanggan kepada ChakraHQ merupakan "transfer terbatas" berdasarkan GDPR, UK GDPR, atau Swiss Federal Data Protection Act, para pihak sepakat bahwa Klausul Kontraktual Standar (Modul Dua, atau Modul Tiga jika Pelanggan bertindak sebagai pemroses) dimasukkan ke dalam dan menjadi bagian dari DPA ini serta berlaku untuk transfer tersebut, dengan rincian pemrosesan sebagaimana tercantum dalam Formulir Pesanan yang berlaku dan DPA ini. Sejauh terdapat pertentangan antara Klausul Kontraktual Standar dengan ketentuan lain dalam DPA ini atau Master Subscription Agreement, Klausul Kontraktual Standar akan berlaku untuk transfer yang dicakupnya.

12.1. Atas permintaan tertulis, dan tidak lebih dari sekali dalam setahun, ChakraHQ akan menyediakan kepada Pengendali seluruh informasi yang secara wajar diperlukan untuk menunjukkan kepatuhan terhadap DPA ini, serta mengizinkan dan berkontribusi dalam audit, termasuk inspeksi, yang dilakukan oleh Pengendali atau auditor pihak ketiga yang disepakati bersama, dengan tunduk pada pemberitahuan sebelumnya yang wajar, persyaratan kerahasiaan ChakraHQ, dan pembatasan pada data yang relevan dengan Pelanggan. Biaya audit ditanggung oleh Pelanggan.

13.1. Setelah Master Subscription Agreement diakhiri atau berakhir, ChakraHQ akan, sesuai pilihan Pelanggan, menghapus atau mengembalikan seluruh Data Pribadi Pelanggan yang berada dalam penguasaan atau kendalinya. Isi akun yang ditutup akan dihapus dalam waktu 60 hari sejak tanggal penutupan, dan cadangan arsip server yang berisi Data Pribadi Pelanggan akan disimpan selama 90 hari berikutnya sebelum dihapus, kecuali sejauh ChakraHQ diwajibkan oleh hukum yang berlaku untuk menyimpan sebagian atau seluruh Data Pribadi Pelanggan. Dalam hal tersebut, ChakraHQ akan mengisolasi data tersebut secara aman dari pemrosesan lebih lanjut hingga penghapusan dapat dilakukan.

14.1. Tanggung jawab masing-masing pihak yang timbul dari atau terkait dengan DPA ini tunduk pada pembatasan tanggung jawab yang ditetapkan dalam Master Subscription Agreement, yang diatur oleh hukum India. Tidak ada ketentuan dalam DPA ini yang membatasi atau mengurangi hak subjek data atau otoritas pengawas yang berwenang.

15.1. Jika terdapat pertentangan antara Master Subscription Agreement dan DPA ini, ketentuan dalam DPA ini akan berlaku terkait kewajiban perlindungan data para pihak. Sejauh terdapat pertentangan antara Klausul Kontraktual Standar dengan ketentuan lain dalam DPA ini atau Master Subscription Agreement, Klausul Kontraktual Standar akan berlaku.

16.1. Untuk pertanyaan tentang DPA ini, mengajukan keberatan terhadap Subprosesor baru, atau meminta salinan yang telah ditandatangani, silakan hubungi kami di legal@chakrahq.com.