Perlindungan Data & Privasi

7.1 Gambaran Umum & Tujuan

Bab ini mendefinisikan kewajiban perlindungan data dan privasi yang mengatur pemrosesan Personal Data di dalam dan oleh Platform ProjectVIEW ERP selama Subscription Term. Bab ini menetapkan baseline regulasi, membagi tanggung jawab Controller dan Processor, menguraikan perlindungan teknis dan organisasional yang diterapkan pada Personal Data, serta menetapkan prosedur pemberitahuan pelanggaran dan hak subjek data yang wajib diikuti oleh kedua Belah Pihak.

Provider beroperasi dengan model kepatuhan dua yurisdiksi, dengan menjaga keselarasan secara bersamaan terhadap:

• (a) Peraturan Perlindungan Data Umum Uni Eropa (EU) 2016/679 (“GDPR”), termasuk seluruh opini dan pedoman yang diadopsi oleh European Data Protection Board (EDPB); dan
• (b) (ii) Federal Decree-Law Uni Emirat Arab No. 45 Tahun 2021 tentang Perlindungan Data Pribadi (“UAE PDPL”) dan peraturan pelaksananya. Apabila Customer beroperasi di yurisdiksi tambahan, adendum pemrosesan data tambahan dapat dibuat sesuai dengan §7.14.

DANAOS Projects Software Solutions LLC telah menetapkan sebagai tujuan utama adopsi prinsip perlindungan data dan penerapan kesadaran perlindungan data yang tajam ke seluruh operasi bisnis sehari-hari. Provider secara konsisten telah mencapai kepatuhan terhadap kerangka hukum yang berlaku terkait perlindungan data dan telah mengambil tindakan yang timbul dari pencabutan Directive 95/46/EC, pembentukan GDPR (EU) 2016/679, dan diberlakukannya UAE PDPL.

Bab ini, bersama dengan Data Processing Agreement ("DPA") yang dilampirkan pada Framework ini (§7.5), merupakan kerangka kontraktual yang mengikat yang disyaratkan berdasarkan GDPR Article 28 dan UAE PDPL Article 29 untuk pemrosesan Personal Data secara sah oleh Data Processor atas nama Data Controller.

7.2 Ruang Lingkup

Bab ini berlaku untuk seluruh Personal Data yang diproses oleh Provider sehubungan dengan penyampaian Platform dan layanan terkait, termasuk namun tidak terbatas pada:

• (a) Data Karyawan Pelanggan: Catatan personel, data penggajian, timesheet, absensi, catatan produktivitas tenaga kerja, dan informasi identitas yang diproses dalam modul PV_07 (HRMS–Payroll) dan PV_A (Site Operations & Labour Productivity).
• (b) Kontak Pelanggan & Para Pihak Lawan Transaksi: Nama, alamat email, nomor telepon, dan korespondensi komersial dari subkontraktor, pemasok, klien, dan pihak ketiga lainnya yang dikelola dalam modul PV_03, PV_04, PV_09, dan PV_10.
• (c) Kredensial & Log Aktivitas Pengguna Akhir: Kredensial akun pengguna, token autentikasi, log sesi, alamat IP, sidik jari peramban, dan data jejak audit yang dihasilkan oleh modul Users & Roles Management Platform (STY).
• (d) Data Dukungan & Komunikasi: Data Pribadi yang terdapat dalam tiket dukungan, pesan grup WhatsApp Business, rekaman pelatihan, konten sesi hasil transkripsi AI, dan bentuk komunikasi lain apa pun yang dipertukarkan melalui model dukungan omnichannel Penyedia (§4.2).
• (e) Data Proyek & Keuangan: Apabila catatan proyek, data pengadaan, entri akuntansi, atau catatan pengendalian biaya memuat informasi orang perseorangan yang dapat diidentifikasi (misalnya, pekerja yang disebutkan namanya, faktur konsultan), data tersebut termasuk dalam cakupan.
• (f) Data Konfigurasi & Master: Elemen data master yang merujuk pada individu yang dapat diidentifikasi, termasuk daftar personel, hierarki organisasi, matriks persetujuan, dan kewenangan penandatangan.

7.3 Kerangka Regulasi

Program perlindungan data Penyedia dibangun berdasarkan instrumen regulasi, standar, dan panduan berikut:

Teks Lengkap GDPR — EUR-Lex PDPL UEA — Dekret-Law Federal No. 45 Tahun 2021 Klausul Kontraktual Standar UE (2021/914) ISO/IEC 27701:2019 — PIMS UU AI UE — Regulasi (EU) 2024/1689

7.4 Peran & Tanggung Jawab

7.4.1 Pembagian Pengendali–Pemroses

Berdasarkan sifat operasi bisnisnya, peran Penyedia menurut hukum perlindungan data yang berlaku ditetapkan sebagai berikut:

• (a) Pemroses Data: Penyedia bertindak sebagai Pemroses Data terkait setiap aktivitas pemrosesan Data Pribadi yang dilakukan atas nama Pelanggan di dalam Platform. Pelanggan, sebagai Pengendali Data, menentukan tujuan dan cara pemrosesan; Penyedia memproses Data Pribadi semata-mata berdasarkan instruksi terdokumentasi dari Pengendali (§7.5).
• (b) Pengendali Data (cakupan terbatas): Penyedia bertindak sebagai Pengendali Data yang independen terkait aktivitas pemrosesan atas Data Pribadi karyawannya sendiri (misalnya, staf Penyedia yang ditugaskan pada akun Pelanggan), data kontak bisnis untuk pengelolaan hubungan komersial, dan analitik yang dianonimkan/digabungkan yang tidak dapat direidentifikasi kepada individu mana pun.
• (c) Keterlibatan Sub-Pemroses: Penyedia tidak boleh melibatkan Sub-Pemroses mana pun untuk memproses Data Pribadi tanpa otorisasi tertulis sebelumnya yang spesifik atau umum dari Pengendali. Apabila otorisasi umum diberikan, Penyedia wajib memberi tahu Pengendali mengenai setiap penambahan atau penggantian Sub-Pemroses yang direncanakan, serta memberikan kesempatan kepada Pengendali untuk menyampaikan keberatan (§7.6).

7.4.2 Petugas Perlindungan Data

Penyedia telah menunjuk seorang Data Protection Officer (DPO) sesuai dengan GDPR Pasal 37–39 dan UAE PDPL Pasal 10. DPO bertanggung jawab untuk: (i) memantau kepatuhan terhadap peraturan perlindungan data yang berlaku; (ii) memberikan nasihat mengenai Data Protection Impact Assessment (§7.10); (iii) menjadi titik kontak bagi otoritas pengawas; dan (iv) menangani permintaan dari subjek data.

Subjek data dan kontak Pelanggan dapat menghubungi DPO di: [email protected]

Karyawan DANAOS dapat menghubungi DPO untuk klarifikasi apa pun terkait prinsip perlindungan data dan meminta pedoman agar dapat melakukan pemrosesan data secara optimal serta menghindari potensi pelanggaran terhadap peraturan perundang-undangan.

7.4.3 Matriks RACI — Perlindungan Data

Legend: R = Responsible (melaksanakan pekerjaan) │ A = Accountable (memiliki hasil akhir) │ C = Consulted │ I = Informed

7.5 Perjanjian Pemrosesan Data (DPA)

Para Pihak dapat menandatangani Perjanjian Pemrosesan Data (“DPA”) yang merupakan kontrak Pasal 28 yang diwajibkan berdasarkan GDPR dan perjanjian pemroses setara yang diwajibkan berdasarkan UAE PDPL Pasal 29. DPA tersebut, paling sedikit, harus menetapkan:

• (a) Objek & durasi: DPA mencakup seluruh pemrosesan Data Pribadi yang dilakukan oleh Penyedia dalam penyediaan Platform selama Masa Berlangganan ditambah setiap periode retensi atau pengembalian data setelah pemutusan (§7.13).
• (b) Sifat & tujuan pemrosesan: Hosting, penyimpanan, transmisi, pencadangan, dan komputasi Data Pribadi di dalam lingkungan private sovereign khusus milik Pelanggan untuk tujuan memungkinkan operasi manajemen proyek konstruksi, manajemen keuangan, manajemen sumber daya manusia, dan pengadaan milik Pelanggan.
• (c) Kategori Subjek Data: Karyawan Pelanggan, personel subkontraktor, kontak pemasok, kontak klien, pekerja lapangan, dan setiap orang perseorangan lainnya yang datanya dimasukkan oleh Pelanggan ke dalam Platform.
• (d) Jenis Data Pribadi: Data identifikasi (nama, ID nasional, nomor paspor), data kontak (email, telepon, alamat), data ketenagakerjaan (jabatan, gaji, kehadiran, cuti), data keuangan (detail bank untuk penggajian), data penugasan proyek, kredensial akses, dan metadata jejak audit.
• (e) Instruksi terdokumentasi: Penyedia hanya akan memproses Data Pribadi berdasarkan instruksi terdokumentasi dari Pengendali, termasuk terkait transfer ke negara ketiga, kecuali diwajibkan oleh hukum Uni Eropa atau hukum Negara Anggota yang berlaku bagi Penyedia (GDPR Pasal 28(3)(a)).
• (f) Kerahasiaan: Seluruh personel Penyedia yang berwenang memproses Data Pribadi telah berkomitmen pada kerahasiaan atau terikat pada kewajiban kerahasiaan menurut undang-undang yang sesuai (GDPR Pasal 28(3)(b)).
• (g) Penghapusan atau pengembalian: Pada saat pengakhiran, Penyedia wajib, sesuai pilihan Pengendali, menghapus atau mengembalikan seluruh Data Pribadi dan menghapus salinan yang ada kecuali hukum Uni Eropa atau hukum Negara Anggota mewajibkan penyimpanan (§7.13).
• (h) Hak audit: Penyedia wajib menyediakan kepada Pengendali seluruh informasi yang diperlukan untuk membuktikan kepatuhan, serta mengizinkan dan berkontribusi dalam audit, termasuk inspeksi, yang dilakukan oleh Pengendali atau auditor yang ditunjuk oleh Pengendali (§7.11).

7.6 Pengelolaan Sub-Pemroses

Penyedia melibatkan sejumlah terbatas Sub-Pemroses untuk menyediakan komponen Platform dan layanan terkait. Tata kelola Sub-Pemroses berikut berlaku:

• (a) Model otorisasi: Pelanggan memberikan otorisasi umum untuk keterlibatan Sub-Pemroses dengan tunduk pada kewajiban Penyedia untuk: (i) memelihara register Sub-Pemroses yang mutakhir; (ii) memberi tahu Pelanggan tentang setiap penambahan atau penggantian yang direncanakan setidaknya tiga puluh (30) hari kalender sebelum Sub-Pemroses baru mulai memproses; dan (iii) memberikan informasi yang memadai agar Pelanggan dapat menggunakan hak keberatannya.
• (b) Hak keberatan: Jika Pelanggan secara wajar keberatan atas Sub-Pemroses baru atas dasar perlindungan data yang sah, Penyedia wajib: (i) tidak melibatkan Sub-Pemroses tersebut dan menawarkan alternatif; atau (ii) jika tidak ada alternatif yang layak, salah satu Pihak dapat mengakhiri layanan yang terdampak tanpa penalti, dengan tunduk pada periode penghentian bertahap yang wajar.
• (c) Kewajiban penerusan: Penyedia wajib memberlakukan kepada setiap Sub-Pemroses, melalui kontrak, kewajiban perlindungan data yang sama sebagaimana diatur dalam DPA (§7.5), khususnya dengan memberikan jaminan yang memadai untuk menerapkan langkah teknis dan organisasional yang sesuai sehingga pemrosesan memenuhi persyaratan GDPR dan UAE PDPL.
• (d) Tanggung jawab: Penyedia tetap sepenuhnya bertanggung jawab kepada Pelanggan atas pelaksanaan kewajiban Sub-Pemroses berdasarkan DPA. Apabila Sub-Pemroses gagal memenuhi kewajiban perlindungan datanya, Penyedia bertanggung jawab atas tindakan dan kelalaian Sub-Pemroses seolah-olah merupakan tindakan atau kelalaian Penyedia sendiri.

7.6.1 Register Sub-Pemroses

Tabel berikut mencantumkan Sub-Pemroses yang dilibatkan oleh Penyedia per Tanggal Efektif. Register dipelihara dan diperbarui sesuai dengan §7.6(a).

Catatan: Data Platform milik Pelanggan berada dalam lingkungan private sovereign khusus; tidak ada data pelanggan yang dicampur lintas tenant. Wilayah hosting dipilih sesuai DPA Pelanggan dan dapat dibatasi pada wilayah Azure tertentu untuk memenuhi persyaratan lokalisasi data berdasarkan UAE PDPL atau hukum lain yang berlaku.

7.7 Prinsip Perlindungan Data

Setiap aktivitas pemrosesan Data Pribadi yang dilakukan oleh Penyedia, baik sebagai Pengendali Data maupun Pemroses Data, harus ditandai oleh prinsip-prinsip berikut, selaras dengan GDPR Pasal 5 dan UAE PDPL Pasal 4:

7.8 Langkah Teknis & Organisasional (TOMs)

Penyedia menerapkan dan memelihara langkah teknis dan organisasional berikut untuk memastikan tingkat keamanan yang sesuai dengan risiko, sesuai dengan GDPR Pasal 32 dan UAE PDPL Pasal 28. Langkah-langkah ini selaras dengan tujuan pengendalian ISO/IEC 27001:2022 dan ISO/IEC 27701:2019. Information Security Management System (ISMS) milik Penyedia dipelihara oleh Departemen TI.

7.8.1 Pengendalian Akses & Autentikasi

• (a) Kompleksitas kata sandi: Panjang minimum, persyaratan kelas karakter, dan larangan atas kata sandi umum/yang telah dibobol diberlakukan pada lapisan aplikasi.
• (b) Kedaluwarsa kata sandi: Kebijakan rotasi kata sandi yang dapat dikonfigurasi; periode rotasi default 90 hari, dapat dikonfigurasi sesuai kebijakan Pelanggan. Default rotasi berkala ini merupakan pengaturan kebijakan Pelanggan dan tidak dinyatakan selaras dengan panduan rotasi kata sandi NIST.
• (c) Penguncian saat autentikasi gagal: Penguncian akun setelah jumlah percobaan gagal berturut-turut yang dapat dikonfigurasi; durasi penguncian meningkat seiring pelanggaran berulang.
• (d) Riwayat kata sandi: Sistem mencegah penggunaan kembali N kata sandi terakhir (dapat dikonfigurasi sesuai kebijakan Pelanggan).
• (e) Autentikasi multifaktor (MFA): Autentikasi faktor kedua didukung dan direkomendasikan untuk semua akun administratif dan istimewa. Metode MFA mencakup TOTP (time-based one-time password), push notification, dan kunci perangkat keras FIDO2.
• (f) Single Sign-On (SSO): Platform mendukung integrasi dengan penyedia identitas perusahaan melalui SAML 2.0 dan OpenID Connect, sehingga memungkinkan manajemen kredensial terpusat dan mengurangi permukaan serangan yang terkait dengan proliferasi kata sandi.
• (g) Manajemen sesi: Mekanisme penguncian otomatis saat tidak digunakan; batas waktu sesi idle yang dapat dikonfigurasi; invalidasi sesi saat kata sandi diubah atau akun ditangguhkan.
• (h) Kontrol akses berbasis peran (RBAC): Modul Users & Roles Management (STY) menerapkan kontrol akses berbasis peran yang granular pada level modul, fungsi, bidang, dan catatan. Pemisahan tugas ditegakkan melalui deteksi peran yang saling bertentangan.
• (i) Akses jarak jauh yang dibatasi: Akses administratif jarak jauh ke infrastruktur Penyedia dibatasi bagi personel yang berwenang melalui tunnel VPN terenkripsi dengan MFA; seluruh sesi jarak jauh dicatat dan dapat diaudit.

7.8.2 Enkripsi

• (a) Data dalam perjalanan: Seluruh komunikasi klien-server dienkripsi menggunakan TLS 1.2 atau yang lebih tinggi. Enkripsi transmisi data end-to-end diberlakukan pada seluruh antarmuka, API, dan endpoint integrasi Platform.
• (b) Data saat tersimpan: Transparent Data Encryption (TDE) diterapkan pada semua instans basis data. Cadangan basis data dienkripsi menggunakan enkripsi AES-256. Kunci enkripsi dikelola melalui Key Management Service milik penyedia cloud dengan opsi customer-managed key (CMK) tersedia.
• (c) Manajemen kunci: Kunci enkripsi diputar sesuai jadwal yang ditetapkan. Prosedur manajemen kunci mengikuti kontrol ISO 27001 Annex A.10. Hardware Security Modules (HSM) digunakan untuk perlindungan root key jika tersedia.

7.8.3 Keamanan Basis Data

• (a) Koneksi basis data: Koneksi ke instans basis data dikendalikan, dipantau, dan dibatasi hanya untuk layanan lapisan aplikasi yang berwenang dan personel DBA yang ditunjuk.
• (b) Akun default: Akun sistem default diamankan oleh DBA; semua kata sandi default diubah segera setelah provisioning; akun default yang tidak diperlukan dinonaktifkan.
• (c) Prinsip hak minimum: Akun pengguna basis data disediakan dengan izin dan peran minimum yang diperlukan untuk fungsinya. Hak istimewa sistem dihapus kecuali secara tegas diperlukan dan disetujui.
• (d) Pencatatan audit: Pencatatan audit basis data menangkap seluruh operasi DDL, aktivitas pengguna istimewa, percobaan autentikasi yang gagal, dan operasi ekspor data. Log disimpan minimal selama dua belas (12) bulan dan dibuat tahan manipulasi.
• (e) Akses jarak jauh DBA: Administrasi basis data jarak jauh dibatasi bagi individu yang disebut namanya melalui saluran terenkripsi dengan autentikasi multifaktor. Seluruh sesi DBA dicatat dengan jejak audit lengkap hingga tingkat perintah.

7.8.4 Keamanan Jaringan

• (a) Pertahanan perimeter: Firewall generasi berikutnya, Web Application Firewall (WAF), dan layanan perlindungan DDoS menjaga perimeter platform. Segmentasi jaringan mengisolasi lingkungan private sovereign milik Pelanggan dari infrastruktur Penyedia lainnya.
• (b) Deteksi & pemantauan intrusi: SIEM native cloud dan alat pemantauan jaringan memberikan peringatan real-time atas pola lalu lintas yang anomali, upaya pemindaian port, dan indikator pergerakan lateral.
• (c) Manajemen kerentanan: Pemindaian kerentanan rutin dan uji penetrasi tahunan dilakukan. Kerentanan kritis dan berseveritas tinggi ditangani dalam jangka waktu yang ditetapkan dalam §3.5 (Incident Priority Classification).

7.8.5 Langkah Organisasional

• (a) Perjanjian kerahasiaan: Seluruh personel Penyedia yang berwenang memproses Data Pribadi telah menandatangani perjanjian kerahasiaan/non-pengungkapan dan terikat pada kewajiban kerahasiaan menurut undang-undang yang sesuai.
• (b) Pelatihan & kesadaran: Personel Penyedia menerima pelatihan perlindungan data tahunan yang mencakup GDPR, UAE PDPL, pelaporan pelanggaran, rekayasa sosial, dan praktik secure-coding.
• (c) Kebijakan meja bersih & layar bersih: Kebijakan meja bersih dan layar bersih diterapkan di seluruh fasilitas Penyedia untuk mencegah pengungkapan Data Pribadi secara tidak sengaja.
• (d) Kebijakan penggunaan aset: Seluruh perangkat keras dan perangkat lunak digunakan semata-mata untuk tujuan bisnis dan pelaksanaan tugas sesuai uraian jabatan masing-masing karyawan.

7.9 Hak Subjek Data

Penyedia mengakui hak Subjek Data sebagaimana diatur dalam GDPR Bab III (Pasal 12–23) dan UAE PDPL Pasal 12–18, serta akan membantu Pelanggan memenuhi kewajibannya untuk menanggapi permintaan Subjek Data sesuai dengan GDPR Pasal 28(3)(e) dan UAE PDPL Pasal 29. Penyedia wajib:

• (a) Segera memberi tahu Pelanggan setelah menerima permintaan Subjek Data yang terkait dengan data Pelanggan, tanpa menanggapi Subjek Data secara langsung kecuali diarahkan oleh Pelanggan.
• (b) Menyediakan kepada Customer kemampuan teknis untuk mengekstrak, memperbaiki, membatasi, memindahkan, atau menghapus Personal Data melalui fungsionalitas Platform atau, jika tidak tersedia melalui UI, melalui operasi basis data yang dijalankan oleh Provider dalam jangka waktu yang diwajibkan oleh hukum.
• (c) Memelihara jejak audit atas seluruh tindakan pemenuhan permintaan Data Subject setidaknya selama dua puluh empat (24) bulan.

7.9.1 Matriks Pemenuhan Hak

Pengecualian legal hold: Jika penghapusan atau pembatasan bertentangan dengan kewajiban hukum (misalnya, kewajiban penyimpanan catatan menurut undang-undang, litigasi yang masih berjalan, penyelidikan regulator), Provider harus memberi tahu Customer dan Data Subject mengenai dasar hukum untuk melanjutkan pemrosesan, dan harus membatasi pemrosesan seminimal mungkin yang diperlukan untuk kepatuhan.

7.10 Penilaian Dampak Perlindungan Data (DPIA)

Apabila suatu jenis pemrosesan kemungkinan menimbulkan risiko tinggi terhadap hak dan kebebasan orang perseorangan, Customer (selaku Controller) wajib melakukan Penilaian Dampak Perlindungan Data sesuai dengan GDPR Pasal 35 dan UAE PDPL Pasal 23. Provider wajib:

• (a) Memberikan kepada Customer seluruh informasi yang diperlukan untuk melakukan DPIA, termasuk dokumentasi alur data Platform, kebijakan retensi, model pengendalian akses, dan mekanisme transfer lintas batas.
• (b) Membantu Customer dalam melakukan DPIA apabila diminta, termasuk dengan menyediakan templat DPIA yang telah diisi sebelumnya yang mencakup operasi pemrosesan standar yang dilakukan oleh Platform.
• (c) Memberi tahu Customer apabila, menurut pendapat Provider, fitur baru, aktivasi modul, integrasi, atau perubahan dalam operasi pemrosesan memicu kebutuhan akan DPIA baru atau yang diperbarui.
• (d) DPIA khusus AI: Apabila komponen AI Platform (misalnya, transkripsi berbantuan AI, deteksi anomali AIOps, panduan kontekstual di aplikasi) memproses Personal Data, DPIA tambahan khusus AI harus dilakukan untuk membahas bias algoritmik, transparansi pengambilan keputusan otomatis, minimisasi data dalam set pelatihan, dan hak Data Subject berdasarkan GDPR Pasal 22 (pengambilan keputusan individu otomatis). Penilaian ini juga harus mempertimbangkan kewajiban berdasarkan EU AI Act (Regulation (EU) 2024/1689) dan NIST AI Risk Management Framework.

7.11 Audit & Kepatuhan

7.11.1 Kewajiban Provider

Provider wajib:

• (d) Memelihara Record of Processing Activities (RoPA) sesuai dengan GDPR Pasal 30, mencakup seluruh operasi pemrosesan yang dilakukan atas nama Customer.
• (e) Menyediakan kepada Customer seluruh informasi yang diperlukan untuk membuktikan kepatuhan terhadap kewajiban yang ditetapkan dalam GDPR Pasal 28 dan UAE PDPL Pasal 29.
• (f) Mengizinkan dan berkontribusi dalam audit, termasuk inspeksi, yang dilakukan oleh Customer atau auditor yang ditunjuk Customer, dengan tunduk pada: (i) pemberitahuan awal yang wajar sekurang-kurangnya tiga puluh (30) hari kalender; (ii) ruang lingkup audit dibatasi pada kegiatan pemrosesan yang tercakup dalam DPA; (iii) pelaksanaan perjanjian kerahasiaan oleh auditor yang dapat diterima oleh Provider; dan (iv) audit dilaksanakan pada jam kerja normal dengan cara yang meminimalkan gangguan.
• (g) Segera memberi tahu Customer jika, menurut pendapat Provider, instruksi dari Customer melanggar GDPR, UAE PDPL, atau hukum perlindungan data lain yang berlaku (GDPR Pasal 28(3)(h)).

7.11.2 Frekuensi & Ruang Lingkup Audit

Jadwal audit berikut berlaku:

7.12 Retensi & Pemusnahan Data

Personal Data tidak boleh disimpan lebih lama daripada yang diperlukan untuk tujuan pengumpulannya. Kerangka retensi berikut berlaku:

• (a) Pemrosesan aktif: Personal Data diproses secara aktif selama Periode Langganan dan setiap periode pengakhiran bertahap pascaterminasi yang disepakati berdasarkan DPA.
• (b) Periode retensi: Apabila periode retensi tertentu diwajibkan oleh hukum yang berlaku (misalnya, retensi catatan ketenagakerjaan, persyaratan otoritas pajak, perintah pelestarian regulator), Provider harus menyimpan data minimum yang diperlukan selama periode yang ditentukan, dipisahkan secara jelas dan dibatasi aksesnya.
• (c) Penegakan otomatis: Platform ini mendukung kebijakan retensi data yang dapat dikonfigurasi, yang secara otomatis menandai, mengarsipkan, atau menghapus catatan yang melampaui periode retensi yang telah ditetapkan. Pelanggan menetapkan aturan retensi; Penyedia menerapkan penegakan teknis.
• (d) Pemusnahan aman: Apabila Personal Data dihapus, Provider harus memastikan pemusnahan yang aman melalui: (i) penghapusan kriptografis untuk data terenkripsi (membuat kunci enkripsi tidak dapat dipulihkan); (ii) penimpaan multi-pass untuk media yang tidak terenkripsi; dan (iii) sertifikat konfirmasi penghapusan yang diberikan kepada Customer atas permintaan.
• (e) Retensi cadangan: Salinan cadangan yang memuat Personal Data tunduk pada kebijakan retensi dan pemusnahan yang sama. Provider harus memastikan bahwa Personal Data yang dihapus dibersihkan dari seluruh siklus cadangan dalam waktu sembilan puluh (90) hari kalender sejak instruksi penghapusan, kecuali jika periode yang lebih singkat ditentukan dalam DPA.

NIST SP 800-88 Rev. 1 — Pedoman Sanitasi Media

7.13 Pengembalian Data & Portabilitas saat Terminasi

Setelah pengakhiran atau berakhirnya Framework, ketentuan pengembalian data dan portabilitas berikut berlaku:

• (a) Periode pengembalian data: Customer memiliki jangka waktu enam puluh (60) hari kalender sejak tanggal efektif pengakhiran untuk meminta pengembalian seluruh Personal Data dan Customer Data dalam format terstruktur, lazim digunakan, dan dapat dibaca mesin (CSV, JSON, XML, atau SQL dump).
• (b) Opsi format: Provider harus menawarkan ekspor data dalam sekurang-kurangnya tiga format yang dapat dibaca mesin. Ekspor harus mencakup: (i) seluruh data transaksional di seluruh modul yang diaktifkan; (ii) registri data induk; (iii) lampiran dokumen; (iv) log audit; dan (v) metadata konfigurasi yang cukup untuk merekonstruksi pengaturan operasional Customer dalam sistem penerus.
• (c) Penghapusan setelah pengembalian: Setelah dikonfirmasi bahwa Customer telah menerima dan memverifikasi data yang diekspor, atau setelah berakhirnya periode pengembalian data 60 (enam puluh) hari (mana yang lebih awal), Provider harus menghapus secara aman seluruh Personal Data dari semua sistem, termasuk basis data produksi, lingkungan staging, cadangan, dan replika pemulihan bencana.
• (d) Sertifikat penghapusan: Provider harus menerbitkan sertifikat penghapusan tertulis dalam waktu tiga puluh (30) hari kalender setelah menyelesaikan proses pemusnahan aman, yang mengonfirmasi bahwa seluruh Personal Data telah dimusnahkan secara tidak dapat dibalik dari semua sistem dan media yang dikendalikan Provider.
• (e) Kewajiban residual: Kewajiban perlindungan data berdasarkan bab ini tetap berlaku setelah pengakhiran sepanjang menyangkut setiap Personal Data yang disimpan oleh Provider berdasarkan kewajiban hukum, sampai data tersebut dimusnahkan secara aman.

7.14 Transfer Data Lintas Batas

Apabila pemrosesan Personal Data melibatkan atau mungkin melibatkan transfer Personal Data ke negara ketiga atau organisasi internasional, ketentuan berikut berlaku:

• (a) Data yang berasal dari EEA: Transfer Personal Data yang berasal dari European Economic Area ke negara yang tidak tercakup oleh keputusan kecukupan berdasarkan GDPR Pasal 45 akan diatur oleh EU Standard Contractual Clauses (SCCs) yang diadopsi berdasarkan Commission Implementing Decision (EU) 2021/914, dilengkapi dengan Transfer Impact Assessment (TIA) apabila diwajibkan oleh EDPB Recommendations 01/2020.
• (b) Data yang berasal dari UAE: Transfer Personal Data yang berasal dari UAE ke negara di luar UAE harus mematuhi UAE PDPL Pasal 22 (ketentuan transfer lintas batas), termasuk persyaratan lokalisasi data apa pun yang diberlakukan oleh UAE Data Office atau regulator sektoral yang berlaku.
• (c) Opsi lokalisasi data: Model lingkungan berdaulat privat khusus milik Provider memungkinkan Customer memilih wilayah geografis (Azure Region) tempat seluruh Customer Data berada dan diproses. Apabila Customer mensyaratkan data tetap berada dalam yurisdiksi tertentu (misalnya, UAE untuk kontrak pemerintah, EEA untuk entitas yang diatur Uni Eropa), Provider harus memastikan bahwa tidak ada data yang keluar dari wilayah yang ditetapkan, termasuk untuk tujuan cadangan dan pemulihan bencana.
• (d) Transfer Impact Assessment: Sebelum memulai mekanisme transfer lintas batas baru, Provider harus melakukan dan mendokumentasikan Transfer Impact Assessment yang menilai: (i) kerangka hukum negara penerima; (ii) langkah-langkah tambahan yang diterapkan; dan (iii) keterlaksanaan hak Data Subject secara praktis di yurisdiksi penerima.

7.15 Pengelolaan Pelanggaran Personal Data

7.15.1 Deteksi & Klasifikasi Pelanggaran

Provider telah menetapkan prosedur, yang dikelola oleh Departemen TI, untuk mendeteksi, mengklasifikasikan, dan merespons pelanggaran Personal Data. Perangkat SIEM dan AIOps milik Provider menyediakan deteksi anomali otomatis; semua peringatan yang diklasifikasikan sebagai kemungkinan pelanggaran Personal Data segera diekskalasi ke DPO.

Pelanggaran diklasifikasikan berdasarkan tingkat keparahan:

7.15.2 Prosedur Pemberitahuan Pelanggaran

Provider harus memberitahukan Customer (selaku Controller) mengenai setiap pelanggaran Personal Data yang terkonfirmasi atau dicurigai sebagai berikut:

• (a) Pemberitahuan awal: Dalam jangka waktu yang ditetapkan pada §7.15.1, Provider harus memberi tahu DPO/penanggung jawab privasi yang ditunjuk Customer melalui saluran komunikasi utama (email ke alamat yang ditunjuk, diikuti konfirmasi telepon untuk pelanggaran berkeparahan Critical dan High). Pemberitahuan awal harus mencakup: (i) sifat pelanggaran; (ii) kategori dan perkiraan jumlah Data Subject yang terdampak; (iii) kategori dan perkiraan jumlah record yang terkait; (iv) kemungkinan konsekuensi; dan (v) langkah-langkah yang telah diambil atau yang diusulkan untuk memitigasi dampak buruk.
• (b) Pelaporan lanjutan: Apabila rincian lengkap belum tersedia pada saat pemberitahuan awal, Provider harus memberikan informasi secara bertahap tanpa penundaan yang tidak semestinya ketika informasi tersebut tersedia (GDPR Pasal 33(4)).
• (c) Analisis akar penyebab: Provider harus menyampaikan laporan analisis akar penyebab lengkap kepada Customer dalam waktu lima belas (15) hari kerja sejak pelanggaran berhasil ditahan, termasuk: linimasa kejadian, sistem dan data yang terdampak, akar penyebab, tindakan penahanan, langkah remediasi, dan rekomendasi untuk mencegah terulangnya kejadian.
• (d) Kerja sama regulator: Provider harus membantu Customer dalam: (i) memberi tahu otoritas pengawas yang berwenang (GDPR Pasal 33, UAE PDPL Pasal 28); dan (ii) mengomunikasikan pelanggaran kepada Data Subject yang terdampak apabila diwajibkan (GDPR Pasal 34). Provider tidak boleh berkomunikasi langsung dengan otoritas pengawas atau Data Subject terkait data Customer tanpa persetujuan tertulis sebelumnya dari Customer, kecuali diwajibkan oleh hukum.

7.15.3 Simulasi Respons Pelanggaran

Provider dan Customer harus melakukan simulasi respons pelanggaran Personal Data bersama setidaknya setiap tahun, dengan mensimulasikan skenario pelanggaran berkeparahan Critical. Simulasi ini harus menguji: (i) jangka waktu dari deteksi hingga pemberitahuan; (ii) efektivitas saluran komunikasi; (iii) pelaksanaan prosedur penahanan; dan

• (iv) kesiapan pemberitahuan regulator. Temuan dari setiap simulasi harus didokumentasikan dan dimasukkan ke dalam perbaikan proses.

7.16 Perlindungan Data Khusus AI

Penggunaan komponen kecerdasan buatan oleh Provider di dalam Platform (termasuk transkripsi berbantuan AI, AIOps, analitik prediktif, dan panduan kontekstual di aplikasi) tunduk pada kontrol perlindungan data berikut, selaras dengan EU AI Act (Regulation (EU) 2024/1689) dan NIST AI RMF:

• (a) Tidak ada pelatihan lintas penyewa: Data Customer tidak pernah digunakan untuk melatih model AI yang melayani Customer lain atau meningkatkan kemampuan AI tujuan umum milik Provider. Keluaran yang dihasilkan AI milik setiap Customer (misalnya, model transkripsi, analitik prediktif) dilatih dan dibatasi secara eksklusif pada data Customer tersebut di dalam lingkungan berdaulat khusus mereka.
• (b) Minimisasi data dalam AI: Komponen AI memproses Personal Data seminimal mungkin yang diperlukan untuk menjalankan fungsinya. Jika memungkinkan, data dipseudonimkan atau dianonimkan sebelum diproses oleh AI.
• (c) Pengambilan keputusan otomatis: Platform tidak mengambil keputusan yang semata-mata didasarkan pada pemrosesan otomatis yang menghasilkan akibat hukum atau akibat yang serupa signifikansinya bagi Data Subject (GDPR Pasal 22) kecuali: (i) Customer secara eksplisit mengonfigurasi pemrosesan tersebut; (ii) Customer memastikan dasar hukum yang sah (persetujuan, kebutuhan kontrak, atau hukum Negara Anggota); dan (iii) peninjauan manusia tersedia.
• (d) Transparansi AI: Provider mendokumentasikan tujuan, masukan data, logika, dan ruang lingkup keluaran dari setiap komponen AI dalam dokumentasi teknis Platform. Dokumentasi ini tersedia bagi Customer untuk tujuan DPIA (§7.10) dan inspeksi regulator.
• (e) Pemantauan bias: Apabila komponen AI memproses Personal Data yang mencakup kategori khusus (misalnya, etnisitas, kebangsaan dalam modul HRMS), Provider menerapkan pemeriksaan pemantauan bias dan melaporkan temuannya kepada Customer sebagai bagian dari penilaian mandiri triwulanan (§7.11.2).

7.17 Daftar Proses

Tabel berikut mencantumkan proses kontraktual dan operasional yang diatur oleh bab ini. Setiap proses diberi identifikasi unik, kondisi pemicu, penanggung jawab, pemberi persetujuan, hasil yang diharapkan, dan rujukan silang ke bagian yang mengaturnya.

7.18 Skema Alur Proses

Diagram berikut menggambarkan siklus hidup perlindungan data dari pelaksanaan DPA hingga pemantauan kepatuhan berkelanjutan, respons pelanggaran, dan pengembalian data saat terminasi.

① Pelaksanaan DPA & Dasar Hukum → ② RoPA & Privacy-by-Design → ③ Implementasi TOM

▼

④ DPIA (termasuk AI DPIA) → ⑤ Pemrosesan & Pemantauan Berkelanjutan → ⑥ Pemenuhan Hak Data Subject

▼

⑦ Deteksi & Respons Pelanggaran → ⑧ Audit & Tinjauan Kepatuhan → ⑨ Pengembalian / Pemusnahan Data

Siklus umpan balik: Tahap ⑨ (Pengembalian/Pemusnahan Data) mengalir kembali ke Tahap ② (RoPA) untuk pencatatan aktivitas pemusnahan dan Tahap ⑧ (Audit) untuk verifikasi kepatuhan pascaterminasi. Tahap ④–⑦ berjalan terus-menerus selama Periode Langganan dengan titik pemeriksaan penilaian mandiri triwulanan (§7.11.2).