Perjanjian Pemrosesan Data

1. Definisi

Perjanjian Pemrosesan Data ini ("DPA") merupakan bagian dari Perjanjian Berlangganan Utama ("Perjanjian") antara ProcureLabs Pte. Ltd. ("Pemroses") dan entitas yang berlangganan layanan ProcureLabs ("Pengendali"). Istilah yang tidak didefinisikan di sini memiliki arti sebagaimana ditetapkan dalam Perjanjian atau Regulation (EU) 2016/679 ("GDPR").

• Data Pribadi berarti setiap informasi yang berkaitan dengan orang perseorangan yang teridentifikasi atau dapat diidentifikasi yang diproses berdasarkan DPA ini.
• Pemrosesan berarti setiap operasi yang dilakukan terhadap Data Pribadi, termasuk pengumpulan, penyimpanan, perubahan, pengambilan, penggunaan, pengungkapan, dan penghapusan.
• Sub-prosesor berarti pihak ketiga mana pun yang dilibatkan oleh Prosesor untuk memproses Data Pribadi atas nama Pengendali.

2. Ruang Lingkup dan Tujuan Pemrosesan

Pemroses hanya akan memproses Data Pribadi untuk tujuan menyediakan layanan platform intelijen pengadaan ProcureLabs sebagaimana dijelaskan dalam Perjanjian. Kategori subjek data mencakup karyawan, konsultan, dan pengguna yang berwenang dari Pengendali. Kategori Data Pribadi mencakup nama, alamat email, jabatan, peran organisasi, alamat IP, dan analitik penggunaan.

3. Kewajiban Pemroses (GDPR Article 28)

• Memproses Data Pribadi hanya berdasarkan instruksi terdokumentasi dari Pengendali, kecuali diwajibkan oleh hukum yang berlaku.
• Memastikan bahwa orang yang berwenang memproses Data Pribadi telah berkomitmen untuk menjaga kerahasiaan atau tunduk pada kewajiban kerahasiaan berdasarkan undang-undang yang sesuai.
• Menerapkan langkah-langkah teknis dan organisasi yang sesuai untuk memastikan tingkat keamanan yang sepadan dengan risikonya, termasuk enkripsi saat tidak digunakan (AES-256) dan saat transit (TLS 1.2+), serta kontrol akses dengan autentikasi multifaktor yang dapat diwajibkan oleh administrator tenant.
• Tidak melibatkan pemroses lain tanpa otorisasi tertulis khusus atau umum sebelumnya dari Pengendali. Jika otorisasi umum diberikan, Pemroses wajib memberi tahu Pengendali tentang perubahan yang direncanakan dengan pemberitahuan 30 hari.
• Membantu Pengendali menanggapi permintaan subjek data (akses, perbaikan, penghapusan, portabilitas, pembatasan, dan keberatan).
• Membantu Pengendali memastikan kepatuhan terhadap kewajiban keamanan, pemberitahuan pelanggaran, dan penilaian dampak perlindungan data.
• Atas pilihan Pengendali, menghapus atau mengembalikan seluruh Data Pribadi setelah layanan berakhir, serta menghapus salinan yang ada kecuali penyimpanan diwajibkan oleh hukum yang berlaku.
• Menyediakan kepada Pengendali seluruh informasi yang diperlukan untuk menunjukkan kepatuhan, serta mengizinkan dan berkontribusi dalam audit.

4. Sub-pemroses

Pengendali memberikan otorisasi umum kepada Pemroses untuk melibatkan subpemroses yang tercantum di bawah ini. Pemroses wajib memberi tahu Pengendali setidaknya 30 hari sebelum menambahkan atau mengganti subpemroses.

The DocuSeal pilot entry is expressly excluded from the general authorization for listed client subprocessors above. Signing the vendor DPA, publishing this disclosure, a successful pilot or an administrator setting does not by itself authorize client processing or overseas transfers.

Persetujuan integrasi produksi DocuSign dan perjanjian perlindungan data yang berlaku belum dikonfirmasi. Konfirmasikan wilayah akun pengiriman sebelum mengaktifkan opsi penandatanganan ini.

Berlaku per tanggal di atas. Lihat /subprocessors untuk daftar terkini.

OpenAI mendukung percakapan, analisis, dan penilaian Decisions yang terbatas untuk pemilihan alat serta bukti pengadaan. Dengan tunduk pada izin pelanggan yang masih berlaku dan konfigurasi regional yang disepakati, Decisions menerima konteks dan pertanyaan yang diminimalkan dan disamarkan untuk tujuan yang diizinkan. Data API OpenAI hanya digunakan untuk pelatihan model jika ada persetujuan ikut serta secara tegas. Decisions dapat menyimpan status cache prompt terenkripsi hingga 24 jam dan log pemantauan penyalahgunaan standar hingga 30 hari, dengan pengecualian keamanan, keselamatan, atau hukum yang berlaku.

Pemrosesan Decisions memerlukan instruksi pelanggan yang masih berlaku dan izin untuk tujuan, akun, pemroses, serta transfer ke AS yang spesifik. Menonaktifkan AI atau mencabut kewenangan terkait mencegah permintaan Decisions baru. Tindakan yang berdampak tetap tunduk pada pengamanan yang diwajibkan dan peninjauan independen.

5. Transfer Data Internasional

Jika Data Pribadi ditransfer ke luar Wilayah Ekonomi Eropa, Pemroses wajib memastikan adanya perlindungan yang memadai, termasuk: (a) Klausul Kontrak Standar Uni Eropa (Modul 2: Pengendali ke Pemroses) sebagaimana disetujui oleh Keputusan Pelaksanaan Komisi (UE) 2021/914; (b) aturan perusahaan yang mengikat jika berlaku; atau (c) transfer ke negara yang memiliki keputusan kecukupan dari Komisi Eropa.

6. Pemberitahuan Pelanggaran Data

Pemroses wajib memberi tahu Pengendali tanpa penundaan yang tidak semestinya dan paling lambat 72 jam setelah mengetahui adanya pelanggaran Data Pribadi. Pemberitahuan harus mencakup: (a) sifat pelanggaran, termasuk perkiraan jumlah subjek data yang terdampak; (b) kemungkinan konsekuensi pelanggaran; (c) langkah yang telah diambil atau diusulkan untuk menangani pelanggaran; (d) informasi kontak narahubung perlindungan data Pemroses.

7. Langkah-Langkah Keamanan

• Enkripsi saat tidak digunakan (AES-256) dan saat transit (TLS 1.2+)
• Autentikasi multifaktor tersedia bagi semua pengguna; administrator tenant dapat mewajibkannya bagi semua orang atau bagi administrator
• Keamanan tingkat baris dengan isolasi tenant pada tabel database yang menyimpan data pelanggan
• Pemindaian otomatis setiap perubahan kode untuk mendeteksi secret yang ter-commit (Gitleaks) dan kerentanan dependensi kritis yang dapat diperbaiki (Trivy)
• Kontrol dipetakan ke SOC 2 Trust Services Criteria dalam matriks kontrol yang tersedia berdasarkan permintaan. Program persiapan SOC 2 Type II sedang berlangsung; audit kami sendiri belum dimulai dan tidak ada laporan Type II yang telah selesai.
• Penegakan batas waktu sesi (30 menit tidak aktif)
• Perlindungan CSRF pada permintaan yang mengubah status, menggunakan token double-submit yang diterbitkan ulang setiap jam
• Content Security Policy dengan nonce per permintaan
• Pembatasan laju pada permintaan API, per alamat IP dan per pengguna pada endpoint yang intensif sumber daya, dengan penghitung yang dibagikan antarserver melalui Redis jika Redis dikonfigurasi dan tetap per server jika tidak
• Retensi mengikuti kategori data terkait, instruksi pelanggan, kewajiban penyimpanan hukum, serta ketentuan penyedia. Riwayat percakapan, konten turunan, catatan audit, dan log penyedia memiliki ketentuan retensi tersendiri. Permintaan penghapusan ditangani berdasarkan perjanjian pemrosesan data dan hukum yang berlaku.

8. Hak Subjek Data

Pemroses wajib membantu Pengendali memenuhi kewajibannya untuk menanggapi permintaan subjek data dalam waktu 30 hari kalender. Platform menyediakan ekspor data mandiri dan penghapusan akun (Settings > Account), serta kemampuan peninjauan akses.

9. Hak Audit

Pengendali dapat mengaudit kepatuhan Pemroses terhadap DPA ini tidak lebih dari sekali per tahun kalender, dengan pemberitahuan tertulis 30 hari sebelumnya. Pemroses wajib menyediakan laporan kepatuhan, sertifikasi, dan ringkasan audit pihak ketiga yang relevan. Audit jarak jauh lebih diutamakan; audit di lokasi dilakukan atas biaya Pengendali.

10. Jangka Waktu dan Pengakhiran

DPA ini tetap berlaku selama Perjanjian berlaku. Setelah pengakhiran, Pemroses wajib, berdasarkan pilihan Pengendali, mengembalikan atau menghapus seluruh Data Pribadi dalam waktu 30 hari. Penghapusan saat pengakhiran dilakukan oleh staf Pemroses berdasarkan instruksi tertulis Pengendali, bukan melalui proses otomatis dalam platform. Sertifikasi penghapusan akan diberikan berdasarkan permintaan.