Perjanjian Pemrosesan Data

1. Definisi

“Hukum perlindungan data” berarti UK GDPR, UK Data Protection Act 2018, EU GDPR, dan hukum perlindungan data lain yang berlaku untuk pemrosesan tersebut. “Data pribadi”, “pemrosesan”, “pengendali data”, “pemroses data”, “subjek data”, dan “pelanggaran data pribadi” memiliki arti seperti dalam hukum itu. “Layanan” memiliki arti seperti dalam Ketentuan.

2. Cakupan DPA ini

DPA ini tidak mencakup data yang kami pakai untuk keperluan sendiri, seperti data akun, penagihan, pencegahan penipuan, dan catatan pesanan yang kami simpan karena hukum. Kami adalah pengendali data tersebut, dan Kebijakan Privasi menjelaskannya.

3. Tanggung jawabmu

• Kamu menentukan mengapa data pengunjungmu diproses, dan kamu memastikan ada dasar hukum untuk itu.
• Kamu memberi tahu pengunjung dan pembelimu bagaimana kamu memakai data mereka, misalnya lewat pemberitahuan privasimu sendiri yang di-link dari halamanmu.
• Kamu mendapatkan persetujuan jika hukum mengharuskannya, misalnya sebelum menghubungkan Conversions API Meta, jika hukum di tempat pengunjungmu berada mewajibkan persetujuan untuk itu.
• Kamu hanya memberi kami instruksi yang sah. Pengaturanmu di Layanan adalah instruksimu.

4. Tanggung jawab kami

• Kami memproses data pribadi hanya berdasarkan instruksi tertulismu, yaitu Ketentuan ini, DPA ini, dan pengaturanmu, kecuali hukum mewajibkan lain. Jika kami menilai suatu instruksi melanggar hukum, kami memberi tahu kamu.
• Setiap orang di LoadFocus LTD yang bisa mengakses data wajib menjaga kerahasiaannya.
• Kami melindungi data dengan langkah-langkah di bagian 5.
• Kami memakai sub-pemroses hanya sesuai bagian 6.
• Kami membantumu menjawab permintaan dari subjek data (bagian 7) dan dalam kewajibanmu soal keamanan, pemberitahuan pelanggaran, dan penilaian dampak, sejauh sifat pemrosesannya memungkinkan.
• Kami menghapus atau mengembalikan data di akhir Layanan (bagian 9).
• Kami memberimu informasi yang kamu perlukan untuk menunjukkan bahwa kami memenuhi Pasal 28, dan kami mengizinkan audit sesuai bagian 10.

5. Langkah keamanan

• Enkripsi saat transit: halaman, aplikasi, dan API kami disajikan lewat HTTPS.
• Akses: database dan penyimpanan sesi hanya menerima koneksi dari server kami sendiri dan memerlukan password. Hanya staf yang membutuhkannya untuk pekerjaan mereka yang bisa mengakses sistem produksi.
• Rahasia: kunci dan password disimpan di AWS Systems Manager Parameter Store, tidak pernah di kode kami.
• Akun: masuk lewat Google; password yang tersimpan di-hash dengan bcrypt; sesi memakai cookie secure dan HTTP-only.
• Perlindungan dari penyalahgunaan: rate limit pada proses masuk dan pendaftaran, serta pemeriksaan bahwa permintaan berasal dari website kami sendiri.
• Minimalisasi data: alamat IP pembeli hanya disimpan sebagai hash satu arah yang dipersingkat; pengenal kartu dari pembayaran yang gagal disimpan hingga 48 jam.

Kami meninjau langkah-langkah ini saat Layanan berubah. Halaman Keamanan menjelaskan cara melaporkan kerentanan.

6. Sub-pemroses

Kamu mengizinkan kami memakai sub-pemroses berikut untuk data yang dicakup DPA ini:

Setiap sub-pemroses terikat kontrak tertulis dengan ketentuan perlindungan data yang perlindungannya setidaknya setara dengan DPA ini. Kami tetap bertanggung jawab atas mereka.

Kami memberi tahu kamu lewat email tentang sub-pemroses baru paling lambat 30 hari sebelum sub-pemroses itu mulai dipakai. Kamu bisa menyampaikan keberatan lewat email dalam jangka waktu itu, beserta alasanmu. Jika kami tidak dapat mengatasi keberatanmu, kamu bisa menutup akunmu dan kami mengembalikan biaya yang sudah dibayar di muka untuk waktu yang tidak kamu pakai.

7. Permintaan dari subjek data

Jika pengunjung atau pembeli meminta kami mengakses, mengoreksi, atau menghapus datanya, kami meneruskan permintaan itu kepadamu tanpa menunda dan tidak menjawabnya sendiri, kecuali hukum mewajibkan kami. Kamu bisa mengirim email ke hello@more.you dan kami membantumu menemukan, mengekspor, atau menghapus data orang tersebut.

8. Pelanggaran data pribadi

Jika kami mengetahui adanya pelanggaran data pribadi yang memengaruhi data di bawah DPA ini, kami memberi tahu kamu tanpa penundaan yang tidak semestinya, dan bagaimanapun paling lambat dalam 48 jam. Kami memberi tahu apa yang terjadi, data apa dan berapa banyak orang yang terdampak, apa yang kami lakukan, dan siapa yang bisa kamu hubungi. Kami mengirim detail lebih lanjut seiring kami mengetahuinya.

9. Penghapusan di akhir

Saat kamu menutup akunmu, halamanmu tidak lagi online dan kami berhenti memproses data untukmu. Kami menghapusnya dalam 90 hari, kecuali hukum mewajibkan kami menyimpannya. Sebelum menutup akun, kamu bisa meminta salinan statistik dan pesananmu di hello@more.you.

10. Informasi dan audit

Atas permintaan, kami menjawab pertanyaan tertulis yang wajar tentang cara kami melindungi data. Jika jawaban itu belum cukup untuk menunjukkan bahwa kami memenuhi DPA ini, atau regulator memintanya, kamu bisa mengaudit kami setahun sekali, dengan pemberitahuan 30 hari, pada jam kerja, lewat auditor independen yang terikat kerahasiaan. Kamu yang membayar audit tersebut.

11. Transfer internasional

Kami berada di Britania Raya, dan server kami berada di Amerika Serikat. Saat data pribadi dari Britania Raya atau Wilayah Ekonomi Eropa dikirim ke negara tanpa keputusan kecukupan, kami memakai mekanisme transfer yang diakui hukum: UK Extension to the EU-US Data Privacy Framework jika penerimanya bersertifikat, atau klausul kontrak standar UE dengan UK Addendum.

Jika kamu berada di Wilayah Ekonomi Eropa dan kami menerima data pribadi darimu, klausul kontrak standar UE (modul 2, pengendali ke pemroses, atau modul 3 jika kamu sendiri adalah pemroses) berlaku antara kamu dan kami dan menjadi bagian dari DPA ini. Klausul 7 tidak berlaku, opsi 2 dari klausul 9 berlaku dengan jangka waktu pemberitahuan di bagian 6, teks opsional di klausul 11 tidak berlaku, dan klausul 17 dan 18 memilih hukum dan pengadilan Irlandia. Lampirannya adalah bagian 2, 5, dan 6 DPA ini.

12. Tanggung jawab hukum, urutan dokumen, dan hukum yang berlaku

Batas tanggung jawab dalam Ketentuan berlaku untuk DPA ini, kecuali jika hukum perlindungan data tidak mengizinkannya. Jika DPA ini dan Ketentuan berbeda soal data pribadi, DPA ini yang berlaku. Jika klausul kontrak standar dan DPA ini berbeda, klausul itu yang berlaku.

DPA ini tunduk pada hukum yang sama dengan Ketentuan, kecuali bagian 11 atau hukum perlindungan data menyatakan lain. Kami dapat memperbaruinya untuk mengikuti hukum atau perubahan pada Layanan, dan kami memberi tahu kamu lewat email sebelum perubahan yang mengurangi perlindunganmu.

13. Kontak

Pertanyaan tentang DPA ini: hello@more.you.