Adendum Pemrosesan Data

1. Definisi

Istilah pengendali, pemroses, subpemroses, subjek data, data pribadi, pemrosesan, dan pelanggaran data pribadi memiliki arti menurut UK GDPR dan EU GDPR. “Hukum Perlindungan Data” berarti UK GDPR, EU GDPR (Peraturan 2016/679), Undang-Undang Perlindungan Data Inggris 2018, serta hukum perlindungan data atau privasi lain yang berlaku.

2. Peran dan lingkup

Untuk data yang diproses menurut perjanjian, Pelanggan adalah pengendali dan Clavio pemroses, atau subpemroses jika Pelanggan sendiri pemroses untuk pengguna akhirnya. Clavio memproses hanya untuk menyediakan dan mendukung Layanan. Pokok, durasi, sifat, tujuan, jenis data, serta kategori subjek dijelaskan dalam Lampiran A di bawah.

3. Kewajiban pemroses (Pasal 28)

Clavio wajib:

• Instruksi terdokumentasi — Memproses hanya berdasarkan instruksi terdokumentasi Pelanggan, termasuk perjanjian dan DPA, kecuali hukum mewajibkan lain; dalam hal itu Clavio memberi tahu terlebih dahulu jika diizinkan hukum.
• Kerahasiaan — Memastikan orang yang berwenang memproses data terikat kewajiban kerahasiaan yang sesuai.
• Keamanan — Menerapkan tindakan teknis dan organisasi pada bagian 6 serta Lampiran B (Pasal 32).
• Subpemroses — Menggunakan subpemroses hanya sesuai bagian 5.
• Bantuan hak subjek data — Dengan mempertimbangkan sifat pemrosesan, membantu Pelanggan melalui tindakan sesuai untuk permintaan akses, pembetulan, penghapusan, pembatasan, portabilitas, dan keberatan.
• Bantuan kepatuhan — Membantu memenuhi Pasal 32–36 tentang keamanan, pemberitahuan pelanggaran, penilaian dampak, dan konsultasi sebelumnya, sesuai informasi yang tersedia bagi Clavio.
• Penghapusan atau pengembalian — Sesuai pilihan Pelanggan, menghapus atau mengembalikan seluruh data setelah layanan berakhir dan menghapus salinan yang ada kecuali hukum mewajibkan penyimpanan (lihat bagian 8).
• Audit — Menyediakan informasi yang diperlukan untuk membuktikan kepatuhan Pasal 28 serta mengizinkan dan membantu audit, termasuk inspeksi oleh Pelanggan atau auditor yang ditunjuk, dengan pengaturan kerahasiaan dan keamanan yang wajar.

4. Pelanggaran data pribadi

Clavio wajib memberi tahu tanpa penundaan yang tidak semestinya setelah mengetahui pelanggaran yang memengaruhi data Pelanggan, serta memberikan informasi yang secara wajar tersedia untuk membantu kewajiban pemberitahuan kepada otoritas pengawas dan subjek menurut Pasal 33 dan 34.

5. Subpemroses

Pelanggan memberi otorisasi umum bagi Clavio menggunakan subpemroses untuk Layanan. Daftar saat ini terdapat dalam Kebijakan Privasi dan di bawah. Clavio memberlakukan kewajiban perlindungan yang secara material setara dengan DPA ini dan tetap bertanggung jawab atas kinerja subpemroses. Clavio akan memberi tahu perubahan yang direncanakan dan kesempatan keberatan atas alasan perlindungan data yang wajar.

• Anthropic — Pemolesan transkrip dengan AI; memproses transkrip dan isi dikte.
• OpenAI (Whisper) — Transkripsi ucapan; memproses rekaman suara.
• Groq — Dapat menyediakan transkripsi ketika dikonfigurasi; memproses rekaman dan data inferensi terkait menurut kontrol data akun yang berlaku.
• Lemon Squeezy — Pemrosesan pembayaran dan tagihan langganan sebagai Merchant of Record; memproses akun dan identitas seperti nama, email, informasi tagihan dan pembayaran, serta negara untuk pajak.
• Apple — Masuk dan verifikasi identitas; memproses data akun serta identitas.
• Google — Masuk dan verifikasi identitas; memproses data akun serta identitas.
• Railway — Hosting aplikasi dan infrastruktur basis data; dapat memproses semua kategori pada Lampiran A.
• GitLab — Pengiriman perangkat lunak dan alat operasional; memproses data diagnostik serta operasional.

6. Tindakan keamanan (Pasal 32)

Clavio menjaga tindakan teknis dan organisasi yang sesuai, termasuk enkripsi saat transit (TLS), hanya menyimpan token autentikasi yang di-hash bukan kata sandi, kontrol akses berdasarkan kebutuhan mengetahui, penyedia infrastruktur bereputasi, serta praktik operasional untuk menjaga kerahasiaan, integritas, ketersediaan, dan ketahanan Layanan secara berkelanjutan. Ringkasan terdapat dalam Lampiran B.

7. Transfer internasional

Jika pemrosesan menurut DPA memindahkan data ke luar Inggris atau EEA menuju negara tanpa keputusan kecukupan, para pihak sepakat menerapkan perlindungan sesuai Pasal 46, yaitu Klausul Kontrak Standar Komisi Eropa (EU 2021/914) dan, untuk transfer Inggris, UK International Data Transfer Agreement / UK Addendum. Dokumen tersebut digabungkan melalui rujukan dan dilengkapi rincian Lampiran. Kami menandatanganinya sebagai standar tanpa negosiasi.

8. Durasi, penghapusan, dan pengembalian

DPA berlaku selama Clavio memproses data untuk Pelanggan. Saat Layanan berakhir atau kedaluwarsa, sesuai pilihan Pelanggan, Clavio menghapus atau mengembalikan data serta menghapus salinan, dengan tunduk pada jendela rotasi cadangan singkat dan retensi yang diwajibkan hukum.

9. Lampiran A — Rincian pemrosesan

• Pokok dan sifat: Penyediaan layanan dikte suara AI: menangkap, mengirim, mentranskripsikan, dan memoles dikte, serta pengelolaan akun dan langganan.
• Tujuan: Menyediakan Layanan bagi Pelanggan dan pengguna berwenang.
• Durasi: Selama perjanjian ditambah masa penyelesaian terbatas menurut bagian 8.
• Kategori subjek: Pengguna yang diizinkan Pelanggan, misalnya karyawan atau anggota tim.
• Jenis data: Akun dan identitas seperti pengenal, nama, email termasuk alamat relai privat Apple; rekaman dan transkrip; langganan, tagihan, dan pembayaran yang ditangani Merchant of Record Lemon Squeezy, termasuk negara untuk pajak; data penggunaan, diagnostik, perangkat, serta sistem operasi.
• Data kategori khusus: Rekaman suara diproses sementara untuk menghasilkan transkrip, tidak digunakan melatih model AI.

10. Lampiran B — Ringkasan tindakan keamanan

• Enkripsi data pribadi saat transit (TLS).
• Autentikasi melalui penyedia identitas yang digunakan untuk masuk; hanya token hash disimpan, bukan kata sandi.
• Kontrol akses sistem dan data berdasarkan peran serta kebutuhan mengetahui.
• Penggunaan penyedia infrastruktur dan subpemroses AI bereputasi yang ditinjau keamanannya berdasarkan ketentuan perlindungan data.
• Pencatatan dan pemantauan untuk mendeteksi serta merespons peristiwa keamanan, dan proses pemberitahuan pelanggaran kepada Pelanggan.
• Tindakan untuk memulihkan ketersediaan dan akses data secara tepat waktu setelah insiden.

11. Kontak

Untuk meminta, menandatangani, atau bertanya tentang DPA ini, hubungi office@justetools.co.uk .