PERJANJIAN PEMROSESAN DATA PRIBADI

Berlaku efektif: 30 Juni 2026 · Versi 1.0

Data Processing Agreement (DPA), Lampiran Platform Bama.

Perjanjian Pemrosesan Data Pribadi ("DPA") ini mengatur tata cara pemrosesan Data Pribadi Anggota antara Organisasi Mahasiswa (sebagai Pengendali Data Pribadi) dan Penyedia Layanan Platform Bama (sebagai Pemroses Data Pribadi), sesuai Pasal 51 Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi. DPA ini merupakan satu kesatuan dengan Ketentuan Layanan dan Kebijakan Privasi Platform Bama.

Pasal 1 — Definisi dan Rujukan

1.1. Istilah-istilah yang digunakan dalam DPA ini memiliki arti yang sama sebagaimana didefinisikan dalam Ketentuan Layanan dan Kebijakan Privasi Platform Bama, kecuali konteks menentukan lain.

1.2. Dalam DPA ini, istilah "Pengendali Data" merujuk pada Organisasi Mahasiswa yang diwakili oleh Pengelola, dan istilah "Pemroses Data" merujuk pada Penyedia Layanan (PT Doro Kampus Indonesia).

Pasal 2 — Objek, Sifat, Tujuan, dan Jangka Waktu Pemrosesan

2.1. Objek pemrosesan adalah Data Pribadi Anggota dan data operasional Organisasi sebagaimana diuraikan dalam Pasal 3 Kebijakan Privasi Platform Bama.

2.2. Sifat dan tujuan pemrosesan adalah penyediaan operasional Platform Bama bagi Organisasi serta tujuan-tujuan tambahan sebagaimana diatur dalam Pasal 4 Kebijakan Privasi.

2.3. Jangka waktu pemrosesan berlangsung selama: (a) Ketentuan Layanan antara Pemroses Data dan Pengendali Data berlaku; dan (b) jangka waktu retensi sebagaimana diatur dalam Pasal 6 Kebijakan Privasi.

Pasal 3 — Kewajiban Pengendali Data

3.1. Pengendali Data, dalam kapasitasnya sebagai pihak yang menentukan tujuan pemrosesan Data Pribadi Anggota, menjamin dan bertanggung jawab atas hal-hal sebagai berikut:

(a) Memperoleh, mendokumentasikan, dan memelihara catatan persetujuan yang sah dan cukup dari setiap Anggota sesuai dengan UU PDP, sebelum Data Pribadi Anggota diunggah ke Platform Bama;

(b) Menyampaikan pemberitahuan privasi (privacy notice) kepada setiap Anggota sebagaimana diwajibkan oleh Pasal 21 UU PDP, menggunakan templat yang disediakan oleh Pemroses Data atau dokumen setara;

(c) Memberikan instruksi yang sah dan terdokumentasi kepada Pemroses Data, baik melalui penggunaan Platform Bama, fitur konfigurasi, maupun komunikasi tertulis lainnya;

(d) Menjamin bahwa Data Pribadi yang diunggah adalah akurat, lengkap, terkini, dan tidak melanggar hak pihak ketiga;

(e) Menanggapi permintaan pelaksanaan hak Subjek Data dari Anggota dalam tahap pertama sebagaimana diatur dalam Pasal 10 Kebijakan Privasi;

(f) Mematuhi seluruh kewajiban hukum lainnya sebagai Pengendali Data berdasarkan UU PDP, peraturan pelaksanaannya, dan peraturan perundang-undangan terkait.

Pasal 4 — Kewajiban Pemroses Data

4.1. Pemroses Data, dalam kapasitasnya sebagai pihak yang melaksanakan pemrosesan teknis atas nama Pengendali Data, melaksanakan kewajiban sebagai berikut sesuai Pasal 51 UU PDP:

(a) Memproses Data Pribadi hanya berdasarkan instruksi yang sah dari Pengendali Data, sebagaimana dituangkan dalam DPA ini, Kebijakan Privasi, konfigurasi Platform yang ditetapkan oleh Pengendali Data, atau instruksi tambahan yang secara wajar dapat diturunkan darinya untuk pelaksanaan tujuan pemrosesan yang telah disepakati;

(b) Memastikan personel yang memiliki akses ke Data Pribadi terikat oleh kewajiban kerahasiaan;

(d) Memberikan dukungan teknis yang wajar kepada Pengendali Data dalam menanggapi permintaan pelaksanaan hak Subjek Data sebagaimana diatur dalam Pasal 10 Kebijakan Privasi;

(e) Memberitahukan Pengendali Data mengenai insiden Data Pribadi yang berdampak material sesuai dengan Pasal 12 Kebijakan Privasi;

(f) Menyediakan informasi yang wajar atas permintaan Pengendali Data untuk membuktikan kepatuhan terhadap kewajiban-kewajiban dalam DPA ini, sebagaimana diatur lebih lanjut dalam Pasal 8.

Pasal 5 — Penggunaan Sub-Pemroses (Mitra Pemroses)

5.1. Pengendali Data memberikan persetujuan umum dan berkelanjutan kepada Pemroses Data untuk menunjuk, mengganti, atau menambah Mitra Pemroses (sub-processor), baik di dalam maupun di luar wilayah hukum Republik Indonesia, untuk melaksanakan sebagian atau seluruh pemrosesan teknis atas nama Pemroses Data.

5.2. Pemroses Data menjamin bahwa Mitra Pemroses terikat oleh kewajiban kontraktual yang memberikan perlindungan Data Pribadi setara dengan kewajiban Pemroses Data dalam DPA ini.

5.3. Daftar Mitra Pemroses utama tersedia atas permintaan Pengendali Data kepada Petugas Perlindungan Data sebagaimana diatur dalam Pasal 13 Kebijakan Privasi. Pemroses Data dapat memperbarui daftar tersebut dari waktu ke waktu tanpa kewajiban pemberitahuan individual kepada Pengendali Data, sepanjang tujuan dan kategori pemrosesan tidak berubah secara material.

5.4. Pemindahan Data Pribadi kepada Mitra Pemroses di luar wilayah hukum Republik Indonesia dilakukan dengan dasar hukum yang sah sebagaimana diatur dalam Pasal 7 Kebijakan Privasi.

Pasal 6 — Insiden Pelindungan Data Pribadi

6.1. Tata cara pemberitahuan dan penanganan insiden pelindungan Data Pribadi diatur dalam Pasal 12 Kebijakan Privasi.

6.2. Pengendali Data wajib memberitahukan Pemroses Data mengenai insiden yang melibatkan Data Anggota yang terjadi pada sistem atau kegiatan Organisasi, dalam waktu maksimum 24 (dua puluh empat) jam sejak diketahuinya insiden.

Pasal 7 — Pelaksanaan Hak Subjek Data

7.1. Tata cara pelaksanaan hak Subjek Data Pribadi (Anggota) diatur dalam Pasal 9 dan Pasal 10 Kebijakan Privasi.

7.2. Pemroses Data menyediakan dukungan teknis yang wajar untuk pelaksanaan hak Subjek Data, dengan ketentuan bahwa: (a) Pengendali Data menanggung biaya yang timbul untuk dukungan tersebut apabila bersifat material; (b) dukungan dilaksanakan dalam batas teknis dan operasional yang wajar dari sistem Platform Bama.

Pasal 8 — Audit Kepatuhan

8.1. Pemroses Data menyediakan informasi tertulis atas permintaan Pengendali Data untuk membuktikan kepatuhan terhadap kewajiban-kewajiban dalam DPA ini, dengan ketentuan-ketentuan berikut:

(a) Permintaan diajukan secara tertulis dengan pemberitahuan sekurang-kurangnya 90 (sembilan puluh) hari kalender sebelumnya;

(b) Audit dilaksanakan dalam bentuk peninjauan dokumentasi dan/atau laporan audit pihak ketiga yang relevan, tanpa hak akses langsung ke sistem, infrastruktur, atau fasilitas Pemroses Data;

(c) Audit dapat dilaksanakan paling banyak 1 (satu) kali dalam setiap periode 12 (dua belas) bulan, kecuali apabila diwajibkan oleh otoritas yang berwenang atau apabila terdapat insiden Data Pribadi yang berdampak material;

(d) Seluruh biaya yang timbul untuk pelaksanaan audit, termasuk biaya Pemroses Data dalam menanggapi permintaan, ditanggung oleh Pengendali Data;

(e) Pengendali Data dan personelnya terikat oleh kewajiban kerahasiaan yang ketat atas seluruh informasi yang diperoleh dalam proses audit;

(f) Pemroses Data dapat menolak atau membatasi permintaan audit yang dianggap tidak proporsional, berulang dalam jangka waktu yang singkat, atau yang dapat memengaruhi kerahasiaan informasi pihak ketiga.

Pasal 9 — Pengakhiran dan Penanganan Data Setelah Pengakhiran

9.1. DPA ini berakhir secara otomatis pada saat Ketentuan Layanan antara Pemroses Data dan Pengendali Data berakhir.

9.2. Setelah pengakhiran, Pengendali Data dapat memilih, dalam waktu 30 (tiga puluh) hari kalender, salah satu opsi berikut:

(a) Pengembalian Data Anggota dalam format yang umum digunakan, sebatas yang secara teknis dan operasional dapat dilaksanakan oleh Pemroses Data;

(b) Penghapusan Data Anggota dari sistem produksi Pemroses Data, dengan catatan bahwa salinan cadangan akan dihapus secara otomatis sesuai dengan jadwal retensi sebagaimana diatur dalam Pasal 6 Kebijakan Privasi.

9.3. Apabila Pengendali Data tidak menyampaikan pilihan dalam jangka waktu yang ditentukan, Pemroses Data dapat melakukan penghapusan Data Anggota sesuai dengan praktik internalnya, sepanjang konsisten dengan kewajiban hukum yang berlaku.

9.4. Data yang telah dianonimkan secara permanen, data turunan, dan data dalam bentuk agregat yang dihasilkan dari pemrosesan tetap menjadi milik Pemroses Data dan dapat dipertahankan setelah pengakhiran sebagaimana diatur dalam Pasal 6 Kebijakan Privasi dan Pasal 7 Ketentuan Layanan.

Pasal 10 — Tanggung Jawab dan Ganti Rugi

10.1. Masing-masing pihak bertanggung jawab atas pemenuhan kewajibannya berdasarkan DPA ini sesuai dengan ketentuan dalam Ketentuan Layanan Platform Bama.

10.2. Ketentuan mengenai ganti rugi (indemnification), pembatasan tanggung jawab, dan penyelesaian sengketa sebagaimana diatur dalam Pasal 13, Pasal 14, dan Pasal 16 Ketentuan Layanan berlaku mutatis mutandis terhadap DPA ini.

Pasal 11 — Ketentuan Penutup

11.1. Apabila terdapat pertentangan antara DPA ini dengan Ketentuan Layanan atau Kebijakan Privasi, ketentuan dalam DPA ini berlaku khusus untuk hal-hal yang berkaitan dengan pemrosesan Data Pribadi Anggota berdasarkan hubungan Pengendali Data - Pemroses Data.

11.2. Perubahan terhadap DPA ini diatur sesuai dengan prosedur perubahan sebagaimana ditentukan dalam Pasal 12 Ketentuan Layanan dan Pasal 14 Kebijakan Privasi.

11.3. DPA ini disusun dalam Bahasa Indonesia. Apabila terdapat versi terjemahan, versi Bahasa Indonesia yang mengikat secara hukum sesuai dengan UU No. 24 Tahun 2009.

— PENUTUP —