Perjanjian Pemrosesan Data Pribadi (DPA) Obscura Cloud

1. Para Pihak dan Ruang Lingkup

1.1. Perjanjian ini dibuat antara Pelanggan ("Pengendali") dan PT Virtue Digital Indonesia, NIB 0220108402782, beralamat di PIK Avenue Mall, Level 6, Jalan Pantai Indah Kapuk Boulevard, Kel. Kamal Muara, Kec. Penjaringan, Kota Adm. Jakarta Utara, DKI Jakarta 14470 ("Prosesor" atau "Kami").

1.2. Perjanjian ini merupakan bagian dari Syarat dan Ketentuan Obscura Cloud dan berlaku sejak Pelanggan menerima Syarat dan Ketentuan tersebut, atau sejak ditandatangani bersama bila disepakati demikian. Perjanjian ini berlaku selama Prosesor memproses data pribadi atas nama Pelanggan.

1.3. Perjanjian ini hanya berlaku untuk Obscura Cloud. Edisi Private dan Enterprise diatur oleh perjanjian lisensi tersendiri.

1.4. Istilah seperti "Data Pribadi", "Pengendali", "Prosesor", dan "Subjek Data" mengikuti UU 27/2022 tentang Pelindungan Data Pribadi ("UU PDP"). "Data Pelanggan" berarti data pribadi yang diproses Prosesor atas nama Pengendali di dalam Layanan, sebagaimana diuraikan di Lampiran 1.

2. Peran

2.1. Untuk Data Pelanggan, Pelanggan adalah Pengendali dan PT Virtue Digital Indonesia adalah Prosesor (Pasal 51 UU PDP).

2.2. Untuk data hubungan pelanggan Kami sendiri (kontak pendaftaran dan penagihan, faktur, calon pelanggan), data pengunjung situs web Kami, dan log keamanan yang Kami perlukan untuk melindungi Layanan, Kami adalah Pengendali, sebagaimana dijelaskan dalam Kebijakan Privasi. Perjanjian ini tidak mengatur data tersebut.

3. Instruksi

3.1. Prosesor memproses Data Pelanggan hanya berdasarkan instruksi tertulis yang terdokumentasi dari Pengendali (Pasal 51 ayat 1 UU PDP).

3.2. Instruksi Pengendali adalah: (a) Perjanjian ini dan Syarat dan Ketentuan; (b) penggunaan Layanan dan pengaturan produk oleh Pengendali, termasuk pengaturan retensi, AI, klasifikasi, dan hak akses; dan (c) instruksi tertulis lain yang wajar dan sesuai dengan Layanan.

3.3. Bila Prosesor menilai suatu instruksi melanggar hukum, Prosesor memberi tahu Pengendali dan boleh menunda pelaksanaannya.

3.4. Pengendali menjamin bahwa ia memiliki dasar hukum yang sah atas pemrosesan Data Pelanggan dan telah memenuhi kewajiban pemberitahuan kepada Subjek Data.

4. Hak dan Kewajiban Para Pihak

4.1. Pengendali menentukan tujuan dan cara pemrosesan, menjaga akurasi data yang ia masukkan, menetapkan masa simpan dokumen, dan mengelola Pengguna dan hak aksesnya.

4.2. Prosesor memproses Data Pelanggan sesuai Pasal 3, menjaga keamanan sesuai Pasal 6, membantu Pengendali sesuai Pasal 9 sampai 10, dan tidak memakai Data Pelanggan untuk tujuan Prosesor sendiri, termasuk tidak untuk melatih model AI.

4.3. Catatan pemrosesan. Prosesor menyimpan catatan kegiatan pemrosesan yang dilakukan atas nama Pengendali dan menyediakannya atas permintaan yang wajar (Pasal 31 UU PDP).

5. Kerahasiaan Personel

Prosesor memastikan personel yang dapat mengakses Data Pelanggan terikat kewajiban kerahasiaan dan hanya mengakses data sejauh perlu untuk menjalankan Layanan (Pasal 36 dan 52 UU PDP).

6. Keamanan

Prosesor menerapkan langkah teknis dan organisasi yang sesuai risiko, setidaknya yang diuraikan di Lampiran 2 (Pasal 35, 38, dan 39 UU PDP). Prosesor dapat memperbarui langkah tersebut selama tingkat pelindungan secara keseluruhan tidak menurun.

7. Subprosesor

7.1. Dengan menerima Perjanjian ini, Pengendali memberi persetujuan tertulis umum di muka atas subprosesor yang tercantum di Lampiran 3.

7.2. Prosesor memberi tahu Pengendali 30 hari sebelum menambah atau mengganti subprosesor, melalui surel kepada Admin dan/atau di dalam Layanan. Pengendali dapat berkeberatan secara tertulis dengan alasan pelindungan data yang wajar dalam masa pemberitahuan itu (Pasal 51 ayat 4 dan 5 UU PDP).

7.3. Bila keberatan tidak dapat diselesaikan, Pengendali dapat mengakhiri Layanan yang terdampak dan menerima pengembalian proporsional biaya langganan prabayar untuk sisa periode.

7.4. Prosesor mewajibkan subprosesor menaati kewajiban perlindungan data yang pada pokoknya setara dengan Perjanjian ini, dan tetap bertanggung jawab kepada Pengendali atas pelaksanaan kewajiban tersebut.

7.5. Peruri bertindak sebagai PSrE dan penyelenggara e-Meterai berizin berdasarkan ketentuannya sendiri; hubungan itu dijelaskan di Syarat dan Ketentuan.

8. Transfer ke Luar Negeri

8.1. Data Pelanggan disimpan di Indonesia, pada server milik Prosesor di pusat data di Jakarta, termasuk cadangan. Surel Layanan dikirim melalui server surel milik Prosesor di Indonesia.

8.2. Transfer lintas negara yang dilakukan secara rutin adalah sebagai berikut:

• ke penyedia AI di Amerika Serikat (OpenAI atau Anthropic), hanya bila fitur AI diaktifkan dengan penyedia bawaan;
• ke **layanan push Apple dan Google** (global), hanya untuk metadata notifikasi;
• ke WhatsApp (Meta Platforms) (global), hanya bila Pengendali mengaktifkan pengiriman melalui WhatsApp;
• ke Cloudflare (global), hanya untuk kueri DNS domain Kami.

8.3. Dasar transfer menurut Pasal 56 UU PDP: Prosesor memastikan negara tujuan memiliki tingkat pelindungan yang setara atau lebih tinggi; bila tidak, Prosesor mengandalkan pelindungan yang memadai dan mengikat (misalnya perjanjian pemrosesan data dengan penyedia); bila keduanya tidak ada, persetujuan.

8.4. Pengendali dapat mematikan AI, memakai kunci penyedia sendiri atau endpoint yang di-host sendiri, atau memblokir AI per klasifikasi dokumen. Folder Private Vault tidak pernah dikirim ke AI.

9. Bantuan kepada Pengendali

9.1. Permintaan Subjek Data. Bila Prosesor menerima permintaan langsung dari Subjek Data atas Data Pelanggan, Prosesor meneruskannya kepada Pengendali dalam 2 hari kerja dan tidak menjawabnya sendiri kecuali diinstruksikan. Prosesor membantu Pengendali memenuhi hak Subjek Data dengan fasilitas Layanan (misalnya pencarian, ekspor, dan penghapusan) dalam waktu yang memungkinkan Pengendali memenuhi tenggat 3 x 24 jam menurut UU PDP.

9.2. Akurasi dan catatan. Prosesor membantu Pengendali menjaga akurasi dan memenuhi kewajiban pencatatan (Pasal 29 dan 31 UU PDP).

9.3. Penilaian dampak. Prosesor memberikan informasi yang wajar untuk membantu Pengendali melakukan penilaian dampak pelindungan data pribadi (Pasal 34 UU PDP).

10. Kegagalan Pelindungan Data Pribadi

10.1. Prosesor memberi tahu Pengendali tanpa penundaan yang tidak wajar dan paling lambat dalam 24 jam setelah kegagalan terkonfirmasi.

10.2. Pemberitahuan memuat sedapat mungkin isi yang disyaratkan Pasal 46 ayat 2 UU PDP: data pribadi yang terungkap, kapan dan bagaimana terungkap, serta upaya penanganan dan pemulihan, sehingga Pengendali dapat memberi tahu Subjek Data dan lembaga berwenang dalam 3 x 24 jam. Informasi yang belum tersedia disusulkan secara bertahap.

10.3. Setelah itu Prosesor membantu menyelidiki, menahan dampak, dan memulihkan.

11. Audit dan Pengawasan

11.1. Pengendali dapat meminta bukti kepatuhan. Prosesor memenuhinya terutama dengan menyediakan sertifikat ISO/IEC 27001 dan laporan yang relevan.

11.2. Bila bukti itu tidak cukup, Pengendali dapat melakukan audit sekali setahun, dengan pemberitahuan yang wajar (sekurang-kurangnya 30 hari), pada jam kerja, dengan ruang lingkup terbatas pada pemrosesan Data Pelanggan, dan tanpa mengganggu pelanggan lain atau mengungkap data pelanggan lain. Audit tambahan dapat dilakukan setelah insiden atau atas perintah otoritas. Biaya audit ditanggung Pengendali kecuali ditemukan pelanggaran material.

12. Pengembalian dan Penghapusan

12.1. Saat Layanan berakhir, Pengendali dapat mengekspor Data Pelanggan selama 30 hari (ZIP terenkripsi; tautan berlaku 15 menit; arsip dihapus setelah 7 hari).

12.2. Prosesor menghapus Data Pelanggan dalam 90 hari setelah berakhirnya langganan. Pengecualian: catatan penagihan yang wajib disimpan menurut hukum, dan cadangan yang terhapus sendiri mengikuti siklus cadangan (harian, 7 salinan secara bawaan).

12.3. Atas permintaan, Prosesor mengonfirmasi penghapusan secara tertulis.

13. Perintah Pihak Berwenang

Bila lembaga berwenang memerintahkan Prosesor menyerahkan Data Pelanggan (Pasal 49 UU PDP), Prosesor memenuhi sebatas yang diwajibkan hukum, memberi tahu Pengendali lebih dulu bila hukum mengizinkan, dan membatasi pengungkapan pada yang diminta.

14. Pemrosesan di Luar Instruksi

Bila Prosesor memproses data di luar instruksi Pengendali, Prosesor bertanggung jawab sebagai Pengendali atas pemrosesan tersebut (Pasal 51 ayat 6 UU PDP).

15. Tanggung Jawab, Hukum, dan Bahasa

15.1. Tanggung jawab para pihak berdasarkan Perjanjian ini tunduk pada ketentuan batasan tanggung jawab dalam Syarat dan Ketentuan.

15.2. Hukum yang berlaku dan penyelesaian sengketa sama dengan Syarat dan Ketentuan (hukum Indonesia; musyawarah 30 hari; lalu Pengadilan Negeri Jakarta Selatan).

15.3. Perjanjian ini dibuat dalam Bahasa Indonesia dan Bahasa Inggris. Bila terdapat perbedaan, versi Bahasa Indonesia yang berlaku.

16. Versi dan Tanggal Berlaku

Versi 2026-10. Berlaku sejak 28 Oktober 2026.

Lampiran 1: Uraian Pemrosesan

Lampiran 2: Langkah Keamanan

Langkah berikut diterapkan pada Layanan Cloud. Daftar ini menjelaskan apa yang ada, bukan jaminan bahwa insiden tidak akan pernah terjadi.

• Sistem manajemen keamanan informasi: Layanan dikembangkan dan dioperasikan di bawah sistem manajemen keamanan informasi PT Virtue Digital Indonesia yang tersertifikasi ISO/IEC 27001.
• Enkripsi saat disimpan: berkas dienkripsi dengan enkripsi amplop per objek. Kunci tanda tangan, rahasia MFA, dan kredensial tersimpan dienkripsi.
• Enkripsi saat transit: TLS ke Layanan.
• Isolasi tenant: skema basis data dan ruang penyimpanan terpisah untuk tiap organisasi.
• Jejak audit: hanya-tambah, berantai hash (terlihat bila diubah), diverifikasi berkala.
• Kontrol akses dan autentikasi: MFA (TOTP, passkey), SSO (OIDC, LDAP, SCIM), penguncian akun setelah gagal berulang, kata sandi minimal 12 karakter disimpan sebagai hash argon2id.
• Pelindungan dokumen: penandaan forensik pada salinan yang diterbitkan; kontrol AI per klasifikasi (DLP); Private Vault tidak dikirim ke AI.
• Pencadangan: harian; 7 salinan secara bawaan; disimpan di server di Indonesia.
• Kerahasiaan personel: Pasal 5.
• Penanganan insiden: Pasal 10.

Lampiran 3: Daftar Subprosesor