Data Processing Addendum

Data Processing Addendum ini (“DPA”) dibuat antara BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India (“LumaKol”, “kami”) dan pelanggan yang telah menerima Ketentuan Layanan LumaKol (“Pelanggan”, “Anda”).

DPA ini merupakan bagian dari Ketentuan Layanan bagi setiap Pelanggan dan berlaku setiap kali LumaKol memproses data pribadi atas nama Pelanggan — berdasarkan Digital Personal Data Protection Act, 2023 India, GDPR, UK GDPR, atau undang-undang perlindungan data lainnya. DPA ini berlaku secara otomatis; Anda tidak perlu menandatanganinya.

Jika Pelanggan menginginkan salinan yang ditandatangani kedua pihak untuk arsipnya, Pelanggan dapat memintanya di [email protected]. Jika DPA ini dan Ketentuan Layanan bertentangan mengenai perlindungan data pribadi, DPA ini yang berlaku.

• “Hukum Perlindungan Data” berarti setiap undang-undang perlindungan data yang berlaku terhadap pemrosesan, termasuk Digital Personal Data Protection Act, 2023 India dan peraturan turunannya (“DPDP Act”), General Data Protection Regulation UE 2016/679 (GDPR), UK GDPR dan UK Data Protection Act 2018, serta California Consumer Privacy Act beserta perubahannya (“CCPA”).
• “Data Pribadi Pelanggan” berarti data pribadi yang diproses LumaKol atas nama Pelanggan untuk menyediakan Layanan.
• “Pengendali”, “pemroses”, “subjek data”, “pelanggaran data pribadi”, dan “pemrosesan” memiliki arti sebagaimana diberikan dalam Hukum Perlindungan Data. Jika DPDP Act berlaku, “pengendali” berarti Data Fiduciary, “pemroses” berarti Data Processor, dan “subjek data” berarti Data Principal.
• “Subpemroses” berarti pihak ketiga yang dilibatkan LumaKol untuk memproses Data Pribadi Pelanggan.
• “SCC” berarti standard contractual clauses yang disetujui Komisi Eropa dalam Implementing Decision (EU) 2021/914, dan “UK Addendum” berarti International Data Transfer Addendum yang diterbitkan oleh UK Information Commissioner.

Istilah lain yang diawali huruf kapital memiliki arti sebagaimana diberikan dalam Ketentuan Layanan.

Pelanggan adalah pengendali Data Pribadi Pelanggan dan LumaKol adalah pemrosesnya. Jika Pelanggan sendiri merupakan pemroses yang bertindak untuk pengendali lain, LumaKol adalah subpemrosesnya dan Pelanggan bertanggung jawab meneruskan instruksi yang relevan.

LumaKol adalah pengendali terpisah untuk data pribadi yang dibutuhkannya untuk menjalankan akun Pelanggan, seperti nama pengguna, detail masuk, dan catatan penagihan. Kebijakan Privasi mencakup data tersebut, bukan DPA ini.

Jika CCPA berlaku, Pelanggan adalah “business” dan LumaKol adalah “service provider”-nya. LumaKol tidak akan menjual atau membagikan Data Pribadi Pelanggan, tidak akan menyimpan, menggunakan, atau mengungkapkannya untuk tujuan apa pun selain menyediakan Layanan atau di luar hubungan bisnis langsungnya dengan Pelanggan, dan tidak akan menggabungkannya dengan data pribadi dari sumber lain kecuali sebagaimana diizinkan CCPA. LumaKol akan memberi tahu Pelanggan jika tidak dapat lagi memenuhi kewajiban ini.

Pelanggan bertanggung jawab untuk memiliki dasar hukum (berdasarkan DPDP Act, persetujuan atau penggunaan yang sah) untuk pemrosesan, atas keakuratan Data Pribadi Pelanggan, untuk memberikan kepada orang yang dihubunginya pemberitahuan apa pun yang diwajibkan hukum, dan atas kepatuhannya sendiri terhadap undang-undang tentang panggilan pemasaran dan perekaman panggilan.

• Pokok: penyediaan LumaKol, CRM panggilan tempat tim Pelanggan mengelola prospek, melakukan panggilan dari ponsel mereka sendiri, dan mencatat hasil setiap panggilan.
• Jangka waktu: selama Pelanggan menggunakan Layanan, dan sesudahnya sampai data dihapus berdasarkan “Penghapusan dan pengembalian”.
• Sifat: pengumpulan, penyimpanan, pengorganisasian, pengambilan, penampilan, pengiriman ke pengguna dan perangkat Pelanggan, dan penghapusan.
• Tujuan: untuk menyediakan, mengamankan, dan mendukung Layanan bagi Pelanggan, dan bukan untuk tujuan lain.

LumaKol memproses Data Pribadi Pelanggan hanya atas instruksi Pelanggan yang terdokumentasi. Ketentuan Layanan, DPA ini, serta penggunaan dan konfigurasi Layanan oleh Pelanggan merupakan instruksi tersebut. LumaKol akan memberi tahu Pelanggan jika LumaKol menilai suatu instruksi melanggar Hukum Perlindungan Data, kecuali hukum melarangnya melakukan hal itu.

Jika hukum mewajibkan LumaKol memproses Data Pribadi Pelanggan dengan cara lain, LumaKol akan memberi tahu Pelanggan sebelum melakukannya, kecuali hukum melarang hal tersebut.

LumaKol memastikan bahwa setiap orang yang diberinya wewenang untuk memproses Data Pribadi Pelanggan terikat kewajiban kerahasiaan. Akses staf ke Data Pribadi Pelanggan dibatasi pada apa yang mereka perlukan untuk mengoperasikan dan mendukung Layanan, dan dicatat.

LumaKol menerapkan langkah teknis dan organisasi yang sesuai dengan risikonya, termasuk:

• enkripsi data saat transit (TLS), enkripsi database saat disimpan, dan lapisan enkripsi AES-256 kedua untuk rahasia seperti token dan kata sandi kotak surat yang terhubung;
• pemisahan data setiap pelanggan berdasarkan ruang kerja, dengan setiap kueri difilter berdasarkan ruang kerja pelanggan;
• kata sandi di-hash dengan Argon2id dan token sesi hanya disimpan sebagai hash;
• pembatasan laju dan penguncian saat masuk;
• akses berbasis peran di dalam produk, dengan opsi untuk menyamarkan nomor telepon, membatasi ekspor, dan membatasi siapa yang dapat mendengarkan rekaman;
• log audit yang hanya dapat ditambah untuk tindakan sensitif;
• autentikasi multifaktor untuk staf LumaKol, dengan akses ke data produksi yang dicatat;
• cadangan untuk pemulihan setelah kegagalan, yang terhapus dengan sendirinya dalam sekitar empat minggu.

LumaKol dapat memperbarui langkah-langkah ini selama tingkat perlindungan secara keseluruhan tidak menurun.

Pelanggan memberi wewenang kepada LumaKol untuk melibatkan subpemroses yang dijelaskan dalam tabel di bawah. LumaKol mengikat setiap subpemroses dengan kontrak tertulis yang memuat kewajiban perlindungan data yang tidak kurang protektif daripada DPA ini, dan tetap bertanggung jawab kepada Pelanggan atas kinerja setiap subpemroses. Nama subpemroses saat ini diberikan kepada Pelanggan mana pun atas permintaan di [email protected], dan merupakan bagian dari DPA ini.

Sebelum subpemroses baru mulai memproses Data Pribadi Pelanggan, LumaKol akan memberi tahu pemilik ruang kerja melalui email paling lambat 30 hari sebelumnya, dengan menyebutkan namanya. Pelanggan dapat mengajukan keberatan atas dasar perlindungan data yang wajar dalam jangka waktu tersebut. Jika para pihak tidak dapat menyelesaikan keberatan tersebut, Pelanggan dapat berhenti menggunakan bagian Layanan yang terdampak atau mengakhiri langganan.

Saat aplikasi iPhone dirilis, layanan milik platform iPhone akan mengirimkan notifikasi push-nya; kami akan menambahkannya ke daftar ini, dengan pemberitahuan sebagaimana dijelaskan di atas, sebelum hal itu terjadi. Google Drive, Sheets, dan Calendar, kalender Microsoft Outlook, serta iklan prospek Facebook dan Instagram belum dapat dihubungkan.

Rekaman panggilan disimpan di server LumaKol. Catatan suara dan foto kunjungan lapangan akan disimpan di Google Drive milik anggota tim yang menghubungkannya, bukan di server LumaKol.

Email yang dikirim pelanggan ke prospeknya sendiri melewati kotak surat milik pelanggan (Pengaturan → Email), bukan melalui penyedia email LumaKol. Sistem yang dihubungkan sendiri oleh pelanggan, seperti situs webnya, sumber prospek, klien API, dan endpoint webhook, menerima data atas instruksi pelanggan dan bukan subpemroses LumaKol.

Layanan memungkinkan Pelanggan mencari, mengoreksi, mengekspor, dan menghapus data prospeknya serta memblokir panggilan lebih lanjut ke prospek, sehingga Pelanggan dapat menjawab sebagian besar permintaan subjek data sendiri. Jika tidak bisa, LumaKol akan membantu atas permintaan, dengan mempertimbangkan sifat pemrosesannya.

Jika LumaKol menerima permintaan langsung dari subjek data tentang Data Pribadi Pelanggan, LumaKol akan meneruskannya kepada Pelanggan tanpa penundaan yang tidak semestinya dan tidak akan menjawabnya kecuali atas instruksi Pelanggan.

LumaKol juga akan memberikan bantuan yang wajar untuk penilaian dampak perlindungan data dan konsultasi Pelanggan dengan otoritas pengawas, sejauh berkaitan dengan pemrosesan oleh LumaKol.

LumaKol akan memberi tahu Pelanggan tanpa penundaan yang tidak semestinya, dan dalam hal apa pun dalam 48 jam, setelah mengetahui adanya pelanggaran data pribadi yang memengaruhi Data Pribadi Pelanggan, agar Pelanggan dapat memenuhi kewajibannya sendiri untuk melapor kepada regulator dan kepada orang-orang yang terdampak — misalnya dalam 72 jam berdasarkan GDPR dan aturan DPDP Act. Pemberitahuan tersebut akan menjelaskan, sejauh yang diketahui saat itu, sifat pelanggaran, kategori dan perkiraan jumlah orang serta catatan yang terdampak, kemungkinan akibatnya, dan langkah yang diambil atau diusulkan, serta akan menyebutkan kontak untuk informasi lebih lanjut.

LumaKol akan memberikan informasi terbaru kepada Pelanggan seiring bertambahnya informasi dan akan mengambil langkah yang wajar untuk menahan pelanggaran dan membatasi dampaknya. Pemberitahuan pelanggaran bukan merupakan pengakuan kesalahan.

Selama berlangganan, Pelanggan dapat mengekspor prospeknya ke CSV dan membaca datanya melalui API publik. Saat Pelanggan menutup ruang kerjanya, atau datanya mencapai akhir masa retensi dalam Ketentuan pembayaran setelah pembatalan atau penjedaan karena belum dibayar, LumaKol menghapus Data Pribadi Pelanggan dari Layanan.

Salinan di cadangan kedaluwarsa sesuai jadwal bergulir dan dihapus saat kedaluwarsa. LumaKol hanya boleh menyimpan data jika diwajibkan hukum, dan dalam hal itu hanya data tersebut, dilindungi berdasarkan DPA ini, selama diwajibkan hukum.

Atas permintaan yang wajar, LumaKol akan menyediakan informasi yang diperlukan untuk menunjukkan bahwa LumaKol memenuhi kewajibannya berdasarkan DPA ini dan Pasal 28 GDPR, seperti jawaban tertulis atas kuesioner keamanan.

Jika informasi tersebut tidak cukup, Pelanggan dapat mengaudit kepatuhan LumaKol, sendiri atau melalui auditor independen yang terikat kerahasiaan, dengan pemberitahuan tertulis paling lambat 30 hari sebelumnya, selama jam kerja, tidak lebih dari sekali setahun kecuali diwajibkan oleh otoritas pengawas atau setelah terjadi pelanggaran data pribadi, dan atas biaya Pelanggan. Para pihak akan menyepakati ruang lingkupnya terlebih dahulu agar audit tidak mengganggu Layanan atau membuka data pelanggan lain.

LumaKol memproses Data Pribadi Pelanggan di India, di Singapura dan Jepang tempat Layanan di-hosting, dan di negara-negara tempat subpemrosesnya beroperasi. Jika hal ini melibatkan transfer data pribadi keluar dari EEA, atau keluar dari Inggris, ke negara yang tidak memiliki keputusan kecukupan atau regulasi kecukupan, para pihak sepakat bahwa:

• untuk data EEA, SCC berlaku dan dimasukkan ke dalam DPA ini melalui rujukan: Modul Dua (pengendali ke pemroses) jika Pelanggan adalah pengendali, dan Modul Tiga (pemroses ke pemroses) jika Pelanggan adalah pemroses, dengan klausul docking opsional, opsi 2 (otorisasi umum) dalam Klausul 9, serta hukum yang mengatur dan pengadilan Irlandia dalam Klausul 17 dan 18;
• untuk data Inggris, UK Addendum berlaku dan dimasukkan melalui rujukan, dengan tabel-tabelnya dilengkapi informasi dalam DPA ini;
• informasi yang diwajibkan SCC dalam lampirannya adalah informasi di “Para pihak”, “Pokok, jangka waktu, sifat, dan tujuan”, “Subjek data dan data pribadi”, “Langkah keamanan”, dan “Daftar subpemroses” di atas.

Jika DPDP Act berlaku, LumaKol tidak akan mentransfer Data Pribadi Pelanggan ke negara atau wilayah yang telah dibatasi oleh Pemerintah India.

Jika SCC atau UK Addendum bertentangan dengan DPA ini, SCC atau UK Addendum yang berlaku. LumaKol mewajibkan subpemrosesnya melindungi transfer lanjutan dengan perlindungan yang memadai.

Tanggung jawab masing-masing pihak berdasarkan DPA ini tunduk pada batasan dalam Ketentuan Layanan, kecuali jika Hukum Perlindungan Data atau SCC tidak mengizinkan tanggung jawab dibatasi.

DPA ini berlaku selama LumaKol memproses Data Pribadi Pelanggan. Kewajiban yang menurut sifatnya harus tetap berlaku, seperti kerahasiaan dan penghapusan, tetap berlaku setelah DPA berakhir. LumaKol dapat memperbarui DPA ini untuk mencerminkan perubahan hukum atau Layanan; LumaKol tidak akan mengurangi perlindungan yang diberikan kepada Data Pribadi Pelanggan, dan tanggal “Terakhir diperbarui” di atas menunjukkan versi yang berlaku.

Pertanyaan tentang DPA ini, pemberitahuan berdasarkan DPA ini, dan permintaan salinan yang ditandatangani kedua pihak dikirim ke [email protected].

Minta salinan bertanda tangan: tulis ke [email protected] dengan nama resmi dan alamat organisasi Anda, dan kami akan mengirimkan kembali DPA ini yang telah kami tandatangani.