Perjanjian Pemrosesan Data

Pihak-pihak

Perjanjian Pemrosesan Data (“DPA” atau “Perjanjian”) ini dibuat oleh dan antara:

Pengontrol data (“Pengontrol” atau “Pelanggan”)

Pemroses Data (“Pemroses” atau “Xygeni”):

Pengontrol dan Pemroses selanjutnya disebut secara individual sebagai “Pihak” dan secara kolektif sebagai “Para Pihak”.

Perjanjian Perlindungan Data (DPA) ini merupakan bagian dari Perjanjian Layanan Utama atau Ketentuan Layanan (“Perjanjian Utama”) antara Para Pihak yang mengatur penyediaan keamanan aplikasi oleh Xygeni dan software supply chain security layanan (“Layanan”). Jika terjadi konflik antara Perjanjian Perlindungan Data ini dan Perjanjian Utama, Perjanjian Perlindungan Data ini akan berlaku dalam hal perlindungan data.

1. Definisi

Untuk keperluan Perjanjian Perlindungan Data ini:

• “GDPR” berarti Peraturan (EU) 2016/679 Parlemen Eropa dan Dewan tanggal 27 April 2016 tentang perlindungan individu terkait pengolahan data pribadi.
• “LOPDGDD” berarti Ley Orgánica 3/2018, tanggal 5 Desember, Perlindungan Data Pribadi dan jaminan data digital.
• “Data Pribadi”, “Pemrosesan”, “Pengontrol”, “Pemroses”, “Sub-pemroses”, “Subjek Data”, “Otoritas Pengawas”, “Pelanggaran Data Pribadi” memiliki arti sebagaimana yang tercantum dalam GDPR.
• "Data pelanggan" berarti setiap Data Pribadi yang dikirimkan oleh atau atas nama Pengontrol ke Layanan, atau diproses oleh Pemroses atas nama Pengontrol sehubungan dengan Layanan.
• “Subprosesor” berarti pihak ketiga mana pun yang dipekerjakan oleh Pemroses, dengan otorisasi sebelumnya dari Pengendali (sebagaimana dijelaskan dalam Klausul 7), untuk memproses Data Pelanggan atas nama Pengendali.
• “SCC” berarti Standard Klausul Kontrak untuk transfer data pribadi ke negara ketiga sesuai dengan GDPR, sebagaimana disetujui oleh Komisi Eropa yang menerapkan Peraturan tersebut.cision (EU) 2021/914 tanggal 4 Juni 2021.
• "Jasa" berarti application security posture management, software supply chain security, deteksi kerentanan dan layanan terkait yang disediakan oleh Xygeni kepada Pengontrol berdasarkan Perjanjian Utama.
• “Hukum Perlindungan Data yang Berlaku” yang dimaksud dengan GDPR, LOPDGDD, dan peraturan perlindungan data nasional lainnya yang berlaku sebagaimana diubah dari waktu ke waktu.

2. Peran Para Pihak

Para Pihak mengakui dan menyetujui bahwa:

• Pengontrol bertindak sebagai pengendali data sehubungan dengan Data Pelanggan dan bertanggung jawab untuk menentukan tujuan dan cara pemrosesan Data Pelanggan yang dikirimkan ke Layanan.
• Processor bertindak sebagai pengolah data sehubungan dengan Data Pelanggan dan memproses data tersebut semata-mata atas nama dan berdasarkan instruksi tertulis dari Controller.
• Masing-masing Pihak wajib mematuhi kewajibannya masing-masing berdasarkan Hukum Perlindungan Data yang Berlaku dalam perannya sebagai Pengendali atau Pengolah Data.

Apabila Xygeni memproses data pribadi untuk keperluan internalnya sendiri (misalnya, pengelolaan akun, penagihan, analisis peningkatan layanan), Xygeni bertindak sebagai Pengendali Data independen. Pemrosesan tersebut diatur oleh Kebijakan Privasi Xygeni dan berada di luar cakupan Perjanjian Perlindungan Data ini.

3. Pokok Bahasan, Sifat, dan Tujuan Pemrosesan

Pokok bahasan, sifat, durasi dan tujuan pemrosesan, serta jenis Data Pribadi yang diproses dan kategori Subjek Data, diuraikan dalam Lampiran 1 (Rincian Pemrosesan) pada Perjanjian Perlindungan Data ini.

Pihak Pengolah Data hanya akan memproses Data Pelanggan sejauh yang diperlukan untuk menyediakan Layanan yang dijelaskan dalam Perjanjian Utama dan sesuai dengan instruksi tertulis dari Pengendali Data, kecuali jika diwajibkan oleh hukum yang berlaku. Dalam hal tersebut, Pihak Pengolah Data akan memberitahu Pengendali Data tentang persyaratan hukum tersebut sebelum melakukan pemrosesan, kecuali jika dilarang oleh hukum karena alasan kepentingan publik yang penting.

4. Instruksi Pengontrol

Pengontrol menginstruksikan Pengolah untuk memproses Data Pelanggan sebagaimana diperlukan untuk: (a) menyediakan Layanan sesuai dengan Perjanjian Utama; (b) mematuhi instruksi Pengontrol yang dikomunikasikan secara tertulis dari waktu ke waktu; dan (c) memenuhi kewajiban Pengolah berdasarkan Perjanjian Perlindungan Data ini.

Pihak Pemroses wajib segera memberitahu Pengendali jika, menurut pendapat wajar Pihak Pemroses, instruksi dari Pengendali melanggar Hukum Perlindungan Data yang Berlaku. Dalam hal demikian, Pihak Pemroses berhak untuk menghentikan pemrosesan sesuai dengan instruksi tersebut sampai Pengendali mengklarifikasi atau memodifikasi instruksi tersebut.

Pengontrol menjamin dan menyatakan bahwa: (a) ia memiliki dasar hukum yang sah berdasarkan Pasal 6 GDPR (dan, jika berlaku, Pasal 9) untuk memproses Data Pribadi yang relevan; (b) ia telah memberikan semua pemberitahuan yang diperlukan dan memperoleh semua persetujuan yang diperlukan; dan (c) transfer Data Pelanggan ke Pemroses tidak melanggar hukum yang berlaku.

5. Kewajiban Pemroses

5.1 Pembatasan pemrosesan

Pihak Pemroses hanya akan memproses Data Pelanggan berdasarkan instruksi tertulis dari Pengendali, kecuali jika diwajibkan oleh hukum Uni Eropa atau Negara Anggota yang berlaku. Pihak Pemroses tidak akan memproses Data Pelanggan untuk kepentingannya sendiri atau mengungkapkannya kepada pihak ketiga kecuali jika diperlukan untuk menyediakan Layanan atau sebagaimana diwajibkan oleh hukum.

5.2 Kerahasiaan

Pihak pengolah data harus memastikan bahwa orang-orang yang berwenang untuk memproses Data Pelanggan telah commitMereka telah mengikat diri untuk menjaga kerahasiaan atau berada di bawah kewajiban kerahasiaan hukum yang sesuai. Akses ke Data Pelanggan akan dibatasi hanya untuk karyawan, kontraktor, dan sub-prosesor yang membutuhkan akses untuk tujuan penyediaan Layanan.

5.3 Tindakan pengamanan

Pihak pengolah data wajib menerapkan dan memelihara langkah-langkah teknis dan organisasi yang tepat untuk melindungi Data Pelanggan dari pengolahan yang tidak sah atau melanggar hukum dan dari kehilangan, penghancuran, kerusakan, perubahan, atau pengungkapan yang tidak disengaja, dengan mempertimbangkan:

• kondisi terkini dan biaya implementasinya;
• sifat, cakupan, konteks, dan tujuan pemrosesan;
• risiko terhadap hak dan kebebasan individu, khususnya dari penghancuran, kehilangan, perubahan, pengungkapan tanpa izin, atau akses tanpa izin terhadap Data Pelanggan yang ditransmisikan, disimpan, atau diproses dengan cara lain, baik secara tidak sengaja maupun melanggar hukum.

Langkah-langkah tersebut setidaknya harus mencakup langkah-langkah yang tercantum dalam Lampiran 2 (Langkah-Langkah Keamanan Teknis dan Organisasi) pada Perjanjian Perlindungan Data ini. Sertifikasi ISO 27001 dari Pengolah Data memberikan bukti adanya sistem manajemen keamanan informasi dasar. Pengolah Data wajib mempertahankan sertifikasi ISO 27001 atau yang setara selama masa berlaku Perjanjian Perlindungan Data ini.

5.4 Hak Subjek Data

Dengan mempertimbangkan sifat pemrosesan, Pengolah data wajib membantu Pengendali data dengan langkah-langkah teknis dan organisasi yang tepat, sejauh mungkin, untuk memenuhi kewajiban Pengendali data dalam menanggapi permintaan untuk melakukan pemrosesan data.cisHak-hak Subjek Data berdasarkan Hukum Perlindungan Data yang Berlaku (termasuk hak akses, koreksi, penghapusan, pembatasan, portabilitas, dan keberatan berdasarkan Pasal 15–22 GDPR).

Pihak Pemroses wajib: (a) segera memberitahu Pengendali jika Pihak Pemroses menerima permintaan dari Subjek Data sehubungan dengan Data Pelanggan; (b) tidak menanggapi permintaan tersebut kecuali atas instruksi tertulis dari Pengendali atau sebagaimana dipersyaratkan oleh hukum yang berlaku; dan (c) memberikan bantuan yang wajar kepada Pengendali dalam menanggapi permintaan tersebut dalam batas waktu yang ditetapkan oleh undang-undang (30 hari berdasarkan Pasal 12 GDPR).

5.5 Bantuan terkait kewajiban Pengontrol

Pihak Pemroses wajib membantu Pengendali dalam memastikan kepatuhan terhadap kewajiban berdasarkan Pasal 32–36 GDPR, dengan mempertimbangkan sifat pemrosesan dan informasi yang tersedia bagi Pihak Pemroses, termasuk yang berkaitan dengan:

• keamanan pemrosesan (Pasal 32);
• pemberitahuan Pelanggaran Data Pribadi kepada otoritas pengawas dan komunikasi kepada Subjek Data (Pasal 33–34);
• penilaian dampak perlindungan data dan konsultasi sebelumnya (Pasal 35–36).

5.6 Penghapusan atau pengembalian data

Setelah penghentian atau berakhirnya Perjanjian Utama, atau atas permintaan Pengendali, Pemroses wajib, sesuai pilihan Pengendali, menghapus atau mengembalikan kepada Pengendali semua Data Pelanggan yang dimilikinya, dan wajib menghapus salinan yang ada, kecuali jika hukum Uni Eropa atau Negara Anggota yang berlaku mewajibkan penyimpanan Data Pribadi. Pemroses wajib mengkonfirmasi penyelesaian penghapusan secara tertulis dalam waktu 30 hari sejak pemicu yang relevan.

Prosesor standard Jadwal penyimpanan data (sebagaimana tercantum dalam Lampiran 1) akan berlaku kecuali Pengontrol mengajukan permintaan penghapusan lebih awal.

5.7 Audit dan demonstrasi kepatuhan

Pihak pengolah data wajib menyediakan kepada pengendali data semua informasi yang diperlukan untuk menunjukkan kepatuhan terhadap kewajiban yang tercantum dalam Perjanjian Perlindungan Data ini, dan wajib mengizinkan serta berkontribusi pada audit, termasuk inspeksi, yang dilakukan oleh pengendali data atau auditor yang ditunjuk oleh pengendali data.

Pihak pengolah data dapat memenuhi kewajiban ini dengan menyediakan:

• salinan sertifikat ISO 27001 atau laporan SOC 2 Tipe II yang berlaku saat ini (setelah diperoleh);
• pengisian kuesioner keamanan Pengontrol (dalam waktu 10 hari kerja sejak diterima);
• Audit di tempat yang wajar dilakukan dengan pemberitahuan tertulis 30 hari sebelumnya, atas biaya Controller, tidak lebih dari sekali per tahun kalender (kecuali ada kecurigaan yang beralasan tentang ketidakpatuhan).

6. Pemberitahuan Pelanggaran Data Pribadi

Pihak Pemroses wajib memberitahukan kepada Pengendali tanpa penundaan yang tidak semestinya, dan dalam hal apa pun dalam waktu 48 jam setelah mengetahui adanya Pelanggaran Data Pribadi yang memengaruhi Data Pelanggan. Pemberitahuan tersebut harus mencakup, sejauh yang tersedia pada saat itu:

• uraian mengenai sifat Pelanggaran Data Pribadi, termasuk kategori dan perkiraan jumlah Subjek Data yang bersangkutan serta kategori dan perkiraan jumlah catatan Data Pribadi yang bersangkutan;
• nama dan detail kontak petugas perlindungan data atau titik kontak lain yang dapat dihubungi untuk mendapatkan informasi lebih lanjut;
• uraian tentang kemungkinan konsekuensi dari Pelanggaran Data Pribadi;
• Deskripsi tentang langkah-langkah yang telah diambil atau yang diusulkan untuk diambil guna mengatasi Pelanggaran Data Pribadi, termasuk, jika perlu, langkah-langkah untuk mengurangi kemungkinan dampak negatifnya.

Apabila tidak memungkinkan untuk memberikan semua informasi di atas secara bersamaan, informasi tersebut dapat diberikan secara bertahap tanpa penundaan lebih lanjut yang tidak perlu. Pemroses wajib bekerja sama dengan Pengendali dan mengambil langkah-langkah yang wajar sebagaimana yang mungkin dibutuhkan oleh Pengendali untuk membantu dalam penyelidikan, mitigasi, dan perbaikan pelanggaran tersebut.

Para Pihak mengakui bahwa kewajiban berdasarkan Pasal 33 GDPR untuk memberitahukan otoritas pengawas yang berwenang (Agencia Española de Protección de Datos — AEPD, atau otoritas terkait lainnya) dalam waktu 72 jam setelah mengetahui adanya Pelanggaran Data Pribadi berada pada Pengendali sebagai pengontrol data. Pemberitahuan Pengolah kepada Pengendali berdasarkan Klausul ini dimaksudkan untuk memungkinkan Pengendali memenuhi kewajiban peraturan ini. Pemberitahuan Pengolah tidak akan dianggap sebagai pengakuan kesalahan atau tanggung jawab.

7. Sub-prosesor

7.1 Otorisasi umum

Pengontrol memberikan otorisasi umum kepada Pengolah untuk melibatkan Sub-pengolah sebagaimana tercantum dalam Lampiran 3 (Sub-pengolah yang Disetujui) pada Perjanjian Perlindungan Data ini. Pengolah wajib memberlakukan kewajiban perlindungan data kepada setiap Sub-pengolah yang setara dengan yang tercantum dalam Perjanjian Perlindungan Data ini, khususnya dengan memberikan jaminan yang cukup untuk menerapkan langkah-langkah teknis dan organisasi yang sesuai.

7.2 Perubahan pada Sub-prosesor

Pihak Pengolah Data wajib memberitahukan kepada Pihak Pengendali Data tentang setiap perubahan yang direncanakan terkait penambahan atau penggantian Sub-prosesor dengan: (a) memperbarui daftar Sub-prosesor yang dipublikasikan di https://xygeni.io/legal/subprocessors dengan tanggal “Terakhir diperbarui” yang telah direvisi; dan (b) memberikan pemberitahuan tertulis kepada Pihak Pengendali Data setidaknya sepuluh (10) hari sebelum perubahan tersebut berlaku. Pihak Pengendali Data dapat mengajukan keberatan terhadap perubahan tersebut berdasarkan alasan perlindungan data yang wajar dalam waktu tujuh (7) hari setelah pemberitahuan tersebut. Jika Pihak Pengendali Data mengajukan keberatan dan Para Pihak tidak dapat menyelesaikan keberatan tersebut, Pihak Pengendali Data dapat mengakhiri Perjanjian Utama dengan pemberitahuan yang wajar tanpa penalti.

Jika Processor menggunakan Sub-processor, Processor tetap bertanggung jawab penuh kepada Controller atas pelaksanaan kewajiban Sub-processor tersebut sejauh Sub-processor gagal memenuhi kewajiban perlindungan datanya.

7.3 Persyaratan penurunan sub-prosesor

Untuk setiap Sub-prosesor, Prosesor harus:

• Lakukan uji tuntas yang sesuai sebelum melibatkan Sub-prosesor;
• membuat perjanjian pemrosesan data tertulis yang memberlakukan kewajiban perlindungan data yang tidak kurang protektif daripada yang tercantum dalam DPA ini;
• memastikan bahwa langkah-langkah keamanan Sub-prosesor setidaknya setara dengan yang dipersyaratkan berdasarkan Klausul 5.3 dan Lampiran 2;
• termasuk kewajiban pemberitahuan pelanggaran yang mengharuskan Sub-prosesor untuk memberi tahu Prosesor dalam waktu 24 jam setelah mengetahui adanya Pelanggaran Data Pribadi, agar Prosesor dapat memenuhi kewajiban pemberitahuan 48 jam kepada Pengontrol.

8. Transfer Internasional

Pihak pengolah data tidak boleh mentransfer Data Pelanggan ke negara di luar Wilayah Ekonomi Eropa (EEA) kecuali:

• Komisi Eropa telah mengadopsi dekomposisi kecukupan.cision untuk negara tersebut berdasarkan Pasal 45 GDPR; atau
• Langkah-langkah pengamanan yang sesuai telah diterapkan sesuai dengan Pasal 46 GDPR, termasuk namun tidak terbatas pada: Standard Klausul Kontraktual yang diadopsi oleh Komisi Eropa yang Menerapkan Decision (EU) 2021/914 tanggal 4 Juni 2021 (“SCC”).

Apabila SCC (Standard Contractual Clauses) diperlukan, Prosesor wajib, atas permintaan Pengontrol, melaksanakan SCC yang berlaku dengan Pengontrol dan/atau dengan Sub-prosesor yang bersangkutan. Modul SCC yang berlaku adalah Modul Dua (Pengontrol ke Prosesor) untuk transfer dari Pengontrol ke Prosesor, dan Modul Tiga (Prosesor ke Sub-prosesor) untuk transfer selanjutnya oleh Prosesor ke Sub-prosesor.

Otoritas pengawas yang berwenang untuk tujuan SCC adalah Badan Perlindungan Data Spanyol (Agencia Española de Protección de Datos — AEPD), kecuali disepakati lain secara tertulis.

Pihak Pemroses wajib memelihara dan menyediakan kepada Pengendali, atas permintaan, catatan terkini tentang semua transfer internasional Data Pelanggan dan mekanisme transfer yang berlaku untuk masing-masing transfer tersebut.

9. Penilaian Dampak Perlindungan Data

Apabila suatu aktivitas pemrosesan kemungkinan besar akan menimbulkan risiko tinggi terhadap hak dan kebebasan individu dan Pengendali diwajibkan untuk melakukan Penilaian Dampak Perlindungan Data (DPIA) berdasarkan Pasal 35 GDPR, Pengolah data wajib memberikan bantuan dan informasi yang wajar kepada Pengendali sebagaimana diperlukan untuk memungkinkan Pengendali melakukan DPIA. Pengolah data wajib menanggapi permintaan terkait DPIA yang wajar dari Pengendali dalam waktu 15 hari kerja.

10. Catatan Aktivitas Pemrosesan

Atas permintaan Pengendali, Pengolah Data wajib menyimpan catatan kegiatan pemrosesan yang dilakukan atas nama Pengendali Data sesuai dengan Pasal 30(2) GDPR, termasuk: nama dan detail kontak Pengolah Data dan setiap Sub-pengolah Data; kategori pemrosesan yang dilakukan atas nama Pengendali Data; transfer Data Pribadi ke negara ketiga; dan deskripsi umum tentang langkah-langkah keamanan teknis dan organisasi.

11. Tanggung jawab

Kewajiban masing-masing Pihak kepada Pihak lainnya berdasarkan atau sehubungan dengan Perjanjian Perlindungan Data ini tunduk pada batasan dan pengecualian yang tercantum dalam Perjanjian Utama. Apabila Subjek Data telah menderita kerugian akibat pemrosesan yang melanggar Hukum Perlindungan Data yang Berlaku, masing-masing Pihak bertanggung jawab atas kerugian yang disebabkan oleh pemrosesannya yang melanggar GDPR sesuai dengan Pasal 82–83 GDPR. Tidak ada ketentuan dalam Klausul ini yang membatasi kewajiban salah satu Pihak kepada Subjek Data berdasarkan hukum yang berlaku.

12. Ketentuan dan Pengakhiran

Perjanjian Perlindungan Data (DPA) ini akan mulai berlaku pada tanggal Perjanjian Utama (atau tanggal penandatanganan DPA ini jika lebih lambat) dan akan tetap berlaku selama jangka waktu Perjanjian Utama. Pengakhiran Perjanjian Utama karena alasan apa pun akan secara otomatis mengakhiri DPA ini.

Setelah penghentian, kewajiban Pengolah Data berdasarkan Klausul 5.6 (penghapusan atau pengembalian data) akan tetap berlaku dan Pengolah Data wajib menyelesaikan penghapusan atau pengembalian Data Pelanggan dalam waktu 30 hari setelah penghentian. Klausul yang berkaitan dengan kerahasiaan, tanggung jawab, hukum yang berlaku, dan audit juga akan tetap berlaku setelah penghentian.

13. Hukum yang Mengatur dan Yurisdiksi

Perjanjian Perlindungan Data ini akan diatur dan ditafsirkan sesuai dengan hukum Spanyol. Para Pihak tunduk pada yurisdiksi non-eksklusif pengadilan Madrid untuk penyelesaian setiap sengketa yang timbul dari atau berkaitan dengan Perjanjian Perlindungan Data ini. Sejauh ketentuan apa pun dalam Perjanjian Perlindungan Data ini bertentangan dengan Klausul Kontrak Standar (SCC), maka SCC akan berlaku.

14. Bermacam-macam

Seluruh perjanjian: Perjanjian Perlindungan Data (DPA) ini, beserta Lampiran-lampirannya dan Perjanjian Utama, merupakan keseluruhan perjanjian antara Para Pihak sehubungan dengan pokok permasalahan di sini dan menggantikan semua perjanjian, pemahaman, atau pernyataan sebelumnya yang berkaitan dengan pengolahan data.

Amandemen: Perjanjian Perlindungan Data ini hanya dapat diubah melalui kesepakatan tertulis yang ditandatangani oleh perwakilan yang berwenang dari kedua Pihak.

Keterpisahan: Jika ada ketentuan dalam Perjanjian Perlindungan Data ini yang dinyatakan tidak sah atau tidak dapat diberlakukan, ketentuan lainnya akan tetap berlaku sepenuhnya.

Hak lebih tinggi: Apabila terjadi konflik antara Perjanjian Perlindungan Data (DPA) ini dan Lampiran-Lampiran, isi dari DPA akan berlaku kecuali Lampiran secara eksplisit menyatakan sebaliknya. Apabila terjadi konflik antara DPA ini dan Klausul Kontrak Standar (SCC) (jika berlaku), SCC akan berlaku.

JADWAL 1 — Rincian Pemrosesan

1. Materi Pokok

Pokok bahasan dari pemrosesan ini adalah penyediaan layanan oleh Xygeni berupa... application security posture management, software supply chain security analisis, deteksi kerentanan, CI/CD pemantauan keamanan, dan layanan terkait sebagaimana dijelaskan dalam Perjanjian Utama.

2. Sifat Pemrosesan

Pengumpulan, pengorganisasian, penataan, penyimpanan, analisis, pengambilan, penggunaan, pengungkapan melalui transmisi, penyelarasan atau kombinasi, pembatasan, penghapusan atau penghancuran Data Pelanggan.

3. Tujuan Pengolahan

Pemrosesan Data Pelanggan dilakukan semata-mata untuk tujuan menyediakan Layanan kepada Pengendali, termasuk: deteksi dan pelaporan kerentanan keamanan; analisis risiko rantai pasokan perangkat lunak; CI/CD pipeline security pemantauan; deteksi anomali; dan dukungan pelanggan.

4. Durasi Pemrosesan

Pihak Pemroses akan memproses Data Pelanggan selama jangka waktu Perjanjian Utama. Setelah penghentian, Pihak Pemroses akan menyimpan Data Pelanggan selama 3 bulan setelah tanggal berakhirnya langganan sebelum dihapus, kecuali Pengendali meminta penghapusan lebih awal. Data akun uji coba disimpan selama 1 bulan setelah masa uji coba berakhir.

5. Jenis Data Pribadi

6. Kategori Subyek Data

Subjek Data meliputi: karyawan, kontraktor, dan pengguna resmi lainnya dari Pengontrol yang mengakses Layanan; kontributor (pengembang, akun bot, agen pembangunan) ke repositori dan pipelinedipantau oleh Layanan; dan perwakilan serta orang yang dapat dihubungi dari Pengontrol.

7. Data Kategori Khusus

Layanan ini tidak dirancang untuk memproses data pribadi kategori khusus sebagaimana didefinisikan dalam Pasal 9 GDPR. Pengontrol menjamin bahwa mereka tidak akan mengirimkan data pribadi kategori khusus ke Layanan tanpa persetujuan tertulis sebelumnya dengan Xygeni dan penerapan perlindungan tambahan yang sesuai.

LAMPIRAN 2 — Langkah-langkah Keamanan Teknis dan Organisasi

Xygeni menerapkan langkah-langkah teknis dan organisasi berikut untuk melindungi Data Pelanggan, sesuai dengan sistem manajemen keamanan informasi bersertifikasi ISO 27001 milik Xygeni:

Access Control

• Kontrol akses berbasis peran (RBAC) diberlakukan di semua sistem yang memproses Data Pelanggan.
• Autentikasi multi-faktor (MFA) diwajibkan untuk seluruh personel Xygeni yang mengakses sistem produksi.
• Prinsip hak akses minimal diterapkan pada semua akun pengguna; hak akses ditinjau setiap triwulan.
• Autentikasi berbasis kunci SSH untuk akses server produksi; autentikasi kata sandi dinonaktifkan.

Enkripsi data

• Data pelanggan dienkripsi selama pengiriman menggunakan TLS 1.2 atau lebih tinggi.
• Data pelanggan dienkripsi saat disimpan menggunakan AES-256 atau yang setara.
• Kunci enkripsi dikelola melalui AWS Key Management Service (KMS).

Keamanan jaringan

• Sistem produksi yang dihosting di dalam AWS Virtual Private Cloud (VPC) dengan segmentasi jaringan.
• Web Application Firewall (WAF) yang diterapkan untuk titik akhir yang menghadap publik.
• Sistem deteksi dan pencegahan intrusi telah terpasang.
• Pemindaian kerentanan dan pengujian penetrasi secara berkala pada lapisan infrastruktur dan aplikasi.

Keamanan fisik

• Data pelanggan dihosting di pusat data AWS dengan sertifikasi SOC 2 Tipe II dan ISO 27001.
• Akses fisik ke fasilitas pusat data dibatasi hanya untuk personel AWS yang berwenang dengan kontrol biometrik.

Ketersediaan dan Ketahanan

• Pencadangan otomatis harian atas seluruh Data Pelanggan, yang disimpan minimal selama 7 hari.
• Integritas cadangan diverifikasi secara berkala.
• DisastProsedur pemulihan UGD didokumentasikan dan diuji setiap tahun.

Manajemen Insiden

• Rencana respons insiden keamanan dipelihara dan diuji setiap tahun.
• Peristiwa keamanan dipantau dan dicatat; peringatan ditinjau oleh fungsi operasi keamanan.
• Prosedur pemberitahuan pelanggaran data pribadi telah diterapkan untuk memenuhi kewajiban pemberitahuan dalam waktu 48 jam kepada Pengontrol data.

Personil

• Seluruh personel Xygeni yang memiliki akses ke Data Pelanggan terikat oleh kewajiban kerahasiaan.
• Pelatihan kesadaran keamanan dilaksanakan untuk seluruh personel setiap tahun.
• Pemeriksaan latar belakang dilakukan terhadap personel yang memiliki akses ke sistem produksi, sejauh yang diizinkan oleh hukum yang berlaku.

Manajemen Pihak Ketiga

• Sub-prosesor dinilai kepatuhan keamanannya sebelum digunakan.
• Perjanjian pemrosesan data telah dibuat dengan semua Sub-prosesor.

Sertifikasi

• Xygeni memegang sertifikasi ISO 27001 (sistem manajemen keamanan informasi).
• Xygeni sedang mengupayakan sertifikasi SOC 2 Tipe II; sertifikat akan diberikan kepada Controller setelah selesai.