Bahasa Indonesia
Perjanjian ini mengatur pemrosesan data pribadi oleh PT BATI Consulting ("Prosesor") atas nama organisasi pelanggan ("Pengendali") dalam penggunaan platform myBATI CaaS, sesuai Pasal 51–52 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP").
Pengendali menentukan tujuan dan cara pemrosesan data pribadi yang dimasukkannya ke Layanan. Prosesor memproses data tersebut semata-mata berdasarkan instruksi tertulis (termasuk melalui konfigurasi Layanan) dari Pengendali (Pasal 51 ayat (1)).
Prosesor memproses data pribadi hanya untuk menyediakan, memelihara, dan mengamankan Layanan sebagaimana dikonfigurasi oleh Pengendali. Pemrosesan di luar instruksi dan tujuan yang ditetapkan menjadi tanggung jawab Prosesor (Pasal 51 ayat (6)).
Prosesor wajib menjaga kerahasiaan data pribadi (Pasal 36 jo. Pasal 52) dan menerapkan langkah teknis dan operasional yang memadai untuk melindungi data dari pemrosesan yang tidak sah (Pasal 35, 38, 39 jo. Pasal 52), termasuk kontrol akses berbasis peran, pemisahan data antar-penyewa (tenant), dan enkripsi kredensial sensitif.
Prosesor dapat melibatkan sub-prosesor hanya dengan persetujuan tertulis terlebih dahulu dari Pengendali (Pasal 51 ayat (5)), dan berkomitmen mengikat sub-prosesor tersebut dengan kewajiban perlindungan data yang setara (komitmen ini masih ditinjau oleh penasihat hukum sebelum DPA difinalisasi). Daftar sub-prosesor saat ini tersedia di halaman Subprocessors.
Sebagai komitmen kontraktual — bukan kewajiban statutori, karena Pasal 52 UU PDP tidak mengimpor kewajiban notifikasi kegagalan Pasal 46 kepada Prosesor — Prosesor akan: (a) membantu Pengendali menanggapi permohonan hak subjek data yang diterima melalui Layanan; dan (b) memberi tahu Pengendali tanpa penundaan yang tidak wajar setelah mengetahui adanya kegagalan Pelindungan Data Pribadi yang memengaruhi data Pengendali, agar Pengendali dapat memenuhi kewajiban notifikasinya sendiri berdasarkan Pasal 46 UU PDP.
Transfer data pribadi ke luar wilayah hukum Indonesia oleh Prosesor mengikuti persyaratan Pasal 56 UU PDP (kesetaraan tingkat pelindungan, atau perlindungan memadai dan mengikat, atau persetujuan Pengendali).
Setelah berakhirnya perjanjian layanan, Pengendali dapat mengekspor datanya melalui fitur ekspor data Layanan sebelum data dihapus sesuai kebijakan retensi dan proses purge/offboarding Layanan, yang menghasilkan sertifikat penghapusan.
Prosesor menyediakan informasi yang wajar diperlukan untuk menunjukkan kepatuhan terhadap Perjanjian ini atas permintaan tertulis Pengendali, tunduk pada ketentuan kerahasiaan.
PT BATI Consulting, [not yet configured -- pending legal/operations review]. Kontak DPO belum dikonfigurasi.
English
This agreement governs the processing of personal data by PT BATI Consulting (the "Processor") on behalf of the customer organization (the "Controller") through use of the myBATI CaaS platform, under Pasal 51–52 of Law No. 27 of 2022 on Personal Data Protection ("UU PDP").
The Controller determines the purposes and means of processing the personal data it enters into the Service. The Processor processes that data solely on the Controller's documented instructions (including through the Service's configuration) (Pasal 51(1)).
The Processor processes personal data only to provide, maintain, and secure the Service as configured by the Controller. Processing outside the instructed scope and purpose becomes the Processor's own responsibility (Pasal 51(6)).
The Processor keeps personal data confidential (Pasal 36, imported by Pasal 52) and implements adequate technical and operational measures to protect it from unauthorized processing (Pasal 35, 38, 39, imported by Pasal 52), including role-based access control, tenant data isolation, and encryption of sensitive credentials.
The Processor may engage a sub-processor only with the Controller's prior written consent (Pasal 51(5)), and commits to bind each sub-processor to equivalent data-protection obligations (this commitment is subject to review by legal counsel before the DPA is finalized). The current sub-processor list is on the Subprocessors page.
As a contractual commitment — not a statutory duty, since Pasal 52 UU PDP does not import the Pasal 46 breach-notification duty onto a Processor — the Processor will: (a) assist the Controller in responding to data-subject rights requests received through the Service; and (b) notify the Controller without undue delay after becoming aware of a personal-data-protection failure affecting the Controller's data, so the Controller can meet its own notification duty under Pasal 46 UU PDP.
Any transfer of personal data outside Indonesia's legal jurisdiction by the Processor follows the Pasal 56 UU PDP requirements (an equivalent level of protection, or adequate and binding safeguards, or the Controller's consent).
On termination of the service agreement, the Controller may export its data through the Service's own export feature before data is deleted under the Service's retention policy and purge/offboarding process, which produces a deletion certificate.
The Processor provides information reasonably needed to demonstrate compliance with this Agreement on the Controller's written request, subject to confidentiality.
PT BATI Consulting, [not yet configured -- pending legal/operations review]. A DPO contact has not yet been configured.