Addendum Pemrosesan Data (DPA) — MultiLipi

Definisi

Istilah yang diawali huruf kapital yang tidak didefinisikan di sini memiliki arti dalam Perjanjian. "Undang-Undang Perlindungan Data" berarti semua hukum dan peraturan yang berlaku untuk Pemrosesan Data Pribadi berdasarkan Perjanjian, termasuk GDPR (EU) 2016/679 dan UK GDPR, serta undang-undang pelaksana lokal apa pun. "Data Pribadi", "Pengontrol", "Pemroses", "Subjek Data", "Pemrosesan", dan "Otoritas Pengawas" memiliki arti dalam GDPR.

"Data Sensitif" berarti informasi yang memerlukan perlindungan ekstra atau tunduk pada aturan khusus (misalnya: data kategori khusus berdasarkan Pasal 9 GDPR seperti data kesehatan/biometrik/genetik; data pribadi anak di bawah 16 tahun; pengenal yang dikeluarkan pemerintah; rekening keuangan atau data pembayaran; geolokasi yang tepat; atau kredensial/kata sandi/kunci API/rahasia). Layanan tidak dirancang untuk memproses Data Sensitif.

Cakupan dan Peran

Pelanggan adalah Pengontrol, dan MultiLipi adalah Pemroses sehubungan dengan Data Pribadi yang dijelaskan dalam Lampiran I. Jika Pelanggan bertindak sebagai Pemroses untuk Pengendali pihak ketiga, MultiLipi bertindak sebagai Subprosesor. Pelanggan menjamin bahwa mereka memiliki otorisasi Pengontrol untuk menunjuk MultiLipi. MultiLipi akan Memproses Data Pribadi semata-mata: (a) untuk menyediakan Layanan; (b) sebagaimana didokumentasikan oleh Pelanggan dalam Perjanjian dan DPA ini; dan (c) sebagaimana diwajibkan oleh hukum.

Instruksi Pelanggan

Pelanggan menginstruksikan MultiLipi untuk Memproses Data Pribadi guna menyediakan dan meningkatkan Layanan (dengan cara yang menjaga privasi), termasuk terjemahan, perutean berdasarkan bahasa, glosarium/TM, terjemahan media, analitik, dan fitur SEO yang diaktifkan oleh Pelanggan.

Pelanggan tidak akan mengirimkan atau menyebabkan Layanan Memproses Data Sensitif. Jika Pelanggan tetap mengirimkan Data Sensitif, Pelanggan bertanggung jawab penuh untuk mendapatkan semua persetujuan dan perlindungan yang diperlukan; MultiLipi tidak memiliki kewajiban untuk memantau Data Sensitif.

MultiLipi akan memberi tahu Pelanggan jika tidak dapat mengikuti instruksi karena persyaratan hukum, kecuali jika dilarang. MultiLipi tidak akan menjual Data Pribadi, juga tidak akan menggunakannya untuk membangun atau melatih model AI umum tanpa persetujuan eksplisit Pelanggan.

Kerahasiaan

MultiLipi memastikan orang yang berwenang untuk Memproses Data Pribadi terikat oleh kewajiban kerahasiaan dan menerima pelatihan perlindungan data yang sesuai.

Tindakan Keamanan

MultiLipi menerapkan dan memelihara tindakan teknis dan organisasi yang sesuai ("TOMs") untuk melindungi Data Pribadi sebagaimana dijelaskan dalam Lampiran II, dengan mempertimbangkan keadaan seni, biaya implementasi, serta sifat, ruang lingkup, konteks dan tujuan Pemrosesan, serta risiko terhadap hak dan kebebasan individu perseorangan.

Sub-pemroses

Pelanggan memberikan otorisasi umum bagi MultiLipi untuk melibatkan Subprosesor guna menyediakan Layanan. Subprosesor saat ini terdaftar di /legal/subprocessors. MultiLipi akan memberlakukan kewajiban perlindungan data pada Subprosesor yang setara dengan DPA ini dan tetap bertanggung jawab atas kinerjanya.

Jika Tidak Puas dengan Subprosesor, Pelanggan harus menghubungi MultiLipi dan memberikan kesempatan untuk keberatan atas dasar yang wajar terkait perlindungan data. Jika tidak terselesaikan dengan itikad baik, Pelanggan dapat menangguhkan atau mengakhiri Layanan yang terpengaruh (pengembalian dana pro-rata atas biaya yang telah dibayar di muka).

Bantuan, DPIA & Konsultasi Sebelumnya

Dengan mempertimbangkan sifat Pemrosesan dan informasi yang tersedia bagi MultiLipi, kami akan membantu Pelanggan dalam memastikan kepatuhan terhadap kewajiban berdasarkan Pasal 32–36 GDPR (keamanan, pemberitahuan pelanggaran, DPIA, dan konsultasi sebelumnya), termasuk dengan menyediakan dokumentasi yang relevan tentang TOM dan subprosesor kami.

Pemberitahuan Pelanggaran Data Pribadi

MultiLipi akan memberi tahu Pelanggan tanpa penundaan yang tidak semestinya setelah mengetahui Pelanggaran Data Pribadi yang memengaruhi Data Pelanggan. Pemberitahuan tersebut akan mencakup informasi yang tersedia bagi MultiLipi pada saat itu, termasuk: sifat pelanggaran, kategori dan perkiraan jumlah Subjek Data dan catatan, konsekuensi yang mungkin terjadi, dan langkah-langkah yang diambil atau diusulkan untuk mengatasi pelanggaran tersebut.

MultiLipi akan segera mengambil langkah-langkah untuk mengurangi dampak buruk dan bekerja sama dengan permintaan Pelanggan yang wajar untuk memenuhi kewajiban pemberitahuan pelanggaran apa pun.

Permintaan Subjek Data

Sejauh diizinkan secara hukum, MultiLipi akan segera memberi tahu Pelanggan jika kami menerima permintaan dari Subjek Data yang menjalankan hak berdasarkan Undang-Undang Perlindungan Data terkait Data Pelanggan. MultiLipi tidak akan merespons kecuali atas instruksi terdokumentasi Pelanggan dan akan memberikan bantuan yang wajar bagi Pelanggan untuk menanggapi permintaan tersebut.

Pengembalian & Penghapusan Data

Atas permintaan tertulis Pelanggan, MultiLipi akan menghapus atau mengembalikan semua Data Pribadi (dan menghapus salinan yang ada) dalam jangka waktu yang wajar secara komersial, kecuali penyimpanan diwajibkan oleh hukum. Cadangan ditimpa pada siklus terjadwal; penghapusan dari cadangan akan terjadi dalam proses biasa.

Transfer Data Internasional (SCC/Lampiran Inggris)

Transfer EEA. Jika Pemrosesan melibatkan transfer Data Pribadi yang tunduk pada GDPR ke negara ketiga tanpa keputusan kecukupan, para pihak setuju bahwa Klausul Kontraktual Standar yang disetujui oleh Komisi Eropa dalam Keputusan (EU) 2021/914 ("SCC") dimasukkan dengan referensi dan merupakan bagian dari DPA ini sebagaimana diatur di bawah ini:
Modul 2 (Pengontrol ke Prosesor) dan/atau Modul 3 (Prosesor ke Subprosesor), sebagaimana berlaku.
Klausul 7 (Klausul Docking): berlaku.
Klausul 11 (Ganti Rugi): tidak berlaku.
Klausul 17 (Hukum yang berlaku): hukum Irlandia.
Klausul 18 (Forum dan yurisdiksi): pengadilan Irlandia.
Lampiran I–III ke SCC dilengkapi dengan informasi dalam Lampiran I, Lampiran II, dan Lampiran III DPA ini. Transfer Inggris. Untuk transfer yang tunduk pada UK GDPR, para pihak menyetujui Addendum Transfer Data Internasional ICO (IDTA) Addendum B ke SCC UE, yang dimasukkan dengan referensi. Jika terjadi konflik, Addendum Inggris berlaku untuk Transfer Inggris. Transfer Swiss. Untuk transfer yang tunduk pada FADP Swiss, referensi ke GDPR dalam SCC harus dibaca sebagai referensi ke FADP; referensi ke Negara Anggota UE menjadi Swiss; dan otoritas yang berwenang adalah FDPIC.

Tanggung Jawab & Ganti Rugi

Tanggung jawab berdasarkan DPA ini tunduk pada batasan dan pengecualian tanggung jawab dalam Perjanjian, kecuali sejauh dilarang oleh hukum yang berlaku. Setiap pihak akan bertanggung jawab atas tindakan dan kelalaiannya sendiri berdasarkan Undang-Undang Perlindungan Data.

Lain-lain

Jika terjadi konflik antara DPA ini dan Perjanjian, DPA ini yang berlaku sejauh konflik mengenai perlindungan data. Jika ada ketentuan dalam DPA ini yang dinyatakan tidak sah, sisanya tetap berlaku. MultiLipi dapat memperbarui DPA ini untuk mencerminkan perubahan dalam hukum atau Layanan kami.

Lampiran I — Deskripsi Pemrosesan

A: Para Pihak

B: Rincian Pemrosesan

Lampiran II — Guna Teknis & Organisasi (TOMs)

Program Keamanan Informasi. Kebijakan tertulis yang mencakup kontrol akses, penanganan data, respons insiden, manajemen perubahan, risiko vendor, dan pengembangan yang aman.
Kontrol Akses. Akses berbasis peran, hak istimewa paling sedikit, otentikasi kuat, MFA untuk admin, manajemen sesi, tinjauan akses rutin, pencabutan segera saat perubahan peran/pemutusan hubungan.
Enkripsi. TLS untuk data saat transit; enkripsi rahasia dan kunci yang disimpan; rotasi kunci dan akses terbatas ke materi kunci.
Keamanan Jaringan & Aplikasi. Jaringan tersegmentasi; firewall/WAF; perlindungan DDoS (melalui CDN/edge jika berlaku); pengerasan baseline; SDLC yang aman termasuk tinjauan kode dan pemindaian dependensi.
Pencatatan & Pemantauan. Pencatatan terpusat peristiwa yang relevan dengan keamanan; peringatan tentang anomali; sinkronisasi waktu; penyimpanan log yang tahan terhadap perusakan.
Manajemen Kerentanan & Patch. Pemindaian kerentanan secara teratur; perbaikan tepat waktu; pengujian pihak ketiga sebagaimana mestinya.
Kelangsungan Bisnis & Pemulihan Bencana. Infrastruktur redundan untuk komponen kritis; cadangan yang teruji; target RTO/RPO yang terdokumentasi.
Segregasi Data. Pemisahan logis lingkungan dan data pelanggan.
Keamanan & Pelatihan Personel. Pemeriksaan latar belakang sebagaimana diizinkan oleh hukum; pelatihan keamanan dan privasi saat orientasi/tahunan; pernyataan kerahasiaan.
Respons Insiden. Rencana terdokumentasi dengan peran yang ditentukan, triase, penahanan, pemberantasan, pemulihan, pelajaran yang didapat, dan alur kerja pemberitahuan pelanggan.
Manajemen Vendor & Subprosesor. Penilaian berbasis risiko, kewajiban keamanan/privasi kontraktual, pemantauan berkelanjutan.
Keamanan Fisik. Pusat data yang dioperasikan oleh penyedia yang terverifikasi dengan kontrol standar industri (kartu akses, CCTV, log pengunjung).
Minimalisasi Data. Kumpulkan hanya yang diperlukan; batas retensi; anonimisasi/pseudonimisasi jika sesuai.
Kontrol Pelanggan. Alat admin untuk manajemen akses; jejak audit di dasbor (jika tersedia); manajemen kunci API; dukungan MFA.

Lampiran III — Subprosesor

Daftar Subprosesor yang disetujui saat ini dikelola di https://multilipi.com/legal/subprocessors. Untuk setiap Subprosesor, MultiLipi akan mengungkapkan: nama, tujuan, lokasi pemrosesan, dan mekanisme transfer (misalnya, SCC).

Tanda Tangan

Pelanggan	MultiLipi Technologies Private Limited
Nama: ___________________________ Jabatan: ___________________________ Tanggal: ___________________________ Tanda Tangan: ______________________	Nama: Kunal Singh Shekhawat Jabatan: Co-Founder @MultiLipi Tanggal: 10/09/2025 Tanda Tangan: