Adendum Pemrosesan Data

Adendum Pemrosesan Data ini (“DPA”) merupakan bagian dari Ketentuan Layanan antara Anda (“Pelanggan”, pengendali) dan Empire Luxury International Corporation (DBA Neuro Empire) (“NeuroCRM”, pemroses) dan mengatur pemrosesan data pribadi yang terkandung dalam Konten Pelanggan. Apabila terdapat pertentangan mengenai hal-hal perlindungan data, DPA ini berlaku mengungguli Ketentuan.

1. Peran dan Ruang Lingkup

Untuk Konten Pelanggan, Pelanggan adalah pengendali (atau pemroses yang bertindak untuk pelanggannya sendiri) dan NeuroCRM adalah pemroses (atau sub-pemroses). NeuroCRM memproses Konten Pelanggan hanya untuk menyediakan Layanan dan atas instruksi terdokumentasi dari Pelanggan, yang mencakup Ketentuan, DPA ini, dan penggunaan fitur Layanan. NeuroCRM bertindak sebagai pengendali independen hanya untuk data akun, penagihan, dan keamanan yang terbatas sebagaimana dijelaskan dalam Kebijakan Privasi.

2. Rincian Pemrosesan

Pokok bahasan: penyediaan Layanan NeuroCRM. Durasi: masa berlangganan Pelanggan ditambah masa penyelesaian (wind-down) apa pun. Sifat dan tujuan: operasi hosting, penyimpanan, dan pemrosesan yang diperlukan untuk menyediakan Layanan sebagaimana dikonfigurasikan oleh Pelanggan. Kategori subjek data: kontak, prospek, pelanggan, staf, dan individu lain yang datanya dimasukkan oleh Pelanggan. Kategori data pribadi: sebagaimana ditentukan oleh Pelanggan, umumnya data identifikasi dan kontak, catatan bisnis, dan komunikasi; Pelanggan tidak boleh memasukkan data kategori khusus kecuali disepakati secara tertulis.

3. Instruksi Pelanggan dan Kepatuhan

NeuroCRM akan memproses Konten Pelanggan hanya atas instruksi terdokumentasi, termasuk untuk transfer, kecuali disyaratkan oleh hukum yang berlaku (dalam hal itu NeuroCRM akan memberitahu Pelanggan kecuali dilarang). NeuroCRM akan memberitahu Pelanggan apabila, menurut pendapatnya, suatu instruksi melanggar hukum perlindungan data yang berlaku. Pelanggan bertanggung jawab atas keabsahan Konten Pelanggan serta atas tersedianya semua pemberitahuan dan persetujuan yang diperlukan.

4. Kerahasiaan Personel

NeuroCRM memastikan bahwa personel yang berwenang memproses Konten Pelanggan terikat oleh kewajiban kerahasiaan dan memproses data hanya sebagaimana diinstruksikan.

5. Langkah-langkah Keamanan

NeuroCRM menerapkan langkah-langkah teknis dan organisasional yang sesuai untuk memastikan tingkat keamanan yang sepadan dengan risiko, termasuk enkripsi dalam transit dan enkripsi token akses saat tersimpan, isolasi tenant secara logis, kontrol akses dan pencatatan log, ketahanan dan cadangan, serta peninjauan berkala. Ringkasan tersedia atas permintaan dan dalam Kebijakan Privasi.

6. Sub-pemroses

Pelanggan memberikan otorisasi umum kepada NeuroCRM untuk menggunakan sub-pemroses. Daftar terkini tersedia di /legal/subprocessors. NeuroCRM membebankan kewajiban perlindungan data pada setiap sub-pemroses yang tidak kurang protektif dibanding DPA ini dan tetap bertanggung jawab atas kinerja mereka. NeuroCRM akan memberikan pemberitahuan setidaknya 30 hari atas setiap sub-pemroses baru atau pengganti; Pelanggan dapat mengajukan keberatan atas dasar perlindungan data yang wajar, dan apabila para pihak tidak dapat menyelesaikan keberatan tersebut, Pelanggan dapat mengakhiri Layanan yang terdampak dan menerima pengembalian biaya prabayar yang belum terpakai.

7. Permintaan Subjek Data dan Bantuan

Dengan mempertimbangkan sifat pemrosesan, NeuroCRM akan, melalui langkah-langkah yang sesuai dan sejauh wajar secara komersial, membantu Pelanggan dalam menanggapi permintaan subjek data dan dalam memenuhi kewajibannya terkait keamanan, pemberitahuan pelanggaran, penilaian dampak perlindungan data, dan konsultasi sebelumnya. Apabila NeuroCRM menerima permintaan langsung dari subjek data, NeuroCRM akan meneruskannya kepada Pelanggan dan tidak menanggapi kecuali sebagaimana diinstruksikan atau disyaratkan oleh hukum.

8. Pemberitahuan Pelanggaran Data Pribadi

NeuroCRM akan memberitahu Pelanggan tanpa penundaan yang tidak semestinya, dan dalam hal apa pun dalam waktu 24 jam sejak mengetahui adanya pelanggaran data pribadi yang dikonfirmasi atau yang dicurigai secara wajar memengaruhi Konten Pelanggan, dan akan menyediakan informasi yang tersedia untuk membantu Pelanggan memenuhi kewajiban pemberitahuannya, dengan pemutakhiran seiring berkembangnya investigasi. Pemberitahuan demikian bukan merupakan pengakuan kesalahan atau tanggung jawab. Penentuan apakah perlu memberitahu regulator atau subjek data, serta pelaksanaan pemberitahuan tersebut, merupakan tanggung jawab Pelanggan sebagai pengendali; NeuroCRM memberikan kerja sama yang wajar.

9. Transfer Internasional

Apabila pemrosesan melibatkan transfer data pribadi keluar dari EEA, UK, atau Swiss ke negara tanpa keputusan kecukupan (adequacy), para pihak menyertakan Standard Contractual Clauses (2021/914), Module Two (pengendali ke pemroses) dari Komisi Eropa, yang dilengkapi dengan informasi dalam DPA ini, bersama dengan UK International Data Transfer Addendum dan adaptasi Swiss sebagaimana berlaku; sebagai alternatif NeuroCRM dapat mengandalkan EU-US Data Privacy Framework jika tersertifikasi. NeuroCRM menerapkan langkah-langkah tambahan sebagaimana sesuai. Dalam hal terjadi pertentangan, SCC berlaku mengungguli hanya sejauh diperlukan.

10. Kontur Data Rusia (152-FZ)

Untuk data pribadi individu di Federasi Rusia, NeuroCRM memelihara kontur Rusia yang terpisah dengan perekaman dan penyimpanan utama pada server yang berlokasi di Rusia, sesuai dengan Undang-Undang Federal No. 152-FZ, dan memproses data tersebut atas instruksi Pelanggan berdasarkan Pasal 6(3) 152-FZ. Kontur ini dan alur pemberitahuan pelanggarannya (pendahuluan dalam waktu 24 jam dan hasil dalam waktu 72 jam kepada Roskomnadzor) beroperasi secara independen dari rantai GDPR. Lihat Kebijakan Pemrosesan Data Pribadi (Rusia).

11. Audit

NeuroCRM akan menyediakan informasi yang diperlukan untuk menunjukkan kepatuhan terhadap DPA ini dan mengizinkan dilakukannya audit. Untuk meminimalkan gangguan, NeuroCRM dapat memenuhi permintaan audit dengan menyediakan sertifikasi atau laporan pihak ketiga terkini (seperti ISO 27001 atau SOC 2 Type II) jika tersedia. Audit di tempat atau audit terperinci dibatasi paling banyak sekali per tahun (kecuali menyusul suatu pelanggaran), memerlukan pemberitahuan setidaknya 30 hari, ruang lingkup yang disepakati bersama, kerahasiaan, dan dilakukan selama jam kerja tanpa gangguan yang tidak wajar.

12. Pengembalian dan Penghapusan

Pada saat pengakhiran, atas pilihan Pelanggan yang dibuat dalam waktu 30 hari, NeuroCRM akan mengembalikan Konten Pelanggan dalam format yang umum digunakan atau menghapusnya dan, atas permintaan, menyatakan penghapusan tersebut dalam jangka waktu yang wajar, kecuali sejauh penyimpanan disyaratkan oleh hukum. Cadangan rutin ditimpa pada siklus rotasi standar.

13. Tanggung Jawab dan Keberlakuan

Tanggung jawab masing-masing pihak berdasarkan DPA ini tunduk pada pembatasan dan pengecualian dalam Ketentuan Layanan, termasuk batas yang ditingkatkan untuk pelanggaran perlindungan data. DPA ini, termasuk SCC yang disertakannya, berlaku mengungguli ketentuan Ketentuan yang bertentangan dalam hal-hal perlindungan data. DPA ini diatur oleh ketentuan hukum dan penyelesaian sengketa dari Ketentuan yang berlaku bagi Pelanggan.