Draf tahap prototipe. Dokumen ini belum ditinjau oleh penasihat hukum. Peraturan Pemerintah turunan UU PDP yang mengatur detail teknis (DPO, tenggat notifikasi pelanggaran, standar keamanan minimum) masih menunggu pengesahan. Dokumen ini akan disesuaikan begitu aturan tersebut final.
Perjanjian Pemrosesan Data (DPA)
1. Para pihak & definisi
"Pengendali Data" adalah sekolah/yayasan yang menentukan tujuan pemrosesan data siswa & orang tua. "Pemroses Data" adalah Sekolah Saya, yang memproses data sesuai instruksi Pengendali Data melalui layanan platform.
2. Ruang lingkup pemrosesan
Pemrosesan mencakup data siswa (identitas, kehadiran, nilai), data orang tua/wali (kontak untuk notifikasi), dan data staf sekolah, sebatas yang diperlukan untuk menjalankan modul yang diaktifkan Pengendali Data.
3. Kewajiban Pemroses Data (kami)
Memproses data hanya sesuai instruksi tertulis Pengendali Data; menjaga kerahasiaan; menerapkan isolasi data antar-tenant dan kontrol akses berjenjang; membantu Pengendali Data memenuhi permintaan subjek data (akses, koreksi, penghapusan).
4. Kewajiban Pengendali Data (sekolah)
Memastikan dasar hukum pemrosesan terpenuhi (termasuk memperoleh persetujuan orang tua/wali sesuai UU PDP), menginput data yang akurat, dan mengelola hak akses staf melalui fitur manajemen peran yang disediakan.
5. Sub-pemroses
Kami dapat menggunakan sub-pemroses untuk fungsi pendukung: penyedia hosting/infrastruktur, gateway notifikasi WhatsApp (untuk pengiriman pesan, bukan penyimpanan data siswa), dan payment gateway (khusus data penagihan langganan, terpisah dari data siswa). Daftar sub-pemroses dapat diminta ke tim kami.
6. Keamanan & pemberitahuan pelanggaran data
Kami menerapkan isolasi tenant, kontrol akses berjenjang (RBAC), dan jejak audit pada data sensitif. Bila terjadi indikasi pelanggaran data, kami akan memberi tahu Pengendali Data tanpa penundaan yang tidak wajar setelah pelanggaran diketahui.
7. Penghapusan/pengembalian data
Setelah langganan berakhir, Pengendali Data dapat meminta ekspor data dalam jangka waktu tertentu. Setelah jangka waktu tersebut, data dihapus permanen dari sistem produksi kami, kecuali kewajiban hukum mengharuskan retensi lebih lama.
8. Audit
Pengendali Data dapat meminta informasi kepatuhan terkait perjanjian ini secara wajar. Untuk audit teknis mendalam, akan diatur melalui kesepakatan terpisah.