Lampiran Perlindungan Data Siber Stellar

Lampiran Perlindungan Data ini, termasuk semua lampiran (“DPA”), merupakan bagian dari perjanjian, yang terdiri dari Perjanjian Pengguna Akhir dan Pesanan yang berlaku, antara Stellar Cyber ​​Inc. (“Stellar Cyber”) dan Klien (“Perjanjian”). Para Pihak sepakat bahwa DPA ini menetapkan kewajiban mereka sehubungan dengan pemrosesan dan keamanan Data Klien terkait dengan penggunaan Hasil Kerja oleh Klien.

1. GAMBARAN UMUM

Perjanjian Perlindungan Data (DPA) ini hanya berlaku untuk pemrosesan Data Klien di lingkungan yang dikendalikan oleh Stellar Cyber ​​(termasuk Subprosesor Stellar Cyber), yang mencakup Data Klien yang dikirim ke Stellar Cyber ​​oleh Hasil Kerja tetapi tidak termasuk data yang tetap berada di lokasi Klien atau di lingkungan operasional pihak ketiga yang dipilih Klien. DPA ini akan berlaku efektif pada Tanggal Efektif Perjanjian dan akan menggantikan ketentuan apa pun yang sebelumnya berlaku untuk pemrosesan dan keamanan Data Klien. Istilah yang ditulis dengan huruf kapital yang digunakan tetapi tidak didefinisikan dalam DPA ini memiliki arti yang diberikan kepada mereka dalam Perjanjian.

2. DEFINISI

2.1. “Hukum Perlindungan Data yang Berlaku” berarti , sebagaimana berlaku untuk pemrosesan Data Klien (termasuk data pribadi apa pun yang terkandung di dalamnya), setiap hukum atau peraturan privasi, perlindungan data, atau keamanan data nasional, federal, Uni Eropa, negara bagian, provinsi, atau lainnya.

2.2. “Data Klien” berarti , untuk tujuan DPA ini dan terlepas dari definisi “Data Klien” dalam Perjanjian, data yang dimasukkan dari titik akhir Klien, atau yang diberikan oleh atau atas nama Klien kepada Stellar Cyber ​​melalui penggunaan Deliverable oleh Klien, tidak termasuk Data Sistem.

2.3. “Data Pribadi Klien” berarti data pribadi yang terdapat dalam Data Klien, termasuk kategori khusus data pribadi atau data sensitif yang didefinisikan berdasarkan Hukum Perlindungan Data yang Berlaku.

2.4. “GDPR Uni Eropa” berarti Peraturan (UE) 2016/679 Parlemen Eropa dan Dewan tanggal 27 April 2016 tentang perlindungan individu sehubungan dengan pengolahan data pribadi dan pergerakan bebas data tersebut, dan mencabut Arahan 95/46/EC.

2.5. “Pelanggaran Keamanan” berarti pelanggaran keamanan Stellar Cyber ​​yang mengakibatkan penghancuran, kehilangan, perubahan, pengungkapan tanpa izin, atau akses tanpa izin terhadap Data Klien secara tidak sengaja atau melanggar hukum.

2.6. “Subprosesor” berarti pihak ketiga yang diberi wewenang sebagai prosesor lain berdasarkan DPA ini untuk memproses Data Klien guna menyediakan Hasil Akhir.

2.7 “Data Sistem” berarti data teknis, operasional, diagnostik, penggunaan, telemetri, kinerja, konfigurasi, intelijen ancaman, dan data serupa yang dihasilkan oleh atau berkaitan dengan pengoperasian, kinerja, keamanan, atau penggunaan Hasil Kerja, tetapi tidak termasuk Data Pribadi Klien.

2.8. Istilah “data pribadi”, “subjek data”, “pengontrol”, dan “pengolah” sebagaimana digunakan dalam Perjanjian Perlindungan Data ini memiliki arti yang diberikan oleh Hukum Perlindungan Data yang Berlaku atau, jika tidak ada arti atau hukum tersebut, oleh GDPR Uni Eropa.

3. KEPATUHAN HUKUM DAN KETENTUAN KHUSUS YURISDIKSI

3.1. Peran Para Pihak. Stellar Cyber ​​bertindak sebagai pengolah data dan Klien bertindak sebagai pengendali atau pengolah data, sebagaimana berlaku, atas Data Klien.

3.2. Kepatuhan terhadap Hukum. Masing-masing Pihak akan mematuhi kewajibannya terkait dengan pengolahan Data Klien berdasarkan Hukum Perlindungan Data yang Berlaku.

3.3. Ketentuan Khusus Yurisdiksi. Sejauh pemrosesan Data Klien tunduk pada Hukum Perlindungan Data yang Berlaku sebagaimana dijelaskan dalam Lampiran 3 (Hukum Perlindungan Data Khusus Yurisdiksi), ketentuan yang sesuai dalam Lampiran 3 juga akan berlaku. Jika terjadi konflik antara ketentuan umum DPA ini dan Lampiran 3, Lampiran 3 akan berlaku.

4. PENGOLAHAN DATA KLIEN

4.1. Ringkasan Pemrosesan. Pokok bahasan dan detail pemrosesan Data Klien dijelaskan dalam Lampiran 1 (Detail Pemrosesan Data Klien).

4.2. Kewajiban Stellar Cyber. Stellar Cyber ​​wajib: (a) tidak memproses Data Klien selain untuk menyediakan Hasil Kerja sesuai dengan Perjanjian (termasuk sebagaimana tercantum dalam DPA ini dan sebagaimana dijelaskan dalam Lampiran 1 DPA ini) dan hukum yang berlaku (“Tujuan yang Diizinkan”); dan (b) segera memberitahu Klien jika, menurut pendapat Stellar Cyber, Hukum Perlindungan Data yang Berlaku melarang Stellar Cyber ​​untuk mematuhi Tujuan yang Diizinkan atau Stellar Cyber ​​tidak dapat mematuhi Tujuan yang Diizinkan karena alasan lain.

4.3. Instruksi dan Kewajiban Klien. Dengan ini Klien: (a) menginstruksikan Stellar Cyber ​​untuk memproses Data Klien untuk Tujuan yang Diizinkan; (b) menjamin dan menyatakan bahwa ia berwenang dan akan tetap berwenang secara sah dan efektif untuk memberikan instruksi yang tercantum di sini atas nama setiap pengendali Data Klien yang relevan; dan (c) menjamin dan menyatakan bahwa pengendali Data Klien yang relevan telah memberikan semua pemberitahuan dan memperoleh semua persetujuan yang dipersyaratkan oleh Hukum Perlindungan Data yang Berlaku untuk memberikan Data Klien kepada Stellar Cyber ​​berdasarkan Perjanjian ini.

5. KEAMANAN

5.1. Langkah-Langkah Keamanan. Stellar Cyber ​​akan menerapkan dan memelihara langkah-langkah teknis dan organisasi yang tercantum dalam Lampiran 2 (Langkah-Langkah Keamanan) (“Langkah-Langkah Keamanan”). Stellar Cyber ​​dapat memperbarui Langkah-Langkah Keamanan dari waktu ke waktu, dengan ketentuan bahwa pembaruan tersebut tidak mengakibatkan penurunan keamanan Hasil Kerja atau kewajiban Stellar Cyber ​​berdasarkan Perjanjian ini.

5.2. Tanggung Jawab Keamanan Klien. Tanpa mengurangi kewajiban Stellar Cyber ​​berdasarkan Bagian 5.1 (Langkah-Langkah Keamanan) dan di tempat lain dalam Perjanjian ini, Klien bertanggung jawab atas penggunaan Hasil Kerja, termasuk: (a) menggunakan Hasil Kerja untuk memastikan tingkat keamanan yang sesuai dengan risiko terhadap Data Klien; (b) mengamankan kredensial otentikasi, sistem, dan perangkat yang digunakan Klien untuk mengakses Hasil Kerja; dan (c) mencadangkan Data Klien sebagaimana mestinya.

5.3. Penilaian Keamanan Klien. Klien setuju bahwa Hasil Kerja dan Langkah-Langkah Keamanan yang diimplementasikan dan dipelihara oleh Stellar Cyber ​​memberikan tingkat keamanan yang sesuai dengan risiko terhadap Data Klien.

5.4. Kerahasiaan. Stellar Cyber ​​akan memastikan bahwa personelnya yang terlibat dalam pemrosesan Data Klien (a) hanya akan memproses data tersebut atas instruksi dari Klien atau sebagaimana dijelaskan dalam Perjanjian Perlindungan Data ini, dan (b) akan diwajibkan untuk menjaga kerahasiaan dan keamanan data tersebut bahkan setelah keterlibatan mereka berakhir. Stellar Cyber ​​akan memberikan pelatihan dan kesadaran tentang privasi dan keamanan data secara berkala dan wajib kepada karyawannya sesuai dengan Hukum Perlindungan Data yang Berlaku dan standar industri.

5.5. Pelanggaran Keamanan.

5.5.1. Pemberitahuan. Stellar Cyber ​​akan segera memberitahukan Klien dan dalam hal apa pun dalam waktu 72 jam setelah mengetahui adanya Pelanggaran Keamanan, dan segera mengambil langkah-langkah yang wajar untuk meminimalkan kerugian dan mengamankan Data Klien.

5.5.2. Rincian Pemberitahuan. Pemberitahuan Pelanggaran Keamanan dari Stellar Cyber ​​akan menjelaskan: (a) sifat Pelanggaran Keamanan termasuk sumber daya Klien yang terdampak; (b) langkah-langkah yang telah diambil Stellar Cyber, atau rencana yang akan diambil, untuk mengatasi Pelanggaran Keamanan dan mengurangi potensi risikonya; (c) langkah-langkah, jika ada, yang direkomendasikan Stellar Cyber ​​agar Klien ambil untuk mengatasi Pelanggaran Keamanan; dan (d) rincian kontak tempat informasi lebih lanjut dapat diperoleh. Jika tidak memungkinkan untuk memberikan semua informasi tersebut secara bersamaan, pemberitahuan awal Stellar Cyber ​​akan berisi informasi yang tersedia saat itu dan informasi lebih lanjut akan diberikan tanpa penundaan yang tidak semestinya seiring ketersediaannya.

5.5.3. Tidak Ada Pengakuan Kesalahan atau Tanggung Jawab. Pemberitahuan atau tanggapan Stellar Cyber ​​terhadap Pelanggaran Keamanan berdasarkan Bagian ini tidak akan ditafsirkan sebagai pengakuan oleh Stellar Cyber ​​atas kesalahan atau tanggung jawab apa pun sehubungan dengan Pelanggaran Keamanan tersebut.

6. SUBKELOLAAN

6.1. Persetujuan Khusus. Klien secara khusus memberi wewenang kepada Stellar Cyber ​​untuk melibatkan entitas-entitas yang tercantum pada tanggal efektif Perjanjian Perlindungan Data (DPA) ini sebagaimana diuraikan dalam Bagian 6.2 (Rincian Subprosesor) sebagai Subprosesor. Selain itu, dan tanpa mengurangi ketentuan pada Bagian 6.3 (Pengangkatan Subprosesor Baru), Klien secara umum memberi wewenang untuk melibatkan pihak ketiga lainnya (masing-masing disebut sebagai “Subprosesor Baru”) sebagai Subprosesor sesuai dengan Bagian 6.3.

6.2. Rincian Subprosesor. Informasi tentang Subprosesor, termasuk fungsi dan lokasinya, tercantum dalam Lampiran 6.3 (“Daftar Subprosesor”), versi terbarunya dapat diakses di https://stellarcyber.ai/dpa/subprocessors (yang dapat diperbarui oleh Stellar Cyber ​​dari waktu ke waktu sesuai dengan DPA ini).

6.3. Pengangkatan Subprosesor Baru. Apabila Subprosesor Baru diangkat selama Perjanjian Perlindungan Data (DPA) ini berlaku, Stellar Cyber ​​wajib memberikan pemberitahuan tertulis kepada Klien setidaknya tiga puluh (30) hari sebelumnya mengenai pengangkatan Subprosesor Baru tersebut, termasuk rincian pemrosesan yang akan dilakukan oleh Subprosesor Baru. Stellar Cyber ​​dapat memberikan pemberitahuan tersebut dengan memperbarui Daftar Subprosesor dan menyediakan pemberitahuan melalui mekanisme yang dapat digunakan Klien untuk berlangganan menerima pemberitahuan tentang pembaruan tersebut, dalam hal ini periode tiga puluh (30) hari akan dimulai dari tanggal pembaruan diposting dan pemberitahuan tersedia. Jika, dalam waktu tiga puluh (30) hari setelah menerima pemberitahuan tersebut, Klien memberitahukan Stellar Cyber ​​secara tertulis tentang keberatan apa pun terhadap pengangkatan yang diusulkan, dan selanjutnya memberikan justifikasi yang wajar secara komersial atas keberatan tersebut berdasarkan ketidakmampuan Subprosesor Baru tersebut untuk melindungi Data Klien secara memadai, maka: (a) Stellar Cyber ​​akan bekerja sama dengan Klien dengan itikad baik untuk mengatasi keberatan Klien mengenai Subprosesor Baru; dan (b) jika kekhawatiran Klien tidak dapat diselesaikan dalam waktu tiga puluh (30) hari sejak Stellar Cyber ​​menerima pemberitahuan dari Klien, terlepas dari apa pun yang tercantum dalam Perjanjian ini, Klien dapat, dengan memberikan pemberitahuan tertulis kepada Stellar Cyber ​​dengan segera berlaku, mengakhiri Pesanan hanya untuk aspek-aspek yang tidak dapat disediakan oleh Stellar Cyber ​​tanpa menggunakan Subprosesor Baru.

6.4. Persyaratan Uji Tuntas Subprosesor. Sehubungan dengan setiap Subprosesor, Stellar Cyber ​​wajib: (a) sebelum Subprosesor pertama kali memproses Data Klien, melakukan uji tuntas yang memadai untuk memastikan bahwa Subprosesor mampu melaksanakan kewajiban yang disubkontrakkan kepadanya sesuai dengan Perjanjian (termasuk DPA ini); (b) secara berkala menilai kembali Subprosesor untuk memastikan bahwa Subprosesor tetap mampu melaksanakan kewajiban yang disubkontrakkan kepadanya sesuai dengan Perjanjian (termasuk DPA ini); (c) memastikan bahwa pemrosesan Data Klien oleh Subprosesor diatur oleh kontrak tertulis yang mencakup ketentuan yang tidak kurang melindungi Data Klien daripada yang tercantum dalam DPA ini, termasuk bahwa kewajiban perlindungan data yang berlaku dalam DPA ini diberlakukan pada Subprosesor; dan (d) tetap bertanggung jawab penuh atas semua kewajiban yang disubkontrakkan kepada, dan semua tindakan dan kelalaian dari, Subprosesor.

7. KERJA SAMA

7.1. Hak Individu. Dengan mempertimbangkan sifat pemrosesan data, Stellar Cyber ​​akan membantu Klien dengan menerapkan langkah-langkah teknis dan organisasi yang sesuai, sejauh hal ini memungkinkan, untuk memenuhi kewajiban Klien, sebagaimana dipahami secara wajar oleh Klien, untuk menanggapi permintaan pelaksanaan hak individu berdasarkan Hukum Perlindungan Data yang Berlaku.

7.2. Permintaan Individu. Stellar Cyber ​​wajib: (a) segera memberitahukan Klien jika Stellar Cyber ​​menerima permintaan dari individu berdasarkan Hukum Perlindungan Data yang Berlaku sehubungan dengan Data Klien sejauh Stellar Cyber ​​mengenali permintaan tersebut sebagai permintaan yang berkaitan dengan Klien; dan (b) memastikan bahwa Stellar Cyber ​​tidak menanggapi permintaan tersebut kecuali atas instruksi tertulis dari Klien atau sebagaimana dipersyaratkan oleh hukum yang berlaku, dalam hal ini Stellar Cyber ​​wajib, sejauh diizinkan oleh hukum yang berlaku, memberitahukan Klien tentang persyaratan hukum tersebut sebelum Stellar Cyber ​​menanggapi permintaan tersebut.

7.3. Penilaian Dampak dan Konsultasi. Sejauh Stellar Cyber ​​diwajibkan oleh Hukum Perlindungan Data yang Berlaku, Stellar Cyber ​​(dengan mempertimbangkan sifat pemrosesan dan informasi yang tersedia bagi Stellar Cyber) akan memberikan bantuan yang wajar kepada Klien dalam hal penilaian dampak atau konsultasi dengan regulator perlindungan data dengan memberikan informasi sesuai dengan Bagian 7.4 (Audit dan Catatan).

7.4. Audit dan Catatan. Stellar Cyber ​​akan menyediakan kepada Klien atas permintaan informasi yang diperlukan untuk menunjukkan kepatuhan terhadap Hukum Perlindungan Data yang Berlaku dan Perjanjian Perlindungan Data ini sesuai dengan prosedur berikut: (a) Stellar Cyber ​​akan memberikan kepada Klien sertifikasi dan/atau laporan audit ringkasan terbaru yang telah diperoleh Stellar Cyber ​​untuk secara teratur menguji, menilai, dan mengevaluasi efektivitas Langkah-Langkah Keamanan; (b) Stellar Cyber ​​akan bekerja sama secara wajar dengan Klien dengan menyediakan informasi tambahan yang tersedia mengenai Langkah-Langkah Keamanan untuk membantu Klien lebih memahami Langkah-Langkah Keamanan; dan (c) jika informasi lebih lanjut diperlukan oleh Klien untuk memenuhi kewajiban auditnya sendiri atau pengontrol lain atau permintaan otoritas pengawas yang berwenang, Klien akan memberi tahu Stellar Cyber ​​dan Para Pihak akan membahas dengan itikad baik isi dan penyampaian informasi yang diperlukan.

8. LOKASI PENGOLAHAN DATA

8.1. Lokasi Penyimpanan Data. Stellar Cyber ​​hanya akan menyimpan Data Klien di wilayah yang ditawarkan oleh Stellar Cyber ​​dan dipilih oleh Klien pada Pesanan atau sebagaimana dikonfigurasi oleh Klien melalui Hasil Kerja (“Lokasi Penyimpanan”).

8.2. Lokasi Pemrosesan Data. Dengan mempertimbangkan perlindungan yang ditetapkan dalam DPA ini, Data Klien dapat diproses di Amerika Serikat atau negara lain mana pun tempat Stellar Cyber ​​atau Subprosesornya beroperasi.

9. PENGHAPUSAN DATA

9.1. Penghapusan Setelah Penghentian. Stellar Cyber ​​akan segera dan dalam hal apa pun dalam waktu sembilan puluh (90) hari sejak tanggal penghentian penyediaan Hasil Kerja yang melibatkan pemrosesan Data Klien (“Tanggal Penghentian”), menghapus semua salinan Data Klien, kecuali jika hukum yang berlaku mensyaratkan penyimpanan.

9.2. Sertifikasi Penghapusan. Stellar Cyber ​​akan memberikan sertifikasi tertulis kepada Klien bahwa Stellar Cyber ​​telah mematuhi Bagian ini dalam waktu sepuluh (10) hari sejak menerima permintaan tertulis dari Klien untuk menerima sertifikasi tersebut.

10. KETENTUAN UMUM

10.1. Interpretasi. Sehubungan dengan pokok bahasan Perjanjian Perlindungan Data ini, jika terjadi ketidaksesuaian antara ketentuan Perjanjian Perlindungan Data ini dan perjanjian lain antara Para Pihak, termasuk Perjanjian ini dan termasuk (kecuali jika secara eksplisit disepakati lain secara tertulis, ditandatangani atas nama Para Pihak) perjanjian yang dibuat atau yang dianggap dibuat setelah tanggal Perjanjian Perlindungan Data ini, maka ketentuan Perjanjian Perlindungan Data ini yang akan berlaku.

10.2. Tanggung Jawab. Setiap tanggung jawab yang terkait dengan kegagalan untuk mematuhi DPA ini akan tunduk pada ketentuan pembatasan tanggung jawab yang tercantum dalam Perjanjian.

10.3. Ketentuan yang Tidak Sah atau Tidak Dapat Diberlakukan. Apabila ada ketentuan dalam Perjanjian Perlindungan Data ini yang tidak sah atau tidak dapat diberlakukan, maka ketentuan lainnya dalam Perjanjian Perlindungan Data ini akan tetap berlaku dan mengikat. Ketentuan yang tidak sah atau tidak dapat diberlakukan tersebut akan (a) diubah sebagaimana diperlukan untuk memastikan keabsahan dan keberlakuannya, dengan tetap mempertahankan maksud Para Pihak sedekat mungkin, atau jika hal ini tidak memungkinkan, (b) ditafsirkan seolah-olah bagian yang tidak sah atau tidak dapat diberlakukan tersebut tidak pernah ada di dalamnya.

SEBAGAI BUKTI, Para Pihak dalam perjanjian ini telah menyebabkan Addendum Perlindungan Data Stellar Cyber ​​ini ditandatangani oleh pejabat atau perwakilan mereka yang berwenang pada Tanggal Efektif Perjanjian.

LAMPIRAN 1:

RINCIAN PROSES PENGOLAHAN DATA KLIEN

Pokok bahasan dan durasi pemrosesan

Stellar Cyber ​​akan memproses Data Klien, termasuk data pribadi apa pun yang terkandung di dalamnya, secara eksklusif untuk menyediakan Hasil Kerja sesuai dengan Perjanjian, termasuk periode penyimpanan yang dibeli oleh Klien untuk Hasil Kerja tertentu. Durasi pemrosesan akan berlangsung hingga berakhirnya atau penghentian Perjanjian, setelah itu Stellar Cyber ​​akan menghapus Data Klien sesuai dengan Bagian 9 (Penghapusan Data).

Sifat dan tujuan pengolahan

Stellar Cyber ​​hanya akan memproses Data Klien untuk Tujuan yang Diizinkan.

Kategori Data

Sifat spesifik Data Klien yang diproses oleh Stellar Cyber ​​bergantung pada Hasil yang dibeli Klien, tetapi secara umum berkaitan dengan kategori data berikut:

• Semua data log dan data tidak terstruktur dari aplikasi yang diambil melalui API yang diberikan kepada Stellar Cyber ​​oleh Klien untuk mendukung penyelesaian Hasil Pekerjaan.
• Data titik akhir dan log titik akhir (misalnya, nama perangkat, informasi OS, nama pengguna, alamat IP, nama proses, nama aplikasi, log, dan peristiwa).
• Data jaringan dan penggunaan jaringan (misalnya, 5-tuple dalam paket IP termasuk alamat IP, URL, informasi sertifikat, nama pengguna, alamat email, ukuran paket).
• Data berkas (misalnya, nama berkas, hash berkas, tipe berkas, ukuran berkas)
• Data pengguna (misalnya nama pengguna, alamat email)

Kategori data khusus

Hasil pekerjaan yang diserahkan tidak dimaksudkan untuk memproses kategori khusus data pribadi, dan kategori khusus data pribadi tidak diperlukan untuk menyerahkan hasil pekerjaan tersebut kepada Klien. Meskipun demikian, ketika Klien mengontrol data yang dikirim ke Stellar Cyber, atau dalam keterlibatan layanan tertentu (misalnya, investigasi forensik yang memerlukan analisis data yang mendasarinya), Stellar Cyber ​​dapat memproses kategori khusus data pribadi atas nama Klien. Sifat dan ruang lingkup kategori khusus data pribadi sensitif yang ditransfer mungkin tidak diketahui sampai setelah pemrosesan dilakukan, tetapi dapat mencakup data pribadi yang mengungkapkan asal ras atau etnis, opini politik, keyakinan agama atau filosofis, keanggotaan serikat pekerja, data genetik, data biometrik, data yang berkaitan dengan kesehatan, atau data yang berkaitan dengan kehidupan seks atau orientasi seksual seseorang.

Subjek data

Subjek data mencakup individu-individu yang datanya diberikan kepada Stellar Cyber ​​melalui Hasil Kerja oleh (atau atas arahan) Klien, dan dapat mencakup karyawan, agen, penasihat, kontraktor, dan konsultan Klien; orang-orang yang dapat dihubungi, pelanggan, calon pelanggan, dan mitra bisnis dari mitra saluran dan vendor Klien; dan pengguna resmi lainnya dari titik akhir Klien tempat Hasil Kerja diinstal atau dari Hasil Kerja itu sendiri.

Stellar Cyber ​​memiliki program keamanan informasi yang dirancang untuk melindungi kerahasiaan, integritas, dan ketersediaan Data Klien (“Program Keamanan Informasi Stellar Cyber”). Program Keamanan Informasi Stellar Cyber ​​diimplementasikan secara menyeluruh di seluruh organisasi dan dirancang untuk memastikan kepatuhan Stellar Cyber ​​terhadap Hukum Perlindungan Data yang Berlaku. Pada Tanggal Efektif, Stellar Cyber ​​akan menerapkan dan memelihara Langkah-Langkah Keamanan yang dijelaskan dalam Lampiran 2 ini, yang meliputi, tetapi tidak terbatas pada, langkah-langkah berikut untuk memastikan kerahasiaan, integritas, dan ketersediaan data yang berkelanjutan serta untuk mencegah akses, penggunaan, modifikasi, atau pengungkapan data yang tidak sah:

Ketentuan dalam setiap Modul Lampiran 3 ini hanya berlaku jika hukum yang bersangkutan berlaku untuk pemrosesan Data Klien.

MODUL 1: HUKUM PERLINDUNGAN DATA EROPA

1. DEFINISI TAMBAHAN

1.1. “Negara yang Memadai” berarti : (a) untuk data yang diproses sesuai dengan GDPR Uni Eropa: negara mana pun di dalam EEA, atau negara atau wilayah yang menjadi subjek keputusan kecukupan oleh Komisi Eropa berdasarkan Pasal 45(1) GDPR Uni Eropa; (b) untuk data yang diproses sesuai dengan GDPR Inggris: Inggris atau negara atau wilayah yang menjadi subjek peraturan kecukupan berdasarkan Pasal 45(1) GDPR Inggris dan Bagian 17A Undang-Undang Perlindungan Data 2018; dan/atau (c) untuk data yang diproses sesuai dengan FDPA Swiss: Swiss atau negara atau wilayah yang (i) termasuk dalam daftar negara yang undang-undangnya menjamin tingkat perlindungan yang memadai sebagaimana diterbitkan oleh Komisioner Perlindungan Data dan Informasi Federal Swiss, atau (ii) menjadi subjek keputusan kecukupan oleh Dewan Federal Swiss berdasarkan FDPA Swiss.

1.2. “Mekanisme Transfer Alternatif” berarti suatu mekanisme, selain SCC, yang memungkinkan transfer data pribadi secara sah ke negara ketiga sesuai dengan Hukum Perlindungan Data Eropa (misalnya, Kerangka Kerja Privasi Data Uni Eropa-AS, termasuk Perluasan Inggris Raya terhadap Kerangka Kerja Privasi Data Uni Eropa-AS dan Kerangka Kerja Privasi Data Swiss-AS, atau kerangka kerja lain yang diakui sebagai memastikan bahwa entitas yang berpartisipasi memberikan tingkat perlindungan yang memadai).

1.3. “Hukum Perlindungan Data Eropa” berarti , sebagaimana berlaku: (a) GDPR Uni Eropa; (b) GDPR Inggris; atau (c) FDPA Swiss.

1.4. “Hukum Eropa” berarti , sebagaimana berlaku: (a) hukum Uni Eropa atau negara anggota Uni Eropa (jika GDPR Uni Eropa berlaku untuk pemrosesan Data Klien); (b) hukum Inggris atau sebagian dari Inggris (jika GDPR Inggris berlaku untuk pemrosesan Data Klien); atau (c) hukum Swiss (jika FDPA Swiss berlaku untuk pemrosesan Data Klien).

1.5. “Transfer Terbatas” berarti transfer atau pemrosesan Data Pribadi Klien ke atau di negara yang bukan Negara yang Memadai.

1.6. “SCC” berarti SCC (Pengontrol ke Prosesor) atau SCC (Prosesor ke Prosesor), sebagaimana berlaku.

1.7. “SCC (Pengontrol-ke-Pengolah)” berarti Klausul Kontrak Standar Uni Eropa yang beroperasi di bawah Modul Dua (pengontrol ke pengolah), sebagaimana tercantum dalam Lampiran 4 pada DPA ini.

1.8. “SCC (Processor-to-Processor)” berarti Klausul Kontrak Standar Uni Eropa yang beroperasi di bawah Modul Tiga (processor-to-processor), sebagaimana tercantum dalam Lampiran 4 pada DPA ini.

1.9. “Undang-Undang Perlindungan Data Federal Swiss” berarti Undang-Undang Perlindungan Data Federal yang direvisi tanggal 25 September 2020 (Swiss), sebagaimana telah diubah atau diganti.

1.10. “UK GDPR” berarti GDPR Uni Eropa sebagaimana telah diubah dan dimasukkan ke dalam hukum Inggris berdasarkan Undang-Undang Penarikan Diri dari Uni Eropa Inggris tahun 2018, dan peraturan perundang-undangan sekunder yang berlaku yang dibuat berdasarkan undang-undang tersebut.

1.11. “UK IDTA” berarti Addendum Transfer Data Internasional terhadap Klausul Kontrak Standar Komisi Uni Eropa yang dikeluarkan oleh Komisioner Informasi Inggris, sebagaimana tercantum dalam Lampiran 5 pada DPA ini.

2. PEMBERITAHUAN KEPATUHAN

Tanpa mengurangi kewajiban Stellar Cyber ​​berdasarkan Bagian 4.3 (Instruksi dan Kewajiban Klien) dari DPA atau hak atau kewajiban lain dari masing-masing Pihak berdasarkan Perjanjian ini, Stellar Cyber ​​akan segera memberi tahu Klien jika, dan sejauh pemberitahuan tersebut tidak dilarang oleh Hukum Eropa, menurut pendapat Stellar Cyber: (a) Hukum Eropa melarang Stellar Cyber ​​untuk mematuhi suatu instruksi; (b) suatu instruksi tidak sesuai dengan Hukum Perlindungan Data Eropa; atau (c) Stellar Cyber ​​tidak dapat mematuhi suatu instruksi. Jika Klien adalah pengolah data, Klien akan segera meneruskan kepada pengendali data yang relevan setiap pemberitahuan yang diberikan oleh Stellar Cyber ​​berdasarkan Bagian ini.

3. TRANSFER DATA

3.1. Transfer Terbatas; Mekanisme Utama. Apabila pemrosesan Data Pribadi Klien merupakan Transfer Terbatas, Stellar Cyber ​​akan terlebih dahulu mengandalkan Mekanisme Transfer Alternatif untuk memberikan dasar hukum bagi Transfer Terbatas tersebut, dengan ketentuan bahwa mekanisme tersebut telah diadopsi oleh Stellar Cyber ​​dan tersedia serta sah untuk Transfer Terbatas tersebut. Atas permintaan Klien, Stellar Cyber ​​akan memberikan informasi tentang Mekanisme Transfer Alternatif yang diandalkannya.

3.2. Klausul Kontrak Standar (SCC) sebagai Alternatif. Jika dan sejauh tidak ada Mekanisme Transfer Alternatif yang tersedia, diadopsi, atau berlaku untuk Transfer Terbatas — termasuk jika Mekanisme Transfer Alternatif yang diandalkan Stellar Cyber ​​dibatalkan atau ditangguhkan atau dengan cara lain berhenti memberikan dasar hukum untuk Transfer Terbatas — SCC akan berlaku (sesuai dengan apakah Klien adalah pengendali dan/atau pengolah data) sehubungan dengan Transfer Terbatas tersebut antara Stellar Cyber ​​dan Klien. Jika GDPR Inggris berlaku untuk Transfer Terbatas, SCC dilengkapi dan diubah oleh IDTA Inggris yang tercantum dalam Lampiran 5. Jika FDPA Swiss berlaku untuk Transfer Terbatas, SCC dilengkapi dengan amandemen Swiss yang tercantum di akhir Lampiran 4.

3.3. Informasi Mengenai Transfer Terbatas. Stellar Cyber ​​akan memberikan informasi kepada Klien yang relevan dengan Transfer Terbatas sebagaimana dijelaskan dalam Bagian 7.4 (Audit dan Catatan) dari DPA.

3.4. Audit SCC. Jika SCC berlaku sebagaimana dijelaskan dalam Bagian 3.2 Modul 1 ini, Stellar Cyber ​​akan mengizinkan Klien, atau auditor independen yang ditunjuk oleh Klien, untuk melakukan audit sebagaimana dijelaskan dalam SCC tersebut dan, selama audit, menyediakan semua informasi yang dipersyaratkan oleh SCC tersebut, sesuai dengan Bagian 7.4 (Audit dan Catatan) dari DPA.

3.5. Tidak Ada Modifikasi terhadap SCC. Tidak ada satu pun dalam Perjanjian ini (termasuk Lampiran 3 ini) yang dimaksudkan untuk memodifikasi atau bertentangan dengan SCC apa pun atau merugikan hak atau kebebasan mendasar subjek data berdasarkan Hukum Perlindungan Data Eropa.

3.6. Prioritas Klausul Kontrak Standar (SCC). Sejauh SCC berlaku dan terdapat konflik atau ketidaksesuaian antara SCC mana pun dan bagian lain dari Perjanjian ini, termasuk Lampiran ini, maka SCC akan berlaku.

MODUL 2: HUKUM PERLINDUNGAN DATA NEGARA BAGIAN AS

1. DEFINISI TAMBAHAN

1.1. “CCPA” berarti Undang-Undang Privasi Konsumen California tahun 2018, sebagaimana telah diubah, termasuk sebagaimana telah diubah oleh Undang-Undang Hak Privasi California tahun 2020, beserta semua peraturan pelaksanaannya.

1.2. “CPA” berarti Undang-Undang Privasi Colorado, Colo. Rev. Stat. §§ 6-1-1301 et seq., dan semua peraturan pelaksanaannya.

1.3. “CTDPA” berarti Undang-Undang Privasi Data Connecticut dan semua peraturan pelaksanaannya.

1.4. “UCPA” berarti Undang-Undang Privasi Konsumen Utah, Utah Code Ann. §§ 13-61-101 et seq., dan semua peraturan pelaksanaannya.

1.5. “VCDPA” berarti Undang-Undang Perlindungan Data Konsumen Virginia, Va. Code Ann. §§ 59.1-575 et seq., dan semua peraturan pelaksanaannya.

1.6. “Hukum Perlindungan Data AS” berarti , sebagaimana berlaku, CCPA, CPA, CTDPA, UCPA, VCDPA, dan semua hukum dan peraturan lain yang berkaitan dengan perlindungan data, pemrosesan data pribadi, privasi, dan/atau komunikasi elektronik yang berlaku dari waktu ke waktu di Amerika Serikat.

2. LARANGAN

Tanpa mengurangi kewajiban Stellar Cyber ​​berdasarkan Bagian 4.3 (Instruksi dan Kewajiban Klien) dari DPA, sehubungan dengan pemrosesan Data Klien sesuai dengan CCPA, Stellar Cyber ​​tidak akan, kecuali diizinkan berdasarkan Hukum Perlindungan Data AS: (a) menjual atau membagikan Data Klien; (b) menyimpan, menggunakan, atau mengungkapkan Data Klien untuk tujuan apa pun selain yang ditentukan dalam Perjanjian dan DPA; (c) menyimpan, menggunakan, atau mengungkapkan Data Klien untuk tujuan komersial apa pun selain tujuan bisnis yang ditentukan dalam Perjanjian dan DPA, termasuk dalam pelayanan bisnis yang berbeda; (d) menyimpan, menggunakan, atau mengungkapkan Data Klien di luar hubungan bisnis langsung antara Stellar Cyber ​​dan Klien; atau (e) menggabungkan atau memperbarui Data Klien dengan informasi pribadi lain yang diterima Stellar Cyber ​​dari atau atas nama pihak ketiga atau dikumpulkan dari interaksinya sendiri dengan konsumen. Stellar Cyber ​​menyatakan bahwa mereka memahami batasan dalam Bagian 2 ini dan akan mematuhinya.

3. PEMBERITAHUAN KEPATUHAN

Tanpa mengurangi kewajiban Stellar Cyber ​​berdasarkan Bagian 4.3 (Instruksi dan Kewajiban Klien) dari DPA, atau hak atau kewajiban lain dari salah satu Pihak berdasarkan Perjanjian ini, Stellar Cyber ​​akan memberi tahu Klien jika, menurut pendapat Stellar Cyber, Stellar Cyber ​​tidak dapat memenuhi kewajibannya berdasarkan Hukum Perlindungan Data AS, kecuali pemberitahuan tersebut dilarang oleh hukum yang berlaku.

4. DATA YANG TELAH DIHILANGKAN IDENTITASNYA

Jika Data Klien berisi data yang telah dianonimkan, Stellar Cyber ​​akan (a) mengambil langkah-langkah yang wajar untuk memastikan informasi tersebut tidak dapat dikaitkan dengan konsumen; (b) secara publik berkomitmen untuk memproses data yang telah dianonimkan hanya dalam bentuk yang telah dianonimkan dan tidak berupaya untuk mengidentifikasi kembali informasi tersebut; dan (c) secara kontraktual mewajibkan setiap penerima data yang telah dianonimkan untuk mematuhi persyaratan tersebut di atas dan Hukum Perlindungan Data AS.

5. PERBAIKAN KLIEN

Stellar Cyber ​​memberikan hak kepada Klien, setelah pemberitahuan yang wajar, untuk mengambil langkah-langkah yang wajar dan tepat untuk menghentikan dan memperbaiki setiap dan semua penggunaan Data Klien yang tidak sah.

Para Pihak sepakat bahwa klausul kontrak standar yang dilampirkan pada Keputusan Pelaksanaan Komisi (UE) 2021/914 tanggal 4 Juni 2021 (“SCC UE yang Disetujui”) dengan ini dimasukkan sepenuhnya ke dalam DPA ini melalui referensi ini, dengan: Modul Dua (pengontrol ke pengolah) berlaku jika Klien adalah pengontrol Data Pribadi Klien dan Modul Tiga (pengolah ke pengolah) berlaku jika Klien adalah pengolah Data Pribadi Klien; klausul penyesuaian opsional dalam Klausul 7 disertakan; dalam Klausul 9(a), Opsi 2 (otorisasi tertulis umum) dipilih dengan jangka waktu pemberitahuan minimum tiga puluh (30) hari; bahasa opsional dalam Klausul 11(a) tidak disertakan; dalam Klausul 17, hukum Belanda dipilih; dalam Klausul 18(b), pengadilan Belanda dipilih; dan Lampiran dianggap lengkap dengan informasi yang tercantum dalam Lampiran pada Lampiran 4 ini. Teks yang tercantum di bawah ini disediakan hanya untuk kenyamanan Para Pihak; Apabila terjadi konflik atau ketidaksesuaian antara teks yang tercantum di bawah ini dan Klausul Kontrak Standar Uni Eropa yang Disetujui sebagaimana diselesaikan sesuai dengan paragraf ini, maka Klausul Kontrak Standar Uni Eropa yang Disetujui akan berlaku.

BAGIAN I

Klausul 1

Tujuan dan ruang lingkup

Tujuan dari klausul kontrak standar ini adalah untuk memastikan kepatuhan terhadap persyaratan Peraturan (UE) 2016/679 Parlemen Eropa dan Dewan tanggal 27 April 2016 tentang perlindungan orang perseorangan sehubungan dengan pemrosesan data pribadi dan tentang pergerakan bebas data tersebut (Peraturan Perlindungan Data Umum) untuk transfer data pribadi ke negara ketiga.

Para Pihak: (i) orang perseorangan atau badan hukum, otoritas publik, lembaga atau badan lain (“entitas”) yang mentransfer data pribadi, sebagaimana tercantum dalam Lampiran IA (masing-masing “pengekspor data”), dan (ii) entitas di negara ketiga yang menerima data pribadi dari pengekspor data, secara langsung atau tidak langsung melalui entitas lain yang juga merupakan Pihak dalam Klausul ini, sebagaimana tercantum dalam Lampiran IA (masing-masing “pengimpor data”) telah menyetujui klausul kontrak standar ini (“Klausul”).

Klausul ini berlaku sehubungan dengan transfer data pribadi sebagaimana ditentukan dalam Lampiran IB

Lampiran pada Klausul ini yang memuat Lampiran yang dirujuk di dalamnya merupakan bagian yang tidak terpisahkan dari Klausul ini.

Klausul 2

Dampak dan Ketidakberubahan Klausul

Klausul-klausul ini menetapkan perlindungan yang sesuai, termasuk hak subjek data yang dapat ditegakkan dan upaya hukum yang efektif, sesuai dengan Pasal 46(1) dan Pasal 46(2)(c) Peraturan (EU) 2016/679 dan, sehubungan dengan transfer data dari pengendali ke pengolah dan/atau pengolah ke pengolah, klausul kontraktual standar sesuai dengan Pasal 28(7) Peraturan (EU) 2016/679, dengan ketentuan bahwa klausul tersebut tidak dimodifikasi, kecuali untuk memilih Modul yang sesuai atau untuk menambah atau memperbarui informasi dalam Lampiran. Hal ini tidak menghalangi Para Pihak untuk memasukkan klausul kontraktual standar yang ditetapkan dalam Klausul-klausul ini dalam kontrak yang lebih luas dan/atau untuk menambahkan klausul lain atau perlindungan tambahan, dengan ketentuan bahwa hal tersebut tidak bertentangan, secara langsung atau tidak langsung, dengan Klausul-klausul ini atau merugikan hak atau kebebasan mendasar subjek data.

Klausul ini tidak mengurangi kewajiban yang harus dipatuhi oleh pengekspor data berdasarkan Peraturan (UE) 2016/679.

Klausul 3

Penerima manfaat pihak ketiga

Subjek data dapat menggunakan dan menegakkan Klausul ini, sebagai penerima manfaat pihak ketiga, terhadap pengekspor data dan/atau pengimpor data, dengan pengecualian sebagai berikut: (i) Klausul 1, Klausul 2, Klausul 3, Klausul 6, Klausul 7; (ii) Klausul 8 — Modul Satu: Klausul 8.5(e) dan Klausul 8.9(b); Modul Dua: Klausul 8.1(b), 8.9(a), (c), (d) dan (e); Modul Tiga: Klausul 8.1(a), (c) dan (d) dan Klausul 8.9(a), (c), (d), (e), (f) dan (g); Modul Empat: Klausul 8.1(b) dan Klausul 8.3(b); (iii) Klausul 9 — Modul Dua: Klausul 9(a), (c), (d) dan (e); Modul Tiga: Klausul 9(a), (c), (d) dan (e); (iv) Klausul 12 — Modul Satu: Klausul 12(a) dan (d); Modul Dua dan Tiga: Klausul 12(a), (d) dan (f); (v) Klausul 13; (vi) Klausul 15.1(c), (d) dan (e); (vii) Klausul 16(e); (viii) Klausul 18 — Modul Satu, Dua dan Tiga: Klausul 18(a) dan (b); Modul Empat: Klausul 18.

Paragraf (a) tidak mengurangi hak subjek data berdasarkan Peraturan (UE) 2016/679.

Klausul 4

Interpretasi

Apabila Klausul ini menggunakan istilah yang didefinisikan dalam Peraturan (UE) 2016/679, istilah tersebut akan mempunyai arti yang sama seperti dalam Peraturan tersebut.

Klausul ini harus dibaca dan ditafsirkan berdasarkan ketentuan Peraturan (UE) 2016/679.

Klausul ini tidak boleh ditafsirkan dengan cara yang bertentangan dengan hak dan kewajiban yang diatur dalam Peraturan (UE) 2016/679.

Klausul 5

Hirarki

Dalam hal terjadi pertentangan antara Klausul ini dengan ketentuan perjanjian terkait antara Para Pihak, yang ada pada saat Klausul ini disetujui atau ditandatangani setelahnya, maka Klausul ini yang berlaku.

Klausul 6

Deskripsi transfer

Rincian transfer, dan khususnya kategori data pribadi yang ditransfer dan tujuan transfernya, ditentukan dalam Lampiran IB.

Klausul 7 — Opsional

Klausul docking

Entitas yang bukan Pihak pada Klausul ini dapat, dengan persetujuan Para Pihak, mengaksesi Klausul ini kapan saja, baik sebagai pengekspor data atau sebagai pengimpor data, dengan melengkapi Lampiran dan menandatangani Lampiran IA.

Setelah menyelesaikan Lampiran dan menandatangani Lampiran IA, entitas yang mengaksesi akan menjadi Pihak pada Klausul ini dan memiliki hak dan kewajiban sebagai pengekspor data atau pengimpor data sesuai dengan penunjukannya dalam Lampiran IA.

Entitas yang mengaksesi tidak mempunyai hak atau kewajiban yang timbul berdasarkan Klausul ini sejak periode sebelum menjadi Pihak.

BAGIAN II — KEWAJIBAN PARA PIHAK

Klausul 8

Perlindungan perlindungan data

Eksportir data menjamin bahwa ia telah menggunakan upaya yang wajar untuk memastikan bahwa importir data mampu, melalui penerapan tindakan teknis dan organisasi yang tepat, untuk memenuhi kewajibannya berdasarkan Klausul ini.

MODUL SATU: Transfer pengontrol ke pengontrol

8.1 Batasan tujuan

Pengimpor data hanya boleh memproses data pribadi untuk tujuan spesifik transfer tersebut, sebagaimana tercantum dalam Lampiran IB. Pengimpor data hanya boleh memproses data pribadi untuk tujuan lain jika: (i) telah memperoleh persetujuan sebelumnya dari subjek data; (ii) diperlukan untuk pembentukan, pelaksanaan, atau pembelaan klaim hukum dalam konteks proses administrasi, peraturan, atau peradilan tertentu; atau (iii) diperlukan untuk melindungi kepentingan vital subjek data atau orang lain.

8.2 Transparansi

Untuk memungkinkan subjek data secara efektif menggunakan hak-hak mereka sesuai dengan Klausul 10, pengimpor data wajib memberitahukan kepada mereka, baik secara langsung maupun melalui pengekspor data, tentang identitas dan detail kontaknya; tentang kategori data pribadi yang diproses; tentang hak untuk memperoleh salinan Klausul ini; dan, jika bermaksud untuk meneruskan data pribadi tersebut, tentang penerima atau kategori penerima, tujuan dari penerusan tersebut dan dasar hukumnya sesuai dengan Klausul 8.7. Kewajiban ini tidak berlaku jika subjek data sudah memiliki informasi tersebut atau jika penyediaan informasi tersebut terbukti tidak mungkin atau akan melibatkan upaya yang tidak proporsional, dalam hal ini pengimpor data wajib, sejauh mungkin, membuat informasi tersebut tersedia untuk umum. Atas permintaan, Para Pihak wajib menyediakan salinan Klausul ini kepada subjek data secara gratis, dengan tunduk pada penyuntingan yang sesuai untuk melindungi rahasia dagang atau informasi rahasia lainnya. Paragraf-paragraf ini tidak mengurangi kewajiban pengekspor data berdasarkan Pasal 13 dan 14 Peraturan (EU) 2016/679.

8.3 Akurasi dan minimisasi data

Masing-masing Pihak wajib memastikan bahwa data pribadi tersebut akurat dan, jika perlu, selalu diperbarui, dan wajib mengambil setiap langkah yang wajar untuk memastikan bahwa data yang tidak akurat dihapus atau diperbaiki tanpa penundaan. Apabila suatu Pihak mengetahui bahwa data pribadi yang telah ditransfer atau diterimanya tidak akurat atau sudah kadaluarsa, Pihak tersebut wajib memberitahukan Pihak lainnya tanpa penundaan yang tidak semestinya. Pengimpor data wajib memastikan bahwa data pribadi tersebut memadai, relevan, dan terbatas pada apa yang diperlukan sehubungan dengan tujuan pemrosesan.

8.4 Keterbatasan penyimpanan

Pengimpor data wajib menyimpan data pribadi tidak lebih lama dari yang diperlukan untuk tujuan pemrosesan data tersebut, dan wajib menerapkan langkah-langkah teknis atau organisasi yang sesuai untuk memastikan kepatuhan terhadap kewajiban ini, termasuk penghapusan atau anonimisasi data dan semua cadangan data pada akhir periode penyimpanan.

8.5 Keamanan pemrosesan

Pengimpor data dan, selama transmisi, juga pengekspor data wajib menerapkan langkah-langkah teknis dan organisasi yang tepat untuk memastikan keamanan data pribadi, termasuk perlindungan terhadap pelanggaran data pribadi, dengan mempertimbangkan perkembangan teknologi terkini, biaya implementasi, serta sifat, ruang lingkup, konteks, dan tujuan pemrosesan dan risiko yang terlibat. Para Pihak telah menyepakati langkah-langkah yang tercantum dalam Lampiran II, dan pengimpor data wajib melakukan pemeriksaan berkala untuk memastikan bahwa mereka terus memberikan tingkat keamanan yang memadai. Pengimpor data wajib memastikan bahwa orang-orang yang berwenang untuk memproses data pribadi tunduk pada kerahasiaan. Jika terjadi pelanggaran data pribadi, pengimpor data wajib mengambil langkah-langkah yang tepat untuk mengatasinya dan, jika kemungkinan akan menimbulkan risiko terhadap hak dan kebebasan individu, wajib segera memberitahukan baik pengekspor data maupun otoritas pengawas yang berwenang sesuai dengan Klausul 13, dengan informasi yang dipersyaratkan oleh Klausul; jika kemungkinan akan menimbulkan risiko tinggi, pengimpor data juga wajib memberitahukan subjek data yang terkena dampak kecuali telah diterapkan langkah-langkah mitigasi. Pengimpor data wajib mendokumentasikan semua fakta relevan yang berkaitan dengan pelanggaran tersebut.

8.6 Data sensitif

Apabila transfer tersebut melibatkan data sensitif, pengimpor data wajib menerapkan pembatasan khusus dan/atau pengamanan tambahan yang disesuaikan dengan sifat spesifik data dan risiko yang terkait.

8.7 Transfer selanjutnya

Pengimpor data tidak boleh mengungkapkan data pribadi kepada pihak ketiga yang berlokasi di luar Uni Eropa kecuali pihak ketiga tersebut terikat atau setuju untuk terikat oleh Klausul ini, berdasarkan Modul yang sesuai, atau kecuali salah satu kondisi yang tercantum dalam Klausul 8.7(i)–(vi) dari SCC Uni Eropa yang Disetujui berlaku (termasuk transfer ke negara yang memadai, perlindungan yang sesuai berdasarkan Pasal 46 atau 47, instrumen yang mengikat yang memastikan perlindungan yang setara, kebutuhan untuk klaim hukum, perlindungan kepentingan vital, atau persetujuan eksplisit subjek data). Setiap transfer lebih lanjut tunduk pada kepatuhan pengimpor data terhadap semua perlindungan lain berdasarkan Klausul ini, khususnya pembatasan tujuan.

8.8 Pemrosesan di bawah wewenang pengimpor data

Importir data harus memastikan bahwa setiap orang yang bertindak di bawah wewenangnya, termasuk pemroses, memproses data hanya berdasarkan instruksinya.

8.9 Dokumentasi dan kepatuhan

Masing-masing Pihak harus dapat menunjukkan kepatuhan terhadap kewajibannya berdasarkan Klausul ini. Secara khusus, pengimpor data harus menyimpan dokumentasi yang sesuai tentang kegiatan pemrosesan yang dilakukan di bawah tanggung jawabnya dan harus menyediakan dokumentasi tersebut kepada otoritas pengawas yang berwenang jika diminta.

MODUL DUA: Transfer pengontrol ke prosesor

8.1 Instruksi

Pengimpor data hanya akan memproses data pribadi berdasarkan instruksi tertulis dari pengekspor data. Pengekspor data dapat memberikan instruksi tersebut selama masa berlaku kontrak. Pengimpor data wajib segera memberitahu pengekspor data jika tidak dapat mengikuti instruksi tersebut.

8.2 Batasan tujuan

Importir data akan memproses data pribadi hanya untuk tujuan transfer tertentu, sebagaimana ditetapkan dalam Lampiran IB, kecuali atas instruksi lebih lanjut dari eksportir data.

8.3 Transparansi

Atas permintaan, pengekspor data wajib menyediakan salinan Klausul ini, termasuk Lampiran yang telah dilengkapi oleh Para Pihak, kepada subjek data secara gratis, dengan tunduk pada penyuntingan yang sesuai. Klausul ini tidak mengurangi kewajiban pengekspor data berdasarkan Pasal 13 dan 14 Peraturan (EU) 2016/679.

8.4 Akurasi

Jika pengimpor data mengetahui bahwa data pribadi yang diterimanya tidak akurat, atau sudah kedaluwarsa, ia wajib memberitahukan kepada pengekspor data tanpa penundaan yang tidak perlu. Dalam hal ini, pengimpor data wajib bekerja sama dengan pengekspor data untuk menghapus atau memperbaiki data tersebut.

8.5 Durasi pemrosesan dan penghapusan atau pengembalian data

Pemrosesan oleh pengimpor data hanya akan berlangsung selama jangka waktu yang ditentukan dalam Lampiran IB. Setelah berakhirnya penyediaan layanan pemrosesan, pengimpor data, atas pilihan pengekspor data, akan menghapus semua data pribadi yang diproses atas nama pengekspor data dan menyatakan bahwa hal tersebut telah dilakukan, atau mengembalikan semua data pribadi tersebut dan menghapus salinan yang ada. Hingga data dihapus atau dikembalikan, pengimpor data akan terus memastikan kepatuhan terhadap Klausul ini. Jika hukum setempat melarang pengembalian atau penghapusan, pengimpor data menjamin akan terus memastikan kepatuhan dan hanya akan memproses data sejauh dan selama yang dipersyaratkan oleh hukum setempat tersebut.

8.6 Keamanan pemrosesan

Pengimpor data dan, selama transmisi, juga pengekspor data wajib menerapkan langkah-langkah teknis dan organisasi yang tepat untuk memastikan keamanan data, dengan mempertimbangkan perkembangan teknologi terkini, biaya, serta sifat, ruang lingkup, konteks, dan tujuan pemrosesan dan risiko yang terlibat. Pengimpor data setidaknya wajib menerapkan langkah-langkah yang tercantum dalam Lampiran II dan wajib melakukan pemeriksaan secara berkala. Pengimpor data hanya wajib memberikan akses ke data pribadi kepada anggota stafnya sejauh yang benar-benar diperlukan dan wajib memastikan kerahasiaannya. Jika terjadi pelanggaran data pribadi, pengimpor data wajib mengambil langkah-langkah yang tepat untuk mengatasinya dan wajib memberitahukan kepada pengekspor data tanpa penundaan yang tidak perlu setelah mengetahuinya, dengan informasi yang dipersyaratkan oleh Klausul ini; jika tidak semua informasi tersedia sekaligus, informasi tersebut dapat diberikan secara bertahap tanpa penundaan lebih lanjut yang tidak perlu. Pengimpor data wajib bekerja sama dan membantu pengekspor data untuk mematuhi kewajibannya berdasarkan Peraturan (EU) 2016/679, khususnya untuk memberitahukan kepada otoritas pengawas yang berwenang dan subjek data yang terkena dampak.

8.7 Data sensitif

Apabila transfer tersebut melibatkan data sensitif, pengimpor data wajib menerapkan pembatasan khusus dan/atau pengamanan tambahan sebagaimana dijelaskan dalam Lampiran IB.

8.8 Transfer selanjutnya

Pengimpor data hanya boleh mengungkapkan data pribadi kepada pihak ketiga berdasarkan instruksi tertulis dari pengekspor data. Selain itu, data hanya boleh diungkapkan kepada pihak ketiga yang berlokasi di luar Uni Eropa jika pihak ketiga tersebut terikat atau setuju untuk terikat oleh Klausul ini, berdasarkan Modul yang sesuai, atau jika salah satu kondisi dalam Klausul 8.8(i)–(iv) berlaku (kecukupan, perlindungan yang memadai berdasarkan Pasal 46 atau 47, kebutuhan untuk klaim hukum, atau perlindungan kepentingan vital). Setiap transfer lebih lanjut tunduk pada kepatuhan pengimpor data terhadap semua perlindungan lain berdasarkan Klausul ini, khususnya pembatasan tujuan.

8.9 Dokumentasi dan kepatuhan

Pengimpor data wajib segera dan secara memadai menangani pertanyaan dari pengekspor data yang berkaitan dengan pemrosesan berdasarkan Klausul ini. Para Pihak harus dapat menunjukkan kepatuhan terhadap Klausul ini, dan pengimpor data wajib menyimpan dokumentasi yang sesuai. Pengimpor data wajib menyediakan kepada pengekspor data semua informasi yang diperlukan untuk menunjukkan kepatuhan dan wajib mengizinkan serta berkontribusi pada audit, dalam interval yang wajar atau jika ada indikasi ketidakpatuhan; pengekspor data dapat melakukan audit sendiri atau menugaskan auditor independen, dan dapat mempertimbangkan sertifikasi yang relevan yang dimiliki oleh pengimpor data. Para Pihak wajib menyediakan hasil audit kepada otoritas pengawas yang berwenang atas permintaan.

MODUL TIGA: Transfer prosesor ke prosesor

8.1 Instruksi

Pengekspor data telah memberitahu pengimpor data bahwa mereka bertindak sebagai pengolah data berdasarkan instruksi dari pengendali data, yang akan diberikan oleh pengekspor data kepada pengimpor data sebelum pemrosesan. Pengimpor data hanya akan memproses data pribadi berdasarkan instruksi tertulis dari pengendali data sebagaimana dikomunikasikan oleh pengekspor data, dan instruksi tertulis tambahan apa pun dari pengekspor data yang tidak bertentangan dengan instruksi pengendali data. Pengimpor data akan segera memberitahu pengekspor data jika mereka tidak dapat mengikuti instruksi tersebut. Pengekspor data menjamin bahwa mereka telah memberlakukan kewajiban perlindungan data yang sama kepada pengimpor data sebagaimana yang tercantum dalam kontrak atau tindakan hukum lainnya antara pengendali data dan pengekspor data.

8.2 Batasan tujuan

Pengimpor data hanya boleh memproses data pribadi untuk tujuan spesifik transfer tersebut, sebagaimana tercantum dalam Lampiran IB, kecuali atas instruksi lebih lanjut dari pengendali data (sebagaimana dikomunikasikan oleh pengekspor data) atau dari pengekspor data.

8.3 – 8.4 Transparansi dan akurasi

Atas permintaan, pengekspor data wajib menyediakan salinan Klausul ini kepada subjek data secara gratis, dengan beberapa penyuntingan yang sesuai. Jika pengimpor data mengetahui bahwa data pribadi tersebut tidak akurat atau sudah kadaluwarsa, ia wajib segera memberitahukan kepada pengekspor data dan bekerja sama untuk memperbaiki atau menghapus data tersebut.

8.5 Durasi pemrosesan dan penghapusan atau pengembalian data

Pemrosesan hanya akan dilakukan selama jangka waktu yang ditentukan dalam Lampiran IB. Setelah berakhirnya penyediaan layanan pemrosesan, pengimpor data, atas pilihan pengekspor data, akan menghapus atau mengembalikan semua data pribadi yang diproses atas nama pengendali dan menghapus salinan yang ada, dan akan terus memastikan kepatuhan terhadap Klausul ini sampai data tersebut dihapus atau dikembalikan. Jika hukum setempat melarang pengembalian atau penghapusan, pengimpor data menjamin bahwa mereka akan terus memastikan kepatuhan dan hanya memproses data sejauh dan selama yang dipersyaratkan oleh hukum setempat tersebut.

8.6 Keamanan pemrosesan

Para Pihak wajib menerapkan langkah-langkah teknis dan organisasi yang tepat untuk memastikan keamanan data, dengan mempertimbangkan perkembangan teknologi terkini, biaya, serta sifat, ruang lingkup, konteks, dan tujuan pemrosesan dan risiko yang terkait. Pengimpor data setidaknya wajib menerapkan langkah-langkah dalam Lampiran II, memberikan akses personel hanya jika benar-benar diperlukan, memastikan kerahasiaan, dan jika terjadi pelanggaran data pribadi, mengambil langkah-langkah yang tepat dan memberitahukan kepada pengekspor data (dan, jika sesuai dan memungkinkan, kepada pengendali data) tanpa penundaan yang tidak semestinya dengan informasi yang dipersyaratkan oleh Klausul ini. Pengimpor data wajib bekerja sama dan membantu pengekspor data agar pengendali data dapat memberitahukan kepada otoritas pengawas yang berwenang dan subjek data yang terkena dampak.

8.7 – 8.8 Data sensitif dan transfer selanjutnya

Apabila transfer tersebut melibatkan data sensitif, pengimpor data wajib menerapkan pembatasan khusus dan/atau perlindungan tambahan yang tercantum dalam Lampiran IB. Pengimpor data hanya boleh mengungkapkan data pribadi kepada pihak ketiga berdasarkan instruksi tertulis dari pengendali data sebagaimana dikomunikasikan oleh pengekspor data, dan hanya kepada pihak ketiga di luar Uni Eropa apabila pihak ketiga tersebut terikat atau setuju untuk terikat oleh Klausul ini, berdasarkan Modul yang sesuai, atau apabila kecukupan, perlindungan yang memadai berdasarkan Pasal 46 atau 47, kebutuhan untuk klaim hukum, atau perlindungan kepentingan vital berlaku. Setiap transfer selanjutnya tunduk pada kepatuhan terhadap semua perlindungan lain berdasarkan Klausul ini, khususnya pembatasan tujuan.

8.9 Dokumentasi dan kepatuhan

Pengimpor data wajib segera dan memadai menangani pertanyaan dari pengekspor data atau pengendali data, menyimpan dokumentasi yang sesuai, menyediakan semua informasi yang diperlukan untuk menunjukkan kepatuhan kepada pengekspor data (yang wajib memberikannya kepada pengendali data), dan mengizinkan serta berkontribusi pada audit oleh pengekspor data (termasuk atas instruksi pengendali data), dalam interval yang wajar atau jika terdapat indikasi ketidakpatuhan. Pengekspor data dapat melakukan audit sendiri atau menugaskan auditor independen. Para Pihak wajib menyediakan hasil audit kepada otoritas pengawas yang berwenang atas permintaan.

MODUL EMPAT: Transfer prosesor ke pengontrol

8.1 Instruksi

Pengekspor data hanya boleh memproses data pribadi berdasarkan instruksi tertulis dari pengimpor data yang bertindak sebagai pengendalinya, dan harus segera memberi tahu pengimpor data jika tidak dapat mengikuti instruksi tersebut, termasuk jika instruksi tersebut melanggar Peraturan (EU) 2016/679 atau hukum perlindungan data Uni Eropa atau Negara Anggota lainnya. Pengimpor data harus menahan diri dari tindakan apa pun yang akan mencegah pengekspor data memenuhi kewajibannya berdasarkan Peraturan (EU) 2016/679. Setelah berakhirnya penyediaan layanan pemrosesan, pengekspor data, atas pilihan pengimpor data, harus menghapus atau mengembalikan semua data pribadi yang diproses atas namanya dan menghapus salinan yang ada.

8.2 – 8.3 Keamanan pemrosesan dan kerahasiaan

Para Pihak wajib menerapkan langkah-langkah teknis dan organisasi yang tepat untuk memastikan keamanan data, termasuk selama transmisi. Pengekspor data wajib membantu pengimpor data dalam memastikan keamanan yang memadai dan, jika terjadi pelanggaran data pribadi terkait data yang diprosesnya, wajib memberitahu pengimpor data tanpa penundaan yang tidak semestinya dan membantu dalam mengatasinya. Pengekspor data wajib memastikan bahwa orang-orang yang berwenang untuk memproses data pribadi tersebut terikat pada kerahasiaan.

Klausul 9

Penggunaan subprosesor

MODUL DUA dan MODUL TIGA

PILIHAN 2: OTORISASI TERTULIS UMUM. Pengimpor data memiliki otorisasi umum dari pengekspor data (Modul Dua) ​​atau pengendali (Modul Tiga) untuk melibatkan sub-prosesor dari daftar yang disepakati. Pengimpor data wajib secara khusus memberitahukan kepada pengekspor data (atau, untuk Modul Tiga, kepada pengendali, dan wajib memberitahukan kepada pengekspor data) secara tertulis tentang setiap perubahan yang direncanakan pada daftar tersebut melalui penambahan atau penggantian sub-prosesor setidaknya tiga puluh (30) hari sebelumnya, sehingga memberikan waktu yang cukup untuk mengajukan keberatan sebelum keterlibatan sub-prosesor, dan wajib memberikan informasi yang diperlukan untuk memungkinkan pelaksanaan hak untuk mengajukan keberatan. Daftar sub-prosesor yang diizinkan tercantum dalam Lampiran III, yang wajib diperbarui oleh Para Pihak.

Apabila pengimpor data menggunakan sub-prosesor, maka hal tersebut harus dilakukan melalui kontrak tertulis yang pada intinya memuat kewajiban perlindungan data yang sama dengan yang mengikat pengimpor data berdasarkan Klausul ini, termasuk hak penerima manfaat pihak ketiga bagi subjek data. Dengan mematuhi Klausul ini, pengimpor data memenuhi kewajibannya berdasarkan Klausul 8.8. Pengimpor data harus memastikan bahwa sub-prosesor mematuhi kewajiban yang berlaku bagi pengimpor data.

Pengimpor data wajib menyediakan, atas permintaan pengekspor data (atau, untuk Modul Tiga, pengekspor data atau pengendali data), salinan perjanjian sub-prosesor dan setiap amandemen selanjutnya, dengan tunduk pada penyuntingan yang sesuai.

Pengimpor data tetap bertanggung jawab penuh kepada pengekspor data atas pelaksanaan kewajiban sub-prosesor dan wajib memberitahukan kepada pengekspor data jika terjadi kegagalan sub-prosesor dalam memenuhi kewajibannya.

Pengimpor data wajib menyepakati klausul penerima manfaat pihak ketiga dengan sub-prosesor, di mana jika pengimpor data secara faktual telah hilang, berhenti beroperasi secara hukum, atau menjadi pailit, pengekspor data berhak untuk mengakhiri kontrak sub-prosesor dan menginstruksikan sub-prosesor untuk menghapus atau mengembalikan data pribadi. Persyaratan ini dapat dipenuhi oleh sub-prosesor dengan menyetujui Klausul-klausul ini berdasarkan Modul yang sesuai sesuai dengan Klausul 7.

Klausul 10

Hak subjek data

MODUL DUA: Transfer pengontrol ke prosesor

Pengimpor data wajib segera memberitahukan kepada pengekspor data tentang setiap permintaan yang diterimanya dari subjek data, dan tidak boleh menanggapi permintaan tersebut sendiri kecuali diizinkan oleh pengekspor data.

Pengimpor data wajib membantu pengekspor data dalam memenuhi kewajibannya untuk menanggapi permintaan subjek data berdasarkan Peraturan (EU) 2016/679. Para Pihak wajib menetapkan dalam Lampiran II langkah-langkah teknis dan organisasi yang sesuai untuk memberikan bantuan tersebut, serta ruang lingkup dan cakupan bantuan yang dibutuhkan.

Dalam memenuhi kewajibannya, pengimpor data wajib mematuhi instruksi dari pengekspor data.

MODUL TIGA: Transfer prosesor ke prosesor

Pengimpor data wajib segera memberitahukan kepada pengekspor data dan, jika perlu, kepada pengendali data tentang setiap permintaan yang diterima dari subjek data, tanpa memberikan tanggapan kecuali diizinkan oleh pengendali data.

Pengimpor data wajib membantu, jika perlu bekerja sama dengan pengekspor data, pengendali data dalam memenuhi kewajibannya untuk menanggapi permintaan subjek data. Para Pihak akan menetapkan dalam Lampiran II langkah-langkah yang sesuai serta cakupan dan luasnya bantuan yang dibutuhkan.

Dalam memenuhi kewajibannya, pengimpor data wajib mematuhi instruksi dari pengendali data, sebagaimana yang dikomunikasikan oleh pengekspor data.

Klausul 11

Memperbaiki

Pengimpor data wajib memberitahukan subjek data, dalam format yang transparan dan mudah diakses, melalui pemberitahuan individual atau di situs webnya, tentang titik kontak yang berwenang untuk menangani pengaduan, dan wajib segera menangani setiap pengaduan. Dalam hal terjadi perselisihan antara subjek data dan Pihak terkait kepatuhan terhadap Klausul ini, Pihak tersebut wajib berupaya sebaik mungkin untuk menyelesaikan masalah tersebut secara damai dan tepat waktu, dan Para Pihak wajib saling memberi informasi dan bekerja sama. Apabila subjek data menggunakan hak penerima manfaat pihak ketiga, pengimpor data wajib menerima keputusan subjek data untuk mengajukan pengaduan kepada otoritas pengawas yang berwenang atau untuk merujuk perselisihan tersebut ke pengadilan yang berwenang sesuai dengan arti Klausul 18. Subjek data dapat diwakili oleh badan, organisasi, atau asosiasi nirlaba berdasarkan Pasal 80(1) Peraturan (EU) 2016/679.

Klausul 12

Kewajiban

MODUL DUA dan MODUL TIGA

Masing-masing Pihak bertanggung jawab kepada Pihak lain atas segala kerugian yang ditimbulkannya kepada Pihak lain akibat pelanggaran terhadap Klausul ini.

Importir data bertanggung jawab kepada subjek data, dan subjek data berhak menerima ganti rugi, atas segala kerugian material maupun non-material yang disebabkan oleh importir data atau sub-prosesornya kepada subjek data dengan melanggar hak-hak penerima manfaat pihak ketiga berdasarkan Klausul ini.

Meskipun demikian, pengekspor data bertanggung jawab kepada subjek data atas setiap kerugian materiil atau non-materiil yang disebabkan oleh pengekspor data atau pengimpor data (atau sub-prosesornya) karena melanggar hak penerima manfaat pihak ketiga, tanpa mengurangi tanggung jawab pengekspor data (dan, jika ia adalah pengolah yang bertindak untuk pengendali, pengendali) berdasarkan Peraturan (EU) 2016/679.

Apabila pengekspor data bertanggung jawab atas kerugian yang disebabkan oleh pengimpor data (atau sub-prosesornya), maka pengekspor data berhak untuk menuntut kembali dari pengimpor data bagian kompensasi yang sesuai. Apabila lebih dari satu Pihak bertanggung jawab, maka semua Pihak yang bertanggung jawab akan bertanggung jawab secara bersama-sama dan secara tanggung jawab bersama, dengan hak kontribusi di antara mereka. Pengimpor data tidak dapat menggunakan perilaku sub-prosesor untuk menghindari tanggung jawabnya sendiri.

Klausul 13

Pengawasan

Otoritas pengawas yang berwenang diidentifikasi dalam Lampiran IC. Pengimpor data setuju untuk tunduk pada yurisdiksi dan bekerja sama dengan otoritas pengawas yang berwenang dalam setiap prosedur yang bertujuan untuk memastikan kepatuhan terhadap Klausul ini, termasuk menanggapi pertanyaan, menjalani audit, dan mematuhi langkah-langkah yang diadopsi oleh otoritas tersebut, dan akan memberikan konfirmasi tertulis bahwa tindakan yang diperlukan telah diambil.

BAGIAN III — HUKUM DAN KEWAJIBAN LOKAL DALAM KASUS AKSES OLEH OTORITAS PUBLIK

Klausul 14

Hukum dan praktik setempat yang memengaruhi kepatuhan terhadap Klausul

Para Pihak menjamin bahwa mereka tidak memiliki alasan untuk meyakini bahwa hukum dan praktik di negara tujuan ketiga yang berlaku untuk pemrosesan data pribadi oleh pengimpor data, termasuk persyaratan untuk mengungkapkan data pribadi atau tindakan yang mengizinkan akses oleh otoritas publik, mencegah pengimpor data untuk memenuhi kewajibannya berdasarkan Klausul ini. Dalam memberikan jaminan ini, Para Pihak telah mempertimbangkan secara khusus: keadaan khusus transfer; hukum dan praktik negara tujuan ketiga yang relevan mengingat keadaan tersebut, dan batasan serta perlindungan yang berlaku; dan setiap perlindungan kontraktual, teknis, atau organisasi yang relevan yang diterapkan untuk melengkapi perlindungan berdasarkan Klausul ini. Pengimpor data menjamin bahwa mereka telah melakukan upaya terbaik untuk memberikan informasi yang relevan kepada pengekspor data dan akan terus bekerja sama. Para Pihak setuju untuk mendokumentasikan penilaian tersebut dan menyediakannya kepada otoritas pengawas yang berwenang jika diminta. Pengimpor data setuju untuk segera memberi tahu pengekspor data jika mereka memiliki alasan untuk meyakini bahwa mereka tunduk atau telah tunduk pada hukum atau praktik yang tidak sesuai dengan persyaratan ini; Setelah pemberitahuan tersebut, atau jika pengekspor data memiliki alasan untuk meyakini bahwa pengimpor data tidak lagi dapat memenuhi kewajibannya, pengekspor data harus segera mengidentifikasi langkah-langkah yang tepat dan, jika tidak ada perlindungan yang memadai yang dapat dipastikan (atau jika diinstruksikan oleh otoritas pengawas yang berwenang), harus menangguhkan transfer dan dapat mengakhiri kontrak sejauh menyangkut pemrosesan data pribadi berdasarkan Klausul ini.

Klausul 15

Kewajiban pengimpor data jika terjadi akses oleh otoritas publik

15.1 Pemberitahuan

Pengimpor data setuju untuk segera memberitahukan kepada pengekspor data dan, jika memungkinkan, kepada subjek data jika menerima permintaan yang mengikat secara hukum dari otoritas publik untuk pengungkapan data pribadi yang ditransfer sesuai dengan Klausul ini, atau mengetahui adanya akses langsung oleh otoritas publik, termasuk informasi yang ditentukan dalam Klausul ini. Jika dilarang untuk memberitahukan, pengimpor data setuju untuk melakukan upaya terbaiknya untuk mendapatkan pengecualian dari larangan tersebut dan mendokumentasikan upaya tersebut. Jika diizinkan, pengimpor data wajib memberikan kepada pengekspor data, secara berkala, informasi yang relevan tentang permintaan yang diterima, dan wajib menyimpan informasi tersebut selama jangka waktu kontrak dan menyediakannya kepada otoritas pengawas yang berwenang jika diminta.

15.2 Tinjauan legalitas dan minimalisasi data

Pengimpor data setuju untuk meninjau legalitas setiap permintaan pengungkapan, untuk menantang permintaan tersebut jika berdasarkan alasan yang wajar disimpulkan bahwa permintaan tersebut melanggar hukum, dan untuk mengejar kemungkinan banding, mencari tindakan sementara dan tidak mengungkapkan data pribadi yang diminta sampai diwajibkan untuk melakukannya berdasarkan aturan prosedural yang berlaku. Pengimpor data setuju untuk mendokumentasikan penilaian hukumnya dan setiap tantangan dan, sejauh diizinkan, menyediakannya kepada pengekspor data dan otoritas pengawas yang berwenang. Pengimpor data setuju untuk memberikan jumlah informasi minimum yang diizinkan saat menanggapi permintaan, berdasarkan interpretasi yang wajar.

BAGIAN IV — KETENTUAN AKHIR

Klausul 16

Ketidakpatuhan terhadap Klausul dan Pemutusan Hubungan Kerja

Pengimpor data wajib segera memberitahu pengekspor data jika tidak dapat mematuhi Klausul ini. Apabila pengimpor data melanggar atau tidak dapat mematuhi, pengekspor data wajib menangguhkan transfer hingga kepatuhan kembali dipastikan atau kontrak diakhiri. Pengekspor data dapat mengakhiri kontrak, sejauh menyangkut pemrosesan data pribadi berdasarkan Klausul ini, apabila: (i) telah menangguhkan transfer dan kepatuhan tidak dipulihkan dalam waktu yang wajar dan dalam hal apa pun dalam waktu satu bulan setelah penangguhan; (ii) pengimpor data melakukan pelanggaran substansial atau berulang; atau (iii) pengimpor data gagal mematuhi keputusan yang mengikat dari pengadilan atau otoritas pengawas yang berwenang. Data pribadi yang ditransfer sebelum pengakhiran, atas pilihan pengekspor data, akan dikembalikan atau dihapus seluruhnya, termasuk salinannya, dan pengimpor data wajib mengesahkan penghapusan tersebut. Masing-masing Pihak dapat mencabut persetujuannya untuk terikat apabila Komisi Eropa mengadopsi keputusan kecukupan yang mencakup transfer tersebut atau Peraturan (EU) 2016/679 menjadi bagian dari kerangka hukum negara tempat data tersebut ditransfer.

Klausul 17

Peraturan pemerintah

Klausul-klausul ini diatur oleh hukum Negara Anggota Uni Eropa, dengan ketentuan bahwa hukum tersebut mengizinkan hak penerima manfaat pihak ketiga. Para Pihak sepakat bahwa hukum yang berlaku adalah hukum Belanda.

Klausul 18

Pilihan forum dan yurisdiksi

Setiap perselisihan yang timbul dari Klausul ini akan diselesaikan oleh pengadilan Negara Anggota Uni Eropa, dan Para Pihak sepakat bahwa pengadilan tersebut adalah pengadilan Belanda. Subjek data juga dapat mengajukan tuntutan hukum terhadap pengekspor data dan/atau pengimpor data di hadapan pengadilan Negara Anggota tempat ia berdomisili tetap. Para Pihak sepakat untuk tunduk pada yurisdiksi pengadilan tersebut.

LAMPIRAN PADA KLAUSUL KONTRAKTUAL STANDAR

LAMPIRAN IA — DAFTAR PIHAK

Pengekspor data: Klien, sebagaimana tercantum dalam Perjanjian. Pengimpor data: Stellar Cyber ​​Inc., sebagaimana tercantum dalam Perjanjian.

LAMPIRAN IB — DESKRIPSI TRANSFER

Kategori subjek data: semua karyawan, agen, penasihat, subkontraktor, atau kontak person dari mitra saluran, pelanggan, calon pelanggan, mitra bisnis, dan vendor Klien, serta pengguna lain dari titik akhir Klien tempat Hasil Kerja diinstal, atau pengguna resmi lain dari Hasil Kerja tersebut.

Kategori data pribadi yang ditransfer:

Rincian perusahaan klien; jabatan, alamat email, nomor telepon, dan nama perwakilan klien; informasi penagihan; informasi bisnis; dan data atau informasi lain yang klien putuskan untuk berikan kepada Stellar Cyber ​​melalui atau sehubungan dengan Hasil Pekerjaan atau cara lain apa pun.

Data pengguna dan titik akhir: ID agen, nama titik akhir, ID pengguna direktori aktif, nama pengguna, aplikasi yang terinstal (waktu instalasi, ukuran, penerbit, dan versi), nama pengguna SMTP, dan data konfigurasi terkait integrasi direktori aktif.

Jalur lengkap file (hanya akan menyertakan data pribadi jika nama file yang ditentukan oleh Klien menyertakan data pribadi).

Data jaringan (alamat IP jaringan internal, alamat IP publik, alamat MAC).

Berkas yang direkonstruksi: berkas yang direkonstruksi melalui jaringan.

Pengaturan sistem yang diterima dari Konsol Manajemen (nama pengguna, email, dan nomor telepon).

Informasi ancaman (jalur file, tanda tangan deteksi intrusi, yang mungkin mencakup nama pengguna, alamat IP, dan nama file).

Pemantauan jaringan langsung (URL, tajuk URL, cap waktu).

Di mana Klien memicu fungsionalitas Hasil Kerja yang memungkinkan Klien atau administrator Klien untuk menyebabkan file diambil, dikumpulkan, atau dikirimkan ke Stellar Cyber ​​untuk dianalisis.

Data sensitif yang ditransfer: lihat Lampiran 1 (Rincian Pemrosesan Data Klien), “Kategori data khusus.” Frekuensi transfer: berkelanjutan selama jangka waktu Perjanjian. Tujuan transfer data dan pemrosesan lebih lanjut: Stellar Cyber ​​ditugaskan untuk menyediakan Hasil Kerja kepada Klien, yang melibatkan pemrosesan data pribadi sebagaimana diperlukan untuk memberikan Hasil Kerja dan mematuhi Perjanjian dan DPA ini. Jangka waktu penyimpanan: durasi pemrosesan akan berlangsung hingga berakhirnya atau penghentian Perjanjian, setelah itu Data Klien dihapus sesuai dengan Bagian 9 (Penghapusan Data). Untuk transfer ke sub-prosesor: Stellar Cyber ​​menggunakan sub-prosesor untuk mendukung lingkungan infrastruktur, telekomunikasi dan jaringan, serta penyimpanan data dan pengiriman konten; data pribadi diproses oleh sub-prosesor untuk tujuan dan jangka waktu perjanjian layanan Stellar Cyber ​​atau dokumen pemesanan yang relevan. Lihat daftar sub-prosesor di Lampiran III.

Frekuensi transfer: terus menerus selama jangka waktu Perjanjian.

LAMPIRAN IC — OTORITAS PENGAWASAN YANG BERKOMPETEN

Untuk hal-hal yang berkaitan dengan transfer data sesuai dengan Peraturan (EU) 2016/679: Otoritas Perlindungan Data Pribadi Belanda (https://www.autoriteitpersoonsgegevens.nl/en).

LAMPIRAN II — TINDAKAN TEKNIS DAN ORGANISASI

Langkah-langkah teknis dan organisasi yang diterapkan oleh pengimpor data adalah yang tercantum dalam Lampiran 2 (Langkah-Langkah Keamanan) pada Perjanjian Perlindungan Data ini. Untuk transfer ke sub-prosesor, Stellar Cyber ​​mensyaratkan sub-prosesornya untuk mematuhi langkah-langkah teknis dan organisasi yang secara substansial setara dengan yang diadopsi oleh Stellar Cyber.

LAMPIRAN III — DAFTAR SUB-PROSESOR

Pengontrol telah mengizinkan penggunaan sub-prosesor yang terdapat dan diperbarui pada bagian 6.3, versi terbarunya dapat diakses di https://stellarcyber.ai/dpa/subprocessors (yang dapat diperbarui oleh Stellar Cyber ​​dari waktu ke waktu sesuai dengan DPA ini).

TAMBAHAN SWISS

Ketentuan-ketentuan berikut ini melengkapi Klausul Kontrak Standar hanya jika dan sejauh Klausul Kontrak Standar berlaku sehubungan dengan transfer data yang tunduk pada Undang-Undang Perlindungan Data Federal tanggal 25 September 2020 (Swiss): istilah “Negara Anggota” akan ditafsirkan sedemikian rupa sehingga memungkinkan subjek data di Swiss untuk menggunakan hak-hak mereka berdasarkan Klausul ini di tempat kediaman tetap mereka (Swiss) sesuai dengan Klausul 18(c) dari Klausul ini.

LAMPIRAN 5:

LAMPIRAN TRANSFER DATA INTERNASIONAL INGGRIS

Addendum ini telah diterbitkan oleh Komisioner Informasi untuk Pihak yang Melakukan Transfer Terbatas. Komisioner Informasi menganggap bahwa Addendum ini memberikan Perlindungan yang Tepat untuk Transfer Terbatas ketika addendum ini dibuat sebagai kontrak yang mengikat secara hukum.

Bagian 1: Tabel

Tabel 1 (Para Pihak): Eksportir (yang mengirimkan Transfer Terbatas) dan Importir (yang menerima Transfer Terbatas) dan rinciannya sebagaimana tercantum dalam Perjanjian. Tanggal Mulai: Tanggal Efektif Perjanjian.

Tabel 2 (SCC, Modul, dan Klausul Terpilih): Versi SCC Uni Eropa yang Disetujui yang dilampirkan pada Addendum ini, termasuk Informasi Lampiran, adalah versi yang tercantum dalam Lampiran 4 pada DPA ini.

Tabel 3 (Informasi Lampiran): “Informasi Lampiran” berarti informasi yang harus diberikan untuk modul yang dipilih sebagaimana tercantum dalam Lampiran Klausul Kontrak Standar Uni Eropa yang Disetujui (selain Para Pihak), dan yang untuk Addendum ini tercantum dalam Lampiran Klausul Kontrak Standar dalam Lampiran 4 pada DPA ini.

Tabel 4 (Mengakhiri Addendum ini ketika Addendum yang Disetujui berubah): Baik Importir maupun Eksportir dapat mengakhiri Addendum ini sebagaimana diatur dalam Bagian 19 dari Klausul Wajib.

Bagian 2: Klausul Wajib

Masing-masing Pihak setuju untuk terikat oleh syarat dan ketentuan yang tercantum dalam Addendum ini, sebagai imbalan atas persetujuan Pihak lainnya untuk juga terikat oleh Addendum ini. Meskipun Lampiran 1.A. dan Klausul 7 dari SCC Uni Eropa yang Disetujui memerlukan tanda tangan dari Para Pihak, untuk tujuan melakukan Transfer Terbatas, Para Pihak dapat menyepakati Addendum ini dengan cara apa pun yang membuatnya mengikat secara hukum bagi Para Pihak dan memungkinkan subjek data untuk menegakkan hak-hak mereka sebagaimana tercantum dalam Addendum ini. Menyepakati Addendum ini akan memiliki efek yang sama dengan menandatangani SCC Uni Eropa yang Disetujui dan bagian mana pun dari SCC Uni Eropa yang Disetujui.

Penafsiran dari Addendum ini

Apabila Addendum ini menggunakan istilah-istilah yang didefinisikan dalam SCC Uni Eropa yang Disetujui, istilah-istilah tersebut akan memiliki arti yang sama seperti dalam SCC Uni Eropa yang Disetujui. Selain itu: “Addendum” berarti Addendum Transfer Data Internasional ini, yang menggabungkan SCC Uni Eropa Addendum; “SCC Uni Eropa Addendum” berarti versi SCC Uni Eropa yang Disetujui yang dilampirkan pada Addendum ini, termasuk Informasi Lampiran; “Pengamanan yang Tepat” berarti standar perlindungan atas data pribadi dan hak-hak subjek data yang dipersyaratkan oleh Hukum Perlindungan Data Inggris ketika melakukan Transfer Terbatas yang mengandalkan klausul perlindungan data standar berdasarkan Pasal 46(2)(d) GDPR Inggris; “Addendum yang Disetujui” berarti templat Addendum yang dikeluarkan oleh ICO dan diajukan kepada Parlemen berdasarkan pasal 119A Undang-Undang Perlindungan Data 2018 pada tanggal 2 Februari 2022, sebagaimana direvisi berdasarkan Pasal 18; “SCC Uni Eropa yang Disetujui” berarti Klausul Kontrak Standar yang tercantum dalam Lampiran Keputusan Pelaksanaan Komisi (UE) 2021/914 tanggal 4 Juni 2021; “ICO” berarti Komisioner Informasi; “Transfer Terbatas” berarti transfer yang tercakup dalam Bab V GDPR Inggris; “Inggris” berarti Kerajaan Inggris Raya dan Irlandia Utara; “Hukum Perlindungan Data Inggris” berarti semua hukum yang berkaitan dengan perlindungan data, pemrosesan data pribadi, privasi dan/atau komunikasi elektronik yang berlaku dari waktu ke waktu di Inggris, termasuk GDPR Inggris dan Undang-Undang Perlindungan Data 2018; dan “GDPR Inggris” memiliki arti yang diberikan dalam bagian 3 Undang-Undang Perlindungan Data 2018.

Lampiran ini harus selalu ditafsirkan dengan cara yang konsisten dengan Hukum Perlindungan Data Inggris dan agar memenuhi kewajiban Para Pihak untuk memberikan Perlindungan yang Tepat. Jika ada ketentuan dalam Lampiran SCC Uni Eropa yang mengubah SCC Uni Eropa yang Disetujui dengan cara yang tidak diizinkan berdasarkan SCC Uni Eropa yang Disetujui atau Lampiran yang Disetujui, perubahan tersebut tidak akan dimasukkan dan ketentuan yang setara dari SCC Uni Eropa yang Disetujui akan menggantikannya. Jika terdapat ketidakkonsistenan atau konflik antara Hukum Perlindungan Data Inggris dan Lampiran ini, Hukum Perlindungan Data Inggris yang berlaku; dan jika maknanya tidak jelas, makna yang paling sesuai dengan Hukum Perlindungan Data Inggris yang berlaku. Referensi terhadap undang-undang berarti undang-undang tersebut sebagaimana dapat berubah dari waktu ke waktu.

Meskipun Klausul 5 dari SCC Uni Eropa yang Disetujui menetapkan bahwa SCC Uni Eropa yang Disetujui berlaku lebih unggul daripada semua perjanjian terkait, Para Pihak sepakat bahwa, untuk Transfer Terbatas, hierarki dalam Bagian 10 dari Klausul Wajib akan berlaku. Jika terdapat ketidaksesuaian atau konflik antara Addendum yang Disetujui dan Addendum SCC Uni Eropa, Addendum yang Disetujui akan mengesampingkan Addendum SCC Uni Eropa, kecuali jika ketentuan yang bertentangan dalam Addendum SCC Uni Eropa memberikan perlindungan yang lebih besar bagi subjek data, dalam hal ini ketentuan tersebut akan mengesampingkan Addendum yang Disetujui.

Penggabungan dan perubahan pada SCC Uni Eropa

Lampiran ini menggabungkan Lampiran SCC Uni Eropa yang diubah sejauh yang diperlukan sehingga: (a) secara bersama-sama berlaku untuk transfer data yang dilakukan oleh pengekspor data kepada pengimpor data, sejauh Hukum Perlindungan Data Inggris berlaku untuk pemrosesan pengekspor data, dan memberikan Perlindungan yang Tepat untuk transfer tersebut; (b) Bagian 9 hingga 11 dari Klausul Wajib mengesampingkan Klausul 5 (Hierarki) dari Lampiran SCC Uni Eropa; dan (c) Lampiran ini diatur oleh hukum Inggris dan Wales dan setiap sengketa yang timbul darinya diselesaikan oleh pengadilan Inggris dan Wales, kecuali hukum dan/atau pengadilan Skotlandia atau Irlandia Utara telah secara tegas dipilih oleh Para Pihak.

Berikut ini adalah amandemen yang dibuat pada Addendum EU SCC: referensi ke “Klausul” berarti Addendum ini, yang menggabungkan Addendum EU SCC; pada Klausul 2, kata-kata “dan, sehubungan dengan transfer data dari pengendali ke pengolah dan/atau pengolah ke pengolah, klausul kontraktual standar sesuai dengan Pasal 28(7) Peraturan (EU) 2016/679” dihapus; Klausul 6 diganti dengan: “Rincian transfer, dan khususnya kategori data pribadi yang ditransfer dan tujuan transfer tersebut, adalah yang ditentukan dalam Lampiran IB di mana Hukum Perlindungan Data Inggris berlaku untuk pemrosesan eksportir data saat melakukan transfer tersebut”; Klausul 8.7(i) Modul Satu dan Klausul 8.8(i) Modul Dua dan Tiga diganti untuk merujuk pada negara yang mendapat manfaat dari peraturan kecukupan sesuai dengan Bagian 17A GDPR Inggris; Referensi ke “Peraturan (EU) 2016/679” dan “Peraturan tersebut” diganti dengan “Hukum Perlindungan Data Inggris,” dan referensi ke Pasal tertentu diganti dengan Pasal atau Bagian yang setara dari Hukum Perlindungan Data Inggris; referensi ke Peraturan (EU) 2018/1725 dihapus; referensi ke “Uni Eropa,” “Uni,” “UE,” “Negara Anggota UE,” “Negara Anggota” dan “UE atau Negara Anggota” diganti dengan “Inggris”; referensi ke “Klausul 12(c)(i)” pada Klausul 10(b)(i) Modul Satu diganti dengan “Klausul 11(c)(i)”; Klausul 13(a) dan Bagian C Lampiran I tidak digunakan; “otoritas pengawas yang kompeten” dan “otoritas pengawas” diganti dengan “Komisaris Informasi”; Pada Klausul 16(e), subbagian (i) diganti dengan “Sekretaris Negara membuat peraturan berdasarkan Bagian 17A dari Undang-Undang Perlindungan Data 2018 yang mencakup transfer data pribadi yang berlaku untuk Klausul ini”; Klausul 17 diganti dengan “Klausul ini diatur oleh hukum Inggris dan Wales”; dan Klausul 18 diganti dengan “Setiap perselisihan yang timbul dari Klausul ini akan diselesaikan oleh pengadilan Inggris dan Wales. Subjek data juga dapat mengajukan proses hukum terhadap pengekspor data dan/atau pengimpor data di hadapan pengadilan negara mana pun di Inggris Raya. Para Pihak setuju untuk tunduk pada yurisdiksi pengadilan tersebut.” Catatan kaki pada SCC Uni Eropa yang Disetujui tidak menjadi bagian dari Addendum, kecuali catatan kaki 8, 9, 10 dan 11.

Perubahan pada Addendum ini

Para Pihak dapat menyetujui untuk mengubah Klausul 17 dan/atau 18 dari Addendum EU SCC untuk merujuk pada hukum dan/atau pengadilan Skotlandia atau Irlandia Utara, dan dapat mengubah format informasi di Bagian 1: Tabel dengan perjanjian tertulis, dengan ketentuan bahwa perubahan tersebut tidak mengurangi Perlindungan yang Sesuai. Dari waktu ke waktu, ICO dapat menerbitkan Addendum yang Disetujui yang direvisi yang membuat perubahan yang wajar dan proporsional dan/atau mencerminkan perubahan pada Hukum Perlindungan Data Inggris; Addendum ini secara otomatis diubah sebagaimana tercantum dalam Addendum yang Disetujui yang direvisi mulai dari tanggal mulai yang ditentukan. Jika Addendum yang Disetujui yang direvisi, sebagai akibat langsung, menyebabkan Pihak yang dipilih dalam Tabel 4 mengalami peningkatan biaya langsung dan/atau risiko yang substansial, tidak proporsional, dan dapat dibuktikan berdasarkan Addendum (setelah terlebih dahulu mengambil langkah-langkah yang wajar untuk menguranginya), Pihak tersebut dapat mengakhiri Addendum ini pada akhir periode pemberitahuan yang wajar dengan pemberitahuan tertulis yang diberikan sebelum tanggal mulai Addendum yang Disetujui yang direvisi. Para Pihak tidak memerlukan persetujuan dari pihak ketiga mana pun untuk melakukan perubahan pada Addendum ini, tetapi setiap perubahan harus dilakukan sesuai dengan ketentuan-ketentuannya.

JADWAL 6.3