Perjanjian Pemrosesan Data

Perjanjian Pemrosesan Data ("DPA") ini merupakan bagian dari Syarat & Ketentuan antara pelanggan (bisnis yang berlangganan LetsBot, "Anda") dan BOT FOR DIGITAL SOLUTIONS LIMITED, perusahaan yang terdaftar di Inggris dan Wales dengan nomor 15477940, beralamat di 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Britania Raya ("LetsBot", "kami").

Dengan menerima Syarat & Ketentuan, Anda juga mengikatkan diri pada DPA ini, termasuk klausul transfer yang dimasukkan melalui rujukan dalam Lampiran IV hingga VI. Klausul tersebut berlaku secara otomatis bagi setiap pelanggan sejak penerimaan, sebelum Data Pribadi Pelanggan apa pun ditransfer, dan tidak memerlukan tanda tangan.

Salinan bertanda tangan dan dokumen khusus. Atas permintaan melalui support@letsbot.net, kami akan menyediakan salinan DPA ini yang telah kami tandatangani, atau perjanjian maupun dokumen khusus yang dibutuhkan organisasi Anda, seperti seperangkat klausul transfer yang telah diisi.

Urutan prioritas. Jika terjadi pertentangan, klausul transfer dalam Lampiran IV hingga VI yang berlaku terlebih dahulu, kemudian DPA ini, kemudian Syarat & Ketentuan.

Bahasa. Versi bahasa Inggris dari DPA ini yang berlaku; versi bahasa Arab disediakan untuk kemudahan. Untuk klausul standar ANPD Brasil, teks resmi berbahasa Portugis yang berlaku.

• Data Pribadi Pelanggan: data pribadi yang kami proses atas nama Anda dalam menyediakan layanan, termasuk detail kontak Anda, pesan, media, dan pesanan. Rinciannya terdapat dalam Lampiran I.
• Subprosesor: pihak ketiga mana pun yang kami libatkan untuk memproses Data Pribadi Pelanggan.
• Pelanggaran Data Pribadi: pelanggaran keamanan yang menyebabkan perusakan, kehilangan, perubahan, pengungkapan tanpa izin, atau akses terhadap Data Pribadi Pelanggan, baik secara tidak sengaja maupun melanggar hukum.
• Undang-Undang Perlindungan Data: undang-undang yang berlaku atas pemrosesan, termasuk GDPR Uni Eropa, UK GDPR dan Data Protection Act 2018, Undang-Undang Perlindungan Data Pribadi Arab Saudi beserta peraturan pelaksanaannya, LGPD Brasil, serta Undang-Undang Mesir No. 151 Tahun 2020 beserta Peraturan Pelaksanaannya.
• "Pengendali", "prosesor", "subjek data", dan "pemrosesan" memiliki arti sebagaimana dimaksud dalam Undang-Undang Perlindungan Data. "Prosesor" mencakup "operador" menurut LGPD.

1. Anda adalah pengendali Data Pribadi Pelanggan (atau prosesor yang bertindak untuk pengendali lain), dan kami adalah prosesor.
2. Kami memproses Data Pribadi Pelanggan hanya berdasarkan instruksi Anda yang terdokumentasi, termasuk terkait transfer ke negara lain. Instruksi Anda adalah Syarat & Ketentuan, DPA ini, pengaturan yang Anda pilih di panel (seperti kanal, integrasi, fitur AI, dan masa penyimpanan), serta instruksi tertulis lain yang kami sepakati.
3. Jika suatu undang-undang mewajibkan kami memproses Data Pribadi Pelanggan di luar instruksi Anda, kami akan memberi tahu Anda sebelum melakukannya, kecuali undang-undang tersebut melarangnya.
4. Kami akan segera memberi tahu Anda jika kami menilai suatu instruksi melanggar Undang-Undang Perlindungan Data.
5. Anda bertanggung jawab untuk mengumpulkan data secara sah dan memiliki dasar hukum untuk mengirim pesan kepada kontak Anda, termasuk persetujuan apa pun yang diwajibkan oleh Meta atau oleh hukum.
6. Kami tidak menggunakan Data Pribadi Pelanggan untuk kepentingan kami sendiri, tidak menjualnya, dan tidak menggunakannya untuk melatih model AI.

Hanya karyawan dan kontraktor yang memerlukan akses untuk menyediakan, mendukung, atau mengamankan layanan yang dapat mengakses Data Pribadi Pelanggan, dan mereka semua terikat kewajiban untuk menjaga kerahasiaannya.

Orang-orang yang memiliki akses ke Data Pribadi Pelanggan sebagian besar bekerja di Mesir, melalui afiliasi kami Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), berdasarkan instruksi kami dan dengan ketentuan yang perlindungannya tidak lebih rendah daripada DPA ini.

Kami menerapkan langkah-langkah teknis dan organisasi dalam Lampiran II, meninjaunya secara berkala, dan tidak akan menurunkan tingkat perlindungan secara keseluruhan selama masa langganan Anda.

Selain itu, kami berkomitmen untuk:

• melakukan pencadangan terenkripsi atas database ruang kerja: setiap malam untuk ruang kerja berbayar, uji coba, dan gratis (complimentary), serta dengan rotasi 10 hari untuk ruang kerja lainnya, ditambah pencadangan harian atas database akun pusat. Cadangan disimpan di penyimpanan privat, terpisah dari server produksi, di Google Cloud di Amerika Serikat (us-east1), selama 30 hari lalu dihapus;
• menyimpan file media yang dipertukarkan dalam percakapan di penyimpanan yang tidak dapat dijelajahi atau didaftar, dan menyajikannya melalui tautan acak panjang yang sulit ditebak (kecuali foto profil kontak). Siapa pun yang memiliki tautan persisnya dapat membuka file tersebut. Kami sedang memindahkan media ke tautan bertanda tangan yang berlaku terbatas waktu;
• mencatat setiap akses dukungan ke dalam ruang kerja, serta setiap login, di log keamanan ruang kerja tersebut.

1. Otorisasi umum. Anda memberi kami wewenang untuk melibatkan subprosesor yang tercantum di halaman subprosesor kami (Lampiran III).
2. Pemberitahuan sebelumnya. Kami akan memberikan pemberitahuan paling lambat 30 hari sebelum kami menambahkan atau mengganti subprosesor, melalui e-mail kepada semua pihak yang telah berlangganan pemberitahuan dan dengan memperbarui halaman tersebut. Untuk berlangganan, kirim e-mail ke support@letsbot.net dengan subjek "Subprocessor updates".
3. Keberatan. Anda dapat mengajukan keberatan secara tertulis selama masa pemberitahuan atas dasar perlindungan data yang wajar. Kami akan berupaya menyelesaikan keberatan Anda, misalnya dengan tidak menggunakan subprosesor tersebut untuk data Anda. Jika kami tidak dapat melakukannya, Anda dapat mengakhiri bagian layanan yang terdampak dan menerima pengembalian biaya prabayar untuk sisa periodenya.
4. Penggantian darurat. Jika kami harus segera mengganti subprosesor demi melindungi keamanan atau kelangsungan layanan, kami akan memberi tahu Anda sesegera mungkin, dan Anda tetap memiliki hak yang sama untuk mengajukan keberatan.
5. Kewajiban yang setara. Kami mengikat setiap subprosesor pihak ketiga dengan kontrak tertulis yang memuat kewajiban perlindungan data yang tidak lebih rendah daripada DPA ini, dan kami tetap bertanggung jawab kepada Anda atas pelaksanaannya.
6. Integrasi yang Anda pilih, seperti Meta (WhatsApp, Messenger, Instagram), platform e-commerce, dan CRM, bukan merupakan subprosesor kami. Anda yang menghubungkannya, dan mereka memproses data berdasarkan ketentuan mereka sendiri dengan Anda.

1. Kami akan memberi tahu Anda tentang setiap Pelanggaran Data Pribadi yang memengaruhi Data Pribadi Pelanggan tanpa penundaan yang tidak semestinya dan dalam hal apa pun dalam waktu 24 jam sejak kami mengetahuinya. Ini adalah standar kami di setiap negara.
2. Kami mengirimkan pemberitahuan ke alamat e-mail pemilik akun, dan di panel bila memungkinkan. Sejauh informasinya tersedia, pemberitahuan tersebut menjelaskan: sifat dan penyebab pelanggaran; kategori dan perkiraan jumlah subjek data serta catatan data; kemungkinan dampaknya; langkah-langkah yang telah diambil atau diusulkan untuk menanganinya; dan narahubung kami.
3. Jika kami belum memiliki seluruh informasi sekaligus, kami akan menyampaikannya secara bertahap tanpa penundaan yang tidak semestinya, dan memberikan kabar terbaru secara berkala hingga insiden ditutup.
4. Kami akan membantu Anda memenuhi kewajiban Anda sendiri untuk memberi tahu otoritas dan subjek data, termasuk tenggat 72 jam di Uni Eropa, Inggris, dan Arab Saudi, serta tenggat tiga hari kerja di Brasil.
5. Pemberitahuan bukan merupakan pengakuan kesalahan atau tanggung jawab.

1. Jika kami menerima permintaan dari subjek data terkait Data Pribadi Pelanggan, kami akan meneruskannya kepada Anda dalam waktu 48 jam dan tidak akan menjawabnya tanpa otorisasi Anda, selain untuk menyampaikan bahwa permintaan tersebut telah kami teruskan.
2. Panel memungkinkan Anda mengekspor, mengoreksi, dan menghapus kontak, percakapan, dan pesan. Jika alat-alat ini tidak memadai, kami akan memberikan bantuan yang wajar.
3. Bantuan kami memperhitungkan tenggat hukum Anda, termasuk enam hari kerja di Mesir.

Kami akan memberikan informasi yang secara wajar Anda perlukan untuk melakukan penilaian dampak perlindungan data, penilaian risiko transfer, atau konsultasi awal dengan otoritas. Jika hukum mewajibkan Anda membagikan penilaian dampak terkait kepada kami, kami akan menerimanya.

1. Selama masa langganan Anda, Anda dapat, kapan saja, mengekspor data Anda, menghapus satu percakapan mana pun (yang akan menghapus pesan dan medianya), atau menghapus seluruh ruang kerja Anda dari panel. Menyebutkan alasan bersifat opsional.
2. Saat layanan berakhir, data Anda tetap tersedia untuk diekspor selama 30 hari. Saat ruang kerja dihapus, kami menghapus Data Pribadi Pelanggan dari sistem aktif kami dalam waktu 30 hari, termasuk media, salinan arsip, file dan respons tersimpan yang disimpan di penyedia AI kami, serta pesan yang disimpan oleh layanan koneksi kode QR kami. Salinan dalam cadangan kedaluwarsa dalam waktu 30 hari berikutnya.
3. Kami hanya menyimpan apa yang wajib kami simpan menurut hukum, dan terus melindunginya berdasarkan DPA ini hingga data tersebut dihapus.
4. Atas permintaan, kami akan mengonfirmasi penghapusan secara tertulis.

1. Kami akan menyediakan informasi yang diperlukan untuk menunjukkan kepatuhan kami terhadap DPA ini, dan menjawab kuesioner keamanan yang wajar.
2. Jika informasi tersebut tidak memadai, Anda atau auditor independen yang terikat kewajiban kerahasiaan dapat mengaudit kami satu kali setiap 12 bulan, dengan pemberitahuan 30 hari sebelumnya, pada jam kerja, dan tanpa membahayakan data pelanggan lain. Batasan ini tidak berlaku setelah terjadi Pelanggaran Data Pribadi atau apabila audit diwajibkan oleh otoritas.
3. Masing-masing pihak menanggung biayanya sendiri, kecuali audit mengungkap pelanggaran material oleh kami.
4. Kami akan bekerja sama dengan otoritas pengawas yang berwenang, termasuk Saudi Data and AI Authority (SDAIA), apabila mereka memintanya.

1. Lokasi pemrosesan data. Data Pribadi Pelanggan di-hosting di Google Cloud di Amerika Serikat (region us-east1), diakses dari jarak jauh oleh staf kami yang sebagian besar bekerja di Mesir melalui afiliasi kami, dan diproses oleh subprosesor di lokasi yang tercantum di halaman mereka. Seluruh server dan cadangan kami berada di Amerika Serikat; kami tidak menawarkan hosting di region lain mana pun.
2. Mekanisme transfer. Klausul dalam Lampiran IV (Uni Eropa dan Inggris), Lampiran V (Brasil), dan Lampiran VI (Arab Saudi) merupakan bagian dari DPA ini bagi setiap pelanggan, dan mengatur setiap transfer yang tunduk pada undang-undang terkait.
3. Hukum asing yang berlaku bagi kami. Kami adalah perusahaan Inggris yang tunduk pada hukum Inggris. Data di-hosting oleh penyedia asal Amerika Serikat, dan otoritas Amerika Serikat dapat mewajibkan penyedia Amerika Serikat untuk mengungkapkan data berdasarkan hukum Amerika Serikat, termasuk CLOUD Act dan Section 702 dari Foreign Intelligence Surveillance Act. Afiliasi kami di Mesir tunduk pada hukum Mesir. Kami tidak mengetahui adanya ketentuan dalam undang-undang tersebut yang menghalangi kami memenuhi DPA ini, dan akan segera memberi tahu Anda jika hal itu berubah.
4. Permintaan dari otoritas publik. Jika kami menerima permintaan yang mengikat dari otoritas publik untuk mengungkapkan Data Pribadi Pelanggan, kami akan memberi tahu Anda kecuali hukum melarangnya, meminta otoritas tersebut untuk menghubungi Anda, menentang permintaan yang melanggar hukum atau berlebihan, dan hanya mengungkapkan data seminimal yang diwajibkan.

1. Saat Anda mengaktifkan balasan AI, agen AI, transkripsi pesan suara, atau alat AI, kami mengirimkan data yang dibutuhkan fitur tersebut ke salah satu penyedia layanan AI kami, yang merupakan subprosesor di Amerika Serikat: pesan, riwayat percakapan, pesan suara, file pengetahuan dan katalog produk, serta nama dan nomor kontak apabila fitur tersebut menggunakannya.
2. Penyedia layanan AI kami adalah OpenAI, penyedia bawaan, yang selalu menangani transkripsi pesan suara serta penyimpanan dan pencarian file pengetahuan; serta Anthropic (Claude) dan Google (Gemini API), yang dapat kami gunakan untuk menjalankan tugas AI sebagai pengganti OpenAI atau sebagai cadangan, atau untuk menerima sampel permintaan terbatas guna membandingkan kualitas jawaban. Jawaban pembanding tidak pernah dikirimkan kepada pelanggan Anda. Daftar penyedia dan mekanisme transfernya tersedia di halaman subprosesor kami.
3. Berdasarkan ketentuan bisnis mereka, tidak satu pun dari penyedia ini menggunakan data yang dikirim melalui API-nya untuk melatih model mereka (lihat ketentuan bisnis OpenAI, Ketentuan Komersial Anthropic, dan Ketentuan Tambahan Gemini API), dan kami tidak menyetujui penggunaan apa pun untuk pelatihan. Setiap penyedia menyimpan salinan sementara untuk pemantauan penyalahgunaan sesuai ketentuannya, dan OpenAI menyimpan respons yang dihasilkannya berdasarkan kebijakan data API-nya.
4. Kami tidak menggunakan Data Pribadi Pelanggan untuk melatih model apa pun. Apa yang dipelajari fitur "belajar dari riwayat" tetap berada di dalam ruang kerja Anda.
5. Fitur-fitur ini bersifat opsional dan dapat Anda nonaktifkan kapan saja. Saat Anda menghapus ruang kerja, kami menghapus file yang disimpan untuk ruang kerja tersebut di OpenAI.
6. Anda bertanggung jawab untuk memberi tahu pelanggan Anda bahwa balasan dapat dihasilkan oleh AI apabila diwajibkan oleh hukum.

1. Staf dukungan kami masuk ke ruang kerja Anda hanya untuk memberikan dukungan.
2. Setiap akses dicatat di log keamanan ruang kerja Anda, yang dapat Anda tinjau.
3. Jika Anda mengaktifkan autentikasi dua faktor untuk ruang kerja Anda, staf kami hanya dapat masuk dengan persetujuan eksplisit dari Anda.

Tanggung jawab masing-masing pihak berdasarkan DPA ini tunduk pada batasan dalam Syarat & Ketentuan, kecuali tanggung jawab yang tidak dapat dibatasi oleh hukum, dan tanpa memengaruhi hak subjek data berdasarkan klausul transfer dalam Lampiran IV hingga VI, yang tidak dibatasi oleh ketentuan apa pun dalam DPA ini maupun Syarat & Ketentuan.

1. DPA ini berlaku selama kami memproses Data Pribadi Pelanggan.
2. Kami dapat memperbarui DPA ini untuk menyesuaikan dengan hukum atau layanan. Kami akan memberikan pemberitahuan 30 hari sebelumnya atas setiap perubahan material, dan tidak ada perubahan yang akan menurunkan tingkat perlindungan selama masa langganan berbayar Anda.
3. DPA ini diatur oleh hukum Inggris dan Wales, dan pengadilannya memiliki yurisdiksi, kecuali bahwa setiap set klausul transfer dalam Lampiran IV hingga VI diatur oleh hukum dan pengadilan yang ditetapkan di dalamnya.

Untuk Undang-Undang Perlindungan Data Pribadi dan Peraturan Pelaksanaannya (Pasal 17):

• Tujuan, kategori data, dan jangka waktu pemrosesan tercantum dalam Lampiran I.
• Kami memberi tahu Anda tentang pelanggaran tanpa penundaan yang tidak semestinya dan dalam waktu 24 jam (bagian 7).
• Hukum asing yang berlaku bagi kami, beserta dampaknya, dijelaskan dalam bagian 12.
• Jika hukum Arab Saudi mewajibkan kami melakukan pengungkapan, kami akan memberi tahu Anda tentang hal tersebut.
• Subprosesor dan penerima lainnya diidentifikasi dalam Lampiran III, dan kami memberi tahu Anda sebelum ada perubahan, dengan hak untuk mengajukan keberatan (bagian 6).
• Kami meneruskan permintaan subjek data dalam waktu 48 jam (bagian 8), dan menerima penilaian serta audit (bagian 11).
• Klausul transfer: Lampiran VI.

Untuk LGPD, kami bertindak sebagai "operador":

• Kami memproses data berdasarkan instruksi Anda (Pasal 39) dan menyimpan catatan kegiatan pemrosesan (Pasal 37).
• Kami menerapkan langkah-langkah keamanan dalam Lampiran II, dan kewajiban keamanan kami tetap berlaku setelah pemrosesan berakhir (Pasal 46 dan 47).
• Kami memberi tahu Anda tentang pelanggaran dalam waktu 24 jam agar Anda dapat memberi tahu ANPD dan subjek data dalam waktu tiga hari kerja (Pasal 48).
• Kami menghapus data saat pemrosesan berakhir, berdasarkan bagian 10 (Pasal 16).
• Tidak ada ketentuan dalam DPA ini yang membatasi tanggung jawab kami kepada subjek data apabila LGPD membebankannya.
• Klausul transfer: Lampiran V. Atas permintaan, kami menyediakan ringkasan dalam bahasa Portugis mengenai transfer internasional yang dapat Anda publikasikan untuk pelanggan Anda.

Untuk Undang-Undang No. 151 Tahun 2020 beserta Peraturan Pelaksanaannya:

• Afiliasi kami di Mesir adalah Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), nomor daftar perusahaan 223572 (kantor pendaftaran Cairo Investment), Tower 22, lantai 3, Masaken Sidi Abdel Rahim, Seger, Tanta 1st, Gharbia, Mesir.
• Kami memperoleh setiap lisensi atau izin yang diwajibkan oleh undang-undang untuk pemrosesan dan transfer lintas batas yang kami lakukan sebelum mengandalkannya, serta menunjuk petugas pelindungan data yang terdaftar pada Pusat Pelindungan Data Pribadi (Personal Data Protection Center).
• Selain memberi tahu Anda dalam waktu 24 jam, kami memberi tahu Pusat Pelindungan Data Pribadi mengenai pelanggaran data dalam waktu 72 jam apabila undang-undang mewajibkan kami melakukannya sebagai pemroses, dengan berkoordinasi dengan Anda.
• Kami bekerja sama dengan Anda untuk menjawab permintaan subjek data dalam waktu enam hari kerja.
• Anda bertanggung jawab untuk memperoleh persetujuan subjek data apabila diwajibkan oleh undang-undang, termasuk persetujuan atas transfer ke luar Mesir.

DPA ini memuat ketentuan yang diwajibkan oleh Pasal 28(3) GDPR UE dan GDPR Inggris: instruksi (bagian 3), kerahasiaan (bagian 4), keamanan (bagian 5 dan Lampiran II), sub-pemroses (bagian 6), bantuan atas permintaan subjek data (bagian 8) serta atas keamanan, pelanggaran data, dan penilaian (bagian 5, 7, dan 9), penghapusan dan pengembalian (bagian 10), serta informasi dan audit (bagian 11).

Inggris, tempat kami didirikan, tercakup dalam keputusan kecukupan (adequacy decision) Komisi Eropa. Meskipun demikian, Lampiran IV (Klausul Kontrak Standar UE dan Adendum Inggris) diberlakukan untuk setiap pelanggan dan mengatur setiap transfer Data Pribadi Pelanggan yang tidak diizinkan dengan cara lain oleh GDPR UE atau GDPR Inggris, termasuk transfer lanjutan kami ke Amerika Serikat.

Langkah-langkah berikut telah diterapkan saat ini:

• Enkripsi saat transit: TLS 1.3 di edge Cloudflare dengan HSTS, serta sertifikat TLS di server asal.
• Enkripsi saat disimpan: enkripsi bawaan Google Cloud dengan kunci yang dikelola Google untuk disk dan bucket penyimpanan, ditambah enkripsi tingkat aplikasi untuk token akses kanal, rahasia integrasi dan webhook, rahasia autentikasi dua faktor, jawaban survei, dan catatan persetujuan.
• Kata sandi dan token: kata sandi di-hash dengan bcrypt; token API disimpan dalam bentuk hash.
• Isolasi: basis data terpisah untuk setiap ruang kerja.
• Jaringan: basis data dan cache tidak dapat dijangkau dari internet; perlindungan DDoS dan web application firewall dari Cloudflare; perlindungan bot Turnstile pada formulir publik.
• Penguatan server: isolasi akun CageFS, firewall dan pemindaian malware Imunify360, serta patch keamanan kernel secara langsung (KernelCare).
• Kontrol akses: peran dan izin per pengguna, pengaman login terpisah untuk alat administrasi internal, autentikasi dua faktor yang tersedia untuk setiap ruang kerja, serta pembatasan IP login.
• Pencatatan log: log keamanan untuk setiap ruang kerja yang mencakup login dan percobaan login yang gagal, perubahan autentikasi dua faktor dan peran, akses tim dukungan, serta rotasi kunci API.
• Integrasi: verifikasi tanda tangan pada data masuk dari Meta, Salla, dan Zid, serta rahasia penandatanganan terpisah untuk setiap webhook keluar yang baru.
• Penyimpanan privat: dokumen, lampiran e-mail, rekaman panggilan, cadangan, dan ruang kerja yang diarsipkan disimpan di bucket penyimpanan privat dengan akses publik diblokir.
• Media percakapan: disimpan di penyimpanan yang tidak dapat dijelajahi atau didaftar isinya, dan disajikan melalui tautan acak yang panjang dan sulit ditebak (kecuali foto profil kontak); peralihan ke tautan bertanda tangan yang berlaku terbatas waktu sedang berlangsung.
• Cadangan: pencadangan setiap malam untuk basis data ruang kerja berbayar, uji coba, dan komplimenter, rotasi 10 hari untuk ruang kerja lainnya, serta pencadangan harian basis data akun pusat; disimpan selama 30 hari di penyimpanan privat di Amerika Serikat (us-east1).
• Penghapusan: setiap pelanggan dapat menghapus seluruh ruang kerja dari panel, termasuk medianya, salinan arsipnya, dan file AI di OpenAI; menghapus sebuah percakapan akan menghapus pesan dan medianya.
• Minimalisasi data: payload platform yang masuk dihapus setelah 14 hari, log server setelah 14 hari, dan rekaman panggilan setelah 90 hari secara default.
• Pemantauan: pemantauan uptime eksternal, serta pemantauan internal atas memori, basis data, sesi, dan antrean dengan peringatan real-time, di mana nomor telepon dan alamat e-mail disamarkan.

Daftar sub-pemroses terkini, beserta data yang mereka proses, lokasi mereka, dan pengaman transfernya, dipublikasikan di halaman sub-pemroses kami dan merupakan bagian dari DPA ini.

Klausul Kontrak Standar yang diadopsi melalui Keputusan Pelaksanaan Komisi (UE) 2021/914 diberlakukan melalui rujukan:

• Modul Dua (pengendali ke pemroses) apabila Anda adalah pengendali, dan Modul Tiga (pemroses ke pemroses) apabila Anda bertindak sebagai pemroses untuk pihak lain.
• Klausul 7 (klausul docking): disertakan.
• Klausul 9(a): Opsi 2 (otorisasi tertulis umum), dengan pemberitahuan 30 hari sebelumnya.
• Klausul 11(a): ketentuan opsional tidak berlaku.
• Klausul 13: otoritas pengawas yang berwenang ditentukan berdasarkan Klausul 13(a) sesuai dengan situasi Anda.
• Klausul 17: Opsi 1, diatur oleh hukum Irlandia. Klausul 18: pengadilan Irlandia.
• Lampiran I.A: para pihak dalam bagian 1 (Anda sebagai pengekspor data, kami sebagai pengimpor data). Lampiran I.B: Lampiran I DPA ini. Lampiran I.C: sebagaimana ditentukan berdasarkan Klausul 13. Lampiran II: Lampiran II DPA ini. Lampiran III: Lampiran III DPA ini.

Untuk transfer yang diatur oleh hukum Inggris, Adendum Transfer Data Internasional atas Klausul Kontrak Standar UE dari ICO diberlakukan melalui rujukan: Tabel 1, para pihak di atas; Tabel 2, klausul yang dipilih di atas; Tabel 3, Lampiran I sampai III; Tabel 4, salah satu pihak dapat mengakhiri Adendum sebagaimana diatur dalam Bagian 19 Adendum tersebut.

Untuk transfer data internasional yang diatur oleh LGPD, dengan menerima Syarat & Ketentuan, para pihak mengadopsi klausul kontrak standar dalam Lampiran II Resolusi CD/ANPD No. 19/2024 secara utuh dan tanpa perubahan apa pun. Teks resmi berbahasa Portugis yang berlaku.

• Bagian I: Anda adalah pengekspor (pengendali) dan kami adalah pengimpor (operator); transfer dijelaskan dalam Lampiran I.
• Bagian III (langkah-langkah keamanan): Lampiran II.
• Bagian IV: tidak ada klausul tambahan.

Tidak ada ketentuan lain dalam DPA ini atau dalam Syarat & Ketentuan yang dapat mengecualikan, mengubah, atau bertentangan dengan klausul-klausul ini.

Untuk transfer data pribadi ke luar Kerajaan, dengan menerima Syarat & Ketentuan, para pihak mengadopsi Klausul Kontrak Standar untuk Transfer Data Pribadi yang diterbitkan oleh Otoritas Data dan Kecerdasan Buatan Saudi (SDAIA), Templat 2 (pengendali ke pemroses), tanpa modifikasi.

• Para pihak: Anda adalah pengekspor dan kami adalah pengimpor.
• Apendiks 1 sampai 3 dari templat: bagian 1, Lampiran I, dan Lampiran II DPA ini.
• Klausul-klausul ini diatur oleh hukum Kerajaan Arab Saudi dan pengadilannya berwenang mengadili, sebagaimana ditetapkan dalam klausul tersebut.
• Kami memberi tahu Anda mengenai pelanggaran data dalam waktu 24 jam, meneruskan permintaan subjek data dalam waktu 48 jam, dan bekerja sama dengan SDAIA dalam setiap audit.
• Kami memberi tahu Anda sub-pemroses di luar Kerajaan mana yang telah menyetujui klausul-klausul ini, dan mana yang belum, sebelum kami mengandalkan mereka untuk data Anda.