Kontrak DPA buat klien Enterprise kamu.

Definisi Para Pihak

Dalam DPA ini, istilah berikut punya arti spesifik:

• Data Controller (Pengendali Data): pihak yang memutuskan tujuan & cara pemrosesan data pribadi. = Klien kamu (atau workspace Owner kalau B2B langsung).
• Data Processor (Prosesor Data): pihak yang memproses data atas nama Controller. = TavKreatif Space (usaha perorangan).
• Sub-processor: pihak ketiga yang dikontrak Processor untuk bantu memproses data (gateway pembayaran, penyimpanan cloud, penyedia AI, dll).
• Data Subject (Subjek Data): individu yang datanya diproses (pemilik akun, klien akhir, talent, dll).
• Data Pribadi: segala informasi yang mengidentifikasi orang, baik langsung maupun tidak langsung (nama, email, IP, perilaku).
• UU PDP: Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Ruang Lingkup Pemrosesan

Tujuan pemrosesan

TavKreatif memproses data pribadi Controller hanya untuk: (a) menyediakan layanan workspace TavKreatif Space; (b) menjalankan fitur yang Controller aktifkan; (c) kepatuhan regulasi; (d) keamanan platform.

Kategori data

• Data identitas: nama, email, no. WA, dan foto profil pengguna yang diundang oleh Controller.
• Data konten: brief, file aset, komentar, dan utas pesan yang Controller buat di workspace.
• Data telemetri: IP, perangkat, dan catatan aktivitas untuk audit dan keamanan.
• Data klien/talent: no. WA klien/talent yang Controller masukin untuk fitur persetujuan dan notifikasi.

Durasi pemrosesan

Selama pelanggan masih berlangganan, ditambah masa pemulihan 90 hari setelah layanan berhenti. Setelah itu data dihapus kecuali ada kewajiban hukum penyimpanan (misalnya faktur 10 tahun).

Hak Data Subject

TavKreatif menyediakan fitur mandiri di Pengaturan agar Data Subject bisa menjalankan haknya (akses, koreksi, hapus, portabilitas, keberatan). Untuk permintaan manual, janji waktu jawaban kami 30 hari.

Daftar Sub-processor

Controller memberi izin umum kepada TavKreatif untuk menggunakan sub-processor berikut. Pemberitahuan 30 hari sebelumnya akan dikirim untuk penambahan atau perubahan sub-processor. Controller boleh mengajukan keberatan, dan kalau keberatannya nggak bisa diselesaikan, boleh mengakhiri DPA tanpa denda. Kolom Kepatuhan di bawah adalah sertifikasi milik masing-masing vendor (bukan sertifikasi TavKreatif).

Security Measures · Technical & Organizational

TavKreatif menerapkan langkah keamanan berikut sesuai praktik keamanan standar industri:

Data Breach · SLA & Prosedur Notifikasi

Kalau terjadi insiden data breach yang impact data Controller, TavKreatif berkomitmen kepada SLA berikut:

Yang termasuk "data breach"

• Kebocoran kerahasiaan: akses tidak sah ke data pribadi.
• Kerusakan keutuhan data: data dirusak atau diubah tanpa izin.
• Gangguan ketersediaan: data hilang atau tidak bisa diakses lebih dari 24 jam.

Insiden kecil yang tidak berdampak ke data pribadi Controller (misalnya salah konfigurasi internal yang beres dalam 5 menit) tidak otomatis memicu SLA ini, tapi tetap dimasukkan ke laporan keamanan triwulanan kalau Controller minta.

Hak Audit Controller

Permintaan informasi audit

Controller bisa meminta informasi kepatuhan dengan menghubungi DPO di dpa@tavkreatif.id. Atas permintaan, TavKreatif menyediakan (sejauh tersedia & tanpa menyangkut data customer lain):

• Catatan akses ke data Controller (siapa, kapan, tindakan apa).
• Daftar sub-processor terkini beserta riwayat perubahannya.
• Ringkasan praktik keamanan yang relevan. Sertifikasi ISO 27001 / SOC 2 menyusul bila sudah tercapai, dan saat ini belum.

Audit virtual

Untuk Controller plan Enterprise, sekali per tahun bisa request audit virtual (via video call) dengan notice 30 hari. Audit dilakukan oleh tim Controller atau auditor pihak ketiga yang disepakati.

Biaya audit ditanggung Controller. TavKreatif menyediakan akses ke dokumen, penelusuran sistem, dan wawancara personel terkait, kecuali yang menyangkut pelanggan lain (bersifat rahasia).

Temuan & perbaikan

Kalau audit menemukan kekurangan, TavKreatif menanggapi temuan itu dan menyepakati rencana remediasi bersama Controller, diprioritaskan sesuai tingkat risiko (temuan kritis didahulukan).

Transfer Data Internasional

Beberapa sub-processor (penyimpanan, database, dan infrastruktur cloud) berada di luar Indonesia. Untuk transfer keluar yurisdiksi Indonesia, TavKreatif menerapkan:

• Pasal 56 UU PDP: memastikan negara tujuan punya tingkat perlindungan setara atau lebih dari Indonesia, atau pakai Standard Contractual Clauses (SCC).
• Standard Contractual Clauses (SCC) dengan vendor di luar Indonesia yang relevan.
• Pembatasan data: hanya mengirim data yang benar-benar diperlukan untuk fungsi sub-processor.
• Enkripsi saat dikirim maupun saat disimpan di semua sub-processor.

Untuk Controller yang wajib menyimpan data di Indonesia (misalnya fintech atau industri yang diatur ketat), kami menyediakan opsi pemasangan di server sendiri pada paket Enterprise, sehingga semua data tetap di server Controller, tidak ada transfer keluar.

Akhir Kontrak & Pengembalian atau Penghapusan Data

Saat DPA atau Layanan utama berakhir (berhenti berlangganan, kontrak diakhiri, dan sejenisnya), Controller bisa pilih:

• Data dikembalikan: TavKreatif mengekspor semua data Controller dalam format JSON, CSV, dan aset dalam bentuk zip. Diberikan dalam 7 hari kerja.
• Data dihapus: semua data Controller dihapus dalam 30 hari, disertai surat keterangan penghapusan yang dikirim ke email Owner.
• Bawaan: kalau Controller nggak memilih, kami kembalikan dulu, baru dihapus setelah konfirmasi terima dari Controller.

Cadangan data dihapus dalam 90 hari setelah penghapusan utama (mengikuti siklus perputaran cadangan).

Kewajiban TavKreatif yang tetap hidup setelah kontrak (kerahasiaan, penyimpanan catatan audit) tetap berlaku setelah DPA berakhir, sesuai durasi yang ditetapkan UU.

Tanda Tangan Para Pihak

DPA ini berlaku saat ditandatangani oleh perwakilan resmi kedua belah pihak. Versi elektronik (PDF dengan tanda tangan digital lewat Privy.id atau VIDA) diakui sah sesuai UU ITE.

Pertanyaan terkait DPA ini hubungin dpa@tavkreatif.id atau privacy@tavkreatif.id.