Kontrak DPA buat klien Enterprise kamu.

Definisi Para Pihak

Dalam DPA ini, istilah berikut punya arti spesifik:

• Data Controller (Pengendali Data)— pihak yang memutuskan tujuan & cara pemrosesan data pribadi. = Klien kamu (atau workspace Owner kalau B2B langsung).
• Data Processor (Prosesor Data) — pihak yang memproses data atas nama Controller. = TavKreatif Space (usaha perorangan).
• Sub-processor — pihak ketiga yang dikontrak Processor untuk bantu memproses data (Mayar, Cloudflare, AI providers, dll).
• Data Subject — individu yang datanya diproses (end-user akun, klien akhir, talent, dll).
• Data Pribadi — segala info yang identifikasi orang langsung atau tidak langsung (nama, email, IP, perilaku).
• UU PDP — Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Ruang Lingkup Pemrosesan

Tujuan pemrosesan

TavKreatif memproses data pribadi Controller hanya untuk: (a) menyediakan layanan workspace TavKreatif Space; (b) menjalankan fitur yang Controller aktifkan; (c) kepatuhan regulasi; (d) keamanan platform.

Kategori data

• Data identitas: nama, email, no. WA, foto profil end-user yang diundang oleh Controller.
• Data konten: brief, asset file, komentar, message thread yang Controller buat di workspace.
• Data telemetri:IP, device, log aktivitas — untuk audit & security.
• Data klien/talent: no. WA klien/talent yang Controller masukin untuk fitur approval/notif.

Durasi pemrosesan

Selama Controller berlangganan layanan + 90 hari grace period setelah berhenti (untuk restorability). Setelah itu data di-delete kecuali ada kewajiban hukum penyimpanan (e.g. faktur 10 tahun).

Hak Data Subject

TavKreatif menyediakan fitur self-service di Settings agar Data Subject bisa eksekusi haknya (akses, koreksi, hapus, portabilitas, keberatan). Untuk request manual, SLA respons 30 hari.

Sub-processor List

Controller memberi izin umum kepada TavKreatif untuk menggunakan sub-processor berikut. Notif 30 hari sebelumnya akan dikirim untuk penambahan atau perubahan sub-processor — Controller boleh objection, dan kalau objection nggak resolvable, boleh terminate DPA tanpa penalty. Kolom Compliance di bawah adalah sertifikasi milik masing-masing vendor (bukan sertifikasi TavKreatif).

Security Measures · Technical & Organizational

TavKreatif menerapkan langkah keamanan berikut sesuai praktik keamanan standar industri:

Data Breach · SLA & Prosedur Notifikasi

Kalau terjadi insiden data breach yang impact data Controller, TavKreatif berkomitmen kepada SLA berikut:

Yang termasuk "data breach"

• Confidentiality breach — akses tidak sah ke data pribadi.
• Integrity breach — data dirusak / dimodif tanpa otorisasi.
• Availability breach — data hilang / tidak bisa diakses lebih dari 24 jam.

Insiden minor yang tidak impact data pribadi Controller (e.g. internal misconfig yang fixed dalam 5 menit) tidak otomatis ter-trigger SLA ini, tapi dimasukkan ke quarterly security report kalau Controller minta.

Audit Rights · Hak Audit Controller

Permintaan informasi audit

Controller bisa meminta informasi compliance dengan menghubungi DPO di dpa@tavkreatif.id. Atas permintaan, TavKreatif menyediakan (sejauh tersedia & tanpa menyangkut data customer lain):

• Log akses ke data Controller (siapa, kapan, action).
• Daftar sub-processor terkini beserta riwayat perubahannya.
• Ringkasan praktik keamanan yang relevan. Sertifikasi ISO 27001 / SOC 2 menyusul bila sudah tercapai — saat ini belum.

Audit virtual

Untuk Controller plan Enterprise, sekali per tahun bisa request audit virtual (via video call) dengan notice 30 hari. Audit dilakukan oleh tim Controller atau auditor pihak ketiga yang disepakati.

Biaya audit di-cover Controller. TavKreatif menyediakan akses ke dokumen, walkthrough sistem, dan interview personnel relevan — kecuali yang menyangkut customer lain (confidentiality).

Finding & remediation

Kalau audit menemukan deficiency, TavKreatif menanggapi temuan dan menyepakati rencana remediasi bersama Controller, diprioritaskan sesuai tingkat risiko (temuan kritis didahulukan).

Transfer Data Internasional

Beberapa sub-processor (Cloudflare, Supabase, Tencent Cloud) berada di luar Indonesia. Untuk transfer keluar yurisdiksi Indonesia, TavKreatif menerapkan:

• Pasal 56 UU PDP — memastikan negara tujuan punya level perlindungan setara atau lebih dari Indonesia, atau pakai Standard Contractual Clauses (SCC).
• Standard Contractual Clauses (SCC) dengan vendor di luar Indonesia (Cloudflare, Supabase).
• Data minimization — hanya transfer data yang esensial untuk fungsi sub-processor.
• Encryption in-transit dan at-rest di semua sub-processor.

Untuk Controller yang butuh data residency strict Indonesia (e.g. fintech / regulated industry), kami menyediakan opsi self-hosted deployment di plan Enterprise — semua data tetap di server Controller, tidak ada transfer keluar.

Akhir Kontrak & Return / Delete Data

Saat DPA atau Layanan utama berakhir (cancel subscription, terminate, dll), Controller bisa pilih:

• Return data — TavKreatif export semua data Controller dalam format JSON + CSV + asset zip. Diberikan dalam 7 hari kerja.
• Delete data — semua data Controller dihapus dalam 30 hari, dengan certificate of deletion dikirim ke email Owner.
• Default — kalau Controller nggak pilih, default return dulu lalu delete setelah konfirmasi terima dari Controller.

Backup dihapus dalam 90 hari setelah delete utama (sesuai rotation backup cycle).

Kewajiban TavKreatif yang sifatnya survival (confidentiality, audit log retention) tetap berlaku setelah DPA berakhir, sesuai durasi yang ditetapkan UU.

Tanda Tangan Para Pihak

DPA ini berlaku saat ditandatangani oleh perwakilan resmi kedua belah pihak. Versi elektronik (PDF + e-signature via Privy.id atau VIDA) diakui sah sesuai UU ITE.

Pertanyaan terkait DPA ini hubungin dpa@tavkreatif.id atau privacy@tavkreatif.id.