Adendum Pemrosesan Data

Terakhir diubah: 08 Agustus 2023 | Versi sebelumnya

Jibe dan pihak lawan yang menyetujui adendum ini ("Partner") telah membuat perjanjian untuk penyediaan Layanan Pemroses (sebagaimana diubah dari waktu ke waktu, "Perjanjian").

Adendum Pemrosesan Data ini (termasuk lampiran, "Adendum Pemrosesan Data") disepakati oleh Jibe dan Partner serta melengkapi Perjanjian. Adendum Pemrosesan Data ini akan berlaku, dan menggantikan setiap persyaratan yang sebelumnya berlaku terkait dengan materi pokoknya (termasuk persyaratan pemrosesan data dan keamanan yang terkait dengan Layanan Pemroses), sejak Tanggal Mulai Berlaku Persyaratan.

Jika Anda menyetujui Adendum Pemrosesan Data ini atas nama Partner, Anda menjamin bahwa: (a) Anda memiliki kewenangan hukum penuh untuk mengikat Partner dengan Adendum Pemrosesan Data ini; (b) Anda telah membaca dan memahami Adendum Pemrosesan Data ini; dan (c) Anda menyetujui, atas nama Partner, Adendum Pemrosesan Data ini. Jika Anda tidak memiliki kewenangan hukum untuk mengikat Partner, jangan setujui Adendum Pemrosesan Data ini.

1. Pengantar

Adendum Pemrosesan Data ini mencerminkan perjanjian para pihak terkait persyaratan yang mengatur pemrosesan dan keamanan data tertentu sehubungan dengan Legislasi Perlindungan Data Eropa dan Legislasi Perlindungan Data Non-Eropa.

2. Definisi dan Penafsiran

2.1 Dalam Adendum Pemrosesan Data ini:

"Produk Tambahan" adalah produk, layanan, atau aplikasi yang disediakan oleh Jibe atau pihak ketiga yang: (a) bukan bagian dari Layanan Pemroses; dan (b) dapat diakses untuk digunakan dalam antarmuka pengguna Layanan Pemroses atau terintegrasi dengan Layanan Pemroses.

"Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Eropa" adalah persyaratan tambahan yang disebut dalam Lampiran 3, yang mencerminkan perjanjian antarpihak terkait persyaratan yang mengatur pemrosesan data tertentu sehubungan dengan Legislasi Perlindungan Data Non-Eropa tertentu.

"Negara yang Memadai" berarti:

(a) untuk data yang diproses yang tunduk pada GDPR Uni Eropa: EEA, atau negara atau wilayah yang diakui menjamin perlindungan data yang memadai berdasarkan GDPR Uni Eropa;

(b) untuk data yang diproses yang tunduk pada GDPR Inggris Raya: Inggris Raya atau negara atau wilayah yang diakui menjamin perlindungan data yang memadai berdasarkan GDPR Inggris Raya dan Data Protection Act 2018; dan/atau

(c) untuk data yang diproses yang tunduk pada FDPA Swiss: Swiss, atau negara atau wilayah yang (i) disertakan dalam daftar negara bagian yang legislasinya memastikan tingkat perlindungan yang memadai seperti yang dipublikasikan oleh Swiss Federal Data Protection and Information Commissioner, atau (ii) diakui menjamin perlindungan data yang memadai oleh Swiss Federal Council berdasarkan FDPA Swiss, dalam setiap kasus, selain atas dasar framework perlindungan data opsional.

"Solusi Transfer Alternatif" adalah solusi, selain SCC, yang memungkinkan transfer data pribadi yang sah ke negara ketiga sesuai dengan Legislasi Perlindungan Data Eropa, misalnya framework perlindungan data yang diakui sebagai memastikan bahwa entitas lokal yang berpartisipasi memberikan perlindungan yang memadai.

"Insiden Data" berarti pelanggaran keamanan Jibe yang menyebabkan pemusnahan, kehilangan, perubahan, pengungkapan tanpa izin, atau akses ke Data Pribadi Partner secara tidak disengaja atau yang melanggar hukum, pada sistem yang dikelola oleh atau dikontrol oleh Jibe. "Insiden Data" tidak akan mencakup upaya atau aktivitas gagal yang tidak membahayakan keamanan Data Pribadi Partner, termasuk kegagalan upaya login, ping, pemindaian port, serangan denial of service, dan serangan jaringan lainnya pada firewall atau sistem jaringan.

"Alat Subjek Data" adalah alat (jika ada) yang disediakan oleh Entitas Jibe kepada subjek data yang memungkinkan Jibe merespons secara langsung dan dengan cara yang standar terhadap permintaan tertentu dari subjek data sehubungan dengan Data Pribadi Partner (misalnya, setelan iklan online atau plugin browser pilihan tidak ikut).

"EEA" berarti Wilayah Ekonomi Eropa.

"GDPR Uni Eropa" berarti Peraturan (Uni Eropa) 2016/679 dari Parlemen dan Dewan Eropa tertanggal 27 April 2016 tentang perlindungan individu sehubungan dengan pemrosesan data pribadi dan tentang perpindahan data tersebut secara bebas, dan membatalkan Directive 95/46/EC.

"Legislasi Perlindungan Data Eropa" berarti, sebagaimana berlaku: (a) GDPR; dan/atau (b) FDPA Swiss.

"Hukum Eropa" berarti, sebagaimana berlaku: (a) hukum Uni Eropa atau Negara Anggota Uni Eropa (jika GDPR Uni Eropa berlaku untuk pemrosesan Data Pribadi Partner); dan/atau (b) hukum Inggris Raya atau bagian dari Inggris Raya (jika GDPR Inggris Raya berlaku untuk pemrosesan Data Pribadi Partner).

"GDPR" berarti, sebagaimana berlaku: (a) GDPR Uni Eropa; dan/atau (b) GDPR Inggris Raya.

"Jibe" berarti Entitas Jibe yang merupakan pihak dalam Perjanjian.

"Entitas Jibe" berarti Jibe Mobile, Inc., Jibe Mobile Limited, atau entitas lainnya yang secara langsung atau tidak langsung mengontrol, dikontrol oleh, atau berada di bawah kendali yang sama dengan Jibe Mobile, Inc.

"Sertifikasi ISO 27001" berarti sertifikasi ISO/IEC 27001:2 2013 atau sertifikasi yang sebanding untuk Layanan Pemroses.

"Subpemroses Baru" memiliki arti sebagaimana dijelaskan dalam Pasal 11.1 (Izin untuk Keterlibatan Subpemroses).

"Legislasi Perlindungan Data Non-Eropa" berarti hukum perlindungan atau privasi data yang berlaku di luar EEA, Swiss, dan Inggris Raya.

"Alamat Email Pemberitahuan" adalah alamat email (jika ada): (i) yang diberikan oleh Partner kepada Jibe atau (ii) yang ditetapkan oleh Partner, melalui antarmuka pengguna Layanan Pemroses atau cara lain yang disediakan oleh Jibe, untuk menerima notifikasi tertentu dari Jibe yang berkaitan dengan Adendum Pemrosesan Data ini. Untuk memperjelas, Partner bertanggung jawab untuk memberikan Alamat Email Pemberitahuan kepada Jibe dan memberi tahu Jibe tentang pembaruan apa pun pada Alamat Email Pemberitahuan.

"Data Pribadi Partner" berarti data pribadi yang diproses oleh Jibe atas nama Partner dalam penyediaan Layanan Pemroses oleh Jibe.

"SCC Partner" berarti SCC (Pengontrol ke Pemroses), SCC (Pemroses ke Pengontrol), dan/atau SCC (Pemroses ke Pemroses), sebagaimana berlaku.

"Layanan Pemroses" berarti layanan RCS Business Messaging (seperti yang dijelaskan di developers.google.com/business-communications/rcs-business-messaging.

"SCC" berarti SCC Partner dan/atau SCC (Pemroses ke Pemroses, Pengekspor Jibe), sebagaimana berlaku.

"SCC (Pengontrol ke Pemroses)" berarti persyaratan di business.safety.google/gdprcontrollerterms/sccs/eu-c2p-dpa.

"SCC (Pemroses ke Pengontrol)" berarti persyaratan di business.safety.google/gdprprocessorterms/sccs/p2c.

"SCC (Pemroses ke Pemroses)" berarti persyaratan di business.safety.google/gdprprocessorterms/sccs/eu-p2p-dpa.

"SCC (Pemroses ke Pemroses, Pengekspor Jibe)" berarti persyaratan di business.safety.google/gdprprocessorterms/sccs/eu-p2p-intra-group.

"Dokumentasi Keamanan" berarti Sertifikasi ISO 27001 dan sertifikasi atau dokumentasi keamanan lainnya yang dapat disediakan oleh Jibe sehubungan dengan Layanan Pemroses.

"Prosedur Keamanan" memiliki makna yang dijelaskan dalam Pasal 7.1.1 (Prosedur Keamanan Jibe).

"Subpemroses" berarti pihak ketiga yang diberi otorisasi berdasarkan Adendum Pemrosesan Data ini untuk memiliki akses logis ke dan memproses Data Pribadi Partner guna menyediakan bagian dari Layanan Pemroses dan dukungan teknis terkait.

"Otoritas Pengawas" berarti, sebagaimana berlaku: (a) "otoritas pengawas" seperti yang ditetapkan dalam GDPR Uni Eropa; dan/atau (b) "Komisioner" seperti yang ditetapkan dalam GDPR Inggris Raya dan/atau FDPA Swiss.

"Swiss FDPA" adalah Federal Data Protection Act tertanggal 19 Juni 1992 (Swiss).

"Masa Berlaku" adalah periode sejak Tanggal Mulai Berlaku Persyaratan hingga akhir penyediaan Layanan Pemroses oleh Jibe berdasarkan Perjanjian.

"Tanggal Mulai Berlaku Persyaratan" berarti tanggal mulai berlaku Perjanjian.

"GDPR Inggris Raya" berarti GDPR Uni Eropa sebagaimana yang telah diubah dan dimasukkan ke dalam hukum Inggris Raya berdasarkan European Union (Withdrawal) Act Inggris Raya tahun 2018, dan legislasi sekunder yang berlaku yang dibuat berdasarkan Act tersebut.

2.2 Istilah "pengontrol", "subjek data", "data pribadi", "pemrosesan", dan "pemroses" seperti yang digunakan dalam Adendum Pemrosesan Data ini memiliki arti yang diberikan dalam GDPR, dan istilah "pengimpor data" dan "pengekspor data" memiliki arti yang diberikan dalam SCC yang berlaku.

2.3 Kata-kata "termasuk" dan "meliputi" berarti "termasuk, tetapi tidak terbatas pada". Contoh apa pun dalam Adendum Pemrosesan Data ini bersifat ilustratif dan bukan satu-satunya contoh untuk konsep tertentu.

2.4 Setiap referensi ke kerangka hukum, peraturan, atau pengesahan legislatif lainnya adalah referensi ke hal tersebut seperti yang diubah atau disahkan kembali dari waktu ke waktu.

2.5 Jika versi terjemahan apa pun dari Adendum Pemrosesan Data ini tidak sesuai dengan versi bahasa Inggris, versi bahasa Inggris yang akan berlaku.

3. Durasi Adendum Pemrosesan Data ini

Adendum Pemrosesan Data ini akan mulai berlaku pada Tanggal Mulai Berlaku Persyaratan dan, terlepas dari apakah Masa Berlaku telah berakhir, akan tetap berlaku hingga, dan masa berlakunya otomatis berakhir saat Jibe menghapus semua Data Pribadi Partner seperti yang dijelaskan dalam Adendum Pemrosesan Data ini.

4. Penerapan Adendum Pemrosesan Data ini

4.1 Pemberlakuan Legislasi Perlindungan Data Eropa. Pasal 5 (Pemrosesan Data) hingga 12 (Menghubungi Jibe; Memproses Kumpulan Data) (inklusif) hanya akan berlaku sejauh Legislasi Perlindungan Data Eropa berlaku untuk pemrosesan Data Pribadi Partner, termasuk jika:

(a) pemrosesan dilakukan dalam konteks aktivitas penetapan Partner di EEA atau Inggris Raya; dan/atau

(b) Data Pribadi Partner adalah data pribadi terkait subjek data yang berada di EEA atau Inggris Raya dan pemrosesannya terkait dengan penawaran barang atau jasa kepada mereka atau pemantauan perilaku mereka di EEA atau Inggris Raya.

4.2 Aplikasi untuk Layanan Pemroses. Adendum Pemrosesan Data ini hanya akan berlaku untuk Layanan Pemroses yang disetujui oleh para pihak untuk Adendum Pemrosesan Data ini (misalnya: (a) Layanan Pemroses yang diklik Partner untuk menyetujui Adendum Pemrosesan Data ini; atau (b) jika Perjanjian menyertakan Adendum Pemrosesan Data ini melalui penyebutan, Layanan Pemroses yang menjadi subjek Perjanjian).

4.3 Penetapan Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Eropa. Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Eropa melengkapi Adendum Pemrosesan Data ini.

5. Pemrosesan Data

5.1 Peran dan Kepatuhan terhadap Peraturan; Otorisasi.

5.1.1 Tanggung Jawab Pemroses dan Pengontrol. Para pihak memahami dan menyetujui bahwa:

(a) Lampiran 1 menjelaskan materi pokok dan detail pemrosesan Data Pribadi Partner;

(b) Jibe adalah pemroses Data Pribadi Partner berdasarkan Legislasi Perlindungan Data Eropa;

(c) Partner adalah pengontrol atau pemroses, sebagaimana berlaku, Data Pribadi Partner berdasarkan Legislasi Perlindungan Data Eropa; dan

(d) setiap pihak akan mematuhi kewajiban yang berlaku baginya berdasarkan Legislasi Perlindungan Data Eropa sehubungan dengan pemrosesan Data Pribadi Partner.

5.1.2 Partner Pemroses. Jika Partner adalah pemroses:

(a) Partner menjamin secara berkelanjutan bahwa pengontrol yang relevan telah memberi otorisasi terkait (i) petunjuk, (ii) penunjukan Jibe oleh Partner sebagai pemroses lain, dan (iii) interaksi Jibe dengan Subpemroses sebagaimana dijelaskan dalam Pasal 11 (Subpemroses);

(b )Partner akan segera meneruskan notifikasi apa pun yang diberikan oleh Jibe kepada pengontrol terkait berdasarkan Pasal 5.4 (Notifikasi Petunjuk), 7.2.1 (Notifikasi Insiden), 11.4 (Kesempatan untuk Menolak Perubahan Subpemroses), atau yang merujuk ke SCC apa pun; dan

(c) Partner dapat menyediakan kepada pengontrol yang relevan setiap informasi yang disediakan oleh Jibe berdasarkan Pasal 7.4 (Sertifikasi Keamanan), 10.5 (Informasi Pusat Data), dan 11.2 (Informasi tentang Subpemroses).

5.2 Petunjuk Partner. Dengan menyepakati Adendum Pemrosesan Data ini, Partner menginstruksikan Jibe untuk memproses Data Pribadi Partner hanya sesuai dengan hukum yang berlaku: (a) untuk menyediakan Layanan Pemroses dan dukungan teknis terkait; (b) sebagaimana ditentukan lebih lanjut melalui penggunaan Layanan Pemroses oleh Partner (termasuk dalam setelan dan fungsi lain dari Layanan Pemroses) dan dukungan teknis terkait; (c) sebagaimana didokumentasikan dalam bentuk Perjanjian, termasuk Adendum Pemrosesan Data ini; dan (d) sebagaimana didokumentasikan lebih lanjut dalam petunjuk tertulis lainnya yang diberikan oleh Partner dan diakui oleh Jibe sebagai petunjuk untuk tujuan Adendum Pemrosesan Data ini (secara kolektif, "Petunjuk").

5.3 Kepatuhan Jibe terhadap Petunjuk. Jibe akan mematuhi Petunjuk kecuali jika dilarang oleh Hukum Eropa.

5.4 Notifikasi Petunjuk. Jibe akan segera memberi tahu Partner jika, menurut pendapat Jibe: (a) Hukum Eropa melarang Jibe mematuhi Petunjuk; (b) Petunjuk tidak mematuhi Legislasi Perlindungan Data Eropa; atau (c) Jibe tidak dapat mematuhi Petunjuk, dalam setiap kasus kecuali jika pemberitahuan tersebut dilarang oleh Hukum Eropa. Bagian 5.4 (Notifikasi Petunjuk) ini tidak mengurangi hak dan kewajiban salah satu pihak di bagian lain dalam Perjanjian.

5.5 Produk Tambahan. Jika Partner menggunakan Produk Tambahan, Layanan Pemroses dapat mengizinkan Produk Tambahan tersebut mengakses Data Pribadi Partner sebagaimana diperlukan untuk interoperabilitas Produk Tambahan dengan Layanan Pemroses. Jika diperlukan, para pihak akan menyepakati persyaratan pemrosesan data terpisah untuk membahas cara Produk Tambahan akan memproses Data Pribadi Partner.

6. Penghapusan Data

6.1 Penghapusan Selama Jangka Waktu.

6.1.1 Layanan Pemroses dengan Fungsi Penghapusan. Selama Masa Berlaku, jika:

(a) fungsi Layanan Pemroses mencakup opsi bagi Partner untuk menghapus Data Pribadi Partner;

(b) Partner menggunakan Layanan Pemroses untuk menghapus Data Pribadi Partner tertentu; dan

(c) Data Pribadi Partner yang dihapus tidak dapat dipulihkan oleh Partner (misalnya, dari "sampah"), maka Jibe akan menghapus Data Pribadi Partner tersebut dari sistemnya sesegera mungkin secara wajar, kecuali jika Hukum Eropa mewajibkan penyimpanan.

6.1.2 Layanan Pemroses Tanpa Fungsi Penghapusan. Selama Jangka Waktu, jika fungsi Layanan Pemroses tidak menyertakan opsi bagi Partner untuk menghapus Data Pribadi Partner, Jibe akan mematuhi permintaan yang wajar dari Partner untuk memfasilitasi penghapusan tersebut, sejauh hal ini mungkin dengan mempertimbangkan sifat dan fungsi Layanan Pemroses dan kecuali jika Hukum Eropa mewajibkan penyimpanan. Jibe dapat mengenakan biaya (berdasarkan biaya yang wajar dari Jibe) untuk penghapusan data apa pun berdasarkan Bagian 6.1.2 ini (Layanan Pemroses Tanpa Fungsi Penghapusan). Jibe akan memberikan detail lebih lanjut kepada Partner terkait biaya yang berlaku, dan dasar penghitungannya, sebelum penghapusan data tersebut dilakukan.

6.2 Penghapusan Saat Masa Berlaku Berakhir. Saat Masa Berlaku berakhir, Partner meminta Jibe untuk menghapus semua Data Pribadi Partner (termasuk salinan yang ada) dari sistem Jibe sesuai dengan hukum yang berlaku. Jibe akan mematuhi petunjuk ini sesegera mungkin secara wajar, kecuali jika Hukum Eropa mewajibkan penyimpanan.

7. Keamanan Data

7.1 Prosedur dan Bantuan Keamanan Jibe.

7.1.1 Prosedur Keamanan Jibe. Jibe akan menerapkan dan mempertahankan langkah-langkah teknis dan organisasi untuk melindungi Data Pribadi Partner dari pemusnahan, kehilangan, perubahan, pengungkapan, atau akses yang tidak disengaja atau melanggar hukum seperti yang dijelaskan dalam Lampiran 2 ("Prosedur Keamanan"). Seperti yang dijelaskan dalam Lampiran 2, Langkah-Langkah Keamanan mencakup langkah-langkah: (a) untuk mengenkripsi data pribadi; (b) untuk membantu memastikan kerahasiaan, integritas, ketersediaan, dan ketahanan sistem dan layanan Jibe yang berkelanjutan; (c) untuk membantu memulihkan akses tepat waktu ke data pribadi setelah insiden; dan (d) untuk pengujian efektivitas secara berkala. Jibe dapat memperbarui atau memodifikasi Prosedur Keamanan dari waktu ke waktu, asalkan pembaruan dan modifikasi tersebut tidak mengakibatkan degradasi keamanan Layanan Pemroses secara keseluruhan.

7.1.2 Akses dan Kepatuhan. Jibe akan (a) memberikan otorisasi kepada karyawan, kontraktor, dan Subpemrosesnya untuk mengakses Data Pribadi Partner hanya sebatas yang diperlukan untuk mematuhi Petunjuk; (b) mengambil langkah-langkah yang sesuai untuk memastikan kepatuhan terhadap Langkah-Langkah Keamanan oleh karyawan, kontraktor, dan Subpemrosesnya sejauh berlaku untuk cakupan kinerja mereka; dan (c) memastikan bahwa semua orang yang diberi otorisasi untuk memproses Data Pribadi Partner telah berkomitmen untuk menjaga kerahasiaan atau tunduk pada kewajiban hukum yang sesuai terkait kerahasiaan.

7.1.3 Bantuan Keamanan Jibe. Dengan mempertimbangkan sifat pemrosesan Data Pribadi Partner dan informasi yang tersedia untuk Jibe, Jibe akan membantu Partner dalam memastikan kepatuhan terhadap kewajiban Partner (atau, jika Partner adalah pemroses, kewajiban pengontrol yang relevan) terkait keamanan data pribadi dan pelanggaran data pribadi, termasuk kewajiban Partner (atau, jika Partner adalah pemroses, kewajiban pengontrol yang relevan) berdasarkan Pasal 32 hingga 34 (inklusif) GDPR, dengan:

(a) menerapkan dan mempertahankan Prosedur Keamanan sesuai dengan Pasal 7.1.1 (Prosedur Keamanan Jibe);

(b) mematuhi persyaratan Pasal 7.2 (Insiden Data); dan

(c) memberikan Dokumentasi Keamanan kepada Partner sesuai dengan Pasal 7.5.1 (Peninjauan Dokumentasi Keamanan) dan informasi yang tercantum dalam Adendum Pemrosesan Data ini.

7.2 Insiden Data.

7.2.1 Notifikasi Insiden. Jika Jibe mengetahui adanya Insiden Data, Jibe akan: (a) segera memberi tahu Partner tentang Insiden Data tersebut tanpa penundaan yang tidak semestinya; dan (b) segera mengambil langkah-langkah yang wajar untuk meminimalkan kerugian dan mengamankan Data Pribadi Partner.

7.2.2 Detail Insiden Data. Notifikasi yang dibuat berdasarkan Pasal 7.2.1 (Notifikasi Insiden) akan menjelaskan: sifat Insiden Data, termasuk resource Partner yang terpengaruh; tindakan yang telah diambil Jibe, atau rencana untuk diambil, untuk mengatasi Insiden Data dan mengurangi potensi risikonya; tindakan, jika ada, yang direkomendasikan Jibe untuk dilakukan Partner guna mengatasi Insiden Data; dan detail kontak tempat informasi selengkapnya dapat diperoleh. Jika tidak memungkinkan untuk memberikan semua informasi tersebut secara bersamaan, notifikasi awal Jibe akan berisi informasi yang tersedia saat itu dan informasi lebih lanjut akan diberikan tanpa penundaan yang semestinya saat tersedia.

7.2.3 Pengiriman Notifikasi. Jibe akan mengirimkan notifikasi tentang Insiden Data apa pun ke Alamat Email Notifikasi atau, atas pertimbangan Jibe (termasuk jika Partner belum memberikan Alamat Email Notifikasi), melalui komunikasi langsung lainnya (misalnya, melalui panggilan telepon atau pertemuan tatap muka). Partner sepenuhnya bertanggung jawab untuk memberikan Alamat Email Notifikasi dan memastikan bahwa Alamat Email Notifikasi masih berlaku dan valid.

7.2.4 Notifikasi Pihak Ketiga. Partner sepenuhnya bertanggung jawab untuk mematuhi hukum notifikasi insiden yang berlaku untuk Partner dan memenuhi kewajiban notifikasi pihak ketiga yang terkait dengan Insiden Data.

7.2.5 Tidak Ada Konfirmasi Kesalahan oleh Jibe. Notifikasi atau respons Jibe terhadap Insiden Data berdasarkan Pasal 7.2 (Insiden Data) ini tidak akan ditafsirkan sebagai konfirmasi oleh Jibe atas kesalahan atau kewajiban sehubungan dengan Insiden Data.

7.3 Penilaian dan Tanggung Jawab Keamanan Partner.

7.3.1 Tanggung Jawab Keamanan Partner. Partner menyetujui bahwa, tanpa memengaruhi kewajiban Jibe berdasarkan Pasal 7.1 (Prosedur dan Bantuan Keamanan Jibe) dan 7.2 (Insiden Data):

(a) Partner bertanggung jawab atas penggunaannya atas Layanan Pemroses, termasuk:

(i) menggunakan Layanan Pemroses yang sesuai untuk memastikan tingkat keamanan yang sesuai dengan risiko terhadap Data Pribadi Partner; dan

(ii) mengamankan kredensial autentikasi akun, sistem, dan perangkat yang digunakan Partner untuk mengakses Layanan Pemroses; dan

(b) Jibe tidak berkewajiban untuk melindungi Data Pribadi Partner yang dipilih Partner untuk disimpan atau ditransfer di luar sistem Jibe dan Subpemrosesnya.

7.3.2 Penilaian Keamanan Partner. Partner mengakui bahwa Prosedur Keamanan yang diterapkan dan dikelola oleh Jibe seperti yang dijelaskan dalam Pasal 7.1.1 (Prosedur Keamanan Jibe) memberikan tingkat keamanan yang sesuai dengan risiko terhadap Data Pribadi Partner dengan mempertimbangkan sifat, cakupan, konteks, dan tujuan pemrosesan Data Pribadi Partner; teknologi terbaru; biaya penerapan; dan risiko terhadap individu.

7.4 Sertifikasi Keamanan. Untuk mengevaluasi dan membantu memastikan efektivitas Prosedur Keamanan yang berkelanjutan, Jibe akan mempertahankan Sertifikasi ISO 27001 atau tindakan lain yang sesuai untuk menunjukkan efektivitas Prosedur Keamanan.

7.5 Peninjauan dan Audit Kepatuhan.

7.5.1 Peninjauan Dokumentasi Keamanan. Untuk menunjukkan kepatuhan Jibe terhadap kewajibannya berdasarkan Adendum Pemrosesan Data ini, Jibe akan menyediakan Dokumentasi Keamanan untuk ditinjau oleh Partner.

7.5.2 Hak Audit Partner.

(a) Jibe akan mengizinkan Partner atau auditor pihak ketiga yang ditunjuk oleh Partner untuk melakukan audit (termasuk inspeksi) guna memverifikasi kepatuhan Jibe terhadap kewajibannya berdasarkan Adendum Pemrosesan Data ini sesuai dengan Pasal 7.5.3 (Persyaratan Bisnis Tambahan untuk Audit). Selama audit, Jibe akan menyediakan semua informasi yang diperlukan untuk menunjukkan kepatuhan tersebut dan berkontribusi pada audit sebagaimana dijelaskan dalam Pasal 7.4 (Sertifikasi Keamanan) dan Pasal 7.5 (Peninjauan dan Audit Kepatuhan) ini.

(b) Jika SCC berlaku berdasarkan Pasal 10.2 (Transfer Eropa Terbatas), Jibe akan mengizinkan Partner (atau auditor pihak ketiga yang ditunjuk oleh Partner) untuk melakukan audit seperti yang dijelaskan dalam SCC yang berlaku dan, selama audit tersebut, menyediakan semua informasi yang diperlukan oleh SCC tersebut, masing-masing sesuai dengan Pasal 7.5.3 (Persyaratan Bisnis Tambahan untuk Audit).

(c) Partner juga dapat melakukan audit untuk memverifikasi kepatuhan Jibe terhadap kewajibannya berdasarkan Adendum Pemrosesan Data ini dengan meninjau sertifikat apa pun yang dikeluarkan untuk Jibe oleh auditor pihak ketiga (misalnya, Sertifikasi ISO 27001, jika ada).

7.5.3 Persyaratan Bisnis Tambahan untuk Audit.

(a) Partner akan mengirimkan permintaan audit apa pun berdasarkan Pasal 7.5.2(a) atau 7.5.2(b) kepada Jibe sebagaimana dijelaskan dalam Pasal 12.1 (Menghubungi Jibe).

(b) Setelah Jibe menerima permintaan berdasarkan Pasal 7.5.3(a), Jibe dan Partner akan terlebih dahulu mendiskusikan dan menyetujui tanggal mulai, cakupan, dan durasi yang wajar, serta kontrol keamanan dan kerahasiaan yang berlaku terhadap, audit apa pun berdasarkan Pasal 7.5.2(a) atau 7.5.2(b).

(c) Jibe dapat mengenakan biaya (berdasarkan biaya yang wajar dari Jibe) untuk audit apa pun berdasarkan Pasal 7.5.2(a) atau 7.5.2(b). Jibe akan memberikan detail lebih lanjut kepada Partner terkait biaya apa pun yang berlaku, dan dasar penghitungannya, sebelum audit tersebut dilakukan. Partner akan bertanggung jawab atas semua biaya yang dibebankan oleh auditor pihak ketiga yang ditunjuk oleh Partner untuk melaksanakan audit tersebut.

(d) Jibe dapat mengajukan keberatan terhadap auditor pihak ketiga yang ditunjuk oleh Partner untuk melakukan audit apa pun berdasarkan Pasal 7.5.2(a) atau 7.5.2(b) jika auditor, menurut pendapat yang wajar dari Jibe, tidak memenuhi syarat atau independen, merupakan pesaing Jibe, atau jelas-jelas tidak sesuai untuk ditunjuk. Setiap penolakan oleh Jibe akan memerlukan Partner untuk menunjuk auditor lain atau melakukan audit sendiri.

(e) Tidak ada ketentuan apa pun dalam Adendum Pemrosesan Data ini yang akan mewajibkan Jibe untuk mengungkapkan kepada Partner atau auditor pihak ketiganya, atau mengizinkan Partner atau auditor pihak ketiganya untuk mengakses:

(i) data partner atau pelanggan lain mana pun dari Entitas Jibe;

(ii) informasi keuangan atau akuntansi internal Entitas Jibe;

(iii) rahasia dagang Entitas Jibe;

(iv) informasi apa pun yang, menurut pendapat wajar Jibe, dapat: (A) membahayakan keamanan sistem atau tempat Entitas Jibe; atau (B) menyebabkan Entitas Jibe melanggar kewajibannya berdasarkan European Data Protection Legislation atau kewajiban keamanan dan/atau privasi kepada Partner atau pihak ketiga mana pun; atau

(v) informasi yang coba diakses oleh Partner atau auditor pihak ketiganya untuk alasan apa pun selain niat baik untuk memenuhi kewajiban Partner berdasarkan Legislasi Perlindungan Data Eropa.

8. Penilaian dan Konsultasi Dampak

Dengan mempertimbangkan sifat pemrosesan dan informasi yang tersedia untuk Jibe, Jibe akan membantu Partner dalam memastikan kepatuhan terhadap kewajiban Partner (atau jika Partner adalah pemroses, pengontrol yang relevan) terkait penilaian dampak perlindungan data dan konsultasi sebelumnya, termasuk (jika berlaku) kewajiban Partner atau pengontrol yang relevan berdasarkan Pasal 35 dan 36 GDPR, dengan:

(a) memberikan Dokumentasi Keamanan sesuai dengan Pasal 7.5.1 (Peninjauan Dokumentasi Keamanan);

(b) memberikan informasi yang tercantum dalam Adendum Pemrosesan Data ini; dan

(c) memberikan atau menyediakan, sesuai dengan praktik standar Jibe, materi lain yang berkaitan dengan karakteristik Layanan Pemroses dan pemrosesan Data Pribadi Partner (misalnya, materi pusat bantuan).

9. Hak Subjek Data

9.1 Respons terhadap Permintaan Subjek Data. Jika Jibe menerima permintaan dari subjek data sehubungan dengan Data Pribadi Partner, Partner memberikan otorisasi kepada Jibe untuk, dan dengan ini Jibe memberi tahu Partner bahwa Jibe akan:

(a) merespons langsung permintaan subjek data sesuai dengan fungsi standar Alat Subjek Data (jika permintaan dibuat melalui Alat Subjek Data); atau

(b) menyarankan subjek data untuk mengirimkan permintaannya kepada Partner, dan Partner akan bertanggung jawab untuk merespons permintaan tersebut (jika permintaan tersebut tidak dibuat melalui Alat Subjek Data).

9.2 Bantuan Jibe terkait Permintaan Subjek Data. Jibe akan membantu Partner (atau, jika Partner adalah pemroses, pengontrol yang relevan) dalam memenuhi kewajibannya berdasarkan GDPR untuk merespons permintaan agar dapat menggunakan hak subjek data, dalam semua kasus dengan mempertimbangkan sifat pemrosesan Data Pribadi Partner dan, jika berlaku, Pasal 11 GDPR, termasuk (jika berlaku):

(a) menyediakan fungsi Layanan Pemroses;

(b) mematuhi komitmen dalam Pasal 9.1 (Respons terhadap Permintaan Subjek Data); dan

(c) jika relevan dengan Layanan Pemroses, menyediakan Alat Subjek Data.

9.3 Perbaikan. Jika Partner mengetahui bahwa Data Pribadi Partner tidak akurat atau sudah usang, Partner akan bertanggung jawab untuk memperbaiki atau menghapus data tersebut jika diwajibkan oleh Legislasi Perlindungan Data Eropa, termasuk (jika tersedia) dengan menggunakan fungsi Layanan Pemroses.

10. Transfer Data

10.1 Fasilitas Penyimpanan dan Pemrosesan Data. Tunduk pada bagian lainnya di Pasal 10 (Transfer Data) ini, Jibe dapat memproses Data Pribadi Partner di negara mana pun tempat Jibe atau Subpemrosesnya mengelola fasilitas.

10.2 Transfer Eropa Terbatas. Para pihak memahami bahwa Legislasi Perlindungan Data Eropa tidak mewajibkan SCC atau Solusi Transfer Alternatif untuk memproses Data Pribadi Partner di atau mentransfernya ke Negara yang Memadai.

Jika Data Pribadi Partner ditransfer ke negara lain, dan Legislasi Perlindungan Data Eropa berlaku untuk transfer tersebut ("Transfer Eropa Terbatas"), maka:

(a) jika Jibe menerapkan Solusi Transfer Alternatif untuk Transfer Eropa Terbatas, maka Jibe akan memberi tahu Partner tentang solusi yang relevan dan memastikan bahwa Transfer Eropa Terbatas tersebut dilakukan sesuai dengan solusi tersebut; dan/atau

(b) jika Jibe belum menerapkan, atau telah memberi tahu Partner bahwa Jibe tidak lagi menerapkan Solusi Transfer Alternatif untuk Transfer Eropa Terbatas, maka:

(i) jika alamat Jibe berada di Negara yang Memadai:

(A) SCC (Pemroses ke Pemroses, Pengekspor Jibe) akan berlaku sehubungan dengan Transfer Eropa Terbatas tersebut dari Jibe ke Subpemroses; dan

(B) selain itu, jika alamat Partner tidak berada di Negara yang Memadai, SCC (Pemroses ke Pengontrol) akan berlaku sehubungan dengan Transfer Eropa Terbatas antara Jibe dan Partner (terlepas dari apakah Partner merupakan pengontrol dan/atau pemroses); atau

(ii) jika alamat Jibe tidak berada di Negara yang Memadai:

SCC (Pengontrol ke Pemroses) dan/atau SCC (Pemroses ke Pemroses) akan berlaku (sesuai dengan apakah Partner merupakan pengontrol dan/atau pemroses) sehubungan dengan Transfer Eropa Terbatas tersebut antara Partner dan Jibe; dan

(c) referensi ke Google LLC atau Google dan kepada Anda dalam SCC mana pun akan diarahkan ke Jibe dan Partner.

10.3 Prosedur dan Informasi Tambahan. Jibe akan memberikan informasi yang relevan dengan Transfer Eropa Terbatas kepada Partner, termasuk informasi tentang prosedur tambahan untuk melindungi Data Pribadi Partner, seperti yang dijelaskan dalam Pasal 7.5.1 (Peninjauan Dokumentasi Keamanan), Lampiran 2 (Prosedur Keamanan), dan materi lain yang berkaitan dengan karakteristik Layanan Pemroses dan pemrosesan Data Pribadi Partner (misalnya, artikel pusat bantuan).

10.4 Penghentian. Jika Partner menyimpulkan, berdasarkan penggunaan Layanan Pemroses saat ini atau yang dimaksudkan, bahwa Solusi Transfer Alternatif dan/atau SCC, sebagaimana berlaku, tidak memberikan pengamanan yang sesuai untuk Data Pribadi Partner, Partner dapat segera menghentikan Perjanjian untuk memudahkan dengan memberi tahu Jibe secara tertulis.

10.5 Informasi Pusat Data. Informasi tentang lokasi pusat data Google LLC tersedia di www.google.com/about/datacenters/locations/index.html.

11. Subpemroses

11.1 Izin untuk Keterlibatan Subpemroses. Partner secara khusus mengizinkan keterlibatan Subpemroses yang tercantum dalam Pasal 11.2 (Informasi tentang Subpemroses) sejak Tanggal Mulai Berlaku Persyaratan. Selain itu, Partner umumnya memberikan otorisasi keterlibatan pihak ketiga lainnya sebagai Subpemroses ("Subpemroses Baru"), tunduk pada Pasal 11.4 (Kesempatan untuk Menolak Perubahan Subpemroses).

11.2 Informasi tentang Subpemroses. Atas permintaan tertulis Partner, Jibe akan memberikan informasi terkait Subpemroses dan lokasinya. Setiap permintaan tersebut harus dikirim ke Jibe menggunakan detail kontak yang ditetapkan dalam Bagian 12.1 (Menghubungi Jibe).

11.3 Persyaratan untuk Keterlibatan Subpemroses. Saat melibatkan Subpemroses, Jibe akan:

(a) memastikan melalui kontrak tertulis bahwa:

(i) Subpemroses hanya mengakses dan menggunakan Data Pribadi Partner sejauh diperlukan untuk melakukan kewajiban yang disubkontrakkan padanya, dan melakukannya sesuai dengan Perjanjian (termasuk Adendum Pemrosesan Data ini); dan

(ii) jika pemrosesan Data Pribadi Partner tunduk pada Legislasi Perlindungan Data Eropa, kewajiban perlindungan data dalam Adendum Pemrosesan Data ini (sebagaimana dimaksud dalam Pasal 28(3) GDPR, jika berlaku) diberlakukan pada Subpemroses; dan

(b) tetap bertanggung jawab penuh atas semua kewajiban yang disubkontrakkan kepada, serta semua tindakan dan kelalaian dari, Subpemroses.

11.4 Kesempatan untuk Menolak Perubahan Subpemroses.

(a) Jika Subpemroses Baru terlibat selama Jangka Waktu, setidaknya 30 hari sebelum Subpemroses Baru memproses Data Pribadi Partner, Jibe akan memberi tahu Partner tentang keterlibatan tersebut (termasuk nama dan lokasi subpemroses yang relevan dan aktivitas yang akan dilakukan) dengan mengirimkan email ke Alamat Email Notifikasi.

(b) Partner dapat keberatan dengan Subpemroses Baru dengan segera menghentikan Perjanjian demi kenyamanan setelah pemberitahuan tertulis kepada Jibe, dengan syarat Partner memberikan pemberitahuan tersebut dalam waktu 90 hari setelah diberi tahu tentang keterlibatan Subpemroses Baru seperti yang dijelaskan dalam Pasal 11.4(a).

12. Menghubungi Jibe; Memproses Kumpulan Data

12.1 Menghubungi Jibe. Saat menjalankan haknya berdasarkan Adendum Pemrosesan Data ini, Partner dapat menghubungi Jibe melalui kontak perlindungan data RCS Jibe yang dapat dihubungi melalui issuetracker.google.com, atau melalui cara lain yang mungkin disediakan oleh Jibe.

12.2 Laporan Pemrosesan Jibe. Jibe akan menyimpan dokumentasi yang sesuai dari aktivitas pemrosesannya sebagaimana diwajibkan oleh GDPR. Partner mengakui bahwa Jibe diwajibkan berdasarkan GDPR untuk: (a) mengumpulkan dan mengelola catatan informasi tertentu, termasuk: (i) nama dan detail kontak setiap pemroses dan/atau pengontrol atas nama Jibe dan (jika berlaku) dari perwakilan lokal pemroses atau pengontrol tersebut dan petugas perlindungan data, dan (ii) jika berlaku berdasarkan SCC yang relevan, Otoritas Pengawasan Partner; dan (b) menyediakan informasi tersebut kepada Otoritas Pengawasan. Oleh karena itu, jika diminta dan sebagaimana berlaku, Partner akan memberikan informasi tersebut kepada Jibe melalui antarmuka pengguna Layanan Pemroses atau dengan cara lain yang mungkin disediakan oleh Jibe, dan akan menggunakan antarmuka pengguna tersebut atau cara lain untuk memastikan bahwa semua informasi yang diberikan selalu akurat dan terbaru.

12.3 Permintaan Pengontrol. Jika Jibe menerima permintaan atau petunjuk dari pihak ketiga yang mengaku sebagai pengontrol Data Pribadi Partner, Jibe akan menyarankan pihak ketiga tersebut untuk menghubungi Partner.

13. Kewajiban

Jika Perjanjian diatur oleh hukum:

(a) negara bagian Amerika Serikat, maka, terlepas dari apa pun dalam Perjanjian, total kewajiban setiap pihak terhadap pihak lain berdasarkan atau sehubungan dengan Adendum Pemrosesan Data ini akan dibatasi hingga jumlah maksimum berbasis uang atau pembayaran yang menjadi batas kewajiban pihak tersebut berdasarkan Perjanjian (dan oleh karena itu, pengecualian atas kerahasiaan atau klaim ganti rugi dari batasan kewajiban Perjanjian tidak akan berlaku untuk klaim berdasarkan Perjanjian yang berkaitan dengan Legislasi Perlindungan Data Eropa atau Legislasi Perlindungan Data Non-Eropa); atau

(b) wilayah hukum yang bukan merupakan negara bagian Amerika Serikat, maka total kewajiban gabungan para pihak dan afiliasinya berdasarkan atau sehubungan dengan Adendum Pemrosesan Data ini akan tunduk pada Perjanjian.

14. Efek Adendum Pemrosesan Data ini

14.1 Urutan Prioritas. Jika ada pertentangan atau ketidaksesuaian antara SCC, Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Eropa, Adendum Pemrosesan Data ini, dan bagian lainnya dalam Perjanjian, urutan prioritas berikut akan berlaku:

(a) SCC;

(b) Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Eropa;

(c) bagian lainnya dalam Adendum Pemrosesan Data ini; dan

(d) sisa Perjanjian.

Tunduk pada amendemen dalam Adendum Pemrosesan Data ini, Perjanjian tetap berlaku dan memiliki kekuatan hukum penuh.

14.2 Tidak Ada Perubahan pada SCC. Tidak ada ketentuan dalam Perjanjian (termasuk Adendum Pemrosesan Data ini) yang dimaksudkan untuk mengubah atau menentang SCC atau mengurangi hak dasar atau kebebasan subjek data berdasarkan Legislasi Perlindungan Data Eropa.

14.3 Tidak Akan Berpengaruh pada Persyaratan Pengontrol. Adendum Pemrosesan Data ini tidak akan memengaruhi persyaratan terpisah apa pun antara Jibe dan Partner yang mencerminkan hubungan pengontrol-pengontrol untuk layanan selain Layanan Pemroses.

14.4 SCC Inggris Raya Lama. Mulai 21 September 2022 atau tanggal mulai berlaku Perjanjian, mana saja yang lebih baru, persyaratan tambahan SCC untuk transfer GDPR Inggris Raya akan berlaku, dan akan menggantikan serta menghentikan setiap klausul kontrak standar yang disetujui berdasarkan GDPR Inggris Raya dan Data Protection Act 2018 dan sebelumnya disepakati oleh Partner dan Jibe ("SCC Inggris Raya Lama"). Pasal 14.4 (SCC Inggris Raya Lama) ini tidak akan memengaruhi hak masing-masing pihak, atau hak subjek data apa pun, yang mungkin telah diperoleh berdasarkan SCC Inggris Raya Lama saat SCC tersebut berlaku.

15. Perubahan pada Adendum Pemrosesan Data ini

15.1 Perubahan pada URL. Dari waktu ke waktu, Jibe dapat mengubah URL apa pun yang dirujuk dalam Adendum Pemrosesan Data ini dan konten di URL tersebut, kecuali bahwa Jibe hanya dapat mengubah SCC sesuai dengan Pasal 15.2(b) - 15.2(d) (Perubahan pada Adendum Pemrosesan Data) atau untuk menyertakan versi baru SCC yang dapat diadopsi berdasarkan Legislasi Perlindungan Data Eropa, dalam setiap kasus dengan cara yang tidak memengaruhi validitas SCC berdasarkan Legislasi Perlindungan Data Eropa.

15.2 Perubahan pada Adendum Pemrosesan Data. Jibe dapat mengubah Adendum Pemrosesan Data ini jika perubahan tersebut:

(a) secara tegas diizinkan oleh Adendum Pemrosesan Data ini, termasuk seperti dijelaskan dalam Pasal 15.1 (Perubahan pada URL);

(b) mencerminkan perubahan nama atau bentuk entitas hukum;

(c) diwajibkan untuk mematuhi hukum yang berlaku, peraturan yang berlaku, perintah pengadilan, atau panduan yang dikeluarkan oleh badan pengatur atau lembaga pemerintah, atau mencerminkan penerapan Solusi Transfer Alternatif oleh Jibe; atau

(d) tidak (i) mengakibatkan penurunan keamanan keseluruhan Layanan Pemroses; (ii) memperluas cakupan atau menghapus batasan apa pun pada, (x) dalam kasus Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Eropa, hak Jibe untuk menggunakan atau memproses data dalam cakupan Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Eropa atau (y) dalam kasus sisa Adendum Pemrosesan Data ini, pemrosesan Data Pribadi Partner oleh Jibe, seperti yang dijelaskan dalam Pasal 5.3 (Kepatuhan Jibe terhadap Petunjuk); dan (iii) jika tidak, memiliki dampak buruk yang material terhadap hak Partner berdasarkan Adendum Pemrosesan Data ini, sebagaimana ditentukan secara wajar oleh Jibe.

15.3 Pemberitahuan Perubahan. Jika Jibe bermaksud mengubah Adendum Pemrosesan Data ini berdasarkan Pasal 15.2(c) atau (d), Jibe akan memberi tahu Partner setidaknya 30 hari (atau periode yang lebih singkat yang mungkin diperlukan untuk mematuhi hukum yang berlaku, peraturan yang berlaku, perintah pengadilan, atau panduan yang dikeluarkan oleh regulator atau lembaga pemerintah) sebelum perubahan tersebut berlaku dengan: (a) mengirimkan email ke Alamat Email Notifikasi; atau (b) memberi tahu Partner melalui antarmuka pengguna untuk Layanan Pemroses. Jika Partner keberatan dengan perubahan tersebut, Partner dapat menghentikan Perjanjian demi kenyamanan dengan memberikan pemberitahuan tertulis kepada Jibe dalam waktu 90 hari setelah diberi tahu oleh Jibe tentang perubahan tersebut.

Lampiran 1: Materi Pokok dan Detail Pemrosesan Data

Materi Pokok

Penyediaan Layanan Prosesor oleh Jibe dan dukungan teknis yang terkait kepada Partner.

Durasi Pemrosesan

Jangka Waktu ditambah periode dari akhir Jangka Waktu hingga penghapusan semua Data Pribadi Partner oleh Jibe sesuai dengan Adendum Pemrosesan Data ini.

Sifat dan Tujuan Pemrosesan

Jibe akan memproses Data Pribadi Partner, termasuk (sebagaimana berlaku untuk sifat Layanan Pemroses dan Petunjuk) mengumpulkan, mencatat, mengatur, menyusun, menyimpan, mengubah, mengambil, menggunakan, mengungkapkan, menggabungkan, menghapus, dan menghancurkan Data Pribadi Partner untuk tujuan menyediakan Layanan Pemroses dan dukungan teknis terkait kepada Partner sesuai dengan Adendum Pemrosesan Data ini.

Jenis Data Pribadi

Data pribadi yang berkaitan dengan individu yang diberikan kepada Jibe melalui Layanan Pemrosesan, oleh (atau atas arahan dari) Partner atau oleh pengguna akhir Partner.

Kategori Subjek Data

Subjek data mencakup individu yang datanya diberikan kepada Jibe melalui Layanan Pemroses oleh (atau atas arahan dari) atau oleh Partner.

Lampiran 2: Prosedur Keamanan

Sejak Tanggal Mulai Berlaku Persyaratan, Jibe akan menerapkan dan mengelola Prosedur Keamanan dalam Lampiran 2 ini. Jibe dapat memperbarui atau memodifikasi Prosedur Keamanan tersebut dari waktu ke waktu, asalkan pembaruan dan modifikasi tersebut tidak mengakibatkan degradasi keamanan Layanan Pemroses secara keseluruhan.

1. Keamanan Pusat Data & Jaringan

(a) Pusat Data.

Infrastruktur. Jibe mengelola pusat data yang tersebar secara geografis. Jibe menyimpan semua data produksi di pusat data yang aman secara fisik.

Redundansi. Sistem infrastruktur telah dirancang untuk menghilangkan titik tunggal kegagalan dan meminimalkan dampak risiko lingkungan yang dapat diperkirakan. Sirkuit ganda, tombol, jaringan, atau perangkat lain yang diperlukan membantu menyediakan redundansi ini. Layanan Prosesor dirancang untuk memungkinkan Jibe melakukan jenis pemeliharaan tertentu yang bersifat korektif dan preventif tanpa gangguan. Semua peralatan dan fasilitas lingkungan telah mendokumentasikan prosedur pemeliharaan preventif yang merinci proses serta frekuensi performa sesuai dengan spesifikasi produsen atau internal. Pemeliharaan preventif dan korektif untuk peralatan pusat data dijadwalkan melalui proses standar sesuai dengan prosedur yang terdokumentasi.

Daya. Sistem daya listrik pusat data dirancang untuk menjadi redundan dan dapat dikelola tanpa memengaruhi operasi berkelanjutan, 24 jam sehari, dan 7 hari seminggu. Pada umumnya, sumber listrik utama serta alternatif, masing-masing dengan kapasitas setara, disediakan untuk komponen infrastruktur penting di pusat data. Daya cadangan disediakan melalui berbagai mekanisme seperti baterai catu daya tanpa gangguan (UPS), yang memasok perlindungan daya yang andal secara konsisten selama pengurangan kapasitas utilitas, pemadaman, tegangan berlebih, tegangan kurang, dan kondisi frekuensi di luar toleransi. Jika daya utilitas terganggu, daya cadangan dirancang untuk menyediakan daya sementara bagi pusat data, dengan kapasitas penuh, untuk maksimal 10 menit hingga sistem generator cadangan mengambil alih. Generator dapat otomatis dimulai dalam hitungan detik untuk menyediakan daya listrik darurat yang cukup guna menjalankan pusat data dengan kapasitas penuh, biasanya untuk beberapa hari.

Sistem Operasi Server. Server Jibe menggunakan sistem operasi yang telah di-hardening dan disesuaikan untuk kebutuhan server unik bisnis. Data disimpan menggunakan algoritma eksklusif untuk meningkatkan redundansi dan keamanan data. Jibe menggunakan proses peninjauan kode untuk meningkatkan keamanan kode yang digunakan untuk menyediakan Layanan Prosesor dan meningkatkan produk keamanan di lingkungan produksi.

Kelangsungan Bisnis. Jibe mereplikasi data di beberapa sistem untuk membantu melindungi dari pemusnahan atau kehilangan yang tidak disengaja. Jibe telah merancang, serta secara rutin merencanakan dan menguji rencana kelangsungan bisnis/program pemulihan dari bencana.

Teknologi Enkripsi. Kebijakan keamanan Jibe mewajibkan enkripsi dalam penyimpanan untuk semua data pengguna, termasuk data pribadi. Data sering kali dienkripsi di beberapa tingkat pada stack penyimpanan produksi Jibe di pusat data, termasuk di tingkat hardware, tanpa memerlukan tindakan apa pun dari partner atau pelanggan. Penggunaan beberapa lapisan enkripsi ini menambahkan perlindungan data redundan dan memungkinkan Jibe memilih pendekatan yang optimal berdasarkan persyaratan aplikasi. Semua data pribadi dienkripsi di tingkat penyimpanan, umumnya menggunakan AES256. Jibe menggunakan library kriptografi umum yang menggabungkan modul tervalidasi FIPS 140-2 Jibe, untuk menerapkan enkripsi secara konsisten di seluruh Layanan Prosesor.

(b) Jaringan & Transmisi.

Transmisi Data. Pusat data biasanya terhubung melalui link pribadi berkecepatan tinggi untuk memberikan transfer data yang cepat dan aman di antara pusat data. Hal ini dirancang untuk mencegah data dibaca, disalin, diubah, atau dihapus tanpa izin selama pengiriman elektronik. Jibe mentransfer data melalui protokol standar Internet.

Permukaan Serangan Eksternal. Jibe menggunakan perangkat jaringan berlapis dan deteksi penyusupan untuk melindungi permukaan serangan eksternalnya. Jibe mempertimbangkan potensi vektor serangan dan menggabungkan teknologi yang dibuat dengan tujuan yang sesuai ke dalam sistem yang berkaitan dengan pihak eksternal.

Intrusion Detection. Deteksi penyusupan ditujukan untuk memberikan insight tentang aktivitas serangan yang sedang berlangsung dan menyediakan informasi yang memadai untuk merespons insiden. Deteksi penyusupan Jibe melibatkan:

  1. Mengontrol ukuran dan susunan permukaan serangan Jibe secara ketat melalui tindakan pencegahan;

  2. Menggunakan kontrol deteksi cerdas pada titik entri data; dan

  3. Menggunakan teknologi yang otomatis memperbaiki situasi berbahaya tertentu.

Respons Insiden. Jibe memantau berbagai saluran komunikasi untuk insiden keamanan, dan staf keamanan Jibe akan segera bereaksi terhadap insiden yang diketahui.

Teknologi Enkripsi. Jibe menyediakan enkripsi HTTPS (juga disebut sebagai koneksi TLS). Server Jibe mendukung pertukaran kunci kriptografis ephemeral elliptic curve Diffie Hellman yang ditandatangani dengan RSA dan ECDSA. Metode forward secrecy (PFS) sempurna ini membantu melindungi traffic dan meminimalkan dampak kunci yang disusupi, atau terobosan kriptografi.

2. Kontrol Situs dan Akses

(a) Kontrol Situs.

Operasi Keamanan di Pusat Data. Pusat data Jibe mengelola operasi keamanan di tempat yang bertanggung jawab atas semua fungsi keamanan pusat data fisik 24 jam sehari, 7 hari seminggu. Staf operasi keamanan di tempat memantau kamera Closed Circuit TV ("CCTV") dan semua sistem alarm. Staf operasi keamanan di tempat melakukan patroli internal dan eksternal di pusat data secara berkala.

Prosedur Akses Pusat Data. Jibe mengelola prosedur akses formal untuk memungkinkan akses fisik ke pusat data. Pusat data berada di fasilitas yang memerlukan akses kunci kartu elektronik, dengan alarm yang terhubung ke operasi keamanan di tempat. Semua orang yang memasuki pusat data wajib untuk mengidentifikasi diri mereka serta menunjukkan bukti identitas pada operasi keamanan di tempat. Hanya karyawan, kontraktor, dan pengunjung yang memiliki otorisasi yang diizinkan masuk ke pusat data. Hanya kontraktor dan karyawan yang memiliki otorisasi yang diizinkan untuk meminta akses kunci kartu elektronik ke fasilitas tersebut. Permintaan akses kunci kartu elektronik pusat data harus dibuat terlebih dahulu dan secara tertulis, serta memerlukan persetujuan dari personel pusat data yang berwenang. Semua orang lain yang memerlukan akses pusat data sementara harus: (i) mendapatkan persetujuan terlebih dahulu dari pengelola pusat data untuk pusat data tertentu dan area internal yang ingin mereka kunjungi; (ii) login di operasi keamanan di tempat; dan (iii) mereferensikan catatan akses pusat data yang disetujui yang mengidentifikasi individu tersebut sebagai disetujui.

Perangkat Keamanan di Pusat Data. Pusat data Jibe menggunakan kunci kartu elektronik dan sistem kontrol akses biometrik yang terhubung ke alarm sistem. Sistem kontrol akses memantau dan mencatat kunci kartu elektronik setiap individu serta saat dia mengakses pintu perimeter, pengiriman dan penerimaan, serta area penting lainnya. Aktivitas yang tidak sah dan upaya akses yang gagal dicatat oleh sistem kontrol akses dan diinvestigasi, sebagaimana mestinya. Akses yang sah di seluruh operasi bisnis dan pusat data dibatasi berdasarkan zona dan tanggung jawab pekerjaan individu. Pintu kebakaran di pusat data diberi alarm. Kamera CCTV beroperasi di dalam dan di luar pusat data. Pengaturan posisi kamera telah dirancang agar mencakup area strategis termasuk, di antara yang lainnya, perimeter, pintu ke gedung pusat data, dan pengiriman/penerimaan. Staf operasi keamanan di tempat mengelola peralatan kontrol, perekaman, dan pemantauan CCTV. Kabel keamanan di seluruh pusat data terhubung ke peralatan CCTV. Kamera merekam kejadian di tempat melalui perekam video digital 24 jam sehari, 7 hari seminggu. Rekaman pengawasan disimpan setidaknya selama 7 hari berdasarkan aktivitas.

(b) Access Control.

Staf Keamanan Infrastruktur. Jibe memiliki, serta mengelola, kebijakan keamanan untuk stafnya, dan mewajibkan pelatihan keamanan sebagai bagian dari paket pelatihan bagi stafnya. Staf keamanan infrastruktur Jibe bertanggung jawab atas pemantauan berkelanjutan terhadap infrastruktur keamanan Jibe, peninjauan Layanan Pemroses, dan merespons insiden keamanan.

Pengelolaan Hak Istimewa dan Kontrol Akses. Administrator dan pengguna partner harus mengautentikasi diri mereka sendiri menggunakan sistem autentikasi pusat atau sistem single sign-on agar dapat menggunakan Layanan Pemroses.

Kebijakan dan Proses Akses Data Internal – Kebijakan Akses. Kebijakan dan proses akses data internal Jibe dirancang untuk mencegah orang dan/atau sistem yang tidak memiliki otorisasi mendapatkan akses ke sistem yang digunakan untuk memproses data pribadi. Jibe bertujuan untuk merancang sistemnya agar: (i) hanya mengizinkan orang yang memiliki otorisasi untuk mengakses data yang izin aksesnya mereka miliki; dan (ii) memastikan data pribadi tidak dapat dibaca, disalin, diubah, atau dihapus tanpa izin selama pemrosesan, penggunaan, dan setelah perekaman. Sistem dirancang untuk mendeteksi semua akses yang tidak sesuai. Jibe menggunakan sistem pengelolaan akses terpusat untuk mengontrol akses personel ke server produksi, dan hanya memberikan akses kepada sejumlah terbatas personel yang memiliki izin. LDAP, Kerberos, dan sistem eksklusif yang menggunakan sertifikat digital dirancang untuk memberikan mekanisme akses yang aman dan fleksibel kepada Jibe. Mekanisme ini dirancang untuk hanya memberikan hak akses yang disetujui ke host situs, log, data, dan informasi konfigurasi. Jibe mewajibkan penggunaan ID pengguna unik, sandi yang kuat, autentikasi 2 langkah, dan memantau dengan saksama daftar akses untuk meminimalkan potensi penggunaan akun yang tidak sah. Pemberian atau perubahan hak akses didasarkan pada: tanggung jawab pekerjaan staf yang memiliki izin; persyaratan tugas pekerjaan yang diperlukan untuk melakukan tugas yang diizinkan; dan dasar perlu mengetahui. Pemberian atau perubahan hak akses juga harus sesuai dengan pelatihan dan kebijakan akses data internal Jibe. Persetujuan dikelola oleh alat alur kerja yang mengelola catatan audit semua perubahan. Akses ke sistem dicatat ke dalam log untuk membuat jejak audit guna akuntabilitas. Jika sandi digunakan untuk autentikasi (misalnya, login ke workstation), penerapan kebijakan sandi yang mengikuti setidaknya praktik standar industri. Standar ini mencakup pembatasan penggunaan kembali sandi dan kekuatan sandi yang memadai.

3. Data

(a) Penyimpanan, Isolasi, dan Autentikasi Data.

Jibe menyimpan data dalam lingkungan multi-tenant di server milik Google LLC. Data, database Layanan Prosesor, dan arsitektur sistem file direplikasi di antara beberapa pusat data yang tersebar secara geografis. Jibe secara logis mengisolasi data setiap partner atau pelanggan. Sistem autentikasi pusat digunakan di semua Layanan Prosesor untuk meningkatkan keamanan data yang seragam.

(b) Panduan Disk yang Dinonaktifkan dan Pemusnahan Disk.

Disk tertentu yang berisi data mungkin mengalami masalah performa, error, atau kegagalan hardware yang menyebabkan disk tersebut dinonaktifkan ("Disk yang Dinonaktifkan"). Setiap Disk yang Dihentikan Penggunaannya akan melalui serangkaian proses pemusnahan data ("Panduan Pemusnahan Data") sebelum meninggalkan lokasi Jibe untuk digunakan kembali atau dihancurkan. Disk yang Dinonaktifkan dihapus dalam proses yang terdiri dari beberapa langkah dan penyelesaian prosesnya diverifikasi oleh setidaknya dua validator independen. Untuk pelacakan, hasil penghapusan dicatat berdasarkan nomor seri Disk yang Dinonaktifkan. Terakhir, Disk yang Dinonaktifkan yang telah dihapus akan dipindahkan ke inventaris untuk digunakan kembali dan deployment ulang. Jika, karena kegagalan hardware, Disk yang Dinonaktifkan tidak dapat dihapus, disk akan disimpan dengan aman hingga dapat dihancurkan. Setiap fasilitas diaudit secara berkala untuk memantau kepatuhan terhadap Pedoman Pemusnahan Data.

(c) Data Pseudonim.

Data iklan online biasanya dikaitkan dengan ID online yang sendirinya dianggap 'pseudonim' (yaitu, tidak dapat diatribusikan ke individu tertentu tanpa penggunaan informasi tambahan). Jibe memiliki kumpulan kebijakan yang andal serta kontrol teknis dan organisasi yang diterapkan untuk memastikan pemisahan antara data pseudonim dan informasi pengguna yang dapat diidentifikasi secara pribadi (yaitu informasi yang dapat digunakan secara mandiri untuk mengidentifikasi, menghubungi, atau menemukan lokasi seseorang secara akurat), seperti data akun Jibe pengguna. Kebijakan Jibe hanya mengizinkan aliran informasi antara data pseudonim dan data identitas pribadi dalam keadaan yang sangat terbatas.

(d) Launch Reviews.

Jibe melakukan peninjauan peluncuran untuk produk dan fitur baru sebelum peluncuran. Hal ini mencakup peninjauan privasi yang dilakukan oleh engineer privasi yang terlatih secara khusus. Dalam peninjauan privasi, engineer privasi memastikan bahwa semua kebijakan dan panduan Jibe yang berlaku diikuti, termasuk, tetapi tidak terbatas pada, kebijakan yang berkaitan dengan pseudonimisasi serta retensi dan penghapusan data.

4. Keamanan Staf

Staf Jibe diwajibkan untuk berperilaku sesuai dengan panduan perusahaan mengenai kerahasiaan, etika bisnis, penggunaan yang sesuai, dan standar profesional. Jibe melakukan pemeriksaan latar belakang yang sesuai secara wajar, sejauh diizinkan secara hukum dan sesuai dengan hukum ketenagakerjaan serta peraturan berdasarkan hukum setempat.

Staf diwajibkan untuk menandatangani perjanjian kerahasiaan dan harus menyatakan penerimaan, serta kepatuhan terhadap, kebijakan privasi dan kerahasiaan Jibe. Staf diberikan pelatihan keamanan. Staf yang menangani Data Pribadi Partner diwajibkan untuk melengkapi persyaratan tambahan yang sesuai dengan perannya. Staf Jibe tidak akan memproses Data Pribadi Partner tanpa otorisasi.

5. Keamanan Subpemroses

Sebelum melakukan orientasi Subpemroses, Jibe akan melakukan audit keamanan dan praktik privasi Subpemroses untuk memastikan Subpemroses memberikan tingkat keamanan dan privasi yang sesuai untuk akses mereka ke data serta cakupan layanan yang akan diberikan. Setelah Jibe menilai risiko yang dihadirkan oleh Pemroses Sub, Pemroses Sub diwajibkan untuk menyepakati persyaratan kontrak keamanan, kerahasiaan, dan privasi yang sesuai, tunduk pada persyaratan dalam Pasal 11.3 (Persyaratan untuk Keterlibatan Pemroses Sub).

Lampiran 3: Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Eropa

Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Eropa berikut melengkapi Adendum Pemrosesan Data ini:

Referensi ke Google LLC atau Google dalam Adendum Pemroses LGPD dan Adendum Hukum Negara Bagian Amerika Serikat akan merujuk ke Jibe.

Adendum Pemrosesan Data Jibe, Versi 4.0

Versi sebelumnya