Kebijakan Privasi dan Pelindungan Data Pribadi

2 — Definisi

Data Pribadi

Data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya, baik secara langsung maupun tidak langsung, melalui sistem elektronik maupun nonelektronik.

Data Pribadi Umum

Antara lain nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan data pribadi yang dikombinasikan untuk mengidentifikasi seseorang (Pasal 4 UU PDP).

Data Pribadi Spesifik

Data dan informasi kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, dan data lain sesuai peraturan perundang-undangan (Pasal 4 UU PDP).

Subjek Data Pribadi

Orang perseorangan yang pada dirinya melekat Data Pribadi — dalam Kebijakan ini disebut juga "Anda".

Pengendali Data Pribadi

Pihak yang menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi.

Prosesor Data Pribadi

Pihak yang melakukan pemrosesan Data Pribadi atas nama dan berdasarkan perintah Pengendali Data Pribadi.

Pemrosesan

Perolehan, pengumpulan, pengolahan, penganalisisan, penyimpanan, perbaikan, pembaruan, penampilan, pengumuman, pemindahan, penyebarluasan, pengungkapan, penghapusan, atau pemusnahan Data Pribadi.

Data Pelanggan

Seluruh data, konten, konfigurasi, image, snapshot, dan backup yang diunggah, dibuat, atau disimpan Pelanggan pada Layanan Levia Cloud.

Layanan

Layanan komputasi awan Levia Cloud sebagaimana didefinisikan dalam Syarat dan Ketentuan Layanan.

Sub-Prosesor

Pihak ketiga yang ditunjuk Levia Cloud untuk memproses Data Pribadi dalam rangka menyelenggarakan Layanan.

Kegagalan Pelindungan

Peristiwa yang mengakibatkan terungkapnya, hilangnya, berubahnya, atau diaksesnya Data Pribadi secara tidak sah.

Lembaga

Lembaga yang menyelenggarakan urusan pelindungan data pribadi sebagaimana dimaksud dalam UU PDP.

Hari Kerja

Senin sampai dengan Jumat, pukul 08.00–18.00 WIB, di luar hari libur nasional Republik Indonesia.

3 — Dua peran Levia Cloud atas data pribadi

Sebagai penyedia infrastruktur cloud, Levia Cloud memiliki dua peran yang berbeda secara hukum. Membedakan keduanya penting karena hak dan kewajiban yang melekat pada masing-masing peran tidak sama.

1. (1)Apabila Pelanggan merupakan badan usaha, maka badan usaha tersebut bertindak sebagai Pengendali Data Pribadi atas data personelnya sendiri maupun data pelanggan akhirnya, dan bertanggung jawab memastikan tersedianya dasar pemrosesan yang sah.
2. (2)Levia Cloud tidak menentukan jenis Data Pribadi yang disimpan Pelanggan pada Layanan, tidak menentukan tujuan pemrosesannya, dan tidak menggunakannya untuk kepentingan sendiri dalam bentuk apa pun, termasuk untuk pelatihan model kecerdasan buatan, periklanan, atau analitik komersial.

Bagian II — Levia Cloud sebagai pengendali

4 — Data pribadi yang kami kumpulkan

4.1 Kategori data

4.2 Data pribadi spesifik

4.3 Data yang tidak kami kumpulkan

• Kami tidak menyimpan nomor kartu kredit lengkap, tanggal kedaluwarsa, maupun kode CVV. Data tersebut diproses langsung oleh penyedia gerbang pembayaran tersertifikasi PCI DSS.
• Kami tidak melakukan pelacakan lintas situs untuk tujuan periklanan berbasis perilaku.
• Kami tidak membeli daftar data pribadi dari pihak ketiga untuk keperluan pemasaran.
• Kami tidak melakukan pengambilan keputusan otomatis yang menimbulkan akibat hukum bagi Anda tanpa keterlibatan manusia, kecuali proses penagihan otomatis sebagaimana Pasal 7 Syarat dan Ketentuan Layanan yang linimasanya telah diberitahukan sebelumnya dan dapat dihentikan dengan pelunasan.

5 — Tujuan dan dasar hukum pemrosesan

Setiap pemrosesan Data Pribadi yang Kami lakukan memiliki dasar pemrosesan yang sah sebagaimana Pasal 20 ayat (2) UU PDP. Tabel berikut memetakan tujuan, data yang digunakan, dan dasar hukumnya.

6 — Pengungkapan kepada pihak ketiga

Kami dapat mengungkapkan Data Pribadi secara terbatas kepada pihak berikut, sepanjang diperlukan dan dengan pengamanan yang memadai.

1. (1)Daftar Sub-Prosesor yang mutakhir disajikan pada Lampiran A dan dipublikasikan pada halaman kebijakan privasi di situs Kami.
2. (2)Sebelum menunjuk Sub-Prosesor baru yang memproses Data Pelanggan, Kami memberitahukan Pelanggan sekurang-kurangnya 30 hari kalender sebelumnya. Pelanggan berhak mengajukan keberatan yang beralasan sebagaimana diatur pada Lampiran B.
3. (3)Dalam hal Kami menerima permintaan akses data dari aparat penegak hukum, Kami akan: (a) memeriksa keabsahan dan kewenangan permintaan; (b) membatasi cakupan pengungkapan pada apa yang secara tegas diminta; dan (c) memberitahukan Anda, kecuali pemberitahuan tersebut dilarang oleh peraturan perundang-undangan atau penetapan pengadilan.

7 — Jangka waktu penyimpanan data

Kami menyimpan Data Pribadi hanya selama diperlukan untuk mencapai tujuan pemrosesan, atau selama diwajibkan oleh peraturan perundang-undangan, mana yang lebih lama.

1. (1)Setelah jangka waktu penyimpanan berakhir, Data Pribadi dihapus atau dimusnahkan dengan metode yang tidak memungkinkan pemulihan, atau dianonimkan secara permanen sehingga tidak lagi dapat dikaitkan dengan orang perseorangan.
2. (2)Data yang sedang menjadi objek perselisihan hukum, pemeriksaan otoritas, atau permintaan penegak hukum disimpan sampai perkara tersebut selesai secara berkekuatan hukum tetap, meskipun jangka waktu penyimpanan normal telah berakhir.

8 — Cookie, analitik, dan komunikasi pemasaran

8.1 Jenis cookie yang kami gunakan

1. (1)Cookie non-esensial hanya diaktifkan setelah Anda memberikan persetujuan melalui banner cookie pada kunjungan pertama. Anda dapat mengubah atau menarik persetujuan kapan saja melalui tautan "Pengaturan Cookie" pada bagian bawah setiap halaman situs Kami.
2. (2)Anda juga dapat memblokir atau menghapus cookie melalui pengaturan peramban. Pemblokiran cookie esensial dapat menyebabkan sebagian fungsi konsol tidak berjalan sebagaimana mestinya.
3. (3)Kami menghormati sinyal Do Not Track dan Global Privacy Control yang dikirim peramban Anda dengan tidak mengaktifkan cookie analitik dan pemasaran.

8.2 Komunikasi pemasaran

1. (1)Komunikasi pemasaran hanya dikirim kepada Anda apabila Anda telah memberikan persetujuan secara eksplisit, misalnya dengan mendaftar buletin atau mencentang kotak persetujuan pada formulir.
2. (2)Setiap surat elektronik pemasaran memuat tautan berhenti berlangganan yang berfungsi. Penarikan persetujuan dieksekusi paling lambat 3 Hari Kerja sejak diterima.
3. (3)Penarikan persetujuan pemasaran tidak memengaruhi keabsahan pemrosesan yang telah dilakukan sebelumnya, dan tidak menghentikan komunikasi operasional sebagaimana dijelaskan pada Bagian 5.

Bagian III — Levia Cloud sebagai prosesor

9 — Data pelanggan pada layanan

Ketika Anda menjalankan virtual machine, menyimpan berkas pada object storage, atau mengoperasikan basis data pada Layanan Levia Cloud, seluruh data di dalamnya merupakan Data Pelanggan yang sepenuhnya berada di bawah kendali Anda.

Atas Data Pelanggan tersebut, Anda bertindak sebagai Pengendali Data Pribadi dan Levia Cloud bertindak sebagai Prosesor Data Pribadi. Konsekuensinya:

• Anda yang menentukan Data Pribadi apa yang disimpan, untuk tujuan apa, dan berapa lama.
• Anda yang bertanggung jawab memastikan tersedianya dasar pemrosesan yang sah atas Data Pribadi tersebut.
• Anda yang bertanggung jawab menanggapi permintaan Subjek Data Pribadi Anda sendiri.
• Anda yang bertanggung jawab atas pengamanan pada tingkat sistem operasi, aplikasi, enkripsi isi, dan kontrol akses pengguna Anda.
• Kami menyediakan infrastruktur yang aman dan alat bantu, serta memproses Data Pelanggan hanya sesuai instruksi Anda.

1. (1)Kami tidak memindai, menganalisis, mengindeks, atau memanfaatkan isi Data Pelanggan untuk kepentingan Kami sendiri, termasuk untuk pelatihan model kecerdasan buatan, penjualan silang, periklanan, atau pembuatan profil.
2. (2)Ketentuan rinci mengenai hubungan Pengendali–Prosesor dituangkan dalam Perjanjian Pemrosesan Data Pribadi pada Lampiran B, yang dapat ditandatangani terpisah apabila Anda memerlukannya untuk keperluan audit, tender, atau kepatuhan internal.

10 — Batasan pemrosesan dan instruksi pelanggan

Levia Cloud memproses Data Pelanggan semata-mata berdasarkan instruksi terdokumentasi dari Pelanggan, yang diwujudkan melalui: (a) Syarat dan Ketentuan Layanan; (b) Kebijakan ini beserta Lampiran B; (c) konfigurasi yang Anda tetapkan sendiri pada konsol dan API; dan (d) permintaan tertulis melalui portal tiket resmi.

Akses personel Levia Cloud terhadap Data Pelanggan hanya dimungkinkan dalam tiga keadaan berikut.

1. (1)Setiap akses personel terhadap Data Pelanggan dicatat dalam audit trail yang tidak dapat diubah, memuat identitas petugas, waktu, cakupan, dan alasan akses. Catatan tersebut dapat Anda minta sewaktu-waktu.
2. (2)Apabila menurut penilaian Kami suatu instruksi Pelanggan bertentangan dengan UU PDP atau peraturan perundang-undangan lainnya, Kami akan memberitahukan hal tersebut kepada Pelanggan dan berhak menangguhkan pelaksanaan instruksi dimaksud.

11 — Sub-prosesor dan bantuan kepada pelanggan

11.1 Sub-prosesor

1. (1)Levia Cloud dapat menunjuk Sub-Prosesor untuk mendukung penyelenggaraan Layanan. Setiap Sub-Prosesor terikat kewajiban pelindungan data yang tidak kurang ketat dari kewajiban Levia Cloud dalam Kebijakan ini.
2. (2)Levia Cloud tetap bertanggung jawab penuh kepada Pelanggan atas pemrosesan yang dilakukan Sub-Prosesornya.
3. (3)Daftar Sub-Prosesor terkini disajikan pada Lampiran A. Perubahan diberitahukan sekurang-kurangnya 30 hari kalender sebelum berlaku, dan Pelanggan berhak mengajukan keberatan yang beralasan dalam 14 hari kalender sejak pemberitahuan.

11.2 Bantuan kepada pelanggan

Sebagai Prosesor, Kami membantu Pelanggan memenuhi kewajibannya sebagai Pengendali melalui:

Alat bantu pemenuhan hak Subjek Data

Fitur ekspor, koreksi, dan penghapusan data melalui konsol dan API sehingga Pelanggan dapat menanggapi permintaan Subjek Data Pribadinya secara mandiri.

Penerusan permintaan

Apabila Kami menerima permintaan dari Subjek Data Pribadi yang berkaitan dengan Data Pelanggan, Kami tidak menanggapinya secara langsung, melainkan meneruskannya kepada Pelanggan paling lambat 3 Hari Kerja.

Pemberitahuan insiden

Pemberitahuan Kegagalan Pelindungan yang berdampak pada Data Pelanggan paling lambat 1 x 24 jam sejak Kami mengetahuinya, agar Pelanggan dapat memenuhi kewajiban 3 x 24 jam kepada Subjek Data dan Lembaga.

Dokumentasi kepatuhan

Penyediaan ringkasan sertifikasi ISO/IEC 27001 dan ISO 9001, deskripsi langkah keamanan, dan jawaban atas kuesioner kepatuhan pelanggan.

Dukungan penilaian dampak

Penyediaan informasi teknis yang wajar untuk membantu Pelanggan menyusun penilaian dampak pelindungan data pribadi.

Audit

Fasilitasi audit sesuai ketentuan Lampiran B Bagian B.10.

Bagian IV — Hak, keamanan, dan kepatuhan

12 — Hak Anda sebagai subjek data pribadi

UU PDP memberikan Anda hak-hak berikut. Seluruh hak ini dapat Anda gunakan tanpa biaya.

12.1 Cara mengajukan permohonan

1. (1)Permohonan diajukan melalui surat elektronik ke [email protected], melalui portal tiket resmi, atau dengan mengisi formulir pada Lampiran C.
2. (2)Untuk melindungi Anda dari permohonan palsu, Kami akan memverifikasi identitas pemohon terlebih dahulu. Verifikasi dilakukan dengan cara yang proporsional dan tidak berlebihan.

Tenggat penanganan yang Kami komitmenkan:

1. (1)Kami dapat menolak atau membatasi pemenuhan permohonan dalam hal yang dikecualikan menurut Pasal 15 UU PDP, antara lain kepentingan pertahanan dan keamanan nasional, proses penegakan hukum, kepentingan umum dalam rangka penyelenggaraan negara, pengawasan sektor jasa keuangan, serta kepentingan statistik dan penelitian ilmiah. Penolakan selalu disertai alasan tertulis.
2. (2)Apabila permohonan Anda berkaitan dengan Data Pelanggan milik pelanggan Levia Cloud lain — misalnya Anda adalah pengguna akhir sebuah aplikasi yang berjalan di atas infrastruktur Kami — permohonan tersebut Kami teruskan kepada pelanggan yang bersangkutan sebagai Pengendali, dan Anda Kami beri tahu mengenai penerusan tersebut.

12.2 Hak mengajukan keberatan dan pengaduan

1. (1)Apabila Anda tidak puas atas penanganan permohonan, Anda dapat mengajukan keberatan ke [email protected] yang akan ditinjau oleh pejabat yang berbeda dari penanganan awal, dengan tanggapan paling lambat 10 Hari Kerja.
2. (2)Anda juga berhak mengajukan pengaduan kepada Lembaga yang menyelenggarakan urusan pelindungan data pribadi, dan menempuh upaya hukum melalui pengadilan sesuai Pasal 12 UU PDP.

13 — Keamanan data pribadi

Kami menerapkan langkah teknis dan organisasi yang memadai untuk melindungi Data Pribadi dari akses tidak sah, pengungkapan, perubahan, dan pemusnahan.

Enkripsi

Enkripsi seluruh lalu lintas dalam transit menggunakan TLS 1.2 atau lebih tinggi. Enkripsi saat tersimpan tersedia untuk volume dan object storage. Kata sandi disimpan dalam bentuk hash dengan algoritma yang kuat.

Kontrol akses

Akses berbasis peran dengan prinsip hak akses seminimal mungkin, autentikasi multifaktor wajib bagi seluruh personel internal, dan tinjauan hak akses secara berkala.

Keamanan jaringan

Segmentasi jaringan, firewall dan security group, mitigasi DDoS lapisan 3 dan 4 secara otomatis, serta isolasi antar-tenant.

Pemantauan

Pemantauan keamanan 24 jam sehari 7 hari seminggu oleh Network Operations Center, pencatatan audit yang tidak dapat diubah, dan pemberitahuan otomatis atas anomali.

Pengujian

Pemindaian kerentanan secara berkala, hardening berbasis CIS Benchmark, dan penerapan patch kritikal paling lambat 72 jam sejak rilis vendor.

Keamanan fisik

Data center dengan kendali akses berlapis, pengawasan video, catu daya redundan, dan sistem pemadam kebakaran.

Personel

Perjanjian kerahasiaan bagi seluruh personel, pemeriksaan latar belakang untuk peran sensitif, dan pelatihan pelindungan data pribadi secara berkala.

Sertifikasi

ISO/IEC 27001 untuk Sistem Manajemen Keamanan Informasi dan ISO 9001 untuk Sistem Manajemen Mutu. Infrastruktur disiapkan memenuhi persyaratan PCI DSS.

Kelangsungan usaha

Cadangan sistem internal, rencana pemulihan bencana, dan pengujian pemulihan secara berkala.

1. (1)Meskipun demikian, tidak ada metode transmisi atau penyimpanan elektronik yang sepenuhnya bebas risiko. Kami tidak dapat menjamin keamanan mutlak, namun Kami berkomitmen meninjau dan memutakhirkan langkah pengamanan secara berkelanjutan.
2. (2)Tanggung jawab keamanan bersifat berbagi. Anda bertanggung jawab menjaga kerahasiaan kredensial, mengaktifkan autentikasi dua faktor, dan mengamankan sistem operasi serta aplikasi yang Anda jalankan sendiri.

14 — Kegagalan pelindungan data pribadi

1. (1)Dalam hal terjadi Kegagalan Pelindungan Data Pribadi, Kami menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam sejak diketahuinya kegagalan tersebut kepada Subjek Data Pribadi yang terdampak dan kepada Lembaga, sesuai Pasal 46 UU PDP.
2. (2)Pemberitahuan sekurang-kurangnya memuat: (a) Data Pribadi yang terungkap; (b) kapan dan bagaimana Data Pribadi terungkap; dan (c) upaya penanganan dan pemulihan yang dilakukan Levia Cloud.
3. (3)Apabila kegagalan berdampak pada Data Pelanggan di mana Levia Cloud bertindak sebagai Prosesor, Kami memberitahukan Pelanggan sebagai Pengendali paling lambat 1 x 24 jam sejak diketahui, agar Pelanggan memiliki waktu yang cukup memenuhi kewajiban 3 x 24 jam kepada Subjek Data Pribadinya dan kepada Lembaga.
4. (4)Kami menyediakan dukungan teknis dan informasi yang wajar kepada Pelanggan untuk keperluan investigasi, notifikasi, dan pemulihan.
5. (5)Setiap insiden dianalisis akar masalahnya dan hasilnya dituangkan dalam laporan yang memuat tindakan pencegahan agar kejadian serupa tidak terulang.

15 — Transfer data ke luar wilayah Indonesia

1. (1)Sebagai prinsip, seluruh Data Pribadi dan Data Pelanggan disimpan dan diproses pada data center di wilayah Republik Indonesia — region Jakarta (JKT-1, JKT-2) dan Surabaya (SBY-1).
2. (2)Kami tidak memindahkan Data Pelanggan ke luar wilayah Republik Indonesia.
3. (3)Dalam hal tertentu, sebagian data operasional terbatas — misalnya metadata pada perangkat pendukung surat elektronik transaksional atau sistem tiket — dapat diproses oleh penyedia yang berkedudukan di luar negeri. Dalam hal demikian, Kami memastikan dipenuhinya salah satu ketentuan Pasal 56 UU PDP.

• Negara tempat kedudukan penerima memiliki tingkat pelindungan data pribadi yang setara atau lebih tinggi daripada yang diatur dalam UU PDP; atau
• Terdapat pelindungan data pribadi yang memadai dan mengikat, dituangkan dalam perjanjian pemrosesan data dengan klausul standar; atau
• Terdapat persetujuan Subjek Data Pribadi yang diperoleh secara eksplisit.

Daftar penyedia dengan pemrosesan lintas negara beserta dasar pelindungannya dicantumkan pada Lampiran A dan diperbarui apabila terjadi perubahan.

16 — Data anak dan data spesifik

1. (1)Layanan Levia Cloud ditujukan bagi pengguna berusia sekurang-kurangnya 18 tahun atau badan hukum. Kami tidak dengan sengaja mengumpulkan Data Pribadi anak.
2. (2)Apabila Kami mengetahui bahwa Data Pribadi anak telah terkumpul tanpa persetujuan orang tua atau wali yang sah, Kami akan menghapusnya secepatnya. Anda dapat melaporkan hal demikian ke [email protected].
3. (3)Apabila Anda sebagai Pelanggan bermaksud menyimpan Data Pribadi Spesifik — antara lain data kesehatan, biometrik, genetika, atau data anak — pada Layanan Kami, Anda bertanggung jawab memastikan tersedianya dasar pemrosesan yang sah dan penerapan pengamanan tambahan yang sesuai. Kami menyarankan Anda menghubungi Kami terlebih dahulu agar dapat disusun pengaturan teknis dan kontraktual yang memadai.

17 — Pejabat pelindungan data pribadi

1. (1)Levia Cloud menunjuk Pejabat Pelindungan Data Pribadi (Data Protection Officer) sebagaimana dimaksud dalam Pasal 53 UU PDP, mengingat kegiatan inti Kami mencakup pemrosesan Data Pribadi dalam skala besar secara sistematis.
2. (2)Tugas Pejabat Pelindungan Data Pribadi meliputi: memberikan masukan kepada manajemen mengenai kepatuhan UU PDP, memantau pelaksanaan kebijakan pelindungan data, memberikan saran atas penilaian dampak pelindungan data, menjadi narahubung bagi Subjek Data Pribadi dan Lembaga, serta berkoordinasi dalam penanganan Kegagalan Pelindungan.
3. (3)Pejabat Pelindungan Data Pribadi dapat dihubungi pada [email protected] atau melalui alamat korespondensi PT Levia Cloud Indonesia.

18 — Perubahan kebijakan, kontak, dan pengaduan

18.1 Perubahan kebijakan

1. (1)Kami dapat memutakhirkan Kebijakan ini untuk menyesuaikan dengan perkembangan Layanan, teknologi, dan peraturan perundang-undangan.
2. (2)Perubahan material — antara lain penambahan tujuan pemrosesan baru, perubahan dasar hukum, penambahan kategori penerima data, atau perpanjangan jangka waktu penyimpanan — diberitahukan melalui surat elektronik terdaftar dan notifikasi konsol sekurang-kurangnya 30 hari kalender sebelum berlaku efektif.
3. (3)Apabila perubahan tersebut memerlukan persetujuan Anda menurut UU PDP, pemrosesan baru tidak dilaksanakan sebelum persetujuan diperoleh. Apabila Anda tidak menyetujui perubahan material lainnya, Anda berhak mengakhiri Layanan sesuai Pasal 15 Syarat dan Ketentuan Layanan.
4. (4)Kami memelihara arsip seluruh versi Kebijakan ini beserta tanggal berlakunya dan menyediakannya apabila diminta.

18.2 Kontak

18.3 Pengaduan kepada otoritas

Tanpa mengurangi hak Anda mengadu langsung kepada Kami, Anda berhak menyampaikan pengaduan kepada Lembaga yang menyelenggarakan urusan pelindungan data pribadi, serta menempuh upaya hukum melalui pengadilan sesuai Pasal 12 UU PDP. Pelanggaran atas UU PDP dapat dikenai sanksi administratif berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan, penghapusan atau pemusnahan Data Pribadi, sampai dengan denda administratif paling tinggi 2% dari pendapatan tahunan.

Lampiran

Lampiran A — Daftar sub-prosesor dan pihak ketiga

Untuk setiap penyedia yang memproses data di luar wilayah Republik Indonesia, kolom terakhir wajib dilengkapi dengan dasar pelindungan menurut Pasal 56 UU PDP — yaitu kesetaraan tingkat pelindungan, perjanjian dengan klausul standar, atau persetujuan eksplisit Subjek Data Pribadi.

Versi daftar

1.0 — 14 Agustus 2026

Publikasi

leviacloud.com/privacy/subprocessors

Pemberitahuan perubahan

30 hari kalender sebelum berlaku, melalui surat elektronik terdaftar dan notifikasi konsol

Tenggat keberatan Pelanggan

14 hari kalender sejak pemberitahuan diterima

Lampiran B — Perjanjian pemrosesan data pribadi (DPA)

Data Processing Agreement — dapat ditandatangani terpisah sebagai adendum atas Syarat dan Ketentuan Layanan. Hubungi [email protected] untuk memperoleh salinan yang dapat ditandatangani.

Pengendali Data Pribadi

Pelanggan, sebagaimana diidentifikasi pada dokumen penandatanganan.

Prosesor Data Pribadi

PT Levia Cloud Indonesia.

Tanggal efektif

Tanggal penandatanganan atau tanggal efektif Layanan, mana yang lebih dahulu.

Perjanjian induk

Syarat dan Ketentuan Layanan Levia Cloud v1.0 dan/atau PKS terkait.

B.1 Objek, sifat, dan tujuan pemrosesan

1. (1)Prosesor memproses Data Pribadi atas nama Pengendali semata-mata untuk menyelenggarakan Layanan komputasi awan sebagaimana Perjanjian Induk.
2. (2)Sifat pemrosesan meliputi penyimpanan, hosting, transmisi, pencadangan, pemulihan, dan penghapusan, tanpa analisis isi.
3. (3)Jangka waktu pemrosesan berlangsung selama Perjanjian Induk berlaku, ditambah masa penghapusan atau pengembalian data sesuai Bagian B.12.

B.2 Jenis data pribadi dan kategori subjek

1. (1)Jenis Data Pribadi dan kategori Subjek Data Pribadi ditentukan sepenuhnya oleh Pengendali dan diuraikan pada Lampiran DPA-1.
2. (2)Pengendali menjamin tidak menyimpan Data Pribadi Spesifik pada Layanan tanpa terlebih dahulu memberitahukan Prosesor dan menyepakati pengamanan tambahan.

B.3 Kewajiban pengendali

• Memastikan tersedianya dasar pemrosesan yang sah menurut Pasal 20 UU PDP atas seluruh Data Pribadi yang disimpan pada Layanan.
• Memberikan instruksi yang sah, jelas, dan terdokumentasi kepada Prosesor.
• Menanggapi permintaan Subjek Data Pribadi dan memenuhi kewajiban pemberitahuan kepada Lembaga.
• Mengonfigurasi pengendalian keamanan yang berada dalam kendalinya, termasuk enkripsi isi, manajemen kunci, kontrol akses pengguna, dan kebijakan retensi.

B.4 Kewajiban prosesor

• Memproses Data Pribadi hanya berdasarkan instruksi terdokumentasi Pengendali, kecuali diwajibkan lain oleh peraturan perundang-undangan.
• Memberitahukan Pengendali apabila menurut penilaian Prosesor suatu instruksi bertentangan dengan UU PDP.
• Tidak menggunakan Data Pribadi untuk tujuan sendiri, termasuk pelatihan model kecerdasan buatan, periklanan, pembuatan profil, atau penjualan kepada pihak ketiga.
• Menerapkan langkah keamanan sebagaimana Lampiran DPA-2 dan meninjaunya secara berkala.

B.5 Kerahasiaan personel

Prosesor memastikan setiap personel yang berwenang mengakses Data Pribadi terikat kewajiban kerahasiaan tertulis yang tetap berlaku setelah hubungan kerja berakhir, serta menerima pelatihan pelindungan data pribadi secara berkala.

B.6 Keamanan

1. (1)Prosesor menerapkan langkah teknis dan organisasi sebagaimana diuraikan pada Lampiran DPA-2, yang sekurang-kurangnya mencakup enkripsi dalam transit, kontrol akses berbasis peran, autentikasi multifaktor personel, segmentasi jaringan, pencatatan audit, dan pemantauan 24 jam.
2. (2)Prosesor memelihara sertifikasi ISO/IEC 27001 dan menyediakan ringkasan hasil audit sertifikasi kepada Pengendali apabila diminta.

B.7 Sub-prosesor

1. (1)Pengendali memberikan persetujuan umum atas penggunaan Sub-Prosesor sebagaimana daftar pada Lampiran A Kebijakan Privasi.
2. (2)Prosesor memberitahukan rencana penambahan atau penggantian Sub-Prosesor sekurang-kurangnya 30 hari kalender sebelum berlaku.
3. (3)Pengendali berhak mengajukan keberatan yang beralasan dalam 14 hari kalender. Apabila keberatan tidak dapat diselesaikan bersama, Pengendali berhak mengakhiri Layanan yang terdampak tanpa denda pengakhiran.
4. (4)Prosesor mengikat setiap Sub-Prosesor dengan kewajiban pelindungan data yang tidak kurang ketat, dan tetap bertanggung jawab penuh kepada Pengendali atas pemrosesan yang dilakukan Sub-Prosesor.

B.8 Bantuan atas hak subjek data pribadi

1. (1)Prosesor menyediakan fitur teknis pada konsol dan API yang memungkinkan Pengendali mengakses, mengoreksi, mengekspor, dan menghapus Data Pribadi secara mandiri.
2. (2)Apabila Prosesor menerima permintaan langsung dari Subjek Data Pribadi yang berkaitan dengan Data Pelanggan, Prosesor tidak menanggapinya secara substantif melainkan meneruskannya kepada Pengendali paling lambat 3 Hari Kerja.
3. (3)Prosesor memberikan bantuan yang wajar kepada Pengendali dalam menyusun penilaian dampak pelindungan data pribadi dan dalam berkonsultasi dengan Lembaga.

B.9 Kegagalan pelindungan data pribadi

1. (1)Prosesor memberitahukan Pengendali paling lambat 1 x 24 jam sejak mengetahui adanya Kegagalan Pelindungan yang berdampak pada Data Pribadi Pengendali.
2. (2)Pemberitahuan memuat sifat kegagalan, kategori dan perkiraan jumlah Subjek Data Pribadi terdampak, kemungkinan akibat, serta tindakan penanganan dan mitigasi.
3. (3)Prosesor tidak memberitahukan Subjek Data Pribadi atau Lembaga secara langsung atas nama Pengendali, kecuali diminta tertulis oleh Pengendali atau diwajibkan peraturan perundang-undangan.

B.10 Audit dan inspeksi

1. (1)Prosesor menyediakan informasi yang wajar untuk membuktikan pemenuhan kewajiban dalam DPA ini, termasuk sertifikat ISO/IEC 27001, ringkasan laporan audit, dan jawaban kuesioner keamanan.
2. (2)Pengendali berhak melaksanakan audit paling banyak 1 kali dalam 12 bulan, dengan pemberitahuan tertulis 30 hari kalender sebelumnya, pada Hari Kerja, dan tanpa mengganggu operasi Prosesor maupun kerahasiaan pelanggan lain.
3. (3)Audit tambahan dapat dilaksanakan apabila terjadi Kegagalan Pelindungan yang material atau diperintahkan oleh otoritas yang berwenang.
4. (4)Biaya audit ditanggung Pengendali, kecuali audit tersebut membuktikan adanya ketidakpatuhan material pada sisi Prosesor.

B.11 Transfer lintas negara

Prosesor tidak memindahkan Data Pelanggan ke luar wilayah Republik Indonesia. Setiap pengecualian memerlukan persetujuan tertulis Pengendali terlebih dahulu dan pemenuhan Pasal 56 UU PDP.

B.12 Penghapusan atau pengembalian data

1. (1)Pada pengakhiran Layanan atas kehendak Pengendali, Prosesor menyediakan masa 30 hari kalender bagi Pengendali untuk mengekspor Data Pribadi, setelah itu data dihapus permanen.
2. (2)Pada pengakhiran akibat tunggakan pembayaran, berlaku ketentuan khusus Pasal 7 Syarat dan Ketentuan Layanan, yaitu penghapusan permanen 30 hari kalender setelah tanggal suspensi.
3. (3)Prosesor menerbitkan konfirmasi tertulis atas pelaksanaan penghapusan apabila diminta Pengendali.
4. (4)Data yang wajib disimpan berdasarkan peraturan perundang-undangan dikecualikan dari kewajiban penghapusan, dan tetap tunduk pada kewajiban kerahasiaan serta keamanan selama masih disimpan.

B.13 Ketentuan penutup

1. (1)DPA ini merupakan bagian tidak terpisahkan dari Perjanjian Induk. Dalam hal pertentangan mengenai pemrosesan Data Pribadi, DPA ini yang berlaku.
2. (2)DPA ini tunduk pada hukum Negara Republik Indonesia, dengan penyelesaian perselisihan mengikuti Perjanjian Induk.

Lampiran DPA-1 — Rincian pemrosesan

Diisi oleh Pengendali sebelum penandatanganan:

• Kategori Subjek Data Pribadi — misalnya pelanggan akhir, karyawan, pemasok, pengguna aplikasi
• Jenis Data Pribadi Umum — misalnya nama, email, nomor telepon, alamat
• Jenis Data Pribadi Spesifik — misalnya data keuangan pribadi, atau "tidak ada"
• Perkiraan jumlah Subjek Data
• Tujuan pemrosesan oleh Pengendali
• Layanan Levia Cloud yang digunakan — misalnya Virtual Machine, Managed Database, Object Storage
• Region yang digunakan — JKT-1, JKT-2, atau SBY-1
• Kebijakan retensi yang ditetapkan Pengendali
• Narahubung pelindungan data pada Pengendali — nama, email, dan telepon

Lampiran DPA-2 — Langkah keamanan teknis dan organisasi

Pseudonimisasi & enkripsi

TLS 1.2+ untuk seluruh data dalam transit; enkripsi at-rest tersedia untuk block dan object storage; hashing kata sandi dengan algoritma kuat.

Kerahasiaan

Kontrol akses berbasis peran, hak akses minimum, autentikasi multifaktor wajib bagi personel, tinjauan hak akses berkala.

Integritas

Pencatatan audit yang tidak dapat diubah, kontrol perubahan (change management), pemisahan lingkungan produksi dan non-produksi.

Ketersediaan

Redundansi catu daya dan jaringan, konfigurasi High Availability, pencadangan sistem internal, rencana pemulihan bencana yang diuji berkala.

Ketahanan

Mitigasi DDoS L3/L4 otomatis, segmentasi jaringan, isolasi antar-tenant, hardening berbasis CIS Benchmark.

Pengujian & evaluasi

Pemindaian kerentanan berkala, penerapan patch kritikal maksimal 72 jam, audit sertifikasi ISO/IEC 27001 tahunan.

Keamanan fisik

Kendali akses berlapis pada data center, pengawasan video, pencatatan kunjungan, sistem pemadam kebakaran.

Manajemen personel

Perjanjian kerahasiaan, pemeriksaan latar belakang untuk peran sensitif, pelatihan pelindungan data pribadi berkala, prosedur pencabutan akses saat berakhirnya hubungan kerja.

Manajemen insiden

Prosedur tanggap insiden terdokumentasi, NOC 24/7, pemberitahuan 1 x 24 jam kepada Pengendali, analisis akar masalah.

Lampiran C — Formulir permohonan hak subjek data pribadi

Kirimkan informasi berikut ke [email protected] atau melalui portal tiket resmi. Permohonan tidak dikenakan biaya.

Bagian A — Identitas pemohon

• Nama lengkap
• Alamat surat elektronik terdaftar
• Nomor telepon
• Nomor akun Levia Cloud, bila ada
• Hubungan dengan Levia Cloud — pelanggan, calon pelanggan, pengunjung situs, atau lainnya
• Bertindak untuk diri sendiri atau mewakili orang lain — lampirkan surat kuasa bila mewakili

Bagian B — Hak yang dimohonkan

Pilih satu atau lebih:

• Informasi pemrosesan (Pasal 5)
• Perbaikan atau pelengkapan data (Pasal 6)
• Akses dan salinan data (Pasal 7)
• Penghentian, penghapusan, pemusnahan (Pasal 8)
• Penarikan persetujuan (Pasal 9)
• Keberatan atas keputusan otomatis (Pasal 10)
• Penundaan atau pembatasan pemrosesan (Pasal 11)
• Portabilitas data (Pasal 13)

Sertakan juga uraian permohonan, periode data yang dimaksud bila ada, dan format keluaran yang diinginkan — PDF, CSV, JSON, atau lainnya.

Bagian C — Verifikasi dan pernyataan

• Lampirkan dokumen identitas — KTP, paspor, atau dokumen lain yang setara
• Pernyataan bahwa keterangan yang diberikan benar dan pemohon berhak mengajukan permohonan tersebut
• Nama, tanda tangan, dan tanggal