PERJANJIAN PENGOLAHAN DATA
DPA
DPA Standar · Versi 1.0 · EvaluationsHub oleh Vockam SAS
Klik di sini untuk menandatangani salinan Anda
| PARA PIHAK DALAM PERJANJIAN INI | |
| pengawas | [Nama Entitas Pelanggan], didirikan di [Yurisdiksi], kantor terdaftar di [Alamat] (“Pengontrol”) |
| Prosesor | Vockam SAS, Société par Actions Simplifiée (SAS) Perancis, nomor registrasi. 899272736 RCS Meaux, 1 Boulevard du huit mai 1945, 77260 La Ferté-sous-Jouarre, Prancis, beroperasi EvaluationsHub (“Pengolah”) |
| Tanggal berlaku | [TANGGAL] |
| Peraturan pemerintah | Hukum Prancis dan GDPR Uni Eropa |
| Yurisdiksi | Pengadilan Paris, Prancis |
Perjanjian Pemrosesan Data (“DPA”) ini adalah perjanjian pemrosesan data standar yang dikeluarkan oleh Vockam SAS (yang beroperasi di EvaluationsHub) kepada pelanggannya. Ini merupakan bagian dari Perjanjian Layanan Utama atau Ketentuan Layanan (“Perjanjian Utama”) antara para pihak di atas, dan menetapkan ketentuan di mana Pengolah akan memproses Data Pribadi atas nama Pengendali sehubungan dengan EvaluationsHub layanan. Dengan menandatangani di bawah ini, Pengontrol menerima ketentuan DPA ini.
- Definisi
Dalam Perjanjian Perlindungan Data (DPA) ini, istilah-istilah berikut memiliki arti sebagaimana tercantum di bawah ini:
| Hukum Perlindungan Data | Semua peraturan perundang-undangan yang berlaku terkait perlindungan data dan privasi, termasuk Peraturan Perlindungan Data Umum Uni Eropa 2016/679 (“GDPR”), Undang-Undang Perlindungan Data Prancis (Loi Informatique et Libertés), dan setiap peraturan perundang-undangan pelaksana nasional yang berlaku, sebagaimana diubah atau diganti dari waktu ke waktu. |
| Data Pribadi | Memiliki arti sebagaimana yang tercantum dalam Pasal 4 ayat (1) GDPR: setiap informasi yang berkaitan dengan orang perseorangan yang teridentifikasi atau dapat diidentifikasi. |
| Pengolahan | Memiliki arti sebagaimana yang tercantum dalam Pasal 4 ayat (2) GDPR: setiap operasi yang dilakukan terhadap Data Pribadi. |
| Subjek Data | Orang perseorangan yang teridentifikasi atau dapat diidentifikasi yang data pribadinya terkait dengannya. |
| Pelanggaran Data Pribadi | Memiliki arti sebagaimana yang tercantum dalam Pasal 4 ayat (12) GDPR: pelanggaran keamanan yang mengakibatkan penghancuran, kehilangan, perubahan, pengungkapan tanpa izin, atau akses tanpa izin terhadap Data Pribadi secara tidak sengaja atau melanggar hukum. |
| Subprosesor | Pihak ketiga mana pun yang ditunjuk oleh Pengolah Data untuk memproses Data Pribadi atas nama Pengendali Data. |
| Klausul Kontrak Standar (SCC) | Keputusan pelaksanaan Komisi Uni Eropa (EU) 2021/914 tanggal 4 Juni 2021 tentang klausul kontrak standar untuk transfer Data Pribadi ke negara ketiga, sebagaimana diperbarui dari waktu ke waktu. |
| EEA | Kawasan Ekonomi Eropa. |
| TOM | Langkah-langkah teknis dan organisasi sebagaimana dijelaskan dalam Lampiran 2. |
- Ruang Lingkup dan Durasi
2.1 Pokok Bahasan. Prosesor menyediakan platform Manajemen Hubungan Pemasok (SRM) dan evaluasi pengalaman pelanggan (“EvaluationsHubPihak Pengolah Data akan memproses Data Pribadi hanya sejauh yang diperlukan untuk memberikan layanan-layanan ini berdasarkan Perjanjian Utama.
2.2 Jangka Waktu. Perjanjian Perlindungan Data ini tetap berlaku selama Pengolah Data memproses Data Pribadi berdasarkan Perjanjian Utama. Perjanjian ini berakhir secara otomatis setelah penghentian atau berakhirnya Perjanjian Utama, dengan tetap berlakunya kewajiban berdasarkan Klausul 8 (Penghapusan atau Pengembalian Data).
- Pemrosesan Hanya Berdasarkan Instruksi
3.1 Instruksi Terdokumentasi. Pengolah Data hanya akan memproses Data Pribadi berdasarkan instruksi terdokumentasi dari Pengendali Data, sebagaimana diatur dalam Perjanjian Perlindungan Data ini atau Perjanjian Utama, kecuali diwajibkan oleh hukum Uni Eropa atau negara anggota. Dalam hal tersebut, Pengolah Data wajib memberitahukan kepada Pengendali Data tentang persyaratan hukum tersebut sebelum pemrosesan, kecuali dilarang oleh hukum atas dasar kepentingan umum.
3.2 Pemberitahuan Konflik. Jika Pengolah Data meyakini bahwa instruksi apa pun dari Pengendali Data akan melanggar Hukum Perlindungan Data, Pengolah Data harus segera memberitahu Pengendali Data dan dapat menangguhkan pemrosesan yang relevan sampai masalah tersebut diselesaikan.
3.3 Kerahasiaan Personel. Pengolah Data wajib memastikan bahwa semua orang yang berwenang memproses Data Pribadi telah berkomitmen pada kewajiban kerahasiaan berdasarkan kontrak atau undang-undang.
- Security
4.1 Langkah-Langkah yang Tepat. Pengolah data wajib menerapkan dan memelihara langkah-langkah teknis dan organisasi yang tercantum dalam Lampiran 2 (TOMs). Langkah-langkah ini harus memastikan tingkat keamanan yang sesuai dengan risiko, dengan mempertimbangkan sifat, ruang lingkup, konteks, dan tujuan pengolahan data, serta risiko terhadap hak dan kebebasan Subjek Data.
4.2 Pembaruan pada TOM. Prosesor dapat memperbarui atau memodifikasi TOM dari waktu ke waktu, dengan ketentuan bahwa pembaruan tersebut tidak secara signifikan mengurangi tingkat keamanan secara keseluruhan. Prosesor wajib memberitahukan kepada Pengendali tentang pengurangan signifikan dalam langkah-langkah keamanan setidaknya 30 hari sebelumnya.
4.3 Pelatihan Staf. Pengolah Data harus memastikan bahwa semua staf yang memiliki akses ke Data Pribadi menerima pelatihan yang memadai dan teratur tentang kewajiban perlindungan data dan praktik keamanan.
- Sub-pemrosesan
5.1 Otorisasi Umum. Pengontrol memberikan otorisasi tertulis umum kepada Pengolah untuk melibatkan Sub-pengolah yang tercantum dalam Lampiran 3, dengan tunduk pada ketentuan dalam Klausul 5 ini.
5.2 Kewajiban Sub-prosesor. Sebelum melibatkan Sub-prosesor mana pun, Prosesor wajib memberlakukan kewajiban perlindungan data pada Sub-prosesor tersebut yang setara dengan kewajiban dalam Perjanjian Perlindungan Data ini, khususnya dengan memberikan jaminan yang cukup untuk menerapkan TOM (Trade Measures/Pengelolaan Data yang Sesuai). Prosesor tetap bertanggung jawab penuh kepada Pengendali atas tindakan dan kelalaian Sub-prosesornya.
5.3 Perubahan pada Sub-prosesor. Prosesor wajib memberikan pemberitahuan tertulis kepada Pengontrol setidaknya 30 hari sebelumnya mengenai setiap perubahan yang direncanakan pada daftar Sub-prosesor (penambahan atau penggantian). Pengontrol dapat mengajukan keberatan terhadap perubahan tersebut dengan alasan yang wajar dalam waktu 15 hari setelah menerima pemberitahuan. Jika Pengontrol mengajukan keberatan dan Prosesor tidak dapat mengakomodasi keberatan tersebut, Pengontrol dapat menghentikan layanan terkait tanpa penalti dengan pemberitahuan tertulis.
5.4 Sub-prosesor Non-EEA. Apabila Sub-prosesor berlokasi di luar EEA di negara yang tidak diakui oleh Komisi Eropa sebagai negara yang menyediakan tingkat perlindungan data yang memadai, Prosesor harus memastikan bahwa mekanisme transfer yang sesuai telah tersedia (misalnya SCC) sebelum Data Pribadi apa pun ditransfer ke Sub-prosesor tersebut. Mekanisme transfer yang telah dikonfirmasi untuk Sub-prosesor non-EEA saat ini dirinci dalam Lampiran 3.
- Transfer Data Internasional
6.1 Penyimpanan Utama. Data Pribadi terutama disimpan dan diproses di dalam EEA, menggunakan infrastruktur AWS di Uni Eropa (wilayah Irlandia dan Frankfurt).
6.2 Transfer ke Luar EEA. Apabila Data Pribadi ditransfer ke negara di luar EEA yang tidak tunduk pada keputusan kecukupan, Pengolah Data harus memastikan bahwa salah satu dari perlindungan berikut telah diterapkan sebelum transfer: (a) Klausul Kontrak Standar UE (2021/914) telah ditandatangani dengan Sub-pengolah Data yang bersangkutan; atau (b) mekanisme transfer sah lainnya yang diakui berdasarkan Pasal 46 GDPR berlaku. Rincian perlindungan yang berlaku untuk setiap Sub-pengolah Data tercantum dalam Lampiran 3.
6.3 Pemberitahuan. Prosesor wajib segera memberitahu Pengontrol jika ada pengamanan yang disebutkan dalam Klausul 6.2 yang tidak lagi berlaku atau mengalami perubahan material.
- Bantuan terkait Hak Subjek Data
7.1 Permintaan dari Subjek Data. Dengan mempertimbangkan sifat pemrosesan, Pengolah Data wajib membantu Pengendali Data dengan menerapkan langkah-langkah teknis dan organisasi yang tepat dalam memenuhi kewajibannya untuk menanggapi permintaan dari Subjek Data yang menggunakan hak-hak mereka berdasarkan Bab III GDPR (termasuk hak akses, koreksi, penghapusan, pembatasan, portabilitas, dan keberatan).
7.2 Penerusan Permintaan. Jika Pengolah Data menerima permintaan langsung dari Subjek Data, Pengolah Data wajib meneruskannya kepada Pengendali Data dalam waktu 5 hari kerja dan tidak boleh menanggapi permintaan tersebut sendiri tanpa otorisasi tertulis sebelumnya dari Pengendali Data, kecuali diwajibkan oleh hukum.
7.3 Bantuan Lebih Lanjut. Pengolah data juga akan membantu Pengendali data dalam memastikan kepatuhan terhadap kewajibannya terkait: (a) keamanan pemrosesan (Pasal 32 GDPR); (b) pemberitahuan Pelanggaran Data Pribadi kepada otoritas pengawas dan Subjek Data (Pasal 33–34 GDPR); dan (c) Penilaian Dampak Perlindungan Data dan konsultasi sebelumnya (Pasal 35–36 GDPR).
- Pemberitahuan Pelanggaran Data Pribadi
8.1 Pemberitahuan kepada Pengontrol. Prosesor wajib memberitahukan kepada Pengontrol tanpa penundaan yang tidak semestinya, dan dalam hal apa pun tanpa penundaan yang tidak semestinya dan dalam hal apa pun dalam waktu 72 jam, setelah mengetahui adanya Pelanggaran Data Pribadi yang memengaruhi Data Pribadi yang diproses berdasarkan DPA ini.
8.2 Isi Pemberitahuan. Pemberitahuan tersebut harus mencakup, sejauh yang diketahui saat itu: (a) deskripsi tentang sifat pelanggaran, termasuk kategori dan perkiraan jumlah Subjek Data dan catatan Data Pribadi yang terkait; (b) nama dan detail kontak kontak perlindungan data Pengolah (team@evaluationshub.com); (c) deskripsi tentang kemungkinan konsekuensi dari pelanggaran tersebut; dan (d) deskripsi tentang langkah-langkah yang telah diambil atau diusulkan untuk mengatasi pelanggaran tersebut, termasuk langkah-langkah mitigasi.
8.3 Informasi Tambahan. Apabila tidak semua informasi tersedia pada saat pemberitahuan awal, Pengolah Data wajib memberikan informasi tambahan secara bertahap sesuai ketersediaannya, tanpa penundaan yang tidak semestinya.
8.4 Pencatatan. Pengolah data wajib mendokumentasikan semua Pelanggaran Data Pribadi, termasuk fakta, dampak, dan tindakan perbaikan yang diambil, serta menyediakan catatan tersebut kepada Pengendali data jika diminta.
- Data Retensi
9.1 Jangka Waktu Penyimpanan. Pengolah Data tidak boleh menyimpan Data Pribadi lebih lama dari yang diperlukan untuk tujuan yang tercantum dalam Lampiran 1. Kecuali disepakati lain secara tertulis, jangka waktu penyimpanan maksimum berikut berlaku:
| Kategori Data | Jangka waktu penyimpanan |
| Data akun pengguna aktif | Jangka Waktu Perjanjian Utama |
| Evaluasi dan penilaian kinerja | Berlaku selama 3 tahun sejak pembuatan, kecuali jika penghapusan diminta lebih awal. |
| Kredensial login (log akses) | 12 bulan sejak pembuatan |
| Salinan cadangan | 90 hari sejak berakhirnya Perjanjian Utama |
| Log audit | 3 tahun sejak pembuatan (kewajiban hukum) |
- Penghapusan atau Pengembalian Data
10.1 Setelah Pengakhiran. Setelah pengakhiran atau berakhirnya Perjanjian Utama, Pengolah Data wajib, atas pilihan Pengendali dan dalam waktu 30 hari setelah menerima permintaan tertulis: (a) mengembalikan semua Data Pribadi kepada Pengendali secara aman dalam format yang umum digunakan dan dapat dibaca mesin; atau (b) menghapus dan memusnahkan semua Data Pribadi (dan semua salinannya) secara aman, kecuali jika hukum Uni Eropa atau Negara Anggota mensyaratkan penyimpanan berkelanjutan.
10.2 Konfirmasi. Pemroses wajib memberikan konfirmasi tertulis kepada Pengontrol mengenai penghapusan atau pengembalian dalam waktu 30 hari setelah menyelesaikan tindakan tersebut.
10.3 Salinan Sisa. Pengolah data wajib menggunakan upaya yang wajar secara komersial untuk memastikan bahwa Sub-pengolah data juga menghapus atau mengembalikan Data Pribadi sesuai dengan Klausul 10 ini.
- Hak Audit
11.1 Informasi. Pengolah Data wajib menyediakan kepada Pengendali Data semua informasi yang secara wajar diperlukan untuk menunjukkan kepatuhan terhadap kewajiban dalam Perjanjian Perlindungan Data ini dan Pasal 28 GDPR.
11.2 Audit. Pengolah Data wajib mengizinkan dan berkontribusi pada audit, termasuk inspeksi, yang dilakukan oleh Pengendali Data atau auditor yang ditunjuk oleh Pengendali Data, dengan ketentuan: (a) Pengendali Data memberikan pemberitahuan tertulis setidaknya 30 hari sebelumnya; (b) audit dilakukan tidak lebih dari sekali per tahun kalender (kecuali setelah dugaan Pelanggaran Data Pribadi); (c) audit dilakukan selama jam kerja normal dan dengan cara yang meminimalkan gangguan; dan (d) biaya audit ditanggung oleh Pengendali Data kecuali audit mengungkapkan ketidakpatuhan material, dalam hal ini biaya akan ditanggung oleh Pengolah Data.
11.3 Sertifikasi. Atas permintaan Pengendali, Pemroses wajib menyediakan salinan sertifikasi pihak ketiga yang relevan (misalnya ISO 27001, setelah diperoleh) atau ringkasan penilaian keamanan sebagai pengganti atau tambahan dari audit di lokasi, jika berlaku. Saat ini, Pemroses sedang mengupayakan sertifikasi ISO 27001.
- Penilaian Dampak Perlindungan Data
12.1 Pengolah data wajib membantu Pengendali data secara wajar dalam melaksanakan Penilaian Dampak Perlindungan Data (DPIA) yang dipersyaratkan berdasarkan Pasal 35 GDPR, dengan: (a) memberikan informasi yang relevan tentang operasi pemrosesan, risiko, dan TOM yang ada; (b) berpartisipasi dalam pertemuan konsultasi dengan pemberitahuan yang wajar; dan (c) segera menanggapi pertanyaan tertulis yang berkaitan dengan aktivitas pemrosesan yang dijelaskan dalam Lampiran 1.
- Kewajiban
13.1 Batas Tanggung Jawab. Sejauh yang diizinkan oleh hukum yang berlaku, total tanggung jawab agregat Pengolah kepada Pengendali berdasarkan atau sehubungan dengan DPA ini (baik dalam kontrak, perbuatan melawan hukum, kelalaian, atau lainnya) tidak boleh melebihi total biaya yang dibayarkan atau harus dibayarkan oleh Pengendali kepada Pengolah selama periode 12 bulan sebelum peristiwa yang menimbulkan klaim (“Batas Tanggung Jawab”). Jika Perjanjian Utama mencakup periode kurang dari 12 bulan pada saat klaim, Batas Tanggung Jawab adalah total biaya yang dibayarkan atau harus dibayarkan berdasarkan Perjanjian Utama hingga saat ini.
13.2 Pengecualian dari Batas Tanggung Jawab. Batas Tanggung Jawab tidak berlaku untuk: (a) tanggung jawab salah satu Pihak atas kematian atau cedera pribadi yang disebabkan oleh kelalaiannya; (b) tanggung jawab salah satu Pihak atas penipuan atau pernyataan palsu yang bersifat menipu; atau (c) tanggung jawab apa pun yang tidak dapat dikecualikan atau dibatasi oleh hukum yang berlaku.
13.3 Tanggung Jawab Bersama. Apabila kedua Pihak bertanggung jawab atas kerugian yang disebabkan oleh pelanggaran GDPR, masing-masing Pihak bertanggung jawab atas bagian kerugiannya sesuai dengan Pasal 82 GDPR. Batas Tanggung Jawab dalam Klausul 13.1 berlaku untuk bagian tanggung jawab Pengolah Data atas kerugian tersebut.
13.4 Mitigasi. Masing-masing Pihak wajib mengambil langkah-langkah yang wajar untuk mengurangi kerugian atau kerusakan yang dideritanya sebagai akibat dari pelanggaran Perjanjian Perlindungan Data ini oleh Pihak lainnya.
- Hukum yang Mengatur dan Yurisdiksi
14.1 Perjanjian Perlindungan Data ini diatur oleh dan ditafsirkan sesuai dengan hukum Prancis dan hukum Uni Eropa yang berlaku, termasuk GDPR.
14.2 Setiap perselisihan yang timbul dari atau berkaitan dengan Perjanjian Perlindungan Data ini akan tunduk pada yurisdiksi eksklusif pengadilan Paris, Prancis, kecuali jika diwajibkan lain oleh hukum yang berlaku.
- Tanda tangan
Dengan menandatangani di bawah ini, Para Pihak menyetujui ketentuan Perjanjian Pemrosesan Data ini.
| Untuk dan mewakili Pengendali (Pelanggan) | Atas nama dan mewakili Vockam SAS (Pemroses) |
| Nama lengkap: _______________________________ | Nama lengkap: Bert Paesbrugghe |
| Judul: ____________________________________ | Judul: Pendiri & CEO, Vockam SAS |
| Perusahaan: _________________________________ | Perusahaan: Vockam SAS |
| Tanda tangan: | Tanda tangan: |
LAMPIRAN 1 — Deskripsi Aktivitas Pemrosesan
| Kategori Subjek Data | • Karyawan pelanggan dan pengguna platform yang berwenang • Perwakilan pemasok dan vendor pelanggan |
| Jenis-jenis Data Pribadi | • Nama dan jabatan • Alamat email profesional • Detail kontak bisnis (telepon, alamat) • Nama pemasok dan pelanggan • Data evaluasi kinerja • Kredensial login platform (disimpan hanya sebagai nilai hash satu arah; kredensial teks biasa tidak pernah disimpan) • Log perilaku dan penggunaan pengguna |
| Sifat Pemrosesan | Pengumpulan, penyimpanan, pengambilan, penggunaan, pengungkapan (kepada pengguna yang berwenang), dan penghapusan Data Pribadi. |
| Tujuan Pemrosesan | Untuk memfasilitasi evaluasi pemasok dan pelanggan, penilaian risiko, dan pengelolaan platform SRM di bawah EvaluationsHub layanan. |
| Dasar Hukum (Dasar Pengendali) | Pengontrol bertanggung jawab untuk mengidentifikasi dan mendokumentasikan dasar hukumnya sendiri untuk pemrosesan berdasarkan Pasal 6 GDPR (misalnya Pasal 6(1)(b) — pelaksanaan kontrak; atau Pasal 6(1)(f) — kepentingan sah). EvaluationsHub memproses Data Pribadi semata-mata atas instruksi Pengontrol dan tidak menentukan dasar hukumnya. |
LAMPIRAN 2 — Langkah-Langkah Teknis dan Organisasi (TOM)
| Mengukur | Organisasi |
| Enkripsi saat Istirahat | Enkripsi AES-256 untuk semua Data Pribadi yang disimpan di basis data AWS S3 dan RDS. |
| Enkripsi dalam Transit | TLS 1.2 atau lebih tinggi untuk semua transmisi data. TLS 1.0 dan 1.1 dinonaktifkan. |
| Access Control | Kontrol Akses Berbasis Peran (RBAC) yang Ketat. Akses ke Data Pribadi hanya diberikan berdasarkan prinsip kebutuhan untuk mengetahui. |
| Otentikasi | Autentikasi dua faktor (2FA) wajib diterapkan untuk semua akun staf dan administrasi yang memiliki akses ke Data Pribadi. |
| Penanganan Kredensial | Kata sandi pengguna disimpan secara eksklusif sebagai hash satu arah yang diberi salt (bcrypt atau yang setara). Kata sandi dalam bentuk teks biasa tidak pernah disimpan atau dicatat. |
| Residensi Data | Semua Data Pribadi disimpan di wilayah AWS EU (Irlandia / Frankfurt). Tidak ada Data Pribadi yang direplikasi di luar EEA kecuali ada mekanisme transfer yang sah (lihat Lampiran 3). |
| Cadangan dan Ketahanan | Pencadangan harian otomatis disimpan di AWS Availability Zone di Uni Eropa. RPO: 24 jam. RTO: 8 jam. |
| Log Audit | Log yang tidak dapat diubah (immutable) dipelihara untuk semua peristiwa akses, modifikasi, dan penghapusan data. Log disimpan selama 3 tahun. |
| Manajemen Kerentanan | Pengujian keamanan rutin dilakukan sesuai dengan program keamanan Prosesor. Prosesor secara aktif berupaya mendapatkan sertifikasi ISO 27001. Kerentanan kritis diperbaiki berdasarkan prioritas risiko. |
| Respons Insiden | Rencana respons insiden yang terdokumentasi dipelihara dan diuji setiap tahun. Pemroses berkomitmen untuk memberi tahu Pengendali dalam waktu 72 jam setelah Pelanggaran Data Pribadi dikonfirmasi (lihat Klausul 8). |
| Manajemen Pemasok | Sub-prosesor tunduk pada uji tuntas perlindungan data dan kewajiban perlindungan data kontraktual sebelum terlibat. |
LAMPIRAN 3 — Sub-prosesor yang Disetujui
Sub-prosesor berikut ini telah diotorisasi pada Tanggal Efektif. Prosesor akan memberikan pemberitahuan 30 hari sebelumnya mengenai setiap perubahan sesuai dengan Klausul 5.3.
| Subprosesor | Tujuan | Negara | Mekanisme Transfer | Kategori Data |
| Layanan Web Amazon (AWS) | Infrastruktur dan hosting cloud | EEA (Irlandia / Frankfurt) | Kecukupan — Berbasis di EEA; AWS DPA sudah berlaku | Semua data pribadi |
| Garis | Pemrosesan pembayaran (jika berlaku) | Amerika Serikat | SCC (Modul 2: Pengontrol ke Prosesor) dieksekusi | Hanya nama kontak penagihan, email, dan metadata pembayaran. |
| Perusahaan Zoho | CRM, kampanye email, obrolan dukungan. | Amerika Serikat / India | SCC (Modul 2) telah dieksekusi; opsi residensi data Zoho EU telah diaktifkan. Catatan: ruang lingkup data yang diproses oleh fitur AI apa pun di dalam Zoho diatur oleh DPA dan dokumentasi privasi Zoho sendiri, yang tersedia di zoho.com/privacy.html | Nama, email, detail kontak bisnis |
| Teknologi Pitangent | Pengembangan dan pemeliharaan perangkat lunak | India | SCC (Modul 2: Pengendali ke Pemroses) telah dilaksanakan; akses terbatas hanya pada data anonim/uji; tidak ada akses ke data pribadi produksi tanpa persetujuan Pengendali. | Hanya data anonim/pseudonim yang digunakan dalam keadaan normal. |
| Mixpanel | Analisis penggunaan platform | Amerika Serikat | SCC (Modul 2) telah dieksekusi; residensi data Uni Eropa diaktifkan. | Hanya log perilaku dan penggunaan pengguna yang telah dianonimkan. |
* EvaluationsHub (Vockam SAS) menjamin bahwa SCC dan/atau mekanisme transfer yang setara telah diterapkan dengan semua Sub-prosesor non-EEA yang tercantum di atas. Salinan SCC yang relevan tersedia bagi Pengontrol berdasarkan permintaan tertulis ke team@evaluationshub. Com.
