Perjanjian Pemrosesan Data

1. Ruang lingkup dan para pihak

Perjanjian Pemrosesan Data ini (“DPA”) merupakan bagian yang tidak terpisahkan dariSyarat dan Ketentuan antara PT Rigo Inovasi Digital (“Prosesor”, “Chatrigo”) dan Customer (“Pengendali”). DPA berlaku ketika Chatrigo memproses data pribadi atas nama Customer dalam penyediaan layanan.

“Customer Data” berarti data pribadi yang Customer unggah, alirkan, atau instruksikan untuk diproses melalui Chatrigo, termasuk percakapan channel, kontak, knowledge, dan lampiran. DPA ini tidak mengatur data akun Chatrigo yang kami proses sebagai pengendali; hal itu dijelaskan diKebijakan Privasi.

2. Pengendali dan Prosesor

Customer menentukan tujuan dan sarana pokok pemrosesan Customer Data. Chatrigo memproses Customer Data sebagai prosesor berdasarkan perintah Customer, sesuai Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Contoh: sebuah tempat kursus memakai Chatrigo untuk memproses chat WhatsApp muridnya. Tempat kursus tersebut adalah pengendali; Chatrigo memproses percakapan itu atas instruksinya agar inbox dan AI berfungsi.

3. Instruksi pemrosesan

Chatrigo hanya memproses Customer Data sesuai instruksi tertulis Customer. Instruksi tersebut meliputi Syarat dan Ketentuan, DPA ini, konfigurasi di dasbor (termasuk knowledge, aturan handoff, dan channel yang dihubungkan), serta permintaan dukungan yang Customer berikan.

Chatrigo akan memberitahu Customer jika suatu instruksi, menurut penilaian wajar kami, melanggar UU PDP, kecuali hukum melarang pemberitahuan itu. Chatrigo tidak memakai Customer Data untuk tujuan sendiri di luar penyediaan, pengamanan, dan perbaikan layanan.

4. Kerahasiaan

Chatrigo menjaga kerahasiaan Customer Data dan membatasi akses kepada personel atau subprosesor yang perlu mengetahuinya untuk menyediakan layanan. Personel tersebut terikat kewajiban kerahasiaan. Customer Data tidak dipakai untuk melatih model kecerdasan buatan umum.

5. Langkah keamanan

Chatrigo menerapkan langkah teknis dan organisasi yang wajar, termasuk:

• enkripsi kredensial channel dan transmisi HTTPS;
• pembatasan akses berdasarkan peran;
• pencatatan peristiwa keamanan yang relevan; dan
• verifikasi webhook dan pengendalian sesi.

Customer bertanggung jawab mengamankan sisi akunnya, termasuk hak akses tim dan perangkat yang dipakai untuk masuk ke dasbor.

6. Permintaan subjek data

Karena Customer adalah pengendali, permintaan hak subjek data terkait Customer Data harus ditujukan kepada Customer. Chatrigo akan membantu Customer secara wajar, dengan informasi yang tersedia di layanan, agar Customer dapat memenuhi kewajiban UU PDP.

Jika subjek data menghubungi Chatrigo secara langsung mengenai Customer Data, kami akan mengarahkan permintaan itu kepada Customer kecuali hukum mensyaratkan tanggapan langsung.

7. Insiden data

Jika Chatrigo mengetahui kegagalan pelindungan data pribadi yang melibatkan Customer Data, kami akan memberitahu Customer tanpa penundaan yang tidak wajar, dengan informasi yang wajar tersedia pada saat pemberitahuan, agar Customer dapat memenuhi kewajiban pelaporan menurut hukum yang berlaku.

Chatrigo akan bekerja sama secara wajar dalam investigasi dan upaya penanggulangan. Pemberitahuan insiden bukan pengakuan kesalahan.

8. Penghapusan dan pengembalian

Setelah layanan berakhir atau atas instruksi tertulis Customer, Chatrigo akan menghapus atau mengembalikan Customer Data yang berada dalam kendali kami, kecuali retensi diwajibkan hukum atau diperlukan untuk menyelesaikan sengketa, tagihan, atau cadangan teknis yang terbatas.

Customer dapat mengekspor data yang tersedia di dasbor selama akun aktif, sesuai fitur yang kami sediakan.

9. Transfer internasional

Customer Data dapat diproses di luar Indonesia karena infrastruktur, AI, email, atau penyedia channel berada di yurisdiksi lain. Transfer tersebut dilakukan untuk melaksanakan layanan yang Customer minta, dengan langkah perlindungan yang wajar, sesuai Pasal 56 UU PDP.

Lokasi pemrosesan per penyedia tercantum pada Daftar Subprosesor.

10. Subprosesor

Chatrigo dapat melibatkan prosesor lain untuk memproses Customer Data. Menurut UU PDP, pelibatan itu memerlukan persetujuan tertulis pengendali. Dengan menyetujui DPA ini dan memakai layanan, Customer memberikan persetujuan tertulis atas subprosesor yang tercantum padahttps://www.chatrigo.id/subprocessors.

Jika kami menambah atau mengganti subprosesor secara material, kami akan memperbarui daftar tersebut dan berupaya memberitahu Customer melalui situs atau email. Customer dapat mengajukan keberatan yang wajar dalam 14 hari. Jika keberatan tidak dapat diakomodasi, Customer dapat menghentikan layanan yang terdampak sesuai Syarat dan Ketentuan.

11. Audit dan kerja sama

Atas permintaan tertulis yang wajar, Chatrigo akan menyediakan informasi yang diperlukan untuk menunjukkan kepatuhan terhadap DPA ini, termasuk penjelasan langkah keamanan secara umum. Audit lapangan hanya dilakukan jika informasi tertulis tidak memadai, dengan pemberitahuan, kerahasiaan, dan tanpa mengganggu operasi atau keamanan pelanggan lain.

12. Masa berlaku

DPA ini berlaku selama Chatrigo memproses Customer Data dan tetap mengikat ketentuan yang menurut sifatnya harus bertahan, termasuk kerahasiaan, penghapusan, dan pertanggungjawaban, sesuai Syarat dan Ketentuan.