Perjanjian pemrosesan data QR Code AI

PERJANJIAN PEMROSESAN DATA (DPA)

Terakhir diperbarui 2 Maret 2026

Perjanjian Pemrosesan Data ("DPA") ini merupakan bagian dari Ketentuan Layanan ("Perjanjian") antara Supernovae, perusahaan yang terdaftar di Prancis di 27 Rue Wurtz, Juvisy-sur-Orge 91260, nomor PPN FR67948452891 ("Pemroses", "kami"), dan entitas yang menyetujui DPA ini ("Pengendali", "Anda"), yang secara bersama-sama disebut sebagai "Para Pihak".

DPA ini berlaku ketika kami memproses data pribadi atas nama Anda sehubungan dengan layanan QR Code AI, termasuk melalui API.

1. DEFINISI

• "Data Pribadi" berarti setiap informasi yang berkaitan dengan orang perseorangan yang teridentifikasi atau dapat diidentifikasi, sebagaimana didefinisikan dalam Pasal 4(1) GDPR.
• "Pemrosesan" berarti setiap operasi atau rangkaian operasi yang dilakukan terhadap Data Pribadi, sebagaimana didefinisikan dalam Pasal 4(2) GDPR.
• "Subjek Data" berarti orang perseorangan yang teridentifikasi atau dapat diidentifikasi yang terkait dengan Data Pribadi.
• "Subprosesor" berarti pihak ketiga yang dilibatkan oleh Pemroses untuk memproses Data Pribadi atas nama Pengendali.
• "GDPR" berarti Regulasi (UE) 2016/679 Parlemen Eropa dan Dewan.
• "UK GDPR" berarti GDPR sebagaimana diadopsi ke dalam hukum Inggris melalui Data Protection Act 2018.
• "SCC" berarti Klausul Kontraktual Standar yang disetujui oleh Komisi Eropa untuk transfer Data Pribadi ke negara ketiga.
• "Pelanggaran Data" berarti pelanggaran keamanan yang menyebabkan penghancuran, kehilangan, perubahan, pengungkapan tanpa izin, atau akses tanpa izin terhadap Data Pribadi, baik secara tidak sengaja maupun melanggar hukum.

2. RUANG LINGKUP DAN PERAN

2.1 Pengendali dan Pemroses

Untuk tujuan DPA ini:

• Anda (Pengendali): Anda menentukan tujuan dan cara pemrosesan Data Pribadi saat menggunakan Layanan kami, khususnya ketika Anda menggunakan API kami untuk menghasilkan kode-kode QR bagi pelanggan Anda sendiri atau mengintegrasikan Layanan kami ke dalam produk Anda.
• Kami (Pemroses): Kami memproses Data Pribadi atas nama Anda sesuai instruksi Anda, sebagaimana dijelaskan dalam DPA ini dan Perjanjian.

2.2 Kapan DPA Ini Berlaku

DPA ini berlaku ketika:

• Anda menggunakan API QR Code AI untuk menghasilkan kode-kode QR yang memproses data pengguna akhir Anda (misalnya URL yang berisi informasi pribadi, data vCard, detail kontak yang dikodekan dalam kode-kode QR).
• Anda menggunakan fitur pelacakan dan analitik QR Code AI yang mengumpulkan data pemindaian dari pengguna akhir Anda.
• Skenario lain apa pun ketika kami memproses Data Pribadi atas nama Anda sebagai pemroses data.

Ketika Anda menggunakan QR Code AI sebagai pengguna individu untuk tujuan Anda sendiri, kami bertindak sebagai pengendali data independen dan Kebijakan Privasi kami mengatur pemrosesan data.

3. RINCIAN PEMROSESAN DATA

3.1 Pokok Pemrosesan dan Durasi

Kami memproses Data Pribadi selama masa Perjanjian untuk menyediakan layanan QR Code AI, termasuk pembuatan kode QR, pelacakan, analitik, dan fungsi terkait.

3.2 Sifat dan Tujuan Pemrosesan

• Membuat kode-kode QR berdasarkan data masukan yang diberikan oleh Pengendali
• Melacak pemindaian kode QR dan mengumpulkan data analitik
• Menyimpan konfigurasi kode QR dan metadata terkait
• Memproses permintaan kode QR seni yang dihasilkan AI
• Menyediakan laporan dan dasbor analitik

3.3 Jenis Data Pribadi

Jenis Data Pribadi yang diproses dapat mencakup:

• Informasi kontak (nama, alamat email, nomor telepon) yang dikodekan dalam kode-kode QR
• URL dan alamat web
• Data lokasi dari pemindaian kode QR
• Informasi perangkat dan alamat IP dari pemindaian kode QR
• Prompt teks dan gambar yang diberikan untuk pembuatan kode QR AI
• Data lain apa pun yang dipilih Pengendali untuk dikodekan dalam kode-kode QR

3.4 Kategori Subjek Data

• Pengguna akhir yang memindai kode-kode QR yang dibuat oleh Pengendali
• Individu yang informasi kontaknya dikodekan dalam kode-kode QR
• Pengguna produk atau layanan Pengendali yang berinteraksi dengan kode-kode QR

4. KEWAJIBAN PEMROSES

4.1 Instruksi Pemrosesan

Kami akan memproses Data Pribadi hanya berdasarkan instruksi terdokumentasi dari Anda, kecuali diwajibkan oleh hukum UE atau hukum Negara Anggota yang berlaku bagi kami. Dalam hal tersebut, kami akan memberi tahu Anda tentang persyaratan hukum tersebut sebelum pemrosesan, kecuali hukum melarang pemberian informasi tersebut karena alasan penting terkait kepentingan publik.

4.2 Kerahasiaan

Kami memastikan bahwa orang yang berwenang memproses Data Pribadi telah berkomitmen pada kerahasiaan atau berada di bawah kewajiban kerahasiaan berdasarkan peraturan perundang-undangan yang sesuai.

4.3 Langkah Keamanan

Kami menerapkan langkah teknis dan organisasi yang sesuai untuk memastikan tingkat keamanan yang sepadan dengan risikonya, termasuk:

• Enkripsi Data Pribadi saat transit (TLS/HTTPS) dan saat tersimpan
• Kontrol akses dan autentikasi berbasis peran untuk sistem internal
• Penilaian keamanan rutin dan pemindaian kerentanan
• Infrastruktur dihosting dengan penyedia bersertifikat ISO 27001
• Perlindungan DDoS dan web application firewall (Cloudflare)
• Pencadangan rutin dengan penyimpanan terenkripsi
• Pencatatan dan pemantauan akses ke Data Pribadi

4.4 Subprosesor

Kami menggunakan subprosesor yang tercantum di halaman Subprosesor. Kami akan memberi tahu Anda tentang perubahan yang direncanakan pada subprosesor dengan memperbarui halaman tersebut. Anda dapat mengajukan keberatan terhadap subprosesor baru dengan menghubungi kami di [email protected] dalam 30 hari setelah pembaruan. Jika Anda keberatan dan kami tidak dapat secara wajar mengakomodasi keberatan Anda, salah satu pihak dapat mengakhiri bagian Layanan yang terdampak.

Kami membuat perjanjian tertulis dengan semua subprosesor yang menetapkan kewajiban perlindungan data yang tidak kurang protektif dibandingkan DPA ini.

4.5 Hak Subjek Data

Kami akan membantu Anda dalam menanggapi permintaan dari Subjek Data yang menjalankan haknya berdasarkan hukum perlindungan data yang berlaku (akses, perbaikan, penghapusan, pembatasan, portabilitas, keberatan). Jika kami menerima permintaan secara langsung dari Subjek Data, kami akan segera mengarahkan mereka kepada Anda kecuali ada instruksi lain.

4.6 Bantuan untuk Kepatuhan

Kami akan membantu Anda memastikan kepatuhan terhadap kewajiban Anda berdasarkan Pasal 32 sampai 36 GDPR, dengan mempertimbangkan sifat pemrosesan dan informasi yang tersedia bagi kami.

5. PEMBERITAHUAN PELANGGARAN DATA

5.1 Batas Waktu Pemberitahuan

Kami akan memberi tahu Anda tentang Pelanggaran Data tanpa penundaan yang tidak semestinya, dan dalam hal apa pun dalam 72 jam sejak kami mengetahui pelanggaran tersebut. Pemberitahuan akan dikirim ke alamat email yang terkait dengan akun Anda.

5.2 Isi Pemberitahuan

Pemberitahuan akan mencakup, sejauh tersedia:

• Deskripsi sifat Pelanggaran Data, termasuk kategori dan perkiraan jumlah Subjek Data serta catatan yang terdampak.
• Nama dan detail kontak titik kontak perlindungan data kami.
• Deskripsi konsekuensi yang kemungkinan terjadi akibat Pelanggaran Data.
• Deskripsi langkah yang telah diambil atau diusulkan untuk menangani Pelanggaran Data, termasuk langkah untuk mengurangi dampak merugikan yang mungkin terjadi.

5.3 Kerja Sama Berkelanjutan

Kami akan bekerja sama dengan Anda dan memberikan bantuan yang wajar untuk menyelidiki, mengurangi, dan memulihkan Pelanggaran Data, serta untuk melakukan pemberitahuan kepada otoritas pengawas atau Subjek Data yang wajib Anda lakukan.

6. TRANSFER DATA INTERNASIONAL

6.1 Lokasi Data

Data Pribadi terutama disimpan dan diproses di Uni Eropa:

• Prancis (UE) melalui Scaleway
• Belanda (UE) melalui DigitalOcean

6.2 Transfer di Luar UE/EEA

Sebagian subprosesor kami berlokasi di luar UE/EEA, terutama di Amerika Serikat. Untuk transfer ini, kami mengandalkan:

• EU-US Data Privacy Framework: Jika berlaku, untuk transfer ke penyedia berbasis AS yang tersertifikasi dalam kerangka tersebut.
• Standard Contractual Clauses (SCC): Kami memasukkan SCC yang disetujui Komisi Eropa (Commission Implementing Decision (EU) 2021/914) ke dalam perjanjian kami dengan subprosesor yang berlokasi di luar UE/EEA ketika Data Privacy Framework tidak berlaku.

6.3 Transfer Impact Assessment

Kami melakukan transfer impact assessment untuk transfer ke negara ketiga dan menerapkan langkah tambahan jika diperlukan untuk memastikan tingkat perlindungan data yang memadai.

7. AUDIT DAN INSPEKSI

7.1 Hak Audit

Anda berhak mengaudit kepatuhan kami terhadap DPA ini. Kami akan menyediakan kepada Anda semua informasi yang diperlukan untuk menunjukkan kepatuhan dan mengizinkan serta berkontribusi pada audit, termasuk inspeksi, yang dilakukan oleh Anda atau auditor yang Anda tunjuk.

7.2 Proses Audit

Audit tunduk pada ketentuan berikut:

• Anda harus memberikan pemberitahuan tertulis setidaknya 30 hari sebelum audit.
• Audit dapat dilakukan tidak lebih dari satu kali per tahun, kecuali diwajibkan oleh otoritas pengawas atau setelah terjadi Pelanggaran Data.
• Audit harus dilakukan pada jam kerja normal dan tidak boleh mengganggu operasional kami secara tidak wajar.
• Anda bertanggung jawab atas biaya audit, kecuali audit mengungkap pelanggaran material terhadap DPA ini.
• Informasi rahasia pelanggan kami yang lain tidak boleh terekspos selama audit.

8. RETENSI DAN PENGHAPUSAN DATA

8.1 Selama Perjanjian

Kami menyimpan Data Pribadi selama masa Perjanjian sejauh diperlukan untuk menyediakan Layanan.

8.2 Setelah Pengakhiran

Setelah pengakhiran Perjanjian atau atas permintaan tertulis Anda:

• Kami akan menghapus Data Pribadi dari sistem aktif kami dalam 30 hari.
• Data Pribadi dalam arsip cadangan akan dibersihkan dalam 6 bulan.
• Kami dapat menyimpan Data Pribadi sejauh diwajibkan oleh hukum yang berlaku (misalnya kewajiban pajak, akuntansi), dan dalam hal tersebut kami akan mengisolasi dan melindungi data tersebut serta membatasi pemrosesan lanjutan hanya pada yang diwajibkan oleh hukum.

8.3 Sertifikasi

Atas permintaan Anda, kami akan memberikan konfirmasi tertulis bahwa Data Pribadi telah dihapus sesuai bagian ini.

9. TANGGUNG JAWAB

Tanggung jawab masing-masing pihak berdasarkan DPA ini tunduk pada pembatasan tanggung jawab yang diatur dalam Perjanjian. Tidak ada ketentuan dalam DPA ini yang membatasi tanggung jawab salah satu pihak kepada Subjek Data atau otoritas pengawas berdasarkan hukum perlindungan data yang berlaku.

10. HUKUM YANG BERLAKU

DPA ini diatur oleh hukum Prancis. Untuk Subjek Data di UE, GDPR berlaku. Untuk Subjek Data di Inggris, UK GDPR berlaku. Setiap sengketa yang timbul dari DPA ini akan diselesaikan sesuai ketentuan penyelesaian sengketa dalam Perjanjian.

11. CARA MENANDATANGANI DPA INI

DPA ini dimasukkan ke dalam dan menjadi bagian dari Ketentuan Layanan. Dengan menggunakan Layanan QR Code AI, Anda menyetujui DPA ini.

Jika Anda memerlukan salinan DPA ini yang ditandatangani secara terpisah untuk arsip Anda, silakan hubungi kami di [email protected] dan kami akan menyediakannya dalam 10 hari kerja.

12. KONTAK

Untuk pertanyaan tentang DPA ini atau praktik pemrosesan data kami:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 France [email protected]