Perjanjian pemrosesan data QR Code AI

PERJANJIAN PEMROSESAN DATA (DPA)

Terakhir diperbarui pada 2 Maret 2026

Perjanjian Pemrosesan Data ini ("DPA") merupakan bagian dari Syarat layanan ("Perjanjian") antara Supernovae, perusahaan yang terdaftar di Prancis dengan alamat 27 Rue Wurtz, Juvisy-sur-Orge 91260, nomor PPN FR67948452891 ("Pemroses", "kami"), dan entitas yang menyetujui DPA ini ("Pengendali", "Anda"), yang secara bersama-sama disebut "Para Pihak".

DPA ini berlaku ketika kami memproses data pribadi atas nama Anda sehubungan dengan layanan QR Code AI kami, termasuk melalui API.

1. DEFINISI

• "Data Pribadi" berarti informasi apa pun yang berkaitan dengan orang perseorangan yang teridentifikasi atau dapat diidentifikasi, sebagaimana didefinisikan dalam Pasal 4(1) GDPR.
• "Pemrosesan" berarti setiap operasi atau rangkaian operasi yang dilakukan terhadap Data Pribadi, sebagaimana didefinisikan dalam Pasal 4(2) GDPR.
• "Subjek Data" berarti orang perseorangan yang teridentifikasi atau dapat diidentifikasi yang terkait dengan Data Pribadi tersebut.
• "Subprosesor" berarti pihak ketiga yang ditunjuk oleh Pemroses untuk memproses Data Pribadi atas nama Pengendali.
• "GDPR" berarti Peraturan (UE) 2016/679 Parlemen Eropa dan Dewan.
• "UK GDPR" berarti Peraturan Umum Pelindungan Data Britania Raya, sebagaimana berlaku dalam hukum Britania Raya dan dibaca bersama Data Protection Act 2018.
• "SCC" berarti Klausul Kontrak Standar yang disetujui oleh Komisi Eropa untuk transfer Data Pribadi ke negara ketiga.
• "Pelanggaran Data" berarti pelanggaran keamanan yang mengakibatkan penghancuran, kehilangan, perubahan, pengungkapan tanpa izin, atau akses tanpa izin terhadap Data Pribadi, baik secara tidak sengaja maupun melawan hukum.

2. RUANG LINGKUP DAN PERAN

2.1 Pengendali dan Pemroses

Untuk keperluan DPA ini:

• Anda (Pengendali): Anda menentukan tujuan dan cara Pemrosesan Data Pribadi ketika menggunakan Layanan kami, khususnya ketika menggunakan API kami untuk membuat kode QR bagi pelanggan Anda sendiri atau mengintegrasikan Layanan kami ke dalam produk Anda.
• Kami (Pemroses): Kami memproses Data Pribadi atas nama Anda sesuai dengan instruksi Anda, sebagaimana dijelaskan dalam DPA ini dan Perjanjian.

2.2 Kapan DPA Ini Berlaku

DPA ini berlaku ketika:

• Anda menggunakan API QR Code AI untuk membuat kode QR yang memproses data pengguna akhir Anda (misalnya URL yang memuat informasi pribadi, data vCard, atau detail kontak yang dikodekan dalam kode QR).
• Anda menggunakan fitur pelacakan dan analitik QR Code AI yang mengumpulkan data pemindaian dari pengguna akhir Anda.
• Dalam situasi lain apa pun ketika kami memproses Data Pribadi atas nama Anda sebagai pemroses data.

Ketika Anda menggunakan QR Code AI sebagai pengguna individu untuk keperluan Anda sendiri, kami bertindak sebagai pengendali data independen dan Pemrosesan data diatur oleh Kebijakan privasi kami.

3. RINCIAN PEMROSESAN DATA

3.1 Pokok dan Jangka Waktu Pemrosesan

Kami memproses Data Pribadi selama masa berlaku Perjanjian untuk menyediakan layanan QR Code AI, termasuk pembuatan kode QR, pelacakan, analitik, dan fungsi terkait.

3.2 Sifat dan Tujuan Pemrosesan

• Membuat kode QR berdasarkan data masukan yang diberikan oleh Pengendali
• Melacak pemindaian kode QR dan mengumpulkan data analitik
• Menyimpan konfigurasi kode QR dan metadata terkait
• Memproses permintaan kode QR artistik yang dihasilkan AI
• Menyediakan laporan dan dasbor analitik

3.3 Jenis Data Pribadi

Jenis Data Pribadi yang diproses dapat mencakup:

• Informasi kontak (nama, alamat email, nomor telepon) yang dikodekan dalam kode QR
• URL dan alamat web
• Data lokasi dari pemindaian kode QR
• Informasi perangkat dan alamat IP dari pemindaian kode QR
• Perintah teks dan gambar yang diberikan untuk pembuatan kode QR dengan AI
• Data lain apa pun yang dipilih oleh Pengendali untuk dikodekan dalam kode QR

3.4 Kategori Subjek Data

• Pengguna akhir yang memindai kode QR buatan Pengendali
• Individu yang informasi kontaknya dikodekan dalam kode QR
• Pengguna produk atau layanan Pengendali yang berinteraksi dengan kode QR

4. KEWAJIBAN PEMROSES

4.1 Instruksi Pemrosesan

Kami hanya akan memproses Data Pribadi berdasarkan instruksi Anda yang terdokumentasi, kecuali jika diwajibkan oleh hukum UE atau negara anggota yang berlaku bagi kami. Dalam hal tersebut, kami akan memberi tahu Anda tentang kewajiban hukum itu sebelum Pemrosesan dilakukan, kecuali jika hukum melarang pemberitahuan tersebut atas dasar kepentingan umum yang penting.

Kami akan segera memberi tahu Anda jika, menurut pendapat kami, suatu instruksi melanggar GDPR atau ketentuan pelindungan data UE atau negara anggota lainnya yang berlaku.

4.2 Kerahasiaan

Kami memastikan bahwa orang yang berwenang memproses Data Pribadi telah berkomitmen untuk menjaga kerahasiaan atau terikat oleh kewajiban kerahasiaan berdasarkan undang-undang yang sesuai.

4.3 Langkah Keamanan

Kami menerapkan langkah teknis dan organisasi yang sesuai untuk memastikan tingkat keamanan yang sepadan dengan risiko, termasuk:

• Enkripsi Data Pribadi saat ditransmisikan (TLS/HTTPS), dengan enkripsi saat disimpan untuk informasi sensitif yang tersimpan
• Kontrol akses dan autentikasi berbasis peran untuk sistem internal
• Penilaian keamanan dan pemindaian kerentanan secara berkala
• Infrastruktur yang dihosting oleh Scaleway dan DigitalOcean, dengan langkah keamanan dan kepatuhan yang bergantung pada penyedia dan layanan hosting
• Pelindungan DDoS dan firewall aplikasi web (Cloudflare)
• Pencadangan berkala dengan penyimpanan terenkripsi
• Pencatatan log dan pemantauan akses ke Data Pribadi

4.4 Subprosesor

Kami menggunakan subprosesor yang tercantum pada halaman Subprosesor kami. Kami akan secara aktif memberi tahu Anda secara tertulis tentang setiap rencana penambahan atau penggantian subprosesor, dengan memberi Anda waktu 30 hari sejak pemberitahuan tersebut untuk mengajukan keberatan sebelum perubahan berlaku. Anda dapat mengajukan keberatan dengan menghubungi kami di [email protected] dalam jangka waktu tersebut. Jika Anda mengajukan keberatan dan kami tidak dapat secara wajar mengakomodasi keberatan Anda, salah satu pihak dapat mengakhiri bagian Layanan yang terdampak.

Kami hanya akan menunjuk subprosesor untuk memproses Data Pribadi atas nama Anda berdasarkan kontrak tertulis, termasuk ketentuan elektronik yang berlaku, yang menetapkan kewajiban pelindungan data sebagaimana diwajibkan oleh Pasal 28(4) GDPR. Kami tetap bertanggung jawab atas subprosesor kami sebagaimana diwajibkan oleh Pasal tersebut.

4.5 Hak Subjek Data

Kami akan membantu Anda menanggapi permintaan Subjek Data yang menjalankan haknya berdasarkan hukum pelindungan data yang berlaku (akses, perbaikan, penghapusan, pembatasan, portabilitas, dan keberatan). Jika kami menerima permintaan langsung dari Subjek Data, kami akan segera mengarahkannya kepada Anda, kecuali jika diinstruksikan lain.

4.6 Bantuan Kepatuhan

Kami akan membantu Anda memastikan kepatuhan terhadap kewajiban Anda berdasarkan Pasal 32 hingga 36 GDPR, dengan mempertimbangkan sifat Pemrosesan dan informasi yang tersedia bagi kami.

5. PEMBERITAHUAN PELANGGARAN DATA

5.1 Jangka Waktu Pemberitahuan

Kami akan memberi tahu Anda tentang Pelanggaran Data tanpa penundaan yang tidak semestinya, dan dalam hal apa pun dalam waktu 72 jam sejak kami mengetahuinya. Pemberitahuan akan dikirim ke alamat email yang terkait dengan akun Anda.

5.2 Isi Pemberitahuan

Pemberitahuan akan memuat, sejauh informasi tersedia:

• Uraian sifat Pelanggaran Data, termasuk kategori dan perkiraan jumlah Subjek Data serta catatan data yang terdampak.
• Nama dan detail kontak narahubung pelindungan data kami.
• Uraian kemungkinan konsekuensi Pelanggaran Data.
• Uraian langkah yang telah diambil atau diusulkan untuk menangani Pelanggaran Data, termasuk langkah untuk mengurangi kemungkinan dampak buruknya.

5.3 Kerja Sama Berkelanjutan

Kami akan bekerja sama dengan Anda dan memberikan bantuan yang wajar dalam menyelidiki, mengurangi dampak, dan menangani setiap Pelanggaran Data, serta dalam menyampaikan pemberitahuan kepada otoritas pengawas atau Subjek Data yang wajib Anda lakukan.

6. TRANSFER DATA INTERNASIONAL

6.1 Lokasi Data

Data Pribadi terutama disimpan dan diproses di Uni Eropa:

• Prancis (UE) melalui Scaleway
• Belanda (UE) melalui DigitalOcean

6.2 Transfer ke Luar UE/EEA

Sebagian subprosesor kami berlokasi di luar UE/Wilayah Ekonomi Eropa (EEA), terutama di Amerika Serikat. Untuk transfer tersebut, kami mengandalkan:

• Kerangka Privasi Data UE–AS: Jika berlaku, untuk transfer ke penyedia berbasis di AS yang tersertifikasi berdasarkan kerangka tersebut.
• Klausul Kontrak Standar (SCC): Kami memasukkan SCC yang disetujui Komisi Eropa (Keputusan Pelaksanaan Komisi (UE) 2021/914) ke dalam perjanjian kami dengan subprosesor yang berlokasi di luar UE/EEA apabila Kerangka Privasi Data tidak berlaku.

6.3 Penilaian Dampak Transfer

Kami melakukan penilaian dampak transfer untuk transfer ke negara ketiga dan menerapkan langkah tambahan bila diperlukan untuk memastikan tingkat pelindungan data yang memadai.

7. AUDIT DAN INSPEKSI

7.1 Hak Audit

Anda berhak mengaudit kepatuhan kami terhadap DPA ini. Kami akan menyediakan semua informasi yang diperlukan untuk menunjukkan kepatuhan serta mengizinkan dan mendukung audit, termasuk inspeksi, yang dilakukan oleh Anda atau auditor yang Anda tunjuk.

7.2 Proses Audit

Ketentuan berikut hanya berlaku untuk audit sejauh tidak membatasi hak atau kewajiban berdasarkan hukum pelindungan data yang berlaku:

• Anda harus memberikan pemberitahuan tertulis setidaknya 30 hari sebelum audit.
• Audit dapat dilakukan paling banyak sekali setahun, kecuali jika diwajibkan oleh otoritas pengawas atau setelah Pelanggaran Data.
• Audit harus dilakukan selama jam kerja normal dan tidak boleh mengganggu operasi kami secara tidak wajar.
• Anda bertanggung jawab atas biaya audit, kecuali jika audit mengungkap pelanggaran material terhadap DPA ini.
• Informasi rahasia pelanggan kami yang lain tidak boleh terungkap selama audit.

8. PENYIMPANAN DAN PENGHAPUSAN DATA

8.1 Selama Masa Berlaku Perjanjian

Kami menyimpan Data Pribadi selama masa berlaku Perjanjian sejauh diperlukan untuk menyediakan Layanan.

8.2 Saat Perjanjian Berakhir

Saat Perjanjian berakhir atau atas permintaan tertulis Anda:

• Sesuai pilihan Anda, kami akan menghapus Data Pribadi atau mengembalikannya kepada Anda dan menghapus salinan yang tersisa dari sistem aktif kami dalam waktu 30 hari.
• Data Pribadi dalam arsip cadangan akan dihapus dalam waktu 6 bulan dan, sampai saat itu, tetap terlindungi serta tidak digunakan untuk tujuan lain, kecuali jika hukum yang berlaku mewajibkan lain.
• Kami dapat menyimpan Data Pribadi sejauh diwajibkan oleh hukum yang berlaku (misalnya kewajiban perpajakan atau akuntansi). Dalam hal ini, kami akan memisahkan dan melindungi data tersebut serta membatasi Pemrosesan lebih lanjut hanya pada yang diwajibkan oleh hukum.

8.3 Konfirmasi

Atas permintaan Anda, kami akan memberikan konfirmasi tertulis bahwa Data Pribadi telah dihapus sesuai dengan bagian ini.

9. TANGGUNG JAWAB

Tanggung jawab masing-masing pihak berdasarkan DPA ini tunduk pada pembatasan tanggung jawab yang ditetapkan dalam Perjanjian. Tidak ada ketentuan dalam DPA ini yang membatasi tanggung jawab salah satu pihak terhadap Subjek Data atau otoritas pengawas berdasarkan hukum pelindungan data yang berlaku.

10. HUKUM YANG BERLAKU

DPA ini diatur oleh hukum Prancis. GDPR dan UK GDPR berlaku sejauh Pemrosesan termasuk dalam ruang lingkup hukum masing-masing. Setiap sengketa yang timbul dari DPA ini akan diselesaikan sesuai dengan ketentuan penyelesaian sengketa dalam Perjanjian.

11. CARA MENYETUJUI DPA INI

DPA ini dimasukkan ke dalam dan merupakan bagian dari Syarat layanan. Dengan menggunakan Layanan QR Code AI, Anda menyetujui DPA ini.

Jika Anda memerlukan salinan DPA ini yang ditandatangani secara terpisah untuk arsip Anda, hubungi kami di [email protected] dan kami akan menyediakannya dalam waktu 10 hari kerja.

12. KONTAK

Untuk pertanyaan tentang DPA ini atau praktik Pemrosesan data kami:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 Prancis [email protected]