Perjanjian Pemprosesan Data QR Code AI

PERJANJIAN PEMPROSESAN DATA (DPA)

Dikemas kini pada 2 Mac 2026

Perjanjian Pemprosesan Data ini ("DPA") merupakan sebahagian daripada Terma perkhidmatan ("Perjanjian") antara Supernovae, sebuah syarikat yang berdaftar di Perancis di 27 Rue Wurtz, Juvisy-sur-Orge 91260, nombor VAT FR67948452891 ("Pemproses", "kami"), dengan entiti yang bersetuju dengan DPA ini ("Pengawal", "anda"), yang secara bersama dirujuk sebagai "Pihak-Pihak".

DPA ini terpakai apabila kami memproses data peribadi bagi pihak anda berkaitan dengan perkhidmatan QR Code AI kami, termasuk melalui API.

1. TAKRIF

• "Data Peribadi" bermaksud apa-apa maklumat berkaitan dengan individu yang dikenal pasti atau boleh dikenal pasti, seperti yang ditakrifkan dalam Perkara 4(1) GDPR.
• "Pemprosesan" bermaksud apa-apa operasi atau rangkaian operasi yang dilakukan terhadap Data Peribadi, seperti yang ditakrifkan dalam Perkara 4(2) GDPR.
• "Subjek Data" bermaksud individu yang dikenal pasti atau boleh dikenal pasti yang berkaitan dengan Data Peribadi tersebut.
• "Subpemproses" bermaksud mana-mana pihak ketiga yang dilantik oleh Pemproses untuk memproses Data Peribadi bagi pihak Pengawal.
• "GDPR" bermaksud Peraturan (EU) 2016/679 Parlimen Eropah dan Majlis.
• "UK GDPR" bermaksud Peraturan Perlindungan Data Umum United Kingdom, sebagaimana terpakai dalam undang-undang UK dan dibaca bersama Data Protection Act 2018.
• "SCC" bermaksud Klausa Kontrak Standard yang diluluskan oleh Suruhanjaya Eropah bagi pemindahan Data Peribadi ke negara ketiga.
• "Pelanggaran Data" bermaksud pelanggaran keselamatan yang membawa kepada pemusnahan, kehilangan, pengubahan, pendedahan tanpa kebenaran atau akses tanpa kebenaran terhadap Data Peribadi, secara tidak sengaja atau menyalahi undang-undang.

2. SKOP DAN PERANAN

2.1 Pengawal dan Pemproses

Bagi tujuan DPA ini:

• Anda (Pengawal): Anda menentukan tujuan dan cara Pemprosesan Data Peribadi apabila menggunakan Perkhidmatan kami, khususnya apabila menggunakan API kami untuk menjana kod QR bagi pelanggan anda sendiri atau menyepadukan Perkhidmatan kami ke dalam produk anda.
• Kami (Pemproses): Kami memproses Data Peribadi bagi pihak anda mengikut arahan anda, seperti yang diterangkan dalam DPA ini dan Perjanjian.

2.2 Bila DPA Ini Terpakai

DPA ini terpakai apabila:

• Anda menggunakan API QR Code AI untuk menjana kod QR yang memproses data pengguna akhir anda (contohnya URL yang mengandungi maklumat peribadi, data vCard atau butiran hubungan yang dikodkan dalam kod QR).
• Anda menggunakan ciri penjejakan dan analitik QR Code AI yang mengumpulkan data imbasan daripada pengguna akhir anda.
• Dalam apa-apa keadaan lain apabila kami memproses Data Peribadi bagi pihak anda sebagai pemproses data.

Apabila anda menggunakan QR Code AI sebagai pengguna individu untuk tujuan anda sendiri, kami bertindak sebagai pengawal data bebas dan pemprosesan data tertakluk kepada Dasar privasi kami.

3. BUTIRAN PEMPROSESAN DATA

3.1 Perkara dan Tempoh Pemprosesan

Kami memproses Data Peribadi sepanjang tempoh Perjanjian untuk menyediakan perkhidmatan QR Code AI, termasuk penjanaan kod QR, penjejakan, analitik dan fungsi berkaitan.

3.2 Sifat dan Tujuan Pemprosesan

• Menjana kod QR berdasarkan data input yang diberikan oleh Pengawal
• Menjejaki imbasan kod QR dan mengumpulkan data analitik
• Menyimpan konfigurasi kod QR dan metadata berkaitan
• Memproses permintaan kod QR artistik janaan AI
• Menyediakan laporan dan papan pemuka analitik

3.3 Jenis Data Peribadi

Jenis Data Peribadi yang diproses mungkin termasuk:

• Maklumat hubungan (nama, alamat e-mel, nombor telefon) yang dikodkan dalam kod QR
• URL dan alamat web
• Data lokasi daripada imbasan kod QR
• Maklumat peranti dan alamat IP daripada imbasan kod QR
• Arahan teks dan imej yang diberikan untuk penjanaan kod QR dengan AI
• Apa-apa data lain yang dipilih oleh Pengawal untuk dikodkan dalam kod QR

3.4 Kategori Subjek Data

• Pengguna akhir yang mengimbas kod QR yang dicipta oleh Pengawal
• Individu yang maklumat hubungan mereka dikodkan dalam kod QR
• Pengguna produk atau perkhidmatan Pengawal yang berinteraksi dengan kod QR

4. KEWAJIPAN PEMPROSES

4.1 Arahan Pemprosesan

Kami hanya akan memproses Data Peribadi mengikut arahan anda yang didokumenkan, melainkan diwajibkan oleh undang-undang EU atau negara anggota yang terpakai kepada kami. Dalam keadaan tersebut, kami akan memaklumkan kepada anda keperluan undang-undang itu sebelum pemprosesan, melainkan undang-undang melarang pemberian maklumat tersebut atas alasan kepentingan awam yang penting.

Kami akan segera memaklumkan kepada anda jika, pada pendapat kami, sesuatu arahan melanggar GDPR atau peruntukan perlindungan data EU atau negara anggota lain yang terpakai.

4.2 Kerahsiaan

Kami memastikan bahawa orang yang diberi kuasa untuk memproses Data Peribadi telah memberikan komitmen untuk menjaga kerahsiaan atau tertakluk kepada kewajipan kerahsiaan berkanun yang sewajarnya.

4.3 Langkah Keselamatan

Kami melaksanakan langkah teknikal dan organisasi yang sewajarnya untuk memastikan tahap keselamatan yang sepadan dengan risiko, termasuk:

• Penyulitan Data Peribadi semasa penghantaran (TLS/HTTPS), dengan penyulitan semasa penyimpanan bagi maklumat sensitif yang disimpan
• Kawalan akses dan pengesahan berasaskan peranan untuk sistem dalaman
• Penilaian keselamatan dan pengimbasan kerentanan secara berkala
• Infrastruktur yang dihoskan oleh Scaleway dan DigitalOcean, dengan langkah keselamatan dan pematuhan yang bergantung pada penyedia dan perkhidmatan pengehosan
• Perlindungan DDoS dan tembok api aplikasi web (Cloudflare)
• Sandaran berkala dengan storan yang disulitkan
• Pengelogan dan pemantauan akses kepada Data Peribadi

4.4 Subpemproses

Kami menggunakan subpemproses yang disenaraikan pada halaman Subpemproses kami. Kami akan secara aktif memaklumkan kepada anda secara bertulis tentang sebarang cadangan penambahan atau penggantian subpemproses, dengan memberi anda 30 hari dari tarikh notis tersebut untuk membantah sebelum perubahan berkuat kuasa. Anda boleh membantah dengan menghubungi kami di [email protected] dalam tempoh tersebut. Jika anda membantah dan kami tidak dapat memenuhi bantahan anda secara munasabah, mana-mana pihak boleh menamatkan bahagian Perkhidmatan yang terjejas.

Kami hanya akan melantik subpemproses untuk memproses Data Peribadi bagi pihak anda melalui kontrak bertulis, termasuk terma elektronik yang terpakai, yang mengenakan kewajipan perlindungan data yang dikehendaki oleh Perkara 28(4) GDPR. Kami kekal bertanggungjawab terhadap subpemproses kami sebagaimana yang dikehendaki oleh Perkara tersebut.

4.5 Hak Subjek Data

Kami akan membantu anda menjawab permintaan daripada Subjek Data yang melaksanakan hak mereka di bawah undang-undang perlindungan data yang terpakai (akses, pembetulan, pemadaman, sekatan, kebolehalihan dan bantahan). Jika kami menerima permintaan terus daripada Subjek Data, kami akan segera mengarahkan mereka kepada anda melainkan diarahkan sebaliknya.

4.6 Bantuan Pematuhan

Kami akan membantu anda memastikan pematuhan terhadap kewajipan anda di bawah Perkara 32 hingga 36 GDPR, dengan mengambil kira sifat pemprosesan dan maklumat yang tersedia kepada kami.

5. PEMBERITAHUAN PELANGGARAN DATA

5.1 Tempoh Pemberitahuan

Kami akan memaklumkan kepada anda tentang Pelanggaran Data tanpa kelewatan yang tidak wajar, dan dalam apa jua keadaan dalam masa 72 jam selepas menyedari pelanggaran tersebut. Pemberitahuan akan dihantar ke alamat e-mel yang dikaitkan dengan akaun anda.

5.2 Kandungan Pemberitahuan

Pemberitahuan akan merangkumi, setakat maklumat tersedia:

• Penerangan tentang sifat Pelanggaran Data, termasuk kategori dan anggaran bilangan Subjek Data serta rekod yang terjejas.
• Nama dan butiran hubungan pegawai hubungan perlindungan data kami.
• Penerangan tentang kemungkinan akibat Pelanggaran Data.
• Penerangan tentang langkah yang telah diambil atau dicadangkan untuk menangani Pelanggaran Data, termasuk langkah untuk mengurangkan kemungkinan kesan buruknya.

5.3 Kerjasama Berterusan

Kami akan bekerjasama dengan anda dan memberikan bantuan yang munasabah untuk menyiasat, mengurangkan kesan dan memulihkan sebarang Pelanggaran Data, serta membuat pemberitahuan kepada pihak berkuasa penyeliaan atau Subjek Data yang wajib anda lakukan.

6. PEMINDAHAN DATA ANTARABANGSA

6.1 Lokasi Data

Data Peribadi terutamanya disimpan dan diproses di Kesatuan Eropah:

• Perancis (EU) melalui Scaleway
• Belanda (EU) melalui DigitalOcean

6.2 Pemindahan ke Luar EU/EEA

Sesetengah subpemproses kami terletak di luar EU/Kawasan Ekonomi Eropah (EEA), terutamanya di Amerika Syarikat. Bagi pemindahan ini, kami bergantung pada:

• Rangka Kerja Privasi Data EU–AS: Jika terpakai, bagi pemindahan kepada penyedia yang berpangkalan di AS dan diperakui di bawah rangka kerja tersebut.
• Klausa Kontrak Standard (SCC): Kami memasukkan SCC yang diluluskan oleh Suruhanjaya Eropah (Keputusan Pelaksanaan Suruhanjaya (EU) 2021/914) ke dalam perjanjian kami dengan subpemproses yang terletak di luar EU/EEA apabila Rangka Kerja Privasi Data tidak terpakai.

6.3 Penilaian Kesan Pemindahan

Kami menjalankan penilaian kesan pemindahan bagi pemindahan ke negara ketiga dan melaksanakan langkah tambahan jika perlu untuk memastikan tahap perlindungan data yang mencukupi.

7. AUDIT DAN PEMERIKSAAN

7.1 Hak Audit

Anda berhak mengaudit pematuhan kami terhadap DPA ini. Kami akan menyediakan semua maklumat yang diperlukan untuk menunjukkan pematuhan serta membenarkan dan membantu audit, termasuk pemeriksaan, yang dijalankan oleh anda atau juruaudit yang dilantik oleh anda.

7.2 Proses Audit

Aturan berikut hanya terpakai kepada audit setakat aturan tersebut tidak menyekat hak atau kewajipan di bawah undang-undang perlindungan data yang terpakai:

• Anda mesti memberikan notis bertulis sekurang-kurangnya 30 hari sebelum sebarang audit.
• Audit boleh dijalankan tidak lebih daripada sekali setahun, melainkan dikehendaki oleh pihak berkuasa penyeliaan atau selepas Pelanggaran Data.
• Audit mesti dijalankan pada waktu perniagaan biasa dan tidak boleh mengganggu operasi kami secara tidak munasabah.
• Anda bertanggungjawab terhadap kos sebarang audit, melainkan audit itu mendedahkan pelanggaran material terhadap DPA ini.
• Maklumat sulit pelanggan kami yang lain tidak boleh didedahkan semasa audit.

8. PENYIMPANAN DAN PEMADAMAN DATA

8.1 Sepanjang Tempoh Perjanjian

Kami menyimpan Data Peribadi sepanjang tempoh Perjanjian setakat yang diperlukan untuk menyediakan Perkhidmatan.

8.2 Apabila Ditamatkan

Apabila Perjanjian ditamatkan atau atas permintaan bertulis anda:

• Mengikut pilihan anda, kami akan memadamkan Data Peribadi atau mengembalikannya kepada anda dan memadamkan salinan yang masih ada daripada sistem aktif kami dalam masa 30 hari.
• Data Peribadi dalam arkib sandaran akan dipadamkan dalam masa 6 bulan dan, sehingga itu, akan kekal dilindungi dan tidak digunakan untuk tujuan lain, kecuali jika undang-undang yang terpakai menghendaki sebaliknya.
• Kami boleh menyimpan Data Peribadi setakat yang dikehendaki oleh undang-undang yang terpakai (contohnya kewajipan cukai atau perakaunan). Dalam keadaan tersebut, kami akan mengasingkan dan melindungi data itu serta mengehadkan pemprosesan selanjutnya kepada perkara yang dikehendaki oleh undang-undang.

8.3 Pengesahan

Atas permintaan anda, kami akan memberikan pengesahan bertulis bahawa Data Peribadi telah dipadamkan mengikut bahagian ini.

9. LIABILITI

Liabiliti setiap pihak di bawah DPA ini tertakluk kepada had liabiliti yang dinyatakan dalam Perjanjian. Tiada apa-apa dalam DPA ini mengehadkan liabiliti mana-mana pihak kepada Subjek Data atau pihak berkuasa penyeliaan di bawah undang-undang perlindungan data yang terpakai.

10. UNDANG-UNDANG YANG MENTADBIR

DPA ini ditadbir oleh undang-undang Perancis. GDPR dan UK GDPR terpakai setakat pemprosesan berada dalam skop undang-undang masing-masing. Sebarang pertikaian yang timbul daripada DPA ini akan diselesaikan mengikut peruntukan penyelesaian pertikaian dalam Perjanjian.

11. CARA MENERIMA DPA INI

DPA ini dimasukkan ke dalam dan merupakan sebahagian daripada Terma perkhidmatan. Dengan menggunakan Perkhidmatan QR Code AI, anda bersetuju dengan DPA ini.

Jika anda memerlukan salinan DPA ini yang ditandatangani secara berasingan untuk rekod anda, hubungi kami di [email protected] dan kami akan menyediakannya dalam masa 10 hari bekerja.

12. HUBUNGI KAMI

Untuk pertanyaan tentang DPA ini atau amalan pemprosesan data kami:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 Perancis [email protected]