ADENDUM PEMROSESAN DATA

Terakhir diperbarui: 19 Maret 2026

Adendum Pemrosesan Data ini ("DPA") merupakan bagian dari Syarat dan Ketentuan ("Perjanjian") antara Acira AI LLC ("Pemroses", "kami") dan pengguna Layanan ("Pengendali", "Anda"), serta melengkapi Perjanjian sehubungan dengan pemrosesan data pribadi.

DPA ini berlaku apabila Anda menggunakan Layanan untuk membuat, menghosting, dan mempublikasikan situs web yang mengumpulkan atau memproses data pribadi individu yang berlokasi di Kawasan Ekonomi Eropa ("KEE"), Inggris Raya ("UK"), atau Swiss, atau jika disyaratkan oleh undang-undang perlindungan data yang berlaku.

DPA ini dapat diterjemahkan ke dalam bahasa lain untuk kenyamanan Anda. Apabila terjadi pertentangan atau ketidaksesuaian antara versi bahasa Inggris dan versi terjemahan, versi bahasa Inggris yang berlaku.

DAFTAR ISI

1. DEFINISI
2. RUANG LINGKUP DAN PERAN
3. DETAIL PEMROSESAN DATA
4. KEWAJIBAN PEMROSES
5. KEWAJIBAN PENGENDALI
6. SUB-PEMROSES
7. TRANSFER DATA INTERNASIONAL
8. HAK SUBJEK DATA
9. KEAMANAN DATA
10. PEMBERITAHUAN PELANGGARAN DATA
11. AUDIT DAN VERIFIKASI KEPATUHAN
12. RETENSI DAN PENGHAPUSAN DATA
13. JANGKA WAKTU DAN PENGAKHIRAN
14. BATASAN TANGGUNG JAWAB
15. HUBUNGI KAMI

1. DEFINISI

"Undang-Undang Perlindungan Data yang Berlaku" berarti semua undang-undang dan peraturan yang berlaku untuk pemrosesan data pribadi berdasarkan DPA ini, termasuk (jika berlaku) Peraturan Perlindungan Data Umum (EU) 2016/679 ("GDPR"), UK GDPR, Undang-Undang Federal Swiss tentang Perlindungan Data ("FADP"), dan California Consumer Privacy Act ("CCPA").

"Pengendali" berarti orang alami atau badan hukum yang menentukan tujuan dan cara pemrosesan data pribadi — dalam konteks ini, Anda, pengguna Layanan yang mengoperasikan situs web melalui platform.

"Subjek Data" berarti orang alami yang teridentifikasi atau dapat diidentifikasi yang data pribadinya diproses.

"Data Pribadi" berarti informasi apa pun yang berkaitan dengan Subjek Data yang diproses melalui Layanan.

"Pemrosesan" berarti operasi apa pun yang dilakukan pada data pribadi, termasuk pengumpulan, pencatatan, pengorganisasian, penataan, penyimpanan, adaptasi, pengambilan, konsultasi, penggunaan, pengungkapan, penyebaran, pembatasan, penghapusan, atau pemusnahan.

"Pemroses" berarti orang alami atau badan hukum yang memproses data pribadi atas nama Pengendali — dalam konteks ini, Acira AI LLC.

"Sub-Pemroses" berarti pihak ketiga mana pun yang dipekerjakan oleh Pemroses untuk memproses data pribadi atas nama Pengendali.

"Klausul Kontrak Standar" atau "SCC" berarti klausul kontrak standar untuk transfer data pribadi kepada pemroses yang didirikan di negara ketiga, sebagaimana diadopsi oleh Komisi Eropa.

2. RUANG LINGKUP DAN PERAN

2.1 Hubungan Pemrosesan

Ketika Anda menggunakan Layanan untuk membuat dan mengoperasikan situs web yang mengumpulkan data pribadi dari pengunjung situs web Anda (melalui formulir, akun pengguna, interaksi chatbot, komentar, ulasan, atau fitur interaktif lainnya), Anda bertindak sebagai Pengendali dan kami bertindak sebagai Pemroses data pribadi pengunjung tersebut.

2.2 Peran Kami sebagai Pengendali

Kami bertindak sebagai Pengendali independen untuk data pribadi yang kami kumpulkan untuk tujuan kami sendiri, termasuk: informasi akun Anda, data penagihan, analitik penggunaan, karakteristik umum situs web yang berasal dari konten situs web Anda (seperti industri atau jenis bisnis), dan data operasi platform. Pemrosesan data tersebut diatur oleh Kebijakan Privasi kami dan berada di luar cakupan DPA ini.

2.3 Analitik Platform

Kami mengumpulkan analitik dasar yang ramah privasi tentang pengunjung situs web (sebagaimana dijelaskan dalam Perjanjian). Untuk data analitik, kami bertindak sebagai pengendali bersama dengan Anda. Kami telah merancang analitik kami untuk meminimalkan pengumpulan data pribadi — kami tidak menyimpan alamat IP mentah, dan pengidentifikasi pengunjung dirotasi setiap hari. Tanggung jawab masing-masing pengendali bersama adalah sebagai berikut:

• Acira AI (Pemroses/Pengendali Bersama): Menentukan cara teknis pengumpulan analitik, termasuk poin data yang dikumpulkan, cara pengidentifikasi pengunjung dihitung (hash yang dirotasi harian), dan cara data diagregasi. Kami bertanggung jawab atas keamanan dan integritas infrastruktur analitik serta menjawab pertanyaan umum tentang cara kerja analitik di platform.
• Anda (Pengendali/Pengendali Bersama): Menentukan apakah akan menggunakan analitik di situs web Anda (analitik diaktifkan secara default sebagai bagian dari Layanan). Anda bertanggung jawab untuk mengungkapkan pengumpulan data analitik dalam kebijakan privasi situs web Anda dan menjawab permintaan Subjek Data dari pengunjung situs web Anda terkait data analitik mereka.
• Titik kontak untuk Subjek Data: Subjek Data dapat menghubungi Anda (pemilik situs web) mengenai data analitik yang dikumpulkan di situs web Anda. Jika kami menerima permintaan dari Subjek Data mengenai data analitik, kami akan mengarahkan mereka kepada Anda kecuali Anda menginstruksikan kami sebaliknya. Untuk pertanyaan platform umum, Subjek Data dapat menghubungi kami di legal@acira.ai.

2.4 Esensi Pengaturan Pengendali Bersama

Sesuai dengan Pasal 26(2) GDPR, esensi pengaturan pengendali bersama untuk data analitik adalah sebagai berikut: Kami (Acira AI) menentukan cara teknis dan poin data yang dikumpulkan; Anda (operator situs web) menentukan apakah analitik digunakan di situs web Anda. Kami masing-masing bertanggung jawab atas kewajiban kami berdasarkan Undang-Undang Perlindungan Data yang Berlaku. Anda adalah titik kontak utama bagi pengunjung situs web Anda terkait data analitik. Ringkasan pengaturan ini tersedia untuk Subjek Data melalui DPA ini dan di https://www.acira.ai/dpa.

2.5 Penunjukan Penyedia Layanan CCPA

Sejauh kami memproses informasi pribadi yang tunduk pada California Consumer Privacy Act ("CCPA") atas nama Anda, kami adalah "penyedia layanan" Anda sebagaimana didefinisikan dalam Cal. Civ. Code § 1798.140(ag). Kami tidak akan:

• Menjual atau berbagi (sebagaimana istilah-istilah tersebut didefinisikan berdasarkan CCPA) informasi pribadi apa pun yang Anda berikan kepada kami;
• Menyimpan, menggunakan, atau mengungkapkan informasi pribadi untuk tujuan apa pun selain tujuan bisnis yang ditentukan dalam DPA dan Perjanjian ini, atau sebagaimana diizinkan oleh CCPA;
• Menyimpan, menggunakan, atau mengungkapkan informasi pribadi di luar hubungan bisnis langsung antara Anda dan kami;
• Menggabungkan informasi pribadi yang diterima dari Anda dengan informasi pribadi yang kami terima dari atau atas nama orang lain atau yang kami kumpulkan dari interaksi kami sendiri dengan konsumen, kecuali sebagaimana diizinkan oleh CCPA.

Kami dapat memperoleh karakteristik bisnis umum dan non-identifikasi (seperti klasifikasi industri) dari konten situs web Anda untuk tujuan memberikan rekomendasi produk yang relevan, sebagaimana dijelaskan dalam Bagian 2.2. Penggunaan terbatas ini bukan merupakan penjualan, pembagian, atau penggabungan informasi pribadi dalam arti CCPA.

Kami menyatakan bahwa kami memahami dan akan mematuhi pembatasan ini.

2.6 Penilaian Perwakilan FADP Swiss

Pasal 14 Undang-Undang Federal Swiss tentang Perlindungan Data ("FADP") mensyaratkan pengendali swasta non-Swiss untuk menunjuk perwakilan di Swiss hanya ketika semua empat kondisi kumulatif berikut terpenuhi: (1) pemrosesan berkaitan dengan penawaran barang atau layanan kepada, atau pemantauan perilaku, orang-orang di Swiss; (2) pemrosesan dilakukan dalam skala besar; (3) pemrosesan dilakukan secara teratur; dan (4) pemrosesan menimbulkan risiko tinggi terhadap hak kepribadian atau hak-hak dasar subjek data.

Kami telah menilai kegiatan pemrosesan kami terhadap kondisi-kondisi ini dan telah menetapkan bahwa meskipun kondisi (1) dan (3) terpenuhi, kondisi yang tersisa tidak terpenuhi dengan alasan berikut:

• Bukan skala besar: Kami adalah platform SaaS kecil. Volume data pribadi penduduk Swiss yang diproses melalui Layanan kami terbatas dan tidak merupakan pemrosesan dalam skala besar dalam pengertian Pasal 14 FADP.
• Bukan risiko tinggi: Data pribadi yang kami proses atas nama operator situs web terutama terdiri dari pengidentifikasi analitik yang dipseudonymisasi (hash yang dirotasi harian), metadata pengunjung dasar (negara, jenis perangkat, browser), konten formulir, dan pesan chatbot. Kami tidak memproses kategori khusus data pribadi (Pasal 5(c) FADP), dan tidak melakukan profiling dengan risiko tinggi terhadap subjek data. Komisioner Perlindungan Data dan Informasi Federal Swiss ("FDPIC") telah mengindikasikan bahwa kewajiban ini terutama ditujukan pada platform internet besar dan jaringan sosial yang beroperasi dari luar negeri, yang tidak menggambarkan Layanan kami.

Berdasarkan penilaian ini, kami menyimpulkan bahwa kami tidak diwajibkan untuk menunjuk perwakilan di Swiss berdasarkan Pasal 14 FADP saat ini. Kami akan menilai ulang keputusan ini secara berkala, termasuk setelah perubahan material pada skala atau sifat kegiatan pemrosesan kami yang mempengaruhi penduduk Swiss.

3. DETAIL PEMROSESAN DATA

3.1 Pokok dan Durasi

Pemrosesan data pribadi berdasarkan DPA ini dilakukan untuk tujuan penyediaan Layanan sebagaimana dijelaskan dalam Perjanjian dan akan berlanjut selama durasi Perjanjian.

3.2 Sifat dan Tujuan Pemrosesan

Kami memproses data pribadi untuk:

• Menghosting dan menyajikan konten situs web Anda
• Menyimpan dan mengelola data yang dikirimkan melalui formulir dan fitur interaktif situs web Anda
• Mempertahankan akun pengguna dan sesi untuk area terlindungi situs web Anda
• Mengirimkan komunikasi email atas nama Anda
• Meneruskan email yang diterima di alamat email domain kustom Anda
• Mengoperasikan percakapan chatbot AI dengan pengunjung situs web Anda
• Menghasilkan deskripsi dan metadata bertenaga AI untuk file yang diunggah
• Mengkonversi file yang diunggah ke format yang dioptimalkan untuk web
• Menyediakan analitik pengunjung
• Memperoleh karakteristik umum situs web (seperti industri atau jenis bisnis) untuk memberikan rekomendasi platform yang relevan
• Mendeteksi dan mencegah spam dan penyalahgunaan (termasuk tantangan bot proof-of-work)
• Melakukan moderasi konten pada file yang diunggah
• Meninjau konten situs web selama publikasi untuk kepatuhan terhadap kebijakan konten platform
• Mengelola preferensi berhenti berlangganan email untuk penerima email situs web Anda
• Memfasilitasi komunikasi saluran real-time di situs web Anda melalui koneksi WebSocket (pesan bersifat sementara dan tidak disimpan)
• Mempertahankan log kesalahan dan diagnostik untuk keandalan platform dan pemecahan masalah (dapat mencakup alamat IP dan metadata permintaan; disimpan hingga tiga puluh (30) hari)

3.3 Jenis Data Pribadi

Jenis data pribadi yang diproses bergantung pada apa yang Anda kumpulkan melalui situs web Anda, yang dapat mencakup:

• Nama dan informasi kontak
• Alamat email
• Pesan dan pengiriman formulir
• Unggahan file yang dikirimkan oleh pengunjung situs web (seperti gambar dan dokumen)
• Konten percakapan chatbot (pesan pengunjung dan respons AI)
• Kredensial akun pengguna (disimpan dalam bentuk hash)
• Data sesi
• Alamat IP (tidak disimpan dalam analitik — hanya hash yang dirotasi harian yang disimpan; disimpan sebagai metadata bersama pengiriman formulir dan percakapan chatbot; digunakan sementara dan di-hash untuk verifikasi tantangan bot; disimpan sementara untuk pembatasan laju hingga tujuh (7) hari dan secara otomatis dihapus)
• Informasi browser dan perangkat
• Data lokasi (tingkat negara dan wilayah, diturunkan dari IP)
• Catatan berhenti berlangganan email (disimpan sebagai hash kriptografis dari alamat email penerima; tidak disimpan dalam bentuk mentah)
• Hasil klasifikasi spam (apakah pengiriman ditentukan sebagai spam)
• Data log kesalahan dan diagnostik (alamat IP, jalur permintaan, dan detail kesalahan; disimpan hingga tiga puluh (30) hari dan secara otomatis dihapus)

3.4 Kategori Subjek Data

• Pengunjung situs web Anda
• Pengguna yang membuat akun di situs web Anda
• Pengguna yang mengirimkan formulir atau berinteraksi dengan chatbot di situs web Anda
• Pengguna yang mengirimkan komentar, ulasan, atau kontribusi lainnya di situs web Anda

4. KEWAJIBAN PEMROSES

Kami akan:

1. Memproses data pribadi hanya berdasarkan instruksi terdokumentasi Anda, kecuali jika diwajibkan oleh hukum yang berlaku (dalam hal ini kami akan memberitahu Anda tentang persyaratan hukum tersebut sebelum pemrosesan, kecuali dilarang oleh hukum);
2. Memastikan bahwa orang-orang yang berwenang memproses data pribadi telah berkomitmen untuk menjaga kerahasiaan atau berada di bawah kewajiban kerahasiaan hukum yang sesuai;
3. Menerapkan langkah-langkah keamanan teknis dan organisasional yang sesuai sebagaimana dijelaskan dalam Bagian 9;
4. Mematuhi kondisi untuk melibatkan sub-pemroses sebagaimana ditetapkan dalam Bagian 6;
5. Membantu Anda, dengan mempertimbangkan sifat pemrosesan, dalam merespons permintaan dari Subjek Data yang menggunakan hak mereka berdasarkan Undang-Undang Perlindungan Data yang Berlaku;
6. Membantu Anda dalam memastikan kepatuhan terhadap kewajiban Anda berdasarkan Pasal 32-36 GDPR (keamanan, pemberitahuan pelanggaran, penilaian dampak perlindungan data, dan konsultasi sebelumnya), dengan mempertimbangkan sifat pemrosesan dan informasi yang tersedia bagi kami. Jika penggunaan Layanan Anda melibatkan pemrosesan berisiko tinggi yang mungkin memerlukan Penilaian Dampak Perlindungan Data (DPIA), kami akan memberi Anda informasi tentang kegiatan pemrosesan kami, langkah-langkah teknis dan organisasional, serta sub-pemroses untuk mendukung penilaian Anda;
7. Membantu Anda dalam memenuhi kewajiban Anda berdasarkan Pasal 22 GDPR (pengambilan keputusan individu otomatis) dengan menyediakan informasi tentang pemrosesan otomatis apa pun yang dilakukan atas nama Anda, termasuk moderasi konten, deteksi spam, dan perlindungan bot, serta dengan memfasilitasi peninjauan manusia atas keputusan otomatis atas permintaan;
8. Memberi tahu Anda jika, menurut pendapat kami, instruksi dari Anda melanggar Undang-Undang Perlindungan Data yang Berlaku;
9. Atas pilihan Anda, menghapus atau mengembalikan semua data pribadi setelah akhir penyediaan Layanan, dan menghapus salinan yang ada kecuali penyimpanan diwajibkan oleh hukum yang berlaku;
10. Menyediakan semua informasi yang diperlukan untuk mendemonstrasikan kepatuhan terhadap kewajiban yang ditetapkan dalam DPA ini dan berkontribusi pada verifikasi kepatuhan sebagaimana dijelaskan dalam Bagian 11.

5. KEWAJIBAN PENGENDALI

Anda akan:

1. Memastikan bahwa pengumpulan dan pemrosesan data pribadi Anda melalui situs web Anda mematuhi semua Undang-Undang Perlindungan Data yang Berlaku;
2. Memberikan pemberitahuan privasi yang sesuai kepada pengunjung situs web Anda yang menjelaskan praktik pengumpulan data Anda, termasuk pengungkapan analitik tingkat platform, interaksi chatbot bertenaga AI, deteksi spam, dan perlindungan bot;
3. Memperoleh semua persetujuan yang diperlukan atau menetapkan dasar hukum lain untuk pemrosesan data pribadi melalui situs web Anda;
4. Memastikan bahwa instruksi Anda kepada kami mengenai pemrosesan data pribadi mematuhi Undang-Undang Perlindungan Data yang Berlaku;
5. Bertanggung jawab atas keakuratan, kualitas, dan legalitas data pribadi yang disediakan kepada kami melalui situs web Anda.

Dengan menggunakan Layanan, Anda menginstruksikan kami untuk melakukan kegiatan pemrosesan berikut atas nama Anda sebagai bagian dari operasi platform standar: moderasi konten file yang diunggah, tinjauan kebijakan konten atas konten situs web yang diterbitkan, deteksi spam pada pengiriman formulir, perlindungan bot melalui tantangan proof-of-work, dan interaksi chatbot bertenaga AI dengan pengunjung situs web Anda. Kegiatan-kegiatan ini adalah instruksi yang terdokumentasi berdasarkan Pasal 28(3)(a) GDPR.

6. SUB-PEMROSES

6.1 Sub-Pemroses yang Diotorisasi

Anda memberikan otorisasi umum bagi kami untuk melibatkan sub-pemroses guna membantu penyediaan Layanan. Sub-pemroses kami saat ini tercantum di bawah dan di https://www.acira.ai/dpa.

6.2 Daftar Sub-Pemroses Saat Ini

6.3 Perubahan Sub-Pemroses

Kami akan memberi tahu Anda tentang perubahan yang direncanakan pada daftar sub-pemroses untuk Layanan yang saat ini Anda gunakan dengan memperbarui daftar sub-pemroses di https://www.acira.ai/dpa setidaknya empat belas (14) hari sebelum sub-pemroses baru mulai memproses data pribadi. Ketika kami memperkenalkan fitur atau layanan baru yang melibatkan sub-pemroses tambahan, sub-pemroses tersebut akan diungkapkan pada saat fitur atau layanan tersebut tersedia; penggunaan Anda atas fitur atau layanan baru tersebut merupakan penerimaan terhadap sub-pemroses yang diungkapkan. Tanggung jawab Anda untuk secara berkala meninjau daftar sub-pemroses untuk perubahan. Jika Anda memiliki keberatan yang wajar terhadap sub-pemroses baru yang memproses data untuk Layanan yang sudah ada, Anda dapat memberi tahu kami secara tertulis dalam empat belas (14) hari setelah perubahan dipublikasikan. Kami akan bekerja sama dengan Anda dengan itikad baik untuk mengatasi kekhawatiran Anda. Jika kami tidak dapat menyelesaikan keberatan tersebut dengan kepuasan yang wajar, Anda dapat mengakhiri Perjanjian dengan memberikan pemberitahuan tertulis.

6.4 Kewajiban Sub-Pemroses

Kami akan membuat perjanjian tertulis dengan setiap sub-pemroses yang memberlakukan kewajiban perlindungan data tidak kurang protektif dari yang ditetapkan dalam DPA ini. Kami tetap bertanggung jawab atas tindakan dan kelalaian sub-pemroses kami sejauh yang sama seperti jika kami melakukan layanan secara langsung.

7. TRANSFER DATA INTERNASIONAL

7.1 Mekanisme Transfer

Layanan terutama dihosting di Amerika Serikat. Data pribadi yang diproses melalui Layanan dapat ditransfer ke dan diproses di Amerika Serikat dan negara-negara lain tempat sub-pemroses kami beroperasi. Penyedia inferensi AI (Fireworks AI dan xAI) memproses data di Amerika Serikat. BrightData dapat memproses data di Israel dan lokasi lain secara global. Cloudflare memproses data di lokasi edge di seluruh dunia.

Residensi Data UE: Untuk operator situs web yang diidentifikasi sebagai penduduk UE, kami menerapkan langkah-langkah residensi data berikut untuk meminimalkan transfer data pribadi pengunjung ke luar Uni Eropa:

• Penyimpanan: Data pengunjung di penyimpanan edge persisten — termasuk pengiriman formulir, percakapan chatbot, data sesi, dan data tabel pengguna — dibatasi pada Uni Eropa. Data ini disimpan secara eksklusif di pusat data UE.
• Pemrosesan otomatis yang menghadap pengunjung: Operasi yang dipicu secara otomatis oleh aktivitas pengunjung — termasuk pemberitahuan pengiriman konten dan pengiriman email transaksional — diproses di dalam Uni Eropa dan tidak transit melalui infrastruktur AS.
• Akses manajemen platform: Ketika Anda mengakses data pengunjung situs web Anda melalui dasbor platform atau antarmuka percakapan (misalnya, melihat pengiriman formulir atau mengelola catatan pengguna), data ini mungkin diproses melalui infrastruktur kami di AS untuk memenuhi permintaan Anda. Transfer ini bersifat sesuai permintaan, dimulai oleh Anda (Pengendali), dan dilindungi oleh mekanisme transfer dan langkah-langkah tambahan yang dijelaskan di bawah.
• Pemrosesan lain di AS: Data analitik dan data yang diproses oleh infrastruktur cloud kami di AS untuk moderasi konten dan inferensi AI masih dapat ditransfer ke Amerika Serikat sesuai dengan mekanisme transfer di bawah.

Untuk transfer data pribadi dari KEE, UK, atau Swiss ke negara-negara yang tidak diakui sebagai memberikan tingkat perlindungan data yang memadai, kami mengandalkan:

1. Klausul Kontrak Standar (SCC): Kami menggabungkan Klausul Kontrak Standar Komisi Eropa ke dalam DPA ini dengan referensi: Modul Satu (Pengendali ke Pengendali) untuk data analitik di mana kami bertindak sebagai pengendali bersama (lihat Bagian 2.3), dan Modul Dua (Pengendali ke Pemroses) untuk semua data pribadi lainnya yang diproses atas nama Anda. SCC tersedia di https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en.
2. Adendum Transfer Data Internasional UK: Untuk transfer dari UK, Adendum UK untuk SCC EU berlaku.
3. Mekanisme Transfer Data Swiss: Untuk transfer dari Swiss, SCC berlaku dengan modifikasi yang dipersyaratkan oleh FADP Swiss.

7.2 Langkah-Langkah Tambahan

Kami menerapkan langkah-langkah tambahan berikut untuk melindungi data pribadi yang ditransfer:

• Enkripsi data dalam transit (TLS/SSL) dan saat istirahat
• Kontrol akses dan mekanisme autentikasi
• Penilaian keamanan secara teratur
• Praktik minimisasi data (misalnya, hash pengunjung yang dirotasi harian, bukan penyimpanan IP mentah)
• Residensi data yurisdiksi untuk operator situs web yang tinggal di UE (penyimpanan persisten dan pemrosesan otomatis yang ditujukan untuk pengunjung dibatasi pada UE)
• Infrastruktur komputasi dan email berbasis UE untuk operasi otomatis yang menghadap pengunjung (pemberitahuan pengiriman konten dan pengiriman email transaksional yang diproses di Uni Eropa untuk operator situs web yang berdomisili di UE)

7.3 Penilaian Dampak Transfer

Langkah-langkah tambahan ini didasarkan pada penilaian kami terhadap hukum dan praktik negara-negara tujuan, dengan mempertimbangkan sifat data yang ditransfer, mekanisme transfer yang digunakan, serta pengamanan teknis dan organisasional yang ada. Kami telah menilai bahwa langkah-langkah tambahan yang dijelaskan di atas, bersama dengan komitmen dalam SCC, memberikan tingkat perlindungan yang memadai untuk data pribadi yang ditransfer. Penilaian Dampak Transfer kami tersedia di https://www.acira.ai/tia.

7.4 Transfer Data Kanada

Untuk transfer data pribadi dari Kanada, kami mengandalkan pengamanan berikut untuk memastikan bahwa data pribadi yang ditransfer di luar Kanada menerima tingkat perlindungan yang sebanding sebagaimana disyaratkan berdasarkan Personal Information Protection and Electronic Documents Act (PIPEDA) dan undang-undang privasi provinsi yang berlaku (termasuk PIPA Alberta, PIPA British Columbia, dan Undang-Undang Quebec tentang perlindungan informasi pribadi di sektor swasta):

1. Perlindungan kontraktual: Perjanjian pemrosesan data tertulis dengan setiap sub-pemroses yang memberlakukan kewajiban untuk melindungi data pribadi dengan standar yang konsisten dengan hukum privasi Kanada, termasuk persyaratan untuk pengamanan keamanan yang sesuai, batasan penggunaan, pemberitahuan pelanggaran, dan akses subjek data.
2. Pengamanan teknis: Langkah-langkah enkripsi, pseudonimisasi, kontrol akses, dan minimisasi data yang sama sebagaimana dijelaskan dalam Bagian 7.2 berlaku untuk transfer data Kanada.
3. Pengamanan organisasional: Uji tuntas sub-pemroses, kewajiban kerahasiaan untuk personel, dan prosedur respons insiden yang terdokumentasi sebagaimana dijelaskan dalam DPA ini.

Kami memantau perkembangan hukum privasi Kanada, termasuk Consumer Privacy Protection Act (CPPA) yang diusulkan, dan akan memperbarui mekanisme transfer kami sesuai kebutuhan.

8. HAK SUBJEK DATA

8.1 Bantuan dengan Permintaan

Kami akan membantu Anda dalam merespons permintaan dari Subjek Data yang menggunakan hak mereka berdasarkan Undang-Undang Perlindungan Data yang Berlaku, termasuk hak akses, rektifikasi, penghapusan, pembatasan, portabilitas, dan keberatan.

8.2 Pemberitahuan

Jika kami menerima permintaan langsung dari Subjek Data mengenai data pribadi yang diproses atas nama Anda, kami akan segera memberi tahu Anda dan tidak akan merespons permintaan tersebut tanpa instruksi Anda, kecuali diwajibkan oleh hukum yang berlaku.

8.3 Alat Platform

Kami menyediakan alat dalam Layanan untuk membantu Anda memenuhi permintaan Subjek Data, termasuk:

• Akses ke dan pengelolaan data yang disimpan dalam database situs web Anda
• Penghapusan catatan individual dari database situs web Anda
• Atas permintaan, kami dapat menyediakan ekspor data dalam format ZIP untuk membantu kewajiban portabilitas data

9. KEAMANAN DATA

9.1 Langkah-Langkah Keamanan

Kami menerapkan dan mempertahankan langkah-langkah teknis dan organisasional yang sesuai untuk melindungi data pribadi dari pemrosesan yang tidak sah atau melanggar hukum, dan dari kehilangan, pemusnahan, atau kerusakan yang tidak disengaja. Langkah-langkah ini mencakup:

• Enkripsi: Data dienkripsi dalam transit melalui TLS/SSL dan saat istirahat menggunakan enkripsi standar industri
• Kontrol Akses: Kontrol akses berbasis peran, autentikasi multi-faktor untuk administrasi platform, kebijakan akses dengan hak istimewa minimum
• Keamanan Infrastruktur: Infrastruktur cloud terkelola dengan patch keamanan otomatis, perlindungan DDoS, dan Web Application Firewall (WAF)
• Isolasi Data: Isolasi data per situs web melalui instansi penyimpanan khusus
• Pemantauan: Pemantauan keamanan otomatis, deteksi intrusi, dan pencatatan terstruktur
• Keamanan Kredensial: Semua kunci API dan rahasia disimpan dalam layanan manajemen rahasia khusus; kata sandi pengguna di-hash menggunakan algoritma kriptografi kuat dengan garam per pengguna
• Perlindungan Bot: Sistem tantangan proof-of-work untuk mencegah penyalahgunaan otomatis

9.2 Kerahasiaan

Kami memastikan bahwa semua personel yang berwenang memproses data pribadi terikat oleh kewajiban kerahasiaan.

10. PEMBERITAHUAN PELANGGARAN DATA

10.1 Pemberitahuan kepada Pengendali

Kami akan memberi tahu Anda tanpa penundaan yang tidak semestinya setelah mengkonfirmasi pelanggaran data pribadi yang mempengaruhi data pribadi yang diproses atas nama Anda. Pemberitahuan akan dikirimkan ke informasi kontak yang terkait dengan akun Anda.

10.2 Konten Pemberitahuan

Pemberitahuan pelanggaran kami akan mencakup, sejauh tersedia:

1. Deskripsi tentang sifat pelanggaran, termasuk kategori dan perkiraan jumlah Subjek Data dan catatan yang terlibat;
2. Nama dan rincian kontak pejabat perlindungan data kami;
3. Deskripsi tentang kemungkinan konsekuensi dari pelanggaran;
4. Deskripsi tentang langkah-langkah yang diambil atau diusulkan untuk mengatasi pelanggaran dan memitigasi dampaknya.

10.3 Kewajiban Anda

Anda bertanggung jawab untuk memberi tahu otoritas pengawas yang relevan dan Subjek Data yang terkena dampak tentang pelanggaran data pribadi sebagaimana disyaratkan oleh Undang-Undang Perlindungan Data yang Berlaku. Kami akan bekerja sama dengan Anda dan memberikan bantuan yang wajar untuk membantu Anda mematuhi kewajiban pemberitahuan pelanggaran Anda.

11. AUDIT DAN VERIFIKASI KEPATUHAN

11.1 Dokumentasi Kepatuhan

Untuk menunjukkan kepatuhan kami terhadap DPA ini, kami akan menyediakan untuk Anda, berdasarkan permintaan tertulis yang wajar (hingga sekali per tahun), hal-hal berikut:

1. Laporan audit pihak ketiga yang relevan, sertifikasi, atau ringkasan penilaian keamanan;
2. Ringkasan langkah-langkah keamanan teknis dan organisasi kami saat ini;
3. Informasi tentang kegiatan pemrosesan kami, sub-pemroses, dan praktik perlindungan data.

Jika kami mengandalkan penyedia infrastruktur pihak ketiga (seperti AWS dan Cloudflare), sertifikasi keamanan dan dokumentasi kepatuhan mereka tersedia melalui program kepercayaan dan kepatuhan masing-masing.

11.2 Pertanyaan Tambahan

Jika dokumentasi yang disediakan berdasarkan Bagian 11.1 tidak secara wajar mengatasi kekhawatiran kepatuhan Anda, Anda dapat mengajukan pertanyaan tertulis spesifik mengenai praktik perlindungan data kami, yang akan kami tanggapi dalam jangka waktu yang wajar.

12. RETENSI DAN PENGHAPUSAN DATA

12.1 Selama Perjanjian

Kami akan menyimpan data pribadi yang diproses atas nama Anda selama durasi Perjanjian dan sesuai dengan instruksi Anda melalui Layanan. Periode retensi spesifik untuk data pengunjung meliputi:

• Percakapan chatbot di situs web Anda: Disimpan selama tiga puluh (30) hari dari interaksi terakhir di setiap percakapan. Percakapan disimpan dalam sesi pengunjung di infrastruktur edge situs web dan secara otomatis dihapus saat sesi kedaluwarsa karena tidak aktif.
• Pengiriman formulir dan konten yang dibuat pengguna di situs web Anda: Disimpan selama durasi situs web terkait, kecuali Anda menghapusnya lebih awal melalui alat platform.
• Data sesi untuk pengunjung situs web Anda: Secara otomatis dihapus setelah 30 hari tidak aktif.
• Konten pengunjung yang dihapus (pengiriman formulir, komentar, dan konten yang dibuat pengguna lainnya di situs web Anda): Saat Anda menghapus konten pengunjung melalui alat platform, konten tersebut dipindahkan ke status penghapusan lunak dan disimpan hingga tiga puluh (30) hari untuk mendukung pemulihan. Setelah periode ini, konten yang dihapus lunak dihapus secara permanen. Anda dapat menghapus konten secara permanen segera dengan membersihkannya dari antrian pemulihan.
• Catatan berhenti berlangganan email di situs web Anda: Disimpan selama durasi situs web terkait, kecuali penerima berlangganan kembali. Catatan berhenti berlangganan dihapus saat situs web dihancurkan.
• Data analitik: Disimpan selama durasi situs web terkait (tunduk pada batas retensi berbasis paket; data analitik paket gratis disimpan selama sembilan puluh (90) hari).

12.2 Setelah Pengakhiran

Setelah pengakhiran Perjanjian, atau atas permintaan Anda, kami akan menghapus data pribadi yang diproses atas nama Anda sesuai dengan praktik retensi data yang dijelaskan dalam Perjanjian (termasuk masa tenggang tujuh (7) hari untuk penghapusan akun dan situs web). Setelah masa tenggang, penghapusan bersifat permanen dan tidak dapat dibalikkan.

12.3 Pengecualian

Kami dapat menyimpan data pribadi sejauh yang diperlukan oleh hukum yang berlaku, atau di mana data telah dianonimkan dan tidak lagi dapat dikaitkan dengan Subjek Data.

13. JANGKA WAKTU DAN PENGAKHIRAN

DPA ini berlaku efektif pada tanggal Anda menerima Perjanjian dan tetap berlaku selama kami memproses data pribadi atas nama Anda. Kewajiban kerahasiaan dan perlindungan data yang ditetapkan dalam DPA ini bertahan setelah pengakhiran Perjanjian.

14. BATASAN TANGGUNG JAWAB

Tanggung jawab setiap pihak berdasarkan DPA ini tunduk pada batasan tanggung jawab yang ditetapkan dalam Perjanjian.

15. HUBUNGI KAMI

Untuk pertanyaan tentang DPA ini atau untuk menggunakan hak Anda, hubungi kami di:

Acira AI LLC
Attn: Perlindungan Data
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
United States

Telepon: 888-389-1189
Surel: legal@acira.ai