Adendum Pemrosesan Data

Terakhir diubah: 8 Agustus 2023 | Versi sebelumnya

Jibe dan partnernya yang menyetujui adendum ini ("Partner") telah menyepakati perjanjian untuk penyediaan Layanan Pemroses (sebagaimana diubah dari waktu ke waktu, "Perjanjian").

Adendum Pemrosesan Data ini (termasuk apendiks, "Adendum Pemrosesan Data") disepakati oleh Jibe dan Partner serta melengkapi Perjanjian tersebut. Adendum Pemrosesan Data ini akan berlaku, dan menggantikan setiap persyaratan yang sebelumnya berlaku terkait dengan materi pokoknya (termasuk pemrosesan data dan persyaratan keamanan yang berkaitan dengan Layanan Pemroses), sejak Tanggal Mulai Berlaku Persyaratan.

Jika Anda menyetujui Adendum Pemrosesan Data ini atas nama Partner, Anda menjamin bahwa: (a) Anda memiliki kewenangan hukum penuh untuk mengikat Partner pada Adendum Pemrosesan Data ini; (b) Anda telah membaca dan memahami Adendum Pemrosesan Data ini; dan (c) Anda menyetujui Adendum Pemrosesan Data ini atas nama Partner. Jika Anda tidak memiliki kewenangan hukum untuk mengikat Partner, jangan menyetujui Adendum Pemrosesan Data ini.

1. Pengantar

Adendum Pemrosesan Data ini mencerminkan perjanjian antarpihak terkait persyaratan yang mengatur pemrosesan dan keamanan data tertentu sehubungan dengan Legislasi Perlindungan Data Eropa dan Legislasi Perlindungan Data Non-Eropa.

2. Definisi dan Penafsiran

2.1 Dalam Adendum Pemrosesan Data ini:

"Produk Tambahan" adalah produk, layanan, atau aplikasi yang disediakan oleh Jibe atau pihak ketiga yang: (a) bukan bagian dari Layanan Pemroses; dan (b) dapat diakses untuk digunakan dalam antarmuka pengguna Layanan Pemroses atau diintegrasikan dengan Layanan Pemroses.

"Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Eropa" adalah persyaratan tambahan yang disebut dalam Lampiran 3, yang mencerminkan perjanjian antarpihak tentang persyaratan yang mengatur pemrosesan data tertentu sehubungan dengan Legislasi Perlindungan Data Non-Eropa tertentu.

"Negara yang Memadai" berarti:

(a) untuk data yang diproses yang tunduk pada GDPR Uni Eropa: EEA, atau negara atau wilayah yang diakui menjamin perlindungan data yang memadai berdasarkan GDPR Uni Eropa;

(b) untuk data yang diproses yang tunduk pada GDPR Inggris Raya: Inggris Raya atau negara atau wilayah yang diakui menjamin perlindungan data yang memadai berdasarkan GDPR Inggris Raya dan Data Protection Act 2018; dan/atau

(c) untuk data yang diproses yang tunduk pada FDPA Swiss: Swiss, atau negara atau wilayah yang (i) disertakan dalam daftar negara bagian yang legislasinya memastikan tingkat perlindungan yang memadai seperti yang dipublikasikan oleh Swiss Federal Data Protection and Information Commissioner, atau (ii) diakui sebagai menjamin perlindungan data yang memadai oleh Swiss Federal Council berdasarkan FDPA Swiss, dalam setiap kasus, selain berdasarkan framework data opsional.

"Solusi Transfer Alternatif" adalah solusi, selain SCC, yang memungkinkan transfer data pribadi yang sah ke negara ketiga sesuai dengan Legislasi Perlindungan Data Eropa, misalnya framework perlindungan data yang diakui menjamin bahwa entitas lokal yang berpartisipasi memberikan perlindungan yang memadai.

"Insiden Data" berarti pelanggaran keamanan Jibe yang menyebabkan kerusakan, kehilangan, perubahan, pengungkapan, atau akses ke, Data Pribadi Partner secara tidak sah atau tidak sah ke sistem yang dikelola oleh atau dikontrol oleh Jibe. "Insiden Data" tidak akan mencakup upaya atau aktivitas yang gagal yang tidak membahayakan keamanan Data Pribadi Partner, termasuk upaya login yang tidak berhasil, ping, pemindaian port, serangan denial of service, dan serangan jaringan lainnya pada firewall atau sistem jaringan.

"Alat Subjek Data" adalah alat (jika ada) yang disediakan oleh Entitas Jibe untuk subjek data yang memungkinkan Jibe merespons secara langsung dan dengan cara yang distandarkan untuk permintaan tertentu dari subjek data sehubungan dengan Data Pribadi Partner (misalnya, setelan iklan online atau plugin browser pilihan tidak ikut).

"EEA" adalah Wilayah Ekonomi Eropa.

"GDPR Uni Eropa" berarti Peraturan (Uni Eropa) 2016/679 dari Parlemen dan Dewan Dewan 27 April 2016 tentang perlindungan individu sehubungan dengan pemrosesan data pribadi dan tentang perpindahan data tersebut secara bebas, serta membatalkan Directive 95/46/EC.

"Legislasi Perlindungan Data Eropa" berarti, sebagaimana berlaku: (a) GDPR; dan/atau (b) FDPA Swiss.

"Hukum Eropa" berarti, sebagaimana berlaku: (a) hukum Uni Eropa atau Negara Anggota Uni Eropa (jika GDPR Uni Eropa berlaku untuk pemrosesan Data Pribadi Partner); dan/atau (b) hukum Inggris Raya atau bagian Inggris Raya (jika GDPR Inggris Raya berlaku untuk pemrosesan Data Pribadi Partner).

"GDPR" berarti, sebagaimana berlaku: (a) GDPR Uni Eropa; dan/atau (b) GDPR Inggris Raya.

"Jibe" adalah Entitas Jibe yang menjadi pihak dalam Perjanjian.

"Jibe Entity" berarti Jibe Mobile, Inc, Jibe Mobile Limited, atau entitas lainnya yang secara langsung atau tidak langsung mengendalikan, dikendalikan oleh, atau berada di bawah kontrol yang sama dengan, Jibe Mobile, Inc.

"Sertifikasi ISO 27001" adalah sertifikasi ISO/IEC 27001:2013 atau sertifikasi yang sebanding untuk Layanan Pemroses.

"Subpemroses Baru" memiliki makna yang dijelaskan dalam Pasal 11.1 (Izin untuk Interaksi Subpemroses).

"Legislasi Perlindungan Data Non-Eropa" berarti hukum perlindungan data atau privasi yang berlaku di luar EEA, Swiss, dan Inggris Raya.

"Notification Email Address" adalah alamat email (jika ada): (i) yang disediakan oleh Partner kepada Jibe atau (ii) yang ditetapkan oleh Partner, melalui antarmuka pengguna Layanan Pemroses atau cara lain yang disediakan oleh Jibe, untuk menerima notifikasi tertentu dari Jibe yang terkait dengan Adendum Pemrosesan Data ini. Agar lebih jelas, partner bertanggung jawab untuk memberikan Alamat Email Notifikasi kepada Jibe dan memberi tahu Jibe tentang pembaruan di Alamat Email Notifikasi.

"Data Pribadi Partner" berarti data pribadi yang diproses oleh Jibe atas nama Partner dalam penyediaan Layanan Pemroses Jibe.

"SCC Partner" adalah SCC (Pengontrol ke Pemroses), SCC (Pemroses ke Pengontrol), dan/atau SCC (Pemroses ke Pemroses), sebagaimana berlaku.

"Layanan Pemroses" berarti layanan RCS Business Messaging (sebagaimana dijelaskan di developers.google.com/business-communications/rcs-business-messaging.

"SCC" adalah SCC Partner dan/atau SCC (Pemroses ke Pemroses, Pengekspor Jibe), sebagaimana berlaku.

"SCC (Pengontrol ke Pemroses)" berarti persyaratan di business.safety.google/gdprcontrollerterms/sccs/eu-c2p-dpa.

"SCC (Pemroses ke Pengontrol)" berarti persyaratan di business.safety.google/gdprprocessorterms/sccs/p2c.

"SCC (Pemroses ke Pemroses)" berarti persyaratan di business.safety.google/gdprprocessorterms/sccs/eu-p2p-dpa.

"SCC (Pemroses ke Pemroses, Pengekspor Jibe)" berarti persyaratan di business.safety.google/gdprprocessorterms/sccs/eu-p2p-intra-group.

"Dokumentasi Keamanan" adalah Sertifikasi ISO 27001 dan setiap dokumentasi atau sertifikasi keamanan lainnya yang mungkin disediakan oleh Jibe sehubungan dengan Layanan Pemroses.

"Prosedur Keamanan" memiliki makna yang dijelaskan dalam Pasal 7.1.1 (Prosedur Keamanan Jibe).

"Subpemroses" berarti pihak ketiga yang diberi otorisasi berdasarkan Adendum Pemrosesan Data ini untuk memiliki akses logis ke dan memproses Data Pribadi Partner guna menyediakan bagian dari Layanan Pemroses dan dukungan teknis terkait.

"Otoritas Badan Pengawas" berarti, sebagaimana berlaku: (a) "otoritas badan pengawas" sebagaimana ditetapkan dalam GDPR Uni Eropa; dan/atau (b) "Komisioner" sebagaimana ditetapkan dalam GDPR Inggris Raya dan/atau FDPA Swiss.

"FDPA Swiss" adalah Federal Data Protection Act tertanggal 19 Juni 1992 (Swiss).

"Masa Berlaku" adalah jangka waktu dari Tanggal Mulai Berlaku Persyaratan hingga akhir masa berlaku penyediaan Layanan Pemroses Jibe dalam Perjanjian.

"Tanggal Mulai Berlaku Persyaratan" adalah tanggal mulai berlakunya Perjanjian.

"GDPR Inggris Raya" berarti GDPR Uni Eropa seperti yang diubah dan dimasukkan ke dalam hukum Inggris Raya berdasarkan Undang-Undang Uni Eropa (Pembatalan) Inggris Raya 2018, dan legislasi sekunder yang berlaku yang dibuat berdasarkan Act tersebut.

2.2 Istilah "pengontrol", "subjek data", "data pribadi", "pemrosesan", dan "pemroses" seperti yang digunakan dalam Adendum Pemrosesan Data ini makna yang diberikan dalam GDPR, dan istilah "pengimpor data" serta "pengekspor data" memiliki arti yang diberikan dalam SCC yang berlaku.

2.3 Kata "termasuk" dan "termasuk" berarti "termasuk tetapi tidak terbatas pada". Setiap contoh dalam Adendum Pemrosesan Data ini hanyalah ilustrasi dan bukan contoh tunggal dari konsep tertentu.

2.4 Referensi apa pun yang ada pada kerangka hukum, undang-undang, atau berlakunya legislatif lainnya adalah referensi terhadapnya sebagaimana diubah atau diberlakukan kembali dari waktu ke waktu.

2.5 Jika versi terjemahan Adendum Pemrosesan Data ini tidak konsisten dengan versi bahasa Inggris, versi bahasa Inggris yang akan berlaku.

3. Durasi Adendum Pemrosesan Data ini

Adendum Pemrosesan Data ini akan mulai berlaku pada Tanggal Mulai Berlaku Persyaratan dan, terlepas dari apakah Masa Berlakunya telah berakhir, akan tetap berlaku hingga, dan berakhir secara otomatis saat Jibe menghapus semua Data Pribadi Partner seperti yang dijelaskan dalam Adendum Pemrosesan Data ini.

4. Pemberlakuan Adendum Pemrosesan Data ini

4.1 Penerapan Legislasi Perlindungan Data Eropa. Pasal 5 (Pemrosesan Data) hingga 12 (Menghubungi Jibe; Memproses Data) (inklusif) hanya akan berlaku sejauh Legislasi Perlindungan Data Eropa berlaku untuk pemrosesan Data Pribadi Partner, termasuk jika:

(a) pemrosesan berada dalam konteks aktivitas pembentukan Partner di EEA atau Inggris Raya; dan/atau

(b) Data Pribadi Partner adalah data pribadi terkait subjek data yang berada di EEA atau Inggris Raya dan pemrosesannya terkait dengan penawaran barang atau jasa kepada mereka atau pemantauan perilaku mereka di EEA atau Inggris Raya.

4.2 Aplikasi ke Layanan Pemroses. Adendum Pemrosesan Data ini hanya akan berlaku untuk Layanan Pemroses yang pihaknya menyetujui Adendum Pemrosesan Data ini (misalnya: (a) Layanan Pemroses yang diklik Partner untuk menyetujui Adendum Pemrosesan Data ini; atau (b) jika Perjanjian memasukkan Adendum Pemrosesan Data ini sebagai referensi, Layanan Pemroses yang menjadi subjek Perjanjian).

4.3 Pendirian Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Eropa. Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Eropa melengkapi Adendum Pemrosesan Data ini.

5. Pemrosesan Data

5.1 Peran dan Kepatuhan terhadap Peraturan; Otorisasi.

5.1.1 Tanggung Jawab Pemroses dan Pengontrol. Para pihak memahami dan menyetujui bahwa:

(a) Lampiran 1 menjelaskan materi pokok dan detail pemrosesan Data Pribadi Partner;

(b) Jibe adalah pemroses Data Pribadi Partner berdasarkan Legislasi Perlindungan Data Eropa;

(c) Partner adalah pengontrol atau pemroses, sebagaimana berlaku, Data Pribadi Partner berdasarkan Legislasi Perlindungan Data Eropa; dan

(d) masing-masing pihak akan mematuhi kewajiban yang berlaku baginya berdasarkan Legislasi Perlindungan Data Eropa sehubungan dengan pemrosesan Data Pribadi Partner.

5.1.2 Partner Pemroses. Jika Partner adalah pemroses:

(a) Partner menjamin secara berkelanjutan bahwa pengontrol yang relevan telah memberi otorisasi (i) petunjuk, (ii) penunjukan Jibe oleh Partner sebagai pemroses lain, dan (iii) interaksi Subpemroses Jibe sebagaimana dijelaskan di Bagian 11 (Subpemroses);

(b) Partner akan segera meneruskan notifikasi apa pun yang diberikan oleh Jibe kepada pengontrol yang relevan berdasarkan Pasal 5.4 (Notifikasi Petunjuk), 7.2.1 (Notifikasi Insiden), 11.4 (Kesempatan untuk Menolak Perubahan Subpemroses), atau yang merujuk ke SCC apa pun; dan

(c) Partner dapat menyediakan informasi yang disediakan oleh Jibe kepada Pasal 7.4 (Sertifikasi Keamanan), 10.5 (Informasi Pusat Data), dan 11.2 (Informasi tentang Subpemroses) kepada pengontrol yang relevan.

5.2 Petunjuk Partner. Dengan menyepakati Adendum Pemrosesan Data ini, Partner menginstruksikan Jibe untuk memproses Data Pribadi Partner hanya sesuai dengan hukum yang berlaku: (a) untuk menyediakan Layanan Pemroses dan dukungan teknis terkait; (b) sebagaimana ditentukan lebih lanjut melalui penggunaan Layanan Pemroses oleh Partner (termasuk dalam setelan dan fungsi lain dari Layanan Pemroses) dan dukungan teknis terkait; (c) seperti yang didokumentasikan dalam bentuk Perjanjian ini, dengan petunjuk seperti yang ditetapkan oleh Addendum ini).

5.3 Kepatuhan Jibe dengan Petunjuk. Jibe akan mematuhi Petunjuk kecuali dilarang oleh Hukum Eropa.

5.4 Notifikasi Petunjuk. Jibe akan segera memberi tahu Partner jika, menurut Jibe: (a) Hukum Eropa melarang Jibe untuk mematuhi suatu Instruksi; (b) sebuah Petunjuk tidak mematuhi Legislasi Perlindungan Data Eropa; atau (c) Jibe tidak dapat mematuhi Petunjuk, dalam setiap kasus kecuali jika pemberitahuan tersebut dilarang oleh Hukum Eropa. Pasal 5.4 (Notifikasi Petunjuk) ini tidak mengurangi hak dan kewajiban para pihak di mana pun dalam Perjanjian.

5.5 Produk Tambahan. Jika Partner menggunakan Produk Tambahan apa pun, Layanan Pemroses dapat mengizinkan Produk Tambahan tersebut untuk mengakses Data Pribadi Partner sebagaimana diperlukan untuk interoperasi Produk Tambahan dengan Layanan Pemroses. Jika diperlukan, para pihak akan menyepakati persyaratan pemrosesan data terpisah untuk menangani cara Produk Tambahan memproses Data Pribadi Partner.

6. Penghapusan Data

6.1 Penghapusan Selama Jangka Waktu.

6.1.1 Layanan Pemroses dengan Fungsi Penghapusan. Selama Masa Berlaku, jika:

(a) fungsi Layanan Pemroses mencakup opsi bagi Partner untuk menghapus Data Pribadi Partner;

(b) Partner menggunakan Layanan Pemroses untuk menghapus Data Pribadi Partner tertentu; dan

(c) Data Pribadi Partner yang dihapus tidak dapat dipulihkan oleh Partner (misalnya, dari "sampah"), Jibe akan menghapus Data Pribadi Partner tersebut dari sistemnya sesegera mungkin, kecuali jika Hukum Eropa mewajibkan penyimpanan.

6.1.2 Layanan Pemroses Tanpa Fungsi Penghapusan. Selama Jangka Waktu, jika fungsi Layanan Pemroses tidak mencakup opsi bagi Partner untuk menghapus Data Pribadi Partner, Jibe akan mematuhi permintaan apa pun yang wajar dari Partner untuk memfasilitasi penghapusan tersebut, selama hal ini dapat mempertimbangkan sifat dan fungsi Layanan Pemroses dan kecuali jika Hukum Eropa mewajibkan penyimpanan. Jibe dapat mengenakan biaya (berdasarkan biaya yang wajar Jibe) untuk setiap penghapusan data berdasarkan Pasal 6.1.2 (Layanan Pemroses Tanpa Fungsi Penghapusan). Jibe akan memberikan detail lebih lanjut kepada Partner tentang biaya yang berlaku, dan dasar penghitungannya, sebelum penghapusan data tersebut.

6.2 Penghapusan Saat Jangka Waktu Berakhir. Saat periode Masa Berlaku berakhir, Partner akan meminta Jibe untuk menghapus semua Data Pribadi Partner (termasuk salinan yang ada) dari sistem Jibe sesuai dengan hukum yang berlaku. Jibe akan mematuhi petunjuk ini sesegera mungkin secara wajar kecuali jika Hukum Eropa mewajibkan penyimpanan.

7. Keamanan Data

7.1 Bantuan dan Tindakan Keamanan Jibe.

7.1.1 Prosedur Keamanan Jibe. Jibe akan menerapkan dan mengelola tindakan teknis dan organisasi untuk melindungi Data Pribadi Partner dari penghancuran, kehilangan, perubahan, pengungkapan yang tidak sah, atau akses yang tidak sah sebagaimana yang dijelaskan dalam Lampiran 2 ("Tindakan Keamanan"). Seperti yang dijelaskan dalam Lampiran 2, Prosedur Keamanan mencakup langkah-langkah: (a) untuk mengenkripsi data pribadi; (b) membantu memastikan kerahasiaan, integritas, ketersediaan, dan ketahanan sistem serta layanan Jibe yang sedang berlangsung; (c) untuk membantu memulihkan akses yang tepat waktu ke data pribadi setelah insiden; dan (d) untuk pengujian efektivitas secara teratur. Jibe dapat memperbarui atau mengubah Prosedur Keamanan dari waktu ke waktu, dengan ketentuan bahwa pembaruan dan modifikasi tersebut tidak mengakibatkan penurunan keamanan Pemroses secara keseluruhan.

7.1.2 Akses dan Kepatuhan. Jibe akan (a) memberikan otorisasi kepada karyawan, kontraktor, dan Subpemrosesnya untuk mengakses Data Pribadi Partner hanya jika benar-benar diperlukan untuk mematuhi Petunjuk tersebut; (b) mengambil langkah-langkah yang sesuai untuk memastikan kepatuhan terhadap Tindakan Keamanan oleh karyawan, kontraktor, dan Subpemrosesnya sejauh yang berlaku untuk cakupan performa mereka; dan (c) memastikan bahwa semua orang yang berwenang untuk memproses Data Pribadi Partner telah sesuai dengan kerahasiaan atau kewajiban.

7.1.3 Bantuan Keamanan Jibe. Dengan mempertimbangkan sifat pemrosesan Data Pribadi Partner dan informasi yang tersedia untuk Jibe, Jibe akan membantu Partner dalam memastikan kepatuhan terhadap kewajiban Partner (atau, jika Partner adalah pemroses, pengontrol yang relevan) mengenai keamanan data pribadi dan pelanggaran data pribadi, termasuk Partner (atau, jika Partner merupakan pemroses, pengontrol yang relevan) kewajibannya berdasarkan Pasal 32 sampai 34

(a) menerapkan dan mengelola Prosedur Keamanan sesuai dengan Pasal 7.1.1 (Prosedur Keamanan Jibe);

(b) mematuhi persyaratan Pasal 7.2 (Insiden Data); dan

(c) memberikan Dokumentasi Keamanan kepada Partner sesuai dengan Pasal 7.5.1 (Peninjauan Dokumentasi Keamanan) dan informasi yang dimuat dalam Adendum Pemrosesan Data ini.

7.2 Insiden Data.

7.2.1 Notifikasi Insiden. Jika Jibe mengetahui adanya Insiden Data, Jibe akan: (a) memberi tahu Partner tentang Insiden Data dengan segera dan tanpa penundaan yang tidak semestinya; dan (b) segera mengambil langkah-langkah yang wajar untuk meminimalkan bahaya dan mengamankan Data Pribadi Partner.

7.2.2 Detail Insiden Data. Notifikasi yang dibuat berdasarkan Pasal 7.2.1 (Notifikasi Insiden) akan menjelaskan: sifat Insiden Data, termasuk resource Partner yang terkena dampak; langkah-langkah yang telah diambil Jibe, atau rencana yang harus diambil, untuk mengatasi Insiden Data dan mengurangi potensi risikonya; langkah-langkah, jika ada, Jibe merekomendasikan agar Partner mengambil tindakan untuk menangani Data Insiden; dan detail titik kontak yang dapat diperoleh informasi. Jika tidak mungkin untuk memberikan semua informasi tersebut secara bersamaan, notifikasi awal Jibe akan berisi informasi yang tersedia saat itu dan informasi lebih lanjut akan diberikan tanpa penundaan yang semestinya saat tersedia.

7.2.3 Pengiriman Notifikasi. Jibe akan mengirimkan notifikasi tentang Insiden Data ke Alamat Email Notifikasi atau, atas kebijaksanaan Jibe (termasuk jika Partner belum memberikan Alamat Email Notifikasi), melalui komunikasi langsung lainnya (misalnya, melalui panggilan telepon atau rapat tatap muka). Partner sepenuhnya bertanggung jawab untuk memberikan Alamat Email Notifikasi dan memastikan bahwa Alamat Email Notifikasi tersebut adalah yang terbaru dan valid.

7.2.4 Notifikasi Pihak Ketiga. Partner bertanggung jawab penuh untuk mematuhi hukum pemberitahuan insiden yang berlaku untuk Partner dan memenuhi kewajiban notifikasi pihak ketiga yang terkait dengan Insiden Data apa pun.

7.2.5 Tidak Ada Konfirmasi Kesalahan oleh Jibe. Notifikasi atau respons Jibe terhadap Insiden Data berdasarkan Pasal 7.2 (Insiden Data) ini tidak akan ditafsirkan sebagai pernyataan oleh Jibe atas kesalahan atau kewajiban apa pun sehubungan dengan Insiden Data.

7.3 Penilaian dan Tanggung Jawab Keamanan Partner.

7.3.1 Tanggung Jawab Keamanan Partner. Partner setuju bahwa, tanpa mengesampingkan kewajiban Jibe berdasarkan Pasal 7.1 (Bantuan dan Prosedur Keamanan Jibe) dan 7.2 (Insiden Data):

(a) Partner bertanggung jawab atas penggunaan Layanan Pemroses, termasuk:

(i) memanfaatkan Layanan Pemroses dengan tepat untuk memastikan tingkat keamanan yang sesuai dengan risiko terhadap Data Pribadi Partner; dan

(ii) mengamankan kredensial autentikasi akun, sistem, dan perangkat yang digunakan Partner untuk mengakses Layanan Pemroses; dan

(b) Jibe tidak berkewajiban untuk melindungi Data Pribadi Partner yang dipilih Partner untuk menyimpan atau mentransfer di luar sistem Jibe dan Subpemrosesnya.

7.3.2 Penilaian Keamanan Partner. Partner menyetujui Langkah-langkah Keamanan yang diterapkan dan dikelola oleh Jibe sebagaimana dijelaskan dalam Pasal 7.1.1 (Prosedur Keamanan Jibe) memberikan tingkat keamanan yang sesuai dengan risiko terhadap Data Pribadi Partner dengan mempertimbangkan sifat, cakupan, konteks, dan tujuan pemrosesan Data Pribadi Partner; keadaan modern; biaya penerapan; dan risikonya terhadap individu.

7.4 Sertifikasi Keamanan. Untuk mengevaluasi dan membantu memastikan efektivitas yang berkelanjutan dari Prosedur Keamanan, Jibe akan mempertahankan Sertifikasi ISO 27001 atau tindakan lain yang sesuai untuk menunjukkan efektivitas Prosedur Keamanan.

7.5 Peninjauan dan Audit Kepatuhan.

7.5.1 Ulasan Dokumentasi Keamanan. Untuk menunjukkan kepatuhan Jibe dengan kewajibannya berdasarkan Adendum Pemrosesan Data ini, Jibe akan membuat Dokumentasi Keamanan tersedia untuk ditinjau oleh Partner.

7.5.2 Hak Audit Partner.

(a) Jibe akan mengizinkan Partner atau auditor pihak ketiga yang ditunjuk oleh Partner untuk melakukan audit (termasuk inspeksi) guna memverifikasi kepatuhan Jibe terhadap kewajibannya berdasarkan Adendum Pemrosesan Data ini sesuai dengan Pasal 7.5.3 (Persyaratan Bisnis Tambahan untuk Audit). Selama audit, Jibe akan menyediakan semua informasi yang diperlukan untuk menunjukkan kepatuhan tersebut dan berkontribusi pada audit seperti yang dijelaskan dalam Pasal 7.4 (Sertifikasi Keamanan) dan Pasal 7.5 (Peninjauan dan Audit Kepatuhan) ini.

(b) Jika SCC berlaku berdasarkan Pasal 10.2 (Transfer Eropa Terbatas), Jibe akan mengizinkan Partner (atau auditor pihak ketiga yang ditunjuk oleh Partner) untuk melakukan audit seperti yang dijelaskan dalam SCC yang berlaku dan, selama audit tersebut, menyediakan semua informasi yang diperlukan oleh SCC tersebut, masing-masing sesuai dengan Pasal 7.5.3 (Persyaratan Bisnis Tambahan untuk Audit).

(c) Partner juga dapat melakukan audit untuk memverifikasi kepatuhan Jibe terhadap kewajibannya berdasarkan Adendum Pemrosesan Data ini dengan meninjau sertifikat apa pun yang diterbitkan untuk Jibe oleh auditor pihak ketiga mana pun (misalnya, Sertifikasi ISO 27001, jika ada).

7.5.3 Persyaratan Bisnis Tambahan untuk Audit.

(a) Partner akan mengirimkan permintaan apa pun untuk audit berdasarkan Pasal 7.5.2(a) atau 7.5.2(b) kepada Jibe sebagaimana dijelaskan dalam Pasal 12.1 (Menghubungi Jibe).

(b) Setelah permintaan Jibe diterima berdasarkan Pasal 7.5.3(a), Jibe dan Partner akan terlebih dahulu mendiskusikan dan menyetujui tanggal mulai, cakupan, dan durasi yang wajar dari, serta kontrol keamanan dan kerahasiaan yang berlaku untuk, audit apa pun berdasarkan Pasal 7.5.2(a) atau 7.5.2(b).

(c) Jibe dapat mengenakan biaya (berdasarkan biaya yang wajar Jibe) untuk audit apa pun berdasarkan Pasal 7.5.2(a) atau 7.5.2(b). Jibe akan memberi detail lebih lanjut kepada Partner tentang biaya yang berlaku, dan dasar penghitungannya, sebelum audit tersebut. Partner akan bertanggung jawab atas semua biaya yang dibebankan auditor pihak ketiga yang ditunjuk oleh Partner untuk melaksanakan audit tersebut.

(d) Jibe dapat mengajukan keberatan kepada auditor pihak ketiga yang ditunjuk oleh Partner untuk melakukan audit apa pun berdasarkan Pasal 7.5.2(a) atau 7.5.2(b) jika auditor, menurut opini Jibe yang wajar, tidak memenuhi syarat atau independen, merupakan pesaing Jibe atau jelas-jelas tidak sesuai untuk ditunjuk. Setiap penolakan oleh Jibe akan mengharuskan Partner untuk menunjuk auditor lain atau melakukan audit sendiri.

(e) Tidak satu pun dalam Adendum Pemrosesan Data ini yang akan mewajibkan Jibe untuk mengungkapkan kepada Partner atau auditor pihak ketiganya, atau mengizinkan Partner atau auditor pihak ketiganya untuk mengakses:

(i) data partner atau pelanggan lain dari Entitas Jibe;

(ii) informasi keuangan atau akuntansi internal Entitas Jibe mana pun;

(iii) rahasia dagang Entitas Jibe;

(iv) informasi yang menurut opini Jibe yang wajar, dapat: (A) membahayakan keamanan sistem atau lokasi Entitas Jibe mana pun; atau (B) menyebabkan Entitas Jibe melanggar kewajibannya berdasarkan Legislasi Perlindungan Data Eropa atau kewajiban keamanan dan/atau privasinya kepada Partner atau pihak ketiga mana pun; atau

(v) informasi yang coba diakses oleh Partner atau auditor pihak ketiganya untuk alasan selain dari niat baik untuk memenuhi kewajiban Partner berdasarkan Legislasi Perlindungan Data Eropa.

8. Dampak dan Konsultasi Dampak

Dengan mempertimbangkan sifat pemrosesan dan informasi yang tersedia untuk Jibe, Jibe akan membantu Partner dalam memastikan kepatuhan terhadap kewajiban Partner (atau jika Partner adalah pemroses, pengontrol yang relevan) sehubungan dengan penilaian dampak perlindungan data dan konsultasi sebelumnya, termasuk (jika berlaku) kewajiban Partner atau pengontrol yang relevan berdasarkan Pasal 35 dan 36 pada GDPR, dengan:

(a) memberikan Dokumentasi Keamanan sesuai dengan Pasal 7.5.1 (Peninjauan Dokumentasi Keamanan);

(b) memberikan informasi yang dimuat dalam Adendum Pemrosesan Data ini; dan

(c) menyediakan atau menyediakan, sesuai dengan praktik standar Jibe, materi lain yang terkait dengan sifat Layanan Pemroses dan pemrosesan Data Pribadi Partner (misalnya, materi pusat bantuan).

9. Hak Subjek Data

9.1 Respons terhadap Permintaan Subjek Data. Jika Jibe menerima permintaan dari subjek data yang terkait dengan Data Pribadi Partner, Partner mengizinkan Jibe, dan Jibe dengan ini memberi tahu Partner bahwa Partner akan:

(a) merespons langsung permintaan subjek data sesuai dengan fungsi standar Alat Subjek Data (jika permintaan dibuat melalui Alat Subjek Data); atau

(b) menyarankan subjek data untuk mengirimkan permintaannya kepada Partner, dan Partner akan bertanggung jawab untuk menanggapi permintaan tersebut (jika permintaan tidak dibuat melalui Alat Subjek Data).

9.2 Bantuan Permintaan Subjek Data Jibe. Jibe akan membantu Partner (atau, jika Partner adalah pemroses, pengontrol yang relevan) dalam memenuhi kewajibannya berdasarkan GDPR untuk merespons permintaan agar dapat menggunakan hak subjek data, dalam semua kasus, dengan mempertimbangkan sifat pemrosesan Data Pribadi Partner dan, jika berlaku, Pasal 11 GDPR, termasuk (jika berlaku):

(a) menyediakan fungsi Layanan Pemroses;

(b) mematuhi komitmen dalam Pasal 9.1 (Respons terhadap Permintaan Subjek Data); dan

(c) jika berlaku untuk Layanan Pemroses, menyediakan Alat Subjek Data yang tersedia.

9.3 Perbaikan. Jika Partner mengetahui bahwa Data Pribadi Partner tidak akurat atau sudah tidak berlaku, Partner akan bertanggung jawab untuk memperbaiki atau menghapus data tersebut jika diwajibkan oleh Legislasi Perlindungan Data Eropa, termasuk (jika tersedia) dengan menggunakan fungsi Layanan Pemroses.

10. Transfer Data

10.1 Penyimpanan Data dan Fasilitas Pemrosesan. Tunduk pada sisa Pasal 10 (Transfer Data) ini, Jibe dapat memproses Data Pribadi Partner di negara mana pun tempat Jibe atau Subpemrosesnya mengelola fasilitas.

10.2 Transfer Eropa Terbatas. Kedua belah pihak memahami bahwa Legislasi Perlindungan Data Eropa tidak memerlukan SCC atau Solusi Transfer Alternatif untuk memproses Data Pribadi Partner atau mentransfernya ke Negara yang Memadai.

Jika Data Pribadi Partner ditransfer ke negara lain, dan Legislasi Perlindungan Data Eropa berlaku untuk transfer tersebut ("Transfer Eropa Terbatas"), maka:

(a) jika Jibe mengadopsi Solusi Transfer Alternatif untuk Transfer Eropa Terbatas tersebut, maka Jibe akan memberi tahu Partner tentang solusi yang relevan dan memastikan bahwa Transfer Eropa Terbatas tersebut dilakukan sesuai dengan solusi tersebut; dan/atau

(b) jika Jibe belum mengadopsi, atau telah memberi tahu Partner bahwa Jibe tidak lagi menggunakan Solusi Transfer Alternatif untuk Transfer Eropa Terbatas, maka:

(i) jika alamat Jibe berada di Negara yang Memadai:

(A) SCC (Pemroses ke Pemroses, Jibe Exporter) akan berlaku sehubungan dengan Transfer Eropa Terbatas tersebut dari Jibe ke Subpemroses; dan

(B) selain itu, jika alamat Partner tidak berada di Negara yang Memadai, SCC (Pemroses ke Pengontrol) akan berlaku sehubungan dengan Transfer Eropa Terbatas antara Jibe dan Partner (terlepas dari apakah Partner merupakan pengontrol dan/atau pemroses); atau

(ii) jika alamat Jibe tidak berada di Negara yang Memadai:

SCC (Pengontrol ke Pemroses) dan/atau SCC (Pemroses ke Pemroses) akan berlaku (sesuai dengan apakah Partner merupakan pengontrol dan/atau prosesor) sehubungan dengan Transfer Eropa Terbatas tersebut antara Partner dan Jibe; dan

(c) masing-masing referensi ke Google LLC atau Google dan kepada Anda di salah satu SCC akan menjadi Jibe dan Partner.

10.3 Tindakan dan Informasi Tambahan. Jibe akan memberikan informasi yang relevan kepada Partner terkait Transfer Eropa Terbatas, termasuk informasi tentang tindakan tambahan untuk melindungi Data Pribadi Partner, sebagaimana dijelaskan dalam Pasal 7.5.1 (Peninjauan Dokumentasi Keamanan), Lampiran 2 (Prosedur Keamanan), dan materi lain terkait sifat Layanan Pemroses dan pemrosesan Data Pribadi Partner (misalnya, artikel pusat bantuan).

10.4 Penghentian. Jika Partner menyimpulkan, berdasarkan penggunaan saat ini atau tujuan penggunaan Layanan Pemroses, bahwa Solusi Transfer Alternatif dan/atau SCC, sebagaimana berlaku, tidak menyediakan pengamanan yang sesuai untuk Data Pribadi Partner, Partner dapat segera menghentikan Perjanjian demi kenyamanan dengan memberi tahu Jibe secara tertulis.

10.5 Informasi Pusat Data. Informasi tentang lokasi pusat data Google LLC tersedia di www.google.com/about/datacenters/locations/index.html.

11. Subpemroses

11.1 Izin untuk Keterlibatan Subpemroses. Partner secara khusus mengizinkan interaksi Subpemroses yang tercantum dalam Pasal 11.2 (Informasi tentang Subpemroses) sejak Tanggal Mulai Berlaku Persyaratan. Selain itu, Partner secara umum memberi otorisasi kepada pihak ketiga lain sebagai Subpemroses ("Subpemroses Baru"), yang tunduk pada Pasal 11.4 (Kesempatan untuk Menolak Perubahan Subpemroses).

11.2 Informasi tentang Subpemroses. Atas permintaan tertulis Partner, Jibe akan memberikan informasi terkait Subpemroses dan lokasinya. Setiap permintaan tersebut harus dikirim ke Jibe menggunakan detail kontak yang ditetapkan di Bagian 12.1 (Menghubungi Jibe).

11.3 Persyaratan untuk Keterlibatan Subpemroses. Saat berinteraksi dengan Subpemroses apa pun, Jibe akan:

(a) memastikan melalui kontrak tertulis bahwa:

(i) Subpemroses hanya mengakses dan menggunakan Data Pribadi Partner sejauh diperlukan untuk menjalankan kewajiban yang disubkontrakkan padanya, dan melakukannya sesuai dengan Perjanjian (termasuk Adendum Pemrosesan Data ini); dan

(ii) jika pemrosesan Data Pribadi Partner tunduk pada Legislasi Perlindungan Data Eropa, kewajiban perlindungan data dalam Adendum Pemrosesan Data ini (sebagaimana dimaksud dalam Pasal 28(3) pada GDPR, jika berlaku) diberlakukan pada Subpemroses; dan

(b) tetap bertanggung jawab penuh atas kewajiban yang disubkontrakkan pada, serta semua tindakan dan kelalaian dari, Subpemroses.

11.4 Kesempatan untuk Menolak Perubahan Pemroses.

(a) Jika Subpemroses Baru terlibat selama Jangka Waktu, maka setidaknya 30 hari sebelum Subpemroses Baru memproses Data Pribadi Partner, Jibe akan memberi tahu Partner tentang keterlibatan tersebut (termasuk nama dan lokasi subpemroses yang relevan dan aktivitas yang akan dilakukan) dengan mengirim email ke Alamat Email Notifikasi.

(b) Partner dapat mengajukan keberatan kepada Subpemroses Baru dengan mengakhiri Perjanjian ini atas segera kenyamanan setelah menerima pemberitahuan tertulis kepada Jibe, dengan syarat bahwa Partner memberikan pemberitahuan tersebut dalam waktu 90 hari sejak diberi tahu tentang keterlibatan Subpemroses Baru seperti yang dijelaskan dalam Pasal 11.4(a).

12. Menghubungi Jibe; Memproses Catatan

12.1 Menghubungi Jibe. Saat menggunakan haknya berdasarkan Adendum Pemrosesan Data ini, Partner dapat menghubungi Jibe melalui kontak perlindungan data RCS Jibe yang dapat dihubungi melalui issuetracker.google.com, atau melalui cara lain yang mungkin disediakan oleh Jibe.

12.2 Catatan Pemrosesan Jibe. Jibe akan menyimpan dokumentasi aktivitas pemrosesannya yang sesuai seperti yang diwajibkan oleh GDPR. Partner menyetujui bahwa Jibe diwajibkan menurut GDPR untuk: (a) mengumpulkan dan mengelola catatan informasi tertentu, termasuk: (i) nama dan detail kontak masing-masing pemroses dan/atau pengontrol atas nama Jibe yang bertindak dan (jika berlaku) perwakilan perwakilan dan pemroses data lokal pemroses atau pengontrol tersebut, dan (ii) jika berlaku berdasarkan SCC yang relevan, Pengawasan Partner (informasi Pengawas) tersebut Oleh karena itu, jika diminta dan sebagai Partner yang berlaku akan memberikan informasi tersebut kepada Jibe melalui antarmuka pengguna Layanan Pemroses atau dengan cara lain yang mungkin disediakan oleh Jibe, dan akan menggunakan antarmuka pengguna tersebut atau cara lain untuk memastikan bahwa semua informasi yang diberikan selalu akurat dan terbaru.

12.3 Permintaan Pengontrol. Jika Jibe menerima permintaan atau petunjuk dari pihak ketiga yang mengaku sebagai pengontrol Data Pribadi Partner, Jibe akan menyarankan pihak ketiga tersebut untuk menghubungi Partner.

13. Kewajiban

Jika Perjanjian diatur oleh hukum:

(a) negara bagian di Amerika Serikat, maka terlepas dari apa pun lainnya dalam Perjanjian, kewajiban total salah satu pihak terhadap pihak lainnya berdasarkan atau sehubungan dengan Adendum Pemrosesan Data ini akan dibatasi pada jumlah maksimum moneter atau berbasis pembayaran yang menjadi tanggung jawab pihak tersebut berdasarkan Perjanjian (sebagaimana berlaku, dan pengecualian apa pun atas klaim kerahasiaan atau klaim Perlindungan terhadap Kerugian berdasarkan Perjanjian Eropa, atau jika Perlindungan Data ini tidak diberikan berdasarkan Perjanjian

(b) wilayah hukum yang bukan merupakan negara bagian Amerika Serikat, maka total tanggung jawab gabungan para pihak dan afiliasinya berdasarkan atau sehubungan dengan Adendum Pemrosesan Data ini akan tunduk pada Perjanjian.

14. Akibat dari Adendum Pemrosesan Data ini

14.1 Urutan Prioritas. Jika ada konflik atau ketidaksesuaian antara SCC, Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Eropa, Adendum Pemrosesan Data ini, dan bagian lainnya dalam Perjanjian, urutan prioritas berikut akan diterapkan:

(a) SCC;

(b) Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Eropa;

(c) sisa Adendum Pemrosesan Data ini; dan

(d) bagian lainnya dalam Perjanjian.

Tunduk pada amendemen dalam Adendum Pemrosesan Data ini, Perjanjian ini tetap berlaku dan memiliki kekuatan hukum penuh.

14.2 Tidak Ada Perubahan SCC. Tidak ada ketentuan dalam Perjanjian (termasuk Adendum Pemrosesan Data ini) yang dimaksudkan untuk mengubah atau menentang SCC atau mengurangi hak dasar atau kebebasan subjek data berdasarkan Legislasi Perlindungan Data Eropa.

14.3 Tidak Akan Berpengaruh pada Persyaratan Pengontrol. Adendum Pemrosesan Data ini tidak akan memengaruhi persyaratan terpisah antara Jibe dan Partner yang mencerminkan hubungan pengontrol-pengontrol untuk layanan selain Layanan Pemroses.

14.4 SCC Inggris Raya Lama. Mulai 21 September 2022 atau tanggal efektif Perjanjian, mana pun yang lebih lama, persyaratan tambahan SCC untuk transfer GDPR Inggris Raya akan berlaku, dan akan menggantikan serta menghentikan semua klausul kontrak standar yang disetujui berdasarkan GDPR Inggris Raya dan Data Protection Act 2018 dan yang sebelumnya di disepakati oleh Partner dan Jibe ("SCC Inggris Raya Lama"). Pasal 14.4 (SCC Inggris Raya Lama) tidak akan memengaruhi hak masing-masing pihak, atau hak subjek data apa pun, yang mungkin timbul berdasarkan SCC Inggris Raya Lama saat mereka diberlakukan.

15. Perubahan pada Adendum Pemrosesan Data ini

15.1 Perubahan pada URL. Dari waktu ke waktu, Jibe dapat mengubah URL apa pun yang dirujuk dalam Adendum Pemrosesan Data ini dan konten di URL mana pun, kecuali bahwa Jibe hanya dapat mengubah SCC sesuai dengan Pasal 15.2(b) - 15.2(d) (Perubahan pada Adendum Pemrosesan Data) atau untuk menggabungkan versi baru dari SCC dalam Perjanjian berdasarkan Hukum yang digunakan

15.2 Perubahan pada Adendum Pemrosesan Data. Jibe dapat mengubah Adendum Pemroses Data ini jika perubahannya:

(a) secara jelas diizinkan berdasarkan Adendum Pemrosesan Data ini, termasuk seperti yang dijelaskan dalam Pasal 15.1 (Perubahan pada URL);

(b) mencerminkan perubahan nama atau bentuk entitas hukum;

(c) diwajibkan untuk mematuhi hukum yang berlaku, peraturan yang berlaku, perintah pengadilan, atau panduan yang dikeluarkan oleh badan pengatur atau lembaga pemerintah, atau mencerminkan adopsi Solusi Transfer Alternatif oleh Jibe; atau

(d) tidak (i) mengakibatkan penurunan keamanan keseluruhan Layanan Pemroses; (ii) memperluas cakupan atau menghapus batasan apa pun pada, (x) dalam kasus Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Eropa, hak Jibe untuk menggunakan atau memproses data dalam cakupan Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Basis atas perubahan Tindak Lanjutnya karena perubahan ini,

15.3 Pemberitahuan Perubahan. Jika Jibe bermaksud untuk mengubah Adendum Pemrosesan Data ini berdasarkan Pasal 15.2(c) atau (d), Jibe akan memberi tahu Partner setidaknya 30 hari (atau periode yang lebih singkat seperti yang mungkin diperlukan untuk mematuhi hukum yang berlaku, peraturan yang berlaku, perintah pengadilan, atau panduan yang dikeluarkan oleh badan pengatur pemerintah atau agensi) sebelum perubahan akan diterapkan dengan: (a) mengirim email ke Antarmuka Pengguna Notifikasi untuk Layanan Pesan; Jika Partner keberatan dengan perubahan tersebut, Partner dapat menghentikan Perjanjian ini atas keinginan dengan memberikan pemberitahuan tertulis kepada Jibe dalam waktu 90 hari sejak diberi tahu oleh Jibe tentang perubahan tersebut.

Lampiran 1: Materi Pokok dan Detail Pemrosesan Data

Materi Pokok

Penyediaan Layanan Pemroses oleh Jibe dan dukungan teknis terkait kepada Partner.

Durasi Pemrosesan

Jangka Waktu serta periode dari akhir Jangka Waktu hingga penghapusan semua Data Pribadi Partner oleh Jibe sesuai dengan Adendum Pemrosesan Data ini.

Sifat dan Tujuan Pemrosesan

Jibe akan memproses Data Pribadi Partner, termasuk (sebagaimana berlaku pada sifat Layanan Pemroses dan Petunjuk) untuk mengumpulkan, merekam, mengatur, menyusun, menyimpan, mengubah, mengambil, menggunakan, mengungkapkan, menggabungkan, menghapus, serta menghancurkan Data Pribadi Partner untuk tujuan penyediaan Layanan Pemroses dan dukungan teknis terkait kepada Partner sesuai dengan Adendum Pemrosesan Data ini.

Jenis Data Pribadi

Data pribadi yang berkaitan dengan individu yang diberikan kepada Jibe melalui Layanan Pemrosesan, oleh (atau atas arahan) Partner atau pengguna akhir Partner.

Kategori Subjek Data

Subjek data mencakup individu yang datanya diberikan kepada Jibe melalui Layanan Pemroses oleh (atau arahan) atau oleh Partner.

Lampiran 2: Prosedur Keamanan

Mulai Tanggal Tanggal Mulai Berlaku Persyaratan, Jibe akan menerapkan dan mengelola Tindakan Keamanan di Lampiran 2 ini. Jibe dapat memperbarui atau mengubah Prosedur Keamanan tersebut dari waktu ke waktu, dengan ketentuan bahwa pembaruan dan modifikasi tersebut tidak mengakibatkan penurunan keamanan Pemroses Layanan secara keseluruhan.

1. Keamanan Jaringan & Pusat Data

(a) Pusat Data.

Infrastruktur. Jibe mengelola pusat data yang tersebar secara geografis. Jibe menyimpan semua data produksi di pusat data yang aman secara fisik.

Redundansi. Sistem infrastruktur telah dirancang untuk menghilangkan titik tunggal kegagalan dan meminimalkan dampak risiko lingkungan yang dapat diperkirakan. Sirkuit ganda, tombol, jaringan, atau perangkat lain yang diperlukan membantu menyediakan redundansi ini. Layanan Pemroses dirancang agar Jibe dapat melakukan jenis pemeliharaan preventif dan korektif tertentu tanpa gangguan. Semua peralatan dan fasilitas lingkungan telah mendokumentasikan prosedur pemeliharaan preventif yang merinci proses serta frekuensi performa sesuai dengan spesifikasi produsen atau internal. Pemeliharaan korektif dan preventif untuk peralatan pusat data dijadwalkan melalui proses standar sesuai dengan prosedur yang terdokumentasi.

Daya. Sistem daya listrik pusat data dirancang untuk menjadi redundan dan dapat dikelola tanpa memengaruhi operasi berkelanjutan, 24 jam sehari, dan 7 hari seminggu. Di sebagian besar kasus, sumber listrik utama serta alternatif, masing-masing dengan kapasitas yang sama, disediakan untuk komponen infrastruktur penting di pusat data. Daya cadangan disediakan melalui berbagai mekanisme seperti baterai catu daya tanpa gangguan (UPS), yang memasok perlindungan daya yang andal secara konsisten selama pengurangan kapasitas utilitas, pemadaman, tegangan berlebih, di bawah tegangan, dan kondisi frekuensi di luar toleransi. Jika daya utilitas terhenti, daya cadangan dirancang untuk menyediakan daya sementara bagi pusat data, dengan kapasitas penuh, untuk maksimal 10 menit hingga sistem generator cadangan mengambil alih. Generator dapat memulai secara otomatis dalam hitungan detik untuk menyediakan daya listrik darurat yang cukup guna menjalankan pusat data dengan kapasitas penuh biasanya selama beberapa hari.

Sistem Operasi Server. Server Jibe menggunakan sistem operasi yang telah melalui proses hardening yang disesuaikan untuk kebutuhan server yang unik. Data disimpan menggunakan algoritme eksklusif untuk meningkatkan redundansi dan keamanan data. Jibe menggunakan proses peninjauan kode untuk meningkatkan keamanan kode yang digunakan untuk menyediakan Layanan Pemroses dan meningkatkan produk keamanan di lingkungan produksi.

Kelangsungan Bisnis. Jibe mereplikasi data ke beberapa sistem untuk membantu melindungi dari penghancuran atau kehilangan yang tidak disengaja. Jibe telah merancang dan secara rutin merencanakan serta menguji program kelangsungan bisnis/program pemulihan dari bencana.

Teknologi Enkripsi. Kebijakan keamanan Jibe mewajibkan enkripsi dalam penyimpanan untuk semua data pengguna, termasuk data pribadi. Data sering dienkripsi di beberapa level dalam stack penyimpanan produksi Jibe di pusat data, termasuk di tingkat hardware, tanpa memerlukan tindakan apa pun dari partner atau pelanggan. Menggunakan enkripsi berlapis akan menambahkan perlindungan data redundan dan memungkinkan Jibe memilih pendekatan yang optimal berdasarkan persyaratan aplikasi. Semua data pribadi dienkripsi pada tingkat penyimpanan, umumnya menggunakan AES256. Jibe menggunakan library kriptografi umum yang menggabungkan modul tervalidasi Jifi FIPS 140-2, untuk mengimplementasikan enkripsi secara konsisten di seluruh Layanan Pemroses.

(b) Jaringan & Transmisi.

Transmisi Data. Pusat data biasanya terhubung melalui link pribadi berkecepatan tinggi untuk memberikan transfer data yang cepat dan aman di antara pusat data. Hal ini dirancang untuk mencegah data dibaca, disalin, diubah, atau dihapus tanpa otorisasi selama pengangkutan elektronik. Jibe mentransfer data melalui protokol standar Internet.

Permukaan Serangan Eksternal. Jibe menggunakan beberapa lapisan perangkat jaringan dan deteksi penyusupan untuk melindungi permukaan serangan eksternalnya. Jibe mempertimbangkan potensi vektor serangan dan menggabungkan teknologi yang dibuat dengan tujuan ke dalam sistem yang berkaitan dengan pihak eksternal.

Deteksi Penyusupan. Deteksi penyusupan ditujukan untuk memberikan insight tentang aktivitas serangan yang sedang berlangsung dan menyediakan informasi yang memadai untuk merespons insiden. Deteksi penyusupan Jibe melibatkan:

  1. Mengontrol ukuran dan susunan permukaan serangan Jibe dengan cermat melalui langkah-langkah pencegahan;

  2. Menggunakan kontrol deteksi cerdas di titik entri data; dan

  3. Menggunakan teknologi yang otomatis memperbaiki situasi berbahaya tertentu.

Respons Insiden. Jibe memantau berbagai saluran komunikasi untuk peristiwa keamanan, dan personel keamanan Jibe akan segera bereaksi terhadap insiden yang diketahui.

Teknologi Enkripsi. Jibe menyediakan enkripsi HTTPS (juga disebut sebagai koneksi TLS). Server Jibe mendukung kurva eliptik ephemeral yang berbentuk pertukaran kunci kriptografis Diffie Hellman yang ditandatangani dengan RSA dan ECDSA. Metode forward secrecy (PFS) yang sempurna ini membantu melindungi traffic dan meminimalkan dampak kunci yang disusupi, atau terobosan kriptografi.

2. Kontrol Situs dan Akses

(a) Kontrol Situs.

Operasi Keamanan Pusat Data di Tempat. Pusat data Jibe mengelola operasi keamanan di tempat yang bertanggung jawab atas semua fungsi keamanan pusat data fisik 24 jam sehari, 7 hari seminggu. Staf operasi keamanan di tempat memantau kamera Closed Circuit TV ("CCTV") dan semua sistem alarm. Staf operasi keamanan di tempat melakukan patroli internal dan eksternal di pusat data secara berkala.

Prosedur Akses Pusat Data. Jibe mempertahankan prosedur akses formal untuk mengizinkan akses fisik ke pusat data. Pusat data berada di fasilitas yang memerlukan akses kunci kartu elektronik, dengan alarm yang terhubung ke operasi keamanan di tempat. Semua orang yang memasuki pusat data wajib mengidentifikasi diri mereka serta menunjukkan bukti identitas pada operasi keamanan di tempat. Hanya pengunjung, kontraktor, dan karyawan yang memiliki otorisasi yang diizinkan masuk ke pusat data. Hanya kontraktor dan karyawan yang memiliki otorisasi yang diizinkan untuk meminta akses kunci kartu elektronik ke fasilitas ini. Permintaan akses kunci kartu elektronik yang berpusat pada data harus dibuat di awal dan secara tertulis, serta memerlukan persetujuan personel pusat data resmi. Semua pengunjung lain yang memerlukan akses sementara ke pusat data harus: (i) mendapatkan persetujuan terlebih dahulu dari pengelola pusat data untuk pusat data tertentu dan area internal yang ingin mereka kunjungi; (ii) login ke operasi keamanan setempat; dan (iii) mereferensikan catatan akses pusat data yang disetujui yang mengidentifikasi individu tersebut sebagai pengunjung yang disetujui.

Perangkat Keamanan Pusat Data di Tempat. Pusat data Jibe menggunakan kunci kartu elektronik dan sistem kontrol akses biometrik yang terhubung ke alarm sistem. Sistem kontrol akses tersebut memantau dan mencatat kunci kartu elektronik setiap individu serta saat dia mengakses pintu perimeter, pengiriman dan penerimaan, serta area penting lainnya. Aktivitas yang tidak sah dan upaya akses yang gagal dicatat ke dalam log oleh sistem kontrol akses dan diinvestigasi, sebagaimana diperlukan. Akses yang sah di seluruh operasi bisnis dan pusat data dibatasi berdasarkan zona dan tanggung jawab pekerjaan individu. Pintu kebakaran di pusat data diberi alarm. Kamera CCTV beroperasi di dalam dan di luar pusat data. Pengaturan posisi kamera telah dirancang untuk mencakup area strategis termasuk, di antara yang lainnya, pintu ke gedung pusat data, serta pengiriman/penerimaan. Staf operasi keamanan di tempat mengelola peralatan pemantauan, perekaman, dan kontrol CCTV. Kabel aman di seluruh pusat data terhubung dengan peralatan CCTV. Kamera merekam di tempat melalui perekam video digital 24 jam sehari, 7 hari seminggu. Rekaman pengawasan disimpan setidaknya selama 7 hari berdasarkan aktivitas.

(b) Kontrol Akses.

Staf Keamanan Infrastruktur. Jibe memiliki, dan mengelola, kebijakan keamanan untuk personelnya, dan mewajibkan pelatihan keamanan sebagai bagian dari paket pelatihan untuk personelnya. Staf keamanan infrastruktur Jibe bertanggung jawab atas pemantauan berkelanjutan terhadap infrastruktur keamanan Jibe, peninjauan Layanan Pemroses, dan respons terhadap insiden keamanan.

Kontrol Akses dan Pengelolaan Hak Istimewa. Administrator dan pengguna partner harus mengautentikasi diri mereka sendiri menggunakan sistem autentikasi pusat atau sistem single sign-on untuk menggunakan Layanan Pemroses.

Kebijakan dan Proses Akses Data Internal – Kebijakan Akses. Proses dan kebijakan akses data internal Jibe dirancang untuk mencegah orang dan/atau sistem yang tidak memiliki otorisasi mendapatkan akses ke sistem yang digunakan untuk memproses data pribadi. Jibe bertujuan untuk merancang sistemnya guna: (i) hanya mengizinkan orang yang diberi otorisasi untuk mengakses data yang mereka izinkan untuk mengaksesnya; dan (ii) memastikan bahwa data pribadi tidak dapat dibaca, disalin, diubah, atau dihapus tanpa otorisasi selama pemrosesan, penggunaan, dan setelah perekaman. Sistem dirancang untuk mendeteksi semua akses yang tidak pantas. Jibe menggunakan sistem pengelolaan akses terpusat untuk mengontrol akses staf ke server produksi, dan hanya memberikan akses ke sejumlah personel resmi. LDAP, Kerberos, dan sistem eksklusif yang menggunakan sertifikat digital dirancang untuk memberi Jibe mekanisme akses yang aman dan fleksibel. Mekanisme ini dirancang untuk hanya memberikan hak akses yang disetujui ke host situs, log, data, dan informasi konfigurasi. Jibe memerlukan penggunaan ID pengguna unik, sandi yang kuat, autentikasi 2 langkah, serta daftar akses yang dipantau dengan cermat untuk meminimalkan potensi penggunaan akun yang tidak sah. Pemberian atau perubahan hak akses dilakukan berdasarkan: tanggung jawab pekerjaan staf yang memiliki izin; persyaratan tugas pekerjaan yang diperlukan untuk melakukan tugas yang diizinkan; dan dasar perlu mengetahui. Pemberian atau perubahan hak akses juga harus sesuai dengan pelatihan dan kebijakan akses data internal Jibe. Persetujuan dikelola oleh alat alur kerja yang mengelola rekaman audit semua perubahan. Akses ke sistem dicatat guna membuat jejak audit untuk akuntabilitas. Jika sandi digunakan untuk autentikasi (misalnya, login ke workstation), penerapan kebijakan sandi yang mengikuti setidaknya mengikuti praktik standar industri. Standar ini mencakup batasan pada penggunaan ulang sandi dan kekuatan sandi yang memadai.

3. Data

(a) Penyimpanan Data, Isolasi, dan Autentikasi.

Jibe menyimpan data di lingkungan multi-tenant di server milik Google LLC. Data, database Layanan Pemroses, dan arsitektur sistem file direplikasi di antara beberapa pusat data yang tersebar secara geografis. Jibe mengisolasi data setiap partner atau pelanggan secara logis. Sistem autentikasi pusat digunakan di semua Layanan Pemroses untuk meningkatkan keamanan data yang seragam.

(b) Disk yang Dinonaktifkan dan Panduan Penghancuran Disk.

Disk tertentu yang berisi data dapat mengalami masalah performa, error, atau kegagalan hardware yang membuatnya dinonaktifkan ("Disk yang Dinonaktifkan"). Setiap Disk yang Dinonaktifkan akan melalui serangkaian proses penghancuran data ("Panduan Penghancuran Data") sebelum meninggalkan lokasi Jibe, baik untuk penggunaan ulang atau penghancuran. Disk yang Dinonaktifkan dihapus dalam proses yang terdiri dari beberapa langkah dan penyelesaian prosesnya diverifikasi oleh setidaknya dua validator independen. Untuk pelacakan, hasil penghapusan dicatat berdasarkan nomor seri Disk yang Dinonaktifkan. Akhirnya, Disk yang Dinonaktifkan dipindahkan ke inventaris untuk digunakan kembali dan deployment ulang. Jika, karena kegagalan hardware, Disk yang Dinonaktifkan tidak dapat dihapus, disk akan disimpan dengan aman hingga dapat dihancurkan. Setiap fasilitas diaudit secara berkala untuk memantau kepatuhan terhadap Panduan Penghancuran Data.

(c) Data semu.

Data iklan online biasanya dikaitkan dengan ID online yang secara mandiri dianggap 'pseudonim' (yaitu, tidak dapat diatribusikan ke individu tertentu tanpa menggunakan informasi tambahan). Jibe memiliki rangkaian kebijakan yang kuat serta kontrol teknis dan organisasional untuk memastikan pemisahan antara data pseudonim dan informasi pengguna yang dapat diidentifikasi secara pribadi (yaitu informasi yang dapat digunakan sendiri untuk langsung mengidentifikasi, menghubungi, atau menemukan lokasi individu) secara tepat, seperti data akun Jibe pengguna. Kebijakan Jibe hanya mengizinkan aliran informasi antara data pseudonim dan identitas pribadi dalam situasi yang sangat terbatas.

(d) Luncurkan Ulasan.

Jibe melakukan peninjauan peluncuran untuk produk dan fitur baru sebelum peluncuran. Hal ini mencakup peninjauan privasi yang dilakukan oleh engineer privasi yang dilatih secara khusus. Dalam peninjauan privasi, engineer privasi memastikan bahwa semua kebijakan dan pedoman Jibe yang berlaku diikuti, termasuk, tetapi tidak terbatas pada kebijakan yang berkaitan dengan pseudonim serta retensi dan penghapusan data.

4. Keamanan Staf

Staf Jibe diwajibkan untuk berperilaku sesuai dengan pedoman perusahaan terkait kerahasiaan, etika bisnis, penggunaan yang sesuai, dan standar profesional. Jibe melakukan pemeriksaan latar belakang yang sesuai secara wajar, sejauh diizinkan secara hukum dan sesuai dengan hukum ketenagakerjaan serta peraturan berdasarkan hukum setempat.

Staf diwajibkan untuk menandatangani perjanjian kerahasiaan dan harus mengonfirmasi penerimaan, dan kepatuhan terhadap, kebijakan privasi dan kerahasiaan Jibe. Staf diberikan pelatihan keamanan. Staf yang menangani Data Pribadi Partner diwajibkan untuk memenuhi persyaratan tambahan yang sesuai dengan perannya. Staf Jibe tidak akan memproses Data Pribadi Partner tanpa otorisasi.

5. Keamanan Subpemroses

Sebelum melakukan orientasi Subpemroses, Jibe akan melakukan audit praktik keamanan dan privasi Subpemroses guna memastikan Subpemroses memberikan tingkat keamanan dan privasi yang sesuai untuk akses mereka ke data serta cakupan layanan yang akan diberikan. Setelah Jibe menilai risiko yang dipresentasikan oleh Subpemroses, Subpemroses diwajibkan untuk menyepakati persyaratan keamanan, kerahasiaan, dan kontrak privasi yang sesuai, dengan tunduk pada persyaratan dalam Pasal 11.3 (Persyaratan Keterlibatan Subpemroses).

Lampiran 3: Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Eropa

Persyaratan Tambahan untuk Legislasi Perlindungan Data Non-Eropa berikut melengkapi Adendum Pemrosesan Data ini:

Referensi ke Google LLC atau Google dalam Adendum Pemroses LGPD dan Adendum Hukum Negara Bagian AS akan ditujukan kepada Jibe.

Adendum Pemrosesan Data Jibe, Versi 4.0

Versi sebelumnya