Perjanjian Pemrosesan Data

Dokumen ini menetapkan peran dan kewajiban pemrosesan data pribadi antara Klinik (Pengendali Data Pribadi) dan Kidaboo (Prosesor Data Pribadi) berdasarkan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi.

1. Definisi

• Pengendali — pihak yang menentukan tujuan dan cara pemrosesan data pribadi: Klinik.
• Prosesor — pihak yang memproses data atas nama Pengendali: Kidaboo.
• Data pribadi spesifik — data kesehatan anak, termasuk data yang terkait dengan anak, sebagaimana dimaksud UU PDP Pasal 4.
• Subjek data — anak pasien, wali, dan staf klinik yang datanya diproses dalam layanan.

2. Ruang lingkup & durasi

Kidaboo memproses data hanya sebatas yang diperlukan untuk menjalankan layanan berlangganan, selama langganan aktif, dan hanya sesuai instruksi terdokumentasi dari Klinik.

3. Jenis data & kategori subjek

• Anak: nama, tanggal lahir, riwayat perkembangan, catatan klinis (SOAP), diagnosis, hasil asesmen.
• Wali: nama, kontak, hubungan dengan anak, tagihan.
• Staf klinik: nama, peran, kredensial akses.

4. Kewajiban Kidaboo sebagai Prosesor

• Memproses hanya atas instruksi terdokumentasi dari Klinik.
• Kerahasiaan yang mengikat seluruh personel dengan akses ke data.
• Langkah keamanan teknis: isolasi per klinik di lapisan basis data (Row-Level Security), jejak audit append-only, enkripsi transit dan saat disimpan — rincian di halaman keamanan.
• Tidak menjual, tidak memakai untuk iklan, tidak memakai data pasien untuk melatih model AI.

5. Sub-pemroses

Daftar sub-pemroses beserta lokasi pemrosesan tersedia di halaman privasi. Klinik diberitahukan minimal 30 hari sebelum ada perubahan daftar.

6. Hak subjek data

Kidaboo membantu Klinik memenuhi permintaan subjek data — akses, koreksi, penghapusan — maksimal 14 hari kerja sejak permintaan diteruskan Klinik.

7. Pemberitahuan insiden

Kidaboo memberitahukan Klinik dalam 24 jam sejak mengetahui kegagalan pelindungan data pribadi, disertai ruang lingkup dan langkah penanganan. (UU PDP Pasal 46 mewajibkan Klinik memberitahukan subjek data dan lembaga pengawas dalam 3×24 jam — 24 jam kami memberi Klinik waktu memenuhi tenggatnya.)

8. Penghapusan atau pengembalian data saat berakhir

Saat langganan berakhir: seluruh data Klinik diekspor dalam format terbuka dan diserahkan utuh — tidak ada penyanderaan data. Setelah masa tenggang 30 hari untuk ekspor, data dihapus permanen dan konfirmasi tertulis penghapusan diberikan kepada Klinik.

9. Hak audit

Klinik berhak meminta bukti pelaksanaan kewajiban-kewajiban di atas, sekali per tahun atau setelah insiden material.

10. Lokasi pemrosesan & transfer lintas negara

Pemrosesan utama dilayani dari pusat data di wilayah Asia Tenggara (lihat tabel sub-pemroses). Transfer lintas negara, bila terjadi pada sub-pemroses tertentu, diumumkan di halaman privasi sebelum diaktifkan.

Ingin versi PDF untuk ditinjau penasihat hukum Anda? Minta lewat email; kami balas di hari kerja.