Perjanjian Pemrosesan Data (PPD) Neobiz — Indonesia (Bahasa Indonesia)

Naskah Bahasa Indonesia. Dalam hal terdapat ketidaksesuaian antara kedua naskah, naskah ini yang berlaku — lihat Pasal 13. Kedua naskah bertanggal sama.

Versi: id-2026-07-1 · Merupakan bagian dari Syarat dan Ketentuan Layanan.

1. Definisi

• "Data Pribadi", "Subjek Data Pribadi", "Pengendali Data Pribadi", "Prosesor Data Pribadi" — sebagaimana didefinisikan dalam UU PDP (Undang-Undang No. 27 Tahun 2022).
• "Data Pribadi Spesifik" — sebagaimana dimaksud Pasal 4 UU PDP, termasuk data kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, dan data lain sesuai ketentuan peraturan perundang-undangan.
• "Data Member" — Data Pribadi mengenai pelanggan/member Anda yang diproses Neobiz atas nama Anda.
• "Kegagalan Pelindungan Data Pribadi" — sebagaimana dimaksud Pasal 46 UU PDP.
• "Lembaga" — lembaga pengawas yang ditetapkan berdasarkan UU PDP dan, selama belum terbentuk, Kementerian Komunikasi dan Digital (Komdigi) serta regulator sektoral terkait.

2. Peran dan ruang lingkup

2.1 Pembagian peran. Atas Data Member, Anda adalah Pengendali Data Pribadi dan Neobiz adalah Prosesor Data Pribadi. Atas Data Akun, Neobiz adalah Pengendali Data Pribadi.

2.2 Perjanjian pemrosesan tertulis. PPD ini merupakan perjanjian tertulis antara Pengendali dan Prosesor sebagaimana disyaratkan UU PDP, dan mengatur ruang lingkup, cara, jangka waktu, pengawasan, serta prosedur komunikasi pemrosesan.

2.3 Ruang lingkup instruksi. Neobiz memproses Data Member semata-mata untuk menyediakan, mengamankan, dan mendukung Layanan, serta hanya berdasarkan instruksi terdokumentasi Anda. Syarat dan Ketentuan, PPD ini, serta konfigurasi dan penggunaan Layanan oleh Anda merupakan keseluruhan instruksi terdokumentasi Anda.

2.4 Akibat pembagian peran. Sebagai Pengendali, Anda menentukan tujuan pemrosesan, memutuskan siapa yang dihubungi dan melalui saluran apa, serta bertanggung jawab atas dasar pemrosesan yang sah berdasarkan Pasal 20 UU PDP. Neobiz tidak meninjau, memverifikasi, atau menyetujui dasar pemrosesan Anda. Ketika Anda mengimpor kontak atau mengirim kampanye, Anda mengambil keputusan sebagai Pengendali.

2.5 Rincian pemrosesan. Diuraikan dalam Lampiran A.

2.6 Instruksi yang melanggar hukum. Neobiz akan memberitahu Anda apabila, menurut pendapatnya, suatu instruksi melanggar UU PDP, dan dapat menangguhkan instruksi tersebut sampai dikonfirmasi atau diubah.

2.7 Tidak ada penggunaan sebagai Pengendali mandiri. Neobiz tidak menggunakan Data Member untuk kepentingannya sendiri, tidak menjualnya, dan tidak menggunakannya untuk melatih model AI kecuali sebagaimana diizinkan secara tegas dalam Ketentuan AI dan pengaturan yang Anda aktifkan.

3. Kewajiban Anda sebagai Pengendali

3.1 Anda menjamin adanya dasar pemrosesan yang sah berdasarkan Pasal 20 UU PDP atas seluruh Data Member yang Anda serahkan atau instruksikan untuk diproses.

3.2 Anda bertanggung jawab atas ketepatan, kualitas, dan keabsahan Data Member serta cara perolehannya.

3.3 Anda tidak akan menyerahkan Data Pribadi Spesifik kecuali Layanan memang diperuntukkan bagi hal tersebut, Anda memiliki dasar pemrosesan yang sah, dan hukum mengizinkan. Lihat Kebijakan Pengiriman Pesan untuk kategori yang dilarang sepenuhnya pada Saluran Pesan.

3.4 Anda akan memenuhi kewajiban Pengendali berdasarkan UU PDP, termasuk memberikan pemberitahuan privasi, memenuhi hak Subjek Data Pribadi, dan melakukan pemberitahuan sebagaimana disyaratkan Pasal 46 (lihat Pasal 7.3).

3.5 Anda akan menggunakan dasar pemberitahuan privasi untuk member yang kami sediakan, dengan mempertahankan klausul intinya, atau pemberitahuan setara yang memenuhi UU PDP.

4. Kewajiban Neobiz sebagai Prosesor

Neobiz akan: (4.1) memproses Data Member hanya berdasarkan instruksi terdokumentasi Anda; (4.2) memastikan personel yang berwenang terikat kerahasiaan; (4.3) menerapkan langkah-langkah dalam Lampiran B; (4.4) mematuhi Pasal 6 mengenai Subprosesor; (4.5) membantu Anda memenuhi hak Subjek Data Pribadi (Pasal 5); (4.6) membantu penilaian dampak; (4.7) memberitahukan Kegagalan Pelindungan Data Pribadi sesuai Pasal 7; (4.8) menghapus atau mengembalikan Data Member sesuai Pasal 8; dan (4.9) menyediakan informasi yang diperlukan untuk membuktikan kepatuhan serta memungkinkan audit sesuai Pasal 9.

5. Hak Subjek Data Pribadi

5.1 Layanan menyediakan fitur yang memungkinkan Anda memenuhi hak-hak berdasarkan Bab V UU PDP, termasuk hak atas informasi, akses, pembetulan, penghapusan, penarikan persetujuan, keberatan atas pengambilan keputusan otomatis, pembatasan pemrosesan, keterpindahan data, dan ganti rugi. Apabila fitur tersebut belum memadai, Neobiz akan memberikan bantuan yang wajar.

5.2 Apabila Neobiz menerima permintaan langsung dari member Anda, Neobiz akan (kecuali diwajibkan lain oleh hukum) mengarahkan orang tersebut kepada Anda dan memberitahu Anda.

5.3 Kondisi saat ini. Perangkat swalayan untuk ekspor dan penghapusan data member masih dalam pengembangan; sampai tersedia, Neobiz akan membantu Anda secara manual untuk memenuhi permintaan terverifikasi dalam jangka waktu yang ditentukan undang-undang.

6. Subprosesor

6.1 Anda memberi kuasa kepada Neobiz untuk menggunakan Subprosesor yang tercantum pada ../subprocessors.md.

6.2 Neobiz mengenakan kewajiban pelindungan data kepada setiap Subprosesor yang secara substansial sama protektifnya dengan PPD ini, dan tetap bertanggung jawab penuh atas kinerja mereka.

6.3 Neobiz akan memberikan pemberitahuan sekurang-kurangnya tiga puluh (30) hari atas rencana penambahan atau penggantian. Anda dapat mengajukan keberatan atas dasar pelindungan data yang wajar; apabila tidak terselesaikan, Anda dapat mengakhiri bagian Layanan terkait tanpa penalti atas masa berbayar yang belum terpakai.

7. Kegagalan Pelindungan Data Pribadi

7.1 Neobiz akan memberitahu Anda tanpa penundaan yang tidak wajar dan dalam hal apa pun dalam 24 jam setelah mengetahui adanya Kegagalan Pelindungan Data Pribadi yang memengaruhi Data Member.

7.2 Pemberitahuan akan memuat informasi yang tersedia secara wajar untuk membantu Anda memenuhi kewajiban berdasarkan Pasal 46 UU PDP — Data Pribadi yang terungkap, kapan dan bagaimana kegagalan terjadi, serta upaya penanganan dan pemulihan yang dilakukan.

7.3 Kewajiban pemberitahuan Anda. Anda tetap bertanggung jawab, sebagai Pengendali, untuk memberitahukan kepada Subjek Data Pribadi yang terdampak dan Lembaga dalam jangka waktu yang ditentukan undang-undang, serta untuk pemberitahuan kepada publik apabila pelayanan publik atau kepentingan umum terdampak secara material.

7.4 Neobiz akan mengambil langkah wajar untuk memitigasi dan memulihkan, serta terus menginformasikan Anda.

7.5 Pemberitahuan bukan merupakan pengakuan kesalahan atau tanggung jawab.

8. Jangka waktu, penghapusan, dan pengembalian

8.1 PPD ini berlaku selama Neobiz memproses Data Member.

8.2 Setelah pengakhiran, Neobiz akan menyediakan Data Member untuk diekspor selama tiga puluh (30) hari, kemudian menghapusnya sesuai jadwal retensi, dengan tunduk pada siklus cadangan rutin dan kewajiban penyimpanan menurut hukum.

8.3 Tanggung jawab. Tanggung jawab berdasarkan PPD ini tunduk pada pembatasan dalam Pasal 12 Syarat dan Ketentuan, termasuk pengecualian yang mempertahankan kewajiban ganti rugi Anda. Sesuai Pasal 2.4, kewajiban Pengendali dan akibat pelanggarannya berada pada Anda.

9. Audit

9.1 Neobiz akan menyediakan informasi yang diperlukan untuk membuktikan kepatuhan.

9.2 Audit dipenuhi pada tahap pertama melalui penyediaan laporan audit pihak ketiga, ringkasan uji penetrasi, dan kuesioner keamanan yang telah diisi.

9.3 Apabila terbukti tidak memadai, Anda dapat melakukan audit paling banyak sekali setahun (kecuali diwajibkan Lembaga atau setelah terjadi Kegagalan Pelindungan Data Pribadi), dengan pemberitahuan tertulis yang wajar, pada jam kerja, tunduk pada kerahasiaan, atas biaya Anda, dan tanpa mengharuskan pengungkapan yang membahayakan data merchant lain atau keamanan Neobiz.

10. Lokasi data dan transfer

10.1 Lokasi. Data Member disimpan di Indonesia.

10.2 Pemrosesan AI. Pemanggilan model AI terkelola dapat keluar ke the United States (Azure East US 2) berdasarkan perjanjian penyedia yang memuat ketentuan tanpa retensi dan tanpa pelatihan model; keluaran data tersebut dicatat. Lihat daftar subprosesor.

10.3 Dasar transfer. Setiap transfer Data Pribadi ke luar Indonesia hanya dilakukan atas dasar yang diizinkan UU PDP — penetapan tingkat pelindungan yang memadai, instrumen mengikat yang sesuai (termasuk klausul kontraktual baku yang diterbitkan Lembaga apabila telah tersedia), atau persetujuan Subjek Data Pribadi.

10.4 Pelaporan. Neobiz akan menyediakan informasi yang Anda perlukan untuk pelaporan transfer kepada Lembaga.

11. Penyelenggaraan sistem elektronik

11.1 Neobiz beroperasi sebagai Penyelenggara Sistem Elektronik (PSE) Lingkup Privat dan sedang menyelesaikan pendaftarannya.

11.2 Neobiz akan menangani permintaan akses yang sah dari otoritas sesuai hukum yang berlaku dan akan memberitahu Anda sepanjang diperbolehkan.

12. Ketentuan umum

12.1 PPD ini diatur oleh hukum Indonesia dan memuat ketentuan hukum yang mengatur, penyelesaian sengketa (musyawarah untuk mufakat kemudian arbitrase BANI berkedudukan di Jakarta — Pasal 18 Syarat dan Ketentuan), pemberitahuan, dan urutan keberlakuan sebagaimana Syarat dan Ketentuan.

12.2 Dalam hal pertentangan antara PPD ini dan Syarat dan Ketentuan mengenai pemrosesan Data Member, PPD ini yang berlaku.

13. Bahasa

13.1 PPD ini dibuat dalam Bahasa Indonesia dan Bahasa Inggris sesuai Undang-Undang No. 24 Tahun 2009, secara bersamaan dan bertanggal sama.

13.2 Dalam hal terdapat ketidaksesuaian antara kedua naskah, naskah Indonesian (Bahasa Indonesia) yang berlaku.

Lampiran A — Rincian pemrosesan

Lampiran B — Langkah pengamanan

Kontak urusan pelindungan data: hello@neobiz.id · PT Neobiz Global Technology.