Perjanjian Perlindungan Data - Indonesia

Untuk kemudahan, kami telah menyediakan terjemahan Bahasa Indonesia dari halaman ini, yang tertera setelah teks bahasa Inggris. Terjemahan Bahasa Indonesia hanya ditujukan untuk informasi, dan versi yang berlaku secara definitif adalah versi bahasa Inggris dari halaman ini.

Perjanjian Perlindungan Data

Terakhir diperbarui: 13 Maret 2025

PERJANJIAN PERLINDUNGAN DATA INI (“DPA”) tunduk pada dan merupakan bagian dari Perjanjian Layanan dan/atau Perjanjian Alih Daya (sebagaimana berlaku) yang dibuat antara entitas Nium yang relevan (“Nium”) dan entitas klien yang relevan ("Klien”) yang menjadi pihak dalam perjanjian tersebut. Nium dan Klien secara kolektif disebut di sini sebagai “Para Pihak” dan secara individu sebagai “Pihak”.

1. DEFINISI

“Bisnis” berarti istilah sebagaimana didefinisikan berdasarkan US CCPA.
“Tujuan Bisnis” berarti pelaksanaan Layanan Nium oleh Nium sesuai dengan Perjanjian Layanan yang berlaku atau pelaksanaan Layanan Klien oleh Klien sesuai dengan Perjanjian Alih Daya yang berlaku.
“Layanan Klien” berarti setiap layanan yang disediakan oleh Klien kepada Nium berdasarkan ketentuan Perjanjian Alih Daya yang berlaku.
“Pengendali” berarti entitas yang menentukan tujuan dan sarana Pemrosesan Data Pribadi.
“Keluhan Data” berarti keluhan atau permintaan yang berkaitan dengan kewajiban salah satu Pihak berdasarkan Hukum Perlindungan Data yang relevan dengan DPA ini, termasuk keluhan apa pun dari Subjek Data atau pemberitahuan, investigasi, atau tindakan lain oleh otoritas pengawas.
“Insiden Data” berarti setiap tindakan atau kelalaian yang membahayakan keamanan, kerahasiaan, atau integritas Data Pribadi atau perlindungan fisik, teknis, administratif, atau organisasional yang diterapkan untuk melindunginya yang mencapai tingkat pelanggaran atau insiden keamanan berdasarkan Hukum Perlindungan Data yang berlaku. Insiden Data mencakup perolehan, penghancuran, kehilangan, perubahan, pengungkapan, atau akses yang tidak disengaja atau melanggar hukum terhadap Data Pribadi.
“Hukum Perlindungan Data” berarti semua hukum, peraturan, dan persyaratan lain yang mengikat secara hukum di yurisdiksi mana pun yang berkaitan dengan privasi, perlindungan data, keamanan data, pemberitahuan pelanggaran, atau Pemrosesan Data Pribadi berdasarkan DPA ini, termasuk namun tidak terbatas pada, sejauh berlaku, General Data Protection Regulation, Regulasi (EU) 2016/679 (“EU GDPR”); United Kingdom Data Protection Act tahun 2018 (“UK GDPR”); Swiss Federal Act on Data Protection (“FADP”); Personal Data Protection and Electronic Documents Act, S.C. 2000, c. 5 Kanada beserta setiap hukum dan peraturan penerusnya yang memiliki maksud dan tujuan umum yang sama (Canada PIPEDA), Singapore Personal Data Protection Act tahun 2012 (“Singapore PDPA”), California Consumer Privacy Act, Cal. Civ. Code § 1798.100 et seq. (sebagaimana diubah dan bersama dengan peraturan-peraturannya, “US CCPA”), dan Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi beserta setiap hukum dan peraturan penerus serta pelaksananya yang memiliki maksud dan tujuan umum yang sama. Untuk menghindari keraguan, jika aktivitas suatu Pihak yang melibatkan Data Pribadi tidak termasuk dalam lingkup Hukum Perlindungan Data tertentu, maka hukum tersebut tidak berlaku untuk tujuan DPA ini.
“Subjek Data” berarti orang yang teridentifikasi atau dapat diidentifikasi yang terkait dengan Data Pribadi.
“Permintaan Subjek Data” berarti permintaan dari Subjek Data terkait Pemrosesan Data Pribadi sehubungan dengan Perjanjian Layanan atau Layanan Nium untuk menggunakan hak Subjek Data atas akses, hak untuk perbaikan, hak untuk membatasi Pemrosesan, hak untuk penghapusan (yaitu “hak untuk dilupakan”), hak atas portabilitas data, hak untuk keberatan terhadap Pemrosesan, hak untuk tidak tunduk pada pengambilan keputusan individu secara otomatis, atau hak subjek data lain yang berlaku yang tersedia bagi Subjek Data tersebut berdasarkan Undang-Undang Perlindungan Data yang berlaku.
“GDPR” berarti GDPR UE atau GDPR Inggris (sebagaimana berlaku).
“Klausul Kontraktual Standar UE” berarti (i) Klausul Kontraktual Standar berdasarkan Keputusan Komisi C (2010) 593 tentang klausul kontraktual standar, sebagaimana ditetapkan dalam Lampiran Keputusan Komisi (UE) 2021/914, tentang klausul kontraktual standar untuk transfer data pribadi ke negara ketiga berdasarkan Peraturan (UE) 2016/679 Parlemen Eropa dan Dewan, tersedia di http://data.europa.eu/eli/dec_impl/2021/914/oj dan dilengkapi sebagaimana ditetapkan di sini, sebagaimana diubah dan dimodifikasi, dan (ii) klausul kontraktual standar pengganti apa pun yang memiliki maksud dan dampak umum yang sama.
“Perjanjian Alih Daya” berarti perjanjian alih daya yang dibuat antara para Pihak, yang berdasarkan ketentuannya Nium menerima layanan alih daya tertentu dari Klien.
“Layanan Nium” berarti layanan apa pun yang disediakan oleh Nium kepada Klien berdasarkan ketentuan Perjanjian Layanan yang berlaku.
“Data Pribadi” berarti informasi apa pun yang (a) mengidentifikasi atau berkaitan dengan individu yang dapat diidentifikasi secara langsung atau tidak langsung dari data tersebut saja atau dikombinasikan dengan informasi lain dalam kepemilikan atau kendali suatu Pihak atau yang kemungkinan dapat diakses oleh Pihak tersebut, atau (b) informasi lain apa pun yang didefinisikan sebagai “informasi pribadi” atau “data pribadi” berdasarkan Undang-Undang Perlindungan Data yang berlaku, yang Diproses oleh suatu Pihak sehubungan dengan Perjanjian Layanan atau Perjanjian Alih Daya (sebagaimana berlaku) dan DPA ini.
“Memproses” atau “Pemrosesan” berarti setiap operasi atau rangkaian operasi yang dilakukan terhadap Data Pribadi, baik dengan cara otomatis maupun tidak, termasuk pengumpulan, perekaman, pengorganisasian, penstrukturan, penyimpanan, adaptasi atau perubahan, pengambilan, konsultasi, penggunaan, pengungkapan melalui transmisi, penyebaran, atau penyediaan dengan cara lain, penyelarasan atau penggabungan, pembatasan, penghapusan, atau pemusnahan, atau kegiatan lain apa pun yang mungkin disertakan oleh Undang-Undang Perlindungan Data terkait dalam definisi pemrosesan.
“Pemroses” berarti entitas yang Memproses Data Pribadi atas nama Pengendali.
“Perjanjian Layanan" berarti perjanjian layanan yang ditandatangani antara para Pihak, yang berdasarkan ketentuannya Klien menerima Layanan Nium dari Nium atau afiliasinya, termasuk, namun tidak terbatas pada, Perjanjian Layanan Langsung Nium atau Perjanjian Layanan Platform Nium.
“Penyedia Layanan” berarti Pemroses yang Memproses Data Pribadi untuk Tujuan Bisnis dan entitas lain apa pun yang didefinisikan sebagai “penyedia layanan” atau “kontraktor” berdasarkan Undang-Undang Perlindungan Data yang berlaku.
“Klausul Kontraktual Standar” berarti (i) Klausul Kontraktual Standar UE (jika berlaku) dan (ii) Klausul Kontraktual Standar Inggris (jika berlaku).
“Sub-Pemroses” berarti Pemroses pihak ketiga yang ditunjuk oleh Pemroses.
“Klausul Kontraktual Standar Inggris” berarti (i) Adendum Inggris untuk Klausul Kontraktual Standar Uni Eropa, yang disediakan oleh Kantor Komisaris Informasi Inggris, sebagaimana diubah dan dimodifikasi, dan (ii) klausul kontraktual standar pengganti apa pun yang memiliki maksud dan dampak umum yang sama.

2. PEMROSESAN DATA PRIBADI

a. Ketentuan Pengendali Independen berdasarkan Perjanjian Layanan. Jika para Pihak Memproses Data Pribadi berdasarkan atau sehubungan dengan Perjanjian Layanan, para Pihak memahami dan setuju bahwa mereka bertindak, dan akan bertindak, secara independen satu sama lain dalam Pemrosesan Data Pribadi tersebut oleh masing-masing Pihak dan bahwa ketentuan berikut serta bagian yang berlaku dari Lampiran A sebagaimana dirujuk akan berlaku sehubungan dengan Pemrosesan Data Pribadi berdasarkan Perjanjian Layanan:

Peran Para Pihak sebagai Pengendali Independen. Para Pihak setuju bahwa sehubungan dengan Pemrosesan Data Pribadi berdasarkan Undang-Undang Perlindungan Data yang mendefinisikan hubungan para Pihak sebagai hubungan antara Pengendali dan Pemroses (seperti GDPR), Nium dan Klien keduanya akan dianggap sebagai Pengendali independen, akan secara individu menentukan tujuan dan cara Pemrosesan Data Pribadi tersebut, dan bukan merupakan “pengendali bersama” atas Data Pribadi tersebut dalam pengertian Pasal 26 (1) GDPR. Para Pihak memahami dan setuju bahwa modul Klausul Kontraktual Standar yang berlaku telah ditentukan berdasarkan peran para Pihak sebagaimana didefinisikan dalam Bagian 2(a) ini serta peran para Pihak sebagai pengimpor dan pengekspor. Para Pihak setuju bahwa sehubungan dengan Pemrosesan Data Pribadi berdasarkan Undang-Undang Perlindungan Data yang mendefinisikan hubungan para Pihak sebagai hubungan antara Bisnis dan Penyedia Layanan (seperti CCPA AS), tidak ada Pihak yang dianggap sebagai Penyedia Layanan, dan setiap Pihak akan dianggap sebagai Bisnis. Para Pihak setuju bahwa sehubungan dengan Pemrosesan Data Pribadi berdasarkan Undang-Undang Perlindungan Data yang mendefinisikan hubungan para Pihak sebagai hubungan antara “organisasi” dan “perantara data” (seperti PDPA Singapura), Nium dan Klien keduanya akan dianggap sebagai organisasi independen. Tidak ada ketentuan dalam DPA ini atau dalam Perjanjian Layanan atau Perjanjian Alih Daya (sebagaimana berlaku) yang dapat ditafsirkan sebagai pernyataan atau implikasi bahwa (A) Nium memiliki hubungan langsung dengan pelanggan atau pengguna individu Klien, kecuali hubungan langsung tersebut ditetapkan secara khusus berdasarkan ketentuan Perjanjian Layanan atau Perjanjian Alih Daya (sebagaimana berlaku), atau (B) bahwa Nium bertindak sebagai Pemroses berdasarkan Undang-Undang Perlindungan Data. Para Pihak selanjutnya setuju dan mengakui bahwa tidak ada Pihak yang bertanggung jawab untuk menentukan persyaratan Undang-Undang Perlindungan Data yang berlaku bagi Pihak lainnya.
Tanggung Jawab Para Pihak. Tanpa membatasi peran yang diidentifikasi dalam Bagian 2(a)(i) di atas, setiap Pihak setuju untuk: (A) memelihara kebijakan privasi yang dapat diakses publik di situs webnya yang memenuhi semua persyaratan transparansi dan pemberitahuan sebagaimana diwajibkan oleh Undang-Undang Perlindungan Data sehubungan dengan Pemrosesan Data Pribadi, (B) menghapus atau memusnahkan Data Pribadi, sesuai dengan persyaratan Undang-Undang Perlindungan Data yang berlaku, setelah tujuan Pemrosesan Data Pribadi tersebut berakhir kecuali hukum yang berlaku mewajibkan periode retensi yang lebih lama, dan (C) menerapkan langkah-langkah teknis dan organisasi yang tepat untuk melindungi Data Pribadi.
Perlakuan terhadap Data Pribadi. Para pihak setuju untuk memperlakukan Data Pribadi sebagai Informasi Rahasia sesuai dengan ketentuan setiap Perjanjian Layanan atau Perjanjian Alih Daya (sebagaimana berlaku). Setiap Pihak mengakui dan mengonfirmasi bahwa, hanya sepanjang diwajibkan berdasarkan Undang-Undang Perlindungan Data, Pihak tersebut akan: (A) mematuhi Undang-Undang Perlindungan Data yang berlaku dan DPA ini sehubungan dengan Pemrosesan Data Pribadi yang dilakukannya; (B) hanya memberikan instruksi yang sah kepada Pemroses dan/atau Penyedia Layanan mana pun; (C) bertanggung jawab untuk menentukan dasar hukum atas kegiatan Pemrosesannya sendiri; (D) tidak berupaya untuk mengidentifikasi kembali Data Pribadi yang telah disamarkan, dianonimkan, diagregasi, atau dide-identifikasi tanpa izin tertulis yang tegas dari Pihak lainnya; dan (E) memberikan bantuan, informasi, dan kerja sama yang wajar kepada Pihak lainnya sebagaimana diminta secara wajar oleh Pihak tersebut untuk memastikan kepatuhan terhadap kewajiban masing-masing Pihak berdasarkan Undang-Undang Perlindungan Data. Tidak ada ketentuan dalam DPA ini yang dapat ditafsirkan sebagai pengalihan hak kepemilikan atau lisensi apa pun atas Data Pribadi yang bertentangan dengan hak kepemilikan dan lisensi yang ditetapkan dalam Perjanjian Layanan atau Perjanjian Alih Daya.
Permintaan Subjek Data. Setiap Pihak akan, sepanjang diizinkan secara hukum, memberi tahu Pihak lainnya dalam jangka waktu yang wajar jika Pihak yang memberi tahu menerima Permintaan Subjek Data. Pihak yang memberi tahu akan melakukan upaya komersial yang wajar untuk membantu Pihak lainnya dalam menanggapi Permintaan Subjek Data tersebut, sepanjang Pihak yang memberi tahu diizinkan secara hukum untuk melakukannya dan tanggapan terhadap Permintaan Subjek Data tersebut diwajibkan berdasarkan Undang-Undang Perlindungan Data. Pihak lainnya bertanggung jawab atas biaya apa pun yang timbul dari penyediaan bantuan tersebut oleh Pihak yang memberi tahu.
Insiden Data. Jika salah satu Pihak mengalami Insiden Data sehubungan dengan Layanan Nium apa pun, Pihak tersebut wajib memberi tahu Pihak lainnya tanpa penundaan yang tidak semestinya dan para Pihak akan bekerja sama secara wajar satu sama lain dalam mengambil langkah-langkah yang diperlukan untuk memberi tahu Subjek Data yang terdampak, mematuhi kewajiban masing-masing Pihak berdasarkan Undang-Undang Perlindungan Data, serta memitigasi atau memulihkan dampak dari Insiden Data tersebut.

b. Ketentuan Pemroses berdasarkan Perjanjian Alih Daya. Jika Klien Memproses Data Pribadi Nium berdasarkan atau sehubungan dengan Perjanjian Alih Daya, bagian yang berlaku dari Lampiran A sebagaimana dirujuk, dan keseluruhan Lampiran B akan berlaku.

3. KERJA SAMA

Masing-masing Pihak akan memberikan bantuan yang wajar kepada Pihak lainnya dan bekerja sama sehubungan dengan konsultasi atau permintaan apa pun oleh otoritas regulasi atau pengawas yang memiliki tata kelola atas Pihak lainnya tersebut terkait dengan Pemrosesan Data Pribadi, sejauh terkait dengan Layanan Nium dan disyaratkan berdasarkan Hukum Perlindungan Data.

4. TRANSFER INTERNASIONAL

Jika Hukum Perlindungan Data membatasi transfer Data Pribadi lintas batas antara dua Pengendali independen, masing-masing Pihak hanya akan mentransfer Data Pribadi ke Pihak lainnya dengan ketentuan sebagai berikut: (a) Pihak yang mentransfer, baik melalui lokasinya atau partisipasinya dalam mekanisme transfer lintas batas yang sah berdasarkan Hukum Perlindungan Data, dapat secara sah menerima Data Pribadi tersebut, atau (b) transfer tersebut mematuhi Hukum Perlindungan Data. Jika transfer Data Pribadi apa pun antara para Pihak, sebagai dua Pengendali independen, memerlukan pelaksanaan Klausul Kontraktual Standar untuk mematuhi Hukum Perlindungan Data, para Pihak setuju bahwa Klausul Kontraktual Standar, secara keseluruhan dan sebagaimana mestinya, dengan ini dimasukkan ke dalam DPA ini dan akan berlaku. Berdasarkan transfer Data Pribadi apa pun antara Klien dan Nium yang memerlukan pelaksanaan Klausul Kontraktual Standar, para Pihak akan mengambil semua tindakan yang diperlukan untuk melegitimasi transfer tersebut, termasuk, jika perlu: (x) bekerja sama untuk mendaftarkan Klausul Kontraktual Standar dengan otoritas pengawas yang berlaku; (y) memperoleh persetujuan dari otoritas pengawas tersebut; atau (z) memberikan informasi tambahan mengenai transfer tersebut kepada otoritas pengawas tersebut. Sebagaimana mestinya, jika terjadi konflik atau ketidakkonsistenan antara DPA ini dan Klausul Kontraktual Standar, Klausul Kontraktual Standar yang akan berlaku.

Untuk transfer Data Pribadi yang tunduk pada FADP, Klausul Kontraktual Standar UE menjadi bagian dari DPA ini sebagaimana ditetapkan di atas, namun dengan perbedaan berikut sejauh disyaratkan oleh FADP: (1) referensi ke GDPR UE dalam Klausul Kontraktual Standar UE harus dipahami sebagai referensi ke FADP sejauh transfer data tunduk secara eksklusif pada FADP dan bukan pada GDPR UE; (2) istilah “negara anggota” dalam Klausul Kontraktual Standar UE tidak boleh ditafsirkan sedemikian rupa untuk mengecualikan subjek data di Swiss dari kemungkinan menuntut hak-hak mereka di tempat tinggal tetap mereka (Swiss) sesuai dengan Klausul 18(c) dari Klausul Kontraktual Standar UE; dan (3) otoritas pengawas yang relevan adalah Komisaris Federal untuk Perlindungan Data dan Informasi Swiss (untuk transfer yang tunduk pada FADP dan bukan GDPR UE), atau baik Komisaris tersebut maupun otoritas pengawas yang diidentifikasi dalam Klausul Kontraktual Standar UE (di mana FADP dan GDPR UE masing-masing berlaku).

5. CCPA AS

Jika suatu pihak mengungkapkan Data Pribadi (“Pihak yang Mengungkapkan”) kepada pihak lainnya (“Pihak Penerima”), para Pihak setuju bahwa pengungkapan tersebut tidak akan dianggap sebagai “Penjualan” atau “Pembagian” untuk tujuan “Iklan Perilaku Lintas Konteks” (sebagaimana istilah dalam tanda kutip tersebut didefinisikan dalam CCPA AS), dan bahwa pengungkapan tersebut semata-mata untuk tujuan bisnis yang sah dari para pihak sebagaimana dirinci dalam Perjanjian Layanan atau Perjanjian Alih Daya (sebagaimana mestinya), dan untuk tujuan yang diizinkan oleh CPPA AS beserta amandemen dan peraturannya yang mengikat secara hukum. Pihak Penerima menyatakan dan menjamin bahwa mereka tidak akan menyimpan, menggunakan, mengungkapkan, atau memproses Data Pribadi yang diperoleh berdasarkan Perjanjian untuk tujuan apa pun selain tujuan spesifik yang ditetapkan di sini, kecuali Pihak Penerima telah menerima persetujuan yang tepat berdasarkan Hukum Perlindungan Data dari individu yang bersangkutan dengan Data Pribadi tersebut. Pihak Penerima menyatakan dan menjamin bahwa mereka akan mematuhi semua persyaratan Hukum Perlindungan Data, termasuk namun tidak terbatas pada:

Memberikan tingkat perlindungan privasi yang sama terhadap Data Pribadi sebagaimana disyaratkan bagi Pihak yang Mengungkapkan berdasarkan Hukum Perlindungan Data, dan dalam hal apa pun tidak kurang dari standar kehati-hatian yang wajar;
Menyediakan pengungkapan yang diperlukan, seperti kebijakan privasi, pemberitahuan saat pengumpulan, atau pemberitahuan untuk tidak ikut serta (opt-out) kepada individu yang Data Pribadinya diproses; serta mematuhi hak-hak untuk tidak ikut serta yang disyaratkan; dan
Menerapkan langkah-langkah teknis dan organisasi yang tepat untuk memastikan tingkat keamanan Data Pribadi yang sesuai dengan risikonya.
Tidak “Menjual” atau “Membagikan” untuk tujuan Data Pribadi Iklan Perilaku Lintas Konteks (sebagaimana istilah tersebut didefinisikan dalam CCPA AS).

Pihak yang Mengungkapkan memiliki hak untuk mengambil langkah-langkah yang wajar dan tepat guna memastikan bahwa Pihak Penerima menggunakan Data Pribadi yang diberikan oleh Pihak yang Mengungkapkan berdasarkan Perjanjian sesuai dengan Hukum Perlindungan Data, dan, setelah pemberitahuan sebelumnya yang wajar, mengambil langkah-langkah yang wajar untuk menghentikan dan memperbaiki penggunaan Data Pribadi apa pun oleh Pihak Penerima yang tidak sesuai dengan Hukum Perlindungan Data yang berlaku atau ketentuan ini.

6. KETENTUAN UMUM

Persyaratan Pemberitahuan. Masing-masing Pihak setuju bahwa mereka akan memberi tahu Pihak lainnya jika mereka menentukan bahwa mereka tidak dapat atau tidak akan lagi memenuhi kewajiban yang ditetapkan dalam DPA ini atau Hukum Perlindungan Data yang berlaku sehubungan dengan Tujuan Bisnis. Semua pemberitahuan tersebut harus dikirimkan sesuai dengan ketentuan pemberitahuan yang ditetapkan dalam Perjanjian Layanan atau Perjanjian Alih Daya yang berlaku (sebagaimana mestinya).
Jangka Waktu. DPA ini akan tetap berlaku dan mengikat selama durasi (i) Perjanjian Layanan atau (ii) Perjanjian Alih Daya, kecuali disepakati lain secara tertulis oleh para Pihak.
Keterpisahan. Jika satu atau lebih ketentuan dalam DPA ini dianggap tidak dapat dilaksanakan berdasarkan hukum yang berlaku, para Pihak setuju untuk merundingkan kembali ketentuan tersebut dengan itikad baik. Jika ketentuan tersebut tidak disyaratkan oleh Hukum Perlindungan Data dan para Pihak tidak dapat mencapai pengganti yang dapat disepakati bersama dan dapat dilaksanakan, maka (a) ketentuan tersebut akan dikecualikan dari DPA ini, (b) sisa ketentuan DPA ini akan ditafsirkan seolah-olah ketentuan tersebut telah dikecualikan, dan (c) sisa ketentuan DPA ini akan tetap dapat dilaksanakan sesuai dengan syarat-syaratnya.
Batasan Tanggung Jawab. Tanggung jawab masing-masing Pihak yang timbul dari atau terkait dengan DPA ini, baik dalam kontrak, perbuatan melawan hukum, atau berdasarkan teori tanggung jawab lainnya, tunduk pada batasan tanggung jawab yang ditetapkan dalam Perjanjian Layanan atau Perjanjian Alih Daya yang berlaku, dan setiap referensi dalam Perjanjian Layanan atau Perjanjian Alih Daya yang membatasi tanggung jawab suatu Pihak berarti tanggung jawab agregat Pihak tersebut berdasarkan perjanjian tersebut dan DPA ini.
Hukum yang Mengatur dan Yurisdiksi. DPA ini akan diatur oleh dan ditafsirkan sesuai dengan hukum yurisdiksi yang mengatur sebagaimana ditetapkan dalam Perjanjian Layanan atau Perjanjian Alih Daya yang berlaku (“Yurisdiksi yang Mengatur”), dan para pihak akan tunduk pada yurisdiksi eksklusif pengadilan di Yurisdiksi yang Mengatur untuk setiap sengketa yang mungkin timbul dari atau sehubungan dengan DPA ini; dengan ketentuan, bahwa (i) setiap sengketa yang timbul dari Klausul Kontraktual Standar UE akan diatur oleh dan ditafsirkan sesuai dengan hukum Malta atau Swiss (sebagaimana diatur dalam Bagian 4 di atas sesuai dengan FADP) dan akan tunduk pada yurisdiksi pengadilan Malta dan (ii) setiap sengketa yang timbul dari Klausul Kontraktual Standar Inggris akan diatur oleh dan ditafsirkan sesuai dengan hukum Inggris dan Wales serta akan tunduk pada yurisdiksi pengadilan Inggris dan Wales.
Pemulihan. Nium dan Klien masing-masing setuju bahwa kewajiban yang ditetapkan dalam DPA ini diperlukan dan wajar untuk memastikan bahwa Subjek Data terus memperoleh manfaat dari perlindungan dan pengamanan yang efektif sebagaimana disyaratkan oleh Hukum Perlindungan Data. Nium dan Klien masing-masing secara tegas setuju bahwa karena sifat unik dari Data Pribadi yang tercakup di sini, ganti rugi moneter tidak akan memadai untuk mengompensasi salah satu Pihak atas pelanggaran apa pun oleh Pihak lainnya terhadap perjanjian dan kesepakatan yang ditetapkan dalam DPA ini. Oleh karena itu, Nium dan Klien masing-masing setuju dan mengakui bahwa setiap pelanggaran atau ancaman pelanggaran tersebut akan menyebabkan kerugian yang tidak dapat diperbaiki bagi suatu Pihak dan bahwa, sebagai tambahan atas pemulihan lain yang mungkin tersedia, baik secara hukum, keadilan, atau lainnya, Pihak tersebut berhak untuk memperoleh putusan sela (injunctive relief) terhadap ancaman pelanggaran DPA ini atau kelanjutan dari pelanggaran tersebut oleh Pihak lainnya, tanpa perlu membuktikan kerugian aktual. Kecuali sebagaimana dinyatakan secara tegas dalam DPA ini, hak dan pemulihan masing-masing Pihak berdasarkan DPA ini bersifat kumulatif dan tidak mengecualikan hak atau pemulihan lain yang mungkin secara sah menjadi hak Pihak tersebut berdasarkan DPA ini atau menurut hukum, dan masing-masing Pihak dapat menuntut semua hak dan pemulihannya secara bersamaan, berturut-turut, maupun alternatif.
Judul. Judul dan subjudul dalam DPA ini hanya untuk kemudahan dan tidak mendefinisikan, membatasi, atau memperluas cakupan atau makna dari DPA ini atau ketentuan apa pun di dalamnya.
Perubahan dan Pengesampingan. Nium dapat mengubah seluruh atau sebagian dari DPA ini kapan saja dengan memposting versi DPA yang telah diubah (termasuk ketentuan apa pun yang dimasukkan melalui referensi ke dalam DPA ini) pada Halaman Hukum Nium atau dengan memberi tahu Klien. DPA yang telah diubah mulai berlaku sejak diposting atau, jika Nium memberi tahu klien, sebagaimana dinyatakan dalam pemberitahuan tersebut. Jika Klien keberatan dengan ketentuan yang diubah dalam DPA, Klien dapat mengakhiri DPA ini bersama dengan Perjanjian Layanan. Dengan terus menggunakan Layanan setelah tanggal efektif perubahan DPA ini, Klien setuju untuk terikat oleh DPA yang telah diubah. Merupakan kewajiban Perusahaan untuk memeriksa Halaman Hukum Nium secara berkala untuk mengetahui perubahan pada DPA ini. Nium terakhir kali mengubah DPA ini pada tanggal yang tercantum di bagian atas DPA ini. Kecuali sebagaimana diizinkan lain oleh DPA ini (termasuk klausul ini), Perjanjian ini tidak dapat diubah kecuali secara tertulis oleh para pihak. Tanpa membatasi hal tersebut di atas, para Pihak mengakui bahwa Undang-Undang Perlindungan Data dan Klausul Kontraktual Standar telah dimasukkan ke dalam DPA ini sebagaimana diubah dan dimodifikasi serta mencakup semua peraturan pelaksana yang ditetapkan di bawahnya, sebagaimana berlaku. Para Pihak mengakui dan setuju bahwa perubahan dan modifikasi terhadap Undang-Undang Perlindungan Data dan Klausul Kontraktual Standar akan secara otomatis dimasukkan ke dalam DPA ini; perubahan dan modifikasi tersebut terhadap Undang-Undang Perlindungan Data dan Klausul Kontraktual Standar dapat mengubah kewajiban para Pihak berdasarkan DPA ini namun tidak akan dianggap sebagai perubahan atau modifikasi DPA ini yang memerlukan pemberitahuan oleh Nium. Para Pihak mengakui dan setuju bahwa penerbitan perubahan dan modifikasi terhadap Undang-Undang Perlindungan Data dan Klausul Kontraktual Standar tidak memberikan hak sepihak kepada Pihak mana pun untuk mengakhiri bagian mana pun dari DPA ini.
Kelangsungan. Ketentuan-ketentuan dalam DPA ini tetap berlaku setelah berakhirnya atau selesainya Perjanjian Layanan atau Perjanjian Alih Daya yang berlaku selama para Pihak Memproses Data Pribadi.
Keseluruhan Perjanjian. DPA ini merupakan hasil kesepakatan kedua Pihak dan merupakan keseluruhan perjanjian antara para Pihak sehubungan dengan pokok bahasan di sini serta menggantikan semua perjanjian dan pemahaman sebelumnya, baik tertulis maupun lisan, antara para Pihak sehubungan dengan pokok bahasan di sini. Jika terjadi pertentangan atau ambiguitas antara ketentuan apa pun dalam DPA ini dengan Perjanjian Layanan atau Perjanjian Alih Daya, ketentuan dalam DPA ini yang akan berlaku.
Bahasa. Sesuai dengan Undang-Undang Republik Indonesia No. 24 Tahun 2009 tentang Bendera, Bahasa, dan Lambang Negara, serta Lagu Kebangsaan dan Peraturan Presiden No. 63 Tahun 2019 tentang Penggunaan Bahasa Indonesia (“UU Bahasa”), Perjanjian ini dibuat dalam bahasa Inggris dan bahasa Indonesia, dan baik versi bahasa Inggris maupun versi bahasa Indonesia memiliki kedudukan yang sama. Versi bahasa Indonesia dari Perjanjian ini tidak akan menciptakan duplikasi hak atau kewajiban para Pihak. Para Pihak sepakat bahwa jika terdapat ketidaksesuaian atau perbedaan penafsiran antara versi bahasa Inggris dan versi bahasa Indonesia dari Perjanjian ini: (i) versi bahasa Inggris akan menjadi acuan untuk semua tujuan dan akan berlaku; dan (ii) teks versi bahasa Indonesia dari Perjanjian ini akan diubah, atau dalam segala hal dianggap telah diubah secara otomatis, agar sesuai dengan teks bahasa Inggris yang bersangkutan dari Perjanjian ini. Masing-masing Pihak setuju dan berjanji bahwa mereka tidak akan (dan tidak akan membiarkan atau membantu pihak lain mana pun untuk) dengan cara atau forum apa pun, menantang keabsahan, atau mengajukan keberatan terhadap Perjanjian ini atau transaksi apa pun atas dasar kegagalan untuk mematuhi UU Bahasa.

APENDIKS A

LAMPIRAN I DAN II PADA KLAUSUL KONTRAKTUAL STANDAR UNI EROPA

LAMPIRAN I

A. DAFTAR PARA PIHAK

Eksportir dan importir data:

NIUM (Importir Data dan Eksportir Data)
Nama Hukum Lengkap dan Nomor Registrasi Perusahaan	Entitas Nium yang menjadi pihak dalam Perjanjian Layanan atau Perjanjian Alih Daya
Alamat	Alamat Nium yang berlaku sebagaimana tercantum pada https://www.nium.com
Detail kontak	Departemen Hukum Nium, legalnotices@nium.com
Aktivitas yang relevan dengan data yang ditransfer berdasarkan Klausul ini	Saat bertindak berdasarkan Bagian 2(a) (Ketentuan Pengendali Independen dalam Perjanjian Layanan) dari DPA, Layanan, berdasarkan ketentuan satu atau beberapa Perjanjian Layanan, yang diberikan oleh Nium kepada Klien. Saat bertindak berdasarkan Bagian 2(b) (Ketentuan Pemroses dalam Perjanjian Alih Daya) dari DPA, layanan yang diberikan oleh Klien kepada Nium berdasarkan Perjanjian Alih Daya yang telah ditandatangani.
Peran (pengendali/pemroses)	Pengendali independen.
Tanda tangan dan tanggal:	Masing-masing pihak dianggap telah menandatangani Lampiran I ini pada tanggal yang sama dengan Tanggal Efektif Perjanjian Layanan atau Perjanjian Alih Daya yang berlaku.

KLIEN (Importir Data dan Eksportir Data)
Nama Resmi Lengkap dan Nomor Registrasi Perusahaan	Entitas Klien yang menjadi pihak dalam Perjanjian Layanan atau Perjanjian Alih Daya (sebagaimana berlaku).
Alamat	Alamat yang diberikan kepada Nium oleh Klien.
Rincian kontak	Nama, jabatan, dan rincian kontak yang diberikan kepada Nium oleh Klien.
Aktivitas yang relevan dengan data yang ditransfer berdasarkan Klausul ini	Saat bertindak berdasarkan Bagian 2(a) (Ketentuan Pengendali Independen dalam Perjanjian Layanan), Layanan, berdasarkan ketentuan satu atau beberapa Perjanjian Layanan, yang diberikan oleh Nium kepada Klien. Sehubungan dengan Bagian 2(b) dari DPA, layanan yang diberikan oleh Klien kepada Nium berdasarkan Perjanjian Alih Daya yang telah ditandatangani.
Peran (pengendali/pemroses)	Saat bertindak berdasarkan Bagian 2(a) (Ketentuan Pengendali Independen dalam Perjanjian Layanan) dari DPA: Pengendali independen. Saat bertindak berdasarkan Bagian 2(b) (Ketentuan Pemroses dalam Perjanjian Alih Daya) dari DPA: Pemroses.
Tanda tangan dan tanggal:	Masing-masing pihak dianggap telah menandatangani Lampiran I ini pada tanggal yang sama dengan Tanggal Efektif Perjanjian Layanan atau Perjanjian Alih Daya yang berlaku.

B. DESKRIPSI TRANSFER

Kategori subjek data yang data pribadinya ditransfer	Saat bertindak berdasarkan Bagian 2(a) (Ketentuan Pengendali Independen dalam Perjanjian Layanan), pelanggan akhir, perwakilan, dan setiap orang perseorangan yang mengakses Layanan Nium milik Klien. Terkait dengan Bagian 2(b) dari DPA, kategori subjek data sebagaimana diatur dalam Lampiran D dari Perjanjian Alih Daya antara Nium dan Klien.
Kategori data pribadi yang ditransfer	Saat bertindak berdasarkan Bagian 2(a) (Ketentuan Pengendali Independen dalam Perjanjian Layanan), kategori data pribadi yang diperlukan berdasarkan ketentuan Perjanjian Layanan yang berlaku, termasuk detail akun, alamat, nama, detail transaksi, ID perangkat, alamat email, alamat IP/lokasi, detail kartu pembayaran, ID/status pajak, informasi identitas termasuk dokumen yang dikeluarkan pemerintah (misalnya, KTP nasional, surat izin mengemudi, dan paspor). Terkait dengan Bagian 2(b) dari DPA, kategori data sebagaimana diatur dalam Lampiran D dari Perjanjian Alih Daya antara Nium dan Klien.
Data sensitif yang ditransfer (jika berlaku) serta pembatasan atau perlindungan yang diterapkan dengan mempertimbangkan sepenuhnya sifat data dan risiko yang terlibat, seperti misalnya pembatasan tujuan yang ketat, pembatasan akses (termasuk akses hanya untuk staf yang telah mengikuti pelatihan khusus), pencatatan akses ke data, pembatasan untuk transfer lebih lanjut, atau langkah-langkah keamanan tambahan	Saat bertindak berdasarkan Bagian 2(a) (Ketentuan Pengendali Independen dalam Perjanjian Layanan), kategori data sensitif yang ditransfer dapat mencakup data asal ras atau etnis. Data tersebut ditransfer sebagai bagian dari kepatuhan terhadap undang-undang anti-pencucian uang, undang-undang sanksi, dan undang-undang lembaga keuangan. Akses dibatasi dan dilindungi sesuai dengan hukum yang berlaku. Terkait dengan Bagian 2(b) dari DPA, kategori data sensitif apa pun sebagaimana diatur dalam Lampiran D dari Perjanjian Alih Daya antara Nium dan Klien.
Frekuensi transfer (misalnya, apakah data ditransfer satu kali atau secara berkelanjutan)	Saat bertindak berdasarkan Bagian 2(a) (Ketentuan Pengendali Independen dalam Perjanjian Layanan), data akan ditransfer secara berkelanjutan selama jangka waktu Perjanjian Layanan yang berlaku. Terkait dengan Bagian 2(b) dari DPA, data akan ditransfer secara berkelanjutan selama jangka waktu Perjanjian Alih Daya yang berlaku.
Sifat pemrosesan	Saat bertindak berdasarkan Bagian 2(a) (Ketentuan Pengendali Independen dalam Perjanjian Layanan), Nium akan memproses data pribadi sebagaimana diperlukan untuk menyediakan Layanan Nium berdasarkan setiap Perjanjian Layanan yang berlaku. Terkait dengan Bagian 2(b) dari DPA, sifat pemrosesan diatur dalam Lampiran D dari Perjanjian Alih Daya antara Nium dan Klien.
Tujuan transfer data dan pemrosesan lebih lanjut	Saat bertindak berdasarkan Bagian 2(a) (Ketentuan Pengendali Independen dalam Perjanjian Layanan), tujuan Pemrosesan Data Pribadi oleh Nium dalam kapasitasnya sebagai Pengendali adalah: (i) menentukan Pemrosesan Data Pribadi saat menyediakan Layanan Nium, termasuk saat Nium menyediakan metode pembayaran, dan menentukan pihak ketiga (bank dan penyedia layanan lainnya) yang akan digunakan); (ii) memantau, mencegah, dan mendeteksi transaksi penipuan serta aktivitas penipuan lainnya sehubungan dengan layanan Nium (iii) mematuhi hukum yang berlaku, termasuk kewajiban pemeriksaan anti-pencucian uang dan ketentuan kenali nasabah Anda (know-your-customer); dan (iv) menganalisis dan mengembangkan layanan Nium. Sehubungan dengan Bagian 2(b) DPA, tujuan pemrosesan diatur dalam Lampiran D Perjanjian Alih Daya antara Nium dan Klien.
Jangka waktu penyimpanan data pribadi, atau, jika tidak memungkinkan, kriteria yang digunakan untuk menentukan jangka waktu tersebut	Data Pribadi akan disimpan selama diperlukan untuk tujuan pengumpulannya. Namun, Data Pribadi dapat disimpan lebih lama, sebagaimana diwajibkan oleh hukum.
Untuk transfer kepada Pemroses dan Sub-Pemroses, tentukan juga pokok masalah, sifat, dan durasi pemrosesan	Sebagaimana berlaku, setiap transfer kepada pemroses dan Sub-Pemroses akan tunduk pada pokok masalah, sifat, dan durasi yang sama sebagaimana ditetapkan dalam Lampiran I ini.

C. OTORITAS PENGAWAS YANG BERWENANG

Identifikasi otoritas pengawas yang berwenang sesuai dengan Klausul 13

Otoritas pengawas yang berwenang sesuai dengan Klausul 13 adalah (i) untuk tujuan GDPR Inggris, Information Commissioner Officer Inggris atau (ii) untuk tujuan GDPR UE, Komisaris Informasi dan Perlindungan Data Malta atau Komisaris Federal Perlindungan Data dan Informasi Swiss sebagaimana relevan sesuai dengan Bagian 4 Perjanjian.

LAMPIRAN II

LANGKAH-LANGKAH TEKNIS DAN ORGANISASIONAL TERMASUK LANGKAH-LANGKAH TEKNIS DAN ORGANISASIONAL UNTUK MEMASTIKAN KEAMANAN DATA

Langkah-langkah teknis dan organisasional Nium adalah sebagaimana ditetapkan di bawah ini:

Lampiran II Nium - Langkah-langkah Teknis dan Organisasional
Langkah-langkah Organisasional	Kebijakan dan prosedur internal untuk keamanan data bagi karyawan Nium. Karyawan diinformasikan mengenai kebijakan dan prosedur internal yang mengatur Keamanan Data Pribadi. Kebijakan dan prosedur internal terkait Pemrosesan Data Pribadi ditinjau dan diperbarui secara berkala. Karyawan yang bertanggung jawab telah diberikan pelatihan mengenai keamanan dan pemrosesan Data Pribadi.
Pengelolaan dan Pengendalian Akses terhadap Data Pribadi	Perlindungan, pengelolaan, dan pengendalian akses terhadap Data Pribadi dipastikan. Akses ke Data Pribadi hanya diberikan kepada orang yang memerlukan Data Pribadi tersebut untuk menjalankan fungsinya sehubungan dengan Layanan. Tindakan yang dapat dilakukan saat Memproses Data Pribadi dibatasi oleh lingkup hak yang telah diberikan kepada seseorang. Persyaratan akses ke Data Pribadi dipastikan untuk kata sandi: kerahasiaan kata sandi terjamin; kata sandi bersifat unik; kata sandi diubah secara berkala. Jika Data Pribadi Diproses dalam jaringan Komputer internal, perlindungan Data Pribadi dari koneksi ilegal dipastikan dengan langkah-langkah koneksi elektronik (misalnya, penggunaan firewall). Kontrol akses ke Data Pribadi. Mencatat dan mengontrol upaya pendaftaran dan hak akses. Menentukan jumlah koneksi gagal yang diizinkan. Pencatatan login ke data pribadi: ID login, tanggal, waktu, durasi, hasil koneksi (berhasil, gagal). Log untuk data pribadi disimpan. Data dan alat login ditujukan untuk setiap pengguna secara pribadi - dilarang bagi orang lain untuk menggunakan satu akun login. Ketika akses bagi karyawan Pemroses Data tidak lagi diperlukan (misalnya, hubungan kerja berakhir atau sifat pekerjaan berubah), Pengendali Data harus segera diberitahu, akses dibatalkan, dan alat autentikasi fisik dikembalikan jika alat tersebut pernah diberikan.
Akses Fisik	Keamanan tempat penyimpanan Data Pribadi dipastikan secara fisik dengan membatasi akses orang yang tidak berwenang ke tempat tersebut.
Menerima dan Memberikan Data Pribadi Melalui Internet	Jika Data Pribadi diterima atau diberikan melalui Internet: Saluran transmisi data dienkripsi menggunakan protokol kriptografi (TLS, SSL). Login diizinkan dari alamat IP mana pun. Pengguna diidentifikasi dengan nama unik / kata sandi / sertifikat.
Langkah-Langkah Keamanan Saat Menerima atau Memberikan Data Pribadi melalui Email dan Jaringan Data Eksternal	Jika Data Pribadi diterima atau diberikan melalui email, kontrol keamanan atas Data Pribadi tersebut dipastikan. Jika Data Pribadi diterima atau disediakan melalui jaringan transmisi data eksternal, protokol aman (misalnya TLS, SSL) / kata sandi harus dipastikan.
Penggunaan Komputer dan Perangkat Lunak	Perlindungan perangkat keras komputer dipastikan dari perangkat lunak berbahaya (seperti instalasi, peningkatan, dan firewall). Salinan cadangan Data Pribadi, jika ada, disimpan di tempat atau lokasi geografis yang berbeda dari basis data aktif (kerja). Pengujian sistem informasi tidak dilakukan dengan menggunakan Data Pribadi yang asli. Pembaruan keamanan diinstal secara otomatis dan berkala untuk sistem komputer. Kata sandi yang kompleks dan aman digunakan untuk terhubung ke komputer. Saat menggunakan atau memindahtangankan komputer atau media data untuk digunakan oleh orang lain, harus dipastikan bahwa semua informasi yang berkaitan dengan Data Pribadi telah dimusnahkan dengan cara yang aman.
Perlindungan Server dan Basis Data	Persyaratan keamanan minimum berikut berlaku untuk perlindungan server dan basis data yang digunakan untuk mengakses atau menyimpan informasi Pemroses: Perlindungan terhadap malware yang diperbarui harus diaktifkan dan dipelihara. Akses (fisik dan logis) hanya boleh diberikan kepada personel yang berwenang.
Keamanan Jaringan Data	Penggunaan sistem informasi dan data Pemroses hanya diperbolehkan dengan menggunakan jaringan yang terlindungi dengan baik, termasuk: Koneksi langsung komputer ke internet dilarang. Koneksi harus dilakukan dengan menggunakan perangkat keamanan jaringan perantara - router dengan fungsi pengubah alamat (NAT) atau firewall. Koneksi dari jaringan data yang keamanannya tidak diketahui (misalnya titik akses publik di kafe, hotel, dll.) dilarang. Jika koneksi nirkabel lokal (misalnya Wi-Fi) digunakan untuk menghubungkan komputer, keamanan dan kerahasiaan koneksi harus dipastikan menggunakan metode autentikasi dan enkripsi yang aman. Semua perangkat di jaringan dikelola sedemikian rupa sehingga hanya perangkat resmi yang dapat mengakses, sementara perangkat yang tidak sah dan tidak terkelola akan dideteksi dan diblokir.

Langkah-langkah teknis dan organisasional Klien adalah sebagaimana ditetapkan di bawah ini:

Lampiran II Klien - Langkah-langkah Teknis dan Organisasional
Langkah-langkah Organisasional	Kebijakan dan prosedur internal untuk keamanan data bagi karyawan Klien. Karyawan diinformasikan mengenai kebijakan dan prosedur internal yang mengatur Keamanan Data Pribadi. Kebijakan dan prosedur internal terkait Pemrosesan Data Pribadi ditinjau dan diperbarui secara berkala. Karyawan yang bertanggung jawab diberikan pelatihan mengenai keamanan dan pemrosesan Data Pribadi.
Pengelolaan dan Pengendalian Akses Data Pribadi	Perlindungan, pengelolaan, dan pengendalian akses terhadap Data Pribadi dipastikan. Akses ke Data Pribadi hanya diberikan kepada orang yang memerlukan Data Pribadi tersebut untuk menjalankan fungsinya terkait dengan Layanan. Tindakan yang dapat dilakukan saat memproses Data Pribadi dibatasi oleh cakupan hak yang telah diberikan kepada seseorang. Persyaratan akses terhadap Data Pribadi untuk kata sandi dipastikan dengan: menjaga kerahasiaan kata sandi, memastikan kata sandi bersifat unik, dan mengubah kata sandi secara berkala. Jika Data Pribadi diproses dalam jaringan komputer internal, perlindungan Data Pribadi dari koneksi ilegal dipastikan melalui langkah-langkah koneksi elektronik (misalnya, penggunaan firewall). Pengendalian akses terhadap Data Pribadi. Mencatat dan mengendalikan upaya pendaftaran serta hak akses. Menentukan jumlah percobaan koneksi gagal yang diizinkan. Pencatatan masuk ke data pribadi meliputi: ID masuk, tanggal, waktu, durasi, dan hasil koneksi (berhasil atau gagal). Log untuk data pribadi disimpan. Data dan alat masuk bersifat pribadi untuk setiap pengguna - dilarang keras bagi orang lain untuk menggunakan satu akun masuk yang sama. Apabila akses karyawan Pemroses Data tidak lagi diperlukan (misalnya, hubungan kerja berakhir atau sifat pekerjaan berubah), Pengendali Data harus segera diberitahu, akses akan dibatalkan, dan alat autentikasi fisik harus dikembalikan jika alat tersebut pernah diberikan.
Akses Fisik	Keamanan tempat penyimpanan Data Pribadi dipastikan secara fisik dengan membatasi akses orang yang tidak berwenang ke area terkait.
Menerima dan Menyediakan Data Pribadi Melalui Internet	Jika Data Pribadi diterima atau disediakan melalui Internet: Saluran transmisi data dienkripsi menggunakan protokol kriptografi (TLS, SSL). Proses masuk (logging) diizinkan dari alamat IP mana pun. Pengguna diidentifikasi melalui nama unik / kata sandi / sertifikat.
Langkah-Langkah Keamanan Saat Menerima atau Menyediakan Data Pribadi melalui Email dan Jaringan Data Eksternal	Jika Data Pribadi diterima atau disediakan melalui email, kontrol keamanan atas Data Pribadi harus dipastikan. Jika Data Pribadi diterima atau disediakan melalui jaringan transmisi data eksternal, protokol aman (misalnya TLS, SSL) / kata sandi harus dipastikan.
Penggunaan Komputer dan Perangkat Lunak	Perlindungan perangkat keras komputer dipastikan dari perangkat lunak berbahaya (seperti melalui instalasi, peningkatan, dan penggunaan firewall). Salinan cadangan Data Pribadi, jika ada, disimpan di tempat atau lokasi geografis yang berbeda dari basis data aktif (kerja). Pengujian sistem informasi tidak dilakukan menggunakan Data Pribadi yang asli. Pembaruan keamanan untuk sistem komputer diinstal secara otomatis dan berkala. Kata sandi yang kompleks dan aman digunakan untuk terhubung ke komputer. Saat menggunakan atau memindahtangankan komputer atau media data untuk digunakan oleh pihak lain, harus dipastikan bahwa semua informasi yang berkaitan dengan Data Pribadi telah dimusnahkan dengan cara yang aman.
Perlindungan Server dan Basis Data	Persyaratan keamanan minimum berikut berlaku untuk perlindungan server dan basis data yang digunakan untuk mengakses atau menyimpan informasi Pemroses: Perlindungan terhadap malware yang terkini harus diaktifkan dan dipelihara. Akses (fisik maupun logis) hanya boleh diberikan kepada personel yang berwenang.
Keamanan Jaringan Data	Penggunaan sistem informasi dan data Prosesor hanya diperbolehkan dengan menggunakan jaringan yang terlindungi dengan baik, termasuk: Koneksi langsung komputer ke internet dilarang. Koneksi harus dilakukan dengan menggunakan perangkat keamanan jaringan perantara - router dengan fungsi pengubahan alamat (NAT) atau firewall. Koneksi dari jaringan data yang keamanannya tidak diketahui (misalnya, titik akses publik di kafe, hotel, dll.) dilarang. Jika koneksi nirkabel lokal (misalnya, Wi-Fi) digunakan untuk menghubungkan komputer, keamanan dan kerahasiaan koneksi harus dijamin menggunakan metode autentikasi dan enkripsi yang aman. Semua perangkat di jaringan dikelola sehingga hanya perangkat resmi yang dapat diakses, sementara perangkat yang tidak sah dan tidak terkelola akan dideteksi dan diblokir.

LAMPIRAN B

Jika Klien Memproses Data Pribadi Nium berdasarkan atau sehubungan dengan Perjanjian Alih Daya, Para Pihak memahami dan menyetujui bahwa Nium adalah Pengendali dan Klien adalah Prosesor, dan bahwa Pemrosesan Data Pribadi berdasarkan Perjanjian Alih Daya tunduk pada Lampiran B ini.

1. Peran Klien sebagai Prosesor. Nium adalah Pengendali dan Klien adalah Prosesor.

2. Instruksi dan Rincian Pemrosesan. Saat Klien memproses Data Pribadi atas nama Nium, Klien wajib:

kecuali diwajibkan untuk melakukan sebaliknya oleh hukum yang berlaku, (dan harus mengambil langkah-langkah untuk memastikan setiap orang yang bertindak di bawah otoritasnya akan) memproses Data Pribadi hanya berdasarkan dan sesuai dengan Perjanjian ini serta Lampiran D pada Perjanjian Alih Daya dan instruksi tertulis lainnya dari Nium (termasuk terkait dengan transfer apa pun ke negara ketiga atau organisasi internasional) yang semuanya diperbarui dari waktu ke waktu berdasarkan kesepakatan tertulis antara Para Pihak (“Instruksi Pemrosesan”);
jika hukum yang berlaku mengharuskan Klien untuk memproses Data Pribadi selain sesuai dengan Instruksi Pemrosesan, beri tahu Nium mengenai persyaratan tersebut sebelum memproses Data Pribadi (kecuali hukum yang berlaku melarang informasi tersebut karena alasan kepentingan publik yang penting).
memberi tahu Nium jika Klien mengetahui bahwa Data Pribadi apa pun tidak akurat atau sudah kedaluwarsa.
tidak membagikan Data Pribadi kepada pihak ketiga mana pun kecuali sebagaimana diizinkan secara tegas oleh Nium dan sesuai dengan Bagian 3 di bawah ini.
tidak mentransfer, mengakses, atau memproses Data Pribadi Nium di luar Inggris dan EEA tanpa memperoleh persetujuan tertulis yang tegas dari Nium dan tanpa menerapkan mekanisme yang dapat ditegakkan secara hukum untuk transfer Data Pribadi sebagaimana diizinkan berdasarkan GDPR dari waktu ke waktu, termasuk yang ditetapkan dalam Pasal 46 GDPR dan penerapan aturan perusahaan yang mengikat sesuai dengan Pasal 47 GDPR.

3. Personel dan Prosesor Lainnya.

Klien tidak boleh menunjuk Sub-Prosesor untuk melakukan aktivitas pemrosesan apa pun sehubungan dengan Data Pribadi tanpa memberi tahu Nium, meminta persetujuan tertulis sebelumnya dari Nium, dan tunduk pada kepatuhan Klien terhadap Bagian 3. Nium dianggap telah memberikan persetujuannya jika Nium tidak mengajukan keberatan terhadap Sub-Prosesor baru yang diusulkan dalam waktu tiga puluh (30) hari kalender sejak tanggal pemberitahuan Klien diterima.

a. Klien wajib:

memberikan rincian kepada Nium mengenai Sub-Prosesor mana pun. Setiap Sub-Prosesor yang disetujui oleh Nium pada tanggal Perjanjian ini tercantum dalam Lampiran D dari Perjanjian Alih Daya;
memberi tahu Nium 30 hari sebelumnya mengenai setiap perubahan pada Sub-Prosesor (melalui penambahan atau penggantian Sub-Prosesor) dan harus memberikan informasi yang diperlukan agar Nium dapat memutuskan apakah akan menyetujui perubahan tersebut. Nium berhak untuk menolak setiap perubahan pada Sub-Prosesor dan atas kebijakannya sendiri (yang tidak boleh dilakukan secara tidak wajar) dapat memilih untuk mengakhiri Perjanjian atau bagian dari Perjanjian yang melibatkan pemrosesan Data Pribadi oleh Sub-Prosesor tersebut jika Klien gagal mengambil langkah-langkah yang disarankan oleh Nium untuk menanggapi keberatan tersebut dan tidak berhenti menggunakan Sub-Prosesor terkait;
sebelum Sub-Prosesor terkait melakukan aktivitas pemrosesan apa pun sehubungan dengan Data Pribadi, menunjuk setiap Sub-Prosesor berdasarkan kontrak tertulis yang memuat kewajiban yang menawarkan tingkat perlindungan yang secara material sama bagi Data Pribadi sebagaimana ditetapkan dalam Perjanjian ini, termasuk kewajiban bagi Sub-Prosesor untuk memberikan jaminan yang memadai guna menerapkan langkah-langkah teknis dan organisasi yang setara sesuai dengan Bagian 4 serta untuk menghapus atau mengembalikan Data Pribadi sesuai dengan Bagian 8. Kontrak dengan Sub-Prosesor harus menyatakan bahwa kepatuhan terhadap kewajiban tersebut dapat ditegakkan oleh Nium, termasuk jika Klien berhenti beroperasi atau mengalami insolvensi. Atas permintaan Nium, Klien harus memberikan salinan kontrak dengan Sub-Prosesor tersebut. Klien dapat menyunting teks kontrak sejauh yang diperlukan untuk melindungi informasi rahasia, termasuk data pribadi apa pun; dan
memberitahukan Nium mengenai kegagalan apa pun oleh Sub-Pemroses dalam memenuhi kewajiban kontraktualnya.

b. Klien wajib memastikan bahwa semua orang yang diberi wewenang olehnya (atau oleh Sub-Pemroses mana pun) untuk memproses Data Pribadi terikat oleh kewajiban untuk menjaga kerahasiaan Data Pribadi tersebut. Klien wajib memberikan akses ke Data Pribadi kepada anggota personel berdasarkan "kebutuhan" dan hanya untuk tujuan yang ditetapkan dalam Lampiran D dari Perjanjian Alih Daya.

c. Klien tetap bertanggung jawab penuh kepada Nium atas setiap dan semua tindakan serta kelalaian dari Sub-Pemroses mana pun, dan setiap orang yang diberi wewenang olehnya (atau oleh Sub-Pemroses mana pun) untuk memproses Data Pribadi seolah-olah itu adalah tindakan atau kelalaiannya sendiri.

4. Langkah-langkah Teknis dan Organisasional. Klien wajib menerapkan dan memelihara langkah-langkah teknis dan organisasional yang tepat sesuai dengan Lampiran B, untuk:

a. memastikan bahwa pemrosesan Data Pribadi akan memenuhi persyaratan minimum Undang-Undang Perlindungan Data (termasuk sebagaimana diatur dalam Pasal 32 GDPR) dan memastikan perlindungan hak-hak Subjek Data; dan

b. memberikan bantuan yang wajar kepada Nium dalam menanggapi Permintaan Subjek Data yang berkaitan dengan Data Pribadi.

5. Informasi dan Audit.

a. Klien wajib memelihara catatan tertulis yang lengkap, akurat, dan terkini mengenai semua kategori kegiatan Pemrosesan yang dilakukan sesuai dengan Undang-Undang Perlindungan Data ("Catatan").

b. Klien wajib, sesuai dengan Undang-Undang Perlindungan Data:

sesegera mungkin secara wajar menyediakan bagi Nium informasi yang diminta olehnya dari waktu ke waktu, termasuk Catatan apa pun, yang diperlukan untuk menunjukkan kepatuhan Klien terhadap kewajibannya berdasarkan Perjanjian ini dan Undang-Undang Perlindungan Data, dan Klien wajib segera menginformasikan Nium jika, menurut pendapatnya yang wajar, suatu instruksi melanggar Undang-Undang Perlindungan Data atau hukum yang berlaku; dan
mengizinkan Nium (baik secara langsung atau menunjuk auditor independen) untuk menginspeksi, menguji, dan mengaudit semua fasilitas, tempat, peralatan, sistem, dokumen, dan data elektronik yang berkaitan dengan pemrosesan Data Pribadi Nium oleh Klien, termasuk jika diminta oleh otoritas pengawas. Inspeksi dan audit tersebut harus dilakukan pada waktu yang wajar dan dengan pemberitahuan tertulis sebelumnya, kecuali untuk inspeksi atau audit yang diwajibkan oleh otoritas pengawas di mana hal tersebut tidak memungkinkan.

c. Klien wajib:

memberikan kerja sama dan bantuan penuh sehubungan dengan inspeksi, pengujian, dan audit tersebut (tunduk pada kewajiban kerahasiaan apa pun) dan atas permintaan wajib memberikan salinan hasil dari prosedur pengujian penetrasi dan keamanan serta laporan audit pihak ketiga seperti laporan audit tipe SOC II (jika laporan tersebut tersedia); dan
jika Nium mengidentifikasi ketidakpatuhan apa pun terhadap Perjanjian ini sebagai hasil dari inspeksi, pengujian, atau audit, Klien wajib mengambil langkah-langkah yang diminta secara wajar oleh Nium untuk segera memperbaiki ketidakpatuhan tersebut, tanpa biaya tambahan bagi Nium.

d. Semua Pihak berhak untuk membagikan informasi apa pun yang dirujuk dalam Bagian D ini, termasuk hasil audit apa pun, kepada otoritas pengawas yang berwenang sebagaimana mungkin diperlukan dari waktu ke waktu.

6. Bantuan dan Hak Subjek Data

a. Klien wajib memelihara catatan yang lengkap dan akurat mengenai Permintaan Subjek Data. Setelah menerima Permintaan Subjek Data apa pun, Klien wajib segera (dan selambat-lambatnya dalam waktu 48 (empat puluh delapan) jam setelah penerimaan) merujuk Permintaan Subjek Data tersebut kepada Nium dan, atas biayanya sendiri, segera membantu Nium dalam menangani Permintaan Subjek Data tersebut untuk memastikan bahwa Nium memenuhi waktu respons berdasarkan Undang-Undang Perlindungan Data. Klien tidak boleh menanggapi Permintaan Subjek Data tanpa memberikan pemberitahuan tertulis sebelumnya kepada Nium atau sebagaimana diwajibkan oleh hukum yang berlaku, dalam hal ini Klien wajib, sejauh diizinkan oleh hukum yang berlaku, menginformasikan Nium mengenai persyaratan hukum tersebut sebelum Klien menanggapi Permintaan Subjek Data tersebut.

b. Klien wajib memberikan bantuan yang wajar sebagaimana diminta oleh Nium untuk memastikan kepatuhan terhadap kewajiban Nium berdasarkan Undang-Undang Perlindungan Data sehubungan dengan:

keamanan pemrosesan;
penilaian dampak perlindungan data (sebagaimana istilah tersebut didefinisikan dalam Undang-Undang Perlindungan Data);
konsultasi sebelumnya dengan otoritas pengawas mengenai pemrosesan berisiko tinggi;
pemberitahuan kepada otoritas pengawas dan/atau komunikasi kepada subjek data oleh Nium sebagai tanggapan atas Insiden Data apa pun; dan
tindakan perbaikan apa pun yang akan diambil sebagai tanggapan atas Insiden Data dan/atau Keluhan Data atau permintaan yang berkaitan dengan kewajiban salah satu Pihak berdasarkan Hukum Perlindungan Data yang relevan dengan Perjanjian.

7. Pemberitahuan Pelanggaran

a. Terkait Insiden Data apa pun, Klien wajib, tanpa penundaan yang tidak semestinya namun selambat-lambatnya 48 (empat puluh delapan) jam (atau lebih cepat jika memungkinkan) setelah mengetahui, memberi tahu Nium mengenai Insiden Data tersebut dan memberikan rincian Insiden Data kepada Nium, termasuk sifat Insiden Data, kategori dan perkiraan volume subjek data, catatan Data Pribadi yang bersangkutan, kemungkinan konsekuensi dari Insiden Data, serta tindakan apa pun yang telah atau akan diambil oleh Klien untuk memitigasi dampak Insiden Data tersebut. Jika, dan sejauh, Klien tidak memungkinkan untuk memberikan semua informasi ini secara bersamaan, pemberitahuan awal akan memberikan informasi yang tersedia bagi Klien dan Klien wajib memberikan informasi lebih lanjut segera setelah tersedia tanpa penundaan yang tidak semestinya (namun selambat-lambatnya 24 (dua puluh empat) jam setelah informasi tersebut tersedia).

b. Klien wajib segera, atas biayanya sendiri, menyelidiki Insiden Data dan mengambil langkah-langkah untuk mengidentifikasi, mencegah, dan memitigasi dampak serta memperbaiki Insiden Data apa pun. Klien tidak boleh merilis atau menerbitkan pengajuan, komunikasi, pemberitahuan, siaran pers, atau laporan apa pun mengenai Insiden Data tanpa persetujuan tertulis sebelumnya dari Nium.

c. Klien wajib segera (namun selambat-lambatnya 48 (empat puluh delapan) jam setelah mengetahui) memberi tahu Nium jika Klien menerima atau mengetahui adanya Keluhan Data dan tidak boleh menanggapi Keluhan Data tersebut tanpa persetujuan tertulis sebelumnya dari Nium.

8. Penghapusan atau Pengembalian Data Pribadi dan Salinannya

a. Klien hanya boleh memproses Data Pribadi selama jangka waktu Perjanjian Alih Daya.

b. Klien wajib memastikan bahwa setiap Data Pribadi (dan semua salinannya) dikembalikan secara aman kepada Nium atau dimusnahkan (sesuai kebijakan dan arahan Nium) sesuai dengan instruksi yang diberikan oleh Nium (kecuali penyimpanan diwajibkan oleh Hukum yang Berlaku dan, jika demikian, Klien wajib memberi tahu Nium mengenai persyaratan tersebut) dalam keadaan berikut:

Pada saat berakhirnya Perjanjian Alih Daya atau DPA ini
Setelah pemrosesan Data Pribadi tidak lagi diperlukan untuk tujuan yang ditetapkan dalam Lampiran D Perjanjian Alih Daya.

c. Setelah pemusnahan Data Pribadi sesuai dengan Bagian 8 ini, Klien wajib menyatakan kepada Nium bahwa Data Pribadi yang dimaksud telah dimusnahkan sesuai dengan instruksi Nium.

Perjanjian Perlindungan Data

Terakhir diperbarui: 13 Maret 2025

PERJANJIAN PERLINDUNGAN DATA INI (“DPA”) tunduk pada dan merupakan bagian dari Perjanjian Layanan dan/atau Perjanjian Alih Daya (sebagaimana berlaku) yang dibuat antara entitas Nium yang berlaku (“Nium”) dan entitas klien yang berlaku (“Klien”) yang merupakan pihak dalam perjanjian tersebut. Nium dan Klien secara bersama-sama disebut di sini sebagai “Para Pihak” dan secara individual sebagai “Pihak”.

1. DEFINISI

“Bisnis” berarti istilah sebagaimana didefinisikan dalam US CCPA.
“Tujuan Usaha” berarti pelaksanaan Layanan Nium oleh Nium sesuai dengan Perjanjian Layanan yang berlaku atau pelaksanaan Layanan Klien oleh Klien sesuai dengan Perjanjian Alih Daya yang berlaku.
“Layanan Klien” berarti layanan apa pun yang diberikan oleh Klien kepada Nium sesuai dengan ketentuan Perjanjian Alih Daya yang berlaku.
“Pengendali” berarti entitas yang menentukan tujuan dan cara Pemrosesan Data Pribadi.
“Keluhan Data” berarti keluhan atau permintaan yang berkaitan dengan kewajiban salah satu Pihak berdasarkan Hukum Perlindungan Data yang relevan dengan DPA ini, termasuk keluhan apa pun dari Subjek Data atau pemberitahuan, investigasi, atau tindakan lain apa pun dari otoritas pengawas.
“Insiden Data” berarti setiap tindakan atau kelalaian yang membahayakan keamanan, kerahasiaan, atau integritas Data Pribadi atau perlindungan fisik, teknis, administratif, atau organisasi yang diterapkan untuk melindunginya, yang naik ke tingkat pelanggaran keamanan atau insiden berdasarkan Hukum Perlindungan Data yang berlaku. Insiden Data mencakup akuisi, penghancuran, kehilangan, perubahan, pengungkapan yang tidak disengaja atau tidak sah, atau akses, ke Data Pribadi.
“Hukum Perlindungan Data Pribadi” berarti semua hukum, peraturan, dan persyaratan yang mengikat secara hukum lainnya yang berlaku di yurisdiksi mana pun yang berkaitan dengan privasi, perlindungan data, keamanan data, pemberitahuan pelanggaran, atau Pemrosesan Data Pribadi berdasarkan DPA ini, termasuk namun tidak terbatas pada, semata-mata sejauh yang dapat diterapkan, Peraturan Perlindungan Data Umum, Peraturan (EU) 2016/679 (“EU GDPR”); Undang-Undang Perlindungan Data Inggris Tahun 2018 (United Kingdom Data Protection Act – “UK GDPR”); Undang-Undang Federal Swiss tentang Perlindungan Data (Swiss Federal Act on Data Protection – “FADP”); Undang-Undang Perlindungan Data Pribadi dan Dokumen Elektronik, S.C. 2000, c. 5 dari Kanada bersama dengan undang-undang dan peraturan penggantinya yang memiliki maksud dan dampak umum yang sama (Personal Data Protection and Electronic Documents Act – Canada PIPEDA), Undang-Undang Perlindungan Data Pribadi Singapura Tahun 2012 (Singapore Personal Data Protection Act of 2012 – “Singapore PDPA”), Undang-Undang Privasi Konsumen California (California Consumer Privacy Act), Cal. Civ. Code § 1798.100 et seq (sebagaimana telah diubah dan bersama dengan peraturannya, “US CCPA”), dan Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi beserta peraturan perundang-undangan penggantinya dan peraturan pelaksananya yang memiliki maksud dan dampak yang sama. Untuk menghindari keraguan, jika aktivitas suatu Pihak yang melibatkan Data Pribadi tidak berada dalam cakupan Hukum Perlindungan Data tertentu, hukum tersebut tidak berlaku untuk tujuan DPA ini.
“Subjek Data” berarti orang yang teridentifikasi atau dapat diidentifikasi yang terkait dengan Data Pribadi.
“Permintaan Subjek Data” berarti permintaan dari Subjek Data yang berkaitan dengan Pemrosesan sehubungan dengan Perjanjian Layanan atau Layanan Nium untuk menggunakan hak akses Subjek Data, hak untuk perbaikan, hak untuk membatasi Pemrosesan, hak penghapusan (yaitu “hak untuk dilupakan”), hak portabilitas data, hak untuk menolak Pemrosesan, hak untuk mengajukan keberatan atas pengambilan keputusan individual yang didasarkan pada pemrosesan secara otomatis, atau hak subjek sata lain yang berlaku yang tersedia untuk Subjek Data tersebut di bawah Hukum Perlindungan Data yang berlaku.
“GDPR” berarti EU GDPR atau UK GDPR (sebagaimana berlaku).
“Klausul Kontrak Standar EU” berarti (i) Klausul Kontrak Standar berdasarkan Keputusan Komisi C (2010) 593 tentang klausul kontrak standar, sebagaimana tercantum dalam Lampiran Keputusan Komisi (EU) 2021/914, tentang klausul kontrak standar untuk pentransferan data pribadi kepada negara ketiga sesuai dengan Peratruan (EU) 2016/679 Parlemen Eropa dan Dewan Eropa, tersedia pada http://data.europa.eu/eli/dec_impl/2021/914/oj dan dilengkapi sebagaimana ditetapkan di sini, sebagaimana telah diubah dan dimodifikasi, dan (ii) klausul kontrak standar pengganti yang memiliki maksud dan dampak umum yang sama.
“Perjanjian Alih Daya” berarti perjanjian alih daya yang dibuat antara Para Pihak, di mana Nium menerima layanan alih daya tertentu dari Klien.
“Layanan Nium” berarti layanan apa pun yang disediakan oleh Nium kepada Klien berdasarkan ketentuan Perjanjian Layanan yang berlaku.
“Data Pribadi” berarti setiap informasi yang (a) mengidentifikasi atau berhubungan dengan individu yang dapat diidentifikasi secara langsung atau tidak langsung dari data itu sendiri atau dikombinasikan dengan informasi lain yang dimiliki atau dikendalikan oleh suatu Pihak atau yang kemungkinan besar dapat diakses oleh Pihak tersebut, atau (b) informasi lain yang didefinisikan sebagai "informasi pribadi" atau "data pribadi" berdasarkan Hukum Perlindungan Data apapun yang berlaku, yang Diproses oleh suatu Pihak sehubungan dengan Perjanjian Layanan atau Perjanjian Alih Daya (sebagaimana berlaku) serta DPA ini.
“Proses” atau “Pemrosesan” berarti setiap operasi atau serangkaian operasi yang dilakukan pada Data Pribadi, baik dengan cara otomatis atau tidak, termasuk pengumpulan, pencatatan, pengorganisasian, penataan, penyimpanan, pengadaptasian atau pengubahan, pengambilan, konsultasi, penggunaan, pengungkapan melalui transmisi, penyebaran, atau aktivitas lain apa pun yang mungkin termasuk dalam definisi pemrosesan menurut Hukum Perlindungan Data yang relevan.
“Prosesor” berarti entitas yang melakukan Pemrosesan Data Pribadi atas nama Pengendali.
“Perjanjian Layanan” berarti suatu perjanjian layanan yang dilaksanakan antara Para Pihak, berdasarkan ketentuan di mana Klien menerima Layanan Nium dari Nium atau afiliasinya, termasuk, namun tidak terbatas pada, Perjanjian Layanan Langsung Nium atau Perjanjian Layanan Platform Nium.
“Penyedia Layanan” berarti Prosesor yang melakukan Pemrosesan Data Pribadi untuk Tujuan Usaha dan entitas lain yang didefinisikan sebagai “penyedia layanan” atau “kontraktor” berdasarkan Hukum Perlindungan Data yang berlaku.
“Klausul Kontrak Standar” berarti (i) Klausul Standar EU (jika berlaku) dan (ii) Klausul Standar UK (jika berlaku).
“Sub-Prosesor” berarti Prosesor pihak ketiga yang dilibatkan oleh Prosesor.
“Klausul Kontrak Standar Inggris” berarti (i) Adendum UK terhadap Klausul Kontrak Standar EU, yang disediakan oleh Kantor Komisioner Informasi Inggris Raya, sebagaimana telah diubah dan dimodifikasi, dan (ii) klausul kontrak standar pengganti apa pun yang memiliki maksud dan akibat umum yang sama.

2. PEMROSESAN DATA PRIBADI

a. Ketentuan Pengendali Independen berdasarkan suatu Perjanjian Layanan. Apabila Para Pihak Memproses Data Pribadi berdasarkan atau sehubungan dengan suatu Perjanjian Layanan, Para Pihak memahami dan menyetujui bahwa mereka bertindak, dan akan bertindak, secara independen dari satu sama lain dalam masing-masing Pemrosesan Data Pribadi tersebut dan bahwa ketentuan-ketentuan berikut ini dan bagian-bagian yang berlaku dari Lampiran A sebagaimana dirujuk akan berlaku sehubungan dengan Pemrosesan Data Pribadi berdasarkan Perjanjian Layanan:

Peran Para Pihak sebagai Pengendali Independen. Para Pihak setuju bahwa sehubungan dengan Pemrosesan Data Pribadi berdasarkan Hukum Perlindungan Data yang mendefinisikan hubungan Para Pihak sebagai hubungan antara Pengendali dan Prosesor (seperti GDPR), Nium dan Klien akan dianggap sebagai Pengendali independen, secara sendiri-sendiri akan menentukan tujuan dan cara Pemrosesan Data Pribadi tersebut, dan tidak akan menjadi "pengendali bersama" dari Data Pribadi tersebut dalam arti Pasal 26 (1) GDPR. Para Pihak memahami dan menyetujui bahwa modul yang berlaku dari Klausul Kontrak Standar telah ditentukan sesuai dengan peran Para Pihak sebagaimana didefinisikan dalam Bagian 2(a) ini dan peran Para Pihak sebagai importir dan eksportir. Para Pihak setuju bahwa sehubungan dengan Pemrosesan Data Pribadi berdasarkan Hukum Perlindungan Data yang mendefinisikan hubungan Para Pihak sebagai hubungan antara Bisnis dan suatu Penyedia Layanan (seperti US CCPA), tidak ada Pihak yang akan dianggap sebagai Penyedia Layanan dan masing-masing Pihak akan dianggap sebagai Bisnis. Para Pihak setuju bahwa sehubungan dengan Pemrosesan Data Pribadi berdasarkan Hukum Perlindungan Data yang mendefinisikan hubungan Para Pihak sebagai hubungan antara “organisasi” dan “perantara data” (seperti Singapore PDPA), Nium dan Klien akan dianggap sebagai organisasi independen. Tidak ada ketentuan dalam DPA ini atau dalam Perjanjian Layanan atau Perjanjian Alih Daya (sebagaimana berlaku) yang dapat ditafsirkan untuk menyatakan atau menyiratkan bahwa (A) Nium memiliki hubungan langsung dengan pelanggan atau pengguna Klien yang merupakan individu, kecuali hubungan langsung tersebut secara khusus dibuat berdasarkan ketentuan Perjanjian Layanan atau Perjanjian Alih Daya (sebagaimana berlaku), atau (B) bahwa Nium bertindak sebagai Prosesor berdasarkan Hukum Perlindungan Data. Para Pihak setuju dan mengakui bahwa tidak ada Pihak yang bertanggung jawab untuk menentukan persyaratan Hukum Perlindungan Data yang berlaku untuk Pihak lainnya
Tanggung Jawab Para Pihak. Tanpa membatasi peran yang diidentifikasi dalam Bagian 2(a)(i) di atas, masing-masing Pihak setuju untuk: (A) mempertahankan kebijakan privasi yang dapat diakses publik di situsnya yang memenuhi semua persyaratan transparansi dan pemberitahuan yang berlaku seperti yang dipersyaratkan oleh Hukum Perlindungan Data sehubungan dengan Pemrosesan Data Pribadi, (B) menghapus atau memusnahkan Data Pribadi, sesuai dengan persyaratan Hukum Perlindungan Data yang berlaku, pada saat berakhirnya tujuannya untuk Pemrosesan Data Pribadi tersebut kecuali jika hukum yang berlaku mensyaratkan periode penyimpanan yang lebih lama, dan (C) menerapkan langkah-langkah teknis dan organisasi yang sesuai untuk melindungi Data Pribadi.
Perlakuan terhadap Data Pribadi. Para Pihak setuju untuk memperlakukan Data Pribadi sebagai Informasi Rahasia sesuai dengan ketentuan masing-masing Perjanjian Layanan atau Perjanjian Alih Daya (sebagaimana berlaku). Masing-masing Pihak mengakui dan mengonfirmasi bahwa mereka akan, hanya sejauh yang diwajibkan oleh Hukum Perlindungan Data: (A) mematuhi Hukum Perlindungan Data yang berlaku dan DPA ini sehubungan dengan Pemrosesan Data Pribadi; (B) hanya memberikan instruksi yang sah secara hukum kepada Prosesor dan/atau Penyedia Layanan mana pun; (C) bertanggung jawab untuk menentukan dasar hukum kegiatan Pemrosesannya sendiri; (D) tidak berusaha mengidentifikasi kembali Data Pribadi yang disamarkan, dianonimkan, dikumpulkan, atau dihilangkan identitasnya tanpa izin tertulis dari Pihak lain dan (E) memberikan bantuan, informasi, dan kerja sama yang wajar kepada Pihak lain sebagaimana yang diminta secara wajar oleh Pihak tersebut untuk memastikan kepatuhan terhadap kewajiban masing-masing Pihak berdasarkan Hukum Perlindungan Data. Tidak ada ketentuan dalam DPA ini yang dapat ditafsirkan sebagai penyampaian kepentingan kepemilikan atau lisensi apa pun dalam Data Pribadi yang bertentangan dengan kepentingan kepemilikan dan lisensi yang ditetapkan dalam Perjanjian Layanan atau Perjanjian Alih Daya.
Permintaan Subjek Data. Masing-masing Pihak akan, sejauh diizinkan secara hukum, memberi tahu Pihak lainnya dalam jangka waktu yang wajar jika Pihak yang memberi tahu menerima Permintaan Subjek Data. Pihak yang memberi tahu akan melakukan upaya yang wajar secara komersial untuk membantu Pihak lain dalam menanggapi Permintaan Subjek Data tersebut, sejauh Pihak yang memberi tahu diizinkan secara hukum untuk melakukannya dan tanggapan terhadap Permintaan Subjek Data tersebut diwajibkan berdasarkan Hukum Perlindungan Data. Pihak lain akan bertanggung jawab atas segala biaya yang timbul dari penyediaan bantuan tersebut oleh Pihak yang memberi tahu.
Insiden Data. Jika salah satu Pihak mengalami Insiden Data sehubungan dengan Layanan Nium apa pun, Pihak tersebut harus memberi tahu Pihak lain tanpa penundaan yang tidak semestinya dan Para Pihak harus bekerja sama secara wajar dengan satu sama lain dalam mengambil tindakan yang mungkin diperlukan untuk memberi tahu Subjek Data yang terkena dampak, mematuhi kewajiban masing-masing Pihak berdasarkan Hukum Perlindungan Data, dan untuk mengurangi atau memperbaiki efek Insiden Data tersebut.

b. Ketentuan Prosesor berdasarkan suatu Perjanjian Alih Daya. Apabila Klien Memproses Data Pribadi Nium berdasarkan atau sehubungan dengan suatu Perjanjian Alih Daya, bagian yang berlaku dari Lampiran A sebagaimana dirujuk, dan keseluruhan Lampiran B berlaku.

3. KERJA SAMA

Setiap Pihak harus memberikan bantuan yang wajar kepada Pihak lain dan kerja sama sehubungan dengan konsultasi atau permintaan apa pun oleh otoritas pengatur atau pengawas apa pun yang memiliki tata kelola atas Pihak lain tersebut sehubungan dengan Pemrosesan Data Pribadi, sejauh yang terkait dengan Layanan Nium dan diwajibkan berdasarkan Hukum Perlindungan Data.

4. TRANSFER INTERNASIONAL

Jika Hukum Perlindungan Data membatasi transfer Data Pribadi lintas batas antara dua Pengendali independen, masing-masing Pihak hanya akan mentransfer Data Pribadi tersebut ke Pihak lain dalam kondisi berikut: (a) Pihak yang mentransfer, baik melalui lokasinya atau keikutsertaannya dalam mekanisme transfer lintas batas yang valid berdasarkan Hukum Perlindungan Data, dapat secara sah menerima Data Pribadi tersebut, atau (b) transfer tersebut mematuhi Hukum Perlindungan Data. Jika ada transfer Data Pribadi antara Para Pihak, sebagai dua Pengendali independen, yang memerlukan pelaksanaan Klausul Kontrak Standar untuk mematuhi Hukum Perlindungan Data, Para Pihak setuju bahwa Klausul Kontrak Standar, secara keseluruhan dan sebagaimana berlaku, dengan ini dimasukkan ke dalam DPA ini dan akan mengatur. Berdasarkan transfer Data Pribadi apa pun antara Klien dan Nium yang memerlukan pelaksanaan Klausul Kontrak Standar, Para Pihak akan mengambil semua tindakan yang diperlukan untuk melegitimasi transfer tersebut, termasuk, jika perlu: (x) bekerja sama untuk mendaftarkan Klausul Kontrak Standar dengan otoritas pengawas yang berlaku; (y) mendapatkan persetujuan dari otoritas pengawas tersebut; atau (z) memberikan informasi tambahan tentang transfer kepada otoritas pengawas tersebut. Sebagaimana berlaku, apabila terjadi konflik atau ketidaksesuaian antara DPA ini dan Klausul Kontrak Standar, Klausul Kontrak Standar yang akan berlaku.

Untuk pentransferan Data Pribadi yang tunduk pada FADP, Klausul Kontrak Standar EU merupakan bagian dari DPA ini sebagaimana disebutkan di atas, tetapi dengan perbedaan berikut sejauh yang disyaratkan oleh FADP: (1) rujukan ke EU GDPR dalam Klausul Kontrak Standar EU harus dipahami sebagai rujukan ke FADP sejauh transfer data tunduk secara eksklusif pada FADP dan bukan pada EU GDPR; (2) istilah "negara anggota" dalam Klausul Kontrak Standar EU tidak boleh ditafsirkan sedemikian rupa sehingga mengecualikan subjek data di Swiss dari kemungkinan untuk menuntut hak-hak mereka di tempat tinggal mereka yang lazim (Swiss) sesuai dengan Klausul 18(c) Klausul Kontrak Standar EU; dan (3) otoritas pengawas yang relevan adalah Komisioner Perlindungan Data dan Informasi Federal Swiss (Swiss Federal Data Protection and Information Commissioner) (untuk transfer yang tunduk pada FADP dan bukan EU GDPR), atau keduanya Komisioner tersebut dan otoritas pengawas yang diidentifikasi dalam Klausul Kontrak Standar EU (di mana FADP dan EU GDPR masing-masing berlaku).

5. US CCPA

Jika salah satu pihak mengungkapkan Data Pribadi (“Pihak yang Mengungkapkan”) kepada pihak lain (“Pihak Penerima”), Para Pihak setuju bahwa pengungkapan tersebut tidak akan dianggap sebagai “Penjualan” atau “Pembagian” untuk tujuan "Periklanan Perilaku Lintas-Konteks (Cross-Context Behavioral Advertising)” (sebagaimana istilah dalam tanda kutip didefinisikan dalam US CCPA), dan bahwa pengungkapan tersebut akan semata-mata untuk tujuan bisnis para pihak yang sah sebagaimana dirinci dalam Perjanjian Layanan atau Perjanjian Alih Daya (sebagaimana berlaku), dan untuk tujuan yang diizinkan oleh US CCPA bersama dengan amandemen dan peraturan yang mengikat secara hukum. Pihak Penerima menyatakan dan menjamin bahwa ia tidak akan menyimpan, menggunakan, mengungkapkan, atau memproses Data Pribadi yang diperoleh berdasarkan Perjanjian untuk tujuan apa pun selain untuk tujuan khusus yang ditetapkan di sini, kecuali Pihak Penerima telah menerima persetujuan yang sesuai berdasarkan Hukum Perlindungan Data dari individu yang terkait dengan Data Pribadi tersebut. Pihak Penerima menyatakan dan menjamin bahwa ia akan mematuhi semua persyaratan Hukum Perlindungan Data, termasuk namun tidak terbatas pada oleh:

Memberikan tingkat perlindungan privasi yang sama terhadap Data Pribadi seperti yang diwajibkan kepada Pihak yang Mengungkapkan berdasarkan Hukum Perlindungan Data, dan tidak boleh kurang dari standar perawatan yang wajar;
Memberikan pengungkapan yang diperlukan, seperti kebijakan privasi, pemberitahuan pada saat pengumpulan, atau pemberitahuan untuk memilih tidak ikut serta (opt-out) kepada individu yang Data Pribadinya diproses; dan mematuhi hak untuk tidak ikut serta (opt-out) yang diwajibkan; dan
Menerapkan langkah-langkah teknis dan organisasi yang tepat untuk memastikan tingkat keamanan Data Pribadi yang sesuai dengan risikonya.
Tidak “Menjual” atau “Membagikan” untuk keperluan Data Pribadi Periklanan Perilaku Lintas Konteks (Cross-Context Behavioral Advertising Personal Data) (sebagaimana istilah tersebut didefinisikan dalam US CCPA).

Pihak yang Mengungkapkan memiliki hak untuk mengambil langkah-langkah yang wajar dan sesuai untuk memastikan bahwa Pihak Penerima menggunakan Data Pribadi yang diberikan oleh Pihak yang Mengungkapkan berdasarkan Perjanjian sesuai dengan Hukum Perlindungan Data, dan, dengan pemberitahuan sebelumnya yang wajar, untuk mengambil langkah-langkah yang wajar untuk menghentikan dan memperbaiki penggunaan Data Pribadi oleh Pihak Penerima yang tidak sesuai dengan Hukum Perlindungan Data yang berlaku atau ketentuan ini.

6. KETENTUAN UMUM

Persyaratan Pemberitahuan. Masing-masing Pihak setuju bahwa mereka akan memberi tahu Pihak lainnya jika mereka memutuskan bahwa mereka tidak dapat atau tidak akan lagi memenuhi kewajiban yang ditetapkan dalam DPA ini atau Hukum Perlindungan Data yang berlaku sehubungan dengan Tujuan Usaha. Semua pemberitahuan tersebut harus dikirim sesuai dengan ketentuan(-ketentuan) pemberitahuan yang ditetapkan dalam Perjanjian Layanan atau Perjanjian Alih Daya yang berlaku (sebagaimana berlaku).
Jangka waktu. DPA ini akan tetap berlaku dan berlaku selama jangka waktu (i) Perjanjian Layanan atau (ii) Perjanjian Alih Daya kecuali ditentukan lain secara tertulis oleh Para Pihak.
Keterpisahan. Jika satu atau beberapa ketentuan dalam DPA ini dianggap tidak dapat diberlakukan berdasarkan hukum yang berlaku, Para Pihak setuju untuk menegosiasikan kembali ketentuan tersebut dengan itikad baik. Apabila ketentuan tersebut tidak diwajibkan oleh Hukum Perlindungan Data dan Para Pihak tidak dapat mencapai penggantian yang disepakati bersama dan dapat diberlakukan, maka (a) ketentuan tersebut akan dikecualikan dari DPA ini, (b) keseluruhan DPA ini akan ditafsirkan seolah-olah ketentuan tersebut dikecualikan, dan (c) keseluruhan DPA ini akan dapat diberlakukan sesuai dengan ketentuannya.
Batasan Tanggung Jawab. Tanggung jawab masing-masing Pihak yang timbul dari atau terkait dengan DPA ini, baik dalam kontrak, perbuatan melawan hukum, atau berdasarkan teori tanggung jawab lainnya, tunduk pada batasan tanggung jawab yang ditetapkan dalam Perjanjian Layanan atau Perjanjian Alih Daya yang berlaku dan setiap rujukan dalam Perjanjian Layanan atau Perjanjian Alih Daya yang membatasi tanggung jawab suatu Pihak berarti tanggung jawab keseluruhan Pihak tersebut berdasarkan perjanjian tersebut dan DPA ini.
Hukum dan Yurisdiksi yang Mengatur. DPA ini akan diatur oleh dan ditafsirkan sesuai dengan hukum yurisdiksi yang mengatur yang ditetapkan dalam Perjanjian Layanan atau Perjanjian Alih Daya yang berlaku (“Yurisdiksi yang Mengatur”), dan para pihak harus tunduk pada yurisdiksi eksklusif pengadilan Yurisdiksi yang Mengatur untuk setiap perselisihan yang mungkin timbul dari atau sehubungan dengan DPA ini; namun, dengan ketentuan bahwa (i) setiap sengketa yang timbul dari Klausul Kontrak Standar EU akan diatur oleh dan ditafsirkan sesuai dengan hukum Malta atau Swiss (sebagaimana ditentukan dalam Bagian 4 di atas sesuai dengan FADP) dan tunduk pada yurisdiksi pengadilan Malta dan (ii) setiap sengketa yang timbul dari Klausul Kontrak Standar UK akan diatur oleh dan ditafsirkan sesuai dengan hukum Inggris dan Wales dan tunduk pada yurisdiksi pengadilan Inggris dan Wales.
Upaya Perbaikan. Nium dan Klien masing-masing setuju bahwa kewajiban yang ditetapkan dalam DPA ini diperlukan dan masuk akal untuk memastikan bahwa Subjek Data terus mendapat manfaat dari pengamanan dan perlindungan yang efektif sebagaimana diwajibkan oleh Hukum Perlindungan Data. Nium dan Klien masing-masing secara tegas setuju bahwa karena sifat unik dari Data Pribadi yang tercakup di bawah ini, ganti kerugian moneter tidak akan cukup untuk mengkompensasi salah satu Pihak untuk setiap pelanggaran oleh Pihak lain atas janji-janji dan perjanjian yang ditetapkan dalam DPA ini. Oleh karena itu, Nium dan Klien masing-masing setuju dan mengakui bahwa pelanggaran atau ancaman pelanggaran tersebut akan menyebabkan kerugian yang tidak dapat diperbaiki pada salah satu Pihak dan bahwa, selain upaya perbaikan lain yang mungkin tersedia, dalam hukum, dalam keadilan atau lainnya, Pihak tersebut berhak untuk mendapatkan putusan sela terhadap pelanggaran yang terancam terhadap DPA ini atau kelanjutan dari pelanggaran tersebut oleh Pihak lain, tanpa keharusan untuk membuktikan kerugian aktual. Kecuali secara tegas diatur dalam DPA ini, hak dan upaya perbaikan masing-masing Pihak berdasarkan DPA ini bersifat kumulatif dan tidak eksklusif dari hak atau upaya perbaikan lain yang mungkin dimiliki oleh Pihak tersebut secara sah berdasarkan DPA ini atau hukum, dan masing-masing Pihak dapat menuntut semua hak dan upaya perbaikan Pihak tersebut secara bersamaan, berturut-turut, dan secara bergantian.
Judul. Judul dan subjudul dalam DPA ini hanya untuk memudahkan dan tidak mendefinisikan, membatasi, atau memperluas cakupan atau makna DPA ini atau ketentuan-ketentuannya.
Perubahan dan Pengesampingan. Nium dapat mengubah semua atau sebagian dari DPA ini kapan saja dengan mengunggah versi modifikasi dari DPA ini (termasuk ketentuan apa pun yang dimasukkan melalui rujukan ke dalam DPA ini) di Halaman Hukum (Legal Page) Nium atau dengan memberi tahu Klien. DPA yang dimodifikasi berlaku efektif ketika diunggah atau, jika Nium memberi tahu Klien, sebagaimana dinyatakan dalam pemberitahuan tersebut. Jika Klien keberatan dengan salah satu ketentuan yang dimodifikasi dalam DPA, Klien dapat mengakhiri DPA ini bersama dengan Perjanjian Layanan. Dengan terus menggunakan Layanan setelah tanggal efektif dari setiap modifikasi pada DPA ini, Klien setuju untuk terikat oleh DPA yang dimodifikasi. Merupakan kewajiban Perusahaan untuk memeriksa Halaman Hukum (Legal Page) Nium secara teratur untuk mengetahui perubahan pada DPA ini. Nium terakhir kali mengubah DPA ini pada tanggal yang tercantum di bagian atas DPA ini. Kecuali jika DPA ini (termasuk klausul ini) mengizinkan sebaliknya, Perjanjian ini tidak dapat diubah kecuali secara tertulis oleh para pihak. Tanpa membatasi ketentuan di atas, Para Pihak mengakui bahwa Hukum Perlindungan Data dan Klausul Kontrak Standar telah dimasukkan ke dalam DPA ini sebagaimana telah diubah dan dimodifikasi dan termasuk semua peraturan pelaksana yang diberlakukan di bawahnya, sebagaimana berlaku. Para Pihak mengakui dan menyetujui bahwa amandemen dan modifikasi terhadap Hukum Perlindungan Data dan Klausul Kontrak Standar akan secara otomatis dimasukkan ke dalam DPA ini; amandemen dan modifikasi Hukum Perlindungan Data dan Klausul Kontrak Standar tersebut dapat mengubah kewajiban Para Pihak di bawah DPA ini, tetapi tidak akan dianggap sebagai amandemen atau modifikasi DPA ini yang memerlukan pemberitahuan oleh Nium. Para Pihak mengakui dan menyetujui bahwa penerbitan amandemen dan modifikasi terhadap Hukum Perlindungan Data dan Klausul Kontrak Standar tidak akan memberikan hak sepihak kepada salah satu Pihak untuk mengakhiri bagian mana pun dari DPA ini.
Keberlangsungan. Ketentuan-ketentuan dalam DPA ini tetap berlaku setelah pengakhiran atau berakhirnya Perjanjian Layanan atau Perjanjian Alih Daya yang berlaku selama Para Pihak Memproses Data Pribadi.
Keseluruhan Perjanjian. DPA ini adalah produk dari kedua belah Pihak dan merupakan keseluruhan perjanjian antara Para Pihak sehubungan dengan pokok bahasan dalam Perjanjian ini dan menggantikan semua perjanjian dan kesepahaman sebelumnya, baik tertulis maupun lisan, antara Para Pihak sehubungan dengan pokok bahasan dalam Perjanjian ini. Jika terjadi konflik atau ambiguitas antara ketentuan apa pun dalam DPA ini dan Perjanjian Layanan atau Perjanjian Alih Daya, ketentuan dalam DPA ini yang akan berlaku.
Bahasa. Sesuai dengan Undang-Undang Republik Indonesia No. 24 Tahun 2009 tentang Bendera, Bahasa, dan Lambang Negara, serta Lagu Kebangsaan dan Peraturan Presiden Republik Indonesia No. 63 Tahun 2019 tentang Penggunaan Bahasa Indonesia ("Undang-Undang Bahasa"), Perjanjian ini dibuat dalam bahasa Inggris dan Bahasa Indonesia, dan baik versi Bahasa Inggris maupun versi Bahasa Indonesia akan sama-sama sah. Versi Bahasa Indonesia dari Perjanjian ini tidak akan menciptakan duplikasi hak atau kewajiban dari Para Pihak. Para Pihak dengan ini setuju bahwa apabila terdapat ketidaksesuaian atau perbedaan penafsiran antara versi Bahasa Inggris dan versi Bahasa Indonesia dari Perjanjian ini: (i) versi bahasa Inggris yang akan berlaku untuk semua tujuan dan akan berlaku; dan (ii) teks versi Bahasa Indonesia dari Perjanjian ini akan diubah, atau dalam segala hal dianggap telah diubah secara otomatis, untuk disesuaikan dengan teks versi bahasa Inggris yang sesuai dari Perjanjian ini. Masing-masing Pihak setuju dan berjanji bahwa mereka tidak akan (dan tidak akan mengizinkan atau membantu pihak lain untuk) dengan cara atau forum apa pun, menggugat keabsahan, atau mengajukan atau mengajukan keberatan apa pun terhadap Perjanjian ini atau transaksi apa pun atas dasar kegagalan untuk mematuhi Undang-Undang Bahasa.

LAMPIRAN A

TAMBAHAN I DAN II KLAUSUL KONTRAK STANDAR UNI EROPA

TAMBAHAN I

A. DAFTAR PARA PIHAK

Eksportir dan importir data:

NIUM (Importir Data dan Eksportir Data)
Nama Badan Hukum dan Nomor Registrasi Perusahaan	Entitas Nium yang menjadi pihak dalam Perjanjian Layanan atau Perjanjian Alih Daya
Alamat	Alamat Nium yang berlaku tertera pada https://www.nium.com
Rincian Kontak	Departemen Hukum Nium, legalnotices@nium.com
Aktivitas yang relevan dengan data yang ditransfer berdasarkan Klausul ini	Ketika bertindak berdasarkan Bagian 2(a) (Ketentuan Pengendali Independen berdasarkan suatu Perjanjian Layanan) dari DPA, Layanan, berdasarkan ketentuan dari satu atau lebih Perjanjian Layanan, diberikan oleh Nium kepada Klien. Ketika bertindak berdasarkan Bagian 2(b) (Ketentuan Prosesor berdasarkan suatu Perjanjian Alih Daya) dari DPA, layanan diberikan oleh Klien kepada Nium berdasarkan Perjanjian Alih Daya yang telah ditandatangani.
Peran (pengendali/prosesor)	Pengendali independen
Tanda tangan dan tanggal:	Masing-masing pihak dianggap telah menandatangani Tambahan I ini pada tanggal yang sama dengan Tanggal Berlaku Perjanjian Layanan atau Perjanjian Alih Daya yang berlaku.

KLIEN (Importir Data dan Eksportir Data)
Nama Badan Hukum dan Nomor Registrasi Perusahaan	Entitas Klien yang menjadi pihak dalam Perjanjian Layanan atau Perjanjian Alih Daya (sebagaimana berlaku).
Alamat	The address provided to Nium by the Client. / Alamat yang diberikan kepada Nium oleh Klien.
Rincian kontak	Nama, jabatan dan rincian kontak yang diberikan kepada Nium oleh Klien
Aktivitas yang relevan dengan data yang ditransfer berdasarkan Klausul ini	Ketika bertindak berdasarkan Bagian 2.a (Ketentuan Pengendali Independen berdasarkan suatu Perjanjian Layanan), Layanan, berdasarkan ketentuan dari satu atau lebih Perjanjian Layanan, diberikan oleh Nium kepada Klien. Sehubungan dengan Bagian 2.B dari DPA, layanan yang diberikan oleh Klien kepada Nium berdasarkan suatu Perjanjian Alih Daya yang telah ditandatangani.
Peran (pengendali/prosesor)	Ketika bertindak berdasarkan Bagian 2(b) (Ketentuan Pengendali Independen berdasarkan suatu Perjanjian Layanan) dari DPA: Pengendali independen. Ketika bertindak berdasarkan Bagian 2(b) (Ketentuan Prosesor berdasarkan suatu Perjanjian Alih Daya) dari DPA: Prosesor.
Tanda tangan dan tanggal:	Masing-masing pihak dianggap telah menandatangani Tambahan I ini pada tanggal yang sama dengan Tanggal Berlaku Perjanjian Layanan atau Perjanjian Alih Daya yang berlaku.

B. DESKRIPSI TRANSFER

Kategori subjek data yang data pribadinya ditransfer	Ketika bertindak berdasarkan Bagian 2(a) (Ketentuan Pengendali Independen berdasarkan suatu Perjanjian Layanan), pelanggan akhir Klien, perwakilan, dan setiap orang yang mengakses Layanan Nium. Kategori data Sehubungan dengan Bagian 2(b) dari DPA, kategori subjek data sebagaimana tercantum dalam Lampiran D Perjanjian Alih Daya antara Nium dan Klien. yang ditransfer
Kategori data pribadi yang ditransfer	Ketika bertindak berdasarkan Bagian 2(a) (Ketentuan Pengendali Independen berdasarkan suatu Perjanjian Layanan) kategori data pribadi yang diperlukan berdasarkan ketentuan Perjanjian Layanan yang berlaku, termasuk rincian akun, alamat, nama, rincian transaksi, ID perangkat, alamat email, alamat/lokasi IP, rincian kartu pembayaran, ID/status pajak, informasi identitas termasuk dokumen yang dikeluarkan oleh pemerintah (misal, KTP, SIM, dan paspor). Sehubungan dengan Bagian 2(b) dari DPA, kategori data sebagaimana diatur dalam Lampiran D Perjanjian Alih Daya antara Nium dan Klien.
Data sensitif yang ditransfer (jika ada) dan pembatasan atau perlindungan yang diterapkan yang sepenuhnya mempertimbangkan sifat data dan risiko yang terlibat, seperti misalnya pembatasan tujuan yang ketat, pembatasan akses (termasuk akses hanya untuk staf yang telah mengikuti pelatihan khusus), menyimpan catatan akses ke data, pembatasan untuk transfer selanjutnya atau tindakan keamanan tambahan.	Ketika bertindak berdasarkan Bagian 2(a) (Ketentuan Pengendali Independen berdasarkan suatu Perjanjian Layanan), kategori data sensitif yang ditransfer dapat mencakup data asal ras atau etnis. Data ditransfer sebagai bagian dari kepatuhan terhadap undang-undang anti pencucian uang, undang-undang sanksi, dan undang-undang institusi keuangan. Akses dibatasi dan dilindungi sesuai dengan hukum yang berlaku. Sehubungan dengan Bagian 2(b) dari DPA, kategori data sensitif apa pun sebagaimana tercantum dalam Lampiran D dari Perjanjian Alih Daya antara Nium dan Klien.
Frekuensi transfer (misalnya, apakah data ditransfer sekali atau terus menerus).	Ketika bertindak berdasarkan Bagian 2(a) (Ketentuan Pengendali Independen dalam Perjanjian Layanan), data akan ditransfer secara berkelanjutan sesuai ketentuan Perjanjian Layanan yang berlaku. Sehubungan dengan dengan Bagian 2(b) dari DPA, data akan ditransfer secara terus menerus selama jangka waktu Perjanjian Alih Daya yang berlaku.
Sifat pemrosesan	Ketika bertindak berdasarkan Bagian 2(a) (Ketentuan Pengendali Independen dalam Perjanjian Layanan), Nium akan memproses data pribadi sebagaimana diperlukan untuk menyediakan Layanan Nium berdasarkan setiap Perjanjian Layanan yang berlaku. Sehubungan dengan Bagian 2(b) dari DPA, sifat pemrosesan diatur dalam Lampiran D Perjanjian Alih Daya antara Nium dan Klien.
Tujuan transfer data dan pemrosesan lebih lanjut	Saat bertindak berdasarkan Bagian 2(a) (Ketentuan Pengendali Independen berdasarkan suatu Perjanjian Layanan), tujuan dari Pemrosesan Data Pribadi Nium dalam kapasitasnya sebagai Pengendali adalah: (i)  menentukan Pemrosesan Data Pribadi saat menyediakan Layanan Nium, termasuk saat Nium menyediakan metode pembayaran, dan menentukan pihak ketiga (bank dan penyedia layanan lainnya) yang akan digunakan; (ii)  memantau, mencegah, dan mendeteksi transaksi penipuan dan aktivitas penipuan lainnya sehubungan dengan layanan Nium; (iii)  mematuhi hukum yang berlaku, termasuk penyaringan anti pencucian uang yang berlaku dan kewajiban mengenal nasabah; dan (iv)  menganalisis dan mengembangkan layanan Nium. Sehubungan dengan Bagian 2(B) dari DPA, tujuan pemrosesan diatur dalam Lampiran D dari Perjanjian Alih Daya antara Nium dan Klien.
Jangka waktu penyimpanan data pribadi, atau, jika tidak memungkinkan, kriteria yang digunakan untuk menentukan jangka waktu tersebut	Data Pribadi akan disimpan selama diperlukan untuk tujuan pengumpulannya. Namun demikian, Data Pribadi dapat disimpan lebih lama, sebagaimana diwajibkan oleh hukum.
Untuk transfer ke Prosesor dan Sub-Prosesor, tentukan juga subjek, sifat, dan durasi pemrosesan	Sebagaimana berlaku, setiap transfer ke prosesor akan tunduk pada subjek, sifat, dan durasi yang sama sebagaimana ditetapkan dalam Tambahan I ini.

C. OTORITAS PENGAWAS YANG BERWENANG

Mengidentifikasi otoritas pengawas yang berwenang sesuai dengan Klausul 13

Otoritas pengawas yang berwenang sesuai dengan Klausul 13 adalah (i) untuk tujuan UK GDPR, Kantor Komisioner Informasi Inggris (United Kingdom Information Commissioner’s Office), atau (ii) untuk tujuan EU GDPR, Komisioner Informasi dan Perlindungan Data Malta (Malta Information and Data Protection Commissioner) atau Komisioner Perlindungan Data dan Informasi Federal Swiss (Swiss Federal Data Protection and Information Commissioner), sebagaimana relevan sesuai dengan Bagian 4 dari Perjanjian.

LAMPIRAN II

LANGKAH-LANGKAH TEKNIS DAN ORGANISASI TERMASUK LANGKAH-LANGKAH UNTUK MEMASTIKAN KEAMANAN DATA

Langkah-langkah teknis dan organisasi Nium adalah sebagaimana ditetapkan di bawah ini:

Lampiran II Nium – Langkah-langkah Teknis dan Organisasi
Langkah-Langkah Organisasi	Kebijakan dan prosedur internal untuk keamanan data bagi karyawan Nium. Karyawan diberikan informasi mengenai kebijakan dan prosedur internal yang mengatur Keamanan Data Pribadi. Kebijakan dan prosedur internal terkait Pemrosesan Data Pribadi ditinjau dan diperbarui secara berkala. Karyawan yang bertanggung jawab diberikan pelatihan mengenai keamanan dan pemrosesan Data Pribadi.
Manajemen dan Pengendalian Akses terhadap Data Pribadi	Perlindungan, pengelolaan, dan pengendalian akses terhadap Data Pribadi dipastikan. Akses ke Data Pribadi hanya diberikan kepada pihak yang memerlukan Data Pribadi tersebut untuk menjalankan fungsinya terkait Layanan. Tindakan yang dapat dilakukan saat memproses Data Pribadi dibatasi sesuai dengan lingkup hak akses yang diberikan kepada individu tersebut. Persyaratan akses Data Pribadi untuk kata sandi meliputi: kerahasiaan kata sandi terjamin, kata sandi harus unik, dan kata sandi harus diubah secara berkala. Jika Data Pribadi diproses dalam jaringan komputer internal, perlindungan Data Pribadi dari koneksi ilegal dipastikan melalui langkah-langkah keamanan elektronik (misalnya penggunaan firewall). Pengendalian akses terhadap Data Pribadi. Mencatat dan mengendalikan upaya pendaftaran serta hak akses. Menentukan batas jumlah percobaan koneksi yang gagal. Catatan masuk ke data pribadi meliputi: ID pengguna, tanggal, waktu, durasi, dan hasil koneksi (berhasil atau gagal). Log aktivitas untuk data pribadi akan disimpan. Data dan kredensial masuk bersifat pribadi untuk setiap pengguna; dilarang menggunakan akun milik orang lain. Apabila akses karyawan Pemroses Data tidak lagi diperlukan (misalnya karena pemutusan hubungan kerja atau perubahan lingkup pekerjaan), Pengendali Data harus segera diberitahu, akses harus dicabut, dan alat autentikasi fisik harus dikembalikan jika sebelumnya diberikan.
Akses Fisik	Keamanan lokasi penyimpanan Data Pribadi dipastikan secara fisik dengan membatasi akses bagi pihak yang tidak berwenang ke area terkait.
Penerimaan dan Pengiriman Data Pribadi Melalui Internet	Jika Data Pribadi diterima atau diberikan melalui Internet: Saluran transmisi data dienkripsi menggunakan protokol kriptografi (TLS, SSL). Pencatatan diperbolehkan dari alamat IP mana pun. Pengguna diidentifikasi dengan nama / kata sandi / sertifikat yang unik.
Langkah-langkah Keamanan Saat Menerima atau Memberikan Data Pribadi melalui Email dan Jaringan Data Eksternal	Jika Data Pribadi diterima atau diberikan melalui email, kontrol keamanan pada Data Pribadi dipastikan. Jika Data Pribadi diterima atau disediakan oleh jaringan transmisi data eksternal, protokol yang aman (misalnya TLS, SSL) / kata sandi dipastikan.
Penggunaan Komputer dan Perangkat Lunak	Perlindungan perangkat keras komputer dipastikan dari perangkat lunak berbahaya (seperti menginstal, meningkatkan, dan firewall). Salinan cadangan Data Pribadi, jika ada, disimpan di tempat atau lokasi geografis lain selain basis data aktif (yang berfungsi). Pengujian sistem informasi tidak dilakukan dengan Data Pribadi yang sebenarnya. Pembaruan keamanan secara teratur diinstal secara otomatis untuk sistem komputer. Kata sandi yang rumit dan aman digunakan untuk menyambung ke komputer. Ketika menggunakan atau mentransfer komputer atau media data untuk digunakan oleh orang lain, harus dipastikan bahwa semua informasi yang berkaitan dengan Data Pribadi telah dimusnahkan dengan cara yang aman.
Perlindungan Server dan Basis data	Persyaratan keamanan minimum berikut ini berlaku untuk perlindungan server dan basis data yang digunakan untuk mengakses atau menyimpan informasi Prosesor: Perlindungan malware yang diperbarui harus diaktifkan dan dipelihara. Akses (fisik dan logis) harus diizinkan hanya untuk personel yang berwenang.
Keamanan Jaringan Data	Penggunaan sistem informasi dan data Prosesor hanya diperbolehkan dengan penggunaan jaringan yang dilindungi dengan baik, termasuk: Dilarang menyambungkan komputer secara langsung ke internet. Sambungan harus dibuat dengan menggunakan perangkat keamanan jaringan perantara - router dengan fungsi perubahan alamat (NAT) atau firewall. Dilarang menyambung dari jaringan data yang keamanannya tidak diketahui (misalnya, titik akses publik di kafe, hotel, dll.). Jika koneksi nirkabel lokal (misalnya Wi-Fi) digunakan untuk menyambungkan komputer, keamanan dan kerahasiaan koneksi harus dijamin dengan menggunakan metode autentikasi dan enkripsi yang aman. Semua perangkat di jaringan dikelola sehingga hanya perangkat yang diotorisasi yang dapat diakses dan perangkat yang tidak diotorisasi dan tidak dikelola akan terdeteksi dan diblokir.

Langkah-langkah teknis dan organisasi Klien adalah seperti yang ditetapkan di bawah ini:

Lampiran II Klien – Langkah-langkah Teknis dan Organisasi
Langkah-langkah Organisasi	Kebijakan dan prosedur internal untuk keamanan data bagi karyawan Klien. Karyawan diberi tahu tentang kebijakan dan prosedur internal yang mengatur Keamanan Data Pribadi. Kebijakan dan prosedur internal yang terkait dengan Pemrosesan Data Pribadi direvisi dan diperbarui secara berkala. Karyawan yang bertanggung jawab dilatih tentang keamanan dan pemrosesan Data Pribadi.
Manajemen dan Kontrol Akses ke Data Pribadi	Perlindungan, pengelolaan, dan pengendalian akses ke Data Pribadi dipastikan. Akses ke Data Pribadi diberikan hanya kepada orang yang memerlukan Data Pribadi untuk menjalankan fungsinya sehubungan dengan Layanan. Tindakan yang dapat dilakukan saat memproses Data Pribadi dibatasi oleh ruang lingkup hak yang telah diberikan kepada seseorang. Persyaratan untuk akses ke Data Pribadi dipastikan untuk kata sandi: kerahasiaan kata sandi terjamin; kata sandi unik; kata sandi diubah secara berkala. Apabila Data Pribadi Diproses dalam jaringan internal komputer, perlindungan Data Pribadi dipastikan dari koneksi ilegal melalui langkah-langkah koneksi elektronik (misalnya penggunaan firewall). Kontrol terhadap akses ke Data Pribadi. Mencatat dan mengendalikan upaya pendaftaran dan hak akses. Menentukan jumlah koneksi gagal yang diizinkan. Rekaman login ke data pribadi: ID login, tanggal, waktu, durasi, hasil koneksi (berhasil, gagal). Log untuk data pribadi disimpan. Data dan alat masuk ditujukan untuk penggunaan pribadi masing-masing pengguna; dilarang keras menggunakan satu akun masuk secara bersama-sama. Ketika akses karyawan Pemroses Data tidak lagi diperlukan (misalnya karena pemutusan hubungan kerja atau perubahan lingkup pekerjaan), Pengendali Data harus segera diberitahu, akses harus dicabut, dan alat autentikasi fisik harus dikembalikan jika sebelumnya diberikan.
Akses Fisik	Keamanan tempat penyimpanan Data Pribadi dipastikan secara fisik dengan membatasi akses pihak yang tidak berwenang ke area tersebut.
Menerima dan Mengirim Data Pribadi Melalui Internet	Jika Data Pribadi diterima atau dikirim melalui Internet: Saluran transmisi data dienkripsi menggunakan protokol kriptografi (TLS, SSL). Pencatatan diizinkan dari alamat IP mana pun. Pengguna diidentifikasi menggunakan nama, kata sandi, atau sertifikat yang unik.
Langkah-langkah Keamanan Saat Menerima atau Mengirim Data Pribadi melalui Email dan Jaringan Data Eksternal	Jika Data Pribadi diterima atau dikirim melalui email, kontrol keamanan terhadap Data Pribadi tersebut harus dipastikan. Jika Data Pribadi diterima atau dikirim melalui jaringan transmisi data eksternal, protokol aman (seperti TLS, SSL) atau kata sandi wajib digunakan.
Penggunaan Komputer dan Perangkat Lunak	Perlindungan perangkat keras komputer dari perangkat lunak berbahaya dipastikan melalui instalasi, pembaruan, dan penggunaan firewall. Salinan cadangan Data Pribadi, jika ada, disimpan di lokasi geografis yang berbeda dari basis data aktif. Pengujian sistem informasi tidak menggunakan Data Pribadi yang sebenarnya. Pembaruan keamanan sistem komputer diinstal secara otomatis dan berkala. Kata sandi yang rumit dan aman digunakan untuk mengakses komputer. Saat menggunakan atau memindahtangankan komputer atau media data untuk digunakan oleh pihak lain, pastikan semua informasi yang berkaitan dengan Data Pribadi telah dimusnahkan dengan cara yang aman.
Perlindungan Server dan Basis Data	Persyaratan keamanan minimum berikut ini berlaku untuk perlindungan server dan basis data yang digunakan untuk mengakses atau menyimpan informasi Prosesor: Perlindungan malware yang diperbarui harus diaktifkan dan dipelihara. Akses (fisik dan logis) harus diizinkan hanya untuk personel yang berwenang.
Keamanan Jaringan Data	Penggunaan sistem informasi dan data Prosesor hanya diperbolehkan dengan penggunaan jaringan yang dilindungi dengan baik, termasuk: Dilarang menyambungkan komputer secara langsung ke internet. Sambungan harus dibuat dengan menggunakan perangkat keamanan perantara – router dengan fungsi Network Address Translation (NAT) atau firewall. Dilarang menyambung dari jaringan data yang keamanannya tidak diketahui (misalnya, titik akses publik di kafe, hotel, dll.). Jika koneksi nirkabel lokal (misalnya Wi-Fi) digunakan untuk menyambungkan komputer, keamanan dan kerahasiaan koneksi harus dijamin dengan menggunakan metode autentikasi dan enkripsi yang aman. Semua perangkat di jaringan dikelola sehingga hanya perangkat yang diotorisasi yang dapat mengakses data, sementara perangkat yang tidak diotorisasi dan tidak dikelola akan terdeteksi dan diblokir.

LAMPIRAN B

Apabila Klien Memproses Data Pribadi Nium berdasarkan atau sehubungan dengan Perjanjian Alih Daya, Para Pihak memahami dan menyetujui bahwa Nium adalah Pengendali dan Klien adalah Prosesor dan bahwa Pemrosesan Data Pribadi berdasarkan Perjanjian Alih Daya tunduk pada Lampiran B ini.

1. Peran Klien sebagai Prosesor. Nium adalah Pengendali dan Klien adalah Prosesor.

2. Instruksi dan Rincian Pemrosesan. Apabila Klien memproses Data Pribadi atas nama Nium, Klien harus:

kecuali diwajibkan untuk melakukan hal lain oleh hukum yang berlaku, (dan harus mengambil langkah-langkah untuk memastikan setiap orang yang bertindak di bawah wewenangnya harus) memproses Data Pribadi hanya pada dan sesuai dengan Perjanjian ini dan Lampiran D pada Perjanjian Alih Daya dan instruksi terdokumentasi lainnya dari Nium (termasuk yang berkaitan dengan transfer ke negara ketiga atau organisasi internasional) semua sebagaimana diperbarui dari waktu ke waktu berdasarkan persetujuan tertulis antara Para Pihak (“Instruksi Pemrosesan”);
jika hukum yang berlaku mengharuskannya untuk memproses Data Pribadi selain sesuai dengan Instruksi Pemrosesan, beri tahu Nium tentang persyaratan tersebut sebelum memproses Data Pribadi (kecuali jika hukum yang berlaku melarang informasi tersebut dengan alasan penting untuk kepentingan publik).
memberi tahu Nium jika mengetahui bahwa salah satu Data Pribadi tidak akurat atau sudah kedaluwarsa.
tidak membagikan Data Pribadi kepada pihak ketiga mana pun kecuali sebagaimana diizinkan secara tegas oleh Nium dan sesuai dengan Bagian 3 di bawah ini.
tidak mentransfer, mengakses, atau memproses Data Pribadi Nium di luar Inggris dan EEA tanpa memperoleh persetujuan tertulis eksplisit dari Nium dan tanpa memiliki mekanisme yang dapat ditegakkan secara hukum untuk transfer Data Pribadi yang mungkin diizinkan berdasarkan GDPR dari waktu ke waktu, termasuk yang ditetapkan dalam Pasal 46 GDPR dan penerapan aturan perusahaan yang mengikat sesuai dengan Pasal 47 GDPR.

3. Personel dan Prosesor Lainnya.

Klien tidak akan melibatkan Sub-Prosesor untuk melakukan aktivitas pemrosesan apa pun sehubungan dengan Data Pribadi tanpa memberi tahu Nium, meminta persetujuan tertulis sebelumnya dari Nium, dan tunduk pada kepatuhan Klien terhadap Bagian 3. Nium dianggap telah memberikan persetujuannya jika tidak mengajukan keberatan terhadap Sub-Prosesor yang diusulkan dalam waktu tiga puluh (30) hari kalender sejak tanggal pemberitahuan Klien diterima.

a. Klien harus:

memberikan rincian kepada Nium tentang Sub-Prosesor mana pun. Setiap Sub-Prosesor yang disetujui oleh Nium pada tanggal Perjanjian ini ditetapkan dalam Lampiran D dari Perjanjian Alih Daya.
memberi tahu Nium 30 hari sebelumnya mengenai perubahan apa pun pada Sub-Prosesor (melalui penambahan atau penggantian dari Sub-Prosesor) dan harus memberikan informasi yang diperlukan untuk memungkinkan Nium untuk memutuskan apakah akan menyetujui perubahan tersebut. Nium berhak untuk mengajukan keberatan atas perubahan apa pun pada Sub-Prosesor dan atas diskresinya sendiri (tidak boleh dilakukan secara tidak wajar) dapat memilih untuk mengakhiri Perjanjian atau bagian Perjanjian yang melibatkan pemrosesan Data Pribadi oleh Sub-Prosesor dalam hal Klien gagal untuk mengambil langkah-langkah yang diusulkan Nium untuk mengatasi keberatan tersebut dan tidak berhenti menggunakan Sub-Prosesor yang relevan.
sebelum Sub-Prosesor yang relevan melakukan aktivitas pemrosesan apa pun sehubungan dengan Data Pribadi, menunjuk setiap Sub-Prosesor berdasarkan kontrak tertulis yang berisi kewajiban yang menawarkan tingkat perlindungan yang secara material sama untuk Data Pribadi seperti yang ditetapkan dalam Perjanjian ini, termasuk kewajiban Sub-Prosesor untuk memberikan jaminan yang cukup untuk menerapkan langkah-langkah teknis dan organisasi yang setara sesuai dengan Bagian 4 dan menghapus atau mengembalikan Data Pribadi sesuai dengan Bagian 8. Kontrak dengan Sub-Prosesor harus menyatakan bahwa kepatuhan terhadap kewajiban dapat ditegakkan oleh Nium termasuk jika Klien tidak ada lagi atau menjadi pailit. Atas permintaan Nium, Klien harus memberikan salinan kontrak dengan Sub-Prosesor. Klien dapat menyunting teks kontrak sejauh yang diperlukan untuk melindungi informasi rahasia termasuk data pribadi apa pun; dan
memberi tahu Nium mengenai kegagalan Sub-Prosesor untuk memenuhi kewajiban kontraktualnya.

b. Klien harus memastikan bahwa semua orang yang diberi wewenang olehnya (atau oleh Sub-Prosesor mana pun) untuk memproses Data Pribadi tunduk pada kewajiban untuk menjaga kerahasiaan Data Pribadi. Klien harus memberikan akses ke Data Pribadi kepada anggota personel secara "sesuai kebutuhan" dan hanya untuk tujuan yang ditetapkan dalam Lampiran D dari Perjanjian Alih Daya.

c. Klien akan tetap bertanggung jawab penuh kepada Nium atas setiap dan semua tindakan dan kelalaian Sub-Prosesor, dan setiap orang yang diberi wewenang olehnya (atau oleh Sub-Prosesor mana pun) untuk memproses Data Pribadi seolah-olah Data Pribadi tersebut adalah miliknya.

4. Langkah-langkah Teknis dan Organisasi. Klien harus menerapkan dan memelihara langkah-langkah teknis dan organisasi yang sesuai sesuai dengan Lampiran B, untuk:

a. memastikan bahwa pemrosesan Data Pribadi akan memenuhi persyaratan minimum Hukum Perlindungan Data (termasuk sebagaimana ditetapkan dalam Pasal 32 GDPR) dan memastikan perlindungan hak-hak Subjek Data; dan

b. memberikan bantuan yang wajar kepada Nium dalam menanggapi Permintaan Subjek Data yang berkaitan dengan Data Pribadi.

5. Informasi dan Audit.

a. Klien harus menyimpan catatan tertulis yang lengkap, akurat, dan terkini dari semua kategori kegiatan Pemrosesan yang dilakukan sesuai dengan Hukum Perlindungan Data (“Catatan").

b. Klien harus, sesuai dengan Hukum Perlindungan Data:

sesegera mungkin menyediakan kepada Nium informasi yang diminta olehnya dari waktu ke waktu, termasuk Catatan apa pun, yang diperlukan untuk menunjukkan kepatuhan Klien terhadap kewajibannya berdasarkan Perjanjian ini dan Hukum Perlindungan Data, dan Klien harus segera menginformasikan kepada Nium jika, menurut pendapatnya yang wajar, suatu instruksi melanggar Hukum Perlindungan Data atau hukum apa pun yang berlaku; dan
mengizinkan Nium (baik sendiri atau memberikan mandat kepada auditor independen untuk) memeriksa, menguji, dan mengaudit, semua fasilitas, tempat, peralatan, sistem, dokumen, dan data elektronik yang berkaitan dengan pemrosesan Data Pribadi Nium oleh Klien, termasuk jika diperlukan oleh otoritas pengawas. Inspeksi dan audit tersebut harus dilakukan pada waktu yang wajar dan dengan pemberitahuan tertulis sebelumnya, tunduk pada inspeksi atau audit apa pun yang disyaratkan oleh otoritas pengawas jika hal ini tidak memungkinkan.

c. Klien harus:

memberikan kerja sama dan bantuan penuh sehubungan dengan pemeriksaan, pengujian, dan audit tersebut (tunduk pada kewajiban kerahasiaan apa pun) dan berdasarkan permintaan harus memberikan salinan hasil dari setiap prosedur pengujian penetrasi dan keamanan dan laporan audit pihak ketiga seperti laporan audit tipe SOC II (jika laporan tersebut tersedia); dan
dalam hal Nium mengidentifikasi adanya ketidakpatuhan terhadap Perjanjian ini sebagai hasil dari pemeriksaan, pengujian, atau audit, Klien harus mengambil langkah-langkah yang secara wajar diminta oleh Nium untuk segera memperbaiki ketidakpatuhan tersebut, tanpa biaya lebih lanjut kepada Nium.

d. Semua Pihak berhak untuk membagikan informasi apa pun yang disebutkan dalam Bagian D ini, termasuk hasil audit, kepada otoritas pengawas yang berwenang sebagaimana mungkin diperlukan dari waktu ke waktu.

6. Bantuan dan Hak Subjek Data

a. Klien harus menyimpan catatan yang lengkap dan akurat tentang Permintaan Subjek Data. Setelah menerima Permintaan Subjek Data apa pun, Klien harus segera (dan tidak lebih dari 48 (empat puluh delapan) jam setelah diterimanya) merujuk Permintaan Subjek Data tersebut kepada Nium dan harus, dengan biaya sendiri, segera membantu Nium dengan Permintaan Subjek Data tersebut untuk memastikan bahwa Nium memenuhi waktu respons berdasarkan Hukum Perlindungan Data. Klien tidak akan menanggapi Permintaan Subjek Data tanpa memberikan pemberitahuan tertulis sebelumnya kepada Nium atau sebagaimana diwajibkan oleh hukum yang berlaku, dalam hal ini Klien harus, sejauh diizinkan oleh hukum yang berlaku, memberi tahu Nium tentang persyaratan hukum tersebut sebelum Klien menanggapi Permintaan Subjek Data tersebut.

b. Klien harus memberikan bantuan sebagaimana yang secara wajar diperlukan oleh Nium untuk memastikan kepatuhan terhadap kewajiban Nium berdasarkan Hukum Perlindungan Data sehubungan dengan:

keamanan pemrosesan;
penilaian dampak perlindungan data (sebagaimana istilah tersebut didefinisikan dalam Hukum Perlindungan Data);
konsultasi terlebih dahulu dengan otoritas pengawas mengenai pemrosesan berisiko tinggi;
pemberitahuan kepada otoritas pengawas dan/atau komunikasi kepada subjek data oleh Nium sebagai tanggapan atas Insiden Data apa pun; dan
tindakan perbaikan apa pun yang akan diambil sebagai tanggapan atas Insiden Data dan/atau Pengaduan Data atau permintaan yang berkaitan dengan kewajiban salah satu Pihak berdasarkan Hukum Perlindungan Data yang relevan dengan Perjanjian.

7. Pemberitahuan Pelanggaran

a. Sehubungan dengan Insiden Data apa pun, Klien harus, tanpa penundaan yang tidak semestinya tetapi tidak boleh lebih dari 48 (empat puluh delapan) jam (atau lebih awal jika memungkinkan) setelah mengetahui, memberi tahu Nium tentang Insiden Data dan memberi Nium perincian tentang Insiden Data termasuk sifat Insiden Data, kategori dan perkiraan volume subjek data, catatan Data Pribadi yang terkait, kemungkinan konsekuensi dari Insiden Data dan tindakan apa pun yang diambil atau yang akan diambil oleh Klien untuk mengurangi dampak Insiden Data. Jika, dan sejauh, tidak memungkinkan bagi Klien untuk memberikan semua informasi ini pada saat yang sama, pemberitahuan awal akan memberikan informasi tersebut sebagaimana tersedia untuk Klien dan Klien harus memberikan informasi lebih lanjut segera setelah tersedia tanpa penundaan yang tidak semestinya (namun tidak lebih dari 24 (dua puluh empat) jam setelah informasi tersebut tersedia).

b. Klien harus segera, dengan biaya sendiri, menyelidiki Insiden Data dan mengambil langkah-langkah untuk mengidentifikasi, mencegah, dan mengurangi dampak serta memperbaiki Insiden Data apa pun. Klien tidak boleh merilis atau mempublikasikan pengarsipan, komunikasi, pemberitahuan, siaran pers, atau laporan apa pun terkait Insiden Data apa pun tanpa persetujuan tertulis dari Nium.

c. Klien harus segera (tetapi tidak lebih dari 48 (empat puluh delapan) jam setelah mengetahui) memberi tahu Nium jika menerima atau mengetahui adanya Pengaduan Data dan tidak akan menanggapi Pengaduan Data tanpa persetujuan tertulis dari Nium.

8. Penghapusan atau Pengembalian Data Pribadi dan Salinannya

a. Klien hanya akan memproses Data Pribadi selama jangka waktu Perjanjian Alih Daya.

b. Klien harus memastikan bahwa setiap Data Pribadi (dan semua salinannya) dikembalikan dengan aman kepada Nium atau dimusnahkan (atas kebijaksanaan dan arahan Nium) sesuai dengan instruksi yang diberikan oleh Nium (kecuali jika penyimpanan diwajibkan oleh Hukum yang Berlaku dan, jika demikian, Klien harus memberi tahu Nium tentang persyaratan tersebut) dalam keadaan berikut:

Pada saat pengakhiran Perjanjian Alih Daya atau DPA ini
Setelah pemrosesan Data Pribadi tidak lagi diperlukan untuk tujuan yang ditetapkan dalam Lampiran D dari Perjanjian Alih Daya;

c. Setelah pemusnahan Data Pribadi sesuai dengan Bagian 8 ini, Klien harus menyatakan kepada Nium bahwa Data Pribadi tersebut telah dimusnahkan sesuai dengan instruksi Nium.