Terakhir diubah: 10 Februari 2026

Perjanjian Pemrosesan Data

Perjanjian Pemrosesan Data ini ("Perjanjian") merupakan bagian dari Kontrak Layanan berdasarkan Syarat dan Ketentuan Proton AG (“Perjanjian Utama”) antara Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Swiss, nomor identifikasi Perusahaan CHE-354.686.492 (disebut sebagai "Pemroses") dan Perusahaan yang menggunakan layanan Proton (disebut sebagai "Perusahaan", yang dipahami sebagai bisnis atau organisasi apa pun yang menggunakan Layanan, terlepas dari bentuk hukumnya).

Perjanjian ini mengatur persyaratan khusus dari Undang-Undang Perlindungan Data sejauh penggunaan Layanan Proton oleh Perusahaan melibatkan pemrosesan Data Pribadi yang tunduk pada Undang-Undang Perlindungan Data.

Perjanjian ini merupakan pelengkap dari Kebijakan Privasi kami, yang berfungsi sebagai rujukan utama untuk praktik dan langkah-langkah perlindungan data kami.

Jangka waktu Perjanjian ini akan mengikuti jangka waktu Perjanjian Utama. Istilah yang tidak didefinisikan di sini memiliki arti sebagaimana ditetapkan dalam Perjanjian Utama.

BAHWA

A) Perusahaan bertindak sebagai Pengendali Data ("Pengendali").

B) Perusahaan ingin mensubkontrakkan Layanan tertentu (sebagaimana didefinisikan di bawah ini), yang melibatkan pemrosesan Data Pribadi, kepada Proton AG, yang bertindak sebagai Pemroses Data ("Pemroses").

C) Para Pihak bermaksud menerapkan perjanjian pemrosesan data yang mematuhi persyaratan kerangka hukum saat ini sehubungan dengan pemrosesan data dan Peraturan (EU) 2016/679 Parlemen Eropa dan Dewan tanggal 27 April 2016 tentang perlindungan orang perseorangan terkait pemrosesan Data Pribadi dan pergerakan bebas data tersebut, serta mencabut Petunjuk 95/46/EC (Peraturan Umum Perlindungan Data) dan undang-undang perlindungan data lain yang berlaku.

D) Para Pihak berkehendak untuk menetapkan hak dan kewajiban mereka.

DISEPAKATI SEBAGAI BERIKUT:

1. Definisi dan Penafsiran

Kecuali jika didefinisikan lain di sini, istilah dan ungkapan berhuruf kapital yang digunakan dalam DPA ini memiliki arti sebagai berikut:

1.1) "Perjanjian" berarti Perjanjian Pemrosesan Data ini beserta seluruh Lampirannya;

1.2) "Data Pribadi Perusahaan" berarti setiap Data Pribadi yang terkait dengan Perusahaan atau pelanggan atau karyawan Perusahaan yang Diproses sehubungan dengan Perjanjian Utama;

1.3) "Pemroses Terkontrak" berarti Subpemroses;

1.4) "Undang-Undang Perlindungan Data" berarti Undang-Undang Perlindungan Data UE dan, sejauh berlaku, undang-undang perlindungan data atau privasi di negara lain mana pun;

1.5) "EEA" berarti Wilayah Ekonomi Eropa;

1.6) "Undang-Undang Perlindungan Data UE" berarti Petunjuk UE 95/46/EC, sebagaimana ditransposisikan ke dalam undang-undang domestik masing-masing Negara Anggota dan sebagaimana diubah, diganti, atau diperbarui dari waktu ke waktu, termasuk oleh GDPR dan undang-undang yang menerapkan atau melengkapi GDPR;

1.7) "GDPR" berarti Peraturan Umum Perlindungan Data UE 2016/679;

1.8) "Transfer Data" berarti:

1.8.1) transfer Data Pribadi Perusahaan dari Pengendali ke Pemroses atau Pemroses Terkontrak; atau
1.8.2) transfer lanjutan Data Pribadi Perusahaan dari Pemroses ke Subpemroses, atau antara dua entitas Subpemroses;

1.9) "Layanan" berarti layanan aman daring yang disediakan oleh Pemroses, seperti email, kalender, drive, dan layanan lainnya sebagaimana dikembangkan oleh Pemroses. Rincian dan harga Layanan dapat ditemukan di situs web Pemroses.

1.10) "Subpemroses" berarti setiap orang yang ditunjuk oleh atau atas nama Pemroses untuk memproses Data Pribadi atas nama Pengendali sehubungan dengan Perjanjian.

Istilah "Komisi", "Pengendali", "Subjek Data", "Negara Anggota", "Data Pribadi", "Pelanggaran Data Pribadi", "Pemrosesan", dan "Otoritas Pengawas" memiliki arti yang sama seperti dalam GDPR atau Undang-Undang Perlindungan Data lain yang berlaku, dan istilah-istilah sejenisnya harus ditafsirkan sesuai dengannya.

2. Pemrosesan Data Pribadi Perusahaan

Pemroses wajib:

2.1) mematuhi semua Undang-Undang Perlindungan Data yang berlaku dalam Pemrosesan Data Pribadi Perusahaan;

2.2) dan tidak memproses Data Pribadi Perusahaan selain berdasarkan instruksi terdokumentasi Pengendali di bagian 2.

Pengendali menginstruksikan Pemroses untuk memproses Data Pribadi Perusahaan guna:

2.3) menyediakan Layanan dan dukungan teknis terkait;

2.4) memenuhi kewajiban hukum atau menyelesaikan perselisihan;

2.5) menjalankan tugas internal apa pun yang bertujuan untuk mengoptimalkan keamanan, privasi, kerahasiaan, dan fungsionalitas Layanan;

2.6) menjalankan pelaporan internal, pelaporan keuangan, dan tugas internal serupa lainnya.

3. Personel Pemroses

Pemroses wajib mengambil langkah-langkah yang wajar untuk memastikan keandalan setiap karyawan, agen, atau kontraktor dari Pemroses Terkontrak mana pun yang mungkin memiliki akses ke Data Pribadi Perusahaan, memastikan dalam setiap kasus bahwa akses dibatasi secara ketat hanya untuk individu yang perlu mengetahui/mengakses Data Pribadi Perusahaan yang relevan, sebagaimana benar-benar diperlukan untuk tujuan Perjanjian Utama, dan/atau untuk mematuhi Undang-Undang Perlindungan Data dan undang-undang terkait lainnya dalam konteks tugas individu tersebut kepada Pemroses Terkontrak, memastikan bahwa semua individu tersebut terikat pada komitmen kerahasiaan atau kewajiban kerahasiaan profesional maupun menurut undang-undang.

4. Keamanan

Sesuai dengan Pasal 32 (1) GDPR, Pemroses wajib menerapkan langkah-langkah teknis dan organisasi yang sesuai untuk memastikan tingkat keamanan yang sesuai dengan risiko, dengan mempertimbangkan perkembangan teknologi mutakhir, biaya penerapan, serta sifat, ruang lingkup, konteks, dan tujuan pemrosesan. Langkah-langkah ini harus dirancang untuk melindungi hak dan kebebasan orang perseorangan, dengan mempertimbangkan risiko dari berbagai tingkat kemungkinan dan keparahan, termasuk risiko Pelanggaran Data Pribadi.

Pemroses juga wajib menilai risiko yang terkait dengan kegiatan pemrosesan dan menerapkan langkah-langkah yang konsisten dengan persyaratan yang ditetapkan dalam Pasal 32 (1) GDPR, guna memastikan keamanan Data Pribadi Perusahaan setiap saat.

5. Subpemrosesan

Tunduk pada Perjanjian ini, Perusahaan memberikan otorisasi umum kepada Pemroses untuk melibatkan Subpemroses serta mengungkapkan atau mentransfer Data Pribadi Perusahaan kepada mereka. Perusahaan mengakui dan menyetujui daftar Subpemroses yang diuraikan dalam Kebijakan Privasi Pemroses, memahami bahwa daftar ini dapat diperbarui oleh Pemroses secara berkala, di mana dalam hal tersebut Perusahaan akan diinformasikan oleh Pemroses sesuai dengan proses notifikasi Kebijakan Privasi. Selain itu, Perusahaan memberikan otorisasi kepada Pemroses untuk mengungkapkan dan mentransfer Data Pribadi ke perusahaan mana pun dalam grup perusahaannya.

Pemroses memastikan bahwa Subpemroses terikat pada perjanjian dengan Pemroses yang tidak kalah ketat dan melindungi daripada Perjanjian ini sehubungan dengan perlindungan Data Pribadi Perusahaan sejauh berlaku untuk sifat layanan yang disediakan oleh Subpemroses.

6. Hak Subjek Data

Dengan mempertimbangkan sifat pemrosesan, Pemroses wajib membantu Perusahaan secara wajar demi pemenuhan kewajiban Perusahaan dalam menanggapi permintaan pelaksanaan hak Subjek Data berdasarkan Undang-Undang Perlindungan Data.

Pemroses wajib:

6.1) segera memberi tahu Perusahaan jika menerima permintaan dari Subjek Data berdasarkan Undang-Undang Perlindungan Data mana pun sehubungan dengan Data Pribadi Perusahaan; dan

6.2) memastikan bahwa pihaknya tidak menanggapi permintaan tersebut kecuali atas instruksi terdokumentasi Pengendali atau sebagaimana diwajibkan oleh Hukum yang Berlaku yang mengikat Pemroses, di mana dalam hal tersebut Pemroses wajib, sejauh diizinkan oleh Hukum yang Berlaku, memberi tahu Pengendali mengenai persyaratan hukum tersebut sebelum Pemroses Terkontrak menanggapi permintaan tersebut.

7. Pelanggaran Data Pribadi

Pemroses wajib mengelola setiap Pelanggaran Data Pribadi sesuai dengan Undang-Undang Perlindungan Data yang berlaku dan prosedur internal Pelanggaran Data Pribadinya. Dalam hal terjadinya Pelanggaran Data Pribadi yang memengaruhi Data Pribadi Perusahaan, Pemroses wajib memberi tahu Perusahaan tanpa penundaan, memberikan informasi yang memadai guna memungkinkan Perusahaan memenuhi kewajibannya berdasarkan Undang-Undang Perlindungan Data, termasuk memberi tahu Subjek Data jika diperlukan. Dalam kasus tersebut, Pemroses wajib memberikan informasi yang memadai kepada Perusahaan agar Perusahaan dapat memenuhi setiap kewajiban untuk melaporkan atau memberi tahu Subjek Data mengenai Pelanggaran Data Pribadi tersebut berdasarkan Undang-Undang Perlindungan Data.

Pemroses wajib bekerja sama dengan Perusahaan dan mengambil langkah-langkah komersial yang wajar sebagaimana diarahkan oleh Perusahaan untuk membantu investigasi, mitigasi, dan remediasi setiap Pelanggaran Data Pribadi tersebut.

Masing-masing pihak wajib menanggung biaya investigasi, remediasi, mitigasi, dan biaya terkait lainnya sejauh Pelanggaran Data disebabkan oleh pihak tersebut.

Masing-masing pihak wajib menanggung biaya denda, sanksi, ganti rugi, atau jumlah terkait lainnya yang dikenakan oleh badan pengawas yang berwenang, lembaga pemerintah, atau pengadilan dengan yurisdiksi yang kompeten sejauh timbul dari pelanggaran kewajiban pihak tersebut berdasarkan Perjanjian ini.

8. Penilaian Dampak Perlindungan Data dan Konsultasi Sebelumnya

Pemroses wajib memberikan bantuan yang wajar kepada Perusahaan terkait penilaian dampak perlindungan data apa pun, dan konsultasi sebelumnya dengan Otoritas Pengawas atau otoritas privasi data berwenang lainnya, yang secara wajar dianggap oleh Pengendali diwajibkan oleh pasal 35 atau 36 GDPR atau ketentuan yang setara dari Undang-Undang Perlindungan Data lainnya, dalam setiap kasus semata-mata sehubungan dengan Pemrosesan Data Pribadi Perusahaan oleh, dan dengan mempertimbangkan sifat Pemrosesan serta informasi yang tersedia bagi, Pemroses Terkontrak.

9. Penghapusan atau pengembalian Data Pribadi Perusahaan

Dalam hal penghentian Layanan apa pun yang melibatkan Pemrosesan Data Pribadi Perusahaan, Pemroses wajib menghapus semua Data Pribadi Perusahaan sejauh diizinkan oleh undang-undang yang berlaku dan sesuai dengan Syarat dan Ketentuan serta Kebijakan Privasi Pemroses. Jika Perusahaan memerlukan salinan datanya, permintaan harus diajukan sebelum akunnya dihapus; permintaan yang dibuat setelah akun dihapus tidak dapat dipertimbangkan lagi.

10. Hak audit

Tunduk pada bagian 10 ini, Pemroses wajib menyediakan bagi Perusahaan berdasarkan permintaan semua informasi yang diperlukan untuk menunjukkan kepatuhan terhadap Perjanjian ini, dan wajib mengizinkan serta berkontribusi pada audit, termasuk inspeksi, oleh Perusahaan atau auditor yang diberi mandat oleh Perusahaan sehubungan dengan Pemrosesan Data Pribadi Perusahaan oleh Pemroses Terkontrak. Perusahaan tidak boleh menggunakan hak auditnya lebih dari satu kali per tahun kalender kecuali setelah terjadinya Pelanggaran Data Pribadi atau adanya instruksi oleh otoritas pengawas. Perusahaan wajib memberikan pemberitahuan tertulis setidaknya enam puluh (60) hari sebelumnya kepada Pemroses mengenai niatnya untuk mengaudit Pemroses sesuai dengan Perjanjian ini. Audit harus dilakukan selama jam kerja Pemroses, tidak boleh mengganggu operasional Pemroses, dan harus memastikan perlindungan Data Pribadi Perusahaan, Pemroses, dan Subjek Data lainnya. Pemroses dan Perusahaan wajib menyetujui bersama sebelumnya mengenai tanggal, ruang lingkup, durasi, serta kontrol keamanan dan kerahasiaan yang berlaku untuk audit. Perusahaan mengakui bahwa penandatanganan perjanjian kerahasiaan dapat diwajibkan oleh Pengendali sebelum pelaksanaan audit.

Hak informasi dan audit Perusahaan hanya timbul berdasarkan bagian 10 sejauh Perjanjian tidak memberikan hak informasi dan audit yang memenuhi persyaratan relevan dari Undang-Undang Perlindungan Data.

11. Transfer Data

Sejauh memungkinkan, Pemroses hanya akan mentransfer atau mengotorisasi transfer Data ke negara-negara di Swiss, UE, dan/atau negara-negara yang tunduk pada keputusan kecukupan, sebagaimana diatur dalam pasal. 45 GDPR dan pasal. 16 FADP Swiss. Jika Data Pribadi yang diproses berdasarkan Perjanjian ini ditransfer dari Swiss atau negara mana pun di UE atau negara mana pun yang tunduk pada keputusan kecukupan ke negara di luar cakupan ini, Para Pihak wajib memastikan bahwa Data Pribadi tersebut terlindungi secara memadai. Untuk mencapai hal ini, Para Pihak, kecuali disepakati lain, akan mengandalkan klausul kontrak standar yang disetujui Swiss dan/atau UE dan/atau Inggris Raya serta yang berlaku saat itu untuk transfer Data Pribadi atau mekanisme transfer lainnya sebagaimana diatur oleh Undang-Undang Perlindungan Data. Pemroses berwenang untuk melakukan transfer tersebut ke Subpemroses asalkan perlindungan yang memadai diterapkan sehubungan dengan sifat transfer tersebut.

12. Ketentuan Umum

Kepatuhan terhadap Hukum yang Berlaku. Pemroses akan memproses Data Pribadi Perusahaan sesuai dengan Perjanjian ini dan Undang-Undang Perlindungan Data yang berlaku untuk perannya berdasarkan Perjanjian ini. Pemroses tidak bertanggung jawab atau berkewajiban untuk mematuhi Undang-Undang Perlindungan Data yang semata-mata berlaku bagi Perusahaan berdasarkan sifat bisnis atau industrinya.

Kerahasiaan. Masing-masing pihak wajib merahasiakan setiap informasi yang diterimanya tentang pihak lain dan bisnisnya sehubungan dengan Perjanjian ini (“Informasi Rahasia”) serta tidak boleh menggunakan atau mengungkapkan Informasi Rahasia tersebut tanpa persetujuan tertulis sebelumnya dari pihak lain, kecuali sejauh:

(a) pengungkapan diwajibkan oleh hukum;

(b) informasi yang relevan telah berada di ranah publik bukan karena kesalahan Para Pihak.

Pemberitahuan. Semua pemberitahuan dan komunikasi yang diberikan berdasarkan Perjanjian ini harus dibuat secara tertulis dan akan dikirim melalui email. Pengendali akan diberi tahu melalui email yang dikirim ke alamat yang terkait dengan penggunaan Layanan berdasarkan Perjanjian Utama. Pemroses akan diberi tahu melalui email yang dikirim ke alamat: legal@proton.me.

Hukum yang Mengatur dan Yurisdiksi. Perjanjian ini diatur oleh hukum Swiss, tanpa memandang ketentuan pilihan atau konflik hukum dari yurisdiksi mana pun yang bertentangan, dan sengketa, tindakan, klaim, atau dasar gugatan yang timbul dari atau sehubungan dengan Perjanjian ini, formulir pemesanan, dokumen apa pun yang dimasukkan sebagai referensi, teknologi Proton, atau Layanan harus tunduk pada yurisdiksi eksklusif Jenewa, Swiss.

Dalam hal terjadi perbedaan antara versi bahasa Inggris dari Ketentuan ini dan versi terjemahan apa pun, versi bahasa Inggris yang akan berlaku.